Primavera 2000

Eziologia di un incidente: A320 AIR INTER 148 -20 Gennaio 1992

Seconda parte

Prima di riprendere il racconto dell’incidente ritengo opportuno riassumere i punti già trattati che ci aiuteranno a ristabilire un corretto legame dopo questa lunga assenza dedicata al nostro libro.

Se ben ricordate la commissione investigatrice risalì dalle cause più vicine –active failure- verso i fattori remoti -latent failure- passando attraverso tre livelli di analisi.

Il primo livello -lo scenario dell’evento-, lo abbiamo ampiamente trattato, mentre il secondo livello: prossimale (dietro alle quinte) era appena tracciato e quindi per continuare la narrazione  ripartirei proprio da questo punto.

Secondo livello: prossimale (dietro le quinte)

La Commissione giunse al punto in cui doveva tentare di capire il meccanismo generativo dell’incidente, incluse le componenti relative al fattore umano. Risultava piuttosto evidente che tutte e tre le ipotesi evidenziate (errore sul descend mode, errore sulla selezione del target rate, avaria al flight control unit) avevano un comune denominatore: l’equipaggio non era stato in grado di avvertire e quindi di correggere l’anormale rateo di discesa del velivolo. Usando il modello SHELL come base di indagine furono analizzate le seguenti aree:

·         Competenza dell’equipaggio (proficiency);

·         Interazione tra membri dell’equipaggio;

·         Interazione macchina-equipaggio;

·         Interazione equipaggio-ATC;

·         Interazione equipaggio-procedure;

Competenza dell’equipaggio

Dall’esame dei precedenti dei due piloti risultò essere un equipaggio nella media. Entrambi avevano iniziato la carriera nell’aviazione generale ed avevano avuto qualche difficoltà nell’addestramento iniziale a pilota di linea. Comunque entrambi avevano superato queste difficoltà ed avevano raggiunto un  accettabile livello di competenza.

Il Comandante aveva 162 ore di A-320 mentre il Co-pilota 61: Entrambi avevano volato in precedenza sul Mercure e sul Caravelle, aerei degli anni 60.

Interazione tra i membri dell’equipaggio

La commissione rilevò che l’equipaggio non si accorse, né corresse l’eccezionale rateo di discesa. In particolare emerse che i controlli incrociati, i “call outs” previsti dal manuale di compagnia, il monitoraggio degli automatismi, e le procedure normali furono in molte occasioni ignorati. Entrambi i membri dell’equipaggio si erano focalizzati sulla navigazione laterale e sulla configurazione dell’aereo durante la virata finale ignorando del tutto il controllo dalla navigazione verticale. Nessuno controllò la quota alla distanza 9 Nm DME come previsto dalla procedura.

Un comandante della stessa compagnia che aveva viaggiato in cockpit nella tratta precedente, riferì che l’atmosfera era piuttosto fredda. In effetti, esaminando i profili personali dei due piloti, la Commissione mise in evidenza che il comandante era piuttosto riservato, cauto di natura e particolarmente riluttante alle improvvisazioni, mentre il primo ufficiale aveva un carattere forte, sicuro di sé e assolutamente estroverso e  comunicativo.

Interazione tra l’equipaggio e la macchina

La Commissione tentò di capire l’importanza avuta dall’interfaccia uomo-macchina, sia sui meccanismi cognitivi,  che indussero l’equipaggio all’ipotetico errore(i),  e/o che annullarono la loro consapevolezza della reale situazione. Si cercò attentamente sui testi che trattavano di automazione, di addestramento e di operazioni in genere su aerei di nuova generazione; si consultarono in tutto il mondo i data base di incidenti analoghi ed infine qualche risultato iniziò ad emergere.

Per quanto riguarda il meccanismo generativo dell’errore la Commissione definì con cura l’ergonomia della manipolazione di manopole e pulsanti necessari per comandare la navigazione verticale dell’autopilota.

Il pannello di comando aveva le seguenti caratteristiche (vedi figura):

 

-          un pulsante per la selezione del “mode” (HDG-V/S oppure TRK-FPA ) e due manopoline rotanti per la selezione dei rispettivi valori (la manopolina di sinistra per i valori di HDG e la manopolina di destra per i valori di V/S nel “mode” HDG-V/S, analogamente nel “mode” TRK-FPA).

-          In tal modo la manopolina di destra poteva selezionare una velocità discensionale o un angolo geometrico di discesa in funzione di una selezione preliminare attraverso il pulsante centrale del “mode”.

