10月28日上午，马德里开往塞维利亚的高铁，两列车硬碰硬撞在一起。官方最新数字69人遇难，50个伤员还在医院。首相桑切斯当场宣布，全国哀悼三天。可一辆时速可能飙到200公里的车，怎么就撞上了一辆停在轨道上的车？

16分钟葬送69条命

事发前，线路上的三台计算机集体抽风通信全断。托莱多附近63公里的区段，自动防护系统直接瘫了。六列车全被逼停，控制中心只能切回人工调度。

8点36分，调度员给后头那列国营公司的车下指令，断开再连上系统，恢复正常速度。后车司机还追问了一句：正常速度？对方回复是。

按规定系统故障区段，列车只能目视行驶，限速40公里每小时。调度员这声"正常速度"，等于给司机开了全速绿灯。

8点41分，调度员又让前车也恢复正常行驶。前车当然想走，可这车已经彻底趴窝。8点48分，前车司机主动来电重启失败，车还停在轨道上。

从这一刻到8点53分相撞，还有整整五分钟。调度员要是立刻踩刹车，惨剧本可避免。结果后车没收到任何减速指令，以160到200公里的时速，扑了上去。

官方首份报告说明，后车8号车厢整个嵌进了前车1号车厢，两节当场翻覆。另有车厢被撞碎的轨道部件直接刺穿，三节车厢脱轨掉进路堤。

被撞的前车是伊尔约公司的车，司机是位女性按规程一步步来，系统故障触发紧急制动后，她连续两次尝试解锁重启都没成功，她还通过无线电联系公司运维支持，把"车完全动不了"的险情报了上去。

一个环节都没漏，结果前方轨道被占这个关键信息，就是没能及时送到调度中心，后车还在按"正常速度"往前冲。

这就让人想不通了，调度员手里有录音里的信息，前车司机也喊过"我还在轨道上"，怎么就能稀里糊涂放行？其实这就是整套降级规则在设计上的窟窿，系统默认调度员永远清醒、永远记得住所有列车的位置，可人不是机器，关键时刻一个走神就是69条命。

交通大臣普恩特自己都承认，系统没恢复就恢复通车，他还补了一句：控制中心有足够时间发现错误，可就是没纠正过来。

半年之内两次大事故

光看这一起，是调度员粗心。可我们把时间线拉长，今年1月18日，就在同一条高铁线上，科尔多瓦那边，一列高铁脱轨，撞上对面开来的另一列，40多人没了。半年不到同一走廊两次高速事故，死了上百人。首相桑切斯放话，一年之内两次大事故，西班牙不能接受。

扎心的是预警早就有了，铁路安全部门、工会，这些年没少喊话。可喊归喊，整改落地没有？没有。安全不产生营收，不出事的时候，谁都不当回事。安全检查的节奏、设备的维护，恰恰是最好糊弄的环节。

西班牙铁路走的是欧盟那套网运分离模式，轨道、信号、调度归公共机构Adif管，跑车则放开市场。同一段轨道上，国营的Renfe、私立的Iryo混着跑。竞争有了，票价降了。可安全信息这块，各家车载系统、日志格式五花八门。调度中心得同时对接好几套系统，信息一乱，出事概率就上去了。

说白了，市场开放没错，问题是配套的安全底座没跟上。开放的速度跑在了标准化的前面。事故一出，马德里到安达卢西亚的高铁票直接停售，一直封到12月。国王费利佩六世也亲自跑医院，探望伤员。两列车上还有4名中国公民，1人腿部轻伤。

铁路安全工程有条铁律叫故障安全，单个设备坏掉、单个操作失误，都不该直接酿成灾难。高级别的防追尾功能，标准要求配独立的第二道、第三道屏障兜底。

可这次事故恰恰说明，降级模式下原本那套自动屏障下线了，人工接管又没给够硬约束。限速40码的规程，被一句"正常速度"顶掉。区间占用的二次确认，压根没人做。等于把一整列车人的命，押在了一个人的一念之间。

这不该是高速铁路该有的样子，速度越快留给人的反应窗口越短，容错设计的底线，不是要求人不犯错，而是设计一套机制，让人就算犯了错也撞不出人命。

安全冗余是刚性成本，不产生直接营收，在市场化的考核里天然容易被压缩、被延后。咱们国家高铁跑得快，靠的正是一层层不显眼的兜底在撑。

一场本可以避免的追尾，把16分钟、一句指令和69条命钉在了一起。事件还在查，责任还在扯，可大家都看得出来，问题不在某一个人，而在整套系统留的缝。西班牙这次，能不能把预警变成硬规矩，把安全兜底补到位就看怎么收场。

你说，高速列车这条线，到底该信人，还是该信系统？



参考资料：

央视新闻，西班牙托莱多高铁追尾事故首份技术调查报告

中国新闻网，西班牙高铁调度录音曝光：前车滞留，后车获准正常速度行驶

环球时报，三段录音还原西班牙高铁追尾全过程

新华网，西班牙科尔多瓦阿达穆斯高铁事故调查报告：钢轨断裂为核心线索

西班牙交通与可持续出行部（MITMA），阿达穆斯事故 24 小时初步通报

RTVE 西班牙国家广播电视台，SAM 监测系统提前 22 小时捕捉钢轨异常