概況
- ラドブローク・グローブ事故は、列車が信号 SN109 を危険現示で通過したことに始まるが、被害の規模は信号視認性、事前警告、運転士の準備、インフラ・事業者間のインターフェース、そして列車の進行を自動的に阻止できる装置の欠如に依存していた。
- 説明責任は、調査結果、企業の罪状認否、個人の責任、補償、その後の改革を法的枠組みに留めつつ、繰り返される SPAD の証拠、訓練の熟練度、工学的措置、保安装置に関する決定、確認された是正措置について、追跡可能な所有権を要求する。
1999年10月5日、Thames Trains の通勤列車がロンドン・パディントンを出発し、信号 SN109 を危険現示で通過した。そのまま反対方向から来た First Great Western の高速列車の進路に進入した。ラドブローク・グローブ付近での衝突により、両運転士を含む31人が死亡し、数百人が負傷した。火災が被害を拡大した。事故は瞬時にして激甚であり、後に調査された状況は、信号設計、運行慣行、運転士の準備、インフラ管理、規制、自動保安装置に関する決定にわたって積み重なっていた。
直接的な運行上の事実は明確にしておかなければならない。Thames Trains の運転士は、信号 SN109 が赤現示であるにもかかわらずこれを通過し、相反する進路に進入した。First Great Western の列車は、同列車に与えられた経路を走行中だった。この時系列が重要なのは、信号冒進が単なる抽象的な「システム障害」と説明されると説明責任が曖昧になるからである。しかし、時系列だけが因果関係の全てではない。鉄道は、人間が情報を誤解、見落とし、誤操作する可能性があるという前提で設計されている。したがって、その安全性の根拠は、信号が見え、解釈できるかどうか、新任運転士が実際の路線で訓練・評価されているかどうか、繰り返される警告事象が工学的措置に結びつけられているかどうか、そして互換性のない列車が出会う前に独立した保護層が介入するかどうかにかかっている。
Lord Cullen が主宰した公開調査は、その作業を二つの関連する問いに分割した。第1部の公式アーカイブ記録は、衝突事故、その直接的原因と根本的原因、そして最も深く関与した組織の行動を扱っている。鉄道道路局（ORR）による第2部の刊行物は、鉄道安全の管理と規制に関するより広範なシステムを扱っている。この分割は、現代の説明に不可欠な規律である。調査結果は刑事有罪判決ではない。企業が安全衛生違反で罪を認めたことは、証拠で議論されたすべての管理者や従業員に有罪判決が下されたことを意味しない。民事補償は、異なるプロセスを通じて損失と法的責任に対処する。その後の政策変更は、機関が対応したことを示すことができるが、すべての勧告が意図したとおりに機能したことや、衝突リスクが消滅したことを示すものではない。
したがって、ラドブローク・グローブ事故は、いくつかの層を持つ説明責任の試金石として理解するのが最適である。問題のある歴史を持つ信号によって生み出されたリスクを誰が所有していたのか？新任運転士が運行上のプレッシャーの下でパディントンへの進入路を判読できることを誰が確認したのか？委員会、事業者、インフラ管理者が問題の異なる部分を見ていたとき、工学的な管理を課す権限は誰にあったのか？信号冒進の既知のリスクに対して、より包括的でない保安装置システムが許容可能な国家的対応であると誰が決定したのか？そして改革後、新たな機関への責任移転ではなく、リスクへの曝露が真に減少したことを示す証拠は何か？
衝突は信号冒進から始まったが、安全性はその後に何が起きたかにかかっていた
Thames Trains の列車はディーゼル動車で構成され、パディントンを出発しベッドウィンへ向かった。駅西方の配線は複雑で、線路、分岐器、架線、多数の信号が、ターミナルを出発して加速する列車と接近する列車を制御しなければならなかった。SN109 は相反する進路を防護していた。Thames の列車が赤信号でこれを通過したとき、信号システム自体は列車を停止させなかった。列車は、パディントンに接近する First Great Western の列車の進路に進入するまで進行した。
この経過を曖昧にしてはならない。相手の列車が存在しただけで衝突が生じたわけではない。同列車は自らに適用される信号設備の権限の下で走行していた。また、悲惨な結果は、衝突の危険が明らかになった後、その運転士に衝突を回避する現実的な機会があったことを証明するものではない。本線上の接近速度では、認識から衝突までの時間間隔が短すぎて、人間のブレーキ操作が路線防護の代わりにはなりえない。したがって、説明責任の問題は、英雄的な土壇場での行動が可能だったかどうかではない。なぜ鉄道が、1本の列車を防護信号の先まで進行させ、正面衝突を可能にしたのか、である。
初期エラーと結果の制御の区別は重要である。信号冒進（SPAD）は、多くの原因が考えられる運行上の事象である。わずかな差で発生し、相反する進路を生じさせないものもあれば、はるかに大きな潜在性を持つものもある。信頼できる安全システムは、事象のリスクをランク付けし、状況を調査し、再発を防止する。すべての SPAD を同等に扱うわけではないが、同じ場所での繰り返し事象が、視認性、路線知識、作業負荷、配線の危険な組み合わせを露呈する可能性があることを認識するために衝突を待つわけでもない。
