L'articolo che ci propone il Com.te Silvano Silenzi è in sintonia con l'esigenza di conoscenza di cui ho parlato nell'introduzione a questa edizione. Sappiamo che l'argomento viene a volte trattato in sede addestrativa in occasione di transizione su aeromobili con tecnologia glass cockpit, crediamo, però, che sia bene offrire il quadro completo del comportamento del pilota di fronte all'insorgere dell'anomalia, dell'avaria o della situazione di emergenza.
In tal modo ognuno sarà in grado di riconoscere e catalogare nei propri comportamenti le modalità a cui di solito si attiene e, di conseguenza, potrà disporre dei riferimenti concettuali per cercare di adattare tali modalità ad una economia di comportamento realmente efficace per la soluzione dei problemi. La conoscenza può rivelarsi utile [o necessaria] tanto su aeromobili glass cockpit quanto su quelli a strumentazione e gestione tradizionale degli impianti di bordo.

C'è un altro argomento che aleggia come un fantasma tra le righe di questo articolo ed è la composizione dell'equipaggio. Non viene valutato il numero di membri d'equipaggio né la loro funzione in cabina di pilotaggio perché ogni opzione e ogni tipo di aeromobile richiederebbe una trattazione particolareggiata dei problemi di interfaccia [con la macchina] e di interrelazione [tra le persone in cabina].
Tale composizione ha, però, un assetto definitivo per gli aeromobili di cosiddetta nuova generazione, per non parlare di quelli a venire [Airbus da 600-800 passeggeri] nei quali i progettisti hanno posto e porranno due piloti [in futuro system operators?].
L'atteggiamento polemico che traspare da questo mio discorso non dipende da una visione conservatrice ma dall'esperienza pratica su aeromobili a due e a tre membri e dal fatto che gli studi sul comportamento, sui criteri di comunicazione all'interno del cockpit, che riguardavano il fattore umano, hanno prodotto dei risultati quando già il terzo uomo a bordo era stato sostituito dall'automazione.
"Aircraft manufacturers have tried to fix their problems by designing the pilot out of the cockpit."
Il ritorno all'equipaggio a tre non è quindi proponibile su una macchina la cui tecnologia "invita" già due persone a lunghi periodi di ozio. Eppure l'analisi di alcuni disastri in aeromobili glass cockpit dimostra che un terzo membro "integrato" avrebbe potuto determinare un diverso corso degli eventi.
[acp]

L’avaria meccanica, anche la più disastrosa, raramente è causa di incidenti catastrofici nell’aviazione commerciale. Un gruppo di studio della Boeing (1994) evidenziò che, dei 120 gravi incidenti aerei (hull loss = perdita d'aeromobile), accaduti negli ultimi 10 anni, 13 erano da attribuirsi alla cellula, agli impianti o ai motori e che, inoltre, molti di questi erano accaduti su aerei di vecchia generazione (B-707, DC-8 ecc).
L’inchiesta Boeing determinò che una migliore gestione dell'avaria [fault management, di seguito FM] avrebbe sicuramente evitato molti di questi incidenti.
Gli aeromobili moderni hanno una grande affidabilità e una notevole ridondanza d’impianti che permettono una più corretta gestione dell’avaria. Quando però gli interventi non vengono eseguiti in modo corretto, può accadere che l’aereo vada distrutto con molte vite umane perdute.
A questo punto è estremamente importante che l’errore umano, individuato in questo caso in una non corretta gestione dell’avaria, (come identificato da Rasmussen 1986), venga preso come punto di partenza dell’investigazione piuttosto che come conclusione della stessa.

L’errore umano può essere causato dalle limitazioni fondamentali dell'uomo (cognitive e di attenzione) che però possono facilmente nascondersi o camuffarsi dietro fattori ambientali o contestuali.
Una gestione "migliorata" delle avarie va inizialmente ricercata nella analisi e nella comprensione delle possibilità umane e, quindi, nella migliore conoscenza dell’ambiente operativo nel quale i piloti, insieme agli automatismi, devono attuare la gestione delle avarie.

Una premessa basilare è che la FM può essere migliorata soltanto attraverso una migliore comprensione sia del contesto operativo dentro il quale essa avviene e sia dei processi informativi che l’uomo usa per attuarla.

Ma vediamo di definire più dettagliatamente questa FM.
Johannsen, nel 1988 la definì semplicemente come:
" una serie di compiti: identificazione, diagnosi, compensazione o recupero".
A questa definizione fu aggiunto, nel 1996, (Rogers, Schutte, Latorella) un altro compito:
la prognosi che aveva lo scopo di evidenziare alcune importanti distinzioni del processo informativo.
In questo articolo si intende trattare solo le FM che avvengono in maniera dinamica ed in tempo reale, (quelle tipiche della cabina di pilotaggio). Queste, infatti, hanno la caratteristica di limitare le opzioni a disposizione dell’equipaggio per la soluzione del problema, dalla avaria alla gestione dell’aereo e di conseguenza alla prestazione della missione.

