Estate Autunno 2000

ILS Glide Path could be a serial killer - beware of it, always!

Analisi di un Controlled Flight Toward Terrain [CFTT]

Ricordiamo la definizione di Controlled Flight Into Terrain dalla quale deriva la definizione di Controlled Flight Toward Terrain.

CFIT: An event where a mechanically normally functioning airplane is inadvertently flown into ground, water, or an obstacle.

Questa definizione evidenzia con il termine "inadvertently" che l'impatto è inatteso a causa di inconsapevolezza [lack of awareness] dei piloti riguardo alla propria posizione rispetto ad acqua, terreno od ostacoli.

CFIT avvengono prevalentemente in condizioni strumentali oppure di notte anche con buona visibilità ma con erronea interpretazione della propria posizione a causa di luci o altre immagini fuorvianti che prevalgono nei riferimenti del pilota rispetto alle indicazioni strumentali corrette.

Non è assolutamente CFIT un impatto con la pista in seguito ad elevati ratei di discesa, come è stato, a volte, erroneamente affermato da alcuni "esperti".

CFTT: An event where an airplane is inadvertently flown toward ground, water or an obstacle, and a prescribed safety margin is exceeded.

Un evento in cui un aeromobile viene condotto inavvertitamente verso il terreno al di sotto dei margini di sicurezza previsti.

Premessa

Dall'esame dei tabulati AIDS [stampati delle registrazioni dei parametri di volo] del mese di luglio di qualche anno fa venne all'evidenza un'eccedenza catalogata FLAT APP che riguardava un aeromobile B-747 in volo da New York [JFK] a Milano Malpensa. L'eccedenza in questione, in accordo alle procedure del programma di sorveglianza dei parametri operativi, venne indicata come:

Quota radioaltimetrica inferiore a 500 ft in un intervallo di tempo compreso tra 6 minuti e 2 minuti dal contatto.

Ero allora incaricato per l'aeromobile B747 presso il Servizio Sicurezza Volo Alitalia ed iniziai l'indagine con un ritardo di due mesi [settembre] a causa di diverse circostanze, tra cui alcuni pregiudizi e la non conoscenza dei criteri di approccio all'evento da parte di alcuni responsabili di enti operativi.

Nonostante il ritardo erano ancora disponibili i seguenti elementi:

· tabulato AIDS [la stampa della registrazione ricavata dai nastri dopo i voli] degli ultimi 5 minuti di volo.

· folder meteo, Computerized Flight Plan (CFP), Flight LOG del volo in oggetto

· grafico dei percorsi sul piano verticale ed orizzontale elaborati in scala ridotta e tabulato con coordinate geografiche e grafiche del percorso in volo in quei 5 minuti.

Verso la fine di settembre potei disporre anche dei METAR dell'aeroporto di Malpensa nell'arco orario dell'evento.

Nelle prime fasi dell'indagine considerai la necessità di acquisire altri elementi quali:

· la porzione di tabulato relativa alla fase di volo immediatamente precedente l'evento

· le registrazioni delle comunicazioni Terra Bordo Terra

· le registrazioni dei tracciati RADAR

Nessuno di questi documenti era disponibile a causa del tempo trascorso dall'evento.

Considerai anche l'opportunità di analizzare la fase di volo registrata tramite un sistema di visualizzazione computerizzata ma la mancanza della registrazione su nastro ne impediva la realizzazione. La disponibilità dei nastri era limitata a 30‑40 giorni. Nonostante questo, con la collaborazione del personale tecnico del Servizio Sicurezza Volo, fu possibile inserire in questo programma [denominato FAIR, molti lo ricorderanno] i dati disponibili dal tabulato e riprodurre quei quattro minuti su una cassetta VHS, utilizzata successivamente per illustrare la dinamica dell'evento nelle riunioni di addestramento periodico dei piloti.

STORIA DEL VOLO

Il volo fu pianificato sulla Track atlantica Yenkee (TRK Y) che costituiva quella di minor tempo rispetto alle altre disponibili.

Il carico di carburante pianificato in decollo fu di 85000 kg e venne imbarcato un Block Fuel di 96000 kg con 4000 kg di extra‑fuel in previsione di forti ritardi in rullaggio.

Il ritardo in rullaggio fu ridotto a 40 minuti con un carburante effettivamente consumato di 1600 kg.

Il volo venne successivamente autorizzato sulla TRK Z che comportava un tempo di volo superiore di 39 minuti, con un maggior consumo di 8000 kg.

Il carburante addizionale imbarcato consentì comunque l'effettuazione del volo sulla TRK Z e il volo atterrò con 34 minuti di ritardo sul tempo stimato di arrivo (ETA) ed un Block Remaining Fuel di 11200 kg contro gli 11000 kg previsti dal CFP.

Il Flight Level per la traversata era 350 come da CFP; non fu effettuata la step climb a FL 370, dato che, essendo prevista a 1h30m circa dall'arrivo, non avrebbe consentito un risparmio significativo di carburante.