調査は、信号扱い所の係員がどのように対応したか、情報がどのように伝達されたか、両列車の位置と動き、そして保安装置が何をなし得たかを検討した。中心的な教訓は、通信が無関係だったということではない。列車が赤信号を通過した後に運転士に警告することは、数秒が重要な場合、脆弱な最終防壁である。無線手順や信号扱い所の介入は一部の事象を緩和できるが、危険な動きを防止したり自動的に停止させたりするシステムの代わりにはならない。
SN109 はインフラ上のリスクであり、単なる運転士の経路表のポイントではなかった
信号視認性は、工学的な安全要件である。信号は、許容速度で接近する運転士が、どの現示が該当するかを識別し、十分な時間観察し、周囲の視野の中で解釈し、防護地点の前で行動できるように、位置決めされ提示されなければならない。名目上の視認距離への形式的な適合だけでは不十分である。ガントリーに競合する現示がある場合、線路が曲がっている場合、構造物が視界を遮る場合、日光がコントラストに影響する場合、または運転士が誤った現示を走行中の線路に関連付ける可能性がある場合である。
パディントンへの進入路は、このプロセスに異常に高い要求を課していた。調査は、SN109 を物理的環境の中で検討し、赤信号を自明なものとして扱わなかった。信号は複雑な鉄道設備と他の信号のフィールドの中にあった。運転士の課題は動的であった：列車が加速し、注意力がプラットフォーム出発から開かれた路線へと移り、路線知識が次に来る信号についての期待を提供する中で、正しい現示を選択しなければならなかった。その順序を不完全に学習した人は、正しい構造物を見ても、誤った運行上の意味を導き出す可能性がある。
だからこそ、信号視認性は運転士だけに委ねることはできない。運転士には信号に従う絶対的な義務があるが、インフラ管理者には、信号をその運行上の文脈で確実に読み取れるようにする並行した義務がある。信号視認性委員会、設計基準、乗務体験、異なる条件下での観察、インシデント後のレビューは、その義務を果たすためのメカニズムである。その成果は、記録された安全上の決定である：どのような危険が観察されたか、どの運転士または事業者が相談されたか、どのような変更が必要か、誰がそれを所有し、いつまでに実施するか。
SN109 は1999年10月5日以前にすでに数回危険現示で通過されていた。正確な経緯は調査記録に属する；その説明責任上の意義は単純である。一つの信号における一連の事前 SPAD は、すべての運転士が同じ理由で同じ誤りを犯したことの証明ではない。しかし、それはインフラ、運行状況、または運転士との相互作用が緊急の調査に値するという繰り返しの信号である。各事象は新たな証拠を生み出す。対応が注意喚起、局所的な議論、または強制完了日なしの提案で終わる場合、システムは警告を消費するが曝露を減らさない。
繰り返し事象は、リスクが集約される方法にも挑戦する。各事業者は自社の運転士が関与する事象しか見ないかもしれない。インフラ管理者はその場所でのインシデントを見るが、採用と路線学習の詳細を知らないかもしれない。規制当局はネットワーク全体の報告を見るが、局所的な運用知識の即時性を欠くかもしれない。一つの機関がそれらの視点を統合する責任を負わない限り、すべての参加者は防御可能な断片を持ちながら、危険なパターンは制度的に所有されないままとなる。
したがって、強力な信号視認性対応は、事前の経歴をエスカレーションしきい値を持つ制御問題として扱っていたであろう。最初の事象は確認と運転士へのインタビューを促すかもしれない。繰り返しは独立した視認性レビューと一時的な運転措置を引き起こすべきである。高リスクの再発は、文書化された工学的事案によってのみ反証可能な、物理的変更または自動保護を優先する推定を生み出すべきである。正確な措置には、再配置、視野の簡素化、リピーターまたは指示器の追加、路線構成の変更、速度低下、ブリーフィングと訓練の改訂、または列車保護介入の適用が含まれる可能性がある。重要なのは、以前の通過後に衝突が発生しなかったという理由だけで、システムがリスクを閉じることができないことである。
事前 SPAD は、組織がそれを保持し行動した場合にのみ警告となった
事故防止は組織の記憶に依存する。鉄道はインシデントフォームを収集しても、まだ記憶に失敗する可能性がある。記録が比較可能で、傾向が見え、所有権が職員や請負業者の変更を生き残り、未解決の勧告が確認されるまで開かれたままである場合にのみ、記憶は保護的になる。ラドブローク・グローブは、事象を記録することとそれを統治することの違いを明らかにした。
SN109 における事前 SPAD の経歴は組織の境界を越えていた。運転士は列車運行会社に雇われていた。信号と線路はインフラ組織を通じて管理されていた。基準、規制上の期待、国家リスクプログラムにはさらなる団体が関与していた。民営化後の構造は安全な運行を不可能にしたわけではないが、警告が変換、縮小、遅延されるインターフェースの数を増やした。制度的境界が明確であったため、説明責任は明確である必要があった。
