新世紀周刊：723動車追尾事故怎樣禍起信號

　　“7·23”事故怎樣禍起信號？高鐵信號系統(tǒng)寡頭供貨者為何疲于奔命？決策者現(xiàn)在何以進退兩難？

　　財新《新世紀》 記者 于寧 谷永強 曹海麗

　　馬騁死得很突然。

　　中國鐵路通信信號集團公司(下稱通號集團)的總經(jīng)理、業(yè)內視為中國高鐵信號技術的帶頭人，死在了“7·23”甬臺溫動車追尾事故一月祭的前一天——8月22日。

　　當天上午，馬騁正在深圳，與前來檢查廣深港客運專線的國務院高速鐵路安全大檢查組成員一起開會。據(jù)多位知情人士稱，剛講完話，他就倒在桌上。

　　馬騁沒有心臟病史，卻突發(fā)心臟病去世。熟悉的同業(yè)為之唏噓：“壓力過大，責任也過大�！痹谒�死之前，通號集團正面臨前所未有的信任危機。下轄的北京全路通信信號研究設計院(下稱通號院)正是甬臺溫信號系統(tǒng)的設計者，通號集團則是集成商。

　　在7月23日晚，一個致命的簡單軟件設計錯誤，導致甬臺溫的列車控制中心(下稱列控中心)不能實時采集外部數(shù)據(jù)，并向調度集中系統(tǒng)(下稱CTC)傳輸了錯誤信息。D301次動車的車載自動控制設備因此接到錯誤信號，仍按正常速度行駛，與前車D3115次動車追尾，終釀成一場40人死亡的特大事故。

　　事故發(fā)生以來一個月，通號集團成為眾矢之的。作為通號集團領導的馬騁不堪重負，病發(fā)身故。昔日的信號精英如此收場，令人感喟。但致命的設計錯誤究竟為何發(fā)生？還有多少隱患沒有暴露？無人敢下斷言。誰又該為高鐵大躍進承擔責任？

　　短短七年，通號集團與中國高鐵為不斷攀向更高速度的努力同步?jīng)_刺，表面上不斷攻克一個又一個技術難關，但光榮背后，技術人員疲于奔命，力有未逮，終致慘劇。“7·23”事故暴露的不僅是通號院的軟件設計缺陷，也是整個高鐵發(fā)展不顧科學規(guī)律和常識、盲目追求速度下的險象環(huán)生。

　　這種封閉運行的發(fā)展模式，也使決策者現(xiàn)在進退兩難�！艾F(xiàn)在全國的高鐵信號集成多半是他們的，一棍子打死，高鐵的運營和技術支持怎么辦？總不能全停了重新搞吧！(這種模式)已經(jīng)綁架了鐵路！”一位接近事故調查組的人士表示。

　　從9月1日起，鐵路調整運行圖，高鐵普遍降速，武廣、鄭西等高鐵線路也不再以時速300公里運行，對高鐵安全的擔憂籠罩了一切。國務院牽頭的高鐵安全大檢查在繼續(xù)。但通信信號行業(yè)乃至整個鐵路行業(yè)的壟斷問題及招投標灰幕，則非補漏這般簡單。對整個鐵路系統(tǒng)而言，已經(jīng)暴露的各種問題不僅是躍進之禍，也是壟斷之禍，積弊叢生，新規(guī)待立。

