Alle 8.31 del 28 ottobre 2026, sulla linea ad alta velocità Madrid-Siviglia, il sistema LZB smette di trasmettere correttamente i dati necessari alla circolazione. Sei treni si fermano. La protezione reagisce correttamente: nel dubbio, ferma i convogli.
Ventidue minuti più tardi, nei pressi di Urda, in provincia di Toledo, un AVE di Renfe travolge un Iryo ancora fermo davanti a un segnale. La prima nota dell’autorità investigativa spagnola AITAT indica un bilancio provvisorio di 69 morti e oltre duecento feriti di diversa gravità; il 2 novembre le vittime identificate sono 66, secondo l’ultimo aggiornamento disponibile. La velocità d’impatto viene stimata fra 160 e 200 chilometri orari, in attesa dei dati dei registratori di bordo. Le responsabilità restano da accertare.
| Ora | Evento |
|---|---|
| 8.31 | Guasto LZB: sei treni si arrestano |
| 8.36 | La centrale autorizza l’AVE a riprendere la marcia, secondo la ricostruzione giornalistica |
| 8.53 | L’AVE urta l’Iryo fermo davanti al segnale di Urda |
I 22 minuti di Urda: la sequenza accertata e quella sotto indagine
Fortune Italia, intervistando Andrea Giuricin, economista dei trasporti e professore all’Università di Milano-Bicocca, ha posto una domanda provocatoria: una tragedia simile sarebbe potuta accadere in Italia? La risposta chiama in causa l’ERTMS, adottato sulle nostre principali linee veloci. Ma come può una ferrovia progettata per impedire tamponamenti trasformare un guasto in catastrofe?
La prima risposta concreta è già arrivata. Il 1° novembre Renfe ha inviato una nuova consigna obbligatoria ai macchinisti: se il LZB subisce un blocco parziale, il treno deve fermarsi e può ripartire soltanto con l’autorizzazione prevista, a marcia a vista, senza superare i 40 chilometri orari. La regola cambia il modo in cui si gestisce proprio la situazione di Urda, prima ancora che sia conclusa l’inchiesta.
Indice degli argomenti
Quando il computer dice «non so», bisogna credergli
La prima distinzione è fra guasto e incidente. In ingegneria si parla di fail-safe: davanti all’incertezza, il sistema deve privilegiare una condizione protetta, non la continuità del servizio. Il LZB, sistema tedesco installato sulla Madrid-Siviglia inaugurata nel 1992, comunica tramite conduttori lungo i binari e sorveglia velocità e distanza-obiettivo, calcola profili di frenatura e trasmette indicazioni continue in cabina. Quando la comunicazione si interrompe, il sistema arresta i convogli. A Urda questa prima barriera ha funzionato, come ricostruisce AITAT. La tragedia, secondo gli elementi finora pubblici, si è preparata dopo.
La circolazione è passata alla modalità degradata, con blocco e segnalamento laterale di riserva e con l’ASFA, protezione che riceve informazioni in determinati punti lungo il binario. Una supervisione continua è diversa da un controllo puntuale, che non neutralizza ogni autorizzazione impropria.
Le registrazioni rese note in Spagna indicano che dal centro di controllo di Atocha sarebbe stato autorizzato il treno che seguiva a riprendere la marcia ordinaria, mentre l’Iryo davanti non riusciva ancora a ripartire. Secondo la ricostruzione pubblicata da El País il 2 novembre, alle 8.36 la centrale avrebbe utilizzato il telefonema LZB4, che consentiva al convoglio di ripartire a marcia normale, fino a 200 chilometri orari, in una situazione che richiedeva invece una ripartenza prudente, con protocollo LZB3. L’inchiesta deve verificare comandi, orari e apparati e chiarire se questa applicazione impropria fosse un episodio isolato.
Il treno fermo non era invisibile: il controllo del traffico doveva conoscerne la presenza. Se un’informazione critica esiste ma non impedisce una decisione incompatibile, non siamo davanti soltanto a un malfunzionamento informatico. Siamo davanti a un problema di architettura della sicurezza.
