以下是溫州動車事故的幾個關鍵環節：

　　環節1：2011年7月23日19時30分，雷擊溫州南站沿線鐵路牽引供電接觸網“或”附近大地，通過大地的阻性耦合“或”空間感性耦合在信號電纜上產生浪涌電壓，在多次雷擊浪涌電壓和直流電流共同作用下，LKD2-T1型列控中心設備采集驅動單元采集電路電源回路中的保險管F2（以下簡稱列控中心保險管F2，額定值250伏、5安培）熔斷。

　　教訓：在本段用了兩個“或”字，意即調查組本身也并不清楚。這樣一點作為結論性評語，有著致命的問題，因為對后續的問題解決沒有任何確信的有價值幫助。航天科研中，在推行“歸零管理”，分為技術歸零和管理歸零。分別從技術方案和管理流程上徹底杜絕同一類問題的發生。技術歸零分五點“定位準確、機理清楚、故障再現、措施有效、舉一反三”，就是完成一個技術歸零報告，報告的內容共分為五章，標題和內容分別為這五部分。大家想想看，如果對這個斷語，“定位準確”是信號電纜的浪涌電壓沒問題，耦合路徑的機理呢沒確定，當然故障再現及其后的部分內容，本報告重在追查責任，并未涉及整改措施。歸零管理企業可以參考使用。

　　環節2：熔斷前溫州南站列控中心管轄區間的軌道“無車占用”，因溫州南站列控中心設備的嚴重缺陷，導致后續時段實際有車占用時，列控中心設備“仍按照熔斷前無車占用狀態進行控制南站列控中心輸出”，致使溫州設備控制的區間信號機錯誤升級保持綠燈狀態。

　　教訓：按照安規的設計準則，“單一故障狀態下，系統輸出應該是安全的”，這里的單一故障是熔斷，系統輸出的安全在這里是：信號應該是禁行的紅燈信號，最起碼也應該是無信號或紅綠都亮的紊亂信號，前者提示禁行，后兩者起碼能對駕駛員造成疑問。

　　也就是說，在這個故障發生后，保險絲斷掉所引起的信號不能及時更新的問題，應能被及時的監測到，并提示報警，具體的設計方法在軟件和硬件上都有措施，私下來探討。

　　關于“單一故障下，系統輸出應該是安全的”這個問題，安全性包括了三部分：系統對人的安全性影響、對周邊關聯設備和環境的安全性影響、對整機設備自身的安全性影響。一旦出現問題，保證這三部分的安全是第一位重要的。在本例中，系統輸出的安全就是給出危險提示。為說明此問題，舉例說明：

　　以繼電器的控制為例，假設繼電器通過控制給電機的供電來保證執行機構的運行，那么繼電器選擇常開觸點還是常閉觸點？一般的考慮出發點是控制電路的功耗，即看繼電器是工作導通的時間長還是斷開的時間長，如果導通的時間長，則選擇常閉觸點的繼電器，這樣繼電器線圈控制電功率消耗會降低。但從安全性設計的角度考慮，選型結果未必還是這樣。在發生單一故障時（這里的單一故障假設為控制電路對繼電器的控制信號因線纜斷開而失靈），電機所帶動的執行機構不可以有危險輸出，即繼電器在沒有控制信號的情況下，處于斷開狀態為佳（即為常開觸點），如此則電機會停止輸出，減少危害的可能性。

　　但實際上，在設計的時候，基于安全性設計的考慮，并不是所有的繼電器都要選擇常開觸點的，這要服從于對單一故障類型的狀態、以及危險輸出的定義。如果繼電器控制的是一個保護裝置，防止危險輸出的方法就是保護裝置確保處于有效狀態，即繼電器控制信號斷開的時候，繼電器須能保證保護裝置處于被供電狀態（即選擇常閉觸點繼電器）。

　　環節3：雷擊還造成軌道電路與列控中心信號傳輸的CAN總線阻抗下降，使5829AG軌道電路與列控中心的通信出現故障，造成5829AG軌道電路發碼異常，在**、檢測碼、綠黃碼間無規律變化。

　　教訓：關鍵鏈路單節點的可靠性串聯結構隱患較大。軌道電路和列控中心之間既然如此重要，數據傳輸就需要并聯結構互補一下。

　　環節4：19時54分，張華發現調度所調度集中終端（CTC）顯示與現場實際狀態不一致（溫州南站下行三接近在溫州南站計算機連鎖終端顯示“紅光帶”，但調度所CTC沒有顯示“紅光帶”），即按規定布置永嘉站、溫州南站、甌海站將分散自律控制模式轉為非常站控模式。

　　教訓：CTC顯示與現場實際狀態不一致能被發現，很好。這種信息屬于安全關鍵信息，安全性設計里面需要關注三個方面：安全關鍵功能、安全關鍵信息、安全關鍵報警。此三部分的內容必須進行備份互查也好，加強設計也好，總之都是需要關注的重點。

　　環節5：20時21分46秒至20時28分49秒，因軌道電路發碼異常，D3115次列車司機三次轉目視行車模式起車沒有成功。

　　教訓：如此重要的功能，應屬于單一故障下的安全關鍵功能，三次轉目視行車居然未成功。測試時是否未進行此種單一故障下的測試？

　　環節6：20時22分22秒至20時27分57秒，D3115次列車司機6次呼叫列車調度員、溫州南站值班員3次呼叫D3115次列車司機，均未成功。

　　20時28分43秒至28分51秒、28分54秒至29分02秒，D3115次列車司機兩次呼叫列車調度員不成功。

　　教訓：列車調度與列車司機之間的呼叫屬于安全關鍵功能，難道僅有一種聯絡方式？又是可靠性串聯模型的問題。

　　由以上6個環節的問題可以看出，安全性設計的兩大核心問題，單一故障的分析略顯欠缺，單一故障下的測試不足，單一故障下的安全關鍵功能、安全關鍵信息、安全關鍵報警的設計強化不足。系統架構的可靠性并聯結構未采用，如此重要的關鍵環節，成本不應屬于主要矛盾，安全性才是。