《1 前言》

1 前言

2011 年 7 月 23 日发生在甬温（宁波—温州）线上的旅客列车追尾事故，造成了严重的经济损失和不良社会影响，其教训极为深刻，应全面总结，认真汲取。本文主要从工程管理视角研究分析了事故对铁路科学发展和安全发展的重要启示。

《2 事故发生经过》

2 事故发生经过

“7·23”旅客列车事故发生在甬温线永嘉站至温州南站之间（区间长为 15.563 km）的瓯江大桥上。甬温线从宁波至温州全长 282.38 km，为双线电气化铁路，设计时速为 200 km/h，预留提速条件（中华人民共和国铁道部（以下简称铁道部）决定提升为250 km/h）。采用分散自律调度集中（CTC）、计算机联锁和微机监测系统、ZPW-2000A 无绝缘轨道电路和 CTCS-2 型列控系统。甬温线由沿海铁路浙江有限公司负责建设，2006 年 2 月 28 日开工，2009 年 9 月 28 日开通使用，委托上海铁路局运营管理。

《2.1 信号系统出现故障》

2.1 信号系统出现故障

2011 年 7 月 23 日 19 时 30 分 06 秒和 19 时 30 分 44 秒，温州南站列控中心和轨道电路设备因雷击相继出现故障。19 时 39 分温州南站值班员看到计算机联锁终端上永嘉站至温州南站下行三接进（5829AG 区段，距温州南站约 3 km）出现“红光带”，即向局调度报告并通知电务人员检查修理。19 时 54 分，上海局调度员发现 CTC 终端显示无“红光带”，这与温州南站计算机联锁终端显示有“红光带”不一致，即通知车站将分散自律控制模式改为非常站控模式。

《2.2 D3115 次列车逼停滞行》

2.2 D3115 次列车逼停滞行

从杭州站开往福州南站的 D3115 次列车为 CRH1-0468，编组 16 辆，定员 1299 人，当时实有旅客 1072 人。20 时 14 分 58 秒，D3115 次列车按调度命令从永嘉站开出。列车调度员再次通知司机，遇红灯即转为目视行车。因 5829AG 轨道电路故障，D3115 次列车于 20 时 21 分 46 秒逼停在 584.115 km（自上海的连续里程，以下同）处。司机3次转目视行车模式未成功，停置 7 min 40 s 后 D3115 次列车才转为目视行车模式，以低于 20 km/h 的速度缓缓前行。

《2.3 D301 次列车追尾相撞》

2.3 D301 次列车追尾相撞

从北京南站开往福州站的 D301 次列车为 CRH2-139E，编组 16 辆，定员 810 人，当时实有旅客 558 人。20 时 24 分 25 秒，D301 次列车按调度命令从永嘉站开出。20 时 29 分后，D301 次列车驶向 5829AG 区段。经调查确认，D301 次列车司机当时采取了紧急制动措施。尽管如此，20 时 30 分 05 秒在 583.831 km 处，D301 次列车（速度为 99 km/h）与前行的 D3115 次列车（速度为 16 km/h）仍然发生了追尾相撞（见图 1）。

《图1》

图1 “7·23”甬温线事故现场平面示意图

Fig.1 The schematic plan view of the scene of“7·23”railway accident of Ningbo—Wenzhou line

《2.4 事故造成严重后果》

2.4 事故造成严重后果

此次事故造成了严重后果：D3115 次列车第 15 位和第 16 位车辆脱轨；D301 次列车第 1 位至第 5 位车辆脱轨，其中，第 2 位和第 3 位车辆坠入瓯江大桥下，第4位车辆悬挂桥侧。客车报废 7 辆，大破 2 辆，中破 5 辆，轻微小破 15 辆；轨道和接触网损坏。中断行车 32 h 35 min，死亡 40 人，受伤 172 人。

《3 事故原因分析》

3 事故原因分析

“7·23”旅客列车事故发生后，党中央和国务院高度重视，铁道部和浙江省政府全力以赴组织抢险救援、伤员救治和善后处理。国务院成立事故调查组，并请有关专家组成专家组。在现场勘察、检验测试、技术鉴定和综合分析的基础上，经过专家反复论证，调查组认定：这是一起因列控中心设备存在严重设计缺陷、上道使用审查把关不严、雷击导致设备故障后应急处理不力等因素造成的责任事故。