Struttura della FM
La struttura della gestione dell’avaria intende integrare:

1 - I livelli operativi entro i quali l’avaria avviene in tempo reale
2 - I livelli cognitivi di controllo (Rasmussen)
3 - Il processo informativo (IP Information Processing) (Rasmussen)
4 - La definizione di FM come una serie di compiti operativi (identificazione, diagnosi, prognosi, recupero) che il pilota deve eseguire per portare a buon fine la missione.
Ma prima arrivare a questa integrazione sarà bene definire più in dettaglio ognuno dei quattro componenti.

Livelli operativi
La FM in aviazione deve essere discussa nel suo contesto operativo e distinguendo il tipo di mezzo, per poter meglio comprenderne la ricchezza e la complessità del processo informativo e delle attività fisiche che intervengono.
L’avaria può essere definita come uno stato anormale di un sistema o condizione che può o potrebbe avere ripercussioni sulle operazioni dell’aereo e/o compromettere il raggiungimento di una missione.
La FM invece è la sequenza di attività che il pilota attua nei confronti dei sistemi (aeromobile e missione), per identificare, diagnosticare, pronosticare, recuperare l’avaria.
Questa definizione è molto simile a quella adottata da Rasmussen che considerava i sistemi fisici a livelli differenti di astrazione. I livelli più bassi rappresentano i sistemi fisici mentre quelli più alti rappresentano gli effetti funzionali sull’aereo e sulla missione.
La missione primaria di un volo commerciale è quella di trasportare, da un aeroporto ad un altro, passeggeri e merci in maniera sicura, efficiente e confortevole. L’equipaggio ha il compito di assicurarsi che l’aereo abbia i requisiti funzionali per portare a compimento la missione.
Quando l’aereo decade dai requisiti minimi a causa di avarie, l’equipaggio deve adottare, immediatamente, quella che si definisce "gestione dell’avaria", FM.
In particolare l’equipaggio deve intervenire in modo da minimizzare gli effetti negativi dell’avaria; deve quindi preoccuparsi di controllare l’aeromobile (mantenere la stabilità dell’aereo, assicurarsi che non si incontrino ostacoli, ecc) e di mantenere uno schema sicuro della missione (aderenza al previsto piano di volo). Inoltre dovrà creare, se necessario, un nuovo routing qualora quello in atto non sia più sicuro.
Avendo imposto questo contesto operativo possiamo immaginare la gestione delle avarie dei sistemi su tre livelli.

Il primo livello è rappresentato dal livello degli impianti o sistemi di bordo. Esso comporta il controllo accurato dei parametri degli impianti, alla ricerca di qualche anomalia, diagnosticando le avarie o gli stati anomali dell'impianto, prevedendo gli eventuali effetti negativi all’interno dell'impianto o nei confronti di altri sistemi collegati e alla fine il recupero dell’operatività, trasferendo le funzioni ad un impianto di back up, oppure, molto semplicemente, lo spegnimento dell'impianto o il proseguimento della sua utilizzazione in condizioni degradate ma sicure.

Il secondo livello è rappresentato dal livello dell’aeromobile. Questo comporta il mantenimento del profilo di volo desiderato e quindi dell’assetto dell’aeromobile, controllando e regolando la velocità e la quota per garantire la separazione dagli ostacoli e dagli altri aeromobili.

Il terzo livello è il livello della missione. Esso comporta la valutazione dell’impatto dell’avaria nei confronti della missione (il carburante, le attrezzature aeroportuali, l’orografia, il meteo ecc). L’avaria può implicare la modifica del piano previsto per portare a termine la missione, dovendo modificare o abbandonare il piano di volo iniziale.

A titolo di esempio esaminiamo la FM di un’avaria ad un motore attraverso questi tre livelli.

Il motore è un impianto che produce effetti sulla stabilità dell’aereo e quindi anche sulla possibilità di condurre a buon fine la missione pianificata.
Il pilota può avere la necessità di determinare quale motore è andato in avaria (non sempre risulta palese) per poi isolarlo (FM al livello impianto), ma sarà anche necessario mantenere la stabilità dell’aereo correggendo la sbandata con il timone e applicando ulteriore potenza sul rimanente motore (FM al livello aeromobile).
Infine ci sarà la necessità, nel caso di un bimotore, di dirottare verso un aeroporto vicino piuttosto che continuare la missione come inizialmente pianificato (FM al livello missione).

