Uomini o macchine?
Mancano pochi minuti alle sette di sera del diciassette luglio 2007. Thiago Domingos da Silva sta percorrendo, a Sao Paulo, l’avenida Washington Luís, una grande arteria a sei corsie, cui, in quel punto, si aggiungono le quattro della Via Acesso do Aeroporto di Congonhas. Ha bisogno di benzina. Ferma perciò il suo taxi nel distributore della Ipiranga, proprio di fronte al terminal merci della TAM, in prossimità, settanta metri circa, della testata 17R dell’aeroporto.
In quello stesso momento, il comandante Kleyber Lima, 54 anni, 13600 ore di volo, ed il suo co-pilota, Henrique Stefanini di Sacco, 52 anni, 14700, sono in finale sulla testata 35L, ai comandi di un Airbus 320, volo TAM JJ3054, marche PR-MBK, in servizio da Porto Alegre a Congonhas. Sulla frequenza 127.15, ricevono le informazioni di prassi dalla torre di controllo. Direzione e intensità del vento, pista in uso, stato della medesima (“bagnata e scivolosa – molhada e escorregadia”) e l’autorizzazione per l’atterraggio.
Lima ha a bordo 181 passeggeri e altri cinque membri di equipaggio. Pilota un aereo che da quattro giorni vola con il reverse (invertitore di spinta) del motore di destra bloccato, perché guasto (misura di sicurezza adottata per impedirne l’apertura in volo, cosa che avrebbe conseguenze catastrofiche). Inoltre ha imbarcato circa 2400 Kg di combustibile più del necessario, seguendo le istruzioni della compagnia. La ragione è che a Porto Alegre, Stato di Rio Grande do Sul, l’Iva è inferiore a quella che si deve pagare a Sao Paulo: ha fatto quel che in gergo si chiama “rifornimento economico”.
Il peso dell’aereo è però nei limiti previsti dal manuale di volo del costruttore. Lo stesso manuale concede (assai discutibilmente, per non dire incomprensibilmente) 10 giorni all’operatore per riparare il guasto al reverse. La pista è bagnata, ma aperta al traffico. Il comandante Lima è preoccupato, ma non ha un motivo “difendibile” per interrompere l’atterraggio e alternare su Guarulhos. Alle 18.54 le ruote dell’Airbus toccano terra nei limiti accettabili per quella pista lunga solo 1880 m: entro trecento metri dalla testata. La velocità in questo momento è, secondo quanto registrato dalla scatola nera, 276 km/h.
Ma qualcosa va storto: l’aereo non riesce a fermarsi. In prossimità dell’altra testata, esce di pista sulla sinistra, abbatte alcune costruzioni minori in cemento armato, scavalca l’Avenida Washington Luìs e piomba sul distributore ad una velocità di 178 km/h, uccidendo all’istante Thiago da Silva. Proseguendo nella sua corsa, colpisce in pieno il terminal della TAM. L’impatto è terrificante. L’incendio che segue immediatamente richiederà oltre 24 ore di sforzi per essere domato. Muoiono sul colpo tutti i passeggeri, i membri dell’equipaggio, e dodici persone che, come lo sfortunato Thiago, si trovano nel posto sbagliato nel giorno sbagliato e nel momento sbagliato. Il direttore responsabile per le merci della TAM, presente nell’edificio, morirà due giorni dopo. In totale, le vittime saranno 200. E’ il peggior disastro aereo mai accaduto in Brasile. L’aereo che segue il volo TAM JJ3054, un 737 della GOL, è costretto ad una riattaccata precipitosa. Si allontana dalla scena infernale come un animale spaventato. Che cosa è accaduto?
Facciamo un passo indietro. L’aumento delle dimensioni e velocità degli aerei; la necessità di compiere lunghi voli ad alta quota mantenendo il corretto assetto per molte ore; il fatto che in tali condizioni la differenza tra velocità di crociera e di stallo è piccola; l’affollamento di cieli ed aeroporti con il conseguente aumento di rischio di collisioni in volo o a terra; il costo delle macchine (un jumbo jet può costare anche 400 milioni di dollari); la complessità dei dispositivi a bordo; l’alto numero di vittime in caso di incidente; la disponibilità di computers sempre più affidabili e veloci; i servo meccanismi sempre più perfezionati…tutto, negli ultimi decenni, ha spinto i fabbricanti (che ormai sono solo due per gli aerei medi e grandi: Boeing e Airbus, con un terzo, Embraer, che detiene il primato nel segmento dei regional jets) ad automatizzare molte delle procedure una volta eseguite dai piloti.
