Luca Dellisanti

Negli ultimi 12 mesi si sono verificati una serie di incidenti aerei rilevanti: dal volo MH370 misteriosamente scomparso nel marzo 2014, fino all’incidente di Taiwan di inizio mese. È necessario fare chiarezza: qualsiasi incidente in campo aeronautico non è argomento da trattare per supposizioni; dalla più banale chiave inglese lasciata per sbaglio dove non dovrebbe essere allo scontro tra due aerei, tutto deve essere analizzato, passato al vaglio e studiato. E lo studio che segue qualsiasi tipo di incidente in questo campo non ha solo l’obiettivo di definire le responsabilità – né tantomeno un capro espiatorio mediatico – ma vuole anzitutto rispondere a semplici domande: “Cosa abbiamo sbagliato? Siamo ancora in sicurezza? Come evitare che riaccada in futuro?”.

[youtube]https://www.youtube.com/watch?v=gDqkW2iuWwc[/youtube]

Ogni azienda in campo aerospaziale ha un SMS, un Safety Management System: un insieme di persone, comitati e responsabili che si occupa di stilare, seguire, analizzare e implementare le procedure per migliorare e perfezionare i dispositivi di sicurezza. L’SMS fa capo al Safety Manager, colui che assume la responsabilità della gestione delle operazioni e delle emergenze, e risponde direttamente all’Accountable Manager – sostanzialmente, colui che “ci mette i soldi e la faccia”.

Per un’azienda aeronautica la sicurezza è tutto: viene addirittura prima del profitto. Una cattiva pubblicità, una cattiva gestione in quest’area di competenza comporta la sfiducia nel cliente, e dunque abbassa – e talvolta azzera – il profitto. Basta poco perché un’intera azienda sprofondi improvvisamente (e spesso in modo irrimediabile) nel baratro: una partita di velivoli difettati, una errata reazione all’emergenza con la conseguente pessima reazione dell’opinione pubblica — basta guardare, a proposito, che fine abbiano fatto i titoli finanziari di Malaysia Airlines a seguito dei due grandi incidenti, che sono stati gestiti, appunto, nel peggior modo possibile.

Un incidente non è mai conseguenza di un solo errore, ma l’epilogo di una catena di errori che coinvolge l’operatore, il supervisore, l’azienda e tutta la gerarchia, fino al legislatore.

Immaginiamo ora che una procedura o una normativa – ideate evidentemente senza considerare tutti gli aspetti e i fattori in gioco – lasci un ideale buco; che un supervisore poco scrupoloso o distratto lasci un altro buco; e che arrivi quel momento fatale in cui tutti questi buchi si allineano e coincidono: ci troveremo allora di fronte a un rischio reale.

Paradossalmente, nonostante la cosiddetta “prima linea” sia quella che presenta i buchi più grandi per via dello stress e delle tensioni che si generano in determinate situazioni di pericolo, è spesso l’anello forte della catena che salva la situazione: un pilota o un operatore al comando pronti ed esperti possono fare la differenza tra un incidente arginabile o contenibile e una tragedia irrimediabile. Capirete ora perché James Reason, nel 1990, abbia chiamato il suo modello organizzativo per lo studio delle cause che portano a situazioni di pericolo Swiss Cheese Model.

Volare è sicuro, è un dato di fatto; il rapporto tra numero di incidenti su ore volate, chilometri percorsi o passeggeri trasportati è sempre a favore dell’aereo rispetto ad altri mezzi di trasporto. In genere, quando capitano incidenti gravi come quelli dell’ultimo periodo, è l’impatto mediatico, la paura che dilaga tra l’opinione pubblica a spaventare, più che l’incidente in sé.

Ma quali sono le cause maggiori di incidente?

