POLITECNICO DI MILANO
Facoltà di Ingegneria Industriale
Corso di Laurea in
Ingegneria Aerospaziale
L’analisi dei fattori umani nella manutenzione dei velivoli
Il metodo “Root Cause Analysis” nell’indagine di un’occorrenza reale
Relatore: Prof. Cesare CARDANI
Tutor Accademico: Ing. Pietro Carlo CACCIABUE
Tesi di Laurea di:
Lucia GABRIELI
Matr. 670417
Anno Accademico 2007 – 2008
1
2
Ringraziamenti
A Mammà e a Paolo per avermi stoicamente sopportata dal primo giorno in cui ho
varcato le soglie del Politecnico fino a quello della mia laurea. Un grazie enorme,
perché “la prugna ce la siamo mangiata tutti insieme”.
A papà, per aver pazientemente ascoltato tutte le mie recriminazioni, sia pur con un
inesorabile sospiro alla fine di ogni mio discorso. E per le estati in campagna, passate
col naso all’insù a guardare gli aerei militari in addestramento. Grazie.
Grazie al prof. Cesare Cardani, per aver approvato fin da subito con entusiasmo
l’argomento della mia tesi e per avermi incoraggiata nello sviluppo di questo lavoro. La
mia sincera riconoscenza va anche al mio tutor accademico, l’ing. Pietro Carlo
Cacciabue, che mi ha seguita con costanza durante questi mesi e mi ha guidata alla
scoperta del mondo dell’analisi delle occorrenze.
Tutto questo mio lavoro non sarebbe stato possibile se non avessi incontrato Dario R.,
il mio tutor aziendale. Grazie, Dario, per avermi affidata alla tua super squadra di
tecnici e avermi fatto vivere in prima persona le giornate-tipo della manutenzione di
linea. Grazie per esserti tirato giù dal letto all’alba per farmi volare, grazie per aver reso
indimenticabile il mio tirocinio e avermi permesso di analizzare questa occorrenza nella
mia tesi.
I miei più sentiti ringraziamenti vanno anche ai tecnici della compagnia, per essersi
dimostrati fin da subito molto disponibili e pazienti nei miei confronti. In particolar
modo vorrei ricordare Giacomo, Mathieu e Paolo, per la bella amicizia che è nata.
Carlo, per tutte le mattine passate insieme, colazioni incluse! I also want to thank Marc,
Mark, Niels, and Stuart, for having been such wonderful mates during these last months.
Infine, un grazie speciale va ai miei amici che mi hanno incoraggiata lungo tutto questo
mio percorso universitario: abbiamo festeggiato insieme i bei momenti e i successi,
abbiamo condiviso storie, esperienze e ci siamo divertiti parecchio. Ma non solo questo.
Voi, amici, mi avete spronata nei momenti difficili, mi avete sopportata e consolata
quando mi sentivo a terra. È soprattutto per questo che vi ringrazio, perché mi siete
sempre restati vicini, anche quando forse ero intrattabile, e mi avete fatto capire che su
di voi posso sempre contare. Per questo vi ringrazio infinitamente.
In modo particolare vorrei esprimere la mia riconoscenza a Luca, Silvia e Federico:
dall’epoca di Guidonia ne sono successe di cose e insieme abbiamo passato momenti
splendidi. Grazie a Delly: ci conosciamo da un decennio e siamo cresciute
insieme…grazie per le tue missive recapitate tramite mio fratello, grazie perché ci sei
sempre per me, grazie per i nostri rendez-vous, come li chiami tu. Grazie a Eleonora,
mia compagna di avventure e sventure: ci siamo incoraggiate e depresse a vicenda, ci
siamo inviate centinaia di e-mail a catena… forza, perché adesso tocca a te! Grazie ad
Andrea e Paolo: su di voi posso sempre contare, tranne che per i locali da sperimentare,
che si rivelano regolarmente autentiche fregature… Vi voglio bene!
3
4
Indice Generale
Elenco delle figure ............................................................................................................7
Lista delle abbreviazioni ...................................................................................................9
INTRODUZIONE...........................................................................................................11
1
Human factors .........................................................................................................15
1.1
Il modello SHEL .............................................................................................15
1.1
Il modello di Reason .......................................................................................18
1.2
La sporca dozzina............................................................................................21
2
La safety: come migliorarla ....................................................................................27
3
Le classi di occorrenza ............................................................................................31
3.1
Le definizioni delle classi di occorrenza.........................................................31
4
I metodi di analisi....................................................................................................35
4.1
La Root Cause Analysis..................................................................................35
4.1.1
Definizione..............................................................................................35
4.1.2
Fasi della Root Cause Analysis...............................................................37
4.1.3
La tassonomia ADREP applicata alla RCA ............................................38
4.1.4
La metodologia ISAAC applicata alla RCA ...........................................42
4.2
L’Accident Investigation.................................................................................44
4.3
Human Factors Analysis and Classification System.......................................45
4.3.1
HFACS....................................................................................................45
4.3.2
HFACS-ME ............................................................................................48
4.4
Maintenance Event Decision Aid....................................................................51
5
Analisi dell’occorrenza ...........................................................................................55
5.1
Descrizione dell’occorrenza............................................................................55
5.1.1
Descrizione del fatto ...............................................................................55
5.1.2
Le probes di un Airbus A320 ..................................................................58
5.1.3
Il flight deck di un Airbus A320 .............................................................62
5.1.4
Procedura corretta AIRBUS....................................................................68
5.2
Analisi tramite metodologia ISAAC...............................................................68
5.2.1
Definizione degli eventi che hanno portato all’occorrenza.....................68
5.2.2
Evento 1: Il decollo .................................................................................71
5.2.3
Evento 2: Rientro alla base .....................................................................76
5.3
Analisi tramite metodologia SHELL ..............................................................78
5.4
Raccomandazioni ............................................................................................81
5.5
Esempio di Pre-flight checklist .......................................................................82
APPENDICE...................................................................................................................85
6
Human factors nella manutenzione e ispezione degli aeromobili...........................85
6.1
Scambio di informazioni / Comunicazione.....................................................85
6.1.1
Comunicazione tra membri di un team e tra gruppi diversi....................85
6.1.1.1 Comunicazione orale e scritta .............................................................85
6.1.1.2 Comunicazione non verbale................................................................86
6.1.1.3 Comunicazione all’interno di un team ................................................86
6.1.1.4 Comunicazione tra diversi team..........................................................87
6.1.2
Work logging and recording ...................................................................87
6.1.3
Keeping up-to-date, currency..................................................................88
6.1.4
Dissemination of information .................................................................88
5
6.2
Training........................................................................................................... 88
6.2.1
Problemi associati al training.................................................................. 89
6.2.2
Metodologie di training........................................................................... 90
6.2.3
Considerazioni sul training ..................................................................... 92
6.3
Ambiente e condizioni di lavoro..................................................................... 93
6.3.1
Definizione posti di lavoro...................................................................... 93
6.3.2
Fattori ambientali .................................................................................... 94
6.3.3
Condizioni di lavoro................................................................................ 97
7 Documentazione fotografica ................................................................................. 101
BIBLIOGRAFIA .......................................................................................................... 109
6
Elenco delle figure
1-1 MODELLO SHELL (1975)..................................................................................................................... 15
1-2 MODELLO DI REASON ........................................................................................................................... 18
2-1 MODELLO ICEBERG DELLE OCCORRENZE .............................................................................................. 27
4-1 ADREP: LIVELLI DI ACCURATEZZA DEI DESCRIPTIVE FACTORS ........................................................... 41
4-2 RAPPRESENTAZIONE GRAFICA DI UN’OCCORRENZA TRAMITE METODOLOGIA ISAAC .......................... 42
4-3 HFACS: ORGANIZATIONAL INFLUENCES.............................................................................................. 46
4-4 HFACS: UNSAFE SUPERVISION ............................................................................................................ 46
4-5 HFACS: PRECONDITIONS FOR UNSAFE ACTS ........................................................................................ 47
4-6 HFACS: UNSAFE ACTS ......................................................................................................................... 48
4-7 HFACS-ME: CATEGORIE DI ERRORI .................................................................................................... 49
4-8 ANALISI FAA SU 15 OCCORRENZE: RIPARTIZIONE DEGLI ERRORI SUI VARI LIVELLI ORGANIZZATIVI .... 50
4-9 MEDA: I FATTORI CAUSALI .................................................................................................................. 52
4-10 MEDA: PROCEDURA DI INVESTIGAZIONE ........................................................................................... 53
5-1 COLLOCAZIONE DELLE PROBES SULLA FUSOLIERA DI UN A320 ............................................................ 58
5-2 STATIC PORTS LATO SINISTRO AIRBUS A320 ........................................................................................ 59
5-3 STATIC PORTS AIRBUS A320................................................................................................................. 60
5-4 DISPOSITIVO DI PROTEZIONE DELLE STATIC PORTS DI UN AIRBUS A320 ............................................... 61
5-5 STATIC PORTS AIRBUS A320: DISPOSITIVO DI PROTEZIONE IN POSIZIONE ............................................. 62
5-6 FLIGHT DECK AIRBUS A320.................................................................................................................. 63
5-7 FLIGHT DECK AIRBUS A320: PANNELLO STRUMENTI (LATO CPT.)........................................................ 63
5-8 FLIGHT CONTROL UNIT AIRBUS A320: CLOSE-UP DI A/P E A/TH ........................................................ 64
5-9 PRIMARY FLIGHT DISPLAY AIRBUS A320............................................................................................. 65
5-10 PRIMARY FLIGHT DISPLAY AIRBUS A320........................................................................................... 65
5-11 ECAM AIRBUS A320: ENGINE/WARNING DISPLAY............................................................................. 66
5-12 ECAM AIRBUS A320: SYSTEM DISPLAY ............................................................................................ 66
5-13 ECAM AIRBUS A320: E/WD FAULT .................................................................................................. 67
5-14 ECAM AIRBUS A320: SD FAULT ....................................................................................................... 67
5-15 EVENT TIME LINE ............................................................................................................................... 70
5-16 ANALISI DELL’OCCORRENZA TRAMITE METODOLOGIA ISAAC: EVENTO 1: IL DECOLLO .................... 71
5-17 ANALISI DELL’OCCORRENZA TRAMITE METODOLOGIA ISAAC: EVENTO 2: RIENTRO ALLA BASE ...... 76
5-18 PRE-FLIGHT CHECKLIST AIRBUS A320................................................................................................ 83
5-19 PRE-FLIGHT CHECKLIST AIRBUS A320................................................................................................ 84
6-1 ANDAMENTO DELLA TEMPERATURA CORPOREA IN BASE ALL’ORA DEL GIORNO ................................. 100
7-1 COPERTURE PER LE PRESE TAT E PER I PITOT IN POSIZIONE SULLA FUSOLIERA DI UN AIRBUS A320.... 101
7-2 PITOT PROBE AIRBUS A320 ................................................................................................................ 102
7-3 PITOT PROBE AIRBUS A320: DISPOSITIVO DI PROTEZIONE .................................................................. 102
7-4 PITOT PROBE AIRBUS A320: DISPOSITIVO DI PROTEZIONE IN POSIZIONE ............................................. 103
7-5 STANDBY STATIC PORT AIRBUS A320................................................................................................. 104
7-6 STANDBY STATIC PORT AIRBUS A320................................................................................................. 104
7-7 STANDBY STATIC PORT AIRBUS A320: DISPOSITIVO DI PROTEZIONE................................................... 105
7-8 STANDBY STATIC PORT AIRBUS A320: DISPOSITIVO DI PROTEZIONE IN POSIZIONE ............................. 105
7-9 TAT PROBE AIRBUS A320 ................................................................................................................... 106
7-10 TAT PROBE AIRBUS A320: DISPOSITIVO DI PROTEZIONE ................................................................... 106
7-11 TAT PROBE AIRBUS A320: DISPOSITIVO DI PROTEZIONE IN POSIZIONE .............................................. 107
7
8
Lista delle abbreviazioni
A/P
A/TH
ACAS
ADIRU
ADR
ADREP
ALTN LAW
AMM
AOG
APU
ATC
ATL
ATM
CAA
CBT
CRM
CRS
E/WD
EADI
EASA
ECAM
ENAC
ETL
FAA
FAC
FCU
FD
FL
HFACS
HFACS-ME
HPIM
ICAO
INOP
IR
ISAAC
JAA
JAR
MARSS
MEDA
MEL
MM
MRM
NTSB
OJT
Auto/Pilot
Auto/Throttle
Airborne Collision Avoidance System
Air Data Inertial Reference Unit
Air Data Reference
Accident/Incident Data Reporting
Alternate Law
Aircraft Maintenance Manual
Aircraft On Ground
Auxiliary Power Unit
Air Traffic Control
Aircraft Technical Logbook
Air Traffic Management
Civil Aviation Authority
Computer-based training
Crew Resource Management
Certificate of Release to Service
Engine/Warning Display
Electronic Attitude Director Indicator
European Aviation Safety Agency
Electronic Centralised Aircraft Monitor
Ente Nazionale per l’Aviazione Civile
Event Time Line
Federal Aviation Administration
Flight Augmentation Computer
Flight Control Unit
Flight Director
Flight Level
Human Factors Analysis and Classification System
Human Factors Analysis and Classification System-Maintenance Extension
Human Performance In Maintenance
International Civil Aviation Organization
Inoperative
Inertial Reference
Integrated Systemic Approach for Accident Causation
Joint Aviation Authorities
Joint Aviation Requirements
Maintenance And Ramp Safety Society
Maintenance Error Decision Aid
Minimum Equipment List
Maintenance Manager
Maintenance Resource Management
National Transportation Safety Board
On the Job Training
9
PFD
RCA
SD
SMAC
TAT
TCAS
W/O
10
Primary Flight Display
Root Cause Analysis
System Display
Simple Method for Accident Causation
Total Air Temperature
Traffic Collision Avoidance System
Work Order
INTRODUZIONE
Da recenti studi 1 risulta che tra il 70% e l’80% degli accident e degli incident
verificatisi negli ultimi anni sono in parte attribuibili ad errori umani. In generale, dagli
anni Cinquanta in poi, con l’introduzione dei jet, la percentuale degli incidenti aerei è
nettamente diminuita; tuttavia, mentre sono stati fatti grandi progressi nella diminuzione
degli eventi dovuti a guasti della macchina, c’è ancora molto da fare riguardo alla
componente umana del sistema. Il peso dell’errore umano negli incidenti aerei è rimasto
inalterato, mentre i guasti delle componenti elettriche e meccaniche e i problemi dovuti
ai fattori ambientali sono stati notevolmente ridotti. È dunque fondamentale rivolgere
l’attenzione al versante umano del sistema, per cercare di renderlo meno fragile e
realizzare un sistema più sicuro.
Si è partiti anni fa dallo studio delle problematiche relative agli equipaggi di
volo; tali analisi sono poi culminate nelle iniziative note come Cockpit Resource
Management. Ma l’interesse sulle performance umane non si è fermato al personale di
volo, poiché si è notato che anche gli addetti alla manutenzione dei velivoli erano affetti
da pressioni simili a quelle cui erano sottoposti gli equipaggi.
La manutenzione dei velivoli è un’attività particolarmente complessa, ed è
importante cercare di eliminare tutte le complicazioni e gli imprevisti che possono
sorgere, e cercare di ridurre lo stress. Purtroppo, la tecnologia attuale ha portato con sé
nuove pressioni. Per ogni nuovo aereo che viene progettato, il personale addetto alla
costruzione del velivolo e coloro che sono preposti alla sua manutenzione devono
seguire corsi di addestramento di livello particolarmente avanzato e, dato che i sistemi
attuali presenti sugli aerei sono molto meno meccanici e molto più gestiti da software,
l’interfaccia uomo-macchina si è fatto assai più delicato.
Negli ultimi decenni gli errori di manutenzione dovuti alla scarsità di
performance dei tecnici, all’ambiente di lavoro, all’organizzazione della manutenzione
stessa sono aumentati. Gli errori di manutenzione provocati da human factors possono
rappresentare un grave pericolo per la safety e rappresentano una delle maggiori cause
di occorrenze nel settore dell’aviazione. Inoltre, dalle analisi condotte dalla CAA a
livello mondiale, si è visto che negli ultimi dieci anni la percentuale di errori umani che
ha contribuito ad accident e incident nella manutenzione è intorno al 7% - 15%.
I primi metodi sviluppati per l’analisi di accident e incident non riuscivano a far
emergere dalle ricerche la presenza di errori umani come fattori causali; ciò era dovuto
al fatto che i metodi di investigazione seguivano un approccio di tipo ingegneristico, più
che un metodo attento ai fattori umani. Attualmente, invece, sono stati sviluppati diversi
strumenti e tecniche per l’investigazione e l’analisi degli errori umani intesi come fattori
causali nella manutenzione dei velivoli. Esempi di questi nuovi metodi per lo studio
delle occorrenze da un punto di vista dello human factor sono le tassonomie sviluppate
dalla Boeing, dalla US Naval Aviation e dall’ ICAO.
1
H. M. Alexander, N. B. Sarter, “Error Types and Related Error Detection Mechanisms in the Aviation
Domain: An Analysis of Aviation Safety Reporting System Incident Reports”, International Journal of
Aviation Psychology (2 aprile 2000), pp. 189 – 206.
11
Human Factors
Occorre definire che cosa si intende quando si parla di fattori umani nel settore
dell’aviazione. Lo studio dei fattori umani coinvolge direttamente più discipline, che
vanno dalle scienze sociali alla psicologia, dalla fisiologia agli studi comportamentali.
In particolare, lo scopo ultimo di questi studi è quello di ottimizzare le performance
umane e di ridurre gli errori compiuti dagli individui. La scienza che studia gli human
factors esamina il modo in cui le persone interagiscono tra di loro e come esse si
adattano all’ambiente circostante, intendendo per ambiente non soltanto quello fisico di
lavoro, ma anche l’attrezzatura e le macchine.
Ma non solo. Lo studio degli human factors analizza anche in qual modo la
performance del singolo possa influire su quella di un gruppo, e dedica la sua attenzione
all’analisi delle limitazioni e delle potenzialità degli individui, in relazione alle
contingenze e ai fattori che li circondano.
Viene dedicata molta attenzione al problema dei fattori umani perché,
nonostante una tecnologia sempre più affidabile, l’ultimo anello della catena sono le
persone, e sono loro a determinare il successo e la sicurezza, oppure no, del sistema
dell’aviazione. Chi lavora in questo campo deve continuare ad aggiornarsi, deve essere
flessibile, efficiente, e lavorare sempre con occhio critico e concentrazione ai massimi
livelli.
In questi ultimi decenni, l’industria si è resa conto dell’importanza fondamentale
che rivestono le persone all’interno del sistema ed è per questo motivo che le
organizzazioni aeronautiche hanno compiuto grossi investimenti negli addestramenti e
nelle apparecchiature. La tecnologia continua ad evolvere molto in fretta, ma gli studi
sul modo in cui gli esseri umani interagiscono con essa non riescono a starle al passo. È
per questo che anche nella progettazione di un nuovo velivolo si pone grande attenzione
agli aspetti del design e delle procedure, dal punto di vista dello human factor, e ci si
impegna al massimo affinché le macchine siano il più user-friendly possibile.
Scopo della tesi
Questo lavoro si pone come obiettivo l’investigazione dei fattori umani che
intervengono nel settore della manutenzione dei velivoli, attraverso l’analisi di
un’occorrenza avvenuta all’interno della Compagnia aerea presso la quale si è svolto il
tirocinio. Lo studio del caso viene condotto per mezzo della Root Cause Analysis.
In particolare, all’interno delle svariare teorie di RCA, si è scelto di ricorrere
all’uso della metodologia ISAAC (Integrated Systemic Approach for Accident
Causation). Scopo dell’analisi dell’occorrenza è quello di individuare i fattori causali
che l’hanno generata. Grazie all’analisi delle cause è possibile andare a fondo
nell’investigazione di un’occorrenza e si possono individuare i fattori, attivi e latenti
all’interno del sistema, che ad un certo punto si sono combinati tra loro, provocando
l’occorrenza.
Alla fine del lavoro di analisi sarà possibile formulare delle raccomandazioni,
affinché l’organizzazione possa mettere in atto delle misure correttive.
12
Struttura della tesi
Capitolo 1
Questo capitolo offre una rassegna di modelli per lo studio dei fattori umani. In
particolare, verranno menzionati i modelli SHEL e Reason. La scelta di questi due
modelli è stata determinata dalla loro validità storica e dal fatto che sono alla base dei
metodi di analisi che saranno esaminati nei capitoli seguenti. Verranno inoltre esaminati
i fattori umani che intervengono nella manutenzione dei velivoli e si porrà particolare
attenzione alla classificazione “dirty dozen” di tali fattori.
Capitolo 2
In questa seconda parte si affronta brevemente il problema della safety. Si illustra
perché sia necessaria non soltanto l’investigazione e l’analisi degli accident e degli
incident, ma anche delle occorrenze di entità minore, in modo da prevenire le
occorrenze e migliorare la safety stessa.
Capitolo 3
Prima di addentrarsi nello studio dei vari metodi di analisi, vengono chiariti i termini
che si utilizzano per indicare le occorrenze, che sono precisate e classificate in base alla
loro gravità.
Capitolo 4
In questo capitolo si prendono in esame alcuni importanti metodi di analisi delle cause.
Dopo aver descritto in che cosa consiste la RCA, si passa all’analisi dei metodi HFACS,
HFACS-ME, MEDA, ISAAC, ADREP.
Capitolo 5
Viene introdotta ed in seguito analizzata un’occorrenza avvenuta nella Compagnia aerea
presso la quale è stato svolto il tirocinio. L’analisi dell’occorrenza viene condotta
tramite l’ausilio di ISAAC e del modello SHELL.
Appendice
In quest’ultima parte vengono riportate ancora delle considerazioni riguardo al
problema dei fattori umani. La sezione è strutturata sulla traccia dei manuali per
l’addestramento del personale manutentore. Si è voluto, con questa scelta, mostrare in
quale maniera viene affrontato il problema dello human factor direttamente dagli
interessati, ovvero da coloro che operano in prima linea.
Viene presentata anche una documentazione fotografica delle probes e delle loro
coperture usate per l’external cleaning.
13
14
1
Human factors
1.1
Il modello SHEL
Un incidente è dovuto a fattori causali, cioè una serie di situazioni, eventi minori
e circostanze che si sono concatenati in una sequenza logico-cronologica fino a portare
alla condizione critica di incidente. È risaputo che la gran parte degli incidenti è dovuta
all’uomo che interagisce con il sistema aeronautico (human factors). Questo concetto è
stato chiarito per mezzo del modello 2 SHEL
Il modello SHEL fu introdotto nel 1972 da E. Edwards e venne poi ampliato
(SHELL) e reso in via grafica nel 1975 da F. Hawkins.
1-1 Modello SHELL (1975)
I blocchi che compongono il modello, e le cui iniziali danno il nome a
quest’ultimo, sono:
SSoftware (procedure, simbologie, norme, ecc.)
HHardware (macchina)
EEnvironment (ambiente, le condizioni nelle quali il sistema L-H-S deve funzionare)
LLiveware (uomo)
2
Un modello è una rappresentazione astratta di un sistema, e può essere fisico, matematico, verbale, o
una combinazione di questi. Ad esempio, un modellino di un aeromobile in scala, utilizzato nella galleria
del vento, viene considerato un modello fisico. I modelli hanno tre funzioni: essi consentono
di fare previsioni nei casi in cui dati significativi non siano disponibili, indirizzano le ricerche suggerendo
esperimenti, e forniscono un quadro che aiuta a organizzare i dati. La maggior parte dei modelli tenta di
descrivere e prevedere il comportamento di sistemi in condizioni normali di esercizio.
15
Liveware: l’uomo viene collocato al centro del modello, poiché viene
considerato l’elemento critico, ma anche il più flessibile, del sistema. Ogni persona
opera all’interno del sistema in base alle proprie capacità e all’esperienza; tuttavia
bisogna tenere presente che l’essere umano presenta delle variazioni, anche consistenti,
di performance, dovute alla forma fisica, ai bisogni fisici, all’ambiente di lavoro, ecc.
L’individuo non può essere cambiato, però il suo comportamento può essere modificato
per mezzo di un adeguato addestramento e di un continuo supporto. Dal momento che il
cuore del sistema è l’uomo, tutti gli altri componenti dovrebbero essere adattati ad esso.
Capita tuttavia che gli individui non riescano ad interfacciarsi in maniera perfetta con le
altre parti del sistema; ad esempio, un uomo può interfacciarsi perfettamente con la
parte macchina del sistema, ma non con il software o con l’ambiente.
Si noti che è per questo motivo che i bordi di tutti i blocchi del sistema sono
frastagliati; ciò significa che gli altri componenti del sistema devono essere
attentamente adattati all’elemento umano, per evitare di stressare il sistema e portarlo ad
un cedimento. Dove per cedimento si intende il verificarsi di un’occorrenza, di un
incident, o un accident. Per fare in modo che i bordi dei vari blocchi si uniscano in
maniera perfetta, è necessario capire a fondo quali sono le caratteristiche di ogni
individuo, come ad esempio la sua forma fisica, i bisogni fisici e fisiologici, il suo modo
di ragionare, il suo modo di interagire con l’ambiente circostante.
Individuata l’importanza fondamentale della componente umana, occorre
analizzarne le interazioni con gli altri blocchi del modello.
Liveware-Software: vede l’uomo interfacciarsi con gli aspetti non fisici del
sistema, come le procedure, il layout di checklist e manuali, la simbologia, i programmi
informatici. I problemi che qui insorgono sono meno tangibili rispetto a quelli che
riguardano il rapporto liveware-hardware e, di conseguenza, sono più difficili da
individuare e risolvere (ad esempio errori di interpretazione delle checklist o della
simbologia adottata). A tal proposito si può osservare che per raggiungere un alto livello
di sicurezza nelle operazioni è necessario che il software sia strutturato in maniera tale
da non essere in conflitto con le caratteristiche, i modi di procedere e di ragionare tipici
dell’essere umano; inoltre gli utenti devono essere addestrati opportunamente per poter
sfruttare in maniera efficace il software che hanno a disposizione.
Liveware-Hardware: questo interfaccia è quello maggiormente considerato
quando si parla dei sistemi uomo-macchina. L’ergonomia si occupa in gran parte, anche
se non esclusivamente, di problemi derivanti da questa interazione. I vari display, la
strumentazione possono indurre in errori di percezione e di elaborazione. È molto
importante la comunicazione tra gli utenti finali della macchina (manutentori, equipaggi
di volo) e chi l’ha progettata; ciò può ridurre potenziali hazard e serve come feedback
per il costruttore, che così facendo viene a conoscenza degli eventuali problemi e delle
limitazioni del velivolo.
Liveware-Environment: nel campo dell’aviazione questa interazione è stata la
prima ad essere considerata. Se all’inizio era l’uomo che si adattava all’ambiente (ad
esempio utilizzando caschi, tute di volo, maschere per l'ossigeno, tute anti-G), in seguito
si è cercato di modificare l’ambiente esterno secondo le esigenze dell’uomo (ad esempio
mediante la pressurizzazione del velivolo e l’uso di aria condizionata).
Al giorno d’oggi ci sono nuovi problemi da affrontare, come le alte
concentrazioni d’ozono e le radiazioni a quote di volo elevate, i problemi associati al
disturbo dei ritmi biologici e del sonno a causa dei voli transmeridiani ad elevate
16
velocità. Poiché illusioni e disorientamento sono causa di molti eventi accidentali,
bisogna prendere in considerazione anche gli errori percettivi indotti dalle condizioni
ambientali (specie quelli che si verificano in fase di approccio ed atterraggio). Il
sistema-aviazione opera all’interno di un ben determinato contesto manageriale politico
ed economico. Sarebbe opportuno studiare dunque anche le modalità con cui l’uomo
interagisce con questo ambiente. Fino a questo punto si è parlato di ambiente esterno,
ma in realtà vanno considerate le relazioni uomo-ambiente esterno/interno. Come
esempi di ambiente interno si possono citare: temperatura, luce, rumore, vibrazioni,
qualità dell’aria. Come esempi di ambiente esterno si possono invece elencare:
visibilità, condizioni meteo, spazio. Le task che vengono eseguite in condizioni
atmosferiche cattive o in hangar non adeguatamente equipaggiati risentiranno in
maniera più o meno pesante delle prestazioni umane. Ci sono infine altri fattori che
rientrano nella categoria di quelli ambientali, e sono le pressioni commerciali,
economiche, politiche.
Liveware-Liveware: questo è il rapporto tra le varie persone, come ad esempio
le relazioni tra il personale adibito alla manutenzione dei velivoli e gli equipaggi di
condotta. Si consideri il caso degli equipaggi: la formazione degli equipaggi di volo e la
verifica delle loro abilità sono sempre state svolte su base individuale. Se ogni singolo
membro dell’equipaggio veniva considerato abile nel suo lavoro, allora si riteneva che
anche la squadra composta da questi individui avrebbe funzionato. Non accade però
sempre così, e negli ultimi anni si è posta particolare attenzione al lavoro di squadra.
L’equipaggio di volo agisce in quanto squadra; pertanto devono essere analizzate le
interazioni tra i vari membri del gruppo, poiché sono proprio queste interazioni a
determinare quale sarà il comportamento del gruppo e la sua performance. 3 Quando si
vanno a studiare i rapporti che intercorrono tra i membri di una squadra, si devono per
forza tenere in conto vari aspetti, come la cooperazione tra vari individui, la capacità di
lavorare in équipe, l’interazione tra diverse personalità, la comunicazione, la stima e la
sicurezza di sé, le relazioni che intercorrono tra il personale di prima linea e il
management, quella che viene detta “corporate culture”, la pressione aziendale,
l’ambiente che si “respira” all’interno dell’organizzazione. Sono questi tutti elementi
che influiscono sulla performance dei singoli.
Nonostante l’ICAO abbia approvato il modello SHELL, molte organizzazioni
nel campo dell’aviazione oggigiorno non utilizzano tale modello, perché non è
abbastanza sofisticato per quanto riguarda l’analisi dell’elemento umano nel sistema e si
concentra solamente sull’interazione tra l’uomo e la macchina. Gli aspetti, altrettanto
importanti, di tipo sociale, cognitivo, organizzativo ricevono, al suo interno, gran poca
considerazione. 4
3
L’ICAO ha pubblicato lo “Human Factors Digest No. 2 - Flight Crew Training: Cockpit Resource
Management & Line-Oriented Flight Training”. In questo documento viene descritto qual è l’approccio
attuale dell’industria dell’aviazione nei problemi di interfaccia uomo-ambiente. Vengono inoltre
considerate le relazioni staff/management, perché pressioni da parte dell’azienda possono incidere in
maniera significativa sulla performance dello staff. In questo documento si dimostra inoltre l’importanza
del ruolo del management nel prevenire gli incidenti.
4
S. Shappell, D. Wiegmann, “Human Error Perspectives in Aviation”, The International Journal of
Aviation Psychology (2001) 4, pp 341-357.
17
1.1 Il modello di Reason
Uno degli studi più significativi condotti sul tema dell’errore umano è
certamente quello di James Reason (University of Manchester). Nel 1990 Reason
propose un modello per l’analisi e l’identificazione dei fattori causali che provocano le
occorrenze, detto “Swiss Cheese Model”. Per Reason il sistema dell’aviazione altro non
è che un sistema complesso il cui obiettivo è quello di condurre in sicurezza le
operazioni di volo, sia riguardo il trasporto di cose/persone, sia riguardo altre missioni.
Si riporta di seguito il grafico 5 modificato del modello sviluppato da Reason.
1-2 Modello di Reason
5
Il grafico analizzato è quello che viene riportato nei seguenti documenti ICAO:
-Human Factors Digest No. 7: Investigation of Human Factors in Accidents and Incidents, ICAO
Circular 240, Montreal, 1993. (Nel quale vengono riportate le basi dello studio del fattore umano e viene
introdotto un metodo per l’investigazione della componente umana negli incidenti).
-Human Factors Digest No. 10: Human Factors, Management and Organization, ICAO Circular 247,
Montreal, 1993. (Nel quale si affronta il concetto di sicurezza sistemica -systemic safety- e si presenta la
base per l’implementazione di programmi di sicurezza).
18
Il modello a formaggio svizzero illustra come i fattori umani contribuiscono agli
accident. Al giorno d’oggi, grazie agli sviluppi tecnologici nel campo dei sistemi
aeronautici e grazie alle barriere difensive che vengono adottate all’interno delle
organizzazioni, difficilmente le occorrenze hanno origine a causa di errori da parte del
personale che opera in prima linea o a causa di cedimenti di sistemi fondamentali.
Solitamente le occorrenze avvengono a causa della scarsa integrazione uomo-macchina.
Nella sua “Teoria degli errori”, Reason individua due categorie di errori:
Active failure: sono gli errori commessi nell’intraprendere una determinata azione. Le
loro conseguenze sono immediate. In genere questi sbagli sono causati da chi opera
direttamente sul fronte. Gli active failures si possono a loro volta suddividere in:
 Slips: errori commessi nelle attività di routine, a causa di una scarsa
preparazione o insufficiente abilità della persona preposta allo svolgimento di
questa determinata azione; si può dire che gli slips sono errori che si verificano
in buona fede (idea di partenza buona, ma esecuzione sbagliata).
 Lapses: errori provocati da un lapsus di memoria. Il risultato dell’azione
intrapresa è diverso da quello che ci si aspetta.
Latent failure: sono gli errori che non vengono commessi durante l'esecuzione pratica
di un compito. Si tratta di errori latenti, cioè quegli sbagli che rimangono occulti fino a
quando non si verifica un evento scatenante (triggering event) che finalmente svela le
potenzialità di danno. Si sviluppano nell’ambito della pianificazione strategica, anche se
poi l’azione finale è compiuta da un operatore direttamente coinvolto con il servizio
finale. Si può quindi affermare che sono proprio le scelte organizzative sbagliate a
rappresentare la causa (root-cause) che genera l’evento. Le decisioni sbagliate o le
azioni intraprese incorrettamente non è detto che siano pericolose fin da subito; possono
però aprire delle finestre nel sistema e gli operatori di prima linea è probabile che
commettano delle active failure che riescono ad infrangere tutte le difese del sistema e a
causare l’occorrenza. Se vengono dunque delineati una strategia e un modo di procedere
sbagliati, allora come conseguenza si avrà una concatenazione di azioni non corrette
(eppur coerenti con l’intenzione prefissa).
Anche questi errori possono a loro volta essere suddivisi in due sottocategorie:
 Rule-based: si mettono in atto delle procedure che seguono delle ben
determinate regole, ma queste procedure non permettono di raggiungere
l’obiettivo prefissato.
 Knowledge-based: di fronte ad una situazione nuova, l’individuo non sa come
comportarsi e improvvisa; egli compie delle azioni correttamente di per sé ma
del tutto fuori luogo nella particolare situazione.
Quando una falla latente diventa attiva allora questa può rompere le barriere
difensive del sistema. Si può dunque affermare che esiste una relazione tra falle latenti e
falle attive; la presenza di barriere di sicurezza nel sistema interviene per chiudere
quelle finestre di possibilità – entro le quali si verificano le conseguenze delle falle
latenti - che sono generate dai difetti presenti nell’organizzazione.
Nella trattazione si considerano anche le violazioni, cioè tutte quelle azioni
intraprese anche se espressamente vietate da norme o regolamenti. Possono essere
compiute delle violazioni sia involontariamente, sia volontariamente. Nel secondo caso,
esse possono essere motivate dall’intenzione di sveltire determinate procedure di routine
o dall’intenzione di nuocere.
19
È sempre possibile che si verifichino degli errori e degli incidenti, questo perché
un’organizzazione aeronautica è particolarmente complessa e sono parecchi i fattori che
possono intervenire e sviluppare un danno. Se il sistema è ben progettato, allora gli
errori latenti e quelli attivi potranno interagire tra di loro ma solamente in casi rarissimi
troveranno una breccia nelle difese. In caso contrario, se le difese si dimostreranno
inadeguate, la probabilità di incidente risulterà alta. Si può vedere un’azienda del settore
dell’aviazione come un sistema dotato di vari livelli di difesa/protezione dall’errore.
Ogni livello corrisponde ad una fetta nel modello del formaggio svizzero. All’interno di
ogni livello esistono vari punti deboli (i buchi della fetta di formaggio), che possono
favorire l’apertura di falle. Quando i buchi delle varie fette si allineano tra di loro, allora
si concretizza un evento avverso. In altre parole, è necessario che una concatenazione di
eventi superi tutte le difese del sistema affinchè si verifichi l’incidente.
Secondo Reason gli incidenti che accadono sono solo la punta di un iceberg; ciò
sta a significare che per ogni errore od incidente che si verifica, ve ne sono stati molti
altri che non sono accaduti solamente perché è intervenuta una circostanza (un
controllo, oppure un’azione del tutto casuale) che ne ha impedito l’accadimento. Si
parla dunque dei “near miss events”, o “incidenti potenziali”.
Ne consegue che in un sistema, per ogni incidente che si verifica, esistono
diversi altri errori latenti. Più che cercare di prevenire gli errori attivi, è importante
impegnarsi per eliminare a monte le condizioni generatrici della falla attiva, cioè gli
errori latenti.
All’interno dell’industria aeronautica, il prof. Reason individua i seguenti
elementi chiave:
Decision-makers: (high-level management, the company's corporate or the regulatory
body): sono loro che gestiscono le risorse disponibili e stabiliscono quali sono gli
obiettivi che devono essere raggiunti (in termini di rispetto delle condizioni di sicurezza
e in termini di trasporto cargo/passeggeri in orario e cost-effective). Essi possono
prendere delle decisioni che si riveleranno fallibili, come ad esempio nell’ambito della
selezione dei piloti, nella scelta e nella standardizzazione degli aerei.
Line management: costituito da coloro che attuano le decisioni e le strategie prese
dalle alte sfere manageriali. Solitamente è il line management che organizza le attività
di manutenzione della flotta. Le inefficienze dei dirigenti possono far sì che si
verifichino errori (ad esempio equipaggi mal assortiti).
Preconditions: sono le condizioni necessarie affinché possano essere attuate le azioni
stabilite dal management.
Lo staff deve essere ben addestrato e conoscere alla perfezione i concetti sulla base dei
quali deve lavorare e gli strumenti con cui deve operare; tutto l’equipaggiamento deve
essere sempre disponibile e ben tenuto; l’ambiente di lavoro deve rispondere a
determinati requisiti di sicurezza. Il maltempo, l’inadeguatezza delle infrastrutture di
terra, per esempio, possono portare a falle nel sistema.
Productive activities: sono gli obiettivi prefissati, ciò che deve essere raggiunto. Si
