Primavera 2000

ANALISI CRITICA dell’AUTOMAZIONE

Studio del com.te Renzo Dentesano, investigatore d’incidenti aeronautici.

Tesi: L’automazione delle cabine di pilotaggio dei moderni aeromobili ha disimpegnato i piloti da molti compiti di ordinaria amministrazione, ma ha anche introdotto delle problematiche piuttosto critiche che devono essere corrette nella progettazione dei sistemi del futuro.

Inoltre un nuovo tipo di addestramento, più approfondito e più efficace, potrebbe aiutare i piloti a gestire meglio i sistemi automatizzati già esistenti.

Introduzione

L’automazione introdotta in campo aeronautico nel recente passato ha sollevato un gran numero di commenti disparati ed alcuni di questi sono risultati essere molto estremistici ad entrambe le estremità della gamma.

Infatti, mentre alcuni sostengono che l’operatore umano è l’origine del problema (cioè di essere fallibile) e quindi che la soluzione consisterebbe nell’adottare un ponte di comando completamente automatizzato entro il quale il ruolo dell’essere umano debba essere soltanto quello di eseguire alcuni compiti di second’ordine, oltre a quello della sorveglianza (!), si deve rilevare subito che questo tipo di impostazione trascura il fatto che i sistemi automatizzati vengono progettati e costruiti da altri esseri  umani e pertanto parimenti soggetti al problema originale, cioè di essere proni all’errore.

I piloti non sono, certamente, degli esseri perfetti (e quindi non possono essere infallibili) e certamente un sistema automatizzato perfetto (e quindi infallibile) sarebbe sicuramente meglio, però, si dà il fatto che finora ancora nessuno sia arrivato neppure accosto a costruire un sistema perfetto, infallibile ed immune da avarie o anomalie!

All’altra estremità della gamma critica vi sono coloro che condannano qualsiasi forma di automazione e vorrebbero gravare il pilota di ogni compito, anche di quelli nei quali l’uomo non eccelle, mentre le macchine dovrebbero limitarsi a sorvegliare l’esecuzione fornita dall’essere umano.

Siccome è saggio evitare tutti gli estremismi, per di più arbitrari, sarà più opportuno valutare obiettivamente i problemi dell’automazione partendo da una tesi, generalmente condivisibile, che una buona automazione è senz’altro un beneficio e che una automazione mal progettata è indubbiamente pericolosa.

Automazione: perché

Ma com’è iniziato il problema?

Da principio gli aeroplani più semplici cedettero il passo a macchine sempre più grandi e complesse ed il carico di lavoro iniziò ad aumentare proporzionalmente.

Per far fronte a ciò, dapprima la risposta fu quella di aggiungere ulteriori addetti alla condotta, ma subito insorsero dei limiti pratici ed economici alle dimensioni degli equipaggi di condotta, salvo per i costruttori sovietici che, dato il carattere semi-bellico dei loro aerei da trasporto, continuarono a progettare cabine di pilotaggio disponibili per equipaggi di formato mastodontico, con tanti problemi di coordinamento, come si è visto in diversi incidenti.

Così i progettisti occidentali, sollecitati genericamente al risparmio dagli esercenti, incominciarono ad offrire sistemi automatizzati in grado di assolvere alcune funzioni ordinarie al posto di alcuni membri d’equipaggio. In questo modo, cioè introducendo più automazione (autopiloti, auto-manette, auto-spoilers, auto-brakes, ecc., ecc.) si poté procedere alla diminuzione del numero dei membri dell’equipaggio di condotta, togliendo dapprima i marconisti, poi i navigatori e quindi i tecnici di volo.

L’automazione primordiale incominciò ad usare dispositivi analogici, piuttosto elementari anche se macchinosi, pesanti e capaci soltanto di funzioni molto limitate. Tuttavia tali dispositivi erano effettivamente dei servizievoli compagni di lavoro e soprattutto non ponevano in discussione il ruolo dei membri dell’equipaggio.

L’introduzione dei processori digitali a bordo degli aeromobili ha dato inizio ad una rivoluzione nel modo di comandare le traiettorie di volo degli aeromobili.

Ed ancora prima che tale rivoluzione sia evoluta o completata, ecco che già si affaccia un nuovo sconvolgimento della situazione, cioè quello che viene introdotto a passi da gigante dai collegamenti bordo/terra/bordo con la trasmissione digitale dei dati (data-link).

Con questo cambiamento i processori di bordo degli aeromobili spartiscono automaticamente le informazioni essenziali con altri elaboratori basati a terra, in volo e perfino nello spazio, allo scopo di comunicare, navigare e separarsi autonomamente dal traffico che potrebbe interferire con la traiettoria programmata per il velivolo.

In questa nuova situazione pertanto diventa indispensabile riconsiderare il ruolo delle capacità umane in queste mutanti condizioni ambientali ed organizzative.

Rapporto tra condotta del volo e gestione del volo

Nei sistemi attualmente esistenti, vi è un nitido confine tra condotta (automatica) del volo e gestione (altrettanto automatica) del volo.

I sistemi di condotta o di guida dell’aeromobile sono attinenti al controllo diretto della traiettoria di volo, in quanto manovrano le superfici dei comandi di volo e magari controllano la spinta di motori o altre funzioni analoghe. In altre parole i sistemi di condotta o di guida sono da intendersi in termini tattici e richiedono una supervisione continua e molti aggiustamenti da parte dell’equipaggio, perché non possono essere programmati per un completo profilo di volo.

I sistemi di gestione del volo sono invece di tipo più strategico: infatti includono intere banche di dati, le quali a loro volta contengono miriadi di informazioni di prestazioni del velivolo e di navigazione per la parte geografica da coprire, ma soprattutto tali sistemi debbono permettere una interazione fra l’elaboratore, che è il cuore del sistema e l’operatore umano, che comunque ne rimane (o ne dovrebbe rimanere) la mente decisionale. In altre parole s’intende affermare che l’immissione di impulsi elaborati dai sistemi di gestione del volo (FMS: Flight Management System) comandano i modi e gli impulsi di entrata ai sistemi di guida dell’aeromobile (CWS: Control Wheel Steering).

In pratica, prima del volo, i piloti caricano i dati convenzionali del piano di volo nel sistema di gestione del volo (FMS) tramite l’uso delle tastiere degli elaboratori di bordo oppure tramite il collegamento diretto di trasmissione digitale di dati (data-link). Poi, man mano che il volo procede, l’equipaggio di condotta può (o può esser costretto) a modificare il piano di volo originale, per ottemperare a cambiamenti tattici imposti o richiesti dal controllo del traffico aereo (ATC).

Il Flight Management System controlla dunque la traiettoria tridimensionale del velivolo per mezzo dei sistemi di navigazione (inerziali, satellitari o radio-elettrici) di bordo. Ma per far ciò il FMS si deve anche riferire alla banca dati di navigazione di bordo, per individuare in certi casi gli aiuti alla navigazione utilizzabili e le coordinate geografiche dei punti di riferimento in rotta (waypoints) e delle piste degli aeroporti da usare. Inoltre esso adopera la banca-dati delle prestazioni caratteristiche dell’aeromobile per calcolare le velocità ottimali di crociera economica e per avere le informazioni circa la quota ottimale e massima raggiungibili basandosi sul peso attuale dell’aeromobile. Il pilota, a sua volta, ha la possibilità di variare alcuni dei parametri elaborati dal FMS.

Insomma, il sistema di gestione automatica del volo, da molti ritenuto il maggior progresso aeronautico dell’ultimo quarto del corrente secolo, governa le fasi di salita e di crociera degli aeromobili così equipaggiati in maniera pressoché impeccabile e sui visualizzatori di navigazione (ND:Navigation Display) i piloti possono osservare la rotta tracciata dal sistema sulla base delle immissioni effettuate, i punti di riferimento sulla rotta così presentata e la posizione dell’aeromobile rispetto alla rotta programmata e perfino rispetto all’aeroporto di destinazione ed alle relative radio-assistenze. Però ...... vi è un però da tenere in considerazione.

