專家談安全設(shè)計(jì)：溫州動(dòng)車事故6個(gè)關(guān)鍵環(huán)節(jié)的可靠性設(shè)計(jì)教訓(xùn)

　　以下是溫州動(dòng)車事故的幾個(gè)關(guān)鍵環(huán)節(jié)：

　　環(huán)節(jié)1：2011年7月23日19時(shí)30分，雷擊溫州南站沿線鐵路牽引供電接觸網(wǎng)“或”附近大地，通過(guò)大地的阻性耦合“或”空間感性耦合在信號(hào)電纜上產(chǎn)生浪涌電壓，在多次雷擊浪涌電壓和直流電流共同作用下，LKD2-T1型列控中心設(shè)備采集驅(qū)動(dòng)單元采集電路電源回路中的保險(xiǎn)管F2（以下簡(jiǎn)稱列控中心保險(xiǎn)管F2，額定值250伏、5安培）熔斷。

　　教訓(xùn)：在本段用了兩個(gè)“或”字，意即調(diào)查組本身也并不清楚。這樣一點(diǎn)作為結(jié)論性評(píng)語(yǔ)，有著致命的問(wèn)題，因?yàn)閷?duì)后續(xù)的問(wèn)題解決沒(méi)有任何確信的有價(jià)值幫助。航天科研中，在推行“歸零管理”，分為技術(shù)歸零和管理歸零。分別從技術(shù)方案和管理流程上徹底杜絕同一類問(wèn)題的發(fā)生。技術(shù)歸零分五點(diǎn)“定位準(zhǔn)確、機(jī)理清楚、故障再現(xiàn)、措施有效、舉一反三”，就是完成一個(gè)技術(shù)歸零報(bào)告，報(bào)告的內(nèi)容共分為五章，標(biāo)題和內(nèi)容分別為這五部分。大家想想看，如果對(duì)這個(gè)斷語(yǔ)，“定位準(zhǔn)確”是信號(hào)電纜的浪涌電壓沒(méi)問(wèn)題，耦合路徑的機(jī)理呢沒(méi)確定，當(dāng)然故障再現(xiàn)及其后的部分內(nèi)容，本報(bào)告重在追查責(zé)任，并未涉及整改措施。歸零管理企業(yè)可以參考使用。

　　環(huán)節(jié)2：熔斷前溫州南站列控中心管轄區(qū)間的軌道“無(wú)車占用”，因溫州南站列控中心設(shè)備的嚴(yán)重缺陷，導(dǎo)致后續(xù)時(shí)段實(shí)際有車占用時(shí)，列控中心設(shè)備“仍按照熔斷前無(wú)車占用狀態(tài)進(jìn)行控制南站列控中心輸出”，致使溫州設(shè)備控制的區(qū)間信號(hào)機(jī)錯(cuò)誤升級(jí)保持綠燈狀態(tài)。

　　教訓(xùn)：按照安規(guī)的設(shè)計(jì)準(zhǔn)則，“單一故障狀態(tài)下，系統(tǒng)輸出應(yīng)該是安全的”，這里的單一故障是熔斷，系統(tǒng)輸出的安全在這里是：信號(hào)應(yīng)該是禁行的紅燈信號(hào)，最起碼也應(yīng)該是無(wú)信號(hào)或紅綠都亮的紊亂信號(hào)，前者提示禁行，后兩者起碼能對(duì)駕駛員造成疑問(wèn)。

　　也就是說(shuō)，在這個(gè)故障發(fā)生后，保險(xiǎn)絲斷掉所引起的信號(hào)不能及時(shí)更新的問(wèn)題，應(yīng)能被及時(shí)的監(jiān)測(cè)到，并提示報(bào)警，具體的設(shè)計(jì)方法在軟件和硬件上都有措施，私下來(lái)探討。

　　關(guān)于“單一故障下，系統(tǒng)輸出應(yīng)該是安全的”這個(gè)問(wèn)題，安全性包括了三部分：系統(tǒng)對(duì)人的安全性影響、對(duì)周邊關(guān)聯(lián)設(shè)備和環(huán)境的安全性影響、對(duì)整機(jī)設(shè)備自身的安全性影響。一旦出現(xiàn)問(wèn)題，保證這三部分的安全是第一位重要的。在本例中，系統(tǒng)輸出的安全就是給出危險(xiǎn)提示。為說(shuō)明此問(wèn)題，舉例說(shuō)明：

　　以繼電器的控制為例，假設(shè)繼電器通過(guò)控制給電機(jī)的供電來(lái)保證執(zhí)行機(jī)構(gòu)的運(yùn)行，那么繼電器選擇常開觸點(diǎn)還是常閉觸點(diǎn)？一般的考慮出發(fā)點(diǎn)是控制電路的功耗，即看繼電器是工作導(dǎo)通的時(shí)間長(zhǎng)還是斷開的時(shí)間長(zhǎng)，如果導(dǎo)通的時(shí)間長(zhǎng)，則選擇常閉觸點(diǎn)的繼電器，這樣繼電器線圈控制電功率消耗會(huì)降低。但從安全性設(shè)計(jì)的角度考慮，選型結(jié)果未必還是這樣。在發(fā)生單一故障時(shí)（這里的單一故障假設(shè)為控制電路對(duì)繼電器的控制信號(hào)因線纜斷開而失靈），電機(jī)所帶動(dòng)的執(zhí)行機(jī)構(gòu)不可以有危險(xiǎn)輸出，即繼電器在沒(méi)有控制信號(hào)的情況下，處于斷開狀態(tài)為佳（即為常開觸點(diǎn)），如此則電機(jī)會(huì)停止輸出，減少危害的可能性。

　　但實(shí)際上，在設(shè)計(jì)的時(shí)候，基于安全性設(shè)計(jì)的考慮，并不是所有的繼電器都要選擇常開觸點(diǎn)的，這要服從于對(duì)單一故障類型的狀態(tài)、以及危險(xiǎn)輸出的定義。如果繼電器控制的是一個(gè)保護(hù)裝置，防止危險(xiǎn)輸出的方法就是保護(hù)裝置確保處于有效狀態(tài)，即繼電器控制信號(hào)斷開的時(shí)候，繼電器須能保證保護(hù)裝置處于被供電狀態(tài)（即選擇常閉觸點(diǎn)繼電器）。

　　環(huán)節(jié)3：雷擊還造成軌道電路與列控中心信號(hào)傳輸?shù)?a target="_blank">CAN總線阻抗下降，使5829AG軌道電路與列控中心的通信出現(xiàn)故障，造成5829AG軌道電路發(fā)碼異常，在**、檢測(cè)碼、綠黃碼間無(wú)規(guī)律變化。

　　教訓(xùn)：關(guān)鍵鏈路單節(jié)點(diǎn)的可靠性串聯(lián)結(jié)構(gòu)隱患較大。軌道電路和列控中心之間既然如此重要，數(shù)據(jù)傳輸就需要并聯(lián)結(jié)構(gòu)互補(bǔ)一下。

　　環(huán)節(jié)4：19時(shí)54分，張華發(fā)現(xiàn)調(diào)度所調(diào)度集中終端（CTC）顯示與現(xiàn)場(chǎng)實(shí)際狀態(tài)不一致（溫州南站下行三接近在溫州南站計(jì)算機(jī)連鎖終端顯示“紅光帶”，但調(diào)度所CTC沒(méi)有顯示“紅光帶”），即按規(guī)定布置永嘉站、溫州南站、甌海站將分散自律控制模式轉(zhuǎn)為非常站控模式。