Sicherheitsarchitektur für eine Bahn-Stellwerkslandschaft
Über sechs Monate Testbetrieb an einer Stellwerkslandschaft, ohne Eingriff in den laufenden Verkehr. Ergebnis war ein Risk-Assessment mit Zonen- und Conduit-Modell statt einer Liste von Scanbefunden.
Ein Infrastrukturbetreiber wollte wissen, wie es um die Sicherheit seiner Stellwerkslandschaft steht, ohne den Verkehr zu berühren. Der Testbetrieb lief über sechs Monate parallel zum Regelbetrieb.
Auftrag, Umfang und Rahmen
Sechs Monate neben dem Fahrplan, kein einziger Eingriff in den laufenden Verkehr.
Umfeld
Eine gewachsene Stellwerkslandschaft mit Anlagen unterschiedlichen Alters, angebunden an Betriebsleitzentrale, Diagnose und Instandhaltung.
Dauer und Vorgehen
Rund sechs Monate Testbetrieb, überwiegend passiv. Aktive Anteile ausschließlich in freigegebenen Netzbereichen und in Fenstern, die sich am Fahrplan orientierten.
Ergebnisform
Ein Risk-Assessment mit Zonen- und Conduit-Modell nach IEC 62443-3-2, nicht eine Liste von Scanbefunden.
Der Netzplan reichte als Nachweis nicht mehr
Die Anlagen waren über Jahrzehnte gewachsen, die Dokumentation entsprechend. Mit der IP-Migration und der Anbindung von Diagnose- und Instandhaltungssystemen war unklar geworden, welche Kommunikationsbeziehungen tatsächlich bestehen und wo die Grenzen zwischen den Bereichen wirklich verlaufen.
Gleichzeitig standen Nachweise an. Ein Zonenkonzept auf dem Papier beantwortet aber nicht die Frage, ob die Firewall-Regelwerke es abbilden.
Sechs Monate in vier Phasen
Der lange Zeitraum ergab sich nicht aus Aufwand, sondern aus den verfügbaren Fenstern.
Architektur und Dokumentation
Netzpläne, Anlagendokumentation und Zonenmodelle als Ausgangspunkt, mit dem Ziel, den Soll-Zustand zu verstehen, bevor der Ist-Zustand erhoben wird.
Passive Kommunikationsanalyse
Mitschnitte an abgestimmten Übergängen zeigten, welche Pfade tatsächlich bestehen. Hier trennte sich Dokumentation von Realität.
Aktive Prüfung im Fenster
Nur in freigegebenen Bereichen, mit vorher festgelegten Abbruchkriterien und in Abstimmung mit den Betriebsverantwortlichen.
Zonen- und Conduit-Modell
Aus den erhobenen Pfaden entstand ein Modell, das die reale Kommunikation abbildet, samt Bewertung der Übergänge und priorisierten Maßnahmen.
Was der Betreiber am Ende hatte
Ein Bild der tatsächlichen Kommunikationsbeziehungen, ein daraus abgeleitetes Zonen- und Conduit-Modell und eine nach Eintritt und Auswirkung priorisierte Maßnahmenliste. Für die Nachweisführung war entscheidend, dass die Aussagen auf Mitschnitten beruhen und nicht auf Dokumentation.
Dass über sechs Monate kein Eingriff in den Verkehr nötig war, ist dabei kein Nebenaspekt. Es war die Bedingung, unter der geprüft werden durfte.
Was nicht geprüft wurde und warum
Im Bahnumfeld entscheidet der Umfang darüber, ob überhaupt geprüft werden kann.
Keine Eingriffe in zugelassene Stände
Zugelassene Konfigurationen wurden nicht verändert. Wo eine Aussage nur durch Eingriff zu bekommen gewesen wäre, blieb sie offen oder wurde am Laboraufbau nachgestellt.
Nur freigegebene Bereiche
Aktive Anteile beschränkten sich auf vorher abgestimmte Netzbereiche. Nicht freigegebene Segmente wurden weder erreicht noch bewertet.
Fahrplan vor Projektplan
Testfenster richteten sich nach dem Betrieb. Das verlängerte die Laufzeit und war der Grund, warum der Verkehr unberührt blieb.
Was Sie daraus mitnehmen können
Erstens: Eine Prüfung im Bahnumfeld läuft in Sperrpausen und Wartungsfenstern. Wer das früh einplant, bekommt mehr Aussage als jemand, der auf eine Sperrpause wartet.
Zweitens: Der größte Erkenntnisgewinn kommt aus der passiven Analyse. Die reale Kommunikation weicht in gewachsenen Anlagen regelmäßig von der dokumentierten ab und das ist ohne einen einzigen aktiven Test sichtbar.
Drittens: Ein Zonen- und Conduit-Modell trägt weiter als eine Befundliste, weil es für Nachweise und für die Planung gleichermaßen taugt.
Ein ähnliches Vorhaben?
Referenzdetails nennen wir nach Freigabe und im persönlichen Gespräch.