La caída del sistema de señalización LZB, debido a un fallo informático, y la posterior autorización para reanudar la marcha de un AVE de Renfe están en el centro de las primeras hipótesis sobre las causas del accidente ferroviario de Urda (Toledo), que ha dejado al menos 68 muertos y decenas de heridos. El ministro de Transportes, Óscar Puente, ha calificado de "absolutamente inverosímil" que se produzca una colisión por alcance en la red de alta velocidad española y ha señalado como origen del siniestro una decisión "a todas luces errónea" del centro de control de Adif.
El accidente plantea una pregunta fundamental: ¿cómo es posible que dos trenes de alta velocidad colisionen si existen sistemas diseñados precisamente para impedirlo? La respuesta obliga a entender cómo funcionan los mecanismos de señalización, control de velocidad y frenado automático de la red ferroviaria española, y qué ocurre cuando fallan.
¿Cómo se pudo producir el accidente pese a todos los sistemas de seguridad?
El accidente no se explicaría por un único fallo, sino por la combinación de una avería técnica y una decisión humana, como mínimo. La caída del LZB dejó sin protección continua un tramo de más de 60 kilómetros, según el ministro Puente, y los trenes que circulaban por él se detuvieron, tal y como prevé el sistema ante una avería. A partir de ese momento, la seguridad del tramo pasó a depender sobre todo de las órdenes que el centro de control de Adif transmitía a los maquinistas. Es en ese punto donde, según Puente, se produjo el error.
La autorización que el centro de control dio al AVE no incluyó la limitación a 40 kilómetros por hora que exigía la situación y se dio pese a que el Iryo seguía detenido más adelante. Sin el LZB, la protección automática disponible se reducía previsiblemente al ASFA, un sistema más básico que solo actúa al paso por balizas, permite circular hasta 200 kilómetros por hora y, cuando el tren está autorizado a rebasar una señal en rojo, no impide que continúe la marcha.
¿Por qué se supone que un accidente por alcance es "prácticamente imposible" en alta velocidad?
Los trenes de alta velocidad no dependen únicamente de la capacidad de reacción del maquinista para evitar una colisión. A velocidades cercanas a 300 kilómetros por hora, un convoy recorre más de 80 metros cada segundo y necesita varios kilómetros para detenerse completamente. Por eso, las señales luminosas situadas junto a las vías no son suficientes para garantizar la seguridad. En su lugar, los sistemas de protección transmiten directamente a la cabina información sobre la velocidad permitida, la distancia hasta el siguiente punto de parada y las condiciones de circulación. Un ordenador supervisa el movimiento del tren y, si detecta que supera los límites autorizados o que no reduce la velocidad cuando corresponde, puede activar automáticamente los frenos.
"Como ingeniero, diría que es imposible que un tren de alta velocidad alcance a otro. Si funcionan correctamente los sistemas de seguridad, de señalización y de frenado, no debería de haber pasado", explica Óscar Carballo, secretario general del Colegio de Ingenieros Técnicos de Obras Públicas, en una entrevista concedida a RNE.
A esta protección se añade la división de las líneas ferroviarias en tramos denominados 'cantones'. Su función es mantener separados los trenes para impedir que dos convoyes ocupen simultáneamente un mismo tramo protegido. "Entre un tren y otro hay cantones libres. Si un tren se pasa un cantón libre también se frena automáticamente", subraya Carballo.
¿Qué es el LZB, el sistema que falló antes del accidente?
La línea Madrid-Sevilla, inaugurada en abril de 1992, utiliza el sistema LZB (Linienzugbeeinflussung), cuyo nombre puede traducirse como "control lineal del tren". Se trata de una tecnología desarrollada en Alemania entre los años sesenta y setenta, que España incorporó a su primera línea de alta velocidad.
La principal característica es que permite una comunicación continua entre la infraestructura y el tren mediante un cable instalado a lo largo de la vía, entre los carriles. A diferencia de otros sistemas que transmiten información únicamente en puntos determinados, el LZB comunica constantemente las condiciones de circulación. El tren recibe así información sobre la velocidad máxima autorizada y la distancia que puede recorrer con seguridad. Si el maquinista no adapta la marcha a esas condiciones, el propio sistema interviene y activa el frenado.
Carballo destaca que esta tecnología, aunque tiene varias décadas de antigüedad, ofrece un elevado nivel de protección. "En España hay una infraestructura de alta velocidad muy buena. Curiosamente tenemos dos sistemas de seguridad. Uno en la primera línea que se hizo, que es la Madrid-Sevilla, que es LZB, acompañado de un sistema ASFA de frenado automático", explica.
¿Qué ocurrió después de la caída del sistema de seguridad?
La secuencia temporal descrita por el ministro Puente sitúa el foco de la investigación en los minutos posteriores a la avería. A las 8:30 horas se produjo la caída del LZB. Seis minutos después, a las 8:36, el centro de control de Adif en Atocha autorizó al maquinista del AVE de Renfe a reanudar la marcha. El problema, según Puente, es que esa autorización se concedió cuando había un Iryo detenido más adelante y una señal roja a la entrada de la estación de Urda. Además, la orden no estableció una limitación de velocidad para el AVE.
