Da appassionato di treni da tanti anni, credo che sia fondamentale fare chiarezza sull’incidente ferroviario avvenuto il 28 ottobre 2026 nei pressi di Urda, nella provincia spagnola di Toledo, dove un treno AVE di Renfe ha tamponato un convoglio Iryo fermo sulla linea ad alta velocità Madrid-Siviglia. Una tragedia gravissima, che secondo i primi bilanci diffusi dalle autorità ha provocato almeno 68 vittime e numerosi feriti. Di fronte a un evento di questa portata, il primo pensiero va naturalmente alle persone coinvolte e alle loro famiglie. Ma proprio per rispetto nei loro confronti, ritengo che sia necessario ricostruire quanto accaduto, senza fermarsi alla notizia dello scontro e senza trasformare le prime ipotesi in verità definitive.

Non basta sapere che due treni si sono scontrati. Bisogna capire che cosa è successo nei minuti precedenti, quali sistemi di sicurezza erano coinvolti, quali informazioni erano disponibili al personale e perché non si sia riusciti a impedire che un treno in movimento raggiungesse un altro convoglio fermo sulla stessa linea. È necessario, soprattutto, distinguere le responsabilità delle imprese ferroviarie da quelle del gestore dell’infrastruttura, ricostruendo il ruolo del centro di controllo di Adif ad Atocha, a Madrid.

I due treni appartengono a realtà differenti dell’alta velocità spagnola. Iryo è un operatore ferroviario con una significativa partecipazione italiana attraverso Trenitalia, società del gruppo Ferrovie dello Stato Italiane. La compagnia utilizza treni ETR 400, conosciuti in Italia come Frecciarossa 1000, appartenenti alla famiglia V300 Zefiro, sviluppata da Hitachi Rail, erede delle attività ferroviarie di AnsaldoBreda.

L’AVE, invece, è il servizio ad alta velocità di Renfe, la compagnia ferroviaria spagnola. Il convoglio coinvolto nell’incidente è stato identificato nelle prime ricostruzioni come un Siemens Velaro serie 103, appartenente alla stessa famiglia tecnologica dei treni ICE 3 tedeschi. Si tratta, dunque, di due treni moderni, progettati per viaggiare ad alta velocità e dotati di sistemi di controllo e protezione della marcia. Ma proprio questo rende ancora più importante capire che cosa sia accaduto: avere a disposizione tecnologie avanzate non elimina la necessità di procedure rigorose quando qualcosa smette di funzionare come previsto.

Secondo le informazioni diffuse nelle ore successive all’incidente, intorno alle 8:53 del mattino un AVE diretto da Madrid a Siviglia ha raggiunto e tamponato il treno Iryo, che si trovava fermo in prossimità di Urda. La collisione ha provocato il deragliamento di diverse carrozze e conseguenze devastanti. Le prime ricostruzioni giornalistiche, basate anche sulle comunicazioni tra i macchinisti e il centro di controllo, hanno portato l’attenzione su un problema al sistema LZB e sulle autorizzazioni impartite per riprendere la marcia.

L’LZB, acronimo tedesco di Linienzugbeeinflussung, è un sistema di controllo continuo della marcia ferroviaria che trasmette al treno informazioni relative alla circolazione e permette di sorvegliarne la velocità. Il suo compito è contribuire al rispetto dei limiti imposti e delle condizioni di sicurezza, intervenendo quando necessario secondo la configurazione del sistema.

Quando un apparato di questo tipo presenta un’anomalia, però, la circolazione non può proseguire semplicemente come se nulla fosse. Entrano in gioco procedure specifiche, che devono stabilire come muoversi in condizioni degradate, quali autorizzazioni siano necessarie e quali limiti di velocità debbano essere rispettati. È proprio in questi momenti che la sicurezza ferroviaria viene messa alla prova: non quando tutto funziona regolarmente, ma quando un problema tecnico obbliga il sistema a passare da una condizione ordinaria a una gestione eccezionale.

Secondo le registrazioni delle comunicazioni diffuse dai media spagnoli, intorno alle 8:36 il centro di controllo di Adif avrebbe autorizzato il macchinista dell’AVE a riprendere la marcia a velocità normale, nonostante il sistema LZB fosse fuori servizio. Le ricostruzioni riferiscono che il macchinista aveva segnalato un problema di trasmissione legato al sistema di blocco. La questione centrale riguarda quindi le condizioni alle quali fu impartita l’autorizzazione e la procedura che avrebbe dovuto essere applicata in assenza del normale controllo della marcia.

