Accidente de Urda: cómo fallaron las capas de seguridad de la Madrid-Sevilla cuando cayó el LZB

En memoria de las 68 personas fallecidas y con todo nuestro apoyo a los heridos y a sus familias.

El 28 de octubre de 2026, un AVE de Renfe alcanzó por detrás a un Iryo detenido en el PK 118 de la línea de alta velocidad Madrid-Sevilla, junto a Urda (Toledo). El Gobierno lo atribuye a una orden errónea del centro de control de Adif en Atocha. La orden existió. Pero, analizado como se analiza un incidente en un sistema crítico, el error humano fue la última de cuatro capas de protección que fallaron, en un sistema que llevaba media hora funcionando en modo degradado. Este análisis reconstruye la operación minuto a minuto con datos públicos, compara el texto literal de los dos telefonemas del reglamento y marca qué está confirmado y qué no.

No es una conclusión: la investigación técnica corresponde a la Comisión de Investigación de Accidentes Ferroviarios (CIAF) y la judicial al Juzgado de Instrucción n.º 2 de Orgaz. Es un análisis con lo que se sabe un día después, hecho para entender el sistema, no para señalar a nadie.

Cómo se protege un tren en la Madrid-Sevilla

La línea Madrid-Sevilla circula con LZB, un sistema de control continuo: el tren recibe en cabina, desde una central de tramo, la velocidad máxima y la distancia hasta el próximo punto donde debe parar, y el propio sistema frena si el maquinista no lo hace. Con LZB en servicio, dice el reglamento, «las señales fijas carecen de validez».

Cuando el LZB falla, la línea pasa a modo degradado:

Capa	Qué hace	Tipo de protección
LZB	Velocidad y distancia al tren de delante, en cabina, con frenado automático	Continua
BSL y señales laterales	Bloqueo por cantones con señales al lado de la vía	Por tramos, depende de que se respeten
ASFA	Frena en puntos concretos (balizas) si se ignora una señal	Puntual
Procedimiento (telefonemas)	Fija con qué velocidad y hasta dónde se reanuda la marcha	Humana
Supervisión de la sala	Una segunda persona detecta y corrige una orden	Humana
Comunicación	Avisar a un tren de lo que tiene delante	Humana

Las tres primeras capas son técnicas; las tres últimas dependen de personas y de cómo está escrito el procedimiento. Al caer el LZB, la protección continua desaparece y todo el peso pasa a las capas humanas. Así quedaron en Urda:

La operación, minuto a minuto

Horas según los audios publicados del centro de control y las declaraciones oficiales. El impacto tiene tres horas publicadas y se analizan las tres.

Hora	Quién	Qué pasa	Fuente
~8:30	Central LZB de Urda	Fallo de comunicación entre ordenadores. Cae el LZB y se detienen los trenes del tramo, que pasan a circular en BSL	Ministro de Transportes
8:31	AVE 2080 → Atocha	El maquinista comunica un fallo de transmisión por bloqueo. Atocha dice que están «valorando desconectar o no» y, según nuestra transcripción de los audios, que el tren tiene meta cero	Audios
8:36	Atocha → AVE 2080	«Desconecte y vuelva a conectar el LZB y reanude marcha al amparo del BSL con marcha normal». El maquinista pregunta «¿Con marcha normal?» y acepta	Audios
8:41	Iryo 6076 → Atocha	Pérdida de transmisión; está detenida ante la señal de entrada de Urda. Atocha: «No le autorizamos el rebase». Según El Español e Infobae, un segundo operador le repite la orden de desconectar y reanudar con marcha normal, y la llamada se corta	Audios
8:48	Iryo 6076 → Atocha	No puede reiniciar el LZB y sigue detenida. Atocha: «Cuando pueda, y si tiene problemas, nos llama»	Audios
8:48	Sala de Atocha	Conversación interna sobre el 6076 y el tren 2061: «¿No estamos haciendo eso?». El audio publicado se corta aquí	Audios
8:48 / 8:53 / 8:54	AVE e Iryo	El AVE alcanza al Iryo en el PK 118	Iryo / ministro / 112

