Kolej i transport publiczny

Kolej, metro, tramwaj i autobus umożliwiają miastu codzienne funkcjonowanie właśnie dlatego, że są łatwo dostępne. Pasażer nie rezerwuje każdej krótkiej podróży z wyprzedzeniem, nie przechodzi przez jedną centralną bramę i może wsiąść na setkach przystanków. Pojazdy poruszają się w gęstej sieci, a stacje łączą transport z ulicą, handlem, pracą i przestrzenią publiczną. Ta otwartość nie jest zaniedbaniem, które można po prostu usunąć. Jest podstawową cechą usługi.

Atak na transport publiczny może bezpośrednio skrzywdzić ludzi, lecz jego znaczenie nie kończy się w miejscu zdarzenia. Zamknięty odcinek zmienia potoki w innych częściach sieci, opóźnia ratowników i pracowników usług krytycznych, przeciąża drogi, odcina dzielnice oraz wywołuje zapotrzebowanie na informację. Nawet niewielkie zdarzenie może uzyskać duży skutek społeczny, jeżeli pasażerowie przestaną ufać komunikatom albo operator nie potrafi bezpiecznie utrzymać ruchu.

Bezpieczeństwo tego sektora nie polega zatem na obietnicy całkowitego wyeliminowania ryzyka. Polega na łączeniu rozsądnej prewencji, szybkiego rozpoznania, ochrony ludzi, sprawnego dowodzenia, wiarygodnej informacji i zdolności do odtworzenia usługi. Środki muszą działać przy codziennym wolumenie podróży, nie tworzyć nowych niebezpiecznych skupisk i pozostawać użyteczne również podczas pożaru, awarii, katastrofy technicznej lub gwałtownego zdarzenia pogodowego.

Artykuł przedstawia tę problematykę z perspektywy ochronnej. Nie szereguje stacji, tras ani pór według podatności, nie opisuje sposobów obchodzenia zabezpieczeń i nie porównuje skuteczności metod ataku. Konkretne rozmieszczenie urządzeń, zasady dysponowania służb oraz scenariusze reakcji należą do chronionych ocen operatorów i władz.

System otwarty

Transport publiczny jest systemem przepływu. Jego wartość wynika z dużej liczby pasażerów, częstych kursów, wielu wejść i łatwego przesiadania się. Każda warstwa ochronna wpływa na czas podróży, pojemność, dostępność dla osób z niepełnosprawnościami i zachowanie tłumu. Środek skuteczny w małym obiekcie może być niewykonalny w sieci obsługującej codziennie setki tysięcy osób.

Otwartość ma kilka wymiarów. Fizyczny oznacza liczne stacje, przystanki, wejścia i połączenia z miastem. Operacyjny wynika z krótkich postojów oraz szybkiej wymiany pasażerów. Organizacyjny polega na współdziałaniu zarządcy infrastruktury, przewoźników, właścicieli dworców, samorządu, ochrony, policji i ratownictwa. Cyfrowy obejmuje systemy sterowania, sprzedaży, informacji, utrzymania i łączności. Zagrożenie może przechodzić między tymi warstwami.

Nie wszystkie części sieci są jednakowo otwarte. Zaplecze techniczne, nastawnia, centrum dyspozytorskie, urządzenia zasilania i pomieszczenia personelu wymagają dostępu zależnego od roli. Pasażerska przestrzeń publiczna potrzebuje natomiast rozwiązań, które wykrywają odstępstwo oraz umożliwiają reakcję bez przekształcania całej podróży w kontrolę dostępu do obiektu zamkniętego.

Dlaczego model lotniczy nie daje się skopiować

Lotnictwo pasażerskie opiera dużą część ochrony na rozdzieleniu strefy ogólnodostępnej i zastrzeżonej, kontroli przed wejściem oraz powiązaniu pasażera, dokumentu i konkretnego rejsu. Nie jest to system doskonały, ale jego architektura odpowiada relatywnie niewielkiej liczbie portów, dłuższemu czasowi przygotowania i zaplanowanej podróży. Szczegółowo opisuje ją artykuł Uprowadzenie i atak w lotnictwie.

W kolei miejskiej pasażer może odbyć kilkuminutowy przejazd, zmienić środek transportu i wejść na peron z kilku stron. Pociąg dalekobieżny zatrzymuje się na stacjach o bardzo różnej infrastrukturze. Tramwaj i autobus korzystają z przestrzeni ulicznej. Wprowadzenie identycznej kontroli każdego człowieka i bagażu wymagałoby ogromnej powierzchni, personelu oraz czasu, a przed punktami sprawdzania powstałyby kolejki nieobjęte jeszcze ochroną.

Przesunięcie ludzi przed bramkę nie usuwa celu skupiskowego. Zmienia jego położenie i może utrudnić ewakuację. Jeżeli kontrola zmniejsza przepustowość poniżej napływu, tłum będzie narastał w holu, na chodniku lub przy wejściu. To przykład przesunięcia ryzyka: środek chroni jeden obszar, ale zwiększa ekspozycję w innym.

Nie wynika z tego, że kontrola jest zawsze bezcelowa. Może być uzasadniona dla określonej usługi, wydarzenia, potwierdzonego zagrożenia albo strefy technicznej. Powinna jednak wynikać z oceny ryzyka i badania przepływu, mieć procedurę dla alarmu oraz zostać połączona z zarządzaniem kolejką. Widoczna bramka bez zdolności bezpiecznego rozstrzygnięcia sygnału tworzy pozór ochrony.

Komisja Europejska, przedstawiając w 2018 roku plan działań na rzecz bezpieczeństwa pasażerów kolei, podkreślała potrzebę współpracy, wymiany informacji i koordynacji zamiast prostego kopiowania jednego zestawu środków. Kolej transgraniczna i otwarta wymaga interoperacyjności, ale jej bezpieczeństwo pozostaje silnie zależne od warunków krajowych oraz lokalnych.¹

Co właściwie jest chronione

Przedmiotem ochrony nie jest tylko budynek dworca. Chronione są ludzie, pojazdy, tory, tunele, system sterowania, informacja, energia, załoga, zdolność ratownicza i ciągłość przewozu. Ochrona jednego składnika kosztem pozostałych może zwiększać całkowitą szkodę. Zamknięcie drzwi ograniczające wejście nie może na przykład uniemożliwiać ucieczki podczas pożaru.

