Il dopo AF 447: assetto

Scritto da Franco Di Antonio

La scelta di non intervenire su questioni in verità atte ad aumentare i costi di gestione dei voli, potrebbe significare che l’industria del trasporto aereo considera accettabile il ripetersi d’incidenti come quello di AF447 nell’Atlantico meridionale. Sulle sonde e sulle condizioni meteo abbiamo già detto.

In questa serie di considerazioni vogliamo evidenziare che occorre prendere delle misure preventive per evitare il ripetersi d’incidenti come quello di Air France, la cui perdita è stata causata, a valle della catena degli eventi, dalla perdita di controllo dell’aereo stesso. Esistono tecnologie pratiche ed economiche in grado di ridurre i rischi di perdita di controllo dei moderni aerei a comandi elettronici. Nel rapporto BEA ci si limita a suggerire un addestramento maggiorato per i piloti nelle condizioni simili.

Alla base delle preoccupazioni degli addetti ai lavori, c’è il fatto che gli aerei fly-by-wire non sono pilotabili manualmente, cioè l’intervento umano è in ogni caso filtrato dai computer. L’estremizzazione del concetto ha portato Airbus a scegliere comandi senza simulazione di sforzo e senza duplicazione dei movimenti, su entrambe le leve di comando, dei movimenti fatti dall’altro pilota.

Uno dei principi storici per la sicurezza dell’aviazione moderna è quello del controllo incrociato tra i due piloti (ragione per cui si continua a disegnare aerei a doppio comando); sui moderni Airbus i due comandi sono indipendenti e i piloti non possono verificare, dal movimento del joystick, cosa ha fatto l’altro pilota sulla sua leva. La simulazione di sforzo per altro è una cosa che è applicata anche sulle play station da quattro soldi, e non dovrebbe essere complicato inserirla anche sulle leve di comando degli Airbus.

Complicato è invece l’abbandono di filosofie di progettazione che in definitiva tendono a dimostrare che l’uomo non solo non serve ma che è controproducente. In effetti, l’incidente in questione, analizzato sotto quest’ottica, conferma drammaticamente il concetto, se non ci fossero stati degli umani a bordo forse l’incidente non ci sarebbe stato. Il problema, semmai, per queste filosofie, è arrivare all’accettazione del concetto dell’assenza dei piloti da parte dei passeggeri.

Più ottimisticamente proviamo ad immaginare possibili interventi che possano prevenire la perdita di controllo di questi moderni mezzi. L’ipotesi è che, come nel caso del volo AF447, le indicazioni di velocità vengano a mancare al Flight Management Guidance and Envelope Computer: negli aerei precedenti in caso di avaria si volava per assetto inserendo la potenza ricavata da una tabella. Ebbene, non apparirebbe insensato inserire una tabella automatizzata nel FMGEC, che operi la medesima procedura invece di consegnare l’aereo ai piloti senza alcuna protezione.

Gli avvisi che i piloti devono interpretare sono troppi e ingolfano le capacità di analisi degli equipaggi: la lettura dell’ECAM (Electronic Centralized Aircraft Monitoring – controllo elettronico centralizzato dell’aereo), secondo l’inchiesta fu talmente esigente che andò a detrimento della manipolazione del sentiero di volo.

Gli eventi succedutisi nell’incidente analizzato sono la conseguenza della filosofia di costruire un aereo che è “impossibile” che vada in stallo. In effetti, se in condizioni normali (normal law), il pilota tenta di portare il muso verso l’alto, superando i limiti d’angolo d’attacco che porta allo stallo, il sistema interviene limitando l’aumento dell’angolo di attacco. Con la legge alternata, la protezione si perde e rimane solo l’avviso emesso con delle logiche particolari (che tra l’altro sotto i 60 nodi è escluso) dal FWC, il Flight Warning Computer, pertanto in queste condizioni l’aereo stalla, sorprendendo i piloti abituati a pensare ad un aereo che “non stalla”. Magari creando anche un’illusione cognitiva, come nel caso dell’incidente in oggetto, nel quale i piloti non si sono mai resi conto di essere in stallo.

L’angolo di attacco è il parametro che permette di capire una situazione limite come quella riportata, nell’Airbus A-330 il suo valore non è direttamente visualizzato ai piloti. Speriamo che la visualizzazione dell’angolo d’attacco sia introdotta in questi aerei. D’altra parte è stato calcolato che la perdita di dati a causa dell’ostruzione reversibile dei tubi di Pitot può durare un paio di minuti, un tempo non esattamente breve per un aereo che vola a circa 900 chilometri orari.

I piloti sono addestrati a temere molto di più il superamento delle velocità limite piuttosto che lo stallo, in teoria “protetto” dai sistemi automatici: in effetti, il superamento delle velocità limite comporta ispezioni tecniche costose. Insomma l’aereo non può stallare (“impossibile” secondo i progettisti), si costruisce un insieme di diavolerie che in teoria fanno a meno dei piloti e impediscono all’aereo di stallare, però se i sistemi entrano in un’area grigia dove gli algoritmi non sono in condizione di operare essi lasciano la situazione ai piloti.

Bisogna allora mettersi d’accordo o i piloti servono e quindi bisogna fare in modo che affrontino le evenienze imprevedibili oppure occorre automatizzare anche l’imprevedibile, cosa piuttosto utopica. In ogni caso un sistema già esistente nell’industria potrebbe risolvere i problemi in molti casi simili: un Pilot-Activated Recovery System (PARS, sistema automatico di rimessa in volo orizzontale in caso di disorientamento del pilota), il cosiddetto bottone antipanico, aerei militari come l’F-16, il nostro Aermacchi M-346 e l’EFA Eurofghter Typhoon, lo montano.

Il manuale edito dalle maggiori industrie mondiali e dagli enti governativi ed internazionali di controllo (Aeroplane upset recovery training aid guide), che si occupa di procedure d’addestramento in caso di manovre di rimessa da assetti inusuali, dovrà essere in ogni caso aggiornato. In una intervista alla CBS, l’eroe dell’Hudson, il comandante Sullemberger, dice al suo intervistatore, Harry Smith, che il disastro dell’Air France è un evento fondamentale, perché ripropone la questione di come l’uomo e la macchina lavorano insieme negli aeroplani altamente automatizzati. “Dobbiamo chiederci se rendere gli aerei più tecnologicamente avanzati rende più difficile per i piloti di recuperare quando le cose vanno male” dice “Sully”.

Insomma, conclude il nostro fortunato collega, se un aereo evolve fino al punto di affidarsi alle capacità degli umani e non tiene conto degli aspetti negativi degli stessi è il sistema che sbaglia, non il pilota. Non ci rimane che una considerazione: non sono rimaste molte le professioni che puniscono con la morte un errore grave.

Pilotare un grande jet commerciale è una di quelle.

(13 febbraio 2013)