没有人做错,近千人却被定罪——英国邮局 Horizon 冤案二十年

2010 年,在萨里郡西拜弗利特(West Byfleet)经营一家邮局的 Seema Misra,被判入狱十五个月。罪名是盗窃——她的邮局账目上,凭空多出了七万多英镑的亏空。宣判那天,是她儿子的生日。她当时怀着第二个孩子,后来在狱中度过了大半段孕期。

她没有偷任何人一分钱。那七万英镑,是一套叫 Horizon 的会计软件算出来的。^[1]

Misra 不是个例。在将近二十年里,英国有 900 多名邮政代办人,因为同一套软件给出的"亏空",被指控盗窃、欺诈、做假账;其中近 700 起,是邮局用自己手里的刑事起诉权直接送上法庭的。^[2]有人像她一样进了监狱,有人破产,有人被迫认下自己没做过的罪,有人没能等到平反——据官方调查,至少 13 人的离世被认为与这场冤案有关。^[3]

司法界后来给它的定性是:英国法律史上最大规模的一次冤案。

但这篇文章想问的,不只是"为什么会错"。还有一个更冷的问题——

错了二十年,为什么几乎没有任何一个人,需要为它负责?

一台被反复保证"不会出错"的机器

Horizon 是富士通(前身 ICL)为英国邮局开发的会计系统,1999 年起在全国约 14,000 个网点铺开。代办人每天用它记账、结算。按合同,账面上出现的任何亏空,代办人要自己掏钱补上——这条规则,在系统可靠时不起眼,在系统不可靠时,就成了一台绞索。

而邮局对外的口径,二十年几乎没变过:Horizon 是"健壮的"、"可靠的",不可能是错误的来源。账对不上,只有一个解释——是你,代办人,动了钱。

很多人一开始甚至不相信是系统的问题。他们大多是小镇上开了十几年店、被街坊信任的人。账对不上,第一反应是"我是不是哪里弄错了",于是默默把钱补进去:几百镑、几千镑;有人为了填上不存在的窟窿,刷爆信用卡、抵押房子、动用养老金。他们以为这是自己的错。

这正是这套系统最深的地方:它先让你怀疑自己,而不是怀疑它。

账对不上的人

Jo Hamilton 在汉普郡一个村子里经营邮局。2003 年起,她的账面开始出现对不上的数字;某次结算,屏幕上的亏空一下跳到三万六千镑。她打电话求助,得到的回答是"系统不会错"。邮局起诉她盗窃,外加 14 项做假账。检方开出条件:只要她承认做假账,就撤销盗窃指控。她怕坐牢,认了。为了还那笔并不存在的钱,她重新抵押了房子,村里人凑了九千镑帮她。十几年后,证据证明邮局手里从来没有她"盗窃"的证据。

Lee Castleton 不肯认。他是 Bridlington 的代办人,账上出现一笔无法解释的亏空,他坚持要邮局证明钱是他拿的。邮局没有去证明——它花了超过三十万英镑,在法庭上把他拖垮。最后他背上三十二万一千镑诉讼费,破产了。邮局要的从来不只是那笔钱,而是一个信号:谁敢较真,代价会大到你承受不起。

Martin Griffiths 没能撑到平反。2013 年,他被指账上亏空六万镑,邮局给了他三个月,就要终止合同。那一年,他结束了自己的生命。^[4]

这些人彼此不认识,散落在英国各地。把他们连起来的,只有同一套软件,和同一句"系统不会错"。

能改你账本的人,不是你

那么,这套软件真的不会错吗?

