Tres ordenadores que debían estar renovados tumbaron el sistema de señalización antes del choque

El fallo informático que provocó que cayera el sistema de señalización en la línea de Alta Velocidad Madrid-Sevilla y que fue el origen de la cadena que desembocó en el “error humano” que permitió que un AVE de Renfe siguiera circulando hasta colisionar con el tren de Iryo (hay al menos 69 personas fallecidas y más de un centenar de heridos), se originó en tres ordenadores que, como todo el sistema de señalización, datan de principios de los años 90 y que deberían haberse renovado a finales del año pasado.

“Sobre las 8.30 horas, el sistema de control LZB de la estación de Urda cae como consecuencia de un fallo de comunicación de tres ordenadores de la red”, empezó explicando este miércoles el ministro de Transportes, Óscar Puente, sobre el evento que originó la cadena de mecanismos para mantener segura la circulación y de decisiones del centro de control de Adif en Atocha que llevó al fatídico accidente en la provincia de Toledo.

El sistema de señalización LZB fue el primero que se instaló en la red española de Alta Velocidad, en la primera línea que se inauguró en 1992, la que une Madrid y Sevilla. Como el Ministerio, fuentes sindicales, ingenieros industriales y otras fuentes del sector ferroviario aseguran que se trata de un sistema tan seguro como el más nuevo que opera en el resto de líneas en España, el ERTMS. Sin embargo, no ocurre así con el sistema informático que lo soporta que, como el propio LZB, data de los años 90. Se trata de ordenadores con una antigüedad de más de 35 años que, además, debían haberse renovado, junto con todo el sistema de señalización y otros elementos de la vía, entre finales del año pasado y principios de este. Fue entonces cuando expiró el plazo de 52 meses que en septiembre de 2021 se fijó Adif para renovar la línea Madrid-Sevilla mediante actuaciones que, tal y como tristemente recordó el accidente de Adamuz en enero, contemplaban la modernización de algunos tramos de las vías pero también la sustitución del sistema LZB por el ERTMS que también habría comportado la renovación del sistema informático, de los ordenadores que lo sustentan.

“Las centrales que sustentan el LZB son de los años 90”, afirman fuentes del sector ferroviario en alusión al conjunto de ordenadores con los que funciona este sistema de señalización, también en el tramo donde este miércoles se cayó el sistema sobre las 8.32 horas. Cuando en septiembre de 2021 Adif adjudicó la renovación de la línea, destacó que “el contrato principal” afectaba a “instalaciones de señalización, sistemas de protección de tren -con la implantación del sistema ERTMS en toda la línea-, detectores de caída de objetos y telecomunicaciones fijas”. A ello se destinaron 94 millones de euros, para actuaciones que en conjunto tenían “un plazo de ejecución de 52 meses”. Expiró entre diciembre de 2025 y enero de 2026.

“Es un sistema que debería haber estado ya reemplazado“, constata el expresidente del Consejo General de Colegios Oficiales de Ingenieros Industriales, César Franco. Según apuntan él y también otras fuentes del sector ferroviario, el sistema de señalización actual en la línea Madrid-Sevilla, LZB, no es inseguro por ser más antiguo que el que lo reemplazará, el ERTMS. De hecho, fuentes sindicales apuntan a que, según dicen los técnicos, “el LZB es el sistema más seguro” a pesar de que fallos en su sistema informático han sucedido en más ocasiones, tal y como apuntó el propio ministro. “Es una avería informática que puede suceder. No sucede todos los días, pero sucede”, explicó Puente este miércoles desde el centro de control de la circulación de Adif, en la estación de Atocha. “No es algo inusual ni de todos los días”, apuntaban en CCOO Ferroviario.

“Un sistema informático puede fallar por un lado o por un error de alimentación, porque se cae, hay muchos motivos“, concede Franco, que añade que “por ser viejas, no significa que las cosas sean inseguras, si se mantienen de manera correcta“. Precisamente, y como ya tristemente recordó el accidente de Adamuz de enero y a pesar del aumento de recursos para el mantenimiento que se comprometió entonces, España sigue invirtiendo mucho más en construir kilómetros nuevos que en reparar los ya existentes. Este mismo lunes, Puente cifró en 1.800 millones de euros anuales la cantidad necesaria para conservar la infraestructura ferroviaria. Mejorarla es el problema “más urgente y acuciante” de su Ministerio, dijo durante un desayuno informativo.

