Ma l incidente di Linate è stato anche una questione di manette?

Transcript

1 Ma l incidente di Linate è stato anche una questione di manette? Il decollo a spinta ridotta, introdotto per motivazioni economiche, può contrastare con la sicurezza del volo soprattutto in particolari condizioni. Adottare le tecnologie disponibile affinché il pilota possa vedere bene davanti a sé. [Questo articolo del com.te Giovanni Riparbelli è stato pubblicato anche su Air Press, fascicolo 21, del 31 maggio 2004] Ho preso atto della relazione finale dell inchiesta sull incidente di Linate del 8/10/2001 (collisione tra un MD 87 della SAS ed un Cessna Business jet privato), condotta dalla ANSV (Agenzia Nazionale Sicurezza Volo). In tempi accettabili è stata conclusa una inchiesta estremamente dettagliata ed approfondita in molti campi, corredata di documentazione appropriata e seguita da raccomandazioni che non mancheranno di produrre effetti benefici. Ho apprezzato ancora di più il fatto che finalmente le relazioni di incidente siano rese pubbliche; la loro diffusione presso la comunità aeronautica non potrà che stimolare ulteriori riflessioni e considerazioni che ne arricchiscano il contenuto, e di conseguenza il loro valore in termini di prevenzione. Questo è l intento che mi prefiggo con le mie considerazioni, alle quali mi auguro altri vorranno far seguito. L indagine si è concentrata sui sistemi aeroportuali, sulle regole del controllo del traffico aereo, sulle segnaletiche, etc. Ne è scaturito un quadro che certamente, a fronte del sistema ideale raccomandato dall ICAO, è suscettibile di parecchie migliorie, che certamente non mancheranno di produrre i loro effetti benefici. Non mi sembra ci sia molto da aggiungere ai contenuti della relazione in quelle aree ampiamente trattate, a parte forse l enfasi diversa che ognuno di noi avrebbe potuto dare ai vari aspetti del problema. Intendo invece estendere l analisi alle tecniche di impiego ed alle procedure operative (di volo) effettuate dall a/m della SAS, aree che sorprendentemente non sono state trattate nella relazione, e che a me sono parse alquanto rilevanti, nonché alle tecnologie di cockpit che avrebbero potuto evitare l incidente o attenuarne le conseguenze. Prima considerazione L a/m MD 87 ha effettuato il decollo con spinta ridotta e con un setting di flap basso (11 ), inteso a ottimizzare le prestazioni in volo, a scapito di quelle in pista. La procedura di decollo con spinta ridotta consiste sostanzialmente nell adoperare per il decollo non tutta la spinta disponibile, ma solo quella minima necessaria al peso attuale utilizzando l intera lunghezza di pista disponibile. Sostanzialmente, insomma, un a/m che potrebbe decollare in due terzi di pista se utilizzasse tutta la spinta disponibile, viene fatto decollare con una spinta più bassa, che gli fa utilizzare tutta la pista. Spinta ridotta e basso setting di flap sono scelte privilegiate in condizioni normali dalla maggioranza degli operatori, in quanto sono quelle che su piste relativamente lunghe (considerato il peso dell a/m e le condizioni ambientali) consentono il massimo derating (cioè l uso della spinta minima necessaria per il decollo), con conseguente risparmio sui costi di manutenzione dei motori. Ma ad un setting di flap basso è associata una velocità di decollo più alta, e quindi un allungamento della corsa di decollo. 1

2 L effetto poi dell uso della spinta ridotta sulla lunghezza di pista effettivamente utilizzata è ancora più significativo, molto di più di quanto non sia spesso realizzato dagli stessi piloti. Non a caso l introduzione del concetto del decollo con spinta ridotta che avvenne progressivamente a partire dalla metà degli anni settanta fu contrastato (vanamente) dai piloti più sensibili ai problemi della sicurezza, che cercarono di imporre limitazioni al suo diffondersi, limitazioni che nel tempo sono andate via via cadendo. Esiste, ed è valido tuttora, un principio base secondo il quale il decollo più sicuro è quello che consente di decollare nel più breve spazio possibile e di salire nella fase iniziale con il massimo gradiente: minor pista utilizzata, minor velocità di decollo, maggior guadagno di quota iniziale uguale maggior sicurezza. Le ragioni economiche lo hanno scardinato. La diminuzione dei costi di manutenzione con l uso delle spinte ridotte era provata, l effetto negativo in