Capítulo X. La cadena de fallos

Capítulo X. La cadena de fallos
Del error inicial del centro de control de Atocha a los sucesivos fallos humanos y técnicos que nadie corrigió a tiempo

El accidente de Urda no se explica por un único error. Se explica por una cadena de fallos técnicos y humanos que se sucedieron durante aproximadamente diecisiete minutos y que nadie interrumpió. El fallo inicial del sistema LZB detuvo al Iryo. La autorización de marcha normal emitida por el centro de control de Adif en Atocha permitió que el AVE se aproximara a velocidad de línea. Durante el intervalo que medió entre ambas decisiones no se produjo ninguna corrección efectiva. Este capítulo reconstruye esa cadena: desde la desconexión del equipo de a bordo hasta el impacto, identificando los puntos en los que una intervención distinta habría podido evitar la colisión.

El fallo técnico inicial

Alrededor de las 19:30 del 28 de octubre de 2026, el sistema LZB del Iryo que circulaba por la línea Madrid-Sevilla se desconectó. El tren se detuvo. El LZB es un sistema de control continuo. Cuando cae, deja de transmitir al tren la información permanente sobre velocidad y distancia de frenado. El respaldo automático pasa a ser el ASFA, que solo actúa mediante balizas puntuales. En ese momento, la protección continua desaparece. La normativa exige que el tren circule en marcha a la vista con velocidad limitada hasta que se restablezcan las condiciones normales. El Iryo permaneció parado en la vía.

Este fallo no era imprevisible. Adif había documentado desde 2022 las dificultades del LZB para reiniciar la marcha tras una desconexión y su carácter obsoleto y no interoperable. Los nuevos operadores habían tenido que equipar sus trenes con este sistema precisamente porque la migración a ERTMS no estaba terminada. El fallo técnico abrió la cadena. No la cerró.

La autorización del centro de control

El centro de regulación de Adif en Atocha recibió la información de la incidencia. En lugar de mantener una restricción estricta de velocidad para todos los trenes que se aproximaban por la misma vía, autorizó al AVE de Renfe que circulaba detrás a reanudar o continuar con marcha normal. Esa autorización se produjo después de un reseteo del equipo del Iryo o de una interpretación de que la incidencia estaba en vías de resolución. Los protocolos vigentes lo permitían. Una vez que el centro de control daba la orden de marcha normal, el AVE podía circular a la velocidad autorizada para el tramo sin una supervisión continua que le alertara de la presencia del tren detenido delante.

Esta fue la decisión que transformó un fallo técnico en un riesgo de colisión. El sistema automático ya no protegía. La protección dependía exclusivamente de que el centro de control impusiera y mantuviera una restricción clara. No lo hizo. Los audios filtrados posteriormente confirmaron que la autorización de marcha normal se emitió cuando ya se tenía conocimiento de que el Iryo estaba detenido.

Los diecisiete minutos sin corrección

Entre la detención del Iryo y el impacto a las 19:47 transcurrieron alrededor de diecisiete minutos. Durante ese tiempo se produjeron sucesivos fallos de corrección:

• No se emitió una orden de parada absoluta al AVE una vez que se confirmó que el Iryo seguía en la vía.
• No se verificó de forma independiente, mediante otro medio que no fuera la comunicación con el tren detenido, que la vía estaba libre antes de permitir la aproximación a velocidad normal.
• No se activó un bloqueo de emergencia de la sección que impidiera cualquier circulación hasta resolver la incidencia.
• No se produjo una segunda intervención del centro de control que revocara la autorización inicial cuando el tiempo transcurrido hacía evidente que el Iryo no se había movido.

Cada uno de estos puntos constituía una oportunidad de interrumpir la cadena. Ninguno se utilizó. El AVE continuó su marcha. El sistema ASFA, al ser puntual, no le proporcionó una alerta continua sobre el obstáculo que tenía delante. La combinación de un sistema de respaldo limitado y de una autorización de marcha normal dejó al tren que se aproximaba sin protección efectiva durante todo el intervalo.

Los fallos humanos en su contexto técnico

Los errores del centro de control no se produjeron en el vacío. Se produjeron dentro de un marco técnico y normativo que llevaba años permitiendo esa secuencia. El LZB, una vez caído, obliga a depender de decisiones humanas y de un sistema de respaldo que no supervisa de forma continua. Los protocolos que autorizaban la marcha normal tras un reseteo reducían el margen de seguridad precisamente en el momento en que el sistema automático había dejado de funcionar. El aumento del tráfico por la entrada de Iryo y Ouigo había incrementado el número de interacciones en una línea que seguía operando con un sistema en transición.

El accidente de Adamuz, ocurrido nueve meses antes en la misma línea, ya había demostrado que los defectos conocidos podían evolucionar hacia una catástrofe si no se intervenía a tiempo. En Urda, el defecto conocido era la obsolescencia del LZB y la permisividad de los protocolos ante sus fallos. La cadena de fallos del 28 de octubre fue la materialización de ese riesgo no corregido.

La ausencia de barreras adicionales

En sistemas de alta velocidad modernos equipados con ERTMS nivel 2, la supervisión continua reduce la dependencia de las autorizaciones verbales del centro de control. Si un tren está detenido, el sistema puede impedir automáticamente que otro se aproxime a velocidad normal. En la línea Madrid-Sevilla, esa barrera automática no estaba plenamente operativa en octubre de 2026. La migración seguía pendiente. En su lugar, la seguridad dependía de que el controlador interpretara correctamente la situación y mantuviera la restricción. Cuando esa interpretación condujo a autorizar la marcha normal, no existió una segunda barrera técnica que corrigiera el error.

Esta ausencia de barreras redundantes es parte de la cadena. No es solo que alguien se equivocara. Es que el sistema estaba diseñado, en ese momento y en ese tramo, para que un error de autorización no fuera corregido automáticamente.

Conclusión

La cadena de fallos de Urda comenzó con la desconexión del LZB que detuvo al Iryo. Continuó con la autorización de marcha normal emitida por el centro de control de Atocha. Se prolongó durante diecisiete minutos en los que ninguna corrección efectiva interrumpió la aproximación del AVE. Terminó con el impacto a las 19:47 y con 69 fallecidos.

Cada eslabón de esa cadena era conocido o previsible. El comportamiento del LZB ante fallos estaba documentado. Los protocolos que permitían la marcha normal estaban vigentes. La falta de una barrera automática equivalente al ERTMS era consecuencia de un retraso en la migración. La ausencia de corrección durante los diecisiete minutos fue el resultado de decisiones humanas tomadas dentro de ese marco. Nadie interrumpió la cadena a tiempo porque el sistema de gestión había mantenido durante años las condiciones que hacían posible que esa cadena se formara y no se rompiera.