《3.1 雷电袭击信号设备》

3.1 雷电袭击信号设备

7 月 23 日 19 时 27 分至 19 时 34 分，温州南站信号设备相继出现故障。国家电网公司雷电监测与防护实验室对雷击数据的统计分析表明，这一时段内温州南站至永嘉站和温州南站至瓯海站铁路沿线走廊内雷电活动异常强烈，雷击地闪次数超过 340 次，每次雷击包含多次回击过程，雷电流幅值超过100kA的雷击达 11 次。这一情况也从中国气象局雷击监测系统得到了证实。调查确认：沿轨道电路信号电缆传导侵入的雷电浪涌电压是导致发送器和接收器故障的直接原因；列控中心采集驱动单元采集电源保险管 F2 熔断则是由于雷电浪涌和直流电流共同作用所致。

《3.2 列控中心设备存在严重设计缺陷》

3.2 列控中心设备存在严重设计缺陷

中国列车运行控制系统 2 级（CTCS-2）运用轨道电路和点式信息设备传输列车运行许可信息，采用目标－距离模式监控列车安全运行。CTCS-2 主要由车站列控中心、轨道电路和列车超速防护等构成。CTCS-2 适用于200~250 kｍ/ｈ铁路。温州南站列控中心的设备型号为 LKD2-T1，是由北京铁路通信信号研究设计院有限公司研发设计、上海铁路通信有限公司生产的。该系统主要由主机单元、采集驱动接口单元（PIO）和电源单元等组成。

在对采集驱动单元测试并组织有关机构联合对列控中心主机和 PIO 软件进行测试的基础上，调查组组织动车组进行了现场实车模拟试验验证。经反复论证认定：硬件缺陷是 PIO 采集电源仅有一路独立电源，当 F2 熔断后采集驱动单元的采集回路失去供电。两路输入采集自一个源头，无法构成输入信息的安全比较。软件及系统设计有严重缺陷，F2 熔断后无法正确采集轨道占用信息。采集驱动单元

检测到采集电路故障并向列控中心主机发送故障信息，但未处理故障后采集到的信息，导致发送给主机的一直是故障前采集到的信息。列控中心主机收到故障信息，监测维护终端也未采取任何防护措施，一直以故障前轨道占用信息控制信号显示，致使D3115 次列车进入温州南站第三接近信号后，列车后面信号没有亮红灯，仍然显示列车未进来之前的绿灯。这不符合“故障导向安全”原则。

由于列控中心控制错误，D301 次列车运行经过的 9 个闭塞分区均亮绿灯。同时，由于 5829AG 区段轨道电路故障，导致 D3115 次列车在 5829AG 区段停车 7 min 40 s 后才缓慢前行。列控中心设备先天存在的严重设计缺陷是“7·23”旅客列车事故的重要直接原因。

《3.3 设备上道审查把关不严》

3.3 设备上道审查把关不严

中国铁路列车控制系统（CTCS）使用时间不长，技术标准有待进一步完善。对新研发的设备没有制定技术审查规定。LKD2-T1 型列控中心设备的招标和选型草率，在没有经过现场测试和试用、审查资料不完备的情况下进行了技术预审查，即同意上道使用，使带有重大安全隐患的设备投入运营。

《3.4 应急处理措施不力》

3.4 应急处理措施不力

在信号出现故障之后，运输部门的应急措施很不到位。电务人员违反《铁路信号维护规则》有关规定，未经登记就插拔更换部件，检查几十分钟也未报停用设备。列车调度和车站值班员没有严格执行《车机联控作业》有关规定，没有及时提醒 D301 次列车司机注意运行，失去了制止事故发生的有效时机。

《4 事故重要启示》

4 事故重要启示

“7·23”旅客列车事故给我们敲了警钟，沉痛教训有诸多方面，最根本的是铁路发展存在着不科学、不协调、不可持续的问题。特别是铁路发展理念出现偏差，片面追求“加快发展”和“跨越发展”，没有真正树立“科学发展”和“安全发展”的理念。在铁路建设和运营管理中安全风险意识不强，没有全面建立完整有效的安全风险管理体系。

《4.1 强化铁路新产品研发管理》

4.1 强化铁路新产品研发管理

新产品研发活动具有创造性、继承性和不确定性等特点。研发项目管理的整体框架应包括研发项目战略与规划、流程与组织、资源保证和绩效评价等。遗憾的是，曾为我国铁路通信信号技术进步做出过巨大贡献的中国铁路通信信号集团北京铁路通信信号研究设计院有限公司在 LKD2-T1 型列控中心设备研发上却暴露出管理混乱的问题。

