Sto seguendo con interesse notizie, speculazioni e dichiarazioni ufficiali (e non) relative allo schianto dei due Boeing 737 MAX-8 precipitati a ottobre 2018 (volo Lion Air JT610) e a marzo 2019 (volo Ethiopian Airlines ET302). Il mio interesse inizia nel momento in cui l'imputato è il software dell'aereo.
Per ovvi motivi sto leggendo fondamentalmente da fonti in lingua inglese: i rapporti preliminari disponibili sono redatti in inglese; sono in inglese le dichiarazioni ufficiali della Boeing, inclusa quella fatta dopo la pubblicazione del rapporto preliminare delle indagini del volo della Ethiopian Airlines, nella quale per la prima volta il pezzo grosso della Boeing, Dennis Muilenburg, riconosce pubblicamente il ruolo del Maneuvering Characteristics Augmentation System; le dichiarazioni e i documenti della Federal Aviation Administration (FAA) sono in inglese; molte informazioni sul 737 si trovano più facilmente in inglese che in altre lingue; et cetera.
Qualche tempo fa mi era capitato di leggere due notizie in italiano sull'argomento e avevo persino visto un video di uno youtuber italiano; quest'ultimo inutilmente cauto e inconcludente, privo di qualunque informazione interessante1.
In questo articolo volevo fare qualche appunto (triste) sulle due notizie che ho letto in italiano.
- Etiopia: piloti del volo caduto seguirono tutte le procedure (ANSA Mondo)
- Il Boeing 737 della Ethiopian cadde "per un difetto di software non per un errore umano" (Repubblica)2
Ansa spettacolo
Fonti
Tanto per iniziare, l'articolo è, a ben guardare, privo di fonti.
Fa riferimento a non meglio specificati «i media» (tra l'altro come se l'ANSA non fosse parte del circo), a fantomatici «osservatori», ad affermazioni della «ministra dei Trasporti etiopica», a «una nota» della Boeing «seguita al rapporto», a «una fonte ben informata sull'inchiesta tecnica citata dall'Associated Press»…
In nessuno di questi casi è immediato, o addirittura possibile, risalire ai soggetti che hanno dato quelle informazioni o, nel caso della «ministra dei Trasporti», al documento pubblico ufficiale o video della conferenza dove il ministro fa quelle affermazioni che l'ANSA cita.
Negli articoli pubblicati online risolvere questi problemi è facilissimo: basta mettere un link. A volte basta solo essere più precisi per dare almeno una parvenza di professionalità.3
Invece non c'è nemmeno un link al rapporto preliminare in questione!
La ricerca dell'effetto
L'articolo inizia in modo vergognoso, con quello che potrebbe essere il momento finale di un emozionante film sul disastro: «“Portalo su, portalo su!”, si gridava in cabina di pilotaggio pochi istanti prima dello schianto».
Il tocco drammatico dato da «si gridava» potrebbe corrispondere, nel rapporto preliminare (RP da adesso in poi), a
At 05:40:44, the Captain called out three times “Pull-up” and the First-Officer acknowledged.
Nel migliore dei casi non è «si gridava» ma «il capitano gridava». Ma nel migliore dei casi e per essere buoni, perché call out non è usato nel senso di gridare, ma piuttosto nel senso di “annunciare”; per esempio:
At 05:38:58 and about 400 ft radio altitude, the flight director pitch mode changed to VNAV SPEED and Captain called out “Command” (standard call out for autopilot engagement) and an autopilot warning is recorded.4
Che dire poi di «pochi istanti prima dello schianto»? Quanto dura un istante?
Se si sono inventati il “tiralo su” che si gridava pochi istanti prima dello schianto basandosi su quel pull-up menzionato su… Bene, cioè male: tra quei tre pull-up e l'ultimo evento indicato nel testo del RP, alle 05:43:20, passano circa 3 minuti nei quali sono state dette altre cose. Per esempio:
At 05:43:04, the Captain asked the First Officer to pitch up together and said that pitch is not enough.
Ma dire che «pochi istanti prima dello schianto» il capitano aveva chiesto al primo ufficiale di tirare su insieme e aveva detto che non era abbastanza, non dà l'idea spaventosa e concitata del dramma di chi vede il disastro mortale lontano «pochi istanti».
Questa vergognosa descrizione cinematografica poteva essere risparmiata anche qualora fosse stata fedele ai fatti, magari ricavati dall'ascolto del CVR. L'articolo poteva iniziare direttamente con
I piloti rispettarono correttamente tutte le procedure d'emergenza previste dalla Boeing […]
Ma così non si sarebbe palpato il dramma, quindi l'articolista ha pensato bene di aggiungere un tocco d'effetto.
L'hanno detto loro
L'articolo non mette le fonti, come detto, e usa persino nomi collettivi vaghi. Dà credito a «i media», di cui evidentemente l'ANSA pensa di non fare parte, a dei misteriosi «gli osservatori», e infine a una non meglio precisata «fonte ben informata sull'inchiesta tecnica, citata dall'Associated Press».
I primi due sono soggetti collettivi impersonali che consentono al giornalista dell'ANSA di dire qualunque cosa senza attribuirsela e senza nemmeno inguaiare qualcuno attribuendogliela.
Il rapporto, scrivono i media, non dà la colpa a niente e a nessuno in particolare.
Chi sono questi «i media» (di cui l'ANSA non fa parte…) che fanno questa osservazione imbecille?
