Systemisches Versagen: Spaniens Hochgeschwindigkeitsbahn ist krank, sagt der LZB-Ingenieur

Antonio Martín Carrillo, der Ingenieur, der 1992 an der Einführung des Sicherheitssystems LZB auf der Strecke Madrid-Sevilla beteiligt war, ist der Auffassung, dass Spaniens Hochgeschwindigkeitsbahn an einem „systemischen Versagen“ leidet: ein Signalsystem, das vor zwanzig Jahren hätte ersetzt werden müssen, hunderte nicht untersuchte Zwischenfälle und eine heruntergekommene Sicherheitsführung. Das Verkehrsministerium hält dem entgegen, dass die 170 in einem Jahr registrierten LZB-Ausfälle bei diesem System normal seien.

Antonio Martín Carrillo ist Luft- und Raumfahrtingenieur und gehörte zum technischen Team, das 1992 den spanischen Hochgeschwindigkeitsverkehr in Betrieb nahm. Er war auch Führungskraft bei Adif (dem spanischen Bahninfrastrukturbetreiber) und wirkte an der Einführung des Sicherheitssystems LZB mit, desselben Systems, dessen Ausfall Ursache der Fehlerkette war, die zur Kollision in Urda (Toledo) zwischen einem Zug von Renfe und einem von Iryo führte, mit 69 Toten. Erst vor einem Jahr in den Ruhestand getreten, ist er überzeugt, dass sich das Geschehene nicht durch einen individuellen Fehler erklären lässt, sondern durch eine Anhäufung von Versäumnissen im System.

## Ein System aus den achtziger Jahren, das vor zwanzig Jahren hätte ersetzt werden müssen

Das LZB ist ein Signalsystem, das in den achtziger Jahren installiert wurde. Die entlang der Strecke verteilten Rechnersysteme in alle 40 oder 50 Kilometern gelegenen technischen Gebäuden entsprechen dem damaligen Stand der Technik. In Urda gibt es eines dieser Gebäude, das Martín Carrillo gut kennt, weil er es dort mitinstallierte und später Wartungsarbeiten durchführte. Die Technik hat sich seitdem stark verändert, und seiner Einschätzung nach hätte das System vor zwanzig Jahren ersetzt werden müssen. Es gab dafür vorgesehene Termine, doch dazu kam es nie.

Fällt das LZB aus, wird es neu gestartet und bei einer Störung repariert. Für Martín Carrillo war es ein Fehler, der Hochgeschwindigkeitsbahn Signale hinzuzufügen, das System, das jetzt als Rückfallebene präsentiert wird. Zwei Systeme zu haben sei gefährlicher, weil nicht mehr klar sei, mit welchem man gerade fährt. Im Hochgeschwindigkeitsverkehr werden keine Signale verwendet: Sie sind aus einem Zug, der mit 250 Stundenkilometern fährt, nicht zu sehen. Die Signalisierung läuft im Führerstand, wo das LZB dem Zug mitteilt, wo er sich befindet, welche Zielgeschwindigkeit gilt und in welcher Distanz er sie erreichen muss. Ist die Zielgeschwindigkeit null, befiehlt es ihm zu bremsen; sind es 300 Stundenkilometer, zeigt es ihm an, dass er beschleunigen soll. All das steuert der Triebfahrzeugführer.

Die Iryo-Züge verfügen über das europäische Sicherheitssystem ETCS und haben ein Kompatibilitätsproblem mit dem alten System der Strecke. Zur Lösung wurde eine Art Blackbox installiert, die die LZB-Signale ins ETCS übersetzt und umgekehrt. Alle Informationen, die in den Zug hinein und aus ihm herausgehen, laufen über dieses Gerät. Hält der Zug und müssen die Computersysteme neu gestartet werden, kann der Vorgang fast eine Viertelstunde dauern. Das gilt für den ETR1000, den Frecciarossa, einen modernen Zug mit dem europäischen System, der diese Anpassung braucht, weil die spanische Infrastruktur weiterhin das alte nutzt.

