Mercoledì 28 ottobre 2026, alle 8:53, un AVE Renfe ha tamponato un Iryo fermo all’ingresso di Urda, a Toledo. Almeno 69 morti. La stessa linea Madrid–Siviglia che a gennaio, ad Adamuz, se n’era già portata 46. Il sistema che doveva impedire a due treni di coincidere — l’LZB, un cavo tedesco del 1992 tra le rotaie — era caduto alle 8:31. Non era la prima volta. Il ministro dei Trasporti, Óscar Puente, è uscito venerdì a dire che nel 2026 quel sistema è caduto 170 volte, 13 su quel tratto, e che questo sta «dentro la normalità europea». In ingegneria, 170 guasti di un sistema di vita non sono normalità. Sono un sistema che ti sta già urlando di cambiarlo.
Dieci giorni fa ho scritto che una banca non può avere un solo interruttore. Un treno, ancora meno. Mercoledì la Spagna ha dimostrato che la sua alta velocità ha l’interruttore del 1992, un backup che lascia correre a 200 km/h, e un uomo ad Atocha che cerca un foglio. Ha trovato il foglio. Ha letto il protocollo sbagliato. L’AVE ha ripreso «a marcia normale».
1. Urda, 8:53: il treno che non doveva muoversi
I fatti, quelli già nel verbale dell’autorità investigativa e in bocca al ministro, non hanno bisogno di vernice.
Alle 7:54 parte da Atocha l’Iryo 6076 per Siviglia: 147 viaggiatori e cinque di equipaggio, un Hitachi di otto carrozze. Dieci minuti dopo, l’AVE 2080 di Renfe, un Siemens 103, con circa 380 passeggeri e sette di equipaggio. Stesso binario, stesso senso, Madrid–Andalusia. Alle 8:31 l’LZB della centrale di Urda perde la comunicazione tra computer. Si spegne la protezione continua su 63 chilometri. I sei treni del tratto si fermano da soli. Questo, almeno, il sistema vecchio l’ha fatto bene: nel dubbio, si ferma.
Alle 8:36 il centro di controllo Adif ad Atocha autorizza l’AVE a disconnettere e riconnettere l’LZB e a riprendere «sotto BSL a marcia normale». BSL è il blocco per segnalamento laterale: semafori lungo il binario, il modo degradato. Marcia normale, in quel modo, sono fino a 200 km/h. Il regolamento e una consigna interna Adif del gennaio 2025 chiedevano altro: verificare che il cantone sia libero e, se non lo è, marcia a vista, quaranta all’ora, pronti a frenare davanti a un ostacolo. L’Iryo era ancora fermo al segnale di ingresso di Urda. Il circuito di binario, occupato. C’era un rosso. Eppure, marcia normale.
La macchinista dell’Iryo avvisa: il treno non le fa riavviare l’LZB, resta ferma. Da Atocha: quando può. L’AVE percorre circa 25 chilometri in diciassette minuti. Impatto alle 8:53, chilometro 118,800, binario 2, ingresso di Urda, comune di Los Yébenes. Velocità stimata tra 160 e 200 km/h; la scatola nera dirà il numero esatto. Quattro carrozze di coda dell’Iryo distrutte, parte giù dal terrapieno. Entrambi i macchinisti dell’AVE, uno ancora in pratica, morti in cabina. Più di cinquecento persone a bordo. Almeno 69 morti. Il secondo peggior incidente ferroviario della Spagna in questo secolo, dopo Angrois.
Un tamponamento in alta velocità, ha detto Puente, è «inverosimile». Lo è. Per questo esistono i sistemi. Quando succede, non è magia nera. È che gli strati che dovevano impedirlo sono caduti in catena, e l’ultimo strato era un uomo con un telefono.
2. Adamuz, nove mesi, la stessa linea
Il 18 gennaio, ad Adamuz, Cordova, un Iryo è deragliato di notte su una saldatura cattiva di una rotaia nuova e un Alvia Renfe l’ha colpito sul binario accanto. 46 morti. Stessa linea Madrid–Siviglia. Stesso LZB. Stesso ministro. Stessa promessa che il rinnovo «integrale» con i fondi europei avrebbe lasciato il binario come un pianoforte.
