San Francisco Frontiers - El accidente de Urda reabre el debate sobre protocolos y cultura de seguridad ferroviaria

El sector ferroviario vuelve a vivir una jornada trágica después de el accidente por alcance de dos trenes de alta velocidad en la línea Madrid-Sevilla a la altura de Urda (Toledo). A medida que pasan los días empieza a esclarecerse la sucesión de acontecimientos que han llevado a la pérdida de 68 vidas por el momento. aun así, son muchas las dudas entre el gran público y los medios generalistas sobre los fundamentos de la seguridad ferroviaria.

Estamos escuchando hablar de “señales que fallan”, “protocolos que no se tenían que dar”, “sistemas obsoletos” y un torrente de tecnicismos. Nos encontramos en un mar de medias verdades y confusiones. En apenas una semana mucha gente está haciendo un curso intensivo de jerga ferroviaria. Qué es un Marcha a la Vista, un telefonema, un cantón y toda una sucesión extraña de siglas: LZB, ERTMS, BSL, BCA, ASFA…

El análisis completo de las causas del accidente va a costar más de lo que exige la inmediatez, no hablemos ya del deseo por depurar responsabilidades técnicas y políticas. Sin necesidad de entrar en ese plano del debate (o mejor dicho: para llegar preparados a ese plano) se puede y debe hacer pedagogía sobre reglamentación ferroviaria. Solo observando la normativa podemos sacar unas cuantas conclusiones interesantes y esclarecer algunas condiciones del suceso y todo ese enredo de términos y siglas que están marcando la actualidad.

En su primera declaración después de el accidente, el ministro Puente sostuvo que “un accidente por alcance es verdaderamente inverosímil”. Esto, en términos reglamentarios, es tajantemente cierto.

Toda la filosofía de la seguridad ferroviaria desde su concepción consiste en un principio básico: Cómo poner un tren en movimiento en condiciones de seguridad. Para asegurar este principio se distinguen dos escenarios: la seguridad dentro de la estación y la seguridad para ir de una estación a otra. El sistema que asegura lo primero se conoce como “enclavamiento” y el segundo es el “bloqueo”.

El bloqueo, tal como viene recogido en el Reglamento de Circulación Ferroviaria (RCF) se define como el sistema cuyo objetivo es garantizar que los trenes que circulen por la misma vía y en el mismo sentido, lo hagan separados a una distancia que impida su alcance, y que cuando un tren circule por una vía, no circule otro en sentido contrario por la misma (una colisión frontal).

Con esto presente hay una conclusión que todo aquel que conoce de normativa ferroviaria pudo tener clara desde un primer momento solo sabiendo que lo que se produjo fue un alcance. A diferencia de otros accidentes de la misma magnitud (Angrois, Adamuz) en este caso se ha quebrado uno de los dos principios más elementales que garantiza la seguridad en la circulación. Esto nos lleva a la duda fundamental: ¿ha habido un fallo en la arquitectura del reglamento al permitir tal cosa o el fallo ha sido de aplicación de este?

Es de intuir que el primero de los escenarios es difícil de concebir. Insisto: el principio quebrado es un pilar maestro de toda la filosofía ferroviaria. Es un principio protegido y puesto a prueba durante dos siglos. Del sistema más rudimentario de señales manuales y silbatos a la tecnología más puntera para ponerse a 300 km/h. Todos los sistemas de bloqueo se montan con este principio en mente, y con ellos, toda la normativa a su alrededor va para asegurar su cumplimiento. De no cumplirse la orden es indudable: Nada se mueve. Punto.

Con esta base presente podemos empezar a entrar en lo concreto. En el caso de Urda se habla de que el sistema “falló”. Si hablamos de “el sistema” como toda la estructura que garantiza la seguridad esto incluye tanto los sistemas que operan en condiciones habituales (sistemas nominales) como los que sustituyen en condiciones degradadas (sistemas supletorios).

En el caso de la línea Madrid - Sevilla el sistema nominal de bloqueo es el BCA (Bloqueo de Control Automático) y el sistema de protección del tren (SPT) que garantiza que el tren circule al amparo de este es el famoso LZB.

