温州动车事故

　40人死亡，200余人受伤，“7·23”甬温线动车特大事故的惨状仍历历在目。但调查结果迟迟未公布于众。 　　尽管多位事故调查专家组专家表示，动车事故的书面调查报告已于9月完成。按照国务院493号令《生产安全事故报告和调查处理条例》，最迟至11月30日，国务院或其授权的有关部门就应公布调查报告和事故的处理情况。但这一天，相关部门没有发出只字片语。 　　《财经》记者通过数月调查，试图对“7·23”动车事故调查过程中责任攸关方的博弈进行还原，同时亦发现此前大批动车召回事件的关键隐情。 　　导致动车追尾事故的原因，既有信号设备软件设计缺陷，亦有非正常行车下的调度指挥失误。实际上，从信号设备提供商，到上海铁路局调度所、温州南站行车值班员的行车处理，到电务部门的维修、登记，事故暴露出铁路多个部门均存在问题。 　　据接近调查组的人士称，调查报告迟迟不出，系高层对责任认定难以取舍。若认定信号设备供应商承 担主要责任，则对中国高铁的国际形象乃至出口更为不利；若认定铁道部调度管理承担主要责任，则牵涉责任人众多；若信号设备缺陷说被推翻，供应商不再担责， 铁路系统也不会全然接受此说，相应会要求承担较轻的管理责任，缩小处理范围。此外，杭州电务段温州电务、上海铁路局调度所、温州南站行车值班员各方责任孰 重孰轻，对所追究责任人的范围、职位亦有影响。 　　调查报告逾期不出，调查组成员三缄其口。四个月来，舆论呼唤公正调查结果的声浪此起彼伏，调查公信力在声浪中亦风雨飘摇。 　　在此期间，中国北车股份有限公司又将54大列CRH380BL问题动车组召回整改，后于11月 16日分批重新投入运营。对于为何未在空车试运行期间就发现相关问题？问题车到底进行了哪些整改？供应不合格配件从而导致故障问题的分供方承担了怎样的责 任？等等，同样语焉不详。 　　在中国高铁受到国内外广泛质疑的敏感期，对重大的事故调查和召回事件采取更公开、更坦诚的态度，向公众告知存在的问题和整改的细节，并实事求是地进行问责与整改，才是立足高铁发展大局，营造正常发展环境的明智之举。 　　——编者 　上篇 　　三问动车追尾事故 围绕“7·23”甬温线特别重大铁路交通事故的问责仍在持续发酵，舆论聚焦于事故调查报告及其处理情况何时公开，其中不乏质疑调查报告逾期公布已违反国务院有关条例的声音。 　　角力 对事故定责的考量，涉及设备商、铁道部，以及铁路各部门间的多重博弈 铁道部在事故发生后第一时间声称系雷击造成设备故障导致。五天之后，临危受命的上海铁路局局长安路生指出，事故是由于温州南站信号设备在设计上存在严重缺陷。 信号设备的集成商中国铁路通信信号集团公司（下称通号集团）旗下的北京全路通信信号研究设计院有限公司（下称全路通号），成为首个被推出的可能 责任人。但“7·23”事故调查组副组长、中国隧道研究中心主任王梦恕对媒体表示，“软件设计存在重大缺陷”结论，系有人想拿全路通号顶包，全路通号对此 并不服气。11月25日，王梦恕在接受《财经》记者采访时表示，事故调查组并未认定信号系统软件 设计存在重大缺陷，甚至未重点讨论此问题。 11月30日，一接近铁道部的人士也向《财经》记者表示，目前的事故调查中，全路通号的责任被弱化。 调查组成员、国家安监总局总工程师、新闻发言人黄毅曾直指温州电务部门的责任:温州南站电务值班人员未按有关规定及时汇报，未进行故障处理，没能有效防止事故发生。除继续承认信号系统设计缺陷外，电务部门的责任由此凸显出来。 此话一出，引发杭州电务段强烈反弹，于8月26日网上发布公开信逐一反驳。