La commissione, dopo aver esaminato l’impianto, fu unanime nel giudicare che la compatibilità tra “mode selection” e “target selection” era critica, mentre il progetto relativo al controllo ed al display portava alla possibilità di confusione del “mode”, come peraltro confermato dall’esperienza emersa durante gli addestramenti e le operazioni normali di linea.

Per quanto concerne il meccanismo di allerta, la commissione analizzò sia la familiarità che l’equipaggio aveva nei confronti dell’aereo e sia l’ergonomia del display delle informazioni riguardanti il profilo verticale.

Il livello di  familiarità che un operatore umano ha nei confronti di un particolare sistema, di un compagno, della sua abilità, o nella sua raffigurazione di una situazione critica, determina il grado di delega e di controllo accettabili in un particolare momento.

Il prezzo da pagare per una sovrastima  è il rischio di non vedere un errore o una avaria; mentre il prezzo di una sottostima è un sovraccarico ed una saturazione cognitiva. Viceversa la gestione di situazioni di sovraccarico porta a aumentare la delega e a ridurre il controllo.

La commissione poté determinare che, dopo l’attivazione del comando di discesa dell’autopilota, l’equipaggio abbandonò il controllo del profilo verticale del volo per focalizzarsi sull’intercettazione del prolungamento pista e per la preparazione della configurazione dell’aereo.

La commissione determinò anche che il breve picco nel carico cognitivo del comandante e l’atteggiamento di sovrastima del primo ufficiale contribuirono al deterioramento della situazione.

In questo contesto la capacità di allertamento di un particolare display venne considerata dalla commissione un fattore determinante per la comprensione dell’incidente. In seguito la commissione, esaminando l’ergonomia ed il progetto di tutti i display che fornivano informazioni sulla traiettoria verticale, non riuscì a riscontrare alcuna debolezza intrinseca in questa presentazione delle informazioni.

Pertanto la presentazione venne giudicata adeguata, poiché la consultazione  da parte dell’equipaggio - in particolare del “mode” dell’autopilota - era compatibile con la realtà.

Tuttavia si rilevò che questo tipo di informazione non era sufficiente ad allertare un equipaggio che avesse una inadeguata rappresentazione della situazione verticale, in particolare in presenza di poca esperienza sulla macchina. Per quanto concerne l’influenza relativa alla rimozione del movimento delle manette (convenzionalmente sorgente di ritorno sensoriale per il pilota), la commissione francese non la ritenne fondamentale in questo particolare incidente. Esso fu, però, individuato come possibile problema.

Quindi, in conclusione, la commissione trovò, per quanto concerne gli aerei “glass cockpit”, un significativo sbilanciamento tra il sofisticatissimo display relativo alla navigazione laterale e quello relativo alla rappresentazione del profilo verticale.

GPWS

Poiché l’aereo incidentato non aveva installato l’apparato GPWS (Ground Proximity Warning System), la commissione si premurò di analizzare la possibile influenza avuta nell’incidente da questa mancanza e decisero che la semplice installazione dell’impianto GPWS avrebbe fortemente modificato l’evento.

Si sarebbero sicuramente avuti numerosi avvisi durante la virata finale a causa dell’alta velocità (230 Kts) dell’aereo e della topografia del terreno. In conseguenza di questa condizione la commissione concluse che la presenza a bordo di un impianto GPWS, unitamente a:

·         procedure di compagnia previste per operare in seguito agli avvisi del GPWS,

·         specifico addestramento degli equipaggi ad effettuare tali procedure,

·         cultura organizzativa sintonizzata su queste esigenze,

avrebbero, con ogni probabilità, potuto evitare il disastro.

Sarebbe bastato, nel caso particolare, soltanto un singolo avviso negli ultimi 17 secondi prima dell’impatto.

Interazione Equipaggio–Controllore del traffico

Dall’esame delle comunicazioni terra-bordo-terra, la commissione rilevò numerose ambiguità relative alle rispettive intenzioni ed aspettative dei piloti e del controllore, causate dalla mancanza di corretta designazione della procedura di arrivo, e dall’uso di una fraseologia non aderente alla norma da parte dell’equipaggio e del controllore ATC. Questo portò l’equipaggio ad accettare un tardivo cambiamento nella tattica dell’avvicinamento deciso dal controllore, con la conseguenza di delegare il controllo della navigazione alla completa fiducia nel vettoramento radar. Purtroppo questo vettoramento si dimostrò poco corretto per cui l’equipaggio, nell’immediata vicinanza del punto iniziale di avvicinamento, si trovò improvvisamente a sostenere un elevato carico di lavoro, derivante dalla necessità di iniziare la discesa, preparare la configurazione dell’aereo ed infine correggere il processo di allineamento sul prolungamento asse-pista.

