第十三章 · 当司机看错时

第十二章留下一个数：指差确认之后，确认错误率约 0.38%。听起来很小，乘以全日本每天天文数字般的信号确认次数，剩下的小数点依然是不可接受的风险。人对符号的忠诚有极限，所以符号系统还有最后一块拼图：当司机对符号置之不理时，直接接管刹车的机器。

ATS：红色信号的铁面执法者

ATS（自動列車停止装置，自动列车停止装置）的原理一句话：信号机旁的轨道里装着地上子（第二章提过的地面应答器），列车压过它时，如果对应信号是停止显示而司机没有做出规定动作，车载装置就自己拉下紧急制动。

最早的 ATS-S 型其实留了个漏洞：司机闯过红灯时，驾驶室警铃大作，但司机只要在五秒内按一个确认按钮，车还能继续开——它只是「提醒」，不是「阻止」。几起血的教训之后，业界明白了：提醒防不住一个已经失神的人。于是主流的 ATS-P 型改了逻辑：地上子把前方信号状态连续传给车载电脑，电脑实时算出「你现在最多允许多快」的速度红线——一条从当前位置延伸到停车点的速度照査パターン（速度照查曲线，车载电脑算出的允许速度包络线），司机超速哪怕一点点，制动自动介入，一直刹到红线以下才归还控制权。它不跟司机商量，司机唯一能做的就是比它更早、更柔顺地刹车——于是 ATS-P 反而不常动作，像个从不出手但人人都知道他在场的裁判。

私铁还走了第三条路：変周式ATS（变周式 ATS，把限速信息调制成不同频率的电流，直接送进轨道电路，车上的接收器解读后自动照查速度）——不用埋应答器，轨道本身就是信道。第四章提速的京急用的就是这一族的 C-ATS：信号灯负责给人看，轨道电流负责给机器看，同一份指令，两种载体，各伺候各的读者。

司机自己倒下怎么办：EB 装置

ATS 防的是「看错」，还有一种更极端的失效：司机本人失去能力——突发疾病、猝倒。对策是驾驶台上一套低调的EB装置（紧急制动装置，俗称「死人开关」的警戒装置）：它持续监测司机的「活着迹象」——隔一段时间必须有操作动作（手柄、按钮、踩踏板，各家触发方式不同），超时没有动作，先报警音催促，再不响应，直接非常制动停车。它不判断对错，只确认「驾驶室里还有一个清醒的人」。这是故障安全逻辑推到最深处的一步：连「司机在场」这件事，都不允许被默认。

ATC：把信号机搬进驾驶室

新干线走得更远。1964 年东海道新干线开业时就做了一个当时世界首创的决定：线路上干脆不立行车信号机。时速 200 公里时，看窗外找一盏灯本来就荒谬——刹车距离几公里，等看见灯什么都晚了。所以新干线用ATC（自動列車制御装置，自动列车控制装置）：前方区间的占用信息通过钢轨以电信号连续送进驾驶室，驾驶台上的显示屏直接给出「当前允许速度」。司机面前的速度表上有一道会动的天花板，天花板降下来，司机就必须跟着降；不降，机器制动。

换句话说，本书前面讲的那一整套窗外符号——信号机、预告、阶梯式显示——在新干线上被整个内化了：窗外的语言翻译成了窗内的一根指针。早期 ATC 是一级一级的阶梯（210、160、110、70、30、0，逐段收速，活脱脱就是第四章信号阶梯的表盘版）；后来的デジタルATC（数字 ATC，把「阶梯」升级成一条连续刹车曲线的车载计算系统）改成一次刹到位：车载电脑知道前车位置，实时解算「从 320 公里匀减速到停」的最优曲线，区间利用率更高，乘坐也更平顺。窗外的六级阶梯，和驾驶台上那根连续滑动的指针，是同一份信息的两种排版——模拟时代是楼梯，数字时代是滑梯。

为什么信号可以消失，牌子不会

注意一个细节：新干线取消了行车信号机，却没有取消限速标、勾配標、公里标。区别在哪？信号机传递的是动态信息（前车在哪），动态信息由机器直接对接更可靠；而牌子传递的是静态事实（线路的脾气），静态事实留给司机的眼睛依然最便宜、最抗故障。哪些符号可以数字化、哪些必须留在窗外，这套取舍本身就是一份关于「什么信息该信任谁」的成熟判断。第九章说过的「命令与状态」两种句型在这里完成了交接：状态信息（前车位置）进了电缆，命令的最后执行权，还留在司机手边——直到它也被 ATC 收走。

兜底的兜底哲学

至此，防线全部到齐，按出场顺序回顾：

1. 符号告诉司机该做什么（第一至十一章）；
2. 指差喚呼把人的执行失误压到 0.38%（第十二章）；
3. ATS/ATC接住剩下的失误，EB 装置接住司机本人（本章）；
4. 而所有这些都服从第三章那条最老的元规则：任何一环失效，系统倒向停车，而不是倒向冒险。

四层防线没有一层是多余的，也没有一层被允许独自承担全部信任。这就是「准点到秒」背面那个更硬的成就——几十年、几亿人次的移动——的真正底座。

但还有一个终极拷问没回答：如果倒下的不是司机，而是系统本身呢？地震、停电、信号设备全灭——机器全数沉默的时候，这套语言还剩下什么？下一章，最后的保险丝。