;)
L'incidente dell’Air India 171 è uno degli incidenti più gravi degli ultimi vent’anni: il 12 giugno 2025 alle 13:38, un Boeing 787-8 Dreamliner in partenza da Ahmedabad e diretto a Londra si è schiantato pochi minuti dopo il decollo causando la morte di 241 delle 242 persone a bordo e di altre 29 a terra. È il primo incidente fatale per questo modello e le cause sono tuttora sconosciute. Vari enti si stanno interrogando sull’accaduto, per comprendere se ci sia stata una colpa e soprattutto per capire come evitare che possa succedere nuovamente in futuro. Fondamentali per le indagini saranno le scatole nere, che saranno in grado di darci informazioni precise su cosa è accaduto. Sembra che siano state recuperate in buone condizioni e ci si aspetta un report completo verrà prodotto entro la fine dell’anno.
Sebbene episodi di questo tipo possano generare inquietudine, è importante ricordare che gli aerei sono dotati di diversi sistemi di sicurezza pronti a intervenire o a segnalare possibili errori e malfunzionamenti. Inoltre, sono disposti una serie di protocolli, controlli e accorgimenti che svolgono un ruolo fondamentale nel prevenire o minimizzare i danni. Analizziamo quindi le possibili cause per evidenziare quali sono gli strumenti e le procedure che entrano in funzione per garantire la nostra sicurezza.
Il ruolo dei flap nell'incidente di Air India
Una delle possibili cause più discusse è quella relativa a un’errata configurazione dei flap pre-partenza. Si tratterebbe di un’eventualità piuttosto rara: i piloti devono infatti eseguire una checklist pre-decollo che comprende il posizionamento corretto dei flap e degli slat. Inoltre, in caso questa venisse bypassata, in aerei come il Boeing 787-8 i piloti riceverebbero una segnalazione da parte dell’EICAS (Engine Indicating and Crew Alerting System), un sistema di comunicazione delle informazioni al pilota costituito da diverse schermate, con informazioni sulle impostazioni e lo stato dei componenti.
;Resize,width=270;)
Qualora il primo avviso venisse ignorato e si procedesse al decollo, il Takeoff Config System eseguirebbe automaticamente un test e, rilevando nuovamente l’errata configurazione, manderebbe un nuovo input all’EICAS, che indicherebbe l’errore con un avviso in rosso accompagnato da un allarme sonoro. Non accorgersene sarebbe quindi improbabile e la procedura prevede che, qualora la velocità sia ridotta e lo spazio di arresto sia sufficiente, si esegua in sicurezza l’interruzione della procedura di decollo. Nel caso, invece, ci si trovasse al di fuori dei parametri per eseguire l’interruzione della manovra si procederebbe con il decollo.
Questo non rappresenterebbe necessariamente un errore critico: con i flap in posizione errata l’aereo fa più fatica a decollare, ma, una volta riuscito, dovrebbe essere in grado di continuare a prendere quota.
In caso di velocità e angolo di attacco non conformi alla situazione, però, ciò renderebbe più probabile la condizione di stallo. Inoltre l’impostazione dei flap a un valore più alto comporterebbe un’eccessiva resistenza aerodinamica e quindi elevati consumi; al contrario, un’impostazione minore richiederebbe una velocità maggiore per eseguire la rotazione (manovra con cui l’aereo si stacca da terra).
In alcuni video dell’accaduto si vede chiaramente che il carrello non viene retratto: questo può far pensare che uno dei due piloti possa aver sbagliato e aver azionato la leva dei flap al posto di quella del carrello. In questo modo non solo le ali non generano più sufficiente portanza, ma la resistenza aerodinamica del carrello contribuisce ad aggravare la situazione.
Questa ipotesi, seppur possibile, è poco realistica, perché le leve sono distanti e diverse tra di loro e un errore del genere sarebbe presto segnalato dall’EICAS.
Anche la possibilità di un guasto meccanico è ben presente. Gli aerei, tuttavia, sono sottoposti a controlli manutentivi rigidi e hanno un’architettura che minimizza i danni in caso di rotture. I flap, ad esempio, sono controllati da due diversi computer (FSCC1 e FSCC2) per garantire indipendenza e ridondanza, e da un terzo che funge da backup.
