Alla fine anche l’Europa ha dovuto cedere e francamente non me lo sarei mai aspettato. Da oggi il Boeing 737 MAX non potrà solcare i cieli di gran parte del Vecchio continente a causa di una spirale autopoietica in cui l’emotività ha nettamente prevalso sulla razionalità. Nell’articolo di ieri ho cercato tecnicamente di spiegare il problema evidenziato da FAA nella sua Direttiva del 7 novembre scorso. Cercherò con questo articolo di dimostrare che si sta alimentando un’onda mediatica su Boeing basata su assunzioni al momento inconsistenti e prive di alcuna logica ingegneristica.
Vorrei intanto partire da un assunto che credo sia incontrovertibile, ovvero che il Boeing 737 MAX è da ritenersi l’erede ovvero l’evoluzione del Boeing 737 Next Generation. Quest’ultimo è l’aeroplano che ha scritto la storia dell’aviazione dell’ultimo ventennio, fattore fondamentale dello straordinario successo imprenditoriale di Southwest (che sino a poco tempo fa ha utilizzato anche il 737 Classic) e di RyanAir, la cui flotta è interamente composta da aeromobili 737/800 NG. Bene, se i dati oggettivi dimostrano la straordinaria affidabilità dei 737 NG series occorre adesso porre l’attenzione su alcuni aspetti tecnici che cercherò di rendere quanto più chiari possibile anche ai non addetti ai lavori.
Iniziamo introducendo una prima immagine tratta dal manuale operativo del 737 MAX che ci mostra i sistemi di controllo dell’assetto di volo dell’aereo:
I sistemi descritti nell’immagine hanno un’architettura abbastanza tradizionale, ovvero Boeing, a differenza di Airbus, rimane fedele alla sua tradizione manifatturiera applicando anche all’ultima versione del 737 il concetto che potremmo definire una combinazione tra il supporto idraulico e quello elettronico. La spinta idraulica atta a muovere le superfici mobili dell’aeromobile per garantirne il centraggio è gestita in prima istanza da un sistema denominato “Elevator Feel & Centering Unit” che risponde direttamente ai comandi manuali dei piloti. L’impulso idraulico sulle superfici mobili viene controllato da un sistema computerizzato denominato “Elevator Feel Computer” che riceve i dati attraverso due moduli indipendenti di sistema inerziale gli ADIRUs che a sua volta raccolgono i dati trasmessi dai sensori che rilevano i dati relativi alla velocità attraverso il tubo di Pitot, alla temperatura esterna e infine all’ormai tristemente famoso Angle of Attack (AoA). Di fatto quindi il valore del coefficiente angolare dell’aeromobile rispetto all’orizzonte è determinato dalle unità ADIRUs secondo il seguente schema sempre tratto dal manuale operativo dell’aeromobile:
A proposito di sicurezza, argomento su cui Boeing non è seconda a nessuno, il diagramma ci descrive l’inserimento delle ultime porte statiche alternative e della sonda di Pitot ausiliare i cui dati confluiscono verso una terza unità di computer (Air Data) totalmente indipendente nel cockpit.
A questo punto, volendo comparare i sistemi sin qui descritti con quelli del Boeing 737/NG series si può facilmente verificare che sono assolutamente uguali se non per un’unica variazione sostanziale riferita allo spoiler system che nel Boeing NG series è meccanico e invece nella serie MAX è diventato Fly-By-Wire. Ma questa variazione non incide sulla vertical speed e quindi sull’assetto dell’aeromobile, per cui non può avere alcuna influenza su un’eventuale picchiata e non può condizionare in alcun modo il famoso AoA. Va da sé a questo punto che dal punto di vista del trimmaggio ovvero il sistema che garantisce l’assetto del 737NG e quello del 737 MAX sono perfettamente identici.
Occorre ora chiedersi quali sono le superfici mobili dell’aeroplano che ne garantiscono l’assetto e quali sono le modifiche su tali superfici che Boeing ha inteso apportare al modello MAX, rispetto al modello precedente NG. Anche in questo caso ci viene incontro il manuale operativo del Boeing 737 MAX che ci mostra quanto segue:
Bene, le superfici mobili che garantiscono l’assetto in volo del 737 MAX sono perfettamente identiche a quello del modello precedente, tant’è che l’immagine sopra tratta dal manuale operativo del 737 MAX è perfettamente sovrapponibile a quella presente sul manuale operativo del 737 NG. Ecco quindi dimostrato con il famoso detto “carta canta” che ci troviamo di fronte a una contraddizione in termini su cui molto probabilmente i vari Enti regolatori che si sono affrettati a chiudere il proprio spazio aereo al 737 MAX dovrebbero seriamente riflettere e intanto iniziare chiedersi se le attuali direttive in termini di sicurezza aeronautiche sono adeguate alla tecnologia dei nuovi aerei e dei nuovi motori.
