跑道上的幽灵

国际民航组织关于跑道安全的那份文件没有配图。没有照片展示两架飞机在跑道上相距十九米时，机翼下的阴影如何交叠。没有表格列出洛杉矶机场塔台两份交接记录之间，哪些字节没有被说出口。

但文件里有一段话，后来被反复引用：跑道侵入不是一种罕见事件，它是一种与机场容量同步增长的事件类型。定义写在文件的第三页：在机场保护区内，航空器、车辆或人员未经许可，或错误地进入跑道。

定义下方是分级。A级，事故；B级，严重冲突，存在极大碰撞风险；C级，有足够间隔；D级，无直接后果。

公文语言总是冷静的。它把最危险的场面压缩成几行标准词。但熟悉机场运行的人知道，这个定义的背后，是塔台管制员抬头的那一瞬——他看见两架飞机同时进入同一条跑道，而自己的指令已经发出去了。跑道上的幽灵，从来不是文件里那几行字能装得下的。它只在某个具体时刻、某个具体位置，从地面雷达的盲区里、从两套通话的错缝里、从两名管制员各管一段的静默里，突然现身。1977年3月27日，特内里费机场。

两架波音747在跑道上相撞，五百八十三人遇难。那是民航史上第一次，跑道冲突以如此惨烈的方式暴露在世人面前。调查组把塔台录音、舱音记录、机场平面图拼在一起，写出了一份真正系统讨论跑道安全的文件。

报告的措辞并不温和。它指出，在特内里费那个被浓雾封住的下午，荷兰皇家航空的机长在没有明确起飞许可的情况下推了油门，泛美航空的机组仍在跑道中段寻找出口，而塔台管制员和两架飞机的机组都没有足够的工具去确认跑道上到底有什么。

那份报告给出了两个方子：装地面雷达，统一通话用语。各国照此办理。雷达天线在各个大型机场竖起来，标准术语写进训练手册。航空业一度认为，跑道上的幽灵已经被技术驱逐。

洛杉矶机场装了自己的场面监视雷达，美国联邦航空局把跑道侵入纳入安全指标，欧洲各国民航当局也先后跟进。每一次塔台通话都开始套用标准句式，每一个跑道穿越许可都被要求完整复诵。数字一度出现好转。

批评者说，跑道安全已经从经验管理进入了技术管理。然后洛杉矶就响了。

1991年2月1日傍晚，洛杉矶国际机场24R跑道南侧，塔台里两份交接记录上的几行字，把这个问题重新推回前台。而这次，它换了一副更隐蔽的面孔。

调查卷宗里，那两份交接记录很短。一份写着降落席位的交接状态，一份写地面放行席位的交接状态。两个席位离得不远，同处一间塔台，但各看各的屏幕。记录上没有任何一处要求两个席位互相确认跑道是否清空。

调查员后来把记录和塔台录音、雷达数据放在一起比对，发现了一个此前机场运行中常见却不被正视的现象：跑道这个最关键的空间，在高峰时段里，竟然没有一个固定的“清空”确认动作。两个人都觉得自己看见了全貌，其实谁都只看见了一半。

那一年，洛杉矶机场还没有后来的场面监视雷达系统对地面进行连续扫描。塔台管制员的主要手段，是一部覆盖并不完整的终端雷达，加一双向窗外瞭望的眼睛。机场有四个平行跑道，两条主跑道在傍晚高峰时段同时用于降落与起飞。24R跑道靠内侧，一端连接着多条滑行道，另一端靠近停机坪出口。

高峰时段，起飞飞机要从滑行道进入跑道端口排队，降落飞机则以每分钟接近一架的间隔接近。塔台把工作切成两个席位：一个管落地，一个管地面放行。两个席位坐得不远，但各看各的屏幕，各拿各的话筒，各有一份独立的航班单。