1) 研发项目立项必须经过科学论证。LKD2-T1 型列控中心设备研发背景是：研究单位承担的合肥至武汉客运专线建设合同约定的 K5B 型列控中心设备难以满足合肥站工程建设要求，在本单位现有的 LKD2-T 型列控中心设备升级平台不完善的情况下，未经科学论证，急促上马开发 LKD2-T1 型列控中心设备，并安装在合肥站。

2) 研发项目应由项目部负责实施。组织专业齐备、精干高效的项目部和确定合适的项目负责人（或称项目经理）是决定研发项目成败的关键。项目负责人必须熟悉专业技术，具有研发管理能力，能够统筹、组织、协调和控制研发团队，共同实现研发目标。LKD2-T1 型列控中心设备研发没有正式任命项目负责人，研发文档无人核实签字。

3) 研发项目要按合理流程推进。依据产品总体设计，开展子系统软件、硬件设计，不仅要进行单元测试，还要进行系统测试，不仅要关注功能、性能测试，更要重视关系安全可靠性的故障注入和异常状况测试等。要完成制造与安装，在进行了现场试验并得到确认后再进行系统验收（见图2）。但是，LKD2-T1 型列控中心设备研发过程管理混乱，新产品设计制造的复核、分析、测试和评审等安全质量管理责任未能得到落实，各环节、各层级都没有发现和纠正错误，因此未能从源头上避免事故的发生。

《图2》

图2 新产品开发总体流程

Fig.2 The overall process of the new product development

新产品研发必须加强过程管理，实行有效控制，门径管理（或称阶段门法）就是一种应用较广的新产品开发流程管理模型。该管理方法每一个阶段都设有一个入口，入口就是一道“关卡”，入口控制对流程起到质量控制与选择／淘汰作用。

4) 研发项目要有质量安全监督。按照《中华人民共和国产品质量法》，生产者应对其生产的产品质量负责。《轨道交通可靠性、可用性、可维修性和安全性规范及示例》（GB/T 21562—2008）将产品生产周期划分为 14 个阶段，分别列出了目标、输入、要求、可交付性及验证这５项内容。《轨道交通通信、信号和处理系统信号用安全相关电子系统》（IEC62425/EN50129）对项目或系统涉及的各方面安全职责有明确的责任分工，要求安全完整性等级（SIL）为 4 级的系统或设备，在研发过程中必须要有设计者／执行者、验证员、确认员和评估员，要求提供安全论据，包括质量管理报告、安全管理报告、功能安全和技术安全报告和相关的安全论据及安全结论，然后根据安全评估报告进行安全验收。但是，LKD2-T1 型列控中心设备研发中的质量安全监督基本上处于失控状态。

《4.2 完善铁路新产品准入管理》

4.2 完善铁路新产品准入管理

新研发的首套铁路专用产品通过铁道部相关职能部门组织的成果鉴定或技术评审后，依法应当实施行政许可，按许可程序办理，并应当列入认证产品目录，实行认证管理。

1) 建立铁路产品第三方认证制度。铁路主管部门要制定、公布认证产品目录。构建若干个独立的第三方产品认证机构和检验检测机构，形成公开、公平、公正的市场竞争机制。制定第三方认证机构信用管理办法，把企业信用和投标条件与市场清理挂钩。要制定铁路产品认证规则，按照工厂严格检查—产品抽样监测—获证后监督的模式进行认证。认证机构依法承担对新认证产品安全质量的法律责任。

2) 建立缺陷产品召回制度。企业发现产品设计和制造存在危及安全质量的重大缺陷时，应主动召回缺陷产品。企业获知产品存在缺陷未采取主动召回措施，故意隐瞒产品缺陷，或者以不正当方式处理缺陷产品，铁道部将责令有关企业召回缺陷产品进行整改。企业进行整改后，提供检测试验报告，铁道部组织专家评审或进行综合评审。例如，京沪高速铁路开通运营后，铁道部责令中国北车股份有限公司召回了 54 组 CRH380BL 动车组，整改达标并经第三方验证合格后，分批恢复上行运行，收到了实效。

