La caída del sistema de control y seguridad LZB en la línea de alta velocidad Madrid-Sevilla fue el desencadenante de la tragedia ferroviaria en Urda, que ha causado al menos 69 muertos. Dos días después, Óscar Puente reveló a los ciudadanos en una rueda de prensa la “normalidad” del incidente: cada 48 horas, de media, el tráfico en esta línea se explotaba en modo degradado, es decir, con el nivel de protección de una línea convencional, que obliga a circular a una velocidad máxima de 200 kilómetros por hora con otro sistema de protección basado en balizas y señales luminosas (ASFA y BSL).
En concreto, Puente detalló que durante 2026 se registraron 170 fallos del sistema LZB, de los que 13 correspondieron a la citada central de Urda. El anterior al accidente se produjo el 14 de octubre. Del total de incidencias, según sus datos, el 75% se debió a circunstancias ajenas al sistema, como actos de vandalismo, robos de cable o fenómenos meteorológicos.
Como prueba de esa normalidad, el ministro de Transportes aseguró que la “incidencia no es infrecuente y el sistema está diseñado para lidiar con ella. Hasta el punto de que esta circunstancia, que el LZB tenga problemas de transmisión, está recogida en el propio reglamento de circulación ferroviaria. Es decir, es tan habitual o tan posible un fallo en la transmisión del LZB que está recogido en el propio reglamento y la actuación que hay que llevar a cabo cuando falla”.
De la excepción a la normalidad
En este sentido, las fuentes ferroviarias consultadas por Artículo14 advierten de que, si bien circular en modo degradado es legítimo y está previsto en todas las redes, lo determinante es cuántas veces se entra en ese modo y qué barreras de seguridad quedan cuando se entra.
“En este modo degradado, la separación entre trenes descansa en una única barrera humana, sin verificación técnica de la autorización”, explican. Cabe recordar que, tras la caída del LZB, el Centro de Regulación y Control (CRC) tomó el mando para la reanudación del tráfico y, como ha quedado patente, una concatenación de fallos en los sistemas de seguridad provocó el fatal desenlace.
Para estas fuentes, la recurrencia con la que se ha utilizado el modo degradado hace que esta situación excepcional pase a normalizarse, lo que eleva el riesgo. Así, advierten de que la reiteración de las caídas del LZB pudo convertir una situación excepcional en un procedimiento rutinario para los operadores del Centro de Regulación y Control (CRC).
“Normalización de la desviación”
“Es lo que en ingeniería de seguridad se conoce como normalización de la desviación: cuando una actuación excepcional se repite sin consecuencias aparentes, existe el riesgo de que se reduzcan las comprobaciones y se consoliden prácticas que comprometan la seguridad. Si el modo degradado deja de ser excepcional, el peligro de autorización indebida de movimiento en esta modalidad deja de ser residual”, puntualizan.
Bajo esta premisa, las fuentes ferroviarias consultadas apuntan a varias hipótesis que podrían explicar las decisiones adoptadas antes del accidente. Una de ellas es que se confundiera una avería general del LZB con un fallo del equipo embarcado de un tren. En los audios parciales filtrados se oye al controlador dar la orden a la maquinista del Iryo de “desconectar y volver a conectar el sistema”, lo que es habitual cuando la incidencia afecta a un único convoy. En el caso de los Iryo, este es un problema frecuente. La compañía opera con el modelo ETR 1000, conocido comercialmente como Frecciarossa 1000, un tren de tecnología puntera al que se le ha incorporado el sistema LZB. Como advirtió su consejero delegado, a estos trenes “les cuesta bastante tiempo reconectarse y empezar nuevamente el servicio”.
Pero en el accidente de Toledo, la caída del LZB afectó al conjunto de un tramo de 63 kilómetros de vía. Una hipótesis que se plantea es si el operador interpretó que se trataba de una avería individual y aplicó un procedimiento que no correspondía a la situación real, pero que es uno de los habituales.
Gestión de seis trenes bajo presión
A esta circunstancia se suma que la caída del sistema provocó la detención de seis trenes, cuya circulación debía restablecerse desde el centro de control de Atocha. Las fuentes consultadas apuntan a que la gestión simultánea de varias comunicaciones pudo favorecer que se impartieran instrucciones sin verificar individualmente la ocupación de la vía por delante de cada convoy. De hecho, los audios publicados reflejan dudas entre los operadores sobre si el Iryo había reanudado la marcha y sobre la posición de otro AVE de Renfe, el 2061.
Los modelos de fiabilidad humana, como THERP y HEART, permiten ilustrar el efecto acumulativo de los errores humanos, indican las fuentes consultadas. De esta forma, estos modelos permiten estimar, de forma orientativa, una probabilidad de error en determinadas tareas procedimentales realizadas bajo presión de entre el 0,1% y el 1%. En la mayoría de los casos, una autorización incorrecta no desemboca en un accidente porque el cantón está libre. El peligro de colisión por alcance surge cuando ese error coincide con la presencia de otro tren detenido en el mismo tramo, como ocurrió en Urda.
Aviso de la CIAF
Cabe recordar que la Comisión de Investigación de Accidentes Ferroviarios (CIAF) alertó en 2024 de que eran necesarias medidas técnicas ante el alto riesgo derivado de que la única barrera eficaz frente a una posible colisión dependiera por completo de la comprobación, por parte del responsable de circulación, de que el cantón estaba libre. Dicho informe partía de la investigación de un rebase indebido de una señal en rojo por parte de un tren de Renfe Alta Velocidad en un tramo equipado con ERTMS (el sistema europeo de señalización y protección de trenes), en la estación de Cuenca. Desde 2023, la CIAF contabilizó 15 rebases instruidos por el centro de control. Por otra parte, se han registrado nueve incidencias de señalización solo en el tramo de Urda desde 2024.
En este sentido, las fuentes consultadas subrayan que el hecho de que la CIAF lo señalara previamente indica que el riesgo estaba identificado, pero “no adecuadamente controlado”. En su opinión, este riesgo debería haberse controlado con una medida técnica (como, por ejemplo, un bloqueo en el CRC de cualquier orden de marcha normal sobre un cantón ocupado) o con restricciones operativas más severas, como la marcha a la vista obligatoria (equivalente a una velocidad máxima de 40 kilómetros por hora).
Los maquinistas piden más medidas
De hecho, una de las medidas que ya han exigido los maquinistas es que se impida que los trenes puedan reanudar la circulación con marcha normal cuando haya más de un tren en el mismo cantón y caigan los sistemas ERTMS o LZB. En concreto, proponen prohibir la reanudación de la marcha normal cuando exista la posibilidad de que haya más de un tren en un mismo cantón de Bloqueo de Señalización Lateral (BSL) tras la caída del ERTMS o del LZB.
“¿Es seguro el tren español?, yo sigo pensando que tiene unas dosis muy altas de seguridad. Sistema cien por cien seguro, no hay ninguno en el mundo, ninguno, porque hay un riesgo en todos. Lo que tenemos que trabajar es para acercar ese riesgo lo máximo posible a cero”, afirmó el ministro en su última comparecencia.