tratta di uno degli elementi chiave del modello.
In questa fetta del modello sono inclusi tutti gli operatori di prima linea (tecnici, piloti).
Sono loro che a turni devono affrontare il livello delle preconditions e assicurarsi che il
loro lavoro sia svolto in condizioni di sicurezza; sono loro che sperimentano nel loro
lavoro l’interfacciamento continuo con le macchine. Anche in questo caso
20
un’inadeguata preparazione alle operazioni che gli operatori sono chiamati ad eseguire e
una consultazione errata dei documenti condurranno ad un errore.
Defences: sono le difese che devono essere adottate per evitare il verificarsi di danni a
persone o cose, interruzioni prolungate del servizio che sono in ogni caso prevedibili in
seguito a studi condotti e all’esperienza acquisita negli anni. Se le difese sono
inadeguate (scarsa coordinazione tra i membri dell’equipaggio, incapacità da parte
dell’equipaggio di interpretare correttamente la situazione), si perviene ad un errore di
tipo attivo.
Il modello di Reason è un buono strumento per l’identificazione dei fattori causali
che portano alle occorrenze; tuttavia questo strumento non riesce a identificare la natura
dei buchi presenti nel sistema. È un modello valido per un utilizzo accademico e serve a
capire qual è il contributo dell’errore umano nelle occorrenze, ma si rivela poco utile sul
campo poiché non è molto analitico. Tuttavia l’ICAO raccomanda l’utilizzo del modello
SHELL come strumento nell’investigazione degli incidenti aerei.
1.2 La sporca dozzina
Le prestazioni e le limitazioni dell’individuo hanno grande importanza nella
manutenzione degli aeromobili. Al giorno d’oggi, il modo di operare nel campo della
manutenzione dei velivoli è completamente differente da come era all’inizio
dell’aviazione. Gli aerei sono diventati dei sistemi tecnologici particolarmente
complessi: il tecnico deve possedere adeguate conoscenze teoriche sul funzionamento e
sull’architettura di tali sistemi; deve essere capace di svolgere test su questi sistemi e
saper interpretare i risultati; inoltre, egli deve essere in grado di utilizzare numerosi e
diversi strumenti, macchine, equipaggiamenti necessari per effettuare la manutenzione
dei velivoli. Infine, il tecnico certificato con Part 66 deve essere capace di ispezionare e
correggere fault di tipo sia meccanico sia elettrico. Tutti questi requisiti, che devono
essere pienamente soddisfatti dal tecnico, costituiscono però un ulteriore aggravio in
termini di carico di lavoro e hanno dirette conseguenze sulla performance. L’attività di
manutenzione è impegnativa sia a livello fisico sia a livello di carico mentale. È dunque
fondamentale che il tecnico goda di ottima salute, poiché questa può influenzare le sue
prestazioni. Se una persona è affetta da problemi a livello fisico o mentale, le sue
difficoltà possono diventare fattori scatenanti per il verificarsi di un errore umano
durante le operazioni di manutenzione dei velivoli.
Nei paragrafi che seguono si affronteranno i vari fattori che sono potenziali
cause di human error, dove per errore umano si intende una deviazione dalle azioni da
intraprendere per raggiungere un certo risultato prefissato. La maggior parte degli errori
umani avviene in modo involontario; nel caso contrario l’errore umano viene definito
violazione.
Se verso la fine degli anni ’60 la componente umana che contribuiva a causare le
occorrenze poteva essere stimata attorno al 20%, attualmente essa costituisce l’80%. Il
motivo di questo incremento è che mentre l’affidabilità dei sistemi e dei componenti
elettrici e meccanici è aumentata, grazie ai progressi fatti in questi settori, purtroppo la
componente umana non è di molto migliorabile. Inoltre non si deve trascurare il fatto
che i velivoli sono ormai dei sistemi sempre più automatizzati, ciò che aumenta la
complessità dell’interfaccia uomo/macchina.
21
Reason ha affermato che si possono considerare gli errori umani da due diversi
punti di vista: il person approach e il system approach. I due approcci sono caratterizzati
da altrettanti modelli per lo studio delle cause che hanno portato all’errore e da
altrettante filosofie di controllo dell’errore. Vengono qui di seguito brevemente
affrontati entrambi gli approcci.
 Person approach: si concentra sugli errori compiuti dai singoli che operano in
prima linea, colpevolizzando le persone per le loro mancanze, distrazioni,
disattenzioni, scarsa motivazione, negligenza, incoscienza nello svolgimento dei
loro compiti. Questo approccio vuole evitare il ripetersi dei sopracitati
comportamenti e, per ottenerlo, ricorre all’adozione di misure disciplinari nei
confronti dei colpevoli, puntando al senso di vergogna e di disonore del singolo
che viene colto in fallo.
 System approach: parte dal presupposto che gli esseri umani non sono
infallibili e che anche nella migliore organizzazione possibile gli errori umani
sono un’eventualità che va tenuta in conto. Gli errori non sono più visti come
una causa, ma come una conseguenza di altri fattori che si sono sviluppati
all’interno del sistema. Per questo motivo, il metodo focalizza la sua attenzione
sulle condizioni dell’organizzazione in cui il personale è chiamato a lavorare. Un
tale approccio cerca di costruire delle barriere difensive all’interno del sistema,
per bloccare o almeno mitigare gli effetti degli errori e, nell’eventualità in cui un
errore si verifichi, non tenta di attribuire la colpa ad un individuo, bensì cerca di
scoprire come mai e in che modo una o più barriere difensive abbiano ceduto.
Per eliminare o, quantomeno, cercare di tamponare questi errori, è fondamentale
non solo capire gli errori umani, ma anche esaminare il contesto nel quale sono
avvenuti. È qui che vengono introdotti i sistemi 6 per l’analisi e la classificazione dei
fattori causali che portano agli errori umani nell’ambito della manutenzione in
aviazione.
Negli anni ’90, il Transport Canada ha introdotto una lista nella quale vengono
raccolte le cause più frequenti di errori umani nella manutenzione aeronautica. Questa
lista raccoglie per la precisione 12 elementi ed è per questo che è stata chiamata “The
dirty dozen”, la sporca dozzina. La lista stata concepita all’interno dello sviluppo del
programma Human Performance In Maintenance Parts 1 & 2 (HPIM). Tra le persone
coinvolte nella messa a punto del HPIM va ricordato Gordon Dupont, 7 considerato il
padre della sporca dozzina. Egli è stato inoltre uno dei fondatori della Maintenance
And Ramp Safety Society (MARSS). 8
Si analizzano qui di seguito i 12 fattori che possono influenzare il
comportamento dei manutentori.
6
Il primo dei due strumenti di analisi è: Human Factors Analysis and Classification System (HFACS), in
particolare la sua estensione all’ambiente della manutenzione, quindi HFACS-ME, dove ME sta per
Maintenance Extension; il secondo strumento invece è: Maintenance Error Decision Aid (MEDA).
7
Gordon, prima di essere ingaggiato dal Transport Canada, ha lavorato per 7 anni presso il Canadian
Transport Safety Board come investigatore; in quegli anni ha avuto modo di toccare con mano gli effetti
devastanti degli errori umani nell’aviazione. Gordon ha poi lavorato per il Transport Canada dal marzo
del 1993 all’agosto del 1999, nella funzione di Special Programs Coordinator. Il suo compito era quello di
coordinarsi con l’industria dell’aviazione per lo sviluppo di programmi che servissero a ridurre gli errori
compiuti nell’ambito della manutenzione dei velivoli.
8
Marss, <http://www.marss.org>
22
1) Lack of communication: la mancanza di comunicazione (scritta e orale) può
portare a malintesi tra due o più persone, il che può avere conseguenze catastrofiche.
Per evitare che ciò accada, bisogna che i tecnici comunichino tra di loro facendo uso
degli strumenti appositamente studiati per questo: technical logbook e worksheet.
Inoltre, nel caso sussistano dei dubbi, è importanti chiarirli prima di apprestarsi a
lavorare sulla macchina. Allo stesso modo, è fondamentale discutere il lavoro che va
eseguito e quello che è stato completato. Non bisogna mai dare per scontato o supporre
qualcosa, né si deve continuare il proprio lavoro se ad un certo punto è venuta a
mancare la comunicazione. Se ciò accade, bisogna fermarsi subito e si può riprendere
solo dopo aver ristabilito la comunicazione.
2) Complacency: questo fattore con il tempo può portare ad errori di
valutazione. Si verifica nel caso di un’azione di manutenzione ripetiva, per cui il tecnico
dopo un po’ smette di preoccuparsi di essa, non la esegue più o la esegue, ma in maniera
approssimativa, saltando dei passaggi, pensando che tanto sia inutile e che non possa
mai verificarsi un problema.
È importante addestrare i manutentori in modo tale che si aspettino di scoprire
dei guasti, sempre. Il tecnico non deve mai firmare per lavori che non ha eseguito.
3) Lack of knowledge: dovuta ad un training o ad una esperienza sul campo
insufficienti. Spesso la gente non vuole ammettere la propria ignoranza, ed è facile
immaginare come ciò possa avere conseguenze disastrose. Se un manutentore si accorge
di avere delle lacune, è importante che egli faccia in modo di assicurarsi tutto
l’addestramento necessario a colmare questi “vuoti”, usi tutti i manuali a sua
disposizione e chieda consigli e informazioni a chi è più esperto di lui.
4) Distraction: il tecnico abbandona (fisicamente e/o mentalmente) la task che
stava eseguendo. In un ambiente di lavoro dove le interruzioni sono frequenti e dove lo
stress dato dalla fretta di eseguire i lavori è elevato, è facile che il personale si
distragga. È fondamentale non interrompere mai un lavoro; bisogna assicurarsi di averlo
finito prima di rivolgere la propria attenzione altrove. Se proprio è necessario
abbandonare la task che si stava eseguendo, allora è buona norma lasciare una nota
scritta sul lavoro interrotto e, quando si ritorna, è raccomandabile verificare gli ultimi 3
passaggi che erano stati compiuti. L’utilizzo di checklist accurate è un buon deterrente
contro le dimenticanze dovute alla distrazione. Inoltre è importante concentrarsi su un
lavoro per volta.
5) Lack of teamwork: spesso è legata alla mancanza di comunicazione. È
importante discutere che cosa deve essere fatto, da chi e come. Bisogna assicurarsi che
tutti capiscano il lavoro e siano d’accordo sul modo di procedere.
6) Fatigue: la fatica è un fattore a cui bisogna prestare particolare attenzione.
Sovente, fino a quando una persona non è distrutta dalla fatica, non si accorge di essere
affaticata e non riesce a prevederne gli effetti. È importante prestare attenzione ai
sintomi della stanchezza in se stessi e nei colleghi di lavoro, ed evitare di eseguire task
complesse nei periodi di minimo del proprio ritmo circadiano. Un buon riposo e
l’attività fisica regolari possono aiutare a minimizzare la fatica. Infine chiedere ai propri
colleghi di controllare il lavoro che si è svolto serve come barriera difensiva.
7) Lack of resources: a volte capita che in loco non siano disponibili le
attrezzature necessarie per l’esecuzione di una task o che non ci siano le parti di
ricambio corrette. L’atteggiamento mentale del manutentore è quello del “posso farcela
23
anche così, senza l’attrezzatura adeguata”. Egli ne fa una questione personale: mettere a
terra l’aereo è come aver perso una partita, è disonorevole. D’altronde, autorizzare al
volo un velivolo che è stato riparato nella maniera sbagliata ha causato spesso gravi
incidenti in volo. È importante richiedere le parti di ricambio fondamentali in modalità
AOG 9 e in generale richiederle con un adeguato anticipo, quando possibile.
È dunque necessario tenere sempre sotto controllo la situazione del magazzino,
per garantire uno stoccaggio dei pezzi adeguato alle necessità dei manutentori. Per
esempio, potrebbe essere opportuno costituire una rete con altre organizzazioni di
manutenzione aerea per il prestito dei pezzi di ricambio e delle attrezzature.
8) Pressure: le industrie fanno pressione sui tecnici perché eseguano i lavori
entro certe scadenze, ma a volte non lasciano loro il tempo sufficiente per eseguire le
task. È importante che i manutentori non assecondino queste richieste della dirigenza e
si prendano tutto il tempo che occorre per eseguire i lavori in sicurezza. Un tecnico
deve imparare a dire di no se gli vengono fatte delle richieste assurde.
9) Lack of assertiveness: il manutentore deve individuare i problemi che
possono verificarsi ed essere sicuro di sé. Deve saper capire se i problemi sono tali da
inficiare il volo o se si possono risolvere in seguito. È buona norma segnare sui
logbook i problemi che sono stati rilevati e firmare solo per quelle componenti che sono
tornate ad essere serviceable dopo la manutenzione. Non bisogna mai abbassare i propri
standard nella manutenzione e, quando necessario, non si deve esitare a chiedere aiuto
al resto del team.
10) Stress: deve essere mantenuto entro certi livelli. Lo stress non è per forza di
cose nocivo, può anche essere positivo; non è un fattore misurabile e le sue conseguenze
dipendono da come il singolo reagisce ad esso. Il tecnico deve imparare a conoscersi e
deve sapere come reagisce sotto stress. Quando si trova davanti a un problema, deve
analizzarlo in maniera razionale, a freddo, e deve individuare il modo di procedere per
affrontarlo. Una volta scelta una via, il tecnico deve attenersi ad essa e, se è stanco, non
deve esitare a prendersi dei momenti di pausa. Infine, se necessario, il manutentore può
avvalersi del supporto della squadra, può farsi dare consigli, chiedere una supervisione e
anche un aiuto concreto nell’esecuzione della task. Per finire, una buona forma fisica
aiuta ad attenuare lo stress.
11) Lack of awareness: è il momento in cui una persona abbassa la soglia di
attenzione. La disattenzione si verifica molto spesso nell’ambiente della manutenzione:
il tecnico non riesce a prevedere tutte le possibili implicazioni del lavoro che sta
eseguendo. Nei manuali non vengono indicati quali saranno gli effetti di un errore
nell’esecuzione di una task e a volte certi passaggi non vengono spiegati in maniera
esauriente, lasciando al tecnico la facoltà di decidere sul modo di portare avanti il
lavoro. Talvolta, insomma, il manuale si rifà al buon senso del manutentore. Per evitare
che la mancanza di consapevolezza possa causare dei gravi inconvenienti, bisogna
pensare a cosa potrebbe succedere nel caso di un accident e verificare che il lavoro di
manutenzione svolto non sia in conflitto con altri interventi di riparazione eseguiti in
precedenza, magari anche chiedendo agli altri se per caso intravvedono dei problemi
che potrebbero presentarsi in seguito all’esecuzione di quel determinato lavoro.
9
Aircraft On Ground (AOG).
24
12) Norms: per evitare che si verifichino eventi indesiderati nell’ambito della
manutenzione aerea, è importante svolgere le task seguendo le istruzioni che le
accompagnano. Se queste risultano essere limitative rispetto al modo in cui una task
potrebbe essere eseguita seguendo il buonsenso, si dovrà segnalare la cosa e provvedere
ad aggiornare i regolamenti adattandoli alla situazione. Con ciò si nota che, dunque, non
sempre le procedure sono corrette e il personale manutentore deve seguirle con senso
critico.
25
26
2 La safety: come migliorarla
Una delle poche strade che oggi si possono seguire per ridurre ulteriormente e
prevenire gli accident è l’analisi delle occorrenze che sono già avvenute. In sostanza, si
tratta di imparare dagli errori del passato e di farne tesoro per evitare il loro perpetuarsi.
È dunque in questo ambito che si inseriscono l’idea di reporting obbligatorio e
volontario e quella di analisi di accident, incident, occorrenze e hazard. In sostanza, si è
dimostrato che, grazie alla segnalazione di occorrenze, si riesce ad individuare le falle
presenti all’interno delle organizzazioni aeree, e a debellarle in maniera tale da impedire
che esse possano riproporsi in un futuro, evolvendo al punto da generare di nuovo
un’occorrenza.
In un ambiente complesso come quello della manutenzione degli aerei, gli errori
nell’esecuzione di task vengono regolarmente commessi e molti di essi sono considerati
dei near-miss. E questo solo grazie al fatto che i vari sistemi di controllo, le barriere
difensive, insomma, impediscono loro di svilupparsi fino a portare a condizioni di
insicurezza o ad una vera e propria minaccia alla safety. Dall’esperienza e da studi
condotti in passato, si sa che la maggior parte di questi eventi rimane sul fondo del
“modello iceberg”, di cui qui sotto è riportata un’immagine.
2-1 Modello Iceberg delle occorrenze
Quando però questi errori non vengono subito individuati, possono prodursi
delle deviazioni e possono manifestarsi eventi più gravi. Come si evince dall’immagine,
esiste una relazione tra accident, incident, occorrenze ed eventi. L’immagine
dell’iceberg è particolarmente eloquente, perché mostra chiaramente come gli accident
che comportano la morte di persone sono solo una piccola percentuale, rappresentano la
punta visibile a tutti. Il rapporto numerico tra i diversi tipi di evento è sostanzialmente
di 1/60/600/6000: per ogni disastro aereo accadono 60 incidenti, 600 eventi di pericolo
e 6000 anomalie di esercizio.
27
Dunque è chiaro perché sia fondamentale l’individuazione, l’analisi e la
successiva correzione degli errori. Questi ultimi, infatti, possono rimanere isolati e
creare delle semplici anomalie, ma possono anche combinarsi tra loro e generare
occorrenze ben più gravi. Un accident altro non è che la conseguenza finale di una
particolare concatenazione di errori che sono sfuggiti alle barriere protettive del sistema.
E’ evidente che, per migliorare la safety, bisogna creare un ambiente aziendale
in cui ognuno si senta incentivato ad esporre i propri dubbi e a segnalare gli errori
commessi.
Infatti si è osservato che, in passato, molte occorrenze non venivano segnalate,
perché coloro che ne erano rimasti coinvolti avevano paura dei provvedimenti
disciplinari in cui avrebbero potuto incorrere, sia da parte dell’azienda che delle autorità
preposte alla sicurezza del volo.
I sistemi di reporting possono risultare efficaci solo in ambienti di lavoro che
adottano una cultura non-punitiva degli errori, tanto che le maggiori organizzazioni che
si occupano di safety nel campo dell’aviazione caldeggiano vivamente i sistemi di
segnalazione volontaria e non-punitiva. Lo scambio di informazioni non deve essere
ostacolato in nessun modo, poiché esso è fondamentale per il miglioramento della
safety.
Il Doc 9422 dell’ICAO, l’Accident Prevention Manual, contiene le linee guida
per lo sviluppo di sistemi di segnalazione obbligatoria e volontaria. L’obiettivo
principale di questi sistemi è quello di prevenire occorrenze future; tuttavia, affinché il
reporting sia efficace, bisogna che tutti abbiano totale fiducia che non saranno puniti per
aver segnalato delle occorrenze. Il sistema di reporting può essere un metodo davvero
efficace per il miglioramento della safety, ma solo se i dati vengono raccolti e analizzati
in maniera appropriata.
Anche l’Annesso 13 10 dell’ICAO promuove i sistemi per il reporting delle
occorrenze come misura di prevenzione degli accident. In particolar modo, esso
contiene alcune raccomandazioni importanti. Suggerisce infatti che ogni Stato organizzi
un proprio sistema per la segnalazione volontaria di informazioni che altrimenti
potrebbero non venire raccolte dai sistemi di reporting obbligatorio, e che si crei un
proprio database di accident e incident per facilitare l’analisi delle informazioni raccolte
tramite le segnalazioni. Il database dovrebbe essere in forma standard, per facilitare lo
scambio di dati con gli altri Stati. L’allegato ribadisce anche l’importanza fondamentale
della collaborazione tra gli Stati. Infatti, se dall’analisi del database uno Stato scopre
l’esistenza di gravi problemi di safety, è tenuto a diffondere la notizia agli altri Stati. Si
raccomanda inoltre che ogni Stato sviluppi una rete per la diffusione delle informazioni
relative alla safety a tutte le organizzazioni che operano nel campo dell’aviazione.
Infine, il documento sottolinea la necessità di avere “standardized definitions,
classifications and formats” per facilitare lo scambio di dati.
Affinché la metodologia per la segnalazione delle occorrenze sia comune a tutti
gli operatori aerei, bisogna utilizzare una stessa tassonomia e software compatibili (così
da facilitare lo scambio di informazioni tra i vari utenti), e disporre di un metodo in
comune per la classificazione delle occorrenze all’interno dei database. Pertanto è
necessario un approccio scientifico e standardizzato per la segnalazione delle
occorrenze, la loro classificazione e la successiva analisi.
10
ICAO, Annex 13: Aircraft Accident and Incident Investigation, Capitolo 8 – Accident prevention
measures, Montreal, 2001.
28
Esistono diversi approcci per l’analisi di accident e incident. Uno dei metodi più
efficaci per l’analisi delle occorrenze è certamente la RCA, l’analisi delle cause. Questa
metodologia permette di individuare tutti i motivi e le cause che hanno generato
l’evento. Tramite questa analisi è possibile inoltre studiare quali sono le azioni da
intraprendere per debellare le cause che hanno portato all’occorrenza. Tra i vari metodi
di Root Cause Analysis, ve ne sono alcuni che sono stati sviluppati a partire dal
modello di Reason; anche la tassonomia HFACS utilizzata dalla US Navy è stata creata
sulla base di questo modello. Ma ci sono anche altri metodi di analisi RCA che sono
stati costruiti sulla base di altri modelli, come lo SHELL.
Ad ogni modo, in generale si può affermare che tutti questi metodi hanno
obiettivi in comune: mirano a raccogliere le informazioni relative alla safety in modo
efficiente e guidano l’investigatore nella sua analisi dell’occorrenza. Lo scopo finale è
quello di diffondere tutti i dati e i risultati delle analisi, degli studi sulla safety e delle
statistiche. Gli studi condotti tramite queste metodologie sono incentrati
prevalentemente sui fattori umani.
29
30
3 Le classi di occorrenza
3.1 Le definizioni delle classi di occorrenza
Prima di addentrarci nell’analisi di fatti, è bene dare una definizione delle varie
occorrenze. Di seguito si riportano le definizioni così come sono state date dall’ICAO
nell’ Annesso 13 11 e come vengono utilizzate nella tassonomia ADREP-2000.
Accident: ‘An occurrence associated with the operation of an aircraft which
takes place between the time any person boards the aircraft with the intention of flight
until such time as all such persons have disembarked, in which: a) a person is fatally or
seriously injured 12 as a result of: - being in the aircraft, or - direct contact with any
part of the aircraft, including parts which have become detached from the aircraft, or direct exposure to jet blast, except when the injuries are from natural causes, selfinflicted or inflicted by other persons, or when the injuries are to stowaways hiding
outside the areas normally available to the passengers and crew; or b) the aircraft
sustains damage or structural failure which: -adversely affects the structural strength,
performance or flight characteristics of the aircraft, and - would normally require
major repair or replacement of the affected component, except for engine failure or
damage, when the damage is limited to the engine, its cowlings or accessories; or for
damage limited to propellers, wing tips, antennas, tires, brakes, fairings, small dents or
puncture holes in the aircraft skin; or c) the aircraft is missing 13 or is completely
inaccessible’. L’accident viene definito come un’occorrenza che avviene in un arco di
tempo ben determinato e, più esattamente, nel periodo di tempo che intercorre tra il
momento in cui una persona si imbarca con l’intenzione di volare verso una determinata
destinazione e il momento in cui scende dall’aereo. In questo lasso temporale possono
verificarsi le seguenti condizioni: a) una persona viene ferita gravemente o mortalmente
per il fatto di essere stata a bordo dell’aereo o di esserne entrata direttamente in
contatto; b) il velivolo subisce dei danni o dei cedimenti strutturali tali che solidità della
struttura, la performance, o la qualità di volo risultano gravemente compromessi; c) non
si trova più l’aereo o comunque sia esso risulta inaccessibile.
Serious Incident: ‘An incident involving circumstances indicating that an
accident nearly occurred’. Si evince che un serious incident altro non è che un accident
mancato.
Incident: ‘An occurrence, other than an accident, associated with the operation
of an aircraft which affects or could affect the safety of operation’. Un incident è
dunque nettamente meno grave di un accident; è un’occorrenza che ha o avrebbe potuto
incidere sulla sicurezza dell’operazione.
11
ICAO, Annex 13: Aircraft Accident and Incident Investigation, Montreal, 2001.
Ai fini prettamente statistici, vengono considerate fatal injury tutte le ferite che hanno portato alla
morte entro trenta giorni dalla data dell’accident.
13
L’aereo viene dato per perduto se la carcassa del velivolo non viene ritrovata entro la fine delle ricerche
ufficiali.
12
31
Nel Doc 9156 dell’ICAO 14 e anche nell’appendice C dell’Annesso 13 15 stesso
sono riportati esempi di incident (che è assai probabile che diventino serious incident)
di interesse per lo studio della loro prevenzione. In questo documento sono elencati
come occorrenze di particolare rilevanza: più motori inoperativi sullo stesso velivolo;
incendi che si sviluppano in volo in cabina passeggeri o nei vani cargo, e incendi dei
motori (vengono considerati casi importanti anche quelli di incendi si è riusciti a
spegnere); mancata collisione o addirittura collisione avvenuta con il terreno o altri
ostacoli; occorrenze che hanno provocato delle difficoltà nel controllo del velivolo (ad
esempio, sistemi inoperativi, situazione meteorologica, conduzione dell’aereo fuori
dall’inviluppo di volo); cedimenti strutturali o dei motori e che non rientrano nella
categoria accident; occorrenze in decollo e in atterraggio (per esempio, un aborto di
decollo a causa di un altro aereo presente sulla pista, o pista chiusa); inadeguatezza
fisica di un membro dell’equipaggio a svolgere il proprio lavoro, a causa di problemi
medici; decompressione dovuta ad una discesa di emergenza; eventi che comportano
l’utilizzo dell’ossigeno di emergenza da parte dell’equipaggio; sventata collisione con
altri aerei in volo (è richiesta una particolare manovra in volo per evitare lo scontro con
un altro velivolo); quantità insufficiente di carburante a bordo, tale da indurre
l’equipaggio di condotta a richiedere la dichiarazione di stato di emergenza.
Occurrence without Safety Effects: la definizione di questa classe di
occorrenze non è presente nei documenti ICAO, nonostante sia poi presente nella
tassonomia ADREP-2000. Si riporta quindi la definizione data da Eurocontrol: ‘An
incident which has no safety significance’. Si tratta dunque di quello che in italiano
viene definito come un semplice inconveniente, un’occorrenza che non ha effetti sulla
sicurezza del sistema. Si osservi che la definizione data da Eurocontrol è molto simile a
quella di un incident data dall’ICAO.
Per quanto invece riguarda la terminologia ancora oggi utilizzata in Italia, si
hanno le seguenti categorie di occorrenze:
Incidente (accident) 16 : “Un evento, associato all'impiego di un aeromobile, che
si verifica fra il momento in cui una persona si imbarca allo scopo di compiere un volo e
il momento in cui tutte le persone che si sono imbarcate con lo stesso scopo sbarcano, e
nel quale:
1) una persona riporti lesioni gravi o mortali, per il fatto di essere dentro
l'aeromobile, o venire in contatto diretto con una parte qualsiasi dell’aeromobile,
comprese parti staccatesi dall’aeromobile stesso, oppure essere direttamente esposta al
getto dei reattori, fatta eccezione per i casi in cui le lesioni siano dovute a cause naturali,
o siano procurate alla persona da sé medesima o da altre persone, oppure siano riportate
da passeggeri clandestini nascosti fuori delle zone normalmente accessibili ai passeggeri
e all’equipaggio; oppure
2) l’aeromobile riporti un danno o un’avaria strutturale che comprometta la
resistenza strutturale, le prestazioni o le caratteristiche di volo dell’aeromobile, e
14
ICAO, Accident/Incident Reporting Manual, ICAO Doc 9156, Montreal, 1987.
ICAO, Annex 13: Aircraft accident and incident investigation, Attachment C – List of examples of
serious incidents, Montreal, 2001.
16
“Istituzione dell'Agenzia nazionale per la sicurezza del volo e modifiche al codice della navigazione, in
attuazione della direttiva 94/56/CE del Consiglio del 21 novembre 1994”, in Decreto Legislativo 25
febbraio 1999, n. 66, Gazzetta Ufficiale n. 67, 22 marzo 1999.
15
32
richieda generalmente una riparazione importante o la sostituzione dell’elemento
danneggiato, fatta eccezione per i guasti o avarie al motore, quando il danno sia limitato
al motore stesso, alla cappottatura o agli accessori, oppure per i danni limitati alle
eliche, alle estremità alari, alle antenne, ai pneumatici, ai dispositivi di frenatura, alla
carenatura, a piccole ammaccature o fori nel rivestimento dell’aeromobile; oppure
3) l’aeromobile sia scomparso o completamente inaccessibile”.
Inconveniente grave (serious incident) 17 : “Un inconveniente le cui circostanze
rivelino che é stato sfiorato l'incidente”.
Inconveniente (incident) 18 : “Un evento, diverso dall’incidente, associato
all’impiego di un aeromobile, che pregiudichi o possa pregiudicare la sicurezza delle
operazioni”.
Evento (occurrence without safety effects) 19 : “Qualsiasi interruzione
operativa, difetto, guasto o altra situazione irregolare che abbia o possa aver influito
sulla sicurezza del volo e che non abbia causato un incidente o un inconveniente grave
ai sensi dell’articolo 3, lettere a) e k), della direttiva 94/56/CE”. 20
Per evitare fraintesi, d’ora in avanti si utilizzerà la terminologia inglese per
riferirsi alle occorrenze di cui si parlerà.
17
“Istituzione dell'Agenzia nazionale per la sicurezza del volo e modifiche al codice della navigazione, in
attuazione della direttiva 94/56/CE del Consiglio del 21 novembre 1994”, in Decreto Legislativo 25
febbraio 1999, n. 66, Gazzetta Ufficiale n. 67, 22 marzo 1999.
18
“Istituzione dell'Agenzia nazionale per la sicurezza del volo e modifiche al codice della navigazione, in
attuazione della direttiva 94/56/CE del Consiglio del 21 novembre 1994”, in Decreto Legislativo 25
febbraio 1999, n. 66, Gazzetta Ufficiale n. 67, 22 marzo 1999.
19
“Attuazione della direttiva 2003/42/CE relativa alla segnalazione di taluni eventi nel settore
dell'aviazione civile”, in Decreto Legislativo 2 maggio 2006, n. 213, Gazzetta Ufficiale n. 137, 15 giugno
2006.
20
“Direttiva 94/56/CE del Consiglio, del 21 novembre 1994, che stabilisce i principi fondamentali in
materia di inchieste su incidenti e inconvenienti nel settore dell'aviazione civile”, Gazzetta Ufficiale n. L
319, 12 dicembre 1994.
33
34
4 I metodi di analisi
In ogni organizzazione che si occupa di manutenzione dei velivoli, per misurare
l’entità degli errori che vengono compiuti dal personale e per controllarli sono
necessarie delle tassonomie. 21 La difficoltà nell’individuare l’errore umano
nell’ambiente dell’aviazione sta in alcuni fattori: la percentuale di errore è bassa, le
occorrenze sono distribuite su tutto il sistema e le cause che le provocano possono
essere le più svariate. Due sono i metodi di cui si servono le organizzazioni
aeronautiche per individuare gli errori: l’analisi retrospettiva, che è basata sui report di
errore emersi a causa di una deviazione del sistema da ciò che era previsto; oppure
un’analisi preventiva, proattiva, per l’individuazione degli errori.
La strategia migliore che può essere adottata dal management di
un’organizzazione che si occupa di manutenzione aeronautica per evitare il ripetersi
degli errori, è la prevenzione degli stessi grazie ai sistemi di reporting. Questo modo di
lavorare permette di identificare non soltanto i fattori ambientali che possono scatenare
un’occurrence, ma anche gli errori umani. La sicurezza nell’ambiente dell’aviazione
può migliorare se, e solo se, il management dell’organizzazione è in grado di
individuare gli errori del sistema e i fattori che hanno portato ad essi. A tal proposito
sono disponibili diverse teorie sui fattori umani, tassonomie, database per
l’identificazione e la classificazione dei fattori causali nelle occorrenze che avvengono
nell’ambito della manutenzione dei velivoli. Si hanno, a titolo d’esempio, l’
Accident/Incident Data Reporting (ADREP-2000), la Human Factors Analysis and
Classification System-Maintenance Extension (HFACS-ME), l’Integrated Systemic
Approach for Accident Causation (ISAAC) e il Maintenance Error Decision Aid
(MEDA).
In questa tesi si ricorrerà al metodo ISAAC per l’analisi di un’occorrenza
avvenuta nell’ambito della manutenzione aeronautica, con l’obiettivo di identificare i
fattori causali che hanno portato al verificarsi dell’occorrenza.
4.1 La Root Cause Analysis
4.1.1 Definizione
La Root Cause Analysis (RCA), detta anche analisi delle cause, è una
metodologia che consente di identificare le cause effettive che portano al verificarsi di
un evento o di un problema. Il procedimento permette anche di individuare quali sono
gli interventi che si rendono necessari per eliminare o, quantomeno, attenuare il
problema stesso. Diversi sono i motivi che portano all’applicazione del RCA. L’analisi
può essere condotta in seguito al verificarsi di un evento (analisi retrospettiva), ma
anche nell’ottica di intraprendere delle azioni migliorative nei programmi di
produzione, qualità, manutenzione, sicurezza all’interno di una organizzazione (analisi
preventiva).
21
C. G. Drury, “Errors in aviation maintenance: taxonomy and control”, Proceedings of the human
factors society 35th annual meeting (2-6 settembre 1991) 1, pp. 42-46, San Francisco.
35
Solitamente, quando si svolge un’indagine per capire quali sono i fattori che
hanno portato al verificarsi di un evento, si scopre che i motivi che lo hanno provocato,
sono molteplici. Alcuni di essi (anzi, sovente, la maggior parte) si sono verificati in un
tempo/spazio molto distante da quello in cui è avvenuto l’evento stesso. È per questo
motivo che le cause che hanno portato al verificarsi del fatto sono dette “root causes”.
Secondo la metodologia RCA, correggendo queste “root causes” si riesce a prevenire il
verificarsi di un altro problema uguale a quello già avvenuto e, magari anche ad evitare
il ripetersi di altri eventi simili.
Il procedimento base per condurre un’analisi RCA consiste nel continuare a
porsi la domanda “Perché?”, fino a quando non si arriva alla root cause. Il problema
però sta nel riuscire a capire quando si è arrivati alla root cause; come si fa a sapere
quando ci si deve fermare nell’indagine? fino a che punto si deve scendere in
profondità? Per prima cosa è bene dare una definizione di cosa sia una “root”, una
radice. Per radice si intende “un organo delle piante conformite per lo più sotterraneo,
che fissa il vegetale al terreno ed assorbe l’acqua ed i sali disciolti”. 22 Inoltre si può
osservare che una radice possiede le seguenti caratteristiche: è fondamentale e di
primaria importanza, ma spesso è nascosta sotto la superficie e può allargarsi più di
quanto si possa supporre; può essere difficile da trovare e da estirpare e, se non viene
eliminata, continua a crescere. È chiara l’analogia tra una radice fittizia, nella RCA e la
radice di una pianta. Sostanzialmente gli analisti considerano le root causes come delle
erbacce che vanno estirpate. Se un’erbaccia non viene eliminata subito, genera altre
piante; se l’erbaccia non viene tagliata alla radice ma al gambo, ricresce. L’unico modo
possibile per liberarsi dalle erbacce è estirparle alla radice. Un’altra via sarebbe quella
di trattare il terreno per evitare fin da subito che le erbacce prendano piede.
Analogamente, in un’organizzazione o si individuano le cause che hanno portato
all’evento e le si eliminano, o si prendono anticipatamente le dovute precauzioni
all’interno del sistema, per evitare che possano presentarsi dei fattori scatenanti. Chiariti
questi punti, si può ora cercare di rispondere alle domande di prima. Si è giunti alla root
cause quando si arriva a individuare una legge o un limite che non può essere rimosso,
qualunque sia l’azione intrapresa all’interno dell’organizzazione. La root cause può
essere definita come una contraddizione che esiste tra lo stato dell’arte (inteso come
scopo, cultura, regole, ecc.) del sistema e le leggi, i limiti che non possono essere
superati.
Passiamo ora alla definizione di una “cause” o causa. In maniera molto
approssimativa si può dire che una causa è un elemento che produce un effetto. Una
causa è “ciò che è origine, motivo, ragione determinante di qualcosa”. 23 Qual è la
differenza tra l’esistenza di un effetto e l’assenza dello stesso? Si consideri una
situazione in cui è stata intrapresa un’azione, ma non c’è stato un effetto: significa che
nulla è cambiato. Se invece la situazione fosse mutata in seguito ad un provvedimento,
allora avremmo avuto un effetto. Un cambiamento implica una variazione tra lo stato
iniziale e quello finale del sistema. Affinché questo cambiamento abbia luogo, devono
intervenire una serie di fattori. Alcuni di questi possono essere attivi (un’azione
intrapresa sul fronte), altri passivi/latenti (condizioni ambientali, caratteristiche
intrinseche di un oggetto). L’insieme di fattori necessari perché si verifichi un
cambiamento sono detti cause. Quindi ogni causa è un insieme di fattori strettamente
necessari per portare al cambiamento.
22
23
N. Zingarelli, Lo Zingarelli. Vocabolario della lingua italiana, Bologna, Zanichelli, 1997.
N. Zingarelli, Lo Zingarelli. Vocabolario della lingua italiana, Bologna, Zanichelli, 1997.
36
4.1.2 Fasi della Root Cause Analysis
L’analisi può essere suddivisa in tre passaggi fondamentali, anche se la RCA si
potrebbe suddividere in tanti punti diversi.
Fase 1. L’investigazione: questa fase ha come obiettivo la scoperta dei fattori
che hanno portato all’evento. A questo punto non serve sapere cosa si sarebbe dovuto
fare per prevenire l’insorgere del problema o cosa si sarebbe dovuto evitare. Quello che
conta è capire i fattori che hanno causato l’evento. Non è compito dell’investigatore, in
questo frangente, giudicare la situazione ed è fondamentale che egli non si faccia
influenzare dalle opinioni, sue o di altri, perché deve evitare di avere un’immagine
distorta delle realtà. Per riuscire a vedere i fatti per quello che sono, è importante
rimanere neutrali. Ci sono però delle situazioni in cui non si conoscono i fattori che
hanno portato al cambiamento (perché le prove sono andate distrutte o perché non ci
sono testimoni). Iin tal caso l’investigatore può avvalersi di fonti secondarie e cercare di
ricostruire la storia a partire da scenari/ipotesi plausibili. Alla fine dell’indagine, il
risultato deve essere la ricostruzione dell’evento attraverso i vari fattori che hanno
portato ad esso. Deve essere una pura e semplice descrizione di quello che è avvenuto.
Fase 2. L’analisi: solo dopo aver concluso la fase investigativa, l’analista può
avviare il lavoro. Lo scopo dell’analisi è quello di individuare per quali motivi il singolo
evento si è verificato. Le cause che hanno portato al cambiamento sono analizzate nel
loro contesto, nel sistema che le ha provocate. È a questo punto che si possono andare a
vedere i regolamenti, le procedure dell’organizzazione, l’ambiente culturale nel quale
essa è inserita, e così via, e vedere che cosa non è stato fatto, quali azioni correttive
andavano intraprese e invece non sono state applicate. Resta inteso che non sempre le
procedure di un’organizzazione risultano corrette e magari è stato proprio il fatto di
averle applicate ad aver generato l’evento. Altre volte capita che le procedure risultino
insufficienti, corrette ma non abbastanza per prevenire l’accadimento di un fatto.
Anche questa seconda fase della ricerca è particolarmente delicata. L’analista
deve evitare di farsi prendere da domande del tipo “Come posso risolvere questo
problema?”. Non è compito suo andare alla ricerca delle soluzioni per evitare
l’insorgere di problemi simili in futuro. Egli deve limitarsi allo studio dell’evento e
all’analisi dei fattori che sono entrati in gioco in questa particolare circostanza. A
conclusione di questa fase, si dovrebbero essere individuate le root causes che hanno
inevitabilmente portato all’evento. Si noti l’uso del termine “inevitabile”, perché le root
causes sono fattori latenti presenti nel sistema che sono entrati in azione solo a causa di
un elemento attivo scatenante.
Fase 3. Le raccomandazioni: solo a questo punto è possibile fare delle
raccomandazioni, affinché quello che è successo non si ripeta in futuro. In questa fase
vengono specificate le azioni da intraprendere per correggere le barriere che non hanno
funzionato all’interno dell’organizzazione e si fanno considerazioni su quello che si
dovrebbe aver imparato in seguito al verificarsi dell’evento. Si focalizza l’attenzione
sulle root causes che devono essere corrette o eliminate.
Ci sono casi in cui si possono seguire diverse strade
per
l’eliminazione/correzione delle cause. In situazioni di questo tipo è necessario condurre
un’analisi approfondita per scoprire quale sia la migliore azione in termini di costi,
effetto a lungo termine, semplicità, ecc.
37
In fase di raccomandazioni bisogna prestare attenzione anche a non creare altre
falle nel sistema, ed evitare che altri fattori latenti nel sistema possano aggregarsi,
preparandosi ad emergere in seguito ad un altro elemento scatenante e dare origine ad
un altro evento.
4.1.3 La tassonomia ADREP applicata alla RCA
La base della RCA può a buon diritto venire individuata nell’approccio
metodologico sviluppato da Reason. L’incidente viene visto come un semplice evento
finale, seguito di altri eventi che si sono susseguiti in un percorso ben determinato.
Questi eventi sono generati da latent condition, latent e active failure.



