Tor zajęty czy wolny? Czy pociąg dojechał w całości?
Z perspektywy bezpieczeństwa podstawowa informacja dotyczy tego, czy tor (jego część zwana odstępem), na który ma wjechać pociąg, jest wolny (tzn. czy nie ma na nim innego pociągu lub innych pojazdów). Jest to zasada, która pozwala bezpiecznie rozwinąć prędkość większą niż ta, która wynikałaby z widoczności toru i drogi hamowania. Zasada ta zdecydowanie zmniejsza uzależnienie poziomu bezpieczeństwa od uwagi maszynisty. Pierwotnym narzędziem kontroli niezajętości toru jest wzrok dyżurnych ruchu i nastawniczych, którzy widzą konkretne odcinki torów na stacji i mogą to stwierdzić, zanim podadzą sygnał wolnej drogi lub przekażą innej nastawni zgodę na określony przebieg pociągu. Do tego dochodzi ręczne zapisywanie i wykreślanie numerów pociągów, które na dłużej zajmują tor. W przypadku torów szlakowych łączących stacje zadanie jest trudniejsze, bo oczywiście w takich sytuacjach większy odcinek toru nie jest widoczny z żadnego posterunku. Podstawą jest wtedy stwierdzenie, czy pociąg wyprawiony z jednej stacji dojechał do kolejnej w całości. Tarcze z czerwonymi trójkątami lub czerwone latarnie na końcu (sygnały końcowe) służyły nie tylko temu, aby lepiej było widać ostatni wagon i w razie wjazdu kolejnego pociągu jego maszynista miał większe szanse na zauważenie poprzednika, ale aby pracownik posterunku mógł stwierdzić, że pociąg wjechał w całości. Aby to działało, załoga pociągu i pracownicy służby ruchu muszą dopilnować, by każdy pociąg wyjeżdżał na trasę wyposażony w sygnały końcowe. Jeżeli pociąg wjechał bez sygnałów końcowych, to dalsze czynności podejmuje się z założeniem, że doszło do rozerwania pociągu i jakiś fragment taboru pozostał na szklaku. Zasadniczo w przypadku rozerwania dochodzi do samoczynnego hamowania obu części i maszynista jest świadom tego faktu. Jeżeli w dobie braku radiołączności połączenie rozerwanego składu nie było możliwe, wówczas istniał bezwzględny obowiązek zatrzymania się w pobliżu posterunku, zanim cały pociąg wjechał na stację, i poinformowania dyżurnego ruchu, że na szlaku pozostały wagony, aby rutynowo nie potwierdził on przyjazdu. Informacja była więc zdublowana: skład wjeżdżał bez sygnału końcowego, a poza tym pojawiała się ustna informacja od maszynisty.
W miarę upływu czasu coraz większą rolę odgrywają zespoły trakcyjne, przy których niezamierzony podział pociągu na kilka części jest raczej niemożliwy. Raczej, bo znany jest incydent na dworcu centralnym, kiedy przy małej prędkości doszło do rozprzęgnięcia (prawdopodobnie samoczynnego) pociągu złożonego z dwu zespołów trakcyjnych. Incydent nie był niebezpieczny i nikomu nie zagroził, ale pokazał, że także w dobie nowoczesnych sprzęgów kwestia integralności pociągu jest wciąż aktualna. W Europie nie słychać o próbie wykorzystania do kontroli integralności pociągu systemu geolokalizacji satelitarnej (popularnie określanej jako GPS – od ang. Global Positioning System). Obecnie istnieje kilka systemów satelitów (w tym amerykański GPS i europejski Galileo), które umożliwiają ustalenie współrzędnych geodezyjnych przy pomocy odbiornika o niewielkich rozmiarach, mieszczącego się w typowym telefonie komórkowym, z dokładnością do kilku metrów. Lokalizacja początku i końca pociągu umożliwia zatem ciągłe badanie odległości i natychmiastowe ustalenie, gdzie znajduje się pociąg i czy się porusza, czy też stoi w całości. Próby zastąpienia sygnału końcowego przez GPS miały miejsce w USA, natomiast szersze stosowanie geolokalizacji do sterowania ruchem kolejowym w Unii Europejskiej było przewidywane w ramach ETCS poziomu 3, który jest rzadkością. Warto w tym miejscu dodać, że na tym poziomie kontrola zajętości toru nie musi już opierać się na sprawdzaniu integralności pociągu.
