Il punto sull'investigazione del disastro dell'Airbus dell'American Airlines precipitato al suolo dopo il decollo a New York
Nine-eleven, «911», è
un numero che negli Stati Uniti serve per le chiamate telefoniche d'emergenza
e, dopo gli attentati dell'11 settembre, è diventato un modo di
dire telegrafico per fare riferimento ai fatti di quel giorno.
L'aviazione civile internazionale ha subito un colpo traumatico da quegli
eventi, forse peggiore di quanto veniva temuto qualche anno fa in relazione
all'aumento del traffico aereo dopo il 2000. Era stato considerato da
molti esperti di sicurezza operativa [safety] che il tasso di perdite
d'aeromobile in relazione al numero totale dei voli effettuati in un anno
nel mondo, anche se molto basso [mediamente al di sotto di one accident
per million flights], avrebbe portato nel decennio 2000-2010 ad un
aumento del numero totale di incidenti a causa del prevedibile raddoppio
dei voli. Ovviamente si era trattato di un riferimento di massima e con
evidente orientamento pessimistico, dal momento che il sistema aviazione
è troppo complesso per poter azzardare qualsiasi previsione sulla
sicurezza di questo o quell'operatore e, di conseguenza, sulla sicurezza
dell'intero sistema.
Però la proiezione era una sorta di "luce ambra", un'indicazione
che nuovi margini, in base a nuovi criteri, dovevano essere introdotti
nelle operazioni di volo.
In particolare ciò si rendeva necessario di fronte ad un crescente
ingresso nello scenario di nuove piccole ed aggressive compagnie, promosso
e favorito dalla deregulation tariffaria.
Si disse che i media ed il pubblico non avrebbero tollerato di assistere
a scadenza pressoché settimanale alle immagini di incidenti aerei
e l'allontanamento degli utenti che ne sarebbe potuto derivare avrebbe
arrecato notevoli danni ai bilanci di molti operatori. Condizione che
avrebbe potuto provocare possibili tagli su voci importanti per la sicurezza
come addestramento, manutenzione, termini di impiego del personale, ecc.
Ebbene, «911» ha provocato in un paio di mesi quello che si temeva
potesse avvenire in un periodo di qualche anno. Ma un altro effetto perverso
di «911» è quello di aver portato i media a "proporre" un illogico
atteggiamento di [pur se contenuto] sollievo ogni volta che un disastro
aereo poteva essere attribuito a fattori non dipendenti da atti di terrorismo.
La cronaca, ma ancor più i siti Internet che attivamente diffondono
notizie su incidenti in tutto il mondo, ci ha messo di fronte ad una
sequenza di tragici eventi [indipendenti da azioni criminali] che peggiorano
il già pessimistico quadro predittivo dell'aumento di incidenti
a causa dell'aumento del traffico nel decennio in corso.
Però l'attenzione dei media viene distolta dal seguire l'evoluzione
delle investigazioni a riguardo, specialmente quando queste si prospettano
lunghe, complesse e di difficile comprensione per il pubblico più
vasto dei non esperti della materia.
Invece è importante non perdere contatto con quanto emerge dai
rilievi degli investigatori e degli esperti, per capire le implicazioni
significative per la sicurezza delle scelte o delle non
scelte (di gestione) e per capire come l'industria del trasporto aereo
si pone in relazione ad esse, quindi per conoscere gli aspetti politici
dell'origine delle cause degli incidenti.
Per questo proponiamo, con qualche commento, queste due efficaci istantanee
di quanto è stato accertato al momento sul disastro dell'A300 American
Airlines di New York.
A300 Tail Checks Ordered; Flight 587 Probe Focuses On Turbulence Aftermath
By Sean Broderick/AviationNow.com
[16-Nov-2001]
As airlines move to inspect tail sections of
two Airbus models, investigators probing the American Airlines Flight
587 accident are looking at an eight-second stretch that started with
a turbulence encounter as the key sequence in understanding why the plane
lost control and tumbled out of the sky.
The inspections, ordered today and developed with input from Airbus, give
operators of A300-600s and their closely related predecessors, A310s,
15 days to inspect the area where each plane's all-composite tail attaches
to the fuselage.
Each of the six attachment assemblies -- two forward, two center, and
two aft going back along the left and right sides of the fuselage/tail
joint -- is made up of four key parts.
A composite piece on the tail fits between two attachment points on
the fuselage, and a titanium bolt goes through all three parts to secure
them.
