Politecnico di Milano
Dipartimento di Ingegneria Aerospaziale
Sicurezza del trasporto aereo
ANALISI RETROSPETTIVA
METODO ISAAC:
CONCA DI CREZZO 1987
Andrea Mottin
Valentina Onorato
Pietro Pagani
Giugno 2011
1
Indice
Introduzione
Ricostruzione dell'accaduto
La sentenza
Macro-eventi
Event Time Line (ETL)
Analisi dell'incidente (Metodo ISAAC)
Tabella I. La “Sporca dozzina”
Diagramma macro-evento 1
Diagramma macro-evento 2
Diagramma macro-evento 3
Diagramma macro-evento 4
Tabella riassuntiva errori e fattori umani
Conclusione
Bibliografia
2
3
6
6
7
8
9
10
11
12
13
14
15
15
Introduzione
Questa relazione si propone di effettuare un’analisi retrospettiva di un incedente aereo reale,
esulando da voler dare giudizi e commenti sull’accaduto, ma limitandosi a una semplice analisi dei
fatti.
L’incidente preso in analisi è avvenuto nella località Conca di Crezzo (provincia di Como,
Italia) in data 15 ottobre 1987, il velivolo interessato è un ATR 42 con a bordo 35 passeggeri
decollato da Milano Linate e diretto a Colonia (Germania).
La scelta di questo preciso evento è dovuta alla numerosa mole di dati e informazioni
sull’argomento, che permettono un’analisi approfondita e dettagliata. Oltre alla semplice cronaca,
infatti, si è potuto risalire alla sentenza avvenuta dopo il processo a danni dei piloti, della
compagnia aerea e dell’incidente in questione.
Il metodo scelto è il metodo ISAAC (Integrated Systemic Approach for Accident Causation)
in quanto è stato ritenuto il più idoneo al caso considerato. Questo metodo, infatti, è adatto
all’analisi di incidenti, nel quale compaiono Errori umani e Guasti tecnici, nonché permette
l’identificazione di componenti nascoste e fattori personali che possono essere causa di eventi e
decisioni determinanti. Infine, permette l’identificazione di comportamenti e attrezzature non idonei
e una classificazione molto accurata dei fattori umani. Grazie al metodo ISAAC risulta più
immediata e facile la lettura dell’analisi retrospettiva in quanto prevede l’uso di numerosi
diagrammi nei quali vengono presentate le cause e gli eventi correlati.
2
Ricostruzione dell'accaduto
L’ATR 42 n.46 Città di Verona,
progettato e fabbricato dalla società francese
Aérospatiale in collaborazione con la società
italiana Aeritalia e gestito dalla Spa ATI, la
sera del 15 ottobre 1987 era adibito al
trasporto passeggeri sulla linea MilanoColonia (Volo AZ 460) e doveva percorrere
la rotta Trezzo, Trasadingen.
Il decollo è avvenuto con notevole
ritardo dall’aeroporto di Milano Linate alle
ore 18.13 circa del meridiano di Greenwich.
A bordo vi erano il Comandante Lamberto
Figura 1. L'ATR 42 della compagnia ATI
Lainé, il Copilota Pierluigi Lampronti,
l’assistente di volo Carla Corneliani e 34 passeggeri di varie nazionalità. L’aereo, su autorizzazione
del Comandante, veniva sin dall’inizio pilotato da Lampronti.
In base alle informazioni loro fornite prima della partenza, i piloti erano a conoscenza che i
bollettini meteorologici prevedevano lungo la rotta la possibilità di formazioni di ghiaccio, sia pure
moderate. La cognizione di tale previsione è confermata dal colloquio registrato dal CVR tra il
Comandante e il copilota antecedente al decollo in ordine a talune modalità del decollo in “ice
condition” in caso di avaria di un motore.
Al secondo 971 delle registrazioni FDR, il Lampronti inseriva l’autopilota: il volo strumentale
proseguiva sino al secondo 1748.
