Scontro tra treni in Spagna: il segnalamento in avaria e il via libera sotto inchiesta

Il 28 ottobre 2026, poco prima delle 8:54, un treno AVE di Renfe partito da Madrid verso Siviglia ha tamponato un convoglio Iryo fermo sulla linea ad alta velocità Madrid-Andalusia, tra Los Yébenes e Urda, in provincia di Toledo. Nella notte il presidente di Castilla-La Mancha, Emiliano García-Page, ha confermato 68 morti e ha avvertito che il bilancio può ancora salire; il servizio di emergenza 112 della regione aveva contato fino a 107 ricoverati. Secondo la nota della Farnesina delle 22:49, a bordo c’erano nove italiani: cinque in condizioni stabili, uno ricoverato a Toledo, tre donne disperse. Lo scontro tra treni in Spagna è il secondo disastro sull’alta velocità spagnola in nove mesi, dopo il deragliamento di Adamuz del 18 gennaio.

Le cause le stabiliranno l’inchiesta giudiziaria e quella tecnica. La prima ricostruzione del governo spagnolo indica però una sequenza precisa: un guasto al sistema che controlla la marcia dei treni, un ordine di ripartenza dato dal centro di regolazione della circolazione, nessuna barriera automatica in grado di fermare il convoglio. La notizia separa i fatti confermati da quelli ancora da verificare e spiega perché il caso interessa chiunque gestisca un’infrastruttura critica: nei sistemi molto automatizzati il momento più delicato è spesso quello in cui l’automazione viene meno.

Cosa è successo tra le 8:30 e le 8:54

Secondo il ministro dei Trasporti Óscar Puente, verso le 8:30 è caduto il sistema di controllo del posto di Urda e un tratto di 69 chilometri, con circa sei treni in linea, è rimasto senza LZB. L’LZB (Linienzugbeeinflussung) è il sistema di origine tedesca che sulla Madrid-Siviglia, la prima linea ad alta velocità spagnola, comunica con il treno attraverso un cavo posato lungo il binario e ne sorveglia velocità e distanza dai convogli che precedono. Quando l’LZB si ferma, la supervisione automatica sparisce e la circolazione passa a regole di marcia degradata, affidate alle persone.

La sequenza ricostruita finora da governo, servizi di emergenza e registrazioni delle comunicazioni diffuse dalla stampa spagnola è questa:

Ora	Evento	Chi lo riferisce
8:30 circa	guasto informatico nel posto di Urda, LZB fuori servizio, treni fermi	ministro dei Trasporti
8:36	il centro di regolazione di Adif ad Atocha autorizza l’AVE 2080 a riprendere la marcia “normale”	audio diffusi da Cadena SER, El País ed elDiario.es
8:41	l’Iryo 6076, fermo davanti al segnale di Urda, riceve lo stesso ordine	stessi audio
8:48	l’Iryo comunica di non riuscire a riattivare l’LZB e resta fermo	stessi audio
8:53-8:54	l’AVE tampona l’Iryo all’altezza del chilometro 118; le ultime carrozze dell’Iryo deragliano e alcune finiscono lungo la scarpata	112 di Castilla-La Mancha, Iryo

Sull’AVE viaggiavano 393 persone e sull’Iryo 147, secondo i dati del governo regionale riportati dalla televisione pubblica di Castilla-La Mancha. Puente ha definito “inexplicable” la decisione del centro di controllo e ha parlato di una scelta “a todas luces errónea”, presa mentre i treni risultavano localizzati sugli schermi. Secondo il ministro, dopo la caduta dell’LZB il regolamento imponeva la marcia a vista, un regime in cui il macchinista deve poter fermare il treno davanti a qualsiasi ostacolo e che l’Agenzia statale per la sicurezza ferroviaria spagnola limita in ogni caso a 40 chilometri orari.

