Capítulo IV. Sistemas de seguridad que no protegen
LZB, ASFA, ERTMS y la brecha entre lo que debería funcionar y lo que realmente funciona en las líneas de alta velocidad
Un sistema de seguridad ferroviaria no se define por su nombre técnico ni por la velocidad a la que permite circular. Se define por la distancia que existe entre el escenario para el que fue diseñado y el escenario en el que realmente opera cuando algo falla. En la red española de alta velocidad esa distancia se ha ampliado de forma sostenida. Los sistemas instalados —LZB en la línea Madrid-Sevilla, ERTMS en las más recientes, ASFA como respaldo— fueron concebidos para reducir al mínimo la probabilidad de que un error humano o una incidencia técnica derivara en una colisión. En la práctica, la combinación de obsolescencia, migración incompleta, protocolos permisivos y aumento del tráfico ha convertido esas protecciones en barreras parciales, condicionadas y, en determinados tramos, insuficientes.
Este capítulo examina esa brecha. No se trata de afirmar que los sistemas “no funcionan” en sentido absoluto. Se trata de mostrar cómo funcionan por debajo de las condiciones para las que fueron diseñados y cómo las decisiones de gestión han mantenido esa situación durante años.
El sistema LZB: alta integridad, obsolescencia real
El LZB (Linienzugbeeinflussung) es un sistema de control continuo de origen alemán, desarrollado en los años setenta. En la línea Madrid-Sevilla, inaugurada en 1992, se instaló como sistema principal de señalización y protección. Su principio es sólido: el tren recibe continuamente información sobre la velocidad máxima permitida y la distancia al punto de parada o restricción. Si el maquinista no respeta esos límites, el sistema frena automáticamente. Alcanza el nivel de integridad de seguridad SIL 4, el más exigente. En condiciones normales y con material homologado, ofrece un alto grado de protección.
El problema no es su diseño original, sino su estado actual y su contexto operativo. Adif reconoció en documentos internos de 2022 que el LZB estaba “obsoleto” y “no interoperable”. Los fabricantes producen cada vez menos recambios, el soporte técnico se reduce y el sistema no se comunica de forma nativa con el estándar europeo ERTMS. Para los nuevos operadores (Iryo y Ouigo) esto supuso una dificultad concreta: sus trenes, diseñados para ERTMS, tuvieron que equiparse adicionalmente con LZB para poder circular por Madrid-Sevilla. Esa doble equipación introduce complejidad, costes y comportamientos distintos según el tramo.
El fallo más relevante del LZB no es la pérdida de control en velocidad, sino su comportamiento al desconectarse. Cuando el equipo cae —por fallo de comunicación, reinicio o incidencia técnica—, el tren se detiene y el control pasa al centro de regulación. El sistema de respaldo es el ASFA, que solo actúa en balizas puntuales. A partir de ese momento, la protección continua desaparece. La normativa exige circular en “marcha a la vista” con velocidad limitada (máximo 40 km/h) hasta recuperar condiciones normales. Sin embargo, los protocolos permitían que, tras un reseteo del equipo a bordo, el centro de control autorizara la reanudación con “marcha normal”. Esa posibilidad convierte un sistema de alta integridad en un sistema que, tras un fallo, depende de la decisión humana y de la correcta interpretación de la situación por parte del regulador.
En Urda, el 28 de octubre de 2026, se produjo exactamente ese escenario. Un fallo del LZB detuvo varios trenes, entre ellos un Iryo. El centro de control de Adif en Atocha autorizó al AVE que circulaba detrás a reanudar con marcha normal. El Iryo seguía parado en la misma vía. Transcurrieron alrededor de diecisiete minutos. La colisión mató a 69 personas según el balance provisional. El sistema no protegió porque, en el momento crítico, ya no estaba protegiendo.
El ASFA: respaldo puntual, no continuo
El ASFA (Anuncio de Señales y Frenado Automático) es el sistema de respaldo clásico de la red española. Informa al maquinista, mediante balizas situadas en la vía, de la indicación de las señales y frena automáticamente si no se respeta una restricción. Es un sistema probado y de bajo coste de mantenimiento, pero tiene una limitación estructural: es puntual, no continuo. Entre baliza y baliza no existe supervisión automática de la velocidad ni de la distancia de frenado. En una línea de alta velocidad, con trenes que pueden circular a 250-300 km/h, esa ausencia de supervisión continua deja un margen de riesgo que solo se acepta como solución temporal o de respaldo.
Cuando el LZB cae y el tren debe circular bajo ASFA, la protección efectiva se reduce de forma drástica. La “marcha a la vista” a 40 km/h es una medida de mitigación, no una garantía equivalente. Si el centro de control autoriza reanudar a velocidad normal tras un reseteo, el tren vuelve a circular a alta velocidad sobre un sistema que ya no le está vigilando de forma continua. Esa es la brecha operativa: el sistema de respaldo existe, pero los protocolos permiten saltarse su lógica restrictiva.
