Di Sergio Barlocchetti
I tragici incidenti dei voli Lion air 610 ed Ethiopian ET 302, entrambi accaduti a un Boeing 737 Max 8, stanno insegnando parecchio a chi intende imparare come possa il più grande costruttore del mondo per numero di aeroplani fare una catena di errori che l’eroe dell’Hudson Chelsey “Sully” Sullenberger, il pilota che ka salvato i suoi passeggeri e sé stesso ammarando nel fiume newyorkese con un Airbus, ha definito “Una grave caduta di credibilità”. E ha da insegnare molto anche a noi che voliamo con i droni.
Chi si occupa di mezzi unmanned ha la necessità di sapere che cosa accade a bordo del mezzo che sta pilotando e si arrabbia molto quando non capisce perché un evento indesiderato si sia manifestato. E questo indipendentemente se il pasticcio dipende dall’informatica oppure dalla fisica.
Sta di fatto che la gravità vince sempre, e con lei possiamo soltanto cercare di strappare un onesto pareggio. Proprio oggi che ci apprestiamo ad avere delle regole condivise sul volo BVLOS, notiamo una similitudine tra quanto pare sia accaduto a bordo dei Boeing dell’ultima generazione e i processi per far volare gli UAV oltre la nostra visuale.
Equipaggi ed errori gestionali a parte (lasciamo alle autorità aeronautiche l’indagine), come è stato possibile fare dei morti con aeromobili ultra controllati e collaudati, nonché certificati in quasi tutte le loro parti? Risposta: con una catena di eventi riconducibili al terribile “fattore umano”. Alcuni manager, accortisi che i tempi di presentazione sul mercato del nuovo aeroplano si stavano allungando, hanno deciso di “mettere una pezza” al comportamento inaccettabile del velivolo a causa del dei nuovi motori e della nuova posizione in cui sono stati montati. Un difetto che se non risolto avrebbe portato alla mancata certificazione del Max.
Pur di farcela contro l’entrata in servizio del concorrente Airbus 320 Neo, Boeing ha inventato lo Mcas (tralascio per pietà del lettore i concetti sul suo funzionamento), diciamo che si tratta di un sistema che avrebbe dovuto aiutare l’equipaggio a uscire da determinati comportamenti indesiderabili dell’aereo stesso.
Ma sempre a causa della corsa sul tempo, Boeing ha chiesto e ricevuto da FAA l’assenso ad autocertificare la pericolosità del sistema Mcas in caso di guasto, e gli analisti di Seattle hanno classificato un eventuale malfunzionamento dello stesso durante il volo come “pericoloso” e non come “catastrofico”.
La differenza, oltre che lessicale, significa in termini di progettazione che su un sistema la cui avaria è definita catastrofica bisogna sempre prevedere un doppio canale di provenienza dei dati sensibili sui quali il sistema stesso ragiona, mentre nella classe “pericoloso” un dato può provenire anche da una singola fonte. In questo caso l’indicatore di angolo d’attacco, uno dei tre consensi dell’Mcas insieme con i flap retratti e la velocità di almeno 200 nodi.
Dunque prima ancora di sapere la verità dalla decodifica dei registratori di bordo, pare proprio che abbiamo una certezza riguardante la filosofia progettuale usata da Boeing, che Sully ha definito lacunosa. Ora spostiamoci sui nostri mezzi APR e pensiamo al loro volo BVLOS. Siamo certi di aver ragionevolmente evitato quelli che in gergo si chiamano “Single Point Of Failure”?
Che siano connettori elettrici non bloccati, strutture mal dimensionate o segnali di comando e controllo, trasmettitori o ricevitori poco importa. Se vogliamo mandare un aggeggio per aria oltre la nostra visuale dobbiamo mettere sulla bilancia della sicurezza i potenziali sistemi il cui funzionamento sia catastrofico, pericoloso, azzardato o semplicemente latentemente instabile.
E soltanto dopo costruirli bene.