L'osservazione è imbecille perché se «i media» avessero letto il RP, avrebbero trovato questa nota all'inizio:
In carrying out the investigations, the AIB [Accident Investigation Bureau] will adhere to ICAO’s stated objective, which is as follows: “The sole objective of the investigation of an accident or incident shall be the prevention of accidents and incidents; it is not the purpose of this activity to apportion blame or liability”
Se «i media» non hanno notato questo dettaglio del RP, perché avrebbe dovuto notarlo il giornalista dell'ANSA che ha messo insieme il pezzo? Mica fare cose del genere fa parte del mestiere di giornalista o di uno che lavora per un'agenzia stampa!
Ma gli osservatori fanno notare come il documento sembri gettare l'ombra del dubbio sulle affermazioni fatte dalla Boeing e da alcune autorità statunitensi secondo cui i piloti avrebbero potuto disattivare in qualunque momento il software sospettato, […]5
Chi sono «gli osservatori»? Notate che non dice “degli” (sarebbe come dire “alcuni miei cugini” o “lettori di passaggio”) ma «gli», come se si trattasse di un'entità collettiva nota, alla stregua di «i media».
Il RP, al contrario di quanto dice l'ANSA (scaricando su «gli osservatori»), conferma che la procedura Runaway stabilizer, data dalla Boeing dopo l'incidente della Lion Air, funziona e disattiva l'MCAS.6
Ciò che dicono «gli osservatori» contraddice quanto ha detto la «fonte ben informata sull'inchiesta tecnica»:
Una fonte ben informata sull'inchiesta tecnica, citata dall'Associated Press, ha detto che da quanto risulta dai dati registrati dalle scatole nere, i piloti inizialmente hanno seguito i passi indicati dalla Boeing, disattivando il software, il quale, per motivi non ancora chiari, è stato riattivato subito dopo.
Quello che dice la «fonte ben informata sull'inchiesta tecnica» è ciò che tutti possono leggere o dedurre da quanto è scritto nel RP. Così all'ANSA potevano risparmiarsi la «fonte ben informata» citata da un'altra agenzia stampa. Ma forse c'è per dare almeno una parvenza di ricerca “compilativa”.
Il «software anti-stallo» e perché c'è
Nell'articolo dell'ANSA si parla di «software anti-stallo». Il software contro cui si è puntato il dito viene descritto in questo modo spesso, soprattutto nei media mainstream, ma non è una descrizione esatta.
Questo “pezzo” software chiamato Maneuvering Characteristics Augmentation System in realtà non è stato progettato in funzione anti-stallo.7
Nelle descrizioni tecniche la parola stallo non compare mai, così come del resto non compare nelle parole dell'acronimo MCAS, sebbene il sistema possa aiutare, in effetti, ad evitare situazioni di stallo8.
Chiamarlo «software anti-stallo» forse non è corretto, ma sicuramente, se pure fosse un errore, sarebbe un errore comune9 da poco. Troppo poco: forse per questo all'ANSA hanno pensato bene di spiegare alla cazzo di cane perché è stato necessario aggiungere questo “pezzo” di software detto MCAS.
Il 737 Max, rispetto ai predecessori, ha due reattori con diametro più largo, per risparmiare carburante e aumentare l'efficienza delle ventole: una caratteristica che ha obbligato la Boeing a modificare i carrelli e la posizione dei reattori, e che imprime un'angolazione particolarmente ripida all'assetto dell'aereo al decollo.
Intanto l'MCAS c'è solo nella varianti 8 e 9 del 737 MAX: delle altre “varianti di 737 MAX” niente sappiamo. Il giornalista dell'ANSA avrebbe potuto accorgersene se si fosse sprecato a leggere i documenti della Boeing che si trovano anche allegati al RP e già diffusi dopo l'incidente Lion Air. In particolare nel documento per fronteggiare il caso di Runaway Stabilizer (direttiva A180625, la trovate a p. 29 del RP), leggiamo
The 737-8/-910 uses a Flight Control Computer command of pitch trim to improve longitudinal handling characteristics. In the event of erroneous Angle of Attack (AOA) input, the pitch trim system can trim the stabilizer nose down in increments lasting up to 10 seconds.
Tra l'altro in questa citazione sono chiare due cose: che questo MCAS è un “pezzo” del software del Flight Control Computer (FCC)11 e che l'MCAS esiste to improve longitudinal handling characteristics (cfr. dopo).
Ora, dunque, riprendiamo il filo: torniamo alla citazione della parte iniziale della spiegazione del perché è stato aggiunto il software anti-stallo e facciamo una piccola analisi del testo.
Abbiamo questa frase:
una caratteristica che ha obbligato […], e che imprime […]
Il soggetto di «ha obbligato» è il pronome relativo «che», il quale si riferisce a «una caratteristica». Lo stesso vale per il secondo «che» soggetto di «imprime».
«Una caratteristica» è quindi il soggetto di entrambe le relative e deve essere la stessa caratteristica: non può essere «una» delle possibili caratteristiche in un caso e un'altra nell'altro. Non può perché così la frase sarebbe sgrammaticata.
Per esempio: Mario e Franco mangiano. Una persona che mastica a bocca aperta, e che rutta senza pudore…. In questo esempio non si capisce se ci si riferisce a Mario o Franco, ma un fatto è certo: a masticare a bocca aperta e ruttare senza pudore o è Mario o è Franco. Non possiamo usare questa costruzione per dire che Mario mastica a bocca aperta e Franco rutta senza pudore, o viceversa. Il soggetto è sì «una persona», ma è sempre la stessa persona in tutte e due le relative.
In questo caso «una caratteristica» sta per una specifica caratteristica di cui si è parlato prima. Un candidato sembra essere il «diametro più largo» dei «due reattori».
