安监总局公布温州动车事故调查报告(2)

　　20时21分22秒，D3115次列车运行到583公里834米处(车头所在位置，下同)。因5829AG轨道电路故障，触发列车超速防护系统自动制动功能，列车制动滑行，于20时21分46秒停于584公里115米处。　　20时21分46秒至20时28分49秒，因轨道电路发码异常，D3115次列车司机三次转目视行车模式起车没有成功。　　20时22分22秒至20时27分57秒，D3115次列车司机6次呼叫列车调度员、温州南站值班员3次呼叫D3115次列车司机，均未成功(经调查，20时17分至20时24分，张华在D3115次列车发出之后至D301次列车发出之前，确认了沿线其他车站设备情况，再次确认了温州南站设备情况，了解了上行D3212次列车运行情况，接发了8趟列车)。　　20时24分25秒，在永嘉站到温州南站间自动闭塞行车方式未改变、永嘉站信号正常、符合自动闭塞区间列车追踪放行条件的情况下，张华按规定命令D301次列车从永嘉站出发，驶向温州南站。　　20时26分12秒，张华问臧凯D3115次列车运行情况，臧凯回答说：“D3115次列车走到三接近区段了，但联系不上D3115次列车司机，再继续联系。”　　20时27分57秒，臧凯呼叫D3115次列车司机并通话，司机报告：“已行至距温州南站两个闭塞分区前面的区段，因机车综合无线通信设备没有信号，跟列车调度员一直联系不上，加之轨道电路信号异常跳变，转目视行车模式不成功，将再次向列车调度员联系报告。”臧凯回答：“知道了。”20时28分42秒通话结束。　　20时28分43秒至28分51秒、28分54秒至29分02秒，D3115次列车司机两次呼叫列车调度员不成功。　　20时29分26秒，在停留7分40秒后，D3115次列车成功转为目视行车模式启动运行。　　20时29分32秒，D301次列车运行到582公里497米处，温州南站技教员幺晓强呼叫D301次列车司机并通话：“动车301你注意运行，区间有车啊，区间有3115啊，你现在注意运行啊，好不好啊？现在设备(通话未完即中断)。”　　此时，D301次列车进入轨道电路发生故障的5829AG轨道区段(经调查确认，司机采取了紧急制动措施)。20时30分05秒，D301次列车在583公里831米处以99公里/小时的速度与以16公里/小时速度前行的D3115次列车发生追尾。事故暴露出各有关方面的主要问题：　　1.通号集团及其下属单位在列控产品研发和质量管理上存在严重问题。　　通号集团所属通号设计院研发的LKD2-T1型列控中心设备设计存在严重缺陷，设备故障后未导向安全。经事故调查组对采集驱动单元测试，以及委托工业和信息化部有关检测机构组成的联合测试组对列控中心主机和采集驱动板(PIO板)软件进行测试，并经动车组实车模拟试验验证和反复分析论证，查明：从软件及系统设计看，温州南站使用的LKD2-T1型列控中心保险管F2熔断后，采集驱动单元检测到采集电路出现故障，向列控中心主机发送故障信息，但未按“故障导向安全”原则处理采集到的信息，导致传送给主机的状态信息一直保持为故障前采集到的信息；列控中心主机收到故障信息后，仅把故障信息转发至监测维护终端，也未采取任何防护措施，继续接收采集驱动单元送来的故障前轨道占用信息，并依据故障前最后时刻的采集状态信息控制信号显示及轨道电路。从硬件设计看，LKD2-T1型列控中心设备主要存在以下问题：PIO采集电源仅有一路独立电源，未按规定采用两路独立电源设计，一旦电源失效，PIO机柜中全部PIO板将失去采集电源，当列控中心保险管F2熔断后，造成采集驱动单元采集回路失去供电；两路输入采集来自一个源点，无法构成输入信息的安全比较。这两处硬件设计缺陷导致设备不符合安全防护要求。