AI Disclosure: A cikk elkészítéséhez generatív AI-eszközöket is használtam. A végső tartalomért és annak pontosságáért a szerző vállal felelősséget.
Egy modern nagysebességű vasúti rendszernek elvileg akkor is biztonságosan kell működnie, ha valamelyik eleme meghibásodik. A biztosítóberendezés feladata éppen az, hogy az emberi hibákból ne lehessen katasztrófa. A spanyolországi Urda közelében történt vasúti baleset azonban kellemetlen kérdéseket vet fel arról, hogy mi történik akkor, amikor egyszerre több biztonsági réteg is elégtelennek bizonyul.
A baleset elsődleges oka egyelőre vizsgálat alatt áll. Az eddig nyilvánosságra került információk alapján azonban már most érdemes beszélni egy olyan jelenségről, amely jóval túlmutat a vasúti közlekedésen: a technológiai hibák normalizálódásáról és az emberi döntéshozatal korlátairól.
Egy meghibásodás, amelynek nem lett volna szabad katasztrófához vezetnie
2026. október 28-án a Madrid–Sevilla nagysebességű vasútvonalon, Urda közelében egy Renfe AVE szerelvény hátulról nekiütközött egy előtte álló Iryo vonatnak. A tragédiában több tucat ember életét vesztette.
A balesetet megelőzően meghibásodott a vonalon működő LZB (Linienzugbeeinflussung) vonatbefolyásoló rendszer. A számítógépes kommunikációs hiba egy körülbelül 63 kilométeres szakaszon érintette a rendszert, és az érintett vonatok automatikusan megálltak.
Az LZB nem egyszerű jelzőlámpás rendszer. Folyamatosan felügyeli a vonatok mozgását, meghatározza a megengedett sebességet és szükség esetén automatikus fékezést kezdeményez. Meghibásodásakor tehát nem pusztán egy kényelmi funkció esik ki: a közlekedés egyik legfontosabb biztonsági rétege válik elérhetetlenné.
A forgalomirányítás ezt követően átvette a közlekedés kezelését. A nyilvánosságra került információk szerint az AVE 8:36 körül engedélyt kapott az újraindulásra, normál közlekedési feltételekkel. Mintegy 17 perccel később bekövetkezett az ütközés.
A spanyol közlekedési miniszter szerint a vonatnak korlátozott, látótávolságon belüli közlekedést kellett volna folytatnia, amely lényegesen alacsonyabb sebességet és folyamatos akadályfigyelést követel meg.
Az El País által október 30-án ismertetett szakértői értelmezés szerint a forgalomirányító által kiadott LZB4 engedély helyett LZB3 eljárásra lett volna szükség. Ennek pontos műszaki és eljárásrendi értelmezését a vizsgálatnak kell tisztáznia.
A technológia nem helyettesíti a biztonsági kultúrát
A történet egyik különösen érdekes eleme, hogy az LZB problémái nem feltétlenül voltak ismeretlenek az üzemeltetők előtt.
Az Iryo vezérigazgatója már október elején, a spanyol szenátus előtt beszélt arról, hogy a mozdonyvezetők rendszeresen jeleztek LZB-vel kapcsolatos problémákat. A rendszer kiesése esetenként a vonatok megállását és az újraindítás nehézségeit okozta.
Ez önmagában még nem bizonyítja, hogy a rendszer veszélyesen működött, vagy hogy a személyzet megszokta volna a biztonsági előírások megkerülését. Arra viszont rámutat, hogy a visszatérő műszaki problémák nem maradhatnak pusztán üzemeltetési kellemetlenségek.
Van egy veszélyes szervezeti folyamat, amelyet a biztonságtechnikai szakirodalom a deviancia normalizálódásának nevez.
A jelenség lényege egyszerű: egy rendszerben időről időre előfordul egy szabálytalan vagy kockázatos működés. Mivel a következményei elmaradnak, a szervezet fokozatosan elfogadhatónak kezdi tekinteni. Ami korábban rendkívüli esemény volt, abból rutin lesz.
Egy meghibásodás, egy kerülőeljárás, egy kivételes engedélyezés. A vonat végül célba ér, az utasok biztonságban megérkeznek, ezért a szervezet azt a következtetést vonhatja le, hogy a gyakorlat működik.
Csakhogy a baleset elmaradása nem bizonyítja az eljárás biztonságosságát.
A svájci sajtmodell: amikor a lyukak egy vonalba kerülnek
James Reason brit pszichológus biztonságkutatási modellje, a svájci sajtmodell (Swiss Cheese Model) jól szemlélteti, hogyan következhet be egy súlyos baleset.
Egy összetett rendszerben több egymást követő biztonsági réteg működik. Mindegyiknek vannak gyenge pontjai, de normál esetben ezek nem esnek egybe.
A vasúti közlekedésben ilyen réteg lehet:
- a pályamenti biztosítóberendezés;
- a fedélzeti vonatbefolyásoló rendszer;
- a forgalomirányítási protokoll;
- a diszpécser döntéseinek ellenőrzése;
- a mozdonyvezető helyzetfelismerése;
- a szervezeti felügyelet és a karbantartás.
Ha egyetlen réteg hibázik, a többi még megakadályozhatja a balesetet.
A spanyol esetben a vizsgálatnak éppen azt kell feltárnia, hogy ezek közül melyik réteg hogyan működött, és hol keletkezett olyan rés, amelyen keresztül a veszély végül eljutott az utasokig.
