DSB-tog kørte forbi stoplys efter ombygning til nye signaler
DSB har taget fire af sine små Desiro-togsæt ud af drift, efter at en test har vist, at den automatiske nødbremse ikke længere virker efter hensigten på strækninger med sikkerhedssystemet ATC.
Fejlen er opstået, efter at togene er blevet ombygget til det nye signalsystem ERTMS – Lille Syd-banen mellem Roskilde og Køge, hvor togene kører, udgør Banedanmarks såkaldte early deployment-strækning for ERTMS øst for Storebælt.
Det nye signalsystem er dog endnu ikke i brug på strækningen, der stadig benytter sig af de samme signaler som resten af den danske jernbane. Eneste undtagelse er Nordjyllandsbanen.
Fejl i oversættelsen af nye signaler
Alle tog, der bliver ombygget med nye signaler, får derfor indsat en boks, kaldet STM, som sørger for, at de også fungerer med eksisterende signaler. Mens Alstom står for ombygningen af togene, kommer STM-boksen fra Siemens, som har leveret det eksisterende sikkerhedssystem, ATC.
Det var netop en fejl med oversættelsen til det nye signalsystem, der gjorde, at et af togene ikke standsede, da det blev testet på strækningen mellem Vojens og Tinglev i Sønderjylland 3. januar. Det kørte ganske enkelt forbi det røde signal, mens banen var lukket for anden trafik, oplyser DSB.
Herefter besluttede DSB også at tage de tre øvrige Desiro-togsæt, der er ombygget til ERTMS, ud af drift. De havde kørt med passagerer på Sjælland siden henholdsvis 23. oktober og 23. november. Selve strækningen er vel at mærke ikke udstyret med ATC-sikkerhedssystemet, men det findes på Roskilde Station.
Opfanger ikke længere signalet fra balisen
DSB skriver som svar på en lang række spørgsmål fra Ingeniøren, at fejlen blev taget ud af drift i forbindelse med »en ATC-tillysning«.
»I forbindelse med testen blev observeret, at toget ikke registrerede ATC-balisen,« lyder det i svaret fra presseafdelingen. Baliser er de elektroniske sendere i jernbanesporet, som udgør rygraden i ATC-sikkerhedssystemet.
Ingeniøren erfarer, at ATC-systemet bremsede toget ca. 25 meter senere, da det registrerede, at signalet fra balisen ikke var blevet aflæst.
Derudover henviser DSB til Banedanmark, som har ansvaret for ombygningen af togene til det nye signalsystem. Det har direktøren for programmet med at indføre nye togsignaler, Jan Schneider-Tilli, for længst kaldt »besynderligt«.
Banedanmarks svar på Ingeniørens spørgsmål er imidlertid endnu mere kortfattet end svaret fra DSB, som dog får opbakning til at tage togene ud af drift.
Banedanmark kalder fejlen for »utilsigtet opførsel« og skriver, at den »opstod i et tidligere medløbende togsæt, når det efter afkobling rigges op for viderekørsel som enkelttogsæt. Det er ikke set før.«
Banedanmark har fået Siemens til at hjælpe sig med at rette fejlen og skriver, at der er fundet »en afhjælpende foranstaltning, som skal udføres af lokoførerne selv, som kan implementeres snarest«.
»Vi kigger også på en systemløsning,« forsikrer mailen fra Banedanmarks presseafdeling.
På den baggrund forventer DSB at sætte togene tilbage i drift »i den kommende tid.«
Trafikstyrelsen: Vores tilladelse fulgte sædvanlige procedurer
Ingeniøren har også spurgt Trafikstyrelsen, hvordan den kan give ibrugtagningstilladelse til Desiro-togene, når det efterfølgende viser sig, at de ikke længere stopper automatisk for rødt lys med det eksisterende signalsystem.
»Alle parter arbejder naturligvis for at undgå fejl, men man kan aldrig gardere sig fuldstændig imod at der – som i det foreliggende tilfælde – efterfølgende opstår en it-fejl. Derfor skal virksomheden have et sikkerhedsledelsessystem, og i det konkrete tilfælde har DSB selv opdaget fejlen og derpå handlet ved at tage togene ud af drift for at udbedre fejlen,« skriver kontorchef Claus René Pedersson i en mail.
Han understreger, at ibrugtagningstilladelsen er udstedt »i henhold til de vanlige procedurer«, og at den bl.a. »baserer sig på eksterne ekspertvurderinger«.
Hverken styrelsen, Banedanmark eller DSB har svaret på Ingeniørens spørgsmål om, hvorvidt der er risiko for, at samme fejl findes på andre af de togsæt, der er ombygget til ERTMS, og som i dag kører på strækninger, hvor der stadig er andre signal- og sikkerhedssystemer. Det gælder først og fremmest Arrivas Lint-tog.