Per affrontare meglio lo studio servono dati, tantissimi dati; per rendersi conto di quali siano le maggiori cause di incidente basta dare un’occhiata all’ottima infografica interattiva realizzata dalla BBC: per quanto riguarda gli aerei, non si tratta quasi mai di difetti meccanici, né di cattive condizioni atmosferiche, o di attentati. Gli aerei sono macchine costruite per durare in media venti, trent’anni costantemente in servizio, con una media di cinque, sei viaggi al giorno. Percorrono milioni di chilometri per ore al massimo delle capacità, tutti i giorni dell’anno. Lo stesso utilizzo non potrebbe mai essere applicato a nessuna delle nostre automobili.

L’errore umano è stato e resta tuttora la maggior causa di incidente. Le dimenticanze, l’inosservanza o la non curanza nei confronti delle procedure e il sovralavoro sono le più grandi criticità in campo aeronautico: stress, procedure complicate, multitasking o interfacce ingannevoli comportano spesso situazioni in cui tutta la preparazione e l’esperienza vengono meno; il compito degli ingegneri e dell’azienda è semplificare il più possibile le procedure, alleggerendo così il lavoro al pilota o all’operatore per metterlo nelle condizioni di non compiere errori. D’altro canto, come accennavo, il fattore umano è anche motivo di vantaggio: l’intervento tempestivo del pilota spesso ha ovviato a errori causati dal computer o dalla strumentazione di bordo.

Sono sempre in corso comunque gli studi, e si applicano differenti modelli per studiare la macchina più complessa e fallace presente su un aereo: l’uomo.

Tassonomie tabulate e grafici aiutano gli investigatori e l’SMS a ricostruire il percorso di guasti tecnici, errori umani o processi organizzativi che può portare – o ha portato – al “Main Event”: l’incidente.
Un esempio pratico: l’ultimo incidente del volo TransAsia, spettacolarmente ripreso dalle telecamere di Taiwan a inizio mese. Senza pretesa di aver già la certezza di ciò che sia accaduto, prima ancora che sia stata svolta l’indagine, ho provato a supporre quali potrebbero esserne state le cause.

L’incidente è avvenuto pochi secondi dopo il decollo. In questa fase si ha una discreta percentuale di probabilità di incidente, anche se la fase più critica resta quella dell’atterraggio. L’aereo è palesemente andato “in stallo”. Il pilota, arrivando a stallare, ha probabilmente compiuto qui un primo errore: l’aereo ha perso all’improvviso tutta la portanza, ovvero la forza che lo sosteneva, tendendo quindi a precipitare. Ma la questione, prima di tutto, è questa: perché il pilota ha tirato la barra di comando, ossia ha puntato così verso l’alto il muso dell’aereo? La sua velocità era troppo bassa rispetto all’angolo di attacco, tanto da non permettere più alla portanza di sostenere il mezzo; in conclusione, date le ridottissime possibilità di recupero, sarebbe precipitato come un sasso — ed ciò che effettivamente è avvenuto. In genere per recuperare uno stallo si aumenta la spinta, si cerca di spingere la barra di comando — ovvero di recuperare la velocità necessaria al sostentamento del velivolo. A Taiwan non è andata così.

Le cause di stallo al decollo possono essere state varie:

1. Mancata spinta dei motori: effettivamente il pilota ha comunicato un malfunzionamento a uno di essi ma, stando ai video diffusi, entrambi i motori paiono funzionare correttamente, e non vi sono tracce di fumo o fiamme.
2. Guasto ai comandi: la barra era incastrata? Il pilota non poteva dunque comandare l’aereo? Possibile, dato che non riesce a indirizzarlo verso il fiume, evitando le abitazioni.
3. Flap non estratti: sono un elemento che modifica la curvatura dell’ala per permettergli di generare più portanza a basse velocità; se non estratti, l’aereo non vola al decollo. Era difettato il sistema? O i piloti non li hanno estratti come da procedura?
4. Peso dell’aereo: tutti sappiamo quanto le compagnie aeree siano fiscali sul peso dei bagagli. Non è solo questione di soldi, ma anche di sicurezza: un aereo troppo carico non decolla. Basta un errore di calcolo nel peso o un sovraccarico di passeggeri ed ecco che si incorre nello stallo del velivolo, proprio al momento del decollo. Parecchi incidenti sono stati concausati da errori di calcolo sul peso a bordo: Volo AirMidwest 5481, errori di manutenzione e calcolo del peso; Volo Arrow Air 1285, ghiaccio sulle ali e peso eccessivo. Come detto, un incidente non è mai conseguenza di un singolo errore, ma di una lunga, fatale catena di errori.

