一道红灯亮着，一列高铁在红灯下以200公里的时速跑了25公里，撞上停在前方的另一列高铁，3节车厢脱轨坠下路堤，68人遇难。事发在10月28日上午的西班牙托莱多省乌尔达附近，马德里开往塞维利亚的线路上，两列车载着约540名乘客。

官方时间线是这样：8时30分左右，三台电脑出现通信故障，乌尔达车站的控制系统瘫痪，全长63公里的区间失去安全保护，区间内列车随即自动制动停驶；随后马德里阿托查的调度控制中心接管指挥权，向停在后方约25公里处的西班牙国家铁路公司列车下达指令——断开连接，重新连接，恢复正常速度行驶；8时36分到8时52分，这列车在红灯信号下推进25公里，撞上了伊尔约公司停在前方的列车。

伤亡数字是按小时往上跳的。截至28日18时，68人死亡、77人住院治疗、15人伤势严重。桑切斯赶到现场，宣布自29日起全国哀悼三天，现场搜救官兵增至200名。中国驻西班牙大使馆通报，相撞列车上有4名中国公民，1人腿部受轻伤，暂无中国公民死亡报告。

很多人会觉得，设备坏了属于天灾，追责追不到谁头上，顶多算调度员倒霉赶上了。交通大臣普恩特当天下午的定性是"电脑通信故障叠加人为指令错误"，不少人看到前半句就停住，认定系统先崩，后面都是被动的。

这个想法有道理。调度员面对的是干线停摆、540名乘客困在区间，晚点越久压力越大，先把车放出去恢复通行，看上去是在解决眼前最急的问题，指挥权也确实在他手里。

关键卡点在于，铁路这套系统从来不是按"设备不会坏"设计的，恰恰是按"设备一定会坏"设计的，坏掉之后做什么写在规程里：系统故障区段，列车以目视方式运行，或者限速40公里。这条规程说明设计者早就想到会有通信中断的那一刻，也会想到有人急着放行，40公里就是留给误判的缓冲。

这次坏的不只是电脑。第一层冗余是设备，前方线路被占用时，即使司机不踩刹车，连续式列车控制系统也该自动把车停住，澎湃新闻援引《卫报》报道，西班牙高铁用的正是这套LZB技术，正往ERTMS过渡；可通信断了以后，这套自动防护还能不能看见前车，本身就是问号。第二层冗余是规程和人，系统让列车停了下来，停在哪儿、后面有没有车、能不能放行，全靠人判断，这一层只需一句口令就能绕过。

西班牙不是第一次付这种代价。2013年7月，加利西亚圣地亚哥—德孔波斯特拉近郊的弯道，一列列车远超限速过弯脱轨，死难者近80人，西班牙国家铁路公司的调查结论写得干脆：唯一原因是超速。13年前出事的位置在司机手上，这次换成了调度员的口令，位置变了性质没变，都是人在系统边界之外多走了一步。

该追问的不是电脑为什么会坏，而是故障之后三道口子为什么同时开着：列车为什么停在正线上而不是先被引导到安全位置，一句口令为什么能盖过红灯，放行之前有没有第二个人复核、有没有确认前车已经离开。桑切斯说要彻查到底，这话的分量不在追一个人，而在把这三道口子堵上。

话说回来，这事不该被读成"人不如机器可靠"。自动制动在该动作时动作了，把车停住了；真正把风险接到手上的，是系统失效之后的人工接管，而人工接管最怕的不是慢，是快，怕的是没确认前方就用一句口令把速度还回去。设备越先进，人兜底的次数越少，单次兜底的份量越重，兜底的动作也就越该被流程卡住，而不是交给现场的判断。