对此，相关部门并未作应答，《财经》记者获悉，8月31日，上海铁路局副局长前往温州南站，对杭州电务部门做了安抚工作。 多位事故调查专家组专家提及，动车事故的书面调查报告于9月完成并递交国务院。按照国务院493号令《生产安全事故报告和调查处理条例》规定，造成30人以上死亡的事故为特别重大事故，事故调查组提交事故调查报告，应当自事故发生之日起最长不超过120日。 同时，上述条例第32条规定，特别重大事故，应当自收到事故调查报告之日起30日内做出批复，特殊情况下，批复时间可以适当延长，但延长时间最长不超过30日。事故处理的情况由负责事故调查的人民政府或者其授权的有关部门、机构向社会公布。 即使动车事故调查报告的递交时间按照9月底推算，最迟至11月30日，有关部门也应该按照上述规定，批复动车调查报告，给出处理意见。继而公布 调查报告和事故的处理情况。但时至今日，相关信息皆未公开。担任调查组领导之职的国家安监总局相关部门负责人仅对媒体称，不会太久。 对于调查、定责的消息多变，一位接近调查组的人士对《财经》记者表示，事实上“7·23”事故调查中发现，信号设备、安全管理均有问题。然而，技术鉴定结束两个多月来，事故所涉各方均在推卸责任，导致报告迟迟无法出台。 上述人士表示，如果认定铁道部调度管理承担主要责任，则牵涉责任人众多；如果定责市场占有率最高的全路通号存在设计缺陷，则对国家形象、高铁出口等影响巨大；且牵涉其他应用该信号系统的站点安全，当然作为信号设备的用户，铁道部则减轻了安全管理上的责任。 事故发生五天后，全路通号首先被指为存在“严重缺陷”。然而，随着铁路系统人士受到舆论压力被迫退出事故调查组，究竟应当如何定责，决定权已归国务院。 “信号缺陷是真实存在的，如只让铁道部担责，其肯定不服。”上述人士分析，若信号设备提供商的责任确被弱化，则对铁道部来说，最有可能的是处分 数个直接当事人。至于高层所负的领导责任，事故发生第一时间，原上海铁路局局长龙京、党委书记李嘉、副局长何胜利已被免职，铁道部原总调度长安路生也已离 开原职。 　　一问：雷电防护缘何失灵 铁路系统在防雷上有所放松，设备制造商又不够专业，没有严格按照防雷标准操作 雷电，是这起事故的导火索。 调查组曾委托国网电力科学研究院利用电力系统全国雷电定位监测系统，对事故发生时段温州南站附近的雷电活动数据进行统计分析。10月25日，王梦恕对《财经》记者表示，7月23日当晚，雷击强度罕见，超出了设备防雷设计容量，导致设备电容被击穿。 随着集成度提高，以及计算机设备的广泛应用，新兴的客运专线、高速铁路的确更易受雷电干扰。但被认定为事故“首凶”的真是罕见强度的雷电吗？ 据知情人士表示，事故当天，温州一天打了400多个雷。但这并不算多，北京、成都、广州等地均发生过一天上万次雷电现象。事故当晚，距离温州南 站最近的雷电发生在5公里外的山头上，根据雷电传导的规律，待达到车站信号楼时，雷电能量只有发生时的1/25左右。信号楼内，两处设备在雷击中损坏，除 引发信号失灵的信息采集板外，另有一处闭塞电路。 一位参与调查的专家发现，雷击中损坏的元件中，并无放电的黑色痕迹，可见导致设备损坏的雷电电压不高。 根据铁道部规定，所有信号设备在集成之前，对设备本身都要进行防雷性能检验。雷电防护中，需考虑电路布线、地网、屏蔽等多种因素，如果内屏蔽和 外屏蔽连到一起，可能会出问题，因此设备电源线和电路设备要严格分开，但温州南站设备的电源线排布“不是非常标准（没有严格分开）”，上述知情专家表示。 除一般的防雷设备外，要提高防护能力，信号设备本身也应当在设计电路上做好安排，提高其耐雷电能力。