¿Por qué ocurren tragedias como la de Adamuz?

Desde el accidente ferroviario del pasado 18 de enero una pregunta comenzó a repetirse en toda la sociedad. ¿Cómo pudo ocurrir algo así en uno de los sistemas ferroviarios más avanzados del mundo?

Aunque las investigaciones de la Comisión de Investigación de Accidentes Ferroviarios (CIAF) apuntan de forma preliminar a una fractura previa en el carril, reducir la tragedia a una única pieza de acero rota sería ignorar cómo funciona realmente la seguridad moderna.

En la cultura de la seguridad actual, un accidente no es un evento aislado o fruto de la mala suerte. Los desastres en sistemas complejos son el resultado de una dinámica donde varios factores se interrelacionan. Son la consecuencia de una "erosión de la seguridad" que comienza mucho antes del suceso.

Trabajos de retirada de las vías de los vagones del Iryo, este sábado en Adamuz (Córdoba). Efe

Entender esto es vital para que la sociedad comprenda que la seguridad se basa en la presencia de defensas capaces de frenar los errores. Por ello, analizar los accidentes sirve sobre todo para comprender las dinámicas de riesgo que, si no se gestionan bien, pueden convertir incluso una mínima anomalía en una gran catástrofe.

Comencemos.

Cultura de seguridad

Para entender un accidente como el ocurrido en Adamuz no basta con tratar de saber qué falló. Lo primero es preguntarse cómo una organización y una sociedad entienden la seguridad.

Uno de los modelos más claros para explicarlo es la escalera de la cultura de seguridad, ampliamente utilizada en sectores de alto riesgo como la aviación, la industria química o el ferrocarril.

La escalera describe cinco niveles de madurez:

1. Patológica

"Mientras no nos pillen, no pasa nada". La seguridad se percibe como un estorbo. La dirección no quiere saber. Ocultan incidentes. El lema es "no me traigas problemas".

2. Reactiva

"Actuamos cuando hay un accidente". Se aprende sólo tras la tragedia. La seguridad es un coste, no una inversión.

"La gran pregunta que deja Adamuz es incómoda pero necesaria. ¿En qué peldaño están realmente el sistema ferroviario español y las organizaciones implicadas?"

3. Calculadora

"Gestionamos la seguridad con indicadores y procedimientos". La prevención existe, pero puede convertirse en burocracia. Existe una gran dependencia de reglas, manuales y procesos. Se confunde "tener un papel" con "estar seguro".

4. Proactiva

"Actuamos antes de que ocurra el accidente". La seguridad se integra en el liderazgo y los empleados participan activamente en la identificación de riesgos antes de que ocurran incidentes. Se investigan los incidentes leves para aprender. Se invierte en formación y mejora continua.

5. Generativa

"La seguridad es prioritaria y es un valor". La seguridad está integrada en todas las decisiones. Los trabajadores reportan riesgos sin miedo, la dirección escucha y actúa. La comunicación es fluida y abierta.

La gran pregunta que deja Adamuz es incómoda pero necesaria. ¿En qué peldaño están realmente el sistema ferroviario español y las organizaciones implicadas? ¿Como ciudadanía comprometida, qué podemos hacer para exigir el nivel que queremos?

El presidente de la comisión de investigación del accidente: “Todo parece indicar que la causa principal es la soldadura”

Modelos sistémicos

Seguimos avanzando. Es el momento de tratar de entender qué ha podido pasar. En la investigación de un accidente nunca debemos quedarnos en la causa directa. Tenemos que buscar las causas raíz, los factores que contribuyen.

La técnica de Los cinco por qué sigue siendo una de las herramientas más efectivas en la gestión de la seguridad. Permite profundizar más allá de los síntomas superficiales.

Esta técnica evita detenerse en el error humano y obliga a investigar las condiciones del entorno y la organización que lo propiciaron.

Para el caso del accidente ferroviario de Adamuz, la Comisión de Investigación de Accidentes Ferroviarios (CIAF) ha identificado la rotura previa del carril como la hipótesis principal del descarrilamiento.

