È una mattina di festa all’aviosuperficie di Mulhouse-Habsheim: centinaia di appassionati affollano il piazzale erboso in occasione dell’airshow organizzato dall’aeroclub locale. Per mezzogiorno è previsto il passaggio di un ospite molto atteso: un gioiello volante dal potenziale di una rivoluzione dell’intero settore civile.
La folla ammutolisce, il brusio dell’intero spettacolo viene sovrastato dal caldo sibilo dei due turbofan CFM56-5A1. In testa alla pista 34R si palesa, prima un puntino luminoso, poi in tutta la sua maestosità, la silhouette del nuovissimo A320, il nuovo arrivato di casa Airbus.
Il carrello estratto corre rapido pochi metri sopra alla superficie. Il tricolore della livrea di Air France dipinto sulla deriva segue radente, salutando il pubblico in religiosa attesa. Il muso sollevato si staglia orgoglioso prestandosi impettito agli schiaffi della corrente. Il velivolo incede solenne attraversando la pista in uno spettacolare low-pass che parrebbe da manuale.
Un dettaglio, però, inizia a mostrarsi sinistro: il volo continua a mantenersi perfettamente livellato nonostante ormai l’aereo sia a ridosso della soglia. Si sentono i motori tentare un ultimo ruggito mentre il piano di coda inizia già a tranciare le prime chiome ma ormai è tutto inutile: il volo AF296Q sparisce inghiottito dal bosco poco più avanti, sollevandosi in una palla di fumo e fiamme.
L’evento
Il 26 giugno 1988, l’Air France A320 F-GFKC viene impiegato per una serie di operazioni charter per conto dell’aeroclub di Mulhouse in occasione di un airshow organizzato dallo stesso. Il programma include il trasferimento sull’aeroporto di Basilea-Mulhouse da Parigi-Charles de Gaulle, due voli dimostrativi con passeggeri da Basilea (l’atterraggio era previsto nello stesso aeroporto) e il volo di rientro verso Parigi. Su richiesta dell’aeroclub, l’aereo avrebbe sorvolato l’aerodromo di Mulhouse-Habsheim durante entrambi i circuiti.
Il velivolo è un Airbus A320-111, aeroplano di medie dimensioni a singolo corridoio, l’ultimo modello realizzato dal colosso di Tolosa. A bordo non viaggiano però solamente l’equipaggio e i 130 passeggeri che hanno avuto l’occasione di assistere alla dimostrazione dall’interno, ma anche un concentrato di tecnologia senza precedenti: il rivoluzionario sistema fly-by-wire, che per la prima volta su un aereo commerciale sostituisce i tradizionali comandi meccanici con un controllo elettronico digitale che garantisce la protezione dell’inviluppo di volo, rappresentando un enorme balzo evolutivo nella safety aeronautica e nella concezione stessa della conduzione di un aeromobile. L’A320 si presenta come un ottimo candidato per il rinnovo delle flotte di tutta Europa con un velivolo di generazione nettamente più avanzata e infatti, al momento dell’airshow, Airbus conta già più di 500 ordini d’acquisto.
Il comandante del volo è il Capitano Michel Asseline, 44 anni, pilota esperto con una carriera di 19 anni e più di diecimila ore di volo sull’intera flotta di Air France alle spalle. Di queste, 138 sono proprio sull’A320 del quale è a capo della divisione di addestramento per conto della compagnia.
Anche il Primo Ufficiale, Pierre Mazieres, è un pilota veterano, Capitano da 8 anni e istruttore da 6, diecimila ore volate di cui 44 sul 320.
Entrambi vantano una carriera immacolata, non essendo mai stati coinvolti in incidenti precedentemente.
Il volo iniziale da Parigi a Basilea si svolge senza problemi. Dopo una breve sosta, l’aereo decolla poco prima delle 12:30 per il primo circuito. La partecipazione all’airshow prevede un sorvolo di una delle piste di Habsheim a un’altitudine di 100 piedi (contro i 170 minimi prescritti dalla normativa, dettaglio che Air France aveva trascurato più di venti volte negli anni precedenti, diventando norma operativa ufficiosa) con flap estesi a 3, carrello estratto ed esecuzione di un low pass, ovvero un passaggio svolto mantenendo la minima velocità in grado di permettere un volo livellato senza che l’angolo di attacco superi il massimo consentito dalle leggi di controllo del fly-by-wire.