Durante le fasi di discesa e di entrata nello spazio aereo delle aree terminali, il Flight Management System non agisce altrettanto bene!

Limiti degli attuali FMS

Purtroppo nessun organismo sovranazionale ha mai provveduto a fissare uno standard industriale, valido per tutti, riguardo i componenti di programmazione (software) dei sistemi di gestione del volo.

La gran parte dei sistemi di gestione del volo (FMS) viene prodotta da ciascun fabbricante di sistemi elettronici di questo tipo soltanto secondo le specifiche tecniche della ditta costruttrice dell’aeromobile, specifiche che risultano essere anche profondamente differenti una dall’altra e per di più emesse da progettisti che considerano quasi esclusivamente il ritorno economico del progetto, con scarso coinvolgimento di ergonomisti e di esperti di interfacciamento che siano essi stessi futuri utenti umani di tali sistemi, cioè di piloti di linea particolarmente preparati e coinvolti fin dalla fase progettuale iniziale.

Così, sistemi di gestione del volo progettati dal costruttore Boeing avranno sì molto in comune con sistemi progettati da Airbus Industries, ma esisteranno anche notevoli differenze, particolarmente di ordine logico e funzionale.

Tutti i sistemi possono essere capaci di seguire una rotta definita da una aerovia o da una serie di punti di riferimento, ma oltre a questa comunanza le differenze presenti nella concezione dei sistemi citati diventano rilevanti.

Infatti, certi tipi di emendamenti a precedenti autorizzazioni emesse entro un’area terminale da successivi settori del controllo del traffico aereo (ATC) possono costituire un problema piuttosto serio per un tipo di FMS adottato da un costruttore, mentre non risulta alcun problema per il tipo di FMS scelto dall’altro.

Per meglio presentare il problema ora accennato, sarà opportuno illustrarlo con un esempio pratico:

Se in entrata nell’area terminale di Milano, provenendo dall’Aerovia A 14, per atterrare all’aeroporto di Malpensa, l’autorizzazione ATC dovesse prevedere di “sorvolare il punto Lupos a FL 260 e da quella posizione procedere diretto per Voghera VOR (VOG), attraversando in discesa il traverso di Parma (PAR NDB) a FL 180 o più ed il traverso di Codogno (COD NDB) a livello 100 o più e Voghera a FL 090, con la restrizione di velocità a 250 KIAS dal traverso di PAR NDB in poi”, con un tipo esistente di FMS basterà che il pilota inserisca direttamente l’ordine: “Vai diretto a VOG VOR sorvolandolo a FL 090” per realizzare graficamente sulla mappa elettronica i punti del traverso di Parma e di Codogno che vengono a cadere sulla rotta diretta Lupos-Voghera. Basterà poi che prima di scendere al di sotto di FL 180 o del traverso di Parma, il pilota inserisca l’istruzione di “sorvolare il traverso di Parma a FL 180 ed il traverso di Codogno a FL 100 o al di sopra, mantenendo una velocità massima di 250 KIAS” ed il FMS ripianificherà la discesa  nel rispetto di tale restrizione ed indicherà i punti richiesti al traverso delle radio-assistenze designate.

Invece con un diverso tipo di FMS la precedente identica autorizzazione costituirebbe un bel problema. Infatti, andare diretti a Voghera sarebbe possibile, però, non esistendo una funzione idonea a creare sulla mappa elettronica i punti al traverso di Parma e di Codogno, il pilota sarebbe costretto a tirare ad indovinare le distanze intercorrenti tra Lupos ed il traverso di Parma, tra quest’ultimo ed il traverso di Codogno ed infine tra questo e Voghera ed a ricavare il valore della rotta diretta tra la posizione Lupos e Voghera e poi immettere tali dati ipotetici di distanza e rilevamento nell’elaboratore. Solo allora il pilota sarebbe in grado di prendere visione della conseguente realizzazione grafica ottenuta sul visualizzatore e quindi giudicare se essa risulti accettabile o meno, tenendo conto della precisione richiesta in un’area terminale. Ovviamente il rischio che i punti di riferimento al traverso di Parma e Codogno così creati possano risultare errati sarebbe molto alto.

Perciò se i  punti così ricavati con tanto lavoro risultassero infine errati nella rappresentazione grafica, diverrebbe necessario immettere nuovi dati revisionati per i due punti di riferimento ancora non corretti. Insomma per piazzare a questo modo approssimativamente i punti di riferimento nelle rispettive posizioni corrette sulla mappa, il pilota avrebbe certamente compiuto un gran numero di operazioni  di stima circa rilevamenti e distanze e soprattutto una bella dose di battute sulla tastiera dell’elaboratore di navigazione. Il tutto con gran dispendio di tempo ed a scapito dell’attenzione da devolvere anche ad altre importanti incombenze.

Interazione dei sistemi con i piloti

Il fatto che la funzione del FMS appena descritta non sia sempre disponibile, ci porta a dover considerare l’importanza di un punto fondamentale dell’automazione e cioè che se solamente una parte della mansione viene resa automatica, il pilota è costretto a decidere se precedere alcune oppure tutte le funzioni automatiche, oppure ancora se raggirare il sistema facendo qualcosa che sia pressappoco equivalente al lavoro desiderato, ottenendo così un risultato che è soltanto approssimativamente corretto, in presenza d’una situazione che invece richiede una buona precisione e soprattutto imponendo un aumento notevole del carico di lavoro.

La maggior preoccupazione relativa all’automazione delle cabine di comando dei moderni velivoli ad alta automazione è senz’altro la sicurezza del volo. In merito si tenga ben presente che qualsiasi nuovo dispositivo imbarcato su di un aeroplano crea nuove possibilità per un incidente. Ad esempio, si ricordi che i carrelli d’atterraggio retrattili sono stati certamente un miglioramento, perlomeno sotto l’aspetto aerodinamico, ma fino a quando il primo carrello di questo tipo non fu installato su di un aeroplano, nessuno aveva dovuto sentir  riferire di un atterraggio con il carrello retratto!

Ebbene, così è avvenuto anche con i sistemi automatizzati.

Quando sui moderni velivoli da trasporto furono introdotti i nuovi sistemi di comandi di volo del tipo telecomandato-a-filo (fly-by-wire) con incorporata la protezione del normale inviluppo di volo (ovvero auto-protezione dei limiti strutturali ed operativi del velivolo), s’era pensato che ciò avrebbe dovuto assicurare che gli aeroplani fossero a prova di schianto e di caduta.

La statistica successiva ha dimostrato che ancora non è così!

Purtroppo è successo che sono accaduti nuovi tipi d’incidenti, che hanno comportato un collasso interfacciale tra l’operatore umano ed il sistema automatizzato.

Com’è potuto avvenire ciò?

L’aeromobile com’era e com’è diventato

Nel volo manuale su di un aeroplano tradizionale il pilota posiziona direttamente le superfici dei comandi di volo e l’aereo risponde secondo le leggi di moto, di gravità ed aerodinamiche.

Così il pilota impara abbastanza facilmente queste leggi relativamente semplici e costanti.

E fino a quando l’aereo non sia portato a stallare, le predette leggi tendono a comportarsi agendo sempre nella stessa maniera. Insomma esiste un unico dispositivo ad azionamento lineare per poter cambiare ciascun singolo parametro. Ciascun comando viene mosso dal pilota in un certo senso per ottenere più, o meno, o qualcosa e nel senso opposto per ottenere l’effetto contrario.

Ed il pilota stesso, per comandare l’aereo, ragiona in modo similare, cioè linearmente e  sequenzialmente.

Nel volo automatizzato il pilota deve tenere a mente le leggi fondamentali precedenti, ma i comandi impartiti alle superfici di governo dell’aeromobile moderno vengono adesso filtrati attraverso la logica progettuale inserita nel sistema automatizzato.