Tradycyjne metody opierały się i opierają na uwadze ludzi, a zatem łatwo o pomyłkę, a poza tym wymagały czasami zatrudnienia dodatkowych osób. W każdym miejscu, w którym kończył się szlak, a więc na każdej głowicy stacyjnej, ktoś musiał obserwować pociąg i jego sygnały końcowe. Paradoksalnie zdarzało się więc, że stacja była wyposażona we względnie nowoczesne urządzenia przekaźnikowe, wszystkie zwrotnice oraz sygnały były obsługiwane z jednej nastawni, usytuowanej na ogół na którejś głowicy stacyjnej, a na przeciwległej głowicy musiał być posterunek, którego jedynym zdaniem było stwierdzanie końca pociągu. Jeżeli w celu zwiększenia przepustowości szlak był dzielony na odstępy, to na ich granicach musiały funkcjonować posterunki odstępowe z obsługą, która potwierdzała przejazd pociągu z sygnałem końcowym i jego „osłonięcie” semaforem wskazującym „stój”, który zabraniał wjazdu na zajęty przezeń odstęp. Informacja przekazana przy pomocy blokady liniowej, telefonu lub telegrafu poprzedniemu posterunkowi pozwalała mu na bezpieczne wyprawienie kolejnego pociągu. Na tym tle przekłamanie informacji lub rutynowe działanie według rozkładu jazdy bez zwrócenia uwagi na brak potwierdzenia przyjazdu poprzedniego (spóźnionego) pociągu prowadziło do katastrofy, gdy wysłano pociąg na odstęp, na którym wolniej jechał lub stał poprzedni pociąg.
Wprowadzenie zautomatyzowanej kontroli niezajętości toru znacznie przyczyniło się do poprawy poziomu bezpieczeństwa. Pierwszym i nadal obecnym na wielu liniach sposobem była samoczynna blokada liniowa oparta na izolowanych odcinkach torów, a właściwie szyn. W tym celu na granicy odstępu szyny były łączone w taki sposób, aby były izolowane dla przepływu prądu elektrycznego. Drewniane lub betonowe podkłady stanowiły natomiast izolację (choć nie najlepszą) pomiędzy tokami szyn tego samego toru. W przypadku podkładów stalowych konieczne były podkładki izolacyjne, jednak takie przerwy kolidowały oczywiście z przepływem prądu zasilającego (wraz z przewodami napowietrznymi) elektrowozy. Poza tym uniemożliwiały spawanie szyn na całej długości dla unikania nadmiarowego zużycia szyn i kół w miejscu przerwy. Dlatego wszystkie te przerwy były łączone przy pomocy dławików – uzwojeń, które stanowiły istotną przeszkodę (dużą impedancję, zawadę) dla przepływu prądu przemiennego, ale stawiały minimalny opór prądowi stałemu zasilającemu pojazdy trakcyjne. Szyny były natomiast zasilane prądem przemiennym (czyli takim, jaki występuje w zwykłej sieci energetycznej) o częstotliwości 50 Hz – w środku lub na początku odstępu.