具体问题如下：　　(1)通号集团的问题。　　通号集团履行合武线、甬温线通信信号集成总承包商职责不力，未按照职责要求提供安全可靠的列控中心设备。未认真贯彻执行国家关于产品质量方面的法律法规和规章、制度、标准；对通号设计院的科研质量管理工作监管不到位，集团领导及其有关部门未认真履行职责，未对通号设计院科研质量管理体系的建立和执行情况进行监督检查，未能及时发现科研产品质量管理体系不完善、责任不落实的问题；将中标的系统集成项目完全交由下属通号设计院等企业负责，监督管理缺失，对相关重点设备研发情况不跟踪、不过问，致使先后向合武、甬温铁路提供了存在严重设计缺陷和重大安全隐患的LKD2-T1型列控中心设备上道使用。　　(2)通号设计院的问题。　　一是决定研发LKD1-T型列控中心设备升级平台不慎重。通号设计院领导在未全面了解LKD1-T型列控中心设备升级平台研发过程、进度的情况下，仅凭列控所负责人口头汇报，即同意启动升级平台研发工作。　　二是对列控中心设备研发设计审查不严，未能发现设备存在的严重设计缺陷和重大安全隐患。未能发现列控中心设备的PIO板未经评审的问题；管理和监督列控所的研发工作不力，对LKD2-T1型列控中心设备研发工作管理混乱、文档缺失等问题失察。　　三是科研质量管理责任不落实，对下属企业列控所产品质量监督管理失控。未认真执行国家有关产品质量检验的相关规定，未对产品研发过程和产品质量进行把关、管控，未能保证提供的信号产品达到“故障导向安全”的根本要求。　　(3)通号设计院列控所的问题。　　一是草率研发LKD2-T1型列控中心设备。在合武线建设合同约定的列控中心设备难以满足合肥站工程建设需要，以及现有LKD1-T型列控中心设备升级平台采集轨道电路继电器信息模块、PIO板研发未完成的情况下，不负责任地向通号设计院领导建议开发LKD1-T型列控中心设备升级平台(即后来定型使用的LKD2-T1型列控中心设备)。　　　　二是列控中心设备研发工作管理混乱。未组织正式的LKD2-T1型列控中心设备研发设计团队，仅靠列控所有关负责人口头指派相关人员研发；对设备研发设计过程管理控制不严格，导致设备存在严重设计缺陷和重大安全隐患；编制、审核研发文档不规范，且部分文档缺失。　　　　三是违反程序开展LKD2-T1型列控中心设备研发工作。未对列控中心设备特别是PIO板开展全面评审，也未进行单板故障测试，未能查出列控中心设备在故障情况下不能实现导向安全的严重设计缺陷。　　　　2.铁道部及其相关司局(机构)在设备招投标、技术审查、上道使用上存在问题。　　　　(1)铁道部的问题。　　　　铁道部执行基本建设程序不规范、不认真，在铁路建设中抢工期、赶进度，片面追求工程建设速度，对安全重视不够，事故应急预案和应急机制不完善；铁路客运专线系统集成工作管理不力，规章制度和标准不健全；设立的技术系统集成项目组和系统集成办公室，未建立相应工作制度，造成集成办公室、项目组与客运专线技术部、基础部之间职能交叉、职责不清，削弱了有关部门正常职能；相关职能部门未认真履行职责，在设备招投标、技术审查、上道使用等多个环节违规操作、把关不严，进行无依据、不规范的技术预审查，同意没有经过现场测试的LKD2-T1型列控中心设备上道使用(总共在包括甬温线在内、广珠线、海南东环线的58个车站、18个中继站使用，根据事故调查组提出的整改建议，铁道部于8月19日全面整改完毕)；对上海铁路局安全生产责任制落实和规章制度、标准执行以及职工安全教育培训情况监督检查不到位。　　　　(2)运输局客运专线技术部(司局级机构)的问题。　　　　一是对合宁、合武、甬温铁路客运专线列控中心设备招标投标工作审查把关不严。