超速下的脆弱“王国”

温州动车事故现场清场接近尾声，7月24日，最后一节车厢被吊车从高架吊下地面，救援人员将进行最后的清场。当日18:00左右，据现场救援指挥人员介绍，事故清场工作已进入尾声。中新社传真   梁永锋 摄

“非常站控”

　　2011年7月23日夜里，听同事说“车掉道了”，唐凌(化名)告诉记者，他心里当时咯噔了一下。做过动车组随车机械师的他，知道车辆脱轨属于行车中比较严重的事故，因为它会引起线路运输中断。负责管理动车司机的主任此刻刚好和唐凌在一块，主任给据说脱轨的D301次车司机潘一恒打电话，却打不通。“按理说，他身上应该有3套通信设备。一部是铁路上配发的手机，司机室里有一套电话系统，他自己也带着手机。”3部电话都打不通的概率非常小，唐凌说，铁路上的人都知道，此刻“最怕电话没人接，这应该证明司机出事了。但是我们谁也不往那方面想，只要有ATP(列车自动防护系统)，动车是绝对绝对不会出事的”。唐凌说话时不自觉地伸出双手，坚定地往下压，有一次甚至一连说了4次“绝对”，来表达动车组给他们的安全感。

　　对于福州机务段的动车司机们来讲，所有人的想法和唐凌一样。7月31日，在福州机务段的动车车间里，潘一恒的4位同事坐在记者对面，仍然在讲述这件事情有多么不可能发生。在楼梯每一层的拐角处，都张贴着白底红字的醒目标语，比如，“效益人人追求，忽视安全求效益如火中取栗。幸福天天期盼，忽视安全盼幸福如水中捞月”。

　　如果再次回到7月23日那个电闪雷鸣的夜晚，在列车突然相撞前，温州境内的永嘉站只是稍有异常。两辆从北面下行的列车，先后停靠了进来。驾驶D301的潘一恒与驾驶D3115的蒋立(化名)是关系不错的同事，两人都是福州机务段的动车司机。今年7月1日才刚刚开通的D301由北京开往福州，2223km的距离要横跨6个省市，停靠22座城市。D3115从杭州开往福州，行程相对较短。福州段的动车司机在宁波东站上车，接替隶属于上海铁路局的上一班司机。根据安全规定，动车司机的驾驶时间一次不能超过4h，每两次驾驶之间，至少要休息6h。

　　如果准点，D301应该于当日18点20分停靠宁波东站，D3115则是在18点31分停靠。潘一恒与蒋立的上岗时间只相差11min，两人极有可能在宁波东的间休点待命时，能够碰面聊天。潘一恒38岁，身高1.67m，蒋立32岁，个子较高。两人性格都非常温和，潘一恒给人的印象是，“始终是一张笑脸”。

　　从宁波东上岗后，两辆车先后往南下行，按计划，D301驶出宁波东站后，停靠台州站、温岭站、温州南站;对于D3115来说，除了这几站外，在温岭站和温州南站之间，它还要在小站永嘉停靠1min。这天的19点51分，D3115比正常时间晚点4min抵达永嘉站。此时的温州正经历着少见的雷雨天气，永嘉站一位工作人员向我们描述，他在温州待了好几年，这是头一次见到好像要把天都给劈开了的雷电。

　　每天在永嘉站停靠的动车有16趟，D3115是停靠永嘉站的最后一趟动车。这辆车出发后，车站工作人员就在20点下班了。这天D3115却在永嘉站反常地停了24min，按照永嘉站一般工作人员的理解，可能是雷电太大，车辆躲避一阵再前行。

　　但实际情况要复杂些，根据事故后流传出来的《动车事故时相关铁路部门调度室的明细记录》，早在19点39分，温州南站发现电路出现红光带，红光带即铁路上两条铁轨之间的绝缘状态不良，导致铁路信号机显示红灯，反映在信号楼机械室的仪表盘上则是一片红光。如果工务和电务处理得当，事情并不严重。

