El miércoles 28 de octubre de 2026, a las 8:53, un AVE de Renfe embistió por detrás a un Iryo detenido a la entrada de Urda, en Toledo. Al menos 69 muertos. La misma línea Madrid–Sevilla que en enero, en Adamuz, se había llevado 46. El sistema que debía impedir que dos trenes coincidieran —el LZB, un cable alemán de 1992 entre los carriles— se había caído a las 8:31. No era la primera vez. El ministro de Transportes, Óscar Puente, salió el viernes a decir que en 2026 ese sistema se había caído 170 veces, 13 en ese mismo tramo, y que eso está «dentro de la normalidad europea». En ingeniería, 170 fallos de un sistema de vida no son normalidad. Son un sistema que ya te está gritando que lo cambies.
Hace diez días escribí que un banco no puede tener un solo interruptor. Un tren, todavía menos. El miércoles España demostró que su alta velocidad tiene el interruptor de 1992, un respaldo que deja circular a 200 km/h, y un hombre en Atocha buscando una hoja. Buscó la hoja. Leyó el protocolo equivocado. El AVE reanudó «con marcha normal».
1. Urda, 8:53: el tren que no debía moverse
Los hechos, los que ya están en el parte de la autoridad investigadora y en la boca del propio ministro, no necesitan adorno.
A las 7:54 sale de Atocha el Iryo 6076 a Sevilla: 147 viajeros y cinco de tripulación, un Hitachi de ocho coches. Diez minutos después, el AVE 2080 de Renfe, un Siemens 103, con cerca de 380 pasajeros y siete de tripulación. Misma vía, mismo sentido, Madrid–Andalucía. A las 8:31 el LZB de la central de Urda pierde la comunicación entre ordenadores. Se apaga la protección continua en 63 kilómetros. Los seis trenes del tramo se paran solos. Eso, al menos, el sistema viejo lo hizo bien: ante la duda, se detiene.
A las 8:36, el centro de control de Adif en Atocha autoriza al AVE a desconectar y reconectar el LZB y a reanudar «al amparo del BSL con marcha normal». BSL es el bloqueo por señales laterales: semáforos junto a la vía, el modo degradado. Marcha normal, en ese modo, son hasta 200 km/h. Lo que pedía el reglamento y una consigna interna de Adif de enero de 2025 era otra cosa: comprobar que el cantón está libre y, si no lo está, marcha a la vista, cuarenta por hora, listo para frenar ante un obstáculo. El Iryo seguía parado en la señal de entrada de Urda. El circuito de vía, ocupado. Había una señal en rojo. Aun así, marcha normal.
La maquinista del Iryo avisa: el tren no le deja reiniciar el LZB, sigue detenida. Desde Atocha: cuando pueda. El AVE recorre unos 25 kilómetros en diecisiete minutos. Impacto a las 8:53, punto kilométrico 118,800, vía 2, entrada de Urda, término de Los Yébenes. Velocidad estimada entre 160 y 200 km/h; la caja negra dirá el número exacto. Cuatro coches de cola del Iryo destrozados, parte por el terraplén. Los dos maquinistas del AVE, uno en prácticas, muertos en cabina. Más de quinientas personas a bordo. Al menos 69 fallecidos. El segundo peor accidente ferroviario de España en este siglo, después de Angrois.
Un alcance en alta velocidad, dijo Puente, es «inverosímil». Lo es. Por eso existen los sistemas. Cuando ocurre, no es magia negra. Es que las capas que tenían que impedirlo se cayeron en cadena, y la última capa era un hombre con un teléfono.
2. Adamuz, nueve meses, la misma línea
El 18 de enero, en Adamuz, Córdoba, un Iryo descarriló de noche sobre una soldadura mala de un carril nuevo y un Alvia de Renfe lo alcanzó en la vía contigua. 46 muertos. Misma línea Madrid–Sevilla. Mismo LZB. Mismo ministro. Misma promesa de que la renovación «integral» con fondos europeos iba a dejar la vía como un piano.