Quando si vola manualmente i riferimenti per il pilota sono l’assetto longitudinale, la spinta, la velocità, l’altezza, l’angolo di inclinazione laterale e quello di attacco, ecc. ecc. Per mantenere il controllo dell’aereo il pilota si rende consapevole visivamente di tutti questi parametri, li coordina secondo necessità e governa di conseguenza.

Nel volo automatizzato il significato del valore istantaneo di tali parametri appare notevolmente diminuito. Il punto focale per il pilota diventa adesso lo status degli elaboratori di bordo e la validità delle informazioni che essi stanno usando, parte delle quali è stata immessa direttamente o indirettamente dal pilota stesso, alle volte però anche molto tempo prima dell’uso del singolo particolare!

In un ambiente ideale il pilota non perderebbe mai di vista  quei parametri basici e vitali prima citati, ma l’automazione stessa ha prodotto un numero considerevole di nuovi e pressanti parametri.

Così, il carico di lavoro, almeno in certe fasi critiche, è aumentato e può aumentare ulteriormente quando il pilota venga impegnato dalla stessa automazione allorché questa si rifiuti di funzionare come dovrebbe oppure come risulta nelle aspettative del pilota. Il che costituisce già una differenza non da poco nell’economia gestionale del volo!

Le azioni dei piloti poi possono avere differenti conseguenze in dipendenza del contesto delle altre funzioni automatizzate in atto.

Così una semplice azione fisica che in un certo caso può causare l’abbassamento della prua dell’aeromobile (picchiata), in un altro caso può determinare invece l’innalzamento del muso dell’aeromobile stesso (cabrata). Quanto detto serve per far rilevare l’importanza della consequenzialità dei risultati dovuti ad una stessa identica azione fisica; fatto che non dovrebbe essere mai sottovalutato dai progettisti!

Infatti, nel comportamento degli esseri umani esiste uno schema logico conosciuto come “ritorno alle origini” e cioè: in condizioni di sollecitazioni stressorie, l’essere umano ricorre istintivamente ad azioni fisiche che gli hanno procurato sollievo in occasione di tensioni psicologiche sperimentate in passato.

Negli aeromobili automatizzati i comportamenti istintivi da parte dell’operatore umano devono essere repressi! Ogni cosa deve essere valutata su base puramente razionale prima di assumere qualsiasi azione/iniziativa. Nell’automazione non vi è spazio per qualsiasi forma istintiva, anche se si sia rivelata adeguata nel passato, pur se rimane vero il fatto che molti piloti sono riusciti a scongiurare un incidente agendo d’istinto!

In passato, i primi autopiloti avevano una logica molto semplice. La razionalità necessaria per volare con tali autopiloti risultava lineare, consequenziale e perfino molto simile al volo manuale.

Si trattava dunque d’una protesi a vantaggio del pilota e nulla più!

I moderni sistemi di gestione e di condotta del volo presentano invece dei modi e delle funzioni che il pilota può comandare direttamente ed altre di queste capacità sistemiche che intervengono autonomamente ed automaticamente.

Tra quest’ultime ricorderemo le leggi progettuali di controllo, che provvedono al rispetto dell’inviluppo di volo e che, in certi casi, detengono la prerogativa e l’autorità di sovrapporsi a qualsiasi altro comando.

Chiarito senza equivoci questo livello di complessità in tema gerarchico, non v’è da meravigliarsi del fatto che, spesso, le registrazioni di certi Cockpit Voice Recorders contengano delle esclamazioni emesse da piloti come le seguenti: “Che sta facendo adesso?- Perché sta facendo così?- Possiamo fermarlo?- Come possiamo fare per fargli fare ciò che noi vogliamo?“ Il tutto, naturalmente, riferito all’impianto automatizzato integrato di bordo.

Altre considerazioni in materia

La complessità dei moderni velivoli da trasporto risulta più che evidente dal cospicuo numero di comandi esistenti nella cabina di pilotaggio, comandi in grado di cambiare la traiettoria di volo, e poi dal numero delle possibili combinazioni di configurazione di tali comandi, che in seguito cercheremo di illustrare.

A bordo di un aeromobile progettato con il sistema telecomandato-a-filo (fly-by-wire), oltre al dispositivo (classico o meno) per inviare i comandi del pilota alle superfici di governo utilizzato per il volo manuale (barra, volantino o joy-stick), che già di per se agisce comunque in modi differenti a seconda dello status dell’impianto (CWS) e della fase di volo, ogni pulsante di inserzione dell’autopilota o del sistema di gestione del volo può comandare un cambiamento della traiettoria di volo. Il numero delle configurazioni di comando possibili è ormai molto vasto ed oltre a ciò qualsiasi configurazione esiste in un contesto di un numero pressoché infinito di altre configurazioni che avvengono automaticamente, nell’ottica superiore della migliore economia del volo.

In queste condizioni, oggi esistenti, una buona difesa in opposizione a questa complessità consisterebbe in un progetto coerente dei necessari comandi e relativi visualizzatori (displays), in modo che l’esecuzione di quelle funzioni usate di rado siano analoghe a quelle usate per attuare le funzioni più comunemente usate. Parte di questo adeguamento progettuale potrebbe consistere nell’aderenza ad una più semplice sintassi per l’immissione di ordini all’elaboratore per mezzo della tastiera, oppure nell’adozione di un sistema riveduto che sia capace di tollerare variazioni alla regolamentazione sintagmatica adottata nella realizzazione progettuale.

Inoltre, su certi aeromobili moderni i piloti sono soggetti a frustrazioni, spesso esplicitate in casi nei quali si sia dovuti ricorrere ad interventi d’urgenza, in quanto è ritenuto molto scarso ciò che può essere comandato direttamente. Esiste, è vero, un dispositivo di immissione di dati attraverso il quale il pilota può trasmettere i propri desiderata, ma la richiesta dell’essere umano viene esaminata ed elaborata dal computer in carica assieme alle informazioni ed ai segnali ambientali provenienti da altri elaboratori di bordo, prima che una qualsiasi azione avvenga. E comunque sarà una azione mediata dalle esigenze dei programmi inseriti da qualche tecnico-programmatore che ha lavorato al programma stando ben lontano dalla “linea del fronte”.

Al fine dunque di garantirsi che il pilota non perda mai consapevolezza della situazione in atto, è necessario progettare dei sistemi integrati con una logica più semplice, bisogna adottare dei visualizzatori ulteriormente migliorati per mantenere i membri dell’equipaggio di condotta minuziosamente ragguagliati della situazione corrente e di quella proiettata nel futuro prossimo ed infine si deve fornire un miglior addestramento ai piloti, allo scopo di perfezionare una ottima conoscenza dei sistemi adottati, in modo da aderire strettamente alle procedure operative regolamentate ed approvate, che siano in grado di evitare qualsiasi trappola occultata nella logica del complesso integrato.

Gerarchia pilota/macchina

Va subito detto che la gerarchia tra automazione ed essere umano è senz’altro il punto cruciale della questione.

Il comandante di un aereo di linea  desidera un tipo di automazione che si comporti come un co-pilota affidabile!

Perciò l’automazione deve possedere una ampia gamma di capacità funzionali, deve essere precisa nell’esecuzione dei propri compiti e, al pari di un co-pilota dovrebbe prestare fedele attenzione a tutti i desiderata operativi del comandante.

Oggidì, purtroppo, quando un sistema automatizzato sta gestendo il volo di un aeromobile si evidenzia una marcata tendenza acchè vengano completamente invertiti i rispettivi ruoli tra uomo e macchina! Oggi avviene che l’auto-sistema di gestione diventa il padrone ed i piloti a bordo dell’aereo diventano i suoi servitori.

Infatti l’ordinaria componentistica di programmazione (software) di un FMS può negare l’accesso al pilota verso certe informazioni del sistema di gestione del volo (FMS) ed anche qualora l’accesso venisse accordato, verrebbe comunque negata la possibilità di cambiare dei parametri variabili, anche quando il cambio richiesto non avrebbe alcuna implicazione negativa sulla sicurezza del volo.

