Air France 447 - Oceano Pacifico

Docenti:
CASO STUDIO
PIETRO CARLO CACCIABUE
ITALO ODDONE
Air France 447
A cura del gruppo n° 01
Velivolo Coinvolto: A330-200
• Marco Rossetti - 844546
Data: 01 Giugno 2009
• Alice Violaine Saletta - 847750
• Cesare Filippo Salvi - 845257
• Arseni Souryal - 8456261! di 19
!
Indice
Introduzione……………………………………………………………………………………… 4
Metodi e Tassonomie impiegate………………………………………………………… 4
Cronologia di volo………………………………………………………………………… 5
Classificazione cause primarie…………………………………………………………… 7
Osservazioni Generali………….…………………………………………………………. 8
Stato del velivolo………………………………………………………………… 8
Tubi ti Pitot.….…………………………………………………………………… 8
Condizioni meteorologiche……..…………………….…………………………………. 8
Tabella informazioni relative ai piloti………………….………………………………… 9
Angolo di attacco e allarme di stallo…………………….……………………………… 9
Analisi ISAAC Evento n°1……..……………………………….……………………………… 10
Analisi ISAAC Evento n°2……..……………………………….……………………………… 11
Analisi ISAAC Evento n°3……..……………………………….……………………………… 12
Analisi ADREP Evento n°1…….……………………………….……………………………… 13
Analisi ADREP Evento n°2…….……………………………….……………………………… 14
Analisi ADREP Evento n°3…….……………………………….……………………………… 15
Confronto….…..…….………………………………..………..………………….…………….. 16
Conclusione………………………………….…………….…………………………….………. 18
Raccomandazioni di Sicurezza………………………………….……………..…………..….. 19
! di 19
2
!
INTRODUZIONE
Nel seguente documento viene riportata
l’analisi retrospettiva dell’incidente aereo
avvenuto il 1° giugno 2009, alle ore 02:14
UTC, quando il volo Air France 447,
effettuato con l’Airbus A330-200,
proveniente dall’aeroporto Galeão di Rio
de Janeiro e diretto a Paris Charles de
Gaulle, scomparve dagli schermi radar
mentre sorvolava acque internazionali
nell’Oceano Pacifico. Non vi fu nessun
sopravvissuto tra i 216 passeggeri a
bordo e i 12 membri dell’equipaggio. METODI E TASSONOMIE IMPIEGATE
Nell’analisi dell’incidente sono state impiegate due diverse tassonomie: ADREP
(“Accident/Incident Data Reporting”) e ISAAC.
La scelta della prima tassonomia viene esemplificata dal fatto che essa, basandosi sul
modello SHELL, permette di catalogare la totalità degli eventi associati ad
un’occorrenza, cioè quelli sia puramente tecnici e meccanici che, soprattutto, quelli
correlati a fattori umani; quest’ultimi risultano di notevole importanza nell’incidente
considerato. Inoltre, un altro elemento alquanto vantaggioso di tale tassonomia è la sua
completezza dal momento che, contenendo riferimenti anche ai codici di classificazioni
ATA, porta alla definizione di un numero molto rilevante di classi, termini e voci, tali da
coprire tutto il dominio dell’aviazione e le aree collegate. A tal proposito, ADREP risulta
quindi di ottima utilità nell’inquadrare al meglio l’incidente considerato.
Per quanto riguarda ISAAC, essa risulta ben applicabile al caso in quanto si focalizza sulla
distinzione tra errori latenti ed errori attivi mirando così a catturare queste differenze e
ad offrire all’analista uno strumento per identificare gli errori commessi ad
alto livello di una organizzazione e c h e r a p p r e s e n t a n o g l i
elementi patogeni di errori
commessi a livello più basso
ed in prima linea.
! di 19
3
!
