10月28日上午，西班牙两列高铁在托莱多附近撞在一起，68人遇难，全国哀悼三天。
官方的定性来得很快：电脑通信故障，叠加调度员的人为指令错误。
按说故事到这儿就清楚了，可我倒觉得，越是“人为失误”四个字，越不能把这事儿简单当人祸看。这里面有三个问题，值得一个一个看。
一、全球第二的高铁网，一年怎么撞死一百多人
先看事故现场。
28日上午8点54分，马德里至塞维利亚高铁第118公里处，靠近托莱多省乌尔达镇，西班牙国家铁路公司Renfe的一列AVE列车，从后方撞上了私营运营商Iryo的列车。三节车厢脱轨，其中两节坠下路堤。
有当时在餐车的乘客回忆，碰撞瞬间冲击力极强，车厢里的人被甩飞，受了轻伤和没受伤的人，砸窗自救。
这不是西班牙今年第一起。
今年1月18日，科尔多瓦省阿达穆斯，Iryo的列车脱轨后侵入邻线，约20秒后与Renfe的列车对撞，46人死亡、超过200人受伤。1月21日，巴塞罗那近郊，又有列车出轨，1死41伤。10月12日，一列高铁尾部起火，线路中断4小时，1.1万名旅客滞留。
16天后，10月28日，68人。
2013年圣地亚哥80人，今年1月46人，10月68人，十三年里，这个欧洲第一、全球第二、近4000公里的高铁网，三次重大事故，194条人命。
这已经不是运气问题了。
二、自动防护都有，一个人怎么能放两列火车相撞
高铁跟普通铁路不一样，它的安全逻辑从一开始就承认一件事：人一定会犯错。司机会走神，调度会下错令，所以才需要自动防护。
那这次自动防护在干什么？
官方时间线很清楚。28日上午8点30分，事故区间的三台电脑出现通信故障，乌尔达车站的控制系统瘫痪，全长63公里的区间失去安全保护，区间内所有列车自动制动，停了下来。
这一步，系统是对的。
随后，马德里阿托查的24小时调度控制中心接管。调度员向后方25公里处的Renfe列车下达了恢复行驶的指令，却没有确认前方列车是否已经驶出区间。
这条指令违反了规程。规程写得很明白，系统故障区段，列车要么目视行驶，要么限速40公里。
据调查披露，8点36分到8点52分，Renfe列车在红灯信号下，以约200公里的时速跑了25公里。8点54分，它撞上了停在轨道上的Iryo。
这里有个细节值得停下来想想。
事故发生时，两列火车都在自动防护的保护范围内，前方列车停着，后方列车面前是红灯。可就是这样，一个人的一句话，就能让一列200公里时速的火车，在红灯下全速跑16分钟。
自动系统存在的意义，本来是在人犯错时兜住底。结果系统一故障，所有的安全又交回给了一个人。
那这16分钟里，冗余在哪，第二道防线在哪。
三、为什么每次事故，最后都是“一个人”的错
回头看这三次事故，有个很明显的共同点。
2013年圣地亚哥，是司机。限速80的弯道，他开了约190，80人死亡，司机当天被拘留。今年1月阿达穆斯，调查指向钢轨断裂，是维护问题。10月28日，是调度员。
每一次，都有一个具体的人。
“个人失误”是最省事的答案，因为处理一个人，系统就不用动。
可数字不会说谎。
西班牙高铁的总支出里，约84%流向新建，只有16%用于既有线路维护。2018年以来，铁路维护的实际支出下降了25%，按每名旅客摊算的养护支出，降了30%。
而2021年铁路自由化、Iryo和Ouigo进场后，票价被压低，客流暴涨70%，2025年达到4450万人次。
客流翻倍了，维护没有跟上。
还有个治理结构的问题。西班牙铁路是“网运分离”，Adif管线路、信号和调度，Renfe、Iryo、Ouigo各自跑车。系统正常时，这套模式效率高；一旦进入手动模式，调度和运营商是两套控制中心，正常时靠流程衔接，一旦协调链条一长，缝隙就变成了风险。
正常时，缝隙靠流程盖着。手动时，缝隙就是风险。
四、同样是追尾，我们当年是怎么处理的
说到这儿，很多人会想起2011年7月23日。
甬温线，两列动车追尾，40人遇难。
当年的调查结论是：信号设备存在设计缺陷，雷击后故障，加上调度和管理问题。这个结论没有把账算在一个人头上，它指向了设备、设计和管理。
之后的动作，现在回头看很清楚：全国高铁降速，350降到300；信号设备全面排查、召回；软硬件升级，制度补漏，责任追究。
此后十五年，中国高铁修到4.5万公里以上，再没有发生过重大死亡事故。
这不是说我们不会犯错。任何系统都会犯错，差别在于是处理一个人，还是动一整套系统。
723之后，我们动了系统。西班牙这三次事故之后，目前看到的，还是一个又一个具体的人。
目前，马德里至安达卢西亚的高铁已经暂停售票，据报道至少停到12月，什么时候重新开放，还没有说法。
所以，这并不是一个调度员的失误。它更像一份体检报告上，连续出现的三个异常指标。每一次都按“偶发”处理，下一次就不会再是偶发。
热门跟贴