Il «diametro più largo» può in effetti essere ciò che ha obbligato la Boeing «a modificare i carrelli e la posizione dei reattori», ma è un po' difficile immaginarlo come soggetto di «imprime»: il «diametro più largo […] imprime un'angolazione particolarmente ripida all'assetto dell'aereo»?
Non torna.
Invece se togliamo la congiunzione «e», per magia il «che» di «che imprime» va a riferirsi a «la posizione dei reattori». Ora le cose possono tornare!12
Più o meno.
Comunque, andiamo oltre…
Qualcosa «imprime un'angolazione particolarmente ripida». 60° è un'angolazione particolarmente ripida? Se sì, questo qualcosa imprime sempre questa angolazione? Eccoci di nuovo: anche se troviamo il soggetto giusto, quell'espressione è comunque fumosa, spiega ciò che vorrebbe spiegare alla cazzo di cane.
Ancora: dall'aggettivo ripido dovremmo capire che si sta parlando di una cabrata13, quindi l'«angolazione particolarmente ripida» è quella dovuta alla rotazione intorno all'asse trasversale. L'espressione nel suo complesso sembra usata per dare un tono tecnico: poteva limitarsi a dire che tende ad alzare il muso, come si legge in altri articoli.
Ma la ciliegina su questo pasticcio fumoso è quel «al decollo».
Il «software anti-stallo», cioè l'MCAS, si attiva in queste condizioni:
- angolo d'attacco elevato,
- autopilota disattivato,
- flap su.
Si dà il caso che «al decollo» i flap siano giù (quanto dipende dalla lunghezza della pista e dal carico, ma spesso si parla di flap 5, e così è nel caso del volo in questione). Quindi l'MCAS non è stato progettato per intervenire al decollo.
Il RP dice che:
At 05:39:45, Captain requested flaps up and First-Officer acknowledged. One second later, flap handle moved from 5 to 0 degrees and flaps retraction began.
È da dopo quel momento, e da quando è disattivo l'autopilota14 (che comunque è un altro sistema software che potrebbe manovrare gli stabilizzatori) che l'MCAS può intervenire: ben dopo la fase di decollo.
Puntualizzo che il decollo è quella fase in cui l'aereo parte da terra e prende velocità finché non riesce a staccarsi dal suolo e spiccare il volo. Non è la fase di salita in quota.
L'MCAS è molto sensibile…
Abbiamo visto che per l'ANSA c'è qualcosa che «imprime un'angolazione particolarmente ripida all'assetto dell'aereo al decollo.»
Uno potrebbe continuare a chiedersi: e quindi? qual è il problema di una «angolazione particolarmente ripida» dell'«assetto dell'aereo al decollo»?
Pronta l'ANSA spiega:
Per scongiurare il rischio che [l'aereo] vada in stallo […] l'Mcas, molto sensibile, se ritiene vi sia pericolo attiva una manovra di compensazione, agendo automaticamente sui piani di coda, e facendo di conseguenza abbassare il muso per riprendere portanza.
L'MCAS è «molto sensibile»… Ma che diavolo significa? Che si “spaventa” facilmente e in preda al panico attiva la «manovra di compensazione» anche se non ce ne è bisogno?
Vabbè.
Gli stabilizzatori, che sono quelli che l'MCAS può comandare, non sono tutti i «piani di coda»: ci sono anche gli equilibratori, che l'MCAS non comanda e che sono quelli che il pilota manovra tirando indietro o spingendo in avanti la barra.
È solo un'altra minuscola imprecisione…
Ma allora perché c'è questo MCAS?
Una delle caratteristiche importanti per le compagnie aeree è il consumo di carburante: il carburante costa… Per competere con la rivale Airbus (e in particolare con l'A320 NEO) la Boeing ha preso il progetto del 737 e ci ha installato i motori CFM LEAP 1B, che consumano di meno, e bla bla bla (altre caratteristiche tecniche dei nuovi motori).
Purtroppo hanno anche un diametro di 176 cm (i motori montati sul 737-800, per dire, hanno un diametro di circa 155 cm), e questo vuol dire che la gondola va a trovarsi troppo vicino a terra (ci sono dei limiti imposti alla distanza minima tra la pista e le parte dell'aereo, carrello escluso ovviamente).
Allungare il carrello? Il carrello “basso” dà alcuni vantaggi, per esempio nelle operazioni di carico dell'aereo. Ma comunque una volta decollati il carrello deve essere retratto: ci devono essere alloggiamenti grandi abbastanza da contenerlo. C'è poi un altro problema: i clienti (e potenziali acquirenti) potrebbero avere hangar ad hoc per l'altezza di un 737 “normale”, ma non adatti per un aereo più alto, anche se di poco.
La Boeing ha risolto posizionando i motori più in alto — e più in avanti (forse spostarli anche in avanti è stato necessario proprio per poterli mettere più in alto).
In questa loro nuova posizione le gondole dei motori contribuiscono con degli effetti aerodinamici che alterano la stabilità statica longitudinale dell'aereo, un fatto che non solo in generale non è desiderabile15, ma che è tale da violare le norme stabilite dalla FAA.
Quale sia la norma che viene violata e secondo la quale il 737 MAX senza MCAS non sarebbe stato “adatto al volo” (airworthy) non è chiarissimo.