Cosa resta da chiarire

Molti punti sono ancora aperti, e alcune cifre circolate nelle prime ore si sono rivelate sbagliate. Durante la giornata il numero dei morti riportato dai media è passato da 10 a 30, poi a 46, 64 e 68; la Guardia Civil sta raccogliendo campioni di DNA dai familiari per le identificazioni. Restano da accertare:

• Il guasto. Il ministro lo attribuisce a un problema di comunicazione tra i computer del posto di Urda; Adif ha dichiarato di analizzare tutti i sistemi per stabilirne la causa.
• L’ordine di ripartenza. La persona che ha autorizzato la marcia normale è stata identificata e ascoltata dalla Guardia Civil. Non è chiaro se abbia agito da sola, con quali informazioni a schermo e secondo quale procedura.
• La sosta dell’Iryo. Renfe sostiene che il treno era fermo “por causas que desconocemos”; secondo le registrazioni la macchinista dell’Iryo aveva comunicato di non poter ripartire.
• I sistemi di riserva. In caso di guasto dell’LZB la linea dispone dell’ASFA, il sistema nazionale spagnolo di protezione, che può frenare il treno. Non è stato chiarito se e come sia intervenuto.
• La velocità. Il ministro ha parlato di velocità fino a 200 km/h, una ricostruzione del quotidiano El Español di circa 137 km/h. Il dato arriverà dai registratori di bordo, i cosiddetti JRU.

Chi indaga: la magistratura e l’autorità tecnica indipendente

Le inchieste sono due, con scopi diversi. Quella penale è affidata alla giudice della sezione 2 del Tribunale di Orgaz, che nella serata del 28 ottobre ha disposto il segreto istruttorio e il sequestro dei registratori di bordo. Quella tecnica spetta all’autorità indipendente per l’investigazione degli incidenti di trasporto, operativa da luglio 2026 al posto delle tre commissioni del Ministero dei Trasporti per ferrovie, mare e aviazione civile (tra cui la storica CIAF, che aveva indagato su Adamuz). Secondo la stampa locale l’autorità ha inviato tre investigatori a Urda e due nel centro di controllo di Atocha, e considera prematuro formulare ipotesi.

Il presidente del governo Pedro Sánchez, dopo la visita al posto di comando avanzato di Urda, ha annunciato tre giorni di lutto ufficiale (regio decreto 949/2026, dal 29 al 31 ottobre) e ha promesso che eventuali negligenze verranno accertate. Ha aggiunto che tutto indica che le origini dei due incidenti, Adamuz e Urda, non hanno nulla in comune, lasciando però la valutazione agli investigatori. Per Adamuz la relazione intermedia di aprile ha indicato come causa la rottura di una rotaia; la relazione finale non è ancora uscita.

La cornice dell’indagine tecnica è europea. La direttiva (UE) 2016/798 sulla sicurezza delle ferrovie definisce “incidente grave” ogni collisione o deragliamento che causa almeno un morto, e prevede:

• Obbligo di indagine (articolo 20). Dopo un incidente grave l’indagine è obbligatoria e ha come obiettivo migliorare la sicurezza; non serve, in nessun caso, a stabilire colpe o responsabilità.
• Indipendenza (articolo 22). L’organismo investigativo deve essere indipendente dal gestore dell’infrastruttura, dalle imprese ferroviarie e dall’autorità di sicurezza. Nel caso di Urda il gestore è Adif, cioè la stessa struttura il cui centro di controllo ha dato l’ordine contestato.
• Tempi (articolo 24). La relazione finale va pubblicata di norma entro 12 mesi; se non è pronta, l’organismo pubblica una dichiarazione intermedia a ogni anniversario, con lo stato dell’indagine e le questioni di sicurezza emerse.

La distinzione tra i due piani conta anche per chi lavora nella sicurezza aziendale: l’inchiesta penale cerca i responsabili, quella tecnica cerca le condizioni che hanno reso possibile l’errore. È dalla seconda che arrivano le raccomandazioni utili per tutto il settore.

