La colisión entre un AVE y un Iryo cerca de Urda (Toledo) no fue el fallo de un único sistema. Fue un fallo en la forma en que la línea pasa de su protección más fuerte a las más débiles.

La línea de alta velocidad Madrid–Sevilla está protegida por tres capas, y cada una es la red de seguridad de la anterior:

1. LZB: protección automática continua del tren. Supervisa la velocidad y la distancia en todo momento y detiene el tren si algo va mal.
2. ASFA + BSL: protección puntual en las señales (ASFA) más el Bloqueo con Señalización Lateral (BSL). Es el sistema de respaldo cuando el LZB no está disponible.
3. Maquinista y regulador: procedimientos escritos y órdenes verbales, sin ninguna protección automática detrás.

Mi argumento es sencillo. Cada vez que falla la capa superior, la carga pasa a capas que son más débiles por diseño. Eso solo es aceptable con dos condiciones. Primera, estas situaciones degradadas deben ser poco frecuentes: un respaldo que se usa una vez al año no supone el mismo riesgo que uno que se usa cada semana. Segunda, cada transición entre capas debe haber pasado por un análisis de riesgos adecuado. En las líneas españolas, lo que se sabe hasta ahora indica que la segunda condición no se ha cumplido, y nadie ha publicado todavía las cifras de la primera.

Nota sobre las fuentes: los hechos que siguen proceden de los audios entre maquinistas y regulador y de la información publicada en la prensa española. La investigación de la CIAF (Comisión de Investigación de Accidentes Ferroviarios) sigue abierta. Cuando interpreto, lo indico.

Capa 1, LZB: falló de forma segura, pero ¿con qué frecuencia falla?

El LZB se comportó como estaba previsto. Según lo publicado, cayeron varios ordenadores del sistema de tierra y el tramo se quedó sin transmisión LZB. Los equipos embarcados reaccionaron deteniendo los trenes. Ese es el estado seguro.

El problema vino después. Para que el AVE reanudara la marcha, el regulador indicó al maquinista que desconectara y volviera a conectar el LZB. En la práctica, este protocolo significa que el LZB deja de proteger el tren hasta que pasa por un punto de cambio de zona: un punto fijo de la vía donde el LZB acepta trenes bajo supervisión. Un tren reconectado en mitad de un tramo no queda supervisado por el LZB de inmediato, aunque el sistema de tierra funcione, hasta que llega al siguiente. Aquí el sistema de tierra ni siquiera transmitía. Entre el reinicio y ese punto, el tren solo estaba protegido por el ASFA, y por eso no volvió a frenar.

La pregunta sobre el LZB no es, por tanto, si es seguro cuando funciona. Es con qué frecuencia deja de funcionar, comparado con lo que se especificó que debía alcanzar. Cada fallo empuja a los trenes hacia redes de seguridad más débiles. Los investigadores deberían analizar:

• El historial de fallos del equipo de tierra LZB en esta línea, frente a los objetivos de fiabilidad y disponibilidad con los que se contrató y aprobó.
• Si la tendencia ha empeorado a medida que el equipo envejece.
• Si esos fallos se registraban como un problema de seguridad y no solo de puntualidad.

Un sistema que falla de forma segura pero falla a menudo no es tan seguro como parece. Su fiabilidad forma parte del caso de seguridad de todo lo que hay por debajo.

Capa 2, ASFA + BSL: un sistema sólido en el papel equivocado

El ASFA procede de las líneas convencionales españolas, de menor velocidad, y allí tiene un buen historial de fiabilidad. El problema no es el sistema en sí. El problema es que en las líneas de alta velocidad se usa como respaldo, y los riesgos de pasar a él no se analizan adecuadamente.

Esas transiciones se producen de dos formas:

• Transiciones previstas, cuando la propia línea cambia de un sistema de protección a otro.
• Transiciones forzadas, cuando falla el sistema principal y los trenes pasan a ASFA + BSL.

En ambos casos, la normativa europea exige una evaluación de riesgos estructurada del cambio: hoy, el Método Común de Seguridad para la evaluación de riesgos, Reglamento (UE) 402/2013. En mi opinión, ninguno de los dos tipos de transición se ha evaluado con ese nivel de exigencia.

Angrois, 2013: un sistema desactivado y una transición sin evaluar

En el descarrilamiento de Santiago de Compostela de julio de 2013, en el que murieron 80 personas, el Alvia circulaba con el ASFA como única protección. El ERTMS había quedado fuera de juego por dos vías:

• En el tren. El ERTMS embarcado de la serie 730 estaba desconectado desde junio de 2012 por averías técnicas recurrentes (saturación de memoria y fallos de lectura de balizas en el tramo Ourense–Santiago) que provocaban paradas imprevistas. Adif autorizó la desconexión a petición de Renfe, en principio durante un mes. Siguió desconectado hasta el accidente.
• En la vía. El proyecto se había modificado para que el tramo que incluía la curva de A Grandeira quedara protegido por ASFA en lugar de ERTMS.

El ASFA no podía imponer la fuerte reducción de velocidad necesaria para pasar de la circulación en alta velocidad al límite de la curva, a la entrada del tramo convencional. En el juicio, en 2022, Christopher Carr, exresponsable de seguridad de la Agencia Ferroviaria de la Unión Europea, declaró que el riesgo de descarrilamiento de la curva “no se percibió y no se mitigó”, y que la investigación nunca analizó por qué el maquinista había quedado como única protección. (Entonces el marco era el Reglamento 352/2009, que el 402/2013 sustituyó después.)

