Un análisis de las seis barreras de seguridad y oportunidades de intervención que no consiguieron impedir una de las mayores tragedias ferroviarias de España.
El accidente ferroviario de Urda, en Toledo, ocurrido el 27 de octubre de 2026, ha dejado al menos 69 muertos y más de 200 heridos, según el balance provisional recogido por los investigadores y los medios de comunicación.
Un AVE de Renfe alcanzó por detrás a un tren Iryo que permanecía detenido en la misma vía.
La colisión fue el desenlace de una sucesión de acontecimientos que, examinados individualmente, resultan preocupantes. Pero contemplados en conjunto plantean una cuestión todavía más profunda.
¿Cómo es posible que existieran tantas oportunidades de impedir una catástrofe y que ninguna consiguiera evitarla?
Porque lo verdaderamente inquietante de este accidente no es solamente que fallara un mecanismo de seguridad.
Es que, después de la avería inicial, se produjeron diversas circunstancias en las que una protección técnica, una decisión operativa o una intervención humana podrían haber cambiado el desenlace.
Este análisis identifica seis puntos que merecen investigarse.
Conviene precisar desde el principio que no estamos hablando necesariamente de seis sistemas informáticos independientes que sufrieron seis averías simultáneas.
Hablamos de seis eslabones de una cadena: algunos constituyen fallos comprobados, otros son protecciones que no evitaron el accidente y otros representan oportunidades de intervención cuya eficacia debe investigarse.
La distinción es importante desde el punto de vista técnico.
Pero no elimina la pregunta fundamental:
¿Por qué el sistema ferroviario, considerado en su conjunto, no consiguió impedir que un tren alcanzara a otro que permanecía detenido?
Primer punto: falla el sistema principal de seguridad LZB
Aproximadamente a las 8:31 de la mañana, el sistema LZB dejó de funcionar en un tramo de unos 63 kilómetros de la línea de alta velocidad Madrid-Sevilla.
El LZB es un sistema de protección automática que supervisa la circulación de los trenes y permite controlar sus velocidades y distancias de seguridad.
Ante determinadas situaciones peligrosas, puede intervenir sobre el frenado.
Cuando dejó de funcionar, varios trenes que circulaban por la zona se detuvieron automáticamente.
Este detalle es importante.
La primera reacción del sistema ante la avería fue una reacción de seguridad: detener los trenes.
Es decir, el fallo inicial no provocó inmediatamente la colisión.
Los trenes quedaron detenidos y existía la posibilidad de gestionar la incidencia bajo condiciones de circulación más restrictivas.
La tragedia se produjo después, cuando se autorizó a reanudar la marcha sin que se restableciera la protección automática principal.
Por tanto, el primer punto de nuestra lista es un fallo técnico conocido, pero no suficiente por sí solo para explicar el accidente.
La caída del LZB creó una situación excepcional.
Lo que sucedió después determinó que aquella situación terminara en una catástrofe.
Segundo punto: el sistema de respaldo ASFA tampoco evitó la colisión
Cuando deja de estar disponible el sistema principal de protección, la circulación puede realizarse bajo otros procedimientos de seguridad.
En este caso entró en juego el sistema ASFA, asociado a las señales ferroviarias.
Pero hay una diferencia fundamental entre ambos sistemas.
El LZB proporciona una supervisión continua de la circulación, mientras que el ASFA utiliza información transmitida en puntos determinados de la vía, relacionada principalmente con las indicaciones de las señales.
Eso significa que no ofrecen necesariamente el mismo nivel de protección frente a todas las situaciones.
Según explicó Óscar Puente, cuando el AVE se aproximó a Urda encontró una señal verde.
Y precisamente por eso el ASFA no le advirtió de que tenía un tren detenido delante.
No tenemos pruebas de que el equipo ASFA estuviera averiado. Es posible que actuara conforme a las indicaciones que recibió.
Pero el resultado es inequívoco:
El sistema de respaldo no consiguió impedir que el AVE alcanzara al Iryo.
Esto plantea una cuestión esencial para la investigación.
Si el sistema principal deja de funcionar y el sistema alternativo proporciona una protección más limitada, ¿qué medidas adicionales deben aplicarse para garantizar la seguridad?
La respuesta nos conduce al tercer punto.
