Un guasto al sistema di sicurezza, un’autorizzazione a ripartire che non avrebbe dovuto essere concessa e un allarme che non è mai scattato. Dietro la strage ferroviaria di Urda, nella provincia spagnola di Toledo, dove almeno 68 persone hanno perso la vita e decine sono rimaste ferite, sembra esserci una concatenazione di errori che ha neutralizzato le diverse barriere di protezione dell’alta velocità. Le prime ricostruzioni pubblicate da El País ed El Mundo permettono di individuare tre passaggi cruciali nei 23 minuti che hanno preceduto lo schianto tra un AVE di Renfe e un treno Iryo fermo sui binari.
Il primo errore: il guasto al sistema di sicurezza
Tutto comincia intorno alle 8.30 del 28 ottobre, quando un problema informatico provoca il blocco del sistema di segnalamento LZB, utilizzato sulla linea ad alta velocità Madrid-Siviglia. Il dispositivo controlla la posizione dei convogli, le distanze di sicurezza e le velocità consentite, intervenendo automaticamente quando necessario.
L’avaria, particolarmente estesa, provoca l’arresto di almeno sei treni. Tra questi ci sono l’AVE di Renfe e l’Iryo che verrà successivamente travolto. Da quel momento la gestione della circolazione passa agli operatori del centro di controllo di Adif, il gestore dell’infrastruttura ferroviaria spagnola.
Il guasto, di per sé, non avrebbe dovuto provocare una tragedia. Esistono infatti procedure specifiche che consentono ai convogli di riprendere il viaggio in condizioni di sicurezza anche quando il segnalamento automatico non funziona.
Il secondo errore: l’ordine di ripartire a velocità normale
È alle 8.36 che si verifica il passaggio decisivo. Il centro di controllo autorizza l’AVE di Renfe a riprendere la marcia normalmente, nonostante sulla stessa linea, circa 25 chilometri più avanti, si trovi l’Iryo ancora fermo.
Secondo le norme ferroviarie, in quelle condizioni il convoglio avrebbe dovuto procedere a “marcia a vista”, mantenendo una velocità ridotta per consentire al macchinista di fermarsi davanti a qualsiasi ostacolo. In determinate circostanze, il limite previsto è di 40 chilometri orari.
L’AVE, invece, accelera progressivamente fino a superare i 200 chilometri orari, secondo i dati analizzati da El País. Il ministro dei Trasporti spagnolo, Óscar Puente, ha definito “inspiegabile” e “chiaramente errata” l’autorizzazione concessa dal centro di controllo.
C’è anche un altro elemento da chiarire. Secondo una prima ricostruzione, alle 8.41 gli operatori avrebbero autorizzato anche l’Iryo a ripartire, cinque minuti dopo aver dato il via libera al treno che lo seguiva. La compagnia ferroviaria, tuttavia, contesta questa versione e sostiene che la propria macchinista non abbia mai ricevuto un ordine di ripartenza.
Il terzo errore: nessuno ferma il treno lanciato verso l’impatto
L’ultimo anello della catena riguarda i minuti immediatamente precedenti alla collisione. L’Iryo non riesce a ripartire perché il sistema LZB non si riavvia. Alle 8.48 la macchinista comunica al centro di controllo di essere ancora ferma davanti a un segnale.
A quel punto mancano appena cinque minuti allo schianto. Eppure, sulla base delle conversazioni finora emerse, non risulta che gli operatori abbiano fermato l’AVE o avvertito il suo macchinista della presenza del convoglio immobilizzato. Alle 8.53 il treno Renfe raggiunge l’Iryo e lo travolge.
È proprio questo il terzo possibile cedimento della sicurezza: nessun intervento sembra aver corretto l’errore iniziale, nonostante il tempo trascorso tra l’autorizzazione alla ripartenza e l’impatto.
La tragedia solleva interrogativi anche sull’infrastruttura. Il sistema LZB, considerato ormai datato, avrebbe dovuto essere sostituito dal più moderno ERTMS, attraverso un intervento già appaltato ma non ancora realizzato.