Luca Del­li­san­ti

Negli ulti­mi 12 mesi si sono veri­fi­ca­ti una serie di inci­den­ti aerei rile­van­ti: dal volo MH370 miste­rio­sa­men­te scom­par­so nel mar­zo 2014, fino all’incidente di Tai­wan di ini­zio mese. È neces­sa­rio fare chia­rez­za: qual­sia­si inci­den­te in cam­po aero­nau­ti­co non è argo­men­to da trat­ta­re per sup­po­si­zio­ni; dal­la più bana­le chia­ve ingle­se lascia­ta per sba­glio dove non dovreb­be esse­re allo scon­tro tra due aerei, tut­to deve esse­re ana­liz­za­to, pas­sa­to al vaglio e stu­dia­to. E lo stu­dio che segue qual­sia­si tipo di inci­den­te in que­sto cam­po non ha solo l’obiettivo di defi­ni­re le respon­sa­bi­li­tà – né tan­to­me­no un capro espia­to­rio media­ti­co – ma vuo­le anzi­tut­to rispon­de­re a sem­pli­ci doman­de: “Cosa abbia­mo sba­glia­to? Sia­mo anco­ra in sicu­rez­za? Come evi­ta­re che riac­ca­da in futuro?”.

[youtube]https://www.youtube.com/watch?v=gDqkW2iuWwc[/youtube]

Ogni azien­da in cam­po aero­spa­zia­le ha un SMS, un Safe­ty Mana­ge­ment System: un insie­me di per­so­ne, comi­ta­ti e respon­sa­bi­li che si occu­pa di sti­la­re, segui­re, ana­liz­za­re e imple­men­ta­re le pro­ce­du­re per miglio­ra­re e per­fe­zio­na­re i dispo­si­ti­vi di sicu­rez­za. L’SMS fa capo al Safe­ty Mana­ger, colui che assu­me la respon­sa­bi­li­tà del­la gestio­ne del­le ope­ra­zio­ni e del­le emer­gen­ze, e rispon­de diret­ta­men­te all’Accountable Mana­ger – sostan­zial­men­te, colui che “ci met­te i sol­di e la faccia”.

Per un’azienda aero­nau­ti­ca la sicu­rez­za è tut­to: vie­ne addi­rit­tu­ra pri­ma del pro­fit­to. Una cat­ti­va pub­bli­ci­tà, una cat­ti­va gestio­ne in que­st’a­rea di com­pe­ten­za com­por­ta la sfi­du­cia nel clien­te, e dun­que abbas­sa – e tal­vol­ta azze­ra – il pro­fit­to. Basta poco per­ché un’intera azien­da spro­fon­di improv­vi­sa­men­te (e spes­so in modo irri­me­dia­bi­le) nel bara­tro: una par­ti­ta di veli­vo­li difet­ta­ti, una erra­ta rea­zio­ne all’emergenza con la con­se­guen­te pes­si­ma rea­zio­ne dell’opinione pub­bli­ca — basta guar­da­re, a pro­po­si­to, che fine abbia­no fat­to i tito­li finan­zia­ri di Malay­sia Air­li­nes a segui­to dei due gran­di inci­den­ti, che sono sta­ti gesti­ti, appun­to, nel peg­gior modo possibile.

Un inci­den­te non è mai con­se­guen­za di un solo erro­re, ma l’e­pi­lo­go di una cate­na di erro­ri che coin­vol­ge l’operatore, il super­vi­so­re, l’azienda e tut­ta la gerar­chia, fino al legislatore.

Immaginiamo ora che una procedura o una normativa – ideate evidentemente senza considerare tutti gli aspetti e i fattori in gioco – lasci un ideale buco; che un supervisore poco scrupoloso o distratto lasci un altro buco; e che arrivi quel momento fatale in cui tutti questi buchi si allineano e coincidono: ci troveremo allora di fronte a un rischio reale.

Para­dos­sal­men­te, nono­stan­te la cosid­det­ta “pri­ma linea” sia quel­la che pre­sen­ta i buchi più gran­di per via del­lo stress e del­le ten­sio­ni che si gene­ra­no in deter­mi­na­te situa­zio­ni di peri­co­lo, è spes­so l’anello for­te del­la cate­na che sal­va la situa­zio­ne: un pilo­ta o un ope­ra­to­re al coman­do pron­ti ed esper­ti pos­so­no fare la dif­fe­ren­za tra un inci­den­te argi­na­bi­le o con­te­ni­bi­le e una tra­ge­dia irri­me­dia­bi­le. Capi­re­te ora per­ché James Rea­son, nel 1990, abbia chia­ma­to il suo model­lo orga­niz­za­ti­vo per lo stu­dio del­le cau­se che por­ta­no a situa­zio­ni di peri­co­lo Swiss Chee­se Model.