Interazione Equipaggio-Procedure

Dall’esame delle cartine di procedura per la pista 05 di Strasburgo, la commissione rilevò che la cartina a disposizione dell’equipaggio aveva alcune caratteristiche tipografiche che potevano aver causato il sopra descritto picco di lavoro, in quanto l’intercettazione dell’asse pista e l’inizio della discesa erano indicati nello stesso punto. Inoltre era evidente che alcuni call-out (verifiche ad alta voce, incrociate, da parte dei piloti) previsti nel manuale di compagnia, vennero ignorati dall’equipaggio senza una plausibile ragione, per cui emerse il sospetto che questa mancata aderenza alle norme standardizzate fosse un problema molto più generalizzato.

Comunque alla fine la commissione determinò che le cartine di avvicinamento, pur avendo alcune carenze, non avevano avuto un ruolo significativo nell’incidente.

Terzo livello: Casualità Sistemica

La commissione, partendo da quanto era stato possibile comprendere del meccanismo dell’incidente, risalì alle origini degli elementi che avevano generato il contesto operativo del volo, come le regole dello Stato, l'organizzazione e il contesto socio-economico e culturale, i quali avevano, con ogni probabilità, indotto o favorito o permesso l'attuazione di questo meccanismo.

L’Operatore

Molto presto la commissione si rese conto di trovarsi di fronte ad una cultura della dirigenza molto forte e radicata, che scaturiva dalle caratteristiche particolari della propria rete: frequenze elevate, corto raggio, clientela d’affari e competizione con la velocità del trasporto su ferrovia. Questa cultura esaltava quindi la necessità di prestazioni di puntualità, di accorciamenti di percorso, di discese e avvicinamenti ad alta velocità.

La commissione considerò che questo tipo di cultura abbia avuto un ruolo significativo sulla decisione (negativa) di non installare il GPWS in quanto giudicato incompatibile con le esigenze di tale tipi di avvicinamento!

Inoltre emerse che l’impatto negativo della dirigenza nei confronti del GPWS era anche legato ad una disputa industriale e al clima sociale derivato dall’introduzione in flotta dell'A-320 con equipaggio a due membri; infatti essendo il resto della flotta non equipaggiata con GPWS, l’installazione sull'A-320 sarebbe apparsa come un segno di incertezza nei confronti delle operazioni con equipaggi di due membri.

Per quanto riguardava l’addestramento ed in particolare il corso di transizione sull'A-320, la commissione lo valutò come uno dei migliori in termini di mezzi utilizzati e di tempo a disposizione.

Tuttavia vennero identificate alcune deficienze nell’orientamento complessivo dell’addestramento, in quanto venivano enfatizzate le procedure anormali e d'emergenza e gli avvicinamenti di precisione a discapito dell’uso efficiente dell’automazione in condizioni normali e durante gli avvicinamenti di non precisione.

La commissione inoltre evidenziò la mancanza di una esplicita politica che impedisse appaiamenti di membri di equipaggio con scarsa esperienza sulla macchina.

Il Controllo delle Autorità sull’operatore

La regolamentazione vigente prevedeva che gli standard per le abilitazioni degli equipaggi fossero determinati e controllati dall’operatore, mentre l’efficienza dei sistemi dell’operatore dovessero essere controllati dalle Autorità dell’aviazione civile. Comunque, quando si dovette valutare se la prestazione dell’equipaggio inferiore allo standard  derivasse da una particolare congiuntura, oppure fosse una situazione latente nella compagnia, la commissione ebbe difficoltà a trovare delle linee guida emesse da parte dell’Autorità nei confronti dell’operatore. Emerse, invece, mancanza di informazioni di ritorno dalla compagnia verso le Autorità, specialmente per quanto riguardava le difficoltà avute durante le operazioni con aeromobile A-320; inoltre si scoprì che una disposizione del sindacato dei piloti pretendeva che gli equipaggi rifiutassero i controlli effettuati dalle Autorità, eccezion fatta per i controlli effettuati in volo. In linea di massima la commissione identificò una totale debolezza delle Autorità di sorveglianza nei confronti delle maggiori compagnie nazionali.

I regolamenti nazionali riguardo l’impianto GPWS

La commissione tentò allora di identificare i motivi per cui i regolamenti nazionali non includevano l’obbligatorietà dell’installazione del GPWS sugli aeromobili destinati al trasporto pubblico ed emerse che la decisione presa dalle Autorità della aviazione civile di non seguire le regole ICAO era fortemente influenzata:

·         dall’altissimo numero di falsi avvisi avuti durante il periodo di prova dell’apparato effettuato dalla compagnia Air Inter negli anni 1976-77;

·         dall'avversione al principio di accettare l’obbligo di installare un apparato che risultava essere un monopolio industriale.

