8 Risiko og sikkerhetsstyring

Som det fremgår av Kommisjonens arbeidsmodell, jf. kap. 2.5, må sikkerhetssystemet i virksomheten undersøkes og vurderes når det har skjedd en ulykke som kan tyde på at sikkerhetssystemet ikke har fungert. Kommisjonen har derfor gått grundig inn i hvordan sikkerhetstenkningen, sikkerhetsstyringen og sikkerhetsorganiseringen har vært både i NSB BA og Jernbaneverket. På grunn av den sentrale plass sikkerheten må ha i den type foretak det her gjelder, vil Kommisjonen redegjøre nærmere for risikoforholdene i jernbanen, om dagens internasjonalt anerkjente metoder for sikkerhetsstyring generelt og metodene som benyttes i norsk jernbanevirksomhet spesielt, samt om risikoforholdene på Rørosbanen som Kommisjonen har vært særlig opptatt av. Til slutt i dette kapitlet vil det bli redegjort for tre konkrete saker som omhandler forhold med nær tilknytning til ulykken. Disse vil vise hvorledes sikkerheten på disse områder ble håndtert av de ulike aktører. Kommisjonen har valgt å gjøre dette, fordi denne konkretiseringen etter Kommisjonens syn anskueliggjør problemene. Disse sakene gjelder den forsinkede utbyggingen av ATC og togradio, håndteringen av anbefalingen om lydalarm på togledersentralene og innføringen av endret avgangsprosedyre i 1997.

Jernbanen har vært og er fortsatt et sikkert transportmiddel. Ulykkesfrekvensen pr. passasjerkilometer ligger på samme nivå som i internasjonal linjeflytrafikk, og den relative risiko pr. million personkilometer er vesentlig lavere enn for personbiler. Den tekniske utviklingen i kombinasjon med en økende sikkerhetsbevissthet har bidratt til at ulykkestallene i jernbanetrafikken har sunket de siste tiår. Sikkerheten i norsk jernbanetrafikk ligger på samme nivå som i Europa for øvrig.

Karakteristisk for jernbanesikkerheten er at den er svært høy for passasjerene. De fleste skader på person skjer utenfor toget og er i hovedsak planovergangsulykker. Ulykker som leder til at passasjerer dør eller skades skjer sjelden. Selv om jernbanen statistisk sett har en høy sikkerhet for passasjerene, har den allikevel et stort skadepotensiale. Tog har ofte hundre eller flere passasjerer, og ulykker som inntreffer ved at tog kolliderer eller sporer av i høy fart kan resultere i katastrofer med svært mange dødsfall.

Større togulykker er uvanlige i Norden, men de inntreffer tilstrekkelig ofte til at de er en realitet. Noen eksempler på ulykker der tog har kollidert er vist i tabell 8.1.

I Sverige har man hatt en stor togulykke ca. hvert 10. år og i Norge omtrent hvert 25. år.

Som nevnt gjelder de fleste dødsulykker på jernbanen enkeltpersoner utenfor toget, mens det sjelden forekommer togulykker der mange passasjerer omkommer. Når sikkerhetsarbeidet legges opp må man skille mellom de ulike hendelsestypene. Sikkerheten i forhold til tredjemann kan i en viss utstrekning håndteres statistisk ettersom det regelmessig inntreffer flere slike ulykker hvert år, mens sikkerheten for passasjerene på toget må håndteres etter mer analytiske metoder der risikoanalyse benyttes ettersom dokumentasjonen består av enkelthendelser som har skjedd med mange års mellomrom.

8.1 Risiko i jernbanetrafikken

De dominerende risikoområdene i jernbanetrafikken kan sammenfattes i fire ulykkestyper; avsporing, sammenstøt, brann og planovergangsulykker, samt visse kombinasjoner av disse. Ulykker innen de forskjellige kategorier forebygges på ulik måte. Kommisjonen vil imidlertid bare gå nærmere inn på ulykker som forårsakes av sammenstøt mellom tog.

Jernbanetrafikken er et samspill mellom infrastruktur, materiell og trafikk, herunder personell. Dette innebærer at ulike tekniske områder og ulik kompetanse må samarbeide. Det er da nødvendig at grensesnittene er tydelige, slik at ansvaret er klart. I tillegg må en part alene ha oversikt over hele virksomheten, slik at ingen forhold faller mellom to stoler.

8.1.1 Sammenstøt/kollisjon

Et sammenstøt kan skje mellom to tog, eller mellom tog og rasmasser eller sten som har rast ned. Det vanligste er at sammenstøt skjer i forbindelse med banearbeide og med skinnegående arbeidskjøretøy. Kollisjon mellom to tog front mot front i høy hastighet er sammen med brann i tunnel, ansett som de verst tenkelige ulykkene som leder til de verste konsekvensene. Linjeblokk og ATC-systemer har medført en høyere sikkerhet på de banene som er utstyrt med dette, men alle baner har ikke slike systemer.

Sammenstøt forebygges i første rekke av sikringsanlegget. At sikringsanlegget fungerer som det skal og at lokomotivfører følger signalene er grunnleggende for en sikker togfremføring. I tillegg må toglederne vite hvor alle tog befinner seg og hvor de skal. Togvei og kryssingsplaner må følgelig legges opp og lokomotivførerne må følge ruteplaner og signaler.

Tidligere var alle stasjoner bemannet, og togekspeditøren ga klarsignal til lokomotivfører for kjøring til neste stasjon etter å ha forsikret seg om at sporet var fritt for annet materiell. Senere har man fått moderne sikkerhetssystemer. Sikringsanleggene er bygget opp på en slik måte at et tog ikke skal kunne få grønt utkjørssignal om det allerede befinner seg et tog foran i sporet. Såkalte blokkstrekninger innebærer at så snart et tog befinner seg på en særskilt strekning, vil sikringsanlegget forhindre alle signaler mot den aktuelle blokkstrekning i å vise grønt, se pkt. 4.2.1.

En ytterligere modernisering av systemet har medført at signalene blir koblet til et automatisk system som stopper toget om lokomotivføreren feilaktig skulle kjøre mot rødt. Uten en slikt system kan toget kjøre videre. Da dette systemet ble introdusert ble det kalt Automatisk Tog Stopp (ATS), mens det nå kalles Automatic Train Control (ATC). Som nevnt har de fleste, men ikke alle baner dette systemet. ATC fungerer både på baner med elektriske og dieseldrevne lokomotiver. Rørosbanen hadde ikke ATC på ulykkestidspunktet.

På elektrifiserte baner kan togleder, om vedkommende er oppmerksom på situasjonen, stenge av strømmen og på den måten stoppe toget. På ikke-elektrifiserte baner finnes ikke denne muligheten. Rørosbanen har som nevnt dieseldrift.

Sammenstøt forebygges gjennom et sikkert og pålitelig signalanlegg, kombinert med god togledelse, sikkerhetsbevisste lokomotivførere og sikkert materiell. Dette innebærer at sammenstøt må forebygges så vel innenfor infrastrukturbane som materiell og trafikk.

8.2 Sikkerhetsstyring i jernbane- virksomhet

Med sikkerhetsstyring menes de aktiviteter av sikkerhetsmessig art vedrørende organisasjon, ansvar, prosesser og ressurser som kreves for å lede og styre en jernbanevirksomhet. Sikkerhetsstyring er en organisatorisk prosess som omfatter mange skritt, fra strategiske mål til vurdering av resultat.

Sikkerhetsstyring omfatter så vel det daglige arbeidet, med kontroll av at alt fungerer som det skal som en overgripende vurdering av risiko og endringer. Disse to formene er av ulik art. Det daglige arbeidet er av praktisk art og kjennetegnes ved at noen hele tiden må være tilstede for at sikkerheten skal være tilstrekkelig god. Den overgripende vurderingen eller risikoanalysen er abstrakt og kjennetegnes ved et helhetssyn og vurderinger av endringer.

Det daglige sikkerhetsarbeidet skal være ledelsens aktive styring og kontroll med gjeldende regler og sikkerhetskrav med tanke på etterlevelse og effektivitet. Risikoanalysen er et verktøy for at ledelsen med jevne mellomrom, og ved endringer skal kunne vurdere om det daglige arbeidet er riktig lagt opp. Sikkerhetsstyringen i jernbanevirksomheten må omfatte alle deler av virksomheten. Man kan ikke ekskludere hverken infrastruktur, materiell eller trafikk.

Infrastruktur omfatter som tidligere nevnt spor, signaler og togledelsessystem, mens materiell omfatter lokomotiver og vogner med utstyr. Trafikk omfatter togledelse, lokomotivførere, kommunikasjon og trafikkavvikling.

Ettersom de ovennevnte områder er oppdelt mellom NSB BA og Jernbaneverket er grensesnittet og kommunikasjon mellom partene en viktig del av sikkerhetsstyringen, samtidig som et helhetssyn må være tilstede hos en av partene slik at infrastruktur, materiell og trafikk kan fungere som ett transportsystem.

8.2.1 Sikkerhetsstyringsmetoder

Alle typer ulykker kan til en viss grad forebygges, og derigjennom kan man minske sannsynligheten for at de skal inntreffe. Konsekvensene av hver ulykkestype kan minimaliseres gjennom arbeid med så vel tekniske som organisatoriske sikkerhetstiltak. Det foreligger således så vel forebyggende som konsekvensreduserende sikkerhetstiltak.

Togulykker som skyldes kollisjon resulterer som tidligere nevnt som regel i store skader på mennesker og materiell.

Generelt kan sikkerhetsstyring ses på som et organisatorisk kretsløp. Man starter med å utvikle regler og bestemmelser for virksomheten. Disse nedfelles i rutiner og håndbøker og implementeres i driften. I den daglige driften registeres uønskede hendelser og ulykker. Dette materialet systematiseres og vurderes for å danne basis for videreutvikling av eksisterende regler og bestemmelser. Kretsløpet som sådan er evig, men er avhengig av at informasjon virkelig overføres mellom hver stasjon i kretsløpet. Tiden kommer følgelig i tillegg og vil ha betydning for utviklingen.

Kilde: Det norske Veritas

Risiko innenfor jernbanetrafikken har tradisjonelt blitt håndtert gjennom at erfaringer fra uønskede hendelser og ulykker har ledet til innføring av sikkerhetsregler som kontinuerlig har vært under utvikling. Denne metoden kalles ofte hendelsesbasert sikkerhetsstyring. For noen tiår siden var utviklingstakten langsommere enn i dag og da var denne måten å arbeide på tilstrekkelig. Langt høyere hastigheter og større trafikktetthet er imidlertid resultater av nyere teknikk. For å kunne øke hastigheten og trafikktettheten og ytterligere forbedre sikkerhetsnivået, har man etter hvert komplettert signalanleggene med sikringsanlegg for stasjoner, linjeblokk, veibommer av ulike typer etc., avhengig av risikobildet. Senere har systemer som CTC og ATC blitt innført. Utviklingen har gått i retning av en virksomhet med høyere effektivitet og høyere hastigheter, flere tog og færre mennesker. Denne utviklingen har akselerert de siste årene i Norge. OL-banen, Gardermobanen, nye Nationaltheatret og Skøyen stasjoner, det nye krengetoget Signatur og fremtidsplaner vedrørende baner og materiell innebærer store endringer.

Den stadig raskere utviklingen med økende kompleksitet gjør at den tradisjonelle sikkerhetshåndteringen ikke lenger er tilstrekkelig effektiv. Den må kompletteres med en vurdering av det totale sikkerhetsnivået, samt hvilke risiki hver enkelt endring innebærer før den gjennomføres. Denne metoden kalles risikobasert sikkerhetsstyring og er formelt innført i Norge gjennom sikkerhetsforskriften. Prinsippene er som tidligere nevnt velkjente, jf. pkt. 7.2.3.3.