Na końcu lub na obu końcach szyny były łączone z przekaźnikiem czułym wyłącznie na prąd przemienny (indukcyjnym). Gdy tor był wolny, przekaźnik był pobudzony i powodował wyświetlanie na semaforze sygnału zezwalającego na wjazd na odstęp lub przekazywał odpowiednią informację do urządzeń stacyjnych, umożliwiając ustawienie semaforów wyjazdowych. Najechanie pociągu na odstęp zwierało szyny i powodowało, że przekaźnik nie miał zasilania i przechodził w stan bierny. Gdy pociąg dojechał do końca odstępu i przejechał obok semafora, następowało odłączenie zasilania i wznowienie – dopiero po opuszczeniu odstępu, ale także po wyświetleniu sygnału stój (czerwonego) osłaniającego ten pociąg. Dzięki temu, że powszechnie dostępna sieć energetyczna jest trójfazowa, operując fazami, można było bez dodatkowego okablowania przekazać nie tylko informację, że dany tor jest już wolny, ale także informację o rodzaju sygnału na semaforze na końcu odstępu. Typowy semafor podawał więc sygnał „stój” (czerwone), „wolna droga, następny stój” (pomarańczowe) i „wolna droga, następny wolna droga” (zielone). Ten prosty sposób odpowiadał i nadal odpowiada za ruch pociągów i dobrą przepustowość wielu linii dwutorowych. Długość odstępów odpowiada drodze hamowania pociągów – w zależności od dopuszczalnej prędkości, ale na ogół wynosi ona ok. 1 km. Pewna modyfikacja polegała na impulsowaniu zasilania.
Wraz z wprowadzeniem odcinków izolowanych nastąpiło podwyższenie poziomu bezpieczeństwa i zmniejszenie roli czynnika ludzkiego, ale zaczął się problem pewności działania urządzeń tworzących i przesyłających informację. Konieczne było ustalenie minimalnego oporu, jaki przepływowi prądu stawia zestaw kół. Wszak odpowiadał on za zwarcie szyn, które jest pierwotnym symptomem zajętości toru. Pojawiały się problemy w przypadku pojedynczych wagonów motorowych (niewiele osi), w których stosowano smarowanie obręczy koła (gorszy styk). Podstawowym problemem były jednak zwarcia szyn pomimo nieobecności pociągu na skutek zwiększenia wilgotności (śnieg, deszcz) czy położenia metalowego przedmiotu. Poza tym łubki izolujące odcinki szyn ulegały niekiedy wyciśnięciu (np. wtedy, gdy szyny wydłużały się w wyniku upałów). Wszelkie urządzenia sterowania ruchem kolejowym muszą być tak budowane, aby powstające stany niepewne były interpretowane w sposób niezagrażający bezpieczeństwu, np. ustawienie odpowiedniego semafora na „stój”. Prawdopodobieństwo pojawienia się usterki z odwrotnym skutkiem – czyli zmniejszającej bezpieczeństwo i tworzącej zagrożenia (np. wadliwy sygnał „wolna droga”) – jest określone w TSI na najniższym stosowanym poziomie. Jeśli maszynista widzi semafor nieoświetlony, to ma obowiązek zatrzymania pociągu. W związku z tym, że nie ma nikogo, kto mógłby w takiej sytuacji potwierdzić, że odstęp jest wolny, dozwolona jest wtedy jazda na widoczność, a więc z taką prędkością, aby można było w istniejących okolicznościach zahamować w razie zauważenia przeszkody (np. poprzedniego pociągu), z tym, że górna granica prędkości wynosiła do niedawna 20 km/h, a obecnie wynosi 40 km/h. Aby było wiadomo, że taka jazda jest dopuszczalna, słupy semaforów samoczynnej blokady liniowej malowane są na biało, a nie w biało-czerwone pasy.
Taki system generuje już sytuacje, w których bezpieczeństwo zależy od sprawności i poprawnej eksploatacji urządzeń, a nie tylko od ludzi. Pojawiają się też możliwości świadomego zakłócania pracy urządzeń. Panuje pogląd, że nie jest możliwa przypadkowa kombinacja uszkodzeń, zwarć i przerw, która prowadziłaby do pobudzenia przekaźnika samoczynnej blokady liniowej i podania fałszywego sygnału wolnej drogi. Maszynistom, którzy przejechali obok semafora i twierdzili, że wskazywał on wolną drogę pomimo zajętości toru, na ogół nikt poza związkiem zawodowym nie dawał wiary, a czasy kamer i nagrywania tego, co widać przed lokomotywą, dopiero nadeszły. Jednak w Pruszkowie w roku 1990 doszło do katastrofy, w której maszynista pierwszego pociągu, widząc sygnał „stój”, zatrzymał się, a potem kontynuował jazdę z prędkością 20 km/h, natomiast maszynista następnego pociągu – wedle jego zeznań – miał sygnał „wolna droga”, a zatem dogonił poprzednika, we mgle stosunkowo późno rozpoczął hamowanie i najechał na jadący wolno skład. Katastrofa ta pochłonęła 16 ofiar śmiertelnych. Stwierdzono, że urządzenia są sprawne, i ani komisja badająca przyczyny katastrofy, ani sąd nie dali wiary maszyniście. Jednak po dwu latach zdarzył się podobny incydent.