Ahí no fue un choque por alcance. Fue un carril que se rompió. La Guardia Civil ha dicho que la soldadura aluminotérmica era deficiente, que inspectores sin la experiencia exigida recorrieron el tramo, que las máquinas de medición no subían los datos en digital. Y lo más grave para quien diseña sistemas: la noche anterior el circuito de vía bajó de 2 voltios a 1,5. El umbral de alarma estaba en 0,78. El carril ya estaba roto. El sistema lo vio como un número aceptable. Veintidós horas. Sin grito.
Nueve meses después, Adamuz sigue sin informe final. La nueva autoridad investigadora ya avisa de que no llegará antes de 2027. Urda ocurre encima de un expediente abierto. Dos catástrofes de alta velocidad en el mismo corredor, 115 muertos entre las dos, y el país todavía no ha cerrado la primera.
Dos días después de Adamuz, en Gelida, un muro se llevó por delante a un Rodalies y mató al maquinista. Otra red, otra causa. El año ferroviario español ya era un parte de guerra antes de Urda. Quien salga ahora a decir que son tres fatalidades sueltas, que se lea el calendario.
3. Ciento setenta caídas «normales»
El viernes, Puente soltó la cifra como quien da un parte de lluvia.
En 2026 se ha producido en 170 ocasiones. Un número que puede llamar la atención al público no especializado, pero que está dentro de la normalidad europea.
Trece de esas caídas, en el tramo de Urda. La última, el 14 de octubre, quince días antes. El 75 por ciento, según el ministro, no es el software: es vandalismo, robo de cobre, obras, climatología. Es decir: el sistema de protección de la primera línea de alta velocidad de España se cae cuando alguien corta un cable. Y eso, en 2026, se presenta como Europa.
No hace falta ser maquinista para oír la alarma. El 5 de octubre, tres semanas antes, el consejero delegado de Iryo, Fabrizio Favara, lo dijo en público: cada vez que se desconecta la señal, el tren se para, tarda en reconectar, el servicio se va al infierno. El sindicato de maquinistas lleva meses diciendo que operar en degradado no puede volverse el modo habitual. La CIAF, en 2025, tras un incidente en Cuenca sin muertos y con el mismo sabor, pidió medidas técnicas que reduzcan el riesgo humano. Adif escribió una consigna. El miércoles, la consigna estaba en un cajón y la hoja de protocolos en otra mesa.
Ciento setenta no es un rumor de Twitter. Lo ha dicho el ministro. Lo ha llamado normal. En un avión, 170 fallos de un canal de vuelo en un año no se archivan: se inmoviliza la flota. En una central, 170 pérdidas de un lazo de protección no son «estable»: son un expediente de cierre. En un tren lleno, aparentemente, son el clima.
4. Un cable de 1992 y un concurso que llegó tarde
El LZB —Linienzugbeeinflussung, control lineal del tren— es una tecnología alemana de los sesenta y setenta. España la puso en la Madrid–Sevilla en 1992 porque entonces era lo que había, y era bueno: un cable entre los carriles habla sin parar con el tren, le dice la velocidad, la distancia a la siguiente meta, y si el maquinista no obedece, frena solo. Mientras el cable habla, dos trenes no se montan. El miércoles el cable dejó de hablar. Un fallo de comunicación entre tres ordenadores de la central de Urda. Un tramo de 63 kilómetros, ciego.
Cuando cae el LZB entra el ASFA Digital, balizas puntuales, y las señales laterales. El ASFA no vigila en continuo. Actualiza cuando pasas por encima. Permite 200 km/h. Si te autorizan a rebasar un rojo, deja de ser un freno y pasa a ser un testigo. La investigación dirá si el AVE encontró alguna señal restrictiva en esos 25 kilómetros o si, como ya se ha escrito, el trazado no le puso ninguna hasta el Iryo. No lo voy a inventar. Lo que no es hipótesis es esto: el respaldo no es un segundo LZB. Es un sistema más pobre, pensado para otra época, al que se le pide que cubra un agujero de 63 kilómetros a velocidad de disparo.
