Крушение близ станции Паддингтон

Скоростной InterCity 125, Class 43 No. 43079 (254012, идентичный составу, участвовавшему в катастрофе

Пригородный дизель-поезд Class 165 No. 165119, идентичный составу, участвовавшему в катастрофе

Скоростной восьмивагонный дизель-поезд InterCity 125 5 октября 1999 года в 6:03 по Британскому летнему времени отправился с железнодорожного вокзала в Челтнеме в Лондон. Расстояние между этими городами по железной дороге составляет больше 160 км, его со всеми остановками в пути поезд проходит за 2,1 часа. Многие пассажиры подсаживались на станциях по пути следования InterCity 125, и когда скоростной поезд прошёл все станции, в его вагонах находилось более 400 человек (некоторые пассажиры стояли в тамбурах, а по приближении к конечной станции стали проходить ближе к голове состава, чтобы сэкономить время на вокзале). Управлял скоростным поездом в тот день опытнейший машинист, 52-летний Брайан Купер (англ. Brian Cooper). Поезд состоял из восьми вагонов типа Mark 3 с дизельными локомотивами Class 43 с обеих сторон.

В 8:06 с паддингтонского вокзала отправился трёхвагонный пригородный дизель-поезд British Rail Class 165 компании Thames Trains, которым управлял неопытный 31-летний Майкл Ходдер (англ. Michael Hodder)[4].

Станция Паддингтон имеет очень сложное путевое развитие. В 3,2 км от Паддингтона находился стрелочный перевод, оборудованный маршрутными светофорами SN109 и SN120. В этом месте к главному пути, по которому двигался скоростной InterCity 125, примыкал боковой, по которому во встречном направлении шёл пригородный. Отдельные пути для скоростного движения не были предусмотрены. Стрелка была переведена вдоль главного пути. На I-образном светофоре SN120, который находился по пути следования скоростного поезда, горел зелёный. Следовавший по примыкающему пути пригородный поезд должен был остановиться перед стрелкой и пропустить IC125, поскольку на L-образном светофоре SN109 по пути следования Class 165 у стрелки Портобелло горел красный сигнал. Перед SN109 на пути Class 165 находился светофор SN87, на котором горел жёлтый сигнал, означавший «поезд может продолжать движение, но нужно быть готовым остановиться у следующего сигнала».

Автоматическая система оповещения машиниста локомотива в те годы не была совершенной. При прохождении поезда на красный или жёлтый свет в кабине машиниста раздавался резкий жужжащий звук зуммера, после чего машинист нажимал кнопку подтверждения. Однако такая система не сообщала о том, какой конкретно сигнал на светофоре, а была направлена лишь на сосредоточение внимания машиниста при прохождении светофора. Этот недостаток сыграл роковую роль: машинист пригородного поезда Майкл Ходдер принял красный сигнал за жёлтый и продолжил ускорение. Роковую роль сыграла медлительность диспетчеров. По правилам, как только поступает информация, что поезд проехал на запрещающий сигнал, поездной диспетчер должен отправить машинисту команду «EMERGENCY ALL STOP!», после получения которой машинист должен незамедлительно остановить поезд без предварительного выяснения причин. Однако эта команда была отправлена с большой задержкой после того, как диспетчер заметил, что поезд увеличивает скорость. Диспетчеры ожидали, что Ходдер сам разберётся, что проехал на красный, и остановится.

Машинисты обоих поездов применили экстренное торможение после установления визуального контакта между своими составами, но предотвратить катастрофу это уже не могло. В 8:08 скоростной InterCity 125 и пригородный Class 165 столкнулись лоб в лоб прямо на стрелочном переводе на суммарной скорости 210 км/ч. Более тяжёлый и двигавшийся с большей скоростью состав InterCity 125 обладал соответственно большей кинетической энергией. После столкновения он придал обратное ускорение более лёгкому поезду British Rail Class 165, разрушая его кузов. Сразу после удара у Class 165 повредились топливные баки, из которых на большой скорости было выброшено дизельное топливо. Оно тут же воспламенилось, вероятнее всего от искры в повреждённой столкновением контактной сети. Прогремел мощный взрыв, и первые вагоны оказались охвачены огнём[5].