一つの繰り返し発生する危険は、局所的な説明である。個々の事象はしばしば注意散漫、経験不足、技術不足、誤解に起因する可能性がある。それらの要因は現実かもしれないが、局所的な説明の連続は共通のシステム状態を隠す可能性がある。複数の運転士が同じ信号を通過する場合、インフラ管理者はその場所のどの特徴が期待される行動を繰り返し妨げるのかを問わなければならない。経験の浅い運転士が過剰に代表される場合、事業者はその訓練が適切かどうかを問わなければならない。両方の条件が相互作用する場合、どちらの組織も他方を指摘することで義務を果たすことはできない。
別の危険は勧告の漂流である。委員会が変更を特定し、プログラムに配置し、問題は対処済みと見なすことができる。しかし、計画された管理は現在のリスクを減らさない。ガバナンスは、暫定措置、実施期限、依存関係、エスカレーションルート、および試運転の証拠を示すべきである。プロジェクトが遅延する場合、残存リスクはバックログに消えるのではなく、責任ある意思決定者に戻るべきである。繰り返し高潜在性事象のある信号は、通常の保守改善として競争すべきではない。
調査の価値は、事後にこれらの経路を再構築することに部分的にある。しかし、成熟した事業者は事故前にそれらを再構築できるべきである。すべての高リスク SPAD について、調査者は信号履歴、視認性評価、運転士の説明、訓練への影響、技術的提案、委員会決定、規制当局との連絡、および終了証拠を一つの追跡可能な記録に見つけることができるべきである。証拠が矛盾する場合、矛盾は可視のままであるべきである。組織の記憶は整然とした物語ではない；それは知られ、議論され、決定され、未解決のままのものの耐久性のある監査証跡である。
採用は訓練が果たさなければならない能力義務を生み出した
Thames Trains の運転士は最近資格を取得した。この事実は公平に扱われなければならない。経験不足は運転士の業務上の義務を消さず、それだけで事業者の訓練のすべての要素が欠陥があったことを証明するわけではない。しかし、それは事業者が管理しなければならないリスクを変える。事前の本線運転経験のない人を採用することは、構造化された指導、十分な練習、現実的な路線曝露、独立した評価、および監督なしの作業への移行中の緊密なサポートのための予見可能なニーズを生み出す。
能力は筆記試験に合格したりルールを繰り返したりすること以上のものである。運転士はルール知識を知覚と行動と統合しなければならない：列車に適用される信号を識別し、ブレーキを予測し、路線固有の順序を理解し、加速と無線の要求を管理し、現実が期待と異なる場合に回復する。これらの能力は実際のタスクに似た条件下でテストされなければならない。教室は SN109 を説明できる；適切に監督された路線学習のみが、訓練生がパディントン進入路の中でそれを一貫して見つけ解釈するかどうかを示すことができる。
調査は Thames Trains の採用、訓練、路線学習、評価、能力管理を検討した。その関心は一人の訓練生や指導者の成績に限定されなかった。組織上の問題は、プログラムが新任運転士が路線を安全に運転できるという証拠を確実に生み出したかどうかであった。訓練記録は、運転された路線区間、遭遇した環境・交通条件、指導者の観察、エラー、是正作業、評価、および独立運転が許可された根拠を特定すべきである。
路線学習は特に誤った確信に対して脆弱である。指定された回数の乗車を完了することは、それらが限られた条件下で発生し、訓練生が運転するのではなく観察し、困難な信号順序が明示的に挑戦されず、または教える指導者が独立した調整なしに最終的な能力決定も行う場合、ほとんど意味がない。堅牢なプログラムは、最小限の曝露と実証されたパフォーマンスを組み合わせる。両方向の路線、異なる交通状態、関連する場合の暗闇と悪視界、劣化運用、異常な信号現示、および既知の SPAD 場所の明示的なリハーサルを含む。
新資格は二値的なステータスではなく管理された段階であるべきである。事業者はメンタリング、路線制限、追加監視、短い勤務、または定義された期間後のレビューを課すことができる。運行インシデントと日常的な観察からのデータは訓練設計にフィードバックされるべきである。新任運転士が信号の不規則性や不確実性を経験する場合、組織はそれが懲戒証拠になる前に報告するための非懲罰的チャネルを必要とする。助けを求めることが従業員の能力あるというアイデンティティを脅かさない場合、学習はより安全である。
最後に、能力管理にはプログラムを設計し、指導し、評価し、監督する者も含まれる。指導者の作業負荷、一貫性、および最新の路線リスク情報へのアクセスは安全制御である。経営陣は、訓練基準が採用圧力やサービス需要によって希釈されなかったことを示せなければならない。迅速に運転士を必要とする事業者は、それでも彼らを認可するリスクを所有する。人員の緊急性は決定を説明できる；それは十分な能力の証拠を受け入れ可能な安全ケースに変換できない。