El sustituto se llama ERTMS nivel 2: radio, no un cable en la balasta. Adif lo adjudicó a Thales en septiembre de 2021 por 93,8 millones, una oferta un 28 por ciento por debajo del presupuesto, catalogada en su día como temeraria. Plazo, 52 meses. Debía estar listo en enero de 2026. Tras Adamuz, Puente lo citó como prueba de que la línea se estaba modernizando. El viernes ha reconocido un retraso de doce meses. Hitachi Rail, que heredó Thales, sigue en pruebas nocturnas. El 27 de octubre, el día antes del choque, el Consejo de Ministros inyectó 11,5 millones más en el contrato de mantenimiento porque hay que sostener el LZB viejo y el ERTMS nuevo a la vez. El papel llegó veinticuatro horas tarde para los de Urda.
Angrois, 2013, 80 muertos: el ERTMS del tramo estaba apagado. Urda, 2026, 69 muertos: el ERTMS del tramo no había llegado. Dos veces el sistema moderno ausente. Dos veces el discurso de que el antiguo «está contrastadísimo».
5. Tres veces, o no lo llames seguridad
No hace falta un ingeniero ultra. Hace falta el manual que se enseña el primer día en cualquier sitio donde un fallo mata gente. Aviación. Nuclear. Redes de verdad, las que yo montaba ya en los noventa, cuando un BBS te explicaba por qué Internet nació para enrutar alrededor del daño. Un canal. Un segundo canal independiente. Un tercero que vota. Si uno miente, los otros dos lo pillan. Si uno se calla, los otros dos gritan. El fallo de uno solo ya es alarma crítica, no un parte de incidencias.
Eso se llama redundancia triple, votación dos de tres, independencia de fallo. No son tres copias del mismo cable. Tres copias del mismo cable son un cable con disfraz. Independiente quiere decir: distinta física, distinta energía, distinto modo de fallar. Radio que no se cae cuando roban el cobre. Satélite y odometría que no se caen cuando se muda la central de Urda. Circuito de vía y contadores de ejes que no se callan porque un umbral está mal puesto. El tren, además, hablando con el tren de delante: yo voy por la vía 2, kilómetro 118, sentido Sevilla, velocidad cero. El de detrás no necesita a un hombre en Atocha para saber que tiene un muro de aluminio parado a 25 kilómetros.
Un SCADA de los noventa —pantallas, teléfono, nemotécnico en una hoja, «macho, ¿dónde está el LZB 4?»— no es un sistema de seguridad de 2026. Es una sala de control de planta industrial a la que le hemos puesto 300 km/h. DaVinci, el CRC, el H24 de Atocha: herramientas. El diseño es el que manda. El diseño de Urda, el miércoles, era este: un cable, un degradado, y un humano buscando el protocolo. El humano falló el número. El diseño había decidido que el número lo eligiera un humano.
6. GPS, radio, el tren que grita, el túnel
Ahora sale el listo: el GPS no funciona en el túnel. Correcto. Tampoco hace falta que funcione. El tren sabe la velocidad. Sabe los ejes que ha girado. Sabe el último punto bueno de satélite. En un túnel se navega por odometría inercial, igual que un avión en océano. Al salir, el satélite corrige. Dentro, la radio. GSM-R hoy, FRMCS mañana, y si hace falta una radio lateral en banda propia que no dependa del mismo armario que el LZB. El tren puede emitir todo el rato: vía, sentido, kilómetro, velocidad, ocupación. El de enfrente emite lo contrario. No es ciencia ficción. Es el principio del ERTMS de nivel 3 y del CBTC de metro, llevados a un corredor que ya debería haberlos tenido.
El lidar no ve en curva. Nadie pide lidar como canal único. El lidar es un sensor más, de corto alcance, para el último metro, para la obra, para el obstáculo que el mapa no tenía. La curva la cubre la radio y el mapa y el otro tren gritando. Las vibraciones del convoy sobre el carril ya están en el circuito de vía: Adamuz demostró que el número llega y se ignora. Lo que falta no es física. Falta que el número, cuando se sale de rango, no se pueda silenciar.
Inteligencia artificial: no para sustituir al freno, para oír el patrón. Ciento setenta caídas en un año es un dataset. Trece en un tramo es un mapa de calor. Un modelo tonto, de los de 2018, te dice qué central, qué hora, qué robo de cobre, qué prueba nocturna del ERTMS está correlacionada con el siguiente agujero. Favara lo vio sin modelo, con la tripa y con los retrasos de sus trenes. El Estado tenía los logs. El Estado tenía 170 puntos. El Estado tenía a Puente llamándolo clima europeo.