La commissione inoltre notò che il processo di sviluppo delle JAR OPS europee aveva portato ad un cambiamento della filosofia sui ruoli delle Autorità aeronautiche già prima dell’incidente, ma che la revisione nazionale di queste regole era stata rimandata al momento della totale acquisizione di tutto il pacchetto delle norme JAR-OPS.

Regolamenti e processi relativi alla certificazione dell’aeromobile

Come già descritto in precedenza, la commissione aveva identificato alcune caratteristiche dell’ergonomia della cabina di pilotaggio dell'A-320 che potevano favorire la possibilità di confusioni nei “mode” dell’autopilota e aveva anche avuto alcune riserve nei confronti del livello di avviso del display per le informazioni del profilo verticale del volo, specialmente in particolari situazioni. Era logico quindi esaminare i criteri di certificazione relativi a questi problemi. La commissione concluse che queste caratteristiche di progetto non sembravano soddisfare una corretta interpretazione di alcuni dei criteri pertinenti la certificazione che il progetto richiedeva per minimizzare gli errori dei piloti. Comunque la commissione riconobbe che il processo di certificazione dell'A-320 si era esteso ben oltre la piena conformità con le procedure esistenti; infatti la certificazione si era certamente concentrata sui problemi del carico di lavoro per equipaggio a due piloti. Ma questa circostanza indusse nella commissione forti dubbi sul fatto che la applicazione dei criteri di certificazione esistenti e la dimostrazione di conformità alle norme, potessero essere la garanzia di avere sistemi tolleranti o resistenti all’errore, specialmente nei progetti innovativi. La commissione identificò così numerose aree dove vi era la sensazione che i criteri e le procedure di certificazione dovevano essere riviste. Venne notato, in particolare, che la valutazione relativa agli errori dell’equipaggio era affidata esclusivamente al giudizio dei collaudatori e che essi intervenivano molto tardi nel processo industriale, al punto in cui ogni modifica diveniva estremamente costosa o impossibile.

Riporti di incidenti

La commissione rimase estremamente impressionata nell’apprendere che incidenti di volo, simili per scenario a quello indagato e per mera fortuna conclusisi in maniera meno tragica, fossero già accaduti ad operatori sia europei che americani, senza che nessuno avesse divulgato in maniera consona queste esperienze al mondo aeronautico internazionale.

Conseguentemente la commissione analizzò il sistema nazionale di riportare gli incidenti, trovandovi numerose lacune, in particolare per quanto riguardava gli incidenti di natura operativa; ancora una volta le banche dati si rivelarono piene di eventi legati a problematiche tecniche mentre mancavano quasi del tutto la problematiche operative, gestionali e di comunicazione tra i membri dell’equipaggio. La commissione inoltre notò che la comunità aviatoria internazionale non espletava nel migliore dei modi questa raccolta dati e, soprattutto, non analizzava correttamente gli incidenti legati a problematiche scaturite dall’avvento degli aeromobili di nuova generazione. In particolare la commissione fu unanime nel raccomandare il controllo e l’analisi del registratore di volo in modo sistematico su tutti i voli delle compagnie.

Conclusioni

L'effettiva conclusione di ogni investigazione d'incidente è praticamente racchiusa nel pacchetto delle raccomandazioni che gli investigatori sono capaci di estrarre dalla comprensione del meccanismo dell’incidente; queste raccomandazioni hanno come scopo principale quello di evitare il ripetersi di eventi identici o similari. Tutto ciò purtroppo comporta un modo reattivo di fare prevenzione, che pur avendo apportato nel passato notevoli benefici alla storia della aviazione, nel futuro non potrà né dovrà essere ritenuto sufficiente. In realtà con l'avvento della tecnologia dei computer, la probabilità che lo stesso scenario d'incidente si ripresenti risulterà sempre più remota. Combattere con modalità reattive contro molti, improbabili, rischi è sicuramente una battaglia persa nel contesto della grande complessità della moderna aviazione.

E’ abbastanza facile capire che le investigazioni degli incidenti avranno nel futuro un maggior contenuto di sicurezza se esse saranno in grado di proporre strade pro-attive di prevenzione. Ciò implica, però, il portare alla luce le profonde radici comuni a tutti i potenziali incidenti; più in alto si riuscirà ad arrivare in quelli che abbiamo definito livelli di comprensione, più ampio sarà il modello disponibile per l'origine delle cause e più facile sarà l’identificazione di queste radici generative.