在铁路客运专线CTCS-2级列控系统相关技术标准不系统、不完整的情况下，草率对合宁、合武线列控设备定标选型，造成两线列控设备接口不统一，无法互联互通，不能满足工程需要，引发了合肥站、合武线列控中心设备型号的变更，导致后续一系列工作操作不规范；指导、协调甬温铁路招标时，审查同意在温州南站等18个车站招标采购仅经过技术预审查的LKD2-T1型列控中心设备。　　　　二是跟踪督促合肥站列控中心设备设计比选工作不力。在组织召开合宁铁路CTCS-2级列控系统集成方案研讨会议，要求合肥站按合宁铁路相同类型的列控中心设备进行设计比选后，跟踪督促不力，未发现通号设计院在合肥站进行列控中心设备换型的违规行为，对通号设计院在合肥站进行列控中心设备换型的违规行为失察。　　　　三是推动无依据、不规范的技术预审查工作。运输局客专技术部推动科学技术司、运输局基础部对不具备技术审查条件的LKD2-T1型列控中心设备进行技术预审查，并会签同意没有经过现场测试和试用的LKD2-T1型列控中心设备在合宁、合武线上道使用。　　　　(3)运输局基础部(司局级机构)的问题。　　　　一是信号新产品上道使用管理存在漏洞。未按照职责要求制定系统完善的信号新技术、新产品的试验、审查、试用和上道使用管理制度及办法，未对信号新产品评审、试用期间保证安全生产方面作出特殊规定。　　　　二是作为信号设备的业务主管部门，对LKD2-T1型列控中心设备上道审查把关不严。在LKD2-T1型列控中心设备没有经过现场测试和试用、审查资料不完善等情况下，会签同意科学技术司起草的技术预审查意见。　　　　三是违规同意合武线全线改用LKD2-T1型列控中心设备。组织召开合武铁路列控中心设备类型专题会议，有关人员在LKD2-T1型列控中心设备经过技术预审查及合肥站开通使用、尚未进行现场测试的情况下，未经严格试验、审查，草率同意合武全线改用LKD2-T1型列控中心设备。　　　　(4)科学技术司的问题。　　　　一是未制定明确规范的技术审查规定。未按照职责要求制定程序明确、内容具体、要求严格的有关技术审查的规章、制度和规范性文件，致使LKD2-T1型列控中心设备技术审查无依据、不规范。　　　　二是对LKD2－T1型列控中心设备进行了无依据、不规范的技术预审查。在合宁线建设工期要求紧迫、有关司局催办和LKD2-T1列控中心设备在合肥站已经进场安装的情况下，根据通号设计院、合宁公司提交的CTCS-2级列控系统技术审查的申请，会同有关部门对LKD2－T1型列控中心设备进行了无依据、不规范的技术预审查。　　　　三是违规同意LKD2－T1型列控中心设备在合宁、合武线试验和上道使用。会同运输局基础部、客运专线技术部印发文件，同意LKD2-T1型列控中心设备“在合宁、合武客运专线工程现场试验和上道使用的过程中，不断完善系统功能”。该文件印发上海等路局及相关单位参照实行，客观上对仅通过技术预审查的LKD2－T1型列控中心设备在甬温铁路上道使用提供了依据。　　　　3.上海铁路局及其下属单位在安全和作业管理及故障处置上存在问题。　　　　(1)上海铁路局的问题。　　　　上海铁路局安全生产责任制不落实，安全基础管理薄弱，执行应急管理规章制度、作业标准不严不细，对职工安全教育培训不力；相关单位(部门)安全管理不力，对职工履行岗位职责和遵章守规情况监督检查不到位；相关作业人员安全意识不强，在设备故障发生后，没有及时采取有效措施，未能起到可能避免事故发生或减轻事故损失的作用；上海铁路局有关负责人在事故抢险救援中指挥不妥当、处置不周全，在社会上造成不良影响。　　　　(2)车务系统的问题。　　　　一是调度所行车管理、应急处置不力。调度所列车调度员虽然不知道信号升级的情况，但未进一步了解电务人员维修下行三接近“红光带”情况和工务人员检查线路情况，未及时了解前行D3115次列车在下行三接近运行的详细情况，没有及时提醒D301次列车司机注意运行，违反了《铁路技术管理规程》和《高速铁路调度暂行规则》的有关规定；调度所值班负责人对有可能影响行车安全的突发情况处置不及时、处置措施不得力，对列车调度员没有及时提醒D301次列车司机的问题监控检查不力。　　　　