8.2.2 Hendelsesbasert sikkerhetsstyring

Den tradisjonelle måten å styre sikkerheten på er gjennom regler. Man lar da tekniske og operative regler styre det vesentligste i virksomheten. Reglene utvikles gjennom å arbeide med de erfaringer inntrufne uønskede hendelser gir, samt gjennom å vurdere hver regel når det gjennomføres en endring. Denne måten å arbeide med sikkerhet på har vært den vanligste i jernbanevirksomheten, dels på grunn av at jernbanen er en gammel virksomhet, men også fordi ulykkesmekanismene har vært velkjente i mange år.

Hendelsesbasert sikkerhetsstyring innebærer at man etter hver ulykkeshendelse, og i de senere år også etter uønskede hendelser, foretar en vurdering for å se om hendelsestypen er kjent fra tidligere. Beroende på hvor alvorlig det inntrufne er og muligheten for å håndtere problemet, vurderes det om en endring av trafikksikkerhetsbestemmelsene eller tekniske bestemmelser kan forbedre situasjonen. Denne måten å arbeide på har vært en trygghet og selve ryggraden innenfor jernbanesikkerheten. Flere tiårs erfaring ligger til grunn for utformingen av ulike tekniske løsninger og trafikksikkerhetsbestemmelser. I jernbanen synes det imidlertid å være en tendens til å tro for sterkt på slike regler. Man synes å ha ment at om kravene i reglene er oppfylt da er driften sikker.

Kilde: Det norske Veritas

I dag anses den hendelsesbaserte sikkerhetsstyringen å ha to vesentlige svakheter. For det første tar den ikke tilstrekkelig hensyn til endringer. Forslag til nye løsninger og innføring av nytt materiell vurderes ut fra tradisjonelle regler. Den tekniske utvikling som pågår innebærer at det kommer forslag til nye løsninger som ikke har vært prøvet ut tidligere og som man ikke har noen erfaring med å bedømme mot et regelverk som ikke er komplett. Det medfører at nye løsninger prøves ut i normal drift uten at man er tilstrekkelig forberedt på hva som kan skje.

For det andre mangler hendelsesbasert sikkerhetsstyring helhetssyn. Kompleksiteten innenfor den moderne jernbanetrafikken er så stor at det kreves en helhetsoversikt for å kunne vurdere på hvilken måte en enkelt endring påvirker sikkerheten i alle deler av systemet. Når store endringer som nye baner, nytt materiell og nye hastigheter innføres meget raskt i et miljø der disse skal gå sammen med tradisjonell togfremføring, kreves en annen form for systematisk vurdering enn den tradisjonelle. Det bemerkes også at regelverket er blitt for omfattende med mange regler som overlapper hverandre, mens regler som i tilstrekkelig grad hensyntar de nye endringene ikke finnes.

8.2.3 Risikobasert sikkerhetsstyring

Risikobasert sikkerhetsstyring er mer proaktiv enn hendelsesbasert sikkerhetsstyring og innebærer at man gjennomfører en risikoanalyse av nytt materiell, nye signalsystem, nye trafikksikkerhetsbestemmelser osv. før slike tas i bruk. Denne type sikkerhetsstyring har vokst frem innenfor virksomheter der det har vært for farlig og for dyrt å gjøre forsøk i full skala uten å ha noen oppfatning av hva som kan gå galt og hvorledes man kan håndtere det. Eksempler på slike områder er luftfarten, kjernekraften og offshore-industrien.

Risikoanalyse er selvsagt bare et hjelpemiddel og gir ikke et helhetssyn i seg selv. Imidlertid gir den en bedre mulighet for å se helheten i kompliserte systemer. Man kan ikke ukritisk benytte sikkerhetsstyringen som passer i en industri i en annen, ettersom hver industri har sine spesielle problemer. Angrepsmåten og metoden kan imidlertid være anvendelig i flere virksomheter, herunder jernbanen. Dette har NSB BA også tatt konsekvensen av, i hvert fall på papiret, selvom man ikke har lykkes fullt ut i praksis.

Risikobasert sikkerhetsstyring for jernbanen bør etter Kommisjonens syn baseres på det tradisjonelle regelverket og på at det gjennomføres risikoanalyser ved endringer av materiell, infrastruktur og sikkerhetsbestemmelser. Sikkerhetsstyringen skal også gi mulighet for en skikkelig helhetsvurdering, slik at den totale effekten av enkeltstående endringer kan vurderes.

Ved start av ny virksomhet bør man gjennomføre en total risikoanalyse og vurdere den totale sikkerheten i systemet. I forbindelse med utbyggingen av Gardermobanen ble dette for eksempel gjort.

I England stiller Health and Safety Executive (HSE) krav om såkalte «safety cases». Dette innebærer at selskap som har ansvar for driften av en virksomhet skal dokumentere hvilke risiki som foreligger, hvordan disse er identifisert og vurdert, på hvilken måte man forebygger dem og hvilken beredskap man har for å håndtere dem når de inntreffer. Begrepet «safety cases» anvendes også i European Standard CENELEC for jernbaner i Europa.

Kilde: Det norske Veritas

Figur 8.2 og 8.3 illustrerer forskjellen i den hendelsesbaserte metoden når risikoanalysen innføres som en vesentlig faktor ved alle endringer.

8.2.4 Risikoanalyse

Riskoanalyse er en analytisk angrepsmåte for å identifisere og vurdere ulykkessitusjoner som kan lede til skade på mennesker, miljø og materiell. Risikoanalyser er imidlertid et meget generelt begrep. Det finnes flere måter å gjennomføre en risikoanalyse på både med hensyn til metode og utførelse. For å utføre en risikoanalyse kreves erfaring, kompetanse og ressurser.

Jernbanens lange historie gjør risikobildet totalt sett velkjent. Allikevel bør man sammenstille forutsetningene for å skape en base for mer detaljerte analyser.

Hovedhensikten med bruk av riskoanalyser i jernbanevirksomheten er, ut fra lokale forutsetninger, å skaffe kunnskap om de eksisterende risiki på den enkelte banestrekning og å vurdere om sikkerhetskravene i eksisterende regelverk og sikkerhetstiltakene ligger på et akseptabelt nivå.

Helt generelt finnes det to ulike typer risikoanalyser:

1. Overgripende analyse med sikte på å skape et helhetssyn og et grunnlag for beslutning innenfor enkeltområder.

2. Risikoanalyse ved endring som beslutningsgrunnlag for enkeltendringer. En risikoanalyse på dette nivået kan imidlertid være villedende om man ikke først har gjennomført den overgripende analysen og skaffet seg helhetsoversikt.

Risikoanalyser bør være en tilbakevendende aktivitet der man med noen års mellomrom vurderer hele virksomheten (3–5 år).

Den overgripende riskoanalysen skal klarlegge jernbanens risikobilde basert på tilgjengelig nasjonal statistikk. Denne analysen må deretter kompletteres med analyser av den enkelte banestrekning.

Den enkelte bane må i alle fall betraktes som ett individ. De ulike baner er bygget i ulike tidsperioder og har ulike forutsetninger, såvel økonomisk som teknisk. Bergensbanen, Sørlandsbanen, Rørosbanen osv. har grunnleggende forskjeller i oppbygning, klimaforhold og trafikkunderlag.

Resultatet av den overgripende analysen skal senere benyttes som grunnlag for en overordnet sammenligning av analysene på de enkelte banene.

Risikoanalyse ved endring bør foretas ved mindre endringer gjennom at spesielle problemstillinger vurderes og analyseres. Ett eksempel på en slik problemstilling kan være endrede hastighetsskilt ved innføring av krengetog, endret avgangsprosedyre og lignende. Her er det viktig å kunne bedømme hvor ulike endringer vil få effekt. Avgangsprosedyren vil fortone seg forskjellig avhengig av hvilken trafikkeringsform man har på de ulike banene. Følgelig må man vurdere, ikke bare risikoen for det området som åpenbart berøres av endringen, men også hvilken effekt den vil ha i alle andre deler av jernbanesystemet.

I forbindelse med risikoanalyser ved endring er det viktig å bringe på det rene om de sikkerhetskrav som stilles i jernbaneloven, forskrifter og internt regelverk er oppfylt også etter endringen. Når en overgripende risikoanalyse gjennomføres første gang er det som regel nødvendig å gjennomføre en kontroll av dette på generelt nivå.

Et eksempel på dokumentasjon som i all sin enkelhet kan være et avgjørende beslutningsunderlag, er kartet over det norske jernbanenettet med oversikt over eksisterende sikkerhetsbarrierer på de ulike banene, se figur 8.4. Kartet er utarbeidet av Jernbaneverket etter ulykken 4. januar i år. Kartet illustrerer tydelig at utbyggingen av de tekniske sikkerhetssystemene ikke er kommet like langt på alle baner og at Rørosbanen har det laveste sikkerhetsnivået. Dersom dette kartet hadde vært utarbeidet tidligere ville det antagelig ledet til et spørsmål om hvilke kompenserende tiltak som kunne eller burde iverksettes. Denne type informasjon må det legges til grunn at kunne kommet frem i en overgripende risikoanalyse.

Kilde: Jernbaneverket

8.2.5 Ansvar og motivasjon

Sikkerhet kan styres, men det forutsetter kunnskap om ulike sammenhenger i virksomheten og på hvilken måte disse kan påvirkes. Det er videre nødvendig at sikkerhetsstyringen når frem til hele organisasjonen for å skape en god kultur med hensyn til arbeidsmåte og metode. Disse faktorene gjør at sikkerhetsstyring er et arbeid som skal utføres av den administrative ledelsen.

Ledelsen bør sørge for at det opprettes en særlig funksjon som har som oppgave å overvåke og utvikle sikkerhetsarbeidet. Hvor i organisasjonen denne funksjonen skal ligge, beror på hvordan foretaket er organisert og hva som i praksis vil fungere best. Det er imidlertid viktig at den som er ansvarlig for kontroll og utvikling av sikkerhetsarbeidet har direkte linje til administrerende direktør.

Det operative sikkerhetsansvaret fordeles deretter innenfor linjeorganisasjonen. For at det skal kunne utvikles en god sikkerhetskultur bør det daglige arbeidet kompletteres med et tverrteknisk forum som sammenkalles av ansvarlig for sikkerhetsfunksjonen ved behov, og der ulike problemer i jernbanevirksomheten kan diskuteres og løses.

Sikkerhetsfunksjonen skal være administrerende direktørs verktøy for å kontrollere og utvikle sikkerhetsarbeidet. Den skal anbefale tiltak og innhente beslutningsunderlag i form av vurderinger og risikoanalyser. Sikkerhetsforumet skal behandle tekniske og administrative endringer som berører sikkerheten.

Sikkerhetsstyring er en relativt ukomplisert prosess, men den krever systematikk og langsiktighet for å fungere. Det store problemet ligger i det faktum at resultatene ikke er synlige når arbeidet er godt utført. Bare når man mislykkes synliggjøres resultatet, og da i form av omkomne og skadde.

Sikkerhetsstyring er en langsom prosess som det normalt tar flere år å få igang. En godt fungerende prosess er imidlertid effektiv, både med hensyn til resultater og økonomi.

Det viktigste skrittet, nemlig å motivere de ansatte i organisasjonen slik at sikkerhetsstyringsprosessen ikke stopper opp når man begynner å nærme seg målet, er også det vanskeligste.

Motivasjon kommer ikke av seg selv. Videre kan motivasjonen bare holdes levende ved at administrerende direktør og øvrig ledelse engasjerer seg og stiller krav om oppfølgning og rapportering. Motivasjon er den viktigste drivkraften for at sikkerhetsstyringen skal fungere og være en kontinuerlig prosess som aldri slutter.

8.3 Overgripende risikoanalyse jernbane

Risikoanalyser som omfatter identifisering og vurdering av så vel operative som tekniske sikkerhetstiltak utgjør grunnlaget for en moderne sikkerhetsstyring. På et overgripende nivå er risiki og mulige sikkerhetstiltak innen jernbanen velkjente. Vi behøver ikke gjennomføre risikoanalyser for å få frem at avsporing, kollisjon og brann, samt ulykker ved planoverganger er de største risikoområdene.