W pierwszej kolejności chroni się życie i zdrowie. Dalej znajdują się funkcje potrzebne do ratowania, panowania nad ruchem i rzetelnego informowania. Mienie oraz punktualność są ważne, lecz nie powinny wypierać tych priorytetów. Taka hierarchia pomaga w pierwszych minutach, gdy nie wiadomo jeszcze, czy zdarzenie jest atakiem, awarią czy fałszywym alarmem.

Funkcja krytyczna bywa mniej widoczna niż infrastruktura. Niewielki zespół może posiadać kompetencję niezbędną do przełączenia systemu, a jedna baza danych zawierać aktualny obieg pojazdów. Ocena ochrony powinna więc pytać nie tylko „co można uszkodzić?”, lecz także „bez czego nie da się bezpiecznie kontynuować lub zatrzymać ruchu?”.

Wiele podmiotów, jedna podróż

Pasażer widzi jedną usługę, lecz za nią stoją różne instytucje. Zarządca infrastruktury odpowiada za tor i prowadzenie ruchu, przewoźnik za pojazd oraz załogę, zarządca dworca za budynek, a samorząd często za węzeł i przestrzeń wokół. Ochrona prywatna, policja, Straż Ochrony Kolei, straż pożarna, ratownictwo medyczne i centrum zarządzania kryzysowego mają odrębne kompetencje.

Luka najczęściej powstaje na styku. Zdarzenie może zacząć się w przestrzeni miejskiej, przejść przez dworzec i zakończyć w pojeździe należącym do innego operatora. Jeżeli każdy plan zaczyna się dopiero na formalnej granicy nieruchomości, nikt nie zarządza całym przepływem ludzi. Właściciel miejsca nie zawsze jest też podmiotem najlepiej przygotowanym do dowodzenia reakcją.

Umowy powinny zatem określać zgłoszenie, wymianę danych, zatrzymanie napływu, komunikat dla pasażerów, dostęp służb, zachowanie nagrań i przejęcie dowodzenia. Nie wystarczy zapis, że strony „współpracują”. Potrzebne są role, kanały, zastępstwa oraz próby obejmujące noc, weekend i zmianę dyżuru.

W sytuacji kryzysowej nie tworzy się nowej organizacji od zera. Pierwszy pracownik wykonuje działania ratujące życie i uruchamia alarm, dyspozytor chroni ruch, a właściwa służba przejmuje dowodzenie zgodnie z prawem i charakterem zdarzenia. Przekazanie musi być jawne dla uczestników: kto dowodzi, jaki jest zakres, gdzie znajduje się stanowisko i jak potwierdza się polecenia.

Granica dworca

Dworzec nie kończy się na drzwiach. Ludzie oczekują na chodnikach, podjazdach, przystankach, postojach taksówek i w przejściach należących do miasta lub centrum handlowego. Pojazdy dostawcze, rowery, bagaże i osoby odbierające pasażerów poruszają się między różnymi reżimami. Działania ochronne wewnątrz mogą przenieść kolejkę właśnie na ten obszar.

Brytyjskie wytyczne dotyczące terenów przylegających do stacji wskazują na wspólną odpowiedzialność operatorów, samorządu, właścicieli i policji za ograniczanie podatności poza formalną granicą obiektu.² Nie chodzi o objęcie całej dzielnicy kontrolą transportową. Chodzi o wspólną ocenę przepływu, dostępu ratowników, oświetlenia, przeszkód, kolejek i możliwości czasowego zamknięcia obszaru.

Projekt przestrzeni powinien umożliwiać rozproszenie ludzi, czytelne odejście i dostęp pojazdów służb. Element ochronny nie może tworzyć wąskiego gardła ani bariery dla osoby poruszającej się na wózku. Donice, słupki, ławki i reklamy oddziałują na ruch; dlatego ich ustawienie wymaga uzgodnienia bezpieczeństwa, dostępności i funkcji miejskiej.

Tłum jako stan systemu

Tłum nie jest jednorodną masą ani automatycznie zagrożeniem. Jest zmiennym stanem przepływu, zależnym od napływu, pojemności przejścia, czasu postoju i informacji. Pasażerowie mogą zachowywać się rozsądnie, jeżeli otrzymują wiarygodny kierunek działania. Chaos często powstaje nie z „paniki”, lecz ze sprzecznych komunikatów i braku widocznej drogi.

Zwykłe opóźnienie może przygotować warunki dla poważniejszej szkody. Ludzie gromadzą się na peronie, kolejne pojazdy dowożą nowych pasażerów, a wyjście pozostaje obciążone. Jeżeli dojdzie wtedy do alarmu, dostępna przestrzeń jest mniejsza niż zakłada plan dla typowego dnia. Ochrona musi zatem korzystać z danych o bieżącym napełnieniu, nie tylko ze statycznej pojemności budynku.

Najważniejszym narzędziem bywa regulacja dopływu. Operator może ominąć stację, zamknąć wejście, skierować ludzi do innego środka albo opóźnić odjazd, aby nie przenieść problemu dalej. Każda decyzja ma konsekwencje dla innych miejsc i powinna być przekazana partnerom. Sam komunikat „stacja zamknięta” nie wystarcza, gdy następna stacja nie jest gotowa na dodatkowy potok.

Zabezpieczenie kolejki obejmuje jej położenie, szerokość przejścia, nadzór, komunikację i możliwość zakończenia kontroli. Nie należy zakładać, że ludzie ustawią się zgodnie z projektem w deszczu, przy awarii biletomatów albo po zmianie peronu. Próby prowadzone wyłącznie w pustym obiekcie nie ujawniają tych konfliktów.

Węzeł przesiadkowy

Węzeł łączy różne linie i środki transportu, dlatego jego niedostępność przenosi skutki na dużą część miasta. Nie oznacza to, że należy publikować ranking ważności konkretnych miejsc. Wewnętrzna analiza może określać rolę węzła, ale publiczna wiedza ochronna dotyczy zależności: liczby alternatyw, możliwości zawracania, pojemności otoczenia i sposobu przekazania pasażerów.

Zdarzenie w jednej części nie zawsze wymaga zamknięcia całości. Możliwość sektorowania pozwala odizolować obszar, utrzymać bezpieczne perony i zachować trasę dla ratowników. Taka decyzja wymaga jednak pewności, że zagrożenie nie przechodzi przez wspólne instalacje oraz że ludzie nie zostaną skierowani w stronę zdarzenia.