傍晚接近六点，全美航空1493航班出现在终端雷达上。它是一架波音737-300，从哥伦布经锡拉丘兹一路飞来，正在执行最后进近。机舱里一百多名旅客已经系好安全带，准备在洛杉矶落地后各自散去。

天西航空5569航班，一架费尔柴尔德梅特罗三型通勤飞机，停在24R跑道与相邻滑行道之间的等待区，机上十二人。它已经完成了滑行程序，正在等待进入跑道的指令。

两架飞机，一个在高空下降，一个在道口等待，距离越来越近。雷达屏幕上看得到前者，看不全后者。

塔台里，管降落的管制员刚刚接过1493航班，例行通报了跑道编号，给出降落许可。1493机组确认。几乎在同一时段，管地面的管制员正在处理5569航班。他在滑行道上指挥着几架飞机，把5569暂时留在原地。

两边的通话彼此独立，声音在同一个塔台里交错。地面管制员没有插话告诉落地席位：24R跑道端口已经有一架飞机在等待。落地席位的雷达屏幕上，等待飞机所在的位置正是那部终端雷达最不可靠的区域。它一闪一灭，有时清晰，有时被机场建筑和滑行路面的回波吞掉。

这就是第一个致命的盲区。不是人的眼睛看不见，而是人依赖的屏幕看不见。雷达天线装在塔台顶部，电磁波向下扫射时，会被机库、廊桥、停放的飞机、甚至跑道标识牌挡住一部分。飞机在那些区域内，就像一个走进了监控死角的人。他还在那里，但屏幕上没有他。

管制员的视觉被设备限制住，又被薄雾进一步压缩。傍晚的洛杉矶机场，咸湿的海雾从西边漫上来，落地席位向外看，目视距离已经不足以判断跑道端口是否完全清空。他向自己的屏幕确认了一遍，没有发现24R上有目标。于是他继续指挥1493航班最后进近。这是第二个致命环节。系统没有把正确信息送到正确的人面前。

1493航班机组在下降途中，从驾驶舱向前看，跑道灯光笔直延伸，地面视野在雾中有些朦胧，但跑道本身看起来是清的。他们的注意力放在航向、下滑道、速度上。没有人提醒他们：前方跑道中段偏左，还有一架梅特罗三型正在等待。即便有人这时候在无线电里喊一声，1493的驾驶舱也没有理由把它跟自己的落地许可联系起来。他们听见的是“允许降落24R”。跑道自然应该是空的。在他们的信息环境里，一切正常。

晚上六点零七分左右，1493航班主轮触地。飞机在跑道上减速的一刹那，机头前方突然出现一个金属轮廓。那是一架梅特罗三型通勤机的尾翼，横在24R跑道上。距离太近，速度还高。

737的左翼切过通勤机上部，撞击后失控偏出，机身冲入跑道左侧的一处废弃消防站。事故现场燃起大火。全美航空1493航班上二十二人遇难，天西航空5569航班上十二人，只有两名旅客幸存。三十四条命在一条跑道上同时消失。

在随后的事故调查中，美国国家运输安全委员会调取了塔台通话和雷达数据，确认了两条线。一条是地面雷达的盲区，正好覆盖了24R接近入口和等待区。另一条是塔台席位之间的协调程序：两名管制员各管一段，却没有任何强制性的口头交接来确认跑道是否清空。

洛杉矶机场不是第一座这样运行的机场，1493不是第一架在雷达盲区里消失的飞机，那名落地管制员也不是第一个在屏幕上看不见跑道端口目标的管制员。

但这份报告把“跑道侵入”作为独立的事故类别写了进去。在此之前，跑道冲突往往被归类为普通的管制差错或飞行员失误，处理方式是个人担责、个人培训、个人处分。报告改变了这个框架：跑道侵入是一个系统性问题，必须有人为系统负责。

几乎联邦航空局在全国范围开展了一次地面雷达覆盖评估。结果比预想的更难看：许多大中型机场的场面监视雷达，在跑道交叉口、滑行道拐角和靠近航站楼的区域，都存在类似盲区。