termini di sicurezza non era provabile, a meno di non tener conto di fattori imprevedibili, che come tali venivano rifiutati dalla razionalità del mondo aeronautico. E così è andata la storia: prima si parlò di decollo normale (quello a spinta piena) e di decollo a spinta ridotta, che rimaneva a piena discrezione del pilota, poi il decollo a spinta ridotta diventò quello normale, e poi cessò anche la discrezione del pilota. Ma una cosa è certa: nel corso degli anni l uso della spinta ridotta ha contribuito a numerosi incidenti. E per amore della storia voglio anche ricordare il precedente della certificazione dell uso delle manette in decollo da parte del pilota. Negli anni sessanta, i motori erano costruiti in modo che, secondo l ente certificatore inglese (che in fatto di sicurezza era storicamente più sensibile di quello americano), il pilota al decollo dovesse portare le manette a battuta ed il motore erogasse la spinta di decollo senza superare i suoi limiti di impiego. Non era ammessa alcuna ricerca con le manette di un livello particolare di spinta. Poi vennero i motori certificati FAA, con regolazione da parte del pilota del livello di spinta di decollo, EPR (Engine Pressure Ratio), quella che, per fare un esempio purtroppo ben noto, ha fatto sì che, per una banale ostruzione di una presa di pressione, un B-737 (Air Florida) iniziasse il decollo a Washington National con spinta insufficiente andando a cascare nel fiume Potomac. Dal momento che la manetta non doveva più essere portata a battuta al decollo, il passo concettuale verso le spinte ridotte era stato fatto. Se il pilota poteva regolare le manette al decollo su un determinato livello di spinta, perché non fargli utilizzare quello più conveniente? Le spinte ridotte sono state la logica conseguenza. Siamo lontani dai tempi in cui col Caravelle si decollava con le manette a battuta, dopo aver verificato le luci verdi dell intervento delle buse (alette che vicino al numero massimo dei giri restringevano il cono di uscita del motore aumentando la spinta). Torniamo all incidente in esame. Se l a/m avesse usato la spinta piena di decollo l incidente probabilmente non sarebbe avvenuto, in quanto sarebbe decollato prima e passato sopra al Cessna, invece di finirgli contro. Questo in omaggio ai concetti base di sicurezza del volo richiamati sopra. Le norme JAR richiedono che gli operatori definiscano delle speciali procedure per le operazioni in bassa visibilità (JAR-OPS 1.455). La SAS aveva ottemperato a questa prescrizione? 2

3 Nel definire una procedura di decollo di bassa visibilità, era ragionevole pensare di escludere l uso della spinta ridotta? Certamente quando la visibilità è scarsa, dal momento che il segmento visivo in termini di tempo diminuisce con l aumentare della velocità, dovrebbe essere scelta la velocità di decollo più bassa possibile, corrispondente al setting di flap più alto. Dal momento poi che il controllo dell a/m in decollo con bassa visibilità può divenire problematico per una serie di fattori, il principio base di sicurezza indica di ridurre al minimo il tempo di esposizione, cioè di stare a terra il meno possibile, cioè di utilizzare tutta la spinta disponibile. L incursione accidentale in pista di un velivolo o di un altro mezzo, è uno dei fattori imponderabili dai quali derivano quelli che ho chiamato principi base di sicurezza, e l incursione in pista in condizioni di bassa visibilità acquista una valenza particolare. La procedura di decollo di bassa visibilità di Alitalia (che ho contribuito io stesso a definire, quale incaricato degli Standard Operativi di quella Compagnia), in vigore già da alcuni anni prima dell incidente in questione, richiedeva (e richiede ancora), tra l altro, che il decollo fosse effettuato: - con la spinta massima - con il setting di flap che consentisse la Vr minima (flap più alto) - con la tecnica dello static take-off (applicazione della spinta iniziale al freno). Non so cosa prevedesse la Compagnia SAS al proposito, ma sono certo che altri operatori avessero una procedura simile a quella della Alitalia. Una raccomandazione in tal senso da parte della ANSV sarebbe stata benvenuta. Nell indagine non c è alcun cenno al problema. Seconda considerazione Il decollo non è stato interrotto dopo l impatto, ma il pilota ha avanzato ulteriormente le manette per ottenere la massima spinta possibile, con