Accidente de Angrois: Un esclarecedor informe pericial independiente

Nota introductoria

FTF ha tenido acceso al informe pericial "Dictamen sobre las causas que han podido contribuir al descarrilamiento del tren ALVIA, 150, procedente de Madrid, con destino Ferrol, en Santiago de Compostela el día 24 de julio de 2013, las circunstancias en que se produjo y las anomalías, deficiencias e irregularidades que guarden relación con aquel" cuyo autor es el ingeniero de Telecomunicación D. César Mariñas Dávila. Dicho dictamen se realiza a requerimiento del juzgado de Instrucción 3 de Santiago de Compostela.

Ni que decir tiene, que el informe nos parece de gran interés porque desvela aspectos importantes y sustanciales para la investigación judicial ya que disecciona con argumentos técnicos aspectos cruciales que los estamentos institucionales involucrados en los hechos han intentado obviar y mantener ocultos para una correcta investigación y una justa asignación de responsabilidades a los diferentes actores de esta lamentable tragedia.

Dado su interés, hemos creído conveniente hacer llegar a nuestros lectores y al público en general un resumen de aquellos aspectos más sobresalientes del informe, extraídos de manera literal, respetando el contexto en que han sido formulados, en aras de una mayor fidelidad textual, obviando posibles errores interpretativos.

Nos hemos permitido realizar unas pequeñas entradas para clarificar los contenidos, que como dice su autor se han centrado fundamentalmente en el ámbito denominado  como subsistema de control-mando y señalización (CCS o CMS), si bien se han tratado también algunos otros aspectos relacionados, considerados relevantes, de carácter más transversal.

Ni que decir tiene, que se han obviado aquellas descripciones y contenidos de carácter especializado, que no teniendo significación valorativa, hemos considerado que entorpecerían una lectura clarificadora y entendible para el común de los lectores. 

Tampoco hemos querido inducir al lector sobre nuestras conclusiones respecto del informe ya que creemos que éstas son sobradamente explícitas en el dictamen y cada lector podrá extraer libremente aquellas consideraciones que estime más oportunas y veraces.

Nota: Todos los textos en cursiva son extractos literales del dictamen y los resaltados en negrita, seleccionados por FTF.

Recopilación de aspectos temáticos realizada por FTF

Los accidentes casi siempre, por no decir siempre, son multicausales

En el convencimiento de que este accidente, como la práctica totalidad de los accidentes catastróficos, no tienen una causa única sino que son de naturaleza multicausal, es decir suelen materializarse de forma simultánea más de una amenaza, existiendo una causa última y otras subyacentes sin cuya confluencia no se produciría dicho alcance catastrófico; se han tratado de buscar a lo largo de todas las diligencias practicadas, hechos relevantes no - solamente relativos a la causa inmediata del mismo, sino a todas las posibles circunstancias y causas subyacentes

Conviene en este punto hacer un inciso para concretar cómo se entienden las diferentes causas de accidentes. Utilizando terminología de la prevención de riesgos: causas inmediatas son aquellas cuya existencia determina la ocurrencia directa del accidente; causas básicas, cuya corrección previene la repetición de los hechos que han provocado el accidente y; causas raíz, que son las causas más básicas que razonablemente pueden ser identificadas y sobre las cuales la gestión establecida tiene capacidad de control.

 Como resulta obvio, las causas inmediatas son más sencillas de identificar que las causas raíz, pero estas últimas son igualmente determinantes puesto que si hubiesen sido diferentes, el accidente no se habría producido, y si se corrigiesen muy difícilmente se repetiría un accidente similar.

Efectos de la modificación del proyecto inicial

3. Queda suficientemente evidenciado en el análisis comparativo entre ambos proyectos anteriormente expuesto que, la decisión de la realización del proyecto Modificado de la nueva línea de alta velocidad Ourense-Santiago supuso el cambio de aspectos fundamentales del proyecto original lo cual dio como resultado una variación significativa de los diseños originales en relación con la señalización, control y sistemas de protección de trenes, y que algunos de estos cambios afectaron de forma determinante a las causas y circunstancias del accidente.

De cómo el proyecto básico entendía el sistema ASFA

2. En relación a la utilización del sistema de protección de trenes, el proyecto básico define que: El sistema de Anuncio de Señal y Frenado Automático (ASFA), se plantea como un sistema de respaldo adicional del sistema principal de gestión y control del tráfico ferroviario que se instalará en la Línea de Alta Velocidad (ERTMS). Se utilizará para paliar los efectos de los periodos de indisponibilidad que se pudieran causar en la explotación de la línea y, además, deberá servir como sistema alternativo en caso de que el sistema ERTMS no esté totalmente validado para la explotación inicial de la línea. (Proyecto básico constructivo INECO-TIFSA).

