Storia di un mancato incidente

“La terra lagrimosa diede vento,

che balenò una luce vermiglia

la qual mi vinse ciascun sentimento;

e caddi come l'uom cui sonno piglia”.

(Inf. Canto III)

In aviazione gli incidenti nascono dieci anni prima, accumulando una serie di falle di sistema che in un determinato giorno, combinandosi con azioni estemporanee, danno luogo all’evento incidentale.

Il famoso modello Swiss Cheese model di James Reason, psicologo dell’Università di Manchester, concettualizza la traiettoria dell’incidente come una freccia che passa attraverso delle fette di groviera che idealmente rappresentano le barriere difensive contro l’errore. Alcuni di questi buchi sono lì per molto tempo (falle latenti) e sono disseminate lungo tutta la filiera, comprendendo così tutti gli aspetti, da quelli legislativi a quelli normativi, da quelli regolamentari a quelli manageriali. A questi buchi si aggiungono poi le azioni sbagliate, gli errori e/o violazioni che fanno parte della cosiddetta “storia breve”, cioè quella che riguarda le ore immediatamente precedenti l’evento.

Ebbene, da quello che leggiamo oggi sui giornali, un aereo di ITA è stato intercettato da alcuni aerei militari francesi perché per più di un’ora non ha risposto alle comunicazioni radio del controllore del traffico aereo transalpino. Da ciò che è riportato dalle notizie di cronaca pare che abbia attraversato anche un’area particolare che era regolamentata mentre tutti e due i piloti si erano addormentati.

Stiamo parlando di un evento senza vittime, senza conseguenze gravi e di una lezione che ci può servire a livello collettivo per aumentare i livelli di sicurezza, quindi tratteremo questa vicenda per imparare e non per giudicare o colpevolizzare nessuno. Proprio perché è una lezione gratis, vuol dire che abbiamo l’opportunità di correre ai ripari prima che risucceda o che provochi danni ben più gravi.

Utilizziamo il modello di Reason e vediamo dove e come si sono allineate le falle sistemiche in modo da aggiustarle per tempo.

Partiamo dall’aspetto legislativo. L’industria aeronautica ha spinto fortemente sul legislatore per ridurre il numero dei piloti a bordo al fine di risparmiare sui costi del personale. Ovviamente, questo ha comportato un aggravio del carico di lavoro e della stanchezza risultante. Voli notturni, transoceanici, in equipaggio minimo, inducono turni massacranti con livelli di stanchezza inimmaginabili trent’anni fa. Invece che aumentare gli organici le organizzazioni che regolano il volo nel mondo e in Europa (EASA) hanno introdotto una misura di mitigazione della fatica operativa permettendo il “pilot napping”, cioè la possibilità di ricorrere a un breve pisolino per alleviare gli effetti della stanchezza.

Inoltre, l’interpretazione stessa delle norme considera i valori massimi di impiego consentiti come una sorta di asintoto al quale avvicinarsi e non come un limite di sicurezza dal quale stare lontani. Per inciso è caduto anche un altro discrimine tra ore programmabili e ore che si possono effettuare. Se il limite massimo di ore di volo è nove, è intuitivo pensare che se programmo nove ore e poi arrivato a destinazione a Mosca devo dirottare all’aeroporto alternato per maltempo, le ore effettive saranno almeno undici.

Ad ogni modo, oltre ai limiti di servizio eccessivi imposti a piloti che volano in equipaggio minimo, si rimane perplessi anche rispetto all’introduzione della procedura di napping, cioè di permettere ad un pilota ai comandi di potersi assopire rispettando una serie di precauzioni.

Ebbene, ciò che è indicato come misura di mitigazione dall’EASA, viene vietato dal nostro codice della navigazione, che all’art. 1119 recita: “Il componente dell’equipaggio della nave, del galleggiante o dell’aeromobile che durante il servizio attinente alla sicurezza della navigazione si addormenta, è punito con la reclusione fino a tre mesi ovvero con la multa fino a euro 206,00”.