В результате катастрофы в обоих поездах погиб 31 человек, из них 23 пассажира поезда British Rail Class 165, 6 пассажиров поезда InterCity 125 и машинисты обоих составов. Два первых вагона Class 165 и ведомый локомотив IC 125 были полностью уничтожены. Пламя с горящих обломков быстро перекинулось на уцелевшие вагоны. За несколько минут почти полностью выгорел первый вагон скоростного поезда. Из 554 человек, находившихся в обоих составах, выжило 523, из них 227 были госпитализированы с повреждениями различной степени тяжести, остальные 296 с незначительными травмами отказались от госпитализации[6]. Тело машиниста Купера после столкновения вылетело из локомотива и было обнаружено за сошедшими с рельс вагонами его поезда[7]. По словам очевидцев, в результате столкновения в окна вылетели некоторые из пассажиров[8].

Схема движения поездов перед столкновением. Над стрелками указана приблизительная скорость каждого (в км/ч).

Светофор SN109. На рисунке а схема падения солнечных лучей на светофор. На рисунке б красный сигнал, неосвещённый солнцем; на рисунке в показано, как приблизительно выглядел красный сигнал при падении на него солнечных лучей. На рисунке г жёлтый сигнал и его расположение на светофоре.

После изучения обломков поезда Class 165 было выяснено, что все системы работали исправно и следов террористического акта или саботажа не было найдено. Отсюда следствие исключило автоматически отказ тормозов как возможную причину крушения. Внимание экспертов сосредоточилось на светофоре SN109, имевшую форму зеркально отражённой буквы «L» — нетипичную для железных дорог Великобритании. Обычно британский железнодорожный светофор представляет собой вертикальный ряд из четырёх сигналов: сверху — жёлтый, далее — зелёный и второй жёлтый и внизу — красный. У SN109 красный сигнал располагался на боковой секции[9], но его невозможно было хорошо разглядеть издалека из-за большого скопления элементов воздушной контактной сети[10].

Следователи изучали внимательно личное дело Ходдера. Они смогли исключить распространявшуюся версию о возможном умышленном самоубийстве Ходдера, но обнаружили, что у машиниста было крайне мало опыта. Ходдер получил квалификацию машиниста всего две недели тому назад[11] и во время обучения испытывал трудности как минимум в двух сферах: умениях справляться с чрезвычайными ситуациями и обнаруживать ошибки машинистов при прохождении светофоров на запрещающие сигналы[4]. Ходдер не был предупреждён о том, что прохождение SN109 крайне затруднительно из-за сложной позиции: за последние шесть лет было зафиксировано восемь инцидентов, причём однажды машинист сказал, что SN109 выглядел как чёрная точка[12]. Один из машинистов, проходивших в день катастрофы в 7:50 у светофора, сообщал, что «сигналы светофора горели как рождественская ёлка»[13]. С 1998 года британские машинисты настоятельно требовали убрать светофор SN109 или полностью перепроектировать его, из-за чего машинисты высокоскоростных поездов вынуждены были ходить по другому маршруту, не связанному с сигналом SN109.

Следствие, изучая также погодные условия утром 5 октября, выяснило, что в тот день была ясная погода, а утром осеннее солнце стояло низко и светило прямо на линзу светофора, и солнечные лучи отражались от неё. Сигнализация же работала исправно на станции Паддингтон: на светофоре SN87, который предшествовал светофору SN109, горел жёлтый, а следовательно, за ним должен был гореть красный, предупреждавший машиниста о том, что следующий светофор закрыт. Ходдер, не знакомый с вариациями расположения сигналов на светофоре и не обладавший достаточным опытом, из-за ограниченной зоны видимости и солнца увидел не такой насыщенный и яркий сигнал светофора, каким должен быть красный[14]. Майкл Ходдер по ошибке принял его за жёлтый, после чего приступил к ускорению[15]. Впоследствии компания «Thames Trains», которой принадлежал поезд и которая обучала Майкла Ходдера, была оштрафована за неудовлетворительную подготовку машинистов.