Las ventanas de tiempo

Con cada hora publicada del impacto, el cálculo da:

Hora del impacto	Desde la caída del LZB	Desde la orden de marcha normal	Desde el primer aviso del Iryo	Velocidad media implícita del AVE
8:48 (Iryo)	18 min	12 min	7 min	125 km/h
8:53 (ministro)	23 min	17 min	12 min	88,2 km/h
8:54 (112)	24 min	18 min	13 min	83,3 km/h

Dos lecturas:

• Hubo una ventana de detección de entre 7 y 13 minutos. Desde que el Iryo comunicó por primera vez que estaba detenido (8:41) hasta el impacto, la sala sabía que había un tren parado en Urda y que otro circulaba hacia él con una orden de marcha normal. En sistemas críticos, ese es el intervalo en el que una alarma o una comprobación cruzada evitan el accidente.
• El AVE no recorrió el tramo a 200 km/h de media. Con los unos 25 km de separación que recoge la prensa, la velocidad media desde la orden sale de 83,3 a 125 km/h según la hora del impacto, frente a los 7,5 minutos que habría tardado a 200 km/h. Encaja con un tren que arranca desde parado y con los «más de 130 km/h» que la prensa sitúa en la aproximación, pero solo los registradores dirán la velocidad real en cada punto.

El punto de decisión: dos telefonemas casi iguales

Cuando el LZB cae, la marcha se reanuda con una orden por radio cuyo texto está fijado en el Reglamento de Circulación Ferroviaria. Hay dos telefonemas posibles, en páginas contiguas del BOE (214 y 215), y con códigos seguidos:

	5ET3.2	5ET3.3
Artículo	5ET3.4.3.4, fallo de transmisión	5ET3.4.3.5, desconexión y averías del equipo embarcado
Cuándo	Se pierde la transmisión con la central	Avería del equipo del tren «o por necesidades de la explotación»
Texto literal	«Autorizo a maquinista de tren ___ a continuar la marcha al amparo del BSL con “Marcha a la Vista” hasta la señal ___»	«Maquinista de tren ___ desconecte (y vuelva a conectar) el LZB, y reanude la marcha al amparo del BSL con ___ (condiciones de circulación)»
Velocidad	Fijada: marcha a la vista	En blanco: la escribe quien da la orden
Rebase de señales	«En ningún caso llevará implícita la autorización para rebasar señales»	No lo dice

Y el reglamento es explícito sobre qué significa la meta cero que el AVE comunicó a las 8:31 (art. 5ET3.4.3.4):

«Si V Meta = 000 km/h, significa que la parte del trayecto comprendida entre el tren y la señal de entrada de la estación siguiente, se encuentra ocupada.»

En ese caso, el procedimiento es detenerse, informar, que el responsable de circulación haga «las comprobaciones necesarias» y curse el 5ET3.2, con marcha a la vista: avanzar a la velocidad que permita parar ante cualquier obstáculo que se vea (art. 1.5.1.4).

Qué dicen los textos al compararlos

Comparación (palabras en común)	Resultado
5ET3.2 frente a 5ET3.3	47,6 %
Orden dada a las 8:36 frente a 5ET3.3	57,9 %
Orden dada a las 8:36 frente a 5ET3.2	29,2 %
Los dos telefonemas distintos que el BOE numera como 5ET3.3	63,6 %

• La orden siguió la plantilla del 5ET3.3, la de desconexión, y rellenó su hueco con «marcha normal». No la del 5ET3.2, que no deja la velocidad en blanco.
• Hallazgo que no aparece en la conversación pública: en la misma página 215 del BOE hay dos telefonemas distintos con el mismo código, 5ET3.3: el de desconexión y el de disolución artificial de itinerarios (art. 5ET3.4.3.6). Comparten un 63,6 % de las palabras.
• Un detalle que lo agrava: el rebase autorizado de un punto de parada LZB limita el tren a 40 km/h (art. 5ET3.3.1.4), y la normativa de ERTMS exige marcha a la vista salvo «total seguridad» de que el cantón está libre (art. 5AN1.1.5.1). El 5ET3.3 no tiene ninguna de esas dos salvaguardas.

