震惊

作者： 南方周末记者 柴会群

铁道系统内部核心人士介绍，“7·23”动车追尾事故原因初步查明，只待有关方面权威发布。

信号系统地面设备本身的设计问题使雷击造成的故障升级，红码发成绿码，错误发出绿灯信号，引导D301前行追尾。

从23日20：25开始，一系列似乎合理的复杂调度实际上把两辆动车放到了危险的悬崖边，而信号设备的故障最终把两车推下了悬崖。

“必须出现”的红灯

事发5天了，寿达山仍然对他看见的那一幕困惑不已：前面的那辆火车为什么突然停下来？

寿达山是“7·23”动车追尾事故当地若干目击者之一。事故发生地位于温州双屿镇下岙村，这里是温州城郊的一个“城中村”，村民们与数倍于村民的外来务工者聚集此处。来自安徽宿州的寿达山在一个鞋厂上班， 他的厂子离出事地点不到一百米。

“前面的那辆车” 就是D3115，7月23日20：23，列车停在了高架桥上。在其后12公里的永嘉站，是另一辆动车D301。距离两车追尾的惨剧发生，还有最后的8分钟。

一份网上流传的火车 “调度记录”详细描述了事故发生前这一段复杂惊险且令专业人士费解的调度作业过程。南方周末分别向多位有关专家、温州南站相关负责人求证，基本认可这份记录的真实性。

根据这份调度记录，可以还原两车的行驶状态。在此之前，温州南站发现永嘉方向下行来车三接近(临近车站的三个闭塞分区，约5-6公里)电路出现红光带(无理由全部显示为红灯的故障 ) 。因此调度布置温州南站与永嘉站均转入非常站控。

据了解，事故线路使用CTCS-2列控设备，正常情况下列控设备会将铁路隔成若干区间，一个区间理论上只能放入一辆列车，列车进入后，区间尾部信号灯将显示红光。同时，铁道信号设计采取的是 “故障导向安全原则”，即假如出现故障问题，则自动导向安全一方的技术原则。假如地面信号系统损坏，无法发现列车信息， 则该区间永远显示红灯。

D3115与D301此时都已被调度呼叫转入非常站控模式运行——非常站控意味着区间信号故障，但出于效率需要，要维持一部分行车。通俗地说，两车都将以调度授权，人工结合信号的方式行驶。

事后分析，极有可能是由于调度与信号结合过程中出现的双重错误，导致追尾。

当晚为雷雨天气，来自铁道方面较早的说法，D3115 停车是因为遭受雷击。“动车遭到雷击后失去动力停车， 造成追尾。”

“雷击说” 甫一出笼，即引起广泛质疑——即使因雷击导致前面动车失去动力停车，由于动车有自动防护系统 (ATP)，后面的车也不应该撞上，而是在距其一定距离时自动刹车。西南交通大学信息科学与技术学院副院长郭进告诉记者，“正常情况下，由于动车的速度很快，所以不能靠人来进行车速的控制，而是ATP设备自动控制车速保障安全。”

事实上， 在京沪高铁刚开通的三起事故中，虽然有一起事故因雷雨天气导致。但据专家分析影响的其实是风而并非雷电。一位有着20年驾龄的火车司机对南方周末记者称， 他的开车生涯中从未碰过到因雷击导致的停车事故。

而对D3115的行驶状态进行分析，在停车之前，D3115从永嘉站出发，8分钟内行驶12公里，平均时速近100公里，最高时速接近200公里。雷击丧失动力一说显然不能成立。

按照寿达山的描述，前面的动车(D3115)缓缓驶上高架桥而后停止。尽管每天有数十辆动车从头上飞驰，但停车的情况此前却从未发生。寿达山心里升起不祥预感：别出什么事吧？