Sobre LZB se ha dicho que es un sistema pendiente de sustitución, obsoleto y anticuado. Si bien lo primero es cierto, no lo es lo segundo y lo tercero. El LZB es un sistema pendiente de sustitución por motivos de interoperabilidad. Desde hace tres décadas la política ferroviaria europea va dirigida a montar el “Espacio Ferroviario Único Europeo”, o lo que es lo mismo: una red de transportes que permita mandar trenes de Algeciras a Varsovia eliminando las barreras nacionales. En este objetivo, es de suponer que el establecimiento de un mismo sistema de protección del tren para todo ese espacio es crucial. Este es el ERTMS (European Rail Traffic Management System).

El LZB, efectivamente, está pendiente de sustitución por el ERTMS, concretamente en esa línea por el ERTMS 2. Ahora bien, el LZB sigue siendo un sistema vigente y homologado por la AESF (Agencia Estatal de Seguridad Ferroviaria). Que un sistema sea más antiguo no lo hace obsoleto. ERTMS no se inventó anteayer tampoco. La antigüedad, de hecho, puede ser indicativo de su robustez. A más tiempo algo es puesto a prueba más puede demostrar su solidez o, de tener fallos críticos, más tiempo de conocimiento acumulado se tiene de su funcionamiento para arreglarlo. El factor diferencial aquí en todo caso no sería del sistema como tal, sino de su mantenimiento. Un puente te puede durar 2000 años en pie si está bien construido, pero también tiene que estar bien mantenido.

La del mantenimiento es una de esas cuestiones que sin duda se debe abrir. Aquí no entraremos en eso. Solo decir que el tema del mantenimiento ocurriría igual si se instalase el ERTMS y no se cuidase. Por tanto, en el plano normativo, esto no nos aporta nada interesante.

El LZB no es un sistema obsoleto, ¿pero puede ser un sistema que supervise menos que ERTMS? Hay que empezar dejando claro que menos supervisión no supone un fallo de seguridad. Hay sistemas con niveles menores de supervisión (como ASFA, el sistema nominal en la red convencional) que cumplen con los estándares de seguridad. Pero es que asimismo LZB y ERTMS 2 sí comparten nivel de supervisión. Ambos son sistemas de transmisión y supervisión continuas. De hecho, LZB está un escalón por encima de ERTMS 1, que es un sistema que combina transmisión puntual y supervisión continua. Esto, insisto, no convierte a ERTMS 1 en un sistema inseguro, pero lo que podemos tener claro es que en este plano de análisis la diferencia entre LZB y ERTMS 2 no resulta determinante.

Y aun así, el accidente de Urda demuestra que el LZB falló, ¿no?

Estos días se ha hablado casi indistintamente de que el sistema “se cayó” y “falló”. El ministro en su comparecencia del viernes 30 incidió sobre la diferencia entre estos dos términos. Aquí entramos en un plano terminológico que puede parecer un tanto puntilloso, pero para comprender la filosofía de la normativa, es absolutamente crucial. No es lo mismo que un sistema “se caiga” a que un sistema “falle”.

Que un sistema falle significa que una pieza del mismo deja de funcionar y eso no provoca que todo se detenga. Si el sistema “se cae” y su caída hace que se detenga todo, eso significa que el sistema funciona. Es lo que se conoce como “Fail Safe”. Esto sucedió en Urda. Los trenes que no tenían garantizada la seguridad en la circulación se detuvieron por acción del LZB. El sistema hizo lo que tenía que hacer, porque el sistema tiene que estar preparado frente a la posibilidad de caerse y seguir funcionando sea cual sea la excepcionalidad que le toque vivir. La seguridad en el bloqueo, llegados a este punto, se mantuvo intacta. LZB se cayó como puede haberse caído el ERTMS. Esto, de nuevo, no es la clave que explica cómo se produce el alcance.

Este matiz terminológico es una de las cuestiones que más nos tiene que preocupar dejar claras. Si considerásemos que el sistema “ha fallado” aquí no sería el LZB. El LZB es una de las muchas piezas que forman ese sistema, y el sistema está diseñado contemplando la posibilidad de que este caiga y siga garantizando la seguridad. En un alcance de trenes hablar de un sistema “que falla” es hablar del sistema de bloqueo. Es decir, es hablar de uno de esos dos principios elementales que vertebran la filosofía de toda seguridad ferroviaria de los últimos dos siglos. La gravedad de algo así sería extrema.