## Hundertsiebzig Ausfälle pro Jahr und eine heruntergekommene Sicherheitsführung

Verkehrsminister Óscar Puente erklärte, das LZB habe im Laufe des Jahres 170 Ausfälle erlitten, und das sei bei diesem System normal. Martín Carrillo nennt das einen absoluten Skandal. Hinter jedem Halt steckt ein Zwischenfall und ein Vorgang. Bevor ein Unfall von der Schwere des jetzigen geschieht, hat es normalerweise hunderte Beinahe-Unfälle gegeben: Situationen, in denen es fast zu einem Unglück kommt und dies nur vermieden wird, weil ein Fahrdienstleiter eingreift oder jemand im letzten Moment die richtige Entscheidung trifft. Der Schlüssel liegt darin, diese Zwischenfälle zu untersuchen, die für die Unfallverhütung entscheidend sind. Sie zu vertuschen sei, so seine Ansicht, eine der gefährlichsten Dinge, die man tun kann.

Dafür gibt es eine Führung der Betriebssicherheit, die früher eine Generaldirektion für Betriebssicherheit war. Sie sei abgewertet worden, erzählt er, weil es störend war, den Sicherheitsverantwortlichen im Führungsgremium zu haben, der ständig auf Probleme hinwies: dass das LZB nicht ausgetauscht worden war, dass bestimmte Maßnahmen gefährlich waren oder dass Maßnahmen ergriffen werden mussten. Es kam so weit, dass der Verantwortliche für die Betriebssicherheit dem Kommunikationsdirektor unterstellt war – und der wird nicht an die Öffentlichkeit gehen und sagen, dass es beinahe zu einem Unfall gekommen wäre.

Zur Pressekonferenz des Ministers nach dem Unglück meint Martín Carrillo, dieser habe sich auf hochkomplexe technische Fragen eingelassen, die zu diesem Zeitpunkt der Untersuchung noch nicht bestätigt waren. Nach einem Unfall friert man zunächst die Spuren ein, um sie später untersuchen zu können, und der Richter muss entscheiden, ob sie veröffentlicht werden dürfen. Seiner Einschätzung nach versuchte die Pressekonferenz, Personen mit Namen und Nachnamen zu belasten, etwa den Leiter des Fahrdienstpostens oder die Fahrerin des Iryo, der man wegen der Dauer des Anfahrvorgangs die Schuld gab. Dass ein Zug beim Anfahren länger braucht, hat mit dem Unfall nichts zu tun: Er kann länger brauchen, weil Kontrollen durchgeführt werden.

## Was in Urda passiert sein könnte: sechs Züge zum Stehen gebracht und ein dritter 500 Meter entfernt

Seine erste Rekonstruktion: Das System fällt aus, wodurch alle Züge in dem Gebiet zum Stehen kommen. In diesem Fall blieben sechs Züge stehen. Danach setzten sie ihre Fahrt wieder fort, und genau dort können Probleme auftreten: Es muss sorgfältig untersucht werden, wie die Züge wieder anfuhren. Es gab einen dritten Zug, und nach dem Zusammenstoß musste ein weiterer bremsen und blieb etwa 500 Meter entfernt stehen. Das bedeutet, dass ein Unfall mit drei oder vier Zügen beinahe Realität geworden wäre, was einen Weltrekord an Toten bedeutet hätte.

Ein Detail, das er für die Untersuchung für sehr wichtig hält: Wenn der aus Sevilla kommende Zug automatisch zum Stehen kam, hat das System dieser Gleisseite korrekt funktioniert. Es muss untersucht werden, was funktionierte, was nicht und was geschah. Man kann nicht, wenige Stunden nach einem Unfall, dem Verantwortlichen der Verkehrssteuerung, dem Triebfahrzeugführer des stehenden Zuges oder irgendjemandem sonst die Schuld geben. Die Gespräche zwischen dem Fahrdienstposten und den Zügen sind streng über Telefonate mit einem ganz bestimmten Inhalt geregelt: Uhrzeit, Ort, Gesprächspartner und übermittelte Information müssen genannt werden, und Sender wie Empfänger müssen übereinstimmen.