ASFA y el incorrecto sistema de transición

 Nótese también que por diseño no existe ninguna baliza asociada al cambio del modo ASFA por lo que el sistema, salvo por la actuación del maquinista, no puede conocer tal circunstancia y por lo tanto no se produce ningún aviso en cabina, ni óptico ni acústico, al paso por el cartelón indicativo de cambio de modo. 
En resumen, si llegado el momento no se accionase el pulsador de cambio de modo, tal y como sucedió en el tren accidentado como puede constatarse en el Registrador Jurídico HASLER TELOC (señal ASFA-L2 en nivel alto = modo Alta Velocidad y señal registrador ASFA-L2 en nivel bajo= modo Convencional), no se produciría ninguna acción por parte del sistema, continuando indebidamente en modo AV, asumiendo protecciones menos restrictivas y pudiendo malinterpretar los datos recibidos.

Como conclusión de lo anterior, y a pesar de la situación de riesgo que crea la incorrecta actuación en el cambio de modo, el haber accionado o no el cambio de modo al paso por el cartelón de cambio Modo ASFA situado en P.K.80/803, a continuación de la señal avanzada E 7 en el P.K. 80/619, no hubiese producido ningún cambio significativo en el resultado de las circunstancias que derivaron en el accidente, al no exigir al maquinista ninguna  reducción de velocidad en el cambio y al encontrarse la siguiente señal (E7) en vía libre.

El ERTMS que se hurtó

5. De haberse desplegado la infraestructura ERTMS de vía necesaria para poder operar bajo la supervisión completa del ETCS nivel 1 hasta la misma estación de Santiago, tal y como estaba previsto en el proyecto original, y operando por tanto en este modo, el accidente no se hubiera producido puesto que en las condiciones normales de operación de dicho modo (FS), el control continuo de velocidad ofrecido por el sistema ETCS hubiese originado una intervención del mismo para adecuar la velocidad o produciendo un frenado de emergencia llegado el caso, tanto en las proximidades de la curva de Angrois como en cualquier otro punto del trayecto protegido, si se superase la velocidad permitida en los márgenes establecidos.

¿Por qué no se extendió el sistema ERTMS hasta la estación de Santiago?

En mi opinión ocurre justamente lo contrario, resultaría más seguro que se produjera la transición con
posterioridad a la señal avanzada y que la curva de control de velocidad y supervisión del sistema ETCS supervisase su paso por ella, que no hacerlo así y dejarlo bajo la responsabilidad del maquinista. Sin duda es más seguro el escenario contemplado en el proyecto original, o como ocurre en otras líneas de la red de alta velocidad existente, en la que la cobertura del sistema ERTMS alcanza hasta la misma estación.

Abundando en lo anterior, en el Anexo 3 de la Consigna C Experimental 17 del 13/06/2012 donde se informa de la puesta en servicio de nuevas infraestructuras equipadas con sistema ERTMS/ETCS, se puede observar lo siguiente. De todos los puntos fronteras de entrada/salida de ERTMS de las líneas incluidas en dicho anexo, se producen solamente tres transiciones de nivel en señales avanzadas (es decir cumpliendo la regla anterior), correspondientes a las líneas L080 y L024, además de la 8 L082,. Por otro lado también se puede observar que la L082 es la que presenta una mayor "asimetría" (aproximadamente 4 km) entre los puntos frontera de entrada/salida de ambos sentidos de circulación (normalmente es menor de 1 km).

Debe quedar claro que la aplicación de la citada regla de ingeniería en la línea 82 (con el resultado de ubicar el punto de transición de nivel ETCS antes de la señal avanzada E'7), no es la causa sino más bien la consecuencia de una decisión previa y en este caso determinante, relativa a cual había de ser la cobertura del ERTMS, por ejemplo, si se debía cubrir completamente el trayecto o si de desplegaba hasta la misma estación.

Por tanto, como resumen y conclusión de este punto, la única razón argumentada de la aplicación de la anterior regla de ingeniería para decidir que la salida del ERTMS se produzca en la señal avanzada en el punto 80+169, alejada 5 km de la zona de entronque y acceso a la estación de Santiago, no es suficiente para justificar dicho emplazamiento creándose una situación de mayor riesgo que la que se supondría la no aplicación de dicha regla y retrasar (prolongar) la zona de salida de ERTMS . En mi opinión, no debería haberse diseñado la salida o transición de nivel descendente del ERTMS de la línea 082 en sentido Santiago en un punto anterior al PK 85,0.