Для обеспечения двустороннего движения в начале 1990-х годов компания British Rail изменила схему дорог[16]. Большая часть светофоров оказалась между воздушными путями, а разглядеть их и тем более понять, какой светофор к какой дороге относится, было достаточно сложно[17][18]. Несмотря на попытки добавить знаки-идентификаторы[19], зачастую их располагали не рядом с дорогой, а рядом со светофором. При этом путаница в светофорах не могла привести к катастрофе, так как красный свет загорался на всех восьми светофорах на стрелке одновременно[20].

Расстановка светофорных сигналов была предназначена для того, чтобы обеспечить быстрое движение грузовых поездов[21]. Сигнальный мостик №8 располагался не дальше 100 метров от железнодорожного моста и не на большой высоте, что позволяло машинистам поездов, уходящих с Паддингтонского вокзала, в принципе увидеть сигнал светофора. Чтобы позволить машинистам ещё раньше замечать сигналы светофоров, вертикальные светофоры заменили на L-образные, на которых красный сигнал располагался на боковой секции, слева от жёлтого[9]. При этом Железнодорожный инспекторат Её Величества ещё не дал разрешения в тот день, когда случилась катастрофа[22]

Визуальному контролю сигналов мешала густая сеть элементов контактной подвески. Красный сигнал светофора SN109 из-за большого количества воздушных линий был плохо заметен за проводами[23]. Следствие сделало следующее заключение на основе показаний машинистов, проходивших под сигналом светофора и видевших сигнальный мостик №8[10]:

...адекватно не были отмечены все возможные затруднения, с которыми могли столкнуться машинисты с момента своего отправления, особенно в плане обнаружения сигналов светофора, от чего критически зависела безопасность пассажиров. Во-вторых, когда появились затруднения, схему не переработали должным образом. Было сопротивление попыткам ответить на вопросы по поводу того, что уже было сделано. Стоимость, задержка и влияние на достижение целей усиливали только подобное сопротивление.

Оригинальный текст (англ.)[показатьскрыть]

...from the outset there was not an adequate overall consideration of the difficulties which would face drivers, in particular in signal sighting, on which the safety of travellers critically depended. Secondly, when difficulties did emerge, there was not an adequate reconsideration of the scheme. There was a resistance to questioning what had already been done. Cost, delay and interference with the performance objectives underlay that resistance.

Все новые или видоизменённые сигналы светофоров[24], а также те светофоры, которые часто проезжались на красный свет[25], необходимо было перепроверять при участии специального комитета на предмет возможности распознавания сигнала: с апреля 1994 года ответственность за проверку возложили на компанию Railtrack. Внутренний аудит за март 1999 года гласил, что компания принимала соответствующие меры, однако последующий аудит в сентябре 1999 года показал, что никакие исправительные меры не предпринимались в принципе[26].

Невозможность созвать комитеты по наблюдению за сигналами светофора была постоянной и серьёзной. Это произошло [...] в связи с сочетанием фактора некомпетентного управления[27] и несоответствующих действий, которые свелись к тому, что на высоком уровне не было процесса определить, были ли вообще люди, способные созывать подобные комитеты, или нет[28].

Оригинальный текст (англ.)[показатьскрыть]

The failure to have signal sighting committees convened was persistent and serious. It was due ... to a combination of incompetent management and inadequate process, the latter consisting in the absence of a process at a higher level for identifying whether those who were responsible for convening such committees were or were not doing so.

Со временем появилось огромное количество предложений и рекомендаций по управлению рисками, связанными с отображением сигналов светофоров на станции Паддингтон, однако ни одно из предложений не было рассмотрено[29]. Факты проезда на запрещающий сигнал на светофоре SN109, имевшие место в августе 1998 года, также должны были стать предупреждением, однако не было принято никаких действий. После расследования проездов на запрещающий сигнал в феврале 1998 года на том же SN109 были подготовлены рекомендации по управлению рисками на данном светофоре, регулировавшем движение по главному пути в обе стороны, но ни на какие из данных рекомендаций никем не было обращено внимание[30]. Одному из сотрудников компании, который формально отвечал за отслеживание действий, и вовсе заявили: с него снимается всякая ответственность, как только кто-нибудь примет поступившее распоряжение, и она не распространяется на проверку того, было ли исполнено соответствующее распоряжение[31].