20：25，D3115再度缓缓开行。按照调度授权，司机以目视模式闯红灯行驶，按规定时速20公里。在6分钟之内，列车向前行驶了2公里。

几乎在D3115重新启动的同时，后方停靠永嘉站的D301也接到调度指令重新开车。但和给D3115的指令不同，调度并未授权D301目视闯红灯，而是接触红光带后按信号行驶，也就是说，当信号显示红灯，D301必须停车等待。

调度的设想是，让D3115先目视闯红灯驶过红光带，D301则在红光带前停车，待确认D3115已经进站，再授权D301目视驶过红光带。

这里的关键在于，D3115车后区间的信号，必须是红灯，这样D301才会按信号停车。

在调度的计划中，那盏红灯理所当然地会出现——整个信号系统正在检修之中，修复之前一定显示红灯。那盏红灯也必须出现，它实际已经成为D3115和D301两个庞然大物之间最后的屏障。

2011年7月24日，浙江苍南县壹加壹应急救援中心空中搜救队航拍温州动车脱轨事故的救援工作。 (陈斌/图)

调度 “潜规则”

D301上的乘客傅丽娟原本打算乘坐Z60，一趟北京直达福州的火车。但是她发现，高铁开通后就买不到这趟车的车票了。她只能多花超过一半的钱买D301的二等座票。

D301先后经过几段不同线路，在京沪之前走京沪高铁。不过，在傅丽娟看来，在京沪高铁线上，D301似乎是 “二等公民”：“从济南之后就开始晚点，到南京时晚了有半小时”。有长期乘车经验的乘客告诉傅丽娟，这是因为京沪高铁线路上首先要保证高铁的速度和正点率，动车必须为高铁让路。

南方周末记者在这趟车的运行图上发现，其在京沪线上最长停站时间达25分钟。这对动车组而言极为罕见。在 “7·23” 追尾事故之前，京沪高铁正饱受非议，开通后四天内发生三起故障，导致高铁一度大面积停运。

在乘客们的抱怨声中，D301一路驶过京沪线，过了上海、杭州，便驶入繁忙的甬温铁路线。

2008年建成的甬温铁路于2009年10月开通动车组。短短一年半里，其开通的动车车次由7对增加到30对。不少动车相互间隔时间在10分钟以内。业内人士清楚，车次越多，间隔时间越短，铁路调度的难度和压力也就越大。

D301的乘客们还对在永嘉站停车不解，实际上它在永嘉并不需要停靠。

同样感到奇怪的还有D3115车16号车厢乘客宋建新。他乘坐的火车在永嘉进站后不久，旁边车道很快驶来另一辆动车D301。宋建新之所以注意这辆车， 是因为他发现这辆车的车厢都是卧铺， 但乘客却都坐着。

D3115在D301之前开走，这一事实在后来曾引起广泛质疑——按照列车时刻表，它本应在D301后面。

前文所提火车司机对南方周末记者解释，此行车安排应由位于上海铁路局的列车调度员决定，它也符合铁路系统的 “潜规则”：D301晚点起自济南局而非上海局，而统计列车晚点的指标是按趟数而非晚点程度来计算，由于D301已经晚点，调度员索性让它再晚一点，给D3115让路，以尽力保证后者不晚点。这样虽然D301会晚点更多时间，但在统计上，晚点趟数却只有一趟。

此外，铁道论坛上一位参与讨论的资深版主徐先生称，2006年京九线发生追尾事故后，铁道部曾作出规定，如发生信号故障，一律按站间闭塞办理，就是说两站之间仅容一辆车通过。具体到事发情况，也就是在让D3115从永嘉站开出后，D301在其抵达温州南站前绝不发车。然而，事实相反，后车在前车未到站前即出发。

徐先生认为，调度员之所以违规将D301放行，目的可能除了让整个过程省时间外，同时过于迷信ATP，以为有了这个系统，两车就不可能追尾。

灾难的因素似乎正是从此次行车顺序调整萌发，这导致其后两车都必须以复杂的非常规的方式通过温州南站前的区间。D3115于当晚20：15从永嘉站开出。9分钟后，20：24，D301从永嘉站沿同样线路开出。从现在起，两车的每一次停止与启动，都将关系到一场灾难是否发生。