Dopo Urda, la nuova regola: ripartire a 40 chilometri orari
La consigna diffusa da Renfe il 1° novembre distingue il blocco parziale del sistema LZB, segnalato in cabina come «000 Parcial», da quello totale, «040 Total». Nel primo caso, quello registrato a Urda, l’arresto è immediato. Per muoversi di nuovo occorre il telefonema LZB3 del responsabile della circolazione, con prescrizione di marcia a vista. Fino al segnale indicato, la velocità non può superare 40 chilometri orari, quale che sia l’aspetto di eventuali segnali precedenti.
La disposizione aggiunge due verifiche cruciali: il macchinista deve chiedere alla centrale la conferma che nel tratto controllato, il «cantone», si trovi soltanto il suo treno; inoltre, l’autorizzazione LZB3 permette di arrivare al segnale successivo, ma non di oltrepassarlo. In altre parole, l’ordine verbale non vale come via libera illimitato. Il blocco totale segue invece istruzioni differenti: il limite di 40 chilometri orari non descrive indistintamente ogni anomalia del LZB.
L’altra verifica riguarda chi dà l’ordine. Secondo El País, gli inquirenti stanno esaminando i precedenti guasti per capire se il ricorso al telefonema LZB4 sia stato un errore isolato o una prassi ripetuta. La nuova disposizione è rivolta ai macchinisti Renfe: resta essenziale coordinare le istruzioni dei controllori Adif con quelle di tutte le imprese che percorrono la linea, comprese Iryo e Ouigo. La sicurezza dipende da una procedura condivisa, non da un solo attore.
LZB ed ERTMS: la differenza reale, senza mitologia
ERTMS non vuol dire «computer nuovo». È il quadro europeo per l’interoperabilità; ETCS protegge la marcia dei treni. Nel livello 2 dell’alta velocità italiana, il Radio Block Centre elabora autorizzazioni al movimento sulla base delle informazioni disponibili sull’itinerario e sull’occupazione della linea. Le trasmette via radio; le eurobalise verificano la posizione.
Il calcolatore di bordo confronta velocità, posizione, prestazioni del convoglio e distanza residua. Calcola quando frenare per rispettare il punto d’arresto. Se il macchinista supera i vincoli di sicurezza, il sistema può comandare i freni. A 200 chilometri orari si percorrono circa 56 metri al secondo. Affidarsi alla sola vista sarebbe un esperimento contro le leggi della fisica.
Un dettaglio spesso ignorato: l’ETCS non «vede» i treni come un radar. Le autorizzazioni dipendono anche dai circuiti di binario o dai conta-assi, dagli apparati di interlocking che vincolano segnali e deviatoi e dalle comunicazioni terra-bordo. Se l’occupazione non è accertabile, la regola progettuale deve essere restrittiva. La sicurezza nasce dalla coerenza fra queste componenti, non dal solo display in cabina.
Attenzione, però: anche il LZB supervisiona continuamente la marcia e può attivare la frenatura automatica. Ridurre il confronto a «Spagna analogica, Italia digitale» sarebbe un errore tecnico. Il punto è quali barriere restino operative dopo un guasto e chi verifichi che un’autorizzazione eccezionale sia compatibile con l’occupazione dei binari. Un buon algoritmo non basta se può essere aggirato.
La distinzione conta anche perché la Spagna sta completando la sostituzione del LZB sulla Madrid-Siviglia con ERTMS livello 2. La documentazione di rete di Adif relativa al 2027, ricostruita da Maldita.es, indica la messa in servizio prevista nel 2027: al momento dell’incidente il nuovo sistema non era ancora operativo su quella direttrice. Ma la migrazione tecnologica, da sola, non risolve il problema di come autorizzare la marcia durante un guasto.
La modalità degradata: dove si decide la sicurezza
La sicurezza si misura durante le anomalie, con operatori sotto pressione e un sistema che deve farsi più prudente.
La «marcia a vista» non è una formalità. Impone di procedere in modo da potersi fermare davanti a un ostacolo visibile, nel rispetto dei limiti prescritti. Per Urda gli esperti richiamano il limite di 40 chilometri orari. La differenza con la marcia ordinaria è la possibilità di arrestarsi prima dell’ostacolo.
