Si un sistema diseñado para evitar colisiones y descarrilamientos ha fallado dos veces en pocos meses, ¿qué parte del modelo ha dejado de funcionar?