　　因为红光带出现，温州南站通知工务和电务前往现场检查处理。永嘉站是小站，并不配备工务和电务人员。在它南面的温州南站附近，是上海铁路局直属的温州站基地。当温州南站信号设备出现问题后，温州站基地派出工务和电务人员，往永嘉站方向沿途检修设备。

　　为了应对这个突发状况，19点53分，调度布置温州南站转入非常站控，紧接着19点55分，调度布置永嘉站转为非常站控。铁路系统人士告诉记者，行车调度员是行驶中列车的绝对“老大”，他们就好比公路上的交警。而与公路司机不同的是，由于铁路上弯道、曲线、山洞不少，再加上高速列车的速度非常快，动车司机不可能完全靠目测行驶。所以能够掌握某条线路上相对全局状况的行车调度员，才能得到充分的信息，指挥列车出发、减速缓行或是停车。行车调度员只在每个路局配备，负责路局全路段的行车指挥。

　　两辆车所在的甬台温铁路，属于上海铁路局管辖，该铁路局管辖路段内，只有上海铁路局的调度中心可行使行车调度权。也就是说，此时的D3115和D301由身处上海的行车调度员指挥。按照温州南站站长吕庆祥的解释，温州南站没有调度员，它的总控室只能监控到列车行驶在什么区间段，列车的速度、具体位置等状态监控不到。温州南站的客运总控室，只接受上海铁路局调度中心传送来的列车行驶数据，转换接收。

　　温州南站在永嘉站以南18km，这两个站在行车调度员的指挥下相继转为非常站控。非常站控是线路信号等设备出现故障时进入的模式。因为地面信号系统已经处于故障状态，列车需要切除正常状态下的信号系统，改为司机目视，时速不超过20km。

　　潘一恒的同事赵钢、李立安等向我们解释：“转为非常站控是一种安全系数更高的操作模式，既然时速降到了20km以下，司机对动车的风险就能很好地把握了。”而只要动车在行驶，被视为“保护神”的ATP就不会关闭，ATP被看做除了司机人工操作之外，一个不会出错的智能化保护者。

　　突发状况出现后，D3115和D301都被调度到了永嘉站停靠。对司机潘一恒和蒋立来说，只要红光带的问题处理得当，他们会在接到命令后先后出发，一前一后驶向目的地福州。

　　按照常规，D301应该行驶在D3115列车的前面，但是这天D301晚点较多，调度员让D3115于20点15分从永嘉站优先开车。7分钟后，调度员通知D301次从永嘉站开车。

　　两位司机也都明白车站转为非常站控，据铁路人士分析说，调度员把两辆列车放入同一区间，本来是相对危险的。但是调度员只授权前车D3115的司机可以目视闯红灯，后车D301并未授权闯红灯。按照常理，在电务人员没有修好信号系统之前，信号灯是导向安全的，也就是说信号灯只会永远是红灯，D301必须见到红灯停车等待。调度员此时高度信任了信号灯的作用。更何况动车的ATP系统会有保护作用，一旦前方8km内信号灯显示红灯，ATP会自动减速停车，在理论上两辆车不可能追尾。

信号灯只是单保险

　　7月28日，上海铁路局局长安路生公布了事故的初步原因：温州南站信号设备在设计上存在严重缺陷，遭雷击发生故障后，本应显示为红灯的区间信号机错误显示为绿灯。电务值班人员没有意识到信号可能错误显示，温州南站值班人员没能及时有效发现和处置设备问题，于是所有的疑问指向了信号灯。

　　“可是谁能想到信号灯会出错呢?”王伟宏是福州机务段动车车间的总支书记，也是一位铁路老司机，从他当司机第一天开始，就知道信号灯是司机行车或停车的主要根据。“信号灯相当于司机的眼睛。”动车司机赵钢也告诉我们，没人会想到动车系统会发生如此低级的错误，“动车时速一般在200km左右，天气好的时候司机的目视距离也是有限的，线路上的情况也很复杂。一路开过去，我们既要看控制系统的屏幕，也要看前方路况”。司机往前目视时，哪些东西要看，依照什么顺序看，都有统一的作业标准。前方线路、接触网、信号灯的状况，都需要被敏锐的司机短时间就看在眼里。