比如印刷电路板的设计中，合理排列电子元器件、做好包覆，耐雷能力会提高。 “这部分由信号设备制造商负责，但他们也未必和雷电专业人士会商，采纳其意见。”上述知情专家认为，近年来，铁路系统在防雷上有所放松，设备制 造商对此往往不够专业，没有严格按照防雷标准操作。但在一些事故中，雷电常被当做不可避免的自然原因，京沪高铁初期运营发生故障时，亦推责雷电。 　　二问：缺陷系统如何通过评审 铁道部质检中心权力大，但实际承担责任很小，如果产品出问题，质检中心并不承担连带责任 紧随雷电之后，甬温线信号设备被认为软件存在重大缺陷，而且是一个简单的错误。 据一位接近调查组的人士表示，“7·23”事故暴露出软件设计的缺陷，在于程序的容错思路有问题。 当晚，相撞的前车D3115次列车从永嘉站发车行至红光带区间前停车，约两分钟后重新启动，以20公里时速缓慢前进。按照列车故障导向安全原 理，当后车D301次列车驶向同一区间，进入红光带前应减速，或停车。但是D301次列车却以120公里左右的时速撞上前车D3115次列车。 这期间瞬间雷击破坏了列控中心产品LKD2-T1的信息采集板。导致信号系统不仅没有使D301次减速或停车，却向其发送了错误的“绿色通行 证”。这说明，当设备发生故障后，系统检测机制还保持、记录前一个正常状态，而不能实时状态归零。虽然还有另一个设备去检测故障，但故障设备的信息不能及 时返回，后者读取的信息也停留在前一正常状态。 上述接近调查组人士表示，在程序编写中，应当设置有一个时限，比如5秒内无法读取故障设备信息，程序要自动返回、清零，显示为故障、报警，但在甬温线应用的这一套软件程序中，没有类似设置，可见其核心理念并没有足够“故障导向安全”。 全路通号的软件产品基本采用同一套版本，在全国58个台站使用。目前国内提供列控系统（CTC）软件的公司一共有五家，全部都是自己开发，各家产品界面均不一样，全路通号的产品市场占有率最高。 信号设备上线之前，铁道部都要组织质检中心所属的相关测试机构，进行包括电磁兼容、防雷、产品功能等的测试。缺陷产品如何通过评审？ 一位信号设备业内人士对《财经》记者表示，这些测试只针对常规应用环境下产品功能是否正确，而不是产品的安全分析和安全认证。比如，在做测试时，不会有意识地去损坏电路板上的某个器件并进行全覆盖的故障测试。 信号产品在国际上实行四级安全认证，目前中国国内没有一家认证公司能进行认证，因此只能委托给欧洲公司。而铁道部并未强制要求信号设备必须通过第三方的安全认证，所以是否去进行安全认证，或者找哪一家认证公司来认证，信号设备商可自行决定。 这就导致一个现实情况，即目前中国大部分信号产品都没有经过第三方安全认证。而通过国际安全认证的国内信号产品，也不一定能进入铁路运用的许可范围。 上述业内人士透露，实际上，铁道部质检中心是一个权力很大，但实际承担责任很小的部门，所有上线产品都要经其认证，很多公司为了认证自己的产品，还要托人打招呼。但如果产品出问题，质检中心并不承担连带责任。 事故发生后，应用全路通号同类型产品的58站全部改为采用站间闭塞方式行车，即每次只允许一趟列车进入站间闭塞区间，实际上是放弃了信号系统的追踪功能，以牺牲效率换取安全。 该款产品目前的修补是在系统上增加了一个切断保护装置。一个信号系统可能有上百个信息采集板，按照过去的设计，一个信息采集板发生故障后，不一 定要强制切断信号系统，而是开始故障排除，更改行车模式，但目前是采用了“宁可错杀一千”的应急处置，无论哪一块采集板断电，立刻切断信号装置。 