La curva A Grandeira quedó desprotegida

Como conclusión y resumen, a todo lo anteriormente expuesto,
1) La citada regla de ingeniería podría no haberse aplicado por razones de seguridad justificadas, como ocurre en otros trayectos de la red de alta velocidad,
2) aplicando la referida regla de ingeniería, la transición de nivel podría haberse ubicado delante de la señal avanzada correspondiente a la entrada de la estación de Santiago. 
3) No se ha constatado ninguna razón que hiciese imposible ubicar la transición de nivel ERTMS/ETCS más cerca de la estación de Santiago de forma que protegiese la curva de A Granderia y consecuentemente la importante disminución de velocidad que esta implica, lo cual hubiese aumentado la seguridad de la L08 de forma muy significativa, siendo determinante en el caso del accidente de autos.

La decisión de desconexión del ERTMS embarcado

10. El resumen final de las anteriores conclusiones relativas a la decisión del 23 de junio de 2012 sobre la desconexión del ERTMS embarcado en los S730 para operar al amparo de ASFA y BSL en la L082, es el siguiente.

I. Fue una decisión de carácter provisional tomada expeditivamente y a pesar de tener implicaciones relevantes desde el punto de vista de la seguridad, sin que conste ningún análisis de riesgos previo. La degradación en el nivel de seguridad asumida no fue mitigada con ninguna otra medida de carácter temporal o definitivo, ni en el momento de la decisión, ni con posterioridad a la vista de la tardanza en ia resolución del problema. Tampoco se entiende, después del análisis de toda la información recopilada al respecto, la razón por la que mucho tiempo después de disponer de una solución definitiva al problema desencadenante de la decisión de desconexión y hasta la fecha, no se haya repuesto el modo de operación ERTMS en la línea 082 para los trenes S-730.

II. El hecho de que el día de autos el tren Alvia operase o no bajo el sistema ERTMS, y a pesar de no cubrir la curva de A Grandeira, es de gran relevancia en el resultado de los acontecimientos. Como se ha evidenciado, de haber operado bajo supervisión del ERTMS, manteniendo el resto de circunstancias invariables, parece más que probable que las circunstancias derivadas de la transición de nivel hubiesen cambiado de forma determinante la secuencia de acontecimientos posteriores.

Una extensa concatenación de causas negligentes

Finalmente, un procedimiento que ayuda a estructurar la causas y que han tenido que ver con el accidente es el de realizar algún tipo de árbol de causas raíz del accidente, en el que se va avanzando desde la causa última o inmediata abriendo las ramas del árbol hasta las causas raíz. Concretando en nuestro caso, la parte más alta del árbol podría ser algo así como lo siguiente:

1) El accidente se produce por el descarrilamiento del tren Alvia 150 al tomar la curva de A
Grandeira una velocidad muy superior a la permitida, por causa de .....

1.1) El maquinista no se percata de la cercanía de la curva y de la limitación de
velocidad, por causa de .....

1.1.1) El maquinista se encuentra manteniendo una conversación telefónica, a
causa de...
1.1.2) No existe señalización lateral que advierta del nuevo límite de velocidad a 
80 Km/h, a causa de...
1.1.3) El sistema ASFA Digital no advierte de la limitación de velocidad del tramo,
a causa de... 

1.2) Los sistemas de seguridad de control de velocidad contemplados en el diseño de 8
la L082 no se encuentran operativos, por causa de .....

1.2.1) La decisión del cambio de ancho de vía determinó la no cobertura del i |
sistema ERTMS en la zona de A Grandeira, por causa de...
1.2.2) La autorización de circulación sin ERTMS/ETCS para hacerlo bajo ASFA + BSL 82 por causa de ....

Y así, profundizando en el árbol, se puede continuar hasta plasmar todas las causas raíz.

A Grandeira, zona de transición que debió contar con especial protección

En línea con este argumento, queda claro que la zona de A Grandeira se debe considerar como una zona frontera o de transición. Por tanto, desde el punto vital de la seguridad, esta afirmación debería conllevar para dicha zona de transición, o podemos decir de solape, un especial tratamiento y por ello solapar o redundar los distintos sistemas de seguridad involucrados. Por lo tanto, con más razón que en el resto del trayecto, debería ser esta una zona cubierta por la protección del ERTMS y no al contrario.