Il punto più delicato riguarda proprio la velocità. Secondo le informazioni riportate dalla stampa spagnola, in quelle condizioni sarebbe stato necessario procedere a la vista, ossia adeguando continuamente la velocità a ciò che il macchinista poteva effettivamente osservare e alla possibilità di arrestare il treno davanti a un ostacolo, con un limite indicato nelle ricostruzioni in circa 40 km/h. L’autorizzazione a riprendere la marcia a velocità normale, se confermata come incompatibile con la procedura applicabile, rappresenterebbe un elemento fondamentale per comprendere la dinamica dell’incidente. Saranno tuttavia le verifiche tecniche e l’accertamento delle regole effettivamente in vigore a stabilire se vi sia stata una violazione e da parte di chi.

Alle 8:41 circa, secondo le comunicazioni riportate dai media, la macchinista dell’Iryo avrebbe informato il centro di controllo di essere ancora ferma in prossimità del segnale di ingresso di Urda a causa di un problema di trasmissione. Le sarebbe stato suggerito di scollegare e ricollegare il sistema per poi riprendere la marcia. In una comunicazione successiva, la macchinista avrebbe segnalato nuovamente di non riuscire a ripristinare il sistema e di essere ancora ferma. Pochi minuti dopo, intorno alle 8:53, si è verificato lo scontro con l’AVE. Questa sequenza, ricostruita sulla base delle registrazioni rese note, dovrà essere confrontata con i dati tecnici e con la documentazione ufficiale dell’indagine.

A questo punto la domanda è inevitabile: perché l’AVE ha potuto proseguire mentre l’Iryo era ancora fermo sulla linea? E soprattutto, quali informazioni erano effettivamente disponibili a chi gestiva la circolazione?

È qui che entra in gioco Adif, il gestore dell’infrastruttura ferroviaria spagnola, per molti aspetti paragonabile a Rete Ferroviaria Italiana in Italia. È importante non confondere i ruoli: Renfe e Iryo sono le imprese che effettuano il servizio ferroviario con i rispettivi convogli, mentre Adif gestisce l’infrastruttura e svolge funzioni essenziali per la regolazione e il coordinamento della circolazione.

Il centro di controllo di Atocha, a Madrid, riceve le informazioni necessarie alla gestione del traffico e mantiene le comunicazioni operative con i treni. Quando un convoglio segnala un problema e si ferma, diventa fondamentale che la situazione venga compresa correttamente e che le istruzioni impartite siano coerenti con le condizioni reali della linea. Non basta sapere che un treno ha segnalato un’anomalia: occorre capire dove si trova, se può ripartire, a quali condizioni e quali conseguenze possa avere la sua presenza per gli altri convogli.

Se le registrazioni confermassero che il centro di controllo era stato informato della persistente immobilità dell’Iryo prima dell’impatto, sarebbe necessario chiarire come tale informazione sia stata gestita e perché non sia stata sufficiente a impedire la collisione. Se invece emergessero problemi nel rilevamento della posizione, nel segnalamento, nella trasmissione dei dati o nel coordinamento delle comunicazioni, anche questi aspetti dovrebbero essere approfonditi. Le responsabilità non possono essere attribuite automaticamente a un singolo macchinista, a un operatore del centro di controllo o a un’intera azienda senza aver prima ricostruito l’intera catena decisionale.

Per comprendere l’accaduto bisogna inoltre distinguere i diversi sistemi di sicurezza ferroviaria. Oltre all’LZB, nelle ricostruzioni compare il BSL, indicato come modalità di blocco basata sul segnalamento laterale. L’ASFA è invece un sistema di protezione automatica utilizzato sulla rete spagnola, con funzioni legate alle informazioni ricevute dai segnali. L’ERTMS, infine, è il sistema europeo di gestione del traffico ferroviario, concepito per favorire l’interoperabilità e armonizzare le modalità di controllo della circolazione tra le reti nazionali.