Lì non fu un tamponamento. Fu una rotaia che si ruppe. La Guardia Civil ha detto che la saldatura alluminotermica era carente, che ispettori senza l’esperienza richiesta hanno percorso il tratto, che le macchine di misura non caricavano i dati in digitale. E la frase peggiore per chi progetta sistemi: la notte prima il circuito di binario è sceso da 2 volt a 1,5. La soglia d’allarme stava a 0,78. La rotaia era già rotta. Il sistema ha archiviato il numero come accettabile. Ventidue ore. Senza urlo.
Nove mesi dopo, Adamuz è ancora senza rapporto finale. La nuova autorità investigativa avvisa già che non arriverà prima del 2027. Urda arriva sopra un fascicolo aperto. Due catastrofi di alta velocità sullo stesso corridoio, 115 morti tra le due, e il Paese non ha ancora chiuso la prima.
Due giorni dopo Adamuz, a Gelida, un muro si è portato via un Rodalies e ha ucciso il macchinista. Altra rete, altra causa. L’anno ferroviario spagnolo era già un bollettino di guerra prima di Urda. Chi esce ora a dire che sono tre fatalità sparse si legga il calendario.
3. Cento settanta cadute «normali»
Venerdì Puente ha lasciato cadere la cifra come chi dà il bollettino della pioggia.
Nel 2026 si è prodotto in 170 occasioni. Un numero che può colpire il pubblico non specializzato, ma che sta dentro la normalità europea.
Tredici di quelle cadute, sul tratto di Urda. L’ultima, il 14 ottobre, quindici giorni prima. Il 75 per cento, secondo il ministro, non è il software: vandalismo, furto di rame, cantieri, clima. Cioè: il sistema di protezione della prima linea di alta velocità della Spagna cade quando qualcuno taglia un cavo. E questo, nel 2026, viene presentato come Europa.
Non serve essere macchinista per sentire l’allarme. Il 5 ottobre, tre settimane prima, l’amministratore delegato di Iryo, Fabrizio Favara, l’ha detto in pubblico: ogni volta che si scollega il segnale, il treno si ferma, impiega a riconnettersi, il servizio va all’inferno. Il sindacato dei macchinisti ripete da mesi che operare in degradato non può diventare il modo abituale. La CIAF, nel 2025, dopo un incidente a Cuenca senza morti e con lo stesso sapore, ha chiesto misure tecniche che riducano il rischio umano. Adif ha scritto una consigna. Mercoledì la consigna stava in un cassetto e il foglio dei protocolli su un’altra scrivania.
Cento settanta non è una voce di Twitter. L’ha detto il ministro. L’ha chiamata normale. Su un aereo, 170 guasti di un canale di volo in un anno non si archiviano: si ferma la flotta. In una centrale, 170 perdite di un anello di protezione non sono «stabili»: sono un fascicolo di chiusura. Su un treno pieno, a quanto pare, sono il clima.
4. Un cavo del 1992 e un appalto arrivato tardi
L’LZB — Linienzugbeeinflussung, controllo lineare del treno — è una tecnologia tedesca degli anni sessanta e settanta. La Spagna la mise sulla Madrid–Siviglia nel 1992 perché allora era quello che c’era, ed era buono: un cavo tra le rotaie parla senza sosta con il treno, gli dice la velocità, la distanza alla meta successiva, e se il macchinista non obbedisce, frena da solo. Finché il cavo parla, due treni non si montano. Mercoledì il cavo ha smesso di parlare. Un guasto di comunicazione tra tre computer della centrale di Urda. Un tratto di 63 chilometri, cieco.
Quando cade l’LZB entra l’ASFA Digital, boe puntuali, e i segnali laterali. L’ASFA non vigila in continuo. Aggiorna quando ci passi sopra. Permette 200 km/h. Se ti autorizzano a superare un rosso, smette di essere un freno e diventa un testimone. L’inchiesta dirà se l’AVE ha trovato qualche segnale restrittivo in quei 25 chilometri o se, come già scritto, il tracciato non gliene ha messo nessuno fino all’Iryo. Non lo invento. Quello che non è un’ipotesi è questo: il backup non è un secondo LZB. È un sistema più povero, pensato per un’altra epoca, a cui si chiede di coprire un buco di 63 chilometri a velocità di sparo.
