Un fallo de señalización, dos trenes con respuestas diferentes y las preguntas que aún no ha contestado la investigación

A las 8.30 de la mañana del miércoles 28 de octubre, una caída del sistema de protección ferroviaria LZB interrumpió la circulación en un sector de la línea de alta velocidad Madrid-Sevilla. Varios convoyes se detuvieron automáticamente, como estaba previsto ante la pérdida de las condiciones normales de supervisión. Unos 23 minutos más tarde, en las proximidades de Urda (Toledo), un AVE de Renfe alcanzó por detrás a un Iryo inmovilizado. La tragedia dejó decenas de muertos y heridos; el balance publicado durante el 29 de octubre, todavía provisional, se situaba en al menos 69 fallecidos.

La cuestión no es únicamente qué dispositivo dejó de funcionar, ni qué orden recibió el tren que avanzó. Es por qué una incidencia inicialmente contenida por los sistemas de seguridad se convirtió en una colisión mortal. Las grabaciones conocidas señalan que el centro de control de Atocha autorizó a los dos trenes a reanudar la marcha bajo el Bloqueo de Señalización Lateral (BSL) «con marcha normal». Uno continuó; el otro no pudo hacerlo. Esa diferencia, unida a la información que el control recibió sobre el Iryo detenido, constituye el núcleo de los interrogantes técnicos y organizativos.

Reconstrucción de los hechos: una avería, dos autorizaciones y un choque

Alrededor de las 8.30, el LZB —sistema de supervisión continua utilizado en la línea Madrid-Sevilla— registró un fallo de transmisión que obligó a detener varios trenes. La parada automática funcionó como barrera inicial: ante la pérdida de una referencia de seguridad, la circulación quedó interrumpida. A partir de ese momento, la operación pasó a depender de procedimientos de explotación alternativos y de las decisiones adoptadas desde el control de tráfico.

A las 8.36, según las grabaciones obtenidas por EFE y otros medios, el centro de control de Adif dio al maquinista del AVE la instrucción de desconectar y volver a conectar el LZB y «reanudar marcha al amparo del BSL con marcha normal». Esta formulación es decisiva: no se ordenó simplemente esperar a que el LZB se recuperara, sino continuar bajo otro régimen de circulación. Por eso no puede inferirse, solo de que el AVE pudiera moverse, que su pantalla indicara un LZB restablecido.

La maquinista del Iryo, situado por delante, informó de problemas de transmisión y de que permanecía detenida a la entrada de Urda. También recibió instrucciones de desconectar y reconectar el LZB y continuar bajo el BSL. Aproximadamente a las 8.48 comunicó que el tren no le permitía reiniciar el equipo y que seguía inmovilizado. Los audios publicados sugieren que desde Atocha se conocía esa situación; queda por verificar el conjunto de información disponible para cada operador y cómo se utilizó.

Hacia las 8.53–8.54, el AVE alcanzó al Iryo en las proximidades del punto kilométrico 118. La reconstrucción periodística basada en posiciones del tren sitúa el impacto unos 17 minutos después de la autorización inicial. El horario exacto, la velocidad en cada tramo y las comunicaciones íntegras deberán fijarse mediante los registros oficiales y los equipos de los dos convoyes.

Primera hipótesis: una autorización indebida desde Atocha

La primera explicación difundida por el Ministerio de Transportes se concentra en la autorización que permitió avanzar al AVE hacia un tramo ocupado. Según informaciones publicadas por la progubernamental Cadena SER, fuentes conocedoras de los procedimientos sostienen que en esas circunstancias debía aplicarse «marcha a la vista», con una restricción de velocidad de 40 km/h, y no «marcha normal». Esa interpretación debe contrastarse con el reglamento, las consignas aplicables al tramo y el estado exacto de la señalización en aquel momento.

No basta con identificar al trabajador que comunicó la orden. La investigación tendrá que establecer qué pantallas veía, qué señales e indicadores de ocupación estaban disponibles, qué autorizaciones exigían comprobaciones adicionales y qué papel desempeñaron las conversaciones con sus compañeros. Un error operativo, si se acreditara, no excluiría problemas de procedimiento, diseño o supervisión.

Segunda hipótesis: fallos de barreras técnicas y organizativas

La seguridad ferroviaria no debería depender de una sola persona ni de un único componente. El fallo del LZB podía requerir operaciones en un régimen alternativo, pero el paso a dicho régimen debía preservar la separación entre los trenes. La pregunta central es qué barreras impedían que se autorizara una marcha incompatible con la ocupación de la vía y por qué no fueron suficientes.

La investigación técnica debería examinar el enclavamiento, la señalización lateral, la supervisión del ASFA, las autorizaciones verbales, la representación del tráfico en el centro y la posibilidad de alarmas por aproximación o incompatibilidad. No hay evidencia pública suficiente para afirmar que todos estos dispositivos estuvieran averiados. Sí existe una colisión que obliga a explicar cómo interactuaron —o dejaron de interactuar— en la secuencia concreta.