Le condizioni meteorologiche sull'aeroporto di destinazione ed alternati non prevedevano fenomeni significativi.

Metar 0620: 320/2 5000 10br 18/15 1017 no sig

Quanto sopra è riferito per fornire il quadro della situazione che precedette l'evento e può costituire elemento di valutazione dei fattori causali dell'evento stesso.

ANALISI DELL'EVENTO

L'esame del tabulato, essendo di formato numerico (digitale), non consentiva, ad una osservazione diretta, di determinare le relazioni e la sequenza di evoluzione dei vari paremetri con l'immediatezza necessaria per stabilire rapporti di causa/effetto nelle manovre e nelle azioni correttive.

In ogni caso esso permise, preliminarmente, di stabilire l'assenza di segnale marker quando l'aeromobile sorvolava il Middle Marker, ormai perfettamente stabilizzato su Loc e G/P.

Non fu possibile determinare la condizione di inserimento o meno dell'autopilota in quanto il F.D.R. dell'a/m I‑DEMV non consentiva di stabilire con certezza tale circostanza, come da analisi di altri tabulati dello stesso a/m.

Elaborai allora un tracciato grafico in funzione delle coordinate in millimetri, disponibili dal secondo tabulato che riproduceva il persorso al suolo.

Con tale metodologia mi fu possibile mettere in relazione tutti i parametri registrati e visualizzarne l'evoluzione per ogni singolo tratto di volo analizzato.

Esame del tabulato dei parametri di volo.

Il tabulato, come già detto, era disponibile solo per gli ultimi 5 minuti di volo con inizio alla quota di 4000 ft msl (sul livello del mare).

La configurazione era: Flap 10°, Landing Gear UP, IAS 195 Kts.

L'a/m risultava, dalle indicazioni ILS, a destra del LOC (pressochè a fondo corsa) e circa 1/2 DOT sopra il G/P, dall'indicazione di deviazione.

L'a/m, inizialmente con virata a destra e prua in aumento fino a 030°, iniziò un'accostata a sinistra prima decisa, a cui seguì l'estensione dei flap a 20° e, in rapida successione, l'estensione del carrello, mentre diminuì temporaneamente l'inclinazione a sinistra. Altitudine circa 3000 ft msl.

Dopo circa 10 secondi ci fu un'inclìnazione più accentuata sulla sinistra fino a 28° di Roll. Altitudine circa 2700 ft msl.

Nel frattempo l'assetto verticale divenne negativo con un aumento del variometro a scendere che raggiunse il valore di 3000 ft/m a 1850 ft msl [1150 ft sul terreno].

L'inclinazione a sinistra diminuì di nuovo ma la tendenza rimase e l'a/m continuò a virare a sinistra.

La deviazione G/P si mantenne su valori prossimi alla indicazione di sentiero centrato mentre il LOC risultò sempre a sinistra della posizione dell'a/m.

L'elevato variometro, confermato tra l'altro dal mancato aumento del setting di motore dopo l'estensione del carrello, provocò una perdita di quota che portò l'a/m notevolmente al di sotto della pendenza ideale.

In questa fase si cominciò a manifestare una tendenza dell'indicazione di deviazione G/P verso "FLY UP" e si rilevò un assetto verticale a cabrare per arrestare la discesa. La quota minima in questo tratto fu di 420 ft di radioaltimetro in corrispondenza della quale si manifestò l'intervento deciso di motore ed una risalita fino a circa 850 ft di radioaltimetro.

La prua nel frattempo era diminuita fino a 300°.

In questo momento avvenne la selezione del flap a 30° e, mentre l'indicazione LOC iniziava a muoversi dal fondo corsa, l'indícazione G/P divenne nuovamente pressochè centrata, dopo una momentanea indicazione "FLY DOWN".

Il setting di motore confermò la manovra.

Contemporaneamente l'a/m aveva iniziato la controvirata a destra per stabilizzarsi sul LOC e dopo una successiva leggera contraccostata a sinistra lo si rilevò sufficientemente stabilizzato su LOC e G/P tra i 500 ft e i 400 ft di radioaltimentro.

La velocità IAS 140 kts e il setting di motore apparvero coerenti e restarono tali fino al contatto.

Il vento durante l'avvicinamento, per la parte riportata dal tabulato, non presentò valori e variazioni di particolare significato da influenzare il volo.

Non fu possibile rilevare l'inserimento o meno dell'automanetta perché il parametro non veniva riportata sul tabulato standard.

Lo stato di funzionamento o inserimento dell'autopilota sull'a/m in questione presentava frequenti discrepanze tra ciò che veniva registrato e quello che veniva evidenziato sul tabulato standard, come rilevato da altri voli.