Vola­re è sicu­ro, è un dato di fat­to; il rap­por­to tra nume­ro di inci­den­ti su ore vola­te, chi­lo­me­tri per­cor­si o pas­seg­ge­ri tra­spor­ta­ti è sem­pre a favo­re dell’aereo rispet­to ad altri mez­zi di tra­spor­to. In gene­re, quan­do capi­ta­no inci­den­ti gra­vi come quel­li dell’ultimo perio­do, è l’impatto media­ti­co, la pau­ra che dila­ga tra l’opinione pub­bli­ca a spa­ven­ta­re, più che l’incidente in sé.

Ma qua­li sono le cau­se mag­gio­ri di incidente?

Per affron­ta­re meglio lo stu­dio ser­vo­no dati, tan­tis­si­mi dati; per ren­der­si con­to di qua­li sia­no le mag­gio­ri cau­se di inci­den­te basta dare un’occhiata all’ottima info­gra­fi­ca inte­rat­ti­va rea­liz­za­ta dal­la BBC: per quan­to riguar­da gli aerei, non si trat­ta qua­si mai di difet­ti mec­ca­ni­ci, né di cat­ti­ve con­di­zio­ni atmo­sfe­ri­che, o di atten­ta­ti. Gli aerei sono mac­chi­ne costrui­te per dura­re in media ven­ti, trent’anni costan­te­men­te in ser­vi­zio, con una media di cin­que, sei viag­gi al gior­no. Per­cor­ro­no milio­ni di chi­lo­me­tri per ore al mas­si­mo del­le capa­ci­tà, tut­ti i gior­ni dell’anno. Lo stes­so uti­liz­zo non potreb­be mai esse­re appli­ca­to a nes­su­na del­le nostre automobili.

L’errore uma­no è sta­to e resta tut­to­ra la mag­gior cau­sa di inci­den­te. Le dimen­ti­can­ze, l’inosservanza o la non curan­za nei con­fron­ti del­le pro­ce­du­re e il sovra­la­vo­ro sono le più gran­di cri­ti­ci­tà in cam­po aero­nau­ti­co: stress, pro­ce­du­re com­pli­ca­te, mul­ti­ta­sking o inter­fac­ce ingan­ne­vo­li com­por­ta­no spes­so situa­zio­ni in cui tut­ta la pre­pa­ra­zio­ne e l’esperienza ven­go­no meno; il com­pi­to degli inge­gne­ri e dell’azienda è sem­pli­fi­ca­re il più pos­si­bi­le le pro­ce­du­re, alleg­ge­ren­do così il lavo­ro al pilo­ta o all’operatore per met­ter­lo nel­le con­di­zio­ni di non com­pie­re erro­ri. D’altro can­to, come accen­na­vo, il fat­to­re uma­no è anche moti­vo di van­tag­gio: l’intervento tem­pe­sti­vo del pilo­ta spes­so ha ovvia­to a erro­ri cau­sa­ti dal com­pu­ter o dal­la stru­men­ta­zio­ne di bordo.

Sono sempre in corso comunque gli studi, e si applicano differenti modelli per studiare la macchina più complessa e fallace presente su un aereo: l’uomo.

Tas­so­no­mie tabu­la­te e gra­fi­ci aiu­ta­no gli inve­sti­ga­to­ri e l’SMS a rico­strui­re il per­cor­so di gua­sti tec­ni­ci, erro­ri uma­ni o pro­ces­si orga­niz­za­ti­vi che può por­ta­re – o ha por­ta­to – al “Main Event”: l’incidente.
Un esem­pio pra­ti­co: l’ultimo inci­den­te del volo Tran­sA­sia, spet­ta­co­lar­men­te ripre­so dal­le tele­ca­me­re di Tai­wan a ini­zio mese. Sen­za pre­te­sa di aver già la cer­tez­za di ciò che sia acca­du­to, pri­ma anco­ra che sia sta­ta svol­ta l’indagine, ho pro­va­to a sup­por­re qua­li potreb­be­ro esser­ne sta­te le cause.