三つの鉄道組織が一つの管理されていない境界で出会った
衝突には Thames Trains の列車、First Great Western の列車、そして当時 Railtrack が管理していたインフラが関与した。各組織は異なる運用上の役割を持っていた。Thames Trains は SN109 を通過した列車の運転士を採用し、訓練し、配置した。First Great Western は反対の列車を運行した。Railtrack はインフラ、信号配置、および SPAD 情報と緩和が処理されるネットワークプロセスを管理した。規制当局はそれらの機関に分散された義務を監督した。
調査によって特定されたすべての失敗をすべての組織に割り当てるのは誤りであろう。First Great Western が進入列車の運行者として存在することは、Thames Trains の訓練システムや Railtrack の信号視認性に対して責任を負わせるものではない。同様に、Thames Trains の能力に対する責任は、問題のある信号に対応する Railtrack の義務を排除しない。説明責任は、義務が行為者固有であり、インターフェースが共同でテストされる場合に正確である。
最も重要なインターフェースは、路線能力をインフラリスクに結合した。Railtrack は SN109 における SPAD 事象と変更の登録を維持できた；Thames Trains は自社の運転士が何を混乱させ、どのような路線指示を受けたかを知ることができた。どちらのデータセットも単独では十分ではなかった。共同管理は、事業者が現在の場所固有の危険を受け取り、運転士の経験をインフラ管理者に報告することを要求するべきであった。信号リスクへの重要な変更は、訓練とブリーフィングの必須更新を引き起こすべきである。一つの場所に関連する訓練上の懸念は、インフラレビューを引き起こすべきである。
第二のインターフェースは SPAD 後の即時運用に関するものであった。信号扱い所係員は信頼できる表示、曖昧でない緊急手順、および関連する運転士に連絡し相反する動きを保護する迅速な方法を必要とした。列車事業者はその介入を支援する無線、作業慣行、および訓練を必要とした。しかし、利用可能な時間が非常に短い可能性があるため、インターフェースは制限の正直な声明も必要とした：通信は危険の前に列車を停止することを保証されない。その制限は自動実施のケースを強化する。
第三のインターフェースは取締役会の保証であった。列車事業者の取締役会は、運転士の能力、路線固有のインシデント、および指導者能力についての証拠を必要とした。Railtrack の取締役会は、場所のリスク、期限切れの工学的措置、および事業者間の集合履歴を必要とした。規制当局は両方の保証セットに挑戦し、それらの間のギャップを検査する必要があった。SPAD が管理されているという要約では不十分であろう。リーダーは、未措置の経過期間、繰り返し場所、高潜在性事象、暫定管理、およびより強力な工学的措置が完了しなかった理由を必要とした。
Cullen 第2部で検討された断片化は、したがって単に組織図に関する議論ではなかった。それは、インフラ、運用、基準、監督が分離されたときに生み出される安全管理インターフェースに関するものであった。分離は義務を明確にすることができるが、情報と決定権限がリスクと同じ境界を越える場合に限る。そうでなければ、組織はその境界内で遵守しながら、危険は境界の間に住み続ける。
規制は安全ケースをテストすべきであり、その前提を継承すべきではない
規制当局の任務は列車を運転したりすべての信号を再設計したりすることではなかった。それは、義務保持者に重要なリスクを特定し、有能なシステムを維持し、証拠がそれらがリスクを制御していないことを示したときに対処することを要求することであった。それには独立性、技術的能力、およびインフラ管理者や事業者が使用する前提に挑戦する意欲が必要である。
SPAD リスクは、インシデントがデータを生成するのに十分一般的であるが、稀な壊滅的な組み合わせが被害を支配する可能性があるため、特別な規制上の問題を生み出す。粗いカウントは改善する可能性がある一方で、残りの事象は深刻な潜在性を運ぶ。逆に、報告された低リスク事象の増加は、安全性の低いネットワークではなく、より良い報告を反映する可能性がある。したがって、監視は頻度とリスクランキングの両方を検討しなければならず、列車速度、重なり、相反する路線、制動能力、および起こりうる結果を含む。
Cullen のより広範な調査は、個別の遵守だけでなく、鉄道安全管理の構造に対処した。永続的な原則は、基準設定、商業運用、インフラ提供、調査、および執行が明確な役割と可視の独立性を必要とするということである。独立性は孤立を意味しない。それは、調査者がその法定目的として非難を割り当てずに事実を確立でき、規制当局が法的義務を執行でき、検察官が刑事基準を適用でき、裁判所が事件を決定できることを意味する。それらの機能を物語に結合することは修辞的に満足かもしれないが、公平性と学習の両方を弱める。
