專家談安全設(shè)計(jì)：溫州動(dòng)車事故6個(gè)關(guān)鍵環(huán)節(jié)的可靠性設(shè)計(jì)教訓(xùn) - 全文

　　以下是溫州動(dòng)車事故的幾個(gè)關(guān)鍵環(huán)節(jié)：

　　環(huán)節(jié)1：2011年7月23日19時(shí)30分，雷擊溫州南站沿線鐵路牽引供電接觸網(wǎng)“或”附近大地，通過大地的阻性耦合“或”空間感性耦合在信號(hào)電纜上產(chǎn)生浪涌電壓，在多次雷擊浪涌電壓和直流電流共同作用下，LKD2-T1型列控中心設(shè)備采集驅(qū)動(dòng)單元采集電路電源回路中的保險(xiǎn)管F2（以下簡稱列控中心保險(xiǎn)管F2，額定值250伏、5安培）熔斷。

　　教訓(xùn)：在本段用了兩個(gè)“或”字，意即調(diào)查組本身也并不清楚。這樣一點(diǎn)作為結(jié)論性評(píng)語，有著致命的問題，因?yàn)閷?duì)后續(xù)的問題解決沒有任何確信的有價(jià)值幫助。航天科研中，在推行“歸零管理”，分為技術(shù)歸零和管理歸零。分別從技術(shù)方案和管理流程上徹底杜絕同一類問題的發(fā)生。技術(shù)歸零分五點(diǎn)“定位準(zhǔn)確、機(jī)理清楚、故障再現(xiàn)、措施有效、舉一反三”，就是完成一個(gè)技術(shù)歸零報(bào)告，報(bào)告的內(nèi)容共分為五章，標(biāo)題和內(nèi)容分別為這五部分。大家想想看，如果對(duì)這個(gè)斷語，“定位準(zhǔn)確”是信號(hào)電纜的浪涌電壓沒問題，耦合路徑的機(jī)理呢沒確定，當(dāng)然故障再現(xiàn)及其后的部分內(nèi)容，本報(bào)告重在追查責(zé)任，并未涉及整改措施。歸零管理企業(yè)可以參考使用。

　　環(huán)節(jié)2：熔斷前溫州南站列控中心管轄區(qū)間的軌道“無車占用”，因溫州南站列控中心設(shè)備的嚴(yán)重缺陷，導(dǎo)致后續(xù)時(shí)段實(shí)際有車占用時(shí)，列控中心設(shè)備“仍按照熔斷前無車占用狀態(tài)進(jìn)行控制南站列控中心輸出”，致使溫州設(shè)備控制的區(qū)間信號(hào)機(jī)錯(cuò)誤升級(jí)保持綠燈狀態(tài)。

　　教訓(xùn)：按照安規(guī)的設(shè)計(jì)準(zhǔn)則，“單一故障狀態(tài)下，系統(tǒng)輸出應(yīng)該是安全的”，這里的單一故障是熔斷，系統(tǒng)輸出的安全在這里是：信號(hào)應(yīng)該是禁行的紅燈信號(hào)，最起碼也應(yīng)該是無信號(hào)或紅綠都亮的紊亂信號(hào)，前者提示禁行，后兩者起碼能對(duì)駕駛員造成疑問。

　　也就是說，在這個(gè)故障發(fā)生后，保險(xiǎn)絲斷掉所引起的信號(hào)不能及時(shí)更新的問題，應(yīng)能被及時(shí)的監(jiān)測到，并提示報(bào)警，具體的設(shè)計(jì)方法在軟件和硬件上都有措施，私下來探討。

　　關(guān)于“單一故障下，系統(tǒng)輸出應(yīng)該是安全的”這個(gè)問題，安全性包括了三部分：系統(tǒng)對(duì)人的安全性影響、對(duì)周邊關(guān)聯(lián)設(shè)備和環(huán)境的安全性影響、對(duì)整機(jī)設(shè)備自身的安全性影響。一旦出現(xiàn)問題，保證這三部分的安全是第一位重要的。在本例中，系統(tǒng)輸出的安全就是給出危險(xiǎn)提示。為說明此問題，舉例說明：

　　以繼電器的控制為例，假設(shè)繼電器通過控制給電機(jī)的供電來保證執(zhí)行機(jī)構(gòu)的運(yùn)行，那么繼電器選擇常開觸點(diǎn)還是常閉觸點(diǎn)？一般的考慮出發(fā)點(diǎn)是控制電路的功耗，即看繼電器是工作導(dǎo)通的時(shí)間長還是斷開的時(shí)間長，如果導(dǎo)通的時(shí)間長，則選擇常閉觸點(diǎn)的繼電器，這樣繼電器線圈控制電功率消耗會(huì)降低。但從安全性設(shè)計(jì)的角度考慮，選型結(jié)果未必還是這樣。在發(fā)生單一故障時(shí)（這里的單一故障假設(shè)為控制電路對(duì)繼電器的控制信號(hào)因線纜斷開而失靈），電機(jī)所帶動(dòng)的執(zhí)行機(jī)構(gòu)不可以有危險(xiǎn)輸出，即繼電器在沒有控制信號(hào)的情況下，處于斷開狀態(tài)為佳（即為常開觸點(diǎn)），如此則電機(jī)會(huì)停止輸出，減少危害的可能性。