CRONOLOGIA DI VOLO
Alle 22:03 del 31 maggio 2009, l’Airbus A330-200 della compagnia aerea Air France
decolla dall’aeroporto Galeão di Rio de Janeiro pronto ad effettuare un volo diretto di
undici ore fino a Paris Charles de Gaulle, in contatto con il centro di controllo brasiliano
ATLANTICO (sulla rotta INTOL-!19 SALPU-ORARO-TASIL). A bordo vi sono 216 passeggeri
e 12 membri dell’equipaggio tra cui un capitano e due primi ufficiali. Al momento della
partenza, ai comandi del velivolo vi sono il comandante Marc Dubois (58 anni, 10.988 ore
di volo totali, al momento dell’incidente uno dei piloti più anziani dell’Air France) e il
primo ufficiale Pierre Cedric Bonin (32 anni, pilota dell’A330 da circa
un anno).
Alle 01:35, dopo aver informato precedentemente il controllore
ATLANTICO di aver passato il punto INTOL, l’equipaggio trasmette
il codice SELCAL e il test viene portato a termine con successo, ma i
tentativi di stabilire una connessione con DAKAR falliscono.
Poco dopo, i piloti si trovano sul punto di entrare nella zona di
convergenza intertropicale al livello di volo 350 e rilevano il fatto che
l’alta temperatura significa non poter salire al livello di volo 370.
Alle ore 01:45, l’aeroplano entra in una zona turbolenta, appena
prima di SALPU.
Nota: Alle 00:30 l’equipaggio aveva ricevuto informazioni da terra
riguardo la presenza di tale zona di convergenza tra SALPU e TASIL.
Poco dopo le 01:52 la turbolenza cessa.
Alle 02:00, il capitano lascia il posto al primo ufficiale David Robert
(37 anni) ed assiste allo scambio di informazioni tra i due co-piloti,
durante il quale il primo ufficiale ai comandi (seduto sulla destra)
avvisa che stanno per entrare in una zona di turbolenza e che
“sfortunatamente non possiamo salire molto per il momento perché
la temperatura sta scendendo più lentamente del previsto” e che il
collegamento con DAKAR era fallito. Allora il Capitano lascia la
cabina di pilotaggio senza aver stabilito quale dei due co-piloti
avesse dovuto tenere i comandi dell'aereo. In questi casi, le norme
prevedono che, in assenza del comandante, il co-pilota ai comandi
(Pilot Flying) è colui che ne fa le veci.
L’aereo raggiunge il punto ORARO. Vola al livello 350 e a Mach 0,82.
L’assetto è circa 2,5 gradi. Il peso e bilanciamento dell’aereo sono
circa 205 tonnellate e 29%.
Due minuti dopo, entrando in una zona di forte turbolenza il primo
! di 19
4
!
ufficiale non ai comandi sostiene l’opportunità di effettuare una lieve virata a sinistra: i
piloti modificano leggermente la rotta verso sinistra.
Alle 02:10, il pilota automatico si disattiva a causa dei cristalli di ghiaccio formatisi sui tubi
di Pitot e il co-pilota di destra assume i comandi. Senza alcun evidente motivo,
quest’ultimo tira su la cloche, portando l’aereo ad aumentare l’assetto di 11 gradi in dieci
secondi. L’avviso di stallo si innesca per due volte di fila. I piloti si rendono allora conto di
non avere indicate le velocità corrette, ma non ne comprendono il perché. Cosicché il copilota constata ad alta voce che l’aereo sta salendo sempre più e chiede diverse volte al
co-pilota di destra di scendere. Questi allora spinge giù la cloche riducendo l’assetto e la
velocità verticale. L’aereo è a circa 37.000 piedi (11.227 m) e continua a salire.
La velocità sul display sul lato sinistro ritorna ad essere valida e indica 223 nodi (413 km/h)
L’aereo ha perso circa 50 nodi (93 km/h) da quando il pilota automatico si è disconnesso e
da quando è iniziata la salita.
Non riuscendo a risolvere la situazione, il co-pilota di sinistra chiama il capitano svariate
volte mentre l’avviso di stallo si innesca nuovamente, in maniera continua. Il primo ufficiale
ai comandi continua a cabrare causando il perdurare della situazione di stallo dell’aereo.
L’altitudine dell’aereo raggiunge il suo massimo a 38.000 piedi (11.582 m); il suo assetto e
angolo di attacco sono di 16 gradi.
