La CIAF ya había advertido del riesgo de que una sola comprobación humana autorizara la entrada en un cantón ocupado

El informe sobre un incidente registrado en Cuenca en 2024 concluyó que la última barrera contra una posible colisión dependió exclusivamente de que un responsable comprobara visualmente que la vía estaba libre. La Comisión reclamó medidas técnicas que redujeran esa dependencia del factor humano, una advertencia que adquiere una nueva dimensión tras el accidente de Urda.

La Comisión de Investigación de Accidentes Ferroviarios ya había advertido, más de un año antes de la catástrofe de Urda, de los riesgos que entraña dejar como última barrera de seguridad la comprobación visual realizada por una sola persona antes de autorizar a un tren a reanudar la marcha. El aviso figura en el informe final IF 64/2024, dedicado a un incidente ocurrido en la estación de Cuenca-Fernando Zóbel el 25 de junio de 2024 y aprobado por la CIAF el 26 de junio de 2025.

El episodio no produjo víctimas ni daños materiales, pero fue investigado precisamente porque, en circunstancias ligeramente distintas, podría haber desembocado en un accidente grave. El tren de alta velocidad 05903, que realizaba el recorrido Murcia-Madrid, inició la marcha en Cuenca ante una señal de salida que mostraba rojo fijo y azul fijo, el denominado aspecto FF7C. Como el convoy circulaba bajo ERTMS Nivel 1, esa indicación le obligaba a permanecer detenido.

El tren rebasó la señal a 11 kilómetros por hora. El ERTMS detectó el movimiento no autorizado, activó el modo TRIP y aplicó automáticamente el freno de emergencia. El convoy quedó detenido 5,4 metros después de la señal y a 8,6 metros del punto de peligro. La protección automática cumplió, por tanto, su primera función: identificar el rebase y parar el tren.

El responsable autorizó la reanudación de la marcha

El problema surgió inmediatamente después. El maquinista comunicó la activación del TRIP al responsable de circulación del Centro de Regulación de Albacete. Ninguno de los dos interpretó inicialmente que se hubiera producido un rebase indebido y el responsable autorizó la reanudación de la marcha después de comprobar que el cantón situado por delante se encontraba libre.

Un cantón es el tramo en que se divide una línea ferroviaria para mantener separados los trenes. La regla básica consiste en impedir que dos circulaciones ocupen simultáneamente un mismo cantón cuando no existe una protección que garantice la distancia de seguridad. En Cuenca, la comprobación visual del responsable de circulación confirmó que el tramo estaba libre y evitó que la autorización generara un riesgo inmediato de colisión. Sin embargo, la CIAF advirtió de que esa comprobación era la única barrera efectiva que quedaba en ese momento.

El informe consideró que una defensa dependiente por completo del factor humano era susceptible de fallar y reclamó la implantación de medidas mitigadoras de carácter técnico. La cuestión no era únicamente si el responsable había actuado correctamente en aquel caso concreto, sino qué habría ocurrido si hubiera interpretado mal la información, confundido la posición de una circulación o autorizado la marcha hacia un cantón ocupado.

Limitación en el puesto de control

La investigación detectó, además, una limitación en el puesto de control. Cuando en una misma línea coexisten los niveles 1 y 2 de ERTMS, el sistema del centro de regulación no siempre permite identificar con qué nivel está operando cada tren. Tampoco generaba en aquel escenario una alarma que advirtiera automáticamente al responsable de que se había producido el rebase indebido. Para detectarlo en tiempo real, el operador habría tenido que estar observando activamente el movimiento del tren en el videográfico, algo que no es habitual porque cada responsable debe atender simultáneamente varias zonas y tareas.

En el incidente de Cuenca, el rebase coincidió además con un cambio de turno. Fue un regulador quien revisó posteriormente la grabación del videográfico, confirmó lo sucedido y ordenó detener el tren unos dos minutos y medio después de que se hubiera autorizado su marcha. El convoy tuvo que retroceder hasta la estación.

La CIAF no trató el episodio como un error individual aislado. Su análisis identificó factores humanos y sistémicos. Entre ellos figuraba la similitud entre las señales de rojo y azul fijos y las de rojo fijo y azul intermitente, cuya única diferencia visual es el destello del foco azul, pese a que exigen respuestas distintas. También señaló que un maquinista podía tener que reaccionar de forma contrapuesta ante la misma indicación durante un mismo viaje, dependiendo de si circulaba con ERTMS Nivel 1 o Nivel 2.

Otros 14 rebases comparables entre 2023 y 2025

El informe recopiló otros catorce rebases comparables registrados entre enero de 2023 y marzo de 2025 en distintos puntos de la red y con trenes de Renfe, Ouigo e Iryo. La Comisión concluyó que su reiteración revelaba un problema sistémico y no un hecho excepcional.

A partir de ese diagnóstico, la CIAF formuló siete recomendaciones. Entre las principales se encontraban mejorar la ergonomía de las señales luminosas de alta velocidad, poner en servicio el ERTMS Nivel 2 en las líneas que ya disponían del equipamiento pero todavía no lo utilizaban, revisar los protocolos para autorizar la marcha después de un TRIP y facilitar al responsable de circulación información inequívoca sobre el nivel de ERTMS con el que opera cada convoy.

También propuso programar provisionalmente los enrutadores automáticos en modo ASFA hasta la entrada en funcionamiento del Nivel 2. En Cuenca se aplicó una medida específica para que el itinerario de salida por la vía afectada solo pudiera establecerse cuando estuvieran libres tanto el cantón como el circuito de deslizamiento. De esta manera, la señal pasa directamente de rojo a verde y se eliminan las indicaciones intermedias que habían contribuido a la confusión.

Cuenca operaba con ERTMS y el accidente de Toledo se produjo después de la caída del LZB y del paso a un régimen degradado de bloqueo con señalización lateral. Será la investigación técnica la que determine las causas y compruebe qué protocolos estaban vigentes, qué información mostraban las pantallas del centro de control y cómo se tomaron las decisiones.

El sistema no debería descansar sobre una única actuación humana

Ambos sucesos comparten, sin embargo, una cuestión central para la ingeniería de seguridad. Cuando una protección automática deja de operar o se produce una situación anómala, el sistema no debería descansar sobre una única actuación humana sin barreras independientes capaces de detectar y corregir una decisión equivocada.

La investigación de Urda deberá aclarar ahora si el centro de control disponía de alarmas suficientes, si la ocupación de los cantones aparecía de forma inequívoca, cuál era la carga de trabajo de los operadores, qué supervisión existía y si se cumplieron las consignas que regulaban la circulación con el LZB fuera de servicio. También deberá establecerse el grado de ejecución de las recomendaciones formuladas por la CIAF tras el incidente de Cuenca.

En seguridad ferroviaria, el error humano no constituye un acontecimiento imprevisible que pueda excluirse del diseño. Es una posibilidad que debe contemplarse mediante defensas sucesivas. La advertencia de la CIAF señalaba precisamente esa debilidad: si la última protección depende de que una sola persona interprete correctamente la situación, el sistema permanece a una única decisión equivocada de perder su margen de seguridad.