Gefährdungsliste (Hazard Log)

Stand: Phase 10 · lebendes Dokument nach EN 50126. Die Liste wird mit jeder Phase erweitert. Die Bewertung nach Häufigkeit, Schwere und Risiko folgt mit der systematischen Gefährdungsanalyse. Bis dahin hält die Liste die Gefährdungen und die geplanten bzw. umgesetzten Gegenmaßnahmen fest.

ID	Gefährdung	Mögliche Ursache in rail-it	Gegenmaßnahmen	Status
H-001	Zusammenstoß zweier Züge	Feindliche Fahrstraßen gleichzeitig eingestellt; Belegung nicht erkannt; Fahrerlaubnis trotz Besetzung	Feindlichkeiten aus der Projektierung einschließlich Durchrutschweg und Flankenschutz (REQ-PLN-012/015/016) mit unabhängiger Gegenprüfung (REQ-PLN-013); Zulassung nur ohne feindliche Fahrstraße und bei freien Abschnitten (REQ-IXL-002/003); Durchrutschweg und Flankenschutz verschlossen (REQ-IXL-012/013); Fahrt nur bei erfüllten Bedingungen (REQ-IXL-005); Invarianten mit unabhängiger Neuberechnung aller Verschlüsse (REQ-IXL-008); Kreuzungsstellen einer Kreuzung im selben Abschnitt (REQ-TOP-016)	Phase 3 umgesetzt, Kreuzungen in Phase 12 (Nachbarstellwerke und Streckenblock siehe H-012)
H-002	Entgleisung an einer Weiche	Fahrerlaubnis ohne überwachte Endlage; Weg über eine Weiche, der physisch nicht existiert	Nur zulässige Wege durch Weichen (REQ-TOP-007); Fahrt nur bei überwachter Lage (REQ-IXL-005); Abbruch bei Umstellzeitüberschreitung (REQ-IXL-010); Geschwindigkeit abzweigender Fahrstraßen angezeigt und angekündigt (REQ-PLN-018, REQ-MOV-001); statisches Geschwindigkeitsprofil in der ETCS-Fahrerlaubnis (REQ-MOV-004); gekoppelte Weichen und Zungenpaare von Kreuzungsweichen nur gemeinsam gestellt, jede Fahrstraße verlangt die Partnerweiche, Flankenschutz über die Kreuzungsweiche hinaus (REQ-TOP-017, REQ-PLN-021, REQ-IXL-026)	Phase 4 umgesetzt, Kreuzungsweichen in Phase 13. Offen: Bremskurvenüberwachung liegt beim Fahrzeuggerät; PZB-Beeinflussung im Simulator
H-003	Umstellen einer Weiche unter einem Zug	Stellbefehl trotz Verschluss oder Belegung	Stellbefehle nur aus dem Kern (REQ-SVC-002), nur an unverschlossene Weichen in freiem Abschnitt (REQ-IXL-004); Auflösung erst hinter dem Zug (REQ-IXL-007); Umstellen im gestörten Abschnitt nur als bestätigte Hilfshandlung (REQ-IXL-014)	Phase 2 umgesetzt
H-004	Falsches Netzmodell oder falscher Plan (Projektierungsfehler)	Fehler in Netzbeschreibung, Import oder Generator; Plan passt nicht zum Netz	Netzvalidierung (REQ-TOP-001…010); Fuzzing von Import, Projektierung und Plan-Image (REQ-SAF-007); Signalstandorte (REQ-PLN-010); unabhängige Gegenprüfung (REQ-PLN-013); Strukturprüfung des Images (REQ-PLN-001/002); Abgleich Plan ↔ Netz (REQ-SVC-001); railML-3-Import mit derselben Validierung, ohne ergänzte oder geratene Angaben, Rundreise mit bitgleichem Plan (REQ-TOP-014); PlanPro-Import mit derselben Validierung, ohne geratene Angaben, Rundreise mit bitgleichem Plan (REQ-TOP-015); Signale bis 30 m vor der Freimeldegrenze mit Längen ab dem Signal (REQ-PLN-010)	Phase 12 umgesetzt (PlanPro), Signalabstand in Phase 14. Offen: Abgleich importierter Daten mit der Bestandsdokumentation; Prüfung gegen Planungen realer Anlagen
H-005	Zug wird nicht erkannt	Lücke in der Gleisfreimeldung; Ausfall der Kommunikation zu Achszählern	Lückenlose TVD-Abdeckung (REQ-TOP-006); fehlende oder veraltete Meldung ⇒ gestört ⇒ besetzt (REQ-IXL-009)	Phase 1 umgesetzt