El paralelismo con Urda es directo. En ambos casos el sistema principal de protección estaba fuera de servicio por motivos técnicos, los trenes pasaron a depender del ASFA y el riesgo de esa situación no se había evaluado adecuadamente.

Urda, esta semana: una transición forzada

La misma carencia aparece de otra forma. El LZB divide la línea en cantones virtuales cortos. En líneas de alta velocidad como esta, el BSL de respaldo trabaja con cantones mucho más largos. Cuando los trenes pasan de LZB a BSL, dos trenes que estaban separados con seguridad en cantones LZB distintos pueden quedar dentro del mismo cantón BSL. Por lo publicado, eso parece ser lo que ocurrió aquí, aunque no está confirmado. En la parte filtrada de la conversación, al maquinista del AVE se le indica que reanude la marcha «al amparo del BSL con marcha normal», sin ninguna autorización de rebase. Eso apunta a que los dos trenes estaban ya dentro del mismo cantón BSL: si hubiera habido una señal en parada entre ellos, el ASFA habría detenido al AVE al entrar en el cantón ocupado. Los audios publicados están editados, así que la investigación tendrá que confirmarlo.

La propia consigna de Adif COI 01/25 (febrero de 2025), según ha publicado la prensa, establece que tras un fallo del LZB los trenes solo pueden reanudar la marcha al amparo del BSL, y solo si el cantón BSL a recorrer está libre de trenes. Esa norma existe porque el riesgo es conocido. Pero deja la comprobación en manos del regulador, por procedimiento, en el momento de mayor estrés del turno. Una evaluación de riesgos de esta transición debería haberse preguntado si una comprobación humana es una barrera suficiente en ese punto. Es una deficiencia del análisis de riesgos, no solo de la persona que estaba en el puesto de mando.

Capa 3, maquinista y regulador: la última barrera, bajo la máxima presión

Los audios publicados muestran al regulador leyendo la orden de una hoja de procedimiento. Lee el mnemotécnico “desconexión LZB 4”, duda y autoriza al maquinista con “marcha normal” en lugar de “marcha a la vista”. La misma fórmula se dio, al parecer, a los dos trenes.

Sería fácil quedarse en el error humano. Creo que sería una conclusión equivocada. La orden no desconectó el ASFA: el ASFA siguió activo. El problema es que ASFA + BSL, por diseño, no puede proteger frente a una situación en la que el modo degradado empieza con dos trenes dentro del mismo cantón BSL. Con los trenes en cantones contiguos, la señal de entrada al cantón ocupado muestra parada y el ASFA protege. Con los dos trenes dentro del mismo cantón, no hay ninguna señal entre ellos. En ese escenario, la única barrera que queda es el procedimiento: que el regulador compruebe que el cantón está libre y dé la orden correcta. El propio diseño pone así todo el peso sobre las personas, en un momento de incidencia y presión.

La capa humana es, por naturaleza, la más débil de las tres. Debería concebirse como último recurso, no como la defensa principal en una situación degradada previsible.

Qué deberían examinar los investigadores

Las preguntas que espero que analicen la CIAF y el juzgado:

1. Fiabilidad del LZB. Con qué frecuencia falla el sistema de tierra, frente a sus objetivos, y si esos fallos se trataron como sucesos de seguridad. Y su antigüedad: el LZB protege esta línea desde su inauguración en 1992. ¿Ha alcanzado o superado el equipo su vida útil de diseño? Existe un plan de sustitución: ERTMS nivel 2, licitado en 2020 con un plazo inicial de ejecución de 52 meses, y con el contrato principal de señalización adjudicado en 2021. Pero cuando ocurrió el accidente de Urda todavía no era el sistema principal de la línea. Los investigadores deberían preguntarse cuánto ha alargado ese retraso la dependencia de un equipo LZB envejecido, y si ese riesgo adicional se evaluó.
2. La evaluación de riesgos del modo de respaldo. Si el paso de LZB a ASFA + BSL, incluida la diferencia de longitud de los cantones, se evaluó alguna vez conforme al Reglamento 402/2013.
3. El procedimiento y la comprobación de “cantón libre”. ¿La fórmula codificada de la hoja del regulador decía ya “marcha normal”? Si es así, el error está en la documentación de procedimiento de Adif, no solo en el operador. ¿Se revisaron las hojas del puesto de mando cuando entró en vigor la COI 01/25 en febrero de 2025? ¿Y cómo debía confirmar el regulador que el cantón BSL a recorrer estaba libre: por la ocupación en el CTC, comunicando con el tren precedente o de otro modo?

Fuentes

• Audios y transcripciones de las comunicaciones entre maquinistas y regulador publicados por La Región, El Español, elDiario.es y Yahoo Noticias.
• Información sobre la consigna COI 01/25 de Adif publicada por Telemadrid, El Diario de Madrid y El Boletín, a partir del texto consultado por Europa Press. El texto completo no se ha publicado.
• Reglamento (UE) n.º 402/2013, relativo a la adopción de un método común de seguridad para la evaluación y valoración del riesgo.
• Railin: por qué fue absuelto Andrés Cortabitarte (Adif) en el juicio de Angrois (desconexión del ERTMS embarcado, junio de 2012; en inglés).
• elDiario.es: Un responsable de la Agencia Ferroviaria Europea critica que Adif ni evaluó ni mitigó el riesgo de la curva de Angrois (declaración de Christopher Carr, diciembre de 2022).
• Demócrata: el Gobierno no completó la sustitución del LZB por el ERTMS en el AVE Madrid–Sevilla (28 de octubre de 2026, a partir de El Periódico de la Ingeniería).
• El Diario de Madrid: transcripción de las conversaciones entre Adif, el AVE y el Iryo y El Debate (los audios se difundieron editados).