In questi casi, la legislazione italiana ha la preminenza su quella europea, poiché sulle sanzioni penali i regolamenti europei non hanno priorità. Basti pensare al regolamento europeo 376/2014 sulla just culture (di cui si dovrebbe parlare proprio a proposito di questo evento) che inizia recitando: “Fatti salvi gli ordinamenti penali nazionali….”.

Ciò significa che quando ci troviamo di fronte a un evento previsto come reato, le regole europee tacciono. Allora, come possiamo accettare che sui voli delle compagnie italiane venga proposto ai piloti di addormentarsi a bordo? Molti piloti non hanno chiara la gerarchia delle fonti, né hanno una solida preparazione giuridica per cui si fidano di ciò che le loro organizzazioni di appartenenza dettano.

Quindi il problema numero uno è di eliminare questa ambiguità, armonizzando le fonti normative: o si introduce nell’ordinamento questa disposizione europea, depenalizzando il fatto, oppure si deve togliere la possibilità di permettere il “pilot napping” alle compagnie aeree.

Veniamo ora agli aspetti dell’ente regolatore, in Italia l’ENAC. Tranne in casi particolari, esso deve far rispettare le norme che calano dal livello europeo di EASA. Tuttavia, può concedere temporaneamente delle deroghe per particolari tipi di operazione. Nel caso in questione, il volo operava in deroga da dieci anni. Ora, se la deroga riguarda una fatto contingente, come una situazione di guerra che richiede di allungare il percorso, oppure durante la pandemia per andare a recuperare gli italiani all’estero o altre situazioni eccezionali, il tutto ha senso.

Quando invece la deroga è “temporaneamente definitiva” ci sono delle considerazioni ulteriori da fare, perché non possiamo di imperio governare la stanchezza che si accumula, soprattutto nel volo di ritorno da New York, quando si è in due, di notte e con il fuso orario sulle spalle, in una condizione di affaticamento difficilmente gestibile. È chiaro che se l’ente regolatore non riceve segnalazioni da parte delle compagnie o dei piloti che i livelli di stanchezza sono così elevati, potrebbe pensare che la situazione sia sotto controllo. In realtà solo chi vola sa di cosa si parla quando si vola di notte, con il maltempo, in mezzo all’Atlantico, in equipaggio minimo, essendo decollati alle 18 del pomeriggio italiane, dopo aver riposato poco e male in alberghi fuori mano senza le necessarie protezioni acustiche.

In questo modo si normalizza la devianza. Ciò che prima era un evento eccezionale diventa routine. D’altra parte, si fa sempre, si fa da tanto tempo e lo fanno tutti. Chi obietta che questo stato di cose è pericoloso viene tacitato come il rompicoglioni di turno, come il guastafeste o colui che è contro l’azienda. Non come colui che è a favore della safety.

Problema numero due: la deroga, che era temporaneamente definitiva, va revocata. Tanto più che se come appare dalle notizie del giornale, il Comandante è stato licenziato, è impensabile che egli possa fungere da unico capro espiatorio di tutta questa vicenda. Le cose non capitano perché solo uno sbaglia o commette involontariamente un errore, ma perché la filiera nel suo complesso ha disseminato di minacce il percorso all’interno del quale poi gli operatori di front-line si trovano a lavorare.

Veniamo al terzo punto, cioè il management. ITA è salita alla ribalta delle cronache già qualche mese fa, poco tempo dopo il suo esordio sulle scene del trasporto aereo italiano, per una vicenda sgradevole nei modi e nei toni. Un intero equipaggio ha rischiato il licenziamento perché durante un imbarco dei passeggeri a Palermo, una passeggera ha ritenuto di aver subito un disservizio. Non era una passeggera qualsiasi, ma una ex-dirigente della compagnia che ha pensato bene di scrivere al presidente, il quale non ci ha pensato due volte e ha convocato l’intero equipaggio (inclusi i due ignari piloti che durante l’imbarco hanno notoriamente altro da fare). Ne è scaturito anche un comunicato a tutti i dipendenti che andrebbe pubblicato come esempio di ciò che non bisogna scrivere per creare una corretta cultura della sicurezza.