3) 加强产品质量安全管理和监督。要完善铁路产品技术标准，并将其作为产品质量安全管理和监督的科学依据。按照“谁审批、谁监管”的原则，健全产品质量安全监管制度。不仅要严格进行产品采购标准资格审查，而且要重视对产品的验收把关，还要重视对生产企业的信用监督。做到责任明确、标准统一、制度规范、监管有力。铁道部机关内设机构调整后，进一步明确了科技司、运输局、建设司的具体职责，对上道试验、技术评审、招标审查等做出了严格规定。

《4.3 提高铁路运输应急处置能力》

4.3 提高铁路运输应急处置能力

1) 强化关键设备的安全防护措施。针对这起事故暴露的设备问题，要对正在使用的 CTCS-2、CTCS-3、计算机联锁等设备进行全面检查、整治。建立仿真测试平台，进行各项设备功能性、安全性测试，并开展预防多种故障耦合的研究；开展列车追踪预警系统研究，当两列车相距 10 km 以下时，向列车司机发出报警信号，以便及时采取控制运行措施；在 CTC 终端，增加列车丢失报警信号，丢车 15 s 以上即发出报警提示；拓展铁路无线通信宽带（6 M），研究解决 GSM-R 间断脱网问题，提高无线通信可靠度；开展防雷风险评估，构筑雷电综合防护体系，提高保护设备和抗干扰能力；关注设备自动监测信息，及时妥善地做出应急处理。

2) 完善非正常情况下的运输管理制度。在系统总结经验教训的基础上，研究修订有关铁路技术管理、运输调度等方面的规章制度。例如，列车调度员管理跨度过大，许多方面常常难以顾及，更难精心指挥。对“非正常情况”下的行车办法应有更加明确、更加严格的要求。如果列车调度员在 D3115 次列车未到达温州南站前，不下达 D301 次发车命令；如果温州南站值班员在设备出现故障的情况下，及时同 D301 次列车司机进行车机联控；如果温州南站电务维修人员在拔插检查故障设备前，先办理设备停用手续，都有可能防止或减轻列车追尾事故。铁道部针对这一教训进行了整改，已于 2012 年初做出明确规定：在 CTC 区段、调度所及车站 CTC 设备均不能正确显示列车占用状态、区间列车占用丢失、闭塞分区非列车占用红光带、区间通过信号机故障等非正常情况下，列车调度员应立即通知有关列车司机停车，通知设备部门对故障进行检查处理，按照设备部门登记的放行列车条件放行列车。

3) 改进事故现场救援管理。在铁道部（或铁路局）和当地政府领导下，统一组织事故救援处理，包括搜救受伤人员、调查事故原因、起复受损设备、善后处理等。但不能片面理解为这是一起铁路自身的交通事故，铁道部（或铁路局）就可以自行处理。事故发生后有３件事成为社会关注热点：一是关于“埋车”问题。铁路局在确认桥下事故车辆人员搜救工作已经完成、现场勘察已经结束且“黑匣子”已经取出的情况下，拟挖坑就地掩埋残车，后因有人反对未实施。事故调查组对此专门做了调查，最后向社会公布：铁路救援人员的动机是整理 300 t 吊车作业场地，没有“掩盖事故真相”之嫌。二是关于开通线路问题。按照《中华人民共和国突发事件应对法》第五十九条和《铁路交通事故应急救援及调查处理条例》（国务院令第 501 号）第六条的要求，在做好应急救援、事故现场清理后应“尽快修复损坏的设施”并“应尽快恢复铁路正常行车”。社会上认为事故原因未查明，过早开通线路难保安全。经事故调查组核实，铁路方面已采取了相关的安全防范措施，可以确保恢复行车后的安全。三是关于信息发布问题。铁路方面事故处理信息发布不够慎重，引起媒体过度炒作，包括前述的“埋车”和“开通线路”，在一定程度上都属于宣传和信息沟通不畅导致社会公众产生误解。这些问题都值得研究改进。