La sucesión de preguntas y respuestas nos permite pasar de un fallo técnico a causas organizativas profundas.

1. ¿Por qué descarriló el tren? ¿Rotura previa del carril?

2. ¿Por qué se rompió el carril? ¿Fisura, antigüedad vía, frecuencia paso unidades mantenimiento correctivo?

3. ¿Por qué no se detectó la fisura antes de la rotura total? ¿Mantenimiento predictivo, preventivo?

4. ¿Por qué fallaron los sistemas de detección o el protocolo de revisión? ¿Presupuestos, ciclos de mantenimiento?

5. ¿Por qué el mantenimiento no se adaptó al nuevo volumen de tráfico? (causa raíz). ¿Podría deberse a una falta de actualización en los estándares de seguridad y protocolos de inspección para líneas de alta velocidad con alta densidad de operadoras?

Los investigadores de la Guardia Civil fotografían el raíl roto que procovó el accidente de Adamuz (Córdoba).

El modelo sistémico, inspirado en investigadores como James Reason y Jens Rasmussen, nos enseña que para que un accidente grave ocurra, deben alinearse fallos en varios niveles de responsabilidad.

El valor de este enfoque es social. Evita buscar un culpable único y obliga a corregir el sistema entero.

***

Con las informaciones e hipótesis que vamos teniendo, planteemos cómo encajan en los niveles de responsabilidad:

Nivel político

Nivel superior donde se desarrollan leyes y políticas nacionales de seguridad. ¿Puede haber alguna decisión política estratégica que marque el inicio de la cadena?

¿Están implementadas las Normativas Europeas de Seguridad?

¿Influyen las políticas de inversión en infraestructuras ferroviarias y la priorización de la liberalización del sector frente al mantenimiento preventivo?

ArcelorMittal replica a Puente y pide esperar al informe final del accidente de Adamuz para saber si hubo "defecto de fábrica"

¿Influye la entrada de nuevos operadores que aumenta la frecuencia de paso y las cargas dinámicas sobre una vía envejecida?

¿Se decide invertir masivamente en Alta Velocidad (políticamente rentable) mientras la red convencional se mantiene de forma insuficiente?

¿El presupuesto para renovaciones integrales es insuficiente?

¿Puede haber afectado la supresión de la Unidad de Emergencias del Ministerio de Transportes?

Órganos reguladores y asociaciones

Entidades que traducen las leyes en estándares industriales y normativas específicas. ¿Hay estándares de interoperabilidad entre operadores (Renfe/Iryo)?

¿Hay supervisión de los protocolos de seguridad tras la entrada de nuevos operadores?

Para que un sistema sea seguro, la información debe fluir de abajo hacia arriba. ¿Se cortó este flujo?

¿Es cierto que, según el documento semanal de Limitaciones Temporales de Velocidad de ADIF, sólo en la semana de la catástrofe se registraron más de quinientas incidencias en la red convencional que llevaron a reducir la velocidad por mal estado de vías?

¿Quién supervisa esto?

¿Se tomaron medidas preventivas drásticas como la reducción general de velocidad en tramos críticos?

¿Permite la normativa las llamadas "renovaciones parciales híbridas", en las que se instalan traviesas nuevas pero se mantienen carriles viejos?

Los maquinistas que van a la huelga llevaban meses bajando la velocidad por decisión propia ante el mal estado de las vías

Nivel corporativo (ADIF/Operadoras)

La alta dirección que establece las políticas internas, presupuestos y objetivos estratégicos de la organización. ¿Cómo invierten las empresas en seguridad?

¿Hay gestión de alertas previas?

¿La normativa de seguridad de ADIF permitió que los trenes siguieran circulando a velocidad comercial tras detectarse anomalías previas en la zona?

¿Hay decisiones presupuestarias sobre el recambio de vías con fatiga de material?

¿Se han gestionado adecuadamente las comunicaciones en la emergencia?

¿Se dispone de tecnologías de mantenimiento predictivo basadas en Inteligencia Artificial?

¿Están implementados este tipo de sistemas?