Salire su un Boeing o su un Airbus significa però salire a bordo di due aerei dove la filosofia di base è diversa. Senza entrare nei dettagli, si può affermare che su un Boeing, in ultima istanza, è il pilota che decide. Mentre nel caso dell’Airbus è la macchina, cioè il computer. Entrambe le filosofie partono da un principio: nella catena degli eventi che porta ad un disastro aereo, quasi sempre l’anello debole è l’uomo.
Se dunque è l’uomo che sbaglia, perché non sostituirlo nel maggior numero possibile di casi pratici, cioè di attività da fare a bordo? Questa è dunque la filosofia dell’Airbus. Il 320 è un aereo altamente automatizzato. In particolare, monta un automatismo detto di auto-thrust, cioè di comando computerizzato della spinta dei motori, che sono due, e sono sistemati in gondole sotto le ali. Quindi se il pilota vuol salire, deve portare entrambe le manette dei motori su una delle cinque possibili posizioni, detta CL (climb). Può anche scegliere la posizione TOGA , ma trascuriamo questo dettaglio per non appesantire la narrazione.
A questo punto, è il computer che, analizzati assetto, peso, velocità ed altri parametri, si incarica di “dosare” la potenza dei motori. Potenza che una volta era in parte stimabile dalla posizione delle manette: tutta giù, potenza minima, tutta su, potenza massima. Posizioni intermedie indicano, ovviamente, potenze intermedie. Nel 320 le manette, una volta posizionate, non si muovono. Quindi il pilota ignora quanta potenza i motori stiano erogando in quel momento, perché non ha una indicazione diretta della stessa. Le altre posizioni sono: TOGA (take off/go around); FLX/MCT (flex take off, maximum continuous thrust), IDLE (zero thrust) e REV (reverse). Queste posizioni sono molto ravvicinate fra di loro: 45° TOGA, 35° FLX/MCT, 25° CL, 0° IDLE e -20° REV. Ai fini del nostro racconto, sono tre le posizioni che ci interessano: CL, IDLE, e REV.
Per facilitarne l’arresto durante l’atterraggio, l’aereo è dotato di due altri dispositivi: gli spoilers (cioè freni aerodinamici) che si aprono automaticamente, e l’auto-brake, cioè un sistema automatico di frenata, che agisce, ovviamente, sui freni a disco posizionati nelle ruote del carrello di atterraggio. Alla frenata contribuisce in maniera determinante anche il Reverse, cioè l’inversione della direzione della spinta dei motori. Come detto, il reverse del motore destro dell’A 320 TAM era bloccato perché guasto.
Due altre cose vanno dette per comprendere il contesto in cui è maturato l’incidente del volo JJ3054. La prima: anche con i reverse non funzionanti e gli spoilers non azionati, se l’aereo tocca terra nel primo terzo di pista, i freni, azionati dai piloti, sono sufficienti a fermare in sicurezza l’aereo. Nel caso del 320 della TAM, i 1880 m della 35L di Congonhas erano del tutto sufficienti. La seconda: nel 320 gli spoilers si aprono automaticamente se e solo se, tutte le ruote del carrello principale sono a terra e la manetta di almeno un motore è in posizione reverse. Solo dopo l’apertura degli spoilers parte l’auto-brake.
Compiuta la fase finale del volo, durante la quale l’assetto è quello tipico di un aereo in discesa, raggiunta la testata pista si esegue quella manovra detta flare, che consiste nell’alzare leggermente il muso dell’aereo, per diminuire con dolcezza la velocità fino a che le ruote del carrello principale toccano la pista. Impostata la flare, il pilota deve portare le due manette dei motori in posizione IDLE. Quando le ruote sono stabilmente a terra, egli deve disporre entrambe le manette in posizione reverse. Il manuale dell’Airbus 320 esige questa manovra anche in presenza di reverse bloccato. Col reverse impostato ed il carrello a terra, gli spoilers si aprono e, qualche secondo dopo, entra in funzione l’auto-brake.