С февраля 1998 года и вплоть до инцидента существовали четыре отдельные группы, которые ставили своей целью снижение количества проездов на запрещающие сигналы светофоров. При этом пересекались друг с другом и обязанности, и членство в каждой из групп[32]. Менеджер компании Railtrack рассказывал следствию, что в октябре 1998 года задался вопросом: «Почему столько хороших людей умудрились совершить настолько мало полезных действий?» По его мнению, на людей возлагались сразу несколько видов обязанностей, с которыми они попросту не могли справиться из-за из сложности и из-за неправильной расстановки приоритетов; также люди находились не на своих позициях, не обладая соответствующими компетенциями, а в целом «корпоративная культура застопорилась на одном и том же месте на много лет»[32]. Исполнительный директор Railtrack говорил о том, что в компании господствовала культура самоуспокоения и бездействия, которая отражала некоторые привычки работников British Rail:

Культура — это когда решения идут снизу вверх, но имело место лишь небольшое расширение полномочий. Люди управляли, как правило, по реактивному принципу, а не проактивному. Стандартный принцип управления «планируй — делай — анализируй» становился тем меньше заметным, чем ниже по организации мы спускались[33].

Оригинальный текст (англ.)[показатьскрыть]

The culture is one in which decisions are delegated upwards. There has been little empowerment. People have tended to manage reactively, not proactively. The basic management discipline of 'plan-do-review' is absent the further down the organisation one goes.

У компании British Rail оператором Thames Trains была перенята программа обучения машинистов[34], однако она претерпела к февралю 1999 года ряд серьёзных изменений вследствие чего потребовалась независимая проверка программы, по итогам которой были сделаны следующие выводы[35]:

Инструкторы не следовали заявленной программе учебного курса и вспомогательным материалам, поскольку считали, что всё это «не соответствует цели» и что на некоторые занятия отводилось непозволительное количество времени. Раздел курса «Тяга и введение в управление» был расширен, и шестинедельные курсы изучения маршрута стали дополнительным практическим занятием.

Оригинальный текст (англ.)[показатьскрыть]

The trainers did not appear to be following the training course syllabus and supporting notes as they considered these to be 'not fit for purpose' with inappropriate time allowances for some sessions. The traction and introduction to driving section of the course has been extended and the six week route learning session is being used as additional practical handling.

Майкл Ходдер проходил 16-недельный курс машиниста поезда под руководством инструктора, который заявлял, что пришёл учить не маршрутам, а собственно управлению поездом, однако до руководства курсов эти сведения не доходили[36]. Инструкторы должны были получать сведения о том, под какими светофорами машинисты проезжали на запрещающие сигналы, и сообщать об этом ученикам, однако ничего из этого не предпринималось[37]; на обучении Ходдера и вовсе не сообщалось о том, что именно происходило с SN109[36]. Обучение и проверка учеников были неструктурированными и нестандартизированными: ясных критериев зачёта/незачёта и сдачи/несдачи экзаменов попросту не было[38]. В компании British Railways обучение было более серьёзным, поскольку ученики не только тратили больше времени на теорию и практическое вождение — более того, они не имели права вести поезд по злополучному маршруту из Паддингтона и в Паддингтон до тех пор, пока их стаж на менее сложных участках не достигнет двух лет[39]. Ходдер, который проходил службу на флоте, стал официально машинистом за 13 дней до аварии, не имея никакого опыта работы в системе железнодорожного транспорта, однако организаторы курсов проигнорировали этот момент[40]. В отчёте об обучении Ходора говорилось:[41]

Необходимо признать, что обучение [машиниста] не соответствовало задачам, к выполнению которых он готовился. Крайне одобрительные комментарии, которые делали учителя по поводу его успехов, необходимо рассматривать в том контексте, что у преподавателей была отнюдь не идеальная учебная программа.

Оригинальный текст (англ.)[показатьскрыть]

It must be concluded therefore that [the driver's] training was not adequate for the task for which he was being prepared. The very favourable comments made as to his progress by his various teachers have to be viewed against the background that his teachers were working with a less than perfect training programme.