Inicio de la cadena hasta la decisión “errónea” de un operador

El fallo informático de estos tres ordenadores de principios de los años 90 -de antes, en todo caso, de 1992, cuando se inauguró el AVE entre Madrid y Sevilla- está en el origen de la cadena de dispositivos, medidas auxiliares y decisiones que terminaron, seis minutos después, con la decisión “errónea” por parte de un controlador de la circulación de Adif en Madrid de dar permiso al AVE para que volviera a circular y de la “inexplicable” circunstancia de que permitir que lo hiciera en “marcha normal“, con capacidad de alcanzar los 200 kilómetros por hora en un tramo en el que había otro tren todavía detenido, el Iryo a la entrada de la estación de Urda, con el que colisionó 25 kilómetros más adelante y 17 minutos después, provocando un accidente que de momento ha causado 69 muertos y 50 heridos.

Ni expertos ferroviarios ni sindicatos cuestionan el relato que ofreció Puente horas después acerca de los sistemas auxiliares de seguridad que se activaron a continuación de la caída del sistema LZB, aunque sí que se carguen todas las culpas en el controlador de la circulación de Adif. “A nosotros nos parece un poco doloroso que se señale de esta manera un error humano”, lamentan desde CCOO, donde creen que debería implantarse un sistema que tenga “alguna garantía” más allá de dejarlo todo “al albur” de la acción humana en último término, tal y como señalan también en el Sindicato de Circulación Ferroviario (SCF). “Es perfectamente posible un fallo humano. Atribuir todo el problema a una persona es aventurarse demasiado”, coincide Franco.

De acuerdo con la sucesión de los hechos que comparten sindicatos y Ministerio, el fallo informático provocó la caída del sistema de señalización LZB, que como medida de “seguridad” paralizó la circulación en un tramo de 63 kilómetros, que comprende varios “cantones” en los que se compartimenta la vía en los que, ante una incidencia, se para la circulación, como también sucede con el ERTMS.

Las cifras todavía bailan sobre si se vieron afectados seis u ocho trenes, pero lo que sí está claro es que, en ausencia del LZB, primero se paralizó la circulación y se activó el sistema de bloqueo de señalización lateral BSL, el sistema “auxiliar”, de “back up” del LZB. En ese momento, la circulación pasó a modo manual, a gestionarse por parte de los operativos del centro de control de Adif, que cuando concluyeron la migración completa hacia el mismo empezaron a comunicarse con cada uno de los trenes, maquinista a maquinista, para que emprendieran la marcha, al menos en el caso conocido del AVE accidentado.

Aquí es donde se produjo el “error humano” que atribuye el Ministerio de Transportes, en el envío de “telefonemas”, de textos preestablecidos en el protocolo, que comunican a los maquinistas si pueden reanudar la marcha y de qué tipo, si normal o si a marcha vista. En el caso del AVE y de una manera que Puente afirmó este miércoles que aún no puede explicarse, el mensaje que le llegó fue que podía reanudar la marcha normal, es decir, con posibilidad de llegar hasta los 200 km/h a los que está permitida la circulación en el tramo del accidente. Todo, cuando había un semáforo rojo y, como explicó Puente, desde el control de Adif en Atocha podía verse claramente la posición de todos los trenes, también del Iryo que permanecía parado a la entrada de la estación de Urda. Frente a las primeras informaciones que en las primeras horas tras el accidente indicaban a un problema del propio tren, por la tarde la compañía italiana informó de que su maquinista no lo puso en marcha porque esperaba instrucciones del centro de control de Adif.

Dudas sobre señalar únicamente a un trabajador

La cadena de acontecimientos desde el fallo en los ordenadores que hizo caerse el sistema conduce hasta una decisión del controlador que Puente calificó de “errónea” y la ausencia de una corrección que juzgó de “inexplicable” y que supone señalar como responsable último a un trabajador, una teoría que el Sindicato de Circulación Ferroviario pone en suspenso, más cuando lleva meses denunciando ante Adif la “sobrecarga de trabajo” que padecen estos trabajadores. En las últimas semanas, este sindicato se ha concentrado en dos ocasiones para que se mejoren sus condiciones laborales, tanto ante la sede de la Presidencia de Adif como en el centro de control de la estación de Chamartín.

Este sindicato no tiene tan claro que el error último fuera la instrucción al AVE de continuar la marcha normal en lugar de con marcha a la vista, en la que el maquinista no podría haber circulado a más de 40 km/h para tener mejor visibilidad de la vía. “No sabemos si fue un error humano o de visualización”, indican en el SCF, donde también ponen en duda el contenido del telefonema que envió el centro de control al maquinista del AVE.

“Estamos intentando contrastar información y ver con el detalle necesario. Hay cosas que no nos cuadran”, indican desde este sindicato, que este miércoles empezó a recopilar “actas” de los controladores de la circulación para determinar, entre otras cosas, las circunstancias en las que realizan su trabajo.

Según indican fuentes del SCF, el accidente de Urda es una nueva ocasión para reclamar que se revisen sus reclamaciones sobre “sobrecarga de trabajo, falta de personal, la responsabilidad que tiene el colectivo de circulación que no se corresponde la formación que recibe y cómo se nos valora dentro de la empresa”, de Adif.