Un tale tipo di ordinamento è sentito da molti piloti, solitamente dedicati alla loro professione, come un motivo di frustrazione al loro desiderio di migliorare le prestazioni globali dell’accoppiata uomo/macchina e talvolta, in certe fasi impegnative, pure come un inutile incremento del carico di lavoro dei piloti che volessero trovare una maniera per risolvere certe difficoltà operative non contemplate nella progettazione del programma adottato dal costruttore.

L’automazione dovrebbe accondiscendere sempre ai voleri degli esseri umani. Non dovrebbe mai essere programmata in modo da ostacolare il potere decisionale dell’essere umano. Dovrebbe invece essere programmata per emettere avvisi e consigli nel caso l’azione del pilota fosse da considerare sconsigliabile, ma, se il pilota dovesse non tenere in conto di tale allarme, allora l’automazione dovrebbe esser progettata per diventare passiva, nel caso più estremo!

E’ veramente insensato da parte di qualsiasi progettista di componenti di programmazione di volersi stimare capace di saper prevedere tutti i modi nei quali possa esser necessario volare un aeromobile. Perciò non è certo desiderabile né opportuno per la sicurezza che possano venir elaborati programmi modali che possano contrastare con i comandi originati dal pilota, il quale, non lo si dimentichi mai, è anche il legittimo detentore della responsabilità legale a bordo del suo aereo.

Perciò, contrastarne in qualsiasi modo la sua autorità, è un rischio che i programmatori di software e per essi i costruttori di sistemi automatizzati  dovrebbero essere molto cauti prima di assumere.

Aspetti addestrativi

In seguito ad alcuni incidenti o mancati incidenti accaduti ad aeromobili altamente automatizzati, si è venuta a sollevare la questione riguardo alla decisione dei piloti coinvolti di non essere tempestivamente ricorsi al controllo manuale del velivolo, dato che sarebbe apparso manifesto che un passaggio alla condotta manuale avrebbe potuto evitare l’accadimento dell’incidente, perlomeno nel modo in cui è avvenuto.

Risulterebbe quindi che la riluttanza dei piloti di aeromobili automatizzati a far ricorso alla condotta manuale sia un problema di sicurezza. Se le cose stanno proprio così vorrebbe dire che l’addestramento impartito ai piloti ha fallito quanto meno nel compito di trattare chiaramente il problema relativo al passaggio del controllo dall’uomo alla macchina e, naturalmente, viceversa.

Durante le transizioni tutti i piloti devono dimostrare la loro capacità a condurre l’aeromobile con mani e piedi, cioè manualmente, ma ciò, sugli aeroplani moderni non è più considerato un obiettivo importante nell’addestramento per il passaggio di macchina. Pertanto tutti gli istruttori pongono ogni attenzione nel cercare di ottenere che i piloti in transizione facciano il massimo uso possibile dei sistemi automatizzati, anche perché le ore dedicate alla transizione sono state continuamente ridotte nel tempo, nell’ottica di una dubbia economia efficientista.

Però nel corso delle operazioni di volo vi sono occasioni nelle quali i piloti sono costretti ad effettuare il cambiamento dal funzionamento automatico alla condotta manuale a causa di avarie o di anomalie del sistema automatizzato e ciò è ben diverso dalla pratica sperimentata in addestramento consistente nel decidere la disinserzione di un sistema automatico pienamente funzionante, con la prospettiva di poterlo reinserire più tardi e comunque quando fa più comodo.

Invece durante il periodo di addestramento per la transizione i piloti vengono perfino biasimati qualora disinseriscano i sistemi automatizzati e possono persino incorrere in una bocciatura, se fanno ciò allo scopo di allenarsi anche manualmente. Infatti tutti gli esercizi addestrativi sono rigorosamente progettati per essere compatibili con l’uso dell’automazione di bordo, tanto che un allievo è giudicato idoneo se compie tutti gli esercizi ed i profili di volo previsti usando l’automazione, con la sola eccezione ammessa quando la lezione preveda l’avaria irreparabile del sistema automatizzato stesso.

Tutto ciò ovviamente crea una fiducia pressoché illimitata nell’automazione, fiducia che è massima nei migliori allievi. Essi infatti sono in grado di fronteggiare e superare qualsiasi difficoltà introdotta nella lezione con l’uso esclusivo dell’automazione. L’atto di disinserire il sistema qualora insorgano problemi nell’uso dello stesso è visto come una ammissione di fallimento nel padroneggiare il sistema, al quale bisogna comunque rimanere asserviti!

Nella realtà, quando le cose si fanno complicate, le difficoltà vanno oltre le facoltà programmate nei sistemi automatizzati. Di conseguenza la prima esigenza da soddisfare è quella che consiste nel più precoce riconoscimento dell’inizio di certe situazioni che possono richiedere il disinserimento del sistema. Tali situazioni possono benissimo essere riprodotte a bordo di un simulatore di volo durante il ciclo addestrativo, creando deliberatamente dei casi nei quali l’automazione, così come concepita, non sia più in grado di governare l’aeromobile e quindi il pilota sia costretto a subentrare manualmente nella condotta, usufruendo della strumentazione rimanente.

A prima vista, adottando questo metodo, sembrerebbe di agire in contrapposizione all’incentivazione dell’uso dell’automazione ed invece quanto suggerito costituirebbe una preziosa lezione di rafforzamento dell’insegnamento impartito all’allievo circa i benefici effetti di una automazione  gestita scientemente dall’uomo. Solo così l’allievo potrebbe conoscere per tempo che esistono situazioni nelle quali un sistema automatizzato ancora parzialmente funzionante può essere disinserito con vantaggio per l’economia globale dell’operazione in atto. Si potrebbero altresì creare ulteriori situazioni nelle quali il pilota debba ripristinare l’asservimento dell’aeromobile al sistema automatico che si sia potuto rendere riutilizzabile.

Durante le normali operazioni di volo ed in addestramento l’inserimento della gestione automatica del volo generalmente avviene solamente dopo il decollo.

Ora, in questa situazione, l’azione è completamente scontata e pertanto ampiamente automatizzata attraverso la predisposizione pre-volo dei vari modi necessari per la sequenza di decollo e del dopo-decollo.

Reinserire un sistema automatizzato quando si è nel bel mezzo di un volo è invece più difficile.

Se il passaggio tra volo automatizzato e volo manuale fosse più facile, questa possibilità da sola farebbe aumentare la probabilità che i piloti prendano anticipatamente e forse più frequentemente  la decisione di disinserire il sistema automatizzato di gestione.

In merito può essere valida anche un’altra considerazione: un tempo i piloti avevano un elevato grado di conoscenza tecnica della propria macchina. Nel ciclo addestrativo per il passaggio al Douglas DC8, ad esempio, i membri dell’equipaggio di condotta venivano impegnati per una intera settimana  soltanto per studiare l’impianto elettrico del quadrireattore.

I moderni aeromobili sono molto più complessi del DC8, eppure oggi l’impianto elettrico viene studiato in un’ora, usando l’insegnamento assistito dagli elaboratori didattici.

I piloti d’oggi devono quindi accettare sulla fiducia che quanto è stato loro impartito come insegnamento al corso di transizione è tutto, ma proprio tutto ciò che essi necessitano di conoscere sugli impianti di bordo!

Purtroppo però, la triste esperienza che deriva dall’analisi delle investigazioni sugli incidenti dimostra che il livello istruzionale di conoscenza che viene impartito ai piloti durante l’addestramento per la transizione sui moderni velivoli ad alta tecnologia è probabilmente insufficiente!

Logica progettuale dei sistemi automatizzati

Vi sono diversi livelli logici nei sistemi automatizzati di volo. Alcuni di essi cadono sotto la diretta autorità del pilota, ma altri sono sviluppati in profondità e non riguardano né le normali operazioni di volo né vengono presentati completamente nei manuali addestrativi o in quelli tecnici, probabilmente anche per ragioni di segreto industriale. 