单从事故中暴露出的问题来看，修改目前的软件缺陷，工作量其实不大。上述接近调查组人士表示，编程中可在状态监测的线程中增加对读取时间的限 制，超时即强制返回，显示为故障。若依此设置，在“7·23”事故中，信息采集板损坏后，地面信号灯将会变红，不再向后车发送“绿色通行证”。 “7·23”事故信号系统暴露的或许只是一个低级错误，更令人担忧的是那些还未暴露出的问题。 “7·23”事故之后，国务院发起全国高铁安全大检查，其专家组成员在广州进行高铁安全大检查时发现，在运行时间精确到秒的高铁线路上，由全路 通号、卡斯柯两家公司提供的CTC产品中，列控设备从轨道电路采集到的实时信息，与车载ATC从列车采集到的实时信息不一致，“比如CTC 界面显示，此时时间为22点，ATP界面（记录列车实际运行状态）却显示为21时57分，相差可达3分钟。” 在非正常行车中，这可能导致调度人员错误判断列车位置，存在隐患。 　　三问：管理程序为何失守 温州电务、车站皆以在网上发公开信的方式为自身辩白，上海铁路局调度所因未被提及责任而保持沉默 在国家安监总局总工程师黄毅发出，“温州南站电务人员未按有关规定及时汇报，未进行故障处理，没能有效防止事故的发生。”杭州电务段温州电务车 间旋即发表公开信，反驳上述指认，且表示是负责在调度人员和电务之间进行协调的车站值班员只向电务通知了轨道电路（导致异常红光带）故障，并未通知列控系 统故障（导致车站联锁系统和CTC界面显示不一致）。 温州南站一位行车值班员在11月1日接受《财经》记者采访时，承认其通知模糊。他表示，行车值班员发现轨道电路、CTC双故障，按规定通知了上 海铁路局的调度员，以及电务、工务。但其在通知电务时，只是说设备闪红。“对我们来说，无论是列控中心CTC出了问题，还是轨道电路闪红，都属设备故障， 是否对电务意味着不同情况，不是我们考虑的。”该行车值班员辩称。 通知不准确，影响了故障的排除。前述接近调查组的人士表示，当晚，被雷击损坏的信息采集板位于面板背后，位置比较隐蔽，电务维修中没有找到。事故发生之后，才找到这块采集板，进行更换之后即恢复正常。 9月27日，一封署名温州南站的公开信也发布在铁道论坛上，信中为车站值班员辩驳称，电务如果按规定登记停用区间信号设备，那么调度员必定采用“停基改电”方法，按规定一个区间放入一趟列车，“7·23”事故即可避免。 前述接近调查组的人士表示，电务的失误还在于带电操作，在信号设备未切断情况、车还在行驶中，电务直接接线，“发现了故障，但不知道是哪个故障，就拔、插、试”。按照正常程序，电务首先应当通知车站、调度，信号系统出现问题，停止行车，再去维修。 在维修过程中，调度人员、车站值班员对行驶或者停靠在站内的列车都应该做相应处理。由于当晚CTC故障，温州南站、上海调度皆无法得知前车 D3115次列车的实时状态。但两者均知道，区间存在轨道电路故障，且后车放入区间后，前车并未到站，可想两车间距应当很近，那么，谁应当提示后车注意， 即成为调度承担责任的关键。 9月6日，宁波车务段领导班子曾集体找温州南站“7·23”相关当事人谈话，并将有关规章解释加盖公章上交调查组，解释了通知后车D301次列车司机是温州南站的责任。 温州南站行车班公开信中亦谈到调度责任，根据上铁运发[2010]156号文《关于重新公布＜上海铁路局客运专线非正常行车办法及应急预案＞的 通知》，列车在区间被迫停车，一是，列车调度员应及时了解停车原因，布置助理调度员或车站值班员转告区间内其他列车。