Ho trovato riferimenti a §25.173 Static longitudinal stability e §25.175 Demonstration of static longitudinal stability in alcune risposte di un tale Simon Gunson su Quora, e sembra plausibile perché si incastra bene anche con quanto detto da Daniel K. Elwell della FAA in un'audizione sul primo incidente, cioè che l'MCAS è un sistema che supplementa lo speed-trim system.16
Invece Chris Brady nella pagina sull'MCAS, dopo aver ribadito che l'MCAS è a longitudinal stability enhancement e che it is not for stall prevention, fa riferimento a 14CFR §25.203(a) “Stall characteristics”, dove ha evidenziato No abnormal nose-up pitching may occur (cosa che invece accade nel 737 MAX 8 senza MCAS).
Il fatto che la norma specifichi le “Stall characteristics” potrebbe creare qualche confusione, ma non mi sembra che ci sia contraddizione: l'MCAS non previene lo stallo, ma compensa l'abnormal nose-up, come richiesto.
Comunque le due violazioni non si escludono a vicenda e sembrano entrambe corrette; in conclusione, il 737 MAX 8/9 senza l'MCAS non sarebbe stato airworthy secondo quelle norme.
E quindi ecco l'MCAS.
Che sì, aiuta ad evitare lo stallo e sì, rende il comportamento in volo del 737 MAX simile ad altri modelli 737… ma il suo scopo è quello di migliorare le caratteristiche di manovrabilità longitudinale (longitudinal handling characteristics) dell'aereo, che altrimenti non sarebbero state conformi alle normative.
Nel §25.173 tenete presente che le elevator control forces di cui parla sono quelle sugli equilibratori comandati proprio muovendo la stick avanti o indietro. Quindi queste norme stabiliscono un control feel — come il pilota deve sentire la barra di controllo sotto certe condizioni — che, se non è intrinsecamente dato dall'aerodinamica del velivo, deve essere “imposto” da un sistema come l'MCAS.
Cfr. anche Flight Controls – Stab Trim: Speed trim is applied to the stabilizer […]. The speed trim system adjusts stick force so the pilot must provide significant amount of pull force to reduce airspeed or a significant amount of push force to increase airspeed. […].Vale la pena leggere la spiegazione sulla pagina sull'MCAS che ho già usato. L'idea iniziale di questo post non era di sovraccaricare di informazioni, ma spero così di chiarire anche perché le spiegazioni in realtà convergono, anche se sottolineano violazioni diverse. Le enfasi sono aggiunte.
The LEAP engine nacelles are larger and had to be mounted slightly higher and further forward from the previous NG CFM56-7 engines to give the necessary ground clearance. This new location and larger size of nacelle cause the vortex flow off the nacelle body to produce lift at high AoA. As the nacelle is ahead of the C[enter] of G[ravity], this lift causes a slight pitch-up effect (i.e., a reducing stick force) which could lead the pilot to inadvertently pull the yoke further aft than intended bringing the aircraft closer towards the stall. This abnormal nose-up pitching is not allowable under 14CFR §25.203(a) "Stall characteristics". Several aerodynamic solutions were introduced such as revising the leading edge stall strip and modifying the leading edge vortilons but they were insufficient to pass regulation. MCAS was therefore introduced to give an automatic nose down stabilizer input during elevated AoA when flaps are up.
On the face of it, MCAS seemed like a reasonable solution to the low speed handling certification problem.
[…]
Il reducing stick force non è allowable in accordo con §25.173/175, ed ecco “armonizzate” le due informazioni.
Nella descrizione tecnica si trova l'immagine del Training manual (Boeing 737-7/-8 System Differences Volume 1) dove leggiamo un dettaglio in più sull'MCAS 😔
The maneuvering characteristic augmentation system (MCAS) allows the stabilizer to move in the nose down direction when approaching high angles of attack at high speeds. […] The MCAS only operates at extreme high speed pitch up conditions […]
Cercare di spegnere il software due volte
Un'altra cazzata buttata lì dall'ANSA è questa:
[…] cercarono di spegnere il software anti-stallo, di riportare il muso all'insù con la cloche manuale, di spegnerlo di nuovo […]
Nel RP non c'è niente che possa far pensare che abbiano cercato di spegnare «il software anti-stallo» due volte.
Quello che hanno fatto, e con successo, è stato applicare la procedura Runaway Stabilizer, che si trova anche in allegato al RP, fino al punto 5 che prevede i due interruttori STAB TRIM CUTOUT in posizione CUTOUT.
Si può dire che questa procedura “spegne” «il software anti-stallo», anche se è un'espressione brutta e anche perché il software non si spegne: i due interruttori STAB TRIM CUTOUT escludono l'autopilota dal controllo degli stabilizzatori e “tagliano” l'elettricità al motore elettrico che li fa muovere. Quindi qualunque sistema che usi tale motore elettrico non ha più modo di controllare gli stabilizzatori. Nemmeno i piloti possono più farlo agendo sulle apposite levette presenti sul volantino; e infatti non gli rimane che il trim manuale (che consiste in pratica nel girare una ruota).
Che la procedura abbia funzionato è confermato nel RP stesso, e non c'è niente che dica che abbiano dovuto provare più volte o rifarla per «spegnere il software».
Anche il fatto che il software non si spegne17 è chiaro dal RP, nel quale leggiamo:
At 05:40:41, approximately five seconds after the end of the ANU stabilizer motion, a third instance of AND automatic trim command occurred without any corresponding motion of the stabilizer, which is consistent with the stabilizer trim cutout switches were in the ‘cutout’ position.
Quindi il software era attivo e ha mandato il comando AND, ma il motore elettrico che avrebbe dovuto eseguirlo era escluso, per cui non è successo niente.
Verso la fine dei dati registrati dal FDR ci sono two momentary manual electric trim inputs in the ANU direction, ai quali è seguito un movimento degli stabilizzatori.