A mio avviso, il tema di fondo che forse è venuto il momento di trattare a seguito di questa drammatica vicenda dei due incidenti in cui oltre 300 persone hanno perso la vita è chiarire una volta per tutte che l’automazione di un aeromobile non è disegnata a misura di pilota e non dobbiamo dimenticare che la sicurezza a bordo viene assicurata dall’essere umano ed è per questo che ormai da anni non perdo occasione per esaltare l’importanza delle risorse umane nel settore dell’aviazione. Il pilota, gli assistenti di volo, gli ingegneri e i meccanici che sono la cosiddetta manodopera diretta sono determinanti sia per la sicurezza che per il risultato reddituale di una aerolinea. Gli ausili tecnologici sono importanti e molto utili, ma l’automazione senza l’indispensabile opera della filiera umana non può garantire il risultato ottimale per quello che riguarda la sicurezza.
Oggi la funzione dello staff che incide direttamente sulle operazioni volo è profondamente cambiata, a iniziare dalla performance dei piloti che costituiscono l’elemento critico della sicurezza del volo. Abbiamo infatti che, mentre negli aeroplani tradizionali si poteva parlare di alternativa tra meccanica ed elettronica, nel senso che la cloche pur se supportata da meccanismi idraulici era collegata meccanicamente alle superfici aerodinamiche, nel caso degli aerei moderni, come abbiamo visto dalla descrizione dei sistemi su riportati, il pilota non muove più nulla di meccanico. Quindi, se nel pilotare un aereo di vecchia generazione come l’MD-80 il pilota poteva escludere l’automazione, negli aerei moderni, c’è sempre una mediazione tra elettronica e input del pilota.
Di fatto, sospendere l’operatività del 737 MAX in alcune parti del mondo è un’operazione tanto populista quanto flebile sul piano della sicurezza che potrebbe anche portare a conseguenze socioeconomiche non di poco conto. Il problema non si risolve con decisioni di pancia dettate dall’emotività sia pur giustificata del momento e, per esempio in ENAC, dove vi è un ottimo livello medio di professionalità, credo ne siano assolutamente coscienti. Il fatto che l’Autorità dell’aviazione civile italiana si sia dovuta adeguare a EASA ci sta tutto, ciò non toglie che la paventata e pubblicizzata modifica dell’ormai famosissimo MCAS a seguito della quale verrà revocato il provvedimento di chiusura dello spazio aereo per il 737 MAX è il cosiddetto “pannicello caldo”.
Il MCAS, ovvero il sistema software di cui tanti giornali hanno parlato tra ieri e oggi, altro non è che una parte del sistema illustrato nel terzo diagramma e non vi è alcun segreto che Boeing ha mantenuto per sé in quanto già presente nel modello NG. Forse se davvero si vuole fare un passo avanti in termini di sicurezza occorre un preventivo esercizio di onestà intellettuale, e ammettere che i due tragici incidenti che hanno coinvolto il Boeing 737 MAX sarebbero potuti capitare anche a un altro tipo di velivolo, poiché un segnale falso da parte delle sonde dell’angolo di attacco provoca una reazione dell’automazione a picchiare e se ciò avviene a bassa quota ci sono poche probabilità per i piloti di cabrare, riprendendo il controllo del velivolo. Chi conosce un po’ questo mestiere sa che episodi di perdita di assetto non sono poi così rari. Potrei qui citarne uno capitato qualche tempo i fa a un aeroplano Lufthansa che non era un Boeing 737 MAX. In quel caso fortunatamente i piloti si trovavano a 30.000 piedi e quando percepirono il problema ebbero il tempo necessario per capire come interrompere la discesa non comandata del velivolo pur perdendo circa 4.000 piedi di quota prima di riprenderne il controllo.
Anche guardando in casa della concorrenza di Boeing non si può negare un’anomalia che affligge l’Airbus 320’s family denominata Side-Stick Interference in cui la cloche elettronica del pilota manda segnali random che rendono le azioni sulla stessa cloche non compliance agli standard usuali e potrei continuare nel fare qui ulteriori esempi di ulteriori velivoli.
A questo punto mi chiedo quanto vale in termini di sicurezza la decisione che le autorità aeronautiche europee hanno preso su questo aeroplano destinato a essere il leader incontrastato del mercato per la prossima decade. Temo poco, molto poco! Molto facile decidere di fermare un aeroplano nel proprio spazio aereo, molto più difficile analizzare a fondo il rapporto uomo/tecnologia in termini di sicurezza delle operazioni volo e cercare di definire in modo chiaro e coerente ai livelli tecnologici odierni il cosiddetto “punto di rottura”, quello che poi è il vero responsabile delle due tragedie a cui abbiamo recentemente assistito.