Anche gli attuatori sono ridondanti, infatti ci sono due sistemi idraulici distinti che fanno lo stesso lavoro, se uno si rompe l’altro riesce comunque a modificare la posizione dei flap. In casi estremi esiste anche un sistema di emergenza ad attivazione manuale, in grado di bypassare eventuali problemi computazionali e meccanici.
L'ipotesi del dual engine failure come possibile causa del disastro
Un’altra possibile causa chiamata all’attenzione è quella del dual engine failure. Ancora una volta entra in gioco il concetto di ridondanza: infatti, se il motore rotto fosse stato solamente uno, l’aereo ne avrebbe certamente risentito, ma la spinta sarebbe comunque stata sufficiente a effettuare correttamente il decollo e le successive fasi di volo e atterraggio.
È improbabile, però, che due motori si danneggino contemporaneamente per puro caso. Questi sono infatti soggetti, per ogni volo, a controlli visivi e a un’analisi dei dati dell’ECM (Engine Control Monitoring). Vengono inoltre compiuti test più specifici ogni determinato numero di ore di volo. A questo si aggiunge anche il controllo dell’HUMS (Health Usage Monitoring System), in grado di predire i guasti usando le firme vibrazionali.
Un'eventuale avaria simultanea è più comunemente imputabile a fattori esterni, quali ad esempio il bird strike. I motori degli aerei sono comunque progettati per essere resistenti agli impatti e non sempre l’urto con un volatile disabilita il motore. Oltretutto in questo caso le riprese del decollo non mostrano la presenza di volatili durante quella fase, né tantomeno sono stati trovati resti sulla pista.
È possibile quindi che il problema di propulsione non fosse generato dai motori in sé, ma dal carburante che usavano. Il carburante è sottoposto a diversi standard che lo rendono altamente sicuro nelle diverse condizioni di temperatura e pressione. Tuttavia, la catena logistica di approvvigionamento all’interno dell’aeroporto è un punto vulnerabile. È infatti possibile che a causa della condensazione o di infiltrazioni entri dell’acqua nei serbatoi, così come è possibile che si verifichino compromissioni per la presenza di batteri e funghi, di particelle solide o per la contaminazione con altri carburanti.
Tutto questo può variare le proprietà chimiche del carburante, cambiandone l’efficacia combustiva, la viscosità, otturando e danneggiando filtri e motori. La conseguenza sarebbe una perdita di potenza o addirittura il flameout, ossia lo spegnimento della fiamma nelle camere di combustione.
Anche in questo caso la sicurezza è fortemente garantita da controlli giornalieri del carburante, dalla presenza di filtri per eliminare il particolato, da indicatori di pressione differenziale e da sensori in grado di rilevare impurità e presenza di acqua, nonché controlli visivi da parte di operatori specializzati e tracciabilità documentata nelle diverse fasi.
Una volta rifornito l’aereo, eventuali problemi verrebbero rilevati da una rete di sensori interni e successivamente dal FADEC (Full Authority Digital Engine Control), il sistema elettronico che gestisce in modo automatico e completo tutti i parametri del motore. Il FADEC controlla l’accensione e lo spegnimento, la quantità di combustibile da iniettare e interviene per proteggere il motore in caso di condizioni pericolose. È in grado di monitorare parametri come temperatura, pressione, flusso di carburante e velocità del compressore e, se rileva valori anomali, il sistema segnala immediatamente il problema attraverso l’EICAS e agisce in autonomia per correggerlo o limitarne gli effetti.
Nonostante il grande contributo alla sicurezza operativa, questa autonomia può rappresentare un rischio: in casi rari, il FADEC potrebbe non riuscire a gestire correttamente una situazione critica, oppure, basandosi su dati errati forniti dai sensori, potrebbe attuare modifiche inappropriate ai parametri di combustione, peggiorando o addirittura creando il problema.