Auf die Hypothese eines menschlichen Versagens antwortet er, dass sich das in diesem Stadium nicht aufrechterhalten lasse. Zu diesem Schluss könnte man in einem Jahr kommen, aber man müsste bestimmen, wer dieser Mensch ist: Es kann derjenige sein, der ein nicht funktionierendes Protokoll entworfen und unterzeichnet hat, denn Protokolle werden in Teams erarbeitet, und viele Menschen sind dafür verantwortlich festzulegen, was zu tun ist, wenn das System degradiert. Am Ende ist alles menschlich, aber einen einzelnen Beschäftigten hervorzuheben, um das letzte Glied der Kette zu finden, so funktioniere das nicht. Sein Fazit: Es handelt sich um ein systemisches Versagen, eine Anhäufung vieler Fehler: Nicht eine einzige Person und kein einziges elektronisches Bauteil ist versagt.

## Mehr Züge sind nicht das Problem: der Vergleich mit Italien und Frankreich

Das Ministerium hat mehrfach angedeutet, die Liberalisierung des Schienenverkehrs könnte hinter den aktuellen Problemen stecken. Martín Carrillo weist das rundweg zurück. In anderen Ländern wie Italien oder Frankreich ist der Hochgeschwindigkeitsverkehr pro Kilometer deutlich höher als in Spanien. Mit den verfügbaren Sicherheitssystemen können Züge praktisch alle drei Minuten, einer hinter dem anderen, sicher verkehren. Es passt noch mehr als die doppelte Zahl der derzeit fahrenden Züge auf die Strecken.

Zur Instandhaltung erinnert er daran, wie man arbeitete, als die Züge auf der Strecke Madrid-Sevilla erstmals rollten: Jede Nacht fuhr ein Messzug aus, und es wurde abschnittsweise und in Teilbereichen Stopfarbeit geleistet, sodass jede Nacht ein Teil der Strecke gewartet wurde. Das, sagt er, gebe es nicht mehr. Er stellt auch in Frage, dass vorübergehende Geschwindigkeitsbeschränkungen aufgehoben wurden, ohne zu wissen, ob sie auf echte Instandhaltungsarbeiten zurückgehen oder nur auf das Bedürfnis, Verspätungen zu reduzieren.

Auf den Vorschlag des Ministers hin, den Betrieb auf der Strecke Madrid-Barcelona für zwei Jahre einzustellen, um Reparaturen durchzuführen, nennt er eine Ungeheuerlichkeit und erinnert daran, dass Adif die Probleme der Strecke Madrid-Zaragoza bestens kennt und sie bislang nicht gelöst hat. Wenn man den Verkehr für notwendig halte, fragt er, warum hat man es in all den Jahren nicht getan. Die Strecke Madrid-Valencia, fügt er hinzu, sei ebenfalls in sehr schlechtem Zustand.

Gefragt, ob es nach zwei Unfällen in neun Monaten sicher sei, in Spanien mit der Hochgeschwindigkeitsbahn zu reisen, antwortet er mit einer häuslichen Szene: Seine Tochter fragte ihn, ob sie mit dem Zug nach Burgos fahren könne, und er sagte ihr, natürlich, bat sie aber, ihn bei der Ankunft anzurufen. Er gesteht, dass er Angst hat, und dass es allen so gehe, weil sie dem System nicht mehr vertrauen. Sein Rezept ist einfach: das System mit den richtigen Fachleuten wieder in Betrieb nehmen und die europäische Führungsrolle in Sicherheit und Hochgeschwindigkeitsverkehr zurückgewinnen. Zu sagen, dass man bei Renfe oder Adif gearbeitet hat, bedauert er, bereite einem heute schon fast Unbehagen.