　　虽然动车的操作以人工控制为主，但ATP和LKJ等自控防控系统，让司机非常安心于开车时的“双保险”。当车在160km时速以下运行，LKJ系统工作;在160km时速以上运行时，APT系统工作。按照动车司机刘毅(化名)的理解，动车开始运行以后的这几年，铁路对司机的最大要求是限速，而不是提速。在轨道上跑起来，每个区段有自己的速度要求，一旦超过，动车会自动停止，这些速度是人为规定的，“黑匣子”会自动报警。

　　ATP和LKJ都是当列车超速时，控制车辆减速，直到停车的自动化系统。ATP的智能化程度更高，可以在超速时分阶段缓解。对于ATP和LKJ系统的防止列车追尾功能，是指如果前方8km内出现红灯，系统会在感应后设计出一个减速模式，自动停车。

　　而自动防护系统所依赖的，正是铁轨两旁的地面信号灯。动车司机赵钢告诉记者，铁轨两旁的信号灯大约每1.5km一个，以动车的速度，司机不太可能靠目视信号灯来做出决定，“速度太快了，哪里看得过来?”这时ATP系统就能起到防护作用。而当前方故障未解除，应该显示红灯的信号灯却罕见地显示绿灯时，信号灯相当于“骗”过了D301的ATP系统!也就是说，相撞时前车和后车的ATP系统都没有故障，只是D301面前的信号灯出现了绿灯，接收到信息的ATP就放心大胆地允许司机保持高速度了。

　　看到一路绿灯的潘一恒和ATP系统，高速向前行驶，无法预知前方的危险。对司机而言似乎永远不会出问题的ATP，实际上在接受信号时，单一依赖了信号灯的显示。除了感应信号灯之外，列车自身没有其他方式再去感知前后车辆的距离和速度。潘一恒的同事告诉我们，司机所看到的驾驶室内的列车运行控制系统，只能显示本车的数据，控制自己车辆的速度。当失常的信号灯“骗”过司机和ATP，而调度员和值班员又没有及时发现异常时，司机是无能为力的。

　　这就相当于在公路的单行道上，前车早已减速行驶，后车司机无法目视前方状况，司机和ATP唯一依赖的信号灯却一路放行。当潘一恒在雷雨夜看见前车时，留给他的时间只能以秒来计算。时速160km的列车，制动距离为1400m;时速200km的列车，制动距离2000m：时速250km，制动距离就得到3200m。而潘一恒的同事推测，他当时的目视距离可能只有一两百米。

　　潘一恒最后时刻拉动了紧急制动。福州机务段的黄承登告诉记者，在得知潘一恒的死讯前，他们一直抱有一线希望，希望他在拉了紧急制动后，还有时间往后跑，保住性命。“如果司机又刹住了车，又能活命，那该多好!”

　　两辆列车于7月23日20点34分相撞。第二天凌晨2点多，救援的武警战士在司机室里发现了潘一恒，他的胸口已经完全被闸把穿透，全身血液几乎流干。同事们推测说，或许潘一恒已经完全没有逃生的时间，或许他根本没有想过离开，拉下紧急制动后希望能看到车停下来。或许在生命的最后一刻，潘一恒都无法相信，动车会将自己送向死亡。

　　就在7月23日17点多钟，潘一恒曾给在福州的妻子黄海玲打电话，让她21点到岗头公交站去接自己。两人准备像平时一样，从公交站走上3km路，手挽手回家。等到一家人再看到他时，他已静静地躺在殡仪馆里，冰冷孤独。

　　而甬温铁路的信号设计方——北京全路通信信号研究设计院，是中国铁路通信信号股份有限公司下属全资企业。以中国通号为核心的“通号系”，是目前中国动车及高速铁路列车控制系统供应环节的龙头老大，也是中国高速铁路发展的受益者。

