Así funciona el LZB, el sistema que se cayó minutos antes del choque de Urda

El control de tren alemán que protege la línea Madrid-Sevilla desde 1992 paró los convoyes al fallar, pero lo que ocurrió después, ya sin su vigilancia, es lo que será necesario investigar

Hacia las 8.30 del miércoles 28 de octubre, los ordenadores que gobiernan la alta velocidad entre Madrid y Andalucía dejaron de entenderse entre sí. Una avería en las comunicaciones dejó sin el sistema de protección LZB un tramo de unos 63 kilómetros y seis trenes se detuvieron de forma automática. Poco más de veinte minutos después, el AVE 2080 de Renfe alcanzó por detrás al Iryo 6076, que esperaba parado ante la señal de entrada de la estación de Urda (Toledo). El balance provisional habla de al menos 68 muertos y 107 personas hospitalizadas, por encima de las víctimas de Adamuz en enero.

Para entender qué falló hay que entender antes cómo funciona el sistema que lleva 34 años vigilando cada tramo de la primera línea de AVE del país.

Un invento alemán para ver más allá de las señales

LZB son las siglas de Linienzugbeeinflussung, una palabra alemana que puede traducirse como "control continuo del tren". Nació de un problema muy concreto de los ferrocarriles alemanes de los años sesenta. Las señales de aviso se colocaban a 1.000 metros de la señal principal, una distancia suficiente para frenar desde 160 km/h. A 200 km/h, en cambio, un tren necesita más de 1.500 metros para detenerse, y a esas velocidades el maquinista apenas tiene tiempo de leer una señal lateral bajo la lluvia o la niebla.

La solución fue llevar la señal dentro de la cabina. La compañía estatal Deutsche Bundesbahn y Siemens probaron un prototipo en 1963 y lo exhibieron en 1965 con trenes a 200 km/h hacia la Exposición Internacional del Transporte de Múnich, según recoge la documentación técnica del sistema. A finales de los setenta, Siemens y Standard Elektrik Lorenz desarrollaron el LZB 80, con ordenadores de a bordo basados en microprocesadores Intel 8085 programados en ensamblador.

España fue uno de sus primeros clientes. Renfe ensayó el sistema en las Cercanías de Madrid entre 1978 y 1980, y la línea Madrid-Córdoba-Sevilla se inauguró con LZB en 1992, con ocho centros de control a lo largo de unos 480 kilómetros. Después llegaron la línea C-5 de Cercanías de Madrid (1995), la estación de Atocha (2004) y el ramal a Toledo (2005). También lo usa la red de Euskotren. Fuera de España, el LZB equipa decenas de líneas principales en Alemania, varios tramos de la Westbahn austriaca entre Viena y Salzburgo y los metros de Viena y Múnich. En Núremberg, una versión del sistema mueve la línea U3 sin conductor desde 2008. El Reino Unido instaló una variante en la Chiltern Main Line que ya ha retirado.

Dos cables entre los raíles capaces de frenar el tren automáticamente

El corazón del LZB es literalmente un cable. Entre los dos carriles discurren dos cables conductores que se cruzan cada 100 metros. En cada cruce la señal eléctrica invierte su fase, y el tren detecta ese salto y lo usa como un mojón para saber dónde está. La vía queda así dividida en zonas de 100 metros, y el sistema identifica a cada tren por su posición, sin necesidad de un nombre. Cuando el convoy pierde cuatro de esos cruces seguidos, entra en estado de fallo. En las líneas de alta velocidad el cable se fragmenta en tramos de 300 metros con repetidores, para que una rotura no deje a ciegas kilómetros enteros de vía.

Cada centro de control vigila entre 30 y 40 kilómetros. Recibe de los circuitos de vía qué cantones están ocupados y de los enclavamientos cómo están las agujas y las rutas. Conoce además las pendientes, las curvas y los límites de velocidad de su tramo. Con esos datos calcula para cada tren hasta dónde puede avanzar y a qué velocidad, y se lo envía en forma de "telegramas" entre una y cinco veces por segundo, a 1.200 bits por segundo sobre una portadora de 36 kHz. El tren responde a 600 bits por segundo, a 56 kHz, con su posición, su velocidad y su capacidad de frenado. Tanto en tierra como a bordo, las decisiones las toman tres ordenadores que se vigilan entre sí, y si uno discrepa, el sistema lo aparta.

En la cabina, el maquinista ve su velocidad real, la velocidad permitida en ese instante y la velocidad y distancia objetivo, que pueden anticiparse varios kilómetros. Un cantón ocupado por otro tren equivale a un objetivo de velocidad cero. Cuando el maquinista supera el límite en unos 5 km/h suena un aviso, y si lo rebasa en algo menos de 9 km/h el LZB activa el freno de emergencia por su cuenta. El sistema puede incluso conducir de forma automática a la máxima velocidad autorizada.

Una máquina que vigila al humano, y un humano que vigila a la máquina

Aun con ese grado de automatización, el LZB funciona como protección automática del tren y deja la conducción y la gestión del tráfico en manos de personas. Antes de entrar en un tramo equipado, el maquinista introduce los datos del convoy (longitud, tipo de freno, velocidad máxima) y debe confirmar en pocos segundos las indicaciones de cambio de régimen. En los centros de regulación y control de Adif, los operadores autorizan los movimientos, gestionan las incidencias y dan las órdenes por radio cuando algo se sale del guion.