Cosa insegna lo scontro tra treni in Spagna: quando il segnalamento va in avaria

La ferrovia resta uno dei modi di trasporto più sicuri. Secondo il rapporto 2026 dell’Agenzia dell’Unione europea per le ferrovie (ERA), nel 2024 i Paesi dell’Unione hanno registrato 1.507 incidenti significativi, 750 morti e 548 feriti gravi, con un rischio di morte per i passeggeri di 0,034 ogni miliardo di passeggeri-chilometro. Collisioni e deragliamenti pesano per circa il 3% delle vittime. Lo stesso rapporto registra in media 2.314 superamenti di segnali a via impedita all’anno tra il 2020 e il 2024, meno di un quarto dei quali oltre il punto di pericolo.

Il profilo, quindi, è quello tipico delle infrastrutture critiche: eventi rari, conseguenze enormi quando accadono. Sulle linee ad alta velocità la protezione si regge su più barriere sovrapposte. La prima è il sistema automatico (LZB, ERTMS o i sistemi nazionali) che impedisce al treno di superare la velocità consentita o di avvicinarsi troppo al convoglio che precede. Quando questa barriera cade, la sicurezza passa a regole scritte, comunicazioni verbali e decisioni di singole persone: è il regime degradato.

Dalla ricostruzione disponibile, Urda mostra tre debolezze ricorrenti dei regimi degradati, valide ben oltre il caso spagnolo:

• Si usano poco. Le procedure di emergenza si applicano raramente e per questo si conoscono meno di quelle ordinarie.
• Arrivano sotto pressione. Sei treni fermi in linea, centinaia di passeggeri, un orario da recuperare: il guasto crea una spinta a ripristinare il servizio in fretta.
• Concentrano il rischio su una persona. Senza supervisione automatica, un’autorizzazione sbagliata non trova barriere a valle, salvo quelle che l’organizzazione ha previsto apposta (una seconda verifica, una conferma incrociata con il treno che precede, un blocco software sugli ordini incompatibili).

Sono principi noti della gestione del rischio, non conclusioni dell’inchiesta, che potrebbe individuare anche fattori tecnici oggi ignoti. Il tema della convergenza tra guasti dei sistemi e decisioni umane è lo stesso che l’archivio ha affrontato a proposito della gestione integrata dei rischi di safety e security nei sistemi industriali, e che riguarda tutte le reti, dai trasporti all’energia, descritte nell’articolo sulla protezione delle infrastrutture critiche.

Il confronto con l’Italia: ERTMS e indagini

In Italia le linee ad alta velocità usano dal 2005 l’ERTMS, il sistema europeo di gestione del traffico ferroviario, con il segnalamento trasmesso in cabina. Sul resto della rete operano i sistemi nazionali SCMT e SSC, che la normativa europea chiama “di classe B”. Secondo la pagina dei piani nazionali di RFI, l’Italia ha scelto di portare l’ERTMS su tutta la rete, anche fuori dai corridoi europei, dismettendo progressivamente lo SCMT: sono in corso i lavori sui primi 3.000 chilometri circa, finanziati in parte dal PNRR, con circa 4.000 veicoli da adeguare. Il regolamento (UE) 2024/1679 sulle reti TEN-T fissa le scadenze europee al 2030 per la rete centrale, al 2040 per quella centrale estesa e al 2050 per la rete globale; RFI ha indicato il 2036 come obiettivo per l’intera rete.

Neanche l’ERTMS elimina le procedure degradate: ogni sistema di segnalamento prevede modalità di marcia per i guasti, e in quei momenti la sicurezza torna a dipendere da regole e persone. La lezione di Urda riguarda quindi le procedure e l’organizzazione almeno quanto la tecnologia.

Anche le indagini italiane seguono la direttiva 2016/798, recepita con il decreto legislativo 14 maggio 2019, n. 50. Dal 29 dicembre 2023 l’organismo investigativo è l’Ufficio per le investigazioni ferroviarie e marittime del Ministero delle infrastrutture e dei trasporti, che ha sostituito la precedente direzione generale. La sua relazione annuale 2024 registra una sola collisione tra treni fra gli incidenti gravi dell’anno (Milano Greco Pirelli, 13 settembre 2024) e 16 raccomandazioni, tutte rivolte all’ANSFISA, l’agenzia nazionale per la sicurezza. Sette riguardano l’incidente di Brandizzo, in cui morirono cinque lavoratori, e chiedono tra l’altro di limitare e rendere più chiare le comunicazioni tra il dirigente movimento e il responsabile del cantiere: lo stesso punto critico, lo scambio di autorizzazioni tra chi regola la circolazione e chi è sul binario, emerso a Urda.

