Urda: una catástrofe que apunta al fracaso de todo un sistema de seguridad ferroviaria

Nota: esta información no sólo procede de sindicatos, empresas del sector o fuentes periodísticas, sino de filtraciones que se achacan a medios afines al gobierno. Sigue siendo una reconstrucción incompleta y en disputa, pendiente del informe oficial de la AITAT.

El 28 de octubre de 2026, a las 8:53 de la mañana, un AVE de Renfe que cubría el trayecto Madrid–Sevilla embistió por detrás a un tren de Iryo que estaba parado en la señal de entrada de Urda, en Toledo. El balance provisional es de 69 muertos y más de un centenar de heridos. Nueve meses antes, en enero de 2026, otro accidente mortal había ocurrido en la misma línea, en Adamuz.

La Guardia Civil y la AITAT —la agencia de investigación de accidentes ferroviarios— coinciden en una conclusión central: no fue un maquinista que se saltó un protocolo por iniciativa propia. Fue un sistema que falló en varias capas a la vez.

Esta es la historia, explicada sin tecnicismos.

Qué es cada cosa

Para entender el accidente hacen falta varios nombres:

• LZB: el sistema antiguo que controla a los trenes en esta línea. Funciona desde 1992. Dice al tren cuánto puede correr y ayuda a que no se acerque demasiado a otro. Es como un “piloto automático” de seguridad, pero viejo.
• BSL: el sistema de respaldo, más simple, que se usa cuando el LZB falla. La protección deja de ser continua y pasa a depender de las señales laterales de la vía.
• ASFA: unas balizas en la vía que deberían frenar el tren si el maquinista no obedece una señal. Es un “freno de emergencia” automático.
• CRC: el centro de control de Atocha. Desde allí se habla con los maquinistas y se autoriza la circulación. Es la “torre de control” del tren.
• Cantón: un tramo de vía. El centro de control sabe que un tren está en un cantón, como quien sabe que un coche está en un tramo de carretera. Si el cantón está ocupado, no se autoriza a otro tren a entrar.
• Marcha a la vista: circular a 40 km/h como máximo y con la obligación de poder parar ante cualquier obstáculo. Es la forma segura de avanzar cuando no hay plena confianza en la vía.
• ERTMS: el sistema moderno que debía sustituir al LZB. Es el “GPS y freno automático” de última generación.

Lo que dicen las filtraciones, los técnicos y los medios minuto a minuto

Según las transcripciones difundidas, a las 8:31 el LZB se averió. Cayeron tres ordenadores y quedaron 63 kilómetros de vía sin protección automática. Seis trenes se vieron afectados.

El maquinista del AVE 2080 habría avisado al CRC de Atocha de que tenía un “fallo de transmisión” y una “meta cero” —es decir, que el sistema no le daba instrucciones—. Desde el centro de control le habrían ordenado: “Desconecte y vuelva a conectar el LZB y reanude marcha al amparo del BSL con marcha normal”. El maquinista volvió a preguntar: “¿Con marcha normal?”. El CRC lo confirmó, según esas mismas filtraciones.

Un tercer maquinista, de otro tren afectado, habría recibido una orden parecida. La rechazó y exigió “marcha a la vista”, es decir, 40 km/h y preparado para parar. El CRC aceptó su corrección, según las mismas fuentes. Pero esa misma instrucción no habría llegado al resto de los trenes.

La maquinista del Iryo habría recibido también la orden de “marcha normal”. No pudo ejecutarla porque su tren no completó el reinicio del LZB. Se quedó detenida. El AVE 2080, que sí ejecutó la orden, la embistió por detrás a las 8:48, a una velocidad estimada de entre 150 y 200 km/h.

