KONFRONTASJONER Møtet mellom "tradisjonell" og "moderne" sikkerhetstenkning i jernbanen Ragnar Rosness, SINTEF ragnar.rosness@sintef.no Vegtilsynets konferanse om sikkerhetsstyring 13. Juni 2013, Park Hotell Vossevangen, Voss 1
Møter mellom "tradisjonell" og "moderne" sikkerhetstenking i jernbanen i Norge: Det tradisjonelle regimet for sikkerhetsstyring i jernbanen Hva er "moderne" sikkerhetsstyring? Konfrontasjoner mellom jernbanens tradisjonelle regime for sikkerhetsstyring og nyere regimer inspirert av sikkerhetsstyring i petroleumsvirksomheten Hva kan vi lære av erfaringene fra innføring av nytt sikkerhetsstyringssystem i jernbanesektoren? 2
"Tradisjonell" sikkerhetstenkning i jernbanen Utfordringene: Tog kan som regel ikke stoppe innenfor siktavstand Tog kan ikke gjennomføre unnvikelsesmanøvre Store energimengder gir store konsekvenser ved kollisjoner og avsporinger De tradisjonelle løsningene: Romblokksystem: Linjen deles i blokkstrekninger, kun ett tog tillatt på hver blokkstrekning om gangen Sentralisert styring gjennom kommandolinjer, regelverk og teknologi Mange failsafe-løsninger både i regelverk og teknologi Strenge kvalitetskrav til mennesker og teknologi Resultat: Høyt nivå på trafikksikkerhet (få alvorlige ulykker) Liten fleksibilitet, små forstyrrelser gir mange og store forsinkelser Problematisk grensesnitt mot veitrafikk
Hva diskuterer jernbanefolk over matpakken? 11.3.2.2 Kryssingen legges til betjent stasjon hvor toget som skal holdes tilbake, etter ruten verken stopper fast eller om det trengs Har togleder ikke sendt forhåndsunderretning til det toget som skal holdes tilbake, eller hvis melding fra underretningsstasjon ikke er mottatt, og det andre toget ikke har kommet, kan det bare vises innkjørsignal på den nye kryssingsstasjonen for det toget som skal holdes tilbake dersom lokfører gir signalet "Beredt". På stasjoner med enkelt innkjørsignal skal det ikke i noe tilfelle vises innkjørsignal før lokomotivfører har gitt signal "Beredt. (Fra Togframføringsforskriften, tidl. versjon)
"Moderne" risikobasert sikkerhetsstyring (Bygger på figur fra DnV i NOU 2000:30) Utvikling av regler og bestemmelser Risikoanalyse Introduksjon av nye bestemmelser og tekniske løsninger Regler og bestemmelser Hendelser og ulykker Rapportering og vurdering av hendelser og ulykker + oppfølgingslogikk: krav til systemdokumentasjon, interne tilsyn, revisjoner, systemtilsyn 5
Gode gamle dager: Monopolbedrift med trafikksikkerhet som kjernekompetanse 1854: Hovedbanen basert på import av britisk teknologi og sikkerhetssystem 1883: Centralstyrelsen for Statens Jernbaner organisatorisk svar på at lokale baner vokste sammen Samme organisasjon var infrastrukturforvalter, trafikkoperatør og tilsynsmyndighet Trafikksikkerhet var kjerneaktivitet og kjernekompetanse Kun 7 dødsfall pga toguhell 1854-1921
17. september 1921: Nidareidulykken 6 drept, 12 skadet
1921: Nidareid-ulykken: Første store konfrontasjon med "moderne" sikkerhetstenkning Kollisjon, Nordgående tog passerte kryssingsstasjon (Marienborg) uten å stoppe Sammentreff av misforståelser Fire tjenestemenn frikjent i straffesak etter at forsvarerne hadde pekt på systemsvakheter: uklare og ufullstendige formuleringer i sirkulære og reglementer mangelfulle prosedyrer for utarbeidelse og utstedelse av sirkulærer mulige svakheter i sikkerhetsopplæringen hardt arbeidspress og knapp bemanning nedslitt utstyr endringer og tidspress i forbindelse med åpningen av Dovrebanen
