三点检查

温州动车追尾事故与CTCS-2技术规范中的安全隐患

摘要 2011年7月23日在温州附近不幸发生动车追尾，本文指出列控技术规范的变化可能同事故有关系。CTCS-2列控技术规范2007年版中引入了“三点检查”技术，理论上它能够在轨道电路故障情况下保障列车安全运行。如果在7月23日的故障状态下采用这一技术，调度可以在故障路段放入多辆列车，某些故障路段可能亮绿灯让列车正常通过，该技术将通过防护点保障安全。可能由于技术不够成熟的原因，CTCS-2技术规范2010年版中删除了这一措施，在新增的故障处理条款中没有明确说明设备故障需要亮红灯。如果此后调度按照过去的方式处理，很可能发生事故。

一．引言

2011年7月23日，从嘉兴驶向温州的两辆动车发生追尾事故。事故过程中，列车控制系统没有起到应有的安全防护作用。根据初步调查报告，当时轨道电路出现故障，使得列控系统没有得到前方列车占用轨道的确切信息，导致本应红灯的地方亮绿灯。

本文着重分析这两辆列车所采用的列控系统CTCS-2的技术规范，指出新版技术规范存在安全隐患，规范的变更可能同723事故有关。

列车控制系统通过三种方式为动车和高铁提供安全保障：1）控制信号灯；2）为调度提供列车运行信息；3）发信息码通过车载列控系统直接控制列车。列车控制系统的基本信息来源是轨道电路，后者提供列车在轨道区段中的占用信息。当列车通过一个闭塞区间时，列车车轮在两条轨道之间形成短路，引发该区段继电器动作，产生列车在该区段占用信息并报告列控中心，后者以此为依据发出控制信号。

由于存在目前还难以解决的技术问题，轨道电路经常出现故障，发出错误信息。因此，中国列车控制系统CTCS-2技术规范的最初版本【1】引入了一项称为 “三点检查”的措施用于判定列车在轨道上的确切位置。在7月23日那天，如果列车控制系统正确使用“三点检查”，那么调度可以在信号装置出现故障的情况下放行两辆列车，不会发生追尾事故。在列车运行期间，某些故障路段会出现绿灯让列车以正常速度通过，调度的屏幕上也会出现“丢车”现象，但是，在“三点检查”的保护之下，不会发生安全事故。

可能因为技术上不够成熟，2010年更新的技术规范【2】中取消了“三点检查”。与此同时，这一新的技术规范并没有清楚交代在轨道电路故障的情况下应该怎样处理。该文中只讲到列控中心同轨道电路通信发生中断时要向监控中心报警，也就是把处理任务交给调度，没有明确要求在沿线亮红灯。

假如调度不清楚技术规范以及系统方面的相应变化，继续沿用过去的方法在有设备故障的区间中放入两辆列车，就有可能出现类似723事件这样的灾难。

需要特别提及的是，在原先的技术规范之下，故障线路上亮绿灯，调度屏幕上丢车并不意味着出现安全事故，调度可以不干预。而在新的技术规范之下，调度必须立即采取措施，停止后一辆列车的运行。

下面，我们将首先描述轨道占用检查问题，详细分析“三点检查”的原理以及对列车运行的影响，然后介绍CTCS-2列控中心技术规范中的有关规定以及技术规范的演变，并讨论技术规范变更所引起的后果。最后，对完善技术规范和保障列车运行安全提出若干建议。

二． 轨道电路失效问题

轨道电路（track circuit）的作用是检测列车是否处在某段铁路范围内（也称闭塞区间）。整个列车控制系统，路边信号灯，调度室，列车司机全都依赖轨道电路提供的信息来了解列车在道路上的占用情况。轨道电路失效（track circuit failure）是很多铁路事故的根源。

轨道电路失效分成两类，第一类在中国称为“分路不良”（英国称为“Wrong Side

faiiure ”），指的是列车占用轨道时误报没有占用；第二类称为“故障占用”（英国称为“Right Side failure ”），指的是列车没有占用轨道时误报占用。在723事故中，首先由雷击产生红光带，这是“故障占用”的一个例子。随后又发生了信号采集电路断电，没有把列车占用轨道的情况反映出来，这属于“分路不良”。由于设计方面的失误，系统没有按照故障-安全原则处理，最终酿成悲剧。从根本上说，这反映出系统设计中对轨道电路失效问题处理不够完善。

WIKI百科网站上面对轨道电路原理有详细的介绍【4】。该网站上也介绍了三类故障占用的例子，和六类分路不良的例子。此外，还有几个因轨道电路失效而造成行车事故的案例。这一情况表明，轨道电路失效存在多种原因，同时也是在国际铁路行业共同面临的一个问题。在国内，分路不良的情况相当普遍。比如，郭文强和郭平【5】指出，分路不良的区段占某些站区的四分之一，王勇【6】指出，“近三年发生的挤，脱，撞事故中，因分路不良造成的占30%以上”。王海瑛的论文【7】分析了由分路不良引起的两车同处一个闭塞分区的案例。

轨道电路失效问题在国际和国内都有长期的研究，但似乎没有找到彻底的解决方案。荣健的论文【8】讨论了国外和国内的各种处理方法。

由于轨道电路故障普遍存在，所以，如果每次故障就停止整个铁路区段的运行，必将大大降低铁路系统的效率，因此出现了“三点检查”技术。

三．“三点检查”技术原理

如果要保证绝对安全，那么一旦出现轨道电路故障，该区段就要全线亮红灯，暂停运输直到故障修复为止。但是，轨道电路失效的情况相当普遍，如果每次出现电路故障就停运，铁路效率必然大大降低，高铁也就变成慢铁。