Non erano presenti la rilevazione del segnale dell'OM (però non fu sorvolato) nè la rilevazione del segnale del MM. Quest'ultima circostanza indicava una mancata ricezione del segnale per probabile avaria del ricevitore di bordo dal momento che non c'erano segnalazioni di avaria dell'apparato a terra né c'erano riporti di inefficienza del MM sui NOTAMs.

Infine non c'era alcuna indicazione di intervento del GPWS in uno dei suoi modi di avviso.

Analisi del tracciato grafico

Per fare ordine sul corso degli eventi onde ricostruire i possibili comportamenti dei membri d'equipaggio, dopo la presentazione della relazione sinottica, realizzai un'analìsi differenziata delle componenti orizzontali e verticali del flight path, cioè una visualizzazione separata dei percorsi in volo sui piani orizzontale e verticale.

In tal modo fu possibile pervenire a conclusioni che l'equipaggio avrebbe potuto o meno confermare e fui in grado di formulare dei quesiti sui quali l'equipaggio potè fornire dei chiarimenti.

Piano orizzontale

Il percorso dell'a/m si presentava con una prua divergente dall'asse pista avendo l'a/m già superato l'allineamento sulla destra.

Punto 1: Distanza dal contatto=11 NM scostamento laterale=1.2 NM

Al punto 1 iniziava una virata a sinistra con un'inclinazione fino a 14° di bank.

Il rateo di inclinazione era coerente con la velocità di esecuzione di una manovra correttiva.

L'inclinazione diminuì gradualmente e la prua, pur diminuendo, era ancora divergente.

Dopo dopo una ventina di secondi la virata si riaccentuò fino a 28° di bank al punto 2 per diminuire di nuovo fino a una media di 5°‑10° per altri 40 sec.

Punto 2: D=8.4 NM scostamento laterale=3.2 NM

[Quello che accade sul piano verticale in questi istanti critici sarà esaminato di seguito.]

L'a/m continuò a virare a sinistra fino a stabilizzarsi su una prua di 305°‑310° al punto 3a.

Punto 3a: D=4.6 NM scostamento laterale=1.7 NM

Dopo circa un altro mezzo minuto l'a/m virò decisamente a destra per stabilizzarsi sul prolungamento asse pista.

Ci fu una successiva momentanea controinclinazione a sinistra evidentemente dovuta al completamento della stabilizzazione e siamo al punto 4.

Punto 4: D=1.6 sl=100 mt left

Considerazioni

Il tracking risultante fu caratterizzato quindi da quattro fasi:

a)percezione dello scostamento laterale (punto 1)

b)correzione iniziale decisa (punto 2) poi attenuata, di nuovo accentuata e di nuovo ridotta fino alla fase c)

c)stabilità su una prua di rientro (punto 3a)

d)virata a destra per una stabilizzazione piuttosto netta (punto 4)

Il quesito che ci ponemmo in ordine a questa analisi fu, quindi, così formulato:

Quali tra i seguenti elementi determinarono la condotta dell'a/m:

· scostamento LOC (ADI/HSI),

· rilevamenti NDB (NOV/MAL),

· comunicazioni ATC,

· visione della pista o dell'aeroporto.

Piano verticale

L'a/m nel momento in cui era con prua divergente era su una pendenza coerente con il rapporto quota/distanza dal contatto.

Al punto 1 la quota è 3340 ft (QFE).

All'estensione del flap a 20° e del carrello non ci fu riscontro di avanzamento di motore per mantenere velocità e pendenza.

Di fatto la velocità venne mantenuta a scapito della pendenza di traiettoria.

Si notava un aumento di assetto negativo e aumento di Vz a scendere.

L'indicazione G/P era tuttavia "stranamente" prossima al centro.

Al punto 2 la quota QFE era 2310 ft, RA=2470 ft.

Dopo 20/25 sec di aumento di variometro a scendere si notava una tendenza a ridurre l'assetto a picchiare e quindi a voler arrestare la discesa.

Punto 3b: D=5.2 NM quota 320 ft QFE, RA=420 ft

Al punto 3b la manovra correttiva di assetto a cabrare con intervento di motore per arrestare la discesa divenne decisa ed efficace.

Seguì una risalita fino ad una quota QFE di 780 ft che riportò l'a/m sulla pendenza corretta con la stabilizzazione definitiva sul G/P.

Ciò avvenne al punto 4.

Punto 4: la quota QFE è 452 ft (RA=422 ft), in coincidenza con la stabilizzazione sul LOC.

Considerazioni

La condotta dell'a/m sul Flight Path verticale fu analizzata in quattro fasi:

a) assunzione di configurazione d'avvicinamento intermedio (prefinale) in condizioni di stabilità di velocità sulla pendenza prescritta ma assenza di intervento di motore

b)dìminuzione dell'assetto verticale e aumento del variometro a scendere in conseguenza di a)

c)percezione dello scostamento verticale o dell'abbassamento di traiettoria

d)correzione di assetto e motore e recupero della pendenza corretta.

