È tutta colpa del pilota?

Che cosa accade davvero in cabina di pilotaggio

Fabio De Donno

• Éditeur: Hoepli
• Année: 2018
• ISBN:
  9788820383817
• Sujet: Technik & Maschinenbau
• Sous-sujet: Luftfahrt

Fra i molti temi che riguardano il volo, la professionalità dei piloti e l'investigazione degli incidenti aerei sono certamente fra i più interessanti e dibattuti. Attraverso esempi, provocazioni e parallelismi, il libro sposta il focus dell'indagine dalle responsabilità individuali di tecnici e piloti - sulle quali è molto più facile concentrarsi - verso alcuni aspetti organizzativi rilevati negli incidenti del passato. Il pilota non è esente dal commettere errori, ma ciò non deve indurre gli investigatori a limitare gli approfondimenti necessari a tutti i livelli delle organizzazioni, inclusa l'eventuale ricerca del miglioramento continuo nelle normative di riferimento, create per salvaguardare gli aspetti di sicurezza nel trasporto aereo. È tutta colpa del pilota? indaga il percorso storico dei cambiamenti avvenuti nel mondo del trasporto aereo e i fattori che hanno contribuito in modo determinante a ridurre la percentuale di incidenti. Nonostante l'aereo di linea sia il mezzo di trasporto più sicuro al mondo, esistono ancora margini di miglioramento, che si possono ottenere partendo dallo studio degli incidenti e degli errori del passato, con un occhio critico e costruttivo anche sugli aspetti organizzativi e manageriali delle compagnie aeree.

1

Errori e violazioni

Nella presentazione dei dati relativi a un evento di incidente, il criterio di oggettività non è sempre scontato o garantito; si può facilmente cadere nella trappola di indirizzare l’attenzione verso alcuni argomenti e passare rapidamente su altri, facendo concentrare i lettori o gli ascoltatori su ciò che più interessa, oppure su ciò che il pubblico maggiormente si aspetta. Rapportare per esempio il numero di eventi anormali per milioni di tratte volate di una compagnia aerea che sviluppa un migliaio di tratte l’anno non ha alcun senso, in quanto i ratei prodotti da un rapporto di questo tipo potrebbero essere per lungo tempo molto bassi, senza dare la percezione reale del livello di sicurezza dell’azienda. Allo stesso modo, concentrare l’attenzione esclusivamente su quanto accade in una cabina di pilotaggio è certamente una parte della verità, ma non è detto che sia tutta la verità. Quando si parla di incidenti aerei, però, approfondire solo una parte della verità rischia di essere un vero e proprio delitto, oltre a essere una mancanza di rispetto sia verso le vittime dell’incidente (se ce ne sono), sia verso i responsabili del volo e l’opinione pubblica che ha il diritto di essere informata correttamente. Gli investigatori non cercano colpe e responsabilità, non è questo il loro obiettivo, bensì la ricerca delle cause, delle concause, dei fattori causali scatenanti, contributivi o determinanti, dovrebbe essere alla base del loro lavoro, con un unico obiettivo: la prevenzione degli incidenti. Nonostante questa importante premessa, che è alla base della formazione di ogni investigatore, è facile cadere nella tentazione di concentrare maggiormente l’attenzione verso l’equipaggio. Infatti, nonostante ci sia stata un’evoluzione nell’investigazione degli incidenti aerei, continua a esserci la tendenza a focalizzare maggiormente l’attenzione sulle fasi finali di un evento: proviamo a ipotizzare il perché di tutto ciò.