l evidente intento di proseguire il decollo. Eppure le indicazioni del motore destro erano andate a zero (il motore si era staccato), e quelle del sinistro fluttuavano tra 1.2 e 1.55 di EPR, meno della metà della spinta erogabile, indice chiaro di avaria e del fatto che l a/m non avrebbe potuto reggersi in volo. Lo slat dell ala destra all impatto ha segnalato un transito, altra condizione che avrebbe dovuto allertare l equipaggio. Il volo (considerato dal distacco dalla pista del carrello principale) è durato per 8,5 secondi, nel corso dei quali l a/m ha raggiunto circa 35 ft (10.5 m.), aumentato la velocità da 146 a 166 kts. e deviato sulla destra della traiettoria, per poi tornare a terra e proseguire la corsa fino ad impattare la costruzione della SEA a 139 kts. Solo quando l a/m stava ricadendo sulla pista per l impossibilità evidente di volare, circa 9 dopo la collisione veniva presa la decisione di abortire il decollo, le manette venivano ridotte al minimo, seguite dall applicazione di reverse e freni (peraltro inefficaci a causa dei danni al carrello e perdita della pressione idraulica). La decisione iniziale di proseguire il decollo era quella migliore? (non ho usato. volutamente il termine giusta in contrapposizione a sbagliata, vocaboli che in questo contesto non hanno senso). C erano elementi per decidere diversamente? Mi sembra che anche questo aspetto avrebbe meritato un analisi approfondita nella relazione. E evidente che se dopo l impatto la decisione fosse stata quella di abortire il decollo, l a/m non avrebbe deviato in maniera così significativa dalla pista, sarebbe 3

4 uscito di pista nella zona di overrun ed a velocità più bassa, certamente con danni minori. Premesso che non si possono giudicare a freddo decisioni prese in un contesto operativo drammatico, ho cercato di spiegarmi il motivo della decisione iniziale del pilota di proseguire il decollo. Le procedure standard di interruzione di decollo non coprono eventi anomali di questo genere, né il pilota è mentalmente preparato all ipotesi di una collisione. Non c è dubbio che la risposta ad eventi inaspettati dipende direttamente dalla percezione dell evento. In caso di collisione, ove sia chiaro che i danni subiti sono tali che l a/m non può volare, si dovrebbe cercare di interrompere la manovra di decollo quanto prima possibile, anche se l a/m si fosse già staccato da terra: la pista rimanente ed il terreno seguente sono meglio adatti a sostenere l a/m e a limitare i danni. Decisioni di questo tipo sono state sovente prese con successo, ad esempio in seguito ad avarie multiple di motore, a incontri improvvisi con wind shear severi, a decolli accidentali senza flaps etc. Se il pilota dell MD 87 non ha interrotto il decollo, ciò è probabilmente dovuto al fatto che egli non abbia avuto la percezione dell impatto con un velivolo. Probabilmente non lo ha proprio visto. Al proposito la relazione dice: L equipaggio scandinavo potrebbe aver intravisto qualche cosa un attimo prima dell urto, e potrebbe aver pronunciato una esclamazione incomprensibile, registrata sul CVR 0.5 secondi prima della collisione. Ed in effetti il pilota non poteva avere visto prima il Cessna, non tanto per la visibilità ridotta (circa 200 m., che equivarrebbero a circa tre secondi), ma per il fatto che in bassa visibilità la manovra di rotazione dell a/m avviene head down, guardando l orizzonte artificiale. Infatti mentre in buona visibilità il pilota guarda fuori per tutta la prima fase della rotazione, e lo sguardo va sull orizzonte artificiale solo alla fine per impostare il valore di assetto prefissato di decollo, in bassa visibilità ciò non è possibile, in quanto il rateo di rotazione non può essere valutato con la visione esterna, ed è necessario riferirsi fin dall inizio all orizzonte artificiale. Nel nostro caso con tutta probabilità l intera fase temporale nella quale il Cessna avrebbe potuto essere visto ha coinciso con la rotazione dell a/m avvenuta con i piloti che guardavano dentro. La percezione dell impatto non è stata realistica, e così si può spiegare la decisione (che si è rivelata catastrofica) di tentare la prosecuzione del volo. Credo che anche questa area, con i fattori umani coinvolti avrebbe meritato di essere trattata nell indagine. Forse si è andati un po troppo avanti, come comunità aeronautica, a scoraggiare le interruzioni di decollo