O caminho de ferro é um modo de transporte de massas muito complexo, cuja segurança não pode limitar-se ao fator humano. É por isso que existem sistemas de sinalização e segurança que permitem circular sem risco de colisão com outros comboios e até sem ultrapassar a velocidade máxima permitida. Hoje, no Encarrilando da Railin, explicamos o sistema que, lamentavelmente, está na boca de todos: o LZB.
Embora tenha sido inventado nos anos 60 — a primeira versão entrou em serviço em 1965 —, tem sido modernizado de forma constante para se adaptar às novas tecnologias e necessidades, mantendo a robustez que sempre o caracterizou.
O LZB é um supervisor eletrónico que acompanha o maquinista, indica-lhe a velocidade que pode atingir e trava o comboio se esta não for respeitada. Se deixar de funcionar, o comboio não pode continuar como se nada tivesse acontecido: é necessário passar para um sistema de reserva com regras rigorosas e conduzir com menos supervisão.
Essa última parte é a chave para compreender o ocorrido em Urda (Toledo), onde os Transportes situam a origem do incidente na avaria deste sistema. As causas definitivas serão determinadas pela investigação técnica.
O que é: o copiloto que não se distrai
LZB são as siglas de Linienzugbeeinflussung (um trava-línguas de salsicha como prémio para quem o pronunciar bem), que pode traduzir-se como «controlo contínuo do comboio». A palavra-chave é «contínuo». Outros sistemas comunicam com o comboio apenas ao passar por pontos concretos da via designados balizas, enquanto o LZB mantém a conversa todo o tempo, utilizando um cabo colocado no centro da via.
Funciona como um copiloto muito rigoroso. Diz ao maquinista a que velocidade pode circular, que velocidade terá de ter mais adiante — incluindo os 0 km/h de uma paragem — e a que distância. Se o comboio exceder o limite permitido, o sistema aciona o travão de emergência.
Imagine que à frente há um comboio parado. O LZB não permite que o que vem atrás se aproxime mais do que o devido e vigia que reduza a velocidade a tempo para parar com margem.
Além disso, por ser um cabo contínuo, aumenta a capacidade da linha.
Vejamos porquê.
Uma via divide-se em pequenos troços designados cantões físicos. Cada um tem, numa ou em ambas as extremidades, um sinal luminoso — um semáforo, para o comum dos mortais — que permite a entrada de um comboio se o cantão estiver livre (não houver outro comboio dentro). Se estiver ocupado, o sinal é fechado (fica vermelho) e o comboio tem de esperar até que o outro saia e seja seguro continuar. Este é o conceito básico do bloqueio ferroviário.
Se o maquinista ultrapassar o sinal, os sistemas de segurança mais rudimentares, como o ASFA, travam imediatamente o comboio.
Os cantões costumam ser muito longos, de vários quilómetros. Mas o LZB permite subdividi-los com segurança em cantões mais pequenos, conhecidos como cantões LZB ou, de forma mais divulgativa, cantões virtuais. Desta forma, cabem mais comboios no mesmo cantão físico.
Estes cantões virtuais são essenciais, porque estas pequenas secções não têm sinais que permitam ou impeçam o acesso; dependem de todo o sistema funcionar.
Como funciona: um cabo para manter o fio da conversa
O sistema tem duas partes que comunicam entre si.
Uma é o equipamento em terra, entre o qual se encontra uma central que conhece a situação da via e calcula as autorizações de circulação.
A outra é o equipamento embarcado do comboio, que recebe e envia dados do veículo, os apresenta na cabina e supervisiona se a marcha respeita os limites estabelecidos.
A informação circula através de um cabo estendido ao longo da via, com o qual o comboio troca mensagens. As mensagens viajam nos dois sentidos, da central para o comboio e do comboio para a central. É uma conversa constante, contínua, como sublinhámos antes: «o que posso fazer?», «isto é o que fazes», «isto é o que te permito».
O LZB não é um radar nem uma câmara que «veja» obstáculos. Trabalha com informação precisa: onde estão os comboios, que troços estão ocupados e como trava cada composição. Porque cada comboio trava de uma maneira diferente.
Onde se utiliza
É uma tecnologia alemã que também é utilizada na Áustria. Em Espanha, está associada à linha de alta velocidade Madrid–Sevilha, inaugurada em 1992, e à C-5 de Cercanías Madrid. O regulamento espanhol permite até 300 km/h com LZB em serviço. Na rede de bitola métrica operada pela Euskotren utiliza-se o EuroLoop, baseado no sistema alemão.