Durante l’intera fase di avvicinamento, l’aeromobile era completamente stabilizzato, sia come configurazione (carrello esteso e flaps di atterraggio) sia come velocità. In corto finale, dopo un normale contatto con la pista, l’aeroplano ritornava in volo a causa dell’elevato valore di spinta dei motori, che non era stata adeguatamente ridotta. Il fatto che le manette o “thrust lever”, che comandano la spinta dei motori, fossero rimaste fuori dal minimo, aveva causato alcune anomalie conseguenti: il mantenimento della funzione di “Speed Mode” da parte dell’“Autothrust”, per cui l’aereo incrementa la spinta per mantenere la velocità selezionata dal pilota, e la mancata estensione dei “ground spoiler”, superfici che rendono deportanti le ali, aumentano la resistenza e consentono di ridurre gli spazi di frenata dell’aereo. Il Comandante decideva di intervenire prendendo il ruolo di PF (Pilot Flying – pilota ai comandi) e impostando la manovra di “Rejected Landing” (mancato atterraggio o riattaccata). Vista la bassa quota, l’aeromobile effettuava un secondo contatto con la pista prima di raggiungere l’assetto di riattaccata. Veniva quindi informato il controllo del traffico aereo circa il motivo della riattaccata e veniva richiesto un posizionamento radar per un successivo circuito a vista, che avveniva senza ulteriori problemi. L’atterraggio veniva portato a termine regolarmente. L’avvicinamento era condotto dal Primo ufficiale, in qualità di PF o pilota ai comandi, e l’aeromobile era perfettamente stabilizzato durante l’avvicinamento. Il primo contatto con la pista avveniva con un’accelerazione verticale di 1,8 G (un parametro che consente di esprimere in maniera sintetica l’entità dei carichi su un aeromobile), quindi un atterraggio pesante, ma comunque al di sotto della soglia che identifica formalmente un atterraggio come “Hard Landing” (pari a 2,6 G). Le “thrust lever” venivano mantenute nella posizione di salita (climb) fino al primo contatto con la pista e il posizionamento verso il minimo (idle) iniziava due secondi dopo il contatto con il suolo e terminava in cinque secondi. A questo punto, come previsto dall’impianto, avveniva l’estensione automatica dei “ground spoiler”. Durante un atterraggio con entrambi i motori funzionanti, sono due le condizioni indispensabili per l’estensione automatica dei “ground spoiler”: il contatto con il suolo del carrello principale e il posizionamento delle “thrust lever” al minimo. Un secondo dopo il primo contatto con la pista, si rilevava un iniziale intervento del Comandante sul “side stick” (leva di controllo dei comandi di volo), che andava progressivamente intensificandosi. L’interazione tra i “side stick” del Comandante e del Primo Ufficiale perdurava per circa cinque secondi, fino a che il Primo Ufficiale non rilasciava completamente il proprio “side stick” in posizione neutra. Dopo un secondo contatto con la pista le “thrust lever” venivano posizionate dal pilota nella posizione di decollo o di riattaccata (TOGA, Take Off Go Around) e veniva impostata la manovra di mancato avvicinamento o “rejected landing”. Veniva quindi richiesto e ottenuto un posizionamento radar nel circuito a vista e il successivo atterraggio avveniva senza ulteriori problemi. Nella manualistica dell’aeroplano oggetto di questo evento, data l’importanza delle due condizioni essenziali per l’estensione dei “ground spoiler” e cioè manette al minimo e contatto del carrello principale con il suolo, era previsto che a una quota di 20ft (piedi) iniziasse la manovra “flare” di richiamata dell’aereo e contemporaneamente venissero posizionate le “thrust lever” al minimo. Alla stessa quota veniva inoltre generata automaticamente una voce sintetica “Retard”, che ricorda ai piloti di ridurre la spinta dei motori al minimo. Dall’analisi di questo caso emersero diverse considerazioni che interessarono la vasta area dello Human Factor, generate anche dal fatto che tutti gli impianti di bordo erano perfettamente efficienti al momento dell’evento.

Vennero infatti messe in luce le criticità dell’interfaccia tra il pilota e l’aeromobile:

•Le “thrust lever” sono fisse, ossia non seguono le variazioni di spinta del motore.

e le criticità dell’interfaccia tra il pilota ai comandi e quello che lo assiste nella condotta del volo:

•Intervento simultaneo sui comandi di volo da parte di entrambi i piloti.