Qué está confirmado y qué no: el Gobierno ha confirmado la caída del LZB y el ministro Puente ha reconocido el episodio del tercer maquinista que exigió “marcha a la vista”. Sin embargo, la secuencia exacta de llamadas, el contenido literal de las órdenes y la velocidad exacta del impacto proceden de filtraciones atribuidas a medios afines al gobierno y no han sido verificadas de forma independiente. La AITAT no ha publicado aún su informe definitivo.

Las barreras que no funcionaron

La investigación no habla de un fallo único sino de, al menos, varias barreras de seguridad que se desactivaron a la vez. Este análisis, a diferencia de la cronología, está respaldado por fuentes coincidentes de la Guardia Civil y la AITAT.

1. El LZB estaba caído y era viejo. El sistema tenía fallos recurrentes en el tramo Urda–Los Yébenes. Iryo había advertido en el Senado 23 días antes de que las desconexiones inmovilizaban sus trenes. El LZB debía haberse sustituido, pero seguía funcionando.

2. Con el LZB caído, la pantalla del CRC pasa a representar cantones, no la posición puntual de cada tren, dentro de cada cantón existen subdivisiones internas llamados circuitos de vía. El nivel de detalle real de esa visualización en régimen degradado no está aclarado. Puente afirma que los trenes estaban “perfectamente ubicados” y que se veían “los dos trenes en el mismo cantón”; el Sindicato de Circulación sostiene que “no se pueden ver los trenes acercándose” y que la información se reduce a un tramo en rojo sin distinción interna. Adif no ha publicado la especificación del software ni una captura de la pantalla en el momento de la incidencia.

3. El sistema de respaldo no impidió la autorización peligrosa. El BSL permitió que el CRC diera “marcha normal” sin verificar que el cantón estaba realmente libre.

4. Entre el AVE y el Iryo no había ninguna señal de parada, la única era la de entrada de Urda, que el Iryo tenía delante. El ASFA no detecta trenes, lee el estado de las señales. Como esa señal estaba en verde —primero porque el Iryo aún no había rebasado el cantón y después porque el CRC le autorizó a reanudar la marcha—, el sistema interpretó vía libre y no ordenó frenar. No falló, transmitió la información que la señal le daba.

5. El CRC no rectificó. La maquinista del Iryo llamó para confirmar que seguía detenida, según las filtraciones. El centro de Atocha no anuló la autorización al AVE. Mandos de la investigación apuntan a que la sala “perdió la referencia en tiempo real” y priorizó “despachar trenes” con rapidez. El operario de guardia del CRC se negó a declarar ante la Guardia Civil.

No fue una orden aislada del CRC

La orden de “marcha normal” no se dio a una sola persona. Se emitió a varios maquinistas. Uno de ellos la corrigió y demostró que la alternativa segura —la marcha a la vista— era posible.

La maquinista del Iryo no pudo ejecutar la orden peligrosa porque su tren no completó el reinicio del LZB. El AVE siniestrado sí la ejecutó: aceleró y embistió al tren detenido.

El tren que no pudo reiniciar

El Iryo siniestrado, un Frecciarossa 1000 en servicio desde 2022, está diseñado para el sistema europeo ERTMS, por lo que necesita un módulo STM para circular por el LZB de la línea Madrid–Sevilla, en proceso de sustitución. Las dificultades de esa adaptación eran conocidas: Adif reconoció por escrito en 2022 los problemas que el LZB causaba a los trenes de Iryo y Ouigo en esta línea. El 5 de octubre, 23 días antes del accidente, el consejero delegado de Iryo, Fabrizio Favara, señaló en el Senado el LZB como la incidencia que más comunicaban sus maquinistas en este corredor. Lo definió como un sistema “seguro, pero bastante antiguo”: cada vez que el tren pierde la conexión con tierra, se detiene y tarda “bastante tiempo” en reconectarse.