Węzeł jest również miejscem przejęcia odpowiedzialności. Pasażer opuszcza pociąg i trafia do metra, autobusu albo przestrzeni miejskiej. Informacja musi być spójna między operatorami. Jeżeli aplikacja kolejowa poleca przesiadkę na usługę, którą drugi operator właśnie wstrzymał, komunikat zwiększa tłok i niszczy zaufanie.

Plan regionalny powinien określać, jak rozkłada się dodatkowy popyt po zamknięciu węzła. Autobus zastępczy nie jest abstrakcyjną pojemnością: potrzebuje pojazdów, kierowców, miejsca postoju, bezpiecznej kolejki i drogi. Przy dużej skali ważniejsze może być ograniczenie podróży oraz stopniowe przywracanie niż obietnica pełnego zastępstwa.

Peron i krawędź toru

Peron łączy ruch pieszy z poruszającym się pojazdem i infrastrukturą energetyczną. Podczas alarmu nie można traktować go jak zwykłego korytarza. Kierunek odejścia zależy od położenia pociągu, ruchu na sąsiednich torach, dymu, dostępności wyjść i poleceń dyspozytora.

Pasażer nie powinien samodzielnie wchodzić na tor ani otwierać drogi do przestrzeni technicznej, chyba że istnieje bezpośrednie zagrożenie życia i nie ma innej możliwości. Uziemienie, zatrzymanie ruchu i potwierdzenie bezpiecznego dostępu wymagają kompetencji. Dobra informacja mówi, co człowiek ma zrobić teraz, zamiast pozostawiać mu techniczną ocenę systemu.

Personel potrzebuje zdolności zatrzymania napływu na peron, kontaktu z prowadzącym ruch i wskazania bezpiecznej drogi. Monitoring może wspomagać ocenę napełnienia, ale obraz bez operatora oraz procedury reakcji nie rozwiązuje problemu. Automatyczna analityka również wymaga testu na codzienne zjawiska: bieg do pociągu, pozostawiony bagaż, tłum po wydarzeniu i zachowanie osoby w kryzysie zdrowotnym.

Bariera peronowa, oznakowanie i oświetlenie mogą zmniejszać część ryzyka, lecz nie zastępują zarządzania. Każde urządzenie ma tryb awaryjny i może wpłynąć na ewakuację. Projekt powinien być oceniany łącznie przez specjalistów od ruchu, pożaru, ochrony i dostępności.

Pojazd w ruchu

W pociągu, metrze, tramwaju lub autobusie ludzie znajdują się w ograniczonej przestrzeni, a bezpieczne wyjście zależy od miejsca zatrzymania. Kierujący pojazdem może mieć niepełny obraz, a pasażerowie przekazywać sprzeczne zgłoszenia. Pierwsza decyzja dotyczy często tego, czy kontynuowanie do przygotowanego miejsca jest bezpieczniejsze niż zatrzymanie.

Nie istnieje uniwersalna odpowiedź. Charakter zagrożenia, położenie, stan pojazdu, dostęp służb, dym, ogień i możliwość odizolowania części składu zmieniają bilans. Procedura musi pozostawiać odpowiednio wyszkolonemu dyspozytorowi i załodze zakres decyzji, jednocześnie chroniąc ich przed presją przypadkowych komunikatów.

System alarmowy dla pasażera powinien umożliwiać przekazanie lokalizacji i charakteru zdarzenia, ale jego użycie nie zawsze automatycznie zatrzymuje pojazd w miejscu. Jasna instrukcja zmniejsza konflikt oczekiwań. Prowadzący potwierdza zgłoszenie, kontaktuje się z centrum i przekazuje polecenie możliwe do wykonania.

Po zatrzymaniu drzwi nie muszą być bezpiecznym wyjściem po obu stronach. Samowolna ewakuacja może skierować ludzi na czynny tor, jezdnię, do tunelu lub w stronę sprawcy. Jeżeli bezpośrednie zagrożenie wymaga natychmiastowego opuszczenia, ludzie ratują życie; w innych warunkach powinni oczekiwać na instrukcję załogi i służb.

Tunel i obiekt podziemny

Tunel skupia kwestie bezpieczeństwa celowego i technicznego. Ograniczona liczba dróg, możliwość zadymienia, energia trakcyjna, wentylacja, oświetlenie awaryjne, łączność i dostęp ratowników wpływają na każdą decyzję. Atak nie usuwa praw fizyki pożaru, a pożar nie wyklucza celowego działania.

Amerykańskie wytyczne Federal Transit Administration ujmują przygotowanie kolei miejskiej w dwóch fazach — zapobiegawczej i reaktywnej — oraz wymagają powiązania planów, szkolenia, pojazdów i infrastruktury ze współpracą policji, straży pożarnej i ratownictwa. W tunelach szczególne znaczenie mają wentylacja, oświetlenie, wyjścia, zasilanie trakcyjne, komunikacja i kontrola ruchu pasażerów.³

Wentylacji nie przełącza się na podstawie intuicji osoby bez obrazu sytuacji. Kierunek przepływu może chronić jedną strefę i pogarszać warunki w drugiej. Dowodzenie potrzebuje danych o miejscu pojazdu, dymie, pożarze, ludziach i pracy urządzeń. Tryb ręczny musi być ćwiczony, a uprawnienia dostępne na zmianie.

Łączność pod ziemią nie może opierać się na jednym publicznym operatorze komórkowym. Potrzebne są systemy operacyjne, łączność służb, urządzenia zapasowe i procedura dla całkowitej utraty kontaktu. Plan powinien zakładać, że część informacji dotrze z opóźnieniem i że pierwsze zespoły zobaczą inny obraz niż centrum.

Ewakuacja tunelem jest ostatecznością wymagającą zatrzymania ruchu, ochrony przed energią i wskazania kierunku. Osoby z ograniczoną mobilnością mogą potrzebować pomocy, a szybki pochód innych nie może ich pozostawić w dymie. Punkty oczekiwania, urządzenia i role pomocnicze są projektowane wcześniej, bez publicznego ujawniania szczegółowej mapy ochronnej.

Różne zagrożenia, wspólne funkcje

System może zostać dotknięty przemocą z użyciem broni, podejrzanym przedmiotem, podpaleniem, wzięciem zakładników, skażeniem, sabotażem, ingerencją cyfrową albo fałszywym alarmem. Każde zdarzenie ma inną dynamikę. Próba stworzenia jednej instrukcji ruchu ludzi dla wszystkich przypadków byłaby niebezpieczna.