A jelenleg ismert adatok alapján egy lehetséges forgatókönyv a következő: meghibásodott az elsődleges vonatbefolyásoló rendszer, a tartalék eljárás alkalmazásakor hibás menetengedély született, a forgalomirányítás nem korrigálta a helyzetet, és a további műszaki védelmek sem akadályozták meg az ütközést.
Ez azonban egyelőre elemzési modell, nem a vizsgálat végleges megállapítása.
Hol volt a második ember?
A baleset egy másik fontos kérdést is felvet: miért nem volt szükség egy második forgalomirányító jóváhagyására?
A repülésben, az egészségügyben és az ipari folyamatirányításban is találunk olyan kritikus műveleteket, amelyeknél a második ember ellenőrzése csökkentheti az egyéni tévedések kockázatát. Ezt nevezik négyszem-elvnek.
Nem lenne életszerű minden vasúti forgalomirányítói döntést két emberhez kötni. A normál üzemet ez indokolatlanul lelassítaná. Egy rendkívüli, több tíz kilométeres szakaszt érintő biztosítóberendezési hiba azonban egészen más kategória.
Ilyenkor indokolt lehet egy független ellenőrzési pont: a forgalomirányító meghozza a döntést, egy másik munkatárs ellenőrzi az engedélyezés feltételeit, a műszaki rendszer pedig továbbra is megakadályozza a tiltott műveleteket.
Egyelőre nem tudjuk, hogy az adott helyzetben volt-e kötelező második jóváhagyás, és ha nem, milyen kockázatelemzés alapján alakították ki a szabályozást.
De a kérdés jogos: egyetlen ember döntése elegendő lehetett-e ahhoz, hogy egy nagysebességű vonat normál sebességgel továbbhaladjon egy olyan szakaszon, ahol a központi biztonsági rendszer nem működött?
Az automatizálás paradoxona
A modern technológia egyik legnagyobb ígérete, hogy csökkenti az emberi hibák számát. A probléma azonban az, hogy az automatizálás nem szünteti meg az emberi tényezőt, hanem áthelyezi azt.
A mozdonyvezető feladata például egyre kevésbé a folyamatos sebesség- és távolságszabályozás, és egyre inkább a rendszer felügyelete, a rendkívüli helyzetek kezelése.
Ez új típusú kockázatokat hoz létre.
Az automatizált rendszer normál működés közben megbízható és kiszámítható. Az ember azonban ritkán kerül olyan helyzetbe, amikor teljes egészében neki kell átvennie az irányítást. Amikor ez mégis megtörténik, előfordulhat, hogy a rendelkezésére álló információk hiányosak, a helyzet szokatlan, az idő pedig kevés.
A másik probléma az automatizálási függőség. Ha a személyzet hosszú időn keresztül egy megbízhatónak tartott rendszerre támaszkodik, könnyen elveszítheti a gyakorlatát a manuális vagy tartalék eljárások alkalmazásában.
Ez nem feltétlenül egyéni alkalmatlanság. Sokkal inkább az ember és a technológia közötti munkamegosztás következménye.
A biztonság nem egyetlen ember felelőssége
A baleset vizsgálatának természetesen meg kell állapítania a konkrét eseménysort, a felelősségi viszonyokat és az esetleges emberi hibákat. De ha a vizsgálat végén mindössze annyi lesz a tanulság, hogy egy forgalomirányító rossz engedélyt adott ki, akkor könnyen lehet, hogy a legfontosabb kérdéseket meg sem válaszoltuk.
Miért volt lehetséges ilyen menetengedélyt kiadni? Miért nem akadályozta meg a rendszer a potenciálisan veszélyes döntést? Volt-e független ellenőrzési pont, és ha nem, miért nem tartották szükségesnek? Milyen gyakran hibásodott meg az LZB, és hogyan kezelték ezeket az eseteket? Vajon a korábbi üzemzavarok során kialakult-e olyan gyakorlat, amelyben a rendkívüli eljárások idővel megszokottá váltak? És talán a legkényelmetlenebb kérdés: volt-e olyan szervezeti vagy gazdasági nyomás, amely a forgalom mielőbbi helyreállítását a biztonsági szempontok elé helyezte?
Ezekre egyelőre nincs mindenre kiterjedő válaszunk. A baleset vizsgálata még folyamatban van, ezért fontos különválasztani a bizonyított tényeket a lehetséges magyarázatoktól. De már maga a kérdésfelvetés is túlmutat a spanyol vasúti közlekedésen. Minden olyan szervezetnek szembe kell néznie vele, amely komplex technológiai rendszereket üzemeltet, és ahol az automatizálás mellett embereknek kell rendkívüli helyzetekben döntéseket hozniuk.
A biztonság ugyanis nem azt jelenti, hogy egy rendszer normál körülmények között jól működik. Hanem azt, hogy akkor is képes biztonságos állapotban maradni, amikor valami elromlik, valaki hibázik, vagy egyszerre több kedvezőtlen körülmény következik be.
Egy jól megtervezett biztonsági rendszer nem az emberi hibát próbálja kizárni. Azt akadályozza meg, hogy az emberi hiba katasztrófává válhasson.
AI Disclosure: A cikk elkészítéséhez generatív AI-eszközöket is használtam. A végső tartalomért és annak pontosságáért a szerző vállal felelősséget.