而根据事故前前车D3115次列车曾 停车、降速，说明列车调度员因信号机红灯对D3115次列车司机发布了按目视法行车的调度命令，但未对车站进行任何布置，也未要求通知其他列车等；二是， 区间内一架“通过信号机”故障时，列车调度员应通知有关列车司机。当晚区间红光带即按区间通过信号故障处理，但调度员没有通知后车D301次列车司机。 公开信中还写道，早在7月底，铁道部公布初步调查结果，只字不提调度员的责任，这种方法已经定了调。如果上海调度有责任的话，路局等上层领导受 处理的人数将更庞大。因为铁路规章没有明确的规定，车站必须要主动呼叫后车D301次司机，这证明规章制定不够严密，铁道部与相关铁路局应负其责。 无论最终定责孰轻孰重，由上述各方的纠葛，已可看出铁路系统管理的诸多疏漏，可谓涉及各个环节，多个部门，亟待在查明真相后，严肃整治。 【作者：《财经》记者 左林 贺涛 特约作者 傅明 】 (责任编辑：闫祺)

　40人死亡，200余人受伤，“7·23”甬温线动车特大事故的惨状仍历历在目。但调查结果迟迟未公布于众。 　　尽管多位事故调查专家组专家表示，动车事故的书面调查报告已于9月完成。按照国务院493号令《生产安全事故报告和调查处理条例》，最迟至11月30日，国务院或其授权的有关部门就应公布调查报告和事故的处理情况。但这一天，相关部门没有发出只字片语。 　　《财经》记者通过数月调查，试图对“7·23”动车事故调查过程中责任攸关方的博弈进行还原，同时亦发现此前大批动车召回事件的关键隐情。 　　导致动车追尾事故的原因，既有信号设备软件设计缺陷，亦有非正常行车下的调度指挥失误。实际上，从信号设备提供商，到上海铁路局调度所、温州南站行车值班员的行车处理，到电务部门的维修、登记，事故暴露出铁路多个部门均存在问题。 　　据接近调查组的人士称，调查报告迟迟不出，系高层对责任认定难以取舍。若认定信号设备供应商承 担主要责任，则对中国高铁的国际形象乃至出口更为不利；若认定铁道部调度管理承担主要责任，则牵涉责任人众多；若信号设备缺陷说被推翻，供应商不再担责， 铁路系统也不会全然接受此说，相应会要求承担较轻的管理责任，缩小处理范围。此外，杭州电务段温州电务、上海铁路局调度所、温州南站行车值班员各方责任孰 重孰轻，对所追究责任人的范围、职位亦有影响。 　　调查报告逾期不出，调查组成员三缄其口。四个月来，舆论呼唤公正调查结果的声浪此起彼伏，调查公信力在声浪中亦风雨飘摇。 　　在此期间，中国北车股份有限公司又将54大列CRH380BL问题动车组召回整改，后于11月 16日分批重新投入运营。对于为何未在空车试运行期间就发现相关问题？问题车到底进行了哪些整改？供应不合格配件从而导致故障问题的分供方承担了怎样的责 任？等等，同样语焉不详。 　　在中国高铁受到国内外广泛质疑的敏感期，对重大的事故调查和召回事件采取更公开、更坦诚的态度，向公众告知存在的问题和整改的细节，并实事求是地进行问责与整改，才是立足高铁发展大局，营造正常发展环境的明智之举。 　　——编者 　上篇 　　三问动车追尾事故 围绕“7·23”甬温线特别重大铁路交通事故的问责仍在持续发酵，舆论聚焦于事故调查报告及其处理情况何时公开，其中不乏质疑调查报告逾期公布已违反国务院有关条例的声音。 　　角力 对事故定责的考量，涉及设备商、铁道部，以及铁路各部门间的多重博弈 铁道部在事故发生后第一时间声称系雷击造成设备故障导致。五天之后，临危受命的上海铁路局局长安路生指出，事故是由于温州南站信号设备在设计上存在严重缺陷。 信号设备的集成商中国铁路通信信号集团公司（下称通号集团）旗下的北京全路通信信号研究设计院有限公司（下称全路通号），成为首个被推出的可能 责任人。