Alle 02:11:42 il Capitano rientra in cabina. Durante i secondi successivi, tutte le velocità
indicate sui display risultano non più valide e l’allarme di stallo si ferma, dopo aver
suonato in continuazione per 54 secondi. L’altitudine è di 35.000 piedi (10.668 m), l’angolo
di attacco supera i 40 gradi e la velocità verticale (di discesa) è di 10.000 piedi/minuto (51
m/s). Il pitch dell'aereo è inferiore ai 15 gradi e la potenza dei motori è al 100%. Le
oscillazioni di rollio raggiungono i 40 gradi. Il pilota cabra a sinistra per 30 secondi. L'aereo
comincia a perdere sensibilmente quota, ma i piloti non capiscono cosa stia succedendo.
Nei secondi successivi le conversazioni dimostrano che i piloti non riescono a riconoscere
la situazione di stallo e perciò, non capacitandosi della situazione, non effettuano alcuna
manovra di correzione.
Alle 02:12.02 il co-pilota dice “non ho alcuna indicazione” e il pilota risponde “nessuna
delle indicazioni che abbiamo è valida”. Circa quindici secondi dopo, il co-pilota ai
comandi spinge giù la cloche e l’angolo di attacco diminuisce, i dati delle velocità tornano
validi e si riaccende l’allarme di stallo, ma tale evento non aiuta i piloti a comprendere ciò
che sta succedendo. Successivamente il co-pilota non ai comandi spinge giù la cloche ma
il muso dell’aereo non si abbassa come dovrebbe succedere, generando nuova portanza e
permettendo quindi all’aereo di salire, poiché, a causa della particolare configurazione dei
comandi dell’Airbus, stando il co-pilota ai comandi compiendo un’azione opposta (ovvero
tirare su la cloche) i comandi si annullano.
! di 19
5
!
Soltanto alle 02:13:40, quando il primo ufficiale ai comandi dice “Ma io sono
completamente in cabrata da prima” il comandante realizza essere stato proprio il primo
ufficiale a causare e protrarre la situazione di stallo e dice “No no no non salire più”.
Tuttavia è troppo tardi: l’aereo precipita con una velocità di 3.600 metri al minuto
e 3 minuti e 30 secondi dopo l’inizio della fase di stallo,
l’aeromobile tocca la superficie dell’oceano ad una
velocità pari circa a 200 km/h; le registrazioni si
bloccano alle 02:14:28 e l’impatto distrugge all’istante
la struttura dell’aereo.
CLASSIFICAZIONE CAUSE PRIMARIE
L’incidente derivò dalla seguente successione di eventi:
•
Temporanea incoerenza tra i dati delle velocità di volo indicati, in conseguenza
all’ostruzione dei tubi di Pitot causata da cristalli di ghiaccio che portano in
particolare alla disconnessione del pilota automatico
•
Inappropriati input di controllo destabilizzano la traiettoria di volo
•
I piloti non realizzano la causa della perdita dei dati delle velocità e non identificano
l’appropriata procedura.
•
Mancata identificazione da parte dell’ufficiale non ai comandi (Pilot Not Flying)
della deviazione della traiettoria di volo e correzione insufficiente da parte
dell’ufficiale ai comandi (Pilot Flying)
•
I piloti non identificano l’avvicinamento allo stallo
•
Il fallimento dell’equipaggio nella diagnosi di situazione di stallo, e
conseguentemente, la mancanza di una qualsiasi azione che avrebbe reso possibile
il recovery
Sostanzialmente, come affermato da Alain Bouillard, investigatore capo all’ufficio francese
di inchiesta ed analisi per la sicurezza dell’aviazione civile (BEA) incaricato di risolvere il
caso del volo Air France 447, la causa dell’incidente non è stato il congelamento dei tubi
di Pitot ma l’incapacità dei piloti di capire e correggere la situazione di stallo.
“Le compagnie aeree devo essere pronte a spendere di più per l’addestramento al volo
manuale di base e l’addestramento cognitivo dei loro piloti” indi per cui vi è anche una
sorta di errore latente nella preparazione/addestramento dei piloti.