Cuando el centro de control autoriza a un tren a rebasar una señal en rojo, la seguridad ya no depende de ningún sistema automático, sino del propio maquinista. Las normas le obligan a avanzar en lo que se denomina 'marcha a la vista', es decir, a una velocidad de unos 40 kilómetros por hora que le permite detenerse a tiempo si encuentra un obstáculo, como otro tren parado.
El convoy recorrió unos 25 kilómetros durante los siguientes 17 minutos, hasta que a las 8:53 horas alcanzó al tren que permanecía parado en la vía. Para el ministro, resulta "inexplicable" que se autorizara esa circulación en tales condiciones. Sin embargo, ha evitado atribuir responsabilidades individuales antes de que concluya la investigación.
¿Qué dicen las normas?
Dos documentos técnicos ayudan a entender qué debía hacerse tras la caída del sistema de seguridad LZB. El primero es el Reglamento de Circulación Ferroviaria, publicado en el BOE. Establece que, en alta velocidad, los maquinistas se guían por las indicaciones de su cabina mientras el LZB funciona, pero cuando el sistema no funciona son las señales de la vía las que mandan. La norma no permite rebasar una señal que ordena parada sin autorización expresa del centro de control.
El segundo documento es una consigna interna de Adif de enero de 2025, aprobada a raíz de recomendaciones de la Comisión de Investigación de Accidentes Ferroviarios (CIAF). Obliga a los controladores a comprobar que el tramo está libre de trenes antes de autorizar a un convoy a reanudar la marcha cuando falla el LZB. Si hay vía ocupada, deben imponer como mínimo "marcha a la vista", una velocidad tan reducida que permite frenar ante cualquier obstáculo. La instrucción prevé además reforzar el puesto con personal de apoyo, siempre que sea posible, cuando una avería dispara la carga de trabajo.
¿Qué diferencia hay entre LZB, ERTMS y ASFA?
La red ferroviaria española utiliza tres tecnologías principales de protección de trenes: LZB, ERTMS y ASFA. Aunque todas contribuyen a la seguridad, no funcionan de la misma manera ni ofrecen idénticas capacidades.
Como ya se ha explicado, el LZB es el sistema con el que se inauguró la línea Madrid-Sevilla, que ahora incorpora también el ERTMS. Este último es el estándar europeo implantado en las líneas de alta velocidad construidas posteriormente. El ASFA es un sistema español de anuncio de señales y frenado automático, presente en prácticamente toda la red, que convive con los dos anteriores y puede actuar como protección de respaldo.
La diferencia fundamental entre los dos sistemas más importantes, LZB y ERTMS, está en la forma en que transmiten la información al tren. Mientras el primero utiliza un cable instalado en la vía, el ERTMS de nivel 2 emplea comunicaciones por radio. Carballo insiste en que ambos sistemas son seguros: "Lo que hacen es vigilar constantemente la velocidad, la posición y el cumplimiento de las órdenes". Su objetivo, explica, es impedir que un error del maquinista termine provocando una situación peligrosa.
ERTMS: el sistema europeo por radio
El ERTMS (European Rail Traffic Management System) nació para unificar la gestión del tráfico ferroviario europeo y evitar que cada país utilizase tecnologías incompatibles entre sí. Su componente de protección se denomina ETCS (European Train Control System) y supervisa el cumplimiento de las autorizaciones de movimiento y de los límites de velocidad.
Este sistema tiene distintos niveles de funcionamiento:
- En el nivel 1, el tren recibe información a través de balizas instaladas en puntos concretos de la vía, aunque la supervisión de la velocidad es continua.
- En el nivel 2, las autorizaciones llegan mediante comunicaciones por radio, tradicionalmente a través de la red ferroviaria GSM-R. El tren comunica su posición y recibe información sobre las condiciones de circulación, mientras las balizas sirven como referencias para determinar su localización.
- El nivel 3, todavía en pruebas, permitiría que los trenes circularan más juntos, porque es el propio convoy el que confirma que se cumplen los parámetros necesarios.
España apostó por el ERTMS para las líneas posteriores a la Madrid-Sevilla, comenzando por la Madrid-Barcelona. En la actualidad, es el país con más kilómetros de ERTMS en servicio del mundo, según mantiene Adif.
ASFA: ¿qué ocurre cuando falla el sistema principal?
ASFA, siglas de Anuncio de Señales y Frenado Automático, es una tecnología española implantada desde finales de los años setenta. Su funcionamiento se basa en balizas situadas en determinados puntos de la vía, normalmente asociadas a las señales ferroviarias. Cuando el tren pasa sobre ellas, recibe información sobre las condiciones de circulación.
Si una señal exige reducir la velocidad o detenerse, el sistema transmite el aviso a la cabina. El maquinista debe reconocer determinadas indicaciones y respetar las restricciones. En caso contrario, el ASFA puede activar automáticamente los frenos. Su principal limitación es que no proporciona el mismo tipo de supervisión continua que ofrecen LZB o ERTMS. La información se actualiza cuando el tren pasa por las balizas y sus funciones de protección dependen del equipamiento y del modo de circulación. Por eso, cuando falla el sistema principal, el ASFA puede permitir continuar la circulación, pero con restricciones y velocidades inferiores a las habituales de la alta velocidad.
Esta distinción es especialmente importante para comprender el accidente de Urda. La investigación deberá determinar qué protección tenía activa el AVE después de la avería del LZB y qué condiciones debían haberse impuesto para autorizar su movimiento.