Al secondo 1028 il copilota pronunciava la frase: “Non dovrebbe dare tutta questa eco”.
Al secondo 1130 il Lampronti su disposizione del comandante cambiava il modulo del
funzionamento dell’autopilota da VS (Vertical Speed, velocità di salita costante e velocità indicata
variabile) a IAS hold (velocità indicata costante e velocità di salita variabile). Fino al secondo 1740
l’aereo viaggerà ad una velocità costante sui 130/133 nodi.
Il velivolo era entrato in nube (venivano spente le strobe light) e in tale condizione procederà fino
all’epilogo.
Intorno al secondo 1289 il velivolo a turboelica King Air HB-GGU decollato alcuni minuti
prima dell’ATR 42 e procedete sulla stessa rotta comunicata all’ATC (Torre di Controllo) di Milano
Linate l’incapacità di superare le Alpi per problemi di ghiaccio dopo aver sorvolato il punto
NIKMO, corrispondete a Lecco, trovatosi a livello di volo 140. Lainé e Lampronti in quel momento
erano collegati con detta ATC su una frequenza diversa e perciò non hanno udito la conversazione.
Al secondo 1314 l’ATR 42 veniva autorizzato al livello di volo di 16.000 piedi. Intorno al secondo
1321 il King Air HB-GGU, sulla stessa frequenza alla quale era collegato l’ATR 42 n.46, ha
ottenuto dall’ATC l’autorizzazione a tornare indietro e ad atterrare in emergenza all’aeroporto di
Milano Malpensa, per ribadita impossibilità di prosecuzione del volo a causa di formazioni di
ghiaccio. Il dialogo fra detto aereo e l’ATC non è stato oggetto di commenti da parte di Lainé e
Lampronti.
Intorno al secondo 1375 il velivolo Crossair 914 che procedeva nella stessa zona,
comunicava sulla stessa frequenza cui era in quel momento collegato l’ATR 42 e l’altro aereo non
identificato, di avere avuto problemi di ghiaccio fino alla quota di volo 170:sempre senza commenti
da parte dei piloti dell’ATR 42.
Tra il secondo 1423 e il secondo 1492, mentre l’aereo procedeva a una velocità intorno ai 132 nodi
3
(in “ice condition” l’AFM – Aicraft Flight Manual – del costruttore prevedeva una velocità minima
di 135 nodi e l’OM – Operating Manual – della compagnia ATI, una velocità minima di 133 nodi,
come il FCOM – Flight Control Operating Manual – del costruttore autorizzava l’assistente di volo
a distribuire la cena ai passeggeri, dichiarando: “Non c’è turbolenza” e poco dopo diceva:
“Riposiamoci dieci minuti”.
Raggiunta la zona in cui il velivolo HB-GGU aveva trovato condizioni di ghiaccio, le prestazioni di
salita del velivolo cominciavano a decadere; venivano più volte azionate le luci d’ala, come risulta
dai rumori di interruttori registrati.
Al secondo 1577, l’ATC autorizzava al raggiungimento di 20.000 piedi di quota.
Nei secondi 1653/1667 la velocità di salita continuava a scendere, discontinuamente, portandosi
fino a 500 piedi al minuto contro un valore minimo normale di 1000 piedi.
Intorno al secondo 1668, dopo un’altra probabile accensione delle luci d’ala il copilota diceva:
“Sembra che si sia formato sulla parte posteriore vero?” e il comandante gli rispondeva: “Sopra…
guarda.”
Il tenore delle frasi e il contesto in cui sono state pronunciate… non consentono di dubitare che esse
si riferiscono al ghiaccio e che i due piloti lo hanno avvistato sulle ali del velivolo. Su questo tutte le
parti concordano.
Nonostante l’avvistamento del ghiaccio il velivolo continuava a procedere alla velocità
oraria di 132 nodi, mentre l’AFM (Aircraft Flight Manual) del costruttore e l’OM della compagnia
ATI per le condizioni di “ice accretion observed” prescrivevano rispettivamente le velocità minime
indicate di 145 nodi e di 143/148 nodi a secondo dell’inclinazione di virata.
