Cosa abbiamo capito dei due recenti incidenti che hanno visto coinvolti i Boeing 737-Max8?
E’ sempre difficile ricostruire l’accaduto nelle prime settimane dopo l’evento, ma in questo caso alcuni punti sembrano chiari.
(In fondo all’articolo si trovano gli aggiornamenti)
L’aereo.
Il Boeing 737Max8 ha compiuto il primo volo commerciale il 22 maggio 2017. Si tratta di una versione migliorata, la quarta, del vecchio Boeing 737 , uscito nel 1967. Rispetto alle versioni precedenti il 737Max8 presenta migliore aerodinamica, motori più efficienti e meno rumorosi.
Il 737Max8 è stato pensato nel 2010 per combattere l’agguerrita concorrenza degli Airbus A320neo . Scopo del progetto era di offrire rispetto al concorrente un risparmio di carburante fino al 4% garantendo la stessa distanza operativa, se non maggiore.
I motori
I nuovi motori utilizzati offorno certo maggiore efficienza, ma sono più grandi e pesano di più.
Questo ha comportato la necessità di montarli in una posizione diversa rispetto a prima, più in alto e più avanti, per mantenere la giusta distanza dal suolo. La diversa posizione dei motori ed il maggior peso hanno leggermente modificato il comportamento dinamico del velivolo. In pratica si verificano situazioni, soprattutto al decollo, in cui l’aereo tende ad aumentare l’assetto cabrato. L’aereo tende quindi a tirar su il naso, il che potrebbe portare a pericolose situazioni di stallo.
Lo stallo
Vale la pena di ricordare che quando un aereo “entra in stallo” si verifica una situazione di ingovernabilità. L’aereo perde improvvisamente portanza, ossia la forza che lo “tiene su”, ed inizia a precipitare.
Lo stallo avviene quando l’aereo assume un assetto troppo cabrato, ossia alza troppo il muso, oltre quello che viene definito angolo di incidenza critico. In questa situazione il flusso d’aria non fluisce più regolarmente lungo il profilo dell’aria, ma tende a “staccarsi”, generando dei vortici sul lato superiore dell’ala. Questi vortici determinano la perdita del potere di sostentamento dell’ala, e l’aereo inizia a precipiare.
Tutti gli aerei moderni hanno dispositivi che generano segnali di allarme quando l’aereo si avvicina alla situazione di stallo. Viene generato un allarme acustico e in alcuni modelli c’è un dispositivo che scuote il volantino, generando quindi una sorta di allarme fisico. In questa situazione il pilota non ha che da spingere leggermente il volantino, diminuendo la salita.
Il software MCAS
Nel tentativo di mantenere il 737Max8 quanto mai simile al suo predecessore, la Boeing ha deciso di introdurre un meccanismo automatico in grado di contrastare la tendenza dell’aereo ad alzar troppo il naso. Questo meccanismo, chiamato MCAS (Maneuvering Characteristics Augmentation System), provvede ad abbassare leggermente il muso quando due sensori, posti a lato della cabina di pilotaggio, rilevano un eccessivo angolo fra l’assetto dell’aereo e la direzione del flusso del vento.
In questo modo l’aereo corregge automaticamente l’occasionale tendenza dell’aereo ad assumere un assetto troppo cabrato (naso in su).
Originariamente il MCAS avrebbe dovuto effettuare una correzione minima, di soli 0.6°. Ma in fase di test hanno deciso di aumentare questo valore a 2.5°, ossia quattro volte tanto. Solo che, come si dirà più avanti, l’aereo era stato certificato per il valore di 0.6° e la variazione a 2.5° non è stata comunicata all’ente certificatore.
Si può concludere che il software “è sbagliato”? Si e no. Poteva essere scritto meglio, questo è certo. Poteva, ad esempio, disattivarsi da solo qualora fosse stata rilevata una indicazione sostanzialmente diversa dei due misuratori dell’angolo di attacco. Nel paragrafo successivo si parla degli optional. Segno che i progettisti si erano posti il problema di una possibile indicazione errata di uno dei due misuratori. Ma il problema non è stato affrontato nel modo corretto, con un allarme molto evidente e/o con la disattivazione automatica. Ma, come si può leggere pià avanti, il vero problema è stato la mancanza di informazione e di addestramento.
Optional
Cosa succede se i sensori di assetto si guastano? Iniziano a “dare i numeri”, ossia valori non corrispondenti al vero. I progettisti Boeing hanno previsto questa situazione, e il software effettua il confronto continuo fra i due sensori. Se il valore fornito dai due sensori differisce per più del 10% per più di 10 secondi il software potrebbe emettere una segnalazione di allarme, e contemporaneamente visualizzare la misura acquista dai due sensori. Diciamo potrebbe perché sia la segnalazione di anomalia che la visualizzazione delle due misure è un optional che va pagato a parte. Inutile dire che entrambi i 737Max8 precipitati non erano dotati di questo optional.