富士通自己很早就知道答案。Horizon 里有几百个 bug,有些严重到被工程师用最早出问题的网点命名:"Dalmellington bug"——代办人面对一个卡死的界面,每按一次回车,系统就在账上重复记一笔取款;"Callendar Square bug"——系统在账本里生成重复条目;还有被称作 RPM(收付不匹配)的错误。早在 1999 年,也就是系统刚上线那年,富士通就已经知道 Horizon 带着缺陷。^[5]

但更要命的是另一件被邮局对外否认了很多年的事:富士通(以及在较小程度上邮局)能够远程进入任何一个网点的账目,"插入、注入、编辑或删除"交易数据——而代办人对此既不知情,也无法查看。

请把这件事想清楚:唯一能证明你清白或有罪的那份记录,不在你手里,在指控你的人手里,而且他们能改,你看不见。

2019 年的群体诉讼里,法官 Peter Fraser 把这层窗户纸捅破了。他认定 Horizon 确有缺陷、并不可靠,也确认了远程访问的存在。对邮局那句"系统很健壮"的辩词,他写下后来被反复引用的一句:这"等同于在 21 世纪坚持地球是平的"。^[6]

本来有很多次机会停下来

这套冤案最让人发凉的地方,不是它错了,而是它有很多次本可以被叫停,却每一次都没有。

要把人定罪,需要一个"专家"出庭作证说系统可靠。这个角色,长期由富士通的工程师 Gareth Jenkins 担任,他的证词帮助把至少 15 名代办人送上被告席。问题是,他清楚系统有 bug,却没把这些告诉法庭——而一个刑事案件的专家证人,本有义务如实、独立地陈述。

2013 年,邮局自己请的出庭律师 Simon Clarke 写下一份意见(后来被称为"Clarke 意见"):他明确指出 Jenkins 的报告既不准确、也不独立,建议今后不要再用他作证,并且——这是关键——应当把这些问题告知那些已经被定罪的人。

这本可以是踩下刹车的那只脚。结果呢?它几乎没有带来任何主动的证据披露,而且被压着没有公开,直到 2022 年才重见天日。英国前司法大臣 Falconer 勋爵后来称它是很可能的"冒烟的枪"。

差不多同一时期,邮局迫于压力请来一家叫 Second Sight 的法务会计公司做独立调查。当这家公司开始要求查看完整的起诉档案、越查越接近真相时,邮局在 2015 年——他们提出索要档案的一个月后——终止了合同,并赶在 Second Sight 的最终报告发布前不久,关掉了整个调解程序。^[7]

把这几件事排在一起,会看到一个清晰的形状:每一个本该喊停的环节,都有人选择了不喊。但没有任何一个人,觉得这是自己一个人的责任。工程师觉得自己只是出具技术意见;律师的意见被"淡化"了;管理层活在一种"系统不会错"的内部文化里,关于缺陷的坏消息根本传不上去。2025 年的官方调查,用了"恶性文化"和"过度保密"来形容它,并说邮局"维持了一种它的数据永远准确的虚构"。^[8]

"没有人做错",从来不是因为每个人都清白。而是因为这件事被拆得足够碎,碎到没有任何一个人,必须把名字签在"我确认这套系统是对的"这句话下面。

为"赢下去"花掉的,和被它毁掉的

当代办人们终于联合起来、把邮局告上法庭,这种"控场"暴露得更彻底。

牵头的是一位叫 Alan Bates 的前代办人,他组织了 555 名受害者发起群体诉讼。面对他们,邮局做的第一件事之一,是试图让审理此案的 Fraser 法官回避,指控他有偏见——连裁判都想换掉。

诉讼最后以和解收场,邮局同意赔偿 5800 万英镑。听上去不少。但这笔钱里,有 4600 万付给了群体诉讼的律师费,真正落到 555 个人手里的,只剩约 1100 万——平均每人两万镑出头,还要先扣税。他们赢了,却几乎没拿回什么。一边是有近乎无限法律预算和时间的机构,一边是一群抵押了房子、背着污名的小店主。这从来不是一场对等的较量。^[9]

