昨天，国务院“7·23”甬温线特别重大铁路交通事故调查组全体会议勾勒事故原因轮廓，四个错误一个叠一个，一道又一道防线失守，最终导致了“不可能发生的事故”发生：

　　温州南站信号设备在设计上存在严重缺陷；

　　雷击造成温州南站信号设备故障；

　　电务值班人员没有意识到信号可能错误显示，温州南站值班人员对新设备关键部位性能不了解；

　　温州南站电务值班人员未按有关规定进行故障处理。

　　甬台温客运专线的信号设备究竟存在怎样的严重缺陷？为什么温州南站信号设备怕风怕雨怕打雷？电务人员为什么会意识不到致命错误？值班人员又是一种怎样的态度应对雷雨天的故障？

　　我们再访国家级高铁专家、铁路供电和信号学者，并结合受难者的回忆，还原出7月23日的那个雨夜，从永嘉到温州之间的18公里铁路线上究竟发生了什么？

　　D301是中国路线最长动车组

　　今年7月1日，伴随着京沪高铁投入运营，中国铁路运行图再次调整。从这一天起，北京到福州两大城市间的地面交通，有了一种史上最快的抵达方式：D301次动车组。

　　这列动车组从北京出发，沿着最高时速300公里的京沪高铁奔向上海，再沿最高时速350公里的沪杭高铁到杭州，最高时速百余公里的老杭甬铁路到温州，最后经由时速200公里的甬台温福客运专线抵达终点站福州南。

　　列车全程2223公里，横跨6个省市，停靠22座城市，耗时13小时36分，是目前中国里程最长的动车组列车。车体属CRH1动车组，是中国第一代动车组列车，最高时速200公里。

　　这趟开行仅23天的中国里程最长动车组，就遭遇了中国铁路史上第一起动车追尾事故。

　　两车相逢的3分钟

　　为何不让D301先走？

　　两趟动车组，一辆晚点27分钟，一趟晚点41分钟，待雷暴稍弱，究竟该让哪趟车先走？

　　铁路人士解读列车运行潜规则和明规则。

　　哪怕是D3115次列车没晚点，它都该宁肯自己晚点，而让D301先走——两趟车都是“D字头”的动车组，看似级别一样，其实D301的等级高过D3115。依照铁路行规，相同等级的列车中，数字编码小的列车是优先保证通行的“大哥”。

　　更何况，两趟列车都晚点了，D301次晚点还更多，无论从列车级别看，还是从晚点时间看，都该让D301先行。

　　但铁路部门内部流传一种说法：别管你多牛，在我的地盘就得被我“踩”——在这里，踩是被下令让行的意思。

　　比如甲铁路局运营的所有车辆中，D字头是最高等级列车，在该铁路局管辖的铁路线上，它是逢车就踩的大哥，但一旦驶出自己的铁路局，威风就不再。

　　铁路内部人士说，D301次是北京铁路局运营的列车，D3115次是上海铁路局的列车，永嘉站归属上海铁路局管辖，在自己的地盘上，让自己铁路局的动车先行，尽量缩减晚点时间，符合自身利益。

　　而且D301次晚点较多，此后把41分钟的晚点时间全追回来不易，而D3115次则较容易，让D3115次先行，上级考核列车准点率时，就只有一趟列车晚点，而不是两趟车晚点。

　　当然了，这都是内部人士的猜测。

　　拥挤的甬台温

　　两年前，甬台温铁路刚开通时，只有7对列车运行其上，最近一次调整运行图后，这个数字增加到30对。同样长度的铁路线，在其上列车数量越多，意味着列车之间的间距越短，控制两车之间的安全距离难度也就越大。

　　沿铁路从永嘉到温州南站，18公里的距离，一辆动车从起步到进站，只需9分钟，若两辆列车同时存在于这一区段，确实需要非常精准的调度。

　　20点15分，D3115再次启动了。8分钟后，即20：23，它停了下来，2分钟后，20：25，它再次启动，但爬行“如蜗牛”。

　　最近，屡屡出现雷击损坏京沪高铁供电系统，让列车趴窝的事故，在“7·23”事故发生之初，有官方初步解释认为，雷电损坏了列车供电，让D3115次在线路上停摆。

　　但这种说法被很多专家质疑。D3115次在永嘉站躲避时，正是雷电最强时分，避雷后，它的最高开行时速尚能到上限200公里，平均也有100公里，说明此时供电网一切正常。

