LZB, BSL y ASFA: la cadena de seguridad que no evitó el choque entre el AVE y el Iryo y por qué el “error humano” podría no ser la explicación completa

La infraestructura ferroviaria española está en proceso de modernizar sus sistemas de seguridad. En la línea Madrid-Sevilla, que este miércoles fue escenario de un grave choque entre trenes con al menos 69 muertos, todavía funciona el LZB alemán, aunque su sustituto, el ERTMS, ya está instalado y lleva unas semanas en fase de pruebas, si bien no ha entrado en servicio comercial.

El LZB es el principal sistema de protección automática de la línea. A través de un cable instalado en la vía, transmite información de forma continua entre la infraestructura y los equipos a bordo sobre la posición y velocidad de los trenes, así como sobre la ocupación de los tramos de vía.

El sistema está diseñado para impedir que un tren entre en un cantón ocupado por otro, es decir, en un tramo de vía donde ya hay un convoy. Si detecta que el tren que circula por delante ocupa el siguiente cantón o que no se respetan las condiciones de seguridad, transmite restricciones de velocidad y, si es necesario, aplica automáticamente el freno para evitar una colisión. Con esto, en condiciones normales, el “factor humano” no es determinante.

Cuando falla el LZB, la circulación pasa al BSL

Si cae el LZB, los trenes del tramo afectado reciben una orden de seguridad: se detienen si el sistema fija una velocidad objetivo de 0 km/h —Meta 0—, que indica que el trayecto siguiente está ocupado; o pasan a régimen degradado con una velocidad objetivo de 40 km/h —Meta 40—, si el sistema considera libre el trayecto hasta la siguiente señal de entrada, según establece el Reglamento de Circulación Ferroviaria. La circulación no puede retomarse sin sistema de seguridad.

Si el LZB no puede recuperarse, la seguridad en la circulación pasa a depender del BSL, el Bloqueo de Señalización Lateral, que con el respaldo del sistema ASFA (Anuncio de Señales y Frenado Automático) también puede detener el convoy de forma automática.

Este sistema no funciona de forma simultánea con el LZB, sino que debe establecerse y verificarse antes de autorizar la reanudación de la marcha: “Desconecte y vuelva a conectar el LZB y reanude marcha al amparo del BSL con marcha normal” fue la orden remitida desde Atocha al difunto maquinista del AVE en torno a las 08:36.

A lo largo de las vías, balizas asociadas a señales luminosas proporcionan información sobre los tramos posteriores que el maquinista debe obedecer. Cuando estas señales son restrictivas, el maquinista debe activar un pulsador dentro de un plazo para indicar que ha recibido la instrucción. Si no lo hace, el ASFA frena el tren, nuevamente sin participación humana.

No se limita a esa función: según el tipo de baliza y la indicación recibida, también supervisa que el tren reduzca la velocidad conforme a las restricciones y puede activar los frenos si se rebasa indebidamente una señal de parada. A diferencia del LZB, no controla de manera continua la distancia respecto del tren precedente: actúa de forma puntual al pasar por las balizas y durante los controles de velocidad asociados.

Un “error humano” o un fallo de sistemas

El Gobierno atribuye el accidente a un posible “error humano” en Atocha, por la autorización al AVE para reanudar la marcha bajo BSL. Pero esa orden, por sí sola, no debía permitir que el tren alcanzara a otro convoy detenido. Si la señalización lateral reflejaba correctamente que el cantón siguiente estaba ocupado, el AVE debía recibir una indicación restrictiva a través de las balizas.

El maquinista podía reconocer el aviso, pero ese reconocimiento no anulaba la orden: el ASFA debía vigilar el cumplimiento de la restricción de velocidad asociada y, ante un rebase no autorizado de una señal de parada, aplicar el frenado de emergencia. El tren solo podía franquear esa señal mediante una autorización formal de rebase, que modifica la protección automática vinculada a ella.

A las 08:36, el centro de control de Atocha autorizó al AVE a reanudar la marcha “al amparo del BSL con marcha normal”, sin que conste que hubiera comprobado que el cantón que iba a recorrer estaba libre, un requisito que —según la Consigna COI n.º 01/25 de Adif, vigente desde febrero de 2025 y a la que pudo acceder Europa Press— resulta obligatorio tras un fallo del sistema automático de protección. A las 08:41, la maquinista del Iryo comunicó que permanecía detenida ante la señal de entrada de Urda; y a las 08:48 avisó de que seguía inmovilizada porque no lograba reiniciar el LZB. No consta que el AVE recibiera entonces una orden de detención o una modificación de su autorización.

Pero, de nuevo, independientemente de las instrucciones verbales recibidas desde un centro de control, la ocupación del cantón se refleja en la señalización lateral, y las balizas asociadas a esas señales transmiten al tren la información que activa los avisos y controles de ASFA. Si el AVE recibió una indicación restrictiva correcta y ASFA operaba en el modo previsto, el sistema debía imponer automáticamente una reducción de velocidad o una detención antes del alcance.

Solo podría continuar si, además de la orden verbal constatada en los audios, existía una autorización formal de rebase de la señal de parada, que inhibiera la intervención automática asociada (en ese caso es el maquinista quien, tras recibir la autorización, debía pulsar el botón de rebase del ASFA para franquear la señal sin que se activara el frenado automático); o si falló alguno de los elementos de la cadena BSL-ASFA: la detección de ocupación, el enclavamiento, la señalización, las balizas o el equipo de protección a bordo.

Por ahora no hay confirmación oficial de lo que ocurrió en ese tramo de la cadena de seguridad entre las 08:36 y las 08:53. No se sabe si el ASFA funcionaba correctamente, ni si el equipo recibió la información de ocupación del cantón. La versión oficial es un “error humano”, pero un error humano, por sí solo, no explica por qué no funcionaron los sistemas diseñados para evitarlo.