Disattivazione
In caso di malfunzione del sistema MCAS è prevista una procedura per la sua disattivazione. Nei due incidenti di cui parliamo i piloti non hanno effettuato la procedura di disattivazione del MCAS perché questa non è riportata nei manuali operativi e i piloti non erano stati adeguatamente addestrati.
Dopo il primo incidente, quello della indonesiana LionAir, Boeing ha provveduto a modificare il manuale operativo, aggiungendo le procedure per la disattivazione del sistema MCAS. Si tratta in pratica di modificare la posizione di due interruttori ed operare manualmente le correzioni di assetto. Il fatto è che i piloti non sono stati adeguatamente addestrati, neanche dopo il primo incidente.
Addestramento
Gli aerei non sono tutti uguali. Ogni modello presenta differenze nei comandi e nelle procedure. I piloti devono effettuare sei mesi di addestramento teorico e di training al simulatore di volo prima di essere abilitati a pilotare unp specifico velivolo. Addestramento che va in parte ripetuto periodicamente, soprattutto se il pilota non vola su quel velivolo per un certo tempo. E se il pilota non vola su un certo aereo per molti anni l’addestramento va rifatto completamente.
E’ ovvio che questo addestramento è un costo notevole per le compagnie. Il costo del personale che durante l’addestramento non può essere operativo e il costo per l’uso dei simulatori di volo, che sono macchine parecchio costose.
Ovvio quindi che i costruttori di aerei tendono a minimizzare questi costi, ove possibile, rendendo la transizione da un modello all’altro la più facile possibile. Nel caso del 737Max8 questa transizione è stata ridotta al minimo, visto che l’aereo condivide con il precedente 737 New Generation praticamente tutto, a parte i motori più efficienti. Infatti i piloti già abilitati al pilotaggio delle versioni precedenti del 737 hanno dovuto sostenere un corso di aggiornamento online variabile, da compagnia a compagnia, da una a tre ore. Peccato che per il sistema MCAS non sia stato previsto alcun addestramento “standard” con studio teorico e simulazione di volo. In pratica i piloti non sapevano come interpretare il comportamento anomalo del velivolo e non erano stati addestrati a riconosce l’anomalia e ad intervenire rapidamente per disattivare il sistema MCAS.
Si può tranquillamente dire che gli incidenti non sarebbero accaduti se i piloti fossero stati debitamente addestrati. Ma la Boeing, per agevolare la vendita dei 737Max8 contro la concorrenza degli Airbus A320, ha detto ai clienti “l’aereo si pilota esattamente come il modello precedente, basta un corso di due o tre ore, online, senza necessità di addestramento specifico”. Con i risultati che sappiamo.
Certificazione
Ogni aeromobile, per poter volare, deve essere certificato, qualcosa come l’omolagazione per le automobili. La certificazione garantisce che l’aeromobile sia stato progettato e costruito in accordo con le norme vigenti. Negli USA la certificazione viene effettuata dall’ente FAA (Federal Aviation Administration) mentre in Europa se ne occupa l’EASA (European Aviation Safety Agency).
La certificazione del 737-Max è stata eseguita dalla FAA in una situazione di “urgenza”. Era in corso infatti una sorta di guerra commerciale fra Boeing ed il produttore europeo Airbus che stava vendendo un gran numero di A320neo, un velivolo decisamente concorrenziale rispetto ai precedenti, che garantiva migliori prestazioni in termini di bassi consumi e bassa rumorosità. Per questo, nel 2010, Boing iniziò il progetto della nuova versione del 737, chiamato 737 Max. Era quindi importante certificare l’aereo quanto prima, in modo da poterlo proporre alle compagnie aeree, cercando di arginare l’avanzata di Airbus. E’ emerso però che FAA non riusciva a seguire tutte le fasi di certificazione con il suo personale, e un articolo del Seattle Times racconta come la certificazione del 737 Max sia stata fatta in modo sommario, affidando agli stessi tecnici Boeing parte del processo di certificazione.
In oltre il sistema MCAS, originariamente progettato e certificato per variare di soli 0.6° la posizione del timone di profondità, fu poi modificato senza ulteriore certificazione FAA per attuare una variazione quattro volte più grande, di 2.5°. Il tutto senza che i piloti ne fossero a conoscenza.
Conclusioni
E’ chiaro che la parola definitiva la diranno le indagini dei vari enti che stanno investigando.