Investigators found that Flight 587's tail assembly separated from the
fuselage along the bottom of the fin, above the bolts. Images released
by the board show bolts still attached to the parts of the assemblies
mounted on the fuselage. With no signs of damage from debris on the tail
and rudder, investigators believe that aerodynamic forces alone may have
caused the remarkable event.
Among the key questions that months of painstaking analysis of data will
seek to answer:
Was there a latent
weakness in the tail that, combined with the turbulence and subsequent
corrections by the pilots, was enough to cause the failure?
Or was the plane's empennage
somehow subjected to such high loads that forces literally ripped a perfectly
airworthy tail fin right off?
If there is a fleet-wide problem
with the A300-600 tail, the newly mandated inspections could uncover it
very quickly. Technically, the airworthiness directive (AD No. 2001-23-51)
-- issued simultaneously by France's DGAC and the U.S. Federal Aviation
Administration (FAA) -- mandates the checks for planes registered in those
countries only.
But even if other regulators around the world don't immediately adopt
the AD, operators of the affected Airbus widebodies are likely to take
a look at their planes. Airbus today issued an all-operators telex to
everyone that flies the plane recommending that the checks be done. Such
communications from manufacturers are, by definition, not mandatory. But
in cases like this one, in which they are triggered by an accident investigation,
they are rarely ignored.
The AD orders operators to check the attachment assemblies for damage,
especially evidence of edge delaminations, cracked paint, surface distortions,
moisture damage, and cracked, splitting, or frayed fiber on the composite
parts.
The AD orders operators to report all findings -- "positive and negative"
-- to FAA. Aside from obvious defects like broken bolts or cracked fittings,
it's not yet clear how FAA and other safety officials will distinguish
routine findings, such as normal in-service wear, from findings that should
be cause for concern.
If officials determine
the checks turn up nothing out of the ordinary, investigators must still
consider the possibility that the Flight 587 aircraft -- registered as
N14053 -- lost its tail because of isolated structural problem.
Investigators know that one of the plane's tail attachments was repaired
sometime before the aircraft was delivered from Airbus to American. The
damage may have occurred during production, which is not uncommon on any
aircraft manufacturer's production line.
In such instances, the plane-maker's engineers evaluate the damage and
come up with a fix that will keep the aircraft in like-new condition.
In the case of N14053's tail, the appropriate repair was determined to
be a "doubler" and rivets, to add stregth, U.S. National Transportation
Safety Board (NTSB) investigator George Black said. Airbus, which pioneered
the now-widespread use of composites on commercial airliners, made the
fix and delivered the plane to American.
The AD indicates that officials are especially
interested in learning more about the long-term durability of such repairs
through the just-ordered inspections. "Any alteration made to the composite
structures, either during production or post-production, is considered
areas of primary concern," FAA said in the rule.
Should investigators determine that there was nothing wrong with N14053's
tail, they will focus even more on the forces that acted upon the aircraft
near the end of its three-minute flight.
Investigators know that the American plane took off out of New York-Kennedy
Monday morning about 1 minute 45 seconds after a Japan Airlines 747-400.
When the Airbus got into trouble, it was following a track about four
nautical miles downwind and some 800-1,000 feet below the 747 -- ideal
conditions for hitting wake turbulence from the jumbo jet.
Information gleaned from N14053's flight data recorder (FDR) indicates
that Flight 587 reacted in a manner consistent with light to moderate
wake turbulence roughly one minute into the flight, indicating that the
Airbus may have hit the first of two vortices created by the 747's wing
tips.
About 18 seconds later, the pilots are heard discussing a "wake encounter,"
information from the cockpit voice recorder synchronized with the FDR
data showed. Almost immediately, the plane again exhibited movements consistent
with a routine wake encounter -- possibly the second vortex from the 747.
Neither encounter was particularly severe, investigators said, and were
certainly not violent enough to rip an airworthy A300-600's tail off.
It is not until just after the second encounter that Flight 587 got into
trouble, the FDR showed. A second after the Airbus flew through the latter
area of turbulence, it began a series of violent lateral movements. In
about five seconds, the A300-600 moved to the right twice, then to the
left once, undergoing what NTSB Chairman Marion Blakey characterized as
"very significant lateral acceleration."
Each movement was consistent
with both the rudder position and the rudder pedal positions captured
by the FDR, investigators said. But since, like most FDRs, the A300-600's
FDR doesn't record forces on control inputs like rudder pedals, investigators
can't say for sure that Flight 587's pilots commanded the rudder movements.
Just after the five-second series of
rudder-induced lateral movements, rudder data on the FDR becomes "unreliable,"
investigators said. This could be where the tail -- or at least the rudder
-- separated from the plane.