Queste tecnologie non sono equivalenti e non possono essere considerate intercambiabili. Per stabilire quali apparati fossero effettivamente disponibili e operativi nel tratto interessato dall’incidente, bisogna verificare la configurazione dell’infrastruttura e le dotazioni dei due convogli. La presenza di un sistema su una linea o su un treno non dimostra, da sola, che fosse attivo nel momento dello scontro o che avrebbe necessariamente impedito la collisione. È necessario comprendere quali funzioni fossero operative, quali fossero venute meno e quali protezioni dovessero intervenire in caso di guasto.

Anche il confronto con l’Italia merita attenzione. Il fatto che Iryo utilizzi treni della famiglia Frecciarossa 1000 non significa che ogni convoglio sia equipaggiato esattamente nello stesso modo in tutti i Paesi. I sistemi di protezione, il segnalamento e le modalità operative dipendono anche dalle caratteristiche dell’infrastruttura e dalla configurazione con cui il treno è autorizzato a circolare. Allo stesso modo, la parentela tecnologica tra il Siemens Velaro serie 103 di Renfe e i treni ICE 3 tedeschi non implica che gli apparati, le condizioni di esercizio e le procedure siano identici.

La somiglianza tra i modelli non costituisce, quindi, una prova di responsabilità o di difetto tecnico. Un convoglio può essere tecnologicamente avanzato e sicuro, ma il suo funzionamento dipende anche dall’interazione con l’infrastruttura, dalla corretta applicazione delle procedure e dall’efficacia dei sistemi di protezione nel loro insieme.

Per arrivare a una ricostruzione attendibile, gli investigatori dovranno confrontare le registrazioni vocali, i dati delle registrazioni di bordo, le velocità effettivamente raggiunte, lo stato dei segnali e le informazioni provenienti dagli apparati di controllo. Sarà necessario ricostruire la posizione dei convogli minuto per minuto, verificare quando il centro di controllo sia stato informato delle difficoltà dell’Iryo e stabilire quali istruzioni siano state impartite all’AVE. Soltanto il confronto tra queste prove permetterà di distinguere il guasto iniziale dagli eventuali errori operativi e dalle possibili carenze tecniche od organizzative.

Da appassionato di treni, ritengo che sia importante non trasformare questa tragedia in una polemica contro un modello di convoglio o contro una singola categoria di lavoratori. Macchinisti, personale di bordo, tecnici e operatori della circolazione lavorano quotidianamente all’interno di un sistema complesso, nel quale la sicurezza deve essere il risultato di procedure chiare, tecnologie affidabili e responsabilità ben definite.

La questione decisiva resta un’altra: perché, dopo un’anomalia al sistema di sicurezza, un treno in movimento ha potuto raggiungerne un altro fermo sulla stessa linea? Un guasto può verificarsi, ma un sistema ferroviario sicuro deve essere progettato per affrontare anche le situazioni anomale. La sicurezza non consiste nel presumere che ogni apparato funzionerà sempre, bensì nel predisporre procedure e protezioni capaci di impedire che il malfunzionamento di un singolo elemento si trasformi in una catastrofe.

Fare chiarezza significa rispettare le vittime, tutelare i passeggeri e riconoscere il lavoro di chi ogni giorno guida i treni, gestisce la circolazione e mantiene gli impianti. Significa anche imparare da ciò che è accaduto, senza anticipare conclusioni e senza confondere le ipotesi con i fatti accertati. La passione per la ferrovia non consiste soltanto nel conoscere i modelli, le prestazioni e le tecnologie dei convogli, ma anche nel voler capire come funzionano i sistemi di sicurezza e nel pretendere che ogni anomalia venga gestita nel modo più rigoroso possibile.

La domanda fondamentale, dunque, è una sola: se il sistema LZB era fuori servizio e il centro di controllo era stato informato che l’Iryo era ancora fermo, perché l’AVE ha potuto raggiungerlo?

È da questa domanda, e dalle prove raccolte dagli investigatori, che bisogna partire per ricostruire la dinamica dell’incidente e accertare le eventuali responsabilità. Non per cercare un colpevole a tutti i costi, ma per comprendere se e dove la catena della sicurezza si sia spezzata. Perché, quando si parla di trasporto ferroviario, la fiducia dei passeggeri non può basarsi soltanto sulla tecnologia o sull’esperienza di chi lavora sui treni: deve poggiare sulla certezza che, anche quando qualcosa non funziona, il sistema sia in grado di proteggere le vite umane.