Latent conditions: sono gli aspetti organizzativi del sistema, è il contesto di
lavoro nel quale sono presenti inefficienze ed errori risultanti da una
progettazione sbagliata della struttura, che producono dei buchi nelle barriere
difensive.
Latent failures: sono le condizioni reali in cui il personale si trova a lavorare.
Active failures: sono errori umani concreti, violazioni, azioni insicure che
aprono delle falle nel sistema di protezione messo in piedi dall’organizzazione.
Dal momento che le barriere risultano essere inefficaci, l’active failure diventa
l’evento scatenante che dà origine all’incidente.
Nel suo studio dell’evento, la RCA sfrutta gli schemi ad albero di causaconseguenza. Lo scopo è quello di ritrovare le root causes (che possono essere
imputabili a motivi tecnici, sociali, ecc.) che hanno generato l’evento. Solitamente
l’analisi RCA ricorre all’uso di tassonomie. Una tassonomia consente la classificazione,
intesa come descrizione e collocazione di un’entità all’interno di una categoria del
sistema. L’analista può disporre di varie tassonomie per lo studio di un evento. In questa
tesi si ricorrerà all’utilizzo della tassonomia ADREP (Accident/Incident Data
Reporting), che verrà brevemente discussa qui di seguito.
La tassonomia ADREP è stata concepita e successivamente sviluppata
dall’ICAO nel 1979, come strumento di analisi a posteriori per lo studio e la
classificazione dei fattori umani che hanno svolto un determinato ruolo in un incidente.
Questa tassonomia è articolata in tabelle, all’interno delle quali è possibile ritrovare
delle diciture per descrivere l’incidente; ogni dicitura presenta delle sottovoci che
permettono una descrizione accurata dei vari eventi che hanno portato all’accident.
Negli ultimi anni (1997) l’ICAO ha ulteriormente sviluppato la tassonomia, con
l’obiettivo di renderla uno strumento molto più accurato per la classificazione degli
incidenti. Da questo lavoro nasce ADREP-2000 che, seguendo la falsariga della
tassonomia “madre”, è anch’essa strutturata secondo una serie di tabelle (per la
precisione 23 tabelle) che possono essere ricondotte al modello SHELL e che coprono
tutti gli aspetti dell’interazione dell’uomo con software, hardware, environment,
liveware.
Nello studiare un incidente seguendo la tassonomia ADREP, per prima cosa si
devono individuare gli eventi che lo hanno provocato. Gli eventi, una volta trovati,
vanno organizzati lungo una linea temporale e collocati su questa linea in ordine
cronologico. A questo punto si deve studiare ogni singolo evento. Su ADREP ogni
evento viene descritto per mezzo di descriptive factors, che servono ad articolarlo e a
suddividerlo in tutti i passaggi che hanno portato ad esso. In altre parole, i descriptive
factors rispondono alla domanda “che cosa è successo?”, includendo ovviamente tutti i
38
contributi umani che hanno originato l’evento. A loro volta, i descriptive factors sono
articolati in explanatory factors, che, se affrontano i fattori umani, rispondono alle
domande “chi?” e “perché?”.
Si può notare che per mezzo della tassonomia ADREP si compiono studi molto
approfonditi degli incidenti e si va veramente in profondità nell’analisi di ciò che è
successo. Da un lato, questo è un grosso vantaggio, perché permette di condurre uno
studio molto accurato e quindi possono essere evidenziati tutti i problemi e le lacune
che hanno portato all’incidente. Ciò infatti permette di capire come modificare o
correggere un’organizzazione in tutto e per tutto. D’altro canto è anche vero che, se
l’analista che si trova ad utilizzare ADREP non conosce veramente bene lo strumento di
cui dispone (specie per quanto riguarda il lato liveware della tassonomia), è possibile
che arrivi ad interpretazioni sbagliate dell’incidente. Quindi è necessario che l’analista
sia non soltanto un grande esperto di ADREP, ma anche decisamente competente in
materia di psicologia umana, limiti, performance degli individui.
Per finire si può anche osservare che bisogna procedere con molta cautela
nell’inserimento dei dati in ADREP, perché le informazioni ivi inserite vanno a finire
all’interno di un database che è comune a tutti gli utenti di tale tassonomia. Se chi
conduce l’analisi dell’incidente sbaglia e non ha una padronanza completa di ADREP,
rischia di inserire dati “spazzatura”, inutili, se non addirittura fuorvianti, per altri
analisti.
Da ultimo si osservi che la tassonomia ADREP viene utilizzata principalmente
per le analisi degli incidenti, più che per la prevenzione di essi, poiché non si può sapere
a priori con quale modalità gli eventi si concateneranno tra di loro per dare origine
all’accident. Inoltre si presume che la sequenza di eventi sia nota dall’accident
investigation.
Si riportano qui di seguito le 23 tabelle che costituiscono la tassonomia di
ADREP-2000, suddivise in base alla categoria SHELL cui fanno riferimento.
SOFTWARE
Air Navigation Services. Per la gestione del traffico aereo; i servizi di informazione
aeronautica; i servizi di search & rescue; i servizi meteorologici; CNS Comunicazione,
Navigazione, Sorveglianza.
ATM Rating and endorsement types. Basati sugli standard di Eurocontrol. Sono
procedure di controllo degli aeroporti inerenti a visual & instrument rating, fase di
approccio, sorveglianza del traffico aereo su e in prossimità dell’aerodromo.
Aviation operations. Per specificare quali operazioni possono essere compiute dal
velivolo: trasporto commerciale, aviazione generale, lavoro aereo, missioni di stato.
Occurrence classifications. Per classificare il fatto in base alla sua gravità. Si hanno le
seguenti categorie: accident, serious incident, incident, occurrence.
Pilot license types. Per definire il tipo di licenza posseduta dal pilota. Si distinguono le
seguenti categorie: pilota di aerei, di mongolfiere, di dirigibili, elicotteri, alianti.
Recommendations: Sono le raccomandazioni riguardanti il velivolo o le attrezzature;
inerenti la safety del personale; procedure, altro.
Reporting forms. Tabella che riporta tutti i vari form che possono essere utilizzati per
la stesura di un report. Viene suggerito che form adottare in base a ciò che è successo.
39
HARDWARE
Aircrafts ATM by designator. Per classificare il velivolo a seconda del modello. Ad
ogni aereo corrisponde una determinata sigla, che è quella che viene utilizzata nei piani
di volo e nelle comunicazioni dell’ATM.
Aircrafts ATM by Manufacturer. Per classificare i velivoli a seconda del modello, a
partire dal nome del costruttore. Si risale alle stesse sigle attribuite dalla tabella
“Aircrafts ATM by designators”.
Aircrafts make/model. Sono elencati tutti i modelli di velivoli ed essi sono raggruppati
in base al nome del costruttore.
Engines. Si ritrovano tutti i vari modelli di motori usati in ambiente aeronautico.
Fuels. Sono indicati i carburanti.
Propellers. Per la classificazione dei costruttori di eliche.
ENVIRONMENT
Event phases. Per collocare gli eventi nelle fasi di volo tipiche del velivolo che è
rimasto coinvolto nel fatto.
Locations by Indicator. Per indicare il luogo in cui si è verificato il fatto, in base al suo
indicatore geografico.
Locations by State. Luogo dell’accadimento, classificato a partire dal suo Stato di
appartenenza.
LIVEWARE
Operators. Sono riportati tutti gli operatori aerei mondiali. Questi ultimi sono suddivisi
in base al loro Stato di provenienza.
Organisations and persons. Tabella che permette di classificare le persone e le
organizzazioni che sono rimaste coinvolte nel fatto da analizzare.
Si noti che sono escluse da questo elenco alcune tabelle appartenenti alla
tassonomia ADREP-2000. Queste ultime vengono riportate qui di seguito.
Descriptive factors. Questa tabella permette la descrizione di tutti gli elementi che
hanno portato al fatto da analizzare. I “descriptive factors” sono organizzati su 5 livelli
(a seconda di quanto ci si vuole addentrare nell’analisi). Per ogni livello sono presenti
una descrizione dettagliata dell’elemento coinvolto, una descrizione breve e una
spiegazione finale più accurata. In particolare, per quanto riguarda il primo livello di
descrizione, si possono individuare le seguenti categorie: operazioni e manutenzioni
eseguite sul velivolo, sui suoi componenti e sistemi; aspetti della gestione del velivolo
da parte dell’ATM (Air Traffic Management); aeroporto; informazioni meteo;
condizioni del terreno; altro.
40
Events. Grazie a quest’altra tabella si possono invece descrivere tutti gli eventi che si
sono concatenati e hanno avuto come conseguenza il fatto. La descrizione degli eventi
avviene su 4 livelli (a seconda, anche in questo caso, di quanto ci si vuole addentrare
nell’analisi). Per ogni livello sono presenti una descrizione dettagliata e una breve, e
infine una spiegazione finale più accurata. In particolare, per quanto riguarda il primo
livello di descrizione, si possono individuare le seguenti categorie di eventi: relativi al
velivolo, suoi sistemi o suoi componenti; inerenti alle operazioni dell’aereo; eventi che
sono dovuti ad un evento precedente, che sono dunque conseguenze; riguardanti i
servizi di navigazione aerea; relativi all’aeroporto o ai suoi servizi di terra; eventi che
vedono coinvolte le autorità civili aeronautiche; altro.
Explanatory factors. La tabella permette una descrizione su 5 livelli di accuratezza.
Anche in questo caso per ogni livello sono disponibili due descrizioni – una breve e
una più dettagliata- e una spiegazione. Gli explanatory factors possono essere suddivisi
nelle seguenti categorie principali, corrispondenti al primo livello di descrizione:
liveware (componente umana); liveware-environment (rapporto uomo-ambiente);
liveware-hardware/software (interazione uomo-hardware/software); l’interfaccia
dell’uomo con i sistemi di supporto; il rapporto tra il personale coinvolto, è quello che
viene definito liveware-liveware.
Modifiers. Possono essere utilizzati per meglio spiegare i descriptive e gli explanatory
factors.
States. Tabella contenente un elenco di tutti gli Stati e i rispettivi codici, che vengono
utilizzati quando devono essere indicati i seguenti Paesi: quello in cui si è svolto il
fatto, quello in cui si è stilato il report e lo Stato in cui è registrata la macchina.
Per maggiore chiarezza si riporta qui di seguito una rappresentazione grafica dei
livelli di accuratezza dei descriptive factors. Si osservi che ovviamente la struttura è
esattamente la stessa per quanto riguarda gli explanatory factors, mentre invece va tolto
un livello da questa rappresentazione per avere la struttura degli events.
4-1 ADREP: Livelli di accuratezza dei descriptive factors
41
4.1.4 La metodologia ISAAC applicata alla RCA
La metodologia ISAAC trae le sue origini dal Simple Method for Accident
Causation (SMAC), sviluppato alla fine degli anni ’90 da Cacciabue. ISAAC permette
di andare alla scoperta delle root causes che hanno provocato l’evento indesiderato,
valutando l’effetto combinato di uomo-macchina (inteso come sistema). Il metodo può
essere applicato sia nel caso di analisi retrospettiva, sia nel caso di analisi preventiva.
L’obiettivo di questo metodo è quello di individuare le active/latent failures (secondo la
definizione data da Reason) che si sono succedute nel tempo e che sono occorse a vari
livelli dell’organizzazione.
Si riporta di seguito un’immagine di quella che è la procedura per un’analisi
retrospettiva con ISAAC.
Event
Failure of Defenses
Barriers, Safeguards
Human Factors Pathway
Personal Factors
(internal)
System Factors Pathway
Contextual Factors
(external)
Active Errors
Casual Factors
(random)
System Failures
Inadequate protections,
emergency and safety system
Inadequate Training,
Procedures, …
Latent Errors
Latent Failures
Latent Errors
Organisational Processes
4-2 Rappresentazione grafica di un’occorrenza tramite metodologia ISAAC
42
Dal grafico si osserva qual è il modo di procedere per analizzare un evento ed
individuare la cause che hanno portato ad esso.
Si osservi, prima di accingersi all’interpretazione di questo grafico, che sono
state adottate delle particolari convenzioni. Si può infatti notare un utilizzo di frecce che
servono per collegare le varie sezioni costituite sia da linee spezzate, sia da linee intere.
Le frecce, a seconda della linea, implicano una dipendenza diretta o inversa tra un
elemento e l’altro. In particolare:

Linea continua: indica una dipendenza inversa. Implica che l’evento “A” è
stato causato dall’evento “B”.

Linea spezzata: la dipendenza è diretta. L’evento “C” ha provocato l’evento
“D”.
Si nota infine che il metodo ISAAC si rifà, per la sua analisi delle occorrenze,
allo “Swiss Cheese Model”. Ciò detto, si può ora passare all’analisi del grafico.
Innanzitutto, una volta noto l’evento, è necessario scegliere che percorso intraprendere
nell’analisi. Sono possibili due vie:

Human Factors Pathway: analizza i comportamenti sbagliati della componente
umana. Seguendo questo percorso, si incontrano gli active errors, che possono
essere dovuti a fattori personali o al contesto in cui la persona si trova ad
operare. Continuando a percorrere la pathway degli human factors, si scopre che
gli active errors sono a loro volta generati da latent errors, cioè da errori che
sono rimasti nascosti nel sistema e che ad un certo punto hanno influenzato il
comportamento del personale.

System Factors Pathway: prende in esame le prestazioni inadeguate della parte
sistemica. È in questa parte che si individuano i system failures, generati da
fattori del tutto casuali (random) o da fattori dovuti al contesto. Inoltre,
proseguendo lungo il percorso dei system factors, si scopre che i system failures
sono dati da latent failures che, come gli errori latenti, rimangono celati nel
sistema fino a quando un fattore scatenante non li fa emergere in superficie.
Si osservi che tutti e due i percorsi sopra descritti possono a loro volta dipendere
da latent errors dovuti ai processi organizzativi.
Vengono ora ripresi i concetti sopra esposti di fattori personali, dovuti al
contesto, casuali:

Personal Factors: si riferiscono alle condizioni fisiche e mentali dell’individuo
(per esempio, l’aver dormito troppo poco). È per questo motivo che sono detti
fattori “interni”.
43


