Adamuz y la «cultura de seguridad». ¿Por qué ocurren tragedias que parecen imposibles? (I)

Siempre que debo investigar un accidente o explicar la metodología subrayo un objetivo previo: no juzgar, sino tratar de entender y explicar por qué, en unas circunstancias determinadas, las personas tomamos ciertas decisiones. Pero también me comprometo conmigo mismo y siempre me pregunto: ¿qué puedo o podría haber hecho yo para evitarlo?

Este artículo no busca señalar culpables, ni proponer causas. Solo pretende ayudar a comprender qué ha podido suceder, y a hacernos pensar qué podemos hacer personalmente para que un accidente similar no vuelva a suceder.

Desde el accidente ferroviario del pasado 18 de enero una pregunta comenzó a repetirse en toda la sociedad: ¿Cómo pudo ocurrir algo así en uno de los sistemas ferroviarios más avanzados del mundo? Aunque las investigaciones de la Comisión de Investigación de Accidentes Ferroviarios (CIAF) apuntan de forma preliminar a una fractura previa en el carril, reducir la tragedia a una única pieza de acero rota sería ignorar cómo funciona realmente la seguridad moderna.

En la cultura de la seguridad actual, un accidente no es un evento aislado o fruto de la mala suerte. Los desastres en sistemas complejos son el resultado de una dinámica donde varios factores se interrelacionan. Son la consecuencia de una «erosión de la seguridad» que comienza mucho antes del suceso.

Entenderlo esto es vital para que la sociedad comprenda que la seguridad se basa en la presencia de defensas capaces de frenar los errores. Por ello, analizar los accidentes sirve sobre todo para comprender las dinámicas de riesgo que, si no se gestionan bien, pueden convertir incluso una mínima anomalía en una gran catástrofe. Comencemos.

Cultura de seguridad.

Para entender un gran accidente como el ocurrido en Adamuz no basta con tratar de saber qué falló. Lo primero es preguntarse cómo una organización y una sociedad entienden la seguridad. Uno de los modelos más claros para explicarlo es la escalera de la cultura de seguridad, ampliamente utilizada en sectores de alto riesgo como la aviación, la industria química o el ferrocarril. La escalera describe cinco niveles de madurez:

1. Patológica “Mientras no nos pillen, no pasa nada.” La seguridad se percibe como un estorbo. La dirección no quiere saber. Ocultan incidentes. El lema es «No me traigas problemas».
2. Reactiva “Actuamos cuando hay un accidente.” Se aprende solo tras la tragedia. La seguridad es un coste, no una inversión.
3. Calculadora “Gestionamos la seguridad con indicadores y procedimientos.” La prevención existe, pero puede convertirse en burocracia. Existe una gran dependencia de reglas, manuales y procesos. Se confunde «tener un papel» con «estar seguro».
4. Proactiva “Actuamos antes de que ocurra el accidente.” La seguridad se integra en el liderazgo y los empleados participan activamente en la identificación de riesgos antes de que ocurran incidentes. Se investigan los incidentes leves para aprender. Se invierte en formación y mejora continua.
5. Generativa “La seguridad es prioritaria y es un valor.” La seguridad está integrada en todas las decisiones. Los trabajadores reportan riesgos sin miedo, la dirección escucha y actúa. La comunicación es fluida y abierta.

La gran pregunta que deja Adamuz es incómoda pero necesaria: ¿en qué peldaño están realmente el sistema ferroviario español y las organizaciones implicadas? ¿Cómo ciudadanía comprometida, qué podemos hacer para exigir el nivel que queremos?

Explicar el accidente bajo modelos sistémicos.

Seguimos avanzando. Es el momento de tratar de entender qué ha podido pasar.  En la investigación de un accidente nunca debemos quedarnos en la causa directa. Tenemos que buscar las causas raíz, los factores que contribuyen. La técnica de los “5 Por Qué” sigue siendo una de las herramientas más efectivas y utilizadas en la gestión de la seguridad, para profundizar más allá de los síntomas superficiales. Esta técnica evita detenerse en el «error humano» y obliga a investigar las condiciones del entorno y la organización que lo propiciaron.