Cosa fare quando avviene un incidente?

Anzitutto, non c’è tempo per pensare. Per prima cosa, vengono attivate le procedure previste dall’SMS e dallo stato di Emergency — priorità ai feriti o recupero corpi, contenimento area e recupero scatole nere (che in realtà sono arancioni, per renderle più facilmente identificabili). L’analisi a posteriori dei dati sarà poi essenziale per scoprire come e quando qualcosa è andato storto.
L’analisi può richiedere mesi o anni, proprio perché nulla deve essere lasciato al caso. C’è tuttavia un semplice calcolo che è necessario fare subito, ovvero contare quanti incidenti l’azienda ha dovuto affrontare e quale sia stato il loro grado di gravità. I dati vengono inseriti in una tabella “Matrice di Rischio” — zona verde: “va bene, posso volare“; zona gialla: “forse è meglio fare qualcosa”; zona rossa: “aerei a terra, l’azienda non è sicura”.

Come evitare che si ripeta?

L’enorme mole di dati che si accumulano serve a dare delle risposte: ci sono barriere per evitare quel tipo di incidente? Sono barriere attive (evitano che l’incidente avvenga) o passive (limitano i danni)? Cosa succederebbe se si cambiassero le procedure o si introducesse un nuovo sistema? Queste analisi, dette “prospettiche”, si servono degli stessi dati e modelli di quelle analisi retrospettive che negli anni hanno contribuito all’introduzione di sistemi e procedure per evitare incidenti sempre migliori: i radar di terra, il sistema TICAS atto a impedire collisioni in volo, l’evacuazione rapida della cabina, sistemi antincendio o sistemi passivi sulle piste per limitare i danni in caso di atterraggio lungo — tutte tecnologie introdotte per permetterci di viaggiare sempre più in sicurezza a bordo di un aereo.

In conclusione – considerando che quanto detto in questo articolo è applicabile in ogni campo, dal nucleare, al ferroviario o navale – riserviamo un’ultima riflessione al recente processo, prossimo alla conclusione, sull’incidente della nave Costa Concordia.

Sicuramente il capitano Francesco Schettino è il maggiore responsabile dell’accaduto. Tuttavia il confronto con il campo aeronautico e quanto è stato qui illustrato finora è facile, e costringe a porsi qualche domanda: l’azienda Costa ha dunque lasciato le sue navi e i suoi clienti nelle mani di un personale incapace o incompetente? Perché gli ufficiali non sono intervenuti, vedendo che il capitano non stava rispettando le procedure aziendali e nautiche? È responsabilità del capitano stilare le procedure di Safety e mantenere controllati tutti i sistemi a bordo? È l’azienda che deve addestrare il personale a guidare le pilotine, assistere i naufraghi e pianificare la manutenzione? Di fatto, qual è e soprattutto dov’è l’organo preposto a controllare che le norme vengano rispettate? La Guardia Costiera non avrebbe mai permesso il passaggio di una nave a soli 20 metri dalla costa; cosa faceva dunque in quel momento l’operatore al radar nautico, mentre vedeva il puntino “Concordia” tirare dritto verso il puntino “Giglio”? In definitiva: Schettino sarà anche – giustamente – condannato come responsabile dell’accaduto. Resta il fatto che una grande azienda come quella della Concordia ha risposto a un incidente limitandosi ad additare uno dei propri capitani come “pazzo scellerato”, senza peraltro dare risposte concrete su cosa abbia effettivamente portato all’errore, o meglio agli errori, e dunque all’incidente, e cosa verrà fatto perché non si ripeta in futuro. E questo è un esempio palese di cattiva gestione di una emergenza.

Redazione