Tercer punto: se autorizó al AVE a continuar con marcha normal
A las 8:36, el centro de control de Adif en Atocha autorizó al maquinista del AVE a reanudar la circulación.
La instrucción fue continuar bajo el sistema de bloqueo por señalización lateral, con «marcha normal».
Esta decisión resulta especialmente significativa porque el sistema LZB continuaba fuera de servicio.
Según la reconstrucción publicada y las explicaciones del ministro, en aquellas circunstancias correspondía ordenar la llamada «marcha a la vista».
La diferencia es fundamental.
Con marcha a la vista, el maquinista debe adaptar su velocidad para poder detener el tren ante cualquier obstáculo visible en la vía. En las condiciones descritas se contemplaba un máximo de 40 kilómetros por hora.
Sin embargo, el AVE recibió autorización para avanzar a velocidad normal.
Y lo hizo.
Recorrió aproximadamente 25 kilómetros antes de alcanzar al Iryo, con una velocidad de impacto estimada entre 160 y 200 kilómetros por hora.
El propio ministro de Transportes calificó de inexplicable la autorización de marcha normal.
Existe además un dato particularmente revelador.
Según confirmó Puente, otro maquinista que recibió una instrucción semejante cuestionó la orden y planteó que debería circular a marcha a la vista.
El centro de control aceptó la observación y modificó la autorización.
Este episodio demuestra, al menos, que existía una alternativa operativa más restrictiva y que fue reconocida como apropiada en otra situación de aquella misma incidencia.
No demuestra por sí solo que ese otro tren estuviera a punto de sufrir una colisión, pero sí evidencia la importancia de distinguir entre marcha normal y marcha a la vista.
Si el AVE hubiera recibido y cumplido una orden de circulación suficientemente restrictiva, habría existido una oportunidad decisiva de evitar el choque.
El tercer punto es, por tanto, uno de los más importantes de toda la investigación.
Cuarto punto: una señal verde que no advertía del tren detenido
Este es posiblemente uno de los elementos más desconcertantes para cualquier persona que no conozca los detalles técnicos de la señalización ferroviaria.
El Iryo permanecía detenido ante la señal de entrada de Urda.
El centro de control había cambiado esa señal de rojo a verde para permitir que el tren continuara cuando consiguiera ponerse en marcha.
Sin embargo, el Iryo no logró arrancar.
Y la señal de avanzada de Urda, situada aproximadamente 2,5 kilómetros antes de aquella señal de entrada, también mostraba verde.
Fue esa indicación la que encontró el AVE mientras avanzaba hacia el tren inmovilizado.
¿Por qué ocurría esto?
Porque una señal de avanzada informa sobre la indicación de otra señal posterior. No constituye necesariamente un sistema independiente que compruebe si hay un tren detenido entre ambas.
Por eso, su color verde no demuestra automáticamente una avería del mecanismo de señalización.
Pero aquí aparece una diferencia fundamental entre explicar técnicamente lo sucedido y considerar satisfactorio el resultado.
Que una señal pudiera mostrar verde conforme a su funcionamiento previsto no significa que la situación de circulación fuera segura.
La realidad es que el AVE recibió una indicación permisiva cuando tenía un tren detenido delante.
Según la reconstrucción publicada por El País, la señal de avanzada estaba situada en el punto kilométrico 116,3, aproximadamente 2,5 kilómetros antes del lugar donde esperaba el Iryo.
Una señal restrictiva en ese punto habría proporcionado una oportunidad adicional para reducir la velocidad o detener el AVE.
No podemos afirmar sin los registros exactos de frenado que habría evitado necesariamente la colisión. Pero tampoco podemos ignorar que existía una distancia considerable entre aquella señal y el obstáculo.
Y la pregunta fundamental permanece:
¿Por qué el conjunto de los mecanismos de señalización y protección permitió que un tren avanzara hacia otro detenido sin recibir una advertencia eficaz de ese peligro?
No basta con explicar el funcionamiento reglamentario de cada semáforo.
Es necesario investigar cómo se comportó el sistema completo en aquella situación excepcional.
Quinto punto: el peligro era visible desde el centro de control
El 28 de octubre, Óscar Puente afirmó que los trenes habían estado perfectamente localizados.
Dos días después proporcionó una explicación todavía más significativa.
Según el ministro, en las pantallas del centro de control podía observarse cómo el AVE avanzaba progresivamente mientras el Iryo permanecía detenido.