Il sistema di controllo del traffico aereo di per sé può tollerare ampie variazioni delle prestazioni degli aeromobili in termini di velocità orizzontale e di velocità di salita durante le fasi di partenza sulle rotte d’uscita. Tali variazioni, ancorché vadano preannunciate dal pilota, vengono accettate senza problemi dall’ATC, dato che gli aeromobili in uscita si avviano verso lo spazio aereo più vasto rappresentato dal volo in rotta (aerovie, rotte inerziali o per navigazione d’area, ecc.).

Ma nelle fasi di arrivo, dove gli aeromobili convergono e si affollano per accedere alle aree terminali e quindi per arrivare agli aeroporti di destinazione, allora avviene esattamente il contrario. Il controllo del traffico aereo s’aspetta che i piloti s’affrettino a diminuire la velocità ed a scendere, molto spesso esigendo l’attuazione contemporanea delle due manovre.

Però i progettisti dell’automazione non hanno posto attenzione a questo tipo di esigenze: in altre parole non hanno affatto contemplato l’adozione di un dispositivo idoneo a dissipare l’energia, ovvero la velocità, che si accumula scendendo. Purtroppo anche le caratteristiche di progetto di alcuni sistemi automatizzati non hanno tenuto conto di questo tipo di esigenze prettamente operative e pertanto il sistema attualmente in uso agisce in modo tale da contrastare l’intento del pilota che cerca di ridurre la velocità orizzontale più speditamente possibile, come da richiesta dell’ente ATC.

Sempre nell’ambito di certi tipi di aeromobili ad alta tecnologia esistono alcuni tipi di sistema per la condotta e la gestione del volo molto sofisticati, che dispongono della commutazione automatica delle diverse fasi di volo all’interno del programma di gestione dell’aeromobile (FMS). I modi di controllo gestiti dal sistema sono propri di ciascuna fase specifica di volo, ma, in generale, la commutazione delle diverse fasi è al di fuori del controllo diretto del pilota, rispondendo ad altri effetti.

La commutazione tra fase di discesa e quella di avvicinamento è una delle più considerevoli variazioni nel controllo delle funzioni e quindi tra le più difficili da automatizzare. Di conseguenza esiste un arrangiamento che prevede anche l’azionamento manuale, limitato però alla sola fase di discesa, per la transizione alla fase di avvicinamento, oltre alla funzione della commutazione automatica.

Ciò però crea una subdola insidia per i piloti che debbano usare questo modello di FMS.

Il primo modello di velivolo di questo tipo venne immesso in servizio senza la capacità di navigazione  automatica sull’asse verticale del FMS. Perciò, a quel tempo, la commutazione dalla fase di discesa a quella di avvicinamento avveniva automaticamente allorché il pilota selezionava nel sistema una velocità inferiore a quella permessa in configurazione pulita dell’aeromobile oppure all’atto dell’estensione degli ipersostentatori alari. Questo programma funzionava bene dato che l’azione di selezionare una velocità inferiore a quella possibile in configurazione pulita o la fuoriuscita dei flaps precede qualsiasi ordinaria manovra di atterraggio. Così il cambiamento automatico di fase avveniva esattamente e comunque, se il pilota desiderava anticipare questo cambiamento di fase, poteva comandarlo manualmente. Fin qui, dunque, tutto bene.

Però in seguito, quando questa ditta costruttrice decise di aggiungere la funzione per la navigazione verticale al sistema di gestione del volo esistente, mantenendo la possibilità della commutazione manuale alla fase di avvicinamento, l’evento di commutazione automatica fu spostato dall’azione di selezione d’apertura dei flaps ad una posizione pre-programmata nel profilo del piano di volo di avvicinamento, posizione chiamata "punto di decelerazione".

Ma a complicare ulteriormente questo cambiamento automatico di fase, il predetto punto di decelerazione può esser riconosciuto dal sistema di gestione del volo (FMS) soltanto se l’aeromobile lo sorvola esattamente, sotto la guida della funzione di navigazione laterale inserita.

Essendo, però, abbastanza comune che nelle aree terminali gli enti del controllo del traffico aereo (ATC) adottino la guida degli aeromobili emettendo dei vettoramenti radar, particolarmente durante la fase di discesa e di posizionamento degli aeromobili per il sequenziamento finale, accade che la funzione di navigazione laterale non sia e non possa essere inserita. Talché il sistema di gestione del volo (FMS) non è in condizione di commutare automaticamente il cambio di fase ed è il pilota a doversi rammentare di far ciò a tempo debito.

Ora è evidente che questa variazione della commutazione automatica ordinaria con semplice opzione per la sovrapposizione manuale e volontaria da parte del pilota in un sistema di commutazione variabile, talvolta manuale, tal’altra automatico, ha di fatto reso il princìpio di commutazione applicato a questo sistema molto meno affidabile per la sicurezza del volo. Infatti, qualora il cambiamento di fase non venga comandato dal pilota allorquando egli abbandona la velocità selezionata per inserire la velocità gestita dal sistema, avvicinandosi al punto d’inizio dell’avvicinamento finale, l’aeromobile andrà a cercare di raggiungere la velocità programmata di discesa!

Così, seguendo il sentiero di discesa, la spinta applicata ai motori verrà aumentata verso il massimo ammesso, l’aeromobile di conseguenza tenderà ad accelerare molto rapidamente e quindi a superare la velocità limite stabilita per la configurazione con gli ipersostentatori estesi ed allora l’autopilota finirà per disinserirsi automaticamente mentre la terra si avvicina sempre di più e sempre più in fretta!

Se si permette che tutto ciò avvenga (ed avviene in brevissimo tempo!) è un bel daffare riuscire a riguadagnare rapidamente il controllo della situazione onde evitare, nella migliore delle ipotesi, di raggiungere l’aeromobile che precede il proprio nella sequenza di avvicinamento e per cercare di ristabilizzare i parametri di volo sul sentiero di avvicinamento, in tempo per riuscire ad atterrare.

Provare (possibilmente sul simulatore !), per credere!

A quote più alte un altro dispositivo automatizzato adottato da questo tipo di aeromobile, ha provocato non poche complicazioni e difficoltà. Uno dei pulsanti di cambio di funzioni dell’autopilota inserisce un modo denominato "Expedite" (Sveltimento). Qualora l’aeromobile stia salendo o scendendo, premere detto pulsante significa comandare il sistema di condotta del volo verticale a barattare guadagno (positivo o negativo) di quota in cambio o meglio a scàpito della velocità orizzontale del momento. Immettere questa funzione è facile, ma toglierla è questione complicata e problematica! Essa viene attivata da uno dei 23 pulsanti collocati sul pannello parasole della cabina di pilotaggio, chiamato appunto "Expedite". Però, diversamente da tutti gli altri pulsanti presenti, questo comando non può essere cancellato premendo una seconda volta lo stesso pulsante, com’è valido per tutti gli altri. Il solo modo per uscire da questa funzione è quello di attendere di arrivare alla quota pre-selezionata oppure, alternativamente, quello di usare un pulsante differente tra quelli che selezionano un modo diverso di navigazione sull’asse verticale.

Ma vi è dell’altro! L’automazione di questo tipo di aeromobile è in grado di condurre la navigazione tridimensionale sia con riferimento ai parametri del valore di prua e di velocità verticale (ascensionale/discensionale) che con riferimento ai parametri di rotta e di angolo della traiettoria di volo da mantenere in salita/discesa.

La prima funzione è quella più comunemente adoperata, mentre la seconda è usata molto più raramente, prevalentemente soltanto nei casi necessari per l’effettuazione di una procedura di avvicinamento non-di-precisione. Allorquando si debba usare il riferimento ad un valore di rotta  per seguire il rilevamento fondamentale di un avvicinamento non-di-precisione, viene usato uno specifico pulsante per ottenere la commutazione del modo dall’una all’altra delle funzioni precedentemente descritte.

Durante una virata, necessaria ad intercettare il valore di rilevamento fondamentale della rotta di avvicinamento, un pilota deve essere molto guardingo nel momento della scelta di commutazione delle funzioni disponibili.

