从工程师的角度谈#温州动车脱轨#

landlord

首先声明，我对铁路/动车系统完全是门外汉。只是对工业测试和程序纠错略有心得。本篇内容基本上是我个人的猜测，和在猜测基础上的外行分析。希望借此抛砖引玉，能有专家大拿来批评指正。
; |4 r2 f+ F5 G
我听说两车发车只间隔15分钟。既然敢这么做，一定是有确保在15分钟之内做出应变的能力。而且这个应变手段起码应该会有2个(或以上)的方式。
, t$ b. [; f0 F  {1 W
0 a0 A( ]5 g! v4 q# l9 ]$ b

• 首选的当然是自动方式，我猜程序会是：前车信号报警->调度系统报警->后车操作系统自动刹车/报警。
• 如果自动方式失灵，应该会有人工方式，我猜程序是：前车司机报警->调度员接到通知->通知后车司机出去行动。
  * Y+ s3 N$ O/ R

现在已知“D301次列车（后车）司机潘一恒已经牺牲，他的胸口被闸把穿透，他在最危险的时刻果断地采取了紧急制动措施。”---显然他没有及时得到通知。【向坚守岗位直到生命最后一刻的潘一恒烈士致敬！】

我在网上的良师益友@橡树村评论：“一般来讲同时出现数个错误才会造成问题。能够同时出现数个错误，就肯定有管理问题。”---对此我非常同意！

+ c' u& ?  i. G8 b4 Z# n现在谈谈怎样追究责任。
6 c2 y1 r; Y, }+ ]* }
首先，事故的直接原因看来是动车断电，这应该不属于极小概率事件；既然是可预见的原因却导致极大的事故，那么可以断定管理上必然有漏洞！

5 k; h. N1 C1 K$ T( m- I1 O再具体分析：
2 p& Z% I: w; w1.【有无备用人工手段？】无->重大程序漏洞；有->往下看，但在管理及培训上也同样有疏漏。
( O. A0 m  P# p- r4 w9 V3 x6 @2.【前车司机是否报警？】无->司机失职；有->往下看。
3.【调度员是否接到报警？】无->程序漏洞。（怎样补漏，见本文后面的“亡羊补牢”）
4.【调度员是否向后车报警？】无->调度渎职。有->显然不及时。培训不够，也是管理的责任。
; O7 y4 X2 O8 j+ _" O
3 ]" n" k9 l. a. ?; q- _0 L4 q' Z! ?最后再谈谈怎样“亡羊补牢”。
. S7 C& G: k  l1 T
7 z; p0 a% y! Q4 X( _5 S$ g3 d利用高科技管理固然是最快最好的方法，但纯人工的备用手段也是必不可少。

如遇断电，人工报警的程序：
6 V1 z' W- s9 V) k9 b. B

• 利用车头备用电源及通信设备；
• 固频无线电台或步话机；
• 司机的手机。
  / S% ~" t, P! b

再加上严格充分的程序培训及定期的演练。

还有, 司机和调度员都应至少2人同时在岗,算是人工手段的备份--人命关天，再谨慎也不为过！
1 ?/ L6 ~& k" V9 [0 w, f3 W: K
& x- r) }9 S% n3 L2 i当然，如果系统足够完善，用不到人工手段当然是最好了。但如我前言，我对此实在是一窍不通，所以只能在最后的人工手段上提一些建议，希望能上达天听，尽自己的绵薄之力而已。望赐教，多谢:)
: |" l7 T2 ~, S' O8 t5 D

slyypp

回复 landlord 的帖子
% M1 y2 f& _' M8 F, @+ w+ k! j$ j
又见地主大人。

5 V; _: x4 \3 t* f

山远空寒

也许这次的教训说明：仅仅做一套试验版的《高铁实时监控系统》是不够的，一定要实用。

# I$ E( x) C  d' A( t8 x

万里风中虎

回复 landlord 的帖子

! P" H) ^) H8 B$ i. ?8 a不论如何高科技的系统，都需要在系统外在一到两层安全措施，这是任何科学工作者都清楚地，为何高铁这样的复杂系统居然没有外在安全系统呢？百思不得其解，在这关键的15分钟里，指挥部门在干什么？

飞马萧

动车因为雷击而断电，我觉得挺纳闷。雷击是非常常见的现象，设计时怎么可能不考虑到这个问题。
+ C3 n$ q$ H& J7 @/ d3 [
- g# B# j9 V# c3 {整个事件有些匪夷所思，就是觉得很不应该发生的事，最基本该避免的事发生了，造成了可怕的后果。

老马丁

火车还是安全。高速追尾坠桥这么严重的事故还有95%的生存率。

XYZX

0 n4 E3 h2 \5 K( m
2 |# ^4 y( g2 s( w也是外行，也乱说几句。
规范是肯定存在的，但规范本身是否符合现实需求，规范是否可以被正确执行，以及在具体执行过程中某些环节是否被打了折扣，这些都是可能导致事故发生的原因。
拭目以待吧。