Det tradisjonelle regelsystemet er i hovedsak bygget opp for å forebygge at ulike typer ulykker inntreffer. Ved endringer i regelverket er det viktig at man har et helhetssyn og vurderer sikkerheten ikke bare totalt, men også for hver enkelt bane hvor lokale forhold hensyntas. Her har risikoanalysen en selvsagt plass.

Hensikten med en risikoanalyse er å skape kunnskap og forståelse for risikomiljøet i hele jernbanesystemet og for hver enkelt bane. En risikoanalyse omfatter ulike tenkelige ulykkessituasjoner samt forebyggende og konsekvensreduserende sikkerhetstiltak.

De ulike ulykkessituasjoner identifiseres ut fra tekniske og operasjonelle forhold på den enkelte banestrekning. Driftsform, signalanlegg, rasrisiko mv. utgjør til sammen grunnlaget for vurderingene. Man tenker seg at det under normal togdrift kan inntreffe hendelser som fører til en ulykkessituasjon der man mister kontrollen og situasjonen endres fra normal drift til en nødsituasjon. Hendelsesforløpet har altså sitt utspring i normal drift og kan siden gå over i en nødsituasjon hvis den ikke stoppes tidlig.

Det man vil oppnå er å forebygge enhver ulykkessituasjon i driftsfasen samtidig som man bygger opp en beredskap for nødsituasjoner, hvis en ulykke skulle inntreffe.

Risikoanalysen baseres på følgende tre hovedaktiviteter:

1. Identifisering av risikofaktorer.

2. Ulykkesforebyggende tiltak i driftsfasen.

3. Beredskap for nødsituasjoner.

Det er stor forskjell mellom ulykkesforebyggende tiltak og beredskap for nødsituasjoner. Ulykkesforebyggende tiltak er en del av det daglige arbeidet og blir dermed ofte rutinemessige. Ulykkesberedskap er noe som må forberedes for å kunne fungere øyeblikkelig når en nødsituasjon inntreffer. I jernbanesektoren er sikkerhetstenkningen fokusert på forebyggende tiltak.

8.3.1 Omfang og metode

Hensikten med en risikoanalyse er å fange opp så mange tenkbare ulykkessituasjoner som mulig med de forutsetninger som gis for hver enkelt bane. Dette innebærer at man må ha et helhetssyn på oppgaven som omfatter så vel infrastruktur som materiell og trafikk. Kravet til helhetsoversikt innebærer at man må ha informasjon, ikke bare om infrastruktur, materiell og trafikk, men også om organisasjon, kontrollsystem, teknikk og miljø.

Metoder for hvordan en risikoanalyse skal foretas bør ikke fastlegges i prosedyrer eller lignende. En risikoanalyse kan enten være kvalitativ eller kvantitativ, avhengig av tilgjengelig informasjon og den aktuelle problemstilling. Metoder som Hazop, feiltreanalyse, hendelsestreanalyse, FMEA, human failure analysis osv. velges ut fra den aktuelle problemstillingen og analyselagets erfaring. Det er imidlertid viktig at man klart definerer problemstillingene og innhenter tilgjengelig kompetanse og ressurser til analysearbeidet.

8.3.2 Risikoidentifisering på Rørosbanen

Identifisering av risikofaktorer er en oppgave som krever fantasi og kunnskap. Ulike risikofaktorer for passasjerer og togpersonell, materiell og gods skal tas frem og sammenlignes. En slik risikoidentifisering må ta utgangspunkt i en beskrivelse av infrastruktur, materiell og trafikk, samt en standardisert liste over de erfaringsmessig vanligste risikofaktorer.

I jernbanen er risikoidentifiseringen i utgangspunktet gitt. I en risikoanalyse av den enkelte bane bør man således konsentrere risikoidentifikasjonen om lokale forhold som sporstandard med over- og underbygging, signalanlegg, tele- og datasystem samt strømforsyning – alt avhengig av den aktuelle situasjon.

På Rørosbanen gir følgende forhold de lokale forutsetninger for en risikoanalyse:

• Sporstandard med tresviller og skiltet tillatt hastighet på maks 130 km/t. Banen er enkeltsporet med kryssingsspor på stasjonene.

• Signalanlegget består av sikringsanlegg på stasjoner, linjeblokk uten isolerende sporfelt med sistevognskontroll (halemagnet), veisikringsanlegg og fjernstyring av sikringsanlegg fra togledersentralen på Hamar.

• Kommunikasjonssystemet består av blokktelefon som kun kan benyttes når toget står stille og lokomotivføreren går frem til blokktelefonposten. Togene er utstyrt med mobiltelefoner som ikke anses å være en del av sikkerhetssystemet.

• Rørosbanen er ikke elektrifisert og trafikkeres derfor med dieseldrevne tog.

Utfra disse forhold kan man identifisere flere ulike ulykkessituasjoner. Vi avstår fra denne prosess her og nøyer oss med å konstatere at samtlige tradisjonelle jernbanerisiki er mulige med følgende kommentar:

• Avsporing er mulig. Man bør undersøke om det finnes noen spesielle strekninger med dårlig sporjustering, samt hvilken type materiell som trafikkerer banen.

• Sammenstøt er mulig. Enkeltspor med sikringsanlegg på stasjonene og linjeblokk er en tradisjonell form for togdrift. Den siste større endringen på banen var innføringen av fjernstyring, samt fjerningen av togekspeditørene på stasjonene. De nye trafikksikkerhetsbestemmelsene fra 1997 omfatter en ny avgangsprosedyre som innebærer at lokomotivføreren alene skal observere utkjørssignal før avgang og at konduktøren skal konsentrere seg om passasjerenes sikkerhet på plattformen. Banen er ikke utstyrt med ATC.

• Brann er mulig. Dieseldriften innebærer at brannrisikoen er høyere enn for elektrifisert drift.

• Ulykker i planoverganger er mulig da vi har et flertall slike langs banen.

Totalt kan man si at sannsynligheten for sammenstøt og brann synes å være høyere enn for gjennomsnittsbanen. Gjennomførte endringer med fjernstyring og inndragelse av togekspeditører, samt den endrede avgangsprosedyren indikerer endringer som burde vurderes i en risikoanalyse.

8.3.3 Ulykkesforebyggende tiltak på Rørosbanen

I dette kapitlet diskuteres bare ulykkessituasjonen kollisjon. Kollisjoner skal forhindres gjennom forebyggende tiltak. Det skal finnes tiltak som gjør at sannsynligheten for at en feil kan føre til kollisjon reduseres mest mulig. Videre skal det finnes systemer eller prosedyrer som gjør at slike feil oppdages. I tillegg skal det være systemprosedyrer på plass som sikrer at feilen håndteres før kollisjonen er et faktum.

Innenfor sikkerhetsteknikken benyttes ofte uttrykket «barriere». Enkeltfeil skal ikke lede til alvorlige ulykkessituasjoner og barrierene er til for å forhindre et slikt hendelsesforløp. Dette er en grov forenkling av den kompleksitet man har når det gjelder jernbanesikkerheten, men den kan være anvendelig for å få et oversiktsbilde. Prinsippet om at en enkeltfeil ikke skal lede til en ulykke er vanlig på de fleste tekniske områder, og kan som oftest gjenfinnes i sikkerhetslovgivning og forskrifter.

Forebygging omfatter signalsystem, lokomotivførerutdannelse, materiell etc.

Oppdage omfatter et system for detektering og alarmering (visuell alarm eller lydalarm på togledersentralen), ATC-baliser etc.

Håndtere omfatter et system for å tilbakeføre situasjonen til normal tilstand etter at en ulykkessituasjon er oppdaget, men før en kollisjon inntreffer. Eksempler på dette er togradio eller et system som sikrer at togleder får kontakt over mobiltelefon med lokomotivfører, ATC-utstyr mv.

Forebygging utgjøres av primære sikkerhetsbarrierer, mens oppdagelse og kontroll utgjøres av sekundære. En primær barriere skal forhindre eller minske sannsynligheten for å miste normal kontroll. En sekundær barriere er en beredskap som skal tre i funksjon når man har mistet normal kontroll.

For at en kollisjon ikke skal skje på Rørosbanen må et tog vente på et sted der kryssing kan skje, mens det kryssende toget må ledes inn på det andre sporet. Hvis det tog som skal vente av en eller annen grunn kjører ut på sporet mot et møtende tog, må denne situasjonen oppdages og håndteres før kollisjonen inntreffer.

8.3.4 Håndtering av nødsituasjoner på Rørosbanen

Innenfor den konsekvensreduserende sikkerhetsteknikken arbeider man på samme måte som nevnt i forrige kapittel. Grunnlaget for denne teknikken er å forebygge ved å skape tekniske systemer som er forberedt på de ulykkesbelastninger som dukker opp ved kjente ulykkessituasjoner. Det er her snakk om å redusere konsekvensene ved en kollisjon. Kollisjonen skal oppdages så tidlig som mulig gjennom ulike varslingssystemer og rutiner. Når en ulykke først er oppdaget, skal den håndteres på en slik måte at skadevirkningene begrenses.

Å redusere konsekvensene kan man hovedsakelig gjøre på planleggingsstadiet. Vesentlig her er vognenes og dieseltankenes strukturelle holdbarhet og kollisjonsegenskaper, tilgjengelig utstyr for å knuse vinduer og skape fluktveier etc. Andre faktorer vil være brannsikker innredning, brannslukningsutstyr ombord i togene, togpersonalets kompetanse etc.

Å oppdage omfatter et system for å formidle det faktum at en togkollisjon har inntruffet. Her ligger mulighetene hos togpersonell, eventuelle utenforstående observatører og kommunikasjonssystem. Toglederne kan oppdage at togene står stille, i dette tilfelle sogar på samme spor, men kan ikke vurdere ulykken og dens omfang.

Å håndtere omfatter systemer for fluktveier og i dette tilfelle brannslukking. De mest effektive tiltak kan gjøres i løpet av de første 10 minutter etter en ulykke, dvs. i den tiden passasjerer og personell er utlevert til seg selv og sine muligheter, og utstyret i toget.

8.4 Nærmere om enkeltfeil og barrieretenkning

Trafikksikkerhetsprinsippet om at jernbanevirksomheten skal organiseres slik at en enkeltfeil ikke skal føre til tap av menneskeliv eller alvorlig personskade, er inntatt i sikkerhetsforskriften §  6. Prinsippet finner man igjen i enkeltregler, både i forskrifter og trafikksikkerhetsbestemmelser som oppstiller generelle og spesifikke krav til barrierer for sikkerhetskritiske funksjoner. Kravsforskriften har flere bestemmelser som nettopp bygger på en slik sikkerhetstankegang. Det er imidlertid først de siste fem årene man har begynt å arbeide mer analytisk med begrepene enkeltfeil og barrierer i NSB BA og Jernbaneverket.

Innenfor faget risikoanalyse har man benyttet barrieretenkning og enkeltfeilprinsippet i mange år. Både i DnVs rapport fra 1990 «Gjennomgang av sikkerhetsreglement og rutiner vedrørende statens jernbanedrift» og en SINTEF rapport fra 1998 «Granskning av trafikksikkerhetsbestemmelser» drøftes for eksempel hvor effektivt mennesket er som barriere.

DnV anbefaler i sin rapport at:

«Innen 1995 bør ATS bli standard på alle fjernstyrte strekninger og utbyggingen bør prioriteres i henhold til strekningens togtetthet og stasjonenes kryssingsintensitet».

Se nærmere om dette i kap 8.7.