L’esempio era per chiarire il concetto esposto, tuttavia sarebbe estremamente limitativo considerare la FM semplicemente come un compito di gestione dell’avaria di un impianto, o sistema di bordo, che non ci consentirebbe di identificare l’interdipendenza e la complessità delle attività che invece interagiscono.

Il professor Rasmussen già nel 1983 aveva identificato tre strati relativi ai comportamenti ed alle prestazioni umane:

Comportamenti basati sulla abilità (Skill Based Behavior SBB)

Comportamenti basati sulle regole (Rule Based Behavior RBB)

Comportamenti basati sulla conoscenza (Knowledge Based Behavior KBB).

Gli SBB sono in genere caratterizzati da percorsi comportamentali automatici e fortemente integrati che accadono senza la presenza di un controllo conscio. L’input informativo verso gli SBB è un segnale spazio-tempo che, attraverso un intenso addestramento o esperienza, provoca schemi di risposta automatici. In generale lo SBB è eseguito velocemente e dolcemente e l’eventuale feed-back è usato per modulare movimenti più lenti, quelli che, in altre parole, richiedono più precisione.

I RBB sono basati sull’associazione di tracce ambientali familiari (indizi) con regole o procedure ben radicate. Queste procedure e la loro associazione con gli "indizi", possono essere accumulate attraverso l’esperienza o possono essere date attraverso un addestramento formale.
Il RBB a differenza dello SBB è orientato allo scopo. Il feed-back gioca un ruolo importante nel RBB poiché esso comporta la modifica della strategia (la selezione delle regole ed il processo applicativo).

Infine troviamo i KBB che richiedono all’operatore l’attivazione del più alto livello cognitivo. Il KBB è necessario in situazioni non familiari, quelle nelle quali l’operatore non può far riferimento a stati-comportamentali predefiniti. Il KBB, essenzialmente, richiede all’operatore di ragionare per pianificare le azioni; inoltre coinvolge la pianificazione, la decisione tra più scelte ed il controllo dell’ipotesi.

Un operatore che si trovi in una situazione non familiare, inizia con un comportamento finalizzato allo scopo, secondo lo schema KBB. Dopo aver identificato lo schema nell’ambiente ed aver applicato comportamenti che hanno avuto successo, l’operatore inizia ad esibire comportamenti di tipo RBB. Infine dopo una sufficiente pratica e perfezionamento, gli schemi ambientali non vengono direttamente identificati, ma sono percepiti come segnali, ed il comportamento slitta, senza controllo intenzionale, verso lo SBB.

Ancora il prof. Rasmussen nel 1986, delineò la relazione tra i tre livelli cognitivi di controllo ed il modello normativo delle fasi decisionali (scala decisionale)

Nella figura i rettangoli rappresentano le attività del processo informativo; gli ovali rappresentano lo stato di conoscenza come risultante di questi stadi di processo informativo.

Salire la scala, dal determinare la necessità di una azione fino al compito di indirizzare il comportamento, viene definito analisi basata sulla conoscenza.
Discendere la scala, sull’altro lato, dall’identificazione dell’obiettivo fino all’esecuzione di una determinata azione, viene definito pianificazione basata sulla conoscenza.

Rasmussen nel 1983 mostrò come RBB e SBB potevano essere considerati scorciatoie in questa scala delle decisioni.
Le scorciatoie SBB, derivano direttamente dalla prima indicazione di necessità di intervento attraverso un’immediata risposta o attraverso un’immediata identificazione del compito.

Le scorciatoie RBB traggono invece origine dalla percezione delle informazioni provenienti dall’ambiente, in termini di azioni, di compiti, di procedure.

In contesti prevedibili le scorciatoie SBB e RBB rappresentano risposte cognitive e temporanee assolutamente efficienti ed attendibili. Tuttavia in contesti non familiari, questa predisposizione nei riguardi dell’economia cognitiva, porta occasionalmente all’uso inappropriato di queste scorciatoie.

Avevamo definito all'inizio la FM come una serie di compiti operativi (identificazione, diagnosi, prognosi, recupero); ognuno di questi compiti trova collocazione sulla scala decisionale di Rasmussen. In particolare:
la identificazione copre e corrisponde all’osservazione e alla attivazione;
la diagnosi corrisponde alla identificazione e all’interpretazione,
la prognosi include sia l’interpretazione sia la valutazione
il recupero corrisponde alla definizione dei compiti, alla formulazione delle procedure e all’esecuzione.

Ora, avendo acquisito le precedenti definizioni, siamo in grado di descrivere più in dettaglio ciascuno di questi compiti operativi.

Il compito dell’identificazione richiede di percepire le anormalità e di osservare le informazioni ed i dati attinenti ai quattro compiti FM. In altre parole, usando la definizione di Rasmussen, il compito "identificazione" indica che si è percepito che c’è qualcosa di sbagliato o che è divenuto necessario un intervento (attivazione) che consenta di raccogliere dati per proseguire le susseguenti azioni (osservare).