Puente describió una representación gráfica en la que aparecían los sectores ferroviarios y cómo estos iban cambiando de ocupación.
Y afirmó:
«Todo eso está a la vista en la pantalla, se ve como un tren se va acercando y el otro está ahí detenido».
Esta declaración introduce una cuestión diferente de las anteriores.
No estamos hablando ya de la protección automática de los trenes ni del color de las señales.
Estamos hablando de la supervisión humana desde el centro de control.
Según el ministro, la información gráfica estaba disponible.
Además, las comunicaciones conocidas indican que la maquinista del Iryo informó a Atocha de que su tren seguía detenido.
A las 8:48 volvió a comunicar que no conseguía reiniciar el sistema.
El AVE se aproximaba por detrás.
La colisión se produjo aproximadamente cinco minutos después.
Es importante distinguir entre que la información estuviera disponible y que un controlador concreto estuviera observándola e interpretándola correctamente en aquel instante.
La primera circunstancia aparece respaldada por las declaraciones del ministro.
La segunda requiere investigación.
Pero la cuestión esencial es otra:
¿Por qué la información disponible en el centro de control no se transformó en una intervención que consiguiera detener el AVE a tiempo?
No sabemos si alguien llegó a detectar el peligro, si se intentó intervenir demasiado tarde o si la aproximación pasó inadvertida hasta el impacto.
Lo que sabemos es que no hubo una actuación eficaz que evitara el choque.
Y eso nos conduce al sexto punto.
Sexto punto: la incógnita de las alarmas automáticas
Si el sistema informático podía representar los movimientos de ambos trenes, surge una pregunta especialmente importante.
¿Disponía el centro de control de una alarma automática capaz de advertir a sus operadores de una aproximación peligrosa?
Y, concretamente, ¿existía alguna advertencia acústica que reclamara una intervención urgente?
Esta cuestión merece un examen independiente porque una pantalla y una alarma cumplen funciones distintas.
Una pantalla proporciona información que el controlador debe observar e interpretar.
Una alarma automática puede llamar su atención sin necesidad de que esté mirando permanentemente una representación gráfica determinada.
La diferencia puede resultar decisiva.
Un controlador puede estar atendiendo una conversación, consultando datos o supervisando otras incidencias.
Un sistema automático de advertencia correctamente diseñado puede ayudar a que una situación excepcional no pase inadvertida.
Pero hay algo que debemos dejar perfectamente claro.
No tenemos confirmación pública de que existiera una alarma acústica específica para detectar una situación como aquella.
Tampoco sabemos si, en caso de existir, llegó a activarse.
Por tanto, este sexto punto no puede presentarse como una alarma que sabemos que falló.
Es una posible barrera adicional cuya existencia, diseño y funcionamiento deben esclarecerse.
Y las alternativas son importantes.
Si existía una alarma y se activó, debe investigarse qué información transmitió, cuándo lo hizo y qué respuesta recibió.
Si existía pero no se activó, habrá que determinar por qué.
Y si no existía una función automática de advertencia para aquella situación, deberíamos preguntarnos qué otras protecciones estaban previstas para impedir que el peligro pasara inadvertido.
El verdadero problema no consiste simplemente en saber si sonó un pitido, sino en determinar si existía un mecanismo capaz de reconocer aquella situación y advertir de ella con tiempo suficiente.
No podemos demostrar que una alarma hubiera evitado la tragedia.
Pero sí podemos afirmar que la posible ausencia o ineficacia de esa protección merece una explicación técnica.
Seis puntos, una sola tragedia
Llegados hasta aquí, conviene reunir los seis puntos de nuestro análisis.
Primero: el LZB dejó de funcionar.
Segundo: el ASFA no impidió la colisión.
Tercero: el AVE recibió autorización para circular a marcha normal cuando debía hacerlo bajo condiciones más restrictivas.
Cuarto: encontró una señal verde que no le advertía del Iryo detenido.
Quinto: según Óscar Puente, el centro de control podía visualizar la aproximación de ambos trenes, pero no se produjo una intervención eficaz para evitar el choque.
Sexto: seguimos sin saber qué alarmas automáticas estaban disponibles para advertir de aquella situación y qué ocurrió con ellas.
De nuevo, no son seis averías independientes demostradas.
