ADIF-Fahrdienstleitung nicht schuldig: Das System ist gescheitert

ADIF-Fahrdienstleitung nicht schuldig: Das System ist gescheitert

Warum hielt der Zug nicht an? Diese Frage zieht sich durch jede Nachricht dieser Analyse des Zugunglücks, das das Sicherheitsmodell des spanischen Hochgeschwindigkeitsverkehrs in Frage stellt. Der Ausgangspunkt ist eine Kette von Fehlern: Der Triebfahrzeugführer gibt Parameter ins System ein, erhält die Anweisung, liest sie langsam, weil sie «in Etappen hereinkommt», und dennoch fährt der Zug weiter. Die These, die sich durchsetzt: Weder der tägliche computergestützte Betriebsplan, noch LZB, noch ASFA haben den Verkehr drei Kilometer vor dem stehenden Zug gestoppt. Und wenn nichts funktioniert, hätte der Zug stehen bleiben müssen. Das tat er nicht.

Das Protokoll existiert, der Faktor Mensch versagt

Die Verteidigung des Systems ist numerisch: Es funktioniert seit 1992, ist seit 2017 durch die konsolidierten europäischen Vorschriften genehmigt und wird strikt angewandt. Der Ablauf ist bekannt: Fällt der BCA aus und wird unter BSL gefahren, werden die Züge einzeln abgefertigt, mit Schrittgeschwindigkeit und der Gewissheit, dass sich davor kein Zug befindet. Dieses Verfahren, so die Techniker, hat in mehr als drei Jahrzehnten keinen einzigen Unfall verzeichnet. Die Schlussfolgerung ist unbequem: Das Protokoll ist perfekt, das Personal versagt. Punkt.

Das Problem: Die Statistik erklärt diesen konkreten Fall nicht. Der Bahnverkehr ist seit 1992 stark gestiegen, die Löhne seien gesunken, so das Argument. Ein System, das von einer einzigen Person abhing, die telefonische Meldungen ablas, um alle fünf Minuten Züge bei 300 km/h zu regeln, skaliert nicht wie eine Strecke mit drei Zügen am Tag. Der Vergleich mit der Luftfahrt — dem sichersten Verkehrssektor der Welt — geht nicht gut auf: Dort regeln die Lotsen nicht die Führung des Flugzeugs, sondern nur die Staffelung. Hier gibt der Fahrdienstleiter von ADIF die Anweisung, und der Triebfahrzeugführer führt sie aus, ohne eine technische Ebene, die den tatsächlichen Abstand überprüft.

Der Schatten des Hacks und die offizielle Version

Die These des menschlichen Versagens überzeugt nicht alle. Manche behaupten, das Geschehene sei «nur durch einen Hack möglich» und das System sei darauf ausgelegt zu versagen. Die Diskussion driftet in die Cybersicherheit: Moderne Fahrzeuge können aus der Ferne gehackt werden, und ein Zug ist keine Ausnahme. Die Übereinstimmung mit dem Wahlzeitraum schürt zusätzlich Verdacht: Wem nützt es, wenn das System kurz vor einer Wahl versagt? Es gibt keinerlei Beweis, nur Verdacht. Und Verdacht hält keine Züge an.

Die offizielle Version stützt sich derweil auf die geleakten Audiodateien: Weder die Leitstelle noch die Triebfahrzeugführer waren darauf vorbereitet, ein System zu ersetzen, das 99,9 % der Zeit funktioniert. Wenn das stimmt, liegt das Problem nicht bei dem Mitarbeiter, der ans Telefon ging, sondern in der Entscheidung, mit einem degradierten System weiterzufahren. Ein System, das versagt und nicht den gesamten Verkehr stoppt, bis es repariert ist, ist schlecht konstruiert — kein System, das einen schlechten Tag hat.

Die Technik, die nicht rechtzeitig kam

Es gibt viele Möglichkeiten, Näherungswarnungen ohne Stromnetz auszusenden, erinnern die technisch Versierten. LZB und ASFA hätten den Zug drei Kilometer früher stoppen müssen, ob aktiv oder ausgefallen. Waren sie aktiv, versagten sie. Waren sie ausgefallen, versagte auch das Ausweichprotokoll. Die einzige Erklärung, die bleibt: Das System ließ den Zug weiterfahren, weil es keinen Zug auf dem Gleis erkannte — und das geschieht nur, wenn der Triebfahrzeugführer aus Gründen außerhalb des Zugverkehrs zur Vorsicht aufgefordert wird: schlechte Gleiszustände oder Brände, die die Sicht beeinträchtigen. Keine dieser Umstände ist in diesem Fall dokumentiert.

Das Ergebnis ist eine Paradoxie: Ein Land, das einen TGV wollte, weil Frankreich einen hatte, und das sich des Hochgeschwindigkeitsverkehrs rühmt, hängt davon ab, dass ein Herr telefonisch Nachrichten entgegennimmt, damit zwei Züge nicht kollidieren. Der TALGO fuhr 180 km/h auf konventionellen Gleisen, ohne einen einzigen schweren Unfall in Jahrzehnten. Die heutige Technik erlaubt viel mehr. Auch das Protokoll von 1992.

---

Die Frage ist nicht, ob die Fahrdienstleitung von ADIF schuld ist. Die Frage ist, wie viele Jahre wir ein System noch «perfekt» nennen, das davon abhängt, dass ein Mensch sich niemals irrt.