Entonces, ¿falló el bloqueo? Ya sabemos que el nominal se cayó (BCA al amparo del LZB). Pero si cae el bloqueo nominal tiene que entrar en juego el supletorio. En este caso es el Bloqueo de Señalización Lateral (BSL). Esta es una de esas cuestiones que está ocupando hueco en los debates y está teniendo dificultades para ser debidamente explicada.

Una avería o caída de un sistema nominal conduce a lo que en la jerga se conoce como una “situación degradada”. Un escenario de conducción anómalo. Esta situación puede sonar, por tanto, a algo que queda a los márgenes de la reglamentación ferroviaria habitual. De hecho, el concepto de “situación degradada” no viene explícitamente definido en el RCF. aun así, sí viene recogido en su primer artículo:

“El objeto de este Reglamento es establecer reglas operativas generales para que la circulación de los trenes se realice de forma segura, eficiente y puntual, tanto en condiciones de explotación normal como degradada, incluyendo su recuperación efectiva después de una interrupción del servicio”.

Conducir en condiciones degradadas no solo no es algo en los márgenes de la normativa; es algo en su mismo corazón. La conducción nominal tiene sus normas, evidentemente, pero estas son las más fáciles de aplicar. Es en las condiciones degradadas donde el RCF da mayor desarrollo y precisión a cómo proceder para mantener la seguridad en la circulación. ¿Está entonces el suceso de Urda contemplado en el RCF? Sí, sin lugar a dudas.

En el momento en que LZB se cae, el tren Ave recibe en cabina una orden de “Velocidad Meta Cero”. Con esta información el maquinista es conocedor de que ha tenido un fallo de transmisión y que entre él y la siguiente señal que le puede proteger para empezar a circular al amparo del sistema supletorio, al que va a tener que pasar en caso de no recuperar transmisión, puede haber un tren.

Traducido a román paladino: V Meta = 0 te está diciendo que no tienes asegurada la circulación hasta la siguiente señal que te puede proteger. A partir de aquí, y con el tren detenido, el maquinista informa al Responsable de Circulación (o, como lo están llamando los medios: controlador). En los audios filtrados se escucha asimismo que el maquinista comunica la información que le dio el LZB. Tiene un “Meta Cero”.

A partir de aquí el protocolo es claro y explícito: El maquinista tiene que recibir el telefonema LZB 3. Esto es, una comunicación verbal, utilizando texto y códigos preestablecidos que asegura la correcta recepción del mensaje. En el caso de LZB 3 se le autoriza a continuar la marcha con “Marcha a la Vista” hasta la siguiente señal que le puede proteger.

“Marcha a la Vista” es una condición de marcha especial que impone al maquinista la obligación de avanzar con la precaución que requiera el caso, de forma que pueda detenerse frente a cualquier obstáculo. En este caso (V Meta = 0), la marcha siempre y bajo toda circunstancia se autoriza con Marcha a la Vista ya que puede encontrarse un tren delante.

Saliéndonos por un momento de la normativa teórica y hablando de su aplicación práctica, hay que decir que la Marcha a la Vista es una de esas condiciones que pone más especialmente contra las cuerdas al personal de conducción haciendo que toda la responsabilidad de la seguridad en la circulación pase a depender de él. Su aplicación es de los procedimientos más problemáticos y comprometidos. aun así, si se aplica correctamente es el último recurso para poder sostener la conducción en condiciones de seguridad para poder sacar trenes de en medio o rescatarlos hasta en las peores condiciones. Llegar a este escenario no es deseable, pero puede ser inevitable. Y por supuesto, el personal de conducción está preparado y entrenado para ello.

Ahora bien, el problema es que este no fue el escenario que se aplicó en este caso. En lugar del LZB 3 se dio el LZB 4. Este telefonema se aplica cuando por algún motivo se requiere la desconexión del equipo LZB para continuar. Un fallo de transmisión no obliga a la desconexión del equipo embarcado. El equipo, de hecho, puede recuperar transmisión antes de llegar a la siguiente señal. En tal caso se volvería a circular con LZB a partir de esta.

A diferencia del LZB 3, el telefonema LZB 4 no impone una condición específica de circulación. Puede ser Marcha a la Vista, pero también puede ser Marcha Normal. Aquí encontramos dentro de los límites de la norma cuál es el momento exacto en el que se rompe la cadena de garantías de seguridad que lleva al accidente.

