Il disastro del volo Air France è ancora, parzialmente, avvolto nel mistero, a causa della difficoltà nel decifrare le reali responsabilità dei piloti e della strumentazione di bordo: in sintesi, si è trattato di errore umano, problema strutturale o una combinazione di entrambi? Le indagini sembrano convergere verso quest’ultima ipotesi, con un’alta probabilità che dietro il disastro del volo Air France 447 ci sia un inadeguato addestramento dei piloti per le situazioni di emergenza.

Una combinazione fatale

In un precedente articolo avevamo focalizzato l’attenzione su quanto la tecnologia influisca negli errori umani, riportando anche l’opinione di Jeff Wise (pilota e contributing editor per Popular Mechanics), secondo il quale fu solo l’errore umano a causare l’incidente quel 1 giugno 2009, in pieno Oceano Atlantico. Wise non ha escluso la presenza di malfunzionamenti, ma ha sostenuto che l’esperienza dei piloti avrebbe dovuto supplirli. Intanto il Bea (Bureau d'Enquêtes et d'Analyses, per la sicurezza dell’aviazione civile) ha raggiunto la conclusione che a causare il disastro dell’Air France 447 fu una combinazione tra la confusione dei piloti, un malfunzionamento dei segnali di allarme e un addestramento non adeguato dei piloti in situazioni di emergenza.

Un problema sottovalutato

Il blocco dei tubi di Pitot, causato da cristalli di ghiaccio durante il volo, era un fenomeno conosciuto ma sottovalutato dall’aviazione ai tempi dell’incidente. Da un punto di vista operativo, infatti, la conseguente perdita di dati circa la velocità aerodinamica era identificata come un malfunzionamento. Si pensava che il problema dovesse essere diagnosticato dai piloti e gestito con un procedura acquisita.

Il guasto in volo, invece, sorprese l’equipaggio del volo Air France 447; le difficoltà nella gestione dell’aereo durante la turbolenza ad elevata altitudine è risultata in un over-handling in avvitamento e in un input di brusco nose-up (impennata) da parte del PF (Pilot Flying, cioè il pilota ai comandi). La conseguente destabilizzazione, seguita dal percorso ascendente dell’aereo e dai cambiamenti nell’assetto di volo e nella velocità verticale, inseriti erroneamente a causa dei messaggi sbagliati riguardo la velocità aerodinamica e l’ECAM (Electronic Centralized Aircraft Monitoring).

L’equipaggio fu completamente portato fuori strada e non si accorse che l’unico problema riguardava la perdita di tutte tre le fonti della segnalazione di velocità. Quindi, nei primi minuti seguenti la perdita del pilota automatico, la mancata comprensione dell’emergenza ha provocato la perdita di controllo della situazione. L’aereo andò in stallo prolungato, segnalato dall’allarme di stallo, che suonò in modo continuo per 54 secondi, ma fu apparentemente ignorato. Quindi nessuno si accorse che l’aereo era in stallo e non avviò le idonee procedure di recupero.

I piloti non furono gli unici colpevoli

Come ha dichiarato Jean-Paul Troadec, capo del BEA, durante una conferenza stampa presso l’aeroporto di Parigi La Bourget, i piloti non compresero cosa stesse realmente accadendo e non recuperarono l’aereo dallo stallo, ma non sono gli unici da incolpare; oltre alla strumentazione che aveva fornito dati errati, sono gli addestramenti a non essere idonei a determinate circostanze, tanto che molti equipaggi si sarebbero probabilmente comportati in modo simile, perché non preparati per questi eventi.

Il paradosso dell’automazione

Il Bea ha redatto un documento pdf contenente 25 raccomandazioni che coprono ogni aspetto, tra cui il training dei piloti per il volo manuale ad elevate altitudini. Molte delle raccomandazioni riguardano il cosiddetto paradosso dell’automazione: più è affidabile la tecnologia, meno l’operatore umano può contribuire al suo successo. Quindi, viene lasciato in disparte, fino a quando non si verifica un errore nel sistema di automazione, momento in cui l’operatore è chiamato ad intervenire tempestivamente ed in modo perfetto. Cosa che ovviamente non è in grado di fare, perché addestrato a fidarsi delle macchine. Nel caso del volo Air France 447, il rapporto dell’incidente ha confermato che il presentarsi del problema aveva completamente sorpreso i piloti i quali, terrorizzati, non furono mai in grado di comprendere quale fosse la causa che aveva disinnescato il pilota automatico.

Riassumiamo il rapporto dell’incidente

Per capire meglio come sono andate le cose, cerchiamo di schematizzare il rapporto rilasciato sull’incidente dopo le indagini. Il riconoscimento del segnale di stallo, associato con il buffer di 54 secondi, fa pensare che l’equipaggio abbia assegnato un grado minimo di legittimità all’allarme.

Ciò implica che ci sia una sufficiente esperienza, a priori, con le varie condizioni di stallo, o quanto meno la mente lucida per ragionare e capire la situazione, oltre alla conoscenza dell’aeromobile (e le sue modalità di protezione) e delle leggi fisiche in volo. Una revisione dell’addestramento dei piloti ha evidenziato che questo tipo di requisiti non viene correttamente approfondito. In maniera più generale, il fallimento doppio delle risposte procedurali attese ha mostrato i limiti dell’attuale modello di sicurezza.

Quando ci si aspetta un’azione da parte dell’equipaggio, si da sempre come certo che abbia la capacità di controllare inizialmente il percorso del volo e poi che riesca a fare rapidamente una diagnosi per identificare la procedura corretta da mettere in atto. Un equipaggio può anche incontrare una situazione totalmente inattesa che causi una momentanea, ma profonda, perdita di cognizione. Se, in un simile caso, si perde la capacità di controllo e di diagnosi accennata prima, il modello di sicurezza entra nella modalità ‘common failure’.

In questa circostanza diventa praticamente impossibile mantenere il controllo e trovare la soluzione appropriata. Quello di cui i piloti sembravano aver bisogno era qualcosa simile al ‘paracadute digitale’, una nuova, e discussa, tecnologia avionica in via di sviluppo da parte della Rockwell Collins. In sostanza, il sistema sarebbe in grado di prendere il controllo dell’aereo, riportandolo, se possibile, a livello di volo, quando il pilota preme il ‘panic button’ (pulsante di panico) durante una situazione di emergenza. In realtà, questo nuovo sistema renderebbe ancora più fitta e lunga la spirale che esclude i piloti dall’intervento nelle situazioni critiche, alimentando il paradosso dell’automazione.

Probabilmente si dovrebbe porre maggiore attenzione all’addestramento dei piloti. In un articolo del New York Times, infatti, viene messo in evidenza che un gruppo di esperti ha dichiarato che il disastro del volo Air France 447 non sia da attribuire ai soli piloti, ma ad una concorrenza di cause che vanno oltre le loro competenze; le colpe sono da condividere anche con Air France, Airbus e gli organi europei regolatori della sicurezza.