Il sistema automatico di controllo della spinta (Autothrust), durante un normale avvicinamento con atterraggio manuale, funziona in “Speed Mode” e cioè continua a mantenere la velocità richiesta incrementando la spinta dei motori anche durante la manovra di richiamata dell’aereo, a meno che non venga disinserita tale funzione tramite il posizionamento delle “thrust lever” al minimo (idle). In tali condizioni, cioè con le manette fuori dalla posizione di “idle”, al momento del contatto con la pista i “ground spoiler” non si estenderanno automaticamente e, mancando il forte incremento deportante che viene aerodinamicamente generato dalla loro estensione, l’aeromobile tenderà al rimbalzo sulla pista. Molto particolare è anche il sistema dei “side stick” per il controllo dei comandi di volo. Mentre sugli aeromobili convenzionali il pilota che non è ai comandi può avere una visualizzazione immediata dell’entità dell’intervento che sta dando il pilota ai comandi, sensazione rilevabile dalla posizione fisica del volantino o della cloche, sugli aeroplani dotati di “side stick” ciò non è possibile, in quanto non vi è alcuna interconnessione meccanica tra le leve dei due piloti. Il “side stick” di chi assiste il pilota ai comandi deve essere mantenuto in posizione neutra, in quanto un intervento simultaneo dei due piloti produrrebbe una reazione equivalente alla somma algebrica dei singoli interventi, con conseguente percezione da parte del pilota ai comandi di un movimento dell’aeromobile non proporzionale all’intervento impostato sui comandi di volo. L’impianto dispone di un apposito dispositivo, che consente a un pilota di avere priorità sull’altro escludendo il “side stick” opposto. Questo tipo di intervento, come previsto in tutti i casi in cui c’è un trasferimento dell’autorità di condotta dell’aereo, deve essere preceduto dalla frase “I Have Control” da parte di chi rileva il controllo, alla quale chi cede i comandi di volo deve rispondere “You Have Control”. Il sistema di rilevazione del doppio input sui comandi di volo era stato introdotto da Airbus come retrofit già nel 1997; la condizione di doppio input veniva rilevata in caso di deflessione simultanea dei comandi di volo di più di due gradi e per più di 500 millisecondi. La definizione di questi limiti derivava dal fatto che, sotto ai 2 gradi di deflessione, non vi erano effetti sulla traiettoria dell’aereo, mentre i 500 millisecondi garantivano da interventi spuri, attivati per esempio dal passaggio dei comandi tra i due piloti o dall’uso del “push to talk”, il pulsante per la chiamata radio.

Dal punto di vista operativo, il pannello strumenti era dotato di due luci verdi, rispettivamente con la scritta CPT (Comandante) e FO (Pilota), che in caso di doppio input sui comandi si accendevano a intermittenza e 500 millisecondi dopo l’indicazione visiva si attivava una voce sintetica “Dual input”, che perdurava fino al persistere del doppio input sui comandi, con ripetizione ogni 5 secondi. L’avviso visivo rappresentava una condizione di “advisory”, mentre l’avviso audio indicava un “warning”, in questo modo i piloti venivano avvisati in modo progressivo (Figura 1.1).

Figura 1.1 – Esempio di side stick priority light on.

A prescindere dai sistemi di avviso appena descritti sommariamente, il “priority push button” presente su entrambi i side stick consentiva, quando premuto, di escludere dal controllo dell’aereo l’altro pilota. Non era previsto né somministrato alcun tipo di addestramento sull’uso del “priority push button”, si trattava infatti di un sistema il cui uso era consigliato solo nei voli di addestramento, in caso di eventuali interventi correttivi intrapresi dall’istruttore durante la formazione iniziale (Figura 1.2).

Figura 1.2 – Il side stick di un A320.

Il 26 Aprile 1994, un Airbus A300-600 operato dalla China Airlines precipitava nei pressi di Nagoya, in Giappone (Figura 1.3). Non ci fu nessun sopravvissuto tra i 264 passeggeri presenti a bordo e i membri di equipaggio. Fattore contributivo dell’incidente fu il conflitto tra le azioni intraprese dall’equipaggio e l’autopilota dell’aeromobile. L’incidente fu un chiaro esempio di come i problemi di interfaccia tra l’equipaggio e l’automazione avanzata dei “glass cockpit”, le cabine di pilotaggio nelle quali le informazioni e i parametri di volo vengono presentati ai piloti su display, anziché sui tradizionali strumenti analogici, possono deteriorare la sicurezza delle operazioni in situazioni anormali.