Anche stavolta il quesito fu formulato considerando elementi analoghi a quelli considerati per il piano orizzontale e cioè quali tra i seguenti elementi:

· indicazione di deviazione G/P (ADI/HSI),

· controllo corrispondenza quota con attraversamenti di rilevamenti o distanze,

· visione della pista,

· visione di elementi sul terreno,

· indicazioni altimetriche (QFE,QNH?), radioaltimetriche, call outs,

determinarono le 4 fasi sopra considerate.

Interviste

Le testìmonianze raccolte fornirono le risposte alle questioni rimaste aperte dopo l'analisi del tracciato e contribuirono a fornire altri elementi utili per l'indagine.

Il Comandante del volo in oggetto, che era ai suoi primi voli sul B‑747 dopo un lungo periodo di attività su A‑300, collaborò ripetutamente per fare la massima luce sull'evento. Certamente, era sua convinzione, i valori d'eccedenza e, ancor più, i percorsi in volo, gli risultavano, a seguito dell'osservazione dei parametri registrati, superiori allo scostamento percepito da lui stesso e dall'equipaggio durante l'evento. Inoltre, per l'equipaggio, tutto l'evento divenne significativo solo in seguito alla partecipazione attiva all'indagine.

Quanto alle ragioni che, nel suo ricordo, avevano portato alla deviazione dalla center line del localizzatore (ILS pista 35 R) ciò fu dovuto ad una svista, cioè alla mancata selezione del "course selector" relativo all'HSI Com.te sul valore 350°.

Tale selezione era infatti rimasta su un valore non meglio definito del 1° quadrante (030°‑050°) dopo lo switching dalla funzione INS alla funzione VORLOC.

Il Comandante ricordava di aver inserito l'autopilota in funzione ILS e si aspettava che l'a/p riportasse comunque il velivolo verso il LOC anche dopo averlo oltrepassato sulla destra.

Dìchiarò che non notando tale correzione intervenne sui comandi forzando (overpower) l'a/p ad effettuare la virata verso sinistra.

Poco dopo il F/O rilevò l'errata selezione del "course selector" e nel frattempo il Comandante ordinò le variazioni di configurazione con flap a 20° e carrello esteso.

Il Comandante ricordava di aver verificato che l'indicazione di scostamento G/P su Novara era coerente.

Dichiarò che la buona visibilità, che gli consentiva di vedere il terreno e di cominciare a distinguere ed identificare l'area aeroportuale, lo portò a proseguire nel tentativo di recuperare la stabilizzazione sul LOC.

Più o meno a questo punto, notando l'inutilità e l'inerzia che l'uso dell'autopilota comportava, il Comandante ricordò di averlo disinserito e di aver proseguito a vista effettuando una leggera risalita ed una successiva stabilizzazione su LOC e G/P corretti.

In ogni caso l'attenzione dell'equipaggio era volta quasi esclusivamente al recupero dello scostamento laterale piuttosto che al recupero dell'eccessivo rateo di discesa e dalla vicinanza al terreno.

Il Comandante ricordò di aver fatto selezionare le radioassistenze come segue:

NOV NDB sui due ricevitori ADF, ILS su VHFNAV1 e MAL VOR su VHFNAV2 quando erano in avvicinamento a NOVARA; dopo il passaggio di NOVARA il F/O aveva selezionato MAL NDB sull'ADF 1 e RMG NDB sull'ADF 2 e poco dopo l'ILS sul VHFNAV2.

Il F/O confermò sostanzialmente la testimonianza del Comandante, in particolare per quanto riguardava la percezione di uno scostamento dal corretto sentiero di volo meno drammatico di quanto apparisse dal tabulato.

Confermò, altresì, che la buona visibilità li portò a considerare possibile proseguire anche se in condizioni non stabilizzate, avendo in vista terreno e zona aeroportuale.

Il F/O ricordò anche, che dopo il passaggio di NOVARA, nella ricerca delle cause che facevano deviare l'a/m dal center line, aveva rilevato lui stesso l'erronea selezione del "course selector", inoltre ricordò di aver selezionato i flap a 20° e il carrello esteso oltre alle selezioni dei radioaiuti MAL e RMG sugli ADF e l'ILS sul suo VHFNAV.

In questa fase era stato anche impegnato nelle comunicazioni radio.

Il Comandante ed il F/O ricordarono che l'ATC li avvisò dello scostamento laterale chiedendo se fossero in grado di proseguire l'avvicinamento.

La risposta affermativa fu data dopo che si erano consultati reciprocamente.

Il F/O ricordò anche che dopo la selezione dell'ILS sul VHFNAV2 vide a fondo corsa l'indice LOC mentre il G/P era meno di un DOT "fly up".

Entrambi i piloti affermarono che il T/V esternò la necessità di riattaccare quando essi si consideravano ormai nella fase di risalita e riaggancio di LOC e G/P corretti, e quindi non ritennero necessaria tale manovra.