Bakgrunnen for anbefalingen er i rapporten presentert under rubrikken «automatisk togstopp»:

«Ved kjøring på fjernstyrt strekning med automatisk linjeblokk skjer normalt ordregivning angående togets fremføring, dvs. innkjøring til stasjoner og ut på linjen ved hjelp av lyssignaler som er plassert langs sporet. Med fjernstyring og linjeblokk er risikoen for at det skal stilles feil signaler redusert betraktelig, men sikkerheten er blitt mer avhengig av lokomotivførernes aktpågivenhet, korrekte oppfatning av signaler samt etterfølging av disse. En svikt her kan få katastrofale følger. For å gjøre sikkerheten mindre avhengig av lokomotivførernes korrekte situasjonsoppfatning er det nå på de fleste fjernstyrte strekninger installert automatisk togstopp (ATS). NSB har vært forholdsvis tidlig ute med å ta i bruk ATS.»

SINTEFs rapport, hvis formål var å sammenligne de nye trafikksikkerhetsbestemmelsene med de gamle, vurderte også behovet for ytterligere fremtidige sikkerhetstiltak. Rapporten konkluderer med at manuelle prosedyrer er beheftet med vesentlig større usikkerhet enn tekniske barrierer og gir følgende begrunnelse for dette:

«Det er mindre sannsynlig at ytterligere forbedring av TSBer (Trafikksikkerhetsbestemmelsene) alene vil gi store sikkerhetsmessige forbedringer. Det kan være nødvendig å innføre løsninger hvor man ikke er så avhengig av den menneskelige faktor under regulær operasjon. Dette betyr at man må søke å fjerne mennesket fra de prosesser der misforståelser, forglemmelser, uoppmerksomhet, mm kan ha katastrofale konsekvenser, og heller benytte mennesket på den måte som det er best egnet til. Dersom man av andre grunner fortsatt vil beholde mennesket i de kritiske styringssløyfer må man bygge sikkerhetsbarrierer rundt for å fange opp menneskelig feiling.»

Under Kommisjonens høringer ble alle ledere og/eller trafikksikkerhetsansvarlige i Jernbaneverket og NSB BA spurt om de kjente til prinsippet om enkeltfeil og barrierer, og sikkerhetstenkningen disse begrepene bygger på. Samtlige var kjent med begrepene. Det varierte imidlertid forholdsvis sterkt hvor lenge og i hvilken grad de hadde kjent til disse. Som tidligere nevnt har NSB BA etter Kommisjonens oppfatning bedre kjennskap til begrepene og har kommet vesentlig lengre i å implementere prinsippet enn Jernbaneverket. For begge aktørene gjelder imidlertid at prinsippet ennå ikke brukes i praksis som underlag for systematisk sikkerhetsarbeid på alle områder.

8.5 Oppsummering

Jernbaneverket støtter seg tungt til det regelstyrte hendelsesbaserte systemet, men selv om Jernbaneverket mener å ha et hendelsesbasert system, er det tvilsomt om dette fungerer når det er et faktum at 10 år gamle anbefalinger med høy prioritet ennå ikke er gjennomført.

NSB BA har siden 1996 utarbeidet et risikobasert styringssystem som gjenfinnes i dokumentasjon og rutiner. Dette systemet er utarbeidet under innføring av ny infrastruktur og nytt materiell. I den daglige virksomheten med tradisjonell togdrift, er det nye systemet imidlertid ikke implementert.

Jernbanetilsynet er en klar representant for en risikobasert sikkerhetsstyring. Tilsynet har begynt å stille krav til Jernbaneverket og NSB BA basert på denne sikkerhetstenkningen som ved starten stort sett var ny for aktørene. I de første årene hadde man store vanskeligheter med å kommunisere denne form for sikkerhetsstyring til Jernbaneverket og i noen grad til NSB BA, jf. kap. 8.9.

Den 4. januar 2000 var situasjonen på Rørosbanen at man hverken kunne oppdage eller håndtere det faktum at to tog befant seg på kollisjonskurs. Mangelen på en tydelig alarm på togledersentralen kombinert med mangelen på sikre kommunikasjonsmuligheter til lokomotivførerne i ulykkestogene gjorde at ulykken ikke kunne forhindres når det nordgående toget hadde kjørt opp sporveksel 2 på Rudstad og startet kjøringen nordover.

Uavhengig av årsaken til at det nordgående toget feilaktig passerte utkjøringssignalet på Rudstad, skulle en kraftig alarm og en rask kommunikasjonslinje gitt de nødvendige forutsetningene for togleder til å forhindre ulykken.

Hadde man hatt ATC og togradio på strekningen kunne ATC-en ha stoppet toget, forutsatt et det ikke var en feil i signalanlegget. Skulle ATC-en av en eller annen grunn ikke ha fungert, skulle en alarm i kombinasjon med togradio gitt de nødvendige forutsetningene for toglederne til å forhindre ulykken. Det er på det rene at Rørosbanen 4.  januar 2000 var den banestrekningen i Norge med færrest forebyggende sikkerhetstiltak.

Den tradisjonelle, regelstyrte og hendelsesbaserte sikkerhetsstyringen har blitt utilstrekkelig på grunn av en stadig hurtigere introduksjon av nytt materiell og nye banestrekninger som skal samordnes med tradisjonell togdrift. Samtidig har aktørene ennå ikke tilstrekkelig forståelse og erfaring med risikobasert sikkerhetsstyring.

Det er således Kommisjonens oppfatning at utviklingen av systemer for proaktiv sikkerhetsstyring som er igangsatt bør være en balanse mellom det gamle regelstyrte systemet og bruken av risikoanalyser. I første rekke bør risikoanalyser benyttes for å etablere en analytisk kunnskapsbase vedrørende store ulykker og hvordan disse kan forebygges. Denne prosessen bør gjentas hvert 3–5 år. I tillegg bør risikoanalyser brukes for å analysere hvilke konsekvenser en endring får.

Jernbaneverket bør i denne overgangsperioden først og fremst bruke erfaringene fra egen virksomhet samtidig som de bør være åpne for impulser fra andre virksomhetsområder.

8.6 Sikkerheten i praksis – illustrert gjennom tre eksempler

Som nevnt innledningsvis i dette kapitlet vil Kommisjonen illustrere sider ved sikkerheten, slik den har fungert i praksis, ved å gjennomgå tre ulike spesifikke saker som Kommisjonen har vært særlig opptatt av i forbindelse med ulykken. Det gjelder utbyggingen av ATC og togradio som da ulykken skjedde fortsatt ikke var gjennomført på Rørosbanen, lydalarm som ikke var installert på togledersentralen på Hamar og innføring av endret avgangsprosedyre som ble gjennomført i 1997.

8.7 ATC og togradio

Som vi flere ganger har vært inne på foran har installering av ATC, og også togradio på fjernstyrte strekninger vært ansett som vesentlige sikkerhetstiltak i moderne togdrift. En nærmere beskrivelse av ATC og togradio finnes i kap. 4.1.

I dag har alle fjernstyrte strekninger i Norge, med unntak av Rørosbanen installert ATC, jf. figur 8.4. Togradio fins i dag likeledes på alle fjernstyrte strekninger utenom Rørosbanen og strekningen Trondheim – Grong på Nordlandsbanen. Det må anses svært sannsynlig at ulykken 4. januar ikke hadde skjedd om Rørosbanen hadde hatt ATC og togradio. Dersom ATC hadde vært installert og i funksjon, og signalanlegget fungerte normalt, ville nordgående tog blitt stoppet automatisk dersom det hadde passert utkjørssignalet i stopp på Rudstad stasjon. Med lydalarm installert på togledersentralen ville togleder under enhver omstendighet raskt fått kontakt med lokomotivfører om det hadde vært installert togradio.

Etter Trettenulykken i 1975, da to tog kolliderte etter at det ene feilaktig hadde kjørt ut på sporet, konkluderte NSBs interne uhellskommisjon med at:

«Ulykker som denne kan formodentlig bare avverges om det innføres automatisk tvangsbremsing ved kjøring forbi stoppsignal.»

Installering av ATC på norske banestrekninger ble påbegynt i 1980. Pr. 1. januar 1990 hadde følgende fjernstyrte strekninger ATC: Oslo – Charlottenberg, Oslo – Trondheim (over Dovre), Oslo – Kornsjø, Oslo – Bergen, Asker – Stavanger, Hokksund – Hønefoss og Narvik – Bjørnfjell.

8.7.1 ATC på alle strekninger og togradio anbefalt av DnV i 1990

Departementet engasjerte i 1989 DnV for å gjennomgå sikkerheten i norsk jernbanevirksomhet. Bakgrunnen var ifølge det som kom frem under Kommisjonens høringer at Departementet ønsket å se nærmere på hvordan interntilsynet, både for sporvei og jernbane fungerte. Som tidligere påpekt ble Statens jernbanetilsyn først etablert i 1996.

DnVs rapport ble overlevert til Departementet i 1990. Den stilte spørsmål ved noen av NSBs prioriteringer og fremsatte bl.a. følgende anbefaling:

«Innen 1995 bør ATS bli standard utrustning på alle fjernstyrte strekninger og utbyggingen bør prioriteres i henhold til strekningens togtetthet og stasjonens kryssingsintensitet.»

Rapporten tok også opp togradio:

«Utbyggingen av togradio mener vi er meget gunstig for sikkerheten og bør prioriteres.»

Det ble i rapporten opplyst at systemet var ferdig utviklet og at NSB hadde planlagt en full utbygging på alle fjernstyrte hovedstrekninger innen 1998.

Departementet sendte rapporten til NSB 5. september 1990 og ba om kommentarer og planer for oppfølging. NSBs administrasjon foretok en grundig gjennomgang av DnVs rapport, innhentet uttalelser fra fagforeningene og kommenterte de enkelte forslag i notat av 13. februar 1991. NSBs styre sluttet seg i styremøte 5. mars 1991 til administrasjonens kommentarer og disse ble sendt fra trafikksikkerhetssjefen til Departementet 11.  mars. NSB uttrykte følgende i oversendelsesbrevet:

«Det har vært bred enighet om – og også en forutsetning – at ATS skal være standard utrustning på alle fjernstyrte strekninger, hvilket vil være fullført innen 1995.»

Når det gjaldt togradio var NSB også enig i DnVs vurdering.

11. juni 1992 tok Departementet igjen kontakt med NSB og ba om en orientering om fremdriften. ATC på Rørosbanen ble spesielt nevnt i NSBs svar av 18. august 1992:

«Rørosbanen og Østfoldbanens østre linje planlegges utbygd innen utgangen av 1995.»

Vedlagt brevet fulgte kart som viste ferdigstillelse av ATC og togradio på de ulike strekninger ved planlagt, og for togradio eventuelt forsert, fremdrift. Av kartene fremgår at ATC på hele Rørosbanen var planlagt ferdig til 1995. Togradio var for alle hovedstrekninger planlagt til 1997, men kunne forseres til 1995.

Redegjørelsen til Departementet ble også fulgt opp i NSBs budsjetter og i Departementets budsjettproposisjoner og jernbaneplaner som ble behandlet i Stortinget, jf. pkt. 8.7.2. Lysakerulykken 16. april 1990 ga aktørene en påminnelse om viktigheten av ATC. Ulykken og DnV-rapporten medvirket til at NSB i sine budsjettinnspill, og deretter Departementet i statsbudsjettet for både 1992 og 1993 gikk inn for å sette av midler til en forsert utbygging av ATC.

8.7.2 Behandling av Rørosbanen i Norsk jernbaneplan og budsjetter frem til 1993

Norsk jernbaneplan 1990–93 ble vedtatt før DnVs sikkerhetsgjennomgang. Planen hadde et sterkt fokus på det nye økonomiske styringssystemet, ny organisering og behovet for effektivisering. I denne planen ble det satt av midler til fjernstyring (CTC) på Rørosbanen. Planen ga videre midler til ATC på hovedbanene.

Planen 1990–93 omhandlet også togradio og pekte på at installering av slik ville øke sikkerheten ytterligere. Full utbygging av hele nettet ville på dette tidspunkt koste 118 mill. kr. I planen ble det bare satt av midler til utbygging i Oslo-regionen.