L’identificazione determina le anormalità comparando le sensazioni con alcuni modelli di normalità. Questi ultimi possono essere statici, cioè valori assoluti, oppure possono variare con gli altri fattori (impianto, aereo, missione). Il compito di identificazione è quindi in grado di determinare lo stato dei parametri sia al livello della missione e dell’aereo sia al livello dei sistemi di bordo. Per esempio l’identificazione include l’osservazione che l’aereo sta derapando a causa della potenza asimmetrica a seguito di un motore piantato.

Avendo determinato che l’identificazione serve a descrivere il "come" del sistema anormale, la diagnosi determina invece le causa di questa anormalità. L’identificazione cataloga i sintomi mentre la diagnosi tenta di dargli una spiegazione. Quindi la diagnosi fornisce informazioni sulla causa dell’avaria (identificare), inoltre è importante riconoscere che essa è anche in grado di determinare le conseguenze dell’avaria sugli altri sistemi (interpretare). Per esempio un flame-out di un motore può influenzare immediatamente altri sistemi di bordo quali l’elettrico e l’idraulico; in questo caso questi due impianti non sono in avaria, ma devono comunque essere esclusi o sostituiti con altri funzionanti.
La diagnosi serve proprio a spiegare perché questi impianti non sono più operativi e quindi l’equipaggio può ripristinare la loro operabilità dando in questa maniera un input per la prognosi e per il successivo recupero.

La prognosi elabora i dati provenienti dalla diagnosi ed è in grado di prevedere lo stato futuro, causato dagli effetti della progressione dell’avaria nel tempo. La prognosi è formata dai processi di interpretazione e di valutazione che abbiamo visto nella scala di Rasmussen.
La prognosi, come la diagnosi, si basa su un modello di sistema, ma ne differisce in quanto non può esser confermata o rifiutata solo per la presenza o meno di sintomi.
Ad esempio una rottura di un cuscinetto di un motore può avere come conseguenza o il blocco e quindi il flame out del motore oppure il surriscaldamento del cuscinetto che causerà il fuoco al motore. Questi due possibili strade dell’avaria portano a conseguenze ben diverse.
Infatti il "semplice" flameout, specie in un quadrimotore, richiederà soltanto di modificare i controlli di volo ed eventualmente la procedura di atterraggio mentre non avrà i sicuri effetti negativi, sulla missione o sulla sicurezza, che avrebbe l’avaria caratterizzata da un incendio motore.
Appare evidente nel precedente esempio che la prognosi ha un effetto significativo sulla priorità da assegnare per la gestione di una particolare avaria in quanto può accadere che l’avaria non incida sulla sicurezza dell’aereo all’inizio, ma può avere effetti decisamente negativi nella successione degli eventi.
Potremmo definire la prognosi come "volare avanti all’aereo" per determinare l’urgenza con la quale una particolare avaria deve essere gestita.

Nel recupero si usano tutte le informazioni derivate dagli altri compiti citati (identificazione, diagnosi, prognosi) per poter rispondere in maniera appropriata alle richieste dell’avaria. Esso consiste nel definire il compito, formulare la procedura ed eseguire le azioni che abbiamo visto nella scala decisionale di Rasmussen. Normalmente il numero delle opzioni per rispondere adeguatamente al livello di aeromobile o di sistema di bordo sono poche; in qualche caso la risposta consiste soltanto nell’osservare un particolare sistema anticipando quello che potrebbe diventare un problema.
Al livello di missione, i canali di risposta, potenzialmente, possono essere numerosi e le attività per la ripianificazione e per il recupero possono essere molto estese.

Per riassumere, la FM, gestione delle avarie, in un sistema definito real-time, consiste in quattro compiti: identificazione, diagnosi, prognosi, recupero. Questi compiti avvengono nell’ambito dei tre livelli operativi: l’aeromobile, i sistemi di bordo e la missione. Questi compiti possono essere descritti in termini di stadi più elementari del processo informativo; i problemi che insorgono nelle prestazioni della gestione delle avarie e degli automatismi avanzati, variano secondo il tipo di compito e del livello operativo scelto. All’interno di ciascun compito e attraverso la gestione dell’avaria l’uomo agisce a differenti livelli di controllo cognitivo (basati su abilità, regole, conoscenza) che richiedono in genere molte risorse cognitive e di attenzione e sono prone a diversi tipi di errori.
In altre parole entro ciascuno dei livelli operativi: aeromobile, sistemi e missione vengono eseguiti i quattro compiti identificazione, diagnosi, prognosi, recupero.
All’interno di questi ultimi l’uomo agisce mediante tre maniere diverse di controllo cognitivo: basati su abilità (SB), su regole (RB), e conoscenza (KB).