Durante l’avvicinamento, la discesa avviene con una velocità verticale di 600 piedi al minuto e l’aerodromo, che nessuno dei due piloti conosceva, è identificato correttamente a soli 450 piedi dal suolo e 5 miglia nautiche e mezzo di distanza – uno spazio insufficiente per svolgere la manovra dolcemente e in sicurezza. Viene allora deciso dal Comandante di sorvolare la pista 34R ma, contravvenendo alle regole operative del CRM (Crew Resource Management), non notifica il primo Ufficiale della cosa.
A 100 piedi dal terreno, il radioaltimetro annuncia il passaggio della quota con un segnale vocale, ripetuto poi dal copilota. Il capitano non reagisce né all’uno, né all’altro e continua la conduzione del volo incurante. La velocità di discesa si mantiene costante sui 600 fpm e in 8 secondi l’aereo passa i 50 piedi. Raggiunta l’aviosuperficie, il velivolo inizia la manovra molto sotto alla quota stabilita, sfiorando la pista in volo quasi livellato a una decina di metri sopra di essa. I piloti sembrano non aver sentito le chiamate del GPWS, il sistema di avviso della prossimità al suolo, che avevano annunciato il raggiungimento progressivo di 50, 40 e infine 30 piedi.
L’aereo continua a decelerare. Sta procedendo a una velocità nettamente inferiore a quella operativa e, di conseguenza, l’angolo di prua si alza sempre più vicino al punto di stallo per massimizzare la portanza dell’ala e cercare di tenersi in aria. Questo fa sì che il volo 296Q sia ancora più frenato dalla resistenza aerodinamica e molto meno reattivo nel caso fosse necessario effettuare un go-around. Tutto ciò pare però non esistere all’interno della cabina di pilotaggio, dove le operazioni procedono come se fosse tutto perfettamente sotto controllo.
Asseline si accorge della foresta davanti a loro solo quando ormai mancano 5 secondi all’impatto e, scavalcando nuovamente il suo collega, da piena manetta e forza il joystick nel tentativo di effettuare una riattaccata all’ultimo. Il comandante aveva provato numerose volte questa manovra in addestramento ed era sempre rimasto esterrefatto dall’incredibile potenza che l’A320 poteva sviluppare quando veniva effettuata una riattaccata. Questa volta, però, l’aereo sembra non reagire e procede l’inesorabile avanzata verso le fronde, privato di qualsiasi riserva energetica, sia potenziale che cinetica.
I motori rispondono al comando, aumentando il regime dal 29% al 67% in quattro secondi e raggiungendo il 91% poco dopo. Tuttavia, è troppo tardi: la sezione posteriore della fusoliera è già entrata in contatto con gli alberi, aggiungendo ulteriore resistenza e impossibilitando ancora di più il velivolo nel suo tentativo di prendere quota. Foglie e rami iniziano a venire ingeriti in enormi quantità dai fan, ostruiscono i compressori e l’accesso alla camera di combustione, di fatto ingolfando completamente i propulsori. L’aereo non può che sprofondare lentamente nella foresta.
Ad aggravare il tutto, lo scontro con i trochi sfonda l’ala destra, lacerando il serbatoio di carburante e innescando immediatamente un incendio. Non appena la corsa trova un punto di arresto, la cabina viene invasa dalle fiamme nella sezione anteriore. L’evacuazione inizia tempestivamente ma, a causa delle fiamme, possono essere usate solo le porte sul lato sinistro. Il portellone anteriore non riesce ad aprirsi completamente a causa degli alberi ed è necessario l’intervento di due assistenti di volo e un passeggero, che viene poi sbalzato all’esterno a causa dello spalancamento improvviso della porta stessa. Sul segmento posteriore l’apertura riesce invece a svolgersi senza problemi e l’uscita dalla carcassa può procedere in un modo più rapido e ordinato. Entrambi gli scivoli d’emergenza riescono a gonfiarsi regolarmente, ma in poco tempo si perforano a causa dei rami spezzati, ferendo gli ultimi occupanti, costretti ad accatastarsi l’uno sull’altro non riuscendo ad allontanarsi in tempo.