Un cambio radical respecto del proyecto inicial

Como conclusión, en lo relativo a la transición o frontera entre el trayecto de alta velocidad y
su entronque con la red convencional en las inmediaciones de Santiago supuso un cambio radical respecto al proyecto inicial, y fue en mi opinión, un aspecto incompletamente resuelto al pasar de un proyecto a otro, desde el punto de vista de la seguridad.
No basta con asegurar que el lado del ámbito RGC cumple su normativa y que el lado ámbito PTO también lo hace, sino que es igualmente necesario asegurar que su frontera o zona de solape se resuelve convenientemente y que su interfaz resulta coherente,completo y seguro en todos sus planos.

La línea de alta velocidad que fue y luego (Fomento dice) que nunca lo fue

En lo referente a su naturaleza como línea de alta velocidad, todo lo analizado hasta la fecha respecto a la L082 constata que cumple con todos los parámetros asociados a la alta velocidad, con la particularidad ya subrayada reiteradamente, de haberse construido (provisionalmente) en ancho de vía ibérica y no con ancho UIC.
 Como ejemplo, el proyecto modificado al proyecto constructivo dice textualmente en el apartado Descripción de la Línea: "El tramo objeto del Modificado tiene una longitud aproximada de 88 km, el trazado se ha diseñado como doble vía de alta velocidad con un ancho de vía de 1.668 mm para trafico exclusivo de viajeros y electrificada a kVca con una velocidad máxima de circulación de 350 km/h.

Un riesgo que desgraciadamente se materializó

 Considero finalmente que es un riesgo para la seguridad de la circulación difícilmente
 explicable el hecho de que puedan existir trayectos de alta velocidad donde se produzcan
variaciones de velocidad tan significativas, como es el caso de la que se produce en el P.K. 84+230 de la línea 082, de 220 km/h a 80 km/h (que de acuerdo al CVM podría ser de hasta 300 km/h a 80 Km/h), sin contar en ese punto con la supervisión de un sistema de protección automático como el ERTMS/ETCS ó N2.
De hecho, de acuerdo al CVM y al libro horario de la L082, la única reducción de velocidad, circunstancia en la que un sistema de supervisión continua de velocidad se mostraría especialmente eficaz, en todo el trayecto Ourense-Santiago, se produce justamente en la zona donde no se equipa el ERTMS.

El ERTMS que no existió, dejó al maquinista sólo ante el peligro

El sistema ERTMS/ETCS operativo reduce la probabilidad de error humano dando avisos visuales, acústicos y tomando acciones de control cuando procede. La señalización vertical de limitación de velocidad, una baliza LTV, etc., sirven como medidas de prevención fuertes.

Como ocurrió en la realidad, solamente se tomó como medida especifica de prevención y como respuesta a que alguien de la organización hubiese alertado sobre el riesgo de la curva, fue la de insistir en la formación del maquinista sobre la peligrosidad de la curva. Esto obviamente es una medida de prevención débil.

Queda claro que el sistema ERTMS/ETCS operativo es además una fuerte protección (barrera)
en caso de que la prevención no haya sido suficiente para evitar el error. Su inexistencia o no
llevarlo operativo son una ausencia de protección, o lo que es lo mismo, ia eliminación de una
eficaz barrera al error.

La modificación del proyecto inicial debió ir acompañada de un análisis de riesgos que no se llevó a cabo

Como conclusión de lo explicado en este apartado, queda claro por tanto que la normativa europea exige la aplicación de los MCS (métodos comunes de seguridad) cuando se producen algún cambio significativo relacionado con la seguridad en cualquier fase del ciclo de vida. En este sentido, los dos hechos fundamentales sobre los que ha pivotado este informe pericial:  en primer lugar el cambio del proyecto constructivo del sistema CCS de la L082 por el  proyecto Modificado; y en segundo lugar la decisión de la desconexión del ERTMS en esta línea para los trenes S730, son dos cambios relacionados con la seguridad de tal calado que deberían considerarse como cambios significativos.

 Aun el supuesto de que alguno de ellos o ambos se considerase finalmente como cambio no significativo, tal decisión debería haber quedada justificada y documentada como resultado de la realización del preceptivo análisis de riesgo preliminar, el cual debería haber quedado igualmente documentado.

Se constata que, en ninguno de estos dos cambios referidos, se haya realizado ningún análisis
de riesgo aplicando los MCS de acuerdo a la Directiva 2004/49/CE, sin que conste siquiera que
se hubiese realizado cualquier otro tipo de análisis de riesgo, incumpliendo por tanto la normativa de seguridad ferroviaria.

Resalto de nuevo la desafortunada circunstancia de que en el caso de autos concurren ambos hechos, uno de carácter estructural y otro operativo de carácter más coyuntural, cuya concurrencia en el tiempo y en el espacio aumentó significativamente el nivel de riesgo y sus consecuencias.