自動列車保護は、人間中心の制御が置き換えられなかった障壁であった
ラドブローク・グローブ後の最も重大な政策問題は、視認性、訓練、ルールにもかかわらず運転士が赤信号を通過した場合に何が起こるべきかに関するものであった。自動列車保護（ATP）は、列車が安全な制動と矛盾する方法で制限信号に接近または通過したときに動きを監視し介入するように設計されていた。それはブリーフィングや懲戒とは異なるクラスの制御を表していた：システムが作用する前に運転士がエラーを認識することを必要としなかった。
グレート・ウェスタン路線には ATP システムの経験があったが、保護は全国ネットワークのすべての列車と路線に均一に装備されていなかった。以前の鉄道災害に続く決定は、包括的な ATP、そのコスト、技術的成熟度、および代替措置の価値についての継続的な議論を残していた。列車保安装置に関する共同調査提出書類は、行為者の責任を決定することなく、その政策検討の公式な出典を提供する。ラドブローク・グローブの時点までに、業界は Train Protection and Warning System（TPWS）を、SPAD リスクのかなりの部分に対処することを意図した、より限定的でコストの低い介入として追求していた。
システムは互換性があると説明されるべきではない。包括的な ATP システムは、許可された条件に対して関連する動きと制動を継続的に監視する。TPWS は、選択された信号での過度の接近速度や危険現示の信号通過を含む定義された状況で制動を引き起こすために、軌道と車上設備を使用する。その有効性は、設置設計、列車速度、制動性能、および場所の形状に依存する。すべてのオーバーランや衝突を防ぐことを保証せずにリスクを大幅に低減できる。
この区別は説明責任にとって重要である。費用便益決定は、除外されたリスクが非現実的であるという発見ではない。それは、費用、実現可能性、移行、および代替案の期待される利益を考慮して、いくらかの残存リスクを受け入れる決定である。したがって、意思決定者は、誰がその残存リスクを負うか、選択されたシステムがどの事象を防がないか、どの暫定措置が適用されるか、前提がいつ見直されるか、およびどの証拠がより強力な制御を引き起こすかを特定すべきである。
ラドブローク・グローブは、国家的な ATP ソリューションを設置しなかった以前の失敗に対する批判を鋭くし、TPWS の提供への監視を加速した。調査はそれらの選択を製品間の技術的な比較としてではなく、システムリスクの決定として検討した。1999年鉄道安全規則は、当時施行されていた保護要件と移行タイムテーブルを文書化している；それらの法的効果は、過去または未来に投影するのではなく、日付によって読まれるべきである。繰り返し SPAD があった鉄道は、訓練と信号視認性が人間のエラーを排除できないことを知っていた。一旦それが受け入れられると、負担は移った：なぜ独立した執行層は、予見可能な結果の重大さに対して適切だったのか？
正当な複雑さは存在する。車両とインフラの改造は大規模なプログラムである。異なる路線、牽引、制動特性、およびレガシーシステムは統合を困難にする。技術的に野心的なシステムは移行リスクをもたらしたり、実用的な改善を遅らせたりする可能性がある。一つの介入に費やされた資源は他の介入には利用できない。しかし、それらの制約は曖昧な安心を正当化しない。それらは、感度分析、提供マイルストーン、および選択されたオプションによって達成された現実世界のリスク低減の検証を伴う透明な安全ケースを必要とする。
制御の階層は有用な枠組みを提供する。運転士の選抜、指導、ルールは不可欠な管理的制御である。信号の移設とレイアウト改善は工学的環境を修正する。自動執行は、危険を開始したのと同じ知覚と決定に依存しない障壁を追加する。制御は補完的である。ATP や TPWS は不十分な視認性や弱い訓練を免除しない；良好な視認性と訓練は、一つのエラーの結果が壊滅的である場合に自動保護を不要にしない。
その後の SPAD リスクの低減と TPWS の広範な展開は改革の重要な証拠である。ORR のその後のウェスタンルート保護評価は、同路線の ATP、TPWS、ETCS の履歴を記録し、その後のリスク証拠を提供する；それは危険の永久的な排除を証明するものではない。運転士はまだ赤信号に遭遇し、機器が利用できない場合があり、運用状況は変化し、すべての危険な動きが同一であるわけではない。パフォーマンスが監視され続け、例外が可視のままである場合、改革は信頼できる。
緊急対応と死傷者の証拠は独自の境界を必要とする
衝突で31人が死亡し、両列車の運転士を含む。数百人が負傷した。それらの数字は最終的な調査記録に属し、急速に動く緊急事態中に発行された暫定カウントと組み合わせるべきではない。初期の報告は、乗客が散らばり、人々が後で治療を求め、負傷のカテゴリーが変わり、身元確認に時間がかかるため、異なる可能性がある。責任ある説明は常に死傷者数を、それを生み出した権威と報告段階に結びつける。