ad alta velocità (causa è vero di molti incidenti, ma solitamente con effetti meno gravi per gli occupanti). Certo la decisione di interrompere un decollo quando si sa che certamente si uscirà di pista con seri danni all a/m e forse anche agli occupanti è la più difficile da prendere, ma se servisse a salvare vite umane? Mi vengono in mente le dichiarazioni di un comandante di un DC10, che, in presenza di forti vibrazioni alla rotazione, decise di abortire il decollo, finendo fuori pista con la distruzione dell a/m ed un certo numero di perdite tra i passeggeri, la maggioranza dei quali però si salvò. L incidente era avvenuto poco dopo quello nel quale un altro DC10 aveva avuto forti vibrazioni al decollo, causate dal distacco di un motore. 4

5 Il distacco del motore aveva causato a sua volta la rottura dei due impianti idraulici che mantenevano lo slat di un ala in estensione, con conseguente retrazione dello stesso, stallo dell a/m e perdita di tutti gli occupanti (successivamente tutti i DC10 furono modificati ad evitare che la mancanza di pressione idraulica causasse il rientro degli slats). Quell incidente, ben noto nell industria, aveva influenzato la sua decisione, ed egli dichiarò subito dopo l incidente, quando le cause reali delle vibrazioni non erano ancora state accertate, di non sapere se avesse ucciso alcuni passeggeri, o se ne avesse salvati la maggioranza. L inchiesta stabilì poi che le vibrazioni erano state generate dai ruotini del carrello anteriore, cioè erano sostanzialmente innocue. Tornando alla considerazione che il pilota dell MD 87 non ha potuto vedere il Cessna in quanto aveva gli occhi sul pannello strumenti, diversa sarebbe stata la situazione se l a/m fosse stato equipaggiato con un Head Up Display. Se l a/m fosse stato equipaggiato di un Head Up Display, e se esso fosse stato utilizzato, probabilmente il risultato dell incidente sarebbe stato diverso. Con tale strumento per tutta la corsa di decollo il pilota avrebbe guardato fuori, con gli occhi focalizzati davanti a sé, e non sulle luci che passavano sotto il muso dell a/m, e la rotazione sarebbe avvenuta continuando a guardare davanti. Il Cessna sarebbe stato identificato con chiarezza prima dell impatto; certo troppo tardi per evitarlo, ma in tempo per rendersi conto che non si poteva continuare il volo e per decidere di tenere l a/m a terra limitando i danni. Terza considerazione Questo incidente è stato causato direttamente dalla presenza di un ostacolo imprevisto in pista durante il decollo, ostacolo che non poteva essere visto in tempo utile dal pilota data la scarsa visibilità. In questo caso si trattava di un altro aeromobile, e quasi tutta l indagine è impostata sui modi di limitare la possibilità che un aeromobile entri accidentalmente in una pista attiva. Ma ci sono anche altri casi, quale quello agli inizi degli anni settanta, quando a Torino un Caravelle decollando in condizioni di bassa visibilità urtò e perse un ala contro un mezzo da lavoro accidentalmente entrato sulla pista. Quando anche si ottenessero aeroporti perfettamente attrezzati di tutte le segnaletiche e dei mezzi migliori di disciplina del traffico, etc, non si potrà mai giungere alla certezza che non ci siano più intrusioni. Anche i radar hanno le loro limitazioni, particolarmente nel campo del fattore umano; rimarrà sempre spazio per gli imprevisti, e sarà necessario cercare soluzioni che restituiscano al pilota la capacità primaria di vedere davanti a sé. È necessario dotare il pilota di strumenti che gli consentano di vedere per tempo gli eventuali ostacoli nella corsa di decollo. Questa tecnologia, ormai matura, ed in alcune applicazioni già disponibile sul mercato, va sotto il nome di EVS (Enhanced Vision System). Sostanzialmente si tratta di sensori che vedono l ostacolo e lo mostrano sull Head Up Dysplay. Le tecnologie di base impiegate sono quella FLIR (Forward Looking Infra Red) e quella MMWR (MilliMeter Wave Radar), cui vengono applicati vari sistemi di elaborazione e raffinamento dei dati per renderli più chiari. La prima (infrarosso) è già certificata e disponibile, ed è tra l altro offerta come opzione sul più recente Business Jet della Gulfstream. 5