Y sí: un cable único, en 2026, es ridículo. El 75 por ciento de las caídas por robo de cobre es la confesión. Has puesto la vida de quinientas personas en un metal que se vende al peso. Tres canales independientes no se van todos con un cortacables.
7. «Me estaba liando»
Los audios del CRC de Atocha no son una película. Son el diseño, en voz alta.
Macho, ¿dónde está la hoja? El nemotécnico este… ¿LZB 4? Espera un momento, maquinista, que me estaba liando.
El maquinista del AVE llama con fallo de transmisión por bloqueo parcial 000. El 000, según quien conoce la línea, ya decía que delante había otro tren. El protocolo para esa avería era el LZB 3: marcha a la vista. Aplicaron el LZB 4, el de desconexión de equipo, el que deja elegir la velocidad. Eligieron marcha normal. El conductor repite, por si acaso: «Con marcha normal». Vale, de acuerdo. Diecisiete minutos. Un Iryo parado. Un AVE a doscientos.
Culpar solo al controlador es el truco de siempre. Angrois: el maquinista. Urda: el de Atocha. El de Atocha es el último eslabón de una cadena que se diseñó para que el último eslabón pudiera matar. Faltan manos, dicen los sindicatos del CRC. Hay muchos trenes para pocos ojos. Una avería de 63 kilómetros dispara la carga y la consigna de 2025 pedía refuerzo. Refuerzo, hoja, teléfono. A 200 km/h, el ojo humano no es un sensor. Es una disculpa.
Un sistema de vida que en degradado depende de que alguien acierte un 3 o un 4 en una hoja no está degradado. Está desnudo. La alarma crítica tenía que haber saltado en el segundo en que se cayó el LZB: mapa en rojo, ningún tren se mueve a más de 40 hasta que tres canales independientes digan que el cantón está vacío. Sin hoja. Sin «me estaba liando». Sin «cuando pueda».
8. Puente, Mazón, y una cabeza
Óscar Puente no dimite. «Dar la cara», dice. Sánchez le ha pedido que siga. El viernes normalizó 170 caídas, defendió el LZB, y ofreció parar tramos para modernizar, ahora sí, después de los muertos. El 18 de enero ya había muertos. El 5 de octubre ya había un operador avisando. El 14 de octubre el tramo de Urda ya se había caído otra vez. La cara se da antes, o no es cara: es rueda de prensa.
Carlos Mazón, tras la dana de Valencia, el mismo género. El que tenía que haber movido el sistema se quedó en el relato. Dos incapaces, dos catástrofes, dos países dentro del mismo: el de las víctimas y el de los que salen a explicar por qué el procedimiento era el correcto hasta que dejó de serlo. No es un chiste de partidos. Es una falta de mando técnico. Falta alguien que sepa qué es un SPOF, un canal independiente, un SIL-4, y que tenga autoridad para parar una línea antes del funeral, no después.
Ponedme de ministro o de técnico. No quiero el sueldo. No quiero el coche. No hablo de oídas. Soy ingeniero CCIE. Treinta años montando redes, sistemas industriales y energía a los que un solo interruptor les está prohibido. Empecé en 1990 con un BBS: si un nodo cae, el paquete toma otro camino. Eso no es una ocurrencia de Twitter. Es el oficio. Urda es lo contrario: un cable de 1992, un hombre con una hoja, y 69 muertos. Quiero tres canales que no se caigan juntos, una alarma que no se pueda archivar como climatología, el ERTMS de esa línea encendido de verdad, y que un tren grite su vía y su sentido hasta que el de detrás frene solo. Si hay que cortar Madrid–Sevilla un mes para hacerlo, se corta. Lo que no se corta es el entierro. España no tiene un problema de ingenieros ultra. Tiene un problema de cabezas que llaman normal a lo que ya ha matado dos veces en un año. Yo sí sé leer un sistema que se está cayendo. Ellos, el viernes, lo llamaron clima europeo.
Sin redundancia no hay alta velocidad. Hay un cable de 1992, un hombre con una hoja, y un Iryo parado al que le llega un AVE. El miércoles lo vimos. Quien vuelva a hablar de normalidad europea, que se dé una vuelta por Urda.