Contextual Factors: si intendono non solo i fattori dovuti all’ambiente fisico in
cui si opera, ma anche quelli dovuti all’ambiente culturale, alle condizioni che
circondano il sistema e la persona. Si tratta di fattori “esterni”.
Casual Factors: intervengono sul lato “sistema” in maniera del tutto
imprevedibile. Si verificano in modo casuale ed è per questo che sono detti
fattori “random”.
4.2 L’Accident Investigation
L’Accident Investigation, o investigazione dell’incidente, non va confusa con la
RCA. Quest’ultima è una metodologia che studia gli eventi presi singolarmente, non
come concatenazione di fatti che hanno portato alla nascita di un incidente. L’accident
investigation invece si occupa dell’analisi di un incidente completo, studia tutti quegli
eventi che sono confluiti in una particolare modalità spazio-temporale e hanno dato
origine all’incidente.
Si verifica l’accident quando un hazard non viene bloccato dalle misure
preventive di sicurezza adottate (le barriere difensive); oppure quando un pericolo non
viene visto come tale durante la fase di messa a punto del programma di sicurezza di
un’organizzazione; o ancora quando una serie di eventi, innocui se presi singolarmente,
si raggruppa in un modo da dare origine all’incidente. L’accident investigation, se ben
condotta, porta all’individuazione dei fattori ambientali, fisici, organizzativi, ecc., che
hanno scatenato l’incidente. Oltre a determinare quali sono state le cause che hanno
provocato l’accident, l’investigazione servirà anche ad estrapolare le cose da imparare
per evitare che si ripetano le condizioni pericolose e per adottare misure correttive.
L’investigazione deve avere inizio subito dopo la fase di emergenza (che comporta
l’assistenza medica a tutti coloro che sono rimasti coinvolti nell’incidente e hanno
riportato danni, sia lievi sia pesanti).
Il fatto che l’investigazione inizi subito assicura che i testimoni abbiano ancora
la memoria fresca dell’incidente accaduto e che non si influenzino l’uno l’altro parlando
di quello che hanno visto. Inoltre, così si riduce al minimo l’eventualità che le prove, le
tracce dell’incidente vengano spostate, prese, distrutte, buttate via prima che la scena
dell’accident sia stata ispezionata esaurientemente. Un buon investigatore, per essere
tale, deve attenersi ai fatti oggettivi durante la sua indagine. Il suo compito infatti non è
quello di attribuire colpe, ma di scoprire le cause che hanno portato all’incidente. Deve
studiare accuratamente il luogo dell’incidente, prima che vengano rimosse le tracce e
che le prove vengano contaminate. Deve interrogare le persone che sono rimaste
coinvolte nell’incidente e ne hanno subito le conseguenze, ma solo dopo il soccorso
medico. Inoltre l’investigatore ha il compito di intervistare anche tutti coloro che non
sono stati direttamente coinvolti nell’incidente, ma ne sono stati testimoni.
L’investigazione deve approfondire tutti gli aspetti, andare alla ricerca anche dei
più piccoli dettagli, che possono risultare decisivi per una svolta dell’indagine. Una
volta raccolte tutte le informazioni, è possibile ricostruire la sequenza di eventi che ha
portato all’incidente, considerando tutti i fattori che possono considerarsi causa
dell’incidente. È facile a questo punto distinguere le unsafe conditions ossia le azioni
che, da sole o combinate tra loro, hanno causato l’incidente.
44
Dal punto di vista della prevenzione degli accident, è molto più importante la
RCA rispetto all’accident investigation. Questo per due ragioni. 24
Il primo motivo è che un incidente è causato da una precisa sequenza di eventi,
da comportamenti non adeguati, da errori che, presi singolarmente non sarebbero stati
nocivi per il sistema, ma che, combinati in una particolare successione imprevedibile,
portano all’incidente. E’ estremamente improbabile che all’interno di un’organizzazione
si ripeta un incidente identico ad uno già avvenuto in passato, perché è molto difficile
che le cause, che hanno già portato una volta all’accident, si riallineino una seconda
volta con la stessa modalità avvenuta in passato.
Il secondo motivo è che, se da un lato è quasi impossibile che uno stesso
incidente si ripeta più volte, è invece probabile che gli eventi che hanno portato
all’accident si ripetano ancora all’interno del sistema. Queste sono dunque le due
motivazioni che spiegano perché sia molto più importante l’RCA dell’investigazione
degli incidenti.
4.3 Human Factors Analysis and Classification System
4.3.1 HFACS
Questo sistema di analisi e classificazione dei fattori umani è stato sviluppato
dalla US Naval Aviation come strumento di investigazione e di analisi. È stato dunque
concepito per un uso in ambito militare; in realtà, il modello si è rivelato valido anche
per l’investigazione in ambito civile. Il metodo 25 è basato sui modelli SHELL, di
Reason (modello formaggio svizzero) e di Heinrich (modello domino).
L’obiettivo della tassonomia HFACS è quello di identificare le falle sia attive sia
latenti, seguendo lo schema di Reason. Esso descrive quattro livelli di errore umano,
ognuno dei quali influenza il successivo.
Organizational influences. Le falle latenti che sono dovute all’organizzazione
(ad esempio, decisioni sbagliate prese dal management) e che forniscono il maggiore
contributo. Possono essere suddivise in tre categorie: resource management, come la
selezione/addestramento del personale, l’eccessivo taglio dei costi, la mancanza di
fondi, l’acquisto di equipaggiamenti inadatti al lavoro dell’organizzazione;
organizational climate, come, ad esempio, la maniera di comunicare tra le alte sfere
manageriali e i dipendenti, il modo in cui vengono premiati i lavoratori meritevoli e
puniti/licenziati gli altri, le norme e i valori aziendali; organizational process, vale a dire
la pressione per la mancanza di tempo, gli incentivi, gli standard per le procedure, la
documentazione, i programmi per la safety aziendale e il risk management.
24
P. C. Cacciabue, Guide to Applying Human Factors Methods. Milano, Springer, 2004.
Il modello HFACS è stato sviluppato secondo gli standard indicati nella MIL-STD-882 - Standard
Practice for System Safety.
25
45
4-3 HFACS: Organizational influences
Unsafe supervision. Le falle latenti che si creano a causa di
atteggiamenti/provvedimenti sbagliati presi dai supervisori, le cui dirette conseguenze si
fanno sentire sugli operatori di prima linea e sull’ambiente nel quale opera il personale.
All’interno dell’unsafe supervision si possono individuare quattro categorie. La prima è
data dall’inadequate supervision, che si verifica quando non si è riusciti a dare i giusti
consigli al personale, quando non lo si è addestrato in maniera corretta riguardo alle
procedure aziendali/operative da seguire, quando il supervisore non è riuscito a seguire
il proprio personale e a monitorarlo in termini di competenze, certificazioni e
performance. La seconda categoria è quella delle planned inappropriate operations, in
cui rientrano la mancata esecuzione, per fretta e ritardi, di un briefing adeguato alla
missione che si stava per affrontare, l’incapacità di reperire tutti i dati necessari corretti,
l’effettuazione di una missione vietata dalla normativa e dai regolamenti. Terza
categoria della supervisione è la cosiddetta “failed to correct a known problem”, in cui
rientrano problemi noti: errori all’interno della documentazione, consapevolezza
dell’esistenza di un pilota pericoloso all’interno della compagnia, il non aver riferito di
comportamenti non sicuri. Infine, come ultima sottocategoria, si considerano le
supervisory violations, che comprendono per esempio la mancata imposizione rigida di
procedure e regolamenti ben definiti o l’autorizzazione al volo di equipaggi non
qualificati per la missione.
4-4 HFACS: Unsafe supervision
Preconditions for unsafe acts. Sono i presupposti degli unsafe acts. Le
preconditions possono essere suddivise in due categorie: condizioni degli operatori
46
sotto il livello standard e le loro azioni anch’esse al disotto dello standard richiesto. In
particolare, all’interno delle substandard conditions, si possono individuare tre
sottocategorie: adverse mental states, ad esempio quando l’attenzione è focalizzata
solamente su un problema, si è distratti, affaticati mentalmente, si ha voglia di smettere
di lavorare e tornare a casa; adverse physiological states, come nel caso di una malattia,
di un affaticamento fisico o di uno stato di incapacità fisica; physical/mental limitations,
che si manifestano ad esempio con tempi di reazione troppo lunghi o limitazioni visive.
Le substandard practices invece si possono suddividere in: crew resource
management, quando, ad esempio, i membri dell’equipaggio non riescono a
comunicare tra di loro e a coordinarsi, non interpretano in maniera adeguata le richieste
dei controllori del traffico aereo, non riescono ad eseguire un briefing pre-volo; personal
readiness, come quando un equipaggio viola i tempi minimi di crew rest, o un pilota si
mette al comando del velivolo pur non avendo lasciato passare il tempo necessario per
smaltire l’alcool che aveva in corpo.
4-5 HFACS: Preconditions for unsafe acts
Unsafe acts of operators. Il livello all’interno del quale avvengono la maggior
parte delle occorrenze e sul quale è concentrata la gran parte delle investigazioni. Le
statistiche affermano che gli errori compiuti a questo livello e che danno origine agli
incidenti si attestano su una percentuale dell’80%. È qui che avvengono le falle attive,
come gli errori dei piloti. Si tratta di azioni intraprese o non intraprese dall’equipaggio
che determinano il verificarsi o meno di un’occorrenza. Gli unsafe acts possono essere
suddivisi in due categorie, errori 26 e violazioni. 27 I primi rappresentano le azioni
fisiche/mentali che un individuo compie e il cui risultato si discosta da quello previsto.
Poiché l’elemento fragile del sistema è l’uomo, in quanto per sua natura l’essere umano
commette errori, è normale che i database siano pieni di report di unsafe acts.
Dall’altra parte ci sono le violazioni. Rientrano in questa categoria gli episodi in
cui una persona ha deliberatamente violato i regolamenti che sono stati stilati per la
sicurezza del volo e di tutto ciò che lo riguarda.
26
‘An error is a human action (behaviour) that unintentionally departs from the expected action
(behavoiur)’. Fonte: Boeing Commercial Aviation Services.
27
‘A violation is a human action (behaviour) that intentionally departs from the expected action
(behaviour)’. Fonte: Boeing Commercial Aviation Services.
47
Infine si possono individuare alcune sottocategorie sia per quanto riguarda gli
errori, sia per quanto concerne le violazioni. Si nota che gli errori possono essere di tre
tipologie differenti: decision errors, come il fatto di seguire una procedura sbagliata, non
adeguata alla circostanza, o il non prendere le decisioni giuste in una situazione di
emergenza, o l’esecuzione di una manovra inappropriata; errori skill-based, come ad
esempio l’omissione di un passaggio di una procedura o di una checklist, la mancata
individuazione delle urgenze e delle cose da fare in via prioritaria, la scarsa competenza;
perceptual errors, come quando si sperimenta un disorientamento, un’illusione ottica o
vengono giudicate male l’altitudine, la distanza e la velocità di volo.
Le violazioni invece si distinguono in violazioni da routine ed eccezionali.
Esempi di violazioni possono essere: l’incapacità di seguire il piano di volo e le
manovre previste dal briefing, o un avvicinamento non autorizzato. O ancora, la
presenza di personale non è qualificato per la missione o che porta deliberatamente il
velivolo al di fuori dei limiti dell’inviluppo di volo.
4-6 HFACS: Unsafe acts
Quello che è stato fin qui brevemente illustrato è il metodo base, sviluppato per
l’analisi di occorrenze nell’ambito delle operazioni aeree. In seguito, la tassonomia è
stata ulteriormente ampliata per andare a coprire altri ambienti operativi aeronautici. In
particolare, di nostro interesse è l’espansione al settore della manutenzione aerea.
Questa tassonomia va sotto il nome di HFACS-ME, Human Factors Analysis and
Classification System – Maintenance Extension. Essa viene utilizzata sia per quanto
riguarda le occorrenze che avvengono nella manutenzione militare, sia per quelle che si
verificano nella manutenzione degli aerei civili.
4.3.2 HFACS-ME
Come appena accennato, la tassonomia HFACS-ME altro non è che un ulteriore
sviluppo della HFACS rivolto appositamente alla manutenzione aeronautica. Essa
permette l’identificazione e l’analisi dei fattori causali che provocano errori a livello
della manutenzione dei velivoli. Esistono barriere difensive che agiscono come strati
protettivi tra chi compie la manutenzione sugli aerei e gli incidenti. La conoscenza
approfondita di queste barriere, delle loro funzioni e delle loro posizioni all’interno del
sistema, permette un’analisi più accurata nell’ambito della prevenzione degli incidenti.
48
Questa tassonomia si prefigge come obiettivo l’identificazione delle falle nei quattro
livelli in cui il sistema è suddiviso secondo Reason. A tal proposito la tassonomia va ad
analizzare le condizioni di lavoro (latenti), le condizioni fisico/mentali del manutentore
(latenti anch’esse), il modo di operare del manutentore (attivo) e il management
(latente).
All’interno del management, del team di manutentori e nell’ambiente di lavoro,
possono esistere falle latenti capaci di influire sulle prestazioni di un tecnico e in grado
di provocare falle attive, cioè unsafe act. A loro volta, questi unsafe act possono causare
direttamente un’occorrenza o, comunque sia, creare condizioni non sicure nella
manutenzione. Andando ad analizzare le condizioni di lavoro, è chiaro che uno spazio
di lavoro troppo angusto, esposto ai cambiamenti climatici o non adeguatamente
attrezzato crea falle latenti che a lungo andare diventeranno attive.
Oppure si considerino le condizioni fisico/mentali dei tecnici: problemi medici e
in generale limitazioni fisiche possono essere fattori scatenanti. Ma anche i rapporti
interpersonali tra i vari membri di un team possono essere decisivi: una scarsa
comunicazione, una conflittualità tra due individui, rischiano di diventare fattori
pericolosi. D’altro canto, anche tecnici che non sono stati addestrati a dovere o che non
sono qualificati per compiere un determinato lavoro creano falle all’interno del sistema.
Inoltre l’operato di un tecnico che volutamente o involontariamente compie degli errori
o delle violazioni può avere delle conseguenze tragiche.
Si veda infine il caso della presenza di falle latenti all’interno della sfera
manageriale. Queste possono avere conseguenze pericolose a livello di manutenzione;
ad esempio, la documentazione sarà inadeguata, così come sarà scarso lo spirito di
gruppo e il senso di squadra.
Si riporta qui di seguito una tabella in cui vengono riassunti tutti gli errori, divisi
per categorie, che possono essere compiuti nei vari livelli dell’organizzazione.
4-7 HFACS-ME: Categorie di errori
49
È molto importante tenere sotto controllo e cercare di eliminare gli errori che
vengono compiuti all’interno del management, dell’organizzazione dell’ambiente di
lavoro e del team di manutenzione (si sta parlando quindi di monitoraggio a livello di
falle latenti). Prestare particolare attenzione ai vari livelli del sistema, prima cioè di
arrivare all’ultimo stadio di front-line, è di fondamentale importanza perché permette di
debellare o almeno mitigare le falle attive che vengono generate dai tecnici. Questa
affermazione è supportata da dati ricavati da un’analisi condotta dalla FAA, 28 il cui
scopo era di verificare la bontà della tassonomia applicata alle occorrenze in ambito
civile. 29
L’indagine venne condotta su 15 casi riportati al NTSB tra il 1976 e il 1996;
ogni caso includeva, tra gli elementi che avevano contribuito al verificarsi
dell’occorrenza, un fattore dovuto alla manutenzione dei velivoli. Alla fine dello studio
fu possibile disegnare il grafico riportato qui sotto, che indica le percentuali con cui i
vari livelli hanno contribuito agli incidenti. Da questo studio, si è visto che il 67% dei
fattori causali erano dovuti a condizioni di supervisione (quindi livello manageriale),
mentre quelli dovuti alle condizioni del manutentore erano solo il 21%.
4-8 Analisi FAA su 15 occorrenze: Ripartizione degli errori sui vari livelli organizzativi
28
R. Figclock, D. Lawson, J. K. Schmidt, Human factors analysis & classification system – maintenance
extension review of selected NTSB maintenance mishaps: an update, NS Norfolk-Monterey.
29
Si ricorda che il metodo era stato concepito per l’uso in ambito militare.
50
Si è osservato inoltre che tutte e 15 le occorrenze avevano in comune una
management condition che aveva creato le condizioni necessarie per un unsafe act o per
una maintenance condition. La maggior parte delle management condition riguardavano
procedure, documentazioni, supervisioni e operazioni sbagliate. Il 73% dei casi studiati
si è verificato anche a causa di una maintainer condition, ad esempio una
comunicazione e un addestramento del personale inadeguati. Inoltre, il 67% dei 15
incidenti ha avuto come componente causale anche una working condition, ad esempio
illuminazione insufficiente, strumentazione inadatta , luogo di lavoro angusto.
Com’era prevedibile, la componente degli errori compiuti dai tecnici ha
interessato l’87% delle occorrenze. Le violazioni hanno registrato una percentuale
intorno al 47%. È da ricordare tuttavia che sono state le condizioni latenti all’interno del
management e le condizioni di lavoro a causare la formazione di falle attive da parte del
personale addetto alla manutenzione.
Lo studio condotto sulla tassonomia HFACS-ME ha rilevato che essa è adatta
non soltanto all’analisi dei casi in ambiente militare, ma anche a quella condotta in
ambito civile per le grandi compagnie che effettuano voli di linea. La tecnica è in grado
di rilevare sia le falle attive sia quelle latenti, e riesce a stabilire quale relazione sussiste
tra le prime e le seconde. Sulla base dei 15 incidenti analizzati, si è potuto osservare che
la maggior parte delle occorrenze si verifica in volo: sono dunque gli equipaggi che
subiscono in prima linea gli effetti degli errori commessi a monte. Risulta evidente che
a questo punto l’attenzione dell’organizzazione deve concentrarsi sui vari livelli del
sistema che non operano a diretto contatto con i velivoli.
Sono le procedure aziendali sbagliate o che non vengono seguite, sono i
documenti imprecisi, l’addestramento carente o la mancata comunicazione tra i vari
livelli e molti altri fattori già visti in precedenza ad influenzare il comportamento e la
performance degli operatori di frontline.
È importante anche non trascurare le occorrenze di minore entità. Tutte vanno
considerate, perché bisogna individuare tutti i fattori causali che possono generare un
evento. Anche un fattore che può sembrare irrilevante rischia di avere conseguenze
catastrofiche direttamente sull’aereo o sulle persone che operano su di esso. Non
bisogna poi dimenticare l’analisi degli incidenti di rampa e di hangar, poiché anch’essi
riguardano molto da vicino il personale addetto alla manutenzione, che è ciò che si
vuole studiare e tutelare con la tassonomia HFACS-ME.
4.4
Maintenance Event Decision Aid
MEDA è uno strumento che è stato sviluppato dalla Boeing per l’investigazione
nel campo della manutenzione dei velivoli. Scopo di questa tassonomia è di individuare
i fattori causali che provocano errori all’interno del sistema. Inoltre lo strumento di
analisi è valido sia per studi a posteriori, sia per analisi preventive per evitare il
verificarsi di errori in futuro. E’ stato stimato che l’80% dei fattori causali è sotto il
controllo delle compagnie aeree, mentre la parte restante non può essere prevista poiché
è costituita da fattori che si verificano una sola volta (a causa dell’unicità della
situazione). Inoltre si è scoperto che il 20% degli engine-shutdown che avvengono in
51
volo e il 50% dei ritardi aerei e delle cancellazioni dei voli sono dovuti a errori della
manutenzione. 30
L’obiettivo di MEDA è quello di capire il perché degli errori ed evitare che
questi si verifichino di nuovo in futuro. È compito del management evitare, con una
organizzazione, pianificazione e supervisione accurata delle task compiute dai
manutentori, che si ripresentino i fattori causali che hanno già portato all’occorrenza
una volta. MEDA parte dal presupposto che gran parte dei fattori che contribuiscono
alla nascita di errori siano risolvibili: le procedure operative possono essere cambiate e
corrette, e le strutture possono essere modificate in modo tale da rispondere a certi
requisiti di “vivibilità” e di qualità. Inoltre, poiché spesso un errore è dovuto a più
fattori, anche solo il correggerne qualcuno può evitare che esso si ripeta in futuro. Si
riporta qui di seguito un grafico dal quale è possibile vedere quali sono i fattori causali
che possono portare agli errori nei vari livelli dell’organizzazione.
4-9 MEDA: I fattori causali
La filosofia che sta alla base della tassonomia Boeing sostiene che, invece di
andare a scoprire il colpevole, cioè colui che ha commesso l’errore, bisogna andare alla
scoperta dei fattori causali che hanno contribuito al nascere dell’errore. Inoltre MEDA
va alla ricerca anche delle violazioni che sono state commesse che, seppure intenzionali,
sono state causate da fattori nascosti all’interno del sistema. L’analisi MEDA parte
dall’idea che ogni persona non vuole compiere errori di proposito e cerca invece di
lavorare al meglio delle sue possibilità. Se, dopo un’occorrenza, il personale intervistato
capisce che non lo si sta accusando, collaborerà nelle indagini in maniera attiva e con un
riscontro positivo per l’investigazione. Bisogna condannare un atteggiamento sbagliato,
non la persona che ha commesso l’errore.
Inoltre la tassonomia considera che gli errori non sono dovuti ad un singolo
fattore, ma alla concatenazione di più fattori causali. Spesso i tecnici sono al corrente di
questi fattori (ad esempio, una scarsa illuminazione, work card e manualistica difficili
da capire, scarsa comunicazione tra i vari manutentori). Tra i suoi vari scopi, l’analisi
MEDA si prefigge di individuare, con l’aiuto dei tecnici stessi, i fattori critici e di
lavorare per trovare soluzioni ai problemi.
30
J. Allen, B. Rankin, B. Sargent, Human factors process for reducing maintenance errors, Chicago,
Maintenance Human Factors Boeing Commercial Airplane Group, 1998.
52
Si possono individuare 5 sezioni all’interno del processo di analisi MEDA:
Decisione. Una volta risolto l’evento, l’operatore deve chiedersi se esso era
dovuto ad errori commessi nell’ambito della manutenzione; se sì, allora si deve avviare
un’investigazione MEDA.
Evento. L’organizzazione, in particolar modo la sua sezione adibita alla
manutenzione, deve individuare quali sono gli eventi, causati da errori, che andranno
investigati.
Investigazione. L’investigatore porta avanti l’indagine intervistando i tecnici
che hanno eseguito le manutenzioni e quindi direttamente coinvolti nel fatto; compila
tutti i vari form nei quali vengono registrate informazioni sull’aereo, sull’evento, sugli
errori che hanno portato ad esso, e sui fattori causali; stila una lista contenente le
raccomandazioni.
Strategie di prevenzione. Vengono adottate dall’operatore, dopo aver studiato
errori avvenuti in passato, per evitare il ripetersi degli stessi in futuro.
Feedback. Il management deve occuparsi di far pervenire ai manutentori le
notifiche dei cambiamenti che sono stati messi in atto in seguito alle indagini condotte.
Qui di seguito è riportato uno schema che individua le varie fasi della procedura
di investigazione MEDA sopra descritta.
4-10 MEDA: Procedura di investigazione
53
54
5 Analisi dell’occorrenza
5.1 Descrizione dell’occorrenza
5.1.1 Descrizione del fatto
Durante il periodo di tirocinio svolto presso un noto vettore italiano, si è
verificata l’occorrenza di cui si parlerà qui di seguito e a proposito della quale è stata
condotta un’inchiesta. In questo lavoro di tesi si descriverà dapprima l’occorrenza, per
poi individuare ed analizzare i fatti che hanno portato ad essa. Seguiranno infine alcune
considerazioni su ciò che si sarebbe potuto evitare e su ciò che andava fatto; verranno
infine individuate azioni correttive per scongiurare il ripetersi di un’occorrenza simile.
L’occorrenza che si andrà ad esaminare ha visto coinvolto un Airbus A320, la cui
compagnia aerea di appartenenza non viene qui menzionata per motivi di riservatezza. 31
Per meglio comprendere la dinamica dell’occorrenza, si è ritenuto opportuno
suddividerla in vari momenti, corrispondenti alle diverse fasi di volo.
Avvio motori – taxi
Sia durante la messa in moto sia durante la fase di rullaggio, il Cpt. nota che l’altimetro
sta dando indicazioni di quota leggermente fluttuanti. Anche i PFD 32 (Primary Flight
Display), sia quello sul lato comandante, sia quello sul lato del primo/ufficiale stanno
fornendo indicazioni oscillanti di quota, e in contrasto l’uno con l’altro. Nel momento in
cui però l’aereo raggiunge la testata pista e si allinea per decollare, sia il PFD 1 sia il
PFD 2 tornano ad indicare valori di quota coerenti con le caratteristiche dell’aeroporto.
Pertanto i due piloti decidono di procedere al decollo.
Dal take-off a 4000 ft
Subito dopo aver decollato, però, i PFD 1 e 2 tornano ad indicare valori di quota e
velocità discordanti tra di loro. L’A/P 33 (Auto-Pilot) e l’A/TH 34 (Auto-Throttle) si
disattivano, il pushbotton FD 35 (Flight Director) va su posizione OFF e il velivolo
31
Stesso discorso per quanto riguarda la marca del velivolo. Non verranno riportati dati utili
all’individuazione della compagnia aerea coinvolta nell’occorrenza. Non si pensi però che questo criptare
i dati vada a pregiudicare l’accuratezza e la profondità d’analisi dell’occorrenza. Lo studio del caso verrà
condotto nella maniera più dettagliata possibile.
32
PFD Primary Flight Display. Detto anche EADI (Electronic Attitude Director Indicator), è un display
presente sui velivoli di moderna concezione che è atto a riportare le informazioni di quegli strumenti che
vengono detti ‘Basic Six’. Essi sono: airspeed indicator, altimeter, artificial horizon (attitude indicator),
directional gyro, turn & slip indicator, vertical speed indicator.
33
A/P Auto-Pilot. Lo scopo principale di questo dispositivo è quello di alleviare la fatica fisica e mentale
del pilota, facendo sì che egli sia nettamente più vigile nelle fasi critiche di decollo e atterraggio. Al
giorno d’oggi esistono diversi sistemi di auto-pilot. Sugli A320 all’A/P viene accostato un A/T; ne segue
che il pilota automatico conduce l’aereo in base a comandi che gli vengono impartiti da attitude sensors,
sistemi di navigazione e pitot-static. La potenza è gestita dalle manette motore che sono controllate da
servocomandi gestiti dal computer adibito al thrust management. L’A/P può essere attivato subito dopo il
decollo, quando si raggiunge una quota minima di 400 ft.
34
A/TH Auto-Throttle. É un sistema elettro-meccanico, comandato da un computer, che controlla la
spinta fornita dai motori in base ai seguenti parametri: velocità del fan (N1), engine pressure ratio (EPR),
target airspeed.
35
FD Flight Director. È un sistema che all’inizio del suo sviluppo serviva quasi esclusivamente per dare
istruzioni riguardo l’orientamento da impartire all’aereo rispetto alla terra (rollio, beccheggio, imbardata)
55
passa alla modalità ALTN LAW. 36 Sull’ECAM 37 (Electronic Centralised Aircraft
Monitor) appare il relativo messaggio. Inoltre, sul lato del comandante, sempre
sull’ECAM, compare il messaggio di avviso di velocità eccessiva. Frattanto, l’aereo
continua a salire fino a 4000 ft.
Da 4000 ft a 14000 ft
Dal momento che i PFD continuano ad indicare valori differenti tra loro di quota e
velocità, l’equipaggio di condotta decide di configurare il velivolo seguendo le
indicazioni dell’ADR 38 3 (Air Data Reference) e degli strumenti di standby. L’aereo si
stabilizza in volo rettilineo a quota 14000 ft.
I piloti scartano le indicazioni provenienti dall’ADR 2, dal momento che l’IR 39 (Inertial
Reference) 2 era INOP come ammesso dalle MEL 40 (Minimum Equipment List); inoltre
essi ipotizzano che possa essere stata proprio l’avaria dell’IR 2 ad aver influenzato
l’intero sistema ADIRU 41 2.
Dopo aver compiuto questa azione, sull’ECAM compare un messaggio che suggerisce il
recycle del FAC 42 (Flight Augmentation Computer). I piloti eseguono questa manovra e
FD, A/P e A/TH tornano a funzionare; il messaggio di ALTN LAW continua però a
e riguardo gli angoli di sterzata, riducendo così il carico di lavoro sul pilota in fase di atterraggio.
Attualmente il sistema di FD viene associato all’A/P; ciò permette una creazione di istruzioni (a livello
grafico) per il pilota che concernono non solo l’orientamento del velivolo, ma anche la flight-path da
seguire e in generale le informazioni per la navigazione. Le istruzioni create dal FD possono essere
eseguite sia dal pilota sia direttamente dall’auto-pilot.
36
ALTN LAW Alternate Law. Quando si verificano avarie multiple sui sistemi ridondanti, i controlli di
volo Airbus passano dalla modalità Normal alla Alternate. Sull’ECAM viene riportato il seguente
messaggio in colore ambra: ALTN LAW: PROT LOST. Questo significa che tutte le protezioni sono
andate perdute, tranne quella riguardante il fattore di carico da manovra. Viene progressivamente imposto
un comando di nose down, per evitare che il velivolo perda ulteriormente velocità; in questa situazione
non è più presente la protezione dallo stallo; non viene più mantenuto il controllo sull’angolo di bank.
37
ECAM Electronic Centralised Aircraft Monitor. Introdotto da Airbus proprio sugli A320, è uno
strumento che monitora il funzionamento del velivolo e trasmette ai piloti i dati raccolti; inoltre li avvisa
per mezzo di messaggi dettagliati di warning nel caso in cui si verifichi un’avaria e a seconda del caso
consiglia o meno quali azioni intraprendere per correggere il problema. A seconda della pericolosità
dell’avaria, il messaggio di avviso viene scritto sul monitor nei seguenti colori: rosso (situazioni che
richiedono provvedimenti immediati da parte dell’equipaggio e che minano la sicurezza del volo), ambra
(situazioni che non richiedono azioni repentine da parte dei piloti, ma che devono comunque essere tenute
in conto), verde (situazioni che comportano una perdita di ridondanza dei sistemi; il problema va
monitorato ma non richiede azioni correttive e non mina la sicurezza della missione).
38
ADR Air Data Reference. É un componente che fornisce i valori di: velocità dell’aria, angolo di
attacco, temperatura, quota.
39
IR Inertial Reference. Fornisce informazioni sul rollio e sul beccheggio del velivolo, accelerazioni,
angoli, posizione, poli, dati relativi all’aria.
40
MEL Minimum Equipment List. È una lista degli equipaggiamenti minimi richiesti per
l’aeronavigabilità di un velivolo. Viene dunque ammesso che un aereo possa volare in condizioni di
sicurezza con strumenti/apparecchiature in operative. Le MEL comprendono anche le procedure che
devono essere seguite dai piloti per disattivare o mettere inoperativi degli strumenti. La lista viene
sviluppata ed è diversa per ogni velivolo; essa viene approvata dall’autorità competente (ad esempio,
EASA per i velivoli registrati in Europa).
41
ADIRU Air Data Inertial Reference Unit. È un componente dell’ADIRS (Air Data Inertial Reference
System), che fornisce dati riguardanti l’aria (velocità, quota), la posizione del velivolo e il suo
orientamento sugli assi rispetto alla terra. I dati raccolti dall’ADIRU sono resi disponibili per l’uso da
parte dei piloti e dei sistemi di pilota automatico, carrello di atterraggio, motori, flight control.
42
FAC Flight Augmentation Computer. È un computer che trasmette all’attuatore preposto il comando di
rudder trim. è dunque un dispositivo per il controllo dei comandi attorno all’asse di imbardata.
56
rimanere sull’ECAM. L’equipaggio decide di proseguire il volo verso la destinazione
prevista, dal momento che comunque i sistemi sembrano funzionare a dovere.
Da 14000 ft a 17000 ft
Il velivolo viene portato da FL140 a FL170, ma durante questa ulteriore fase di salita la
strumentazione presenta di nuovo i problemi che si erano manifestati durante la fase di
climb subito dopo il decollo (A/P e A/TH si disattivano; FD su OFF); in più, compare
nuovamente l’avviso di velocità eccessiva.
A questo punto l’equipaggio decide di tornare alla base, facendo affidamento - per la
conduzione del velivolo- sull’ADR 3 e sugli strumenti di standby.
Ritorno alla base
I piloti comunicano all’ATC 43 che le informazioni relative alla quota che ricevono non
sono attendibili, come pure i segnali TCAS 44 trasmessi agli altri velivoli. L’atterraggio
avviene in tutta sicurezza e non si verificano eventi indesiderati. Una volta a terra, si
scopre che le static ports di Cpt. e F/O sul lato sinistro della carlinga erano ostruite da
sigilli di sicurezza usati normalmente dalla compagnia per le operazioni di security
sealing.
A questo punto occorre spiegare il perché della presenza di questi sigilli di
sicurezza sulle porte statiche.
Durante la notte che ha preceduto il volo in studio, l’aereo era stato sottoposto ad
una pulizia esterna. Prima dell’esecuzione di un’external cleaning, il velivolo va
preparato secondo quanto riportato nell’AMM. 45
Il manuale Airbus per la manutenzione di un A320 indica chiaramente le
precauzioni da adottare prima di una pulizia dell’esterno della fusoliera. Tra i vari
accorgimenti, viene indicata la copertura di static ports, tubi di Pitot, TAT probes,
standby ports e probes. L’operazione deve essere eseguita tramite l’ausilio di tappi
appositamente studiati per questo.
Quella notte però non erano disponibili coperture in numero sufficiente per
portare avanti la task di preparazione del velivolo al lavaggio esterno. Un tecnico (che
verrà qui identificato con una lettera ‘A’ fittizia) va in magazzino a recuperare tutte le
coperture disponibili, ma si accorge che queste non bastano per la copertura di tutti i
punti ‘critici’ del velivolo e che due static vents vicine alla porta cargo46 rimangono
scoperte. A questo punto, il tecnico A, che deve correre a lavorare su un altro aereo
della flotta, chiede ad un collega (d’ora in avanti contrassegnato con la lettera ‘B’) di
chiudere le due static vents rimaste scoperte con dei sigilli della compagnia.
Il tecnico B arriva sottobordo e sigilla le due static vents come richiesto dal
collega, ma si accorge che sono rimaste scoperte anche le static ports sul lato di sinistra;
sigilla dunque anche queste ultime con dei security seal di compagnia.
43
ATC Air Traffic Control.
TCAS Traffic Collision Avoidance System. Detto ACAS (Airborne Collision Avoidance System)
dall’ICAO. Il sistema serve per mantenere i velivoli commerciali a debita distanza tra loro, per evitare
collisioni, indipendentemente dall’ATC. Un velivolo, per poter sfruttare il sistema TCAS, deve essere
dotato di un transponder che abbia anche la capacità di interrogare i transponder presenti a bordo degli
altri velivoli. Per poter volare nei cieli USA, un velivolo che possa trasportare più di 30 passeggeri deve
essere per forza dotato di un sistema TCAS approvato.
45
AMM Aircraft Maintenance Manual.
46
Si ricorda che le porte cargo di un A320 sono localizzate sul lato destro della fusoliera.
44
57
Dopo la pulizia esterna del velivolo, il tecnico A torna indietro per togliere le
cover dalle prese; rimuove anche i sigilli che erano stati apposti sulle due static vents
vicine alla porta cargo. Non nota però la presenza dei due sticker sulle static ports sul
lato sinistro. Il tecnico firma l’ATL ed emette un CRS, cioè certifica con il Rilascio in
servizio che il velivolo in questione è idoneo al volo. Dunque l’equipaggio prende in
consegna l’aereo e parte.
È stata proprio la presenza di questi sigilli sulle prese ad aver alterato il
rilevamento dei valori di pressione e ad aver causato un calcolo errato di velocità e
quota.
5.1.2 Le probes di un Airbus A320
Qui sotto è riportata un’immagine che indica la collocazione delle probes sulla
fusoliera di un Airbus A320. Sono state evidenziate in rosso le static ports di cui si è
parlato nella descrizione dell’occorrenza.
5-1 Collocazione delle probes sulla fusoliera di un A320
58
L’immagine sottostante mostra la collocazione delle prese statiche sulla fusoliera
di un A320.
5-2 Static ports lato sinistro Airbus A320
59
Nella fotografia qui sotto si vedono le static ports che nell’occorrenza in esame
erano rimaste coperte dai sigilli di sicurezza di compagnia.
5-3 Static ports Airbus A320
60
Segue un’immagine dei dispositivi per la protezione delle static ports che si
sarebbero dovute utilizzare prima della pulizia esterna del velivolo.
5-4 Dispositivo di protezione delle static ports di un Airbus A320
61
Infine, una fotografia che mostra l’applicazione delle coperture sulle static ports,
per la preparazione del velivolo all’external cleaning.
5-5 Static ports Airbus A320: dispositivo di protezione in posizione
5.1.3 Il flight deck di un Airbus A320
Per maggior chiarezza nell’analisi dell’occorrenza, si riportano qui di seguito
alcune immagini della strumentazione di volo di cui si è parlato nella descrizione del
fatto.
L’immagine che segue mostra il flight deck di un Airbus A320.
62
5-6 Flight deck Airbus A320
FLIGHT DECK – PANNELLO STRUMENTI (COMMANDER SIDE)
5-7 Flight deck Airbus A320: Pannello strumenti (lato Cpt.)
63
FLIGHT CONTROL UNIT – AUTO/PILOT & AUTO/THROTTLE
In questo close-up del Flight Control Unit sono state evidenziate in verde le
posizioni dei pushbutton di A/P e A/T.
5-8 Flight Control Unit Airbus A320: Close-up di A/P e A/TH
64
PRIMARY FLIGHT DISPLAY
5-9 Primary Flight Display Airbus A320
5-10 Primary Flight Display Airbus A320
65
ELECTRONIC CENTRALISED AIRCRAFT MONITOR
Viene qui presentata la configurazione dell’ECAM. Questo consta di due
monitor: il primo, E/WD, dedicato ai motori e alla segnalazione di warning, il secondo,
SD, per il controllo dello status del sistema.
5-11 ECAM Airbus A320: Engine/warning display
5-12 ECAM Airbus A320: System display
Per maggior completezza, vengono riportate qui di seguito alcune illustrazioni
relative all’aspetto che assumono i due display dell’ECAM in caso di fault. In queste
immagini è rappresentato il caso di surriscaldamento della hydraulic reservoir. Sulla
schermata E/WD appaiono nello spazio ‘memo’ il messaggio di fault (HYD B RSVR
OVHT) e la relativa istruzione (BLUE ELEC PUMP…..OFF). Il display SD richiama in
66
automatico il diagramma dei sistemi idraulici e compare la scritta “OVHT” in ambra di
fianco allo schema del sistema idraulico blu.
5-13 ECAM Airbus A320: E/WD fault
5-14 ECAM Airbus A320: SD fault
67
5.1.4 Procedura corretta AIRBUS
Sull’AMM 47 Airbus per gli A320 viene chiaramente descritta la procedura che
deve essere eseguita per un corretto allestimento del velivolo per l’external cleaning.
Dalla lettura della job card 48 (che riguarda l’installazione dei dispositivi di
protezione in preparazione al lavoro di pulizia dell’aereo), si può notare che Airbus
sconsiglia fortemente l’utilizzo di nastro adesivo et similia per la copertura delle
prese; 49 viene chiaramente specificato che, nel caso in cui viene utilizzato dello scotch,
parte di esso potrebbe rimanere attaccato alle prese e provocare un’indicazione in flight
deck di valori non corretti. Airbus raccomanda l’utilizzo delle protezioni appositamente
studiate per la copertura dei sensori; questo perché la strumentazione corretta è ben
visibile da terra (e quindi è difficile che ci si dimentichi di rimuovere alcune coperture
alla fine della pulizia del velivolo), è facile da togliere ed assicura l’adeguata protezione
dell’aereo. E questa raccomandazione è proprio quella che non è stata seguita dai due
tecnici in turno quella notte.
5.2 Analisi tramite metodologia ISAAC
5.2.1 Definizione degli eventi che hanno portato all’occorrenza
Innanzitutto è bene chiarire quale differenza intercorre tra un evento ed
un’occorrenza:
Evento. È un’azione, un fatto che porta ad un mutamento delle condizioni del
sistema. Dopo l’accadimento dell’evento, il sistema si troverà cambiato, le sue
caratteristiche saranno diverse rispetto a quelle precedenti il fatto.
Occorrenza. “Qualsiasi interruzione operativa, difetto, guasto o altra
situazione irregolare che abbia o possa aver influito sulla sicurezza di volo e che non
abbia causato un incidente o un inconveniente grave”. 50 Un’occorrenza è dunque una
serie di eventi che si sono concatenati fino a portare ad una situazione di cui si rende
necessaria, come espresso nella Direttiva 2003/42/EC, la segnalazione, cui seguirà una
fase di analisi. I dati raccolti dal reporting vanno inseriti all’interno di un database
secondo standard di livello europeo, in modo tale che le informazioni siano consultabili
da tutti gli Stati membri.
A questo punto si può passare all’individuazione degli eventi del caso preso in
esame in questa trattazione. Verranno qui identificati quei fatti che sono intervenuti sul
sistema e hanno portato ad una sua modifica, fino ad arrivare all’occorrenza. Dunque,
47
AMM Aircraft Maintenance Manual.
La job card non viene qui riportata per motive di riservatezza.
49
“Warning: Do not apply adhesive tape on the probes, ducts, sensors (static, pitot, tat, aoa). Use only
the specified tools for the protection of the aircraft. The specified tools: give the correct protection to the
aircraft equipment, are easy to see from the ground, are easy to remove. If you use tape, there is a risk
that some tape, or adhesive from the tape, will stay on the probes ducts or sensors. This can cause
incorrect indications on the related cockpit instruments”.
50
“Direttiva 2003/42/CE del Parlamento Europeo e del Consiglio, del 13 giugno 2003, relativa alla
segnalazione di taluni eventi nel settore dell'aviazione civile”, Gazzetta Ufficiale dell’Unione Europea n.
L 167, Bruxelles, 4 luglio 2003.
48
68
un evento presuppone un cambiamento nel sistema sul quale agisce. È chiaro che un
motore che si spegne in volo è un evento, tanto quanto un birdstrike.
Nell’occorrenza che si andrà ad analizzare in questo studio, però, i fatti accaduti
non sono stati generati solamente dalla componente macchina del sistema. Anzi, la
componente umana ha avuto un ruolo rilevante nella piega che gli eventi hanno assunto.
Pertanto si andranno ad analizzare quali fattori umani sono intervenuti ad influenzare il
comportamento degli operatori di front-line; si verificherà come la componente human
factor abbia causato uno sfondamento delle barriere difensive, e si osserverà come,
tuttavia, alla fine sia stata proprio una decisione giusta presa dai piloti ad aver impedito
che l’occorrenza si sviluppasse fino a risultare in una catastrofe aerea.
Va precisato che, ad ogni modo, si considerano come eventi esclusivamente gli
interventi e le azioni che sono state effettivamente compiute.
È necessario prestare attenzione al fatto che gli eventi non devono per forza
essere negativi, esistono infatti anche gli eventi positivi. Quando gli eventi negativi
intervengono nel sistema, quest’ultimo devia dal comportamento che invece era stato
stabilito. Le conseguenze dovute a tali eventi sono dunque inaspettate e, non potendo
essere previste, il massimo che si può fare è cercare di contenerle. L’effetto degli eventi
negativi dipenderà dalle barriere difensive del sistema. Si è detto però che esistono
anche eventi di tipo positivo. Questi ultimi sono dunque quei fatti che sono intervenuti
ad un certo punto sul sistema e hanno bloccato la sequenza di eventi negativi, così da
evitare il perdurare della sequenza di errori e ristabilire una condizione di sicurezza. In
definitiva, un evento positivo corrisponde all’intervento di una barriera difensiva.
Si osserva poi che gli eventi possono essere organizzati in una sequenza
temporale, lungo quella che viene detta “Event Time Line”, ETL. Gli eventi, una volta
che essi sono stati individuati, vanno collocati in ordine cronologico lungo questa linea
temporale. Spesso e volentieri, gli eventi che si sono succeduti sono legati l’uno
all’altro: solitamente un evento ha determinato quello successivo, fino a portare
all’occorrenza. Esiste dunque un rapporto di causa-effetto, che è quello che viene
ricercato dalla RCA nella sua analisi delle cause.
Tramite la RCA, in particolar modo grazie al metodo ISAAC, viene infatti
studiata l’occorrenza in modo retrospettivo. Si parte dall’analisi del sistema, mutato a
causa del susseguirsi di eventi, e si vanno a ricercare gli eventi che hanno portato al
cambiamento. Si verifica quale relazione sussiste tra un evento e il successivo.
Compiendo un’analisi di tipo retrospettivo si perviene infine all’evento scatenante,
quello cioè che ha dato il via al susseguirsi di fatti che hanno generato l’occorrenza.
L’occorrenza che è stata descritta nel capitolo precedente può facilmente essere
suddivisa in due eventi principali:
1° Decollo, nonostante durante le fasi di avvio motori e di rullaggio l’altimetro
desse indicazioni fluttuanti di quota, e nonostante i PFD 1 e 2 stessero fornendo valori
in disaccordo tra loro.
2° Rientro alla base, dopo aver verificato come ripetutamente durante le fasi di
salita la strumentazione, quale altimetro, PFD, A/P, A/TH, fosse inaffidabile.
Si nota che il primo evento è certamente negativo: i piloti non sarebbero mai
dovuti decollare in una situazione di questo tipo, con la strumentazione di navigazione
che mostrava evidenti segni di avaria. Il secondo evento invece è positivo: l’equipaggio
si rende conto che continuare il volo fino a destinazione, senza poter fare affidamento
69
sulla strumentazione di navigazione, è rischioso e decide di rientrare. Quest’ultimo fatto
è dunque rivelatore di una barriera difensiva nel sistema che ha funzionato, e che ha
impedito che l’occorrenza assumesse risvolti drammatici.
Inoltre si osserva che i due eventi sono strettamente legati tra loro; infatti il
secondo è conseguenza del primo, la causa. Il primo evento è senza ombra di dubbio
l’evento iniziatore. Si vedranno in seguito quali sono stati i motivi che l’hanno generato.
Frattanto, si riporta qui di seguito un’immagine della linea temporale per
l’occorrenza in esame. Su questa ETL è possibile vedere la collocazione dei due eventi,
posti in sequenza secondo l’ordine di accadimento.
5-15 Event Time Line
Una volta stabiliti gli eventi che hanno generato l’occorrenza, si può passare ad
individuare, per ciascuno di esso, quali errori, sia attivi sia latenti, sono stati
determinanti per lo scatenarsi dei fatti.
70
5.2.2 Evento 1: Il decollo
Si parte dall’analisi del primo evento, quello scatenante. Pur con PFD 1 e 2 in
disaccordo tra loro e con un altimetro che fornisce valori di quota oscillanti,
l’equipaggio, dopo essersi allineato in pista, procede al decollo.
5-16 Analisi dell’occorrenza tramite metodologia ISAAC: Evento 1: Il decollo
Innanzitutto, l’evento può essere analizzato seguendo due strade, quella definita
come human factors pathway e quella invece dei system factors. La metodologia
71
ISAAC è particolarmente interessante perché permette di distinguere nettamente le
cause che hanno portato all’evento e dovute alla componente umana, da quelle invece
dovute all’elemento sistemico. Da un punto di vista grafico, ISAAC permette una
separazione netta dell’uomo dalla macchina, il che è molto comodo quando si vanno ad
individuare i fattori che spiegano gli errori commessi. Ne segue che nella fase finale
dell’analisi sarà possibile stilare raccomandazioni ad hoc, per migliorare quelle
componenti all’interno dell’organizzazione che hanno ceduto.
Prima di inoltrarsi nell’analisi dello schema sopra riportato, si sottolinea come
questo primo evento in realtà possa essere considerato un macroevento, dal momento
che esso comprende sia la fase di rullaggio sia quella relativa al decollo vero e proprio.
Si è preferito accorpare le due fasi per evitare di appesantire la trattazione. Questa
considerazione deriva dal fatto che le falle che si incontrano lungo la system factors
pathway sono esattamente le stesse, sia per quanto riguarda la fase di taxi, sia per
quanto concerne la fase di decollo. Analizzando rullaggio e take-off nello stesso evento,
si è evitato di ripetere per due volte le medesime osservazioni sulla parte sistemica.
System Factors Pathway
Si inizia prendendo in esame la componente sistemica. Seguendo la direzione
indicata dalla freccia si incontrano:
- System Failure: questo guasto riguarda la strumentazione di navigazione che durante
le fasi precedenti al decollo (per la precisione, avvio motori e rullaggio) non ha risposto
come invece l’equipaggio si aspettava. In particolar modo, l’altimetro in questi momenti
sta fluttuando; sui PFD 1 e 2 vengono visualizzati dei valori di quota oscillanti e in
opposizione l’uno all’altro. Le prestazioni della strumentazione deviano dal
comportamento previsto e ciò è il sintomo di un errore compiuto a monte.

Lack of defences. In questo caso è evidente come sia venuta a mancare una
barriera difensiva. Le static ports di sinistra sono a tutti gli effetti inoperative,
dal momento che sono ostruite da sigilli. Se i tecnici o i piloti si fossero accorti
prima della presenza di questi ultimi, l’occorrenza non si sarebbe verificata.
- Latent Failure: è questo l’errore che è stato compiuto in un tempo precedente a
quello in cui il velivolo si allinea in pista per il decollo. È un fallo latente, nel senso che
nessuno si è accorto della sua presenza fino a quando non è intervenuto un fattore
scatenante a farlo emergere. Il latent failure consiste nell’errore che hanno compiuto i
tecnici, prima coprendo le static ports con dei sigilli di sicurezza, poi dimenticandosi di
rimuovere il nastro adesivo da tali sensori. Il personale addetto alla manutenzione ha
portato avanti un lavoro seguendo una procedura che non è quella corretta per la
protezione dei sensori durante il lavaggio.

72
Slip. L’idea di partenza era buona: coprire le static ports che, altrimenti, se
fossero rimaste scoperte sarebbero state danneggiate dall’external cleaning.
Purtroppo la mancanza di lavoro di squadra e di comunicazione ha fatto sì che il
tecnico A non venisse a conoscenza dal tecnico B della presenza dei sigilli sulle
static ports. Inoltre, a causa della fretta dei due manutentori, dovuta all’eccessivo
carico di lavoro in quella notte, è normale, benché deprecabile, che i lavori
fossero stati eseguiti di corsa e che i tecnici non si fossero scambiati le

Violation. Tuttavia la pratica di ricorrere a nastro adesivo per la copertura delle
prese è espressamente sconsigliata nell’AMM. I tecnici erano pienamente a
conoscenza del fatto che non stavano seguendo la procedura corretta, come
indicata da Airbus. Ma va anche ricordato che in magazzino non erano presenti
coperture per le prese in numero sufficiente, quindi i tecnici si sono dovuti
arrangiare.
Human Factors Pathway
Si considera adesso l’aspetto umano che è intervenuto nell’evento. Si osserva in
primo luogo che l’iter relativo alla componente umana si divide ulteriormente in due:
vengono dunque individuate -e considerate separatamente- le fasi di rullaggio e di
decollo.
Fase di rullaggio
- Active Failure: Il Cpt. decide di rullare, pur essendosi accorto, durante la messa in
moto, che l’altimetro fornisce indicazioni di quota leggermente fluttuanti. Anche i PFD
1 e 2 danno indicazioni oscillanti di quota, e in contrasto l’uno con l’altro. Nonostante la
strumentazione non stia rispondendo nel modo previsto da progetto, i due piloti lasciano
il parcheggio per raggiungere la testata pista.