Istnieją jednak wspólne funkcje: rozpoznać odstępstwo, przekazać lokalizację, chronić życie, zatrzymać dopływ, ustalić dowodzenie, przekazać jasny komunikat i zachować możliwość korekty. Dzięki nim pierwsza reakcja może rozpocząć się przed pełnym rozpoznaniem przyczyny. Zmiana kwalifikacji z awarii na celowe działanie nie powinna wymagać budowania całego systemu od nowa.

Plan wielozagrożeniowy nie oznacza ignorowania różnic. Podejrzany bagaż wymaga innej oceny niż widoczny napastnik, a nieznana substancja innej niż dym z pożaru. Specjalistyczne procedury rozwijają wspólny rdzeń. Odpowiedzialny pracownik wie przede wszystkim, kiedy przestać samodzielnie oceniać i przekazać sprawę właściwym służbom.

Materiały wybuchowe omówiono szerzej w artykule Zagrożenie materiałami wybuchowymi, a przemoc z użyciem łatwo dostępnych narzędzi w artykule Broń palna, ostrza, pojazdy i podpalenie. W transporcie dochodzą do nich ruch pojazdów, infrastruktura trakcyjna, ograniczone wyjścia i skutki sieciowe. Te uwarunkowania zmieniają reakcję, ale nie uzasadniają publikowania specyficznych luk.

Lekcje ze zdarzeń, nie katalog celów

Zamachy w Tokio w 1995 roku, Madrycie w 2004 roku i Londynie w 2005 roku ujawniły różne cechy transportu: możliwość rozproszenia skutków między pojazdami, znaczenie nieznanej substancji, przeciążenie łączności, trudność ratownictwa pod ziemią oraz wpływ zamknięcia sieci na całe miasto. Historia jest przydatna wtedy, gdy prowadzi do lepszej ochrony, nie gdy zamienia się w opis sposobu działania sprawców.

Z Tokio wynika znaczenie wczesnego rozpoznania syndromu, ochrony ratowników i współpracy transportu z systemem zdrowia. Z Madrytu — potrzeba zarządzania wieloma miejscami, rodzinami, dowodami i ciągłością ruchu. Z Londynu — konieczność niezależnych kanałów łączności, wspólnego obrazu sytuacji i przygotowania tuneli. Żaden przypadek nie daje jednak uniwersalnego scenariusza przyszłego ataku.

Podejrzany przedmiot

Pozostawiony bagaż jest w transporcie zjawiskiem częstym i zwykle wynika z roztargnienia. Jednocześnie nie można przyjąć, że każdy przedmiot jest nieszkodliwy. Ocena łączy kontekst, wygląd, miejsce, zachowanie osoby i dostępne informacje, lecz pasażer nie powinien próbować jej prowadzić przez dotykanie, otwieranie albo przenoszenie.

Najbezpieczniejszym działaniem osoby postronnej jest oddalenie się od bezpośredniego sąsiedztwa i zgłoszenie pracownikowi lub właściwej służbie możliwie dokładnej lokalizacji. Polski Urząd Transportu Kolejowego zaleca, aby bagażu pozostawionego bez opieki nie dotykać, a o nim powiadomić obsługę pociągu, dworca albo służby.⁴ Dalsze polecenia zależą od oceny na miejscu.

Nie istnieje jedna publiczna odległość odpowiednia dla każdego przedmiotu, obiektu i otoczenia. Szkło, ściany, konstrukcja, tłum i możliwość drugiego zagrożenia zmieniają warunki. Pracownik uruchamia procedurę, ogranicza napływ i nie obiecuje, że krótka wizualna kontrola rozstrzygnęła bezpieczeństwo.

Zbyt szerokie zamknięcie może sparaliżować sieć, a zbyt wąskie narazić ludzi. Decyzję powinien podejmować podmiot mający kompetencję, informacje i łączność z ruchem. Pasażer otrzymuje prostą instrukcję dotyczącą drogi, nie szczegółową dyskusję o przesłankach i sposobie rozpoznania.

Zgłaszanie zachowania

Zachowanie zasługujące na zgłoszenie to konkretna czynność lub okoliczność, nie wygląd, język, wyznanie albo pochodzenie. Próba wejścia do strefy technicznej, manipulowanie przy urządzeniu, pozostawienie rzeczy z niepokojącym kontekstem czy jednoznaczna groźba są informacjami możliwymi do opisania. Ogólne wrażenie, że ktoś „nie pasuje”, nie daje takiej jakości.

Profilowanie tożsamościowe jest niesprawiedliwe i operacyjnie słabe. Produkuje dużą liczbę zgłoszeń o osobach niewinnych, obciąża służby i może odwracać uwagę od zachowania sprawcy, który nie odpowiada stereotypowi. Pasażer powinien przekazać, co widział, gdzie i kiedy, a ocenę intencji pozostawić przeszkolonemu odbiorcy.

Kanał zgłoszenia musi być łatwy, ale nie może obiecywać natychmiastowej osobistej interwencji w każdym przypadku. Operator określa, kiedy użyć interkomu, personelu, numeru alarmowego albo kanału tekstowego. Komunikat powinien uwzględniać osobę niesłyszącą, niemówiącą, nieznającą języka i obawiającą się bezpośredniej rozmowy.

Odbiorca nie może mechanicznie traktować wszystkich zgłoszeń tak samo. Potrzebuje modelu triage, możliwości dopytania, połączenia wielu sygnałów i szybkiego przekazania zdarzenia w toku. Zarazem nie powinien żądać od pasażera śledzenia osoby, fotografowania jej z bliska ani podejmowania konfrontacji.

Osoba w kryzysie nie jest automatycznie sprawcą

Nietypowe zachowanie może wynikać z niepełnosprawności, dezorientacji, demencji, zatrucia, kryzysu psychicznego lub nagłego problemu zdrowotnego. Ochrona oparta wyłącznie na podejrzliwości może eskalować sytuację i opóźnić pomoc. Pierwsza ocena powinna uwzględniać zarówno bezpieczeństwo, jak i możliwość potrzeby medycznej.

Pracownik potrzebuje szkolenia w spokojnej komunikacji, utrzymaniu dystansu, wezwaniu wsparcia i rozpoznawaniu granic własnej roli. Nie diagnozuje choroby i nie próbuje sam obezwładnić osoby tylko dlatego, że ta zachowuje się nietypowo. Widoczne narzędzie, groźba lub atak zmieniają oczywiście priorytety.