　　致命錯誤

　　一個低級的軟件設計錯誤，因為沒有經(jīng)過破壞性試驗而被忽略

　　這原本是一場可以避免的災難。

　　“7·23”事故調查組預計在9月間正式披露詳細調查結果，但財新《新世紀》記者從接近調查組的人士處獲悉了事故發(fā)生的過程。

　　軟件設計的邏輯錯誤，偏離了故障導向安全原則，使信號徹底失靈。

　　7月23日19時44分，上海甬臺溫調度臺的調度接溫州南站報告：車站聯(lián)鎖顯示下行三接近紅光帶，車站調度集中系統(tǒng)(CTC)界面無顯示。

　　在鐵路控制系統(tǒng)中，以線路鋼軌為導體，構成軌道電路，兩條軌道被列車的輪對短接，在控制系統(tǒng)中就會顯示為紅色，從而指示車輛的位置。但在絕緣損壞、雷電等情況下，可能造成無車路段的路軌短接，或者信號設備系統(tǒng)本身有故障，顯示異常紅光帶或“閃紅”。出現(xiàn)紅光帶的原因很多，或為前方路段有車，或為故障所致，調度往往難以判斷。在這種情況下，調度應該采取保守做法，將其當做前面有車來處理。

　　所謂“三接近”，則是指還有接近三個閉塞分區(qū)的距離。在列車的行車調度上，站與站之間被分成若干段，叫閉塞分區(qū)。每個分區(qū)的開頭結尾都有信號裝置，以紅綠燈顯示。每段分區(qū)一次只允許一趟列車通行。溫州南站通信車間工作人員稱，在永嘉站至溫州南站這個路段上，每個閉塞分區(qū)的長度為1.4公里。有列車運行的閉塞分區(qū)，禁止其他列車進入，所以它后面的燈是一個紅燈。緊接著的一個閉塞分區(qū)是黃燈，其次是黃綠燈，再后面才能是綠燈。

　　車站聯(lián)鎖設備反映的是溫州南站站內信息，車站值班員可以看到，而上海的調度看不到。上海調度中心只能看到CTC，它的信息來自各個站的車站CTC，而車站CTC分別從車站聯(lián)鎖和列控中心(反映站與站之間的區(qū)間信息，包括列車占用信息)獲取信息。

　　當時兩者搜集的信息顯然不一致——聯(lián)鎖顯示的是紅光帶，而列控中心反映的是正常，雖然它們都從軌道電路獲取信息，但從同一個繼電器的不同節(jié)點獲取信息。

　　聯(lián)鎖顯示的信息一直是正確的(顯示異常紅光帶)，但CTC主要從列控中心獲取閉塞區(qū)間的信息，從前述調度信息看，“車站CTC無顯示”即意味著聯(lián)鎖和列控中心有一個已經(jīng)出了問題，但調度當時或許還沒有意識到問題在于列控中心的信息采集已經(jīng)不是實時更新。

　　這是非常少見的情況。上海與溫州的值班員看到這點后，19時53分轉入非常站控狀態(tài)，即在非正常情況下改由車站人工辦理出發(fā)列車和進站列車作業(yè)。

　　直到事故發(fā)生之后復盤，才確認列控中心設在溫州南站的信息采集板保險絲被雷電擊壞，導致信息采集出問題。

　　問題不止于此。采集板的采集電源壞了，但邏輯電源還在傳輸信息。

　　據(jù)前述消息人士介紹，數(shù)據(jù)包傳上來，通常有特殊的標志位來顯示數(shù)據(jù)正常、非正常，能否采用。但是，溫州南站的列控中心在采集這些數(shù)據(jù)包時未能識別出來。

　　“如果識別出來，按照故障導向安全原則，就要把數(shù)據(jù)清零，即老數(shù)據(jù)清除， 顯示紅光帶，后車D301應以20公里時速目視運行。問題是它沒有識別出來，老數(shù)據(jù)沒有清零，還顯示正常，結果后車以ATP(車載)模式運行，高速行駛，最終追尾�！�

　　如果這個解釋成立，雷擊只是外部誘因，真正的原因是軟件設計出了大問題。按安全設計，后車距離前車還有三個閉塞分區(qū)時，前方會顯示為紅燈。由于軟件的邏輯錯誤，導致了主控軟件得到并傳給CTC的不是實時外部數(shù)據(jù)。