Solo tre persone non riescono a mettersi in salvo: un ragazzo disabile che su richiesta della famiglia era stato fatto sedere in un sedile dal lato del finestrino, nonostante il posto assegnatogli si trovasse sul corridoio, una bambina rimasta incastrata tra lo schienale e la seduta e una donna asfissiata dal fumo mentre cercava di prestarle soccorso.
Sul posto accorrono i soccorsi, le autorità investigative e la stampa. Due domande dominano su tutte: come è possibile che un sistema progettato per garantire sicurezza assoluta, combinato con un equipaggio di tale esperienza, abbia condotto a una tragedia di tale portata? Chi era davvero ai comandi del volo Air France 296Q in quel momento fatale: l’uomo o il computer?
Il Sistema Fly-by-Wire
Prima di poter procedere con l’analisi dei dati delle scatole nere, gli investigatori hanno bisogno di comprendere a fondo la macchina che si trova di fronte a loro, specialmente l’innovativo sistema fly-by-wire (da qui indicato come FBW) e i suoi dettagli operazionali.
In un sistema di controllo FBW, i comandi impartiti dall’equipaggio non vengono trasmessi direttamente agli attuatori ma sono trasdotti in un segnale elettrico e ricevuti come input da un computer di volo. Quest’unità, integrando con i dati provenienti da migliaia di sensori presenti a bordo, determina l’assetto di volo e deflette le superfici di controllo in un modo consono e ottimizzato alla fase e alla configurazione in cui si trova, seguendo degli algoritmi denominati leggi di controllo e, di fatto, venendo a meno della relazione diretta tra movimento del comando e risposta dell’aereo. 
I vantaggi di questo approccio sono evidenti: il sistema consente un controllo più preciso dell’aeromobile, riducendo l’impatto dei disturbi esterni, come raffiche di vento o turbolenze, e assicurando il rispetto dei limiti strutturali e operativi imposti dal costruttore. Ciò non solo riduce il carico di lavoro del pilota, ma incrementa significativamente la sicurezza complessiva del sistema e contribuisce a un risparmio significativo in termini di peso e costi operativi.
La legge di controllo che un A320 segue durante la fase finale di approccio, fino al raggiungimento dei 50 piedi, viene chiamata C*. Questa impostazione opera in modo che il fattore di carico (rapporto tra portanza del velivolo e peso) rimanga attorno a 1, eseguendo manovre correttive atte a smorzare bruschi cambi nell’attitudine.
Nel caso in cui l’angolo d’attacco si avvicinasse al valore di 14.5°, la legge di controllo viene modificata in Alpha Protection e, invece di prendere in esame il fattore di carico o l’attitudine, usa l’assetto come parametro di controllo per evitare che l’incidenza raggiunga il valore limite 17.5° e quindi lo stallo aerodinamico nonostante eserciti massima forza sui comandi. Questa modalità ha massima priorità non può essere disattivata manualmente.
Come possiamo vedere, in nessuno dei due casi, viene esercitato controllo sulla manetta o si forza un profilo discendente. Il pilota mantiene piena libertà di azione sull’attitudine, potendo correggere l’assetto e riportare l’aereo in sicurezza anche a velocità molto basse, qualora fosse necessario.
Una terza legge, chiamata Alpha Floor, è progettata per attivare l’automanetta quando l’angolo d’attacco raggiunge i 15° a un’altitudine pari o superiore ai 100 piedi – ovvero la quota prevista per la manovra –, garantendo un incremento automatico della spinta per controbilanciare eventuali raffiche. Tuttavia, questa era stata disattivata manualmente dal Capitano per dimostrare le capacità del velivolo ai limiti dell’inviluppo senza interventi automatici a cui dover rispondere durante il delicatissimo passaggio radente.
I dati estrapolati dal Flight Data Recorder danno ragione alle informazioni rilasciate dal produttore e non segnalano alcuna anomalia da parte del sistema. L’attenzione degli investigatori si deve spostare allora su un altro elemento cruciale della vicenda: l’equipaggio.