H-006	Unberechtigte oder versehentliche Bedienhandlung	Fehlbedienung; Angriff über die API	Jede Anforderung wird vom Kern geprüft (REQ-SVC-002/004); Anmeldung je Benutzer mit Token oder Client-Zertifikat (REQ-SEC-001/002); Rollen und Zuständigkeit je Stellbereich (REQ-SEC-003); Hilfshandlungen nur mit Bestätigung durch einen zweiten Bediener mit eigener Bedienernummer, Frist und Zählwerk (REQ-IXL-014, REQ-SVC-006); Auditprotokoll aller Bedienungen (REQ-SEC-004); Journal aller Eingaben (REQ-JRN-001); offener Betrieb nur lokal (REQ-SEC-005)	Phase 3 umgesetzt. Offen: Anbindung an einen Verzeichnisdienst, Sperrlisten für Zertifikate
H-007	Fehlfunktion durch Softwarefehler im Kern	Panik, Überlauf, undefiniertes Verhalten, nichtdeterministisches Verhalten	forbid(unsafe_code); Lints gegen Panikpfade und ungeprüfte Arithmetik; deterministischer Kern (REQ-IXL-001); Invarianten mit sicherem Zustand (REQ-IXL-008); Property-Tests; formale Nachweise mit Kani (REQ-SAF-006); Fuzzing aller Eingangsschnittstellen bis in den Kern (REQ-SAF-007)	Phase 5 umgesetzt. Offen: Kani-Nachweise für den gesamten Kernzyklus (heute Property-Tests und Fuzzing), qualifizierte Toolchain, diversitäre Kanäle (anderes Target, andere Optimierung)
H-008	Unterschobener oder verfälschter Plan	Manipulation oder Beschädigung des Plan-Images; Austausch gegen einen fremden Plan	SHA-256 über das gesamte Image (REQ-PLN-003); Ed25519-Signatur, Betrieb nur mit vertrauenswürdigem Schlüssel (REQ-PLN-004); geheime Schlüssel geschützt (REQ-SVC-005); Freigabe im Vier-Augen-Prinzip durch unabhängige Prüfer (REQ-PLN-022)	Umgesetzt. Organisatorisch: Verwahrung der Schlüssel, Bestellung der Prüfer
H-009	Zug überfährt ein Halt zeigendes Signal	Fehlhandlung des Triebfahrzeugführers; fehlende Zugbeeinflussung	Durchrutschweg hinter jedem Zielsignal (REQ-PLN-015, REQ-IXL-012); Erkennung unerlaubter Besetzung und Haltüberfahrung (REQ-IXL-011); Zeitverschluss bei Rücknahme (REQ-IXL-006); Vorsignale kündigen nur gezeigte Fahrt an (REQ-PLN-017, REQ-MOV-002); Ersatzsignal nur bei gesichertem Fahrweg (REQ-IXL-015); ETCS-Fahrerlaubnis nur aus Fahrstraßen mit Fahrt, sofort verkürzt bei Rücknahme, Notbremsung bei Verlust unter dem fahrenden Zug (REQ-MOV-004, REQ-ETCS-002/003) ; PZB 90 im Simulator mit Wachsamkeit, 1000-/500-Hz-Überwachungskurven der Zugarten und 2000-Hz-Magnet zur Prüfung der Durchrutschwege (REQ-MOV-007)	Phase 4 umgesetzt für ETCS Level 2, PZB im Simulator in Phase 13. Offen: PZB über EULYNX an realen Signalen; Bremskurvenüberwachung liegt beim Fahrzeuggerät
H-010	Zusammenstoß an einem Bahnübergang	Bahnübergang nicht geschlossen, gestört oder vorzeitig geöffnet	Bahnübergänge gehören zur Fahrstraße (REQ-PLN-018); Schließen mit der Fahrstraße, Fahrt nur bei gemeldet geschlossenem Bahnübergang, Öffnen erst nach Räumung des Abschnitts (REQ-IXL-005/016); Invariante shared_locks_match_routes; Anbindung über EULYNX SCI-LX und RaSTA (REQ-COM-006)	Phase 4 umgesetzt. Offen: Überwachung der Einschaltstrecke und Rückfallebenen der BÜ-Technik mit realen Objektsteuerungen