Para el caso del accidente ferroviario de Adamuz (la Comisión de Investigación de Accidentes Ferroviarios (CIAF) ha identificado la rotura previa del carril como la hipótesis principal del descarrilamiento. La sucesión de preguntas y respuestas nos permite pasar de un fallo técnico a causas organizativas profundas.

1. ¿Por qué descarriló el tren? ¿Rotura previa carril?
2. ¿Por qué se rompió el carril? ¿Fisura, antigüedad vía, frecuencia paso unidades mantenimiento correctivo …?
3. ¿Por qué no se detectó la fisura antes de la rotura total? ¿Mantenimiento predictivo, preventivo…?
4. ¿Por qué fallaron los sistemas de detección o el protocolo de revisión? ¿Presupuestos, ciclos de mantenimiento…?
5. ¿Por qué el mantenimiento no se adaptó al nuevo volumen de tráfico? (Causa Raíz). ¿Podría deberse a una falta de actualización en los estándares de seguridad y protocolos de inspección para líneas de alta velocidad con alta densidad de operadoras?

El modelo sistémico, inspirado en investigadores como James Reason y Jens Rasmussen, nos enseña que para que un accidente grave ocurra, deben alinearse fallos en varios niveles de responsabilidad. El valor de este enfoque es social:
evita buscar un culpable único y obliga a corregir el sistema entero. Con las informaciones e hipótesis que vamos teniendo, planteemos como encajan en los niveles de responsabilidad:

1. Nivel Político. Nivel superior donde se desarrollan leyes y políticas nacionales de seguridad. ¿Puede haber alguna decisión política estratégica que marque el inicio de la cadena? ¿Están implementadas las Normativas Europeas de Seguridad? ¿Influyen las políticas de inversión en infraestructuras ferroviarias y la priorización de la liberalización del sector frente al mantenimiento preventivo? ¿Influye la entrada de nuevos operadores que aumenta la frecuencia de paso y las cargas dinámicas sobre una vía envejecida? ¿Se decide invertir masivamente en Alta Velocidad (políticamente rentable) mientras la red convencional se mantiene de forma insuficiente? ¿El presupuesto para renovaciones integrales es insuficiente? ¿Puede haber afectado la supresión de la Unidad de Emergencias de ADIF por parte del Ministerio de Transportes?
2. Órganos reguladores y asociaciones. Entidades que traducen las leyes en estándares industriales y normativas específicas. ¿Hay estándares de interoperabilidad entre operadores (Renfe/Iryo)? ¿Hay supervisión de los protocolos de seguridad tras la entrada de nuevos operadores? Para que un sistema sea seguro, la información debe fluir de abajo hacia arriba. ¿Se cortó este flujo? ¿Es cierto que, según documentos reservados de ADIF, solo en la semana de la catástrofe, se registraron más de 500 incidencias por vías en mal estado? ¿Quién supervisa esto? ¿Se tomaron medidas preventivas drásticas como la reducción general de velocidad en tramos críticos? ¿La normativa puede permitir «renovaciones parciales híbridas»: nueva traviesa, carril viejo?
3. Nivel Corporativo (ADIF/Operadoras). La alta dirección que establece las políticas internas, presupuestos y objetivos estratégicos de la organización. ¿Cómo invierten las empresas en seguridad? ¿Hay gestión de alertas previas? ¿La normativa de seguridad de Adif permitió que los trenes siguieran circulando a velocidad comercial tras detectarse anomalías previas en la zona? ¿Hay decisiones presupuestarias sobre el recambio de vías con fatiga de material? ¿Se han gestionado adecuadamente las comunicaciones en la emergencia? ¿Se han retrasado contratos claves para implementar Inteligencia Artificial en el mantenimiento predictivo de las vías? ¿Si esta tecnología hubiera estado operativa, la fatiga del carril que causó el descarrilamiento del Iryo podría haber sido detectada días antes mediante algoritmos de análisis de vibraciones? ¿Hay presión por reabrir líneas y mostrar eficiencia? ¿Por qué se aprueba un proyecto de renovación, pero no cambian todos los carriles? ¿Se prioriza el plazo y el coste sobre el riesgo residual? ¿Se ignoró la alerta de otro carril roto a solo 10 kilómetros de Adamuz detectado esa misma semana?
4. Nivel Gestión Operativa. Supervisión Técnica. Donde se planifica el trabajo y se implementan las políticas corporativas en procesos reales. ¿Cómo se realizaron los protocolos de comunicación del Centro de Mando ante avisos de «enganchones» de catenaria o vibraciones? ¿Cómo se actuó tras el descarrilamiento inicial del Iryo? La detección de un carril roto a 10km días antes debería haber activado una inspección ultrasónica de emergencia en todo el sector, algo que no se ejecutó o se hizo de forma superficial. ¿Por qué no se toman medidas? La gestión operativa falló al no priorizar los avisos de los trenes previos. Algunas informaciones confirman que sensores en convoyes que pasaron antes por el punto kilométrico de Adamuz detectaron anomalías físicas. ¿Por qué no se detuvo el tráfico?
5. Nivel de Campo. Condiciones de Trabajo. Trabajadores de primera línea cuyas actividades están condicionadas por los niveles superiores. El personal operativo (maquinistas y técnicos) se encuentran en una trampa sistémica. Con una infraestructura degradada y sistemas de emergencia recortados, su capacidad para evitar la tragedia una vez ocurrido el primer descarrilamiento es mínima. ¿Cómo se gestiona el accidente, los tiempos de reacción y aviso a otros trenes?
6. El Evento Físico. Evento desencadenante. Representa el equipo, las herramientas y el ambiente físico donde ocurre la tarea. Rotura de un carril por fatiga de material. Descarrilamiento del tren Iryo e invasión de la vía contigua por la que circulaba el Alvia. El carril viejo, sometido a nuevas tensiones, cede. El tren descarrila.

La rotura del carril por fatiga de material no fue una «fatalidad». ¿Fue el síntoma final de un sistema que no mantenía adecuadamente, que ignoraba las señales de alerta, que arecía de unidades de emergencia reforzadas…? ¿La rotura del carril fue el último eslabón de una cadena forjada en despachos ministeriales, juntas de accionistas, oficinas de proyectos…?

El accidente de Adamuz es el ejemplo perfecto de cómo un sistema complejo «migra hacia el accidente» cuando se prioriza la eficiencia de costes o la velocidad sobre los márgenes de seguridad. La responsabilidad no termina en la vía rota; escala hasta los despachos donde se firmaron los recortes y se aplazaron las inversiones tecnológicas. Investigar solo el carril es quedarse en la superficie; entender el sistema es la única forma de evitar que se repita.

El Nudo de Corbata. Cómo se gestionó la emergencia

Cuando la prevención falla, la emergencia se convierte en la última barrera entre la vida y la muerte. En investigación usamos el Modelo del Nudo de Corbata (Bow Tie) para visualizar el control de riesgos y la emergencia. Imaginemos el nudo, el evento, el carril que se rompe, el accidente. A la izquierda está la Prevención, las barreras como la renovación total de la vía o las inspecciones ultrasónicas. El lado derecho es el de la Emergencia. Aquí es donde entran los protocolos para mitigar las consecuencias del accidente. En este lado derecho falla una barrera vital: la comunicación. Un accidente no termina con el impacto. La gestión de la emergencia determina cuántas vidas se salvan, cuántas lesiones se agravan y cuánto sufrimiento añadido se genera. Según los análisis conocidos hubo una movilización masiva de recursos, pero también problemas de coordinación, información tardía y dificultad para evaluar la magnitud real del accidente en los primeros momentos.