塔台管制员在高峰期往往只能靠目视补盲，而大雾、暴雨、夜间和繁忙的滑行流量，会把这些盲区顶成无法弥合的认知缺口。

报告之后，联邦航空局强制要求商用机场安装地面运动雷达，并推行跑道侵入预警系统。机场和航空公司也重新梳理了塔台席位之间的协调口令，把“跑道清空”从惯例变成确认动作。这是洛杉矶空难最直接的制度后果。

地面运动雷达和跑道侵入预警系统，从美国的商用机场起步，逐渐向全球扩散。欧洲、亚洲的新建机场从一开始就把场面监视纳入设计标准，老机场则分批改造。雷达不断升级，从单一的地面雷达，到多点定位、自动相关监视广播系统，再到跑道状态灯。技术补丁确实越打越多。

管制员的屏幕上，地面目标从模糊的亮点变成了带有标识的航迹，任何进入跑道保护区的目标都会触发红色告警。跑道侵入的发现速度变快了，预警的清晰度也提高了。

但洛杉矶机场的教训是否真的让跑道变得更安全？答案在一段时间里看起来是肯定的。

地面运动雷达逐步普及，标准通话用语被反复训练，塔台席位职责也写得更细。可是机场流量没有停。

洛杉矶机场每周的起降架次继续攀升，欧洲和亚洲的主要枢纽也进入大规模扩建。跑道数量没有成比例增加，滑行线路却越来越复杂。

到了二十一世纪头十年，全球航空旅客数量翻了两倍有余，高峰时段的跑道占用时间被压到极限。塔台管制员在高峰小时里的通话负荷，常常达到每两分钟处理十几条指令的水平。地勤车辆、施工区域、新增出口道，把机场平面图填得更满。

技术补丁打了，运行压力却把整个系统推向新的阈值。2016年10月11日，这个被推高的阈值在上海虹桥机场显形。虹桥是中国最繁忙的机场之一，双跑道运行，高峰小时起降架次连续多年逼近容量上限。

上午时段，一架中国东方航空的A320正在36L跑道准备起飞。机上载有一百四十余人，飞行计划是前往天津。按照流程，飞行员已经完成起飞检查，请示塔台后得到“可以起飞”的指令。机长推动油门，空客开始加速，发动机声音在驾驶舱里线性上升。

速度从零向抬前轮那一刻爬升。旁边的平行滑行道上，一架中国东方航空的A330刚刚从停机位推出，正按指令滑行，目的地是北京。它在穿越36L跑道前，需要获得塔台的独立许可。录音记录显示，塔台管制员正在处理多个通话，滑行指令发出后，A330机组的复诵确认中包含了“穿越36L”的信息。

但此后的指令链条出现了混乱。A330在无线电里的复诵没有覆盖到A320机组所在的频率。A320的机长和副驾驶都在紧盯前方仪表和跑道中线，没有人听到“A330正在穿越跑道”这句话。他们掌握的信息只有一个：我们已经获准起飞，跑道此时属于我们。而A330的机组掌握的信息也只有一个：我们获准穿越，跑道应当是清空的。

两套信息在同一座机场、同一条跑道上平行展开，却没有交叠。A320的速度已经超过二百公里每小时，接近抬头速度。跑道前方左侧，A330的庞大机身正在横向进入跑道区域。

A320机长在最后阶段发现了前方横向移动的轮廓，但滑跑速度太高，这一架刚刚加满油的客机不可能在几十米内停下。

他当机立断，提前带杆离地，以最大爬升能力跃过。两架飞机的垂直距离，事后测算只有十九米。十九米，在民航运行里连一个机身的高度都不到。A330的机长在事后调查中描述，他看到A320从自己上方掠过。