H-011	Hergang eines Ereignisses nicht nachvollziehbar oder verfälscht	Fehlende, unvollständige oder manipulierte Betriebsaufzeichnung	Journal aller Eingaben mit Hashkette (REQ-JRN-001); deterministisches Abspielen mit Prüfpunkten (REQ-JRN-002); Journal wird nie überschrieben, Abbruch wird gemeldet (REQ-JRN-003); Siegel mit dem Schlüssel des Stellwerks über Journal und Auditprotokoll (REQ-JRN-004); Zustandsabzüge mit Prüfung beim Replay (REQ-JRN-006); Journal auch im Knotenbetrieb mit ausgewiesenen Zustandsübernahmen (REQ-JRN-007)	Phase 3: zusätzlich Auditprotokoll der Bedienungen mit Hashkette (REQ-SEC-004). Phase 7: Siegel (Ed25519). Phase 8: Journal im Knotenbetrieb. Phase 9/10: Journal laufend geprüft auf dem Bereitschaftsrechner, der nach einer Übernahme eigenes Journal führt. Phase 15: Siegel mit Uhrzeit, unabhängige Zeugen (REQ-JRN-010). Organisatorisch: Betrieb eines Zeugen außerhalb des Stellwerks
H-012	Gegenfahrt oder Folgefahrt ohne Sicherung zwischen zwei Stellbereichen	Beide Seiten einer Grenze halten die Erlaubnis (Laufzeiten, Neustart, veraltete Angebote); Zug fährt in einen nicht verschlossenen Annäherungsabschnitt; zwei Bahnhöfe schicken Züge in dieselbe eingleisige Strecke	Erlaubnisprotokoll mit fortlaufender Nummer, Quittung und Einschwingzeit (REQ-IXL-017); Abgabe nur bei gesicherter Lage (REQ-IXL-018); Annäherungsabschnitt ohne Erlaubnis verschlossen (REQ-IXL-019); Fahrt über die Grenze nur mit Erlaubnis und aktueller, freier, ausschließlicher Meldung des Nachbarn (REQ-IXL-020/021); Projektierung der Grenzen mit unabhängiger Gegenprüfung (REQ-PLN-019); Property-Tests mit zwei und drei echten Kernen; ETCS-Fahrerlaubnis über eine Grenze nur bis zum Einfahrsignal des Nachbarn (REQ-ETCS-002); Grenzmeldungen über EULYNX SCI-ILS auf RaSTA mit Property-Test unter gestörter Übertragung (REQ-COM-009) ; Stellbereiche in getrennten Prozessen über SCI-ILS auf UDP mit Umschalter je Bereich am Feldrechner (REQ-COM-010)	Phase 11 umgesetzt. Offen: Betriebsführung, ETCS und Bereitschaftsrechner bei verteilten Stellbereichen; Prüfung auf getrennter Hardware (RaSTA selbst siehe H-014)
H-013	Fehlentscheidung der Betriebsführung	Falsche Zugnummer, falscher Fahrplan, Zuglenkung fordert eine ungeeignete Fahrstraße an	Betriebsführung stellt nur Anforderungen, die der Kern prüft (REQ-SVC-002, REQ-OPS-003); Fahrplan gegen das Netz geprüft (REQ-OPS-002); Disponent kann zurückhalten und umdisponieren (REQ-OPS-005); Zuglenkung abschaltbar	Phase 3 umgesetzt. Gefährdung beschränkt sich auf Betriebsbehinderung
H-014	Verfälschte, wiederholte, vertauschte, verlorene, verzögerte oder eingefügte Nachricht zwischen Stellwerk und Feldelement	Gestörte oder manipulierte Übertragungsstrecke; Ausfall einer Objektsteuerung oder Verbindung	RaSTA nach EN 50159: Sicherheitscode, Kennungen, Datenindex mit idempotenter Wiederholung (REQ-COM-007), Zeitstempel mit Höchstalter, Lebenszeichen (REQ-COM-001…005); Meldungen nur über stehende Verbindungen, fehlende Meldung ⇒ gestört (REQ-COM-006, REQ-IXL-009); Property-Test unter Verlust, Verdopplung und Vertauschung	Phase 4 umgesetzt (simulierte Objektsteuerungen); Phase 7: Wiederholung überarbeitet – 20 % Verlust ohne Abbau, t_max/t_h nach Norm. Offen: Sicherheitscode nach Zulassungsanforderung (statt MD4), redundante Übertragungskanäle, Prüfung gegen reale EULYNX-Objektsteuerungen