La historia del propio sistema ofrece un aviso que hoy resulta inquietante. En abril de 2002, en la línea Hannover-Berlín, un error de software en un ordenador central del LZB detuvo cuatro trenes. Al reiniciarlo, el sistema indicó 0 km/h a los convoyes de cabeza y 160 km/h a los que venían detrás, en el mismo cantón. Ninguno de los maquinistas arrancó. Uno vio el tren que tenía delante y el otro confirmó antes con el centro de operaciones, que ya le había advertido. Tras aquel susto, los operadores alemanes ordenaron extremar la precaución durante las caídas del LZB. Hasta Urda, según la documentación disponible, ninguna línea equipada con este sistema había sufrido una colisión por un fallo del propio LZB.

Qué ocurre cuando el sistema LZB se cae

El LZB está diseñado para fallar hacia el lado seguro. Cuando los telegramas dejan de llegar, el tren lo detecta y queda limitado o detenido. En la Madrid-Sevilla, la caída genera lo que en el argot se llama "meta cero", una velocidad objetivo nula que obliga a parar. El ministro de Transportes, Óscar Puente, subrayó que esta primera barrera funcionó como estaba previsto el día 28.

A partir de ahí la circulación pasa a un modo degradado. Los trenes se mueven al amparo del bloqueo de señalización lateral (BSL), es decir, de las señales junto a la vía, los circuitos que detectan la ocupación y el ASFA, un sistema más antiguo que actúa en puntos concretos junto a las señales en lugar de vigilar de forma continua. Cobran entonces un peso decisivo las instrucciones del centro de control. Cuando hay un tren detenido por delante o una señal en rojo, la norma es la marcha a la vista, que limita la velocidad a 40 km/h y obliga a poder detenerse ante cualquier obstáculo.

Diecisiete minutos y 25 kilómetros

Los audios difundidos por elDiario.es permiten reconstruir la secuencia. A las 8.31, el maquinista del AVE 2080 comunica al centro de control de Atocha que ha perdido la transmisión porque se ha caído la central de Urda. A las 8.36, tras indicarle que desconecte y vuelva a conectar el LZB, Atocha le transmite esta orden: "Reanude la marcha al amparo del BSL con marcha normal". Según relató Puente, otro maquinista que recibió una instrucción parecida advirtió de que debía circular en marcha a la vista, y el operador corrigió su orden. La del AVE no se rectificó.

A las 8.41, la maquinista del Iryo avisó de que seguía detenida ante la señal de entrada de Urda, varios kilómetros por delante. A las 8.48 el centro recibió una nueva confirmación de que el Iryo continuaba parado. El choque se produjo hacia las 8.53, en el punto kilométrico 118. Entre la orden y el impacto, el AVE recorrió unos 25 kilómetros y, según el ministro, pudo alcanzar cerca de 200 km/h, una velocidad a la que la distancia de frenado supera ampliamente el kilómetro.

El ministro Puente calificó la autorización de "inexplicable" porque se dio con un tren detenido delante y la señal de entrada en rojo. La versión tiene puntos en disputa. Iryo sostiene que su maquinista nunca recibió la orden de arrancar y que el tren seguía inmovilizado mientras completaba el reinicio del sistema, mientras Adif afirma que lo autorizó a las 8.41. La Guardia Civil ha interrogado al operario que dio la orden y la jueza de Urda ha abierto diligencias.

El papel del LZB en la tragedia

Con lo que se sabe un día después, el LZB aparece como el desencadenante del accidente y, a la vez, como la barrera que lo habría evitado si hubiera seguido operativo. Su caída detuvo los trenes, tal como establece su diseño. La colisión llegó cuando la seguridad dependía de una instrucción verbal y de sistemas más primarios. Hay que recordar que en ese tramo aún no se ha implantado el ERTMS y que el fallo obligó a recurrir al ASFA.

Quedan preguntas técnicas abiertas que tendrán que responder las cajas registradoras, los registros de los enclavamientos y las grabaciones. Habrá que saber por qué el ASFA no detuvo al AVE antes de la señal en rojo, si la orden incluía una autorización para rebasarla, y qué alarmas tenía el puesto de mando para impedir una autorización incompatible con una vía ocupada. Tampoco está claro por qué el sistema se cayó. En ingeniería de seguridad se da por hecho que un solo error humano no debería bastar para provocar una catástrofe, y la investigación tendrá que explicar qué otras barreras faltaron.

Un sistema en retirada

El LZB está catalogado en Europa como sistema nacional heredado y su sustitución por el estándar europeo ETCS, el núcleo del ERTMS, está prevista en Alemania entre 2023 y 2030. El ERTMS de nivel 2 sustituye el cable entre carriles por balizas fijas y comunicación por radio GSM-R, lo que reduce el mantenimiento en vía y permite que circulen trenes de cualquier operador europeo. En 2022, la Madrid-Sevilla era la única línea de AVE en España sin ERTMS.

Adif adjudicó en 2021 a Thales un contrato de casi 94 millones de euros y 52 meses para renovar la señalización, instalar ERTMS de nivel 2 y ASFA digital en la línea. El plan contemplaba que el LZB siguiera en servicio antes, durante y después de la puesta en marcha del nuevo sistema. Cinco años después, la migración no se ha completado en el tramo de Urda. Puente ha insistido en que el cambio responde a la modernización y la interoperabilidad, y rechaza que el LZB sea inseguro. Ningún sistema automático elimina del todo los modos degradados, y cualquier avería termina, tarde o temprano, en manos de una persona con una radio. Lo que Urda pone a prueba es qué ocurre en esos minutos.

Si quieres conocer otros artículos parecidos a Así funciona el LZB, el sistema que se cayó minutos antes del choque de Urda puedes visitar la categoría TECNOLOGÍA.