di Mario Giardini
Mancano pochi minuti alle sette di sera del diciassette luglio 2007. Thiago Domingos da Silva sta percorrendo, a Sao Paulo, l’avenida Washington Luís, una grande arteria a sei corsie, cui, in quel punto, si aggiungono le quattro della Via Acesso do Aeroporto di Congonhas. Ha bisogno di benzina. Ferma perciò il suo taxi nel distributore della Ipiranga, proprio di fronte al terminal merci della TAM, in prossimità, settanta metri circa, della testata 17R dell’aeroporto.
In quello stesso momento, il comandante Kleyber Lima, 54 anni, 13600 ore di volo, ed il suo co-pilota, Henrique Stefanini di Sacco, 52 anni, 14700, sono in finale sulla testata 35L, ai comandi di un Airbus 320, volo TAM JJ3054, marche PR-MBK, in servizio da Porto Alegre a Congonhas. Sulla frequenza 127.15, ricevono le informazioni di prassi dalla torre di controllo. Direzione e intensità del vento, pista in uso, stato della medesima (“bagnata e scivolosa – molhada e escorregadia”) e l’autorizzazione per l’atterraggio.
Lima ha a bordo 181 passeggeri e altri cinque membri di equipaggio. Pilota un aereo che da quattro giorni vola con il reverse (invertitore di spinta) del motore di destra bloccato, perché guasto (misura di sicurezza adottata per impedirne l’apertura in volo, cosa che avrebbe conseguenze catastrofiche). Inoltre ha imbarcato circa 2400 Kg di combustibile più del necessario, seguendo le istruzioni della compagnia. La ragione è che a Porto Alegre, Stato di Rio Grande do Sul, l’Iva è inferiore a quella che si deve pagare a Sao Paulo: ha fatto quel che in gergo si chiama “rifornimento economico”.
Il peso dell’aereo è però nei limiti previsti dal manuale di volo del costruttore. Lo stesso manuale concede (assai discutibilmente, per non dire incomprensibilmente) 10 giorni all’operatore per riparare il guasto al reverse. La pista è bagnata, ma aperta al traffico. Il comandante Lima è preoccupato, ma non ha un motivo “difendibile” per interrompere l’atterraggio e alternare su Guarulhos. Alle 18.54 le ruote dell’Airbus toccano terra nei limiti accettabili per quella pista lunga solo 1880 m: entro trecento metri dalla testata. La velocità in questo momento è, secondo quanto registrato dalla scatola nera, 276 km/h.
Ma qualcosa va storto: l’aereo non riesce a fermarsi. In prossimità dell’altra testata, esce di pista sulla sinistra, abbatte alcune costruzioni minori in cemento armato, scavalca l’Avenida Washington Luìs e piomba sul distributore ad una velocità di 178 km/h, uccidendo all’istante Thiago da Silva. Proseguendo nella sua corsa, colpisce in pieno il terminal della TAM. L’impatto è terrificante. L’incendio che segue immediatamente richiederà oltre 24 ore di sforzi per essere domato. Muoiono sul colpo tutti i passeggeri, i membri dell’equipaggio, e dodici persone che, come lo sfortunato Thiago, si trovano nel posto sbagliato nel giorno sbagliato e nel momento sbagliato. Il direttore responsabile per le merci della TAM, presente nell’edificio, morirà due giorni dopo. In totale, le vittime saranno 200. E’ il peggior disastro aereo mai accaduto in Brasile. L’aereo che segue il volo TAM JJ3054, un 737 della GOL, è costretto ad una riattaccata precipitosa. Si allontana dalla scena infernale come un animale spaventato. Che cosa è accaduto?
Facciamo un passo indietro. L’aumento delle dimensioni e velocità degli aerei; la necessità di compiere lunghi voli ad alta quota mantenendo il corretto assetto per molte ore; il fatto che in tali condizioni la differenza tra velocità di crociera e di stallo è piccola; l’affollamento di cieli ed aeroporti con il conseguente aumento di rischio di collisioni in volo o a terra; il costo delle macchine (un jumbo jet può costare anche 400 milioni di dollari); la complessità dei dispositivi a bordo; l’alto numero di vittime in caso di incidente; la disponibilità di computers sempre più affidabili e veloci; i servo meccanismi sempre più perfezionati…tutto, negli ultimi decenni, ha spinto i fabbricanti (che ormai sono solo due per gli aerei medi e grandi: Boeing e Airbus, con un terzo, Embraer, che detiene il primato nel segmento dei regional jets) ad automatizzare molte delle procedure una volta eseguite dai piloti.