Ora, in questo clima organizzativo, è pensabile che i piloti riportino a cuor leggero gli stati di affaticamento sperimentati in volo? Esiste un modulo Fatigue Report dove i piloti sono invitati a riportare se durante il volo la stanchezza ha raggiunto livelli tali da comportare un problema per la sicurezza. Quando fu introdotto, qualche anno fa, tutti notarono che era impostato male perché ci voleva un quarto d’ora per compilarlo, e inoltre quelli che si prendevano la briga di indirizzarlo agli enti preposti ricevevano una risposta standard che non risolveva il problema, ma rappresentava una sorta di “ricevuto”. Ovviamente, dopo un po’ di riporti di questo tipo, senza vedere alcuna contromisura adottata, le persone si arrendevano nella convinzione che il sistema fosse troppo resistente per poter essere modificato. Quindi, pochissimi “Fatigue report” che davano l’impressione a chi doveva gestire la sicurezza, che “No news, good news”. In realtà, si tratta di un semplice fenomeno denominato in psicologia “impotenza appresa”, traslata a livello organizzativo.

Problema numero tre: un clima organizzativo, così punitivo, raramente può venir a conoscenza di condizioni critiche di sicurezza; perché di questo parliamo. In queste condizioni, ogni evento sarà sempre un fulmine a ciel sereno, che può sempre risolversi, come in questo caso, licenziando il malcapitato di turno.

C’è un ulteriore problema a livello di middle management e riguarda a chi viene affidato il dipartimento sicurezza volo. Come si intuisce dalla stessa definizione per fare sicurezza volo occorre volare. Le ragioni sono molteplici. Anzitutto i piloti, da bravi nomadi, non sono persone che scrivono molto, ma si trasmettono oralmente le esperienze. Quindi, gran parte degli eventi minori si conoscono soltanto confrontandosi informalmente nei luoghi di incontro come hall degli alberghi, centro equipaggi, o nei pulmini dei trasporti interni agli aeroporti. In secondo luogo, solo chi vola può interiorizzare gli stati d’animo, le effettive condizioni di stanchezza che si provano, indipendentemente dalla conformità alla norma. In terzo luogo, esiste uno scarto ineliminabile tra il lavoro come immaginato e prescritto e il lavoro reale, come viene esperito nella pratica quotidiana. All’interno di questo interstizio si situano tutta una serie di deviazioni dalla norma, che rendono il lavoro effettivamente svolto differente, a volte molto differente, da ciò che è previsto.

Problema numero quattro: la sicurezza volo deve essere appannaggio di chi vola. Come succede nella stragrande maggioranza delle compagnie aeree mondiali, il responsabile sicurezza volo deve avere esperienza di volo, deve condividere la cosiddetta “conoscenza tacita” con i colleghi per due ordini di motivi: primo perché le informazioni ricevute sono filtrate dalla propria esperienza, che arricchisce il racconto di un safety report anche con le proiezioni dettate dal vissuto operativo. In secondo luogo, i piloti sono molto più portati a riferire su stati di pericolo del sistema se sanno di potersi fidare della persona a cui stanno riportando gli eventi. Se la persona non viene giudicata credibile, perché estranea al proprio mondo, difficilmente un operativo tenderà a condividere le proprie esperienze.

Veniamo ad un altro punto essenziale: l’addestramento. Abbiamo detto che non è permesso dalle norme effettuare un pisolino a bordo mentre si è ai comandi. Tuttavia, se le condizioni di affaticamento sono estreme meglio dormire in modo controllato (controlled rest) che in modo incontrollato. I piloti sono addestrati a fare questo pisolino controllato? La mia esperienza di Comandante con 35 anni di volo sulle spalle e la mia formazione come docente di fattore umano mi dicono di no.