Centrándonos solo en la norma podemos pensar entonces que LZB 4 supone un punto ciego en la seguridad del bloqueo. Así lo apunta el sindicato de maquinistas (SEMAF) que solicita que se impida que “se pueda reanudar la marcha con Marcha Normal en aquellas situaciones en las que sea susceptible que pueda haber más de un tren en el mismo cantón de BSL cuando deja de funcionar el ERTMS o el LZB.”

(El “cantón” es el tramo de vía que en condiciones normales solo puede estar ocupado por un tren).

Puede que la remodelación del LZB 4 para que solo se pueda dar con Marcha a la Vista sea una opción garantista. Aquí no vamos a entrar en el plano propositivo. Lo que sí merece la pena señalar es que lo aquí sucedido no responde a un fallo de diseño del telefonema LZB 4 ni el LZB 3, sino a una aplicación incorrecta de estos. Con la normativa tal cual está ya diseñada el maquinista del Ave no debería haber emprendido la marcha en cualquier condición que no fuese Marcha a la Vista. Incluso aunque procediese recibir el LZB 4 porque fuese necesario desconectar el LZB para continuar, que puede que fuese el caso.

Cabe también decir que el telefonema LZB 4 con Marcha Normal tiene también su motivo para ser aplicado en otras circunstancias. Por ejemplo, la maquinista del Iryo que sufre el alcance recibe este telefonema, pero en su caso sí era correcto. Ella no se encontraba en situación de Velocidad Meta Cero. Subrayar esto es importante, en especial en estos días, donde la confusión está llevando a señalar que se aplicó un protocolo inherentemente peligroso o contrario a la normativa en toda circunstancia. “¿Por qué se dio ese telefonema a otros trenes?” Porque ese telefonema se puede dar a otros trenes. Habrá que ver si a los otros trenes les correspondía o no, ya que otro maquinista al recibirlo alertó de que estando en V Meta = 0 correspondía hacerlo con Marcha a la Vista. Pero el aviso de ese maquinista no implica necesariamente que alguien tuviera que alertarse sobre los demás trenes, ya que a otros sí les puede corresponder el LZB 4.

Puede que esto sea motivo para reforzar las garantías de aplicación de estos telefonemas. Este, insisto, no es el plano de análisis en el que vamos a entrar aquí. Solo señalar que la normativa ferroviaria no falló. Falló su aplicación.

Pero esto deja una duda en el aire: ¿Por qué no entró otro sistema de protección en juego? ¿Qué pasa con esos sistemas supletorios de los que hablábamos antes? El sistema de bloqueo supletorio aquí ya dijimos que es el BSL (Bloqueo de Señalización Lateral) y el sistema de protección de tren que sustituye al LZB aquí es el ASFA. No es un sistema menos seguro, pero si no hemos llegado a hablar de él es porque el tren nunca llegó a estar técnicamente a su amparo.

Al tren, se le hubiese dado el telefonema LZB 3 o el 4, en ambos se le indica “reanude al amparo del BSL”, pero realmente hasta que el tren no llega a la primera señal que pueda ordenarle parada (o “semáforo”, para entendernos) no está al amparo de esa “Señalización Lateral”. El Iryo estaba en el espacio entre el tren y la primera señal que cumple esa condición, la de entrada de la estación.

¿Y por qué se hace ese añadido de “la próxima señal que pueda ordenar parada”? ¿Hay señales que pueden no ordenar parada? Sí, y en este caso, si el Ave iba al amparo del ASFA, así tuvo que ser con lo que sabemos y prácticamente nadie está hablando de ello.

En el primer informe emitido por la Autoridad Independiente (AITAT) se indica que el choque se produjo a entre 160 y 200 kilómetros por hora. Si el maquinista transitó correctamente de LZB a ASFA al desconectar el equipo al amparo del BSL (y así tuvo que ser si no lo notificó) con ASFA se puede circular a una velocidad tope de 140 km/h conocida como ”Control en el arranque“.

El ASFA protege la circulación de los trenes por un sistema de balizas conectado a las señales que manda límites de velocidad al tren en función de las órdenes de estas. La única situación donde la velocidad que permite ASFA es superior a 160 km/h es si se capta la baliza de una señal en vía libre. ¿Cómo es posible tal cosa en el escenario de Urda? Porque el maquinista seguramente alcanzó la señal avanzada.

