Un tren seguro se mide por lo que pasa cuando falla su protección

La nota preliminar de la AITAT, la autoridad que en España investiga técnicamente los accidentes ferroviarios, sobre el choque de Urda (expediente 146/2026)^[2] tiene cinco páginas y una virtud poco común después de una catástrofe: separa lo que se sabe de lo que no. El 28 de octubre, a las 8:31, hora española, empezó una avería del sistema de control de trenes LZB en la línea de alta velocidad Madrid-Sevilla. Desde ese momento los trenes circularon con las señales al costado de la vía, el llamado Bloqueo de Señalización Lateral, y el centro de control de Adif y los maquinistas tuvieron que pasarse información e instrucciones por telefonema. A las 8:53, el AVE 2080 de Renfe alcanzó por detrás al tren 6076 de iryo, que estaba detenido ante la señal de entrada de la estación de Urda, a una velocidad que el organismo estima entre 160 y 200 km/h^[1]. El 30 de octubre, el balance provisional de la Justicia seguía en 69 muertos^[3].

Lo que no se sabe, la nota también lo dice, y lo dice bien: por estar en una fase inicial, «todas las hipótesis con respecto a las posibles causas y factores que pudieron influir en el suceso están abiertas y no se pueden aventurar explicaciones más allá de los datos constatados»^[1]. No es una evasiva: es lo único honesto que se puede escribir a las 24 horas.

La seguridad se juega cuando algo se rompe

Un sistema de protección luce bien cuando todo funciona. La pregunta que importa es qué pasa cuando deja de funcionar. Entre las 8:31 y las 8:53 pasaron 22 minutos en lo que la AITAT llama, con precisión de ingeniero, la «situación degradada». Y su primera lectura es que «la cadena de averías, instrucciones y acciones eventualmente habrían conducido a la colisión, sin que hubiesen actuado las barreras mitigadoras necesarias»^[1]. Un tren no es seguro porque su sistema principal sea bueno; es seguro si sigue siéndolo cuando ese sistema falla y la protección pasa a depender de señales, de mensajes y de personas.

En la comisión del Challenger vi algo parecido. Los chorros que orientaban el transbordador tenían redundancia: si uno no encendía, las computadoras elegían otro. Tenían también una larga historia de fallas, ninguna grave todavía. Escribí que igual «no están diseñados para fallar, y el problema debería resolverse»^[5]. Y escribí que el argumento de que el mismo riesgo ya se corrió antes sin falla «suele aceptarse como argumento de que es seguro aceptarlo otra vez»^[5].

De ahí salen las preguntas que la investigación tiene que contestar con números. ¿Cuántas veces falló el LZB en esa línea en los últimos años? ¿Cuántos trenes circularon en situación degradada, durante cuánto tiempo y con qué procedimiento? ¿Cuántas veces ese procedimiento estuvo cerca de fallar sin que nadie lo anotara? Un modo degradado que «siempre anduvo» no prueba nada sobre la vez siguiente. La propia nota anuncia que analizará las averías del LZB y los factores «ambientales, organizacionales y procedimentales»^[1].

Los números están en las cajas

La cifra de 160 a 200 km/h es una estimación, y la nota tiene la honradez de decir que la velocidad concreta no se conocerá hasta que se extraigan los datos del registrador jurídico del tren^[1]. Esos registradores, los jurídicos y los auxiliares, quedaron bajo custodia de la Guardia Civil, y su volcado se hará en las condiciones que fije el tribunal de Orgaz^[1]. En el centro de control, los investigadores se llevaron copias del libro de telefonemas, de los registros de video y de las grabaciones de las comunicaciones previas al choque; en la estación de Urda, los registros de eventos del enclavamiento^[1]. Al redactar la nota todavía no habían hablado con los maquinistas ni con los responsables de circulación, porque no estaban en condiciones de dar entrevistas^[1].

Eso hay que exigir: que la secuencia se reconstruya segundo a segundo con esos registros y que se publique, no con suposiciones ni filtraciones. Y si para estimar velocidades o distancias de frenado se usa un modelo, hay que prestar mucha atención a sus incertidumbres^[5]. El primer principio, les dije a los graduados de Caltech, es no engañarse a uno mismo, y uno es la persona más fácil de engañar^[6].

Ni culpables apurados ni relaciones públicas

La nota recuerda que la AITAT «en ningún caso buscará determinar culpas o responsabilidades»^[1]. Hace bien. Las responsabilidades las juzgan los tribunales. Si la cadena termina en una persona frente a un teléfono o en una cabina, señalarla tranquiliza y no enseña nada: hay que entender por qué ninguna barrera detuvo esa cadena.

El presidente del Gobierno, Pedro Sánchez, dijo el 30 de octubre que «hay una confianza quebrada en el sistema de alta velocidad»^[4]. La confianza no se recompone con discursos ni con un culpable rápido, sino con datos: cuántas veces falla cada sistema, qué barreras debían actuar en cada modo degradado y por qué esta vez no actuaron. La AITAT tiene en principio un año para su informe final^[1]. Que lo use bien. Para que una tecnología tenga éxito, la realidad debe imponerse a las relaciones públicas, porque a la naturaleza no se la puede engañar^[5].