　　之后的几分钟，雷电显然也没有影响到列车动力系统——若线路“失电”，D3115次连以20码速度爬行的能力也没有，它身后的D301次列车启动后，平均时速更是高达150公里。

　　D3115次为什么会停下来？2分钟后为什么又要蜗牛般爬行

　　20点23分，因前方出现红光带故障，D3115次停了下来。

　　“红光带”是列车信号故障的表现。铁路铁轨中，埋着一条轨道电路，列车压在铁轨上，轨道电路就与火车轮形成一个闭合的电流回路，轨道信号就会认为此处有一辆列车存在，出现红光报警。

　　若是数公里长的一段铁轨全显示红光，则可能是轨道电路形成短路，在无车状态下，自己形成电流回路，显示红灯的有车状态。

　　此时，若D3115次依然选择自动运行模式，列车因遭遇前方有列车的红光警示，是无法开动的。

　　D301次驶离永嘉站。平均时速150公里，最高时速200公里。调度通知D301次司机，按信号灯行驶，一旦看到区间信号灯为红灯，马上停车。

　　调度犯下第一个错误——不该出永嘉站的D301次出发了

　　20点24分，D301次开出永嘉站，很快接近全速开行。

　　几乎与此同时，列车调度核实，D3115前方的红光带区域中并无列车，因此20点25分，调度向D3115次下令：改用手动目视模式，强行启动列车——如同汽车的自动巡航功能，列车也采取手动优先原则，一旦列车员选择手动驾驶，则自动避险的命令都会失效。此时，为了能随时停车，它的时速是20公里。

　　此时，两车仅有13公里的车距，以D301当时平均时速150公里的均速，D301次在逼近死亡。

　　铁道部曾有规定，若发生红光带故障，一律按站间闭塞处理，即两个火车站之间只允许存在一辆火车。按这个规定，此时，D301次无论如何不该开上永嘉到温州南之间的18公里铁轨。

　　调度为什么要让D301提前出发？一种猜测是，想让D301节省点时间，少晚点。同时，过于迷信防追尾系统，以为有了这个系统，两车不可能追尾。

　　调度的这种把规定弃之一边，太过自信自己的表现印证了昨天官方的解释，“电务值班人员没有意识到信号可能错误显示，温州南站值班人员对新设备关键部位性能不了解”。

　　调度犯下第二个错误——没告诉D301次司机前车的状态

　　列车信号由电务人员负责，他发现信号出了故障，应该第一时间报告调度，以采取应急举措。

　　内部人士透露，由一般铁路的电务人员升级为高铁电务，应该接受1-3个月的培训。业内人士说，让人心痛的是，最近的几年间，中国高速铁路大干快上，为了补上高铁工作人员缺口，有的人并没有经过严格、正规的高铁电务培训，就直接上岗。

　　面对平时正常的局面还好，一直面对复杂的高速铁路信号系统故障时，他可能根本无法发现本区间信号系统的故障。

　　这个环节很致命，但它并不一定导致事故的发生。

　　如果调度向D3115次发出重新上路的命令时，D301次也接到减速的命令的话，灾难也不会发生。

　　业内人士说，D3115次列车在用打破常规的手动模式，以非常规的慢速度在铁路上爬行时，调度同一时间发出的不该是一个命令，而应该是一组命令。这组命令应该是这样的：

　　“D3115次列车缓行”；

　　“D301次列车立即停车，原地待命”；

　　如果永嘉站内还存在一辆列车，它收到的命令该是“D×××次列车永嘉站待命”。

　　为何D3115次列车收到缓行的调度命令之时，D301次没收到停止的调度令，或者没告诉D301次前车的运行状态？

　　调度信赖的自动防追尾系统出现故障——原本该出现红灯的时候 信号灯显示为绿灯

　　此时，雷电再次击中温州南站信号设备。按照正常的故障应急机理，轨道两边的区间信号机此时应该显示为红灯，提醒后车开到这里时，要停车。但要命的情况出现了，信号机的设计出现严重缺陷，原本应显示红灯，却相反地显示为绿灯。至此，遇红灯即停的自动防追尾系统也就失效了。

　　D301次看到前方一路绿灯（一般每公里设有一个信号灯），便继续以平均时速150公里向前狂奔。

　　打雷下雨是常有的事，几个雷，信号系统就紊乱了？

　　其实，在铁路建设设计上，信号系统有着严密的防雷系统。在客运专线上，每隔大致1公里，就有一个信号机，信号机上连着一组信号灯：红灯（停车），黄灯（减速），绿灯（通行）。信号灯醒目地矗立铁轨两旁，有两三米高。