In primo luogo, vanno analizzate le particolarità del volo di lungo raggio rispetto ad uno di medio raggio. Il Comandante era stato da poco abilitato ai voli di lungo raggio, avendo fatto pochissime tratte, ma durante l’addestramento aveva sempre operato con equipaggio “rinforzato”, poiché era presente a bordo sia un istruttore oppure un esaminatore. Il volo in questione era la seconda tratta su New York della propria carriera di Comandante di lungo raggio. Il Primo ufficiale era stato richiamato dalla cassa integrazione ad aprile, e benché avesse già volato sul lungo raggio, dopo il periodo della pandemia con voli rarefatti, poco allenamento sulle spalle, e pochi simulatori, era stato abilitato al volo di linea, dove aveva accumulato una notevole stanchezza. Consideriamo che quando un pilota effettua due voli di lungo raggio in un mese può considerarsi nella norma. Tre voli già aumentano molto il carico di lavoro. Quattro voli sono condizioni limite. Il Primo ufficiale nell’ultimo mese per via dei molti turni proprio sulla direttrice New York aveva accumulato quattro turni. Quindi era molto stanco, di quella stanchezza accumulata che non può essere smaltita con una semplice dormita.

Invece per quello che riguarda l’addestramento alla conoscenza delle performance psico-fisiche c’è da dire che quando andavo in servizio per un volo notturno mi sentivo rivolgere spessissimo, se non sempre, la domanda: Chi dorme prima, io o te? Quindi questa prassi era passata da strumento di mitigazione a fatto routinario. Non si percepiva più la sua funzione originaria.

Il sonno è uno dei fenomeni meno conosciuti della fisiologia umana, ma c’è un sostanziale accordo tra gli studiosi circa le quattro fasi del sonno e le due tipologie REM/non-REM. La normativa si basa proprio su queste caratteristiche del sonno poiché vuol dire che il pilota può chiudere brevemente gli occhi per pulire le tossine, dove un leggero tocco sulla spalla desta il membro di equipaggio che torna operativo in breve tempo. In questo modo non si entra nelle fasi di sonno profondo che invece comportano conseguenze deleterie per la sicurezza del volo, poiché il pilota può sperimentare la cosiddetta “Sleep inertia”, vale a dire l’inerzia del sonno, l’intorpidimento che può portare a successivi colpi di sonno.

Nella mia esperienza di Comandante ricordo che erano pochissimi i piloti che avevano ben chiaro in testa come funziona il sonno. Se alle tre di notte mi addormento per 15-20 minuti sono in fase uno, dove basta un semplice tocco sulla spalla e mi desto. Se invece mi addormento per un’ora sono in fase quattro, quella del sonno profondo, che comporta una notevole inerzia anche quando mi sono svegliato. Oltretutto, nei voli di lungo raggio alle cinque di mattina si accumulano quattro fenomeni che contribuiscono a ridurre le prestazioni dell’equipaggio: stanchezza, sonno, ciclo circadiano inferiore e fuso orario.

La stanchezza è dovuta alle vibrazioni, al rumore, allo stress, alle ore di volo accumulate. Il sonno è stato spiegato nelle sue linee fondamentali. Il ciclo circadiano inferiore è quello in cui la secrezione ormonale, la reattività, l’allerta è più bassa durante la giornata. Di solito si trova intorno alle sei di mattina. Il fuso orario è l’effetto del cambio di zona, e calcolando che da Roma a New York ci sono sei ore di differenza. Ciò vuol dire che quasi tutti gli orari relativi ai cosiddetti zeit-gebers, cioè gli indicatori del tempo su cui una persona si regola durante la giornata sono fuori fase. Per esemplificare, partendo da Roma alle 10 di mattina, dopo nove ore di volo si atterra alle 19, ma l’orologio dell’aeroporto segna le 13. Quindi, il pilota non va a dormire alle 14 perché si sveglierebbe nel mezzo della notte newyorchese. Allora allunga la giornata per andare a dormire almeno alle 21 locali, che però sono le tre di notte per il fisico. Stessa cosa quando deve ripartire, dopo una sosta di 24 ore. Gli effetti del fuso orario sono noti e non fanno bene alla sicurezza del volo, ma dato che è un elemento strutturale che non si può modificare, possiamo comunque approntare una strategia per mitigare gli effetti combinati di questi fattori, come ad esempio prevedere un equipaggio fatto di tre membri in modo da avere una risorsa in più. Cosa che fanno, tra l’altro, tutte le compagnie europee.