L’incidente è avve­nu­to pochi secon­di dopo il decol­lo. In que­sta fase si ha una discre­ta per­cen­tua­le di pro­ba­bi­li­tà di inci­den­te, anche se la fase più cri­ti­ca resta quel­la dell’atterraggio. L’aereo è pale­se­men­te anda­to “in stal­lo”. Il pilo­ta, arri­van­do a stal­la­re, ha pro­ba­bil­men­te com­piu­to qui un pri­mo erro­re: l’aereo ha per­so all’improvviso tut­ta la por­tan­za, ovve­ro la for­za che lo soste­ne­va, ten­den­do quin­di a pre­ci­pi­ta­re. Ma la que­stio­ne, pri­ma di tut­to, è que­sta: per­ché il pilo­ta ha tira­to la bar­ra di coman­do, ossia ha pun­ta­to così ver­so l’alto il muso dell’aereo? La sua velo­ci­tà era trop­po bas­sa rispet­to all’angolo di attac­co, tan­to da non per­met­te­re più alla por­tan­za di soste­ne­re il mez­zo; in con­clu­sio­ne, date le ridot­tis­si­me pos­si­bi­li­tà di recu­pe­ro, sareb­be pre­ci­pi­ta­to come un sas­so — ed ciò che effet­ti­va­men­te è avve­nu­to. In gene­re per recu­pe­ra­re uno stal­lo si aumen­ta la spin­ta, si cer­ca di spin­ge­re la bar­ra di coman­do — ovve­ro di recu­pe­ra­re la velo­ci­tà neces­sa­ria al sosten­ta­men­to del veli­vo­lo. A Tai­wan non è anda­ta così.

Le cau­se di stal­lo al decol­lo pos­so­no esse­re sta­te varie:

1. Man­ca­ta spin­ta dei moto­ri: effet­ti­va­men­te il pilo­ta ha comu­ni­ca­to un mal­fun­zio­na­men­to a uno di essi ma, stan­do ai video dif­fu­si, entram­bi i moto­ri paio­no fun­zio­na­re cor­ret­ta­men­te, e non vi sono trac­ce di fumo o fiamme.
2. Gua­sto ai coman­di: la bar­ra era inca­stra­ta? Il pilo­ta non pote­va dun­que coman­da­re l’aereo? Pos­si­bi­le, dato che non rie­sce a indi­riz­zar­lo ver­so il fiu­me, evi­tan­do le abitazioni.
3. Flap non estrat­ti: sono un ele­men­to che modi­fi­ca la cur­va­tu­ra dell’ala per per­met­ter­gli di gene­ra­re più por­tan­za a bas­se velo­ci­tà; se non estrat­ti, l’aereo non vola al decol­lo. Era difet­ta­to il siste­ma? O i pilo­ti non li han­no estrat­ti come da procedura?
4. Peso dell’aereo: tut­ti sap­pia­mo quan­to le com­pa­gnie aeree sia­no fisca­li sul peso dei baga­gli. Non è solo que­stio­ne di sol­di, ma anche di sicu­rez­za: un aereo trop­po cari­co non decol­la. Basta un erro­re di cal­co­lo nel peso o un sovrac­ca­ri­co di pas­seg­ge­ri ed ecco che si incor­re nel­lo stal­lo del veli­vo­lo, pro­prio al momen­to del decol­lo. Parec­chi inci­den­ti sono sta­ti con­cau­sa­ti da erro­ri di cal­co­lo sul peso a bor­do: Volo Air­Mid­we­st 5481, erro­ri di manu­ten­zio­ne e cal­co­lo del peso; Volo Arrow Air 1285, ghiac­cio sul­le ali e peso ecces­si­vo. Come det­to, un inci­den­te non è mai con­se­guen­za di un sin­go­lo erro­re, ma di una lun­ga, fata­le cate­na di errori.

Cosa fare quan­do avvie­ne un incidente?

Anzi­tut­to, non c’è tem­po per pen­sa­re. Per pri­ma cosa, ven­go­no atti­va­te le pro­ce­du­re pre­vi­ste dall’SMS e dal­lo sta­to di Emer­gen­cy — prio­ri­tà ai feri­ti o recu­pe­ro cor­pi, con­te­ni­men­to area e recu­pe­ro sca­to­le nere (che in real­tà sono aran­cio­ni, per ren­der­le più facil­men­te iden­ti­fi­ca­bi­li). L’analisi a poste­rio­ri dei dati sarà poi essen­zia­le per sco­pri­re come e quan­do qual­co­sa è anda­to storto.
L’analisi può richie­de­re mesi o anni, pro­prio per­ché nul­la deve esse­re lascia­to al caso. C’è tut­ta­via un sem­pli­ce cal­co­lo che è neces­sa­rio fare subi­to, ovve­ro con­ta­re quan­ti inci­den­ti l’azienda ha dovu­to affron­ta­re e qua­le sia sta­to il loro gra­do di gra­vi­tà. I dati ven­go­no inse­ri­ti in una tabel­la “Matri­ce di Rischio” — zona ver­de: “va bene, pos­so vola­re“; zona gial­la: “for­se è meglio fare qual­co­sa”; zona ros­sa: “aerei a ter­ra, l’azienda non è sicura”.