Transport publiczny jest miejscem, w którym pracownicy często spotykają osoby bezdomne, zagubione albo w kryzysie. Stała współpraca z pomocą społeczną i ratownictwem może zmniejszać powtarzalne interwencje policyjne oraz poprawiać wczesne rozpoznanie rzeczywistego zagrożenia. Bezpieczeństwo i pomoc nie są tu przeciwieństwami.

Personel pierwszego kontaktu

Kierowca, konduktor, pracownik peronu, kasjer, sprzątający i ochroniarz mogą jako pierwsi otrzymać informację. Nie każdy ma tę samą władzę ani szkolenie, lecz każdy powinien znać podstawowy ciąg: przyjąć bezpiecznie zgłoszenie, ustalić miejsce, uruchomić kanał, nie niszczyć śladu i wykonać polecenie.

Szkolenie musi odpowiadać realnej pracy. Pracownik sprzątający często porusza się poza godzinami szczytu i zauważa zmianę w przestrzeni, lecz może być zatrudniony przez podwykonawcę. Jeżeli nie ma dostępu do kanału lub boi się konsekwencji zatrzymania pracy, ważna informacja nie trafi do centrum.

Personel nie powinien otrzymywać nieograniczonego katalogu „podejrzanych cech”. Potrzebuje scenariuszy dotyczących zachowania, progów eskalacji, sposobu opisu i własnego bezpieczeństwa. Ćwiczenie powinno sprawdzać również sytuację niejednoznaczną, w której prawidłowym wynikiem jest pomoc medyczna albo spokojne wyjaśnienie.

Ochrona pracownika obejmuje wsparcie po zdarzeniu. Osoba, która rozmawiała z rannym, prowadziła ewakuację albo była adresatem groźby, może potrzebować odpoczynku, opieki i późniejszego kontaktu. Natychmiastowe przesłuchanie nie może być jedyną formą reakcji organizacji.

Centrum dyspozytorskie

Centrum łączy informacje o ruchu, energii, położeniu pojazdów, zgłoszeniach i działaniach służb. Podczas ataku lub alarmu łatwo staje się wąskim gardłem. Zbyt wiele połączeń, sprzeczne meldunki i presja na szybkie wznowienie mogą prowadzić do błędu większego niż pierwotne zdarzenie.

Role powinny być rozdzielone: jedna osoba chroni prowadzenie ruchu, inna utrzymuje kontakt ze służbami, kolejna prowadzi dziennik i informację. W mniejszej organizacji jedna zmiana może łączyć funkcje, ale plan określa moment wezwania wsparcia. Nie wolno zakładać, że dyspozytor jednocześnie przeanalizuje monitoring, zadzwoni do wszystkich podmiotów i napisze komunikat publiczny.

Wspólny obraz sytuacji musi odróżniać fakt, ocenę i polecenie. „Pasażer zgłosił dym” jest faktem o zgłoszeniu, nie potwierdzeniem pożaru. „Możliwe celowe działanie” jest oceną. „Pominąć stację” jest decyzją wymagającą potwierdzenia odbioru. Takie oznaczenie ogranicza rozchodzenie się założenia jako pewności.

Centrum potrzebuje alternatywnej lokalizacji, zapasowego zasilania, dostępu do aktualnych danych i procedury pracy ręcznej. Przeniesienie nie może trwać po raz pierwszy podczas realnego incydentu. Próba powinna wykazać, które funkcje są rzeczywiście dostępne, a które tylko figurują na liście.

Dowodzenie i przekazanie

Pierwsze minuty należą zwykle do operatora, ponieważ zna ruch i może zatrzymać dopływ. Po przybyciu policji, straży pożarnej lub ratownictwa zakres dowodzenia zmienia się zależnie od zagrożenia. Operator nadal pozostaje niezbędny: zewnętrzny dowódca nie powinien samodzielnie podejmować technicznych decyzji o energii i prowadzeniu pociągów.

Struktura powinna pozwalać równolegle zarządzać miejscem, siecią i skutkami społecznymi. Dowódca działań na peronie nie ma zasobu, aby koordynować wszystkie zamknięte linie, media i rodziny. Osobne poziomy muszą jednak wymieniać priorytety, aby wznowienie ruchu nie naruszyło miejsca dowodowego ani bezpieczeństwa ratowników.

Przekazanie obejmuje stan ludzi, granice strefy, ruch, energię, znane zagrożenia, działania już wykonane i otwarte decyzje. Samo powiedzenie „służby przejęły” jest niewystarczające. Każdy uczestnik powinien rozumieć, kto odpowiada za ochronę miejsca, a kto za resztę sieci.

Łącznicy operatora, policji, straży pożarnej, ratownictwa i samorządu muszą znać nawzajem język oraz ograniczenia. Ćwiczenie ujawnia, czy oznaczenie toru, poziomu lub wejścia jest rozumiane tak samo. Błąd nazewnictwa w obiekcie wielopoziomowym może opóźnić pomoc mimo sprawnej łączności.

Informacja dla pasażerów

Dobry komunikat odpowiada na cztery pytania: co człowiek ma zrobić, gdzie nie powinien iść, jak długo obowiązuje instrukcja oraz gdzie otrzyma aktualizację. Nie musi natychmiast rozstrzygać, czy zdarzenie było terrorystyczne. Nazwanie przyczyny bez potwierdzenia może wywołać dodatkowy lęk, zaszkodzić dochodzeniu i utrudnić późniejszą korektę.

Komunikat „z przyczyn bezpieczeństwa” bywa konieczny, lecz nie może być jedyną informacją przez godzinę. Pasażer potrzebuje alternatywy, zakresu zamknięcia i kolejnego terminu aktualizacji. Jeżeli czasu usunięcia utrudnienia nie da się przewidzieć, operator powinien powiedzieć to wprost zamiast wielokrotnie przesuwać nierealną godzinę.

Informacja musi być spójna w megafonie, tablicach, aplikacji, stronie, mediach społecznościowych i komunikatach innych operatorów. Nie oznacza identycznej długości, lecz ten sam kierunek działania. Centrum powinno mieć jeden zatwierdzony stan, z którego korzystają kanały.

Głos w obiekcie musi być zrozumiały przy hałasie i dla osoby nieznającej lokalnego układu. Krótkie zdania, nazwa kierunku, widoczne symbole i powtórzenie są ważniejsze niż administracyjny opis. Osoby niesłyszące potrzebują komunikatu wizualnego, a niewidome dźwiękowego oraz pomocy w zmianie trasy.