In tale circostanza infatti, il sistema automatizzato eseguirà il livellamento delle ali, interrompendo quindi la necessaria virata, per mantenere l’ultimo valore di rotta letto al momento della commutazione di modo comandata dal pilota. Nel caso dunque che la commutazione sia stata comandata prima di raggiungere il valore del rilevamento fondamentale di avvicinamento, il pilota sarà costretto a ripetere velocemente la selezione del valore di rotta desiderato per ottenere il proseguimento della virata fino ad intercettare la rotta di avvicinamento finale.

Ma la predetta reazione da parte del sistema automatizzato non è né logica né conveniente. Infatti, tutto ciò che il pilota intendeva comandare con la commutazione di modo del sistema era soltanto quello di cambiare il valore di riferimento laterale dal valore di prua selezionata al valore di rotta fondamentale riferita al suolo.

In termini logici la reazione del sistema risulta infondata: infatti così come il cambiamento di riferimento sull’asse verticale (ad esempio, il cambiamento del valore di regolazione della pressione barometrica su di un altimetro) non provoca un immediato livellamento di quota dell’aeromobile se questo sta salendo o sta scendendo, così sarebbe molto più logico ed appropriato che il sistema permettesse di continuare la primitiva virata necessaria ad intercettare il valore fondamentale della rotta di avvicinamento, invece di interrompere bruscamente la virata.

Effetti sul carico di lavoro del pilota

E’ discutibile l’asserto secondo il quale l’automazione avrebbe ridotto il carico di lavoro dei piloti in tutte la fasi del volo. Molto più attendibile è il postulato di chi sostiene che l’automazione abbia contribuito a ridistribuire i carichi di lavoro, riducendone, in certe fasi operative di volo e a terra, i picchi di concentrazione e quelli di minor impegno. Vi è poi il partito di coloro secondo i quali l’automazione avrebbe aumentato i carichi di lavoro laddove erano già elevati, per ridurli invece solo là dove erano già scarsi tanto da far temere la possibilità dell’affaciarsi se non addirittura della noia, quanto meno di un abbassamento della vigilanza.

Comunque, per certo, l’automazione ha fortemente accresciuto il lavoro dei membri d’equipaggio di condotta quando succede qualcosa che richiede una complessa ripianificazione del volo.

Un classico esempio di ciò può esser rappresentato dalla semplice esigenza sollevata da un ente del servizio ATC di una semplice variazione della pista in uso per gli atterraggi.

Su un certo tipo di aeromobile, il sistema di gestione del volo può necessitare di oltre 43 battute sulla tastiera dell’elaboratore per poter cambiare i dati per l’avvicinamento ad una pista con quelli di una pista differente (anche se parallela alla prima!).

Il numero di battute d’immissione dei dati può esser ridotto qualora il cambiamento fosse stato preannunciato e qualora l’avvicinamento alla seconda pista fosse stato pre-caricato quale alternativa al primo, sebbene neppure ciò possa conciliare l’eventualità di previsioni meteorologiche inesatte (del resto scusabili in quanto possono esser state formulate ancor precedentemente al tempo della partenza, avvenuta 10 o 12 ore prima, considerata l’autonomia degli attuali aeromobili commerciali), oppure per un cambio verso una terza pista, che si rendesse necessario per ragioni contingenti.

V’è dunque da rilevare che il numero delle battute d’immissione necessarie potrebbe essere notevolmente ridotto qualora le banche dei dati installate a bordo fossero più capaci e permettessero d’immagazzinare una maggior quantità d’informazioni permanenti ed aggiornate.

Purtroppo v’è da constatare che, quasi senza eccezioni, le banche dei dati di navigazione presentemente non hanno sufficienti capacità di memoria per le operazioni di una compagnia aerea, se questa copre una rete internazionale.

Attualmente la capienza di queste banche-dati sta aumentando, ma molti sistemi di gestione del volo (FMS) possiedono soltanto 200 kilobytes di memoria. Sarebbe invece necessaria una capacità di almeno 10 volte tanto per fornire il necessario supporto ad una gestione del volo per coprire senza problemi una rete di collegamenti aerei solo modesta!

Per concludere la trattazione di questo aspetto dei FMS di bordo, diremo che un cambiamento ideale non dovrebbe comportare più di tre battute sulla tastiera del sistema di gestione del volo.

Le banche-dati di navigazione di bordo poi possono contenere attualmente un certo numero di punti di riferimento (waypoints) con l’identico nome o uguale sigla d’identificazione. Onde risolvere questo tipo di ambiguità il pilota deve selezionare il punto di riferimento che intende realmente inserire tra quelli elencati in una lista di punti aventi la stessa sigla identificativa, lista contenuta nella banca-dati del FMS. Sfortunatamente (o meglio per colpevole miopia da parte del fornitore della banca-dati), la lista in questione non viene presentata sul visualizzatore in un qualsiasi ordine logico (per suddivisione regionale dell’ICAO, oppure per continente, ad esempio), aumentando con ciò la possibilità che il pilota possa scegliere un punto scorretto. Già, ma ciò, per una certa mentalità, sarebbe classificabile come un "pilot-erro" !

Tutto ciò potrebbe venir facilmente evitato qualora potesse venire adottata una qualsiasi forma logica nella presentazione della lista sotto accusa.

Altre soluzioni in materia potrebbero esser  quelle della presentazione secondo un criterio di vicinanza geografica al punto in cui il velivolo si trova al momento, oppure di prossimità all’aeroporto interessato come destinazione del volo, e così via! Ma niente, così si  continua da  anni!

E vediamo un altro problema che incrementa inutilmente il carico di lavoro.

Alcuni tipi di sistemi di gestione del volo permettono la continuazione delle funzioni di navigazione verticale (V-NAV) fino a quando l’aeromobile si trova ragionevolmente vicino alla rotta programmata, scelta tra quelle ufficialmente pubblicate, mentre altri tipi di FMS richiedono che la funzione di navigazione laterale (L-NAV) sia inserita in un modo controllato, perché esplicitamente voluto dal pilota. Nel secondo caso ciò significa che tutte le funzioni della navigazione verticale vengono perdute non appena il pilota debba inserire un valore di prua richiesto da un ente ATC, magari per pochi minuti, al fine di gestire una separazione in rotta tra velivoli che potrebbero interferirsi.

Una tale forma di inflessibilità in termini di logica operativa depriva i piloti di una funzione automatizzata molto utile durante il volo in qualsiasi spazio aereo controllato positivamente dai radar del controllo del traffico aereo.

Secondo quanto pensiamo di esser riusciti a dimostrare con quanto esposto in precedenza, riteniamo di poter concludere che molte delle differenze riscontrate tra i sistemi di gestione del volo esistenti rispetto ad un optimum ideale per il personale di condotta, appaiono più essere il frutto del modo d’impostare la propria produzione da parte delle imprese commerciali del settore e senza alcun riferimento alle esigenze degli utenti potenziali dei sistemi, piuttosto che un frutto logico di una progettazione che tenga presenti gli standard in vigore nei campi operativi e del controllo del traffico dell’aviazione civile mondiale.

Dal punto di vista dei piloti, ma anche da quello della sicurezza del volo, queste differenze d’impostazione o questa perdita di vista degli obiettivi dell’automazione non servono ad alcun utile intento, in quanto i piloti verrebbero meglio aiutati qualora esistesse uno standard concordato e sviluppato nell’interesse comune circa le funzioni utili ed il funzionamento logico dei sistemi di gestione del volo (FMS).

Una standardizzazione come quella delineata qui sopra, oltre a semplificare l’addestramento dei piloti in occasione dei passaggi di macchina, potrebbe garantire che i costruttori producano e forniscano dei sistemi di gestione del volo che siano i più adatti per gli scopi dell’aviazione civile, ma soprattutto che siano aggiornati alle esigenze degli utenti al momento della loro adozione.

Presentazione delle informazioni

E’ molto importante che i sistemi automatizzati di bordo continuino a mantenere informati i piloti circa quanto sta accadendo ed evolvendo nella programmazione gestionale del profilo di volo e sotto questo aspetto gli attuali sistemi di visualizzazione delle informazioni possono essere ancora notevolmente migliorati.