Gode gamle dager (forts.) NSB som stat i staten 29 517 ansatte i 1953 Intern rekruttering til lederstillinger Ansiennitet regnes i antall generasjoner Effektivisering med utgangspunkt ny teknologi Moderniserings- og rasjonaliseringsplanen 1959-1970 (!) Betydelig modernisering av rullende materiell, omfattende elektrifisering Utbygging av automatisk linjeblokk og fjernstyring Togene fortsetter stort sett i gamle traseer Det tradisjonelle sikkerhetsregimet utvikler seg videre NSB beholder rollen som regelgiver og tilsynsorgan for seg selv Sikkerhetskontoret og sikkerhetssjefen har en sterk stilling i organisasjonen Hendelsesbasert sikkerhetsstyring
Fra 1980-tallet: Idyllen blir brutt Blårussens inntog Effektivisering søkes primært gjennom organisatoriske endringer 1996: Separate organisasjoner for infrastrukturforvaltning (JBV), drift av togene (NSB) og tilsyn (SJT) Overgangsfase med "dobbeltmonarki" og svak tilsynsfunksjon Flere operatører på norske spor Nye sikkerhetsregimer Internkontroll av HMS Sikkerhetskontoret underlegges konsernstab for HMS, konfrontasjoner mellom HMS-direktøren og trafikksikkerhetssjefen Konfrontasjoner mellom SJT og JBV gjennom bl.a. revisjoner Åsta-ulykken, kritikk av sikkerhetsstyringen til JBV i NOU 2000:30
Jernbanetilsynets første år Statens jernbanetilsyn (SJT) fikk formelt sett en uavhengig stilling i forhold til NSB og Jernbaneverket, men var underlagt samme departement. Jernbaneverket beholdt ansvar for å fastsette trafikksikkerhetsbestemmelser. SJT hadde kontorfellesskap og administrativt fellesskap med Jernbaneverket frem til 1999. I år 2000 hadde SJT kun 7 ansatte til å ivareta tilsynsprosesser og faglig arbeid, og de færreste hadde jernbanefaglig bakgrunn. SJT la hovedvekten på systemtilsyn, dvs. overvåking av at selskapenes sikkerhetsorganisasjon og styringssystem var i overensstemmelse med lov og forskrifter. SJT bygget imidlertid gradvis opp sin faglige kompetanse og gjennomførte omfattende revisjoner av NSB og Jernbaneverket i 1998 og 1999. I hovedrevisjonen av Jernbaneverket i 1999 rettet SJT sterk kritikk mot Jernbaneverket for manglende system for styring av sikkerhet. 11
Konfrontasjoner om avgangsprosedyre Jernbaneverket ønsket å gjennomføre en ny avgangsprosedyre hvor togfører ("overkonduktør"/ombordansvarlig) ikke lenger har ansvar for å sjekke om toget har grønt lys. Det sikkerhetsmessige argumentet til JBV var at konduktøren heller burde konsentrere seg om å ivareta sikkerheten til av- og påstigende passasjerer. SJT mente ikke ivaretok sikkerheten på strekninger uten automatisk togstopp (ATC). Etter en lang tautrekking iverksatte Jernbaneverket den nye avgangsprosedyren 1. september 1997 uten å ha fått formell godkjennelse fra SJT. Tautrekkingen endte med at SJT lot Jernbaneverket praktisere den nye prosedyren uten å iverksette sanksjoner. 12
Ulykkesåret 2000 Åsta Lillestrøm Nelaug Ottestad
Groth-kommisjonens rapport om Åsta-ulykken (NOU 2000:30) Sentrale punkter i årsaksanalysen: Manglende utbygging av automatisk togstopp på Rørosbanen Innføring av ny avgangsprosedyre Fravær av akustisk alarm på togledersentralene Ingen sikker kommunikasjon mellom lokfører og togleder Groth-kommisjonens konklusjon: "Det er Kommisjonens syn at Åsta-ulykken fikk skje fordi det i Jernbaneverket var grunnleggende mangler i sikkerhetstenkningen og sikkerhetsstyringen. Dette innebar at den påvirkning på sikkerheten alvorlige og til dels kjente sikkerhetsmangler på Røros-banen hadde, hverken ble analysert eller fulgt opp. Disse grunnleggende mangler i sikkerhetsstyringen omfatter alle de deler av Jernbaneverkets virksomhet som Kommisjonen har sett på, og er derfor å betrakte som en alvorlig systemfeil." 14
Nytt sikkerhetsstyringssystem hos JBV I 1999 engasjerte JBV to konsulenter for å utvikle et sikkerhetsstyringssystem. Etter Åsta-ulykken styrket JBV sikkerhetsstaben sentralt og i regionene, startet omfattende opplæring i moderne sikkerhetsledelse, og sikkerhet fikk sterkt fokus i linjeledelsen. JBV har gjennomført omfattende strekningsanalyser og mange endringsanalyser Risikoanalysene førte i mange tilfelle til sikkerhetsmessig bedre løsninger, men førte også til en opphopning av sikkerhetsproblemer som venter på en endelig løsning pga. økonomi 15