H-015	Zufälliger Hardwarefehler oder Überlast im Stellwerksrechner	Bitfehler im Speicher, Rechenfehler, hängender oder verspäteter Prozess, rückwärts laufende Uhr	Redundante Kanäle mit eigenem Zustandsspeicher und Voter: 2-von-2 schaltet bei jeder Abweichung ab, 2-von-3 schließt den abweichenden Kanal aus (REQ-SAF-001/002); Vergleich von Ausgaben und Zustand; sicherer Zustand allein aus dem Plan (REQ-SAF-004); Watchdog für Rechenzeit und Zyklusabstand (REQ-SAF-005); Embedded-Runtime für sichere Rechner (REQ-EMB-001…004), im Dienst angebunden mit geprüftem Spiegel und Zustandsabgleich (REQ-EMB-005/006); zyklische Prüfung von Plan und RAM-Prüfbereich (REQ-SAF-008); Fehlerinjektion in Tests und Szenarien	Phase 5 umgesetzt; Phase 7: Knoten im Dienst (railit-node, railitd --node); Phase 10: Ausfall des ganzen Stellwerksrechners durch Übernahme des Bereitschaftsrechners beherrscht (siehe H-017). Phase 15: zyklische Speicherprüfung. Offen (Hardware, außerhalb der Software): Kanäle auf getrennter Hardware (Lockstep-Cortex-R oder getrennte Rechner), Wahl der Hardware, ECC-Speicher, RAM-Test über den gesamten Speicher beim Anlauf
H-016	Bedienhandlung auf Grund einer falschen oder veralteten Anzeige	Bedienplatz zeigt einen alten Zustand (Verbindung abgerissen, Dienst hängt); Anzeige verfälscht (Darstellungsfehler, fehlerhafte Übertragung); Bediener verwechselt Elemente	Spurplan aus der Topologie berechnet statt von Hand gezeichnet (REQ-UI-001); Anzeigeüberwachung sperrt die Bedienung nach 2 s ohne aktuelles Zustandsbild oder bei getrenntem bzw. nicht abgeglichenem Knoten des sicheren Rechners (REQ-UI-002, REQ-EMB-005); Prüfcode der Anzeige für Hilfshandlungen, Element vom zweiten Bediener selbst eingegeben (REQ-UI-003); der Kern führt eine Hilfshandlung nur aus, wenn die Bestätigung sie unverändert wiederholt (REQ-IXL-022); jede Regelbedienung prüft ohnehin der Kern (REQ-SVC-002)	Phase 6 umgesetzt. Offen: Bedienplatz nach EN 50128 als SIL-0-Software bewertet; ergonomische Prüfung (Farben, Blinken, Quittierung von Meldungen) mit Bedienern; sichere Anzeige auf zweitem Kanal (z. B. getrennt berechnete Darstellung) für einen realen Einsatz
H-017	Übernahme des Betriebs mit falschem Zustand oder zwei stellende Stellwerksrechner	Bereitschaftsrechner kennt die letzten Wirkungen des Hauptrechners nicht (Rückstand, unterbrochene Verbindung) und gibt Verschlüsse frei, unter denen ein Zug fährt, oder öffnet einen Bahnübergang vor ihm; Haupt- und Bereitschaftsrechner stellen gleichzeitig (getrennte Verbindung zwischen ihnen, Rückkehr des Hauptrechners)	Ausgabe erst nach Quittung des Bereitschaftsrechners mit Zusage, die Sperre eine bestimmte Zeit zu halten (REQ-SVC-012); Umschalter im Feldrechner: nur ein führendes Stellwerk, Wechsel erst nach Abbau aller Verbindungen und Umschaltzeit (REQ-SVC-013); Übernahme mit dem mitgelesenen Zustand nur innerhalb der Zusage, sonst Neustart (REQ-SVC-014); Zustand restriktiv angeglichen: Verschlüsse bleiben, Fahrt fällt auf Halt (REQ-IXL-025); Rückfallebene der Objektsteuerungen (REQ-COM-008); Property-Test mit Ausfall an zufälliger Stelle (600 Übernahmen ohne Gefährdung) und Gegenprobe ohne Sperre	Phase 10 umgesetzt (Simulation, Feldrechner als eigener Prozess). Offen: Zeitbedingungen (Frist, Umschaltzeit, t_max, Gangunterschied der Uhren) auf Zielhardware nachweisen; Umschalter in realer Feldtechnik (EULYNX sieht keinen vor); Betriebsführung (Zugnummern) wird nicht übernommen