Læs hele Ingeniørens prisbelønnede fokus om de nye signaler til jernbanen
Kaos med netop ombygningen af IC3-tog er en af hovedårsagerne til, at de nye signaler er voldsomt fordyrede.
Der er heller ingen nøjagtige detaljer om, hvordan fejlen opstod, eller hvilken del af togenes it-system, der overser de ATC-baliser, som udgør rygraden i det eksisterende sikringssystem, eller om hvad rettelsen går ud på.
DSB har i alt 20 Desiro-togsæt. De resterende kører bl.a. på Svendborgbanen.
Værkstedsfejl: Politiets biler ramt af bremsesvigt
Ugens job: Denne uges Ingeniør-liste indeholder 65 nye jobmuligheder
Gigantisk solcellepark på vej helt uden tilskud: Bestseller køber strømmen
Tyske myndigheder vidste intet om Hamborg-ulykke før dødsulykken på Storebælt
Grønne satellitbilleder snød forskere: Landbrug – ikke skov – breder sig overalt

- CBS Executive
Hvordan er DSB's Desiro togsæt anderledes end Nordjyske Jernbaners Desiro togsæt?
Gælder fejlen også hos NJJ?
DSB ejer 8 Desiro togsæt og leaser 12, og har således 20 ialt. De 12 leasede bliver iøvrigt købt af DSB og alle 20 togsæt sælges til Transportministeriet, der fra 2020 stiller dem til rådighed for Arriva til kørslen i den udbudte trafik i Midt og Vestjylland.
NJs Desirotog (og Lint togene) har ikke haft det eksisterende ATC system, og skal derfor ikke kunne læse de "gamle" signaler, men alene det nye ERTMS.
Er der ikke stadig ATC på Ålborg Station? Her mødes NJ jo med Intercitytogene, der ikke har ERTMS.
Der er kun ATC indtil Hobro. Imellem Hobro og Lindholm er ingen togkontrolsystem. De ATC-baliser, som er på Aalborg Station og andre strækninger uden ATC, bruges kun til at fortælle ATC-systemet, at der ikke er ATC og hvad strækningshastigheden er (det overvåges) plus et nogle andre småting.
Mellem Hobro og Aalborg er der ikke engang sikringsanlæg. Der køres på telefonisk tilbagemelding mellem stationsbestyrene i Hobro (FC Aarhus), Kmp Skørping, Kmp Ellidshøj og Kmp Aalborg. Signalerne kan altså stilles på grønt selvom der befinder sig et tog på strækningen.
Tak, Magnus, jeg retter antallet i artiklen.
Jeg synes egentlig det retoriske spørgsmål ovenfor:
Ingeniøren har også spurgt Trafikstyrelsen, hvordan den kan give ibrugtagningstilladelse til Desiro-togene, når det efterfølgende viser sig, at de ikke længere stopper automatisk for rødt lys med det eksisterende signalsystem.
er forkert !
Spørgsmålet er vel snarere, om de testscenarier, som nødvendigvis har været benyttet, har omfattet den beskrevne situation; BaneDanmark citeres for:
»opstod i et tidligere medløbende togsæt, når det efter afkobling rigges op for viderekørsel som enkelttogsæt. Det er ikke set før.«
Det giver anledning til mere målrettede spørgsmål:
1. Er den situation ikke testet ?
2. Var der fejl i testen ? (altså udførelse) eller blev resultatet ignoreret ?
3. Blev det bare ikke testet ?
Test er jo noget besyndeligt noget - fordi visse tests er åbenlyse, medens andre tests bygger på erfaring eller fantasi ? Hvad kan gå galt ? Hvilke, næsten usandsynlige, situationer kan opstå ?
Sædvanligvis er det dobbelt eller tre-dobbelte fejl som smutter igennem.
Eksempel: Storebæltsulykken skyldes måske. 1) manglende låsning af kingpin, 2) nordlig kuling på lavbroen, 3) tom trailer, 4) ....... Måske ville ulykken ikke være sket hvis blot eet af disse forhold ikke var til stede.
Men er det her tilfælde:
- regulær teknisk-logisk fejl i de beskrevne komponenter eller deres samspil
- som ikke blev opdaget pga. manglende test-indhold/omfang (fejl eller dårlig "fantasi") ?
- eller en multi-fejl med flere samtidige årsager ?
Fejl, som opdages sent, er sjældent enkelt-fejl - oftest (men ikke altid) samspilsfejl.
Objektivt er det rigtigt: fejl eller fejl-design.
Men subjektivt: meget ofte samspilsfejl eller uforudset bruger-handling - begge er uhyre vanskelige at lave test scenarier for.
Denne artikel er krydret med en næsten farceagtig reportage fra 2017
https://ing.dk/video/computeren-kunne-ikke...
I foråret 2018 lykkedes det vist at inbygge ERMTS og STM for ATC i et IC3 tog. Det kunne være spændene at se, hvordan man fik løst denne store udfordring.