Hoje, a linha de alta velocidade está em transição para o sistema europeu ERTMS. A Adif adjudicou em 2021 a renovação à Thales — agora Hitachi — por cerca de 94 milhões de euros, e o LZB ainda coexiste com o sistema que está a ser instalado.
Na Alemanha, a DB prevê retirar o LZB das suas linhas até dezembro de 2029, um objetivo sujeito à obtenção do financiamento necessário.
O que acontece quando deixa de funcionar
Aqui convém separar três cenários que podem parecer semelhantes, mas têm diferenças importantes:
- Saída normal: o comboio abandona a zona com LZB conforme previsto.
- Perda de transmissão: o comboio deixa de receber informação do sistema.
- Avaria do equipamento do comboio: a falha está a bordo.
Numa perda de transmissão, o regulamento espanhol distingue dois casos, consoante o que é apresentado na cabina.
Se o troço até ao sinal seguinte estiver livre, o maquinista trava e continua a guiar-se pelos sinais luminosos laterais, como no caminho de ferro clássico. Afinal, são fiáveis, pois não deixam entrar no cantão se este estiver ocupado.
O que acontece se o troço — o cantão físico — estiver ocupado por outro comboio? O que vem atrás já não tem nenhum sinal que lhe impeça entrar nessa secção, porque já está dentro. Sem o LZB, nem o comboio nem o maquinista podem saber se há outro mais à frente. Essa informação só existe no CRC (Centro de Regulação da Circulação).
Por esse motivo, quando há mais do que um comboio num cantão físico e o LZB cai, todos os comboios param e o maquinista avisa o responsável pela circulação, que se encontra no CRC. Este, após as verificações, pode autorizar apenas a marcha à vista, uma vez que, em algum ponto do percurso, poderia colidir com o comboio que se encontra mais à frente no mesmo troço.
No caso do acidente de Toledo, o cantão físico estava ocupado pelo comboio da Iryo e ao AVE foi autorizada a circulação normal, sem marcha à vista, como se não houvesse outro comboio no mesmo troço.
O que é a marcha à vista
Quando não há nenhum sistema de segurança automático ativo nem nenhum sinal luminoso visível, a visão do maquinista é a única proteção do comboio. Em marcha à vista, o maquinista só pode circular a uma velocidade suficientemente baixa para parar antes de colidir com um obstáculo na via — como um comboio, uma árvore ou uma rocha destacada — ou com um sinal de paragem. Não é «ir um pouco mais devagar».
Neste caso, a velocidade máxima neste modo teria sido de 40 km/h. As fontes do Ministério indicam que o AVE atingiu cerca de 200 km/h antes da colisão.
O que fazem na Alemanha quando o LZB falha
Se se perguntar como é que a DB InfraGO — o equivalente alemão da Adif — gere esta situação, também não para toda a linha nem deixa os comboios circular livremente. A sua norma distingue dois modos de bloqueio.
No primeiro, o comboio pode continuar orientado pelos sinais se já percorreu 2.000 metros a um máximo de 160 km/h, respeitando todos eles. Se não o fez, deve percorrer 2.000 metros a um máximo de 40 km/h; em ambos os casos, avisa o responsável pela circulação. Ou seja, os primeiros 2 km são feitos em marcha à vista e, depois, pode acelerar até aos 160 km/h.
No segundo modo, o comboio para, informa da sua posição e só continua mediante as ordens regulamentares, entre as quais uma de marcha à vista até ao sinal seguinte. Os textos explicativos indicam que esta exigência responde a um requerimento da autoridade ferroviária alemã.
É tão seguro como dizem?
Os ferroviários têm claro que é um sistema muito seguro, apesar da sua idade. Alguns descrevem-no mesmo como o mais seguro da Europa, acima do ERTMS.
Supervisiona de forma contínua, trava automaticamente e vigia-se a si próprio: três computadores processam os mesmos dados em paralelo e, se um discordar, os outros dois continuam. Se falhar outro, o equipamento fica fora de serviço. É o princípio do «fallo seguro»: perante a dúvida, o sistema restringe em vez de permitir.
Mas seguro não significa infalível. Protege dentro daquilo que vê e das regras que lhe são aplicadas. E a sua avaria não é o perigo em si: o importante é o que acontece depois de deixar de funcionar; um cenário que há que evitar, mas para o qual é preciso estar preparado quando ocorrer.
Com Toledo, a questão não é apenas por que razão o LZB caiu, mas como foi gerida a circulação sem ele e por que não se evitou o alcance a partir do CRC. Para responder, será necessário analisar as caixas negras, as comunicações e as ordens do posto de comando.