二是宁波车务段温州南站职工岗位责任制不落实，行车组织管理存在薄弱环节。温州南站值班员在发现D3212发车时上行出站信号机故障关闭、发现CTC终端显示与现场轨道电路占用状态不符等设备故障情况后，虽然不知道信号升级的情况，但未严格执行《上海铁路局行车簿填记标准》和《车机联控作业》的有关规定，没有及时与D301次列车执行车机联控；车站盯岗负责人在车站转为非常站控后，没有提醒行车室值班人员及时与区间运行列车有效执行车机联控。　　　　三是宁波车务段对本单位和所属车站安全生产基础管理及行车业务工作指导不到位，对温州南站执行车机联控作业规章、制度、标准的情况监督检查不力。　　　　四是运输处对调度所执行有关调度和安全生产规章、制度、标准情况监督、检查、指导不力，对车务系统专业监督、检查不到位。　　　　(3)电务系统的问题。　　　　一是杭州电务段温州车间和瓯海工区安全基础管理薄弱，组织开展职工安全教育培训不力。电务值班人员虽然不知道信号升级的情况，但没有认真履行岗位职责和严格执行作业标准，得知出现轨道电路故障后，未对永嘉站至温州南站下行三接近、温州南站至瓯海站上行一离去轨道电路故障登记停用即进行检查确认，未经登记联系就对除5829AG之外的轨道电路设备进行插拔更换，违反了《铁路信号维护规则》的有关规定；现场值班负责人对应急值守人员的违规行为未及时制止。　　　　二是杭州电务段职工安全教育培训工作不到位，设备故障应急管理不力，对电务值班人员遵章守纪情况监管不到位。　　　　三是电务处对电务系统职工安全教育培训不到位，设备故障应急管理责任和措施不落实，对电务值班人员遵章守纪情况和应急处置工作监督检查不力。　　　　(4)工务系统的问题。　　　　温州南线路工区有关人员未按照《铁路客运专线技术管理办法(试行)》(200－250km/h部分)的规定，向列车调度员申请上道检查的调度命令，擅自打开防护网通道门上道检查作业，属于违规作业行为。扩展阅读： 1：CTCS介绍　　中国列车控制系统，简称CTCS（China Train Control System），是中国铁路参照国际标准，并结合中国国情构建的技术体系，从需要出发，按系统条件和功能划分等级，并进行设计的。CTCS的体系结构按铁路运输管理层、网络传输层、地面设备层和车载设备层配置。此标准适用于各种铁路区段及客运列车。　　CTCS体系的构建原则是以地面设备为基础，车载与地面设备统一设计。地面设备层主要包括列控中心、轨道电路和点式设备、接口单元、无线通信模块等。列控中心是地面设备的核心，根据行车命令、列车进路、列车运行状态和设备状态，通过安全逻辑运算，产生控车命令，实现对运行列车的控制。2： ZPW-2000A无绝缘轨道电路介绍：　　ZPW-2000A型无绝缘移频自动闭塞系统是在法国UM71无绝缘轨道电路技术引进、国产化基础上，结合国情进行的技术再开发。前者较后者在轨道电路传输安全性、传输长度、系统可靠性、可维修性以及结合国情提高技术性能价格比、降低工程造价上都有了显著提高。2002年5月28日，ZPW-2000A型无绝缘移频自动闭塞系统通过铁道部技术鉴定，确定推广应用。　　ZPW-2000A无绝缘轨道电路由较为完备的轨道电路传输安全性技术及参数优化的传输系统构成。国家知识产权局已受理了有关“钢轨断轨检查”、“多路移频信号接收器”等8项专利，成为我国目前安全性高、传输性能好、具有自主知识产权的一种先进自动闭塞制式，为“机车信号做为主体信号”创造了必备的安全基础条件。发送器：用于产生高精度、高稳定的移频信号源。