但“7·23”事故调查组副组长、中国隧道研究中心主任王梦恕对媒体表示，“软件设计存在重大缺陷”结论，系有人想拿全路通号顶包，全路通号对此 并不服气。11月25日，王梦恕在接受《财经》记者采访时表示，事故调查组并未认定信号系统软件 设计存在重大缺陷，甚至未重点讨论此问题。 11月30日，一接近铁道部的人士也向《财经》记者表示，目前的事故调查中，全路通号的责任被弱化。 调查组成员、国家安监总局总工程师、新闻发言人黄毅曾直指温州电务部门的责任:温州南站电务值班人员未按有关规定及时汇报，未进行故障处理，没能有效防止事故发生。除继续承认信号系统设计缺陷外，电务部门的责任由此凸显出来。 此话一出，引发杭州电务段强烈反弹，于8月26日网上发布公开信逐一反驳。对此，相关部门并未作应答，《财经》记者获悉，8月31日，上海铁路局副局长前往温州南站，对杭州电务部门做了安抚工作。 多位事故调查专家组专家提及，动车事故的书面调查报告于9月完成并递交国务院。按照国务院493号令《生产安全事故报告和调查处理条例》规定，造成30人以上死亡的事故为特别重大事故，事故调查组提交事故调查报告，应当自事故发生之日起最长不超过120日。 同时，上述条例第32条规定，特别重大事故，应当自收到事故调查报告之日起30日内做出批复，特殊情况下，批复时间可以适当延长，但延长时间最长不超过30日。事故处理的情况由负责事故调查的人民政府或者其授权的有关部门、机构向社会公布。 即使动车事故调查报告的递交时间按照9月底推算，最迟至11月30日，有关部门也应该按照上述规定，批复动车调查报告，给出处理意见。继而公布 调查报告和事故的处理情况。但时至今日，相关信息皆未公开。担任调查组领导之职的国家安监总局相关部门负责人仅对媒体称，不会太久。 对于调查、定责的消息多变，一位接近调查组的人士对《财经》记者表示，事实上“7·23”事故调查中发现，信号设备、安全管理均有问题。然而，技术鉴定结束两个多月来，事故所涉各方均在推卸责任，导致报告迟迟无法出台。 上述人士表示，如果认定铁道部调度管理承担主要责任，则牵涉责任人众多；如果定责市场占有率最高的全路通号存在设计缺陷，则对国家形象、高铁出口等影响巨大；且牵涉其他应用该信号系统的站点安全，当然作为信号设备的用户，铁道部则减轻了安全管理上的责任。 事故发生五天后，全路通号首先被指为存在“严重缺陷”。然而，随着铁路系统人士受到舆论压力被迫退出事故调查组，究竟应当如何定责，决定权已归国务院。 “信号缺陷是真实存在的，如只让铁道部担责，其肯定不服。”上述人士分析，若信号设备提供商的责任确被弱化，则对铁道部来说，最有可能的是处分 数个直接当事人。至于高层所负的领导责任，事故发生第一时间，原上海铁路局局长龙京、党委书记李嘉、副局长何胜利已被免职，铁道部原总调度长安路生也已离 开原职。 　　一问：雷电防护缘何失灵 铁路系统在防雷上有所放松，设备制造商又不够专业，没有严格按照防雷标准操作 雷电，是这起事故的导火索。 调查组曾委托国网电力科学研究院利用电力系统全国雷电定位监测系统，对事故发生时段温州南站附近的雷电活动数据进行统计分析。10月25日，王梦恕对《财经》记者表示，7月23日当晚，雷击强度罕见，超出了设备防雷设计容量，导致设备电容被击穿。 随着集成度提高，以及计算机设备的广泛应用，新兴的客运专线、高速铁路的确更易受雷电干扰。但被认定为事故“首凶”的真是罕见强度的雷电吗？ 据知情人士表示，事故当天，温州一天打了400多个雷。但这并不算多，北京、成都、广州等地均发生过一天上万次雷电现象。事故当晚，距离温州南 站最近的雷电发生在5公里外的山头上，根据雷电传导的规律，待达到车站信号楼时，雷电能量只有发生时的1/25左右。信号楼内，两处设备在雷击中损坏，除 引发信号失灵的信息采集板外，另有一处闭塞电路。 一位参与调查的专家发现，雷击中损坏的元件中，并无放电的黑色痕迹，可见导致设备损坏的雷电电压不高。 根据