Jernbaneplanen ble noe endret ved behandlingen av statsbudsjettene i planperioden. For 1991 ble det gitt tilleggsbevilgninger både i forbindelse med OL på Lillehammer og til utbygging av Gardermobanen. Budsjettet omtalte ATC i Oslo-regionen og at togradio skulle prioriteres i Oslo-regionen samt på Østfold- og Dovrebanen. Når det gjaldt Rørosbanen ble det bare nevnt at utbyggingen av vedlikeholdsradio skulle fortsette.

I statsbudsjettene for 1992 og 1993 foreslo Departementet som nevnt en forsert utbygging av ATC. I 1993 ble både ATC og togradio på Rørosbanen eksplisitt nevnt:

«Arbeidet på Rørosbanens og Østfoldbanens østre linje er under forberedelse. Det norske Veritas har vurdert sikkerheten i de signaltekniske anlegg etter Lysakerulykken og anbefalt en forsert utbygging av ATS. Dette medfører noe omprioriteringer i forhold til planrammen i NJP 1990–93».

«Strekningsvis utbygging av togradio ble startet i 1991. Det legges nå opp til en forsert utbygging hvor hovedstrekningene fullføres i 1994. I 1993 prioriteres Dovrebanen, Østfoldbanen, Vestfoldbanen og deler av Bergensbanen. Utbygging på Rørosbanen og Østfoldbanens østre linje er under forberedelse.»

Stortinget ble begge år anbefalt å godkjenne de nødvendige endringer av jernbaneplanen og budsjettene ble vedtatt.

I NSBs forslag til den påfølgende jernbaneplanen «Ny kurs for jernbanen» fra 1992 ble det foreslått avsatt 28 mill. kr. til ATC på Rørosbanen. I Norsk jernbaneplan (1994–97) ble dette fulgt opp.

Når det gjaldt installering av togradio la planen opp til en noe senere utbyggingstakt på hele Rørosbanen enn vedtatt i statsbudsjettet for 1993.

8.7.3 NSBs og Jernbaneverkets interne planlegging og gjennomføring

Installering av ATC og togradio forutsatte selvsagt at NSB internt planla og la til rette for de tiltak som var vedtatt. NSBs plan var at ATC skulle følge utbyggingen av fjernstyring. Fjernstyring på strekningen Hamar – Røros var ferdig installert i desember 1994. Region Nord ble imidlertid først ferdig med hovedplanen for ATC på Rørosbanen i november 1995. Hovedplanen ble sendt på høring og den reviderte hovedplanen var ferdig i mai 1996 og endelig vedtatt av Jernbaneverket i april 1997. Dette var altså to år etter at ATC, i henhold til DnVs anbefaling og NSBs egen anbefaling med tilslutning fra Departementet og Stortinget, skulle ha vært på plass.

Det ble etter hvert klart at Gardermobanen med nødvendige tilleggsinvesteringer i det eksisterende jernbanenettet medførte at tidligere prosjekter som ATC på Rørosbanen ble skjøvet ut i tid. Det ble ikke foretatt noen risikoanalyse hverken av endringen som sådan eller av hvilke konsekvenser det ville ha at man hadde innført fjernstyring, men ikke innførte ATC slik både DnV og NSB selv hadde understreket viktigheten av. Det ble heller ikke foreslått kompenserende tiltak for å hensynta dette. Under Kommisjonens høringer ble det bekreftet at heller ikke Departementet fulgte opp at ATC-utbyggingen ble utsatt. Tvert imot svekket Norsk jernbaneplan 1998–2007 tidligere vedtak med følgende uttalelse:

«Tilrettelegging for ytterligere effektivisering av togdriften gjennom fortsatt utbygging av CTC, togradio og ATC på strekninger der dette er lønnsomt.»

Og videre:

«Rørosbanen er utbygd med fjernstyring av togtrafikken mellom Hamar og Røros. På noe sikt vil det være behov for utbygging av ATC på denne strekningen.»

Her ble lønnsomheten et tema uten at sikkerheten ble nevnt. Imidlertid var det klart for alle at ATC var et sikkerhetstiltak med sterk avhengighet til fjernstyrte strekninger. Uten ytterligere risikobetraktninger eller risikoanalyse av Rørosbanen spesielt, la man til grunn at på tross av at fjernstyring av togtrafikken var innført på Rørosbanen kunne ATC utsettes. Dette fikk den konsekvens at utbygging av ATC ikke lenger fikk budsjettmessig dekning.

Den eneste instans som synes å ha reagert på ytterligere utsettelse av ATC-utbyggingen var NSBs trafikksikkerhetskontor. I følge referat fra konsernledermøter av 23.  oktober og 18.  desember 1995, tok daværende trafikksikkerhetssjef Harald Dammen ved to anledninger opp manglende ATC på Rørosbanen. Både daværende konsernsjef i NSB Osmund Ueland og daværende infrastrukturdirektør Magne Paulsen var i følge referatene tilstede. I et notat av 22. oktober 1996, undertegnet av Dammen til Infrastruktur ved Paulsen, advarte sikkerhetskontoret mot den foreslåtte prioritering. Notatet uttrykte at det snarest burde legges opp til en strategi for utbygging av samtlige fjernstyrte strekninger til fullstendige utrustede ATC-områder. Notatet nevnte behovet for utbygging på Rørosbanen eksplisitt. Sikkerhetskontoret så dette i sammenheng med den foreslåtte endringen i avgangsprosedyren, som vi kommer tilbake til i kap 8.9, og de nye trafikksikkerhetsbestemmelsene som på dette tidspunkt var under utarbeidelse.

Da intet skjedde sendte trafikksikkerhetskontoret,  som  nå  var overført til Jernbaneverket ny henvendelse til daværende jernbanedirektør Magne Paulsen 2. oktober året etter. I notatet står det bl.a.:

«Sett i lys av det fokus som er satt på manglende ATC på Rørosbanen i forbindelse med de nye trafikksikkerhetsbestemmelsene, etterlyses strategi for utbygging av samtlige fjernstyrte strekninger til fullstendig utrustet ATC.»

Notatet fra 1996 fulgte med som vedlegg. Ifølge Thor Haug som hadde ført notatet i pennen ble dette gjort fordi man så at Rørosbanen var det eneste stedet hvor sikkerheten var så dårlig.

Daværende konsernsjef i NSB, Ueland, kunne ikke huske at han hadde fått Dammens notat fra 1996. Han forklarte overfor Kommisjonen at han var overbevist om at konsekvensene av det som ble prioritert vekk ble vurdert, og sa at det ikke var noen uenighet i organisasjonen om den omprioritering som ble foretatt. Han hevdet at ingen i organisasjonen hadde sagt at omprioriteringene ikke kunne gjøres, og at man nå ikke kunne vente lenger med å installere ATC. Han hevdet videre at det var en klar vurdering i organisasjonen at man hadde et trygt og godt opplegg. På spørsmål fra Kommisjonen om sikkerheten etter hans syn var god nok på Rørosbanen 4. januar 2000, forklarte Ueland at det med sikkerhet for ham var enkelt; enten var det trygt å kjøre tog og da gikk togene eller så stod togene stille. Han hevdet at han sammen med flere andre hadde levd i den tro at det hadde vært trygt å kjøre tog på Rørosbanen.

Kommisjonen har ikke kunnet finne noen behandling av sikkerhetssjef Dammens notat i styrereferater, referater fra konsernledermøter eller annen dokumentasjon Kommisjonen har fått tilgang til. I Kommisjonens høringer var det ingen som husket at notatet ble behandlet, selv om flere av vitnene satt sentralt plassert i forhold til disse spørsmålene på den tiden. Det var flere som uttalte at planene om ATC-utbyggingen bare kokte bort i forbindelse med de store investeringene og budsjettoverføringene til OL og Gardermobane-utbyggingen. Det ble fra tidligere regionsjef i region Nord og Øst og senere banedirektør og assisterende jernbanedirektør, Åge Lien, gitt uttrykk for at ledelsen i NSB Bane mente at sikkerhetsnivået på jernbanen var høyt og hadde et fullverdig nivå. Manglende ATC var ett unntak fra dette og derfor ble ATC besluttet utbygget. På bakgrunn av at ATC innebar et faktisk løft av et etablert sikkerhetsnivå som generelt var oppfattet som høyt, ble investeringen i følge Lien likevel ikke gitt høyere budsjettmessig prioritet i sluttbehandlingen enn det som her har vist seg. Nye tiltak som ATC og togradio representerte med andre ord forbedringer, men ikke nødvendigheter.

8.7.4 Oppsummering

Årsaken til at ATC ikke ble utbygget innen 1995 som planlagt og heller ikke var ferdigstilt 4. januar 2000 skyldes antagelig flere forhold. Dels at NSB ikke klarte å ferdigstille interne planer mens ATC stod høyt oppe på budsjettene, og dels at overføringene til Gardemobanetilknyttede prosjekter senere ga ATC budsjettmessig dårligere behandling.

Poenget Kommisjonen ønsker å få frem her er ikke først og fremst det faktum at planene ble endret. Det kan og vil skje slike endringer med mer eller mindre gode begrunnelser også i fremtiden. Det vesentlige er imidlertid hvilke systemer organisasjonen har for at en slik endring oppdages, vurderes sikkerhetsmessig og at vurderingen så tas på alvor. Det er på det rene at NSB og Jernbaneverket ikke hadde et system som fanget opp, tok på alvor og gjorde noe med en så sikkerhetsmessig vesentlig endring som utsettelse av ATC-utbyggingen i flere år var.

Som tidligere påpekt tilsier moderne sikkerhetstenkning at det i et tilfelle som nevnt må foretas en risikoanalyse for å identifisere hva dette nærmere vil innebære, og for å se om kompenserende tiltak vil være nødvendig og eventuelt tilstrekkelig. Det vises til kap. 8.3 som analyserer risikobildet på Rørosbanen slik det ville fremstått om man hadde gjort en risikoanalyse. Det ville da blitt klart at det ikke forelå noen barrierer utover signalanlegget. Det betydde at en enkeltfeil på Rørosbanen ville være nok til at det kunne skje en alvorlig ulykke. Det ble imidlertid ikke foretatt noen slik risikoanalyse. Uttalelsene om at sikkerheten i utgangspunktet var tilfredsstillende og at man derfor ikke behøvde å vurdere en endring som bare gikk på å øke sikkerheten, er symptomatisk for den sikkerhetstenkning som ble presentert for Kommisjonen av både NSB BAs og Jernbaneverkets representanter.

For øvrig vil Kommisjonen påpeke at Jernbanetilsynet, etter at dette ble opprettet i 1996, heller ikke fulgte opp den vedtatte utbyggingen av ATC utover å be om en ny plan i forbindelse med Jernbaneverkets ønske om å innføre en ny avgangsprosedyre. Tilsynet var klar over at ATC manglet på Rørosbanen da den nye avgangsprosedyren ble innført på alle baner, også Rørosbanen, i 1997. Som vi skal komme tilbake til godkjente Tilsynet aldri formelt avgangsprosdyren, men Tilsynet satte ingen særlige betingelser for adgangen til å trafikkere Rørosbanen, selv om den var særlig utsatt.

8.8 Lydalarm på togledersentralene (akustisk alarm)

Såkalt akustisk alarm eller lydalarm på Hamar togledersentral er et annet tiltak som antakelig kunne ha forhindret ulykken på Åsta, i hvert fall om kommunikasjonen med togene hadde vært sikret gjennom togradio eller skikkelige regler for togledernes mottak og oppbevaring av mobiltelefonnummer, jf. pkt. 3.4.4 og 6.2.3. På togledersentralen på Hamar er det ingen lydalarm eller annen form for tydelig varsling om at en farlig situasjon har oppstått. Alle typer feil meldes til togleder gjennom en rød tekst i et smalt felt nederst på skjermen. Meldingen som kom opp på togleder Nybakkens skjerm 4. januar 2000 lød som følger:

«V2 – VEKSELKONTROLL MANGLER RUDSTAD»

Meldingen ble vist med 16 millimeter høye røde bokstaver nederst på skjermen. Figur 3.7 illustrerer hvordan en slik feilmelding ser ut på togleders skjerm.