I modi secondo i quali l’elaboratore di bordo sta guidando il sistema di condotta e di gestione del volo dovrebbero essere presentati in maniera più palese ed affidabile. Qualora sia previsto che certi interi sistemi siano in funzione durante il volo, la loro eventuale condizione di disinserzione o di arresto dovrebbe inequivocabilmente essere annunciata come tale, mentre attualmente una tale condizione viene tollerato che sia indicata semplicemente con l’assenza di qualsiasi informazione.

Il che, ovviamente, non è proprio accettabile (visto con l’ottica del pilota)!

In passato poi, i piloti erano stati tradizionalmente abituati ad usare dei piccoli contrassegni mobili di marcamento (bugs) su alcuni strumenti per evidenziare dei valori importanti per la condotta del volo (velocità caratteristiche o quote di sicurezza, ad esempio).

A bordo di un moderno tipo di aeromobili non esistono contrassegni di marcamento che il pilota possa pre-selezionare ad esempio sull’altimetro barometrico allo scopo di marcare il valore dell’altitudine minima di discesa. Dovrebbe risultare ovvio che un tale tipo di espedienti risultati utili alla causa della sicurezza non andrebbero abbandonati soltanto perché si è passati da una strumentazione fatta di quadranti ad una basata su schermi elettronici, che tra l’altro non presenterebbero alcuna difficoltà a mantenere la presenza di questi contrassegni salva-vita. Ma soprattutto intollerabile risulta la decisione presa da qualcuno a tavolino di abolire qualcosa che risultava molto utile ai piloti, senza neppure consultarli! Ma qui torna in ballo la questione della standardizzazione mondiale, che risulta negletta ancora una volta e che non si sa chi e quando vorrà prendere in considerazione.

Un altro argomento ancora relativo alla strumentazione di bordo è quello riguardante il cambiamento avvenuto tra presentazione tramite strumenti a scala analogica circolare a quella realizzata tramite visualizzatori strumentali di tipo lineare, contenuti nel complesso formato su tubi a raggi catodici. Anche questa innovazione risulta alquanto discutibile.

E’ vero che gli indicatori lineari adottati per la velocità, l’altitudine, la variazione di velocità verticale e dei parametri di funzionamento dei motori rispondono meglio all’esigenza di adattare la presentazione di tutte queste informazioni entro il rispettivo limitato spazio disponibile sullo schermo di un tubo a raggi catodici di dimensioni contenute, ma tale realizzazione (del resto non richiesta dai piloti) non ha certo rappresentato né un miglioramento né una facilitazione per le informazioni da presentare al pilota. Infatti in questo tipo di soluzione è venuto completamente a mancare il beneficio costituito dalla visione istantanea della tendenza alla variazione ad aumentare o a diminuire di ciascun parametro e perfino il paragone istantaneo fra valori di parametri simili.

In merito è interessante notare che ora che divengono disponibili dei visualizzatori a colori di maggior grandezza frontale e di minor ingombro in profondità, basati su schermi a cristalli liquidi (LCD), i costruttori stanno finalmente riconsiderando di fornire la presentazione strumentale su strumenti a forma circolare, cioè come quelli meccanici del passato, incautamente accantonati a suo tempo, ma superiori per le caratteristiche di presentazione rispetto a quelli lineari attuali, per le ragioni già addotte.

Rimane infine la considerazione che attualmente si continua a lavorare su indicazioni strumentali lineari, adottate per questioni ben diverse da quelle ideali per le esigenze del pilota o per ridurre i carichi di lavoro, come l’automazione prometteva! Infatti, lavorare in un ambiente altamente automatizzato in condizioni di presentazione delle informazioni meno che ottimali, comporta per l’operatore l’accentuazione delle difficoltà, specialmente nei casi di emergenza o di carico di lavoro estremo.

Problemi ergonomici legati all’automazione

Ma se si vuole che l’automazione sia rispondente alle esigenze degli utilizzatori, una seria valutazione dei potenziali effetti dell’interfacciamento automazione/essere umano circa il carico di lavoro mentale imposto all’utilizzatore stesso diventa un passo ineludibile e decisivo della revisione della progettazione ergonomica tendente a facilitare il dialogo fra essere umano ed elaboratore del sistema di gestione.

La densità (e talvolta la carenza) di informazioni esibite o presentate all’utente costituisce senza dubbio un fattore molto importante relativamente alla formazione del carico di lavoro.

Infatti, mentre la presentazione dei dati sui visualizzatori dovrebbe essere organizzata in modo da ridurre al minimo la scansione necessaria per l’acquisizione delle informazioni da parte dell’operatore umano e solo e soltanto i dati essenziali alle necessità del momento dovrebbero essere fatti vedere, è altrettanto importante che l’utente umano non venga privato, come purtroppo attualmente avviene a bordo di una certa famiglia di velivoli commerciali, di quelle informazioni che il pilota è da sempre abituato a vedere e ad interpretare avvalendosi della visione periferica che entra nel raggio della scansione del proprio occhio.

S’intende qui citare (e criticare) quelle realizzazioni ergonomiche delle cabine di pilotaggio che prevedono che i volantini di comando delle superfici di governo dell’aeromobile o non si muovono più durante la gestione automatica del volo oppure, ancor peggio, siano stati tramutati in joy-sticks, che oltre a non far muovere il dispositivo gemello, quello cioè assegnato all’altro posto di pilotaggio rispetto a quello dal quale uno dei piloti ai comandi stia pilotando, tengono addirittura occultato quale di essi sia quello che effettivamente agisce al momento, salvo che non si vada appositamente a scrutare un apposito indicatore che finalmente rivelerà chi stia gestendo l’aeromobile.

Ma in materia è stato fatto ancor peggio, adottando un dispositivo che agisce in modo che, allorquando la gestione dei motori viene affidata all’impianto di auto-manetta, nessuna delle leve di comando dei motori si muova più lungo il settore del proprio quadrante di funzionamento, settore lungo il quale convenzionalmente le manette si sono sempre mosse (e continuano a doverlo fare durante la regolazione manuale della potenza dei motori) e precisamente in direzione del muso dell’aeromobile per indicare aumento di potenza ai motori e in direzione opposta (verso la coda) per indicare il funzionamento al minimo dei propulsori.

Orbene, deprivare i piloti della conoscenza visiva della posizione e del movimento e perfino della sensazione tattile attraverso la mano che deve accompagnare il movimento delle manette durante un avvicinamento automatico o durante una riattaccata, sensazione tattile che serviva a rivelare la posizione ed il movimento di ciascuna manetta lungo il suo percorso funzionale, ha costituito (e continua a costituire) uno dei peggiori errori progettuali commessi in nome dell’automazione.

Tant’è che tale insana realizzazione da sola è stata indicata come concausa in almeno un paio di incidenti toccati ad aeromobili di questa famiglia.

Di contro, su altri tipi di aeromobili, ergonomisti più illuminati hanno saputo trarre vantaggio dall’esistenza della visione periferica caratteristica dell’occhio umano per realizzare la presa di conoscenza, da parte del pilota, del regolare azionamento sia in funzione automatica che comandata manualmente del compensatore dello stabilizzatore del timone di profondità dell’aeromobile, sfruttando la semplice rotazione di un volano indicatore, posto lateralmente accanto alle ginocchia dei piloti ai comandi.

Infine merita trattazione anche il problema costituito dall’attuale mezzo adottato per permettere il colloquio tra essere umano e automazione.

Fino a quando si trattasse soltanto di dover usare uno o due pulsanti per volta per colloquiare con l’elaboratore, come accade quando il pilota voglia commutare modo o funzione (se tale commutazione sia permessa al pilota dal tipo di automazione adottata sulla macchina), allora il problema non si porrebbe. Il problema si pone invece e pure pesantemente, per le conseguenze che comporta, allorquando bisogni effettuare oltre quaranta battute di tasti della tastiera dell’elaboratore per ottenere un cambiamento, ad esempio, della programmazione relativa alla fase di avvicinamento ad una nuova pista, diversa da quella pre-programmata.