铁道部规定，所有信号设备在集成之前，对设备本身都要进行防雷性能检验。雷电防护中，需考虑电路布线、地网、屏蔽等多种因素，如果内屏蔽和 外屏蔽连到一起，可能会出问题，因此设备电源线和电路设备要严格分开，但温州南站设备的电源线排布“不是非常标准（没有严格分开）”，上述知情专家表示。 除一般的防雷设备外，要提高防护能力，信号设备本身也应当在设计电路上做好安排，提高其耐雷电能力。比如印刷电路板的设计中，合理排列电子元器件、做好包覆，耐雷能力会提高。 “这部分由信号设备制造商负责，但他们也未必和雷电专业人士会商，采纳其意见。”上述知情专家认为，近年来，铁路系统在防雷上有所放松，设备制 造商对此往往不够专业，没有严格按照防雷标准操作。但在一些事故中，雷电常被当做不可避免的自然原因，京沪高铁初期运营发生故障时，亦推责雷电。 　　二问：缺陷系统如何通过评审 铁道部质检中心权力大，但实际承担责任很小，如果产品出问题，质检中心并不承担连带责任 紧随雷电之后，甬温线信号设备被认为软件存在重大缺陷，而且是一个简单的错误。 据一位接近调查组的人士表示，“7·23”事故暴露出软件设计的缺陷，在于程序的容错思路有问题。 当晚，相撞的前车D3115次列车从永嘉站发车行至红光带区间前停车，约两分钟后重新启动，以20公里时速缓慢前进。按照列车故障导向安全原 理，当后车D301次列车驶向同一区间，进入红光带前应减速，或停车。但是D301次列车却以120公里左右的时速撞上前车D3115次列车。 这期间瞬间雷击破坏了列控中心产品LKD2-T1的信息采集板。导致信号系统不仅没有使D301次减速或停车，却向其发送了错误的“绿色通行 证”。这说明，当设备发生故障后，系统检测机制还保持、记录前一个正常状态，而不能实时状态归零。虽然还有另一个设备去检测故障，但故障设备的信息不能及 时返回，后者读取的信息也停留在前一正常状态。 上述接近调查组人士表示，在程序编写中，应当设置有一个时限，比如5秒内无法读取故障设备信息，程序要自动返回、清零，显示为故障、报警，但在甬温线应用的这一套软件程序中，没有类似设置，可见其核心理念并没有足够“故障导向安全”。 全路通号的软件产品基本采用同一套版本，在全国58个台站使用。目前国内提供列控系统（CTC）软件的公司一共有五家，全部都是自己开发，各家产品界面均不一样，全路通号的产品市场占有率最高。 信号设备上线之前，铁道部都要组织质检中心所属的相关测试机构，进行包括电磁兼容、防雷、产品功能等的测试。缺陷产品如何通过评审？ 一位信号设备业内人士对《财经》记者表示，这些测试只针对常规应用环境下产品功能是否正确，而不是产品的安全分析和安全认证。比如，在做测试时，不会有意识地去损坏电路板上的某个器件并进行全覆盖的故障测试。 信号产品在国际上实行四级安全认证，目前中国国内没有一家认证公司能进行认证，因此只能委托给欧洲公司。而铁道部并未强制要求信号设备必须通过第三方的安全认证，所以是否去进行安全认证，或者找哪一家认证公司来认证，信号设备商可自行决定。 这就导致一个现实情况，即目前中国大部分信号产品都没有经过第三方安全认证。