Según la AITAT, el LZB falló a las 8:31. Diez minutos después, la maquinista del Iryo avisó de que había perdido la conexión y de que el tren no le permitía reiniciar el sistema. Fuentes próximas a Iryo aseguran que lo intentó dos veces, de tres a cuatro minutos cada una. Pero esas fuentes atribuyen el bloqueo, como hipótesis, a la extensión anormal de la avería, en un largo de 63 kilómetros. La AITAT advierte de que aún es pronto para sacar conclusiones.

El contrato que debía haber evitado todo esto

El 16 de septiembre de 2021, Adif adjudicó a Thales España un contrato de 93,8 millones de euros —más otro de 21,5 millones— para sustituir el LZB por el ERTMS. El plazo era de 52 meses. Vencía el 16 de enero de 2026.

A 30 de octubre de 2026, casi diez meses después del plazo, el ministro Puente afirmó que la migración “está en proceso” y que “se está funcionando con el LZB”. El Mundo reveló que Adif consintió prorrogar el viejo LZB para ahorrarse 37 millones de euros en la renovación. El contrato se licitó por 131 millones y Thales lo ganó por 94 millones. Isabel Pardo de Vera, expresidenta de Adif, declaró: “Lo dejé licitado y adjudicado en septiembre de 2021, y debía estar ejecutado hace tiempo”. Adif reconoció en 2021 que el ERTMS era “el sistema de señalización más avanzado del mundo”. El tramo de Urda seguía con el LZB de 1992 en la fecha del siniestro.

La ley que lo complica todo

El dossier de investigación recoge también una dimensión estructural: la ley de contratación pública. Según una fuente anónima próxima a la administración, esa ley limita la capacidad de empresas públicas como Adif para actuar con agilidad. En 2020 se sacó una licitación para cambiar el LZB que acabó anulada por un defecto de procedimiento, lo que generó más de un año de retraso. Y una vez adjudicados los contratos, echar a una empresa adjudicataria es muy difícil: retrasa todo, obliga a volver a licitar y acaba en los tribunales. El resultado, sostiene la fuente, es que las empresas adjudicatarias no tienen reparo en dar servicios pésimos y dimensionar incorrectamente los equipos.

Sabotaje: ni descartado ni demostrado

Las autoridades españolas no han señalado el sabotaje como causa. Sin embargo, las teorías que vinculan el siniestro con una acción deliberada circulan en redes sociales con creciente intensidad.

De hecho, y aunque no sea cierto que Netanyahu haya amenazado con “accidentes de tren” o “apagones” el 10 de abril de 2026, declaro que España “libra una guerra diplomática” contra Israel y que no permitirá que ningún país lo haga “sin pagar un precio inmediato”. En septiembre de 2026, una diplomática israelí advirtió que “no trabajar en defensa de Israel tiene un precio”.

En el entorno corporativo de la línea siniestrada aparece Cylus, una empresa israelí de ciberseguridad ferroviaria fundada por exmiembros de la Unidad 81 de las FDI. Cylus colaboró con Thales en 2021 para validar su plataforma en el laboratorio de Thales en Madrid y realizar una prueba limitada en una infraestructura ferroviaria europea no identificada. En febrero de 2024, Isabel Pardo de Vera se incorporó al consejo asesor de Cylus. No consta contrato directo entre Cylus y Adif/Renfe. La conexión es indirecta —Cylus–Thales–Adif—, pero configura un perímetro de riesgo en una línea crítica que sufría fallos recurrentes del LZB.

La historia que queda

La historia documentada no es la de un maquinista que se salta un protocolo. Es la de un sistema que falló en capas sucesivas: un LZB obsoleto que debía haberse sustituido diez meses antes; un contrato vencido y prorrogado por razones económicas y un largo etcétera de incógnitas todavía sin aclarar. Conviene repetirlo: la AITAT no ha publicado su informe definitivo.

El Gobierno ha confirmado algunos extremos y ha matizado otros pero la exigencia de pruebas debe aplicarse por igual a todas las partes: a las responsabilidades de Puente, Adif, Thales o a la posible ocultación de información y difusión de mensajes interesados.