Molti illustri studiosi hanno tentato di descrivere questa particolare prestazione dell’uomo, partendo da varie prospettive e le definizioni scaturite sono, per lo più, caratterizzate dallo stile cognitivo motivazionale e individuale di ogni uomo. Per descrivere in breve le prestazioni umane, sarebbe necessario almeno un libro, quindi ci limiteremo a discutere le forme generali dell’errore umano, tipico di una situazione di gestione dell’avaria.
Sebbene accada raramente, a volte i piloti gestiscono male le situazioni legate ad un’avaria. Fortunatamente la ridondanza e l’affidabilità dell’hardware fa sì che difficilmente una o più avarie comportino situazioni critiche per il volo. Tuttavia quando queste avarie si combinano con una gestione non corretta dei piloti facilmente si arriva a situazioni critiche per il volo. Useremo più avanti alcuni esempi presi dai riporti di incidenti del NTSB e dall’Aviation Safety Reporting System della NASA per chiarire questi concetti.
Nell’essere umano vi sono molti fattori che influenzano le sue prestazioni nella gestione delle avarie. Vi sono fattori contestuali come le esigenze scaturite da un determinato problema, oppure i lacci e laccioli e/o le risorse imposte dall’operativo e dall’organizzazione, o anche il contesto temporale, dipendente da come evolve un particolare problema o incidente. In aviazione, poiché le avarie hanno, come abbiamo visto, implicazioni al livello del sistema di bordo, dell’aereo, della missione, il contesto diviene estremamente più complesso. Le avarie danno il via ad un processo temporale dove crescono e si allargano a dismisura le cosiddette catene di perturbazione.
Nell’eseguire il processo informativo l’uomo mostra elementi di forza ed elementi di debolezza.

Elementi di forza sono l’ottima possibilità di valutazione di situazioni dinamiche e complesse e la vasta piattaforma di conoscenza e di raziocinio, che facilitano le soluzioni di problemi insoliti. Queste capacità consentono ai piloti di svolgere il ruolo più importante nella gestione delle avarie anche in presenza di tecnologie e di automazioni avanzate.
J. Reason, nel suo libro Human error (1990), affermò (pag 182):"L’inserimento dell’essere umano nella gestione di sistemi potenzialmente lesivi è dovuto essenzialmente alla sua abilità, unica e basata sulla conoscenza, di eseguire e realizzare soluzioni di problemi insoliti."

Punti di debolezza. Nonostante queste capacità positive, l’essere umano ha, purtroppo, delle limitazioni, ma soprattutto possiede una predisposizione a commettere errori. Vengono in genere individuate tre classi di fattori cognitivi che influenzano le prestazioni umane:

• Fattori di conoscenza (quale tipo di conoscenza deve essere usata per risolvere un particolare problema in uno specifico contesto)
• Fattori di attenzione dinamica (fattori che governano il controllo dell’attenzione e la gestione del carico di lavoro)
• Fattori strategici (fattori che influenzano la strategia che ognuno adotta per risolvere i compiti conflittuali, i dubbi, il rischio e le limitazioni dettate dal tempo e dalle risorse disponibili.

Per quanto riguarda l’errore, Reason identificò tre tipi di errori umani:

• sviste e sbagli derivati dalla abilità (Skill Based (SB) slips and lapses)
• errori/sbagli derivati dalle regole (Rule Based (RB) mistakes)
• errori/sbagli derivati dalla conoscenza (Knowledge Based (KB) mistakes)

basati sui livelli del controllo cognitivo descritti da Rasmussen.

Reason catalogò questi tipi di errore in base al contesto nel quale si verificano (elaborazione e compito), alla frequenza e alla prevedibilità.
Noi ci limiteremo a descrivere le forme generali dell’errore umano nella gestione delle avarie, usando i concetti dei livelli cognitivi finora descritti: SB (Skill-based), RB (Rule-based), e KB (Knowledge-based).

Il 30 giugno del 1987 un B767 della Delta airlines decollò da Los Angeles per Cincinnati . A circa 1000 ft sopra il Pacifico l’equipaggio ricevette un messaggio dall’EICAS che indicava una avaria al controllo elettronico del motore destro (Right EEC). A 1600 ft il Comandante reagì al messaggio ponendo la manetta destra al minimo e raggiungendo con la mano l’interruttore EEC. Ma invece di azionare l’interruttore EEC egli mise su off l’interruttore di controllo del carburante causando la spegnimento del motore 2. Il Comandante subito dopo fece la stessa manovra a carico del motore 1 causando ovviamente lo spegnimento anche del motore sinistro. Accortosi dell’errore azionò immediatamente gli interruttori carburante su on e con il flight ignition riaccese entrambi i motori riprendendo la normale salita. Durante queste manovre l’aereo raggiunse una quota di 500 ft, fortunatamente sull’oceano.