Det gikk mellom tre og tre og ett halvt minutt før togleder ble oppmerksom på meldingen som han umiddelbart forstod betydde at nordgående tog hadde forlatt Rudstad stasjon og var på kollisjonskurs med sydgående tog. Som vi vet rakk togleder ikke å varsle togene i tide. Hadde det vært installert lydalarm eller lignende form for varsling ville togleder umiddelbart blitt gjort oppmerksom på at noe alvorlig var i ferd med å skje på Rørosbanen da sporveksel 2 ble kjørt opp. Han ville da hatt mer enn fire minutter til å varsle togene før kollisjonen inntraff.

Det foreligger ingen regler som pålegger togleder å overvåke skjermene kontinuerlig, jf. pkt. 6.3.3.1. Uten slike regler blir en feilmelding på skjermen som nevnt åpenbart ikke tilstrekkelig for å avverge en ulykke når en farlig situasjon oppstår. Jernbaneverket har i en rapport utarbeidet etter Åsta-ulykken, som vi kommer tilbake til i pkt. 8.8.3, opplyst at togleder i gitte situasjoner kan ha oppmerksomheten borte fra toggangen på en bane i perioder på inntil fem minutter ad gangen.

8.8.1 Trettenulykken i 1975

Etter Trettenulykken i 1975 ble innføring av akustisk alarm på togledersentralene diskutert internt i NSB. Akustisk alarm ble installert på togledersentralen i Narvik i 1976. Den aktiveres umiddelbart etter at et tog har passert et innkjør- eller utkjørssignal som viser stopp. Bergen togledersentral har hatt akustisk alarm for varsling av forskjellige feil siden 1976/77. En differensiert alarm med varsling ved passering av innkjør- eller utkjørssignal i stopp er bygget ut suksessivt gjennom 1980 og 90-tallet. De øvrige seks togledersentralene i landet har ikke lydalarm.

Etter innføringen av lydalarm i Narvik og Bergen har ikke Kommisjonen kunnet spore noen diskusjon rundt installering på de andre togledersentralene før NSB i 1990 ba om et tilbud på akustisk alarm for Hamar togledersentral fra Alfa-Laval/SattControll. Det ble gitt et tilbud som innebar en kostnad på ca. kr. 36.000,- eks. mva. Kommisjonen har ikke kunnet bringe på det rene hvorfor NSB ikke fulgte opp tilbudet.

I 1990 ble NSB invitert til å delta i en større såkalt menneske-maskin-studie om kontrollromsvirksomhet ved Forskningsparken i Oslo. Arbeidsforholdene på Hamar og Oslo togledersentraler ble undersøkt i et forprosjekt. Kjøring mot signal i stopp ble vurdert som den alvorligste feil en togleder skal håndtere. Siden toglederne ikke kontinuerlig ser på skjermene, anbefalte Forskningsparken i 1991 innføring av akustisk alarm. I hovedprosjektet ble anbefalingen gjentatt.

Kommisjonens inntrykk fra høringene er at rapportens anbefaling om innføring av akustisk alarm ikke har vært særlig godt kjent i NSB. Årsaken til dette er ukjent, men tyder på kommunikasjonssvikt.

8.8.2 Nordstrandulykken i 1993

Etter Nordstrandulykken i 1993, der togleder ikke rakk å gi møtende tog beskjed om det andre togets bremseproblemer, ble spørsmålet om innføring av akustisk alarm igjen tatt opp. NSBs interne uhellskommisjon kom med følgende anbefaling:

«Det må vurderes om det er teknisk mulig å legge inn akustisk varsling til togleder ved utilsiktede bevegelser på fjernstyrt strekning».

SINTEF ble engasjert for å foreta en uavhengig analyse av ulykken. SINTEF fant at manglende akustisk alarm på togledersentralen i Oslo var blant de seks viktigste sikkerhetsproblemer som medvirket til ulykken. Togleder som var opptatt med andre ting, oppdaget ikke at skifteloket kjørte i gal retning og fikk dermed ikke varslet møtende lokaltog i tide. SINTEF anbefalte derfor innføring av differensiert akustisk alarm på togledersentralene. Denne rapporten kom i 1994.

Før SINTEFs rapport forelå, ba imidlertid Servicedivisjonen i NSB om at Baneregion Øst utarbeidet et forslag til teknisk løsning på en akustisk alarm. Forslaget forelå i desember 1993 og gjaldt en differensiert alarm for passering av hovedsignal i stopp. Baneregion Øst fikk tilbud fra ABB Signal i Stockholm. Prisen var ca. kr. 300 000,- eks. mva. pr. anlegg.

NSBs konsernledermøte vedtok 6. desember 1993 at oppfølgningen av Nordstrandulykken skulle foregå i NSBs sikkerhetsforum. Her deltok daværende administrerende direktør Kristian Rambjør, andre berørte toppledere og faglige sikkerhetsmedarbeidere. Status for de ulike tiltak ble behandlet i hvert møte. At akustisk alarm ennå ikke var innført, ble spesielt nevnt i referat fra et møte 3. juni 1994. Servicedivisjonen fikk ansvaret for oppfølgningen. Sikkerhetsforum ble imidlertid nedlagt kort tid etterpå og det ble besluttet at den videre oppfølgning av akustisk alarm skulle ivaretas av trafikksiden i NSB. Så vidt Kommisjonen har kunnet bringe i erfaring gjennom den dokumentasjonen den har hatt tilgjengelig har denne oppgaven ikke blitt ivaretatt. Saken ble åpenbart heller fulgt opp på en forsvarlig måte av ledelsen.

Seksjonsleder Jon Gunnar Maridal i Jernbaneverket opplyste under høringene at trafikksikkerhetskontoret ikke har arbeidet med saken siden 1995. Av et internt notat fra NSB konsernstab HMS av 22. februar 1995 fremgår følgende:

«Etablering av et pilotprosjekt for utprøving på enkelte strekninger er under vurdering».

Et tilsvarende notat fra 1996 viser at saken fortsatt var til vurdering. Kommisjonen har ikke funnet dokumentasjon som viser at et slikt pilotprosjekt ble gjennomført. Referatene fra NSBs styremøter og konsernledermøter viser at NSB ikke fattet noe vedtak om innføring av akustisk alarm. Det har heller ikke Jernbaneverket gjort etter at ansvaret for togledersentralene ble lagt dit.

8.8.3 Jernbaneverkets rapport etter Åsta- ulykken

Etter Åsta-ulykken nedsatte Jernbaneverket et utvalg for å se på lydalarm ved togledersentralene igjen. Utvalgets rapport forelå 31. mai 2000 og har følgende hovedkonklusjon:

«Konklusjonen på analysen er at man i 10 – 70 tilfeller pr. år må gjøre regning med at tog passerer hovedsignal som viser «Stopp». I de tilfeller som er kategorisert som «Kritisk» (fra en gang pr. år til en gang pr. tiår) er det av utvalgets oppfatning at akustisk alarm vil kunne være med å avverge uønsket hendelse eller redusere konsekvens ved hendelse.

På denne bakgrunn vil utvalget anbefale at Jernbaneverket beslutter at det installeres akustisk alarm i de togledersentraler som i dag ikke har dette utstyret.

Ved innføring av akustisk alarm i Jernbaneverkets togledersentraler, bør det være en forutsetning at man samtidig sørger for full kommunikasjonsdekning mellom togledersentral og tog på alle strekninger.

Utvalget mener at det er en forutsetning at akustisk alarm for et togs passering av signal som viser «Stopp» skiller seg vesentlig ut fra andre lydalarmer som måtte være installert i togledersentralen».

Jernbanedirektør Steinar Killi uttalte under Kommisjonens høringer at dersom de da pågående undersøkelser vedrørende akustisk alarm viste at man kan skille ut de farlige situasjoner, ville han pålegge installasjon av slik alarm ved togledersentralene i Norge. Kommisjonen legger etter dette til grunn at slik installasjon nå er under planlegging og vil bli installert i nærmeste fremtid.

8.8.4 Oppsummering

Innføring av akustisk alarm er en enkel og forholdsvis billig sikkerhetsforanstaltning. Det viste seg imidlertid ved Trettenulykken, Nordstrandulykken og senere ved Åsta-ulykken at et så vidt enkelt tiltak kan ha stor sikkerhetsmessig betydning. Dette ble påpekt av NSB selv i 1975 og fulgt opp ved installasjon på to togledersentraler, men ikke ved de seks øvrige. Etter Nordstrandulykken påpekte SINTEF, som var engasjert av NSB til å foreta en uavhengig analyse av ulykken, at manglende akustisk alarm utgjorde et viktig sikkerhetsproblem. Selvom ledelsen i NSB besluttet å følge opp akustisk alarm skjedde dette ikke, uten at noen i dag kan gi noen forklaring og uten at årsaken kan etterspores i eksisterende dokumenter. Når innhentede ekspertråd ikke fanges opp og følges opp til de er gjennomført, på tross av ledelsens vedtak, må det foreligge alvorlige feil i styringssystemet og sikkerhetsorganiseringen. I dette tilfellet var man klar over at katastrofale konsekvenser av en alvorlig uønsket hendelse kunne unngås. En risikoanalyse av Rørosbanen, som selvsagt bør foreligge for hver enkelt bane, ville avdekket et særlig behov for akustisk alarm her pga. manglende ATC og togradio. I tillegg er Rørosbanen ikke elektrifisert noe som gjør at man ikke kan kutte strømmen i en nødssituasjon.

Historien om akustisk alarm og ATC gjengitt foran viser at gjentatte anbefalinger og planer for så vidt gjelder sikkerhetsmessige viktige forhold ble endret uten at NSB og/eller Jernbaneverket har hatt et system som har oppfanget en slik endring eller utsettelse og håndtert den etter dagens anerkjente metoder for risikotenkning og risikohåndtering. Viktige tiltak som har betydning for sikkerheten i forbindelse med en jernbane i rask utvikling, med store utfordringer med hensyn til høyere fart, ny teknologi og færre mennesker krever at vesentlige tiltak av sikkerhetsmessig karakter må behandles på nytt dersom anbefalingene besluttes ikke å skulle følges opp, planene endres eller ikke gjennomføres.

8.9 Den nye avgangsprosedyren

Tidlig på 1990-tallet tok daværende NSB fatt på en revisjon av deler av sitt trafikksikkerhetsregelverk med sikte på forenkling. Blant annet planla man nye regler for ansvarsfordelingen mellom lokomotivfører og konduktør. Tidligere hadde både lokomotivfører og konduktør hver for seg et ansvar for å kontrollere utkjørssignalet ved persontogs avgang fra stasjon. Nå vurderte man å la lokomotivfører alene ha dette ansvaret.

Etter delingen av NSB ble ansvaret for regelverket overført til Jernbaneverket. I tillegg kom Statens jernbanetilsyn inn som ny tilsynsmyndighet. Endringen av avgangsprosedyren ble ikke godkjent av Jernbanetilsynet, men ble likevel satt i verk av Jernbaneverket og av NSB BA som operatør med virkning fra 1. september 1997.

Prosessen rundt endringen kan illustrere samspillet mellom jernbanens ulike aktører etter delingen og også manglene ved den sikkerhetstenking som har vært rådende i jernbanevirksomheten.

8.9.1 Bakgrunn for å endre avgangs- prosedyren

8.9.1.1 Forenkling og harmonisering av regelverket

Det interne regelverket og prosedyrene i jernbanevirksomheten har vært under kontinuerlig utvikling. På grunnlag av erfaringer etter uhell, samt endringer i teknologi og driftsform har man stadig lagt nye bestemmelser til de gamle. Regelverket fremstår derfor som omfattende og komplisert.