6 La seconda (radar millimetrico), migliore sotto certi aspetti in quanto non soggetta ad attenuazione in presenza di forte umidità, è in via di maturazione, e presto si dovrebbe passare dalle applicazioni sperimentali a quelle commerciali. Ma tutto il progresso dipende dall interesse degli acquirenti. L industria può rendere disponibili questi apparati, ma se gli operatori non mostrano interesse non li vedremo mai a bordo degli aeroplani, o li vedremo solo con colpevole ritardo. Nel Giugno 1996 la Comunità Europea ha finanziato un progetto di ricerca internazionale teso a sviluppare e dimostrare le tecnologie FLIR, MMWR e SVS (Synthetic Vision System), chiamato progetto AWARD: All Weather Arrival and Departure. L Alitalia vi ha partecipato attivamente quale principale operatore europeo di Head Up Display (tutti gli a/m Airbus e gli MD 80 di Alitalia sono equipaggiati di HUD). Quale responsabile scientifico per Alitalia del progetto, ho partecipato direttamente agli sviluppi della tecnologia ed alle dimostrazioni in volo (condotte con l a/m sperimentale del centro di ricerca tedesco DLR). Poiché il progetto terminava con la dimostrazione tecnica dei sistemi, insufficiente ai fini industriali in mancanza di una ricerca della loro efficacia in condizioni operative reali, mi ero preposto di proseguire gli esperimenti in Alitalia con il sensore infrarosso che era stato approntato dal partner inglese, che avrebbe collaborato per raccogliere i dati registrati durante un intero inverno di operazioni attuali di linea in condizioni di nebbia. L idea era quella di installare il sensore su uno degli MD 80 già modificati con l HUD, e di impiegare quell a/m principalmente su Linate. Il progetto non si è potuto realizzare per il disinteresse generale. Ogni spinta nella direzione giusta sarebbe benvenuta, e da questo incidente c è molto da imparare. Quarta considerazione Il problema principale è stato causato dall errore di rullaggio del Cessna. E stiamo parlando di Linate, dove i rullaggi sono piuttosto facili. Ci sono aeroporti dove in condizioni di bassa visibilità rullare è proprio difficile, e la possibilità di disorientamento del pilota è elevata. Certamente segnaletiche migliori e tutti quegli accorgimenti individuati (correttamente) nell indagine hanno il potere di migliorare la sicurezza, ma due fattori restano a mio giudizio fondamentali: - la costruzione stessa delle vie di rullaggio e la circolazione a terra devono essere organizzate a prova di errore, - il pilota deve disporre di un adeguato aiuto per il rullaggio. Per quanto concerne il primo punto non si dovrebbero costruire od usare raccordi che intersechino piste con lo scopo di diminuire i tempi di rullaggio (e sotto questo aspetto anche le piste di Milano Malpensa costituiscono un grosso problema). Non condivido l opinione secondo la quale si garantisce la sicurezza consentendo l uso di certe vie di rullaggio solo in condizioni di buona visibilità, anche senza bisogno di ricordare che le intrusioni in pista avvengono e sono pericolose anche in condizioni di buona visibilità. Il raccordo R6 dovrebbe essere one way, solo per le uscite verso il parcheggio dell aviazione generale dopo l atterraggio sulla pista 36 destra, in ogni condizione di tempo. Per quanto concerne il secondo punto è ancora una volta il caso di rivolgersi alla tecnologia. 6

7 Sono già stati sviluppati sistemi a guida GPS con mappe di rullaggio che possono essere rappresentate sul display di navigazione. Essendo Head Down essi non risolvono completamente il problema del rullaggio in bassa visibilità, ma sono utilissimi per evitare il disorientamento. Nel caso in esame un sistema del genere sarebbe probabilmente stato sufficiente ad evitare l incidente. Sono in via di perfezionamento sistemi di guida di rullaggio (Surface Guidance System, SGS), presentati sull Head Up Display, che possono essere seguiti direttamente dal pilota durante il rullaggio, e che evidenziano in maniera elettronica ed inequivocabile vie di rullaggio, limiti di autorizzazione, Stop Bars etc. sia in pianta che in prospetto (vedi figura); si noti in particolare come nella presentazione siano evidenti i coni che indicano la holding position. Sempre sugli HUD possono andare anche durante il rullaggio i rilevamenti dei sensori infrarosso e radar. Con questi sensori le stesse vie di rullaggio e gli ostacoli possono essere visti. La tecnologia è matura. Gli incidenti non dovrebbero mai esserci, ma una volta accaduti, che almeno servano a dare una spinta nella direzione giusta. Com.te Giovanni Riparbelli 7