　　但實(shí)際上，在設(shè)計(jì)的時(shí)候，基于安全性設(shè)計(jì)的考慮，并不是所有的繼電器都要選擇常開觸點(diǎn)的，這要服從于對(duì)單一故障類型的狀態(tài)、以及危險(xiǎn)輸出的定義。如果繼電器控制的是一個(gè)保護(hù)裝置，防止危險(xiǎn)輸出的方法就是保護(hù)裝置確保處于有效狀態(tài)，即繼電器控制信號(hào)斷開的時(shí)候，繼電器須能保證保護(hù)裝置處于被供電狀態(tài)（即選擇常閉觸點(diǎn)繼電器）。

　　環(huán)節(jié)3：雷擊還造成軌道電路與列控中心信號(hào)傳輸?shù)?a target="_blank">CAN總線阻抗下降，使5829AG軌道電路與列控中心的通信出現(xiàn)故障，造成5829AG軌道電路發(fā)碼異常，在**、檢測碼、綠黃碼間無規(guī)律變化。

　　教訓(xùn)：關(guān)鍵鏈路單節(jié)點(diǎn)的可靠性串聯(lián)結(jié)構(gòu)隱患較大。軌道電路和列控中心之間既然如此重要，數(shù)據(jù)傳輸就需要并聯(lián)結(jié)構(gòu)互補(bǔ)一下。

　　環(huán)節(jié)4：19時(shí)54分，張華發(fā)現(xiàn)調(diào)度所調(diào)度集中終端（CTC）顯示與現(xiàn)場實(shí)際狀態(tài)不一致（溫州南站下行三接近在溫州南站計(jì)算機(jī)連鎖終端顯示“紅光帶”，但調(diào)度所CTC沒有顯示“紅光帶”），即按規(guī)定布置永嘉站、溫州南站、甌海站將分散自律控制模式轉(zhuǎn)為非常站控模式。

　　教訓(xùn)：CTC顯示與現(xiàn)場實(shí)際狀態(tài)不一致能被發(fā)現(xiàn)，很好。這種信息屬于安全關(guān)鍵信息，安全性設(shè)計(jì)里面需要關(guān)注三個(gè)方面：安全關(guān)鍵功能、安全關(guān)鍵信息、安全關(guān)鍵報(bào)警。此三部分的內(nèi)容必須進(jìn)行備份互查也好，加強(qiáng)設(shè)計(jì)也好，總之都是需要關(guān)注的重點(diǎn)。

　　環(huán)節(jié)5：20時(shí)21分46秒至20時(shí)28分49秒，因軌道電路發(fā)碼異常，D3115次列車司機(jī)三次轉(zhuǎn)目視行車模式起車沒有成功。

　　教訓(xùn)：如此重要的功能，應(yīng)屬于單一故障下的安全關(guān)鍵功能，三次轉(zhuǎn)目視行車居然未成功。測試時(shí)是否未進(jìn)行此種單一故障下的測試？

　　環(huán)節(jié)6：20時(shí)22分22秒至20時(shí)27分57秒，D3115次列車司機(jī)6次呼叫列車調(diào)度員、溫州南站值班員3次呼叫D3115次列車司機(jī)，均未成功。

　　20時(shí)28分43秒至28分51秒、28分54秒至29分02秒，D3115次列車司機(jī)兩次呼叫列車調(diào)度員不成功。

　　教訓(xùn)：列車調(diào)度與列車司機(jī)之間的呼叫屬于安全關(guān)鍵功能，難道僅有一種聯(lián)絡(luò)方式？又是可靠性串聯(lián)模型的問題。

　　由以上6個(gè)環(huán)節(jié)的問題可以看出，安全性設(shè)計(jì)的兩大核心問題，單一故障的分析略顯欠缺，單一故障下的測試不足，單一故障下的安全關(guān)鍵功能、安全關(guān)鍵信息、安全關(guān)鍵報(bào)警的設(shè)計(jì)強(qiáng)化不足。系統(tǒng)架構(gòu)的可靠性并聯(lián)結(jié)構(gòu)未采用，如此重要的關(guān)鍵環(huán)節(jié)，成本不應(yīng)屬于主要矛盾，安全性才是。