Поезд BR Class 165 был оборудован британской автоматической системой предупреждения Automatic Warning System (AWS), которая предупреждала машиниста всякий раз, когда он приближался к светофору, на котором горел или жёлтый, или красный сигнал (какой именно — система уточнить не могла). Предотвращение прохождения поезда на красный свет могла предотвратить система автоблокировки ATP: в таком случае сработали бы тормоза. Рекомендации установки системы ATP на все поезда последовали ещё после катастрофы на Клэпхем-Джанкшен 1988 года, однако от этого отказались, поскольку меры безопасности не были признаны достаточными, чтобы оправдать расходуемые на них средства[42]. Позже компания Thames Trains инициировала проведение анализа затрат и выгод, который привёл абсолютно к тем же выводам[43]. После аварии разумность этих решений была поставлена под сомнение, однако расследование лорда Каллена подтвердило, что в документах по итогам анализа затрат и выгод не содержалось рекомендаций в поддержку системы ATP[44].

На подходах к станции Паддингтон отсутствовала система так называемой «боковой защиты» (англ. flank protection), которая переводила бы поезд за стоп-сигналом на другие пути, чтобы предотвратить возможное столкновение. Следствие полагало, что возможность установки подобной системы должна была рассматриваться ещё на стадии проектирования вокзала и путей, однако подобные предложения не вносились. Если бы такая система имелась, она должна была гарантированно перевести поезд на безопасный путь[45]. Причины отсутствия подобной системы не были установлены, однако следствие отметило, что при предыдущих анализах должны были выдвигаться предложения об обязательной установке системы ATP[46].

Согласно инструкциям диспетчерской Railtrack, находившейся в городе Слау, в случае прохождения поезда на запрещающий сигнал светофора машинисту подавалось соответствующее предупреждение, а по радиосвязи с помощью аналоговой системы Cab Secure Radio (CSR) машинисту передавалось сообщение «Emeregency all stop»[47]. Согласно показаниям диспетчеров, они отправили сообщение только тогда, когда поезд Thames уже успел проехал 200 м за светофором SN109, однако следствие выражало большие сомнения не только в том, была ли реакция машиниста на сигнал, но и было ли отправлено сообщение вообще[48]. Глава диспетчерской утверждал, что они просто ждали, пока машинист сам осознает свою ошибку и остановится[49]. Диспетчеры не обучались использованию системы CSR и никогда не использовали её в случае проезда поездов на красный свет[50]. Следствие пришло к следующим неутешительным выводам[51]:

В целом складывалось впечатление, что царила вялая и самодовольная обстановка, в которой диспетчеры не понимали ни потенциальных катастрофических последствий проезда на запрещающий сигнал, ни того, какие надо предпринять действия, чтобы справиться в таких ситуациях.

Оригинальный текст (англ.)[показатьскрыть]

The general picture which emerged was of a slack and complacent regime, which was not alive to the potentially dire consequences of a SPAD or of the way in which signallers could take action to deal with such situations.

Управление по охране труда Великобритании, действовавшее на тот момент при железнодорожной инспекции Её Величества, подверглось критике за несоблюдение требований при проведении инспекций. Действовавший глава Управления на допросе заявил, что само Управление было обеспокоено несколькими вещами: длительностью утверждения схемы светофоров в Паддингтоне и реакции на проезд на красный свет; медленным прогрессом Railtrack и самой инспекции в решении проблем; ошибками в анализе рисков. Ошибки в работе списывались на три серьёзные причины:[52]

• нехватка ресурсов со стороны инспекции;
• недостаточная активность инспекции при решении проблем;
• чрезмерное доверие руководителям.

За две недели до катастрофы Управление по охране труда объявило о намерениях сделать к 2004 году обязательной установку системы предупреждения Train Protection & Warning System (TWPS). Эта система является дальнейшим развитием AWS: она могла бы обеспечить автоматическую остановку поездов, движущихся со скоростью до 112 км/ч, которые проезжали на красный свет. При намного меньшей собственной стоимости система TWPS обеспечивала эффективность, эквивалентную примерно двум третьим от эффективности, обеспечиваемой системой AWS. Через неделю после Паддингтонской аварии Управление объявило, что установка должна стать обязательной к 2003 году «в связи с обильной критикой общественностью системы управления железнодорожным движением» (англ. in the light of strong public criticism of railway management).