Questa è una delle poche problematiche analizzate che potrebbe, da sola, rendere impossibile il decollo e, proprio per questo, è considerabile una delle più plausibili.
Tuttavia, le possibilità che il carburante guasto riesca a superare tutti i controlli, manifestando il problema solamente nel momento più critico e con una modalità tale da inibire entrambi i motori, sono davvero minime.
Nel caso di avaria ai motori uno dei sistemi di emergenza che entra in gioco è la RAT (Ram Air Turbine), una piccola elica che esce al di sotto della fusoliera e sfrutta l’aria per girare su sé stessa e comportarsi come una dinamo, permettendo così all’aereo di avere comunque sufficiente energia elettrica e pressione idraulica per continuare a far funzionare i sistemi di bordo.
Si dispiega automaticamente solo in caso di assenza dell’energia prodotta dai motori e dall’APU (Auxiliary Power Unit), il generatore elettrico ausiliario, o di malfunzionamento delle reti di distribuzione dell’energia elettrica.
Nei video della tragedia dell’AI 171 si vede che la RAT è effettivamente dispiegata.
Sovraccarico e bilanciamento possono aver contribuito all'incidente
Altri problemi, infine, che potrebbero concorrere a rendere difficile il decollo sono il sovraccarico dell’aereo o un suo bilanciamento errato.
Il peso dell’aeromobile non deve superare un determinato valore, il MTOW (Maximum Take Off Weight); nel caso del Boeing 787-8 nella sua conformazione standard questo si attesta a 227.930 kg. Oltre quel valore la sicurezza è da considerarsi compromessa per diversi motivi, quali la necessità di una maggiore distanza di decollo, una più elevata difficoltà nell’eseguire la rotazione, uno stress dei motori e un carico eccessivo sulla struttura dell’aereo stesso, nonché una riduzione dei margini di errore e manovra in caso di emergenza.
Non solo il peso, ma anche la sua disposizione è importante: il centro di gravità dell’aereo deve infatti trovarsi entro certi limiti per garantire che il volo sia sicuro, fluido e che la manovrabilità non sia ridotta. Questo viene calcolato precedentemente tenendo conto anche del peso dei passeggeri, dei bagagli e del carburante. Il personale di bordo provvederà poi a verificare che la disposizione effettiva sia sufficientemente in linea con la previsione, motivo per cui, a volte, potrebbero chiedere ai passeggeri di cambiare posto o, al contrario, di mantenere il posto indicato nel biglietto.
Altri modelli hanno anche dei sistemi che monitorano, tramite dei sensori sul carrello, l’effettiva posizione del centro di gravità. Un errato posizionamento di quest’ultimo può portare a sbandamenti dell’aereo, a difficoltà nell’eseguire le diverse manovre, tra cui il decollo stesso, e a un maggiore rischio di stallo.
Lo Swiss cheese model per spiegare incidenti come quello dell'Air India
L’analisi delle possibili cause ha messo in evidenza come il settore dell’aviazione sia costruito su una fitta rete di sistemi progettati per prevenire, mitigare e gestire ogni tipo di anomalia.
Ogni componente dell’aereo, così come ogni procedura, è frutto di uno studio approfondito mirato a garantire la massima sicurezza.
Tuttavia, eventi rari e complessi come questo vengono efficacemente spiegati dallo Swiss Cheese Model, proposto per la prima volta da James Reason. Ogni livello di sicurezza viene rappresentato come una barriera con possibili imperfezioni. Sistemi ridondanti come quelli degli aerei permettono di avere delle barriere sovrapposte, compensando la possibilità che un imprevisto risulti critico. Paragonandoli quindi a delle fette di formaggio svizzero, il poco probabile ma pur sempre possibile allineamento dei fori, che rappresentano le falle nella barriera, può aprire un varco attraverso cui un incidente può concretizzarsi.
L’aviazione civile, consapevole di questa dinamica, continua a studiare ogni evento con attenzione, non solo per comprenderne le cause, ma soprattutto per rafforzare ulteriormente i sistemi esistenti e ridurre ancora di più la già minima probabilità che episodi simili possano ripetersi.
