GSM-R für ETCS L2 in Deutschland (Allgemeines Forum)

sb, Mittwoch, 25.06.2014, 01:52 (vor 3616 Tagen) @ Mecki

Während im Lötschbergbasistunnel (Schweiz) bei Ausfall einer GSM-R-Funkzelle stets eine redundante GSM-R-Funkzelle zur Verfügung steht – der Unfall Frutigen 16.10.2007 war ein Softwarefehler in der ETCS-Streckenzentrale –, halte ich manche deutsche Überlegungen einer nicht-redundanten GSM-R-Auslegung im Falle von ETCS L2 für fragwürdig:

(hierzu gibt es glücklicherweise sogar eine öffentliche Bestätigung...)

"Es ist richtig, dass nicht das gesamte für ERTMS Level 2 vorgesehene Streckennetz vollständig mit zwei GSM-R-Funkzellen abgedeckt ist. Aus technischen und wirtschaftlichen Gründen ist eine vollständig redundante Doppelausrüstung mit GSM-R-Funkzellen auch nicht notwendig.

Damit eine kontinuierliche Verbindung zwischen Strecke und Triebfahrzeug aufrechterhalten werden kann, reicht eine Überlappung der Funkzellen in den Randbereichen (...). In dem Bereich der Überlappung findet das Zellen-Handover statt. (...)"

– Soweit BMVBS-Staatssekretär Ferlemann in seiner Antwort vom 29.11.2012 auf eine Bundestagsanfrage. Er führt weiter aus:

"Der Ausfall einer Funkzelle kann durch verschiedene Maßnahmen kompensiert werden. Ein entsprechendes Rückfallkonzept ist z.Zt. [Anm.: 11/2012] in der Abstimmung zwischen EBA und DB. Dabei gibt es z.B. folgende Möglichkeiten:

- Die Sendeleistung der Nachbarzellen wird erhöht, so dass eine vollständige Abdeckung wieder gewährleistet ist.
=> Keine betrieblichen Auswirkungen"

--> Hierbei ist jedoch anzumerken, dass dies nur im Flachland bzw. in Bereich ohne störende Dämpfung problemlos möglich ist; d.h. diese Variante ist nicht überall uneingeschränkt anwendbar.

"- Bevor ein Triebfahrzeug eine Fahrerlaubnis erhält, wird streckenseitig der sichere Fahrweg festgestellt und blockiert. Reist die Funkverbindung nur kurz ab, kann davon ausgegangen werden, dass der Fahrweg nach wie vor sicher ist. Eine Stoppuhr überwacht die Dauer des Funkausfalls und greift nur bei Bedarf ein. Diese Stoppuhr ist in der ETCS Spezifikation vorgesehen. Ihr Wert wurde vom EBA festgelegt. Sie ist so eingestellt, dass bei einem Funkabbruch ein erneuter Anwahlversuch vorgenommen werden kann, bevor es zu einer Zwangsbetriebsbremsung kommt.
=> Keine betrieblichen Auswirkungen bei kurzen Störungen"

--> Gegen doppelte Fehler gegenprüfen, z.B. gegen falsch verbundener Wiederaufnahme der Funkverbindung.

"- Ist der Ausfall einer Funkzelle im Vorfeld bekannt, wird der Zug über das Funkloch informiert und deaktiviert für diese Zeit die o. g. Stoppuhr. Die Fahrerlaubnis wird über das Funkloch hinaus gegeben. Dieses Verfahren ist nach Angaben des EBA unter bestimmten Randbedingungen (im Rückfallkonzept erläutert) für den Ausfall einer Funkzelle geeignet.
=> Keine betrieblichen Auswirkungen beim Ausfall von nur einer Funkzelle"

--> Hierdurch würde die Grundfunktionalität von ETCS Level 2 hinsichtlich der kontinuierlichen Datenübertragung missachtet; deshalb müsste dieser Fall gemäß §28(1)5 EBO mindestens mit einer Geschwindigkeitsbeschränkung auf maximal 160 km/h verknüpft sein, da der Zug im Funkloch nicht mehr "geführt" werden kann.

"- Sollten mehrere Funkzellen ausgefallen sein oder wird die Funkverbindung lägnere Zeit unterbrochen, müssen die üblichen Rückfallebenen bei einer Signalstörung angewendet werden:

o Das Triebfahrzeug wechselt von ETCS Level 2 in die LZB (falls vorhanden):
=> Einige Minuten Verzögerung, bis das Triebfahrzeug in die LZB aufgenommen werden kann.

o Das Triebfahrzeug wechselt von ETCS Level 2 in die PZB (falls vorhanden):
=> Weiterfahrt nur mit maximal 160 km/h

o Das Triebfahrzeug wechselt von ETCS Level 2 nach Level 1 (falls vorhanden):
=> Weiterfahrt nur mit maximal 160 km/h

o Der Fahrdienstleiter gibt dem Triebfahrzeugführer einen schriftlichen Befehl:
=> Weiterfahrt nur mit maximal 40 km/h"

--> Wechsel von ETCS L2 nach LZB bzw. PZB bzw. ETCS L1 bzw. zur Weiterfahrt nach schriftlichem Befehl erscheinen mir nur solange unkritisch, solange dieser Wechsel rechtzeitig vor den ausgefallen Funkzellen vollständig und sicher abgeschlossen ist.

"- Der Ausfall einer oder mehrerer GSM-R-Funkzellen kann im Bereich des Sprachfunks durch nationales Roaming mit den kommerziellen GSM-Anbietern (momentan D1-Netz [Anm.: 11/2012]) kompensiert werden."

--> Eine Nutzung allgemeiner GSM-Netze für sicherheitsrelevante Datenübertragungen widerspricht eigentlich der einst aus Sicherheitsgründen geltenden Trennung beider Datenübertragungsbereiche; ob sowohl diese Sicherheit als auch die nötige Komponentenzuverlässigkeit und Systemverfügbarkeit mit kryptographischen Verfahren wirklich vollständig gewährleistet werden kann, wage ich zu bezweifeln.

Mein Fazit:

Eine redundante GSM-R-Funkzellen-Abdeckung wie in der Schweiz hat auch ihre erheblichen betrieblichen Vorteile, welche bei einem Vergleich der Wirtschaftlichkeit gerade im sicherheitsorientierten Eisenbahnwesen ebenso berücksichtigt werden müsste.