Figura 1.3 – Un Airbus A300-600 di China Airlines.

Una serie di altri eventi ha avuto lo stesso fattore contributivo, come per esempio un B-757, precipitato il 20 Dicembre 1995 nei pressi di Cali, in Colombia, o un MD80 operato da American Airlines, che il 12 Novembre 1995 impattò con le cime di alcuni alberi nei pressi dell’aeroporto di Bradley; il Comandante riuscì comunque ad atterrare poco prima della testata della pista scelta per l’atterraggio, ma potrei citare molti altri esempi. In tutti questi incidenti furono evidenziate difficoltà, da parte dell’equipaggio di condotta, a interagire con l’avanzata automazione dei “glass cockpit”.

Glass cockpit

Per glass cockpit si intende una cabina di pilotaggio in cui gli strumenti analogici sono completamente sostituiti da display LCD o CRT. Le informazioni sono molto più dettagliate e ridondanti, questo sistema infatti presenta molti vantaggi per i piloti: offre la possibilità di sovrapporre molte informazioni, come per esempio il radar o il sistema anti collisione TCAS in un unico display (NAV display o display di navigazione), facilitando il lavoro del pilota. Nel periodo di transizione dal sistema analogico, il glass cockpit fu oggetto di critiche a causa di varie ragioni, tra cui le difficoltà di lettura da parte dei piloti che per la prima volta si trovavano a utilizzare questo tipo di strumentazione e non ultima la difficoltà di gestione del volo in caso di avaria a uno o più schermi LCD o CRT.

Nell’Ottobre del 1996 la FAA (Federal Aviation Administration Americana) costituì un gruppo di lavoro, avente come obiettivo lo studio dell’interfaccia tra gli equipaggi e le moderne cabine di pilotaggio: “the interface between Flight crews and Modern Flight deck system”. Alcuni incidenti, simili a quelli che ho citato, furono oggetto di approfondite analisi. Dal gruppo di studio dell’FAA scaturirono una serie di raccomandazioni:

The team concluded that the vulnerabilities are there because of a number of interrelated deficiencies in the current aviation system.

•Insufficient communication and coordination. Examples include lack of communication about in-service experience within and between organizations.

•Processes used for design, training, and regulatory functions inadequately address human performance issues.

•Insufficient criteria, methods, and tools for design, training and evaluation.

•Insufficient knowledge and skills.

Traduzione:

Il team concluse che le vulnerabilità esistono a causa di una serie di lacune interconnesse nell’attuale sistema aeronautico.

•Comunicazione e coordinamento insufficienti. Gli esempi includono la mancanza di comunicazione sulle esperienze individuali durante il servizio all’interno e tra le organizzazioni.

•I processi utilizzati per la progettazione, la formazione e le funzioni dei regolatori non rispondono in modo adeguato alle problematiche relative alle prestazioni umane.

•Criteri, metodi e strumenti insufficienti per la progettazione, la formazione e la valutazione.

•Conoscenze e abilità insufficienti.

Carenze del sistema aviazione, come insufficiente comunicazione e coordinamento tra operatori oggetto di esperienze diverse; processi di progettazione delle macchine, addestramento del personale e funzione di controllo da parte dell’autorità non adeguate alle prestazioni umane, anche come criteri, metodi e strumenti; insufficiente conoscenza e abilità. Le prime tre raccomandazioni sono evidentemente indirizzate al sistema organizzativo, mentre l’ultima, benché conseguenza dei processi di addestramento e controllo, è riferita all’operatore finale, cioè ai piloti. Era l’ottobre del 1996.

Tornando all’impianto del side stick, bisogna dire che, in determinate condizioni operative, vi è l’obbiettiva necessità, da parte del pilota che non è delegato al controllo dell’aeroplano, di conoscere l’entità dell’azione sui comandi di volo, per poter valutare complessivamente la situazione in atto e migliorare la propria consapevolezza di quanto sta accadendo. Il movimento dei comandi indicato sui display, ...