Il Fattore Umano
Come descritto già in precedenza, durante il volo e specialmente nella sua parte finale, il comandante Asseline sembra non prestare ascolto agli avvisi in cabina, sia automatici che del copilota, e gestisce l’aereo con piena autorità, contravvenendo alle divisioni delle responsabilità concordate prima del decollo. Questo comportamento eccessivamente fiducioso rispetto le proprie abilità sono sintomo di un fenomeno noto nel settore aeronautico come complacency (autocompiacimento), spesso riscontrato nel personale più esperto.
Essendo istruttore capo e vantando un’esperienza considerevole, Asseline potrebbe aver sviluppato un’eccessiva fiducia nelle proprie capacità e nella sua comprensione del funzionamento dell’A320, superiore – a suo avviso – a quella dei colleghi, portandolo ad affidarsi al proprio istinto piuttosto che al coordinamento dell’equipaggio. Inoltre, il contesto dell’airshow e la presenza di passeggeri di sesso femminile all’interno del cockpit potrebbero aver influito sulla sua decisione di eseguire il low pass con angolo d’attacco massimo nel tentativo di impressionare gli osservatori.
Ciononostante, non è da interpretare questa scelta esclusivamente come un atto deliberato di negligenza o sregolatezza da parte del comandante. Durante il suo addestramento è sempre stata messa molta enfasi sull’avanzamento tecnologico dei sistemi di bordo e la sicurezza intrinseca dell’aereo, validata anche dalle numerosissime simulazioni fatte, fino a diventarne uno dei maggiori sostenitori all’interno dell’azienda e a fidarsene ciecamente. Egli stesso era un fervente sostenitore delle capacità avanzate del sistema fly-by-wire dell’A320. È quindi probabile che si sia sentito protetto dalle leggi di controllo a prevenzione dello stallo, anche a quote estremamente basse, e che non si fosse preoccupato di portare il velivolo ai propri limiti, non rendendosi conto che le performance sarebbero notevolmente degradate.
Un ulteriore fattore potrebbe essere stato un errore di scala visiva. Essendo abituato a operare su piste di 3000 metri e con torri di controllo alte un centinaio di piedi, la pista dell’aviosuperficie, lunga meno di un terzo e dotata di una torre alta solo 13 metri (40 ft), potrebbe aver contribuito a una percezione errata dell’ambiente operativo. L’assetto cabrato elevato dell’aeromobile, che posizionava il livello visivo del pilota molto più in alto rispetto alla parte posteriore della fusoliera, potrebbe aver ulteriormente alterato la sua percezione del margine di sicurezza rispetto agli ostacoli.
Lessons Learnt?
Questo tragico incidente non può che insegnarci una lezione fondamentale: per quanto avanzata e sofisticata possa essere, nessuna tecnologia potrà mai permettersi di escludere completamente il ruolo del pilota dall’equazione. Gli strumenti tecnologici, anche se affidabili, rimangono un supporto, e non un sostituto, al giudizio umano e non possono quindi garantire una correzione infallibile degli errori derivanti da esso.
Di conseguenza, paradossalmente, maggiore è il grado di automazione, complessità e sicurezza dei sistemi, maggiore diventa l’influenza del fattore umano nell’evolversi di un incidente. Si rende quindi necessaria una sempre maggiore interazione consapevole e coordinata da parte degli equipaggi affinché siano capaci di agire – e soprattutto interpretare la situazione- in maniera idonea in qualsiasi scenario, specie quando gli imprevisti mettono alla prova i limiti della tecnologia; un caso esemplare è stato il più recente caso del 737-Max, di cui abbiamo discusso ampiamente in questo articolo.
Viene però da chiedersi se, oggi, mentre discutiamo dell’introduzione a bordo di tecnologie di intelligenza artificiale avanzata e di progetti europei di operazioni commerciali unmanned o single piloted, saremmo pronti a fidarci dei soli computer a questo punto. Possiamo veramente permetterci di rinunciare a un elemento chiave che, nonostante le sue limitazioni, è da sempre un fondamentale schermo aggiuntivo di sicurezza?
A cura di
Fonti:
Report completo dell’autorità investigativa (tradotto dal Francese)
Fonti immagini:
http://www.crashdehabsheim.net/galeries%20de%20photos/le%20vol/v04.jpg
http://www.crashdehabsheim.net/galeries%20de%20photos/le%20vol/v09.jpg