Mistake. Innanzitutto si può osservare come sia venuta a mancare una certa
crew coordination. Il Cpt. avrebbe dovuto comunicare con il F/O, metterlo al
corrente del fatto che anche l’altimetro stava fornendo indicazioni di quota
oscillanti, e non solo che i due PFD davano indicazioni diverse. Il Cpt. ha
sottovalutato il malfunzionamento dell’altimetro e dei PFD; in quel momento
non si è reso conto del livello di gravità della situazione, non ha contemplato la
possibilità che andare in volo con la strumentazione non perfettamente
funzionante avrebbe potuto compromettere la sicurezza. È altrettanto vero che
l’equipaggio non poteva sospettare il fatto che la strumentazione fosse
inoperativa a tutti gli effetti, poiché sull’ATL non era riportato nessun guasto di
altimetro e PFD.
Hanno certamente contribuito all’errore attivo che è stato qui esaminato un paio
di fattori:

Personal Factor. Le operazioni eseguite dai piloti prima e durante il decollo
sono state caratterizzate da una costante: la superficialità.
- Il pilota che ha eseguito il walk around ha mantenuto, durante tutto lo
svolgimento della task, un atteggiamento di trascuratezza, non
attribuendo la giusta importanza ad un’operazione che viene effettuata
costantemente ogni volta che l’aereo deve partire. Il pilota ha
sottovalutato il valore di questa task, poiché normalmente durante la preflight non si riscontrano problemi: deve aver probabilmente pensato che
73
-

I due piloti, una volta in flight deck e pronti per partire, hanno
completamente sottovalutato le indicazioni sballate provenienti da
altimetro e PFD. Pur con la strumentazione di volo che, durante la fase di
avvio motori, dava evidenti segni di malfunzionamento, l’equipaggio di
condotta ha deciso di rullare. Le misurazioni fluttuanti di altimetro e PFD
sono state trascurate, sminuite.
Contextual Factor Quando il pilota ha iniziato a compiere il walk around, le
operazioni di refuelling erano state terminate e i passeggeri erano già stati portati
sottobordo. Certamente, vedere i passeggeri che attendono impazienti sugli
autobus, pronti a scendere da lì per essere imbarcati sull’aereo, non ha fatto altro
che peggiorare il clima nel quale è stato poi svolto il walk around. Il pilota,
avendo aspettato fino all’ultimo prima di eseguire il giro attorno all’aereo, è
stato costretto ad eseguire in fretta e furia un’operazione che richiede una certa
dose di tempo.
Questi due fattori hanno portato a un’ispezione pre-volo non condotta con la
giusta concentrazione e hanno fatto sì che i due piloti non si accorgessero dei sigilli di
sicurezza apposti sulle prese statiche.
- Latent Failure: Il pilota che ha eseguito il walk around non ha certamente portato a
termine la task come da checklist. Il giro attorno all’aereo è stato compiuto in maniera
molto approssimativa. Anche se la pre-flight è una task di routine, che viene eseguita
regolarmente prima di ogni volo, essa deve essere sempre svolta con estrema cura.

Slip Il pilota si è dimenticato di portare con sé la checklist durante il walk
around. Ne consegue che, data la complessità della checklist, è estremamente
probabile che accada di dimenticarsi di ispezionare determinati punti del
velivolo. Questa ne è la dimostrazione: il pilota non ha controllato che le static
ports sul lato sinistro fossero libere da ostruzioni. Per di più, il pilota doveva fare
in fretta a controllare il velivolo, dal momento che i passeggeri erano già
sottobordo, in attesa di essere imbarcati. E’ evidente come questo stato di
pressione abbia negativamente influito sul comportamento del pilota.
Fase di decollo
- Active Failure: Il Cpt. decide di decollare, nonostante la strumentazione non risponda
come invece è previsto. È ovvio che egli non sta seguendo la procedura che invece
dovrebbe seguire in una situazione simile.

74
Mistake Innanzitutto si può sottolineare come non ci sia stata sufficiente crew
coordination. Il Cpt. avrebbe dovuto parlare con il F/O anche dell’altimetro
oscillante e non solo dei PFD che davano indicazioni diverse. Se ci fosse stata
una maggior organizzazione tra i due piloti, essi probabilmente non sarebbero
decollati. Risulta inoltre chiaro come il Cpt. non fosse pienamente consapevole
di cosa sarebbe potuto succedere con un altimetro fluttuante e i PFD discordanti.
Osservando attentamente il grafico del primo evento, si nota una freccia
tratteggiata che collega il system failure all’active failure relativo alla fase di decollo.
Questa correlazione sta ad indicare che il guasto tecnico ha avuto conseguenze
importanti sulla safety: il livello di sicurezza delle operazioni si è ridotto. Le static ports
inoperative hanno fatto sì che le condizioni di lavoro, in cui stavano operando i due
piloti, diventassero critiche e che, con una certa carenza di barriere difensive,
aumentasse la probabilità di compiere un errore attivo (la scelta di decollare).
A questo punto le due pathway si riuniscono in un unico percorso. Proseguendo
lungo il grafico, si perviene ad un latent error, che è stato la causa sia degli errori della
componente umana, sia dei guasti della parte sistemica. Si intuisce come nel sistema
manchino delle barriere protettive che impediscano il verificarsi di eventi di questo tipo.
L’errore rientra nella categoria dei mistake: le procedure corrette ci sono, ma a
volte non vengono seguite, e ciò è dovuto ad un training del personale di front-line
probabilmente insufficiente. Dal momento che non sono presenti sistemi di controllo
per assicurarsi che i tecnici seguano le loro job card nell’esecuzione delle task e che i
piloti si attengano a tutte le procedure operative (ad esempio, portare con sé la checklist
durante il walk around…), è più semplice che si creino falle nel sistema. Con un
training più approfondito si può evitare che si ripetano errori, come quelli che sono stati
compiuti durante questa occorrenza. Richiamando periodicamente tecnici e piloti ai
corsi di aggiornamento, si ribadisce l’importanza del rispetto delle procedure e si
evitano errori dovuti a disattenzione: la prossima volta i primi si accorgeranno per
tempo di aver dimenticato i sigilli sulle prese, i secondi non sceglieranno di decollare
con la strumentazione che dà segni di inaffidabilità.
Il tutto porta infine ad un organizational process. È compito del management
creare una struttura, una barriera che impedisca agli operatori di front-line di ignorare le
procedure (definite anch’esse dal management). Il lavoro compiuto dai tecnici non viene
sufficientemente monitorato; non è presente, all’interno dell’organizzazione, un sistema
atto a controllare che i manutentori seguano in maniera ferrea le procedure. Si osserva
anche che i dirigenti della Compagnia non risiedono nello stesso luogo dove hanno sede
i tecnici. Ne segue che il management a volte non è del tutto consapevole dei problemi
che i manutentori si trovano ad affrontare. Può succedere che il management tenda
dunque a sottovalutare certi problemi posti dai tecnici.
Questi ultimi sono abituati a lavorare in un ambiente dove la pressione è costante
e il carico di lavoro, soprattutto d’estate, è elevato. Di conseguenza i tecnici possono
trovarsi in situazioni in cui sono costretti a portare a termine i lavori in fretta. Inoltre il
tecnico per sua natura, purtroppo, è abituato ad arrangiarsi: la sua indole lo porta a
cercare di ultimare le task anche senza la strumentazione corretta per poterlo fare. Ne fa
una specie di questione d’onore: deve riuscirci.
75
5.2.3 Evento 2: Rientro alla base
Dopo aver preso in esame l’evento che ha generato l’occorrenza, si passa ora
all’analisi dell’evento positivo, la decisione presa dai piloti di rientrare alla base. È un
evento positivo, dal momento che ha impedito che la sequenza di azioni negative
procedesse ulteriormente fino a generare un incidente.
5-17 Analisi dell’occorrenza tramite metodologia ISAAC: Evento 2: Rientro alla base
Si passa ora a commentare la rappresentazione grafica del secondo evento.
Anche in questo caso lo schema prevede la possibilità di seguire due strade, quella
relativa alla componente umana (human factors pathway) e quella invece che riguarda la
macchina (system factors pathway).
76
System Factors Pathway
Si inizia dall’analisi della parte sistemica che ha contribuito all’avvenimento di
questo secondo evento. Seguendo il percorso indicato dalle frecce si incontra un unico:
- System Failure: durante le tre fasi di climb la strumentazione di navigazione dà
problemi: i sistemi di A/P, A/TH, FD si disattivano per ben due volte, e in
concomitanza con questi fault compare anche l’avviso di velocità eccessiva; i PFD 1 e 2
forniscono indicazioni di quota e velocità che sono in discordanza tra di loro; il velivolo
passa dalla modalità di volo “nornal” alla modalità ALTERNATE LAW. I sistemi atti
alla navigazione sono compromessi dal momento che le prese statiche sono coperte da
sigilli di sicurezza.

Lack of defences In questa situazione si è verificata una carenza di barriere
difensive. La safety del volo è diminuita poiché la strumentazione di volo non
funziona come previsto da progetto; le prese statiche sono da considerarsi guaste
dal momento che sono ostruite dai sigilli.
Si osserva che questo system failure è lo stesso che è stato evidenziato
nell’analisi del primo evento. Da questa considerazione si deduce che anche questo
malfunzionamento del sistema dovrebbe essere seguito, sul grafico, da un errore latente;
esso tuttavia non viene di nuovo riportato in questo schema dal momento che,
comunque sia, le considerazioni sarebbero le stesse. Si rimanda dunque il lettore
all’analisi del primo evento per l’approfondimento del percorso del lato sistemico.
Human Factors Pathway
A questo punto si può procedere nell’analisi del grafico prendendo in esame la
strada relativa alla componente umana dell’organizzazione. È stato osservato in
precedenza che questo secondo evento è positivo, a differenza del primo. Come si vede
dal grafico, questa volta non sono presenti errori attivi compiuti dagli operatori di frontline. In questo caso si incontra una:
- Positive Reaction: Il Cpt. decide di fare rientro alla base, perché si rende conto che il
livello di safety del volo si è ridotto e che continuare il viaggio fino a destinazione è
pericoloso. In questo caso una barriera difensiva ha funzionato, e ha impedito che
l’occorrenza si evolvesse fino a diventare grave.
Come si può vedere dal grafico dell’evento, il system failure è collegato alla
positive reaction per mezzo di una freccia tratteggiata. Questo sta ad indicare che la
decisione dell’equipaggio di rientrare è stata dettata da una serie di motivi, tra i quali
giustappunto i vari fault sistemici. Gli altri aspetti che hanno fatto sì che i piloti si
rendessero conto della gravità della situazione possono essere raggruppati all’interno
della categoria dei contextual factors. Questi fattori dovuti al contesto sono tre e
consistono nei vari fault che si sono verificati durante le fasi di salita del velivolo da
quota 0 ft a 17000 ft. È stata dunque la fase di climb che ha contribuito a far sì che
emergessero i guasti della macchina.
Vengono qui di seguito brevemente analizzati:

Contextual factor 1: Nella fase di climb da quota 0ft a 4000ft, i PFD 1 e 2
tornano a dare indicazioni di quota e velocità discordanti, l’A/P, l’A/TH e l’FD
77

Contextual factor 2: Questo secondo fault riguarda la modalità in cui continua
ad operare il velivolo nonostante il lavoro da parte dei piloti per riportare l’aereo
ad una condizione di operatività normale. Dopo il recycle del FAC, come
suggerito ai piloti dall’ECAM, l’A/P, l’A/TH e l’FD tornano a funzionare, ma
l’aereo continua a volare in modalità ALTN LAW. Questa circostanza può a
buon diritto venir considerata come un guasto, dal momento che non vi è più il
controllo della stabilità sui tre assi e quello sull’inviluppo di volo; rimane solo la
protezione per i carichi da manovra.