Entrambi i piloti ricordavano che il vettoramento radar era stato tale da far arrivare l'a/m con prua di intercettazione su NOV e non a distanza tale dal FAP (Final Approach Point) da permettere un allineamento sul Loc anticipato.

Essi dichiararono di non ritenere fattore determinante il tipo di impiego immediatamente precedente l'evento stesso, anche se riconobbero di non essere stati in una condizione ottimale a causa della notte passata in volo.

I piloti dichiararono di non aver mai sentito alcun intervento GPWS secondo i modi previsti e ricordavano che le selezioni altimetriche erano state correttamente effettuate.

EVIDENZE E RISULTANZE

L'esame e l'analisi di tutti gli elementi raccolti consentì di stabilire:

1. L'inefficienza del ricevitore marker dell'a/m I‑DEMV.

Nota: l'inefficienza del ricevitore fu stabilita dal confronto di alcuni tabulati di registrazione precedenti con la lettura di alcune segnalazioni sul Quaderno Tecnico di bordo. C'erano state solo un paio di segnalazioni in seguito alle quali erano stati cambiati diversi componenti. Il personale tecnico richiedeva una verifica nel volo successivo che però non aveva luogo. Il fatto trovava spiegazione nell'impiego frequente dell'aeromobile su New York con uso di piste senza Outer Marker.

2. La registrazione della deviazione del segnale G/P (VHFNAV1) mise in evidenza un'indicazione di G/P pressochè centrato nei pressi di NOV, che si mantenne tale mentre l'a/m si spostava a destra del center line e al di sotto del sentiero geometrico di discesa di 3°.
3. Ci fu un inizio di indicazione "fly up" solamente quando il velivolo stava già risalendo e si accostava al center line. Tale indicazione giunta fino a circa 2 DOT "fly up" (a/m sotto il G/P) non attivò il GPWS nel modo "glide slope", né soft né hard.
4. L'esame degli altri parametri registrati, integrato dalle testimonianze dei piloti consentì di ritenere che il tipo di pilotaggio, nella fase precedente l'interruzione della discesa al di sotto del sentiero, era stato con autopilota inserito e che gli elementi di riferimento per la condotta dell'a/m furono prevalentemente esterni, pur non essendo stata ancora inequivocabilmente identificata la pista di atterraggio. I riferimenti agli strumenti furono intermittenti su alcuni elementi basici (velocità), occasionali su altri (quota, variometro).
5. Il Comandante verificò al passaggio di NOV che l'indicazione G/P era coerente con il valore previsto.
6. L'ATC segnalò all'equipaggio lo scostamento laterale.
7. Non fu selezionato il "course selector" n.1 sul valore di 350°, una svista che divenne fattore di distrazione.
8. Il vettoramento "rushed" da parte dell'ATC e la ricerca dei motivi della mancata stabilizzazione sul LOC, insieme al funzionamento dell'autopilota che comandò l'a/m a scendere su un G/P non corretto, determinarono il ritardo con cui i piloti rilevarono il passaggio da una condizione di certezza di posizione (verticale di NOV, G/P centrato) ad una condizione di indeterminatezza.
9. Ci fu un'azione correttiva sull'autopilota da parte del Comandante, dovuta probabilmente a schemi di comportamento predisposti validi sull'a/m di provenienza (A‑300) ma non altrettanto efficaci, se pur tecnicamente possibili, sul B‑747 (overpower).
10. Il mantenimento del motore al minimo, pur con l'assunzione di configurazione di flap 20° e carrello esteso, circostanza che avrebbe potuto allertare il Comandante sul comportamento anomalo dell'autopilota sull'asse verticale, indicò ancora una possibile forte presenza residua di schemi comportamentali acquisiti e consolidati sull'a/m di provenienza.
11. C'era buona visibilità che contribuì a dilazionare interventi più drastici e definitivi.
12. Ci fu un carico di lavoro notevole per il F/O che nell'intervallo di tempo di 30‑40 secondi, i più critici in termini di perdita di quota, rilevò la mancata selezione di "course selector" n.1, selezionò i flap a 20°, il carrello esteso, i due ADF e il VHFNAV2 e fu impegnato dal temporeggiamento nella risposta al controllo e dal successivo cambio di frequenza.
13. Ci fu assenza di interventi verbali significativi durante il suddetto intervallo di tempo da parte del T/V, probabilmente a causa dell'espletamento dei controlli sul pannello laterale; ci fu comunque un invito a riattaccare, non perentorio, ancora in fase destabilizzata, non accolto dai piloti.

CONSIDERAZIONI CONCLUSIVE E RACCOMANDAZIONI

I probabili fattori che contribuirono al verificarsi dell'evento furono i seguenti:

1. Il vettoramento radar non adeguato ad una stabilizzazzione anticipata.
2. La mancata selezione del "course selector" dell'ILS sul VHFNAV1 a cui probabilmente contribuì il fattore precedente.