4) 加强铁路运营人员培训。铁路运输安全管理的要素主要是设备、制度、环境、人员。列车控制从“人控为主”，发展到“人机结合”，再到目前我国高速铁路主要采用的“机控优先”方式，以车载信号取代了地面信号，这对运营人员提出了更高更严的要求。铁道部对高铁动车组司机、高铁调度员等有基本的素质要求，并组织集中理论培训、岗位理论培训、实作技能培训。对考试考核合格者颁发证书，实行持证上岗，这是十分必要的。但是，由于我国高速铁路发展快，对运营人员需求量大，而我国高速铁路运营时期不长，缺乏应对各种复杂情况的运营管理经验。“7·23”事故反映出运营管理人员应急管理能力很不适应实际需求的状况，因此今后应特别加强对“非正常情况”下的应急处置能力的培训。

《4.4 科学有序推进铁路建设》

4.4 科学有序推进铁路建设

近几年，我国铁路建设取得了举世瞩目的巨大成就，同时也存在一些值得重视的突出问题。如投资规模增长过猛、建设标准相互攀高、工期一再盲目压缩等，这给铁路健康发展带来了不良影响，必须坚决纠正。

1) 建设规模要适度。“十五”期间（2001—2005 年），我国铁路基建投资总计为 3 145.26 亿元，多数年份为 500 亿元左右。“十一五”期间（2006—2010 年），铁路基建投资总计为 19 787.09 亿元（见表 1），其中2006 年为 1 542.5 亿元，2010 年增加到 7 074.59 亿元。铁路建设应适度超前，但规模过大也是不可持续的。2010 年铁路基建投资的借贷资金占 59.70 % 。2011 年基建投资计划 5900 亿元，实际完成4 690 亿元。2011 年底，铁路资产负债率已达 60.63 %，新增借贷使资金来源面临很大困难。同时，建设单位管理力量不足，合资铁路公司从 2002 年的 26 家猛增至 2010 年底的 180 家。设计、施工、监理队伍难以应对，存在违法转包、分包等现象，给质量安全带来很大威胁。

《表1》

表1 2006—2010 年铁路建设资金来源组成

Table1 The composition of the railway construction funding sources for 2006—2010

注：地方铁路为 108.82亿元

2) 建设标准要合理。各项目建设标准应根据经济社会发展、自然环境条件、在路网和综合运输体系中的作用以及人民群众多层次的出行需要等，通过进行技术、经济等综合比较确定。一般而言，300~350 km/h 的速度主要适用于客运量大、运距长的高速铁路骨干通道，高速铁路延伸线路可按 200~250 km/h设计。相当一部分干线应按客货并重建设，时速为 200 km/h 及以下。在经济发达、人口稠密的地区建设城际高速铁路，由于客运量较大，运距不长且停站较多，所以一般选择 200~250 km/h 的速度。建设时机要充分考虑国家有关规划、经济社 会发展进程及潜在的需求等。最近几年的铁路建设 中，有些项目存在着建设标准过高、投资时机过早的 问题，已引起铁道部高度重视。

3) 工期安排要科学。项目建设总工期应根据 关键技术、控制工程施工方案、资源配置能力等进行 综合研究，参照类似工程进行对比，不断优化工期、投资，做出科学合理的安排。对于建设工期安排过紧的问题，各方面反应都很强烈。很多项目都是全线同时开工，需要大量人力、物资和设备投入，工程设施监测、设备安装调试时间很短。国外高铁项目总工期多在5~6年以上，而我国一些高铁项目总工期仅为 2~3 年时间（见表 2）。有的项目工期管理存在随意性，不顾条件盲目提前开通，导致赶进度、抢工期，弱化了质量安全管理。

《表2》

表2 高速铁路项目实际工期

Table 2 The actual duration of the high-speed rail project

4) 竣工验收要严格。验收交接工作中，往往比较重视验收文件资料的完整性，在检查真实性、准确性方面要求不具体，下功夫也很不够。设备安装完成后联调联试时间较短，不载人模拟试运行时间也短，因此有些问题未能完全暴露出来。有的项目遗留不少未完工程，检查提出需要解决的问题也没有整改到位，因此这方面应做出更加严格的规定。按现行办法，铁道部对客运专线静态验收、动态验收合格成果进行检查和确认，做出初步验收结论后，由铁道部安全监察部门组织安全评估。研究认为，这种管理模式应当改进。从我国高速铁路发展和实施“走出去”战略需要出发，根据国家安全行业强制性标准《安全评价通则》（AQ 8001—2007）和国家安监总局《安全评价机构管理规定》（安监总局令第 22 号）等要求，建议成立具有独立法人资格且具备国家相关资质的铁路安全评估机构，经过第三方安全评估合格的铁路方可开通运营。