El sexto punto, en particular, es una incógnita pendiente de investigación.
Pero los seis permiten formular una cuestión que trasciende cada error individual.
¿Cómo pudo una sola cadena de acontecimientos superar todas las protecciones disponibles hasta terminar en una colisión?
Esta es una pregunta clásica de la ingeniería de seguridad.
Y su respuesta puede encontrarse no solamente en los componentes que fallaron, sino también en las relaciones entre ellos.
Cuando varias protecciones dependen de una misma condición
Imaginemos una instalación industrial protegida por tres mecanismos.
El primero detecta una anomalía.
El segundo recibe información del primero y puede detener la instalación.
El tercero advierte al operador de que debe intervenir.
A primera vista parecen tres protecciones diferentes.
Pero si todas dependen de una misma información defectuosa o de una misma condición de funcionamiento, quizá no sean tan independientes como aparentan.
Una sola incidencia puede comprometer varias barreras.
Este fenómeno se relaciona con lo que en ingeniería se denomina fallo de causa común.
No afirmamos que esa sea la explicación definitiva del accidente de Urda.
Para establecerlo sería necesario examinar la arquitectura de los sistemas, sus dependencias y las circunstancias exactas de la avería.
Pero el concepto ayuda a comprender por qué no basta con contar cuántas protecciones existen.
Lo importante es determinar qué sucede cuando falla la primera y si las restantes conservan realmente su capacidad para impedir el accidente.
En Urda, el LZB falló inicialmente.
El sistema de respaldo ofrecía una protección diferente.
Se autorizó una forma de circulación que, según las explicaciones oficiales, no correspondía a las circunstancias.
La señal que encontró el AVE no le advirtió del obstáculo.
Y la supervisión desde el centro de control tampoco consiguió impedir la colisión.
Estas circunstancias merecen examinarse conjuntamente.
Porque quizá el aspecto más importante de la investigación no sea descubrir un único error, sino comprender por qué ese error pudo producir consecuencias tan devastadoras.
¿Quién responde por la seguridad del sistema completo?
Es legítimo investigar las decisiones de los controladores, el comportamiento de los maquinistas y el funcionamiento de los equipos.
Pero también debe examinarse una responsabilidad más amplia: la del diseño, la evaluación y la gestión de la seguridad ferroviaria.
Los sistemas de alta velocidad no pueden depender de que todas las personas actúen siempre de manera perfecta.
Los errores humanos son posibles y previsibles.
Por eso se establecen procedimientos, automatismos, restricciones de velocidad, señales, bloqueos y mecanismos de supervisión.
Si se produce una equivocación, otra barrera debería reducir la probabilidad de que sus consecuencias sean catastróficas.
Esto no significa que todas las tragedias puedan evitarse mediante un diseño perfecto.
La seguridad absoluta no existe.
Pero sí significa que los accidentes deben investigarse preguntando no solamente qué falló, sino también por qué las restantes protecciones no consiguieron compensarlo.
La responsabilidad puede corresponder a decisiones individuales, procedimientos inadecuados, limitaciones de diseño o una combinación de factores.
Determinarla exige pruebas.
Y precisamente por eso resulta indispensable una investigación independiente, exhaustiva y transparente.
No buscamos seis culpables para seis fallos. Buscamos comprender quién tenía la responsabilidad de garantizar que el conjunto del sistema ofreciera una protección suficiente incluso cuando algo saliera mal.
La pregunta que debería guiar la investigación
El accidente de Urda comenzó con una avería.
Pero la avería inicial no provocó inmediatamente la tragedia.
Los trenes se detuvieron.
Después se tomaron decisiones, se reanudaron movimientos, se mantuvieron determinadas indicaciones y transcurrieron minutos durante los cuales el peligro continuó desarrollándose.
Finalmente, un AVE alcanzó a un Iryo detenido.
La investigación deberá aclarar qué fallos se produjeron, cuáles eran previsibles, qué protecciones estaban disponibles y por qué no evitaron el resultado.
También deberá determinar si existían deficiencias en la coordinación entre los sistemas técnicos y los procedimientos humanos.
Pero, por encima de todo, tendrá que responder una cuestión esencial:
¿Qué mecanismos estaban previstos para impedir que una avería inicial, combinada con decisiones equivocadas o circunstancias excepcionales, terminara provocando una catástrofe?