Nota: la relazione tra questo fattore e il funzionamento dell'a/p come "tracking" del LOC verrà stabilita in seguito, esso viene qui considerato principalmente come elemento di distrazione.

3. La mancanza di una radioassistenza sul campo (DME associato all'ILS o al VOR di Malpensa) per consentire un controllo continuo del sentiero di discesa ed una valutazione della distanza dalla pista durante l'avvicinamento iniziale o il vettoramento radar.
4. L'indicazione di G/P pressochè centrato durante la fase di discesa a variomentro elevato.
5. Il funzionamento dell'autopilota che, in funzione del fattore precedente, comandò l'aeromobile verso un assetto negativo e un conseguente variometro a scendere non riconosciuto immediatamente dall'equipaggio.
6. Il carico di lavoro accentuato per il F/O dovuto ai molti compiti addensatisi nel momento più critico.

Nota: preso in considerazione il periodo di 30‑40 secondi dell'incremento non rilevato di discesa, esso coincide con il tempo necessario alle varie selezioni e comunicazioni, non restano, quindi, che pochi secondi residui per un cross‑check strumentale che non può essere efficace. Da ciò deriva anche il costume improprio di affidarsi a elementi visivi esterni più immediati ma niente affatto affidabili.

7. La non consolidata metodologia di utilizzazione dell'a/p, da imputarsi a insufficienza dei tempi disponibili durante il corso di transizione e i voli di familiarizzazione. favorita da ritorno inconsapevole a schemi di utilizzazione che si riferiscono a macchine precedenti, accentuato da condizioni di stanchezza.
8. Lo stato di ridotta "alertness" imputabile alla notte passata in volo.

Nota: tale fattore è naturalmente presente in ogni operazione di volo dalle analoghe caratteristiche ed è tanto più subdolo in quanto i piloti stessi affermano frequentemente (come nel caso presente) di non ritenerlo significativo.

9. Una non specifica differenziazione sul Manuale Operativo tra il controllo del G/P sul FAP (Final Approach Point) e il controllo del G/P sull'OM (in termini di indicazione altimetrica e sorvolo del punto) che condusse all'equivoco che le due verifiche potessero avere la stessa valenza.

Nota: questo aspetto emerse anche dall'analisi del disastro del DC9/30 avvenuto a Zurigo due anni prima.

10. Il monitor insufficiente da parte del T/V, dovuto probabilmente al breve intervallo di tempo in cui si verificò lo scostamento dalla traiettoria corretta, e ad alcuni compiti, quali il controllo delle luci del carrello sul pannello laterale e degli impianti idraulici, che possono aver distolto la sua attenzione dagli strumenti di volo.

Dei suddetti fattori alcuni contribuirono ad innescare l'evento altri, concatenandosi in una complessa articolazione logica e cronologica, determinarono un ritardo nel riconoscimento della condizione di destabilizzazione sul piano verticale da parte dell'equipaggio e comunque essa non fu riconosciuta come grave.

Prevalse la maggior preoccupazione per lo scostamento laterale finché una momentanea valutazione, e la successiva acquisizione di consapevolezza di margine sufficiente per recuperare l'avvicinamento senza interromperlo [anche se non in linea con le norme previste dalla compagnia] li fecero proseguire fino all'atterraggio.

Tutto l'equipaggio ritenne, pertanto, di associare il tipo di stabilizzazione che stavano realizzando a quello che viene effettuato per avvicinamenti curvilinei tipo HKK pista 13 o NYC pista 13.

In seguito a questa analisi proposi i seguenti interventi:

1. Sensibilizzare, attraverso gli enti competenti, i controllori di volo AAAVTAG (ora ENAV) ai problemi che insorgono in caso di vettoramento per abbreviare i percorsi in volo.
2. Sensibilizzare i piloti a non chiedere o a rifiutare cortesemente, vettoramenti di questo tipo in condizioni normali.
3. Sollecitare l'AAAVTAG ad installare sull'a/p di Malpensa un trasmettitore DME associato alla frequenza ILS e/o al VOR di MAL.
4. Riconsiderare i tempi e i programmi addestrativi per la transizione di aeromobile che apparivano non adeguati a fornire conoscenze basilari.
5. Prevedere adeguati spazi nei Recurrent Training per la trattazione della fatica da volo transmeridiano, a lungo percorso, disaritmia da fuso e perdita di sonno e la loro influenza sulle prestazioni del pilota di lungo raggio, in particolare sulle capacità percettive, elaborative e sullo stato di allerta, e/o diffondere pubblicazioni di ricerche, studi, e articoli sul problema.
6. Attuare l'aggiornamento della documentazione tecnico/operativa secondo quanto anticipato in una Comunicazione Interna (del 17 gennaio 92, derivata dall'analisi dell'incidente di Zurigo) in termini adeguati a evitare equivoci interpretativi e a stabilire corretta priorità degli elementi per la valutazione della posizione spaziale.
7. Realizzare una adeguata sintonia tra il programma CRM (Cockpit Resource Management) e le varie occasioni addestrative in cui è in azione l'intero equipaggio.
8. Produrre un'informativa per il personale navigante tecnico di tipo ITO sulle peculiarità di emissione e propagazione del segnale di sistemi strumentali di avvicinamento di precisione di diversa categoria (ILS CAT1, CAT2, CAT3).
9. Estendere i termini di esplorazione del programma AIDS [sorveglianza dei parametri operativi con Flight Data Recorder].