Pasażerowie mogą sami publikować obraz i relacje. Operator nie opanuje całego obiegu, lecz może dostarczać regularne, oznaczone czasem aktualizacje i szybko korygować szkodliwe fałsze. Apel o nieudostępnianie pozycji służb lub wizerunku ofiar powinien wyjaśniać ochronę życia i prywatności, nie sugerować ukrywania faktów.

Ewakuować, pozostać czy ominąć

Ewakuacja nie jest automatycznie najlepszą reakcją. Może skierować ludzi w stronę zagrożenia, na ruchliwą ulicę, do dymu albo w niekontrolowane skupisko. Pozostanie w pojeździe lub wydzielonej części stacji może być czasowo bezpieczniejsze, jeśli konstrukcja oddziela zagrożenie i istnieje łączność.

Decyzja zależy od rodzaju oraz położenia zagrożenia, dróg, pożaru, wentylacji, ruchu i zdolności służb. Powinna być możliwa do zmiany. Instrukcja „pozostań” wymaga aktualizacji i zapewnienia, że ludzie nie czują się porzuceni. Instrukcja „wyjdź” wymaga bezpiecznego kierunku i kontroli napływu z przeciwnej strony.

Czasem najlepsze jest ominięcie stacji przez pojazdy i niedopuszczenie nowych pasażerów, podczas gdy obecni wychodzą inną drogą. Czasem trzeba zatrzymać pociąg przed obszarem. Procedura nie może być tak sztywna, by załoga realizowała stary wariant mimo widocznej zmiany.

Pasażer nie powinien wracać po bagaż ani przerywać potoku, aby nagrywać. Powinien słuchać komunikatów, pomagać osobie obok w granicach bezpieczeństwa i zgłosić, jeśli ktoś potrzebuje wsparcia. Po wyjściu nie należy gromadzić się bezpośrednio przy wejściu, bo utrudnia to działania oraz może pozostawiać ludzi w zasięgu zdarzenia.

Dostępność i ewakuacja wspomagana

Plan, który działa wyłącznie dla zdrowej osoby znającej język i poruszającej się bez pomocy, nie jest planem dla transportu publicznego. Pasażer może korzystać z wózka, laski, psa asystującego, aparatu słuchowego albo wsparcia opiekuna. Może podróżować z dzieckiem, dużym bagażem, mieć niewidoczną niepełnosprawność lub ograniczenie poznawcze.

Winda może zostać wyłączona przez pożar lub utratę zasilania. Alternatywa wymaga urządzeń, miejsca oczekiwania, personelu i potwierdzonej drogi. Nie można obiecać ewakuacji wspomaganej bez sprawdzenia, czy nocna zmiana ma ludzi zdolnych ją wykonać.

Pomoc nie oznacza automatycznego chwytania lub oddzielania od sprzętu. Pracownik pyta, jak najlepiej pomóc, o ile sytuacja pozwala. W bezpośrednim zagrożeniu priorytetem jest ratowanie życia, ale godność i komunikacja nadal mają znaczenie.

Dziecko odłączone od opiekuna wymaga chronionej procedury identyfikacji, nie publicznego podawania pełnych danych. Osoba z zaburzeniem przetwarzania może nie wykonać głośnego, złożonego polecenia. Ćwiczenia powinny włączać organizacje reprezentujące użytkowników, a nie tylko symulować ich potrzeby na papierze.

Ratownictwo medyczne

Wielu poszkodowanych może znajdować się w pojazdach, tunelu i na kilku wyjściach. Pierwszy punkt, do którego docierają, nie zawsze jest miejscem zdarzenia. System medyczny musi zbierać obraz z wielu szpitali i zespołów, a transport znać kierunki, którymi ludzie mogą samodzielnie opuszczać obszar.

Triage, strefy pomocy i transport do szpitali należą do właściwych służb. Operator wspiera dostęp, oświetlenie, energię, mapy i informację o liczbie pasażerów, ale nie powinien publikować rozmieszczenia zasobów podczas działań. Ranni mogą wymagać dekontaminacji lub ochrony przed dowodem; nie wolno jednak opóźniać pilnego leczenia dla wygody dochodzenia.

Osoby pozornie bez obrażeń mogą cierpieć na zatrucie, uraz słuchu, reakcję stresową lub zaostrzenie choroby. Komunikat powinien wskazywać objawy i drogę pomocy, jeśli właściwy organ je potwierdzi. Samodzielne masowe zgłaszanie się do jednego szpitala może przeciążyć system, dlatego koordynacja informacji jest częścią ratownictwa.

Personel medyczny potrzebuje ostrzeżenia o możliwym skażeniu albo wtórnym zagrożeniu. Nieznana przyczyna nie usprawiedliwia spekulacji, ale powinna uruchomić środki ostrożności. Temat ten rozwija artykuł Zagrożenia chemiczne i biologiczne.

Rodziny i osoby zaginione

Po zdarzeniu tysiące bliskich mogą jednocześnie próbować dodzwonić się do pasażerów, operatora, policji i szpitali. Przeciążenie sieci oraz rozproszenie rannych powodują, że brak kontaktu nie oznacza automatycznie zaginięcia. Potrzebny jest jeden publiczny proces zgłoszenia, aktualizowany wraz z możliwościami służb.

Centrum informacji rodzinnej powinno działać poza strefą operacyjną. Łączy identyfikację, pomoc psychologiczną, informację o postępowaniu i ochronę danych. Rodzina nie powinna szukać bliskiego między ambulansami ani uzyskiwać wiadomości z fotografii medialnej.

Lista pasażerów w transporcie miejskim zwykle nie istnieje, a dane biletowe są niepełne. Monitoring, płatności i telefony mogą wspierać ustalenia, ale ich użycie wymaga podstawy prawnej i kontroli. Nie należy obiecywać natychmiastowej pełnej listy tylko dlatego, że system jest cyfrowy.

Informację o śmierci przekazuje uprawniony i przygotowany zespół po wiarygodnej identyfikacji. Presja szybkości nie usprawiedliwia błędu. Operator wspiera rodzinę w sprawach podróży, mienia i kontaktu, lecz nie zastępuje organu procesowego.

