¿Dependía todo de un solo operador? Las cinco capas de seguridad que no evitaron la tragedia de Urda

El primer perímetro de seguridad funcionó. A las 8.30 horas del miércoles, cuando una avería aún por explicar dejó fuera de servicio el sistema LZB que controla la circulación en la línea de alta velocidad Madrid-Sevilla, los seis trenes que circulaban en el tramo afectado comenzaron a detenerse automáticamente. Y eso era exactamente lo que debía suceder. Cuando se pierde la comunicación con el sistema encargado de mantener las distancias de seguridad, todos los convoyes deben interrumpir su marcha de forma automática. Sin embargo, apenas 23 minutos después de esa primera barrera que funcionó como debía ante el fallo del sistema, un AVE de Renfe embestía por detrás a un Iryo detenido en las inmediaciones de Urda (Toledo) provocando una tragedia que alcanza ya los 69 muertos. ¿Fallaron solo las indicaciones del centro de control de Adif? ¿No hay más protocolos de seguridad? El Reglamento de Circulación Ferroviaria y el Libro de Normas del Maquinista de Renfe, un documento interno de 745 páginas actualizado el pasado 28 de septiembre y al que ha tenido acceso EL MUNDO, permiten entender cómo funcionan los protocolos de control ante incidencias de este tipo, como el hecho de que el sistema principal se quede ciego. No todas se vulneraron en el caso del accidente de Urda; algunas funcionaron y otras fallaron por decisiones o motivos que ahora investiga la Justicia. Primera barrera: el LZB. Es la abreviatura de Linienförmige Zugbeeinflussung. Es el sistema de supervisión continua, de origen alemán, que lleva instalado en la línea que une Madrid y Andalucía desde su inauguración en 1992. Está en fase de migración hacia un modelo más moderno, el ERTMS. Eso no significa que no sea seguro. El sistema LZB controla la velocidad y la separación que existe entre los convoyes y a diferencia de los mecanismos que reciben información únicamente al atravesar determinados puntos de la vía, mantiene una comunicación permanente entre la infraestructura y los trenes. Si esa comunicación desaparece, el LZB interviene para evitar que continúen circulando sin protección. Eso es lo que ocurrió el miércoles alrededor de las 8.30 horas. La avería paralizó la circulación en un amplio tramo del corredor Madrid-Andalucía, unos 68 kilómetros, según informó el ministro Óscar Puente, que en su primera intervención no supo precisar exactamente cuántos trenes habían sido afectados. Fueron seis los que se detuvieron, quedándose sin su principal sistema de protección automática. Segunda barrera: el BSL. Este proceso, aparentemente, no se cumplió como debía. El Reglamento de Circulación Ferroviaria contempla que, cuando falla el bloqueo de control automático, se utilice el denominado Bloqueo de Señalización Lateral (BSL). Este sistema es el que permite organizar el tráfico mediante señales que protegen los cantones, que es como se denomina a los tramos en los que se divide la infraestructura para mantener separados los trenes y garantizar su seguridad. La utilización del BSL está sometida a condiciones. El artículo 4.2.2.2 del Reglamento de Circulación sólo permite autorizar la circulación normal de un tren si se ha comprobado que el tramo de vía al que va a acceder está libre. Sin embargo, en el caso del accidente de Urda había un Iryo detenido unos 25 kilómetros por delante del AVE y una señal en rojo protegía el acceso a la zona ocupada. Tercera barrera: el proceso de reanudación. El Apéndice 5 del manual de Renfe distingue expresamente entre dos posibilidades cuando falla la transmisión del LZB. Si la velocidad objetivo que muestra el sistema es de 40 kilómetros por hora, el manual considera libre el trayecto hasta la siguiente señal de entrada. Si marca cero, interpreta que el tramo está ocupado y establece un plan más restrictivo. En este último supuesto, el maquinista debe detenerse, comunicar su posición y esperar una instrucción específica, denominada LZB3, para continuar con «marcha a la vista» hasta la siguiente señal. Sin embargo, en los audios difundidos se escucha claramente al conductor del AVE fallecido comunicar que su tren se encuentra con velocidad objetivo cero. Después de varios minutos de consultas, desde Atocha se le transmite otra instrucción, denominada LZB4, para desconectar y volver a conectar el sistema. Por qué se optó por ese procedimiento cuando el cantón estaba ocupado será una de las cuestiones que deberá esclarecer la investigación. El manual contempla la instrucción LZB4 solo para determinadas averías y necesidades de explotación, pero exige que se especifique antes las condiciones de circulación. Cuarta barrera: la velocidad y sistema ASFA. A las 8.36 horas, el controlador, señalado públicamente por el ministro, autorizó al AVE a continuar al amparo del BSL con «marcha normal». La diferencia respecto a la «marcha a la vista» resulta fundamental. Esta última obliga al maquinista a regular la velocidad para poder detener el tren ante cualquier vehículo, obstáculo o señal de parada que encuentre por delante. Es decir, circular con la precaución necesaria para evitar una colisión si aparece otro convoy en la vía. La marcha normal, en cambio, permitía al AVE alcanzar velocidades muy superiores, de hasta 200 kilómetros por hora bajo la protección del sistema ASFA. Este mecanismo, cuyas siglas significan Anuncio de Señales y Frenado Automático, está diseñado para intervenir cuando el maquinista no respeta determinadas señales o restricciones de velocidad. Para ello utiliza unas balizas instaladas en puntos concretos de la vía que transmiten información al tren. Si, por ejemplo, una señal ordena detenerse y el conductor no cumple esa indicación, el ASFA puede activar automáticamente los frenos. El protocolo ASFA tiene una limitación fundamental: a diferencia del LZB, no supervisa continuamente la distancia entre los trenes. Su capacidad de intervención depende de la información que recibe de las balizas y de los controles activados. Por tanto, no puede detectar por sí mismo que hay otro convoy detenido kilómetros más adelante. El manual de Renfe establece que, tras perder la supervisión del LZB, el maquinista debe comprobar que el ASFA está funcionando correctamente. En el caso de Urda, queda por determinar si el equipo del AVE estaba operativo, qué señales recibió durante los 25 kilómetros que recorrió antes de la colisión y por qué no se produjo una intervención capaz de evitar el impacto. Quinta barrera: el centro de control. A las 8.41 horas, cuando el AVE ya había recibido autorización para continuar, la maquinista del Iryo comunicó a Atocha que seguía detenida ante la señal de entrada de Urda. El personal de circulación tomó nota de su posición y también le indicó que desconectara y volviera a conectar el LZB. Pero el Iryo no consiguió arrancar. En una comunicación posterior, su conductora volvió a advertir de que el equipo no le permitía reiniciar el sistema y que permanecía inmovilizada. En los audios difundidos se escucha cómo los operadores comentan entre ellos las dificultades del convoy. No consta en esas grabaciones que se transmitiera entonces una nueva orden para detener al AVE que avanzaba por detrás. Ese intervalo constituye uno de los puntos decisivos de la investigación: determinar qué información tenía el centro de control, cuándo supo que el Iryo seguía parado y si todavía existía margen para evitar el alcance. El ministro no dudó en su primera comparecencia en cargar el peso de la sospecha sobre su actuación. Habló abiertamente de órdenes «erróneas» desde el centro de control. A las 8.53 horas, el AVE llegó hasta el tren inmovilizado. El impacto convirtió una avería informática, que inicialmente había provocado la detención segura de los convoyes, en una de las mayores tragedias ferroviarias de la historia reciente de España.