10月28日乌尔达那场追尾，我翻来覆去看了几遍事故过程，最让我在意的不是死伤数字，而是一个反常识的细节。两列车共载约544人，Renfe列车追上了前方停驶的Iryo列车，多节车厢脱轨，部分冲下路堤。
现场救援机构透露68人死亡、上百人受伤，西班牙首相桑切斯宣布全国哀悼三天。可这起事故既不是道岔脱轨，也不是迎面相撞，而是高速铁路理论上最该被信号系统拦住的那种追尾。
铁路的闭塞区间逻辑并不复杂。
前车还占着区间，后车就不该拿到通行许可，列控设备还会根据距离自动限速甚至停车。
可当天马德里到塞维利亚线的LZB连续列车控制系统出了故障，附近约8列车因此停车。线路随后切到侧线信号闭塞和ASFA备份系统运行。
Iryo列车没有恢复行驶，仍停在前方区间里，但马德里阿托查控制中心一名调度人员疑似向后方Renfe列车发出了继续运行的指令。
西班牙政府消息人士把信号故障后的人工放行错误列为首要方向，正式调查还没结束。
我想说的是，真正值得追问的地方不在那列德国血统的S-103，也不在那列意大利红箭1000。
Renfe的S-103原型是西门子Velaro E，兼容LZB、ERTMS和ASFA多套列控。
Iryo的ETR 1000由日立铁路和原庞巴迪体系联合制造，后者如今归阿尔斯通。相撞的车是德国、意大利、日本、法国工业体系的拼盘，可线路和调度归西班牙管。乌尔达追责的重点大概率不会落在某一列车身上，而是信号故障、闭塞占用信息、调度录音和列车数据记录仪。
我注意到一个容易被忽略的环节。
LZB能连续监督速度和前车距离，后车接近被占用区间时系统会自动压低允许速度。
切到ASFA后，系统主要在列车经过地面应答设备时核对信号状态，自动保护的连续性明显下降，调度员和司机执行命令的分量随之加重。原文提到即便这样，红灯前仍应存在紧急制动保护。
所以调查要查清四件事：前方区间是否正确显示占用，调度员下了什么命令，后车有没有越过红灯，ASFA为什么没在撞击前把车停下来。不能一句人为失误就把系统设计和管理责任全抹掉。
这就引出一个我很想讲的判断。
设备故障不可怕，铁路安全本来就允许降级运行。可怕的是降级程序把太多判断压在一名调度员、一条口头命令或者一次信号确认上。单点失误一旦穿透多层防线，后果就是灾难性的。
西班牙这条马德里到塞维利亚线全长约471公里，1992年投入商业运营，已经跑了34年，恰好进入大规模更新阶段。
Adif正投入超过7亿欧元更新钢轨、轨枕、道岔、桥梁、电气设备和通信系统，同时加装ERTMS二级。
官方理由是线路老化，加上铁路市场开放后车次明显增加，旧系统得适应更大通行压力。
于是就出现了青黄不接的局面。
老设备还在跑，新系统正在装，多家运营商用不同型号列车，调度人员还得同时熟悉正常、降级和故障三套行车方式。今年1月18日安达卢西亚阿达穆斯那次脱轨相撞，造成46人死亡、150多人受伤，调查主要怀疑钢轨断裂或焊接缺陷。
两起事故机制不同，却同时把压力推向了线路维护、列控备份和运营管理。
我也不想把西班牙高铁一棍子打死。按欧盟统计，西班牙2024年拥有3192公里时速250公里以上的专用高速线路，规模居欧盟首位。
公开数据里，西班牙2023年每百万人口铁路事故死亡人数低于1人，仍处于欧洲较低水平。
两起重大事故在同一年出现，更多说明风险高度集中暴露，不能证明长期事故率已经高于别国。
可正因为线路规模大、车次密、系统还在换挡期，乌尔达这起追尾才更值得当成一面镜子。它问的不只是谁下错了命令，而是一条高速铁路在主列控失效之后，第二道和第三道防线为什么没有兜住。车是谁造的可以查，信号和调度是谁管的更得查清楚。