Allora il tempo che i piloti impiegano a testa bassa (head-down) per immettere prima e controllare poi l’immissione dei dati nel sistema di gestione del volo diventa inaccettabile. Passano così interi minuti che i piloti trascorrono, spesso contemporaneamente (anche se ciò è sconsigliato o addirittura vietato da norme interne delle singole aerolinee), focalizzando la loro attenzione su tastiere e visualizzatori, perdendo la necessaria cognizione situazionale sia interna che esterna al velivolo. Ma ciò che è ancora più grave, omettendo per un tempo consistente la sorveglianza (head-up) dello spazio aereo circostante, sorveglianza che, come vorrebbero sia le norme dell’ICAO che quelle della statunitense FAA, dovrebbe invece essere continua, particolarmente nelle aree terminali.

Relazione con la perizia di pilotaggio

Un princìpio irrinunciabile per una moderna industria del trasporto aereo deve essere quello secondo il quale l’automazione in campo aeronautico non debba mai prendere il posto delle capacità operativo-decisionali del pilota, specialmente di quelle attribuite al pilota-comandante.

L’automazione piuttosto deve essere il completamento di tali competenze in quei settori nei quali l’automazione stessa può eseguire meglio e con più accuratezza le funzioni di precisione da svolgere, lasciando al pilota la prerogativa della scelta di quei compiti che invece possono essere meglio assolti dagli esseri umani. L’automazione può, e quindi dovrebbe essere assegnata ad eseguire con instancabile precisione, che l’essere umano non è in grado di eguagliare, un gran numero di mansioni veramente importanti per l’economia globale del volo e per garantire certi canoni di sicurezza. Ma l’automazione non è in grado di possedere quella dote prettamente umana, necessaria in un contesto situazionale globale, comunemente definita come capacità di discernimento, che risulta decisiva per la sicurezza e per l’efficienza di scelta della condotta complessiva del volo, altrimenti definibile come  capacità di decisione.

L’automazione infine difetta della capacità di fornire risposte flessibili ai mutamenti imprevedibili che possono insorgere nelle più svariate circostanze. E, si tenga ben presente, tali variazioni inopinabili avvengono pressoché durante ogni volo e talvolta anche ripetutamente durante lo stesso volo, particolarmente se questo comporta il sorvolo o la destinazione su paesi aeronauticamente sottosviluppati. Infatti sembra ridicolo, eppure accade, di dover servire con aeromobili ultramoderni che imbarcano apparecchiature sofisticate come quelle della gestione automatica della condotta, del volo e per gli atterraggi completamente automatici e poi dover atterrare solamente a vista su aeroporti che non offrono alcuna facilitazione strumentale adeguata.

Ma, la considerazione che è più importante di tutte è quella secondo la quale i piloti sono messi a bordo degli aeromobili soprattutto perché ci si aspetta che essi subentrino agli automatismi e facciano volare l’aeroplano fuori da qualsiasi pericolo allorquando avvenga una avaria grave ai sistemi di bordo. E questa professione di fede nelle capacità degli operatori umani rimane intatta perfino ai tempi attuali, quando è stata avanzata la generica ipotesi che le capacità manuali dei piloti stiano subendo un processo di atrofizzazione proprio a causa dell’inazione a cui li costringe l’esistente adozione d’una automazione esasperata, non richiesta in tale forma e ben lontana dalle reali esigenze avvertite dai piloti.

A tal proposito sia consentito solamente un rapido accenno per rammentare ai costruttori che delle protesi o altri aiuti automatizzati, che sarebbero veramente utili ai piloti, sono da tempo fra le richieste inevase, che pure sarebbero facilmente realizzabili allo stato dell’arte. Un esempio, per tanti altri che si potrebbero fare: nel caso in cui durante la corsa di decollo su di una pista dalle condizioni superficiali conosciute e di lunghezza ben nota, con un aeromobile di peso attuale ben calcolato, si manifesta l’esigenza di interrompere la corsa di decollo, il pilota ancor oggi si deve servire soltanto delle proprie facoltà visive e di quei primordiali elementi pre-calcolati quali la velocità raggiunte rispetto a quella massima consentita per arrestare l’aeromobile entro i limiti fisici della pista in uso.

Orbene, con le conoscenze tecniche e le realizzazioni pratiche attualmente già disponibili in apparati presenti a bordo, quali sistemi inerziali, accelerometri, misuratori di peso e di distanza, calcolatori, ecc., dovrebbe essere ben facile realizzare un piccolo sistema che con un semplice annuncio tipo "vai!" oppure "non-andare!" (go/no-go) assista all’istante il pilota nel prendere la decisione su basi ben più solide di quelle in uso attualmente. Eppure nulla di ciò viene neppure studiato!

Ritornando al concetto della manualità esistente tra i piloti, ancor’oggi non risulta ben definito fino a quale stadio la pretesa diminuita capacità manuale di pilotaggio degli addetti sia un problema per la sicurezza. Se ben guardiamo, gli aeromobili attualmente in produzione non sono ancora completamente automatici: i piloti continuano per ora ad eseguire manualmente tutti i decolli (anche se assistiti in alcune funzioni) ed una buona percentuale degli atterraggi. Inoltre i piloti continuano a ricevere sessioni dedicate di addestramento periodico a bordo dei simulatori di volo, sessioni che comprendono anche pratiche di pilotaggio manuale.

In materia, ciò che invece risulta essere il punto più marcatamente negativo è il fatto che in addestramento (sia iniziale che ricorrente), non viene adeguatamente esercitata la pratica della gestione completa (anormale, di emergenza e di riutilizzo a seguito di avaria parziale) dei sistemi automatizzati ed integrati di bordo.

Questa carenza viene ampiamente confermata da vari osservatori tecnici internazionali. Proprio questo risulta essere il maggior pericolo per la sicurezza del volo, piuttosto che il preteso declino delle capacità di pilotaggio manuale degli addetti, che pure potrebbe rivelarsi un problema del prossimo futuro.

Conclusione

Concludendo questa analisi, bisogna purtroppo riconoscere che pressoché in tutti gli incidenti che hanno coinvolto aeromobili altamente automatizzati, l’automazione di bordo al momento dell’incidente stava funzionando così com’era stata progettata a fare, ma non veniva competentemente gestita dai piloti, probabilmente perché non era stata adeguatamente presentata e/o compresa.

Ora, scartata per logica, l’ipotesi che tutti i piloti coinvolti si volessero ammazzare e che tutti (e sono tanti) fossero direttamente responsabili delle lacune manifestate nella gestione delle risorse tecniche di bordo, non rimane altro che l’industria riconosca umilmente che qualcosa non funziona nella progettazione dei complessi automatizzati di bordo, in quanto la logica progettuale risulta per certi versi estranea la raziocinio umano dei piloti. Bisogna pure che si riconosca che ancora molto rimane da fare in campo istruzionale teorico/pratico e ricorrente addestrativo, laddove l’automazione adottata correntemente ha dimostrato che il suo corretto apprendimento non consente di tagliare ore di istruzione teoriche ma soprattutto pratiche, anzi impone di incrementarle, per unire alla conoscenza approfondita dei sistemi integrati una altrettanto vasta possibilità di allenare i piloti ad usarli e perfino a riutilizzarli, dopo che una parte sia andata perduta a seguito di avarie, malfunzionamenti oppure esigenze non previste in sede progettuale, ma che si manifestano correntemente nel mondo reale per motivi che possono nascere da richieste ATC o comunque ambientali.

Fino a quando questo tipo di insegnamenti, che malauguratamente spesso provengono da dolorose esperienze segnate da lutti e da costi economici sempre più insostenibili, non saranno veramente ed umilmente compresi, purtroppo non ci potrà essere un vero progresso nella battaglia per la riduzione degli incidenti aeronautici.

Renzo Dentesano