　　信号机和铁轨上的轨道电路相连，轨道电路把自己感知到的列车方位信息告知信号机，信号机再通过信号灯向列车发出指令。

　　永嘉到温州南之间的18公里，大致有18个信号机，这些信号机的防雷设施是这样的：

　　信号机底端埋入地下，底端连着一根扁铁片，这根铁片4毫米厚，4厘米宽，与铁轨平行着埋入地下约1米，沿铁路线穿行18公里，在18公里扁铁片的两端，分别连着两组角钢，每组角钢有4根钢条，角钢直插入地下2.5米，是避雷设施的接地极。

　　这个防雷设施这样防止雷击事故的发生。

　　雷电有个喜好，总是找电阻小的通道前行。若是避雷设施不存在，雷电击中信号机之后，会钻入其体内，让内部娇贵的精密电子元器件过电，导致元器件损坏。

　　避雷设施给雷电找了条快速通行的捷径，雷电抵达信号机表面后，沿着其表壳，走到扁铁片上，在地下穿行，最终在两端通过接地极进入大地——因接地极在地下3米多，雷电不会对接地极之上的地表构成威胁。

　　扁铁片和接地极都是优良的电导体，依照设计，整条过电线路的电阻不能超过2欧姆。雷电若是选择走信号机内部，要穿过多个高电阻的电子元器件，总电阻是2欧姆的数百上千倍，雷电不会做这样的傻事。

　　避雷系统好不好，全凭施工企业的良心？

　　既然设计有科学的避雷装置，为啥信号系统还是被雷电所害？

　　有专家联想到了这个夏天北京、武汉、成都几座大都市的“看海”经历。城市的表面摩天大楼，绿草如茵，而下水道看不见，摸不着，一些施工单位难免偷工减料，一遇上暴雨的考验，城市就成了汪洋。

　　同样埋在地下，同样在风和日丽的天气里有它没它一个样，避雷系统在建设时或许遭遇了城市排水系统同样的待遇？

　　有专家大胆设想：或许挖地埋扁铁片时，发现前方有硬物，于是放弃这一段，绕过去再挖。回去后报告，线路全程都埋了扁铁片。雷电沿着一条完整扁铁片走，电阻小，畅行无阻，一旦中间少了一段，雷电走到缺环时，就遭遇了电阻甚大的泥土或石块。既然地下通行受阻，还不如直接从信号机内部穿行，导致信号机损坏，出现信号紊乱。

　　就算坏了，也不该显示是绿灯

　　火车已在中国出现百余年，尽管有避雷设备，信号机发生故障，也在设计者的考虑范围之内。

　　当信号机故障，无法接收到列车方位信息之时，还有一道守护安全的设计原则：故障导向安全原则。

　　这条原则的逻辑是：既然我失灵了，无法感知前方的危险，那么，我默认为前方都是危险的，禁止你通行。不怕一万，就怕万一。

　　回放到7月23日晚，若是信号系统的设计沿用了这一原理，那么D301次列车看到的应该是一路红灯，自动防追尾系统会让D301次列车一出永嘉站就减速停车。

　　若是信号系统正常，当D301次迫近D3115次时，看到的信号灯应该是这样的：最靠近D3115次的3个信号灯是停车的红灯，第四个灯是减速的黄灯，第五个开始才是绿灯。意味着从距离前车4公里时，D301次就能感受到危险。

　　无论是信号灯正常，或是信号灯出现故障，只要设计不存在严重缺陷，自动驾驶状态下的D301次都无法靠近前车。

　　为什么会有低级设计失误？

　　信号系统出现故障，一律显示红灯。这条原则，在中国火车普速时代，曾挽救不知多少事故。专家说，那时的火车系统甚是简单，就是一条轨道线路、一个继电器，并不存在软件，一旦线路或继电器故障了，信号灯瞬间变红。