Tercera hipótesis: el papel del LZB y la modernización hacia ERTMS

El LZB proporciona supervisión continua de la marcha mediante información transmitida desde la infraestructura. Un fallo puede provocar la detención por seguridad. Sin embargo, una vez desconectado y bajo las reglas de un régimen alternativo, el movimiento del tren no constituye por sí mismo prueba de recuperación ni de manipulación del sistema. Esto es fundamental para interpretar correctamente las grabaciones.

La antigüedad de la instalación Madrid-Sevilla y su progresiva modernización hacia ERTMS justifican preguntas sobre mantenimiento, fiabilidad, repuestos, incidencias repetidas y calendario de sustitución. Pero no se puede atribuir el choque a la edad del LZB sin establecer un nexo causal entre una deficiencia concreta y la colisión. También deberá precisarse si un sistema alternativo ya implantado y operativo habría impedido el accidente en las mismas condiciones.

Cuarta hipótesis: los antecedentes de incidencias de señalización

La Cadena SER publicó que, de acuerdo con datos de Adif, se registraron nueve incidencias de señalización en tramos próximos a Urda desde 2024. La cifra no demuestra una avería recurrente de la misma causa: los sucesos abarcarían fenómenos de naturaleza diferente, incluidos problemas vinculados a cableado. Sin embargo, sí justifica examinar expedientes de mantenimiento, patrones de fallo y acciones correctoras.

Otra comprobación necesaria consiste en determinar si recomendaciones formuladas a raíz de incidentes ferroviarios anteriores fueron evaluadas y aplicadas cuando resultaban pertinentes. No debe presumirse que una recomendación relativa a otra línea o tecnología fuera automáticamente trasladable a Urda; su relevancia tiene que demostrarse documentalmente.

Quinta hipótesis: ¿por qué el Iryo no pudo ponerse en marcha?

En las comunicaciones publicadas, la maquinista del Iryo manifestó que el tren no le permitía reiniciar el LZB y que seguía detenida ante la señal de entrada de Urda. El AVE, al contrario, sí pudo proseguir. La diferencia es real como hecho operativo; lo que permanece abierto es su explicación.

Los trenes podían estar sometidos a señales, estados de los equipos, posiciones y restricciones diferentes. También puede haber habido una anomalía adicional en uno de ellos. Es indispensable comparar los registros de eventos, la configuración de los sistemas embarcados, los modos de conducción, las señales recibidas y la secuencia exacta de acciones de cada maquinista. La simple divergencia no constituye prueba de sabotaje ni indica automáticamente que el equipo del AVE informara falsamente de que el LZB funcionaba.

Sexta hipótesis: las comunicaciones y la ausencia de una detención preventiva

La reconstrucción conocida deja un interrogante especialmente grave: cuando la maquinista del Iryo comunicó que continuaba detenida, el AVE ya había reanudado su circulación. ¿Qué información recibió entonces el operador responsable? ¿Se consideró detener el AVE? ¿Se transmitió alguna instrucción de frenado o emergencia? ¿Qué margen de tiempo y distancia quedaba realmente?

Algunas especulaciones sostienen que pudo existir una llamada al AVE no divulgada. Esa posibilidad no puede afirmarse como hecho. Los audios distribuidos a los medios no equivalen necesariamente al registro completo: solo el examen de todas las comunicaciones de radiotelefonía, su sellado temporal y los datos de la caja negra permitirá establecer si hubo avisos posteriores, si fueron recibidos y qué reacción se produjo.

Séptima hipótesis: el ASFA y la confusión de los 40 km/h

Se ha difundido un razonamiento según el cual el ASFA, como sistema de respaldo, debería haberse activado automáticamente y frenado cualquier tren al superar los 40 km/h. Esa explicación es excesivamente simplificada. El ASFA no es un radar general que detecte convoyes detenidos; supervisa condiciones determinadas de señalización y velocidad. Tampoco impone universalmente el límite de 40 km/h ante cualquier caída del LZB.

Los 40 km/h citados en las informaciones sobre Urda se relacionan con la prescripción de «marcha a la vista» que, según las fuentes ferroviarias consultadas por algunos medios, correspondía aplicar en esa situación. La existencia de una restricción reglamentaria no implica automáticamente que todo modo ASFA la supervise por sí mismo. Se debe verificar si estaba activo, qué modalidad operaba, qué señales pasaron por los captadores y qué curvas o umbrales de supervisión eran aplicables.

El Reglamento de Circulación Ferroviaria, aprobado por Real Decreto 664/2015, distingue sistemas y regímenes, y contempla diferentes controles de velocidad del ASFA. Por eso el hecho de que el AVE circulara a más de 40 km/h no demuestra, sin los registros técnicos, un fallo del ASFA.