Contextual factor 3: Questo è stato l’ultimo guasto a verificarsi, ed è quello che
ha finalmente convinto i piloti a fare rientro. Nella fase di salita, per portare
l’aereo da FL140 a FL170, l’A/P, l’A/TH e l’FD tornano di nuovo su off; inoltre
ricompare l’avviso di velocità eccessiva.
Si osserva che è stata proprio la scelta giusta compiuta dai piloti ad aver
impedito che la catena di eventi negativi proseguisse. L’equipaggio di condotta, dopo i
ripetuti fault ai sistemi di navigazione, ha correttamente deciso di fare rientro alla base.
È stata la loro azione a salvare la situazione. È per ciò che questo secondo evento
analizzato viene considerato un evento positivo, in quanto ha arginato i danni provocati
dal primo evento, cioè dalla decisione di decollare.
5.3 Analisi tramite metodologia SHELL
Seguono alcune considerazioni riguardo i fattori che hanno portato
all’occorrenza di cui si è trattato qui sopra.
Mancanza di work/order e job card
Innanzitutto si segnala che il lavaggio della fusoliera non viene eseguito
direttamente dai tecnici della compagnia aerea in questione, ma viene subappaltato. Ai
manutentori spetta solamente il compito di preparare il velivolo per l’external cleaning,
coprendo, con gli appositi dispositivi di protezione, tutte le parti sensibili sulla fusoliera
(quindi pitot, probes, ports, engine inlet/outlet, exhaust duct, ecc.). Poiché il lavoro di
pulizia non spetta ai tecnici della compagnia, è facile che l’engineering department (cui
spetta il compito di inviare i work/order ai manutentori) si dimentichi di emettere il w/o
per l’installazione dei dispositivi di protezione. Questo infatti è proprio quello che è
successo. Insomma, i tecnici sapevano dell’external cleaning, ma non avevano il loro
w/o e, di conseguenza, neanche la job card per l’esecuzione della task. Certamente, se i
tecnici avessero voluto, sarebbero stati in grado di reperire dall’AMM la job card
relativa al lavoro da eseguire, ma probabilmente i due manutentori in turno si sono
sentiti abbastanza sicuri di sé da non sentire la necessità di istruzioni di backup cartacee
sulla task da eseguire.
Mancanza dell’attrezzatura necessaria
78
La notte in cui doveva essere eseguita la pulizia del velivolo, nel magazzino
della compagnia non era presente tutta l’attrezzatura necessaria per la protezione delle
componenti critiche sulla fusoliera. I tappi per la copertura delle prese non erano in
numero sufficiente, tant’è che il tecnico B ha dovuto coprire con dei sigilli di sicurezza
non solo le due static ports sul lato sinistro della fusoliera, ma anche due static vents
vicine alla cargo door. Sempre sull’AMM di Airbus, vengono elencate tutte le coperture
necessarie da installare prima di un’external cleaning.
I tecnici non avrebbero neppure potuto chiedere in prestito ad altre compagnie i
tappi mancanti, poiché era notte e ad ogni modo nell’aeroporto in cui è accaduta
l’occorrenza non ci sono altre compagnie che operano gli A320 e che ivi hanno i loro
magazzini. È probabile che i tecnici fossero già ricorsi al sistema dei sigilli per la
copertura di prese altre volte, e che quindi l’attrezzatura mancasse dal magazzino da
diverse settimane.
Utilizzo di attrezzatura non adatta
Dal momento che non ci sono abbastanza coperture e che non è possibile
reperirle subito, i tecnici decidono di ricorrere all’espediente dei sigilli di sicurezza, da
usare a mo’ di tappi per la protezione dei sensori. Si osservi però che i dispositivi di
protezione raccomandati da Airbus sono fatti in modo che siano ben visibili da terra e
che sia dunque impossibile non vederli duran te un walk around. Lo stesso non si può
dire dei sigilli di sicurezza che invece hanno rimpiazzato l’attrezzatura d’ordinanza. I
sigilli di sicurezza usati dalla compagnia sono dello stesso colore della fusoliera. È
certamente anche per questo motivo, complice la distrazione sia dei tecnici sia dei piloti,
che i sigilli sono passati inosservati.
Workload
Il carico di lavoro per i due tecnici quella notte era particolarmente elevato. I due
manutentori erano gli unici in turno e dovevano lavorare su quattro Airbus A320. Era
una notte d’estate, il periodo più frenetico per le compagnie aeree. Gli aerei rientrano a
notte inoltrata e la mattina presto ripartono. Non c’è molto tempo a disposizione per
eseguire tutte le manutenzioni richieste. In particolare, quella sera i due tecnici
dovevano correre da un aereo all’altro, essendo da soli con un numero di velivoli non
indifferente. È chiaro che in una situazione simile la preparazione di un velivolo per
l’external cleaning venga vista come una task semplice, se non addirittura come un
impedimento, una scocciatura, dal momento che ci sono lavori di manutenzione ben più
consistenti da eseguire. Il velivolo è dunque stato assistito per il lavaggio in maniera
frettolosa.
Time of work
I tecnici erano in turno di notte. È noto da innumerevoli studi che sono stati
condotti in proposito, che durante le prime ore della mattina la soglia del livello di
attenzione raggiunge il suo punto di minimo. È normale che un individuo nelle prime
ore della mattina possa essere affetto da sonnolenza e faccia fatica a concentrarsi. In
generale si può affermare che le sue prestazioni diminuiscono. Sarà dunque più
probabile che durante i turni notturni vengano compiuti degli errori. Per questo motivo
è importante che i tecnici che lavorano in queste ore del giorno si controllino
79
reciprocamente i lavori svolti. La notte/mattina dell’occorrenza non è avvenuto così. I
due manutentori non avevano il tempo di controllarsi a vicenda. Inoltre si può notare
che quando di mattina sono state rimosse le protezioni dal velivolo, i tecnici ormai
erano quasi a fine turno e, stanchi dalla nottata di lavoro che avevano affrontato,
desiderosi solo di tornare a casa.
Mancanza di team work
I due tecnici di turno quella notte hanno lavorato ognuno per conto proprio, dopo
essersi “spartiti” le task che andavano eseguite. Il passaggio delle consegne tra i tecnici
A e B per la preparazione del velivolo al lavaggio esterno è stato gestito male. Non è
stato scritto niente su carta, non sono state seguite le procedure corrette. Il tecnico A
chiede al tecnico B di chiudere le static vents vicine alla cargo door con dei sigilli di
sicurezza e se ne va via. Il tecnico B copre le static vents, ma si accorge che anche le
static ports di sinistra sono scoperte e appone anche su di esse dei sigilli; il tecnico B
però non riferisce di questo intervento al suo collega, né a voce né mettendolo per
iscritto. La mattina il tecnico A va a togliere le coperture: si ricorda di togliere i sigilli
dalle static vents, ma non sospetta la presenza di nastro adesivo sulle static ports di
sinistra e, poiché è di fretta, non se ne accorge neanche. I sigilli rimangono dunque in
posizione.
Pre-flight
Infine un’osservazione sul walk around che è stato eseguito in modo molto
approssimativo. Il pilota ha aspettato che le operazioni di refuelling fossero finite prima
di accingersi a compiere il suo giro di ispezione attorno all’aereo; di conseguenza non
c’è stato tutto il tempo necessario per eseguire una corretta pre-flight. Inoltre, non
appena la botte del carburante ha lasciato il velivolo, i passeggeri sono arrivati
sottobordo. Da un punto di vista psicologico, questo non ha certamente favorito la
concentrazione del pilota nell’eseguire la pre-flight. Vedere i passeggeri stipati negli
autobus e impazienti di salire a bordo e prendere posto, non ha fatto altro che mettere
ulteriore fretta al pilota. Questi ha eseguito il walk around in maniera sbrigativa, senza
avere con sé la checklist. È chiaro che, dato il numero considerevole di punti che vanno
controllati, il pilota non ha certamente esaminato esaurientemente il velivolo e, infatti,
le static ports sul lato sinistro sono sfuggite. Va inoltre osservato che le static ports sul
lato sinistro sono ben visibili, anche dalla scala che sia l’equipaggio sia i passeggeri
usano per salire a bordo. È sconvolgente come nessuno si sia accorto dei sigilli.
Infine, vale la pena di considerare che, nonostante l’errore compiuto dalla
manutenzione, l’equipaggio di condotta avrebbe ancora potuto salvare la situazione,
eseguendo una pre-flight come da procedura. Qui hanno ceduto due barriere difensive:
né il walk around eseguito dai tecnici, né quello eseguito dal pilota hanno permesso di
rilevare il problema.
80
5.4 Raccomandazioni
A questo punto si possono formulare alcune raccomandazioni. Per comodità, si
separeranno quelle relative all’ambito della manutenzione da quelle relative al personale
di volo.
Manutenzione
Tecnici. Il personale di front-line. I tecnici sono certamente uno dei punti chiave del
sistema: il loro comportamento può permettere di salvare il sistema da un’occorrenza,
arginando in extremis una successione di eventi che minano la safety (ad esempio, se la
mattina i tecnici si fossero accorti della presenza dei sigilli, l’aereo non sarebbe andato
in volo con le ports tappate); ma il modo di agire dei manutentori può anche essere
proprio il fattore scatenante di un’occorrenza (ad esempio, i tecnici si dimenticano dei
sigilli rimasti attaccati sulle prese statiche e il velivolo decolla).
- Innanzitutto i tecnici non avrebbero dovuto apprestarsi ad eseguire la
preparazione del velivolo per l’external cleaning senza avere con sé la job card. È vero
che non era stato emesso il work order per quella task, ma è altrettanto vero che l’AMM
è accessibile a tutti i tecnici in formato elettronico 24h su 24h. I manutentori devono
sempre preoccuparsi di stampare una copia della job card, prima di eseguire un qualsiasi
lavoro, anche il più banale. Nonostante l’età e l’esperienza acquisita nel campo della
manutenzione, un buon tecnico deve sempre seguire le istruzioni riportate sulle job
card: questo perché il rischio di dimenticarsi di eseguire un qualche passaggio di una
task è sempre presente, specie per quanto riguarda le attività di routine. Inoltre, nel caso
in cui il work order non sia stato emesso dall’engineering department, i tecnici hanno il
dovere di richiederne una copia.
- Quella notte in magazzino non c’erano abbastanza coperture per tutte le probes
del velivolo. Probabilmente non era la prima volta che i tecnici ricorrevano ai sigilli per
la copertura dei sensori. È responsabilità anche dei tecnici segnalare la mancanza di
materiale, attrezzi e parti, dal magazzino. Sono i manutentori a servirsi del materiale ivi
presente e quindi, nonostante la presenza di un inventario di magazzino, sono loro i
primi che possono accorgersi della mancanza della strumentazione. Il tecnico è tenuto a
segnalare l’assenza di attrezzatura dal magazzino al proprio responsabile.
- I due tecnici erano in turno di notte, cioè dalle 18.00 alle 6.00. È risaputo che
proprio nelle prime ore della mattina il livello di concentrazione negli individui è al suo
valore più basso e le performance sono scarse. Inoltre i due manutentori erano anche
quasi arrivati a fine turno, quindi erano particolarmente stanchi. È una questione di buon
senso, da parte di chi deve lavorare di notte, far sì che ci si controlli a vicenda. I colleghi
sono tenuti a verificarsi a vicenda le task eseguite, onde evitare che errori dovuti alla
stanchezza e alla poca concentrazione rimangano nascosti.
- I due tecnici, che hanno eseguito la task di preparazione all’external cleaning
sul velivolo coinvolto nell’occorrenza, non si sono passati il lavoro in maniera
appropriata. Si raccomanda ai tecnici di non interrompere mai l’esecuzione di una task.
Tuttavia ci sono situazioni in cui si rende necessario l’abbandono di una task per
un’altra. Se questo è il caso, il tecnico è tenuto a riportare per iscritto i passaggi che ha
completato e che cosa manca ancora per il completamento del lavoro. Ciò assicura che
quando egli ritorna alla prima task non salti alcuni passaggi nel finire il lavoro. Se
invece il tecnico si vede costretto ad affidare il lavoro a metà ad un suo collega, il primo
è tenuto non solo a riportare per iscritto ciò che ha eseguito, ma anche a comunicare
81
oralmente al collega che cosa è stato già fatto e che cosa ancora manca; il tecnico che
sta abbandonando il lavoro deve assicurarsi che il suo collega che subentra sappia
esattamente come procedere.
Magazzino. Coloro che si occupano dell’approvvigionamento delle parti e
dell’attrezzatura hanno sempre sottomano gli inventari di magazzino. Se da questi
risulta evidente che manca del materiale, i magazzinieri sono tenuti a segnalare la cosa
al loro responsabile.
Si osserva inoltre che di notte il magazzino rimane aperto e incustodito.
Chiunque può entrare e rimuovere l’attrezzatura, anche se non autorizzato. Si
raccomanda di controllare, a qualunque ora del giorno, il flusso di persone che entrano
in magazzino e provvedere affinché solo gli autorizzati possano avere accesso, onde
evitare furti di materiale.
Engineering department. Il personale che è addetto all’elaborazione dei work
order e al loro invio ai tecnici è tenuto ad emettere i w/o anche per quei lavori che non
vengono direttamente eseguiti dai manutentori della Compagnia.
Maintenance Manager. Questi è la figura di riferimento per i tecnici, è il loro
responsabile.
- È dunque suo compito elaborare le richieste dei manutentori e assicurarsi che
essi abbiano tutta l’attrezzatura necessaria per eseguire i lavori di manutenzione. Il
maintenance manager dovrà provvedere affinché vengano acquistate coperture per le
static ports in numero sufficiente.
- La notte che ha preceduto l’occorrenza i due tecnici dovevano lavorare su
quattro velivoli. Il carico di lavoro era eccessivo. Il MM deve assicurarsi che le persone
in turno siano in numero adeguato rispetto agli aerei e alle task che devono essere
eseguite. Da un punto di vista formale è compito del MM rivedere anche il Manpower
plan, in modo tale che esso sia soddisfacente e rispecchi le esigenze della Part 145.
Personale di volo
Piloti. La mattina dell’occorrenza il walk around è stato eseguito in maniera
molto frettolosa e senza checklist. Si ricorda che i piloti sono tenuti a seguire sempre le
procedure di Compagnia e quelle riportate nei loro manuali. Per l’esecuzione di una preflight corretta è indispensabile ricorrere alla checklist che è a disposizione di ogni pilota
e che è riposta in flight deck in doppia copia. È compito dei piloti controllarsi a vicenda
e assicurarsi che i colleghi rispettino le procedure. Infine si ricorda che l’ispezione prevolo va iniziata non appena possibile, in modo da avere a disposizione tutto il tempo
necessario per eseguire un controllo accurato del velivolo.
5.5 Esempio di Pre-flight checklist
Si riporta, a titolo informativo, una checklist per l’esecuzione di un walk around
di un Airbus A320. Al punto 1 della checklist viene chiaramente specificata la necessità
di verificare che le static ports di Cpt. e F/O siano libere.
82
5-18 Pre-flight checklist Airbus A320
83
5-19 Pre-flight checklist Airbus A320
84
APPENDICE
6 Human factors nella manutenzione e ispezione degli
aeromobili
6.1 Scambio di informazioni / Comunicazione
Per quanto riguarda i problemi relativi ai fattori umani, certamente il più
importante nella manutenzione dei velivoli è la comunicazione.
È fondamentale che tutte le informazioni che riguardano la manutenzione siano
comprensibili dagli addetti del settore; in primo luogo, dunque, dai tecnici che eseguono
i lavori sulle macchine e da coloro che eseguono le ispezioni. Si noti che nel mondo
della manutenzione aeronautica gran parte della documentazione di riferimento è scritta
in inglese. Ne consegue che è importante cercare di utilizzare un linguaggio il più
semplice possibile, affinché tutti possano capire in maniera univoca di cosa si sta
parlando. Ad esempio, ad una porta ci si riferirà utilizzando sempre e solo il termine
“door”, e non “hatch” o “panel”.
Prima di rendere effettivi nuovi manuali, service bulletins, job cards, ecc.,
bisogna assicurarsi che coloro che dovranno leggerli non possano fraintenderli o
interpretare in maniera sbagliata le informazioni che contengono.
La comunicazione tra chi gestisce la manutenzione e il costruttore
dell’aeromobile è molto importante. Se ad esempio un operatore scopre un problema
che potrebbe portare ad incidenti, anche gravi, e lo riferisce al costruttore, quest’ultimo
potrà notificare tutte le altre compagnie che operano con lo stesso modello di
aeromobile.
E la mancanza di comunicazione viene spesso citata come causa che porta al
verificarsi di incidenti aerei. Non a caso l’EASA richiede, per la certificazione della Part
66, il superamento di un modulo 51 apposito nel quale si tratta del problema della
comunicazione. Seguendo l’ordine individuato dal modulo EASA, si andranno ad
analizzare di seguito le varie forme di comunicazione: scambio di notizie all’interno di
un team e tra diversi team, registrazione del lavoro svolto (work logging and recording),
aggiornamento (currency) e diffusione delle informazioni (dissemination of
information).
6.1.1 Comunicazione tra membri di un team e tra gruppi diversi
Esistono diversi modi per trasmettere ad un interlocutore delle informazioni o
dei messaggi. La comunicazione infatti può avvenire per via verbale (scritta, orale) o
per via non verbale (utilizzo di simboli, disegni, espressioni del viso).
6.1.1.1 Comunicazione orale e scritta
La comunicazione avviene tra un mittente (o locutore, o parlante) che è colui che
invia un messaggio, ed un destinatario (o interlocutore), che è colui che riceve il
51
Regulation (EC) 2042/2003 - 'Continuing Airworthiness', Annex III - Part 66 - Certifying Staff,
Appendix 1, 2 Modularisation, Module 9 ‘Human Factors’, 9.7 ‘Communication’.
Communication: Within and between teams; Work logging and recording; Keeping up to date, currency;
Dissemination of information.
85
messaggio. Il messaggio è sempre riferito ad un contesto (dato dalla situazione generale
e dalle particolari circostanze in cui avviene lo scambio di informazioni).
Innanzitutto, affinché la comunicazione vada a buon fine, deve esserci una sorta
di interazione tra chi parla e chi ascolta.
Affinchè una comunicazione vada a buon fine, devono essere presenti alcune
condizioni necessarie:
Canale: è il mezzo che viene utilizzato per propagare il codice e farlo pervenire
al ricevente; deve necessariamente essere lo stesso per i due interlocutori. Può ad
esempio consistere in e-mail, note scritte su carta, telefonate.
Lingua: ovviamente i due soggetti devono conoscere ed essere in grado di
capire la stessa lingua. Il problema può sorgere nel caso in cui i due interlocutori siano
di lingua madre diversa.
Messaggio: il ricevente deve essere in grado di codificare in maniera
appropriata il messaggio. Affinché non si verifichino delle interpretazioni sbagliate, il
codice non deve lasciar spazio ad ambiguità.
6.1.1.2 Comunicazione non verbale
La comunicazione non verbale è una modalità che permette uno scambio di
informazioni che è comune a tutti gli individui e non risente delle differenze linguistiche
tra mittente e destinatario. Ciò non significa che questo metodo sia comprensibile a
livello universale. La comunicazione non verbale richiede che i due soggetti che
interagiscono provengano dalla stessa cultura. Infatti un messaggio che viene
interpretato in maniera univoca da due persone appartenenti alla stessa cultura, può non
essere capito o può addirittura assumere un significato opposto per chi invece appartiene
ad un’altra cultura.
Tra i vari mezzi per lo scambio di un messaggio, la comunicazione non verbale
include, ad esempio, l’utilizzo di disegni, grafici e diagrammi, la gestualità (pollice in
alto, segno dell’OK, ecc.), le espressioni del viso (sorriso, smorfia, ecc.)
Da uno studio compiuto da Albert Mehrabian nel 1956 si evince che nella
trasmissione di un messaggio vocale sono diversi i fattori che intervengono e fanno
percepire al ricevente il messaggio in un determinato modo: le parole utilizzate (7%), il
tono della voce, il ritmo e il volume (38%), il linguaggio del corpo, soprattutto le
espressioni del viso (55%). Si nota dunque che è fondamentale il modo in cui un
messaggio viene percepito (e ciò dipende sostanzialmente dagli aspetti della
comunicazione non verbale).
6.1.1.3 Comunicazione all’interno di un team
Innanzitutto la composizione di un team (in termini di numero di persone e
abilità specifiche dei singoli) dipenderà dal lavoro che deve essere svolto.
I tecnici dovranno comunicare tra di loro in diverse fasi di un lavoro di
manutenzione: dovranno parlarsi prima di iniziare a lavorare, per capire cosa deve
essere fatto; durante il lavoro, per tenersi al corrente di quello che si sta facendo e per
chiedere chiarimenti o confermare un’azione da intraprendere; alla fine del lavoro, per
fare il punto della situazione e segnalare eventuali problemi.
È ovvio che, più lungo è il periodo di tempo dal quale i membri della squadra si
conoscono, più semplice sarà la comunicazione tra le persone. Ad un certo punto esse
86
riusciranno perfino a comprendersi tramite una forma di comunicazione non verbale;
potranno capire cosa stanno facendo i loro colleghi semplicemente dalla loro
espressione e dal linguaggio del corpo.
Nel campo della manutenzione dei velivoli, la maggior parte della
comunicazione tra i membri di un team avviene per via orale. Per tale motivo è di
fondamentale importanza che i messaggi vengano trasmessi chiaramente, che non siano
mormorati e che non ci siano rumori che impediscano l’ascolto.
La comunicazione scritta è usata molto di rado tra i componenti di una squadra; si
ricorrerà perlopiù a questa forma di comunicazione per quanto riguarda la trasmissione
di service bulletins e work orders.
6.1.1.4 Comunicazione tra diversi team
Il passaggio di consegne da un team ad un altro, che avviene con gli shift
turnover, è uno degli aspetti più critici per quanto riguarda la comunicazione tra squadre
diverse. È proprio quando due gruppi si danno il cambio che possono verificarsi delle
“perdite” di informazioni e, purtroppo, il lavoro della manutenzione dei velivoli viene
condotto, per sua natura, sempre su turni.
Ne deriva che è molto importante assicurarsi che la squadra che sta per
concludere il proprio turno trasmetta alla squadra successiva tutte le informazioni di cui
quest’ultima ha bisogno: Le informazioni necessarie comprenderanno le task che sono
state portate a termine e quelle che non sono ancora state completate, eventuali problemi
riscontrati durante il turno di lavoro, le task che dovranno essere eseguite nel turno
successivo, ed eventuali informazioni di tipo tecnico o comunicazioni interne
organizzative dell’azienda.
Si renderà necessario, per minimizzare le omissioni nelle comunicazioni, non
soltanto trasmettere per via orale tutto ciò che è stato eseguito e ciò che ancora rimane
da compiere, ma anche riportare su carta le stesse informazioni, cioè redigere work
orders, compilare technical logs, ecc.
6.1.2 Work logging and recording
Come già menzionato nel paragrafo precedente, è importante che i tecnici
compilino e tengano aggiornati i registri sui quali viene indicato quali lavori sono stati
effettuati. Questo perché il tecnico, mentre sta eseguendo un determinato lavoro,
potrebbe essere interrotto da un evento che richiede con più urgenza il suo intervento;
oppure può capitare che il tecnico si senta male o avverta il bisogno di prendersi un
attimo di pausa. Quindi si deve tenere aggiornata la documentazione non solamente tra
la fine di un turno e l’inizio di quello successivo, ma anche durante un turno. Come
debba essere tenuta la documentazione è cosa che varia da compagnia aerea a
compagnia aerea, e ognuno segue le procedure della propria azienda.
Ad ogni modo risulta particolarmente importante tenere nota dei lavori che
vengono effettuati specie in queste particolari circostanze:
- quando il lavoro viene completato su più turni;
- quando il lavoro non viene portato avanti da un solo tecnico, ma diverse
persone si avvicendano sulla parte oggetto d’intervento;
- nel caso in cui vengano asportati dei componenti dalla macchina;
- se il lavoro viene interrotto.
87
Sarebbe utile compilare anche dei form sui quali riportare ciò che ancora deve
essere fatto per ultimare il lavoro.
6.1.3 Keeping up-to-date, currency
Per diventare tecnico certificato occorre superare diverse fasi di apprendimento,
come richiesto dall’EASA per la Part 66. La normativa richiede non solo il superamento
di un certo numero di moduli (conoscenze teoriche), ma anche il completamento di un
periodo di addestramento pratico sulla macchina (OJT on the job training).
Nel mondo attuale però la manutenzione dei velivoli sta diventando sempre più
complessa, perché i nuovi aerei sono costituiti da sistemi più complessi, vengono
costruite molte più varianti di macchine, gli attrezzi per la manutenzione sono sempre
più sofisticati, vengono eseguite modifiche sui velivoli correnti sui quali il tecnico è
abituato a lavorare.
Ciò si traduce in un’esigenza di addestramento continuo a cui deve sottostare il
tecnico.
Inoltre, in un mondo sempre più competitivo, le compagnie aeree richiedono
tecnici che siano meglio addestrati, abili, che rendano al massimo. Questo anche perché
le aziende, sempre per motivi economici, tendono a far rimanere in volo gli aerei il
maggior tempo possibile.
É compito sia del singolo tecnico, sia della compagnia per la quale egli lavora,
rendersi conto di quando sia necessario un aggiornamento.
6.1.4 Dissemination of information
Come già accennato, è responsabilità sia del tecnico, sia dell’azienda, tenersi
informati su tutto ciò che riguarda le innovazioni dal punto di vista della manutenzione
aeronautica e, se del caso, frequentare un corso di aggiornamento.
Per quanto riguarda la sicurezza del sistema, è bene che, prima di eseguire un
lavoro, il tecnico si chieda se possiede tutte le conoscenze, in termini di procedure o
d’altro, che vengono riportate sulle task cards. Questo atteggiamento permette di
individuare quelle che potrebbero essere le lacune del personale e consente di definire
quali sono le aree sulle quali è necessario intraprendere un corso di aggiornamento. È
normale che di tanto in tanto le abilità di un tecnico risultino inadeguate allo
svolgimento di determinate manutenzioni. Infatti, come già si è detto, il mondo
dell’aviazione è in continuo cambiamento: vengono apportate modifiche agli aerei già
in utilizzo, vengono progettati nuovi velivoli, e i sistemi diventano sempre più
complessi.
6.2 Training
La manutenzione dei velivoli, come si è detto, diviene sempre più complessa
con il passare del tempo e per svolgerla si richiede un personale estremamente
specializzato, tanto più che gli aerei nuovi sono sistemi sempre più sofisticati. D’altro
canto, si sa anche che le compagnie tendono a tenere in servizio le vecchie macchine il
più a lungo possibile. Inoltre, sempre per motivi economici, gli aerei trascorrono più
tempo possibile in volo.
I tecnici richiesti dovranno dunque essere non solo perfettamente competenti in
materia, ma anche veloci nell’eseguire i lavori che vengono loro affidati.
88
Per il particolare ambiente nel quale si trova ad operare, un tecnico deve non
solo possedere conoscenze molto approfondite a livello teorico, ma essere anche in
grado di consultare la manualistica a sua disposizione e deve possedere ottime capacità
manuali. Inoltre egli lavora, per garantire la sicurezza delle persone, con
equipaggiamenti complessi e di solito gli viene affidato un carico di lavoro
particolarmente elevato.
L’addestramento di un manutentore può essere iniziale o recurrent. Il primo ha
come obiettivo quello di portare il tecnico ad avere una ben determinata conoscenza
della macchina sulla quale andrà a lavorare, mentre il secondo serve ad aggiornarlo sui
nuovi sistemi o equipaggiamenti che sono stati introdotti sul velivolo, oppure a
rinfrescargli la memoria su temi che vengono affrontati raramente.
6.2.1 Problemi associati al training
Cambiamento della natura della manutenzione stessa. Per prima cosa si può
notare che i nuovi aerei che vengono prodotti presentano molti più sistemi digitalizzati,
ci sono sempre meno parti propriamente meccaniche, mentre aumentano le funzioni
gestite da computer. Questo significa che in un tecnico è maggiormente richiesta la
capacità di analisi e troubleshooting rispetto alle abilità pratiche nel lavorare su
componenti meccaniche.
In secondo luogo, siccome i velivoli hanno una vita di servizio molto più lunga
rispetto a quella di una volta, sono particolarmente richiesti tecnici che possiedano
conoscenze anche rispetto ai vecchi modelli di aeroplani.
Infine, avviene sempre più spesso che la manutenzione degli aerei sia affidata a
terzi e che quindi non venga seguita direttamente dalla compagnia aerea.
Questi tre fattori evidenziano la necessità oggigiorno di avere tecnici con grandi
doti di comunicazione, che sappiano lavorare in squadra, che abbiano sempre sotto
controllo la situazione e sappiano che cosa si sta facendo.
On-the-job-training (OJT). Un grave inconveniente è dato dalla tendenza a
trascurare i corsi di aggiornamento: può passare una decina di anni prima che un tecnico
venga mandato a seguire uno di questi corsi. Il risultato è che il personale non sta al
passo coi cambiamenti che avvengono nell’industria aeronautica. Dal momento che
prima che una persona vada a seguire un corso di aggiornamento possono passare
diversi anni, capita spesso e volentieri che il tecnico si aggiorni direttamente sul
“campo”, invece che in strutture apposite adibite alla formazione del personale. Inoltre i
nuovi tecnici tendono ad imparare da quelli più vecchi, con maggiore esperienza.
Maintenance Resource Management (MRM). A seguito di una serie di
incidenti avvenuti per mancanza di comunicazione tra i membri di un equipaggio di
volo, sono stati istituiti appositamente dei corsi che rientrano nella filosofia di “Crew
Resource Management” (CRM), al fine di insegnare agli equipaggi il lavoro di squadra.
Corsi simili sono stati istituiti anche per i tecnici della manutenzione, poiché la
comunicazione, la “situation awareness” e il lavoro di squadra sono di fondamentale
importanza per ridurre al minimo la possibilità di compiere un errore e per aumentare la
performance del team.
Si osservi tuttavia che è molto più difficile creare uno spirito di squadra tra i
tecnici che tra gli equipaggi di volo. Questo perché, mentre i secondi sono abituati a
rapporti/gerarchie di tipo militare, i primi invece non lo sono.
89
6.2.2 Metodologie di training
Vengono di seguito illustrate diverse tecniche di addestramento.
On-the-job training (OJT). Si verifica quando lo studente impara lavorando. Il
nuovo tecnico viene seguito sul lavoro da un tecnico esperto, che supervisiona il suo
operato e gli insegna i vari aspetti della manutenzione. Il tecnico con esperienza illustra
allo studente come utilizzare gli strumenti a sua disposizione e quali sono le procedure
di un particolare ambiente di lavoro. Gli aspetti positivi dell’OJT sono costituiti dal
fatto che l’apprendista ha la possibilità di compiere una vasta gamma di lavori e nel
frattempo migliorare le sue competenze, avendo come persone di riferimento tecnici
estremamente professionali. Gli svantaggi risiedono nel fatto che il successo
dell’apprendimento dipende in buona parte dalla competenza del tecnico che viene
affiancato allo studente; inoltre il tecnico preposto all’istruzione dell’apprendista viene
caricato di un’ulteriore mole di lavoro, nel senso che, oltre a svolgere le sue normali
mansioni, deve anche seguire da vicino il nuovo tecnico.
Ci sono situazioni nelle quali è preferibile questa forma di insegnamento, altre
invece nelle quali è meglio evitare questa modalità.
L’OJT risulterà certamente positivo se gli studenti possiedono già
un’infarinatura e quindi non avranno bisogno di spiegazioni lunghe e particolarmente
approfondite. Sarà utile quando l’argomento da trattare può essere imparato solo con la
pratica diretta o quando è così complesso da non poter essere riprodotto in un’aula o da
un computer; quando la manutenzione di linea è ben fornita e ha abbondanza di
personale, tanto da potersi permettere di impiegare della forza lavoro per
l’addestramento di altri.
Sarà invece opportuno evitare l’OJT in un ambiente di lavoro frenetico, in cui il
personale è già caricato al massimo di lavoro; quando gli studenti non hanno mai
affrontato gli argomenti di cui si andrà a parlare; quando il numero di allievi da seguire
professionalmente è elevato; e quando vi è necessità di addestramenti particolarmente
lunghi nel tempo.
In classe. L’addestramento con questo metodo richiede la presenza fisica di un
istruttore che trasferisce le sue conoscenze ad un gruppo di studenti. Il vantaggio è che
l’insegnante può rispondere direttamente alle domande del gruppo, può dosare il tempo
da dedicare ad un argomento in base alla sua complessità o meno, e ha la possibilità di
illustrare episodi realmente accaduti sul lavoro, a differenza di un libro di testo. In aula
la comunicazione può essere sia verbale sia non verbale, e può essere integrata da un
laboratorio nel quale esercitarsi direttamente. Inoltre gli studenti imparano a comunicare
in gruppo, interagiscono tra di loro, apprendono come rapportarsi all’interno di una
squadra. Gli svantaggi di questo metodo sono rappresentati dal suo costo molto più
elevato e da una durata temporale nettamente superiore: il successo del corso dipende
dall’abilità dell’insegnante ed implica un numero limitato di studenti.
Distance learning. In questo caso l’insegnamento avviene a distanza, con lo
studente e il professore che si trovano in posti geografici differenti. Le lezioni vengono
consegnate allo studente su supporti video: lo studente fa i compiti che gli vengono
assegnati e li inoltra via mail al suo professore, che li correggerà e li restituirà
all’allievo. Sono di recente introduzione le video-conferenze e le lezioni via satellite. Le
classi sono “virtuali”: gli studenti possono trovarsi nelle più svariate parti del mondo e
connettersi alla classe ad un’ora prestabilita. Essi possono vedere in tempo reale le note
90
e le slides presentate dal professore, possono intervenire con commenti o domande,
possono interagire tra di loro e ascoltare gli interventi fatti dai loro colleghi di corso.
L’aspetto positivo è un risparmio sui costi: non bisogna trasferirsi per seguire le lezioni
e non si spreca tempo negli spostamenti.
Computer-based training (CBT). Con questa definizione ci si riferisce a
qualsiasi metodologia di apprendimento che faccia uso di supporti informatici per
l’addestramento della persona. Il metodo di insegnamento è interattivo, poiché il
computer risponde alle azioni dello studente, lo corregge e ne verifica le conoscenze.
Inoltre i sistemi moderni sono in grado di adattare le lezioni sulla base degli input dello
studente e del suo livello. Il vantaggio sta nel fatto che lo studio può essere condotto
individualmente e secondo il proprio ritmo. L’acquisto del software è sicuramente
vantaggioso se si ha intenzione di usarlo per un gran numero di persone e non solo per
un singolo. Il CBT è particolarmente valido per introdurre concetti di base e per
insegnare il troubleshooting.
Per quanto concerne l’insegnamento delle basi, spesso si ricorre ai cosiddetti
libri elettronici. Solitamente il software parte da un argomento per poi analizzare il
materiale appropriato al livello dello studente. In ogni unità del programma si avranno
quasi sempre filmati, grafici, testi esplicativi, esercitazioni e test finali di
autovalutazione. Questi e-book possono essere utilizzati da soli o come materiale
didattico extra, a completamento delle lezioni in aula. In quest’ultimo caso sarà cura
dello studente affrontare i vari argomenti su computer prima di andare a seguire la
spiegazione in aula. Così facendo, egli arriverà alla lezione “fisica” conoscendo già le
basi del discorso.
Inoltre, la simulazione a computer è vantaggiosa quando lo studente deve
imparare a maneggiare un attrezzo, ma potrebbe essere pericoloso partire direttamente
dallo strumento reale senza aver maturato una certa esperienza, o quando l’allievo
deve imparare una task, per esempio il troubleshooting degli impianti idraulici e
avionici.
Just-in-time/Embedded. In questo caso lo studente apprende una particolare
procedura, per esempio come eseguire una task, mentre la sta compiendo.
L’addestramento è incluso nel software o nell’equipaggiamento che il tecnico deve
usare per compiere un lavoro. Un esempio tipico sono i vari file ‘help’ dei software:
l’utente pone una domanda e il programma elabora la risposta.
Questa forma di apprendimento è particolarmente apprezzata dai manager, che
non lo vedono come spreco di tempo, dal momento che viene svolto mentre si esegue il
lavoro. E’ una buona strategia di apprendimento quando gli studenti non sono del tutto
nuovi all’argomento, ma possiedono già delle conoscenze di base; quando la task non è
particolarmente complicata e quando, in ogni caso, per svolgere quel determinato
lavoro, si sarebbe dovuto ricorrere ai sistemi di supporto che vengono utilizzati per
l’apprendimento just-in-time.
Internet/Intranet. Inizialmente utilizzato dai governi e dalle università come
strumento di sviluppo e ricerca, internet si è sviluppato moltissimo negli ultimi anni ed è
diventato un sistema di comunicazione per mezzo del quale si possono portare avanti
attività commerciali, di intrattenimento, di informazione. È facile trovare su internet
corsi di ogni tipo, tra i quali anche quelli di manutentore aeronautico. Chiunque
possieda una connessione internet può avere accesso alle informazioni contenute nella