The Airbus then banked sharply left and its nose dropped. The FDR stops
recording data, indicating a power loss that may have been caused by the
tail taking out some of the plane's electrical power.
The CVR, running on a battery backup, recorded a call for "max power"
-- or full engine thrust -- by the first officer. "They're in recovery
mode now," NTSB's Black said.
Two seconds after the max power comment, the pilots refer to having lost
control, the CVR showed.
Seventeen seconds later, or 2 minutes, 24 seconds after takeoff power
was applied to start the departure, Flight 587's CVR stopped recording
-- likely due to impact with the ground.
The key eight-second stretch that investigators want to break down in
excruciating detail began with the second wake encounter and ended when
the FDR stopped recording.
Investigators will interpret the FDR data and apply sophisticated engineering
models to help determine what kind of forces were put on the A300-600,
and its tail assembly in particular. Once the forces are better understood,
investigators will be tasked with identifying what triggered them and
-- barring discovery of a pre-existing structural problem -- how the assembly
snapped off.
Causes of the rudder
kicks and subsequent upset that will be examined include defects in the
A300-600's avionics, potentially dangerous aerodynamic conditions like
flutter, and a simple case of excessive rudder input by the pilots.
Commento
La storia del montaggio
della deriva di coda con il "doubler" di rinforzo ed i ribattini fa pensare
al racconto di Pirandello "La giara" in cui Zi Rafa, il proprietario del
grosso contenitore d'olio, pretendeva da mastro Zi Dima una riparazione
con "mastice e punti" in luogo del solo "mastice" miracoloso proposto
dal vasaio, una soluzione, secondo quest'ultimo, molto più idonea
alla solidità dell'otre.
Lo scopo di Pirandello non era certo quello di fare considerazioni di
resistenza strutturale sulla riparazione della giara ma il racconto fa
pensare al diverso quadro mentale dei due compari e al fatto che le innovazioni
trattate con vecchi metodi possono tradire e che, in ogni caso, ogni innovazione
può diminuire i margini di errore.
Pertanto, almeno come accostamento filosofico al problema, qualche sospetto
poteva nascere in Airbus Industrie quando utilizzarono un criterio valido
per strutture metalliche applicandolo ad un materiale composito.
Questo vuol dire che, anche se sulla carta una tale riparazione poteva
risultare conforme alle regole, ritenendo che non possano essere scartati
tutti i pezzi che subiscono dannegiamenti in fase di montaggio, credo
che almeno come filosofia costruttiva questo non possa essere accettabile
per un componente così importante come la deriva di coda.
Ma sappiamo come vanno queste cose.
I rappresentanti di una compagnia aerea [piloti di controllo e tecnici
di manutenzione], al ritiro di un aeromobile dal costruttore, effettuano
il cosiddetto "volo di accettazione". Se vengono rilevati eventuali difetti
di costruzione o inefficienze di minor conto, può essere richiesta,
naturalmente, la loro eliminazione. L'alternativa è, molto spesso,
un abbattimento del prezzo d'acquisto.
Ed è evidente che laddove si può risparmiare nel rispetto
di regole formali nessuno si tira indietro. Ma è dimostrato che
l'analisi degli incidenti porta a risultati che dimostrano come le regole
a volte non siano state sufficienti a garantire i margini di sicurezza.
Quindi la responsabilità della decisione va senz'altro condivisa
dal costruttore e dall'operatore, oltre che dall'ente di certificazione.
In questo caso, se la riparazione effettuata in fase di montaggio verrà
riconosciuta come fattore causale, gli attori sono chiaramente individuabili.
Ma saranno individuati? Staremo a vedere.
Probe turns to pilots’ rudder training
By Andy Pasztor and J. Lynn Lunsford
Nov. 30 — Four years before the recent crash
of American Airlines Flight 587, the jet’s manufacturer and federal aviation
officials specifically criticized American’s pilot-training program for
emphasizing excessive use of the rudder, which they warned in extreme
cases could cause an aircraft’s tail fin to shear off.
IN A DETAILED, four-page letter in
August 1997 analyzing American’s program to help pilots recover from such
upsets as wake turbulence, wind shear or other unusual maneuvers, an industry
group criticized what it called the carrier’s undue emphasis on using
the rudder. Huge side forces resulting from "inappropriate use of rudder,"
which turns the nose of a plane or keeps it from banking, can have "a
significant impact on an airplane’s stability and control," the letter
said.