De la Culpa Individual a la Responsabilidad Sistémica

Si se hubiera aplicado con rigor este modelo en la investigación del accidente de la curva de Angrois (2013), el resultado habría sido radicalmente distinto, desplazando el foco del «error humano» del maquinista hacia una responsabilidad sistémica y compartida. De hecho, ese accidente es un ejemplo de manual sobre cómo no se debe investigar un accidente en el siglo XXI, y por qué los modelos sistémicos como el de Rasmussen son una exigencia de la Agencia Ferroviaria Europea (ERA).

La investigación oficial inicial (realizada por la CIAF) se centró casi exclusivamente en el maquinista (Nivel 5). Se concluyó que el factor determinante fue que se despistó al recibir una llamada telefónica y no frenó a tiempo. Ese «despiste» no es la causa, sino el síntoma. Un investigador sistémico se habría preguntado: «¿Cómo es posible que la seguridad dependiera exclusivamente de que un solo ser humano no tuviera un lapsus de 30 segundos?».

Si hubiéramos trazado el mapa de causas hacia arriba, habríamos encontrado factores latentes que la investigación oficial ignoró durante años: Las prisas políticas por inaugurar la línea Madrid-Galicia para cumplir plazos electorales, lo que llevó a inaugurar tramos con sistemas de seguridad incompletos. (Nivel 1). La decisión de desconectar el sistema de seguridad ERTMS porque generaba retrasos técnicos, sin evaluar que el sistema de respaldo (ASFA) era insuficiente para una curva de ese radio. (Niveles 2 y 3). La desconexión del sistema ERTMS en los trenes Alvia porque daba fallos de software, (Niveles 3 y 4)  aumentando la carga cognitiva del maquinista (Nivel 5). Nadie realizó un análisis de riesgos específico para esa curva tras el cambio de proyecto (Nivel 4). Se asumió que el maquinista siempre cumpliría el cuadro de velocidades. (Nivel 5 y 6)

En Angrois, el «nudo» estaba estrangulado. A la izquierda (Prevención) se quitaron barreras (ERTMS) para ganar tiempo y operatividad. A la derecha (Mitigación) no había ninguna barrera física (como balizas de frenado automático si se excede la velocidad) que perdonara el error humano.

La gran lección. ¿Hemos aprendido algo?

La propia Agencia Ferroviaria Europea (ERA) emitió un informe durísimo años después invalidando la investigación española, señalando que la investigación no fue independiente y que no abordó las causas raíz. El modelo sistémico no busca «quién tiene la culpa» para meterlo en la cárcel, sino «qué falló en el diseño del sistema» para que no vuelva a morir nadie.

En Angrois, se buscó el castigo; en la investigación moderna, se busca la verdad técnica. En Angrois, un jefe de maquinistas ya había enviado un informe meses antes advirtiendo del peligro de la curva; el hecho de que una advertencia técnica quedara «atrapada» en la burocracia sin llegar a la dirección es un fallo sistémico de manual según este modelo.

Se tardó años en imputar a otros responsables, centrándose la carga penal inicialmente solo en el maquinista. Los responsables políticos, directivos y técnicos influyeron con sus decisiones en los niveles 1, 2, 3 y 4. ya que eliminaron las barreras de seguridad que debían proteger al nivel 5 y 6.

 Mientras que la investigación tradicional buscó quién cometió el error, un modelo de investigación sistémico habría demostrado cómo y por qué el sistema de seguridad ferroviario español se volvió frágil debido a decisiones presupuestarias, políticas y de gestión, convirtiendo al maquinista en el “culpable” de una trampa de diseño que se gesta en los niveles superiores.

 Alberto Ayora Hirsch.

Auditor de seguridad y perito judicial.