Ho più volte fatto notare come mancasse addestramento a riguardo, poiché notavo che le modalità di effettuazione di questa pratica (che dovrebbe essere considerata di emergenza) non erano aderenti alle disposizioni in materia. In definitiva, mancavano i razionali sui motivi e gli obiettivi che questa pratica implicava. Questi argomenti sono di pertinenza del dipartimento Fattore umano, che però non ha mai messo a disposizione dei piloti delle pubblicazioni prodotte internamente oppure anche copiate da manuali disponibili in commercio sul fattore umano. Probabilmente, sarebbero stati molto più chiari i razionali che si celano dietro questa procedura.  

Problema numero cinque: a livello addestrativo si deve ricominciare a diffondere i razionali che stanno alla base della gestione delle proprie risorse psicofisiche. È necessario coinvolgere persone di spessore che abbiano chiari i fondamenti dello human factor, perché a volte si nota una sorta di approssimazione nella preparazione teorica nelle persone che si avvicinano con spirito da neofita a questa disciplina. Per uno strano caso, poi l’azienda li mette a dirigere il dipartimento human factor.

L’altro campo di osservazione è a livello di equipaggio, intendendo l’insieme di Comandante, copilota, assistenti di volo.

Da quello che si legge il Comandante avrebbe dato disposizione di non chiamare in cabina di pilotaggio per non disturbare il riposo del pilota che stava appisolato. Gli assistenti di volo teoricamente ogni quindici-venti minuti dovrebbero contattare i piloti proprio per evitare che questi si addormentino ai comandi. Possibile che non abbiamo obiettato che la procedura prevedeva altro? Qui si apre uno scenario delicato perché proprio per l’insieme della cultura organizzativa di tipo punitivo (forse la vicenda dei bagagli all’imbarco sul volo di Palermo potrebbe aver lasciato qualche strascico nei dipendenti?) e di procedure non ben introiettate nei loro razionali, possono aver portato ad una osservanza acritica delle disposizioni del Comandante, qualora questi abbia veramente detto di non disturbare durante il riposo. Probabilmente si è trattato di un malinteso, un tranello della comunicazione che però evidenzia come i principi del Crew Resource Management non siano stati applicati secondo i dettami professionali. Se il Comandante avesse chiesto di portare mezzo litro di vino, l’Assistente di volo responsabile di cabina avrebbe eseguito senza discutere o avrebbe obiettato che ciò non è previsto, oltre che pericoloso?

Il copilota stesso si addormenta senza mettersi una sveglia, come se ci fosse mamma che ti deve destare per andare a scuola. Se sei ai comandi, sei responsabile della navigazione e della sicurezza ed è un preciso dovere quello di essere sempre allertato per qualsiasi cosa possa succedere. Poniamo il caso che il Comandante avesse subito un attacco cardiaco durante il napping del copilota; che cosa sarebbe successo? Probabilmente, si sarebbe creata una situazione in cui a sinistra era seduto un pilota incosciente e a destra uno addormentato nel periodo peggiore (definito circadian low). Tale situazione ricorda un caso accaduto qualche anno fa negli USA che con tutti e due i piloti addormentati sorvolò la destinazione, continuando per centinaia di miglia. Sempre che ci sia abbastanza carburante, altro tema che tratteremo in un’altra monografia.

Perdere il contatto radio per più di un’ora vuol dire anche percorrere più di ottocento chilometri, la distanza in linea d’aria tra Palermo e Milano. Fortuna ha voluto che nessun cumulonembo o zone di turbolenza significative si trovassero lungo la rotta.

Tra l’altro il primo soccorso al Comandante non lo avrebbe dato nessuno. Senza voler colpevolizzare nessuno, è evidente che questa prassi del pilot napping non sia stata compresa nelle sue sfumature legali, procedurali e fisiologiche a causa di un carente addestramento, di una cultura organizzativa patologica e di una sostanziale sottovalutazione dei livelli di rischio associati alla stanchezza.