In emergenza telefonate, formule codificate e conferme fra macchinista e centrale diventano barriere di sicurezza. Servono ordini inequivoci, lettura di ritorno, registrazioni sincronizzate, controlli indipendenti e interdizioni tecniche dove possibili. Il dipendente sotto pressione non può essere l’unico firewall. Una procedura robusta prevede conferme indipendenti, limiti restrittivi e controlli che non possano essere superati con una semplice istruzione verbale. Cercare «l’errore umano» è facile; capire perché nessuno lo abbia intercettato è utile.
Secondo quanto riferito dal ministro spagnolo Óscar Puente, il LZB avrebbe registrato 170 cadute nel corso del 2026, un valore nell’ordine delle 150-200 anomalie annue segnalate per gli ultimi anni. Secondo El País, nel tratto di 25 chilometri fra i due convogli al momento della ripartenza sarebbero stati conteggiati 13 guasti del LZB dall’inizio dell’anno; il ministro attribuisce circa il 75% delle anomalie a cause esterne, come lavori, furti di cavi e maltempo. Non sono 170 incidenti sfiorati, né questi dati dimostrano da soli la causa del disastro. Ma un evento ricorrente viene usato per rafforzare procedure e ridondanze o normalizzato come un contrattempo che fa perdere puntualità?
L’Italia è più protetta. Non è invulnerabile
L’Italia è stata tra i precursori europei dell’ERTMS/ETCS di livello 2. Rete Ferroviaria Italiana indica 1.088 chilometri di linee AV equipaggiate al 31 dicembre 2025. Su molte linee AV l’ETCS è «stand-alone», senza segnali laterali: non esiste quindi un passaggio identico al sistema di riserva usato in Spagna. La supervisione continua delle autorizzazioni al movimento riduce il rischio che un treno oltrepassi velocità e distanze consentite. Un vantaggio concreto, non uno slogan.
Ma non tutta la rete funziona con ERTMS. Molte linee convenzionali utilizzano lo SCMT, che supervisiona limiti di velocità, segnali e curve di frenatura sulla base delle informazioni trasmesse dalle boe e da altre tecnologie di linea; su altre tratte opera l’SSC. Le caratteristiche cambiano: ERTMS non è ovunque.
L’ETCS, però, dipende dalle informazioni ricevute. Disponibilità, integrità e autenticità dei dati sono requisiti differenti: un sistema può restare acceso e comunicare informazioni errate. Non esiste, allo stato, alcuna base per attribuire a Urda un attacco informatico; la cybersecurity è qui una lezione generale di resilienza. Non può indovinare che uno scambio fisicamente deviato venga descritto da un apparato come correttamente allineato. Se il dato di partenza è falso, anche un sistema avanzato può autorizzare una marcia incompatibile con la realtà. Il precedente italiano è dolorosamente istruttivo.
Livraga, il precedente italiano che vieta i trionfalismi
Il 6 febbraio 2020, sulla linea AV Milano-Bologna, un Frecciarossa deragliò a Livraga a circa 298 chilometri orari. Morirono i due macchinisti. L’indagine DiGIFeMa individua un deviatoio in posizione errata dopo la manutenzione, un cablaggio difettoso e verifiche carenti fra posizione fisica e segnalazione.
Il convoglio viaggiava sotto supervisione ETCS, ma l’informazione disponibile non rappresentava correttamente l’itinerario reale. La protezione automatica non poteva correggere da sola quel difetto. Livraga non è Urda: un deragliamento su uno scambio non è un tamponamento dopo un guasto al controllo della circolazione. In entrambi i casi conta la qualità dei dati e delle verifiche indipendenti.
Dire che una collisione come quella spagnola sarebbe «impossibile» in Italia può avere senso solo riferendosi a uno scenario tecnico specifico, con sistemi integralmente operativi e procedure rispettate. Non è una garanzia generale. Il rischio zero non esiste.
Adamuz e Urda: stessa direttrice, rischi differenti
Il 18 gennaio 2026, ad Adamuz, un deragliamento e la successiva collisione con un altro treno avevano causato 46 morti. L’ipotesi principale riguarda una frattura della rotaia in prossimità di una saldatura, sulla quale si concentra anche l’analisi tecnica della Guardia Civil diffusa a settembre; l’indagine non è conclusa. A Urda, nove mesi dopo, l’attenzione riguarda invece il guasto di un sistema di controllo e la gestione delle autorizzazioni alla marcia. Sono due meccanismi differenti e non vanno confusi.
