Interessante Unfälle: Bremsanstand auf der Achenseebahn, 2011

Unfälle sind unbestritten der Grund dafür, dass es Sicherungsanlagen gibt: Ohne diese technischen Zusatzeinrichtungen müssen wir uns zum einen darauf verlassen, dass die im Eisenbahnbetrieb tätigen Menschen keine Fehler machen, die zu Unfällen führen können – kein Lokführer darf zu schnell fahren, kein Fahrdienstleiter eine Einfahrt auf ein besetztes Gleis zulassen, kein Schrankenwärter vergessen, seinen Schranken zu schließen. Darüberhinaus müssen Sicherungsanlagen aber auch Fähigkeiten überhaupt erst zur Verfügung stellen, die niemand haben kann: Um festzustellen, ob ein Gleis hinter einer Kurve im Hügelland besetzt ist oder nicht, müsste man zumindest um die Ecke sehen können. Und auch bei gerader Sicht auf das Gleis kann man die Besetzung nicht feststellen, wenn es nebelig oder dunkel ist oder wenn die Geschwindigkeit so groß ist, dass ein rechtzeitiges Anhalten auch dann nicht möglich wäre, wenn ein Lokführer mit freiem Auge die Gleisbesetzung erkennen würde. All das ist selbstverständlich, und deshalb sind auch Sicherungsanlagen selbstverständlich. Umso schrecklicher ist es, wenn ausgerechnet Sicherungsanlagen für einen Unfall verantwortlich sind – nicht ihr Fehlen, sondern ihre Fehlfunktion.

In ein paar folgenden Postings will ich einige solche Unfälle und auch Beinahe-Unfälle kurz zusammenfassen. Ich werde mich dabei auf Ereignisse aus den letzten Jahren beschränken – denn dadurch zeigt sich (leider), dass auch nach mehr als 150 Jahren Entwicklung überraschende Effekte in komplexen technischen Sicherungssystemen auftreten, die ausgerechnet den Existenzzweck dieser Systeme konterkarieren.

Der erste Vorfall, den ich kurz vorstellen möchte, ist allerdings nicht im eigentlichen Sinn durch eine Sicherungsanlage verursacht. Er zeigt jedoch, dass eine "theoretische Analyse" eines technischen Systems dazu führen kann, dass man mögliche Ausfälle übersieht. Bei diesem konkreten Unfall kam es am 17. 8.2011 auf der Achenseebahn zu einem "Bremsanstand", also einem Bremsversagen aller vorhandenen Bremssysteme. Der Unfallbericht der Bundesanstalt für Verkehr ist auf deren Webseite  hier zu finden.

Bei den Dampfloks der Achenseebahn wirkt die Treibstange auf eine Vorgelegewelle, die über ein Schrägzahngetriebe die Triebzahnradwelle antreibt. Von der Triebzahnradwelle aus werden über Kuppelstangen auch die Radsätze für den Adhäsionsantrieb angetrieben. Hier sieht man ein Präzisionsbild des Triebwerks der Lok 3 (Foto von Herbert Ortner):

Ein Zug der Achenseebahn hat im Zahnradbetrieb praktisch vier Bremssysteme:

• Als Betriebsbremse auf der Zahnstangenstrecke dient eine Riggenbach'sche Gegendruckbremse, also das Verdichten von Luft in den Zylindern.
• Eine Bandbremse mit Holz-Bremsklötzen umschlingt ein gerilltes Bremsrad auf der Vorgelegewelle. Durch Anziehen des Bandes mit einer Kurbel wird das Bremsrad gebremst, was indirekt über das Triebzahnrad den Zug bremst.
• Auf ein unabhängiges Bremszahnrad an der Vorderachse der Lok wirkt eine Klotzbremse mit gußeisernen gerillten Bremsklötzen, die ebenfalls mit einer Kurbel angepresst wird.
• Auch die Wagen haben Bremszahnräder mit kurbelbedienten Klotzbremsen. Diese Bremsen sind allerdings nicht dafür ausgelegt, den ganzen Zug abzubremsen.

Die Adhäsionsräder, obwohl mitgebremst, tragen im Zahnradbetrieb praktisch überhaupt nicht zur Bremswirkung bei, da sie zur Verringerung der Reibung sogar noch mit Wasser "geschmiert" werden (der Grund dafür ist, dass ihr Durchmesser sowohl in neuem wie auch in stärker abgefahrenem Zustand vom Rollkreis des Zahnrades abweicht und sie daher im Zahnradbetrieb ein wenig auf den Schienen gleiten können müssen).

