El País, 3/11/2026. “La alta velocidad española mantuvo un historial destacado desde 1992 hasta 2025, pero Adamuz y Urda han truncado esa trayectoria y obligan a preguntarse si revelan deficiencias sistémicas”.
El accidente de Urda del 28 de octubre de 2026, con al menos 69 fallecidos, es el segundo siniestro mortal de la alta velocidad española en diez meses. La causa inmediata apunta a un error humano: tras caer el LZB, el Centro de Control de Adif ordenó reanudar la marcha normal cuando había un tren detenido en la vía. Atribuir la tragedia solo a esa decisión elude la pregunta fundamental: ¿por qué el sistema permitió que un error previsible tuviera consecuencias letales?
La alta velocidad española mantuvo un historial destacado desde 1992 hasta 2025. Adamuz y Urda han truncado esa trayectoria y obligan a preguntarse si revelan deficiencias sistémicas.
El LZB dejó de funcionar por un fallo informático en un tramo de 63 kilómetros. La normativa exige detener los trenes y, si se reanuda la circulación, hacerlo a la vista y con precauciones. Sin embargo, el Centro de Control autorizó la marcha normal y el AVE embistió al Iryo. La cuestión es por qué la seguridad no bloqueó esa decisión. La marcha a la vista requiere mecanismos independientes que garanticen su cumplimiento: controles automáticos que limiten la velocidad y supervisen el frenado.
Antes de autorizar la circulación debe confirmarse que la vía está libre. En Urda, el Iryo permanecía detenido y el AVE recibió autorización sin esa verificación. Comprobar que el cantón está libre debe ser una condición indispensable, registrada y verificable, no un trámite implícito en una comunicación verbal.
La caída del LZB situó al sistema en seguridad degradada, trasladando a procedimientos manuales la protección frente al error humano. Toda degradación incrementa el riesgo y exige medidas compensatorias. El problema no es que los sistemas fallen, algo previsible, sino que su respuesta no garantice un estado seguro. Son necesarias redundancias, mantenimiento preventivo y contingencias que impidan que una avería se convierta en catástrofe. La caída del LZB no fue el accidente: fue su condición.
Los análisis probabilistas de seguridad permiten identificar secuencias capaces de provocar accidentes. La coexistencia de un LZB envejecido, ausencia de ERTMS, múltiples operadores y tráfico denso exige estudiar rigurosamente la coincidencia de fallos del LZB, ASFA o ERTMS con decisiones erróneas y trenes detenidos. Estas combinaciones catastróficas deben neutralizarse mediante barreras técnicas y operativas. Aviación y energía nuclear llevan décadas aplicando métodos sistemáticos; el ferrocarril debe alcanzar un rigor equivalente.
Angrois (2013) mostró que, si la seguridad depende de que el maquinista respete una limitación, debe existir protección automática frente al error. Esa enseñanza no se ha extendido suficientemente a determinadas curvas de líneas convencionales. Urda no es un accidente de curva, pero comparte la misma lógica: una decisión crítica queda en manos de un operador sin barrera técnica suficiente. Persistirá un riesgo evitable mientras no se generalice esa protección.
También debe revisarse la comparación entre ASFA, LZB y ERTMS. No basta evaluar sus prestaciones nominales: hay que analizar toda la respuesta ante una incidencia, desde la detección hasta la detención, incluidos información, decisiones, actuaciones y frenado.
La fiabilidad depende de la interacción entre componentes: en sistemas en serie, el elemento más vulnerable condiciona el conjunto. El frenado mecánico y neumático debe analizarse junto con la señalización electrónica, pues sus fallos afectan a cualquier protección. Ignorar estas interdependencias genera evaluaciones incompletas y falsa seguridad.
Los protocolos deben asumir que, bajo presión, los operadores pueden equivocarse. En Urda, una orden verbal tuvo efectos letales. Un protocolo robusto habría exigido verificaciones cruzadas, límites técnicos a operador y maquinista, garantías antes de avanzar e información precisa —incluido el punto kilométrico— sobre el tren detenido.
Angrois-Adamuz-Urda plantea si las lecciones se aplican con rapidez. Las recomendaciones solo valen si producen cambios. La supresión de la Comisión de Investigación de Accidentes Ferroviarios (CIAF) mes y medio después de Adamuz y la demora en constituir el nuevo organismo requieren una explicación transparente. Las medidas pendientes deben ejecutarse con urgencia.
Mantenimiento e inversión en seguridad no son lo mismo. Esta última requiere recursos para protección automática, formación, protocolos, análisis de riesgos y cultura preventiva. Urda muestra que un fallo de señalización y un procedimiento inadecuado pueden causar una catástrofe sin defecto en la vía. Los recursos deben priorizar la reducción efectiva del riesgo.
La investigación también es decisiva. La Autoridad Administrativa Independiente para la Investigación Técnica de Accidentes e Incidentes Ferroviarios, Martítimos y de Aviación Civil (AITAT) debe reunir especialistas en seguridad ferroviaria, análisis de riesgos, factores humanos y diseño de sistemas, y ser independiente del gestor y los operadores para investigar también las causas institucionales y organizativas, sin conflictos de interés.
La experiencia internacional ofrece referencias. El Shinkansen japonés acumula seis décadas sin víctimas mortales por colisión o descarrilamiento y reduce automáticamente la velocidad, con independencia del maquinista. Los ferrocarriles chinos también obtienen buenos resultados en redes extensas y densas. Las diferencias dependen de la tecnología, la cultura de seguridad, las infraestructuras y la claridad de responsabilidades. No se trata de importar modelos, sino de adaptar prácticas eficaces de separación de responsabilidades, prioridad presupuestaria, supervisión y rendición de cuentas.
Urda no fue un rayo en cielo despejado. Apunta a condiciones convergentes: sistema degradado, protocolo basado en una comunicación verbal para decisiones críticas, verificación insuficiente de la ocupación de vía y aplicación incompleta de lecciones anteriores. Determinar las responsabilidades individuales corresponde a la investigación judicial y técnica. Existe también una responsabilidad colectiva: reconocer que un sistema bien diseñado debe impedir que un error previsible desencadene consecuencias irreversibles.
La respuesta exige rediseñar protocolos para que no dependan solo de la obediencia del operador, verificar las condiciones antes de autorizar movimientos, realizar análisis probabilistas rigurosos, aplicar sin demora las recomendaciones pendientes y garantizar la especialización e independencia de los organismos investigadores. También exige revisar las prioridades de inversión y consolidar una cultura que prevenga y mitigue el error humano desde el diseño.
España dispone de tecnología y conocimiento para avanzar. Lo que está en cuestión es la voluntad de convertir la seguridad en prioridad efectiva, por encima de la autocomplacencia. La verdadera medida de un sistema ferroviario seguro no consiste en que sus operadores nunca se equivoquen, sino en que sus errores no provoquen tragedias.
Enrique Castillo Ron es miembro de las Reales Academias de Ciencias e Ingeniería.