Da DnV gjennomgikk sikkerheten i NSB i 1990, jf. pkt. 8.7.1, ble det blant annet pekt på at hovedbestemmelsene i sikkerhetsreglementet (Trykk 401) var basert på en foreldet driftsform som på de fleste strekninger ikke lenger var i bruk, jf. pkt 8.9.1.2. DnV anbefalte derfor en forenkling og revisjon av regelverket.

Med revisjonsarbeidet fulgte NSB opp dette. NSB ønsket først og fremst et ensartet regelverk for all trafikk i Norge. Ved å gi lokomotivfører eneansvar for togfremføringen og kontroll av signaler også ved avgang, ville en harmonisere ansvaret med den situasjon som gjelder mellom stasjoner, hvor det bare er lokomotivfører som sikkert kan se signalene. Den nye prosedyren ville også gi samme regler for person- og godstrafikk, der lokomotivfører allerede hadde eneansvar for togfremføringen. Oppfatningen var at et entydig og udelt ansvar ville øke sikkerheten, fordi man ville unngå uklarheter og oppsmuldring av ansvarsforholdet mellom lokomotivfører og konduktør.

Videre var NSB og Jernbaneverket opptatt av å harmonisere de norske reglene med det nordiske regelverket, blant annet med sikte på å forenkle kjøring over grensene. Det ble så vidt Kommisjonen kjenner til, ikke foretatt noen vurdering av forskjeller i teknisk standard i de ulike land eller på de ulike norske baner. F.eks. har Sverige ATC på samtlige strekninger, mens Danmark har togradio på alle strekninger, også på de uten ATC. I Norge er den tekniske standarden sterkt varierende på de ulike banestrekninger. Jernbanesektoren har ikke tradisjon for å differensiere trafikksikkerhetsbestemmelsene ut fra driftsart eller de ulike strekningenes tekniske standard.

8.9.1.2 Tilpasning mellom regelverk og driftsform

Tidligere var togfremføringen manuell og stasjonene betjent med togekspeditører som forvisset seg om at sporet var ledig frem til neste stasjon. Konduktør hadde ansvaret for å registrere informasjon fra togekspeditøren vedrørende utkjør fra stasjon og å signalisere klart for avgang til lokomotivfører. Lokomotivfører forholdt seg til de ordre han fikk fra konduktør.

Med fjernstyringen ble togekspeditørens sikkerhetsoppgaver overtatt av sikringsanlegg og togledersentral slik at mange stasjoner ble ubemannet. Konduktørene skulle nå gi avgangssignal til lokomotivfører etter å ha forvisset seg om at hovedsignal utkjør viste klart. Også lokomotivfører hadde ansvar for å kontrollere signalet før avgang. Med denne prosedyren var det to personer som så på utkjørssignal før toget forlot stasjonen. Togleder kunne ha kontakt både med konduktør og lokomotivfører.

Etter å ha gjennomgått sikkerheten i jernbanevirksomheten i 1989/90 anbefalte DnV i tillegg til full utbygging av ATC, jf. kap. 8.7, også en bedre tilpasning mellom regelverk og driftsform. DnV tok i denne sammenheng også opp behovet for å se nærmere på ansvarsfordelingen togpersonalet imellom og anbefalte et klarere skille:

«Togføreren/konduktøren bør ha ansvaret for de reisendes sikkerhet mens lokomotivføreren bør få et klarere ansvar for sikkerheten ved togets fremføring.»

DnV anbefalte også at lokomotivfører fikk eneansvaret for kontakt med togleder for å redusere mulighetene for misforståelser ved at flere ledd var involvert. Ved endringen i 1997 ble denne anbefalingen fulgt.

DnVs forslag til konkret prosedyre synes ikke helt klar med hensyn til om bare lokomotivfører eller også konduktør skulle se på utkjørssignalet. Etter Jernbaneverkets bestemmelser skal imidlertid konduktør ikke lenger ha ansvar for å se på utkjørssignalet. Konduktør skal nå gi signal «avgang» til lokomotivfører etter å ha forvisset seg om at avgangstiden er inne og at alt er klart i forbindelse med passasjerenes av- og påstigning, men uten å kontrollere om utkjørssignalet viser «kjør». Det forelå ikke noen systematisk analyse som basis for valget av en ny avgangsprosedyre. Det finnes både eksempler på at dobbelt ansvar har skapt uklarhet og på at det har bidratt til å avverge ulykker.

NSB og senere Jernbaneverket var imidlertid opptatt av at regelverket ble harmonisert med det regelverket man hadde i Norden for øvrig og av at mange uhell der passasjerer var innblandet, knyttet seg til av- og påstigning. Ved å gi konduktørene ansvaret for passasjerenes sikkerhet og frita dem for fremføringsansvaret mente man at denne typen uhell kunne reduseres. Man ville dermed, slik Jernbaneverkets og NSB BAs daværende felles administrerende direktør Osmund Ueland uttrykte det under høringene, få en større «total sikkerhet». Det ble ikke foretatt noen analyse av de enkelte baner for å få frem om det forelå særlig risiko eller lokale forhold som kunne ha betydning.

Det er på det rene at innføring av tekniske sikkerhetsanlegg og andre tiltak har gjort det mulig å redusere den menneskelige innsatsfaktor i jernbanedriften. Med fjernstyring kunne togekspeditørene rasjonaliseres bort og med ATC kunne lokomotivene gjøres enmannsbetjente. Med den nye avgangsprosedyren ble det i bestemmelsene åpnet for at persontog, etter godkjennelse fra Jernbaneverket, kan bemannes med kun lokomotivfører. Etter Kommisjonens syn kan man ikke se bort fra at denne rasjonaliseringsgevinsten har hatt betydning for ledelsens ønske om å innføre den nye avgangsprosedyren. Det kan heller ikke ses bort fra at de berørte fagforeninger forsvarte egne posisjoner ved sine innspill i diskusjonen, og at synet på endringen var farget av dette.

8.9.2 Prosessen rundt endring av avgangs- prosedyren

Arbeidet med den nye avgangsprosedyren startet tidlig på 1990-tallet, mens selve revisjonsprosjektet «Regelverk for trafikksikkerhet» ble startet opp i november 1995 med NSBs daværende konsernsjef Ueland som ansvarlig og trafikksikkerhetssjefen som prosjektleder. Et prosjektråd fulgte arbeidet og det ble nedsatt egne prosjektgrupper for de ulike områder der reglene skulle endres.

Utviklingen av en ny avgangsprosedyre ble behandlet i delprosjektet «Togførerrollen». I gruppen som arbeidet med dette, deltok representanter for de berørte enheter og også fagforeningene. Gruppen avga sin sluttrapport i februar 1996 og anbefalte her den nye avgangsprosedyren, dog med dissens fra Jernbaneforbundets representant.

Rapporten ble sendt på intern høring i NSB og til fagforeningene. Jernbaneforbundet og Konduktørenes landsråd var uenige i endringen, mens øvrige instanser var enige. Forslaget ble behandlet i prosjektrådet i mai 1996 og deretter vedtatt av konsernstaben i juni 1996.

Parallelt med dette begynte NSB sine forberedelser til gjennomføring av endringen.

Da NSB ble delt 1. desember 1996 var de nye reglene ikke satt ut i livet. Ved delingen gikk ansvaret for å utarbeide trafikksikkerhetsbestemmelser over til Jernbaneverkets daværende myndighetsdel, jf. pkt. 7.3.3.1.

Det nyopprettede Jernbanetilsynet hadde på dette tidspunkt ikke ansvar for å utøve tilsyn med Jernbaneverket, jf. pkt. 7.3.3. Tilsynet fant det imidlertid riktig at det skulle vurdere og eventuelt godkjenne de nye sikkerhetsbestemmelsene. Dette ble tatt opp i brev til Departementet av 20. desember 1996 som deretter ga Jernbanetilsynet slik myndighet overfor Jernbaneverket i denne spesielle saken.

Tilsynet krevde i utgangspunktet at Jernbaneverket skulle utarbeide en totalanalyse av hele det nye regelverket med sikte på å dokumentere hvordan sikkerheten ble ivaretatt. Siden dette var en ny tilnærmingsmåte for Jernbaneverket og tidsplanen knapp, valgte Tilsynet å frafalle dette kravet og i stedet fokusere på enkelte temaer. Det ble i begynnelsen av 1997 holdt en rekke møter om saken mellom Tilsynet og Jernbaneverket. Mindre uenigheter ble oppklart og det var til slutt bare endringen av avgangsprosedyren som stod igjen.

Tilsynet mente den nye avgangsprosedyren ga dårligere sikkerhet og skrev på dette grunnlag et brev til Jernbaneverket 23. mai 1997, hvor det ble påpekt at den gamle ordningen måtte opprettholdes på strekninger uten ATC. Tilsynet ønsket ikke at det skulle oppstå flere situasjoner hvor den sikkerheten som lå i at to personer kontrollerer signalene ble fjernet, uten at kompenserende tiltak var innført.

Tilsynet ba Jernbaneverket om umiddelbart å gjennomføre en sikkerhetsanalyse for å vurdere endringens konsekvenser for ulike banestrekninger.

Tilsynet fikk ikke noen sikkerhetsanalyse eller annen dokumentasjon fra Jernbaneverket som dokumenterte at den nye avgangsprosedyren ikke ville ha sikkerhetsmessige konsekvenser på strekninger uten ATC. Kommisjonens høringer avdekket at mens Jernbaneverkets ledere mente de gjennom sine brev tilfredsstilte Tilsynets krav, fant Tilsynet ikke at disse brevene kunne defineres som sikkerhetsanalyser.

NSB BA og Jernbaneverket hadde på det angjeldende tidspunkt ikke god nok kjennskap til og kompetanse på sikkerhets- eller risikoanalyser. I brev til Tilsynet av 25. juni 1997 opplyste Jernbaneverket at arbeidet med sikkerhetsanalyser var igangsatt, og at DnV var engasjert for å assistere dem i dette arbeidet. Under Kommisjonens høringer ble det opplyst av sikkerhetssjef Knut Rygh i Tilsynet at DnV mente det måtte foretas en risikoanalyse gjennom å utarbeide et hendelsestre for samtlige momenter og deretter vurdere feilforplantningsveier og barrierer på de enkelte banestrekninger. Tilsynet forstod det slik at Jernbaneverket syntes dette var for komplisert og omfattende, og DnV fikk ikke oppdraget.

I brev av 18. juli 1997 ba Tilsynet Jernbaneverket utarbeide en oversikt over strekninger uten ATC. Dette ble ikke gjort.

Tilsynet tilbød i august 1997 å bistå Jernbaneverket med en innføring i metodikken for en sikkerhetsanalyse. Det ble dannet en gruppe med ekspertise fra Jernbaneverket, NSB BA og Tilsynets sikkerhetssjef som hadde flere møter. Gjennom arbeidet ble det, slik sikkerhetssjefen i Tilsynet oppfattet det, klart at en risikoanalyse med gjennomgang av alle ledd i den gamle og den nye prosedyren, ville vise at den nye prosedyren ikke hadde barrierer som forhindret en ulykke dersom ett menneske alene feilet i utøvelsen av avgangsprosedyren, og at det gamle sikkerhetsnivået således ikke ble opprettholdt.

Samarbeidet ble imidlertid avbrutt og Tilsynet fikk opplyst at Jernbaneverket skulle engasjere SINTEF. SINTEF foreslo i utgangspunktet en tilsvarende analyse som DnV hadde anbefalt. Jernbaneverket ga imidlertid SINTEF i oppdrag å utføre en enklere analyse. Dette ble en vanskelig oppgave og et utkast ble først ferdig i februar 1998, dvs. flere måneder etter at avgangsprosedyren var endret. Uten å foreta en slik grundig analyse som DnV og SINTEF selv hadde anbefalt, vurderte SINTEF de nye bestemmelsene i forhold til de gamle og konkluderte med følgende:

«Ut fra fremkomne opplysninger og generell fagkunnskap bedømmer SINTEF at den nye avgangsprosedyren er minst på samme sikkerhetsnivå som den gamle og at den nye bør brukes fordi den henger bedre sammen med den helhetlige filosofi Jernbaneverket holder på å innføre.»