最关键的环节都出事了

对于任何铁路专业人士而言，动车组相撞都是不可思议的事情。因为动车组装有自动防护系统 (ATP)，如果后车迫近前车，系统将会自动导致后车停车，司机 “就是想撞也撞不上”。据《东方早报》报道，中国工程院院士、国家铁路建设高级顾问王梦恕表示，中国高铁在控制系统、信号系统方面很成功，能保证后面不追尾、前面不撞车。

那么，这起不可思议的事故究竟如何发生的？南方周末记者由铁道系统内部核心人士了解到，事故原因已经基本查明，其中调度方面有着难以推卸的责任，而信号系统也在最为关键的时刻出现了最致命的错误。

回到灾难前的20：25，D3115开始目视缓慢通过红光带。

据西南交通大学信息科学与技术学院副院长、信号系统专家郭进分析， 非常站控后，授权列车遇到红灯改为目视模式是正常情况，虽然地面信号系统出现问题也属信号故障，但这种情况也在铁路列控系统的设计框架内，所以D3115与调度员联系后以限速20公里行驶没有问题。

但D301却为何从D3115车后驶来？那盏 “必须出现的红灯” 为什么在最为关键的时刻消失了？

根据铁道系统内部核心人士所透露的事故初步原因，在两车同时前进时，雷电把甬温线一处铁路信号系统地面设备保险打断，按照要求，地面设备出现故障后应 “导向安全”， 即“发出红灯信号”；但由于地面设备电路设计本身存在问题，结果造成故障升级，迂回电路错误发码，红码发成绿码，即 “发出绿灯信号”， 原本出现故障后应自动亮出的停车红灯变成了行车绿灯。

据铁道系统内部消息，负责该事故路段地面设备电路设计的公司是中国铁路通信信号集团，“通号” 是铁路信号领域的大鳄。

目前全路都在紧急更改电路设计，铁道部估计一两天内全线电路能够修改完毕。但该人士担心，由于是设计不成熟导致的问题，所以不确定除了该故障外是否还存在其他设计纰漏。

另外，除此技术原因外，铁道系统内部认为应还有其他人为因素叠加造成 “7·23” 动车悲剧，尤其是已经遭到广泛质疑的调度问题。

7月25日，新任上海铁路局局长安路生在该局电视电话会议上的讲话在某种程度上印证了南方周末得到的消息。安在 “重点强调” 的一点中如此提到：“……设备故障时， ……必要时要采取停车措施。”“……出现红光带，第一暂定按站间办理行车； 第二由调度集中区段转为非常站控时， 必须经调度所值班主任准许、 确认车站盯控人员到岗后， 方可转换。”“……要把设备故障当成发生严重事故来对待……行车部门不要盲目指挥行车。”

此外，事故发生后，上海铁路局除原局长龙京外，副局长何胜利亦被免职——何分管的领域正是工务电务。

D301得到的调度指令是按照信号行驶，此时前方一路绿灯，司机应该据此认为前方D3115已经进入温州南站，前方区间畅通，因此正常高速行驶。从永嘉站到出事地点约14公里，D301只跑了约7分钟，平均时速120公里， 最高时速接近200公里。

在D301这个飞速的庞然大物之前，最后一道技术屏障消失了。挽救两车乘客性命的，此时只剩下最后一个可能：调度控制室内本应可以看到逐渐靠拢的两车，还可以通过无线电呼叫停车。

但无线电呼叫为何没有发生？目前对于调度室内所发生的问题仍在调查之中，一种分析认为，为了让D3115目视通过红光带，调度命令司机关闭信号系统前进，而关闭后不再报告列车位置，D3115在调度控制室内就此消失。

再没有任何可以阻挡悲剧发生的可能了。从23号20：25开始，一系列似乎合理的复杂调度实际上把两辆动车放到了致命的悬崖边上，而信号设备的故障则把两车最终推下了悬崖。