Si esta tecnología hubiera estado operativa, ¿la fatiga del carril que causó el descarrilamiento del Iryo podría haber sido detectada días antes mediante algoritmos de análisis de vibraciones?

¿Hay presión por reabrir líneas y mostrar eficiencia?

Óscar Puente, en la rueda de prensa posterior al Consejo de Ministros. Europa Press

¿Por qué se aprueba un proyecto de renovación, pero no cambian todos los carriles?

¿Se prioriza el plazo y el coste sobre el riesgo residual? ¿Se detectaron anomalías previas en otros tramos cercanos esa misma semana?

Nivel gestión operativa

Supervisión técnica. Donde se planifica el trabajo y se implementan las políticas corporativas en procesos reales. ¿Cómo se realizaron los protocolos de comunicación del Centro de Mando ante avisos de "enganchones" de catenaria o vibraciones?

¿Cómo se actuó tras el descarrilamiento inicial del Iryo?

¿Se detectaron anomalías previas en el sector?

¿Se ejecutaron inspecciones ultrasónicas de emergencia tras detectar posibles problemas en la zona?

¿Por qué no se tomaron medidas?

La gestión operativa falló al no priorizar los avisos de los trenes previos. Sensores en convoyes anteriores detectaron anomalías físicas en el punto kilométrico de Adamuz, según algunas informaciones. ¿Por qué no se detuvo el tráfico?

Los sindicatos contra el desdén de Puente por la seguridad: uno de ellos aún espera la reunión urgente pedida en septiembre

Nivel de campo

Condiciones de trabajo. Trabajadores de primera línea cuyas actividades están condicionadas por los niveles superiores. El personal operativo (maquinistas y técnicos) se encuentra en una trampa sistémica. La infraestructura está degradada. Los sistemas de emergencia han sido recortados.

Su capacidad para evitar la tragedia, una vez ocurrido el primer descarrilamiento, es mínima.

¿Cómo se gestiona el accidente, los tiempos de reacción y aviso a otros trenes?

El evento físico

Evento desencadenante. Representa el equipo, las herramientas y el ambiente físico donde ocurre la tarea. Rotura de un carril por fatiga de material.

Descarrilamiento del tren Iryo e invasión de la vía contigua por la que circulaba el Alvia.

El carril viejo, sometido a nuevas tensiones, cede.

El tren descarrila.

***

La rotura del carril por fatiga de material no fue una "fatalidad". ¿Fue el síntoma final de un sistema que no mantenía adecuadamente, que ignoraba las señales de alerta, que carecía de unidades de emergencia reforzadas?

¿La rotura del carril fue el último eslabón de una cadena forjada en despachos ministeriales, juntas de accionistas, oficinas de proyectos?

El accidente de Adamuz es el ejemplo perfecto de cómo un sistema complejo "migra hacia el accidente" cuando se priorizan la eficiencia de costes o la velocidad sobre los márgenes de seguridad.

Vista de unos vagones precintados del Iryo a la espera de ser retirados de la zona del accidente de Adamuz. EFE

La responsabilidad no termina en la vía rota; escala hasta los despachos donde se firmaron los recortes y se aplazaron las inversiones tecnológicas.

Investigar sólo el carril es quedarse en la superficie; entender el sistema es la única forma de evitar que se repita.

El nudo de corbata: cómo se gestionó la emergencia

Cuando la prevención falla, la emergencia se convierte en la última barrera entre la vida y la muerte. En investigación usamos el Modelo del nudo de corbata (Bow Tie) para visualizar el control de riesgos y la emergencia.

Imaginemos el nudo, el evento, el carril que se rompe, el accidente.

A la izquierda está la prevención, las barreras como la renovación total de la vía o las inspecciones ultrasónicas.

El lado derecho es el de la emergencia. Aquí es donde entran los protocolos para mitigar las consecuencias del accidente.

En este lado derecho falla una barrera vital: la comunicación. Un accidente no termina con el impacto. La gestión de la emergencia determina cuántas vidas se salvan, cuántas lesiones se agravan y cuánto sufrimiento añadido se genera.