Il sostituto si chiama ERTMS livello 2: radio, non un cavo nel pietrisco. Adif l’ha aggiudicato a Thales nel settembre 2021 per 93,8 milioni, un’offerta il 28 per cento sotto il budget, catalogata allora come temeraria. Termine, 52 mesi. Doveva essere pronto a gennaio 2026. Dopo Adamuz, Puente l’ha citato come prova che la linea si stava modernizzando. Venerdì ha ammesso un ritardo di dodici mesi. Hitachi Rail, che ha ereditato Thales, è ancora in prove notturne. Il 27 ottobre, il giorno prima dello scontro, il Consiglio dei ministri ha iniettato altri 11,5 milioni nel contratto di manutenzione perché bisogna tenere in vita l’LZB vecchio e l’ERTMS nuovo insieme. La carta è arrivata ventiquattr’ore tardi per quelli di Urda.
Angrois, 2013, 80 morti: l’ERTMS del tratto era spento. Urda, 2026, 69 morti: l’ERTMS del tratto non era arrivato. Due volte il sistema moderno assente. Due volte il discorso che il vecchio «è ampiamente collaudato».
5. Tre volte, o non chiamarlo sicurezza
Non serve un ingegnere ultra. Serve il manuale che si insegna il primo giorno in qualsiasi posto dove un guasto uccide gente. Aviazione. Nucleare. Reti vere, quelle che montavo già negli anni novanta, quando un BBS ti spiegava perché Internet è nata per instradare intorno al danno. Un canale. Un secondo canale indipendente. Un terzo che vota. Se uno mente, gli altri due lo beccano. Se uno tace, gli altri due urlano. Il guasto di uno solo è già allarme critico, non un verbale di incidenza.
Si chiama ridondanza tripla, votazione due su tre, indipendenza di guasto. Non sono tre copie dello stesso cavo. Tre copie dello stesso cavo sono un cavo in costume. Indipendente vuole dire: fisica diversa, energia diversa, modo diverso di morire. Radio che non cade quando rubano il rame. Satellite e odometria che non cadono quando la centrale di Urda ha una mattinata storta. Circuito di binario e contaassi che non tacciono perché una soglia è sbagliata. E il treno che parla con il treno davanti: sono sul binario 2, chilometro 118, senso Siviglia, velocità zero. Quello dietro non ha bisogno di un uomo ad Atocha per sapere che ha un muro di alluminio fermo a 25 chilometri.
Uno SCADA degli anni novanta — schermi, telefono, mnemonico su un foglio, «bello, dov’è l’LZB 4?» — non è un sistema di sicurezza del 2026. È una sala di controllo da impianto industriale a cui abbiamo messo 300 km/h. DaVinci, il CRC, l’H24 di Atocha: strumenti. Il progetto è quello che comanda. Il progetto di Urda, mercoledì, era questo: un cavo, un degradato, e un umano che cerca il protocollo. L’umano ha sbagliato il numero. Il progetto aveva già deciso che il numero lo sceglieva un umano.
6. GPS, radio, il treno che urla, la galleria
Adesso esce lo sveglio: il GPS in galleria non funziona. Corretto. Non deve funzionare. Il treno sa la velocità. Sa gli assi che ha girato. Sa l’ultimo punto buono di satellite. In galleria si naviga per odometria inerziale, come un aereo sull’oceano. All’uscita, il satellite corregge. Dentro, la radio. GSM-R oggi, FRMCS domani, e se serve una radio laterale in banda propria che non dipenda dallo stesso armadio dell’LZB. Il treno può emettere tutto il tempo: binario, senso, chilometro, velocità, occupazione. Quello di fronte emette il contrario. Non è fantascienza. È il principio dell’ERTMS di livello 3 e del CBTC della metropolitana, portati su un corridoio che avrebbe già dovuto averli.
Il lidar in curva non vede. Nessuno chiede il lidar come canale unico. Il lidar è un sensore in più, a corto raggio, per l’ultimo metro, per il cantiere, per l’ostacolo che la mappa non aveva. La curva la coprono la radio e la mappa e l’altro treno che urla. Le vibrazioni del convoglio sul binario sono già nel circuito di via: Adamuz ha dimostrato che il numero arriva e viene ignorato. Non manca la fisica. Manca che il numero, quando esce dal rango, non si possa silenziare.
Intelligenza artificiale: non per sostituire il freno, per sentire il pattern. Cento settanta cadute in un anno sono un dataset. Tredici su un tratto sono una mappa di calore. Un modello stupido, da 2018, ti dice quale centrale, quale ora, quale furto di rame, quale prova notturna dell’ERTMS è correlata al buco successivo. Favara l’ha visto senza modello, con la pancia e con i ritardi dei suoi treni. Lo Stato aveva i log. Lo Stato aveva 170 punti. Lo Stato aveva Puente che lo chiamava clima europeo.