Исследование проблемы на национальном уровне привело к следующему заключению: у систем ATP и AWS, эксплуатировавшихся с 1958 года, были обнаружены очень серьёзные проблемы в плане надёжности, а их технологию признали устаревшей и несовместимой с процедурами Евросоюза по стандартизации и с вводимой Европейской системой управления движением поездов (ECTS). В течение года после Паддингтонской аварии железнодорожная промышленность заинтересовалась принятием системы TWPS. Несмотря на выражаемые «значительные сомнения в эффективности TWPS» (англ. considerable reservations about the effectiveness of TPWS), в итогах расследования была представлена явная готовность к принятию на вооружение этой системы.

Совместное расследование также постановило, что реакцию общественности на железнодорожные аварии обязательно надо учитывать при принятии любых решений, связанных с безопасностью движения. Однако выводы следствия не согласовывались с анализом затрат и выгод. Любая устанавливаемая система защиты поездов приводила к росту расходов, которые во много раз превышали ту цифру, что указывалась в результатах проведения анализа затрат и выгод. Так или иначе, установку TPWS и внедрение системы ECTS признали обязательными, а все финансовые последствия могли отныне рассматриваться только Правительством Великобритании и Европейской комиссией.

Расследование установило, что после приватизации British Rail и её преобразования статистика безопасности железнодорожного движения не ухудшилась, однако не было доказательств и тому, что приватизация была проведена правильно и сыграла важную роль в поддержании уровня безопасности[53]. Высказывались ряд следующих претензий:

• Фрагментация индустрии привела к образованию многочисленных и сложных интерфейсов, деятельность которых осложнялась замкнутостью данных систем и нежеланием изменять их, а также отсутствием компетентных специалистов, имевших большой опыт работы в British Rail. Оставляли свой отпечаток проблемы в системе управления, развития и реализации крупномасштабных проектов: реальных работ по исследованию и развитию уже имеющихся систем почти не проводилось[54].
• Уровень развития лидерских качеств в сфере безопасности и коммуникаций варьировался в разных организациях-преемниках British Rail.
• Акцент на соблюдение пунктуальности привёл к игнорированию вопросу безопасности. Лорд Каллен противопоставлял многомиллионные штрафы за несоблюдение расписания мелким штрафам за серьёзные нарушения в области безопасности движения[55].
• Операторы железнодорожных перевозок получали необоснованные благодарности, так как попросту игнорировали аспект безопасности[56].
• Компания Railtrack возлагала ответственность за обеспечение безопасности на подрядчиков, однако таковых было слишком много, контракты заключались на небольшой период, а за их исполнением строго не следили.

Помимо рекомендаций по улучшению системы безопасности, в ходе следствия был сформирован также список рекомендаций для развития всей структуры индустрии железнодорожных перевозок. Основная ответственность за обеспечение безопасности номинально возлагалась на Railtrack, а именно ответственность за принятие каждым оператором железнодорожных перевозок мер безопасности и за утверждение единых стандартов безопасности. Очень многие операторы остались недовольны такими рекомендациями, поскольку дополнительные расходы приводили к уменьшению и без того небольшой чистой прибыли у мелких операторов[57]. Лорд Каллен посоветовал принимать решения об утверждении стандартов безопасности именно Управлению по охране труда, а управлением стандартами безопасности для железнодорожного движения должен был заняться новый орган[58].

В 1996 году компания ScotRail инициировала процесс создания системы предупреждения о проблемах безопасности (CIRAS): разработку осуществляли работники университета Стратклайда. К разработке систем подключились и другие компании и лица, заинтересованные в предотвращении последующих катастроф. После крушения близ Паддингтона вице-премьер Джон Прескотт обязал внедрить на всех британских железных дорогах новую систему, получившую название Confidential Incident Reporting & Analysis System (CIRAS — «Конфиденциальная система отчёта о происшествиях и анализа»)[59]. В настоящее время система CIRAS обеспечивает безопасное движение железнодорожного транспорта в Англии, Шотландии и Уэльсе[60][61].

Железнодорожная инспекция отвечала за все рекомендации и проверки в сфере вопросов железнодорожной безопасности, а также была основным следственным органом по расследованию железнодорожных катастроф и происшествий. Лорд Каллен выдвинул предложение учредить отдельный специализированный орган по расследованию катастроф, который, по его мнению, должен был стать действительно независимым[62].