Porque el principal propósito de una investigación de seguridad no debe ser encontrar una explicación que permita cerrar el expediente.
Debe ser identificar qué necesita cambiar para impedir que algo semejante vuelva a ocurrir.
Y eso exige analizar todos los niveles de protección, desde el sistema automático que inicialmente detuvo los trenes hasta las últimas oportunidades de advertir del peligro e intervenir.
Conclusión: no basta con explicar el primer error
Seis puntos.
Una avería inicial.
Varias protecciones que no impidieron el resultado.
Una serie de decisiones y circunstancias que desembocaron en una tragedia.
Y una investigación que todavía tiene preguntas fundamentales por responder.
Sería precipitado concluir que seis sistemas independientes fallaron simultáneamente.
También sería incorrecto afirmar que todos los mecanismos funcionaron mal, cuando algunos pudieron actuar conforme a su diseño pero resultar insuficientes en aquellas circunstancias.
Sin embargo, ninguna de estas precisiones técnicas elimina el hecho esencial.
El conjunto del sistema de seguridad no consiguió impedir una colisión que atravesó sucesivas oportunidades de prevención.
No sabemos todavía qué responsabilidades individuales, técnicas u organizativas establecerá la investigación oficial.
Pero sí sabemos cuál debería ser una de sus preguntas centrales:
¿Cómo puede organizarse la seguridad ferroviaria para que el fallo de un componente, una autorización incorrecta o una distracción humana no se conviertan en el primer eslabón de una catástrofe?
Porque en una infraestructura que transporta a centenares de personas a velocidades extraordinarias, la seguridad no puede descansar exclusivamente en que nunca se produzca un error.
Debe descansar también en que, cuando ese error se produzca, existan barreras capaces de impedir que termine en tragedia.
Y eso es lo que las víctimas, sus familias y todos los usuarios del ferrocarril tienen derecho a exigir que se investigue.
Fuentes documentales
RTVE, 30 de octubre de 2026. «23 minutos, 69 víctimas y muchas preguntas: los fallos detrás del choque de dos trenes de alta velocidad en Urda».
https://www.rtve.es/noticias/20261030/23-minutos-69-victimas-muchas-preguntas-fallos-detras-del-choque-dos-trenes-alta-velocidad/17289394.shtml
El País, 1 de noviembre de 2026. «¿Qué causó el accidente? La secuencia paso a paso de una cadena de fallos que el sistema no detuvo».
https://elpais.com/espana/2026-11-01/que-causo-el-accidente-la-secuencia-paso-a-paso-de-una-cadena-de-fallos-que-el-sistema-no-detuvo.html
RTVE, 31 de octubre de 2026. «Por qué reanudó la marcha el AVE o el fallo en los sistemas de seguridad: las incógnitas del accidente de Urda».
https://www.rtve.es/noticias/20261031/por-reanudo-marcha-ave-fallo-sistemas-seguridad-incognitas-del-accidente-urda/17295123.shtml
Cadena SER, 29 de octubre de 2026. «Los 17 minutos clave que llevaron a la tragedia de Urda: de la primera llamada al choque fatal entre los trenes».
https://cadenaser.com/nacional/2026/10/29/los-17-minutos-clave-que-llevaron-a-la-tragedia-de-urda-de-la-primera-llamada-al-choque-fatal-entre-los-trenes-cadena-ser/
Onda Cero, 30 de octubre de 2026. Seguimiento de las declaraciones de Óscar Puente sobre el accidente, los sistemas ferroviarios y las pantallas del centro de control.
https://www.ondacero.es/noticias/sociedad/ultima-hora-accidente-tren-urda-directo-investigacion-puente-sanchez_202610306ae42d70b55c427e2eb8a1fb.html
Euronews, 29 de octubre de 2026. «¿Qué sabemos del accidente de tren de Urda (Toledo)? La avería, la orden de Atocha y los 17 minutos clave».
https://es.euronews.com/2026/10/29/accidente-tren-urda-toledo-17-minutos-clave-que-fallo-investigacion
Análisis independiente y despolitizado elaborado por ChatGPT GPT-6 a partir de información pública disponible hasta el 1 de noviembre de 2026. Se trata de una evaluación preliminar. La determinación definitiva de las causas y responsabilidades corresponde a los organismos investigadores competentes.