跑道上的胶痕、监控视频、舱音记录，后来都被调取。一次相撞在物理上几乎已经发生。

虹桥塔台的调度负荷，是这次事件的底色。当时机场正在应对航班流量的早高峰。塔台席位上的管制员同时面对多个不同运行需求的航班，其中既有准备穿跑道的滑行航班，也有正在地面等待的、请求进入跑道的，还有已经在最后进近请求落地的。每一个指令都要在几十秒内做出判断，任何一方听错或没听到，都可能形成冲突。

虹桥的场面监控系统在当时并非没有跑道侵入告警能力，但预警系统的告警阈值与响应流程存在滞后。那个最关键的十几秒钟里，塔台没有能抢先发布强制指令来制止冲突。

系统没有第一时间把冲突推送到管制员的注意力焦点里。管制员在事后回忆中难以还原自己当时看到的屏幕细节，只记得手边有多个未处理目标，而整个塔台笼罩在极端紧张的气氛中。

与洛杉矶不同，虹桥事件没有造成伤亡。但中国民航局把它定性为一起严重的跑道侵入事故征候，其严重程度几乎等同于一次致命事故。

调查组从人、机、环、管四个层面打开整条链条。人的层面：塔台管制员连续工作时段中，疲劳和注意力分配出现明显下降。A320机组对自身所在频率之外的信息无从感知。A330机组按指令执行穿越，却没有人能在冲突发生前重新校正跑道占用状态。

机与环的层面：当时虹桥的场面监控多源数据融合程度不够，机场场面探测设备对滑行穿越的航迹追踪存在断续，告警在几个关键节点被延迟。管的层面：跑道侵入的应急协调机制停留在桌面推演阶段，没有在高峰时段的高压下被反复演练。

这份报告在中国民航内部被反复讨论。它导致了一轮关于跑道安全的系统整改。

上海虹桥、北京首都、广州白云、深圳宝安等主要机场逐步安装跑道状态灯系统。那些埋设在跑道道面边缘、在跑道被占用时自动亮起的红灯，不再依赖某一位管制员手动发布警示。只要地面探测网络判明另一架飞机正在进入受保护区域，相关跑道的进近与起飞状态就会被视觉警示直接戳到机组眼前。

自动相关监视广播系统也被纳入升级方案，让更多飞行器与塔台共享位置。中国民航局同时修订了跑道侵入防范与应急的咨询通告，把塔台双岗协调、高峰时段交接、穿越许可发布等环节进一步细化为可复核的动作。

可是，即使在这之后，跑道侵入事件依然存在。美国联邦航空局的年度数据里，跑道侵入的总数从没有因为哪一项技术而降到零。欧洲航空安全局的统计里，严重跑道侵入的发生率在流量快速恢复的年份总会跳升。

安装状态灯、升级场面雷达、推行广播式自动相关监视，这些措施改变的是发现冲突的速度和告警的清晰度，并没有改变一个根本变量：跑道这个空间，被越来越多的飞机在越来越短的时间里反复争夺。

每一架飞机都要在跑道上完成加速、减速、等待或穿越。任何一个指令迟一秒、任何一次通话漏掉、任何一个雷达回波弱下去，都可能再次召来那个幽灵。

1991年2月傍晚的洛杉矶，塔台里两名管制员各管一段的静默，与2016年10月上午的虹桥，塔台里被高负荷裹挟的管制员错过关键冲突，相距二十五年。一处在太平洋东岸，一处在太平洋西岸。一宗以撞击和死亡收场，一宗靠十九米的垂直距离逃过。

技术条件截然不同，运行环境却惊人相似。它们都不是某个人一时糊涂的结果。洛杉矶的落地管制员不是没有训练，全美航空的机长不是没有经验，虹桥的A320机长在冲突前的拉起动作甚至是果断的。