　　高速铁路，融合了信息技术，计算机、软件统统加入，在工业上，有这样一条原理：设计越是复杂，工作环节越是多，出问题的可能性也就越大。

　　昨天，甬温铁路信号设计方“北京全路通信信号研究设计院”就动车追尾事故道歉。

　　一条沿用百十年的信号系统避险原则，在这家公司设计的信号系统上，竟然不再起作用。

　　有专家评论，如果说这是设计失误，那也只能归结为极其低级的失误，极其不负责的失误。

　　这样的失误为什么会发生？分析人士认为，在近年的高铁建设过程中，铁路采购中标的往往是铁路系统内部的企业，绝少外来竞争者，使得一些企业的技术实力裹足不前。

　　温州南站

　　D301次驶上事发路段高架桥。司机潘一恒突然发现前方几百米处有一列车，连忙采取急刹车。但一切为时已晚。

　　调度最后的失守——没有发现D301次已无限接近D3115次

　　7月23日晚8点31分，D3115次依照着调度的命令，手动驾驶，蜗牛般爬向温州南站。

　　而对于D301次，不知信号系统出了故障的调度高度依赖了自动防追尾系统，放任它自动飞速前行。

　　就算是自动防追尾系统还能起作用，让两列高速的动车组列车在这么短的距离内同时存在，调度也是在玩火。

　　当两车迫近时，难道调度在运行图上就发现不了危险的存在？

　　轨道电路、信号系统故障，D3115次列车的确有可能无法自动向调度系统逐秒报告自己的方位，那么，它可算作一辆在运行图上暂时消失的列车。

　　此时，印证了官方调查组所说的“温州南站电务值班人员未按有关规定进行故障处理”的判断。

　　对于这样一辆无法自动获知具体方位，非正常时刻、非正常速度行驶的列车，调度应该要时时留心，用无线电联系方式等，掌控其精确方位，并在运行图上监控D301次列车已无限接近它。

　　铁路系统的无线电通讯系统几乎不可能受到天气影响而中断，如果是一位实时追踪列车异常状态下的调度，他理应及时向两辆列车口头发出警报。可是，被闸把刺穿胸膛的D301次列车司机潘一恒用生命证实，他并未收到来自调度的指示，或者等到接到指示时，已经来不及了。

　　唯一发现危险的只剩潘一恒的双眼了 可他能看多远？

　　潘一恒至少让D301次列车的速度降下了40码，来自铁路部门内部的判断，证明潘一恒没有在驾驶室里打盹、开小差，若不是第一时间发现危险，这样的紧急制动措施是难以想象的。

　　在一切都指望不上的时候，唯一能发现危险的只有潘一恒的双眼。在漆黑的夜晚，依靠动车组的前大灯，他究竟能看多远？

　　很遗憾的是，那是一个雨夜，铁路工程师说，雨夜是司机视线最差的时候。顶了天说，潘一恒发现前车时，距离不超过200米。

　　据内部人士透露，此时D301次列车时速在200公里左右，这样的时速意味着列车每秒钟可走55米，留给潘一恒做出反应的时间不足4秒钟。

　　大致1秒钟内，他把紧急制动闸的闸把拉到了底，列车在最大可能的刹车动作下，时速下降了4秒钟，潘师傅在生命的尽头做出了挽救事故的最大努力——能在事发前的几秒钟发现危险，潘一恒当时的状态绝对是全神贯注，而且视力相当棒。

　　D301次差不多以百公里的时速，撞上了D3115次。相撞后，两车又滑行了五六分钟，于20：39完全停止。此时，两车距永嘉站14公里，距温州南站仅4公里。

　　撞后8分钟才知道出事了？

　　相撞后，后车D301次列车的车头爬上了D3115次的最后一节车厢，瞬间，车头后的四节车厢也相继爬了上去，把D3115次的16号车厢压扁。后车车头和四节车厢随后从铁路高架桥的左侧护栏掉了下去。

　　惊人撞击力推动下，D3115次整列火车往前冲，滑行了五六分钟才停了下来。

　　网络上流出一份据说是事故当晚的调度记录，详细描述了每一个调度命令，这份记录被数位专家认为是符合逻辑，可以参照的。

　　如果这份调度记录是可以采信的语，调度的后知后觉让人无以言表。

　　列车滑行停止后的20点37分，调度向温州南站发出指令：“联系D301次司机降弓”——降弓是电气化铁路的术语，意思等同于减速。此时，潘一恒已经殉职。

　　两分钟后，温州南站向调度报告：D3115次司机反映尾部车辆脱轨，有半截车厢吊在桥上。

　　或许，从20点15分向D3115次发出发车指令，到20点37分命令D301次减速，在现在看来惊心动魄的22分钟内，掌控着列车运行中枢神经的调度，一直没有意识到危险的存在。

　　据都市快报 记者 王中亮 孙自鸣