Ma forse oggi si può già dire che, in ordine di importanza decerescente, le cause sono state:
- Insufficiente addestramento dei piloti, soprattutto per quanto riguarda il sistema MCAS
- I manuali operativi non riportavano (prima del disastro Lion Air) le modalità di disattivazione del sistema MCAS
- Il sistema di segnalazione della discrepanza dei dati dei sensori di assetto non è stato inserito come dotazione base.
- Alcune compagnie aeree non hanno acquistato l’opzione di segnalazione della discrepanza dei dati dei sensori di assetto.
- La certificazione della FAA pare sia stata fatta in modo quanto meno discutibile, lasciando alla Boeing il compito di autocertificare alcuni aspetti del progetto.
- Il software del sistema MCAS poteva essere scritto meglio, soprattutto per quanto riguarda la rilevazione del guasto e l’eventuale auto-disattivazione.
Volendo quindi rispondere alla domanda iniziale “Il Boeing 737-Max è pericoloso?” risponderei che l’aereo in se è migliorabile, ma non è pericoloso. Pericoloso è soprattutto il fatto che i piloti non abbiano ricevuto la necessaria formazione. Volerei oggi stesso su un 737Max8 pilotato da un equipaggio adeguatamente formato.
Sia chiaro che quanto da me scritto non ha il minimo valore ufficiale. Sono solo un appassionato, uno che prova a leggere molto.
Aggiornamenti.
Boeing ha rilasciato l’aggiornamento software per evitare ulteriori disastri.
Dalla lettura dell’articolo si evince che:
Vengono letti ed elaborati entrambi i sensori dell’angolo di attacco
Sul display degli strumenti viene riportato l’angolo di attacco (in alto) e la segnalazione di “strumenti discordanti” (in basso).
Ma soprattutto i piloti potranno tornare ai comandi di un 737Max solo dopo aver seguito un addestramento ad hoc.
Questo conferma quel che pensavamo: quel che è mancato è soprattutto l’addestramento dei piloti.
Aggiornamento 4 aprile 2019
A quanto pare la Boeing ha deciso di ritardare di qualche settimana la certificazione delle necessarie modifiche al software MCAS per evitare che si possano ripetere i recenti tragici eventi.
Pare che una squadra di tecnici della stessa Boeing, non direttamente coinvolti nello sviluppo software, abbiano effettuato verifiche e simulazioni che pare abbiano sollevato più di un dubbio. Attualmente non è dato sapere quali aspetti degli aggiornamenti software abbiano sollevato i dubbi dei tecnici Boeing incaricati della verifica.
Aggiornamento 25/4/2019
Qualche giorno fa è uscito il preliminary report della Aircraft Accident Investigation Bureau del ministero dei trasporti etiope.
Il testo completo può essere trovato qui:
http://www.ecaa.gov.et/documents/20435/0/Preliminary+Report+B737-800MAX+,(ET-AVJ).pdf
Mentre una sintesi molto accurata è stata fatta qui dal grande Pasquale Abbattista, titolare del canale youtube Oneira, in cui spiega molto molto bene tante cose che riguardano il volo e più specificamente il volo sui boeing 737.
Pasquale è una persona molto corretta, di quelle che vanno con i piedi di piombo, rispettano le procedure e quindi evitano di sparare giudizi affrettati in stile bar dello sport. In questo video non esprime giudizi conclusivi, rimandando il tutto alla pubblicazione del final report.
Da parte mia, ho già espresso nel post qui sopra quel che penso di questo incidente. e secondo me il preliminary report non fa che confermare quanto detto: l’incidente è dovuto alla fretta di vendere un aeromobile senza le dovute cautele, il tutto per contrastare la concorrenza.
L’aviazione è un campo particolare in cui ogni errore costa caro, e non potrebbe essere diversamente. Volare è una attività in qualche modo “contro natura”. Volare è intrinsecamente pericoloso, e la storia dell’aviazione è lastricata con i nomi delle persone che hanno perso la vita, da piloti o da passeggeri. E questo purtroppo continuerà a succedere perché non raggiungeremo mai il rischio zero. Ma le tanto odiate e deprecate statistiche dimostrano contro ogni ragionevole dubbio che l’uomo sta imparando a volare in modo sempre più sicuro, riducendo man mano i rischi a livelli quasi irrilevanti. Il modo è sempre lo stesso: si introduce qualche novità e si guardano i risultati. E se capita qualche incidente, si fa di tutto per imparare il più possibile da quell’incidente per evitare che si ripeta.
L’introduzione del meccamismo MCAS è purtroppo uno di quei casi in cui l’apprendimento è dovuto passare attraverso un tributo di vite umane. Il mondo dell’aviazione commerciale imparerà anche da questo incidente.