! di 19
6
!
OSSERVAZIONI GENERALI
Dati Tecnici A330-200
“The A330 is the world's most popular mid-size aircraft, operated by over 100 operators
to over 500 destinations each week. Passengers enjoy the comfort of its spacious cabin
with wide seats and the lastest in-flight entertainment” (Airbus).
Max
Seating
Range
406
13,450 km
A330-200
Max Take-off Max Landing
Weight
Weight
242 t
182 t
Overall
Lenght
Wing
Span
58,37 m
60.30 m
Stato del velivolo
Il velivolo Airbus A330-200 aveva effettuato il suo primo volo il 25 febbraio 2005.
L'ultimo controllo tecnico non aveva rivelato problemi, mentre l'ultima revisione risaliva al
precedente 16 aprile. Fra il 5 maggio e il 31 maggio 2009 l'aereo aveva effettuato 24 voli
da e verso Parigi, per diverse destinazioni in tutto il mondo. Al momento dell'incidente, il
velivolo aveva totalizzato 18 870 ore di volo. L'equipaggio vantava grande esperienza
di volo.
Tubi di Pitot
In determinate condizioni climatiche, è possibile che, in volo, si formino dei cristalli di
ghiaccio sui tubi di Pitot, impendendo all’aria di entrarvi; come conseguenza i dati delle
velocità riportate risultano errati (dal momento che l’aria entrante nei tubi di Pitot è
necessaria alla strumentazione per ricavare
la velocità aerodinamica) e il pilota
automatico si disattiva. Tuttavia è
sperimentalmente verificato che tale
perdita di funzione è solo momentanea, di
durata circa di 1 o 2 minuti, inoltre i piloti
erano stati informati direttamente dalla
compagnia aerea, tramite bollettino
informativo, del problema, dunque non ne
erano soltanto a conoscenza, ma sapevano
anche come affrontarlo.
! di 19
7
!
CONDIZIONI METEREOLOGICHE
Da un punto di vista meteorologico, le condizioni generali sull’Atlantico erano normali per
il mese di giugno. Erano presenti cumulonembi caratteristici di questa zona,
significativamente eterogenei e della durata di qualche ora. Le immagini infra-rossi
scattate ogni quindici minuti dal satellite geostazionario Meteosat 9 non rendono
possibile l’osservazione diretta delle condizioni presenti al livello di volo 350. L’analisi delle
immagini infra-rossi non permette di concludere che l’attività temporalesca nella zona in
cui il volo Air France 447 si presume essere scomparso era di carattere eccezionale, ma
mostra l’esistenza di un raggruppamento di cumulonembi lungo il percorso di volo
stabilito a partire dalle 00:30. Le immagini satellitari portano a pensare che, verso le 02:00,
è molto probabile che vi fossero zone di turbolenza notevole al livello di volo 350, dovute
ai cumulonembi. Vi è anche la possibilità di una significativa attività elettrica, ma la
presenza di acqua sopraffusa è meno probabile e avrebbe dovuto in ogni caso essere
ristretta a piccole quantità.
Capitano
Primo Ufficiale
Primo Ufficiale
Età
58
37
32
Ore di volo totali
10.988
6.547
2.936
Ore di volo su
A330-200
1.747
4.479
807
Ore di volo nei
precedenti 6 mesi
346 ore
18 atterraggi
15 decolli
204 ore
9 atterraggi
11 decolli
368 ore
16 atterraggi
18 decolli
Ore di volo nei
precedenti 3 mesi
168 ore,
8 atterraggi
6 decolli
99 ore
6 atterraggi
5 decolli
191 ore
7 atterraggi
8 decolli
Ore di volo nei
precedenti 30
giorni
57 ore
3 atterraggi
2 decolli
39 ore
2 atterraggi
2 decolli
61 ore
1 atterraggio
2 decolli
! di 19
8
!
ANGOLO DI ATTACCO E ALLARME DI STALLO
Il settaggio standard del sistema di controllo fly-by-wire sull’A330 offre una protezione
sull’angolo di attacco elevato che lo limita ad un valore al di sotto dell’angolo di attacco di
stallo. Quando questa protezione funziona, l’aereo non può raggiungere lo stallo anche se
il pilota mantiene tirata su la cloche.
