時速40公裏與一句恢復全速：西班牙高鐵相撞事故的三層防護帳

西班牙高速鐵路從 1992 年通車到 2013 年，乘客死亡人數長年掛零。這個零在聖地亞哥德孔波斯特拉近郊一處彎道被改寫為 79；十三年後的 2026 年 10 月 28 日，又被改寫為 68。事發翌日公布的時間線與關鍵錄音顯示，相撞列車所處區段號誌系統故障，按規程應以目視方式行駛或限速每小時 40 公裏，調度員卻下令恢復全速。

西班牙是歐洲高鐵裏程最長的國家，路網近 4,000 公裏，全球僅次於中國。2013 年那場事故的成因，是列車以時速 179 公裏通過限速 80 的彎道，該線段當時尚未啟用 ETCS 自動保護系統；本次事故則發生在系統故障、保護離線的降級狀態。兩次事故的技術細節不同，結構位置相同：自動防護缺席的那一刻，安全交給了人。

一句「恢復全速」穿過了什麼

高速鐵路的安全體系通常由三層防護堆疊。第一層是車載與軌旁的自動保護系統（歐洲為 ETCS），持續監控速度與行車許可，超速即自動制動，由車載設備、軌旁應答器與無線閉塞中心構成，屬於資本支出大項。第二層是故障降級程序：系統離線時改以目視行駛、限速運行、指令書面留痕，這一層幾乎不花錢，靠紀律維持。第三層在駕駛端，司機員對明顯異常的指令握有最後否決權。

本次事故的鏈條是：第一層故障離線，第二層被一句口頭的「恢復全速」覆蓋，第三層沒有攔住。系統設計原則是故障導向安全，故障發生時自動趨向更保守的狀態；恢復運行的決策權則留在人手上。三層防護裡造價最高的一層離線時，接手的是造價最低的一層。

追責的焦點落在指令鏈。西班牙在 2005 年前後依歐盟指令完成網運分離：Renfe 負責列車運營，路網、號誌與調度歸 Adif，行車指令由 Adif 的行控中心發出。時間線公布當天，重啟指令的發出者與授權層級即成為輿論核心問題，中文平臺上單支解讀影片播放量已突破百萬。這個問題的答案，決定賠償與監管處分落在哪一個法人身上。

還有一層結構背景。2021 年起西班牙開放長途客運市場，法資 Ouigo 與 Iryo 相繼進場，Renfe 自推低價品牌 Avlo 迎戰，馬德裏至巴塞隆納走廊的列車密度明顯上升。列車越密，號誌故障觸發降級程序的頻率越高，調度員處置的次數越多，人因風險的暴露面就越大。疫情前鐵路在該走廊的市佔率約六成，這個份額建立在準點與安全的假設上。

安全預算的兩種記法

鐵路安全投入有兩種入帳方式。系統類投資（ETCS、聯鎖、行控）進資本帳，一次投入、按二十年攤提折舊；程序類投入（培訓、演練、紀律查核）進費用帳，年年編列，效果即期衰減。2013 年事故後，西班牙加速 ERTMS 全網覆蓋，裝設裏程居歐洲前列，這是資本帳的成果。覆蓋率解決的是正常狀態的安全；故障狀態的安全由程序與人決定，這部分多數以營運費用形式存在，預算緊縮時最先被砍，也最難被審計。

這與我們先前分析的把安全做成半年一結的科目可以對照著看：安全投入一旦被視為純營運費用而非資本項目，在預算週期裡的優先級往往讓位給看得見的擴張項目。西班牙的案例更進一步，資本化的那一層確實建起來了，費用化的那一層在事發當下失效。

事故後的採購日曆

回看歐洲高鐵史，重大事故後 12 至 24 個月通常是安全相關採購的密集期。1998 年德國艾雪德事故，ICE 列車因輪轂彈性環疲勞斷裂出軌，101 人罹難，德鐵隨後全面換裝輪對並重寫探傷制度，車輛檢測產業直接受惠。2013 年聖地亞哥事故後，西班牙推動 ERTMS 補裝，西門子交通、阿爾斯通、日立鐵路等主要供應商分食這輪採購。

本次事故指向的採購方向不同。問題出在降級狀態的指令管理，修補方向大致有兩條：把「恢復全速」的權限從人收回系統，故障區段由系統強制限速；或者將調度指令全面數位化留痕並自動校驗合規性，使口頭指令失去效力。前者涉及軟體與軌旁設備升級，後者是行控管理系統的替換，兩者都指向既有系統的更新週期提前。

監管端的反應速度值得留意。歐盟鐵路局的總部就設在西班牙瓦倫西亞，第四鐵路包框架下的共同安全方法賦予其修訂規範的職權。這與我們先前梳理的從嚴治理十三年的產業帳所呈現的路徑一致：一次重大事件對安全科目的改寫力，往往大於十年的例行監管。

指令鏈上的受惠與承壓

承壓端先看 Adif。若調查認定調度指令違規，賠償、罰款與人事責任沿指令鏈結算，其後續資本支出計畫也將接受更嚴格的安全審查。Renfe 與其他運營商承受客流風險：馬德裏至巴塞隆納是全球公空與鐵路競爭最激烈的走廊之一，事故後數月內的回流難以避免，低成本品牌的票價促銷會壓縮本已微薄的邊際。西班牙的軌道車輛出口商 Talgo 與 CAF 長期以出口為主力市場，本次事故與車輛製造無關，國家級系統品牌的信任折價卻難以完全切割。

受惠端集中在系統供應與認證兩側。行控自動化與指令管理系統的潛在買方覆蓋全歐洲網運分離市場，一旦歐盟層面修訂規範，採購將跨出西班牙。獨立安全評估與認證機構的業務量同向上升。再往技術路線看，ETCS 往 Level 3（移動閉塞）演進的論述將獲得新的政策動能，Level 3 的賣點之一正是行車許可的連續數位化管理。

賠償結構沿兩條線走。人身損害依成員國責任法與責任險結算，Adif 與 Renfe 之間的攤分取決於指令責任的認定；歐盟鐵路旅客權利條例的補償框架只覆蓋延誤與取消，對本次事故而言屬於末端小項。真正的成本在訴訟期間：法律程序以年計，期間的輿論壓力會持續轉化為監管要求的加碼。

三種情境

情境一，程序整改。調查止於個別調度員違規，賠償了結、培訓加強、查核加密，資本開支增量有限。這是最省錢的收場，成立前提是指令管理系統被認定無設計缺陷。

情境二，系統性整改。調查認定口頭指令可繞過限速屬於程序設計缺陷，歐盟層面修訂安全規範，強制故障區段系統限速與指令數位留痕，觸發一輪橫跨歐洲的行控系統更新採購。這相當於 2013 年 ERTMS 採購潮在降級程序這一層的重演。

情境三，信任危機。客流結構性流失，鐵路替代短途航空的歐盟減排進程在伊比利亞半島受挫，營運與保費成本上升壓縮低成本品牌的補貼空間，市場開放的腳步放緩。這個情境的觸發條件是後續調查再揭出系統性疏失。

68 人的代價最終記進哪個科目，取決於調查把成因定位在個人的違規，還是程序的設計。前者只需要一份調查報告，後者將改寫歐洲鐵路未來十年的安全採購清單。高鐵安全的帳本裡，造價最高的那層防護故障率最低，造價最低的那層卻承接了故障狀態下的全部重量，這次問責，實質是對這本科目配置帳的重算。