Daværende assisterende jernbanedirektør Åge Lien i Jernbaneverket mente på denne bakgrunn at Jernbaneverket hadde fått en aksept for at tidligere sikkerhetsvurderinger var riktige.

I tilknytning til Tilsynets krav om ATC på de baner der prosedyren skulle innføres, la SINTEF i sin vurdering også sterk vekt på at økt sikkerhet ikke oppnås gjennom endringer i prosedyrer eller bestemmelser, men gjennom tekniske barrierer. SINTEF uttalte følgende:

«Uavhengig av om gammel eller ny avgangsprosedyre velges, anbefaler SINTEF sterkt å snarest utbygge en teknisk sikkerhetsbarriere (ATC eller liknende) som kan fange opp menneskelige feilhandlinger».

8.9.3 Innføring uten godkjennelse fra Jernbanetilsynet

De nye trafikksikkerhetsreglene med den endrede avgangsprosedyren ble besluttet innført pr. 1. september 1997. Dagen før, 31. august 1997, skrev Jernbanetilsynet påny til Jernbaneverket og presiserte at på strekninger uten ATC måtte konduktørene fortsatt ha et medansvar for å forvisse seg om at signalanlegget viste klart for utkjør. Forutsetningen for innføring av den nye avgangsprosdyren fra Tilsynets side var også at de etterspurte sikkerhetsvurderingene skulle foreligge – og da med et positivt resultat – før endringen ble godkjent.

Dette tok Jernbaneverket ikke hensyn til og ordningen ble sammen med de nye trafikksikkerhetsbestemmelsene iverksatt på hele jernbanenettet, også på baner uten ATC, 1. september 1997. Ordningen har siden vært i bruk, selv om den fortsatt i oktober 2000 ikke er formelt godkjent av Tilsynet.

Ni dager etter at ordningen var innført mottok Tilsynet en sikkerhetsvurdering fra Jernbaneverket som konkluderte med at den nye avgangsprosedyren opprettholdt sikkerhetsnivået. Tilsynet fant ikke denne dokumentasjonen tilfredsstillende og påpekte i brev av 10. september 1997 følgende:

«… den nye avgangsprosedyren fører til at det nå blir flere situasjoner enn tidligere på det statlige jernbanenett hvor en feiloppfattelse fra lokomotivføreres side alene vil kunne medføre at to tog kommer inn på samme blokkstrekning».

Tilsynet ba Jernbaneverkets ledelse justere den nye avgangsprosedyren på strekninger uten ATC. Kopi ble sendt Departementet.

Da Jernbaneverket ikke svarte, tilskrev Tilsynet Departementet 19. september samme år og informerte om at Jernbaneverket hadde iverksatt en ordning som ikke var godkjent av Tilsynet. I brev av 29. september 1997 ba Departementet om at Jernbaneverket

«snarest gir Statens jernbanetilsyn de nødvendige opplysninger slik at det kan oppfylle og ivareta det ansvar som Samferdselsdepartementet har tillagt Tilsynet.»

Departementet understreket videre generelt at Tilsynets formelle godkjenning må foreligge før nye regelverk tas i bruk.

I brev av 9. oktober 1997 til Tilsynet konkluderte Jernbaneverket igjen med at den nye ordningen ikke svekket sikkerheten. Følgende ble anført:

«Jernbaneverket har med bakgrunn i en samlet analyse konkludert med at det nye regelverket gjeldende fra 1. september 1997 er et bedre og sikrere regelverk enn det som gjaldt før 1. september 1997. Det samme gjelder i det generelle for «avgangsprosedyre» for persontog med ombordansvarlig som har stanset ved plattform.»

For å bringe saken videre skrev Tilsynet påny til Jernbaneverket 17. oktober 1997 og åpnet for godkjenning av ordningen i en overgangsfase under gitte forutsetninger. Den viktigste var en offensiv og forpliktende plan for ATC-utbygging, herunder på Rørosbanen. Tilsynet viste her til kravsforskriften §  6, pkt. 1, og skrev blant annet:

«Statens jernbanetilsyn er opptatt av at en i størst mulig grad utformer kombinasjonen av teknologi og prosedyrer slik at ikke en enkelt feil kan føre til en alvorlig ulykke. Tilsynets vurdering er at det å kjøre inn på en belagt blokkstrekning ved å kjøre forbi et signal i stopp, er en situasjon med så store potensielle konsekvenser at Jernbaneverket bør prioritere svært høyt å minimere risikoen for at slike feil kan skje.

(…)

Den foreslåtte avgangsprosedyren medfører at lokomotivfører heller ikke kan forventes å utnytte sikkerhetskyndig ombordpersonale for en uavhengig observasjon av kjøretillatelse før det kjøres inn på ny blokkstrekning etter stopp på stasjon, som et risikoreduserende tiltak på strekninger uten ATC.»

Tilsynet ba om å bli informert om Jernbaneverkets tiltak innen 15. november 1997. Kopi ble sendt til Departementet.

Jernbaneverket svarte 17. november 1997 at man, forutsatt årlige bevilgninger på 1,5 milliard kroner, ville bygge ut ATC på Rørosbanen og to andre strekninger i perioden 1998–2007.

Tilsynet fant ikke at Jernbaneverkets plan kunne betegnes som spesielt offensiv, men fulgte likevel ikke opp saken videre overfor Jernbaneverket eller Departementet. Tilsynet gikk heller ikke til det skritt å anbefale Departementet å stanse trafikken. Tilsynets daværende direktør Gro Seim opplyste til Kommisjonen at hun ikke fant saken alvorlig nok til dette, blant annet fordi problemet med den nye avgangsprosedyren bare berørte en marginal del av trafikken på jernbanenettet.

Flere av Jernbaneverkets ledere ga i Kommisjonens høringer på sin side uttrykk for at de oppfattet situasjonen slik at Tilsynet hadde gitt samtykke, selv om det ikke forelå en formell godkjennelse .

Daværende konsernsjef Ueland opplyste under Kommisjonens høringer at han personlig hadde satt seg grundig inn i og personlig engasjert seg sterkt i innføringen av den endrede avgangsprosedyren. Han mente at det etter flere samtaler med sikkerhetskontoret var riktig å endre avgangsprosedyren. Etter hans syn var dette en endring som var helt uavhengig av om det var ATC på banen eller ikke. Det sentrale spørsmål var slik han så det ansvars- og rolleendring i toget, ikke ATC. Den nye avgangsprosedyren var i tillegg en harmonisering med reglene i Norden for øvrig. Han var dessuten overbevist om at endringen innebar en forbedring av sikkerheten. Han hadde ikke fått noen melding om at Tilsynet hadde merknader. Både han og andre ledere, for eksempel daværende assisterende jernbanedirektør Åge Lien, uttrykte at Tilsynet burde ha sørget for å stanse trafikken hvis de mente at sikkerheten ikke var godt nok ivaretatt.

8.9.4 Oppsummering

Kommisjonen konstaterer at den nye avgangsprosedyren i Jernbaneverkets trafikksikkerhetsbestemmelser ikke ble godkjent av Jernbanetilsynet, men likevel ble satt i drift og fortsatt er i drift. Videre ble Jernbanetilsynets krav om sikkerhetsanalyser ikke fulgt opp før ordningen ble iverksatt og heller ikke etterpå.

Dette illustrerer at Jernbaneverket og NSB BA på dette tidspunkt ikke hadde forstått Jernbanetilsynets rolle, dvs. at Jernbaneverket og NSB BA pliktet å innrette seg etter Tilsynets krav – uten at Tilsynet behøvde å gå til så drastiske skritt som å stenge baner for trafikk. For en virksomhet som tidligere hadde utøvet interntilsyn var det åpenbart uvant å følge eksterne krav og å måtte dokumentere effekter av egne beslutninger overfor andre. Denne historien viser også de kommunikasjonsproblemene som forelå mellom Tilsynet, NSB BA og Jernbaneverket. Men innføringen av avgangsprosedyren illustrerer også at Jernbaneverket og NSB BA ikke hadde noen helhetlig sikkerhetstenkning og et sikkerhetssystem som fungerte tilstrekkelig godt i 1997.

I 1996 hadde sikkerhetskontoret i NSB advart daværende infrastrukturdirektør Magne Paulsen mot å utsette ATC-utbyggingen nettopp i forbindelse med diskusjonen om å innføre den nye avgangsprosedyren, se pkt. 8.7.3. Denne advarselen ble sendt på nytt fra trafikksikkerhetsskontoret i Jernbaneverket i 1997. I Kommisjonens høringer fremgikk det klart at daværende konsernsjef Ueland, som også var øverste leder for Jernbaneverket frem til 1. juli 1999, ikke hadde forstått at spørsmålet om ny avgangsprosedyre sikkerhetsmessig hang sammen med om ATC var innført, selv om hans egen trafikksikkerhetssjef hadde understreket dette. Det er mulig sikkerhetssjefens notat aldri ble lest av Ueland, men i så fall innebærer dette en alvorlig svikt i sikkerhetsrutinene. Det var åpenbart at man i 1997 ikke forstod at en endring må analyseres både generelt og lokalt før den iverksettes, nettopp fordi slike sammenhenger ofte ikke blir synliggjort før en grundig analyse er foretatt. Selv om det ble påpekt fra Tilsynet at en slik analyse måtte foretas, og til tross for at Tilsynet sammen med Jernbaneverket og NSB BA utførte analysen som avdekket manglende barrierer, satte Jernbaneverket seg utover dette. Antagelig skjedde dette på grunn av manglende kunnskap og forståelse for nyere sikkerhetstenkning som er basert på at det foreligger ny teknikk og færre menneskelige ressurser enn tidligere.

Det synes som om de sentrale aktørene på dette tidspunkt heller ikke hadde oppfattet innholdet i kravsforskriften §  6 nr. 1 hvoretter drifts- og sikkerhetsreglementet skal være tilpasset banenes sikringsstandard, jf. pkt 7.2.2.1. Eventuelt var ønsket om å innføre den nye avgangsprosedyren på alle baner så sterkt at man valgte å se bort fra denne bestemmelsen for så vidt gjaldt baner uten ATC.

Det som skjedde etter at ordningen var innført uten godkjennelse, viser at Jernbanetilsynet i 1997 ikke var sterkt nok til å hevde sitt ansvar i henhold til lovgivningen, jf. pkt. 7.2.2.3.. Tilsynet brukte gjennomgående forsiktige formuleringer. De ba om justeringer og endringer, i stedet for å bruke sin rett som Tilsyn og forlange endring av ikke godkjente regler. Tilsynet syntes mer opptatt av å få til kompromisser enn å få gjennomslag for sine faglige krav. Kommisjonen finner det særlig betenkelig at Tilsynet ikke fulgte opp etter at ordningen ble satt i verk uten godkjenning. Det kunne og burde vært gjort unntak for, eller satt betingelser for, innføringen av avgangsprosedyren på banestrekninger uten ATC. At Tilsynet har vært såpass svakt antar Kommisjonen må ses i sammenheng med de rammebetingelser Jernbanetilsynet hadde i etableringsfasen. Departementet hadde ikke fra starten gitt klare regler for Tilsynets ansvar overfor Jernbaneverket, jf. pkt. 7.2.5, og hadde heller ikke bemannet Tilsynet i forhold til oppgaven. At Tilsynet hadde samme administrasjon som Jernbaneverket forsterket trolig uklarheten. Kommisjonen vil også peke på at Departementet, ut over ett brev til Jernbaneverket, ikke fulgte opp saken aktivt med ytterligere tiltak. Representanter for Departementet ga under høringene uttrykk for at de måtte ha fått ytterligere melding fra Tilsynet hvis de skulle grepet inn og for eksempel krevet trafikken stanset på enkelte baner.