La señal ”avanzada“ es la situada delante de una señal de entrada o, en su defecto, de una estación. Es una señal que da información adelantada y previene al maquinista para prepararse frente a la llegada a la próxima estación. Las señales avanzadas tienen ciertas particularidades y, dependiendo del tipo de bloqueo, pueden o no dar ciertas indicaciones. En BSL estas señales como norma general no pueden presentar indicación de parada. Esta circunstancia suena muy anómala, pero tiene su explicación.

La señal avanzada en este tipo de bloqueo no detecta lo que hay entre ella y la entrada. Su orden depende de la orden de la entrada. Si la entrada ordena parada (foco rojo), la avanzada ordenará anuncio de parada (foco amarillo). Si la entrada ordena vía libre, la avanzada ordenará vía libre. En el caso de Urda nos encontramos el segundo escenario. El Iryo se encontraba detenido frente a la señal, la cual estaba abierta. Si el Iryo hubiese avanzado, los circuitos de la señal de entrada se habrían bloqueado haciendo que esta pasase a parada y la avanzada a anuncio de parada. porque el LZB no le permitía desconectar y avanzar, no pudo llegar a ocupar el circuito, la avanzada estaba en vía libre y el ASFA liberó la velocidad en el arranque, permitiendo al Ave acelerar a entre 160 y 200 kilómetros por hora.

Es terreno de la hipótesis pensar qué habría sucedido de alcanzar esa señal en otra orden, si se habría podido evitar el alcance o cuánto habría cambiado la magnitud de este de producirse a otra velocidad. Puede que el funcionamiento de las avanzadas o la no existencia de señales intermedias (señales que hacen tramos más pequeños de cantones) en BSL tuviese sentido tiempo atrás, pero en el contexto de la liberalización, con trenes que salen con seis minutos de diferencia, sea un elemento a replantear. Teorizar sobre esto, en cualquier caso, no es lo que nos ocupa aquí.

Será la investigación independiente la que determine si esto sucedió así y si el funcionamiento de las señales avanzadas en BSL se debe o no revisar. Manteniéndonos en el plano normativo lo que podemos asegurar es que esta circunstancia, por sí misma, no desvela un agujero en el Reglamento de Circulación Ferroviaria. La señal avanzada no falló. Funcionó como tenía que funcionar, pero es que la avanzada ahí en ningún caso supone ningún tipo de protección del tramo de vía en el que solo puede haber un tren. En BSL este espacio —el cantón– se define como el tramo de vía comprendido entre señales que pueden presentar indicación de parada. La señal avanzada está explícitamente excluida de esta definición.

¿Cuál es entonces el fallo? De nuevo, la aplicación de la norma, no la norma en sí. En ningún caso se le debería haber ordenado al Ave reanudar la marcha con Marcha Normal con el Reglamento en la mano. ¿Y si la señal avanzada pudiese ordenar parada porque detecta la presencia del tren? En tal caso, si reanudase con Marcha Normal y resultase que el Iryo se encontraba detenido justo delante de la avanzada, se puede haber producido también el alcance.

Con las mismas podemos volver sobre la duda del ERTMS. ¿Y si fuese el ERTMS el sistema en la línea? El ERTMS 2 también sufre caídas, y sus protocolos para reanudar la marcha son similares. También se concibe en él reanudar la marcha con Marcha Normal si las condiciones lo permiten.

Estas cuestiones son similares a una más repetida en los debates de los últimos días: ”¿Por qué si el Iryo no reanudó la marcha y lo avisó no se avisó al que venía por detrás?“ Es irrelevante, no se tenía que avisar de nada porque en la situación en la que se encontraba el Ave (V Meta = 0) nunca debería haber reanudado con marcha normal. La maquinista del Iryo puede no haber avisado. puede haberse detenido por un desmayo, por ejemplo. La detención es un factor más que provoca el alcance del tren, pero no lo explica y, en términos normativos, es irrelevante. El Iryo puede haber librado el cantón a tiempo. El Ave alcanzaría la avanzada en anuncio de parada y se detendría ya sí al amparo del BSL frente a la entrada. Esto habría prevenido del accidente, pero no de una situación de altísimo riesgo.

Si hablamos de normativa ferroviaria no hay escenario hipotético que valga: Lo único que previene en última instancia de un accidente de estas características es el cumplimiento estricto de la normativa. La normativa no falló. El RCF ha demostrado su solidez. El sistema cayó, y al caerse siguió funcionando bajo otras condiciones recogidas en la normativa. Lo que falló fue su aplicación.