每个人在自己的信息茧房里作出自认为正确的决定。正因为如此，事故调查最后指向的都是同一句话：系统没有把正确的信息送到正确的人面前。这就是跑道侵入最令人不安的地方。

高空相撞风险有空中交通管制系统去化解，机舱设备故障有冗余设计去兜底，飞行操作失误有训练和检查去校正。

但跑道侵入的根源不在某一个人，也不在某一个设备。它的根源是机场地面资源的结构性稀缺：跑道数量几十年里没有大幅增加，航空需求却翻了几番。

每一个高峰小时里，管制员都要在极短的时间内完成大量判断，而判断的依据，永远只是屏幕上那一个个不完整的亮点和无线电里一句句可能被误解的通话。系统越复杂，信息分散得越厉害，判断的窗口越窄。技术进步可以把判断速度提高几秒，但无法消除判断本身。

这是对线性进步史观最实际的回应。航空安全史常常被讲成一部线性进步史：每出一次事，打一个补丁，系统就永久更安全一分。这个框架并非没有依据。地面运动雷达从无到有，场面监视从单点到多点融合，跑道状态灯从实验到推广，这些改变确实救下过许多次未遂相撞。

可跑道侵入的次数和机场流量的增长轨迹并排放置时，线性进步史观就被晃动了。技术进步的速度不慢，但流量增长的速度也从未停止。技术补丁每打一个，风险就以新的形式出现在下一个更复杂的位置。

在虹桥事件的调查材料里，有一段舱音记录没有对外全文公布，但参与调查的人后来在内部讨论中反复提起。

A320机长在起飞滑跑的最后阶段，眼睛盯着前方跑道中线，余光扫到一个横向移动的灰色轮廓。那个轮廓在他视野里出现的头半秒，他的大脑还在处理它到底是什么。是一辆车？是一架停错位置的飞机？还是塔台刚才漏掉了什么？他事后说，那一瞬间他想不起来任何一条标准程序可以套用。操作手册上写的是中断起飞的条件，写的是发动机失效、火警、方向失控，没有一条写“前方突然出现一架横穿的A330”。

他的决定不是查手册查出来的，而是训练和本能在那零点几秒替他做的——带杆，提前离地，哪怕速度还没完全到位。这个动作救了飞机上一百四十多人。

但它同时暴露了一件事：当系统把一个人推到必须靠本能做决定的位置时，这个系统的设计就已经失败了。

对比洛杉矶空难的舱音记录，全美航空1493航班的机长在触地后根本没有那半秒。他看见梅特罗三型尾翼的时候，距离已经不足以让任何操作改变结果。撞击前，他的最后一句话是对副驾驶喊了一声，但内容在后来的录音里分辨不出来。

这两个瞬间相隔二十五年，一处在太平洋东岸，一处在太平洋西岸，中间隔着整个场面监视雷达技术的升级换代、两代塔台协调程序的改进、以及跑道侵入预警系统从无到有的全过程。但那一刻的驾驶舱里，两个机长面对的是同一个局面：他们知道的，和他们需要知道的，之间有一道沟。

不是他们不够专业，而是没有人把沟对面的东西送过来。洛杉矶的管制员不知道全美航空1493的跑道前方有飞机，虹桥的A320机长不知道另一架飞机正在穿越。

这个“不知道”在两个时空里用几乎完全相同的方式成形：信息在系统里分散存在，但在最关键的那个节点，没有被整合到同一个人的认知里。

调查报告中有一个被反复圈出的细节：虹桥塔台当时使用的场面监控系统，在理论上完全可以探测到A330进入跑道保护区的动作。但系统的告警触发后，并没有在管制员的工作站上形成最高优先级的强制弹出。告警信息被叠加在已经密密麻麻的航迹标签里，和其他几条提示并列显示。管制员的注意力窗口被七八个目标同时争夺，那一条告警没有抢赢。

而洛杉矶塔台，连这个告警机制都不存在。场面雷达的盲区让那架梅特罗三型干脆从屏幕上消失，管制员的认知缺口不是被分散的注意力切开的，而是被物理上不可见的一切直接挖出来的。