En ingeniería de sistemas críticos, un formulario que deja en blanco el campo que decide la velocidad, junto a otro casi igual que la fija, es un defecto de diseño: invita al error justo cuando hay más presión.

Quién sabía qué

La información para evitar el alcance existió, pero no llegó a quien la necesitaba:

El AVE comunicó vía ocupada; el Iryo comunicó dos veces que seguía detenido; la sala lo comentó internamente. No consta que nadie avisara al AVE de que tenía un tren parado delante. Es el patrón clásico de conciencia situacional no compartida: cada parte tiene un trozo de la información y ningún mecanismo la junta.

Diagnóstico: cuatro agujeros alineados

Agujero	Tipo de fallo	Lo que habría cerrado la puerta
Cae la central LZB de Urda y el tramo pasa a modo degradado	Punto único de fallo técnico	Redundancia de la central o paso a un sistema equivalente (ERTMS nivel 2, en renovación)
El telefonema 5ET3.3 deja la velocidad en blanco	Defecto de diseño del procedimiento	Velocidad impresa por defecto: marcha a la vista
Se puede cursar el 5ET3.3 a un tren que ha comunicado meta cero	Falta de bloqueo lógico	Que meta 000 solo permita el 5ET3.2
La orden no se corrige y el AVE no recibe aviso	Sin verificación cruzada ni alarma	Doble validación de toda reanudación en degradado y alerta de tren detenido en el mismo cantón

El contexto: un sistema en transición

• El LZB convivía con su sustituto. Thales tiene contratada la sustitución de los enclavamientos de la Madrid-Sevilla por otros que gestionan a la vez el LZB y ERTMS nivel 2.
• La víspera se amplió el contrato de mantenimiento. El Consejo de Ministros del 27 de octubre autorizó una modificación de 11.508.626,53 euros del mantenimiento de las instalaciones de control de tráfico de la línea, adjudicado a la UTE GTS Sistem. La prensa la atribuye a tener que mantener a la vez LZB y ERTMS por el retraso de la renovación.
• La revisión del reglamento está anunciada desde 2023. El Real Decreto 606/2023 dice que «se está trabajando en una revisión profunda del Reglamento de Circulación Ferroviaria, atendiendo al análisis de posibles causas de sucesos ocurridos en los últimos meses». Solo se aprobó entonces un cambio para las señales con letra P. El texto consolidado vigente el día del accidente es del 12 de julio de 2023.

Factores organizativos que habrá que comprobar

Lo que sigue son hipótesis razonables a partir de los audios. Ninguna está confirmada:

• ¿Era práctica habitual? El «¿No estamos haciendo eso?» de la sala sugiere que desconectar y seguir podía ser la rutina en caídas del LZB. Si lo era, el fallo es de organización, no de una persona.
• Carga de trabajo: unos seis trenes detenidos a la vez en el tramo, gestionados en remoto desde Atocha.
• El supuesto «necesidades de la explotación»: permite desconectar el LZB sin definir cuándo.
• Presión por la puntualidad: en la transcripción de los audios con la que trabajamos aparece en la sala un «a ver si son rápidos». No la hemos encontrado en las transcripciones publicadas por la prensa, así que queda pendiente de verificar con la grabación completa.

Datos en los que las fuentes no coinciden

Dato	Valores publicados	Lo más sólido
Trenes detenidos	6 (ministro y fuentes del Ministerio) · 8 (programa de televisión)	6
Kilómetros sin LZB	69 (ministro) · 90 (Europa Press) · 63 (sin fuente oficial)	69
Hora del impacto	8:48 (Iryo) · 8:53 (ministro) · 8:54 (112)	Sin cerrar
Fallecidos	64 (primer dato oficial) · 68 (balance posterior)	68

Tampoco hemos podido confirmar en una segunda fuente que Iryo avisara a Adif semanas antes de que sus trenes se paraban en esa vía, ni que hubiera dos fallos previos del LZB en el mismo punto. Por eso no se usan como hechos.