Fra il secondo 1668 e il secondo 1740 il decadimento delle prestazioni di salita diminuiva sempre
più fino al valore di soli 200 piedi al minuto.
Al secondo 1740 il comandante ordina al copilota: “Guadagna quegli altri 4 nodi perché sennò non
saliamo più”. Questo ordine è stato poi inteso dai periti non come un aumento ma un’ulteriore
diminuzione di velocità, in quanto il FDR non ha registrato aumenti di velocità ma aumenti dei
valori di incidenza dell’elevatore.
D’altra parte le velocità consigliate per una buona salita risulta essere 130 nodi. Al secondo 1748
quando l’ATR 42 si trovava alla quota di 16.428 piedi, aveva inizio una caduta dell’ala destra per lo
stallo ossia perdita di portanza alla sua estremità che, nei secondi successivi, raggiungeva 41 gradi.
Veniva registrato dal FDR l’avviso acustico del distacco dell’autopilota. Per la brevità del suono e
per il dialogo tra i due piloti nei successivi secondi 1754-1755 si ritiene che il distacco
dell’autopilota sia stato effettuato per opera del Lampronti (copilota).
L’FDR, successivamente, registrava spostamenti dell’elevatore a cabrare, nonché rilevati movimenti
di alettoni e del timone, comportanti amplificazioni delle oscillazioni alari.
Intorno al secondo 1750 risuonava il preavviso acustico di stallo per il raggiungimento della soglia
di incidenza alare di 12.5°, sonda programmata per la condizione di “ice accretation observed”; ciò
implicava necessariamente che l’impianto “de ice” era inserito.
Subito dopo l’aeroplano iniziava a perdere quota, mentre si accentuavano i movimenti
dell’equilibratore a cabrare e le escursioni degli alettoni e del timone: intanto anche l’ala sinistra
stalla fino al raggiungimento di 100°.
Intorno al secondo 1755 al raggiungimento di 18° di incidenza (molto superiore alla soglia in
condizioni “ice accretation observed”), entrava in funzione lo stick pusher, congegno meccanico
che spinge in avanti la barra di comando dell’elevatore con forza di 40 chilogrammi portando lì
elevatore a picchiare ossia nella direzione giusta per fronteggiare una situazione di stallo.
Al secondo 1756, mentre l’elevatore si stava riportando a cabrare e stava diminuendo l’inclinazione
dell’ala sinistra, il copilota Lampronti pronunciava: “Giù…giù…giù”.
Subito dopo Lainé diceva: “Fermo, fermo” e prendeva i comandi.
4
Si verifica un altro stallo con caduta dell’ala destra fino a 105°.
Al secondo 1758 interveniva nuovamente lo stick pusher che, spingendo la barra in avanti, portava
l’elevatore in posizione a picchiare: subito dopo questa operazione, l’elevatore si riportava a
cabrare. La velocità d’ora in poi sarà in continuo aumento mentre l’aeroplano perdeva
continuamente quota.
Al secondo 1760, mentre era in corso una nuova caduta d’ala destra con culmine a 105°, il
comandante ordinava al secondo pilota: “Riduci il motore” e subito dopo il secondo dichiarava di
aver eseguito l’ordine; si accentuava la posizione dell’elevatore a cabrare.
Al secondo 1762 in discordanza con la posizione dell’elevatore, il relativo trim che nei minuti
precedenti era rimasto fermo nella posizione di 1.7° a cabrare, si muoveva a picchiare; nei secondi
successivi si portava ancor più a picchiare.
Ai secondi 1764 e 1765 risuonava nuovamente l’avviso acustico di stallo; si verificava una seconda
caduta d’ala sinistra fino a 135° e l’aereo assumeva, mentre continuava ad affondare a velocità
crescente, una posizione semi rovesciata.