La supposizione più logica è che, non essendo riusciti a trimmare a mano (girando la ruota…), per disperazione abbiano riattivato l'interruttore STAB TRIM MAIN ELECT per poter usare il trim elettrico. Questo spiega perché ci sono i due manual electric trim inputs e perché a seguito di tale input si siano mossi gli stabilizzatori; e purtroppo spiega anche perché il successivo AND (del software) abbia anch'esso avuto effetto, decretando il destino del volo.
La «fonte ben informata sull'inchiesta tecnica» potrebbe essere un giornalista qualunque che, a differenza di quelli dell'ANSA, si è sprecato a leggere il RP. Infatti nel RP i fatti che ho scritto su sono detti in modo chiaro ed esplicito, anche se naturalmente il RP non fa congetture sui perché, né afferma che il manual electric trim dimostra che i piloti avevano fatto ciò che la procedura Runaway Stabilizer dice di non fare, cioè riattivare gli switch STAB TRIM CUTOUT… Sarebbe sembrata un'accusa ai piloti18, e comunque sarebbe stata oltre lo scopo del RP.
Queste cose verranno forse chiarite nel rapporto finale.
Qui voglio ribadire un'altra volta il livello bassissimo dell'articolo dell'ANSA e il fatto che sarebbe bastato leggere con un minimo di impegno mentale il RP per evitare certe “imprecisioni”. Non sarebbe servito scomodare nessuna «fonte ben informata sull'inchiesta tecnica» «citata dall'Associated Press».
Nominatelo esplicitamente!
Il rapporto, scrivono i media, non dà la colpa a niente e a nessuno in particolare, né nomina esplicitamente il software anti-stallo.
«I media» si sono accorti che nel RP non c'è mai scritto «anti-stall system», e nemmeno MCAS, in sigla o per esteso.
E allora? Qual è il problema che «i media» vedono? Sembrano quasi voler solleticare mentalità complottiste.
Non c'è nessun motivo per nominare «esplicitamente il software anti-stallo» (chiamandolo erroneamente così o MCAS): il fatto che ci sia un sistema automatico che dà il comando AND è chiarissimo nel RP. Quale sia di preciso questo sistema, quale parte del FCC sia, quali linee di codice siano, come vengono chiamate, perché sono state programmate, ecc.… non è rilevante ai fini del RP.
Il fatto che l'MCAS non venga esplicitamente nominato viene ripetuto anche dopo:
Senza mai nominare l'Mcas, la ministra ha parlato di "ripetuto assetto con muso abbassato non comandato" e, sempre senza nominarlo, ha raccomandato che il costruttore riveda il suo software anti-stallo.
Come ha fatto il ministro a raccomandare al costruttore di rivedere «il suo software anti-stallo» senza nominare il «software anti-stallo»? 😓
Intenderà dire che non l'ha chiamato per “nome” (MCAS), e questo evidemente per «i media» è un problema da sottolineare come se fosse l'indizio di un mistero…
Il sensore di rischio di stallo
La Boeing assicura che il nuovo software sarà in grado […] di impedire che in futuro basti anche un solo sensore che segnali il rischio stallo per attivare la compensazione automatica.
Esiste un sensore che segnala «il rischio di stallo».
Parlando degli incidenti è stato ripetuto fino alla nausea angolo di attacco (traducendo angle of attack; anche detto angolo di incidenza), eppure l'ANSA parla di un «sensore» che segnala «il rischio di stallo».
Solo una piccola imprecisione, niente di che… In effetti l'angolo d'attacco viene misurato anche allo scopo di fornire l'input a questo «software anti-stallo» e ad angoli di incidenza oltre un limite (di solito è tra i 15° e i 20°) si ha lo stallo, quindi immaginarlo come un sensore in grado di segnalare «il rischio di stallo» non è così balzano.
Però potevano essere più precisi e nominare l'angolo d'attacco invece di sprecare parole per l'«angolazione particolarmente ripida all'assetto dell'aereo».19
L'ANSA ci dice anche che «secondo le autorità etiopiche» si tratta di un «sensore-chiave».
Un sensore-chiave, secondo le autorità etiopiche, che potrebbe non aver funzionato correttamente.
La comunità aeronautica magari ha un'opinione diversa, però le autorità etiopiche hanno la loro, ed è che si tratta di un «sensore-chiave»… secondo loro.
Magari il giornalista voleva dire che secondo le autorità etiopiche un sensore-chiave potrebbe non aver funzionato correttamente. Cioè l'opinione delle autorità etiopiche è sul fatto che il sensore non abbia funzionato, non sul fatto che sia un sensore-chiave.
Ma allora avrebbe dovuto scriverlo all'incirca così: «Un sensore-chiave che, secondo le autorità etiopiche, potrebbe non aver funzionato correttamente».
Comunque il RP è chiarissimo anche su questo (basta leggerlo): la misura dell'angolo d'attacco data dal «sensore-chiave» del lato del pilota da un certo punto in poi diverge significativamente da quella data dal «sensore-chiave» del lato del copilota.
Questo è un dato di fatto che prova che il «sensore-chiave» non stava funzionando a dovere. Ma si sa, usare il condizionale giornalistico per fatti assodati o, peggio, per evitare di verificare se si tratta di fatti assodati, è sempre e comunque meglio — fa più “giornalismo professionale” del XXI secolo.