Al massimo angolo di attacco autorizzato dalla configurazione normale, se la cloche viene
mantenuta tirata su e la portanza non è sufficiente a mantenere il livello di volo, l’angolo di
attacco rimane sempre più basso dell’angolo di attacco dello stallo e l’aereo scende. Nella
configurazione alternative, non vi è più protezione dell’angolo di attacco ma l’allarme di
stallo è ancora disponibile. Esso consiste in un avvertimento sonoro “STALLO, STALLO”,
seguito da avvertimenti luminosi. Esso scatta nel momento in cui il più alto valore valido di
angolo di attacco supera la soglia impostata per le condizioni di volo al momento
considerato.
Se le misurazioni delle velocità sono inferiori ai 60 nodi (111km/h) i valori dell’angolo di
attacco non sono validi e l’allarme di stallo è disattivato. Ciò deriva dal fatto che il flusso
d’aria deve essere sufficiente a garantire una misurazione valida da parte dei sensori
dell’angolo di attacco. Su alcune tipologie di aerei (come l’Airbus A320, per esempio) a
causa delle caratteristiche aerodinamiche nel momento di approccio allo stallo, la soglia di
allarme è spesso indipendente dal numero di Mach e stabilita per basse altitudini.
Sull’A330, come per gli aerei della medesima generazione, la soglia di allarme di stallo
varia al variare
del numero di Mach, in modo da innescarsi prima del fenomeno del
buffet1 .
Una diminuzione in velocità consegue ad un aumento dell’angolo
di attacco, se il fattore di carico è costante. In questo caso, la
diminuzione di velocità dipende dale condizioni di volo.
Alla velocità di crociera (cruise) a Mach 0,8, margine tra l’angolo di attacco
di volo e l’angolo di attacco di stallo è dell’ordine di 1,5 gradi, la velocità
indicate durante l’allarme di stallo sui display sarà circa 40 nodi inferiore della velocità
attuale. L’angolo di attacco è il parametro che permette l’attivazione dell’allarme di stallo.
Il suo valore non viene direttamente mostrato sul display ai piloti.
1
Fenomeno aerodinamico legato al Buffetting. Condizione di flusso fortemente separato,
sequenze continue di separazione e riattacco dello strato limite turbolento, con formazione e
distruzione di vortici su larga scala, sono gli aspetti aerodinamici più evidenti del buffet.
! di 19
9
!
ISAAC
Macroevento
Condizioni di possibile
Ghiacciamento
Fattori Umani
Errore Attivo
Mistake
Ingresso nella tempesta da
parte dei piloti
Errore Latente
Violation
Imposizione da parte
dell’azienda di seguire la
rotta più breve
Guasti Tecnici
Guasto Tecnico
Tubi di Pitot Bloccati
Fattore Contestuale
Tempesta e
Turbolenza
Errore
Latente
Lack of assertiveness
Mancata sostituzione dei tubi di
Pitot da parte di Air France
Processo organizzativo errato
Mistake
• Imposizione di regolamenti non orientati alla Safety
• Imposizione, da parte del management, di seguire le
rotte più veloci (e quindi meno dispendiose in termini di
carburante) piuttosto che quelle più sicure, lontane
dalla turbolenza.