Noting that pilots often don’t understand the potentially dangerous
consequences of large or abrupt rudder movements — similar to those that
are believed to have occurred on Flight 587 — the letter said such movements
can "lead to structural loads that exceed the design strength of the fin"
and other parts.
The letter was signed
by senior safety officials from European plane maker Airbus, the Federal
Aviation Administration and Chicago aerospace concern Boeing Co.
On Thursday, a spokesman for AMR Corp.’s
American said the Fort Worth, Texas, airline changed its training program
in 1999 to "de-emphasize rudder only and re-emphasize coordinated use
of rudder and aileron." All pilots undergo this revised curriculum during
their regular, recurrent training, which is mandatory for captains every
year, spokesman John Hotard said.
Some people at American contend the situation addressed in the letter
is different from the recent crash. They say the 1997 letter describes
pilot handling of planes "on the ragged edge" of controlled flight, instead
of what initially appeared to be Flight 587’s routine encounter with wake
turbulence from a jumbo jet flying in front of it. Regardless of how the
flight crew may have moved Flight 587’s rudder, pilots
and others at the airline say the plane’s design shouldn’t allow such
actions to result in a total fracture of the tail.
Investigators haven’t ruled out a structural or mechanical problem as
the primary reason the Airbus jetliner went down Nov. 12. Still, questions
about how the pilots reacted to the wake encounter — and precisely what
the carrier’s training instructed them to do in various situations — are
growing in importance.
Crash investigators have failed to find any clear-cut material weakness
or design faults with the tail fin or the rudder, which violently ripped
off the Airbus A300 in clear weather shortly after takeoff from Kennedy
International Airport. Both engines subsequently broke off the aircraft
in a sequence of structural failures unprecedented in recent commercial
jet history, plunging the wide-body plane into a New York City neighborhood.
Just Thursday, the National Transportation Safety Board, the lead U.S.
agency investigating the crash, said it will ship the fin and rudder parts
from Flight 587 to be examined by experts at the National Aeronautics
and Space Administration’s Langley Research Center in Hampton, Va. The
parts are made of a reinforced carbon-fiber, composite material. At the
same time, U.S. and European investigators continue to examine the general
maintenance and repair history of such composites on Airbus planes, looking
for clues that might suggest any systemic weaknesses or flaws.
Simple visual inspection of the wreckage, as well as similar inspections
of the tails of about half of the nearly 490 A300-600 and A310 jetliner
models used around the world, haven’t uncovered any obvious fatigue or
structural problems, according to people familiar with the probe. As a
result, investigators trying to determine what happened to Flight 587
may find themselves increasingly delving into whether the crew may have
overcontrolled the aircraft, while also examining some of the striking
parallels between the warnings American received in 1997 and the sequence
of events that brought down the Airbus jetliner, killing 265 people.
American began what it called its Advanced Aircraft Maneuvering Program
after a fatal 1994 accident involving a USAir Boeing 737 outside Pittsburgh
and the subsequent crash of an American Eagle ATR-72 turboprop in Roselawn,
Ind. In both cases, the airplanes rolled upside down without warning,
and the pilots’ actions to try to save the airplanes were later questioned.
At the time, American’s chief pilot and vice president of flight operations,
Cecil Ewell, said American had discovered that "we have a large number
of our younger pilots who did not come through the military and have never
been upside down."
While calling American’s training program "excellent" overall, representatives
of the FAA and the two jet makers questioned whether combat-like maneuvers
were appropriate for commercial jetliners. The group recommended that
upset-recovery training should focus first on using the ailerons, or movable
surfaces at the end of each wing, followed by use of the rudder "as necessary."
Commento
Ed ecco il vecchio vizio dei
"manufacturers" di coinvolgere il pilota nella catena causale, venir fuori
anche in questa vicenda.
Film già visto troppe volte.
L'ultima volta riguardo alla tecnica di atterraggio con l'MD11 venuta
alla ribalta a causa di diversi aeromobili danneggiati più o meno
seriamente e di due aeromobili distrutti.
Fu reiteratamente indicato come fattore causale la incapacità dei
piloti di effettuare la richiamata per il contatto con la pista secondo
i rigidissimi canoni previsti dal costruttore.
Su questo argomento vedere l'articolo:
The
Captain's perspective of CAL 642 MD11 landing accident
L'incidente di Hong Kong
nel racconto del comandante e considerazioni su altri incidenti in atterraggio
ad aeromobili MD11
E come sempre ci troviamo
di fronte ad una questione di "margine".
Ma andiamo con ordine prendendo atto di quanto risulta dalle dichiarazioni
riportate.