Dopo un terzo intervento dello stick pusher, l’elevatore si portava a picchiare.
Nei secondi 1766/1770 la velocità indicata aumentava da 185 nodi a 231 nodi, l’inclinazione
sinistra si riduceva progressivamente, gli stalli d’ali avevano termine; l’elevatore era posizionato a
picchiare in concordanza con il trim; il fattore di carico aumentava con la punta massima di 1.9 g.
Il migliorato assetto del velivolo consentiva di intraprendere una “dolce” azione di rimessa
mediante cabrata.
Al secondo 1771 il secondo pilota esclamava: “Tiralo su, tira”, riferendosi con evidenza
all’elevatore da portare in posizione a cabrare.
Al secondo 1772 il comandante diceva: “sto tirando”, mentre l’elevatore si muoveva di poco nel
senso a cabrare: l’aeromobile superava la velocità di 250 nodi, massima velocità operativa (VMO)
consentita e certificata e cominciava a risuonare il relativo avviso acustico, di tipo prioritario.
Al secondo 1775 si registrava il movimento del trim a picchiare, fino al valore di 3.15°; l’elevatore
si muoveva anch’esso a picchiare fino al valere di 4.57°. Al secondo 1779 il comandante diceva
nuovamente: “sto tirando”. Al secondo 1780 il trim riprendeva ancora a muoversi nel senso a
picchiare, portandosi nei secondo successivi fino a fondo corsa, mentre l’elevatore si spostava
anch’esso sempre più a picchiare.
Il comandante, mente l’aereo stava superando la velocità di 330 nodi, rappresentante per
ragioni strutturali il limite massimo per la sua manovrabilità, gridava: “ho i comandi bloccati”.
Il medesimo al secondo 1787 gridava: “tira su” e al secondo successivo il copilota rispondeva “sto
tirando”, mentre l’allarme VMO continuava a suonare.
Al secondo 1789 il copilota Lampronti comunicava all’ATC di Milano Linate: “Alitalia 460, siamo
in emergenza”.
Il comandante al secondo 1793 gridava: “stiamo precipitando” e al secondo 1797 ancora: “ho i
comandi bloccati”.
Il volo si concludeva alle 18:29 GMT con l’impatto dell’aeroplano contro il suolo a velocità stimata
di 420 nodi.
5
La sentenza
Cinque anni dopo l'incidente, la Corte dichiara Jean Rech, ingegnere capo progettista della
ditta Aérospatiale, colpevole di carenze iniziali della manualistica del costruttore di cui era
responsabile, carenze che hanno inciso in modo determinante, anche se non esclusivo, su quelle
analoghe del manuale di impiego della Spa ATI, punto di riferimento dei piloti della compagnia.
Inoltre, concesse le attenuanti generiche, lo condanna alla pena di anni uno e mesi dieci di
reclusione. Pena sospesa e non menzione.
Escluso il concorso di colpa di Pierluigi Lampronti, condanna Jean Rech e i responsabili
civili Spa Aérospatiale e G.I.E. ATR, in solido tra loro e con gli imputati Settimio Marselli, Adriano
Paccarié, Ettore Grion e i responsabili civili Spa Alitalia e Spa ATI, già condannati in primo grado.
Macro-eventi
1. Avventata decisione di decollo:
I piloti erano a conoscenza prima della partenza della possibilità di incorrere nella
formazione di ghiaccio sull'ala, seppure il bollettino meteo non fosse spiccatamente critico.
Sapevano anche entrambi di non aver mai volato né simulato voli in cui risultassero delle
formazioni di ghiaccio eppure hanno chiesto autorizzazione al decollo.
2. Continuazione del volo in condizioni potenzialmente rischiose:
I piloti non hanno considerato, o non hanno udito, le conversazioni del King Air HBGGU e del Crossair 914 che confermavano il potenziale rischio di formazione di ghiaccio e
hanno così continuato il volo.