Los maquinistas y los propios operadores habían alertado de incidencias previas en la línea Madrid-Sevilla. La expresidenta de la Agencia Estatal de Seguridad Ferroviaria había señalado, semanas antes de Urda, que el LZB era un sistema obsoleto y que su sustitución no estaba terminada. El conocimiento del problema era institucional.
El ERTMS: el estándar que llega tarde
El ERTMS es el sistema europeo de gestión del tráfico ferroviario. En su nivel 2, ofrece supervisión continua, permite mayores densidades de tráfico y es interoperable entre operadores y países. Las líneas de alta velocidad construidas después de Madrid-Sevilla se equiparon con ERTMS o se migraron hacia él. El corredor Madrid-Barcelona, por ejemplo, opera principalmente bajo ERTMS y ha absorbido la entrada de Ouigo e Iryo con menos fricciones técnicas.
La migración del corredor Madrid-Sevilla se retrasó. El contrato principal se adjudicó en 2021. A finales de 2026, la implantación física estaba avanzada en varios tramos, pero la puesta en servicio plena —con las certificaciones de la Agencia Estatal de Seguridad Ferroviaria, las pruebas de laboratorio y la autorización operativa— seguía pendiente y se estimaba para principios de 2027. Durante todo el periodo de consolidación de Iryo y Ouigo en el sur, los nuevos operadores circularon sobre un sistema que el propio Adif había calificado de problemático para la competencia.
El retraso no es solo técnico. Es de prioridad. La liberalización del mercado y el aumento de frecuencias se ejecutaron antes de completar la migración. El resultado es una red de alta velocidad con dos realidades técnicas: corredores donde el ERTMS funciona como sistema principal y un corredor estratégico donde el sistema principal sigue siendo el LZB, con un respaldo ASFA que depende de protocolos permisivos.
La brecha entre diseño y operación
La brecha no se reduce a un sistema concreto. Se produce en la interacción de varios elementos:
- Un sistema principal (LZB) en fase de obsolescencia y con dificultades de reinicio.
- Un sistema de respaldo (ASFA) que solo actúa de forma puntual.
- Protocolos que permiten autorizar marcha normal tras un fallo y un reseteo.
- Aumento del tráfico por la entrada de nuevos operadores sin que la migración ERTMS estuviera terminada.
- Mantenimiento de infraestructura que no creció al mismo ritmo que el uso de la línea.
En condiciones normales, el LZB protege. Cuando falla, la protección depende de que el centro de control imponga restricciones estrictas y de que el maquinista las respete. Si el protocolo permite reanudar a velocidad normal, la protección continua desaparece durante el tiempo que tarda en resolverse la incidencia. En Urda ese tiempo fue de unos diecisiete minutos. En ese intervalo, el sistema de seguridad dejó de proteger.
El accidente de Adamuz, ocurrido nueve meses antes en la misma línea, ya había mostrado problemas de infraestructura (rotura de carril en una soldadura con defectos de nivelación conocidos por Adif). La combinación de problemas de vía y de sistemas de señalización en un corredor con tráfico creciente no era un escenario imprevisible. Era el resultado de mantener en servicio un sistema en transición mientras se aumentaba la densidad de trenes.
Consecuencias y responsabilidad
Los sistemas de seguridad ferroviaria existen para que un fallo técnico o un error humano no derive necesariamente en una catástrofe. Cuando el sistema principal cae y los protocolos no obligan a la máxima restricción, esa función deja de cumplirse. La responsabilidad no recae solo en el controlador que autorizó la marcha normal en Urda. Recae en el marco de gestión que mantuvo durante años un sistema obsoleto en una línea de alta velocidad, que permitió la entrada de nuevos operadores antes de completar la migración, y que no modificó los protocolos de contingencia pese a las alertas internas y externas.
El ERTMS es el sistema que debería estar protegiendo de forma continua y uniforme. Su llegada tardía al corredor Madrid-Sevilla no es un detalle técnico. Es la expresión de una prioridad: se abrió el mercado y se aumentó la oferta antes de garantizar que todos los trenes circularan bajo el mismo nivel de protección. El LZB y el ASFA, en las condiciones en que operaron entre 2021 y 2026, no cubrieron esa función de forma equivalente.
Este capítulo ha descrito la brecha entre lo que los sistemas deberían hacer y lo que realmente hicieron cuando fallaron. Los capítulos siguientes reconstruirán la cronología de los accidentes de Adamuz y Urda, la cadena de decisiones previas y el papel de la gestión pública en el mantenimiento de esa brecha. Los sistemas de seguridad no protegen por el simple hecho de estar instalados. Protegen cuando están actualizados, cuando los protocolos los respaldan y cuando la gestión prioriza su funcionamiento sobre la imagen de modernización.
0 comentarios