Salire su un Boeing o su un Airbus significa però salire a bordo di due aerei dove la filosofia di base è diversa. Senza entrare nei dettagli, si può affermare che su un Boeing, in ultima istanza, è il pilota che decide. Mentre nel caso dell’Airbus è la macchina, cioè il computer. Entrambe le filosofie partono da un principio: nella catena degli eventi che porta ad un disastro aereo, quasi sempre l’anello debole è l’uomo.
Se dunque è l’uomo che sbaglia, perché non sostituirlo nel maggior numero possibile di casi pratici, cioè di attività da fare a bordo? Questa è dunque la filosofia dell’Airbus. Il 320 è un aereo altamente automatizzato. In particolare, monta un automatismo detto di auto-thrust, cioè di comando computerizzato della spinta dei motori, che sono due, e sono sistemati in gondole sotto le ali. Quindi se il pilota vuol salire, deve portare entrambe le manette dei motori su una delle cinque possibili posizioni, detta CL (climb). Può anche scegliere la posizione TOGA , ma trascuriamo questo dettaglio per non appesantire la narrazione.
A questo punto, è il computer che, analizzati assetto, peso, velocità ed altri parametri, si incarica di “dosare” la potenza dei motori. Potenza che una volta era in parte stimabile dalla posizione delle manette: tutta giù, potenza minima, tutta su, potenza massima. Posizioni intermedie indicano, ovviamente, potenze intermedie. Nel 320 le manette, una volta posizionate, non si muovono. Quindi il pilota ignora quanta potenza i motori stiano erogando in quel momento, perché non ha una indicazione diretta della stessa. Le altre posizioni sono: TOGA (take off/go around); FLX/MCT (flex take off, maximum continuous thrust), IDLE (zero thrust) e REV (reverse). Queste posizioni sono molto ravvicinate fra di loro: 45° TOGA, 35° FLX/MCT, 25° CL, 0° IDLE e -20° REV. Ai fini del nostro racconto, sono tre le posizioni che ci interessano: CL, IDLE, e REV.
Per facilitarne l’arresto durante l’atterraggio, l’aereo è dotato di due altri dispositivi: gli spoilers (cioè freni aerodinamici) che si aprono automaticamente, e l’auto-brake, cioè un sistema automatico di frenata, che agisce, ovviamente, sui freni a disco posizionati nelle ruote del carrello di atterraggio. Alla frenata contribuisce in maniera determinante anche il Reverse, cioè l’inversione della direzione della spinta dei motori. Come detto, il reverse del motore destro dell’A 320 TAM era bloccato perché guasto.
Due altre cose vanno dette per comprendere il contesto in cui è maturato l’incidente del volo JJ3054. La prima: anche con i reverse non funzionanti e gli spoilers non azionati, se l’aereo tocca terra nel primo terzo di pista, i freni, azionati dai piloti, sono sufficienti a fermare in sicurezza l’aereo. Nel caso del 320 della TAM, i 1880 m della 35L di Congonhas erano del tutto sufficienti. La seconda: nel 320 gli spoilers si aprono automaticamente se e solo se, tutte le ruote del carrello principale sono a terra e la manetta di almeno un motore è in posizione reverse. Solo dopo l’apertura degli spoilers parte l’auto-brake.
Compiuta la fase finale del volo, durante la quale l’assetto è quello tipico di un aereo in discesa, raggiunta la testata pista si esegue quella manovra detta flare, che consiste nell’alzare leggermente il muso dell’aereo, per diminuire con dolcezza la velocità fino a che le ruote del carrello principale toccano la pista. Impostata la flare, il pilota deve portare le due manette dei motori in posizione IDLE. Quando le ruote sono stabilmente a terra, egli deve disporre entrambe le manette in posizione reverse. Il manuale dell’Airbus 320 esige questa manovra anche in presenza di reverse bloccato. Col reverse impostato ed il carrello a terra, gli spoilers si aprono e, qualche secondo dopo, entra in funzione l’auto-brake.