Na szczęście dzięki dobrej widoczności nie doszło wówczas do kolizji, ale w efekcie tego incydentu ponowiono analizę katastrofy w Pruszkowie. Kolejne analizy wykazały, że przy tej specyficznej blokadzie (impulsowej typu CNII) może dojść do zwarcia, które spowoduje podanie fałszywego sygnału „wolna droga”. Maszynistę uniewinniono, a ten typ blokady był następnie wymieniany na inny. Nie spełniał on podstawowej zasady budowy wszelkich urządzeń – każda awaria, niejednoznaczność itp. powinna powodować podanie sygnału bardziej bezpiecznego dla ruchu – na ogół sygnału „stój”. Tak jest bezpieczniej, aczkolwiek stosunkowo duża liczba sytuacji, w których dochodziło do konieczności jazdy na widoczność lub unieważniania semaforów blokady powiązanego ze zwiększeniem odstępów pomiędzy pociągami do odległości pomiędzy obsługiwanymi stacjami, obniża zaufanie do systemu. Prowadzi to do zbyt łatwego uznawania, że pomimo iż urządzenia sygnalizują, że tor jest zajęty, w rzeczywistości jest wolny. Informacja o zajętości toru służy nie tylko maszynistom, ale także dyżurnym ruchu nastawiającym semafory inne niż samoczynne. Warto przypomnieć, że jedną z przyczyn katastrofy w Szczekocinach1 na szlaku Starzyny – Sprowa była nieprawidłowa reakcja dyżurnej ruchu w Sprowie na poprawną informacje z pulpitu (czerwone oświetlenie kreski reprezentującej tor). Dyżurna w ten sygnał nie uwierzyła, gdyż doświadczenie podpowiadało jej, że informacja ta jest fałszywa i tor jest wolny. Tymczasem dyżurny ruchu ze Starzyn – nie mając informacji o położeniu zwrotnicy – wyprawił pociąg po lewym torze, nie pytając dyżurnej ze Sprowy o zgodę. W tej konkretnej sytuacji był on głównym, chociaż nie jedynym winowajcą. W wyniku tego system kontroli zajętości toru – nowocześniejszy i bardziej odporny na przekłamania, jak myślała dyżurna ruchu, pokazał, że to tor jest zajęty.
Mimo to dyżurna ruchu założyła, że pociąg jedzie do niej normalnie prawnym torem, i wydała przy pomocy sygnału zastępczego (nieuzależnionego od kontroli zajętości torów i położenia zwrotnic, ale opartego wyłącznie na odpowiedzialności dyżurnego ruchu) polecenie jazdy po tym torze dla innego pociągu, co doprowadziło do czołowego zderzenia. Dyżurna nie zauważyła albo nie wzięła pod uwagę, że pulpit wcale nie pokazywał zajętości prawego toru, po którym powinien przecież jechać do niej pociąg ze Starzyn. Nowy, mniej zawodny system kontroli zajętości toru został tam zainstalowany krótko przed katastrofą, ale szkolenie z obsługi tego systemu nie odmieniło rutynowego myślenia dyżurnej ruchu.
Dr inż. Tadeusz Syryjczyk
Przedsiębiorca, minister przemysłu w rządzie Tadeusza Mazowieckiego, minister transportu
i gospodarki morskiej w rządzie Jerzego Buzka, partner w Zespole Doradców Gospodarczych TOR