二十年没做到的事,一部电视剧用了一周

2024 年 1 月,英国 ITV 播出四集电视剧《Mr Bates vs The Post Office》,把这件事讲给了几百万普通观众。

接下来发生的事,堪称对"问责"二字最辛辣的注脚:剧集播完六天,迫于汹涌的民意,政府宣布将立法,快速为受害者翻案、赔偿;一周之内,超过一百万人在请愿书上签名。曾任 CEO、并在 2019 年因"服务邮局"获授 CBE 勋衔的 Paula Vennells,在压力下交回了勋衔。^[10]

二十年的判决书、技术报告、独立调查、法庭裁定没能撼动的东西,一部电视剧在一周里撬动了。

这不是因为人们之前不在乎正义,而是因为在那之前,这件事始终被关在一个由邮局控制叙事、控制记录、控制节奏的房间里。剧集做的,只是把房门撞开,让所有人同时看见。

一台能给人定罪、却没人能查的机器

Horizon 的故事,表面是一次软件事故,内核是一个关于权力的故事:当一套系统既能给一个人定罪,又独占了能证明他清白的那份记录,而它还不容许被外部审计——灾难只是时间问题。

它甚至不需要谁是十足的坏人。只要记录的控制权、解释的话语权、起诉的权力都集中在一方手里,而另一方连看一眼原始数据的资格都没有,那么剩下的一切——错误被掩盖、责任被稀释、"没有人做错"——几乎是自动发生的。

而我们,正在进入一个把越来越多判断交给系统的时代:谁该被风控拦下,谁的账号该被封,谁的答案算"对"。Horizon 真正提醒的,不是"机器会出错"这种老生常谈,而是一个更具体的问题——

当系统说你错了,你有没有办法回查它凭什么这么说?那份记录,是握在你手里,还是只握在它手里?

这个问题,值得每一个做系统、用系统、以及被系统判断的人,记很久。

注释与来源(标注对应正文上标,均为公开可查)

Seema Misra 案(2010 年、判刑 15 个月、怀孕期间入狱、约 7 万英镑虚假亏空):LBC、British Post Office scandal(维基)。
1999–2015 年 900 多人被错误定罪、约 700 起由邮局自行起诉(政府估算受影响定罪约 983 起);并被称为"英国法律史上最大规模的单一系列错误定罪":Computer Weekly 专题、英国议会报告、CCRC。
至少 13 人自杀:调查主席 Wyn Williams 在 2025 年报告中表示无法就因果关系下定论,但不排除是"真实的可能";另有 59 人曾有过自杀念头:GOV.UK 官方调查、CBS News。
Jo Hamilton、Lee Castleton、Martin Griffiths 个案:LBC、British Post Office scandal(维基)。
Horizon 1999 年上线、由 ICL / 富士通提供、约 14,000 个网点;已知 bug(Dalmellington / Callendar Square / RPM)与富士通 1999 年已知缺陷:Computer Weekly 专题、British Post Office scandal(维基)、The Register。
远程访问可"插入、注入、编辑或删除"数据、Fraser 法官"地球是平的"评语、约 £56.75M 和解:Bates 诉邮局案判决书 PDF(judiciary.uk)、Law Gazette。
Gareth Jenkins 的专家证词、2013 年"Clarke 意见"(被压到 2022 年才公开、被前司法大臣称为可能的"冒烟的枪")、Second Sight 于 2015 年被解约:Computer Weekly:2013 年已被告知证人不可靠、Law Gazette:Gareth Jenkins、Computer Weekly:Second Sight 被解约。
"恶性文化""维持数据永远准确的虚构":GOV.UK 官方调查。
邮局试图让 Fraser 法官回避;5800 万英镑和解中约 4600 万付给律师费:Mr Bates vs The Post Office(维基)、Bates & Others v Post Office Ltd(维基)。
ITV 剧集(2024 年 1 月)、政府约六天后宣布将立法、一周内逾百万人联署、Paula Vennells 交回 CBE:Mr Bates vs The Post Office(维基)、Paula Vennells(维基)。