西班牙高铁追尾致命 24 分钟：自动化没有杀人，是人关掉了保命规程

时速两百公里的现代高铁，怎么会在大白天同一条轨道上直接追尾？ 在高铁的运行逻辑里，司机根本不靠眼睛看路防撞。 两百公里以上的时速，等司机看清前车尾灯，刹车距离至少要两公里。 肉眼防撞根本不可能。 车能跑这么快，全靠车底和轨道里的自动防护系统。 轨道被切成一个个闭塞区间。 计算机时刻算着每列车的位置与速度，前车只要慢下来，后车一靠近，系统就会自动硬性刹车，司机想踩油门都冲不过去。 全世界高铁能跑成最安全的陆地交通，靠的就是这道保险。 但 2026 年 10 月 28 日早上，在西班牙托莱多省的乌尔达镇，两列高铁以最原始的方式撞在了一起。 一列西班牙国营铁路的 AVE 高铁，以接近两百公里的时速，径直撞上了前面停在铁轨上的私营 Iryo 高铁。 至少 68 人遇难，上百人受伤。 为什么号称双重保险的高铁安全网，在这一天彻底被撕开了？

出事的是马德里到塞维利亚的高铁线。 这是西班牙第一条高铁，1992 年为了塞维利亚世博会建成的。 正因为建得早，它用的还是德国西门子的 LZB 机车连续控制系统。 当天早上 8 点 30 分，LZB 系统的计算机突然故障，沿线整整 70 公里的信号全部黑屏。 系统黑了，列车会怎样？ 它不会乱跑。 现代铁路的第一准则是故障导向安全。 信号一旦中断，系统会自动默认前方有危险，直接切断牵引并实施制动。 前面的 Iryo 6076 次列车停下了。 后面相距 25 公里的 AVE 2080 次列车也跟着停下了。 到这一步，技术系统其实完成了它的本职：机器一出毛病，先把车刹停，防止相撞。 真正致命的崩塌，发生在机器掉线之后的人工接管。

铁路总不能因为信号黑屏就永远瘫在荒郊野外。 这时候就要转入人工协调，铁路术语叫降级运行。 全世界铁路在降级运行上，都有同一条写在铁律第一页的规程： 只要系统失联、无法确认前方轨道是否清空，所有列车必须转入目视行车。 而且速度有硬性上限：最高不得超过 40 公里。 为什么要卡死 40 公里？ 因为在 40 公里以下，司机的肉眼才能在看到前车或障碍物后，在有效距离内把车手动刹停。 换句话说，40 公里是人类肉眼反应和机械刹车最后的安全余量。 可是西班牙铁路基础设施局位于马德里阿托查的调度中心，做出了一个不可思议的决定。 根据西班牙媒体公开的调度录音，8 点 36 分，调度员在无线电里联系后方的 AVE 司机，指示他重置系统，恢复正常行车。 后车司机都觉得意外，在对讲机里特意追问了一句： “正常行车？” 阿托查的调度员回答： “是的。” 正常行车四个字一出口，后方的 AVE 司机推起操纵杆，把列车速度重新提到了两百公里。 调度员以为前面的区间是空的。 可前车根本就没能启动。

8 点 41 分，停在乌尔达进站信号机前面的 Iryo 司机呼叫阿托查调度中心： “系统通讯中断，列车无法启动，目前完全停在进站口。” 调度员听到了，但没有叫停后车。 8 点 48 分，Iryo 司机再次呼叫： “依然无法启动，我们还在原处。” 两通求助电话，相隔 7 分钟，前车两次清清楚楚通报自己是趴在铁轨上的活靶子。 然而阿托查调度中心既没有向疾驰而来的 AVE 发送紧急停车指令，也没有在无线电里广播轨道被阻。 8 点 54 分，也就是前车第二次呼救仅仅 6 分钟后。 以两百公里时速奔跑的 AVE 冲出了乌尔达附近的弯道。 司机终于在视野里看到了停在轨道上的前车。 但在两百公里的动能面前，物理定律已经宣判了结局。 AVE 剧烈撞上 Iryo 车尾，数节车厢在巨响中脱轨，被甩下了路堤。

事故发生后，西班牙宣布举国哀悼三天。 很多人第一反应，是去怪自动信号系统怎么会突然掉线。 但看完整张时间表，计算机并没有犯下杀人的错误。 信号黑屏的时候，系统老老实实把两列车都踩停在了轨道上。 两道防线，第一道是算法，第二道是规程。 算法坏了，还有严苛的 40 公里目视行车规程托底。 真正让人不寒而栗的，是调度员在对前方路况一无所知的情况下，随手越过规程，给后车开了一张两百公里的通行证。 当自动化系统运行太久，人们往往会误以为安全是理所当然的背景板。 一旦机器黑屏、重担回到人的肩膀上，习惯了依赖系统的操作者，反而最容易扔掉保命的刹车皮。