rete e quindi anche a questi corsi. Lo svantaggio è che, appunto, l’utente deve essere
91
dotato di una linea telefonica e, se possiede un vecchio sistema, può anche darsi che
debba aspettare a lungo affinché i pacchetti di informazioni vengano inoltrati dal server
al suo account. Intranet invece merita un discorso a parte. La rete intranet è privata e di
solito viene creata all’interno di un’azienda, per mettere in condivisione tra il personale
i dati e le informazioni, e per conservare i documenti. Per accedere a intranet, l’utente
deve possedere una password; ciò permette di limitare l’accesso alla rete ai soli utenti
espressamente autorizzati dai creatori del network.
Sia per quanto riguarda internet, sia per quanto riguarda intranet, il vantaggio
consiste nella possibilità di mettere in condivisione il software per la formazione del
personale (quindi abbassamento dei costi) e di creare un’interazione tra insegnante e
studente.
6.2.3 Considerazioni sul training
Un addestramento sarà tanto più efficace quanto più la metodologia di
apprendimento rispecchierà le esigenze dello studente. La quantità di informazioni
“consegnate” allo studente deve essere proporzionata al livello di conoscenze già
acquisite dallo studente stesso e deve essere adeguatamente dosata (quantità giusta al
momento giusto).
Inoltre l’istruttore non solo deve conoscere perfettamente l’argomento che dovrà
insegnare, ma deve anche sapere esattamente qual è il livello di preparazione dei suoi
studenti.
Se lo studente è motivato (vuoi per un aumento di stipendio, vuoi per la
soddisfazione personale di ampliare le proprie conoscenze), allora egli si applicherà con
entusiasmo e si eserciterà molto di più rispetto ad un allievo non motivato, insomma
imparerà più in fretta.
Si è già introdotto qui sopra un altro concetto fondamentale, che è quello della
pratica. Questa può essere svolta in un periodo ristretto di tempo oppure lungo un arco
temporale esteso. Da studi svolti, si è visto che un tirocinio distribuito nel tempo
permette allo studente di assimilare con calma i concetti e favorisce una memoria a
lungo termine, assai meglio di un training concentrato in un breve periodo.
Inoltre, nella fase di apprendimento, risulta utile spezzare le task complesse in
piccole parti, soprattutto perché spesso e volentieri ci sono diverse task con passaggi in
comune.
Durante la fase di training è particolarmente importante il feedback, che può
consistere in una semplice verifica alla fine di un lavoro - con risultato positivo o
negativo – od essere un costante accertamento, da parte dell’istruttore, del modo in cui
sta operando l’allievo fino al completamento della task.
Da notare che il lavoro del tecnico è di norma accompagnato da task card e che
solitamente il tecnico può avvalersi di una esauriente manualistica nella quale andare a
rintracciare le procedure necessarie che servono per lo svolgimento di un determinato
lavoro. Dunque non è necessario che il tecnico impari a memoria le procedure che dovrà
applicare sul lavoro. Questo tra l’altro è un vantaggio: dal momento che non c’è nulla da
sapere a memoria, ci saranno meno probabilità che ci si dimentichi di un passaggio
richiesto da una task, perché la modalità di lavoro da seguire sarà riportata per iscritto,
passo dopo passo.
Infine, vediamo a chi è rivolto il training. Un manager deve valutare
attentamente quali sono le abilità e i punti deboli di ogni suo dipendente. In base a
queste osservazioni, egli nominerà il caposquadra e assegnerà i lavori da svolgere.
92
Grazie a una conoscenza approfondita delle qualità di ogni tecnico, egli potrà
stabilire quale corso di addestramento far frequentare e a chi. A volte si tratterà
semplicemente di mandare i propri tecnici ad un corso perché occorre eseguire dei
nuovi lavori con procedure innovative e qualcuno deve pur essere in grado di farli; altre
volte invece lo si farà perché è stato assunto un nuovo tecnico e bisogna portarlo allo
stesso livello di conoscenze dei suoi colleghi.
Certamente il successo nell’apprendimento e la sua rapidità dipenderanno
dall’abbinamento tecnico-corso. Se l’accoppiata sarà stata indovinata, allora si avrà il
massimo del rendimento.
6.3 Ambiente e condizioni di lavoro
Si possono individuare almeno tre posti di lavoro specifici per l’industria della
manutenzione aerea: hangar, rampa, shop. Tra questi, il luogo meno controllabile dal
punto di vista dei fattori ambientali è certamente il piazzale aeroportuale. Per quanto
invece riguarda gli shop (dove i componenti avionici vengono riparati), questi hanno
più l’aria di un ufficio, per come sono organizzati, e dunque, rispetto alla rampa, danno
molto meno problemi relativamente al mantenimento di certe caratteristiche ambientali
(luce, rumore, polvere, ecc.). L’hangar rappresenta la via di mezzo, in termini di
controllabilità, tra shop e rampa.
L’allegato II dell’EASA, riguardante la Part 145, 52 specifica esattamente quali
requisiti deve possedere una struttura preposta alla manutenzione dei velivoli, sotto il
profilo dell’ambiente fisico in cui operare. Si analizzeranno qui di seguito i vari aspetti
considerati dalla normativa.
6.3.1 Definizione posti di lavoro
Hangar. Particolarmente utili per le organizzazioni che si occupano di
manutenzione di base. Devono essere abbastanza grandi da poter sempre accogliere un
numero di velivoli pari a quello stimato dai lavori pianificati. Sono consigliabili anche
per la manutenzione di linea, in caso di situazioni meteorologiche particolarmente
avverse. Il lavoro in hangar è stato oggetto di molti studi, perché rivela importanti
aspetti del fattore umano. Gli hangar sono edifici ampi (appunto per poter ospitare
diversi velivoli contemporaneamente), con soffitti molto alti. Questa particolarità rende
difficoltoso illuminare adeguatamente tutta la struttura. Inoltre a causa della vastità degli
spazi, la comunicazione tra le persone risulta difficoltosa. Dato che un hangar deve
essere in grado di ospitare aerei, bisogna che sia dotato di porte sufficientemente grandi,
ciò che rende difficile tenere sotto controllo temperatura e umidità.
Uffici. Necessari per chi pianifica le manutenzioni da effettuare e per accogliere
il certifying staff.
Magazzino. Luogo in cui riporre tutta l’attrezzatura, le parti di ricambio, i
materiali di consumo che servono per la manutenzione dei velivoli. Il magazzino deve
essere suddivisa in una zona in cui sono depositati i pezzi di ricambio “serviceable” e in
una zona dove sono accumulate le parti “unserviceable”.
52
Regulation (EC) 2042/2003 - 'Continuing Airworthiness', Annex II – Part 145 – Maintenance
Organisation Approvals, Section A, 145.A.25 Facility Requirements.
93
Rampa. Sono le piazzole aeroportuali, il luogo dove viene svolta la
manutenzione di linea. Qui è praticamente impossibile controllare i fattori ambientali; i
tecnici sono regolarmente in balia delle condizioni meteo e molto poco si può fare per
ovviare agli inconvenienti. Solitamente si ricorre a torce quando l’illuminazione
naturale non è sufficiente, si indossano tute impermeabili quando piove, si cambia
abbigliamento in base alle temperature, e poco altro.
6.3.2 Fattori ambientali
Temperature. Devono essere tali da non influire negativamente sul lavoro dei
tecnici. Occorre garantire un livello minimo di confort. Gli esseri umani sono in grado
di adattarsi ad un’ampia gamma di temperature, ma se si raggiungono valori estremi - o
troppo caldi o troppo freddi – allora qualsiasi performance diminuisce. Nei paesi
particolarmente caldi, i tecnici soffrono a causa delle temperature eccessive sia di
giorno sia di notte. Si prendano ad esempio di alcuni stati africani, dove la temperatura
raggiunge i 45/46°C durante il giorno e i 34/38°C la notte nella stagione estiva. In
queste zone l’organizzazione deve prestare particolare attenzione a come vengono
gestiti i lavori di manutenzione, poiché la performance dei tecnici diminuisce molto
velocemente sia nei turni di lavoro diurni, sia in quelli notturni, a causa delle condizioni
ambientali estreme ed aumenta la percentuale di errori.
Negli hangar si hanno meno problemi climatici. Potrà far caldo, esserci umido o
freddo, magari di più se si deve tenere l’hangar aperto, ma in ogni caso qui il tecnico
risentirà meno delle temperature estreme, come invece avviene nel caso di
manutenzione di linea. All’aperto, il manutentore può essere costretto a lavorare con la
luce diretta del sole, oppure con forti venti (questo sarà particolarmente problematico
nel caso i lavori che debbano essere compiuti su parti in alto dell’aereo) e con pioggia
oppure con umidità elevata.
Polvere e altre contaminazioni aeree. Devono essere mantenute al minimo e
non bisogna assolutamente che la contaminazione raggiunga livelli visibili a occhio
nudo nell’area di lavoro. Se così fosse, i tecnici dovranno provvedere immediatamente
all’isolamento di tutti quei componenti che potrebbero risentirne.
Illuminazione. Deve permettere ai tecnici e a chi esegue le ispezioni di portare
avanti il proprio lavoro efficientemente. Un’illuminazione inadeguata o insufficiente
può indurre i tecnici in errore o allungare il tempo necessario per svolgere una task.
La qualità dell’illuminazione viene descritta secondo diversi parametri:
INTENSITÀ: La luce è descritta dalla sua intensità e dalla sua resa cromatica.
L’intensità della luce viene misurata in lux. 53 A seconda dell’operazione da eseguire è
richiesta un’intensità di luce più o meno forte; tanto per dare un’idea, i cartelli luminosi
di un’uscita di emergenza sono almeno a 50 lux, mentre per compiere un lavoro di
“fino” di ispezione si avrà bisogno di 5000 lux; per lavorare in un hangar senza dover
continuamente ricorrere a dispositivi di illuminazione ausiliaria sarebbe opportuno
avere un’illuminazione attorno ai 750-1000 lux.
DISTRIBUZIONE: Anche questa è molto importante. La luce non deve
abbagliare, non deve essere posizionata in modo tale da creare ombre e deve essere il
più uniforme possibile su tutta l’area di lavoro. Ciò si ottiene con l’utilizzo di tante
piccole fonti di illuminazione, piuttosto che con poche luci molto potenti. Nonostante
53
Il lux è una misura che si riferisce ad un’area: 1 lumen su un'area di 1 m2 corrisponde ad 1 lux.
94
questi accorgimenti, è ovvio che l’apertura alare produrrà vaste zone d’ombra. Un
accorgimento per cercare di aumentare il livello di illuminazione in queste aeree
consiste nel dipingere pareti, soffitto, pavimento ed equipaggiamenti fissi in modo che
riflettano buona parte della luce di cui sono irradiati. Si sfrutta così il fenomeno della
riflettenza. 54
GLARE: Esistono due fenomeni di abbagliamento: diretto e indiretto. Ci si
riferisce al primo quando una persona guarda direttamente la fonte di luce, mentre il
secondo caso si ha quando la luce che abbaglia viene riflessa da una superficie.
L’effetto glare diretto è tanto più evidente quanto più l’osservatore si avvicina alla fonte
di luce. Solitamente questo problema non si riscontra negli hangar, perché le luci sono
appese molto in alto e sono quindi particolarmente distanti dal personale della
manutenzione. Per quanto concerne l’effetto glare indiretto, il modo migliore di ridurne
le conseguenze è quello già menzionato prima, e cioè il rivestimento pittorico di tutte le
superfici e di tutte le apparecchiature fisse.
RESA CROMATICA: E’ la qualità della resa dei colori. Esistono in commercio
diversi tipi di luci. A seconda del tipo di illuminazione l’osservatore percepirà in
maniera differente i colori delle superfici. Per esempio, alla luce bianca calda di una
lampada ad incandescenza, i colori come il blu e il verde appariranno relativamente
grigi e opachi, nonostante un'ottima resa cromatica. Viceversa, questi stessi colori
appariranno chiari e luminosi alla luce bianca di una lampada fluorescente, nonostante
una scarsa resa cromatica. Per quanto riguarda invece la resa di colori come il giallo e il
rosso, questo fenomeno di attenuazione o intensificazione dell'effetto cromatico, risulta
invertito. Altro esempio: le luci a mercurio (mercury vapor) hanno pochissimo rosso nel
loro spettro di color, cosicché una superficie che appare rossa alla luce del giorno, alla
luce a mercurio sembrerà arancione o in alcuni casi addirittura nera.
Il problema è che le luci che presentano un’ottima resa cromatica, come le luci
ad incandescenza, tendono però ad essere abbastanza inefficienti; mentre le luci
efficienti, come quelle high-pressure sodium, sono davvero scadenti dal punto di vista
della resa cromatica. Le luci fluorescenti diurne sono un buon compromesso tra colore e
illuminazione.
In hangar si adottano in genere due soluzioni per ovviare a questi problemi. La
prima consiste nell’adottare un mix di luci con buona diffusione di illuminazione e luci
con buona resa cromatica, mentre la seconda sta nell’utilizzare unicamente luci con alto
potere di illuminazione (anche se tutti i colori risultano alterati) e poi ricorrere alle
tasking lights di buona resa cromatica per alcuni particolari lavori.
FACILITY/TASKING: Per quanto riguarda l’illuminazione artificiale si parla
anche di luci di “facility” (cioè quelle dell’edificio/impianto stesso, sia luci installate,
sia luce proveniente da aperture, come porte e finestre) e di “tasking lights” (torce,
piantane, illuminazione dell’aereo stesso).
All’aperto: durante il giorno di solito basta la luce naturale per operare, ma può
anche succedere che l’ombra stessa dell’aereo o l’ombra creata da edifici renda
necessario il ricorso a luci artificiali. Queste ultime sono assolutamente indispensabili
quando si deve lavorare all’interno di un vano dell’aereo (es. vani avionici). Di notte
invece non sono certamente sufficienti le luci aeroportuali: si ricorrerà quindi a torce o a
54
La riflettanza è una grandezza adimensionale che indica la proporzione di luce incidente che una data
superficie è in grado di riflettere. È quindi rappresentata dal rapporto tra l'intensità del flusso radiante
trasmesso e l'intensità del flusso radiante incidente.
95
caschetti dotati di lampadine (per far sì che il tecnico abbia le due mani libere con cui
lavorare).
In hangar: in genere le luci sono poste molto in alto, il che significa che non
vengono mai spolverate e che se una lampadina si fulmina non verrà sostituita subito.
Di conseguenza in un hangar l’illuminazione tenderà ad essere meno forte della luce
naturale e quindi anche di giorno si dovrà ricorre a torce e quant’altro.
Rumore. La comunicazione orale è la modalità maggiormente utilizzata dal
personale tecnico e dagli ispettori in ambito lavorativo. È per via orale infatti che il
personale si scambia informazioni tecniche e pratiche sul lavoro da eseguire; inoltre gli
apparecchi utilizzati per le manutenzioni o i sistemi di monitoraggio dei componenti
sugli aerei emettono dei suoni con svariati significati, che è importante recepire per
poter interpretare la situazione. E’ necessario creare e mantenere un ambiente di lavoro
in cui sia favorita la comunicazione tra il personale, mentre i rumori sono minimizzati.
Il rumore deve essere mantenuto all’interno di un valore che non distragga il personale
mentre porta avanti le task di manutenzione. Qualora il rumore superi una certa soglia e
sia impossibile impedirlo, lo staff dovrà essere munito di dispositivi di protezione per
l’udito. Come buona norma, comunque sia, chi lavora in ambito della manutenzione
degli aerei dovrebbe sempre essere munito di dispositivi di sicurezza per l’udito. In
particolar modo questa raccomandazione vale per coloro che operano in aeroporto, sui
piazzali. Qui infatti la soglia del rumore è molto elevata, a causa della messa in moto dei
motori, del funzionamento di APU e pacchi, della partenza e dell’arrivo dei velivoli. Il
rumore molto alto può avere degli effetti negativi sia sul breve sia sul lungo periodo.
Oltre ad essere di disturbo per chi deve compiere un lavoro, non permette la
comunicazione tra i tecnici e non consente loro di ascoltare i rumori di avviso
(warning); in più ovviamente danneggia l’udito.
Diversi studi hanno dimostrato che l’orecchio è sensibile a suoni compresi tra i
20Hz e i 20KHz di frequenza. Per quanto riguarda l’intensità del suono (misurata in
dB), è raccomandabile non esporsi a suoni che superino i 115dB, a meno di non essere
muniti di protezioni per l’orecchio. Sui piazzali aeroportuali è abbastanza comune
raggiungere gli 85/90dB. Ci sono diversi accorgimenti che possono essere adottati per
cercare di ridurre l’impatto che il rumore ha sul lavoratore: si può cercare di ridurre il
rumore alla fonte, si possono mettere delle barriere di riduzione del rumore tra la fonte e
la persona esposta ad esso, si può proteggere direttamente il lavoratore. Il primo di
questi tre metodi è certamente il più efficace, se lo si considera al momento di
acquistare le attrezzature: vanno scelte le più silenziose possibili e, una volta adottate,
non ci si dovrà più preoccupare del problema rumore. Se invece viene adottato il terzo
modo e si decide di proteggere il lavoratore, questi dovrà essere dotato di appositi
dispositivi di sicurezza.
Se l’ambiente di lavoro scende al disotto dei livelli minimi accettabili di confort
in termini di temperatura, umidità, grandine, ghiaccio, neve, vento, luce, polvere, ecc.,
allora il lavoro di manutenzione va sospeso fino a quando non vengono ripristinate
condizioni ambientali accettabili.
96
6.3.3 Condizioni di lavoro
Sono già stati affrontati gli aspetti che possono influenzare negativamente il
lavoro del tecnico, dall’addestramento ai problemi di comunicazione e all’ambiente di
lavoro. Esistono tuttavia altri fattori che possono causare un abbassamento della soglia
di attenzione da parte del personale o che hanno come conseguenza una riduzione delle
capacità del tecnico. Questi altri aspetti verranno qui di seguito brevemente affrontati.
Alcool, farmaci, droghe. Bere sostanze alcoliche provoca un aumento dei tempi
di reazione, sia fisici sia mentali. Inoltre, poiché l’alcool altera i sensi, il tecnico che ne
ha bevuto rischia verosimilmente di non essere neanche in grado di giudicare se stesso e
le sue performance, e non riesce a capire quando è il caso di astenersi dal lavoro. Non
esistono espedienti per eliminare in fretta l’alcool dal corpo (ad esempio bere caffè).
Per di più, dormire dopo aver bevuto non fa altro che rallentare ulteriormente
l’eliminazione dell’alcool, perché nel sonno il metabolismo rallenta. Se, per giunta,
l’alcool è combinato all’assunzione di farmaci, gli effetti peggiorano.
I medicinali possono avere effetti collaterali su chi li assume. È compito del
tecnico informarsi adeguatamente, prima dell’assunzione di un farmaco, di quali
possono essere gli effetti sulle sue prestazioni. Anche nel caso in cui il medicinale non
abbia conseguenze su chi lo assume, comunque sia il tecnico dovrebbe chiedersi se la
sua malattia lo ha portato a trovarsi in condizioni fisiche non adatte al lavoro che è
chiamato a svolgere.
Infine, un cenno alle droghe. L’utilizzo di sostanze stupefacenti va ad intaccare
il sistema nervoso e altera le funzioni del cervello. I tempi di reazione si allungano di
molto, si fa fatica a mantenere la concentrazione, a recepire le informazioni dall’esterno
e a compiere ragionamenti sensati. Un tecnico che assume droghe non si troverà
certamente in condizioni mentali tali da poter condurre il proprio lavoro.
Salute & forma fisica. La JAR specifica chiaramente, per quanto riguarda la
Part 66 che “certifying staff must not exercise the privileges of their certification
authorisation if they know or suspect that their physical or mental condition renders
them unfit to exercise such privileges”. La manutenzione dei velivoli richiede spesso un
grande sforzo fisico ed è per questo motivo che è importante che il tecnico goda di
ottima salute e sia in buona forma. Prima di iniziare la propria giornata lavorativa, ogni
tecnico ha il dovere di giudicarsi e di verificare se è in stato di salute adatto per
affrontare il lavoro. È importante che il personale sia stato addestrato in maniera tale da
avere una buona percezione della propria performance, che sia consapevole degli effetti
che una malattia può avere sulla persona e di quali possono essere le sue conseguenze
sullo svolgimento del lavoro. Un tecnico non deve assolutamente essere messo in
condizione di presentarsi sul posto di lavoro se non in si sente perfettamente bene.
A volte succede che il personale sia scarso e quindi, se un componente della
squadra resta a casa, si hanno ripercussioni sul lavoro di manutenzione, con conseguenti
ritardi sul programma. Ciò però non deve indurre il tecnico malato a recarsi al lavoro
ugualmente. Si pensi al caso in cui un membro del team sia affetto da una malattia
contagiosa. Se si presentasse al lavoro, egli passerebbe la malattia ai suoi colleghi, con
il risultato che la squadra verrebbe privata di più componenti, anziché di uno solo, come
sarebbe successo se il primo tecnico malato fosse rimasto a casa.
Un altro caso interessante è quello tipico dei tecnici a contratto (i cosiddetti
contractors) che, se restano in malattia e non si presentano sul posto di lavoro, non
vengono stipendiati per i giorni perduti. Addirittura, a volte da contratto può capitare
97
che chi resta a casa perda il posto. Ciò porta il contractor a lavorare anche quando non
sarebbe in condizioni fisiche per farlo. Ovviamente le condizioni fisiche peggiorate
portano ad un abbassamento della performance del tecnico.
Un buon tecnico dovrebbe adottare le seguenti regole di vita: mangiare in
maniera regolare e seguire una dieta bilanciata; fare regolarmente esercizio per
mantenersi in forma; smettere di fumare e limitare l’uso di alcolici.
Stress. Varie sono le cause che possono portare il tecnico ad una situazione di
stress. Si può fare una distinzione tra problemi domestici e problemi di lavoro. Come
chiunque altro, anche un tecnico, quando esce di casa per andare al lavoro, non riesce a
lasciare completamente tra le mura domestiche i problemi che vi si sono creati e penserà
alle complicazioni familiari anche sul lavoro, con conseguente distrazione dalle task che
gli sono state affidate e calo di concentrazione. Vi sono poi i problemi che nascono e si
sviluppano direttamente sul luogo di lavoro. Lo stress da lavoro può essere dovuto
principalmente a due motivi: una task particolarmente complicata che si sta affrontando,
oppure l’ambiente di lavoro in generale. In più, se vengono fatte pressioni sul tecnico, a
causa dei tempi ridotti entro cui il compito deve essere completato, allora la situazione
porterà ad un incremento ulteriore di stress.
Lo stress può manifestarsi sotto diverse forme. Si riportano a titolo
esemplificativo alcuni sintomi: effetti sulla salute, come emicrania, disturbo del sonno,
sudorazione intensa; alterazione del comportamento, come il bere troppo, avere la
sensazione di non essere mai stanchi, ridere nervosamente. Infine, depressione,
aggressività e ansia sono conseguenze dello stress.
Il tecnico, se scopre di essere affetto da questi disturbi dovuti a situazioni
particolarmente stressanti, dovrebbe cercare di parlarne con i colleghi, se non
addirittura ricorrere agli esperti nei casi gravi. Tuttavia esistono delle situazioni in cui
l’interessato non si accorge di essere sotto stress. È compito allora di chi gli sta vicino,
dei suoi compagni di squadra, segnalare i comportamenti sospetti, i cambiamenti
ingiustificati di atteggiamento di un loro collega, in modo tale che il management possa
prendere, ove necessario, le dovute misure cautelari.
Carico di lavoro. È di fondamentale importanza che il personale sia stimolato in
maniera tale che la performance sia massima. Un eccesso di stimolo però porta a
fenomeni di stress, mentre la carenza di stimoli non favorisce un rendimento ottimale.
Se la task da eseguire è particolarmente semplice, il livello di attenzione del lavoratore e
le sue prestazioni saranno basse. D’altro canto, se il carico di lavoro è eccessivo, il
tecnico non potrà certamente dedicare al suo lavoro tutta l’attenzione necessaria e, di
conseguenza, anche in questo caso la performance non sarà eccezionale. Ne deriva che
sia un carico di lavoro esagerato sia uno scarso costituiscono un problema all’interno
dell’azienda. Il rendimento massimo si ha con un carico di lavoro che sta a metà strada
tra un impegno esagerato e uno fin troppo blando.
Si noti però che il carico di lavoro non può essere definito in maniera univoca
per ciascun individuo, ma è qualcosa di soggettivo. È ovvio che il carico dipende dalla
complessità della task, ma anche dalle condizioni di lavoro e nell’ambiente in cui il
tecnico deve operare e, infine, anche dalla persona stessa. In pratica si può dire che il
carico di lavoro dipende da tutti quei fattori che sono stati affrontati nei paragrafi
precedenti e che vanno genericamente sotto il nome di human factor.
Ci sono degli accorgimenti che un’azienda può adottare per evitare il verificarsi
di problemi dovuti al carico di lavoro inadeguato. Innanzitutto il management deve
98
assicurarsi che il personale abbia le competenze e le conoscenze per riuscire a svolgere
il lavoro che gli viene assegnato; che le squadre di lavoro siano formate in base alla
reale necessità del lavoro che va eseguito e che al team vengano assegnati solo lavori
che si riescono a portare a termine nel lasso di tempo assegnato (quindi vanno evitate le
situazioni di overload); che ci siano tutte le attrezzature, i macchinari, la manualistica
necessaria. Infine è saggio da parte dell’azienda formare dei manager che sappiano
intuire quando si stanno per verificare situazioni di stress e carico di lavoro eccessivo, e
che siano in grado di gestirle.
Turni di lavoro. La manutenzione aerea è un’attività lavorativa che funziona 24
ore su 24. I tecnici sono richiesti sia di giorno durante i transiti degli aerei in aeroporto,
sia di notte quando i velivoli solitamente sono a terra ed è possibile eseguire le
manutenzioni più importanti. Nelle organizzazioni che si occupano di manutenzione dei
velivoli il personale lavora su turni, sistema che ha i suoi pro e contro. Certamente tra i
vantaggi si possono annoverare una vita lavorativa non di routine e una maggiore
facilità a raggiungere il posto di lavoro (dal momento che il tecnico non deve viaggiare
da/per il posto di lavoro nelle ore di punta). D’altro canto è anche vero che i turnisti
devono lavorare anche nelle prime ore della mattina, quando la soglia di attenzione è al
minimo. Sono stati condotti innumerevoli studi in proposito. Si può osservare che l’ora
del giorno in cui si lavora influisce sulla performance del lavoratore stesso;
normalmente è preferibile lavorare durante le ore diurne e riposare la notte. Purtroppo
però spesso e volentieri nella manutenzione aeronautica questo discorso non funziona e,
per motivi economici, le compagnie aeree preferiscono far volare gli aerei di giorno. Di
conseguenza, la manutenzione dei velivoli può essere eseguita soltanto durante le ore
notturne.
Per spiegare il perché delle affermazioni di cui sopra occorre fare un cenno al
ritmo circadiano. Un ritmo circadiano è un ciclo, della durata di 24 ore circa (ma varia
in base alla lunghezza del giorno, perché è direttamente collegato al ciclo di alternanza
luce-buio), che descrive i processi fisiologici dell’essere umano e degli animali. A parte
l’alternanza delle fasi di sonno e di veglia, il ritmo circadiano descrive anche i cicli di
temperatura corporea e senso di fame. Esso è direttamente controllato dal cervello, ma
viene influenzato dai fattori esterni ambientali. Un esempio concreto è il jet lag. Dopo
un volo a lungo raggio, il ciclo luce-buio risulta sfasato, il corpo non riesce a
sincronizzarsi subito con la variazione delle condizioni ambientali e la persona è affetta
da sonnolenza durante il giorno e non riesce a dormire di notte; questo problema dura
un paio di giorni, poi il corpo riesce a sincronizzarsi con le mutate condizioni esterne e
torna in fase. Oltre ai cicli di luce e oscurità, si è detto che il ritmo circadiano riguarda
anche la temperatura corporea. Questa, durante un ciclo di 24 ore, tende a fluttuare. Si
riporta di qui seguito un grafico che mostra l’andamento della temperatura corporea con
il trascorrere delle ore.
99
6-1 Andamento della temperatura corporea in base all’ora del giorno
Si osserva che la temperatura corporea raggiunge il suo minimo verso le 06:00 di
mattina, mentre il suo massimo verso le 20:00 di sera. In particolare si nota che questo
ciclo rimane invariato anche se il ciclo normale di veglia-sonno viene alterato da
particolari turni di lavoro. In altre parole, se un tecnico è in turno la notte, bisognerà
prestare particolare attenzione al fatto che durante le prime ore della mattina egli sarà
affetto da sonnolenza. Il tecnico farà decisamente fatica a restare sveglio e concentrato,
e le sue prestazioni diminuiranno. Sarà dunque opportuno adottare maggiore cautela per
quanto riguarda i lavori di manutenzione sui velivoli. In questi turni è necessario che i
tecnici si controllino reciprocamente i lavori svolti, in modo
da facilitare
l’individuazione di un errore. Sarà anche il caso di evitare, se possibile, lo svolgimento
di lavori particolarmente complessi durante le prime ore della mattina. Spesso e
volentieri i tecnici si trovano a lavorare su turni che vanno dalle 8 alle 12 ore e, di
conseguenza, al momento dell’handover, cioè a fine turno, i turnisti non vedono l’ora di
lasciare il lavoro. Questo è dunque uno dei momenti più delicati, in cui è più facile che
si generino degli errori. Ci sono anche in questo caso vantaggi e svantaggi
nell’organizzare la manutenzione su turni lavorativi particolarmente lunghi. Se i turni
sono di 12 ore l’uno, si avrà solo un cambio di squadra durante l’arco di 24 ore. Meno
cambi ci sono, meno sono gli spazi in cui è più facile che si verifichino degli errori. Ma
è anche vero che più i turni sono lunghi, più il personale è provato verso la fine del ciclo
lavorativo e più incline a sbagliare, a causa di un calo delle prestazioni e della
concentrazione. Infine, siccome i tecnici lavorano su turni a rotazione e le persone non
riescono a riadattarsi subito al cambio del ciclo luce-buio, lavoro-riposo, è preferibile un
passaggio di turno dal giorno alla notte che non il contrario.
100
7 Documentazione fotografica
Per maggiore completezza vengono riportate qui di seguito alcune fotografie di
Pitot, prese di standby e tat, e loro coperture.
7-1 Coperture per le prese tat e per i Pitot in posizione sulla fusoliera di un Airbus A320
101
PITOT PROBE
7-2 Pitot probe Airbus A320
7-3 Pitot probe Airbus A320: dispositivo di protezione
102
7-4 Pitot probe Airbus A320: dispositivo di protezione in posizione
103
STANDBY STATIC PORT
7-5 Standby static port Airbus A320
7-6 Standby static port Airbus A320
104
7-7 Standby static port Airbus A320: dispositivo di protezione
7-8 Standby static port Airbus A320: dispositivo di protezione in posizione
105
TAT PROBE
7-9 Tat probe Airbus A320
7-10 Tat probe Airbus A320: dispositivo di protezione
106
7-11 Tat probe Airbus A320: dispositivo di protezione in posizione
107
108
BIBLIOGRAFIA
Airbus, A318/A319/A320/A321 Flight Crew Operating Manual, Blagnac, Airbus S.A.S.,
2007.
Airbus, A319/A320/A321 Flightdeck and systems briefing for pilots, Blagnac, Airbus
S.A.S., 1998.
Alexander, H. M., Sarter, N. B., “ErrorTypes and Related Error Detection Mechanisms
in the Aviation Domain: An Analysis of Aviation Safety Reporting System Incident
Reports”, International Journal of Aviation Psychology (2 aprile 2000), pp. 189 – 206.
Allen, J., Rankin, B., Sargent, B., Human factors process for reducing maintenance
errors, Chicago, Maintenance Human Factors Boeing Commercial Airplane Group,
1998.
“Attuazione della direttiva 2003/42/CE relativa alla segnalazione di taluni eventi nel
settore dell'aviazione civile”, in Decreto Legislativo 2 maggio 2006, n. 213, Gazzetta
Ufficiale n. 137, 15 giugno 2006.
Baker, M., “Human Factors in Production”, SBAC Annual Quality Conference (2007),
Steventon.
BASI - Bureau of Air Safety Investigation, Human factors in airline maintenance: A
study of incident reports, Melbourne, 1997.
Cacciabue, P. C., Guide to Applying Human Factors Methods, Milano, Springer, 2004.
Cacciabue, P. C., Sicurezza del Trasporto Aereo: Metodi e Tecniche per Analisi di
Rischio, Affidabilità e Fattori Umani, Politecnico di Milano, 2008.
Christensen, T. D., Taylor, J. C., Airline Maintenance Resource Management:
Improving Communication, Warrendale, SAE - Society of Automotive Engineers, 1998.
CAA - Civil Aviation Authority, < http://www.caa.co.uk>
Department of Defense, MIL-STD-882D: Standard Practice for System Safety, 1993.
“Direttiva 2003/42/CE del Parlamento Europeo e del Consiglio, del 13 giugno 2003,
relativa alla segnalazione di taluni eventi nel settore dell'aviazione civile”, Gazzetta
Ufficiale dell’Unione Europea n. L 167, Bruxelles, 4 luglio 2003.
“Direttiva 94/56/CE del Consiglio, del 21 novembre 1994, che stabilisce i principi
fondamentali in materia di inchieste su incidenti e inconvenienti nel settore
dell'aviazione civile”, Gazzetta Ufficiale dell’Unione Europea n. L 319, Bruxelles, 12
dicembre 1994.
109
Drury, C. G., “Errors in aviation maintenance: taxonomy and control”, Proceedings of
the human factors society 35th annual meeting (2-6 settembre 1991) 1, pp. 42-46, San
Francisco.
EASA - European Aviation Safety Agency, <http://www.easa.eu.int>
Edwards, E., “Man and Machine: Systems for Safety”, Proceedings of British Airline
Pilots Associations Technical Symposium (1972), pp. 21-36, London. British Airline
Pilots Associations.
ENAC - Ente Nazionale per l’Aviazione Civile, < http://www.enac-italia.it>
EURLex, <http://eur-lex.europa.eu>
Eurocontrol, <http://www.eurocontrol.int>
Farina, N., La segnalazione obbligatoria e volontaria di eventi in aviazione civile,
Politecnico di Milano, 2006.
Figclock, R., Lawson, D., Schmidt, J. K., Human factors analysis & classification
system – maintenance extension review of selected NTSB maintenance mishaps: an
update, NS Norfolk-Monterey, s.d.
“Istituzione dell'Agenzia nazionale per la sicurezza del volo e modifiche al codice della
navigazione, in attuazione della direttiva 94/56/CE del Consiglio del 21 novembre
1994”, in Decreto Legislativo 25 febbraio 1999, n. 66, Gazzetta Ufficiale n. 67, 22
marzo 1999.
Hawkins, F. H., Human factors in flight, Brookfield, Gower Publishing Company, 1987.
ICAO - International Civil Aviation Organization, Accident/Incident Reporting Manual,
ICAO Doc 9156, Montreal, 1987.
ICAO - International Civil Aviation Organization, Accident Prevention Manual, ICAO
Doc 9422, Montreal, 1984.
ICAO - International Civil Aviation Organization, Accident Prevention Programme,
Montreal, 2005.
ICAO - International Civil Aviation Organization, ADREP-2000 Taxonomy, Montreal,
2006.
ICAO - International Civil Aviation Organization, Annex 13: Aircraft Accident and
Incident Investigation, Montreal, 2001.
ICAO - International Civil Aviation Organization, Human Factors Digest No. 2: Flight
Crew Training: Cockpit Resource Management & Line-Oriented Flight Training, ICAO
Circular 217, Montreal, 1989.
110
ICAO - International Civil Aviation Organization, Human Factors Digest No. 7:
Investigation of Human Factors in Accidents and Incidents, ICAO Circular 240,
Montreal, 1993.
ICAO - International Civil Aviation Organization, Human Factors Digest No. 10:
Human Factors, Management and Organization, ICAO Circular 247, Montreal, 1993.
ICAO, <http://www.icao.int>
Maintenance HUMAN FACTORS - FAA, <http://hfskyway.faa.gov>
Marss, <http://www.marss.org>
Oxford Aviation Services Limited, 020 Aircraft General Knowledge 4: 022
Instrumentation, Frankfurt, Jeppesen Gmbh, 2001.
Parker, J., Shepherd, W., “Human Factors Issues in Aircraft Maintenance and
Inspection”, Proceedings of the First Meeting on Human Factors Issues in Aircraft
Maintenance and Inspection (1989).
Pouliquen, Y., et al., A Human Factors Approach for the Analysis and the Encoding of
Aviation Accidents and Incidents: A Validation Study, Le Bourget-Université Paris 5,
2005.
Rankin, W., et al., “Event Analysis Using Maintenance Error Decision Aid (MEDA)
and Procedural Event Analysis Tool (PEAT)”, Safety Management Systems –
Information Session (13-14 ottobre 2005), Calgary.
Reason, J., Human Error, Cambridge, Cambridge University Press, 1990.
“Regolamento (CE) n. 2042/2003 della commissione del 20 novembre 2003, sul
mantenimento della navigabilità di aeromobili e di prodotti aeronautici, parti e
pertinenze, nonché sull'approvazione delle imprese e del personale autorizzato a tali
mansioni”, Gazzetta Ufficiale dell’Unione Europea n. L 315, Bruxelles, 28 novembre
2003.
Shappell, S., Wiegmann, D., “Applying the Human Factors Analysis and Classification
System (HFACS) to the Analysis of Commercial Aviation Accident Data”, 11th
International Symposium on Aviation Psychology (2001), Columbus.
Shappell, S., Wiegmann, D., Human Factors Analysis and Classification System –
HFACS, Washington DC, Office of Aviation Medicine, 2000.
Shappell, S., Wiegmann, D., “Human Factors Analysis of Post-accident Data: Applying
Theoretical Taxonomies of Human Error”, The International Journal of Aviation
Psychology (1997) 1, pp. 67-81.
111
Shappell, S., Wiegmann, D., “Human Error Perspectives in Aviation”, The International
Journal of Aviation Psychology (2001) 4, pp. 341-357.
Shappell, S., Wiegmann, D., A Human Error Approach to Aviation Accident Analysis.
The Human Factors Analysis and Classification System, Aldershot, Ashgate, 2003.
Thales, New FM Pilot’s Guide A318/A319/A320/A321, Meudon-la-Forêt, Thales
Technical Publications Department, s.d.
112