Come è possibile che abbiano (in questo od altri casi) spento il motore sbagliato? Perchè è un'operazione consentita. Qualcuno chiede come mai sia consentita da una macchina tecnologicamente avanzata un'operazione "sbagliata"? Ecco, questo è un po' più complesso.
L'avionica per molti anni ha convissuto con una serie di problematiche: garantire l'affidabilità, contenere i costi entro limiti ragionevoli, evoluzione degli altri sistemi di bordo, scarsità di potenza di calcolo, interfaccia uomo/macchina e poi magari me ne vengono altri.
Garantire affidabilità si fa con cose semplici: chi ad esempio studia la sensoristica cercherà di fare qualcosa che rileva la grandezza richiesta in maniera affidabile e me la trasmette in maniera affidabile. Questo modo di operare ha portato alle prime generazioni di sistemi elettronici che mimavano il comportamento dei precedenti elettromeccanici, cioè per ogni grandezza G da monitorare venivano definite due soglie INF e SUP. Allo sforamento sopra o sotto della soglia scattava l'allarme sul pannello di pertinenza. Se la pressione di uno pneumatico scende sotto il valore soglia P si accende la lucina. Perchè ciò avvenga con la stessa affidabilità dei sistemi elettromeccanici (o meccanici e idraulici, pensate all'autofeather di un multielica) vi assicuro che serve un pochino di ingegno.
Il passo successivo è la combinazione di una serie di questi parametri elementari (dati) ad estrarre cose di livello superiore (informazioni). Esempio al volo il sistema che avvisa della configurazione di decollo non corretta, che impila una serie di "SE" (flap<X, slat<y, og=1, throttle>z, ...) e "capisce" che stai per andare su con una configurazione non corretta. Da qui (ed è uno dei casi più banali) una serie di possibilità: agire per impedire la manovra o segnalare. Il secondo caso è la lucina, la prima è un pochino più complessa. Supponiamo di voler agire (ci torno dopo), su cosa agisco? La mia avionica deve governare un velivolo composto da molti sistemi e, se voglio fare qualcosa, come minimo devo avere autorità su di essi. Quindi deve esistere una nuova catena che viaggia nel senso opposto a quella di cui abbiamo discusso in apertura, non dal sensore all'avionica, ma dall'avionica al dispositivo che governa ciò che è misurato. Dal nulla abbiamo inserito una complicazione estremamente seria.
Procediamo con l'esempio del TOWS. Il sistema decide che deve fare qualcosa, ha autorità su flap/slat, freni e manette. Quale è la risposta "GIUSTA"? Slam on brakes, throttle to idle, estensione a caso della biancheria? E stiamo parlando di un problemino da checklist.
L'avionica odierna grazie a memoria e capacità di calcolo superiori, software di generazione più moderna, vanno oltre il concetto di Soglia/Allarme e possono considerare cose come l'evoluzione nei tempo di un parametro, le soglie non sono più fisse ma vengono (entro certi termini) imparate, la possibilità di correlare dati semplici per acquisire un'informazione è molto aumentata consentendo di scrivere logiche complesse (qualcuno, sbagliando, azzarderebbe dire intelligenti). Abbiamo allarmi migliori (niente più spie sulla tensione bassa del generatore se è il primo minuto di runtime dopo uno stop di almeno 6 ore), failure prediction per cogliere gli avvisi che forse qualcosa si sta per rompere senza accendere un albero di Natale in cockpit, abbiamo autorità su molti sistemi di condotta e non.
Tuttavia resta il problema non legato alle tecnologie che ho esemplificato sopra. Per tanti parametri che io consideri e correli, l'unico che ha la situational awareness necessaria per prendere decisioni da cui dipende la vita della gente ed i bilanci di una compagnia è il comandante. Perchè il mondo non è in bianco e nero. Noi, adesso, possiamo dire che il motore 2 "non funzionava bene". L'ipotesi che qualcuno ha ventilato sopra di bloccare lo spegnimento del motore "buono", forse ma forse, in questo caso avrebbe aiutato, ma se fosse stato un sensore difettoso? Un calo temporaneo di potenza, carburante inquinato, una valvola di xfeed impastata o altro? Se per sbloccare la manetta del motore da spegnere davvero si fossero persi secondi preziosi? Stiamo parlando di 1000ft, tra l'inizio e la fine del disastro è passato un amen.
Per ogni emergenza ci sono delle procedure. Per arrivare ad un IFS di un motore bisogna scorrere un lista di attività e controlli. Certo che la procedura può essere scorsa a volte e attuata in automatico dall'avionica, ma se fosse così banale nessuno manterrebbe le procedure per tutte le possibili emergenze, basterebbe il software. Decidere che un motore "non va" non è un'operazione binaria.
Per le cose dove nessuno può fare obiezioni le nuove avioniche fanno il possibile, ma rimane un'area ampissima di margine in cui la discrezionalità è nella persona e così deve restare. Le protezioni dell'inviluppo di volo hanno dato una grande sicurezza su alcune macchina, un ciclo chiuso male ha portato l'AF447 in fondo al mare.
Ex post, con un singolo caso da analizzare e dati già disponibili, la macchina avrebbe potuto forse fare di più. Ma generalizzare una soluzione puntuale è estremamente rischioso.
Vediamo se dall'analisi di questo (come altri) disastro verranno fuori delle raccomandazioni diverse dalla migliore collaborazione nel cockpit, nel caso verranno scritte le procedure e dove si tratti di logiche "assolute" implementate dall'avionica.
Una persona può sbagliare, forse siamo di fronte a questo caso, l'avionica un po' meno perchè si tende a non assegnarle in maniera esclusiva compiti troppo difficili.
Piuttosto rari, ma ci sono anche casi in cui l'avionica 1. ha dati validi dai sensori, 2. ha una procedura per valutarli, 3. decide un'azione, 4. ha i mezzi per comandarla, 5. fallisce nel farlo per un suo problema interno.
Ciao
p.s.
L'ho fatta molto semplice su molti aspetti importanti, è per brevità.