为了在“安全”和“效率”之间找到一个合理的平衡点，王家鳞和王金玉在1999年提出了一种巧妙的“三点检查”方法【9】，它可以在轨道电路部分失效的情况下也保证铁路能继续运行。

这一方法的原理是这样的【2,9,10】。在轨道电路随时可能失效的情况下，我们无法信任一段轨道电路传来的信息，但是，当列车在轨道上行驶时，轨道信号将有规律地变化，通过对这个变化的感知可以判定某一区段的轨道电路是否正常。比如列车由区段A向区段B运行。那么轨道信号的变化顺序应该是：1）A占用，B未占用；2）A，B同时占用；3）A未占用，B占用。假如系统发现轨道信号有这样的变化顺序，就能够判定A,B两个区段的轨道电路正常工作，而且列车已经到达B区段。假如B后面的区段是C，D，E，F，而且在BC，CD区段上三点检查失败，那么认为C,D发生分路不良或故障占用。此时，系统将在B段亮红灯阻止后面列车进入，B点称为“防护点”。假设E,F区段通过了三点检查，又可以判定列车E,F区段轨道电路正常，而且列车已经运行到此处。此时可以把设在B处的防护点红灯去掉，转移到E处，称为防护点前移。

下面，我们以7月23日的情形为例来说明三点检查技术如何能够防范那天的事故。

7月23日晚，该段铁路中的一部分区段出现“红光带”，表明发生了“故障占用”。在第一辆列车开出去之后，由于信号采集板故障，列车占用情况不能如实传递出来，调度屏幕上显示丢车，发生了“分路不良”故障。此时，左边有一个红光带，后面有一个绿光带，调度屏幕上显示第一辆列车丢失。见下图：

此时，“三点检查”在红光地区和绿光地区均未发现列车移动信息，因此它将把防护点设置在第一辆车首次出现移动特征的位置，即绿带的开始处。因此，后一辆车必定停在这个位置等待。注意当天调度的指令是，第一辆车缓慢通过红灯，后一辆车必须在红点之前停止。这一指令同“三点检查”方法是配合的。

当前一辆车穿过红光带，并能够被三点检查技术所发现时，防护点会向前移动到新的位置。此时，先前的防护点红灯将会熄灭，后车将在一片绿灯指引下到达下一个防护点。而这片绿灯实际上处于信号设备故障区，调度屏幕上会继续出现丢车信号，但是，由于存在前方防护点，所以并不妨碍列车的安全运行。见下图：

四．“三点检查”技术分析

上节描述了“三点检查”技术，并指出这一技术能够在轨道电路出现故障的情况下为列车安全运行提供防护。在7月23日的情形中，如果正确采用了“三点检查”技术，动车追尾事故就不会发生。但是，我们也需要指出“三点检查”技术的几个问题。

第一，这项技术的原理比较简单，但是，在实际操作中涉及到的因素比较多，真正的实现也比较复杂。如果在实现中出现错误，依然会产生安全事故，或者导致效率问题。可能因为这一原因，新的CTCS版本中删去了这一技术。关于这个问题，下节将进一步讨论。

第二，这项技术在文献中的描述比较含糊，缺乏一个比较精确完整的算法表述。比如，在CTCS-2的技术规范中，这一技术仅仅使用了若干例子来描述。这种做法容易留下安全漏洞。

第三，在“三点检查”技术的操作过程中，故障路段会出现绿灯。在上面的例子中，由于防护点前移，因此后车可以进入分路不良区域，该区虽然存在故障，但是也会亮绿灯。723事故的一些分析认为铁路系统遵循“故障-安全”原则，故障地区一定亮红灯。此处我们看到，如果采用“三点检查“，故障状态下可能亮绿灯，调度屏幕上可能出现丢车。同时调度依然有理由认为列车正在“三点检查”保护下正常运行。

五． CTCS-2中的“三点检查”技术

列车控制系统是列车安全运行的一项重要保障。中国的列车控制系统CTCS是参考欧洲标准ETCS自主开发的一套系统。CTCS分4个等级，本次事故使用的CTCS-2是在ETCS-1的基础上开发而成。CTCS-2主要由地面设备，车载系统和调度中心控制系统构成。在地面设备中，轨道电路(track circuit)是安装在轨道上的一套继电器系统。铁路被划分成一个个闭塞分区，每个分区均安装一套轨道电路，当列车运行经过该区时，轨道电路将继电器闭合，并把列车占用该闭塞分区的信息传递到列控中心，后者根据这一信息向信号灯，列车和调度室发出相应的指示，后者引导列车的运行，保障每个闭塞区间中只允许一辆列车，从而避免列车的相撞事故。

列控系统技术规范对列控系统的功能指标进行的详细的技术描述。对开发人员来说，它是列控系统软件和硬件的设计基础；对铁道用户来说，它是列控系统的使用指南。

在2007年，铁道部发布了“CTCS-2列控系统列控中心技术规范”【1】，即科技运【2007】158号文件。后来，出现了几份对158号文件的讨论稿【3】。2010年，铁道部正式颁布了科技运【2010】138号文件，“列控中心技术规范”【2】。

在158号文件中，“三点检查”技术被称为“占用出清检查”。规范中明确规定CTCS-2列控中心必须采用这一技术来实现“分路不良的判断和相应防护”。对这一检查机制，该文件没有提供完整的算法描述，但是在文件后面的附录部分提供了若干例子进行说明。图三是其中的一例，显示了防护点的变动。该例中，在2G路段存在“分路不良”故障，该路段“丢失”列车之后列控系统将在该路段前设置防护点，当列车运行到4G位置时重新被发现，此时取消2G位置的防护点。