3. Primo stallo ala destra:
Per colpa del mancato avvistamento di ghiaccio sull'ala e della cattiva gestione del
volo in ice condition, in particolare relativamente alla velocità indicata (IAS) che veniva
tenuta troppo bassa durante la fase di salita, si verifica un primo stallo dell'ala destra.
4.
Perdita di controllo del velivolo e impatto con il terreno:
Dopo il primo stallo ne seguono altri, uno successivo all'altro, per colpa della
noncuranza della corretta procedura e per la mancata ottimizzazione nell'utilizzo dei
comandi e dei controlli di volo. Ne deriva così una rapida perdita di quota dell'aeroplano e il
successivo impatto al suolo.
6
Event Time Line (ETL)
•
Sec 0
Inizio registrazioni
•
h 18:13
Decollo
•
Sec 971
Inserimento autopilota
•
Sec 1289
Comunicazione incapacità di superare le Alpi da King Air HB-GGU
•
Sec 1314
Autorizzazione al livello di volo 16000 piedi
•
Sec 1321
Autorizzazione a King Air atterraggio d’emergenza a Malpensa
•
Sec 1375
Crossair 914 comunica problemi di ghiaccio a livello di volo 17000 piedi
•
Sec 1577
Autorizzazione al livello di volo 20000 piedi
•
Erronea continuazione del volo
•
Sec 1653
Velocità di salita in drastico calo
•
Sec 1668
I piloti notano il ghiaccio
•
Sec 1748
Primo stallo ala destra
•
Sec 1751
Stallo 2 (ala sinistra)
•
Sec 1755
Stick pusher in funzione
•
Sec 1757
Stallo 3 (ala destra)
•
Sec 1758
Stick pusher in funzione
•
Sec 1760
Stallo 4 (ala destra)
•
Sec 1765
Stallo 5 (ala sinistra)
•
Sec 1772
Superamento VMO
•
Sec 1787
Superamento 330 nodi
•
Sec 1789
Chiamata d’emergenza all’ATC di Milano Linate
•
h 18:29
Impatto con il suolo
7
Analisi dell'incidente (Metodo ISAAC)
Seguiranno diagrammi per l'analisi dei fattori umani e guasti tecnici, tabelle riassuntive per
la classificazione degli errori (Active e Latent Error) e un'ulteriore catalogazione attraverso lo
schema della “Sporca Dozzina” (Fallible-Machine) e a tale proposito si riporta la struttura della
tassonomia associata al modello Fallible-Machine e l'elenco delle categorie della Sporca Dozzina
(Dirty Dozen).
Latent Errors
Slips
Lapses
Active Errors
Mistakes
Violations
Figura 2. Struttura tassonomia associata al modello Fallible-Machine
Legenda diagrammi
A
B
A è implicato da B
A
B
A implica B
Causa comune a più sottoeventi
Macro-evento
Evento / causa / conseguenza
8
Tabella I. La “Sporca Dozzina” e gli antidoti proposti per combatterla
9
Macro-evento 1
AVVENTATA DECISIONE DI DECOLLO
Percorso Fattori Umani
Percorso Guasti Tecnici
Carenza di informazioni
su precedenti inconvenienti
in ice condition su ATR 42
○ Mistake
Poca esperienza piloti
sul velivolo ATR 42
Assegnazione dei
piloti/velivolo della
compagnia aerea
○ Mistake
Scarsa conoscenza del volo
in ice condition su turboelica
○ Mistake
Condizioni meteo sfavorevoli
Possibile ghiaccio
Processo organizzativo:
Preparazione pre-volo malgestita Aérospatiale e ATI
10
Macro-evento 2
ERRONEA CONTINUAZIONE VOLO
Percorso Fattori Umani
Percorso Guasti Tecnici
Decisione sbagliata
○ Violation
Autorizzati da ATC al
volo a quota 16000 piedi
e poi a quota 20000 piedi
Cattiva valutazione
delle condizioni di volo
Non sentita comunicazione
King Air: radio su frequenza
diversa
○ Slip
○ Mistake
Sottovalutazione atterraggi
di emergenza King Air e Crossair
○ Mistake
Proce sso organizzativo:
Mancata preparazione dei piloti per il volo con rischio di
ghiaccio su velivoli turboelica
11
Macro-evento 3
PRIMO STALLO ALA DESTRA
Percorso Fattori Umani
Percorso Guasti Tecnici
IAS troppo bassa: Mantenuti
132 nodi anzichè 145 prescritti
○ Mistake
Noncuranza della
corretta procedura per condizioni
di ice accretion observed
○ Mistake
Bassa visibilità a
causa del volo in nube
Mancato avvistamento
di ghiaccio sull'ala
○ Slip
Errore late nte :
Familiarità bassa o nulla dei piloti
con la situazione di rischio in atto
○ Mistake
Processo organizzativo:
Mancata preparazione dei piloti per il volo con rischio di
ghiaccio su velivoli turboelica;
ignoranza di precedenti inconvenienti occorsi ad ATR 42
nelle suddette condizioni.