Zagrożenie cyfrowe

Kolej i transport miejski korzystają równolegle z systemów biurowych, sprzedażowych, informacji pasażerskiej, utrzymania, łączności i sterowania. Nie każde włamanie jest cyberterroryzmem, lecz incydent w zwykłej sieci może utrudnić bezpieczne prowadzenie ruchu albo reakcję na fizyczne zdarzenie. Kwalifikację i granice pojęcia rozwija artykuł Cyberterroryzm i cyberwsparcie.

Trzeba rozdzielać IT od systemów operacyjnych, ale nie udawać, że są całkowicie niezależne. Dane rozkładowe, zdalny serwis, tożsamość użytkownika i dostawca mogą tworzyć połączenia pośrednie. ENISA wskazuje w sektorze kolejowym na starsze środowiska techniczne, długie cykle życia, zależność od łańcucha dostaw i napięcie między bezpieczeństwem ruchu a ochroną cyfrową.⁵

Pierwszą reakcją nie powinno być bezrefleksyjne wyłączenie wszystkiego. Odłączenie może odebrać widoczność albo przełączyć urządzenie w nieznany stan. Plan określa bezpieczne tryby, kompetencję do izolacji, pracę ręczną, kontakt z dostawcą i zachowanie zapisu. Zespół cyberbezpieczeństwa musi rozumieć ruch kolejowy, a dyspozytor wiedzieć, kiedy zgłosić anomalię cyfrową.

Atakujący lub zwykła awaria mogą naruszyć informację bez wpływu na fizyczne sterowanie. Fałszywy komunikat o zamknięciu, zmiana tablic albo niedostępność aplikacji wystarczą, by skierować ludzi do niewłaściwego miejsca. Operator potrzebuje niezależnego kanału potwierdzenia i możliwości szybkiego oznaczenia, które źródła są wiarygodne.

Ćwiczenie Cyber Europe 2026 poświęcono między innymi transgranicznym incydentom w kolei i żegludze, uwzględniając starsze systemy operacyjne, dostawców i utrzymanie ciągłości.⁶ To ważna zmiana perspektywy: cyberbezpieczeństwo transportu nie jest wyłącznie zadaniem informatyków, lecz elementem zarządzania ruchem, kryzysem i usługą publiczną.

Dostawca i zagrożenie wewnętrzne

Pracownik, podwykonawca i serwisant mają legalny dostęp, wiedzę lub możliwość wprowadzenia zmiany. Mogą działać umyślnie, pod przymusem albo przez błąd. Ochrona nie może opierać się na założeniu, że stała przepustka oznacza stałą wiarygodność.

Uprawnienie powinno odpowiadać roli, miejscu i czasowi, a funkcje o dużym skutku wymagać rozdziału lub dodatkowego potwierdzenia. Odebranie dostępu po zmianie stanowiska oraz kontrola kont dostawców są równie ważne jak jego nadanie. Rejestr bez okresowego przeglądu jedynie dokumentuje nagromadzone uprawnienia.

Kanał pomocy dla osoby poddanej szantażowi może zapobiec zdarzeniu. Jeżeli jedyną przewidywalną reakcją organizacji jest publiczne oskarżenie i utrata pracy, pracownik będzie ukrywał nacisk. Poufność nie oznacza bezkarności, lecz umożliwia wczesną ocenę i ochronę człowieka oraz systemu.

Dostawca technologii powinien mieć obowiązki dotyczące aktualizacji, zgłoszenia incydentu, dostępu serwisowego, kopii i zakończenia umowy. Organizacja nie może przekazać mu odpowiedzialności za ryzyko, którego sama nie rozumie. Nowa unijna specyfikacja telematyczna dla kolei, obowiązująca od marca 2026 roku, wzmacnia znaczenie zarządzania danymi, interfejsów i cyberbezpieczeństwa w interoperacyjnym środowisku.⁷

Dowody i uczenie się

Ratowanie życia ma pierwszeństwo przed zachowaniem idealnego miejsca zdarzenia. Przemieszczenie rzeczy, otwarcie drzwi, zatrzymanie pojazdu i zmiana ustawień mogą być konieczne. Jeżeli to możliwe, pracownik dokumentuje kto, kiedy i dlaczego wykonał czynność, aby śledczy odróżnił skutek ataku od reakcji.

Materiał obejmuje monitoring, rejestry wejść, dane pojazdu, komunikację dyspozytorską, urządzenia, płatności, ślady fizyczne i relacje. Każde źródło ma ograniczenia. Zegar może być rozbieżny, nagranie nie obejmować dźwięku, a dane cyfrowe zostać zmienione. Korelacja wielu źródeł jest ważniejsza niż zaufanie do jednego efektownego zapisu.

Zachowanie danych wymaga wcześniej określonego czasu retencji, możliwości blokady automatycznego nadpisania i legalnego przekazania. Nieograniczone gromadzenie „na wszelki wypadek” narusza prywatność, zwiększa koszt i tworzy nowy cel. System powinien zachowywać tyle, ile uzasadnia funkcja oraz prawo.

Przegląd po zdarzeniu oddziela celowe działanie, błąd człowieka, wadę projektu i nierealne założenie. Nie szuka wyłącznie osoby do obwinienia. Każdy wniosek otrzymuje właściciela, termin, zasób i późniejszy test, a informacje operacyjnie wrażliwe trafiają do ograniczonego obiegu.

Ciągłość ruchu

Pierwszym celem ciągłości nie jest punktualność, lecz bezpieczna minimalna usługa. Operator może izolować odcinek, zawracać pojazdy, prowadzić ruch wahadłowy, zmieniać przystanki i ograniczać napływ. Wybór zależy od ludzi, infrastruktury, dostępu służb i tego, czy inne części sieci przyjmą dodatkowy potok.

Transport zastępczy ma ograniczenia. Autobus nie zawsze pomieści pasażerów kolei, a jego podstawienie może utworzyć kolejkę w obszarze objętym działaniami. Potrzebne są kierowcy, miejsce nawrotu, informacja, dostępność i koordynacja z ruchem drogowym. Czasem uczciwy apel o odłożenie podróży jest bezpieczniejszy niż pozorna pełna zastępczość.

Plan obejmuje także dojazd personelu, dostawę energii, centrum zapasowe, części i firmy utrzymaniowe. Jeżeli pracownicy nie mogą dotrzeć z powodu zamkniętej sieci, formalnie sprawna infrastruktura nie wznowi pracy. Władze regionalne powinny określać priorytety dla szpitali, szkół, ewakuacji i innych usług zależnych od transportu.