Questo errore,commesso almeno due volte da altri operatori del B767, è da attribuirsi alla vicinanza dei due interruttori e dalla consuetudine di azionare il fuel shut-off nel normale spegnimento dei motori. Il problema è stato ovviato spostando gli interruttori EEC su un altro pannello.
Questo episodio rappresenta il classico Skill-based slip. Infatti gli errori SB possono accadere quando l’attenzione è focalizzata verso un compito o un’attività diversa da quella che dovremmo compiere, il tutto peggiorato dall’inserimento di uno schema ben conosciuto, ma inappropriato.

Reason definì RB errors come sbagli veri e propri. Essi, infatti, sono delle carenze o vuoti nei processi deduttivi e/o di giudizio, processi che sono necessari per selezionare un obiettivo o per individuare le specifiche atte a raggiungerlo senza curarsi se le azioni scaturite da questo schema decisionale vadano d’accordo con l’obiettivo pianificato
Un esperimento della NASA condotto in simulatori di volo prevedeva che gli equipaggi usassero un check list elettronico attraverso l’uso del CRT. Ma non tutte le avarie erano state trascritte nel computer di bordo e così in molti casi i piloti persero molto tempo nell’inutile ricerca dell’avaria o di quella che sembrasse più appropriata e addirittura in qualche caso venne usato un check list che niente aveva a che vedere con l’avaria presente a bordo.
Quindi nella valutazione di come i piloti gestiscono l’avaria è apparso molto chiaramente che essi vogliono primariamente informazioni che li aiutino ad una identificazione iniziale dell’avaria e alla sua risoluzione; e poi, semmai, informazioni per una diagnosi ed una prognosi.

I KB errors sono anch’essi definiti come sbagli veri e propri. Come per gli errori RB, essi avvengono mentre l’attenzione è focalizzata su un problema, Tuttavia KBB differiscono da RBB per quanto concerne il ragionamento che conduce ad un piano per l’esecuzione. Inoltre i KBB sono estremamente controllati dal feed-back e quindi altamente influenzati dalle variazioni dei compiti e dal contesto esterno. Stress, distrazioni, fatica sono i fattori che più di tutti influenzano i KBB.
Il disastro di un L-1011 nel 1972 negli Everglades della Florida rivela appunto questo tipo di "imbuto". L’attenzione focalizzata da parte di tutto l’equipaggio verso una avaria di scarsa rilevanza condusse al mancato controllo della traiettoria dell’aeromobile terminando in un classico CFIT (Controlled Flight Into Terrain).

I processi cognitivi KB sono in genere più complessi e quindi più suscettibili ad influenze provenienti dal contesto in cui vengono elaborati. Conseguentemente gli errori KB sono meno prevedibili e meno individuabili di quelli SB e RB.

Tutte le ricerche effettuate sin dagli anni settanta ebbero come obiettivo la riduzione dei problemi associati alla proliferazione, nelle cabine di pilotaggio degli aeromobili della prima generazione, degli allarmi relativi alle avarie. Chi è più anziano tra di noi ricorderà il famoso UP5 [Upper Panel 5] del Caravelle oppure i vari Master Warning panel di altri aeromobili degli anni settanta.
Tutti gli sforzi in questa direzione portarono alla considerazione che fossero di estrema importanza la semplicità, l’integrazione e la standardizzazione per ridurre il carico di lavoro e quindi il potenziale errore dei piloti.
Il risultato di questi studi portò, in effetti, all’introduzione dei sistemi automatici che garantivano:

1. una integrazione dei sistemi di avviso in maniera da ridurne drasticamente il numero.
2. il monitoraggio dello stato dei sistemi di bordo, oltre che informazioni guida.
3. una facile identificazioni delle avarie che venivano associate con le procedure standard
4. una classificazione delle avarie e degli stati anormali degli impianti secondo tre livelli di priorità: alto, medio e basso.

L’applicazione di queste filosofie si materializzò sugli aeromobili commerciali con l’avvento dei B-757, B-767 e MD-88, che vennero progettati per fornire sistemi di avviso e di allerta integrati.
Questi sistemi d’allarme integrati hanno ridotto enormemente il numero dei segnali visivi e uditivi ed hanno gettato le fondamenta per la standardizzazione e le proceduralizzazione dell’intera funzione della FM.
A titolo esemplificativo faremo una breve descrizione ed alcune considerazioni sul sistema FM di due moderni aeromobili: il B-747-400 e l'MD-11. La cabina di questi due aeromobili rappresenta, infatti, uno dei concetti più avanzati per la gestione dell’avaria; entrambi gli aeromobili, in cabina, hanno due piloti, glass-cockpit, FMS [Flight Management System].