Conclusioni
Spero di aver dato indizi a sufficienza per arrivare alle stesse mie conclusioni poco lusinghiere sull'articolo dell'ANSA. L'ANSA è un'agenzia stampa, cioè a questa fonte possono abbeverarsi i giornali che poi escono in edicola e che leggiamo. Le informazioni pubblicate da un'agenzia stampa dovrebbero essere tra le più accurate.
Repubblica
Fonti
Anche Repubblica.it, pur essendo un sito, non usa i link per rimandare a nessuna fonte (c'è un link interno, ma i link interni non contano). Anche in questo articolo si parla del RP, ma nemmeno questo merita un link.
MCAS
All'inizio è “solo” un «controllo automatico di stabilità del volo».
I piloti […] “[…] non sono riusciti a disattivare il controllo automatico” di stabilità del volo.
Ma poi leggiamo:
confermato il malfunzionamento del sistema anti-stallo chiamato Mcas.
Il solito errore comune, trascurabile. Niente di che.
Anche per Repubblica è troppo poco; perciò quando riprendono il tema devono creare un piccolo capolavoro:
Il sistema Mcas, elaborato per impedire all'aereo di continuare a prendere quota, è oggetto di indagini da parte della Giustizia degli Stati Uniti.
L'MCAS quindi è un «controllo automatico di stabilità del volo», un «sistema anti-stallo» elaborato «per impedire all'aereo di continuare a prendere quota»…
Insomma per impedire che vada in orbita. 😅
Tutto chiaro.
Per fortuna risparmiano altre spiegazioni.
Non sono riusciti a disattivarlo, diversi tentativi
I piloti […] “avevano seguito alla lettera le procedure di emergenza ma non sono riusciti a disattivare il controllo automatico” di stabilità del volo. È quanto si legge nel rapporto preliminare sull'incidente
In realtà nel RP non si dice niente di simile. Al contrario, il RP evidenzia che il sistema è stato disattivato; alla fine del volo entra in gioco di nuovo, come ho spiegato su.
E niente nel RP dice che abbiano riprovato a disattivarlo, eppure anche per Repubblica questi tentativi ci sono stati.
Secondo la prima ricostruzione, “il pilota ha tentato varie volte di disattivare il controllo automatico del volo […]”
Lo mette come citazione, non si sa bene dondeehm tratta: questa «prima ricostruzione» dovrebbe essere il RP, ma visto che nel RP non c'è scritto, non si sa cosa stanno citando veramente.
Conclusioni
Repubblica è riuscita a fare danni minimi. Nemmeno loro hanno letto l'RP, anche se lo citano; non si sa da dove abbiano preso l'idea che lo scopo dell'MCAS è di «impedire all'aereo di continuare a prendere quota». Una perla lucidissima.
Rispetto all'ANSA siamo un gradino più sopra, ma solo perché non si sono cimentati, saggiamente, a voler spiegare l'esistenza dell'MCAS.
Non c'è nemmeno la spettacolarizzazione cinematografica presente all'inizio dell'articolo dell'ANSA.
Impressione
L'impressione che ho è che quelli dell'ANSA “debbano” mischiare più cose in modo da fornire materiale a sufficienza per consentire articoli compilativi secondo diversi tagli e gusti: catastrofici, tragici lacrimosi, complottisti, pseudotecnici… “Spunti” da cui ogni giornalista può attingere secondo il proprio sentire e la propria confidenza con la materia.
Nel momento in cui revisiono il testo, vedo che questo youtuber ha pubblicato un altro video di più di quaranta minuti sul rapporto preliminare del secondo incidente.↩
Le catture su web.archive.org sono state fatte il 20 aprile, ma questo articolo è stato scritto in larga parte prima basandosi sul testo degli articoli copiato e incollato in un file; perciò se ci sono discrepanze, è perché ANSA e Repubblica hanno cambiato gli articoli prima del 20 aprile.↩
Non «i media» ma, per esempio, il New York Time in un articolo di Xyz pubblicato il giorno tot e il Washington Post in un articolo di Abc pubblicato il giorno tot; non «gli osservatori» ma Nome e Cognome o Ente Supervisore Osservante; non «una fonte ben informata» ma Pinco Pallino citato da Associated Press nell'articolo Ghj pubblicato il Xxx.↩
Ha a che fare con il modo in cui i due piloti in cabina collaborano durante il volo. Il pilota detto PF, che è il pilota che sta “guidando”, per così dire, può, tra le altre cose, chiedere al copilota (PM o PNF) di eseguire dei compiti, come per esempio di alzare il carrello. Ma può anche annunciare, oltre che chiedere di fare, altre cose, come per esempio l'attivazione dell'autopilota. In questo volo il PF è il capitano. In un altro stralcio del RP, precedente di poco quello nella citazione in cui si trova questa nota, si legge: The First Officer called out Master Caution Anti-Ice on CVR. Four seconds later, the recorded Left AOA Heat parameter changed state. Probabilmente in questo caso il copilota (è il primo ufficiale in questo volo) ha visto la spia accendersi e l'ha notificata ad alta voce — forse è stato lui stesso ad attivare il riscaldatore dell'aletta dell'AOA di sinistra, ma questo non è chiaro dal RP.↩
Prosegue così: «[…] il cui comportamento avrebbe reso l'incidente etiopico quasi una fotocopia dello schianto del 737 Max 8 dell'indonesiana Lion Air, in ottobre». Il condizionale giornalistico qui non ci sta proprio: il RP ha confermato che il «comportamento» del «software sospettato» è uno dei fattori che hanno causato gli incidenti. È stato riconosciuto anche dal CEO di Boeing proprio in risposta alla pubblicazione del RP.↩