Cosa seguire nelle prossime settimane

Gli sviluppi attesi riguardano più livelli:

Cosa	Chi	Perché conta
bilancio definitivo e identificazioni	Guardia Civil, autorità sanitarie	i numeri sono ancora provvisori
prime risultanze tecniche	autorità indipendente per gli incidenti di trasporto	chiarirà il guasto, il ruolo dell’ASFA e la procedura applicata
inchiesta penale	Tribunale di Orgaz	coperta dal segreto istruttorio
audizione del ministro	Congresso dei deputati	l’opposizione ha chiesto spiegazioni, data non ancora fissata
relazione finale su Adamuz	autorità indipendente	prima lettura sistemica della sicurezza dell’alta velocità spagnola nel 2026
eventuale dichiarazione intermedia su Urda	autorità indipendente	dovuta entro il 28 ottobre 2027 se la relazione finale non sarà pronta

Sul fronte della comunicazione, la giornata del 28 ottobre ha mostrato anche quanto pesino in un’emergenza i numeri non consolidati e l’assistenza ai familiari, temi trattati nell’articolo sui piani di evacuazione e la comunicazione di crisi.

Le verifiche per chi gestisce infrastrutture e sistemi critici

In attesa delle conclusioni delle indagini, il caso offre una traccia di controllo utile a gestori di reti, impianti e sale operative:

1. Censire i regimi degradati. Elencare per ogni sistema di protezione automatica cosa succede quando si ferma, quali regole subentrano e chi le applica.
2. Eliminare i punti singoli di decisione. Verificare che nessuna autorizzazione critica in regime degradato dipenda da una sola persona senza conferma indipendente.
3. Scrivere i criteri di ripartenza. Stabilire prima, e non durante l’emergenza, quali condizioni servono per riprendere il servizio dopo un guasto.
4. Esercitarsi in degradato. Inserire guasti dei sistemi automatici nelle esercitazioni periodiche, con la stessa pressione di tempo che si avrebbe in esercizio.
5. Standardizzare le comunicazioni. Usare formule fisse, ripetizione dei messaggi e registrazione delle conversazioni operative, da analizzare anche quando non succede nulla.
6. Seguire le raccomandazioni degli organismi investigativi. Le relazioni sugli incidenti, italiane ed europee, sono pubbliche e contengono lezioni applicabili anche a settori diversi dal ferroviario.

Domande frequenti

Cosa ha causato lo scontro tra i treni vicino a Toledo?

Le cause non sono ancora accertate. Secondo il governo spagnolo, dopo la caduta del sistema LZB il centro di controllo di Adif ha autorizzato l'AVE a riprendere la marcia normale, mentre il regolamento imponeva la marcia a vista.

Che cos'è la marcia a vista sulle linee ferroviarie spagnole?

È un regime in cui il macchinista deve poter fermare il treno davanti a qualsiasi ostacolo. L'Agenzia statale per la sicurezza ferroviaria spagnola fissa in ogni caso il limite a 40 chilometri orari.

Chi indaga sull'incidente ferroviario di Urda?

Indagano la giudice del Tribunale di Orgaz, che ha disposto il segreto istruttorio, e l'autorità indipendente per l'investigazione degli incidenti di trasporto, che ha sostituito la CIAF.

Entro quando deve uscire la relazione tecnica su un incidente ferroviario grave?

Di norma entro 12 mesi, secondo l'articolo 24 della direttiva (UE) 2016/798. Se non è pronta, l'organismo investigativo pubblica una dichiarazione intermedia a ogni anniversario.

Le linee ad alta velocità italiane usano lo stesso sistema di segnalamento?

No. In Italia le linee ad alta velocità usano dal 2005 l'ERTMS, mentre sul resto della rete operano SCMT e SSC. RFI ha indicato il 2036 come obiettivo per portare l'ERTMS su tutta la rete.