Hier habe ich das oben gezeigte Bild um Hinweise auf die drei Lokbremsen ergänzt und auch drei weitere, für den Vorfall wesentliche Teile markiert (Klick zeigt eine größere Ansicht):

Bei dem Vorfall am 17.8.2011 brach kurz vor dem oberen Ende der Zahnstangenstrecke in Eben – also in einer Steigung von 160 Promille! – die Vorgelegewelle der Lok. Das führte zuerst einmal "nur" dazu, dass die ersten beiden Bremssysteme ausfielen: Weder die Gegendruckbremse noch die Rillenbandbremse konnten den Zug verzögern, weil das Getriebe zwischen Vorgelege- und Triebzahnradwelle nicht mehr eingriff. Der Zug begann bergab zu rollen. Der Heizer, laut Untersuchungsbericht "ein sehr kräftiger Mitarbeiter", zog auf der Lok die Kurbel der Klotzbremse für das Bremszahnrad mit aller Kraft an – "dies zeigte jedoch kaum Wirkung". Auch der Bremser und der Zugbegleiter begannen sofort, auf den beiden Waggons die Zahnradbremsen zu betätigen. Trotzdem rollte der Zug weiter bergab und wurde dabei immer schneller. Erst nach einigen Hundert Metern wurde er langsamer und kam schließlich nach etwa 350m Abwärtsfahrt zum Stillstand. Der Grund für das Versagen auch der dritten Lokomotivbremse waren wahrscheinlich Ölreste auf den Bremsrädern, die die Reibung entsprechend heruntersetzten. Erst als diese Verschmutzung abgerieben oder verdampft war, konnte die volle Bremswirkung einsetzen.

Die Achenseebahn hat vorbildlich reagiert: Nach der Erfahrung, dass die Klotzbremse durch Verschmutzung teilweise unwirksam ist, wurde vorgeschrieben, dass bei jeder Talfahrt diese Bremse auf 150m Fahrstrecke zu betätigen ist, sodass Fett- und Ölrückstände beseitigt werden. Weitere vorbeugende Maßnahmen für die Triebwerkswartung sind im Untersuchungsbericht erklärt.

Wieso ist dieser Vorfall "sicherungsanlagentheoretisch" interessant? Ein einfaches, "theoretisches" Modell der dreifachen Bremse könnte ja so aussehen:

Dieses Modell verleitet zu der Annahme, dass die Ausfallmöglichkeiten für die drei Bremsen unabhängig sind. Tatsächlich wird aber eben ein wesentlicher und hoch belasteter Teil des Triebwerks für die zwei ersten Bremsen benötigt, sodass ein besseres Modell so aussieht:

Die noch abstraktere Lehre, die man daraus ziehen kann, ist, dass das folgende Systemmodell zweier redundanter Systemteil A und B immer unrealistisch ist:

Stattdessen gibt es immer Systemteile (hier mit C bezeichnet), die von den redundant wirkenden Anteilen gemeinsam benötigt werden. Der Ausfall dieses Systemteils bewirkt eine Common Cause Failure (CCF). In diesem Fall tritt die CCF wegen der "intrinsischen Abhängigkeit" der Teilsysteme A und B sogar mit Wahrscheinlichkeit 1, also immer auf:

Das Modell für die Bremssysteme der Achenseebahn-Loks muss daher so aussehen:

Was enthält der allen drei Bremssystemen gemeinsame Anteil? Nun, zum Beispiel die Zahnstange! Ein Ausbruch eines längeren Zahnstangenstücks kann daher alle drei Bremsen lahmlegen. Die Konsequenz ist natürlich, dass dieser Systemteil so dimensioniert wird, dass sein Versagen praktisch unmöglich ist. Bei komplexeren Systemen sind solche "single points of failure" aber nicht immer leicht zu finden oder – sogar wenn sie bekannt sind – zu beseitigen.

Die Achenseebahn jedenfalls ist nach diesem Vorfall auf jeden Fall noch sicherer, weil die dritte Bremse und die Vorgelegewelle nun speziell beachtet werden.