Quando avvengono incidenti catastrofici per avarie strutturali
viene ad essere messa in discussione la filosofia di progetto detta fail-safe.
Essa prevede che se una parte [con funzioni di supporto strutturale] cede
per fatica o per eccessiva sollecitazione dinamica ci sia sempre un elemento
supplementare di rinforzo in grado di sopportare il carico totale fino
al compimento del volo e che il cedimento o il danno debba essere rilevabile
alla prima ispezione post-volo. Naturalmente i danni di minor entità
o le piccole crinature che possono essere un avviso di indebolimento e
di suscettibilità al cedimento anche in presenza di carichi normali,
devono essere rilevabili in corrispondenza delle ispezioni di manutenzione
periodiche.
Questo sembra non
essere avvenuto nel caso dell'incidente di New York.
Però viene
sostenuto dal costruttore, ad anche dall'FAA, che la sollecitazione dinamica
è stata eccessiva, oltre i normali limiti di tolleranza, a causa
dell'azione sul timone.
Per quanto riguarda l'eccessivo azionamento del timone sembra che i piloti
fossero addestrati [presso la compagnia American Airlines] ad effettuare
su di esso ampi movimenti per il controllo dell'assetto laterale e trasversale
nei casi in cui ciò fosse richiesto.
A questa circostanza si riferisce, tra gli altri, l'Airbus Industries:
…the letter said such
movements can "lead to structural loads that exceed the design strength
of the fin" and other parts.
Ovviamente una condizione
del genere non è accettabile per una serie di considerazioni che
esporrò di seguito e che è stata contestata anche dai piloti
della compagnia: …pilots
and others at the airline say the plane’s design shouldn’t allow such
actions to result in a total fracture of the tail.
In una condizione
di emergenza, come l'incontrollabilità dell'assetto del velivolo
provocata dall'incontro di turbolenza di scia, il pilota reagisce naturalmente
in modo repentino, forse violento, avendo come soglia percettiva per determinare
l'intensità massima del suo intevento sui comandi, la sopportabilità
fisica dell'accelerazione risultante.
Ma una "spedalata" che porta il timone a fondo corsa provoca una rotazione
sull'asse trasversale e un inclinazione d'ala che non comportano accelerazioni
"incapacitanti", pertanto c'è bisogno di qualche altro elemento
per limitare l'azione del pilota.
E' vero che la deriva è la parte più vulnerabile alle "raffiche
laterali" oppure all'azione di contrasto dinamico del timone che su di
essa è incardinato, tanto è vero che tutti i jet hanno un
limitatore di corsa del timone che ne riduce l'escursione con l'aumentare
della velocità dell'aeromobile. Questo vuol dire che nell'ambito
di questi limiti, a cui provvede automaticamente l'impianto, le azioni
sui comandi dovrebbero essere compatibili con la resistenza strutturale.
Evidentemente non è vero, se emerge il bisogno di rimarcare il
problema con specifico addestramento.
Inoltre, anche se fosse stato effettuato uno specifico addestramento per
un'azione calibrata, l'istintività e la tempestività della
reazione non avrebbero permesso ad un pilota di agire sulla base di qualcosa
sperimentato nei recurrent training una volta all'anno.
Il pilota pur se addestrato al simulatore [con tutte le perplessità
sulla corrispondenza alla realtà di queste manovre] avrebbe come
riferimento per un'azione istintiva, il ricordo di un procedural skill
(abilità procedurale), un comportamento che richiede bassi livelli
emozionali, mentre, per richiamare nel comportamento il psychomotor
skill (abilità psicomotoria), a cui l'uomo si affida in condizioni
di stress, il pilota dovrebbe esercitarsi quotidianamente a manovrare
in scia, calibrando entro certi limiti l'azione sui comandi.
Se questo dibattito in questa fase dell'investigazione appare immediatamente
una beffa al pilota professionista come deve considerarlo l'utente del
trasporto aereo?
Ecco una ragione importante per seguire gli sviluppi delle inchieste con
la stessa attenzione suscitano gli incidenti a cui esse fanno seguito.
Un ultima considerazione potrebbe riguardare la efficacia delle attuali
separazioni tra aeromobili per evitare gli effetti indotti dalla turbolenza
di scia ma ancora una volta entriamo in considerazioni di margini cautelativi
che le norme non sempre riescono a garantire.
Da questo la necessità di non gettar via esperienze consolidate
da anni di operazioni come invece si rischia di fare nell'attuale situazione
di crisi del trasporto aereo.
acp