対応には鉄道職員、警察、消防、救急車、病院、およびその他のサービスが関与した。衝突現場は厳しいアクセス、火災、トリアージ、および調整の要求を提示した。1999年10月11日の大臣声明は、死傷者状況、緊急対応、規制通知に関する貴重な同時代の証拠であるが、その初期カウントは最終的な調査総数に代用されてはならない。緊急能力は制御が失敗した後に結果を制限する；それは回避可能な衝突を受け入れ可能にしない。
同じ区別は生存可能性分析にも適用される。車両の完全性、内部条件、避難経路、火災挙動は、列車が出会った理由を説明せずに死亡と負傷に影響を与える可能性がある。衝突安全性や緊急連絡に関する勧告は、初期衝撃を防げなかったとしても正当化される可能性がある。逆に、救助の成功は信号や訓練の取り決めを検証しない。説明責任システムは、予防的、保護的、および応答制御を別々に追跡し、一つの改善がすべてにおいて安全性の証明として提示されないようにする。
家族と生存者にとって、制度的調整は現場が片付けられた後も長く続いた。身元確認、情報、医療、財産、調査、法的請求、公開調査プロセスには異なる組織とタイムテーブルが関与した。衝突の影響を受けた人は、管理マップを一人で再構築する必要があるべきではない。指名された連絡窓口、一貫した最新情報、追跡可能な記録は、緊急説明責任の一部であり、広報の追加ではない。
調査結果、刑事事件、民事補償は異なる質問に答えた
Cullen 調査は、何が起こったかを判断し、原因を検討し、勧告を行うために設置された。それは文書、技術的証拠、証人の証言、専門家分析を通じて作業した。その所見は、公開調査に適した証拠と政策の枠組みを使用して、システムと決定を批判することができた。それは刑事裁判所ではなく、その報告書は議論されたすべての個人や組織に対する有罪判決に変換されるべきではない。
刑事手続きは、特定の被告に法定犯罪と刑事手続きを適用した。Thames Trains は後にその失敗に関連する安全衛生違反で罪を認め、多額の罰金を科された。Network Rail は、関連する手続きにおける Railtrack の後継者として、後に Railtrack の安全衛生違反に関連して罪を認め、罰金を科された。それらの結果は行為者固有である。それらは、First Great Western が信号冒進で有罪判決を受けたこと、すべての Railtrack または Thames の管理者が個人的に有罪判決を受けたこと、または調査のシステム全体の分析が刑事評決になったことを意味しない。
罪状認否は重要な説明責任の証拠である。なぜなら、それらは特定の組織の失敗が刑事安全衛生執行のしきい値を超えたことを示すからである。しかし、法的要素、認否、量刑の文脈は、正確な詳細が必要な場合、関連する裁判所記録から述べられるべきである。2000年1月の議会回答は、英国交通警察、 Crown Prosecution Service、および Health and Safety Executive が収集した証拠を Cullen 調査の証拠から区別した；それは同時代のプロセス声明であり、後の評決ではない。事実パッケージは、実際に解決された被告と犯罪を超えて責任を拡張することを正当化しない。
民事補償は別の目的を果たした。遺族、負傷した乗客などによる請求は、民事責任と和解プロセスを通じて損失に対処した。支払いは、公的な判決で争われたすべての歴史的事実を決定することなく救済を提供できる。当事者は、法的、人道的、実務的な理由で和解することができる。補償額を組織の責任の尺度に安全に集約することはできず、民事解決はシステム改革の必要性を消さない。
特定の訴追がないことを調査の基準による免罪として扱うべきでもない。刑事事件には許容可能な証拠と定義された犯罪の立証が刑事基準で必要である。公開調査は、特定された人による犯罪の要素を立証せずに、ガバナンスの取り決めが不十分であったり、警告が誤って扱われたと判断できる。逆に、特定の犯罪に対する罪状認否は「システム」が悪かったという一般的な声明に希釈されるべきではない。行為者の説明責任とシステム学習の両方が必要である。
したがって、最も明確な説明は4つの元帳を維持する。調査元帳は事実とシステムの所見および勧告を記録する。刑事元帳は指名された被告に対する起訴、認否、有罪判決、量刑を記録する。民事元帳は判決または和解をその条件内で記録する。改革元帳は政策、機関、設置、パフォーマンスの証拠を記録する。相互参照は正当である；代用はそうではない。これは、あるプロセスの道徳的力を借りて別のプロセスの証拠のギャップを埋めるという一般的な誤りを防ぐ。
Cullen の勧告は説明責任を独立調査と可視のリスク管理へと動かした
Cullen 第2部は鉄道安全のより広範な枠組みに対処した：基準がどのように作られ、義務がどのように分配され、パフォーマンスがどのように監視され、事故がどのように調査されるべきか。その改革の重要性は、断片化が弱いインターフェースを露呈した後、システムの責任をより明確にしようとする試みにある。