Torniamo a bordo del volo JJ3054. Il comandante Lima ha iniziato la flare. Porta indietro le manette. Quella del motore di sinistra viene posizionata, correttamente, su IDLE. Quella di destra, inspiegabilmente e sfortunatamente, è fermata nella posizione immediatamente precedente: CL, cioè climb. La scatola nera confermerà che rimarrà sempre in tale posizione, fino all’impatto finale contro il terminal merci dell’Avenida Washington Luìs. Con le ruote a terra, Lima muove ancora la manetta di sinistra e la porta in reverse, come è necessario. Non tocca quella di destra: evidentemente, è convinto sia su posizione IDLE. Sia pure contraddicendo il manuale di volo, è possibile atterrare anche così: il motore di destra ha il reverse bloccato, ma con la manetta su IDLE non c’è spinta. Lima è atterrato così, tre ore prima, a Porto Alegre. Senza problemi. Ma qui i problemi nascono subito: gli spoilers non si aprono, e l’auto-brake non entra in funzione. Passano una decina di secondi. La velocità, 276 km/h, non accenna a diminuire.
Ha inizio una breve ed impari lotta. Lima ed il suo copilota premono disperatamente sui freni. Passano altri cinque secondi, cruciali: la velocità diminuisce un poco, ma non abbastanza. E non può diminuire. Forse il comandante Lima pensa ad un fenomeno di acqua planning. Di certo sta atterrando, inconsapevolmente, nelle peggiori condizioni possibili: il motore di destra aumenta la potenza, perché la posizione CL così gli comanda di fare: climb, salita. Serve potenza, il motore la fornisce, l’aereo tende ad accelerare. Quello di sinistra ha il reverse inserito, dunque ha un effetto frenante, che si somma a quello dei freni. Ma con un motore che spinge, e l’altro che frena, l’uscita di pista, causa l’asimmetria, è inevitabile. L’aereo devia a sinistra, entra nel prato, travolge alcune costruzioni, salta la Washington Luìs, piomba sullo sfortunato Thiago Domingos da Silva, fermo con il suo taxi al distributore dell’Ipiranga, e finisce la sua corsa contro il terminal merci della stessa TAM. Il cockpit voice recorder, prima di cessare di funzionare, registra due suoni: una specie di tumf. Ed una esplosione.
Come sempre, altre cause si sommano a quella descritta, per spiegare l’evento tragico. Facciamo a meno di citarle, perché il racconto di questa tragedia, e di altre similari, pone di certo un interrogativo fondamentale.
E’ saggio affidare un così elevato potere decisionale alle macchine, tale da sostituirsi a quello dell’uomo in momenti cruciali, come quelli vissuti da Lima e dai suoi 186 compagni di sventura? Non è facile rispondere. Se, come è dimostrato, l’uomo è causa di tanti incidenti, l’automazione, quando non funziona, fornisce una statistica di incidenti provocati dal suo malfunzionamento. Non esiste la statistica opponibile: perché non è possibile eseguire un conteggio di eventi non accaduti, cioè di mancati disastri che avrebbero avuto come responsabile l’uomo, ma che non sono accaduti perché l’automatismo ha funzionato bene. Ci sono statistiche del tipo tante vittime per milione di passeggeri trasportati e per km. Ma sono una sorta di indice generale della sicurezza del volo: dentro, ci sono tutte le cause che concorrono a migliorarla, comprese il buon funzionamento dei meccanismi automatici, ed il mancato effetto negativo causato dagli errori umani.
La tragedia si poteva evitare? A posteriori, si può rispondere con certezza: sì. Intanto, non sarebbe accaduta se quella manetta di destra si fosse fermata su IDLE, invece che su Climb. Forse il comandante Lima, fosse stato più reattivo, visto che non riusciva a fermare l’aereo, avrebbe potuto provare a ridecollare, riportando le manette su CL o su TOGA. Aveva, nei primi secondi, pista e velocità sufficienti per farlo. Ma dieci dei quaranta secondi circa che il suo 320 ha impiegato a percorrere la traiettoria dal punto di toccata al terminal merci gli sono stati sottratti dall’automatismo spoiler/auto-brake. Ed altri dieci li ha usati per cercare di frenare l’aereo premendo alla disperata sui freni.