Según los análisis conocidos hubo una movilización masiva de recursos, pero también problemas de coordinación, información tardía y dificultad para evaluar la magnitud real del accidente en los primeros momentos.

De la culpa individual a la responsabilidad sistémica

Si se hubiera aplicado con rigor este modelo en la investigación del accidente de la curva de Angrois (2013), el resultado habría sido radicalmente distinto, desplazando el foco del error humano del maquinista hacia una responsabilidad sistémica y compartida.

De hecho, ese accidente es un ejemplo de manual sobre cómo no se debe investigar un accidente en el siglo XXI, y por qué los modelos sistémicos como el de Rasmussen son una exigencia de la Agencia Ferroviaria Europea (ERA).

La investigación oficial inicial (realizada por la CIAF) se centró casi exclusivamente en el maquinista (nivel 5). Se concluyó que el factor determinante fue que se despistó al recibir una llamada telefónica y no frenó a tiempo.

"Las prisas políticas por inaugurar la línea Madrid-Galicia para cumplir plazos electorales llevaron a inaugurar tramos con sistemas de seguridad incompletos"

Ese "despiste" no es la causa, sino el síntoma.

Un investigador sistémico se habría preguntado: "¿Cómo es posible que la seguridad dependiera exclusivamente de que un solo ser humano no tuviera un lapsus de treinta segundos?".

Si hubiéramos trazado el mapa de causas hacia arriba, habríamos encontrado factores latentes que la investigación oficial ignoró durante años.

Las prisas políticas por inaugurar la línea Madrid-Galicia para cumplir plazos electorales llevaron a inaugurar tramos con sistemas de seguridad incompletos (nivel 1).

La decisión de desconectar el sistema de seguridad ERTMS porque generaba retrasos técnicos, sin evaluar que el sistema de respaldo (ASFA) era insuficiente para una curva de ese radio (niveles 2 y 3).

La desconexión del sistema ERTMS en los trenes Alvia porque daba fallos de software (niveles 3 y 4) aumentó la carga cognitiva del maquinista (nivel 5).

Nadie realizó un análisis de riesgos específico para esa curva tras el cambio de proyecto (nivel 4).

Se asumió que el maquinista siempre cumpliría el cuadro de velocidades (niveles 5 y 6).

En Angrois, el "nudo" estaba estrangulado. A la izquierda (prevención) se quitaron barreras (ERTMS) para ganar tiempo y operatividad. A la derecha (mitigación) no había ninguna barrera física (como balizas de frenado automático si se excede la velocidad) que perdonara el error humano.

La gran lección. ¿Hemos aprendido algo?

La propia Agencia Ferroviaria Europea (ERA) emitió un informe durísimo años después invalidando la investigación española y señalando que la investigación no fue independiente y que no abordó las causas raíz. El modelo sistémico no busca quién tiene la culpa para meterlo en la cárcel, sino qué falló en el diseño del sistema para que no vuelva a morir nadie.

En Angrois, se buscó el castigo; en la investigación moderna, se busca la verdad técnica.

Óscar Puente.

En Angrois, un jefe de maquinistas ya había enviado un informe meses antes advirtiendo del peligro de la curva; el hecho de que una advertencia técnica quedara "atrapada" en la burocracia sin llegar a la dirección es un fallo sistémico de manual según este modelo.

Se tardó años en imputar a otros responsables, centrándose la carga penal inicialmente sólo en el maquinista.

Los responsables políticos, directivos y técnicos influyeron con sus decisiones en los niveles 1, 2, 3 y 4, ya que eliminaron las barreras de seguridad que debían proteger a los niveles 5 y 6.

Mientras que la investigación tradicional buscó quién cometió el error, un modelo de investigación sistémico habría demostrado cómo y por qué el sistema de seguridad ferroviario español se volvió frágil debido a decisiones presupuestarias, políticas y de gestión, convirtiendo al maquinista en el "culpable" de una trampa de diseño que se gesta en los niveles superiores.

*** Alberto Ayora Hirsch es auditor de seguridad y perito judicial.