主要な制度的対応の一つは、鉄道事故調査部（RAIB）の創設であった。RAIB の公式機関の経歴は独立した安全調査の役割を説明し、10周年の記述は Cullen 後の設立を非難のない安全目的と結びつける。その役割は、警察、規制当局、裁判所が異なる機能を実行しながら技術的学習へのアクセスを保護する。機関の分離は Cullen の勧告を反映しているが、部局の創設は対応の証拠であり、すべての調査勧告が実施されることや将来のすべての事故が防止されることの証明ではない。
独立調査にはいくつかの説明責任の利点がある。それは一つの事象ベースの枠組みでインフラ、事業者、車両、人的要因、規制を検討できる。鉄道および交通安全法案の説明メモは法定提案の Cullen 第2部の系統を記録しているが、事故責任の判断ではない。2005年規則審査記録は RAIB の権限と義務を説明し、後の RAIB 年次報告書はその枠組みの下での運用権限を説明する。それは、行為が刑事しきい値に達しない場合でもリスクを特定できる。しかし、その権限は訓練された境界に依存する：それは代理検察官になってはならず、義務保持者は非難の割り当てがないことを義務の欠如として扱ってはならない。
より広範な改革はまた、組織上および規制上の取り決めを変更し、SPAD リスクを管理する業界の方法を強化した。議会の運輸証拠は後に、Cullen の勧告がRAIB および鉄道安全基準委員会（RSSB）の創設にどのように貢献したかを説明した。ORR による RSSB の独立レビューはその制度的系統の後の証拠を提供するが、永続的な有効性の証明ではない。TPWS が展開され、インシデント報告が成熟し、リスクランキングがより洗練され、後の監視が国家傾向を追跡した。
制度的再編は依然として慎重に評価されるべきである。機能を新しい機関に移すことは独立性を明確にできるが、別のインターフェースも生み出す可能性がある。基準機関、インフラ管理者、列車事業者、調査者、規制当局はそれぞれ定義された情報交換を必要とする。勧告は指名された所有者、目標日、および終了証拠を必要とする。公衆は「承認された」、「実施された」、「有効と示された」を区別できるべきである。それらの段階がなければ、改革プログラムは残存リスクを不明瞭にしたまま活動を報告できる。
その後の SPAD 減少は進歩の証拠であり、保証ではない
鉄道道路局（ORR）の継続的な SPAD 記録は、信号冒進からのリスクが積極的に測定されランク付けされている鉄道を説明している。それは制度的視野の実質的な改善である。事象はカウントだけでなく、その潜在的な結果に従って考慮でき、全体的な傾向が改善しても注意を少数の重大な事象に集中させることができる。
TPWS の展開は、多くの場所と列車に自動制動を追加することでリスク低減に貢献した。訓練、信号レビュー、運転基準、監視も変化した。すべての後の改善を一つの技術に帰したり、それが包括的でないために保護の価値を否定することも同様に誤解を招く。改革の成果は相互作用する制御から現れる。
しかし、三つの注意が残る。第一に、全国的な減少はすべての場所が適切に制御されていることを証明しない。局所的なレイアウト、速度、交通が異常値リスクを生み出す可能性がある。第二に、低頻度の期間は永続性を証明しない。車両、運行ダイヤ、インフラ、労働力構成は変化する。第三に、測定基準自体に範囲と方法がある。リスクランキングモデルは管理ツールであり、回避された災害の直接的なカウントではない。
したがって、適切な主張は限定される：その後の展開と記録されたリスク低減は、業界が重要な変更を実施し、SPAD 関連の衝突リスクへの曝露が減少したことを示す。それらは、すべての Cullen 勧告が測定可能な結果を引き起こしたこと、TPWS が包括的な ATP と同等であること、または相反する動きが決して再発できないことを示さない。継続的な公開は、劣化を可視にするため、制御の一部である。
持続的な有効性を実証しようとする組織は、階層化されたダッシュボードを維持すべきである。それは、SPAD 頻度、リスク加重曝露、繰り返し場所、列車保護可用性、高速オーバーラン、未処理の視認性アクション、運転士経験分布、および調査終了までの時間を示すべきである。また、ヒヤリハットと安全重要機器の隔離も示すべきである。取締役会と規制当局は平均の背後にある例外を必要とする。なぜなら、ラドブローク・グローブはまさに、安心させる合計が隠す可能性のある高結果の組み合わせの種類だったからである。
現代の説明責任モデルは証拠と権限を結合する
現代のモデルにおける最初の制御は、場所リスクファイルである。繰り返しまたは高潜在性 SPAD があるすべての信号は、事象履歴、視認性証拠、線路速度、重なり、競合、保護構成、運転士報告、運転変更、未処理のアクションを結合する単一の記録を持つべきである。インフラ管理者がファイルを所有するが、事業者と規制当局はそれを検査し貢献できる。組織の境界が履歴を消してはならない。
第二の制御は、路線能力ケースである。事業者は、運転士が各路線で何を実証しなければならないか、既知の危険がどのように評価されるかを定義すべきである。ケースには指導者能力、実際の運転曝露、評価の独立性、是正作業、資格取得後の監視が含まれる。運転士が路線を離れたり、重要なインフラ変更が発生した場合、認可は期限切れになるか見直されるべきである。