Torniamo a bordo del volo JJ3054. Il comandante Lima ha iniziato la flare. Porta indietro le manette. Quella del motore di sinistra viene posizionata, correttamente, su IDLE. Quella di destra, inspiegabilmente e sfortunatamente, è fermata nella posizione immediatamente precedente: CL, cioè climb. La scatola nera confermerà che rimarrà sempre in tale posizione, fino all’impatto finale contro il terminal merci dell’Avenida Washington Luìs. Con le ruote a terra, Lima muove ancora la manetta di sinistra e la porta in reverse, come è necessario. Non tocca quella di destra: evidentemente, è convinto sia su posizione IDLE. Sia pure contraddicendo il manuale di volo, è possibile atterrare anche così: il motore di destra ha il reverse bloccato, ma con la manetta su IDLE non c’è spinta. Lima è atterrato così, tre ore prima, a Porto Alegre. Senza problemi. Ma qui i problemi nascono subito: gli spoilers non si aprono, e l’auto-brake non entra in funzione. Passano una decina di secondi. La velocità, 276 km/h, non accenna a diminuire.
Ha inizio una breve ed impari lotta. Lima ed il suo copilota premono disperatamente sui freni. Passano altri cinque secondi, cruciali: la velocità diminuisce un poco, ma non abbastanza. E non può diminuire. Forse il comandante Lima pensa ad un fenomeno di acqua planning. Di certo sta atterrando, inconsapevolmente, nelle peggiori condizioni possibili: il motore di destra aumenta la potenza, perché la posizione CL così gli comanda di fare: climb, salita. Serve potenza, il motore la fornisce, l’aereo tende ad accelerare. Quello di sinistra ha il reverse inserito, dunque ha un effetto frenante, che si somma a quello dei freni. Ma con un motore che spinge, e l’altro che frena, l’uscita di pista, causa l’asimmetria, è inevitabile. L’aereo devia a sinistra, entra nel prato, travolge alcune costruzioni, salta la Washington Luìs, piomba sullo sfortunato Thiago Domingos da Silva, fermo con il suo taxi al distributore dell’Ipiranga, e finisce la sua corsa contro il terminal merci della stessa TAM. Il cockpit voice recorder, prima di cessare di funzionare, registra due suoni: una specie di tumf. Ed una esplosione.
Come sempre, altre cause si sommano a quella descritta, per spiegare l’evento tragico. Facciamo a meno di citarle, perché il racconto di questa tragedia, e di altre similari, pone di certo un interrogativo fondamentale.
E’ saggio affidare un così elevato potere decisionale alle macchine, tale da sostituirsi a quello dell’uomo in momenti cruciali, come quelli vissuti da Lima e dai suoi 186 compagni di sventura? Non è facile rispondere. Se, come è dimostrato, l’uomo è causa di tanti incidenti, l’automazione, quando non funziona, fornisce una statistica di incidenti provocati dal suo malfunzionamento. Non esiste la statistica opponibile: perché non è possibile eseguire un conteggio di eventi non accaduti, cioè di mancati disastri che avrebbero avuto come responsabile l’uomo, ma che non sono accaduti perché l’automatismo ha funzionato bene. Ci sono statistiche del tipo tante vittime per milione di passeggeri trasportati e per km. Ma sono una sorta di indice generale della sicurezza del volo: dentro, ci sono tutte le cause che concorrono a migliorarla, comprese il buon funzionamento dei meccanismi automatici, ed il mancato effetto negativo causato dagli errori umani.
La tragedia si poteva evitare? A posteriori, si può rispondere con certezza: sì. Intanto, non sarebbe accaduta se quella manetta di destra si fosse fermata su IDLE, invece che su Climb. Forse il comandante Lima, fosse stato più reattivo, visto che non riusciva a fermare l’aereo, avrebbe potuto provare a ridecollare, riportando le manette su CL o su TOGA. Aveva, nei primi secondi, pista e velocità sufficienti per farlo. Ma dieci dei quaranta secondi circa che il suo 320 ha impiegato a percorrere la traiettoria dal punto di toccata al terminal merci gli sono stati sottratti dall’automatismo spoiler/auto-brake. Ed altri dieci li ha usati per cercare di frenare l’aereo premendo alla disperata sui freni. Dopo, non c’era più tempo e pista sufficienti.
Come vedete, stiamo ancora parlando dell’uomo. Nel primo caso, di un suo errore con la manetta. Nel secondo, di margini che si sono assottigliati a causa dei tempi necessari ad un automatismo per palesare il suo non funzionamento. E parliamo di una sua diminuita reattività (riportata nel report dell’incidente come concausa). E’ un fatto che l’essere umano si affida sempre più, pigramente, alla macchina. Il vero pericolo è proprio questo: l’assuefazione ad essere sostituiti dal meccanismo automatico.
Commenti