　　西南交通大学交通运输与物流学院院长彭其渊告诉记者：“设备出现故障是可以理解的，任何一个设备都在运行中不断完善的，但动车的信号设备按照设计，出现故障时应该是导向安全的。通俗点说就是，不管出现任何故障，都应该亮红灯。”

　　信号灯设计的低级错误，与铁路系统内部毫无竞争地“包办”动车相关系统的供应环节，不无关系。设备背后，人的因素才是根本。

脆弱的系统无助的人

　　在列车相撞后，前车D3115次司机蒋立并没有像网络信息所说，离开了驾驶室，瘫软在铁轨边。福州机务段动车车间书记王伟宏告诉本刊记者，他在当日21点30分左右给蒋立打电话，蒋立一直没离开过驾驶室，还不知道两车追尾的事故，以为只是最后的15节和16节车厢脱轨了。

　　“司机按照规定是不能离开驾驶室的，即使是出现了事故，司机可以指挥随车机械师和列车长查明原因、开展救援等，但是司机本人必须留在驾驶室接电话，保持信息畅通。”蒋立当时派随车机械师去最后的车厢查明情况，但是车厢内部的通信系统已断，机械师还没来得及跑回来向他报告发生了什么。做过随车机械师的唐凌也说：“没有人会相信这样的事故发生。”

　　据唐凌说，蒋立可能在宁波候车时，与潘一恒通过电话。他无法理解为何两小时后，潘一恒送命在了工作岗位上。据说正在接受调查的蒋立，脑子里忍不住一遍遍回想与潘一恒的最后一通电话，精神有点崩溃。

　　38岁的潘一恒在动车司机里算是年龄中等，2008年5月报考动车组司机，13个月后拿到动车组驾驶证。潘一恒同事提到，报考动车司机的竞争比较激烈，机务段内就需要考两次，几百道的心理测试题很看重司机的反应能力和判断能力。潘一恒属于反应非常灵活的人，以前的老火车没有机械师，司机自己就得解决基本的故障。动车司机多数从经验丰富的老司机里选拔出来，潘一恒和同事们曾被送到西南交大学习了两个多月，也到北京、上海等动车开行较早的地区做交流学习，平时也有各种培训。

事故死难者亲友在事故现场参加哀悼活动    新华社记者 王定昶 摄

　　但是对于高科技有可能出现的失控，无论是记者接触到的动车司机还是机械师，几乎都没有想过这个问题。在往常的印象里，火车比飞机、汽车等交通工具更安全，出事的概率非常小。唐凌负责老火车的维修，他说：“老火车只要做好机械和配电的维修工作就行了。”接触到动车的维修后，他发现除了机械和电力知识，相当于电脑主机的车辆中央控制器等对他们来说都是很陌生的事物。“以前的工作好比纯机械领域的技术人员，现在则升级到类似于‘网管’的工作了。”随车机械师最怕动车在线路上突然停车，因为他们心里也经常没底，出现了怎样的故障，自己能否应付得了。

　　唯一向我们提到风险的动车司机刘毅，觉得自己是在从事一个高危行业。他说，一次晚上他驾驶动车经过一个偏远山区，前方火车铁轨被洪水冲垮，下面就是很深的山谷，但刘毅全然不知。是一个养路工人点燃了自己的衣服，刘毅看到后一边报告调度台一边紧急拉手闸，才救了一车人的命。“那晚所有人下车步行，通知后方来车，而我们的车到断裂的大桥只剩下几十米的距离了。”高速列车虽然换上了全新的轨道和列车，但是线路的维护还是得靠巡道工等最原始的人工。从整个铁路的运行来看，这个“旧瓶”装上了“新酒”，在运营、指挥、维护上，还是靠这些老旧铁路系统的人员自我更新后来维持运转。

　　除了技术，不同职务在铁路不断提速后，面临着各自的压力。今年7月1日铁路系统的运行图调整后，唐凌感慨，自己的工作量又增加了10%~20%。以出事的甬温线来说，动车开通一年半，车次由每天7对增加到了30对，不少动车组间隔时间在10min以内。在保障效率、不断提高运力的要求下，每个职位都受到考核指标的重重压力。