而通过国际安全认证的国内信号产品，也不一定能进入铁路运用的许可范围。 上述业内人士透露，实际上，铁道部质检中心是一个权力很大，但实际承担责任很小的部门，所有上线产品都要经其认证，很多公司为了认证自己的产品，还要托人打招呼。但如果产品出问题，质检中心并不承担连带责任。 事故发生后，应用全路通号同类型产品的58站全部改为采用站间闭塞方式行车，即每次只允许一趟列车进入站间闭塞区间，实际上是放弃了信号系统的追踪功能，以牺牲效率换取安全。 该款产品目前的修补是在系统上增加了一个切断保护装置。一个信号系统可能有上百个信息采集板，按照过去的设计，一个信息采集板发生故障后，不一 定要强制切断信号系统，而是开始故障排除，更改行车模式，但目前是采用了“宁可错杀一千”的应急处置，无论哪一块采集板断电，立刻切断信号装置。 单从事故中暴露出的问题来看，修改目前的软件缺陷，工作量其实不大。上述接近调查组人士表示，编程中可在状态监测的线程中增加对读取时间的限 制，超时即强制返回，显示为故障。若依此设置，在“7·23”事故中，信息采集板损坏后，地面信号灯将会变红，不再向后车发送“绿色通行证”。 “7·23”事故信号系统暴露的或许只是一个低级错误，更令人担忧的是那些还未暴露出的问题。 “7·23”事故之后，国务院发起全国高铁安全大检查，其专家组成员在广州进行高铁安全大检查时发现，在运行时间精确到秒的高铁线路上，由全路 通号、卡斯柯两家公司提供的CTC产品中，列控设备从轨道电路采集到的实时信息，与车载ATC从列车采集到的实时信息不一致，“比如CTC 界面显示，此时时间为22点，ATP界面（记录列车实际运行状态）却显示为21时57分，相差可达3分钟。” 在非正常行车中，这可能导致调度人员错误判断列车位置，存在隐患。 　　三问：管理程序为何失守 温州电务、车站皆以在网上发公开信的方式为自身辩白，上海铁路局调度所因未被提及责任而保持沉默 在国家安监总局总工程师黄毅发出，“温州南站电务人员未按有关规定及时汇报，未进行故障处理，没能有效防止事故的发生。”杭州电务段温州电务车 间旋即发表公开信，反驳上述指认，且表示是负责在调度人员和电务之间进行协调的车站值班员只向电务通知了轨道电路（导致异常红光带）故障，并未通知列控系 统故障（导致车站联锁系统和CTC界面显示不一致）。 温州南站一位行车值班员在11月1日接受《财经》记者采访时，承认其通知模糊。他表示，行车值班员发现轨道电路、CTC双故障，按规定通知了上 海铁路局的调度员，以及电务、工务。但其在通知电务时，只是说设备闪红。“对我们来说，无论是列控中心CTC出了问题，还是轨道电路闪红，都属设备故障， 是否对电务意味着不同情况，不是我们考虑的。”该行车值班员辩称。 通知不准确，影响了故障的排除。前述接近调查组的人士表示，当晚，被雷击损坏的信息采集板位于面板背后，位置比较隐蔽，电务维修中没有找到。事故发生之后，才找到这块采集板，进行更换之后即恢复正常。 9月27日，一封署名温州南站的公开信也发布在铁道论坛上，信中为车站值班员辩驳称，电务如果按规定登记停用区间信号设备，那么调度员必定采用“停基改电”方法，按规定一个区间放入一趟列车，“7·23”事故即可避免。 前述接近调查组的人士表示，电务的失误还在于带电操作，在信号设备未切断情况、车还在行驶中，电务直接接线，“发现了故障，但不知道是哪个故障，就拔、插、试”。按照正常程序，电务首先应当通知车站、调度，信号系统出现问题，停止行车，再去维修。 在维修过程中，调度人员、车站值班员对行驶或者停靠在站内的列车都应该做相应处