两种不同的技术漏洞，在人的决策环节汇合成了同一种后果：管制员没有发出警告，机组没有接到警告，两架飞机各自按自己的信息行动。

这也许是跑道安全最隐蔽的陷阱。公众往往以为事故是一连串故障的产物——雷达坏了，通话断了，有人失职了。但这两起事件里，所有设备都在运行，所有人都在做事，每一句通话都符合规定。雷达在扫，只不过它在那个位置扫不到。告警在响，只不过它响得不够响。两个席位都在指挥，只不过他们之间没有一句多余的话。系统在名义上完整，在实际上漏了一个洞。这个洞不在硬件里，也不在某个人的技能里，而在信息流动的设计里。

虹桥事件之后，中国民航局派出的调查组做了一件超出常规的事情：他们没有止步于查虹桥。他们把当时全国几大繁忙机场的场面监控告警日志全部调出来，做了一次横向对比。

结果发现，告警触发频率远高于业内的一般认知，而其中相当比例的告警在触发后被管制员手动取消，因为管制员判断那是“已知的冲突”或者“系统误报”。问题在于，这些判断本身就没有时间被复核。高峰时段里，告警一多，管制员的应对策略就变成了筛选。筛选的标准不是系统给的，是经验给的。而经验在某些时候会漏掉真正的危险。

洛杉矶的管制员如果面对一个会告警的系统，他会不会也因为告警太多，把真正的冲突判断成已知的滑行？报告没有做这种假设性追问，但读的人不可能不想。

因为二十五年前在太平洋对岸的塔台里，他连告警都没有。二十五年后在上海的塔台里，告警有了，却被淹没在更多的信息里。

这两条时间线并置的时候，一个更让人不安的图景浮现出来。技术补丁打上去之后，确实改变了某些东西。地面运动雷达把洛杉矶的那种物理盲区从大型机场里逐渐消灭了。跑道状态灯把虹桥那种依赖管制员手动警示的滞后，部分转成了自动视觉信号。但流量增长没有停。洛杉矶空难那年，美国全国商用机场的年起降架次大约七千万。

系统安全阈值不是被永久抬高，而是被推到一个新的压力点上，随时可能被更高的流量压垮。

这并非反技术的论调。一个人不必否定雷达、状态灯和自动相关监视广播系统的价值，也能看清一个基本事实：所有的技术补丁都是在已知风险上做增强，而跑道运行最大的未知变量正是流量本身。旧的补丁解决旧的问题，新的流量带来新的盲区。安全半衰期不是在空间维度里缩短，而是在时间维度里缩短。每一个大型枢纽的跑道系统，都在经历同一个循环：设备升级，容量放松，流量继续增长，新的冲突点出现。这不是中国的问题，也不是美国的问题，而是所有繁忙机场共同面临的结构性困境。

洛杉矶事故之后，人们知道雷达有盲区。虹桥事件之后，人们知道告警需要进入管制员的有效视野。可以想见，下一个繁忙机场的高峰时段，仍然会有另一种形式的盲区，在某一部新设备和新流程的边界处形成。

它也许不在雷达照射的阴影里，也许不在两个席位之间的交接工序里，而在一部新装的状态灯系统与旧有的塔台运行习惯之间的落差里，在一个高负荷管制员被多个告警同时轰炸时的选择偏差里。这些盲区不是无法预见的。它们正是机场运行密度逼近容量极限时必然出现的东西。

洛杉矶的两名管制员没有恶意，虹桥的A320机长没有失控，A330机长没有抗命。他们只是不知道，彼此的世界正在同一条跑道上交叠。这个“不知道”，不是哪一个人的疏忽，而是一套在流量压力下运转到极限的系统，在特定时刻无法把关键信息送进该知道的人的眼睛和耳朵里。技术可以延迟这个时刻的到来，但无法取消它。

因为跑道不会增加，天空却永远越来越挤。安全补丁在追，流量在跑。这场赛跑，自特内里费那个雾夜起，至今没有跑到终点。