Come evi­ta­re che si ripeta?

L’enorme mole di dati che si accu­mu­la­no ser­ve a dare del­le rispo­ste: ci sono bar­rie­re per evi­ta­re quel tipo di inci­den­te? Sono bar­rie­re atti­ve (evi­ta­no che l’incidente avven­ga) o pas­si­ve (limi­ta­no i dan­ni)? Cosa suc­ce­de­reb­be se si cam­bias­se­ro le pro­ce­du­re o si intro­du­ces­se un nuo­vo siste­ma? Que­ste ana­li­si, det­te “pro­spet­ti­che”, si ser­vo­no degli stes­si dati e model­li di quel­le ana­li­si retro­spet­ti­ve che negli anni han­no con­tri­bui­to all’introduzione di siste­mi e pro­ce­du­re per evi­ta­re inci­den­ti sem­pre miglio­ri: i radar di ter­ra, il siste­ma TICAS atto a impe­di­re col­li­sio­ni in volo, l’evacuazione rapi­da del­la cabi­na, siste­mi antin­cen­dio o siste­mi pas­si­vi sul­le piste per limi­ta­re i dan­ni in caso di atter­rag­gio lun­go — tut­te tec­no­lo­gie intro­dot­te per per­met­ter­ci di viag­gia­re sem­pre più in sicu­rez­za a bor­do di un aereo.

In conclusione – considerando che quanto detto in questo articolo è applicabile in ogni campo, dal nucleare, al ferroviario o navale – riserviamo un’ultima riflessione al recente processo, prossimo alla conclusione, sull’incidente della nave Costa Concordia.

Sicu­ra­men­te il capi­ta­no Fran­ce­sco Schet­ti­no è il mag­gio­re respon­sa­bi­le dell’accaduto. Tut­ta­via il con­fron­to con il cam­po aero­nau­ti­co e quan­to è sta­to qui illu­stra­to fino­ra è faci­le, e costrin­ge a por­si qual­che doman­da: l’azienda Costa ha dun­que lascia­to le sue navi e i suoi clien­ti nel­le mani di un per­so­na­le inca­pa­ce o incom­pe­ten­te? Per­ché gli uffi­cia­li non sono inter­ve­nu­ti, veden­do che il capi­ta­no non sta­va rispet­tan­do le pro­ce­du­re azien­da­li e nau­ti­che? È respon­sa­bi­li­tà del capi­ta­no sti­la­re le pro­ce­du­re di Safe­ty e man­te­ne­re con­trol­la­ti tut­ti i siste­mi a bor­do? È l’azienda che deve adde­stra­re il per­so­na­le a gui­da­re le pilo­ti­ne, assi­ste­re i nau­fra­ghi e pia­ni­fi­ca­re la manu­ten­zio­ne? Di fat­to, qual è e soprat­tut­to dov’è l’organo pre­po­sto a con­trol­la­re che le nor­me ven­ga­no rispet­ta­te? La Guar­dia Costie­ra non avreb­be mai per­mes­so il pas­sag­gio di una nave a soli 20 metri dal­la costa; cosa face­va dun­que in quel momen­to l’operatore al radar nau­ti­co, men­tre vede­va il pun­ti­no “Con­cor­dia” tira­re drit­to ver­so il pun­ti­no “Giglio”? In defi­ni­ti­va: Schet­ti­no sarà anche – giu­sta­men­te – con­dan­na­to come respon­sa­bi­le dell’accaduto. Resta il fat­to che una gran­de azien­da come quel­la del­la Con­cor­dia ha rispo­sto a un inci­den­te limi­tan­do­si ad addi­ta­re uno dei pro­pri capi­ta­ni come “paz­zo scel­le­ra­to”, sen­za peral­tro dare rispo­ste con­cre­te su cosa abbia effet­ti­va­men­te por­ta­to all’errore, o meglio agli erro­ri, e dun­que all’incidente, e cosa ver­rà fat­to per­ché non si ripe­ta in futu­ro. E que­sto è un esem­pio pale­se di cat­ti­va gestio­ne di una emergenza.