D301开了过来，它显然没有遇到那个 “必须出现的红灯”。20： 31，D301驶上桥面， 司机似乎已经刹车。但显然为时已晚——D3115正在以更慢的20公里时速爬行。

目击者寿达山眼睁睁看着D30撞上了前面的D3115，“后面的火车像骑马一样，撞完后 ‘骑’ 到前面车的上面， 然后几节车厢翻下桥去”。

根据事故后现场勘查，两车相撞后，后车D301车头爬上前车的尾车16号车厢，16号车瞬间被压垮塌陷，遇难乘客多来自这一节车厢。接着D301的前四节车厢跟着爬上D3115，再从桥左侧护栏掉下高架桥。对于被压垮的16号车以及掉下高架桥的4节车厢里的很多人来说，这短短的几秒钟， 即是他们人生的最后一瞬。(黄金萍、 舒眉亦有贡献)

“7·23”动车事故技术原因

《南方周末》记者从铁路内部可靠人士处独家获悉，“7·23”动车特别重大铁路交通事故的技术原因已初步查清。

诱因是雷电把甬温线一处铁路地面设备保险打断，本来按常规，出现故障后应“导向安全”，但由于电路设计存在问题，结果造成故障升级，迂回电路错误发码，红码发成绿码，原本出现故障后应自动亮出的停车红灯变成了行车绿灯。

据称，负责该事故路段地面设备电路设计的公司是中国铁路通信信号集团，“通号”是铁路信号领域的大鳄。

该消息人士透露，目前全路都在紧急更改电路设计，铁道部估计一两天内全线电路能够修改完毕。但该人士担心，由于是设计不成熟导致的问题，所以，不确定除了该故障外是否还存在其他设计纰漏。

7月28日，北京全路通信信号研究设计院网站刊出道歉信。全路通为通号集团旗下公司，负责该工程整个通信信号系统集成建设项目。

除了设计的因素之外，调度也应负有责任。在调度控制室，工作人员可以看到发生事故的两列班车，本可以通过车站的无线电呼叫，防止事故发生。

沪铁路局：温州南站信号设备设计存缺陷

据新华网7月28日报道，上海铁路局局长安路生说，根据初步掌握的情况分析，“7·23”动车事故是由于温州南站信号设备在设计上存在严重缺陷，遭雷击发生故障后，导致本应显示为红灯的区间信号机错误显示为绿灯。

安路生当天在温州召开的国务院“7·23”甬温线特别重大铁路交通事故调查组全体会议上说，存在设计缺陷的信号设备由北京一家研究设计院设计，2009年9月28日投入使用。

他在分析铁路部门的问题时说，在雷击造成温州南站信号设备故障后，电务值班人员没有意识到信号可能错误显示，安全意识敏感性不强；温州南站值班人员对新设备关键部位性能不了解，没能及时有效发现和处置设备问题，暴露出铁路部门对职工的教育培训不到位。

安路生还说，事故反映出现场作业控制不力，温州南站电务值班人员未按有关规定进行故障处理，没能有效防止事故的发生；事故反映出的设备质量、人员素质、现场控制等问题，说明铁路部门的安全基础还比较薄弱，这些问题反映出铁路部门的安全管理不到位。

值得关注的是，新华网7月24日公布的铁道部党组予以免职的人员名单中，除了上海铁路局局长龙京和党委书记李嘉，就包括了分管工务电务的副局长何胜利。

此外，新华网消息显示，在7月28日上午召开的“7·23”甬温线特别重大铁路交通事故调查组全体会议上，国家安全监管总局局长骆琳公布了事故调查组、专家组名单，其中骆琳任调查组组长，专家组组长由一名院士担任。

与此相关，新华网7月27日的消息称，最高人民检察院有关部门负责人确认，国务院“7·23”甬温线特别重大铁路交通事故调查组成立后，最高人民检察院已派员赶赴温州参与事故调查工作。