系统采用N＋1冗余设计。故障时，通过FBJ接点至“＋1”Fs。接收器：　　用于接收本区段主轨道电路和相邻区段调谐区短小轨道电路的信号。动作本区段的轨道继电器（GJ），并向相邻区段提供小轨道电路轨道继电器执行条件（XG、XGH）。在系统中，接收器采用双机并联运用方式；保证接收系统的可靠运用。衰耗器：用于实现主轨道电路、小轨道电路的调整。给出发送和接收故障、轨道占用表示及发送、接收用＋24V电源电压、发送功出电压、接收GJ、XGJ测试条件等。3：CAN总线　　CAN是控制器局域网络(Controller Area Network, CAN)的简称，是由研发和生产汽车电子产品著称的德国BOSCH公司开发了的，并最终成为国际标准（ISO1188）。是国际上应用最广泛的现场总线之一。 在北美和西欧，CAN总线协议已经成为汽车计算机控制系统和嵌入式工业控制局域网的标准总线，并且拥有以CAN为底层协议专为大型货车和重工机械车辆设计的J1939协议。近年来，其所具有的高可靠性和良好的错误检测能力受到重视，被广泛应用于汽车计算机控制系统和环境温度恶劣、电磁辐射强和振动大的工业环境。4：LKD2-T1，LKD2-H型客专列控中心　　客专列控中心（TCC）具有轨道电路编码、站间安全信息传输、区间闭塞与方向控制、站内及区间轨道电路方向切换控制、区间信号机点灯控制、区间列车占用逻辑判断、有源应答器报文实时组帧及发送等功能。地面列控中心系统由列控下位机和维护终端组成。维护终端是列控中心的人机交互子系统，起到状态显示、过程数据记录的作用。通过维护终端工作人员可以很直观地了解列控中心系统的运行情况、站场实时状态、各个通道的状况、进路设置情况及临时限速设置情况等信息。5：PIO:采集驱动板。6：“故障导向安全”原则：故障导向安全原则 - 概念　　中华人民共和国铁道行业标准TB/T2615《铁路信号故障-安全原则》里，对“故障-安全”给出了明确的定义，即“故障以后导向安全”，当信号设备发生故障时，应以特殊的方式做出反应并导向安全，但安全性是一种概率参数，信号设备不可能具备排除了任何危险的绝对安全。对故障-安全要求应是从技术上能够实现的。研究和设计各种信号设备，均应满足故障-安全的原则。故障导向安全原则 - 内容　　设备发生故障导向安全时，应具有下列任何一种安全状态：　　1、暂停运行或者部分暂停运行；　　2、降级使用；　　3、故障报警（声、光报警）；　　4、给出误操作表示。故障导向安全原则 - 具体措施　　实现故障-安全原则的具体措施主要有：　　1、防止人的错误操纵而出现的各种联锁及闭塞技术等；　　2、故障后使功能软化或降级使用技术，如自动闭塞中绿灯烧坏改亮黄灯的技术；　　3、应急顶替技术，如电源故障时利用蓄电池供电的技术；　　4、检测、报警和预防性养护的技术；　　5、冗余技术，如多重设备；　　6、器件的降额使用技术，如信号灯泡的降压使用等。[3]自动化网对调查报告中的一个疑问　　报告中写道：　“一是对合宁、合武、甬温铁路客运专线列控中心设备招标投标工作审查把关不严。在铁路客运专线CTCS-2级列控系统相关技术标准不系统、不完整的情况下，草率对合宁、合武线列控设备定标选型，造成两线列控设备接口不统一，无法互联互通，不能满足工程需要，引发了合肥站、合武线列控中心设备型号的变更，导致后续一系列工作操作不规范；指导、协调甬温铁路招标时，审查同意在温州南站等18个车站招标采购仅经过技术预审查的LKD2-T1型列控中心设备。”　　按照报告的说法：“两列设备接口不统一，无法互联互通。”自动化网网友提出疑问：没有说到这两个设备采用的是什么接口，既然是接口，在技术上，还没有听说哪两种接口不能互联互通，恳请相关专家解释一下，这两个产品都采用了什么样的接口？