　　一位不愿透露姓名的随车机械师向记者提到，动车中途出现各种故障要及时处理，处理故障表面上有各种应急预案可以执行，但执行中困难非常多，甚至外人难以想象。比如制动不缓解，按规定是要马上停车下车检查。但实际操作中，一旦停车，整条线路都被这个车堵住了。下车检查还要封锁邻线，得由司机向调度申请，调度封锁邻线后通知司机，司机再通知机师。

　　但这样一来双向通道都被封锁，影响非常大，绝对会造成该线路所有列车晚点。所以实际操作中，调度那边很多时候不允许封锁邻线，而是给一个邻线限速的命令，但这样的话，机师下车危险系数非常高。“而且只要一停车，各种领导、不知道什么单位都会打机师电话，询问车组情况。因为哪个领导都不希望自己被更上层领导问到这件事情的时候答不上来。机师电话响个不停，影响与动车组调度的联系，也无法最快得到技术支持或者是相关命令。”

　　而且，事故的级别与停车时间直接相关。“如果停车10min，那是可以接受的。超过10min，一般要写报告，超过30min，则要开分析会，就像过堂受审一样。”

　　在铁道论坛里，有机械师提到，虽然机师人手一本应急手册背得烂熟，但实际中遇到的故障大都是故障手册中没有的，很多故障并不是独立的故障，而是一连串故障综合的结果。所以，在判断的时候很多都需要靠经验而不是故障处理手册和各种图纸。“但在中国谁敢说自己对动车组非常有经验?动车组总共才开了几年时间?”

7月29日，人们在事故现场摆放蜡烛和鲜花。当晚，在“7·23”甬温线特别重大铁路交通事故现场，不少温州市民按照“头七”的传统丧葬习俗，自发到事故现场举行悼念活动。     新华社记者 鞠焕宗 摄

　　对行驶中的动车能起到安全保障的，在“7·23”中有这样几个职位引起了注意——行车调度、车站值班人员、动车司机以及随车机械师。担任指挥职责的调度员在这次事故中是否承担责任，目前还没有调查结果。而从行车调度员的角度来说，这是一个如履薄冰的职务。一位调度员提到，为了减员增效，他所在的铁路局2005年整合，原来3个分局调度所的行调台大约42个台，变成17个行调台。原来3个行调干的工作现在变成一个人干，“一个行车调度员少则管辖二三十个车站，多则管辖三四十个车站，而且领导还要求精细指挥，干不好就扣钱”。

　　按照设计，甬温线是我国第一条时速达到200km的客货混运线。今年7月，该路线正在积极筹备新增货运，宁波工务段一位工作人员向我们讲到客货混运的压力：“原来是白天客运，晚上检修线路。如果客货混跑，白天跑客运，晚上货运，我们干活的时间缩短了，工作量还增大，这会给作业安全带来隐患。比如，以前的意识里，在上行线路上干活时，下行线路是不会有车的，工具、料具一般都放在铁路上。增加货运后，如果工人们稍有忽视，就容易出问题。再加上货车比客车重，速度不均匀，车轮也没有动车那么规范，对钢轨的磨损更大，也不利于动车的安全。”

　　然而普通乘客坐上高速列车，奔向回家的旅程时，对高速下庞杂而老旧系统隐含的风险，几乎毫不知情。在地方政府的宣传网页上，写着：“某某站距离新的温州站约十几公里，这样的站点间距，在理论速度达200km/h的‘高铁’面前似乎不值一提，然而对于地方政府而言，‘高铁’正是连接我们两个经济重镇的一条重要纽带……自火车站投入使用至今，‘高铁’站附近房价在快速上涨，比如站点附近的一些私房就几乎没有人愿意拿出来卖掉。‘高铁’串联本地两大经济强镇作用在此显露无遗。”强大的公众难以主导的力量，仍然沉浸在快速发展的喜悦中。(本文转载自《三联生活周刊》2011年第32期)

　　编辑 余茂君