Octava hipótesis: discrepancia de información entre los trenes y el centro de control

El material remitido para esta actualización plantea una hipótesis relevante: quizás la información disponible en el centro de Atocha y la que recibían los trenes no reflejaba de manera idéntica el estado del sistema de protección o de la vía. La investigación debe verificar la correspondencia entre la situación física de la infraestructura, los registros de los enclavamientos, los indicadores de ocupación y las interfaces mostradas a los operadores.

No obstante, es incorrecto deducir que el centro de control necesariamente veía el LZB recuperado porque ordenó «marcha normal». La orden conservada en los audios se refiere expresamente al BSL; es decir, los controladores estaban gestionando una incidencia del LZB y recurrieron a un régimen alternativo. También se conocen comunicaciones sobre problemas persistentes en Urda.

La posible discrepancia informativa merece investigación propia: ¿existieron estados desactualizados, avisos incompletos, fallos de visualización, errores de interpretación o diferencias entre los equipos embarcados? Cada variante puede comprobarse con registros temporales y documentación del sistema. Sin esa evidencia, no puede sostenerse que al AVE se le indicara falsamente que el LZB estaba restablecido.

Novena hipótesis: ¿avería deliberada, sabotaje o ciberataque?

Las sospechas de manipulación intencionada se han difundido en redes sociales a partir de la caída del LZB y de la diferencia de respuesta entre los dos trenes. Ninguno de esos hechos constituye una prueba de intrusión informática. Un fallo de transmisión o una anomalía de un equipo puede deberse a causas ordinarias de hardware, software, comunicaciones o alimentación, así como a factores externos que deben verificarse.

Una comprobación forense podría examinar los registros de acceso, cambios de configuración, integridad de los sistemas y otros indicadores de intervención externa. Pero, hasta la información pública revisada el 29 de octubre, no existen elementos verificables que permitan presentar el sabotaje o el hackeo como causa acreditada ni como la explicación necesaria de los hechos.

Adamuz y Urda: tragedias distintas, preguntas compartidas

El accidente de Adamuz de enero de 2026 y el de Urda de octubre se produjeron en contextos técnicos diferentes. En Adamuz, las investigaciones se dirigieron hacia el estado del carril y la secuencia de descarrilamiento y colisión. En Urda, los primeros indicios apuntan a una avería de señalización seguida de decisiones de circulación en modo degradado y de una colisión por alcance. No cabe equiparar sus causas sin pruebas.

Su proximidad temporal sí convierte en relevante una revisión transversal de los procedimientos de gestión del riesgo, auditorías, mantenimiento, supervisión y aprendizaje institucional de accidentes e incidentes. Esa revisión no sustituye las conclusiones de cada expediente, pero puede identificar vulnerabilidades organizativas comunes si las hubiera.

12. Las pruebas que deben resolver las incógnitas

• Los registradores de eventos de ambos trenes: velocidad, frenadas, modos de protección, mensajes de cabina y órdenes del maquinista.

• Los registros LZB, BSL y ASFA: estados, pérdidas de transmisión, señalización efectiva y condiciones de transición de sistemas.

• Las pantallas y trazas del centro de control: ocupación de vía, posiciones estimadas, alarmas y autorizaciones emitidas.

• Las grabaciones íntegras de radiotelefonía y su sincronización temporal, incluidas las comunicaciones internas y posteriores a las 8.48.

• Las consignas operativas y el reglamento aplicable específicamente a la circulación degradada en ese tramo.
• Los expedientes de incidencias previas, mantenimiento, pruebas y modernización tecnológica.

• Los análisis forenses que permitan descartar o acreditar alteraciones de información o accesos no autorizados.

Conclusión: una cadena que debe reconstruirse sin respuestas anticipadas

El relato de Urda contiene ya una secuencia esencial: el fallo de un sistema de seguridad provocó la parada automática de varios trenes; desde Atocha se ordenó reanudar la marcha bajo un régimen alternativo; el Iryo comunicó que continuaba detenido y el AVE acabó alcanzándolo. Pero saber qué ocurrió no equivale todavía a establecer todas sus causas.

La interpretación de que necesariamente hubo tres fallos técnicos y un presunto hackeo no se deduce de los datos divulgados. Confunde la supervisión del LZB con la posibilidad reglamentaria de circular bajo BSL y atribuye al ASFA una limitación universal de 40 km/h que no le corresponde. Lo que sí revela es una pregunta legítima y especialmente fértil: por qué los sistemas embarcados, las señales, los procedimientos de autorización y la información del centro de control no evitaron que un tren en marcha alcanzara a otro inmovilizado.

El error humano (¿de quién?) y la anomalía técnica no son explicaciones excluyentes. La investigación deberá fijar qué orden fue correcta o incorrecta, qué protección debía actuar, qué información tenía cada participante y si los mecanismos de redundancia funcionaron conforme a su diseño. Es ahí, y no en una conclusión anticipada sobre el sabotaje, donde se encuentra la verdadera explicación pendiente de una catástrofe que dejó decenas de víctimas y una pregunta pública ineludible: ¿cómo pudo una avería contenida convertirse en una tragedia?