Ciągłość wymaga uzgodnienia między operatorami. Zamknięcie metra zwiększa obciążenie autobusów i kolei, a zatrzymanie dużego dworca wpływa na przestrzeń miejską. Wspólne centrum informacji nie musi przejmować dowodzenia firmami, ale powinno utrzymywać jeden obraz ograniczeń i możliwych alternatyw.

Warunki wznowienia

Presja na otwarcie pojawia się szybko. Mieszkańcy potrzebują podróży, przedsiębiorstwa ponoszą straty, a politycy oczekują symbolu opanowania sytuacji. Wznowienie bez kryteriów może jednak narazić ludzi, zniszczyć dowody i spowodować ponowne zamknięcie bardziej szkodliwe niż ostrożne opóźnienie.

Warunki powinny obejmować zakończenie działań ratujących, zgodę właściwego dowódcy, kontrolę infrastruktury, dostępny personel, sprawdzoną łączność, bezpieczny przepływ i gotowy komunikat. Nie wszystkie funkcje muszą działać normalnie, ale ograniczenia muszą być jawne. „Otwarte” nie może oznaczać, że pasażer odkrywa brak kluczowego wyjścia dopiero na miejscu.

Ruch przywraca się stopniowo. Najpierw można uruchomić fragment, mniejszą częstotliwość albo przejazd bez obsługi stacji. Każdy etap ma punkt oceny i możliwość cofnięcia. Próbny przejazd techniczny nie jest jeszcze dowodem gotowości do przyjęcia tłumu.

Odtworzenie zaufania trwa dłużej niż naprawa toru. Operator powinien wyjaśnić, co już działa, jakie ograniczenia pozostają i kiedy nastąpi kolejna ocena. Nie musi ujawniać zabezpieczeń ani niepotwierdzonej przyczyny. Rzetelna niepewność jest bardziej wiarygodna niż przedwczesna obietnica pełnego bezpieczeństwa.

Ćwiczenia

Ćwiczenie powinno testować decyzje i styki, nie widowisko. Warto sprawdzić kilka sprzecznych zgłoszeń, utratę głównego kanału, zmianę kierunku ewakuacji, pasażera potrzebującego pomocy, napływ mediów i przekazanie dowodzenia. Realizm oznacza także ograniczoną obsadę i normalny ruch, a nie tylko rozbudowany zespół w pustym obiekcie.

Federal Transit Administration zaleca wiązanie planów przygotowania z regularnym szkoleniem, audytem i ćwiczeniami wielopodmiotowymi.⁸ Operator powinien ćwiczyć z policją, strażą pożarną, ratownictwem, samorządem i sąsiednimi przewoźnikami. Osobny dobry plan każdej instytucji nie gwarantuje zgodności na granicy.

Scenariusz nie może ujawniać uczestnikom wszystkich zdarzeń z góry ani uczyć jednego „prawidłowego” przebiegu. Powinien pozostawiać niepewność, ale nie narażać przypadkowych pasażerów na przekonanie, że realny atak trwa. Bezpieczeństwo ćwiczenia, oznaczenie i możliwość przerwania są częścią projektu.

Po ćwiczeniu liczy się korekta. Raport opisujący sukces bez terminów nie poprawia ochrony. Organizacja powinna sprawdzić, czy problem wynikał z wiedzy, obsady, sprzętu, umowy czy sprzecznych założeń, a następnie ponownie przetestować zmianę.

Mierniki

Liczba kamer, patroli i szkoleń nie mówi sama, czy system działa. Przydatne są czas przyjęcia i przekazania zgłoszenia, zdolność lokalizacji, odsetek niezamkniętych korekt, dostępność kanałów, czas zatrzymania napływu, spójność komunikatów i działanie centrum zapasowego. Miernik powinien odpowiadać funkcji, nie zakupowi.

Trzeba również mierzyć szkody uboczne: kolejki, nieuzasadnione interwencje, nierówne traktowanie, liczbę osób pozostawionych bez dostępnej alternatywy i zmęczenie personelu. Środek, który poprawia jeden wskaźnik ochrony kosztem stałego niebezpiecznego tłoku, nie może zostać uznany za sukces.

Fałszywe alarmy nie są wyłącznie kosztem. Pozwalają sprawdzić zgłoszenie, komunikację i powrót do ruchu. Należy ograniczać alarmy wynikające ze złego projektu, ale nie karać ludzi za zgłoszenie w dobrej wierze. Spadek liczby zgłoszeń może oznaczać utratę zaufania, a nie lepsze bezpieczeństwo.

Brak ataku nie dowodzi skuteczności, podobnie jak jeden atak nie dowodzi bezwartościowości wszystkich warstw. Silniejszy obraz daje połączenie ćwiczeń, nieudanych prób naruszenia, incydentów technicznych, opinii pracowników i audytu niezależnego. Wyniki prowadzą do decyzji o utrzymaniu, zmianie albo usunięciu środka.

Wnioski

Kolej i transport publiczny pozostają bezpieczne oraz użyteczne dzięki otwartości, częstotliwości i integracji z miastem. Modelu lotniczego nie da się skopiować bez utraty tych właściwości i utworzenia nowych skupisk przed kontrolą. Ochrona musi więc być warstwowa, oparta na ryzyku i zdolna do działania przy codziennym przepływie.

Najważniejszą jednostką analizy jest funkcja. Należy rozpoznawać odstępstwo, chronić życie, kontrolować dopływ, prowadzić ruch, przekazywać informację i odtwarzać usługę. Dworzec, pojazd, tunel, system cyfrowy i przestrzeń miejska są częściami jednego układu, nawet gdy należą do różnych podmiotów.

Pasażer ma prostą rolę: nie dotyka podejrzanego przedmiotu, zgłasza konkretne zachowanie, wykonuje aktualne polecenia i nie utrudnia ratownictwa. Nie prowadzi śledztwa ani interwencji. Operator zapewnia kanał, dostępny komunikat i procedurę, a służby dokonują specjalistycznej oceny.

Odporność ujawnia się po pierwszym alarmie. Sieć powinna umieć odizolować fragment, zachować działanie bez pełnej automatyki, wspierać rodziny, utrzymać dowody i przywracać ruch według jawnych kryteriów. Ochrona, ciągłość i dostępność nie są osobnymi dodatkami do przewozu. Razem tworzą zdolność miasta do przetrwania zdarzenia bez dalszego powiększania szkody.