E sì: un cavo unico, nel 2026, è ridicolo. Il 75 per cento delle cadute per furto di rame è la confessione. Hai messo la vita di cinquecento persone su un metallo che si vende a peso. Tre canali indipendenti non se ne vanno tutti con un tagliacavi.
7. «Mi stavo confondendo»
Gli audio del CRC di Atocha non sono un film. Sono il progetto, a voce alta.
Bello, dov’è il foglio? Questo mnemonico… LZB 4? Aspetta un momento, macchinista, che mi stavo confondendo.
Il macchinista dell’AVE chiama con guasto di trasmissione per blocco parziale 000. Lo 000, secondo chi conosce la linea, diceva già che davanti c’era un altro treno. Il protocollo per quel guasto era l’LZB 3: marcia a vista. Hanno applicato l’LZB 4, quello di disconnessione dell’apparato di bordo, quello che lascia scegliere la velocità. Hanno scelto marcia normale. Il conducente ripete, per sicurezza: «A marcia normale». Va bene, d’accordo. Diciassette minuti. Un Iryo fermo. Un AVE a duecento.
Incolpare solo il controllore è il trucco di sempre. Angrois: il macchinista. Urda: quello di Atocha. Quello di Atocha è l’ultimo anello di una catena progettata perché l’ultimo anello potesse uccidere. I sindacati del CRC dicono che mancano le mani. Troppi treni per pochi occhi. Un guasto di 63 chilometri spara il carico e la consigna del 2025 chiedeva rinforzo. Rinforzo, foglio, telefono. A 200 km/h l’occhio umano non è un sensore. È una scusa.
Un sistema di vita che in degradato dipende dal fatto che qualcuno azzecchi un 3 o un 4 su un foglio non è degradato. È nudo. L’allarme critico doveva scattare nel secondo in cui è caduto l’LZB: mappa in rosso, nessun treno si muove sopra i 40 finché tre canali indipendenti non dicono che il cantone è vuoto. Senza foglio. Senza «mi stavo confondendo». Senza «quando può».
8. Puente, Mazón, e una testa
Óscar Puente non si dimette. «Mostrare la faccia», dice. Sánchez gli ha chiesto di restare. Venerdì ha normalizzato 170 cadute, ha difeso l’LZB, e ha offerto di fermare tratti per modernizzare, adesso sì, dopo i morti. Il 18 gennaio i morti c’erano già. Il 5 ottobre un operatore avvisava già. Il 14 ottobre il tratto di Urda era già caduto un’altra volta. La faccia si dà prima, o non è faccia: è conferenza stampa.
Carlos Mazón, dopo la dana di Valencia, lo stesso genere. Chi doveva muovere il sistema è rimasto nel racconto. Due incapaci, due catastrofi, due Paesi dentro lo stesso: quello delle vittime e quello di chi esce a spiegare perché la procedura era corretta finché ha smesso di esserlo. Non è una battuta di partiti. È una mancanza di comando tecnico. Manca qualcuno che sappia cos’è uno SPOF, un canale indipendente, un SIL-4, e che abbia l’autorità di fermare una linea prima del funerale, non dopo.
Mettetemi ministro o tecnico. Non voglio lo stipendio. Non voglio la macchina. Non parlo per sentito dire. Sono un ingegnere CCIE. Trent’anni a montare reti, sistemi industriali ed energia a cui un solo interruttore è vietato. Ho iniziato nel 1990 con un BBS: se un nodo cade, il pacchetto prende un’altra strada. Non è una battuta da Twitter. È il mestiere. Urda è il contrario: un cavo del 1992, un uomo con un foglio, e 69 morti. Voglio tre canali che non cadano insieme, un allarme che non si possa archiviare come climatologia, l’ERTMS di quella linea acceso per davvero, e un treno che urli il suo binario e il suo senso finché quello dietro non frena da solo. Se bisogna tagliare Madrid–Siviglia un mese per farlo, si taglia. Quello che non si taglia è il funerale. La Spagna non ha un problema di ingegneri ultra. Ha un problema di teste che chiamano normale quello che ha già ucciso due volte in un anno. Io so leggere un sistema che sta cadendo. Loro, venerdì, l’hanno chiamato clima europeo.
Senza ridondanza non c’è alta velocità. C’è un cavo del 1992, un uomo con un foglio, e un Iryo fermo a cui arriva un AVE. Mercoledì l’abbiamo visto. Chi torna a parlare di normalità europea, faccia un giro a Urda.