Propuestas: controles de ingeniería, no solo formación

Ordenadas de más a menos eficaces, como en cualquier sistema crítico:

1. Bloqueo lógico: si el tren ha comunicado meta 000, solo puede cursarse el 5ET3.2. Mejor aún si la orden pasa por un sistema que lo impida, no por la memoria de quien la da.
2. Velocidad impresa por defecto en el 5ET3.3: «…y reanude la marcha al amparo del BSL con Marcha a la Vista hasta la señal ___. Este telefonema en ningún caso lleva implícita la autorización para rebasar señales». La marcha normal, solo con constancia escrita de que el cantón está libre, como ya exige el art. 5AN1.1.5.1 para ERTMS.
3. Códigos únicos y fichas separadas: que no haya dos telefonemas con el mismo código y que los que se pueden confundir tengan distinto color y posición.
4. Doble validación de cualquier orden de reanudar la marcha con el sistema degradado.
5. Alerta automática de tren detenido en el cantón a los trenes que circulan detrás, aunque el LZB esté caído.
6. Definir «necesidades de la explotación» y publicar la revisión del reglamento anunciada en 2023.
7. Tratar el modo degradado como excepción, no como rutina: con tiempo máximo, supervisión reforzada y registro de cada orden.

Lo que falta para cerrar el análisis

Qué falta	Por qué importa
Grabación completa de la sala de Atocha, con horas	Saber qué se decidió después de las 8:48
Radio entre las 8:41 y el impacto	Confirmar si se ordenó marcha normal al Iryo y si alguien intentó parar al AVE
Registradores jurídicos de los dos trenes	Hora exacta, velocidad real en cada punto y actuación del ASFA
Registros del enclavamiento y pantallas de Atocha	Qué falló en la central y qué veía el operador
Datos del tren 2061	Si la sala confundió qué tren había que parar
Actuación en caídas anteriores del LZB	Saber si la marcha normal era práctica habitual

Limitaciones

• No hay mediciones propias: son cálculos sobre datos publicados un día después del accidente. Los registradores de los trenes y del enclavamiento no son públicos.
• La distancia entre trenes (unos 25 km) es un dato de prensa. Si cambia, cambian las velocidades implícitas, no las ventanas de tiempo.
• La comparación de telefonemas mide palabras en común, no cómo se perciben bajo presión. Es un indicio de diseño, no una prueba de la causa.
• Los audios publicados están cortados. Pueden faltar órdenes y avisos que cambien la lectura.
• Como orden de magnitud de por qué la marcha a la vista exige ir despacio, en el repositorio hay una tabla ilustrativa de distancias de frenado (d = v²/2a) con deceleraciones supuestas, no normativas.

Cómo repetirlo

Datos con su fuente y su estado, texto literal de los telefonemas, cálculos y diagramas: yeswelab-laboratorio/accidente-urda-lzb-sistemas-respaldo en GitHub. Se ejecuta en segundos y sin cuentas.

Fuentes

• Reglamento de Circulación Ferroviaria, texto consolidado (BOE): arts. 1.5.1.4, 5ET3.3.1.4, 5ET3.4.3.4, 5ET3.4.3.5, 5ET3.4.3.6 y 5AN1.1.5.1.
• Real Decreto 606/2023 (BOE-A-2023-16156).
• Referencia del Consejo de Ministros de 27 de octubre de 2026.
• Castilla-La Mancha Media: víctimas, trenes, kilómetros sin LZB y hora del 112.
• Audios del centro de control publicados por la Cadena SER y recogidos por Infobae y El Español.
• Comparecencia del ministro de Transportes (elDiario.es).
• Contrato de Thales para la renovación de la Madrid-Sevilla.

Si tienes datos que corrijan o completen este análisis, escríbenos desde el formulario de contacto.