第三は、インターフェース登録である。共有リスクごとに、情報を提供する当事者、決定する当事者、期限、アクションを閉じる証拠を命名する。鉄道組織の現代の公式地図は今日の ORR、RSSB、RAIB、事業者、インフラインターフェースを示すのに役立つが、それらの後の役割は1999年の法的基準ではない。登録は一般的な協力をテスト可能な義務に変換する。
第四は、保護安全ケースであり、カバレッジと制限の両方を述べる。それは、ATP、TPWS、または別のシステムがどのシナリオを防ぎ、どれを緩和し、どれが人間の制御に依存したままかを特定する。制動と速度に関する前提は、実際に運行する車両に対して検証される。一時的な隔離は時間制限があり、経営陣に可視である。より強力な保護を装備しない決定は、残存リスクとレビュートリガーを記録する。
第五は、結果だけでなく潜在性に基づくエスカレーションである。競合の手前で止まる SPAD でも依然として壊滅的な潜在性を露呈する可能性がある。その調査は、実際に発生した負傷の欠如ではなく、信頼性をもって起こり得たことに比例すべきである。一つの場所での繰り返しは応答しきい値を自動的に引き上げる。事象を閉じる人は、必要な制御に対する権限を持つか、持つ人にエスカレートしなければならない。
第六は、独立した挑戦である。評価者は自分の訓練を単に確認すべきではない。信号レビューは元の設計チームを超えた参加を必要とする。調査者は運用上および商業上の圧力からの自由を必要とする。規制当局は要約の保証ではなく基礎となる証拠へのアクセスを必要とする。取締役会は、どの前提が未検証で、どの安全アクションが遅れているかを問う非業務執行メンバーの挑戦を必要とする。
第七は、法的手続きマップである。重大な事象の後、リーダーは技術調査、規制執行、警察調査、刑事手続き、民事請求、公共政策レビューに何が属するかを特定すべきである。証拠保存と協力は、それらのプロセスの目的を統合せずに調整できる。公的コミュニケーションは、どの機関がどの所見を下し、どの基準を適用したかを述べるべきである。
第八は、結果検証である。勧告は機器が発注されたり手順が発行されたときに完了しない。完了には、設置または採用、能力、可用性、効果の証拠が必要である。SPAD 制御の場合、その証拠には介入データ、残存リスク、再発、監査、意図しない結果のレビューが含まれる。措置が十分に機能しない場合、元のリスクは決定アジェンダに戻る。
これらの制御は一緒に、ラドブローク・グローブによって提起された中心的な問いに答える：鉄道は、既知の脆弱性を、次の人間のエラーが相反する列車に到達する前に保護に変換できるか？答えは一人の警戒する運転士、一人の粘り強い安全管理者、または一回の委員会会議に依存することはできない。それは権限と証拠の設計に可視でなければならない。
永続的な教訓は、一つの赤信号がいくつかの独立した防御を必要としたことである
Thames Trains の列車の運転士は信号 SN109 を危険現示で通過した。それが依然として開始運行事実である。しかし、安全性にコミットした鉄道はその分析をそこで終えることはできない。SN109 の視認性と経歴、運転士の最近の訓練と路線知識、Railtrack のインフラ対応、事業者間の境界、規制当局の挑戦、自動保護の不完全なリーチのすべてが、一つのエラーが正面衝突になるかどうかを決定した。
調査記録は、個人と制度の説明責任を混乱させずに両方を支持する。それは、すべてのインフラ状態に対して Thames Trains に責任を割り当てずに訓練を批判することを許可する。それは、First Great Western の許可された動きを過失に変えずに Railtrack の管理を批判することを許可する。それは、公開調査の異なる目的を維持しながら刑事および民事の結果を報告することを許可する。それは、リスクが廃止されたと宣言せずに後の改革を称賛することを許可する。
ラドブローク・グローブの最も深い教訓は、人々がもっと注意を払うべきだということではない。それは、注意が予測可能なミスと大量の害の間の唯一の障壁であってはならないということである。信号は読み取れなければならない。訓練は証拠に基づくべきである。繰り返し事象は危険が制御されるまで開かれたままでなければならない。インターフェースには所有者が必要である。自動保護は、それがさらす壊滅的なシナリオに対して判断されなければならない。独立した調査者と規制当局は組織の境界を越えて見ることができなければならない。改革は発表ではなくリスクによって測定されなければならない。
それらの義務が結合されるとき、赤信号は防御の層によって支えられる。それらが断片化されるとき、各組織は手順を指摘できるが、列車は衝突に向かって進み続ける。ラドブローク・グローブの31人の死亡は、より強い基準を要求する永続的な理由である：人間のエラーが消えるという約束ではなく、鉄道が結果が不可逆的になる前にそれを検出し、封じ込め、学習するように設計されているという証明である。