Come vedete, stiamo ancora parlando dell’uomo. Nel primo caso, di un suo errore con la manetta. Nel secondo, di margini che si sono assottigliati a causa dei tempi necessari ad un automatismo per palesare il suo non funzionamento. E parliamo di una sua diminuita reattività (riportata nel report dell’incidente come concausa). E’ un fatto che l’essere umano si affida sempre più, pigramente, alla macchina. Il vero pericolo è proprio questo: l’assuefazione.
Mario Giardini
[...] Link fonte: Uomini o macchine? [...]
Bella domanda! Nel caso dell’aereo, non doveva atterrare su una pista corta, a quanto pare, visto che parte dell’automatismo di un motore era non funzionante. Ma qui interviene l’uomo: se bisogna risparmiare, a che serve avere gli automatismi?
È sempre la stessa storia, chiunque abbia a che fare con i sistemi operativi la conosce. Puoi realizzare un sistema quasi perfetto che, di fronte ad una serie di eventi, sappia reagire prima e meglio di un uomo.
Avrai previsto il numero maggiore di ipotesi ma non puoi prevederle tutte e, sopratutto, non puoi prevedere il sabotaggio.L’uomo è fatto apposta per mandare le cose in vacca, non fa che sabotare le proprie buone intenzioni ed è questo che ha fatto il PIC al sistema del suo 320, ha inserito una variabile impossibile da gestire: la manetta su CL.
La differenza tra l’uomo e il sistema è che l’uomo ha avuto migliaia di anni per correggersi e farsi venire dei dubbi, potremmo dire che è ormai impostato per ripensarci. Il sistema è strutturalmente certo dei suoi dati e non si correggerà mai, fa il suo lavoro con scrupolo, ammazzando il tassista e anche tutti gli altri.
Datemi un bel sistema a lancette, dove posso vedere la spinta di quel motore isolandola dal resto, guardando solo quel valore sul suo strumento. E non una schermata che si aggiorna continuamente, e continua a mostrarmi ciò che crede più rilevante in quel momento, mentre una calda voce di ragazza mi fornisce milioni di dati, dicendomi gear up-gear down…. terrain-terrain…..too high-too low….too fast-too slow…all’infinito, rincoglionendo i pochi neuroni rimasti attivi.
I videogiochi vanno bene nella testa degli esperti del marketing e, non guasta, anche nelle tasche degli azionisti, perchè costano poco. E se ogni tanto un aereo, con i freni in perfetta efficienza, si rifiuta di frenare è solo un dato statistico, ogni tot ore c’è un incidente.
Il rischio zero non esiste e non ci possiamo far nulla, ci penseranno le compagnie di assicurazione.
ps: ciao Mario e grazie per l’articolo, mi scuso per il pistolotto e anche per non aver visto i tuoi saluti che ricambio caldamente. Ultimamente non leggo molto e non scrivo nulla,
Interessante articolo. A me pare, tuttavia, che il sistema abbia funzionato come programmato…dal pilota. Nel senso che senza l’errore di posizionamento della manetta su CL tutta la sequenza di mancati funzionamenti sarebbe stata evitata e l’aereo si sarebbe fermato.
Il report sull’incidente è disponibile?
Hai ragione Giancarlo, il sistema ha funzionato alla perfezione. Tu metti la manetta in climb e l’aereo accelera e tenta di salire.
Tutto ha funzionato e, in ragione di questo, sono morte 200 persone, il parere che tentavo di esprimere è che bisognerebbe riconsiderare la roba che non funziona…hai visto mai che ne muoiano un po’ meno?
Rifletti sul fatto che un aereo con i freni in efficienza si rifiuti di frenare, o sul fatto che degli slats senza un problema si rifiutino di estrarsi…..e che tutto questo discenda dal perfetto funzionamento del sistema.
Meglio nessun sistema, dammi retta. Io preferisco quel casino che nessuno ha ancora mai compreso, ingovernabile e ingestibile: il cervello umano. Solo che non fa risparmiare soldi, l’elettronica ha costi di gestione più bassi e conviene usare quella.