Nota: l'evento venne alla luce per un superamento di soli 78 ft della soglia di intervento per la evidenziazione automatica dell'eccedenza di 500 ft RA. Un intervento correttivo diverso o un profilo del terreno con depressione più accentuata al di sotto della posizione dell'a/m, avrebbero mascherato l'evento, il cui carattere sarebbe stato, comunque, significativo per definirlo un CFTT.

10. Procedere all'adozione immediata di GPWS di tipo avanzato o, nel caso che fosse già stato valutato e deciso un programma di introduzione in flotta di tale dispositivo, accelerare al massimo i tempi di realizzazione.
11. Richiamare l'attenzione dei piloti sui problemi associati alla condotta del volo basata su riferimenti visivi esterni sia di giorno che di notte, sulla scarsa affidabilità di tali riferimenti e sulla possibilità e tipologia degli equivoci che avrebbero potuto generare.
12. Utilizzare l'evento e le considerazioni conclusive nell'ambito di Recurrent Training e riunioni informative e/o diffonderne il contenuto tramite comunicazioni al fine di sensibilizzare il personale navigante tecnico ai problemi evidenziati dall'analisi di questo evento.

Le condizioni che costituirono il terreno favorevole per l'evento

Quello che vi ho proposto è ricavato dalla relazione formale che presentai al Direttore Operazioni Volo di quel tempo [il Servizio Sicurezza Volo era alle sue dipendenze, una configurazione organizzativa che non aveva, però, dei riscontri positivi e che è stata, credo, di nuovo attuata] e al comandante Silvano Silenzi, che in quel periodo aveva l'incarico di responsabile delle Politiche di Sicurezza del Volo del Gruppo Alitalia alle dipendenze del Direttore Generale (Ing. Pavolini).

Questo dualismo creava spesso dei contrasti dato che le raccomandazioni di Silenzi, in quanto responsabile delle Politiche di Gruppo, potevano essere intese dal Direttore Operativo come delle interferenze sulla sua autonomia di gestione.

Ad esempio, in questo caso, Silenzi condivise totalmente l'analisi da me svolta e le raccomandazioni che ne scaturirono.

Mentre non ebbi alcuna risposta dal Direttore Operativo. che fu responsabile, tra l'altro, della decisione di non pubblicare la relazione finale, anche se, fortunatamente, il capopilota del B747 si adoperò per diffondere tra i piloti del settore le risultanze di questa analisi.

E le risultanze più significative, che sono state sottolineate ripetutamente nella riproposizione della relazione originale, furono:

a) il fatto che l'indice del Glide Path rimase pressoché centrato, senza alcuna bandierina di avviso, per gran parte della discesa fino a circa 500 ft di radioaltimetro.

b) Il fatto che l'autopilota in funzione ILS non comandò correzioni verso il Localizzatore che risultava a fondo corsa, a sinistra dello strumento HSI.

Questi erano stati gli interfaccia uomo-macchina che avevano reso, per così dire, instabile, il comportamento dell'equipaggio.

Il fattore a) in realtà, dipendeva dall'ambiente ed era mediato alla percezione dei piloti dagli strumenti di bordo.

Le apparecchiature ILS di terra hanno subìto negli anni una evoluzione che ne ha aumentato le prestazioni lungo gli assi geometrici [allineamento con la pista e sentiero di discesa di 3°] ma ha peggiorato e reso aleatoria l'affidabilità dei segnali al di fuori di angolazioni da questi assi molto minori che in apparati più obsoleti.

In altre parole il segnale Localizer è, generalmente, affidabile entro un azimuth di poche decine di gradi e non oltre una distanza di venti, trenta miglia dalle antenne mentre il Glide Path è affidabile entro 1.5° al di sotto e 2° al di sopra dell'inclinazione di 3° e, ancor più importante, non oltre 8-10° a sinistra e a destra del Localizzatore.

Il fatto che questi segnali, ad una selezione anticipata dell'ILS, generalmente, si ricevano correttamente è fuorviante e le relative indicazioni non dovrebbero mai essere utilizzate operativamente dal pilota né da parte del controllore d'avvicinamento per "fluidificare" il traffico (ancor meno dal controllore d'area terminale).

Inoltre, ed è una condizione ancor più significativa, non sempre gli strumenti di bordo reagiscono ad un segnale incoerente con una bandierina di avviso (red flag). Il segnale può avere caratteristiche tali da non attivare l'indice [che resta pressoché centrato] ma sufficienti a non far intervenire la bandierina di avviso.