Llegados a este punto es obligado salir del mero análisis normativo para hablar del elefante en la habitación. Al inicio vimos que todo aquel que conociese la normativa ferroviaria, al saber que el accidente consistió en un alcance, sabía que se había quebrantado uno de los dos principios más elementales de la seguridad en la circulación. Esta realidad esconde una segunda conclusión: todo aquel que conozca la robustez de la normativa ferroviaria se apostaría tranquilamente bastante dinero a que no es la propia normativa la que provoca algo así. Desde el principio se podía saber, o como mínimo sospechar, que para que algo así suceda necesariamente ha mediado el factor humano. Esto, que podía ser mero prejuicio, con todo lo que hemos visto se convierte en certeza.

A partir de aquí entramos en el terreno más delicado, aquel que sabemos que ahora mismo enciende a todo el mundo: ¿Qué o quién es el responsable? ¿A quién podemos echar la culpa? ¿Cómo de admisible es que se “caiga” el sistema?

Esta es la lección de pedagogía más dura pero más importante que dar: Los sistemas se pueden caer, pero la clave es estar preparados para ello. Operar el sistema de forma manual es un escenario no solo posible, sino recogido a nivel normativo. Con lo visto queda demostrado: la norma ferroviaria es muy robusta en ese sentido.

A lo que no podemos aspirar en ningún caso es a eliminar por completo esta realidad. Pensar que podemos aspirar a un sistema que nunca se caiga y donde nunca tenga que entrar en juego el Factor Humano es un delirio. Es vivir de espaldas a la realidad, sumergirnos en un engaño idealista. Tal cosa nos condenaría al fracaso colectivo.

Sí, los sistemas se caen, y sí, frente a esta circunstancia el factor humano va a ser siempre la última barrera. Pero aquí llega lo importante: ¿Cómo y por qué hablamos de Factor Humano? Si hablamos del Factor Humano como una realidad inalterable la conclusión es sencillamente espantosa: ”El sistema funcionó y falló el Factor Humano“. ¿Es acaso eso tranquilizador? Ese determinismo de ”las cosas pasan“ solo apuntala la idea de que entonces el sistema era un desastre. Podemos y debemos confiar en la normativa ferroviaria, pero lo que la gente necesita es recobrar la confianza en el orden basado en reglas en su conjunto. Aceptar ese principio determinista cínico que ve el Factor Humano como algo que siempre estará ahí es asumir que algo así puede volver a pasar. Ni el sector ferroviario ni la sociedad española en su conjunto se puede permitir que esta idea cale.

Si creemos que eso nos aliviará podemos coger al pobre diablo de turno que presuntamente dio una orden incorrecta en el momento equivocado, arrastrarlo a la plaza pública y apalearlo. Desgraciadamente esta va a ser una escena que tendremos que presenciar en los próximos meses. Pero eso no solucionará nada. El Factor Humano no puede desaparecer como la última barrera de seguridad. El Factor Humano es asimismo la protección que sabes que te puede fallar. Por ello, pensar que el Factor Humano es la causa última es hacerse trampas al solitario. Dado que el factor humano es el que sabes que te puede fallar, tu sistema tiene que estar preparado frente a esto. Si falla el factor humano, el fallo está en el diseño del sistema que lo permitió.

Por tanto sí, hay que hablar del Factor Humano, pero hay que hacerlo para hablar de cómo se gestiona.

No podemos convertir esto en una mera depuración de responsabilidades, no al menos si queremos prevenir de forma efectiva que algo así vuelva a suceder. ¿Fue un error, fue desconocimiento, fue falta de formación, intermedió algún factor externo que desconocemos en estos momentos? Son cuestiones interesantes de cara a esclarecer los hechos específicos, pero no de cara a evitar que algo así vuelva a suceder. En ninguno de esos escenarios podemos aliviarnos pensando que “es que claro, todo dependía del Factor Humano”. No. La cuestión entonces es por qué no existían o no funcionaron los contrapesos para que esa decisión no se ejecutase como se ejecutó.

En la gestión del Factor Humano son muchas las cuestiones que va a haber que abrir, pero hay una que se relaciona con la raíz de todo lo expuesto y sobre la que merece hacer una reflexión: El Factor Humano y la normativa. Ya hemos visto que la conducción en situaciones degradadas no solo no es algo ajeno a la norma, sino parte fundamental de su cuerpo. También sabemos que ”situación degradada“ no es un concepto realmente definido en el RCF. Entendemos que es algo anómalo, ¿pero qué significa eso?