Lo facciamo ormai da tanto, tanto che i piloti hanno praticamente smesso di pilotare, sono diventati operatori e si limitano a “gestire” i sistemi e vanno nei casini quando c’è un’emergenza.
Il report è reperibile qui http://www.cenipa.aer.mil.br/cenipa/paginas/relatorios/pdf/3054ing.pdf
Quel che dice Giancarlo è vero.
Ma un punto fondamentale è quello segnalato da John: “L’uomo è fatto apposta per mandare le cose in vacca, non fa che sabotare le proprie buone intenzioni ed è questo che ha fatto il PIC al sistema del suo 320, ha inserito una variabile impossibile da gestire: la manetta su CL”.
Va detto, per completezza, che il report riporta le considerazioni fatte dal BEA francese, invitata a far parte della commissione di inchiesta, BEA che, ovviamente, tende a salvare per quanto possibile l’aeroplano (francese), trasferendo quanto si può della responsabilità dell’accaduto alla compagnia aerea e ai piloti.
Tuttavia è difficile negare un certo grado di ragionevolezza alle obiezioni fatte:
“The report indicates on pages 66 and 67 that the complexity of the A320’s automation is such that
pilots do not always know how systems work. This automation could thus have led indirectly to the
accident (page 81).
The BEA does not share this point of view for the following reasons:
- automation is an inevitable evolution that allows improvements in safety by reducing the crew’s workload, which is corroborated by in service experience,
- this evolution was the subject of tests and certification worldwide. It has been followed by all
of the major manufacturers (Boeing, Embraer etc.) and is not a characteristic specific to the
A320. Any possible recommendations in this area would thus concern the whole of the
aviation industry,
- the extension of the ground spoilers is dependant on the positioning of the thrust levers on
IDLE in order to avoid any such maneuvers in flight. This robust logic is that used on the
majority of modern transport airplanes. It is simple and cannot be unknown to pilots,
-the report clearly indicates the stressful state that the two pilots found themselves in. It thus
appears that their inability to understand the non-deceleration of the airplane was due to their
anxiety on the state of the runway and not to an excess of automation on the A320,
- the link between the error in the positioning of the thrust levers and the «non moving throttle
levers» design remains doubtful since comparable events have occurred in the world on
airplanes equipped with «moving throttle levers».
Il problema fondamentale, a mio modesto parere, è come adattare e mantenere l’uomo vigile e padrone di una evoluzione sempre più rapida degli aerei, degli automatismi e del loro parallelo incremento di complessità. Amici piloti professionisti mi hanno detto più di una volta che nel software dell’Airbus c’è troppa ingegneria e troppo poco pilotaggio.
Non so se il giudizio sia corretto. Tuttavia ritengo che non sia questo il punto. O, per lo meno, che non sia il solo punto a considerarsi.
John propende per un drastico ridimensionamento dei compiti affidati alla macchina. Penso che ciò sia impossibile. E penso che, tutto considerato, non sia neanche un bene.
Nel caso del JJ3054 la pista era lunga 1880 metri. Considerando che il touch down è avvenuto dei primi 300 metri e che la velocità al momento era di 276 km/h (ridotta in parte dalla frenata), il rimanente della pista, in tutto 1580 m, si percorre in circa 22-25 secondi. 22-25 secondi per decidere cosa fare e farlo.Sono molto ma molto pochi.
Trovato il report. Grazie.
Grazie del link e, onestamente, la stupidità deil sistema intelligente a me sembra indifendibile. In fondo a pag. 74:
The non-deflection of the ground spoilers significantly degrades the aircraft braking
capability, increasing the distance necessary for a full stop of the airplane by about 50%,
according to data provided by the manufacturer.
As in a cascade effect, the autobrake function, although armed, was not activated,
because the opening of the ground spoilers is a prerequisite for such activation.
Thus, after the landing, there was neither deflection of the ground spoilers, nor
activation of the autobrake.
Ora, con un sistema stupido e una manetta “normale” il pilota avrebbe estratto i freni aereodinamici, usato il reverse funzionante e frenato normalmente con le ruote, pur avendo un motore leggermente accelerato per un centimetro di manetta fuori posto. Ci sono dubbi su questo?