Non significa che tutta l’alta velocità spagnola sia insicura, ma impone di valutare come viene gestita la rete. Il gestore dell’infrastruttura risponde di binari, apparati e circolazione; le imprese dei treni, del materiale rotabile e della preparazione del personale. La liberalizzazione non li attenua.
La prossima frontiera non è acquistare un altro software
La prima lezione per l’Italia riguarda i test delle condizioni degradate. Bisogna simulare ciò che accade dopo un arresto: più treni bloccati, richieste simultanee, riavvii e istruzioni manuali. Vanno misurati tempi, carico cognitivo e capacità di vietare la ripartenza finché il binario non è libero.
La seconda è smettere di trattare le anomalie ricorrenti come una mera statistica della puntualità. La ridondanza costa, così come la formazione e la verifica indipendente, ma il confronto economico corretto comprende anche il costo del rischio e dell’interruzione di servizio. Servono registri di guasto analizzati per tipologia e frequenza, manutenzione predittiva, analisi delle quasi collisioni, prove dei dispositivi di campo e verifiche indipendenti dopo le lavorazioni notturne. Ogni protezione degradata richiede tracciabilità e misure compensative.
La terza è misurare senza barare. Confrontare i morti dell’ultimo mese o il numero grezzo di incidenti di Italia e Spagna non basta. L’Agenzia ferroviaria europea utilizza indicatori che rapportano gli eventi anche all’attività ferroviaria e distingue la natura degli incidenti. Bisogna monitorare anche gli errori recuperati, le autorizzazioni revocate, le anomalie ripetute e le verifiche che falliscono nei test. La prevenzione precede il disastro.
Anche i dati generali chiedono prudenza: secondo Eurostat, nel 2024 nell’Unione europea il 65,6% delle morti in incidenti ferroviari riguardava persone presenti sui binari senza autorizzazione e il 25,5% i passaggi a livello. Sono rischi di natura diversa da una collisione tra treni ad alta velocità. Un confronto internazionale utile deve perciò distinguere i tipi di incidente, oltre al volume del traffico.
La quarta è sottoporre le procedure degradate a verifiche periodiche indipendenti, pubblicando indicatori aggregati sulle anomalie senza trasformare la trasparenza in una caccia al singolo operatore. La ferrovia resta una delle forme di mobilità più sicure. Proprio per questo una collisione ad alta velocità è inaccettabile: non perché la tecnologia sia inutile, ma perché nessuna tecnologia può diventare un alibi organizzativo. La domanda non è se i nostri treni abbiano un software migliore di quello spagnolo. È se domani mattina, quando quel software segnalerà un’anomalia, esisteranno davvero persone, regole e dispositivi capaci di impedire che l’incertezza diventi un ordine di partire.
Approfondimenti e fonti
3. elDiario.es, aggiornamento sulla nota AITAT e sullo stato delle indagini (1 novembre 2026)
4. El País, ricostruzione delle comunicazioni e dei protocolli LZB (30 ottobre 2026)
5. El País, analisi delle interruzioni del LZB e della sua resilienza (31 ottobre 2026)
6. RTVE, il funzionamento di LZB, ASFA e segnalamento in caso di guasto (29 ottobre 2026)
7. RFI, ERTMS/ETCS: architettura, livello 2 e diffusione sulle linee AV italiane
8. RFI, Sistema Controllo Marcia Treno (SCMT): supervisione della marcia sulle linee tradizionali
9. Agenzia ferroviaria europea (ERA), Braking curves: principi del controllo della frenatura ETCS
10. DiGIFeMa, relazione finale d’indagine sul deragliamento AV di Livraga (6 febbraio 2020)
11. RTVE, approfondimento sull’ipotesi della rottura della saldatura ad Adamuz (3 settembre 2026)
12. ERA, Report on Railway Safety and Interoperability in the EU 2026
13. RTVE, Consigna obbligatoria Renfe dopo Urda (1 novembre 2026)
14. El País, La nuova indagine sui precedenti LZB4 (2 novembre 2026)
15. EFE, Identificazione delle vittime e ricoverati (2 novembre 2026)
16. Adif/Maldita.es, La migrazione ERTMS Madrid-Siviglia (30 ottobre 2026)
17. Eurostat, Railway safety statistics in the EU, dati 2024
Partecipa alla community