Entrambi gli aeromobili sono una versione aggiornata dei loro predecessori: B-747 100/200, DC-10, che operavano con due piloti ed un Flight Engineer [FE], quest’ultimo responsabile del controllo dei sistemi, inclusa la gestione delle avarie. Nei nuovi aerei i progettisti hanno conservato quasi totalmente gli impianti originali ma, hanno eliminato il FE, i cui compiti sono stati attribuiti in parte ad automatismi ed in parte ai due piloti. In particolare, alcuni compiti "critici", come la gestione dei motori, lo scarico carburante ecc, sono stati affidati ai piloti, mentre altri compiti sono stati affidati, in sede di progetto, agli automatismi. Evidentemente le due scuole, Boeing e McDonnel Douglas hanno realizzato progetti con differenti soluzioni.

B-747-400.

L’indirizzo dato dalla Boeing alla ripartizione dei compiti del FE fu di semplificarli al massimo, in modo che fossero facilmente gestibili dai due membri rimasti.
L’equipaggio, che quindi era incaricato direttamente della soluzione dei problemi FM, risultava ancora di più coinvolto nell’analisi del comportamento degli impianti di bordo.
La FM sul B-747-400 è, in effetti, centrata intorno a due componenti:

1. EICAS Engine Indication and Crew Alerting System.
2. Manuale delle procedure.

EICAS fornisce il monitoraggio automatico dello stato degli impianti. In generale quando è percepita un’anormalità, l’equipaggio è allertato con un messaggio, sul CRT del pannello centrale, del tipo:"ENG.1 OIL PRESS"oppure viene generato un messaggio diagnostico del tipo:"FIRE ENG 2 " oppure "ENG 3 SHUTDOWN".

L’equipaggio, qualora intenda avere ulteriori informazioni, relative al problema denunciato, può consultare un’immagine pittorica o schematica dell’impianto, ottenendo, in molti casi, un quadro più completo della situazione.
L’immagine schematica dello stato del sistema, è in grado di fornire al pilota informazioni utili al livello Knowledge Based della FM, specie quando si trova di fronte ad avarie nuove o subdole.
Inoltre, partendo dall’iniziale identificazione l’equipaggio normalmente consulterà il manuale di procedura per ottenere una più dettagliata diagnosi, prognosi e recupero.
Il manuale, usando un opportuno indice delle condizioni d’avaria, associa normalmente una procedura a ciascun messaggio EICAS. Lo scopo primario delle procedure è quello di fornire istruzioni per il recupero dell’avaria, sebbene in alcuni casi serva anche da guida per la diagnosi e la prognosi. In effetti alcune procedure indicano semplicemente agli equipaggi di mantenere la situazione sotto controllo.
Il manuale fornisce risposte non solo al livello dei sistemi di bordo (primo livello), ma anche al livello dell’aeromobile. Ad esempio la procedura per due motori inoperativi include informazioni sia relative ai sistemi (Switch off relative agli air conditioning packs), sia relative all’aeromobile (instruction for the landing gear on final).
Per quanto riguarda la diagnosi, ad esempio, per rispondere al messaggio :"ENG.1 OIL PRESS" la procedura invita l’equipaggio a controllare i dati del sensore ausiliario. Se questi valori sono normali, il messaggio deve essere considerato falso, indicando con ciò che il sensore primario è in avaria.
L’aeromobile inoltre dispone di un potentissimo FMS in grado di assistere l’equipaggio nella gestione della missione, perturbata dall’avaria occorsa. Ad esempio se avviene un’avaria ad un motore, il FMS fornisce indicazioni circa le ridotte prestazioni a tre motori, consentendo all’equipaggio di recepire elementi utili per la ripianificazione della missione.

Mc Donnell Douglas MD-11.

Vi sono numerose similitudini tra i sistemi integrati di allerta del MD-11 e quelli del B-747-400. Entrambi forniscono all’equipaggio messaggi circa le anormalità dei sistemi ed immagini schematiche che assistono i piloti affinché possano effettuare un corretto ragionamento KB. Tuttavia essi differiscono in maniera significativa sulla filosofia iniziale usata per ripartire i compiti del FE. Sull'MD-11 tutti i compiti, non critici, svolti normalmente dal FE sono stati automatizzati attraverso ASC, Automated System Controller. In caso d’avaria, l’equipaggio viene avvisato e gli vengono fornite informazioni (in testo o pittoriche) su come l’automatismo ha risolto il problema. Il CRT presenta le voci della procedura per compensare i livelli dell’aeromobile e della missione.