Si sarebbe fermato in tempo? Sono portato a pensare che sì, avrebbe potuto fermarlo, ma anche in caso contrario non avrebbe conservato tutta quella velocità residua dopo un km e mezzo di pista.
E ora vi rassicuro perchè non credo di poter aggiungere altro
John, quel che dici su questo caso è senz’altro vero. E risponde alla saggia regola che quel che a bordo non c’è non può rompersi. Dunque più roba c’è, più roba si rompe o può funzionar male.
Ma non è detto che la conclusione generale che ne trai sia corretta.
Installare questi sistemi automatici a bordo significa accettare che a) possano non funzionare perché alcune situazioni sono imprevedibili a tavolino e dunque il sw non è in grado di risolvere il problema b) possano non funzionare perché l’uomo (come in questo caso) commette un errore e ne impedisce il corretto funzionamento c) possano non funzionale perché un qualche componente hw essenziale si guasta.
Non è possibile ridurre a zero a,b,c.
Quindi avremo sempre a che fare con un sistema “intelligente” che, talvolta, si comporta da stupido.
In tale circostanza (caso del 320 TAM) potremo sempre argomentare che un sistema “stupido” sarebbe stato meglio di uno “intelligente” (anche se manca la prova provata: non è detto che il comandante Lima non sbagliasse quell’atterraggio).
Tuttavia il singolo caso non fa statistica, che è ciò che conta.
La conclusione generale non è che i sistemi “intelligenti” non vanno montati sugli aerei. Contiamo tutti gli a,b,c; sommiamo, vediamo quanti incidenti, quanti morti e cerchiamo di capire se sono di meno o di più di quanti ce ne sarebbero provocati da errori umani compiuti con sistemi meno automatizzati.
Sono di più o di meno? La conclusione generale (automazione sì, automazione no) dipende dalla risposta a questa domanda.
Io credo che una risposta precisa, scientifica, matematica sia impossibile da dare. A causa dei mille altri parametri che entrano in gioco. Ma tendo a pensare però che, in cieli e aeroporti sempre più affollati, con macchine sempre più grandi, veloci e complesse, con pressioni sempre maggiori del mercato (che esige sempre maggiore puntualità e costi sempre minori) l’errore umano farebbe più danni di quanti ne fa quello delle macchine.
Su b) si può e si deve lavorare, si capisce: c’è una costante, e preoccupante, diminuzione dell’airmanship degli equipaggi. Ma questa non è, o non dovrebbe essere, almeno in linea di principio, una conseguenza inevitabile dell’automazione.
Mario, è un tale piacere parlare con te che vi ammorberò di nuovo…
Qui non si tratta di non mettere a bordo roba che poi si rompe, qui ha funzionato tutto e quel pc ha fatto esattamente ciò che doveva. È questo il problema ma hai ragione, non parliamo del caso specifico che è un po’ estremo.
La questione sono i soldi, gli equipaggi non pilotano più le macchine, è tutto qui. I passaggi macchina si fanno al simulatore,e di passaggio in passaggio un pilota invecchia senza aver aver mai compreso davvero le caratteristiche delle macchine su cui opera. È tutta gestione dei sistemi e, quando per disgrazia il sistema si confonde, il PIC non ha idea e/o non può far nulla perchè impedito da un sistema ammattito.
Io non sono così passatista da pensare che si tornerà alle lancette, mi accontenterei che la macchina non prendesse decisioni ma si limitasse ad eseguirle. Attivo l’autobrake? E quello frena perchè è fatto prima per frenare e poi per pensare. Anche se la manetta è un cm più in su quello frena e io mi fermo.
Nell’era delle macchine stupide se trovavi un tronco o un sasso in pista durante la corsa di decollo, potevi tirare lo stesso salvando almeno il ruotino e, con quello, probabilmente l’aereo.
Ora, anche se tiri come un matto, il furbacchione ci pensa un po’ su e, visto che non potresti comunque alzarti, ignora il comando. È questo che intendo, non che succeda spesso, ma è la filosofia che è sbagliata.
Per me è una cosa contro natura e dovrebbero intanto smetterla di chiamarli comandanti. Che cavolo comandano, l’orario di distribuzione delle bibite? L’aereo no di sicuro.