Fra Havarikommisjonens granskningsrapport etter Alnabru-Sjursøya-ulykken 24. mars 2010: "Jernbaneverket hadde ikke fulgt tilstrekkelig opp sitt ansvar som infrastrukturforvalter og hovedbedrift gjennom eksempelvis helhetlige risikokartlegginger. Alnabru manglet en helhetlig sikkerhetsstyring for å fange opp risikoen som følge av de mange endringene som hadde skjedd over tid. Gjennom undersøkelsen har SHT avdekket at Alnabru ikke synes å ha blitt tilstrekkelig "sett" av Statens jernbanetilsyn. Selv om ansvaret for sikkerheten ligger hos jernbanevirksomhetene, etterlyser SHT likevel en noe mer proaktiv rolle i tilsynet med hvordan virksomheten ivaretar dette ansvaret. " 16
Spørsmål til samlivet mellom tilsyn og tilsynsobjekter innen jernbane For stort fokus på system og for lite på substans i starten pga. mangel på jernbanefaglig kompetanse hos tilsynet? Det "moderne" sikkerhetsstyringsregimet var overført direkte fra oljeindustrien. Kunne/burde dette vært gjort annerledes? SJT manglet hensiktsmessige sanksjonsmidler i forbindelse med innføring av ny avgangsprosedyre bidro denne avmakten til et anstrengt forhold til mellom JBV og SJT? Åsta-ulykken førte til en "defreeze" av kulturen hos JBV med stor åpenhet for nye sikkerhetstilnærminger og stort fokus på sikkerhet inkl. sikkerhetsstyring. Brukte SJT denne situasjonen utnyttet optimalt? Hadde SJT og andre urealistiske forventninger til nytten av risikoanalyser innen jernbanen? Ble kompleksiteten for stor for metodene og for analytikerne? Fra prosjekter om innføring av internkontroll vet vi at de virksomhetene som bygget videre på det de allerede hadde, kom bedre ut enn de som fant opp hjulet på nytt. Er denne erfaringen relevant i forhold til tilsyn i samferdselssektoren? Er de økonomiske rammebetingelsene for JBV en viktig årsak til at sikkerhetsarbeidet ikke kommer lenger? Mister risikoanalysene effekt fordi det ikke finnes tilstrekkelige ressurser til oppfølging? 17
Hva kan vi lære av konfrontasjonene mellom "gammel" og "ny" sikkerhetstenkning innen jernbanen? Ulike sektorer som petroleumsindustrien, jernbane, luftfart og vei er ulike mht. teknologi, organisering, historie, økonomisk handlingsrom og andre rammebetingelser for sikkerhetsarbeid Disse ulikhetene tilsier at et sikkerhetsstyringsregime ikke bør overføres ukritisk og uten tilpasninger fra én sektor til en annen Innen alle sektorer gjøres det allerede mye godt sikkerhetsarbeid som er lite synlig for utenforstående Sikkerhetsarbeidet er ofte basert på lokal kunnskap Sikkerhet er en "ikke-hendelse", vi tar vi den for gitt, den blir usynlig For enhver tilsynsvirksomhet vil det være en utfordring å finne balansen mellom å bringe inn impulser fra andre sektorer og å ta høyde for den enkelte sektors særpreg å fungere som pådriver ved å påpeke svakheter og forbedringspotensial, og samtidig respektere og støtte opp under godt sikkerhetsarbeid som allerede gjøres å fremme gjensidig læring mellom tilsynsorgan og tilsynsobjekt. 18
Forslag til videre lesning Bergh, T. (2004): Jernbanen i Norge 1854-2004. Bind 1: Nye spor og nye muligheter 1854-1940. Bergen: Vigmostad & Bjørke Gulowsen, J. og Ryggvik, H. (2004): Jernbanen i Norge 1854-2004. Bind 2: Nye tider og gamle spor 1940-2004. Bergen: Vigmostad & Bjørke. Rosness, R. (2008): Sikkerhet på skinner? Oppfatninger om sikkerhet på norske jernbaner 1950-2000. Rapport SINTEF A3144. Trondheim: SINTEF Teknologi og samfunn. (Kan lastes ned gratis fra www.sintef.no. Velg "SINTEF Teknologi og Samfunn", "Sikkerhet", "Rapporter" og rull ned til 2008.) NOU 2000:30. Åsta-ulykken, 4. januar 2000. Oslo: Statens forvaltningstjeneste. 19