In realtà non disattiva l'MCAS, come è chiaro dal grafico ricavato dal registratore dei dati di volo (Flight Data Recorder, FDR in sigla, ovvero la “scatola nera”) e dal testo stesso del RP, bensì esclude in generale qualunque sistema (automatico e non) possa pilotare il motore elettrico che muove (tramite il martinetto a vite) gli stabilizzatori. I due interruttori da abbassare nella posizione CUT-OUT sono STAB TRIM MAIN ELECT e STAB TRIM AUTO PILOT: stabilizer trim main electricity cut out è quello che “stacca” il motore elettrico dai controlli.↩
Per inciso, sul 737 MAX (così come in altri aerei) c'è già uno Stall Warning che serve proprio a dire ai piloti che ci si sta avvicinando alle condizioni di stallo. Cfr. anche qui↩
A parte che non viene descritto come software anti-stallo nei documenti ufficiali che potete trovare per esempio nelle appendici del RP, aggiungo che Daniel K. Elwell della FAA ha chiarito in un'audizione per l'investigazione del primo incidente che l'«MCAS is not an anti-stall system, but a supplement to the speed-trim system» (fonte). Cfr. Ma allora perché c'è l'MCAS? in questo stesso post: nel paragrafo §25.173 – Static longitudinal stability delle Federal Aviation Regulations americane, si parla di stabilità statica longitudinale in termini di velocità e specified trim speed, da cui si può intuire perché Elwell dice che è un supplement to the speed-trim system e perché in un documento della Boeing (che trovate anche in allegato al RP e citato qui) lo scopo del sistema viene descritto così: to improve longitudinal handling characteristics.↩
È più che comune e rafforzato da altri «i media» come la BBC. Guardate per esempio questo video dal titolo A pilot explains the Boeing 737 Max's anti-stall system. Guardate il video e ascoltate solo ciò che dice Chris Brady: tutto ciò che non è lui a dire nel simulatore è un'aggiunta che non sappiamo a chi attribuire. Qui sta l'impiccio: nella prima parte del video dove compare, Brady è in un simulatore di un 737 NG e mostra una situazione di stallo. Nella seconda parte del video lo stesso Brady è in un simulatore di un 737 MAX 8 (a quanto sembra), e non parla di stallo o situazione di stallo: la seconda parte del video inizia con l'aereo già in «quite steep dive» come effetto dell'azione del MCAS. Brady sta cercando di spiegare cosa è successo e perché i piloti non sono riusciti a riportare l'aereo su: spiega che nella simulazione sono al sicuro ad un'altitudine di 10000 piedi, ma nel caso reale l'MCAS entrò in funzione poco dopo il decollo, a bassa altitudine, intorno ai 1000 piedi, quindi non avevano molta quota per giostrarsela. Poi continua: il sistema MCAS, dopo una pausa di 5 secondi, ha ricominciato a trimmare l'aereo verso il basso. Se l'equipaggio era impegnato a seguire una check list, a cercare una soluzione al problema guardando i dati, cercando indizi, potrebbero non essersi accorti che l'aereo aveva iniziato di nuovo a trimmare in basso. Non se lo aspettavano perché avevano rettificato quel comportamento trimmando l'aereo verso l'alto un momento prima. Questo dice, in traduzione approssimativa, Brady. Nel video da parte di Brady non c'è nessuna conferma che il sistema MCAS sia un sistema anti-stallo. Ma la BBC l'ha messo nel titolo e ha montato il video in modo da confermare questa affermazione. Chris Brady ha un sito (che promuove un libro) in cui parla dei B737 e qui parla dell'MCAS, e c'è anche il video in questione. Nella pagina leggiamo MCAS is a longitudinal stability enhancement (cfr. anche la citazione in questo stesso post) e it is not for stall prevention. Più giù nella pagina cita una normativa FAA al paragrafo Stall characteristics, e questo potrebbe confondere le idee. Comunque stando al solo video non si può dire che il capitano Chris Brady abbia confermato che l'MCAS è un sistema anti-stallo. Ma il montaggio del video e il titolo della BBC sono fatti per spiegarla in questo modo dando l'impressione che a confermarlo è un “esperto” (un pilota di 737).↩
I nomi 737-8 e 737-9 sono quelli ufficiali; 737 MAX 8 e 9 dovrebbero essere i nomi commerciali; cfr. per esempio la Continued Airworthiness Notification della Federal Aviation Administration americana: nel subject leggiamo: This message provides information regarding FAA continued operational safety activity related to the Boeing 737-8 and Boeing 737-9 (737 MAX) fleet.↩
Cfr. anche FCC nella pagina Glareshield del The Boeing 737 technical site; nell'aggiornamento software del gennaio 2019 notate il punto 9, MCAS changed to illuminate “Mach Trim” and “Speed Trim” when flap position failures are detected, e poi viene citato l'aggiornamento fatto per gli incidenti in questione (P12.1).↩