　　一位信號專業(yè)人士分析指出，如果調度負責一點，天氣瞭望條件好一些，這次事故也許不會發(fā)生。但軟件的缺陷卻是必然，早晚要出事。

　　值得注意的是，CTC顯示異常在列車停在永嘉站時已經(jīng)發(fā)現(xiàn)了。“列控中心傳輸給CTC的信息是錯的，CTC不知道，但是放車進入?yún)^(qū)間的調度員怎么會不知道？他放車進去了，但在CTC上沒看到，難道不該引起注意嗎？”前述接近調查組的消息人士稱。在他看來，轉為非常站控后，調度員、車站值班員、司機信息交流失誤是事故最終未能幸免的關鍵。

　　一般情況下，調度臺應有調度員和助理調度員，前者負責列車運行計劃、調整及指揮；后者負責監(jiān)控列車運行和操作設備，比如轉非常站控。轉入非常站控后，車站值班員負責通知司機，但其間車站和調度員按規(guī)定應加強聯(lián)絡。

　　然而，7月23日從19時27分至事故發(fā)生，溫州南站和永嘉站先后三次轉為非常站控，主要的行車指揮隨之三次轉換，造成調度員、車站值班員、司機三方對車所處位置互相溝通錯誤，并嚴重違反規(guī)定，在前車還未越過區(qū)間故障點時，后車就進入了故障區(qū)間。

　　8月11日，國務院“7·23”甬溫線特別重大事故調查組在溫州召開第三次全體會議。調查組組長、國家安監(jiān)總局局長駱琳在會上表示，造成事故的原因既有軟件設計問題，也有管理問題。8月22日國家安監(jiān)總局新聞發(fā)言人黃毅稱，“這起事故確實是一起不該發(fā)生的、可以避免和防范的一起責任事故”，“既暴露出信號系統(tǒng)設計上的缺陷，從而導致雷擊造成的故障問題，同時也反映出故障發(fā)生之后，應急處置不力以及安全管理上存在的漏洞�！彼�稱，下一步將進入事故責任的認定階段，包括直接責任、間接責任、領導責任。

　　據(jù)消息人士介紹，8月10日事故調查組人員調整后，鐵路人員全部離開，只配合調查；隨著路外專家、領導的大量介入，調查接近了真相。

　　在多位業(yè)內人士看來，事故中暴露的軟件設計缺陷是一個比較低級的錯誤。“各廠家對安全性要求不同，但故障導向安全是最基本的原則，設計絕對不應出現(xiàn)這樣的問題�！币晃昏F科院的專家稱。他很難理解人才濟濟的通號院為何鑄下如此大錯，他猜，“設計人員缺乏經(jīng)驗，沒有想到這種可能性，大家把重點放在了硬件上，硬件比較難，要保證硬件采取的信息準確，而軟件是補漏的，重視不夠”。

　　至于這一設計問題為何沒有在測試時被發(fā)現(xiàn)，一位信號專業(yè)人士稱，廠家在產(chǎn)品開發(fā)階段就應該進行故障測試，但現(xiàn)在一般不會做雷擊這種破壞性試驗，而只做系統(tǒng)功能測試。這個軟件設計問題屬于產(chǎn)品中模塊設計的問題，從研制報告中很難看出是否安全合規(guī)。

　　另一位專業(yè)人士分析認為，測試時間太短也是一個原因�！耙话銣y試組只測試一兩天，之后就開評審會，主要關注系統(tǒng)和產(chǎn)品功能，不會深入產(chǎn)品設計的細節(jié)問題�！�

　　據(jù)了解，國內目前在故障測試方面并沒有統(tǒng)一標準，廠家自己判斷需要做哪些測試，同時承擔相應風險。通號集團在甬臺溫線上提供的這款列控中心產(chǎn)品LKD2-T1，并不是在其已研制多年的聯(lián)鎖平臺上開發(fā)，而是在新的硬件平臺上開發(fā)出來的。鐵道部披露，58個車站、18個中繼站使用了與溫州南站相同的采集驅動板軟件，涉及甬溫、溫福、海南、廣珠四條客運專線。