12
Macro-evento 4
IMPATTO AL SUOLO
Percorso Fattori Umani
Percorso Guasti Tecnici
Perdita di controllo
Stallo 5
○ Slip
○ Mistake
Panico fra i
piloti
○ Slip
Riduzione
motore
○ Violation
Stallo 4
Cattiva
gestione stallo
3
○ Mistake
○ Mistake
Inesperienza dei
piloti
Cattiva
gestione stallo
2
○ Mistake
Ghiaccio sull'ala
Stallo 3
○ Mistake
Stick pusher in
funzione
○ Lapsus
Stallo 2
○ Mistake
Cattiva
gestione stallo
1
○ Mistake
Stallo 1
○ Mistake
13
Tabella riassuntiva errori e fattori umani
ERROR
HUMAN FACTOR
Active (AC) / Latent (L)
“Sporca Dozzina”
Poca esperienza
AC
1
Scarsa conoscenza
L
1
Carenza informazioni
L
/
Non sentita comunicazione
L
/
Cattiva valutazione
AC
3
Sottovalutazione atterraggi
AC
3
Decisione sbagliata
AC
3
Mancato avvistamento
AC
6
Noncuranza procedure
AC
12
IAS troppo bassa
AC
1
Stallo 1-5
AC
/
Cattiva gestione stallo
AC
6,8
Stick pusher
L
/
Riduzione motore
AC
1
Panico piloti
L
8
Perdita controllo
AC
1,8
EVENTO
14
Conclusione
Si è visto dall’analisi come una serie di eventi ha portato alla catastrofica fine della missione
dell’ATR 42. Il metodo ISAAC ha voluto mettere in risalto, oltre che alla sequenza logica temporale
delle cause e degli eventi, la classificazione dei fattori umani.
È stata applicata la tassonomia relativa al modello “Fallible-Machine” (Reason, 1990) e lo schema
della “Sporca dozzina”, così da distinguere i vari errori nel campo fattori umani.
Si vuole ricordare che nell’analisi sono state usate espressioni come “Erronea”, “Avventato”,
“Errore”. Queste non vogliono in nessun modo essere un giudizio sulle procedure o i fatti accaduti,
ma solo una semplice constatazione dell’accaduto in vista del fallimento finale, in quanto l’analisi
proposta, come già detto, vuole essere spunto di riflessione e non un tentativo di giudizio.
Bibliografia
•
Rivista Volare, data di pubblicazione non nota: dall'articolo tratto da tale rivista è stato e
riportato fedelmente il resoconto dell'accaduto in quanto particolarmente dettagliato ed
esaustivo
•
Sicurezza del trasporto aereo, P. Carlo Cacciabue, Springer Verlag Italia, 2009
•
La Repubblica, 16 aprile 1989
•
Internet: fonti varie
15