! di !19
10
ISAAC
Fattore Personale
Lack of Teamwork
Scarsa comunicazione all’interno
della cabina
Macroevento
Stallo
Fattori Umani
Guasti Tecnici
Errore
Attivo
Mistake
Mancata realizzazione delle
cause da parte dei
Errore
Attivo
Violation
No controllo checklist
Manovra a
Guasto Tecnico
Ghiaccio nei tubi di Pitot:
errata visulizzazione della
velocità sul pannello del
cockpit
Fattore Contestuale
Tempesta e
Turbolenza
Errore
Latente
Lack of parts
Mancata sostituzione dei tubi di
Pitot da parte di Air France
Processo organizzativo errato
Mistake
• Poca esperienza dei piloti, dovuta alla carenza
di addestramento sull’assetto manuale del
velivolo
! di !19
11
ISAAC
Macroevento
Impatto
STALLO
Guasti Tecnici
Fattori Umani
Fattore Contestuale
Tempesta e
Turbolenza
Errore Attivo
Slips
Pressure - Distration - Stress
Mancato rispetto ed azione
correttiva appropriata derivante
dai continui avvisi di stallo
Guasto Tecnico
Ghiaccio nei tubi di Pitot:
errata visulizzazione della
velocità sul pannello del
cockpit
Errore
Latente
Lack of Parts
Mancata sostituzione dei tubi di
Pitot da parte di Air France
Processo organizzativo errato
Mistake
• Poca esperienza dei piloti, dovuta alla carenza di
addestramento sull’assetto manuale del velivolo
• Imposizione di regolamenti non orientati alla Safety
! di !19
12
A D R E P
Analisi effettuata con il modello ADREP, con particolare riferimento alla tassonomia ADREP-2000,
le cui tabelle e i cui dati sono stati aggiornati dall'ICAO il 29 aprile 2013.
FONTE: http://www.icao.int/safety/airnavigation/AIG/Pages/ADREP-Taxonomies.aspx
Class
100
Category
LOC-I (13)
1
Phase
Type
Accident
Loss of aircraft control while or deviation
from intended flightpath inflight
10402
Cruise
2000000
Operation of the aircraft related event
2220000
Weather encounters related event
2220100
Aircraft encountered icing conditions
E v e n t o
Subjetc
Modifier
11300000
Descriptive
Ice / Rain Protection System
Factors 1.1
11341100
3020
Ice in
Pitot / Static System
11341400
Descriptive
Airspeed / Mach Indication
Factors 1.2
11341401
2320
False indication
Airspeed / Mach Indicator
11220000
Descriptive
Autoflight System
Factors 1.3
11221000
4090
Interrupted
Autopilot System
! di !19
13
Phase
Cruise
2000000
Operation of the aircraft related event
2010400
Flight systems / flight crew mismatch
2010202
Crew induced abrupt manoeuvre
E v e n t o
2
Type
10402
Subjetc
Descriptive
Factors 2.1
Explainatory
Factors 2.1
12210500
Flight crew’s perception of
visual / oral warning
301000000
Human and hardware
interface
Modifier
Person
4730
Mismatched
X
3290
Inadequate
Design
120700
Aircraft
manufacturing
Company
4070
Mismatched
10102
Co-pilot
6360
Not used
X
301010100
Explainatory
Design or ergonomics
Factors 2.1.1
liveware - hardware
interface
11251105
Descriptive
Factors 2.2
Flight manuals,
(flight system / flight crew)
11251104
Emergency checklist
! di !19
14
Phase
Uncontrelled Descent en-route
2000000
Operation of the aircraft related event
2010400
Flight systems / flight crew mismatch
2050201
Aircraft collision with level terrain / water
E v e n t o
3
Type
10406
Subjetc
Modifier
Person
Descriptive
11341800
Factors 3.1
Stall Warning System
130
Activated
X
980
Conflicting
10100
Flight Crew
10010
suspected
10100
Flight Crew
1080
Continued
X
130
Continued
X
103030000
Explainatory
Factors 3.1
Psychological
action - information
processing / decision
making
Explainatory
Factors 3.1.1
105030000
Inadequate or inaccurate
knowledge
Descriptive
12112000
Factors 3.2
Stall
11344400
Descriptive
Ground proximity warning
Factors 3.3
system / terrain avoidance
warning system
! di !19
15
CONFRONTO
Prendiamo ora in analisi le due tassonomie utilizzate nel presente caso, ossia ADREP ed
ISAAC, per svolgerne un confronto.
Partendo dall’evento 1 (ghiacciamento dei tubi di Pitot), con ADREP si ottiene una chiara
e ordinata successione di ciò che caratterizza l’evento preso in considerazione. La
situazione risulta descritta in modo altamente dettagliato grazie all’implemento di codici
di classificazione ATA, i quali ricoprono qualsiasi scenario incidentale possibile. È quindi di
subitanea comprensione il fatto che nel momento in cui l’aereo incontra condizioni di
ghiaccio, i tubi di Pitot si ghiacciano, le velocità indicate cessano di essere valide e il pilota
automatico si disconnette.