　　接近調查組的知情人士稱，LKD2-T1確實存在缺陷，“由于僅僅做了功能性試驗，沒做破壞性試驗，所以是否還存在其他的問題，在當前這種非常時期，誰也不敢打保票�！卑凑砧F道部的規(guī)定，廠家對內部設計問題要終身負責。

　　據(jù)悉，7月27日通號院就完成了硬件調整——對采集板加強了防護保障，下一步是對軟件進行升級測試，但目前這四條客專采取的整改措施是臨時性的，按照站間閉塞行車，即站間只準走一列車，而非以前的自動閉塞行車，這是在故障狀態(tài)下采用的后備模式或降級模式。在安全為速度付出慘重代價后，為了安全，終于開始犧牲速度。

　　C2過關不易

　　用于甬臺溫線、由通號集團研制的LKD2-T1型列控中心，獲得過2008年度中國鐵道學會科學技術獎一等獎

　　C2、C3掌管著高鐵的神經(jīng)中樞。如果不是“7·23”事故，C2、C3這兩個專業(yè)名稱，對很多人來講都非常陌生。

　　C即CTCS，是中國列車控制系統(tǒng)的英文縮寫，包括地面設備和車載設備兩部分。2004年初，鐵道部頒發(fā)了《CTCS技術規(guī)范—總則(暫行)》，決定在鐵路既有線第六次提速中采用C2級列控系統(tǒng)，同時提出了從C0到C4的技術等級，并規(guī)劃了每個等級的基本功能。第六次大提速之前的列車控制系統(tǒng)被定義為CTCS0級(下稱C0)，車載設備主要為運行監(jiān)控記錄裝置(LKJ)，地面設備包括軌道電路、信號機和車站聯(lián)鎖系統(tǒng)，適用于時速120公里以下線路；而適用于時速120-160公里和時速200公里以上的列車控制系統(tǒng)分別被定義為CTCS1(下稱C1)和CTCS2(下稱C2)。

　　在第六次大提速之前，國內鐵路主要依靠軌道電路向鐵路沿線的信號機傳遞行車命令，列車司機參照信號機顯示的信號顏色操作列車運行。提速到160公里和200公里之后，列車司機對地面信號機的顏色已難以辨認，為此鐵道部從2004年開始決定研制新一代列車運行控制系統(tǒng)。

　　趨勢屬必然，只是中國走得太快了。

　　當時，鐵道部運輸局官員、通號院、和利時、鐵科院、北方交大等專家組成C2攻關組。一位業(yè)內專家告訴財新《新世紀》記者，“地面部分(包括列控中心、聯(lián)鎖、CTC等)全部是我們自己搞的，沒有合資”。攻關組先確定了基本框架，然后各家分頭設計。當時有五家機構參與設計——通號集團、和利時、卡斯柯、北京交大微聯(lián)、鐵科院通號所。

　　據(jù)介紹，上述CTCS技術規(guī)范是參照歐洲標準ETCS(即歐洲列車控制系統(tǒng))制訂的。 ETCS分為E0、E1、E2、E3四個級別。C3的功能與E2基本一致，而C2則是自主搭建起來的體系，比E1的等級要高。

　　一位信號系統(tǒng)資深人士說，C2技術挑戰(zhàn)不算太大，主要是缺乏經(jīng)驗�！爸袊�當時已經(jīng)鋪完了統(tǒng)一制式軌道電路，傳輸行車許可是連續(xù)的，所以條件比E1要好，我們加上應答器、列控中心、車載設備就可以了，搭建比較簡單，技術難點不多�！�

