长眼睛的列控与飞控

谭永东

提出问题

从列车自动控制，Automatic train control， ATC，

到空中交通控制，Air traffic control， ATC，

经历了从二维到三维空间的升维，也经历了人无所不能可以控制一切，到长眼睛的列控与飞控的范式转移。

723证明了这一点，

未来高密度的低空飞行也将证明这一点，

桥梁断了车继续往前冲的瞎子证明了这一点。

一天到晚到处谈智能，好像没有抓住重点……

导读

Control 正在退居后台，Perception（感知）成为前台。

从“集中式上帝视角”到“分散式边缘生存”的范式转移。

真正的范式是“分散化协同”——每架飞行器必须像鱼群或鸟群，仅依赖局部感知和内嵌的冲突解脱算法（如几何避让定理）自主决策。

局部简单规则，如何演绎出宏观复杂行为，想想分形与生命游戏(life of game)。

要警惕那种试图用海量数据覆盖所有偶然性的穷举式傲慢。高可靠性控制，最终拼的是“应对未知未知”（Unknown Unknowns）的韧性，而不是“已知已知”的绣花功夫。

真正限制智能系统的，往往不是推理能力，而是获得真实世界信息的能力。没有可靠的感知，再聪明的大脑，也只能建立在错误的信息之上。

交通控制2.0，不是让机器更会控制，而是先让机器长眼睛。真正的ATC，不是Automatic Train Control，而是Automatic Truth Cognition——持续感知真实世界，并依据真实世界进行控制。

未来真正困难的不是控制，也不是看到，而是理解。

例如：前方有一个目标。

控制器知道它的位置；视觉知道它长什么样。真正困难的是：它下一秒准备干什么？这是认知，而不是控制。

这段话触及了交通控制领域一个根本性的认知转变——从"包办"的集中式控制(CTC)，到"感知-认知-决策"闭环的分散式决策。下面，顺着这个思路展开谈一谈。

一、723事故：一场"瞎子"系统的悲剧

2011年7月23日甬温线动车追尾事故，本质上是一个感知层失效导致的级联灾难。

事故的直接技术原因已经查清：雷击导致温州南站LKD2-T1型列控中心保险管F2熔断，采集驱动单元失去供电后，系统没有按"故障导向安全"原则(请注意这一原则的双主体性∶系统故障→导向→人的安全)处理，而是持续发送故障前最后一次采集的"无车占用"信息。列控中心主机收到故障报警后，未采取任何防护措施，继续依据过时的状态信息控制信号显示，导致D3115次列车占用区间后，信号仍错误显示绿灯，D301次列车据此冲入区间发生追尾。

关键缺陷在于：系统没有"眼睛"。

PIO采集电源仅有一路独立电源，两路输入采集来自同一源点，无法构成安全比较。当感知层"瞎了"，整个控制逻辑就建立在虚假数据之上。这不是智能不够的问题，而是根本没有形成"感知-认知-行动"的闭环——系统不知道自己已经瞎了，还在继续指挥列车。

调查组明确指出，该设备"不符合安全防护要求"，"未能保证提供的信号产品达到'故障导向安全'的根本要求"。 这恰恰印证了我的判断：一个不能自我感知状态的系统，无论算法多复杂，本质上都是"瞎子"。

二、从"二维"到"三维"：升维带来的范式革命

ATC（列车自动控制）到ATC（空中交通控制）的升维，确实不只是空间维度的增加，更是控制哲学的根本转变：

铁路系统长期依赖"轨道电路占用检测+地面信号机"这种间接感知模式——列车是否在某区段，是通过轨道电路的电气特性间接推断的。一旦轨道电路或列控中心故障，系统就失去了对真实世界状态的感知能力。而航空领域从早期就强调直接感知（飞行员目视、雷达探测），并逐步发展出ADS-B（广播式自动相关监视）等"每个飞行器都在广播自己位置"的自律分散式感知架构。

三、"长眼睛的列控与飞控"：感知闭环的觉醒

"长眼睛"，是指系统具备对自身状态和环境状态的实时感知与验证能力。

723事故后，中国高铁信号系统进行了全面整改，LKD2-T1型设备被停用，CTCS标准体系不断完善。更重要的是，行业开始意识到：安全不是控制出来的，是感知出来的。没有可靠感知，控制就是无源之水。

低空经济时代的到来，正在加速这一范式转移。传统ATC（空中交通管制）依赖管制员集中指挥，面对未来高密度、高自主性的低空飞行（无人机、eVTOL），这种模式完全不可行。因此UTM（无人机交通管理系统）/U-space应运而生——它是一个基于云的、高度自动化的、分散式生态系统，核心能力包括动态地理围栏、交通信息态势感知、战略性冲突解脱等。

有数据显示，AI介入UTM系统后，可将碰撞风险降低90%以上、空域效率提升45%。 这背后的逻辑不是"更聪明的中央大脑"，而是每个节点都具备感知和决策能力的分布式智能。

四、"桥梁断了车继续往前冲的瞎子"：物理AI的缺失

"桥梁断了车继续往前冲"，这几年这类事故发生了好几起，它指向一个更深层的问题：控制系统与物理世界的脱节。

当前的ATC系统主要间接感知"列车/飞机在哪里"，但对"轨道是否完好、桥梁是否断裂、天气是否恶劣"等物理环境状态的感知能力严重不足。723事故中，雷击是触发因素，但系统对雷击造成的设备状态变化毫无感知；如果轨道断裂或桥梁坍塌，现有的列控系统同样无法直接感知——它只知道"轨道电路是否正常"，不知道"物理轨道是否正常"。

这正是"物理AI"（Physics-Informed AI）的核心命题：让AI系统内嵌物理规律，能够理解和推断物理世界的因果链条，而不是仅仅在数据层面做模式匹配。一个真正的物理AI驱动的交通控制系统，应该能够：

1. 多模态感知：融合轨道电路、视觉、雷达、结构健康监测等异构数据

2. 物理一致性校验：用物理规律验证感知数据是否合理（例如，列车不可能瞬间从A点跳到B点）

3. 因果推理：区分"信号故障"和"物理世界异常"

4. 自适应降级：当某类感知失效时，能用其他模态补全或安全停车

五、智能的迷思：没有感知的控制是危险的

"一天到晚到处谈智能，好像没有抓住重点"——这是一个判断。

当前很多"智能交通"的讨论，集中在算法优化、大数据调度、AI预测等上层应用，却忽视了感知层的可靠性这一根基问题。723事故的教训是：一个设计缺陷在感知层的系统，算法越"智能"，造成的危害可能越大——因为它会在错误的数据上做出决策。

真正的范式转移应该是：

从"包办"到"感知一切，审慎行动"，

从"无所不能"到"人机协同，各安其位"，

从"集中式大脑"到"分散式感知网络"。

低空高密度飞行将是对这一范式最严峻的考验。三维空间中的飞行器数量可能是铁路列车数量的几个数量级，任何集中式控制都将成为瓶颈和单点故障源。只有每个飞行器都具备"眼睛"（感知）、"大脑"（决策）和"肌肉"（执行），并在统一的规则框架下协同，才能避免723式的悲剧在三维空间中重演。

结语

723事故证明了"瞎子系统"的危险性。

未来的低空经济，如果不在感知层、物理层、安全层建立真正的闭环，而只是堆砌"智能"算法，那将是在更高维度上重复同样的错误。

"物理AI"——让系统真正"看见"物理世界、理解物理规律、敬畏物理约束——才是智能交通从二维到三维升维过程中，最应该抓住的重点。