履虎尾

三十年前看西方电影《卡桑德拉大桥》，记得调度室里有个“矢量表”（？）。铁路上每辆车，都显示在那个“表”上。换句话说，六十年代，就已经有了直观的运行图。难道信息水平高度发达的今天，连每辆车在嘛地方，都不知道吗？俺觉得必定有人失职——

空气精灵

个人猜测,八成是调度那边出问题了.
按照以前铁道部的一些介绍节目,所有的火车在调度中心的线路图上都有信号标识,车子向前,代表该车子的信号也在线路图上向前.
那么,那D3115在前面一站异常多停了十多分钟的时候,调度难道不知道这事吗?如果按网上一些消息来说,雷击导致D3115信号消失,那么线路图上难道就没有任何反应?应该是或者车子的标识停滞不动,或者是标识直接消失.无论哪一种情况,调度都应该有所发现,然后通知后车D301停车或减速等等.可是从现在情况来看,后者显然没收到相关通知.
所以想问:调度在干吗?

辛常诚

回复 landlord 的帖子
0 ^1 ]! K& l/ C% g+ M
2 P7 L; E- c: g/ Y! P" v据说一个区间内只允许一辆列车运行（待考证），如果真的如此，那么显然调度出了问题

草纹

3 I. P' [0 Y7 V& [( f/ T; |/ l
- o- M2 J+ v* U9 e紧急应对的程序有漏洞，紧急应对的人员训练，平时预演都有问题。
个人猜测，大概是责任心问题。有规章不执行，或者管理者本身不按规章配置人员，现场人员或者疲劳过度，或者无责任心。

赫然

不知道这个系统是谁做的。

# a* r& A0 t3 u' G) n$ F这个还没有正式国产化，应该是西门子或者Alcatel。

等调查报告吧。
2 o! m" o: T' Y: b" Z1 C
3 |/ v6 u- v* u; e

暗夜雪武

大家都对15分钟时间里调度到底在干什么很有疑问。
6 `0 U- A" I* ]" {. Y' n15分钟啊，调度室里应该有明显的两车接近的标志吧，这么危险的时刻，调度室里应该警铃大做才对吧

旅途愉快

这个还是要等忘情来爆料。

不过江湖传闻是因为动车现在晚点太多，虽然动车一晚点，调度那边就能看到，不过调度那边司空见惯的狼来了……

驿路梨花

回复 landlord 的帖子
& h; Y5 H0 O. Y8 Y
. b+ @( n+ b& g; h* ~铁路有自动闭锁的功能，即同一区段的轨道，不会允许两辆车同时进入。

这种不允许，有多种方式，一种是岔道，一种是信号灯，等等。而区段的范围原先规定似乎是8km，现在不清楚了。这种规则是，一旦有一列火车进入区段，则该区段立即进行闭锁，给后来的车一个禁行的信号，或者直接用岔道，待前车通过区间后恢复通行。这种情况，不会因为某列车的故障而导致整条线路的安全问题。

要让这套系统彻底失灵，其实并不是一件容易的事情。做过项目的都清楚，任何安全措施都不会只有一种，尤其是人命关天的安全措施。应急的措施会有，但确实如果正常的防范措施都保证不了的话，应急的措施执行的情况，也就可想而知了。

. L. y5 v2 P. t# N  U6 N这个事故暴露出管理的漏洞，恐怕认真分析，能跟筛子一样。

一无所之

回复 landlord 的帖子
& q+ B8 ~' W0 @. n# W# q7 q& e# R
6 J/ |+ v% T/ M- Z% `% @5 u地主，得罪了～～～
. I) E. g& m! x+ s1 ^个人认为，不能把手机这样的民用通讯措施作为铁路的出现故障时的保障手段之一。
手机的通信的可靠性无法保证。
# x+ y0 _7 q& a) Q! d* n0 Y如果是作为铁路出现故障时的最后保障手段，就一定要去具有最高的可靠性，而这恰恰是手机无法保证的。且不谈这个时候，司机该知道打给谁，而接电话的人如何判断该不该相信这个电话传递的信息是否真实。
    我觉得真正作为保障的，还应该是铁路自身的信号系统～～～

XYZX

回复 一无所之 的帖子

. S" @, n- E9 s  I铁路在信号系统外，还应该有自己内部通讯系统吧？
& G! K2 k& x9 r8 Q# n怎么可能都没发挥作用？

冰蚁

回复 landlord 的帖子

不太理解司机处位置的设计。闸把在司机的前方？亦或是司机开车不用安全带？

冰蚁

山远空寒 发表于 2011-7-24 01:02
$ A5 {0 t  c; c! f7 ]- X4 ?也许这次的教训说明：仅仅做一套试验版的《高铁实时监控系统》是不够的，一定要实用。

  ...

试验版的没有测试极端情况。而且铁路的防雷怎么这么差。

MacArthur

: m$ R' V  P8 L0 }) V+ A! O' z
回复 landlord 的帖子
  D; r/ h$ [  O2 ~" L) p
据说是后车司机手动Override了报警系统。。。 赶时间，怕晚点。。。