[ancora una volta ci trovammo costretti a riproporre i fantasmi del disastro di Zurigo]

Questa inaffidabilità di segnale G/P è stata, probabilemente, anche la causa dei mancati avvisi "glide slope" del GPWS. Infatti dal tabulato risultava, per oltre dieci secondi, una posizione dell'indice Glide Path a cui avrebbe dovuto far seguito l'avviso "glide slope" (soft).

Ma se, nell'evento narrato, i piloti non rivelarono prontamente questa inaffidabilità del segnale G/P, l'autopilota "ci credette" in pieno e ciò contribuì a complicare il quadro della situazione. In effetti una modesta ma costante deviazione in basso dell'indicatore G/P attivò nell'autopilota una correzione a picchiare sempre più accentuata della quale l'automatismo non poteva, ovviamente, "capire" l'incongruenza.

Il fattore b) fu, però, la prima modalità di "tradimento" dell'autopilota nei confronti dell'equipaggio. E fu altrettanto inaspettata ed incompresa.

Durante il periodo in cui cercavo di rimettere insieme i pezzi del puzzle, il Comandante Marcello Ralli, che era uno dei vicecapopilota del B747 all'epoca, fece delle prove al simulatore e successivamente, in occasione di un volo cargo, in avvicinamento all'aeroporto di Malpensa, in condizioni pressoché analoghe con l'autopilota in funzione ILS ma con il "course selector” selezionato ad un valore diverso dall'allineamento pista (QFU).

Il com.te Ralli riferì che spostando il "course selector" il tracking dell'autopilota diventava erratico fino a dare manovre molto divergenti dal recupero dell'allineamento.

La spiegazione tecnica fu che l'autopilota interpretava la differenza di angolazione tra valore selezionato e valore reale come uno spostamento dovuto al vento ed agiva per fasi successive fino a ristabilire il tracking corretto. Questa era una peculiarità dei software di quasi tutti gli autopiloti ma, dato che l'avionica del B747 comiciava ad essere piuttosto datata, su questo aeromobile il recupero del tracking corretto poteva avvenire solo per differenze di pochi gradi e solo dopo molte oscillazioni.

Gli oltre 30° di differenza l'avevano mandato in tilt.

Il fatto preoccupante fu che la conoscenza di questa peculiarità tecnica non faceva parte del bagaglio culturale dei piloti del settore, né poteva farne parte in quanto nel programma di transizione non c'era alcun accenno all'argomento.

Inoltre, per quanto ci risultasse allora, questo aspetto tecnico non faceva parte delle conoscenze basiche di tutti i piloti.

In realtà la compressione dei corsi di transizione che tendono a dare le notizie all'osso con il pericolo di trascurare aspetti essenziali è una delle tante conseguenze di un approccio gestionale fondato sul massimo risparmio senza un appropriato processo di risk assessment.

In queste condizioni un'adesione scrupolosa agli standard operativi e alle modalità di esecuzione dei compiti previsti può evitare al pilota di trovarsi in un terreno minato nel quale i comportamenti della macchina presentano delle incognite.

Ma, come abbiamo visto, le variabili che possono indurre sviste od errori sono talmente frequenti nell'ambiente operativo, che una filosofia estremamente conservativa diventa l'unica strategia difensiva possibile.

Un'ultima constatazione che, pur non facendo parte della relazione finale, mi fece individuare delle aree di rischio ancora attuali, fu relativa all'affidamento alla visione esterna per determinare posizione ed evoluzione del percorso di volo.

Se modificassimo drasticamente lo scenario esterno avremmo due possibilità.

La prima sarebbe una condizione strumentale di assenza totale dei riferimenti esterni.

In questo caso, aggiungo probabilmente, l'evento non si sarebbe verificato. L'attenzione nella fase di avvicinamento intermedio sarebbe stata maggiore e, ancora probabilmente, la svista della selezione errata di "course selector" non ci sarebbe stata.

La seconda sarebbe la semplice assenza della luce del giorno. L'evento di notte con buona visibilità.

Le luci della pista molto angolata, lontane nella prospettiva e il buco nero davanti con poche altre luci sparse.

L'attenzione dei piloti concentrata sul recupero dello spostamento sul piano orizzontale piuttosto che su quello verticale con riferimento a fuorvianti luci esterne.

Un variometro prossimo a 3000 ft/m, a 10 secondi dal suolo!

Invece di un CFTT, una drammatica possibilità di un altro CFIT che qualcuno avrebbe attribuito a pilot error!

Com.te Aldo C. Pezzopane

In una prossima edizione di airmanshiponline il Com.te Silvano Silenzi proporrà un resoconto dettagliato dell'investigazione sul disastro di Zurigo, da lui vissuta come membro della Commissione Svizzera e come presedente della commissione di indagine interna della compagnia.