Problema numero sei: a livello di gestione dell’equipaggio alcuni concetti non sono stati adeguatamente metabolizzati, quindi occorre lavorare sul teamwork per ottenere corretti rapporti tra leader e follower.

A livello di gestione di controllo del traffico aereo mi ha molto incuriosito il fatto che non ci sia stato modo di contattare l’equipaggio se non con chiamate VHF, cioè con la radio in frequenza. In Francia avvenne il disastro del volo Germanwings dove il pilota intenzionalmente si schiantò contro una montagna senza che fosse intercettato da nessun aereo militare, nonostante avesse attraversato tutti i livelli di volo fino a terra, in un tempo abbastanza lungo. Possibile che non ci sia stato un altro modo, come ad esempio una chiamata con il telefono satellitare di cui è provvisto un Airbus A-330?

Il fenomeno del Loss of Communication è abbastanza diffuso nel settore aereo, soprattutto nel controllo di traffico europeo. Non secondario nel fenomeno del loss of communication è anche il cambio di nominativo radio che da Alitalia xxx è passato a Itarrow xxx. Per chi ha passato trent’anni in volo abituato a sentirsi chiamare in un modo può darsi che la nuova terminologia in frequenza non abbia attivato quel flash che di solito i piloti hanno quando sentono nominare la propria compagnia nelle comunicazioni radio. Un profano che osservi due piloti in volo noterà sicuramente che essi conversano tranquillamente mentre in sottofondo c’è un notevole rumore fatto di comunicazioni tra ente di controllo del traffico aereo e piloti in volo. A un certo punto si sente il nominativo radio della compagnia e improvvisamente i due piloti si destano da una sorta di torpore per rispondere al controllore di volo. Può darsi che lo stato di affaticamento, unito alla scarsa dimestichezza con il nuovo nominativo radio non abbiano attivato quella soglia di attenzione che di solito i piloti hanno quando si sentono chiamare dal controllo del traffico aereo.

Problema numero sette: sarà il caso di adottare delle misure tecnologiche adeguate per evitare che un aereo perda il contatto radio per così tanto tempo? Nel Boeing B-777 se il pilota non tocca comandi, switches o effettua una chiamata radio per un tot minuti inizialmente c’è un primo alert, che si fa sempre più forte fino a rendere impossibile per i piloti non destarsi in caso di colpo di sonno

Oggi, il destino ci ha voluto fare un regalo in modo da cogliere una lezione gratuita che se sappiamo leggere tempestivamente e con gli strumenti giusti possiamo capitalizzare come patrimonio di esperienza valido per tutti.

Quello che fa riflettere è che di fronte a questo evento, ripeto fortunatamente senza conseguenze gravi, l’unico rimedio sia quello di licenziare il Comandante come unico capro espiatorio. Una cultura, si fa per dire, appartenente a cinquant’anni fa, priva dei rudimentali concetti di prevenzione che adotta il name and blame, cioè trova un responsabile e addossagli la colpa.

Storicamente, si è visto che ogniqualvolta si è adottato questo approccio alla sicurezza, il risultato è stato che la lezione gratuita, di cui non si è voluto cogliere il significato, è diventata più avanti una dura lezione di vita manifestandosi con un incidente di ben più gravi dimensioni.

Problema numero otto: licenziare il Comandante non solo è inutile, ma dannoso e non servirà a coprire il buco nel formaggio svizzero. Le organizzazioni che funzionano, intraprendono un percorso di addestramento affinché ciò non capiti. C’è molto da lavorare ma se le cose non si fanno con criterio arriveremo alla conclusione che Enrique Pineyro, Comandante della LAPA, una compagnia low cost argentina di venti anni fa, preconizzò osservando il livello di sicurezza dell’aerolinea. Per aver portato all’attenzione dei responsabili della sicurezza alcune incongruenze che per lui rappresentavano delle minacce serie, fu fatto oggetto di mobbing, fino ad essere licenziato.

Disse: “In queste condizioni un incidente non è prevedibile; è inevitabile”.

Circa sei mesi dopo, il 31 agosto 1999, un aereo della LAPA finì fuori pista durante un decollo causando il peggiore disastro aereo nella storia dell’Argentina.