Como cualquier automatismo, la filosofía de diseño de los sistemas de seguridad de la alta velocidad están concebidos precisamente para que un fallo humano aislado no desemboque en una tragedia. Para que exista un accidente como el de Urda (Toledo) o Adamuz (Córdoba), previamente se deben penetrar y vulnerar hasta tres capas de seguridad que, ya sea por deficiente mantenimiento o por sabotaje, han sido omitidas, porque la prioridad es la continuidad del servicio comercial.
La línea de alta velocidad Madrid-Sevilla tiene varios dispositivos de seguridad interpuestos que sirven para prevenir escenarios como los que vienen ocurriendo en los ferrocarriles españoles. Lejos de ser un sistema de una sola capa, la seguridad se concibe como un conjunto de capas redundantes y concatenadas, donde cada una está pensada para actuar si la anterior falla.
El primer nivel está en el conocido como Leit- und Zugbeeinflussung (LZB), que es el sistema principal de control continuo. Éste conoce la posición y velocidad de los trenes y puede activar automáticamente el frenado de emergencia si detecta una condición insegura, sin intervención del maquinista. Es la primera capa y permite circular a una velocidad de hasta 300 kilómetros por hora.
El segundo nivel que se activa si el LZB deja de funcionar es el BCA (Bloqueo con Señalización Lateral y Conducción Automática), que está diseñado para supervisar la circulación e intervenir en el frenado. Al activarse, limita la velocidad máxima a 250 kilómetros por hora.
Y el tercer y último respaldo automático es el ASFA-AV (Anuncio de Señales y Frenado Automático – Alta Velocidad), que funciona a partir de balizas en la vía y es un sistema de operación adicional para situaciones degradadas. Su función es crucial: supervisa la velocidad y puede ordenar la «parada automática del vehículo» en situaciones como el rebase de una señal en parada (es decir, pasarse un semáforo en rojo). Con el ASFA activo, la velocidad se limita aún más, a 200 kilómetros por hora.
Puede fallar un sistema, pero, ¿los tres a la vez?
Lo que ocurrió en Urda fue, según la información obtenida hasta el momento, es un «triple colapso» de la seguridad. Los tres sistemas (LZB, BCA y ASFA-AV) fallaron en cascada desde primera hora de la mañana. Esta acumulación de fallos técnicos sucesivos es lo que se ha calificado como «extraordinario» y «sin precedentes», motivando la intervención humana que dio lugar al siniestro. Era precisamente el hecho de que estos tres sistemas no funcionaron por lo que el tren Iryo se encontraba detenido.
Ante esta cadena de fallos había dos opciones: o suspender el servicio, o aplicar un bypass al sistema de seguridad en pro de recuperar el tráfico ferroviario. Lo que los audios y las investigaciones preliminares revelan no es una justificación técnica, sino una secuencia de errores procedimentales y de juicio en un contexto de confusión, donde la prioridad era recuperar el servicio a toda costa.
En la conversación con el maquinista del AVE, el controlador ofrece una razón para este bypass, pero esta se centra en la recuperación del sistema, no en la seguridad inmediata: éste indica al maquinista que debe desconectar y volver a conectar el LZB «porque luego cuando pase Urda y ya no tenga el problema» el sistema recuperaría la señal. El mensaje se transmite con normalidad, como si fuera una operatoria normal.
Los audios revelan a un controlador dubitativo, que consulta con sus compañeros y reconoce que la situación «se nos estaba liando«. La presión por normalizar el tráfico tras la avería llevó a priorizar la reanudación de la marcha sobre la aplicación estricta del protocolo de seguridad.
Los trabajadores de ADIF como cabezas de turco
El ministro de Transportes, Óscar Puente, señaló al controlador del centro de Atocha como único responsable de una decisión «inexplicable». Sin embargo, los investigadores manejan una hipótesis más amplia: que detrás de esa decisión estuviera la presión por evitar más retrasos en una situación que había dejado seis trenes detenidos y generado una «situación muy tensa» en el centro de control.
Un episodio revelador ocurrió el mismo día: a otro maquinista se le ordenó también «marcha normal», pero fue él quien tuvo que corregir al controlador, recordándole que el protocolo exigía «marcha a la vista». Esto sugiere un patrón de instrucciones donde se refleja la presión sobre los controladores de ADIF por restablecer el servicio antes que la seguridad.
Lo ocurrido en Urda es habitual en ADIF por «presiones comerciales»
Los sindicatos ferroviarios «llevan años denunciando presiones [de ADIF] para mantener trenes circulando cuando fallan sistemas de protección» como el LZB. En marzo de 2024, en la línea Valladolid-León, Semaf denunció que Adif siguió enviando trenes por un tramo de 35 km con el bloqueo automático averiado y las señales en rojo. El sindicato calificó la práctica de «exportación del riesgo», por trasladar al maquinista una responsabilidad que debía recaer en los sistemas, y lo enmarcó en un contexto de «presiones comerciales».
Informes de la CIAF (Comisión de Investigación de Accidentes Ferroviarios) sobre incidentes anteriores dibujan un caldo de cultivo que favorece los errores en situaciones en que los sistemas fallan, algo que parece ser es habitual. En incidentes previos, la CIAF concluyó que hubo «sobrecarga de trabajo e instrucciones deficientes», y los sindicatos alertan de jornadas de hasta 12 horas y cinco noches consecutivas en puestos de alta responsabilidad como el control de tráfico, generando un «desgaste extremo».
Tras el accidente de Castellgalí (2019), la investigación descubrió que los responsables de circulación habían convertido en habituales los procedimientos excepcionales que omitían comprobaciones de seguridad. Semaf vinculó esto a las «habituales tensiones y presión por tiempo», de lo que se concluye que no hay más accidentes por pura casualidad.