Esempi di queste voci, chiamate "consequences" includono "USE MAX FLAPS e GPWS OVRD IF FLPS LESS THAN X". Queste conseguenze includono anche le informazioni di diagnosi e prognosi necessarie all’equipaggio per attivarsi al livello d’aeromobile e di missione, come ad esempio: "FLIGHT CONTROL EFFECT REDUCED" e "AUTOPILOT INOP".
Quando il sistema automatico di FM lavora normalmente, l’equipaggio non viene chiamato in causa se non per verificare gli effetti dell’avaria sull’aeromobile e sulla missione.

Vi è la possibilità che un ASC possa andare in avaria, causando il ritorno alle operazioni manuali della FM. In questo caso la ASC avvisa l’equipaggio, tramite un messaggio sul CRT, che sta restituendo il controllo al pilota il quale consulterà le procedure come già visto nel B-747-400. Quindi sebbene le funzioni di FM per l’equipaggio siano state significativamente ridotte dall’ASC, esse comprendono un altro sistema, lo stesso ASC, che necessita FM.

Questi sistemi integrati di FM semplificano gli avvisi e presentano la priorità delle condizioni con avvisi sonori o usando codici di colore. Messaggi formati da frasi comuni o voci di Check list formano un esplicito e diretto legame tra le condizioni esistenti ed il recupero richiesto.
La caratteristica della compensazione automatica dell' MD-11 sembra quindi essere una logica estensione nell’automatismo d’intervento nella gestione dell’avaria (percorsi SSB).

Ai piloti viene lasciata la possibilità di reazione perché solo in tal modo riescono a rimanere consapevoli della situazione evitando una degradazione delle loro prestazioni, legata al fatto di averli tenuti fuori del loop.
La strategia di progetto attuata su quest’aeromobile, tendente a semplificare e a proceduralizzare la FM, è risultata molto efficace nel ridurre il carico di lavoro dell'equipaggio in condizioni di avarie che avvengono secondo modalità logiche. Essa ha permesso ai piloti di gestire la maggior parte delle avarie nel modo Rule based, che riduce il carico di lavoro e rende gli errori dei piloti più prevedibili e auto corregibili. Avarie routinarie, che comportano semplici interventi al livello dei sistemi (disinserire una pompa carburante) e che non provocano alcun effetto al livello dell’aeromobile o della missione sono facilmente gestibili dagli equipaggi.
I problemi sorgono [cioè i nodi vengono al pettine] quando lo sviluppo degenerativo della situazione operativa è, come avviene nella maggior parte delle circostanze, caotico.
Il disastro dell'MD-11 [Swissair 111] inabbissatosi nell'Oceano Atlantico vicino Halifax ha posto in modo tragico questi problemi.

Sebbene il FM venga normalmente svolto con successo dai piloti, peraltro supportati appropriatamente dall’automazione delle moderne cabine di pilotaggio, i problemi che possono scaturire da una precaria FM possono causare effetti catastrofici.
Le ricerche e le scoperte tendenti a migliorare le prestazioni dell’uomo in questo campo continuano ad essere decisamente importanti. Una appropriata comprensione della FM umana (come abbiamo visto esiste anche quella generata dai computer) e del contesto nel quale avviene in aviazione, è assolutamente fondamentale per un continuo miglioramento della FM stessa.
Le ricerche sulle prestazioni umane relative alla FM ci indirizzano verso i nuovi sistemi automatici integrati di gestione delle avarie, che insieme ai progetti nuovi dei sistemi stessi, hanno portato ad un enorme miglioramento nella sicurezza del volo sui moderni aeromobili commerciali.

Studio a cura del Com.te Silvano Silenzi

Riferimenti:

Rassmussen,J. (1994) Future risks and risk management. Kluwer, Boston.

Rassmussen, J., Pejtersen, A. and Goodstein, L. (1994) Cognitive systems engineering. Wiley, New York.

Billings,C. (1997) Aviation Automation: the search for a human-centered approach. Lawrence Erlbaum Associates, Mahwah, NJ.

Reason, J. (1990) - Human error, Cambridge: Cambridge University Press

Maurino, E.D., Reason, J., Johnston, N., Lee, B.R., (1977) - Beyond Aviation Human Factors, Ashgate Publishing Limited

For the reasons explained above, I like to make clear about the terms used in the following contest:
a "error" suggests the existence of a standard or guide and a straying from the right course through failure to make effective use of this;
a "mistake" implies misconception or inadvertence and usually expresses less severe criticism than error;
a "blunder" imputes stupidity or ignorance as a cause and connotes some degrees of culpability;
a "slip" stresses inadvertence or accident and applies especially to trivial but embarassing mistakes;
a "lapse" (sometimes interchangeable with slip) is more likely to stress forgetfulness or inattention as a cause.