ISAAC permette, invece, di avere un quadro più generale della situazione: si evidenziano i
fattori contestuali, ovvero fattori esterni, che causano in modo logico errori attivi e guasti
tecnici. Un’altra importante proprietà intrinseca di ISAAC è quella di rendere ben visibile il
collegamento tra errori attivi ed errori latenti, con una grafica che indica il percorso a
ritroso della dinamica dell’evento, dalla situazione attuale all’errore a monte, mettendo in
risalto, qualora ce ne fosse il bisogno, la causa, anche per casi in cui essa si trovi in
condizioni remote. Infine, sempre in relazione all’attenzione dedicata ad errori attivi ed
errori latenti, ISAAC classifica espressamente gli errori (slips, lapses, mistakes, violations)
conferendo così ad essi una certa gravità.
Procedendo all’evento 2 (situazione di stallo) sia in ISAAC che in ADREP vengono ben
evidenziati i fattori umani di mancata realizzazione della situazione e mancata correzione
della stessa. ADREP risulta ancora una volta conciso nella descrizione dei fatti, grazie
specialmente ai modifier che incorniciano i singoli fattori dando loro sfumature diverse, e
grazie alla possibilità di indicare la persona coinvolta o responsabile per ogni fattore.
Per questo evento, la differenza maggiormente manifesta nell’uso delle due diverse
tassonomie si individua in considerazione dell’errore commesso a livello organizzativo: in
ADREP l’organizzazione viene indicata come persona e appare meno lampante rispetto a
quanto lo è in ISAAC dove essa viene posta a capo (ovvero in basso al grafico) dell’intero
evento, come fattore scatenante.
! di !19
16
Per quanto riguarda l’evento 3, ISAAC si esprime ancora sui guasti tecnici, invariati
rispetto all’evento 1, il che potrebbe portar via peso all’errore attivo in cabina,
grandemente responsabile dell’impatto con l’acqua. In ADREP al contrario, la successione
di fattori precedenti all’impatto, che potrebbero essere difficili da catalogare in quanto
avvenuti pressoché contemporaneamente e nel giro di pochi minuti, riesce ad essere
schematizzata in modo da rendere facile e intuitivo ad una prima lettura l’evento descritto.
In conclusione: complessivamente sia ADREP che ISAAC sono strumenti altamente
efficaci per l’analisi retrospettiva di incidenti; entrambe considerano tutti gli elementi che
contribuiscono al verificarsi dell’incidente, dagli errori in prima linea, alle condizioni
atmosferiche e quant’altro. Certamente, ISAAC diviene la tassonomia più adeguata in casi
di incidenti (come il caso qui considerato del volo Air France 447) in cui i fattori umani
assumono gran rilievo nello scenario complessivo. Infatti, ai fini dell’analisi retrospettiva
riportata in questo documento, ISAAC riassume esaustivamente le cause e gli errori
principali, nonché esemplifica l’articolazione dell’evento in modo semplice e intuitivo
mediante inoltre la sua struttura grafica. ADREP ha invece il privilegio di poter classificare qualunque evento tramite codici
che corrispondo a infinite situazioni di incidenti. Il pregio di ADREP risiede nella sua
ESSENZIALITÀ, nell’essere esente da ripetizioni, nell’efficacia dell’utilizzo di codici
leggibili a livello internazionale (con bassa probabilità di fraintendimento) anche se tali
aspetti sacrificano talvolta parte dell’importanza che assumono alcuni dettagli e
collegamenti (come gli errori latenti), in quanto, per come è costruito graficamente
ADREP, non vengono messi in posizione di risalto, e un errore nell’inserimento del codice
può deviare in senso negativo l’intera analisi.
In base a ciò, è possibile affermare che ISAAC lascia più spazio all’analista nella
descrizione dei fattori umani e dei guasti tecnici, mentre ADREP tende maggiormente a
disporre in modo schematico e leggermente riduttivo, in termini di evoluzione, gli
avvenimenti.