Intuitivamente cabe pensar que algo así no puede (o no debería) ser habitual, pero si lo es o no es completamente ajeno a la normativa. Nada en el RCF obliga a que si una situación degradada se repite en el tiempo deba aplicarse ningún protocolo concreto. Seguramente esto no se le deba pedir al propio RCF. Aquí estamos hablando de cómo se aplica este, no de la esencia de sus normas. Pero entonces, ¿cada cuanto se tienen que aplicar estas condiciones degradadas? Si tienes que aplicar un protocolo dependiente del Factor Humano una vez, lo harás con los cinco sentidos. Pero si tienes que aplicarlo periódicamente será difícil no embrutecerse en su ejecución, y lo peor: Terminarás viendo como normal lo que no lo es. Esto, por supuesto, no exime de responsabilidad alguna. El RCF tiene que ser cumplido a rajatabla bajo toda circunstancia. Pero de nuevo, ¿lo que nos preocupa es depurar responsabilidades o prevenir el accidente? Es que incluso aunque se aplique el RCF a rajatabla, es una cuestión de mera estadística: a más veces permites que el Factor Humano sea la única (o la principal) barrera de seguridad, más veces le estás concediendo el control al elemento de la cadena que sabes que te puede fallar más tarde o temprano.

¿Ha sido esto en este caso determinante? El ministro Óscar Puente ha valorado dentro de lo aceptable las caídas del LZB en el último año en comparación con los países donde este está vigente. Sin poder indagar mucho en la letra pequeña de este dato, podemos dejarlo como una reflexión más allá de la particularidad de Urda. Quien tenga conocidos en el sector ferroviario puede preguntar cada cuánto operan en condiciones degradadas y en qué condiciones tienen que hacerlo. Aquí no entraremos en ello.

Y si la de la perioricidad —el cuánto— es una cuestión relevante, no lo es menos el cómo. ¿En qué condiciones se tienen que aplicar las condiciones degradadas?: ¿Son óptimos los entornos en los que este Factor Humano tiene que operar? ¿Los supervisores de estos velan por la seguridad o presionan por la agilidad? ¿Cuántos soportes y sistemas de revisión tienen que cumplirse para que una decisión del Factor Humano se ejecute en condiciones de seguridad? Estas son las auténticas cuestiones que hay que plantearse para hacernos de verdad cargo de la gestión del Factor Humano.

Debemos defender la solidez del Reglamento de Circulación Ferroviaria porque así lo ha demostrado: Su cumplimiento garantiza la seguridad ferroviaria. Pero si queremos defender el auténtico espíritu de la norma, si queremos recobrar la confianza en el orden basado en reglas, debemos exigir que este se aplique en las condiciones adecuadas.

Cualquier análisis que piense en la normativa únicamente desde el plano teórico e ignore la realidad práctica en la que esta tiene que ser aplicada será un fracaso. Podrá servir como respuesta complaciente para los más ensimismados: ”Si la norma se aplica bien, me protegerá“. Eso es asumir el engaño de la apariencia normativa. La cuestión no es si la norma te puede proteger, sino si la norma efectivamente te está protegiendo. Para eso importa la norma en sí, pero también las condiciones en las que se ejecuta.

Los sindicatos ferroviarios reclaman desde hace tiempo la implantación efectiva de la “Cultura Justa”. Es una de las reivindicaciones recogidas por el SEMAF en la huelga del 29 de noviembre convocada semanas antes del accidente de Urda. después de el accidente, esta se ha ampliado a los días 10 y 12 de noviembre. La implantación efectiva de la Cultura Justa conlleva desterrar la búsqueda automática de culpables. Un modelo serio de gestión y prevención de accidentes debe contar con ella como principio elemental. Hay que exigir que se analicen las condiciones estructurales que permiten que el fallo humano se materialice. Este fallo nunca será causa por sí mismo de los sucesos. El fallo humano es la consecuencia de un sistema que falló mucho antes de llegar a él en otros muchos puntos de la cadena de seguridad.

Solo desde ese enfoque conseguiremos que algo así no vuelva a suceder. Solo así podremos recobrar la confianza en el sistema en su conjunto.

F.Garcia--SFF