La commissione francese si propose proprio quest’ultimo obiettivo tanto che emise ben 35 raccomandazioni. Più di 20 erano relative a problematiche legate al fattore umano, molte delle quali si riferivano a “sicurezza sistemica”  come:

·         revisione dei corsi di transizione per gli aeromobili di nuova generazione;

·         revisione delle regole e delle procedure di certificazione in tema di ergonomia delle cabine di pilotaggio.

La conclusione fondamentale che emerse da queste raccomandazioni mostra che la comunità dell’aviazione civile e gli organismi che la regolano hanno sottovalutato gli enormi cambiamenti introdotti dagli aeromobili di nuova generazione e non hanno iniziato un processo di revisione, ritenuto assolutamente necessario, nei confronti delle norme di sicurezza nelle procedure, nelle politiche e nella filosofia del sistema aviazione.

Riprendendo quello che all’inizio di questa trattazione avevamo introdotto circa il rapporto tra le dimensioni sociali di un incidente e l’investigazione vera e propria, dobbiamo esprimere un caldo consenso nei confronti di questa investigazione che per la prima volta, in Europa, si è addentrata nei fattori remoti e profondi legati ad un incidente di aeromobile di nuova generazione. Va considerato che questa investigazione fu effettuata in Francia, Stato del costruttore, dove l’introduzione dell'A-320 aveva provocato una profonda crisi sociale, ulteriormente esacerbata dall’incidente di Habsheim accaduto allo stesso tipo di velivolo.

Analogamente all'inchiesta canadese sul disastro di Dryden, questo del disastro di Mont Saint-Odile è un esempio di come alcuni sistemi aeronautici  abbiano le risorse culturali per affrontare, senza condizionamenti, indagini capaci di rimettere in discussione aspetti consolidati della propria organizzazione.

Conclusione della conclusione

Come nella stesura della prima parte di questa narrazione vorrei approfittare della vostra pazienza inserendo ancora alcune brevi note che per tradizione ormai chiameremo “back to basic”.

In effetti dopo aver sviscerato l’incidente di Saint-Odile c’è da domandarsi se, sommersi e viziati da tutte “le comodità” che troviamo nei moderni cockpit: automatismi, ECAM, FMS, autopiloti sofisticati ecc. non valga la pena ricordare di tanto in tanto le regole fondamentali del volo basico:

1.      Fare volare l’aeroplano

2.      Fare navigare l’aeroplano

3.      Fare attenzione a ciò che ci circonda

1) Fare volare l’aeroplano significa riuscire in ogni momento a far fare all’aereo ciò che noi vogliamo che faccia.

Avete mai avuto momenti in cui l’aereo faceva cose giustissime, ma senza la nostra partecipazione portandovi “a spasso”? Se  ciò è accaduto vuol dire che va rivisto radicalmente il nostro modo di stare a bordo. Questo ovviamente non significa che non dobbiamo usare gli automatismi più sofisticati, anzi ben vengano, purchè essi siano sempre sotto il nostro costante controllo, con la certezza di avere la capacità di intervenire sempre. Inoltre la nostra facoltà di intervento deve essere direttamente proporzionale alla nostra vicinanza al suolo.

 

2) Fare navigare l‘aeroplano significa essere sempre coscienti della propria posizione geografica rispettando i concetti di spazi e di tempo.

Sapere sempre da dove veniamo, dove siamo, dove vogliamo andare ed il tempo occorrente o trascorso è il bagaglio indispensabile di ogni buon professionista. Per acquisire queste certezze dobbiamo usare tutti gli strumenti a disposizione non ultimi il controllo visivo della posizione (se possibile), l’orologio, la "bussola" ed i radioaiuti.

Queste certezze ci saranno utili per conoscere la posizione del nostro aereo rispetto all’aeroporto più vicino, all’alternato ecc.

Provate a farvi una domanda molto semplice: dove sono? Se per rispondere ricorrete ai vari display (INS FMS), allora c’è qualcosa che non va.

3) Fare attenzione a ciò che ci circonda significa prestare attenzione a:

·         ostacoli mobili, altri aerei in volo o in movimento al suolo

·         ostacoli fissi, orografici o posti sul terreno, gru, ciminiere, fingers, ecc

·         ostacoli meteorologici, temporali, windshear, turbolenza, ghiaccio, ecc.

·         ostacoli  tecnici, avarie o emergenze.

L’attenzione è comunque stimolata dai nostri cinque sensi a cui aggiungerei il famoso sesto senso e perché no anche il vecchio, ma attuale Buon Senso.

Buon lavoro a tutti

Silvano Silenzi