! di !19
17
CONCLUSIONE
L’ostruzione dei tubi di Pitot da parte di cristalli di ghiaccio durante il volo era un
fenomeno noto, ma che fu interpretato in modo errato da parte dell’equipaggio presente
in cabina al momento dell’incidente, nonostante la perdita totale di informazioni sulla
velocità di volo fosse segnalato nel manuale di sicurezza. Secondo le procedure, in seguito
alla realizzazione della mancanza di informazioni, i piloti avrebbero dovuto diagnosticare in
tempi rapidi il problema e operare di conseguenza sulla spinta e sull’assetto di volo.
A causa però dell’errata interpretazione dei segnali questo non avvenne, infatti la
failure dei tubi di Pitot colse di sorpresa i piloti del velivolo. Le difficoltà di manovra dovute
alla mancanza di informazioni portarono a un eccessivo input di comandi per il
beccheggio e per la salita, portando così l’aeromobile ad avere un elevato angolo di
attacco. La destabilizzazione dovuta alla salita del velivolo e alla modifica dell’assetto e
della velocità verticale di salita si sommò all’errata indicazione della velocità
dell’aeromobile e ai messaggi ECAM, sfavorendo ulteriormente la corretta diagnosi.
L’equipaggio probabilmente non riuscì mai a comprendere che il problema era dovuto
“semplicemente” alla perdita di tre fonti riguardo la velocità di volo.
Il fallimento dei tentativi di comprendere la natura della situazione e la mancanza di
coesione da parte dell’equipaggio si alimentarono a vicenda, facendo raggiungere una
totale perdita del controllo cognitivo sulla situazione.
In seguito all’analisi del comportamento tenuto dall’equipaggio del velivolo, non è
possibile catalogare la perdita di informazioni sulla velocità di volo come “major”. Questa
classificazione suppone però la necessità di maggiori feedback operativi, che permettano
miglioramenti durante l’addestramento dei piloti, nelle informazioni trasmesse ad essi e
nella sequenza di procedure da eseguire.
L’aeroplano andò in stallo per diverso tempo, come segnalato dall’allarme di stallo e
dal forte buffet. Nonostante la persistenza di queste condizioni i piloti non compresero la
situazione di stallo e di conseguenza non attuarono manovre di recupero per poter
ritornare all’assetto di volo corretto. Il doppio fallimento delle risposte procedurali
pianificate mostra i limiti del modello di safety utilizzato in quel periodo. Infatti, quando è
richiesto l’intervento dell’equipaggio, si suppone che questo sia capace di riprendere/
mantenere il controllo del velivolo e di diagnosticare rapidamente il procedimento da
eseguire, secondo il protocollo. Al contrario, in questo caso, la iniziale inabilità di
mantenere il controllo dell’aeromobile portò alla mancata comprensione della
situazione e perciò precluse l’esecuzione delle procedure stabilite dalla normativa.
! di !19
18
Il caso studio evidenzia debolezze nei due copiloti: gli input inappropriati da parte
del PF nei controlli di volo ad alta quota non furono notificati dal PNF, a causa dell’assenza
di un efficiente monitoraggio della rotta di volo. L’allarme di stallo e il buffeting non furono
inoltre identificati, questo probabilmente dovuto alla mancanza di training specifico. La
disconnessione del pilota automatico richiede sempre un preciso e regolare
addestramento che permette di acquisire le abilità necessarie per assicurare la safety di
volo. L’esame dei verbali dell’ultimo addestramento dei copiloti ha evidenziato il fatto che
non fossero addestrati a manovrare l’aereo con comandi manuali per il recupero dello
stallo ad alta quota.
Raccomandazioni di Sicurezza
Un metodo per ridurre la probabilità di incidenti simili sarebbe quello di aumentare le ore
di addestramento dei piloti, soprattutto per manovre di volo in condizioni atmosferiche
avverse e anche in mancanza di informazioni attendibili da parte degli strumenti di bordo.
Fonti:
! di !19
19