Notate che questa epifania è stata possibile solo grazie a conoscenze già acquisite sul tema. È per questo che il paragrafo per me non aveva senso, ed è questo che mi ha spinto ad analizzarlo meglio per capire come “adattarlo” a ciò che sarebbe dovuto essere. Il lettore che ha fiducia nel fatto di essere informato correttamente dai media potrebbe bersi quella “spiegazione” e ripeterla. Domanda: perché il giornalista che ha composto il pezzo ha spiegato le cose così a cazzo di cane? Io credo che avvenga spesso qualcosa del genere: il giornalista si ritrova a dover scrivere pezzi su argomenti di cui non sa nulla; legge rapidamente delle informazioni più o meno accurate, ma non ci capisce niente, o forse capisce quanto basta ma deve comunque condensare in poche righe un argomento per lui complesso, e in questa operazione pasticcia; purtroppo nemmeno è detto che il pasticcio raggiunga livelli accettabili di plausibilità o potere esplicativo, come in questo caso. A volte forse il pasticcio è intenzionale e serve a fare fumo per non dar a vedere che non sa bene di cosa sta parlando, o che non ha saputo o voluto fugare dei dubbi che lui stesso aveva sull'argomento. Il pezzo è pronto, va in stampa, i lettori forse s'indignano contro la Boeing, alimentano le loro congetture complottiste (l'MCAS non viene nominato: perché? corruzione?), versano una lacrimuccia sulla prima drammatica scena, e chi ci pensa poi a tutto il resto? Chi si mette ad analizzarlo? Giusto un imbecille, uno che ha deciso di usare del tempo libero così — come sto facendo io, insomma — e soprattutto, chi poi si mette a leggere queste “analisi”? Che chi l'ha scritte abbia perso tempo a scriverle poco importa: affari suoi. Ma perché io dovrei perdere tempo a leggerle?! Sono così tante parole, poi! Troppe! Molte più del necessario! C'est vrai, et c'est la vie.↩
L'«assetto dell'aereo» è un termine generico che si può riferire anche ad altre “posizioni”.↩
L'autopilota si disattiva automaticamente in alcuni casi, per esempio quando viene rilevato un malfunzionamento dei sensori. Nel volo in questione il sensore dell'angolo di attacco del lato del pilota ha iniziato a dare valori molto diversi da quelli dati dal sensore del lato del copilota. Per questo l'autopilota si è disattivato… lasciando il campo libero all'MCAS. Oltre all'errore progettuale dell'MCAS che considera l'input di un solo sensore, ce ne è un altro palese che rivela la mancanza di applicazione di una logica semplice: se l'autopilota si disattiva per non fare danni (perché le sue azioni sono tutte basate sui dati forniti dai sensori, e se questi non sono affidabili è meglio che l'autopilota si disattivi), può un altro sistema automatico (che si basa su un sottoinsieme degli input che usa l'autopilota) rimanere attivo? Per logica, se l'autopilota non può fare il suo mestiere a causa di discrepanze in certi parametri, è certo che non funzioneranno correttamente nemmeno altri sistemi che dipendono da quegli stessi parametri.↩
Su Longitudinal static stability leggiamo: questa caratteristica è importante per determinare se un pilota umano sarà in grado di controllare l'aereo nel piano di beccheggio senza richiedere un'attenzione eccessiva o uno sforzo eccessivo.↩
Cosa c'entra la velocità (speed)? Se leggete un manuale di volo potete scoprire che la vostra idea di cosa deve succedere a un aereo in volo quando date maggiore potenza ai motori o quando muovete la barra indietro o avanti non si allinea esattamente con ciò che accade davvero. Quando, stando in volo livellato (tale che se il pilota non tocca i comandi l'aereo prosegue come sta), si tira la barra indietro si ottiene una diminuzione della velocità, e You should think of this as the primary effect of moving the yoke (fonte). Per questo trattando la Static longitudinal stability si parla di velocità, specified trim speed, elevator control forces, pull e push, stick force… (gli elevators sono gli equilibratori che il pilota comanda con la stick o yoke o…)↩
Poi, onestamente, ma che brutta espressione “spegnere il software”. Non è proprio come dire “spegni Windows”, che in realtà sta per “spegni il computer”, cosa che di solito avviene dicendo al sistema operativo (per esempio Windows) di farlo. Assomiglia a “Spegni Photoshop”, che non diciamo — diciamo semmai “chiudi Photoshop”, e diciamo “chiudi” perché ci riferiamo alla metafora delle finestre dell'interfaccia grafica. Qualcuno usa il verbo “spegnere” quando parla di servizi (software): dice “spegni il servizio X”, per esempio. Questo non suona male, ma tra spegni il servizio (cioè, disattiva il servizio) e spegni il software ci passa un abisso, secondo me, anche se il servizio software è in effetti un software.↩
E non sarebbe nemmeno il solo errore dei piloti: l'aereo ha raggiunto e superato la velocità limite, i motori sono rimasti al 94%. Si può supporre che, troppo impegnati a capire cosa stava succedendo, si siano dimenticati della manetta. L'eccessiva velocità può essere uno dei fattori ad aver reso impossibile il trim manuale. La pratica aerea dice che in situazioni d'emergenza i piloti devono tentare fino all'ultimo tutto il possibile per salvare l'aereo e quindi le persone; perciò alla fine possono anche tentare ciò che non è previsto nei manuali. Questo potrebbe essere un'attenuante per la “colpa” di aver riattivato lo switch MAIN ELECT, se verrà confermato che è ciò che è successo (come credo che avverrà, seppur in forma ipotetica). Nota: questi disastri sono sempre il frutto di un insieme di fattori, ciascuno dei quali ha giocato un ruolo che ha contribuito al risultato finale. Se c'è un peccato originale, comunque, questo io lo vedo nel design del software, come in effetti è stato più o meno riconosciuto.↩
Il muso molto inclinato verso l'alto non è necessariamente indice di un angolo d'attacco elevato: l'angolo d'attacco è relativo al flusso d'aria.↩
Nessun commento:
Posta un commento
Sii educato, costruisci con cura le frasi, rifletti prima di pubblicare, evita parolacce e offese dirette, non uscire dal tema, cerca di non omettere la punteggiatura, evita errori ortografici, rileggi quel che hai scritto.