　　但實際操作起來，問題仍然很多，因為以前沒有做過列控中心，并無經(jīng)驗，連需要出臺哪些技術規(guī)范都不清楚。

　　與地面列控系統(tǒng)自主研發(fā)不同，在當時緊急推進的狀況下，列控車載設備(ATP，列車超速保護)是通過合資的方式引進。

　　2005年6月，通過國際招標，鐵道部分別與和利時/日立、鐵科院/株洲所/CSEE(法國電氣與信號設備公司)兩個聯(lián)合體簽署了ATP采購和技術轉讓合同，從國外引進列控車載設備和技術，合作期限15年，最終全部在中國生產(chǎn)。同年10月，鐵道部又通過國際招標的形式，分別與通號院/阿爾斯通、和利時/CSEE、西安西門子三家聯(lián)合體簽訂應答器設備采購和技術轉讓合同。

　　兩次國際招標采購，實行設備采購與技術轉讓相結合的方式，外方技術轉讓的知識產(chǎn)權歸鐵道部所有；鐵道部要求競標人必須有國外合作伙伴，其自身應具備消化、吸收受讓技術和設備制造的能力，同時競標人的外方合作伙伴應具備系統(tǒng)集成、設備研發(fā)和制造能力，提供技術支持和服務，對系統(tǒng)設備負安全責任。

　　2005年11月，鐵道部建立了C2的技術標準體系。但2006年初，鐵道部在試驗時即發(fā)現(xiàn)列控系統(tǒng)軟件設計不合理，車載設備異常輸出緊急制動，車載通信設備出現(xiàn)故障。當年7月在膠濟線進行的列控中心綜合試驗中，又發(fā)現(xiàn)列控車載設備ATP軟件存在漏洞，軌道電路信息傳遞不穩(wěn)定。對上述問題整改后，鐵道部在當年8月進行了補充實驗，并組織專家成立試驗報告評審會，認定C2列控系統(tǒng)“基本滿足”規(guī)定的技術規(guī)格要求。當年9月29日鐵道部召開“第六次大面積提速膠濟線現(xiàn)場會”，開始全面部署第六次大提速。

　　鐵道部最初引進的列控車載設備控車的最高速度，為時速200公里。但在第六次大提速現(xiàn)場會后，2006年11月又決定對既有提速線路的部分區(qū)段進行進一步改造，將動車組的最高運行速度提高到時速250公里，又完成了一個跨越！

　　隨后，鐵道部組織了和外方的第二次技術談判，以解決列控車載設備對動車進一步提速的限制問題，最終于2006年12月底簽訂補充合同，對列控車載設備和動車組進行升級，經(jīng)過模擬運行試驗，完成了ATP設備應對250公里時速的升級改造。

　　C2的研發(fā)必須跟上提速的進程。試驗中出現(xiàn)的所有問題，鐵道部都要求專家們必須在極短的時間內解決。2006年底，在鐵道部進行的動車組拉通檢查和牽引試驗中，應答器報文變差引起了列車緊急制動26次，常規(guī)制動25次。2007年4月18日鐵路第六次大提速開始后，列控車載設備又暴露出設備軟件和應答器信息接收單元不穩(wěn)定等多種問題。

　　C2攻關的核心力量，正是通號集團下屬的通號院。其研制的列控中心、CTC和車站聯(lián)鎖等C2子系統(tǒng)，均通過了鐵道部組織的可行性審查和技術鑒定。公開資料顯示，2008年1月21日，經(jīng)測試組仿真測試及鐵道部評審委員會審查，通號集團研究設計院研制開發(fā)的LKD2-T1型列控中心“基本滿足”鐵道部規(guī)定的技術規(guī)范要求，順利通過鐵道部審查，并獲得2008年度中國鐵道學會科學技術獎一等獎。

　　2008年7月底，全新的客專C2系統(tǒng)在合寧線上第一次應用，此后在其他高鐵線路上被廣泛采用。鐵道部一位退休官員認為，C2系統(tǒng)“當時技術并不成熟，但為了趕工期，沒有充分考核就急急忙忙地上了，問題一直沒有暴露，沒想到一個雷給爆了出來”。

　　在甬臺溫線上使用的，正是C2系統(tǒng)。

上一頁

1