«Abbiamo perso il controllo dell’aereo, non capiamo niente, le abbiamo provate tutte». Nel cuore della notte, e in mezzo a nuvoloni mai così minacciosi, la frase del pilota David Robert si confonde tra i diversi allarmi che suonano dentro la cabina dell’Airbus A330 di Air France partito da Rio de Janeiro e diretto a Parigi. Due minuti e quarantuno secondi dopo, il 1° giugno 2009, l’aereo con a bordo 228 persone si inabissa nell’Oceano Atlantico. Il corpo principale della fusoliera si adagia a 3.900 metri di profondità. Portandosi dentro per due anni la risposta a uno dei più grandi misteri dei cieli: come ha fatto un jet così moderno precipitare?
Il collegamento Air France 447 decolla alle 19.03 locali da Rio. L’arrivo, al «Charles de Gaulle», è previsto il giorno dopo alle 11.10. A bordo ci sono 216 passeggeri, 3 piloti, 9 assistenti di volo. Il comandante è Marc Dubois, 58 anni, con undici mila ore di volo alle spalle. Con lui, in cabina, ci sono David Robert, 43 anni, copilota senior e con più di seimila ore. E Pierre-Cédric Bonin, 32 anni, con poco più di duemila ore di volo sull’A330. Si tratta di un viaggio normale, quasi noioso, su un «sentiero» battuto decine di volte al giorno dalle compagnie e senza particolari livelli di complessità.
Un’ora e mezza dopo il decollo il comandante Dubois lascia la cabina per andare a riposare nella cuccetta, nella parte anteriore dell’aereo. Non è un’irregolarità. Nei collegamenti intercontinentali, soprattutto di notte — quando il traffico è minimo e il volo non richiede grandi manovre — è prassi che il responsabile vada a riposare, lasciando i copiloti a gestire la traversata di cosiddetta «crociera».
Il comandante lascia la cabina
Quando Dubois se ne va, Bonin è seduto sul lato destro, quello del primo ufficiale. A sinistra, il sedile riservato al comandante, c’è Robert. Bonin è il «pilot flying», colui che fisicamente gestisce il sidestick, il joystick laterale che in un aereo moderno come l’A330 ha preso il posto della cloche centrale (come nei Boeing). Ecco, l’A330. È così sofisticato che la sua anima informatica è pensata per impedire al velivolo di compiere manovre strutturalmente pericolose.
Un jet Airbus funziona sulle cosiddette «tre leggi di controllo». La prima, «Normal law», è «la situazione in cui qualsiasi cosa succede l’aereo si auto-corregge», spiega il comandante Daniele Veronelli, membro del dipartimento tecnico dell’Anpac (l’associazione dei piloti italiani). Il computer di bordo, per esempio, nega al pilota la possibilità di stallare o di inclinare eccessivamente le ali. «La seconda, “Alternate law”, si verifica in presenza di avarie e si hanno solo alcune protezioni. La terza è la “Direct law”, quando i computer sono senza protezioni e a quel punto sono i piloti a gestire tutto manualmente».
Verso le 23 ora brasiliana — le 4 di notte in Francia — , Bonin e Robert iniziano a vedere qualcosa sullo schermo radar meteo. Una zona di cumulonembi si sta dispiegando davanti a loro. Quelli equatoriali, soprattutto notturni, sono insidiosi: oltre a formare sistemi convettivi di dimensioni significative sono pure pieni di ghiaccio. Per questo Bonin modifica, di poco, la rotta verso sinistra per evitare il nucleo più denso. Abbassa anche la velocità dell’aereo, come da procedura quando ci si aspetta turbolenza.
Il ghiaccio nei tubicini dei sensori
Quando il velivolo entra nella zona perturbata — a circa 35 mila piedi (10.668 metri) e a 903 chilometri orari di velocità —, l’A330 è sotto il controllo dell’autopilota. Fuori dall’aereo, ci sono un buio pesto e una temperatura di quarantadue gradi sotto zero. È anche il momento in cui inizia una scia che porterà alla tragedia. Perché quello che né Bonin né Robert sanno è che i tre sensori di velocità dell’aria montati sull’aereo stanno cominciando ad avere un problema. Serio.
I sensori si chiamano «tubi di Pitot» (dal nome del fisico francese Henri Pitot che li inventò nel Settecento). Sono tubicini metallici che sporgono dalla fusoliera e misurano la pressione dinamica dell’aria che entra durante il volo. Da questa pressione si ricava la velocità dell’aereo rispetto all’aria circostante. Senza la velocità dell’aria, un pilota non sa se sta andando troppo veloce o troppo piano. E in alta quota questa informazione è cruciale: procedere troppo piano significa andare in stallo, perdere la portanza e cadere.
La notte in cui tutto succede, l’A330 monta tre tubi del modello «AA» di Thales. Nel settore da anni è noto che questo particolare esemplare può ostruirsi in presenza di particelle di ghiaccio molto piccole, difficili da evitare alle quote di crociera quando si attraversano certi sistemi nuvolosi. Air France ha già segnalato il problema, ci sono state pure richieste di sostituzione con modelli più recenti e meno problematici.
Nell’attraversare i margini della perturbazione, i tre tubi vengono ostruiti in rapida successione dal ghiaccio. I sensori non sono più in grado di processare informazioni attendibili e di trasmetterle alla cabina. Alle 23.10 e 5 secondi il pilota automatico si disconnette, emettendo il tipico suono bitonale. «Ho i comandi», dice Bonin, secondo le tracce audio memorizzate da una delle due scatole nere, il «Cockpit voice recorder». «Va bene», risponde Robert. Il sistema passa in «Alternate Law»: le protezioni automatiche non ci sono, i piloti ora sono gli unici gestori della fusoliera.
L’inizio delle manovre sbagliate
L’ostruzione delle sonde è cosa nota. Quando questo si verifica, la procedura prevede che i piloti mantengano l’assetto e aspettino che il ghiaccio si sciolga. Con un aereo stabile e nessun problema ai motori, in cabina sul volo AF447 non bisognerebbe fare nulla. Ma appena assume il controllo manuale, Bonin tira il sidestick verso di sé con decisione e così alza il muso dell’aereo. Ma in quel momento — in mezzo a una zona di forte instabilità — la velocità si sta già abbassando. Alzando il muso, Bonin la riduce ulteriormente e aumenta l’inclinazione.
L’aereo sale a 38 mila piedi. E mentre guadagna quota, perde ulteriore velocità. Alle 23.10 e 10 secondi, la velocità indicata sui display crolla da 509 a soli 111 chilometri orari. Alle 23.10 e 16 — undici secondi dopo la disconnessione del pilota automatico —, il sistema di stallo dell’aereo inizia a emettere il suo allarme: «Stall, stall», dice una voce sintetica accompagnato da un suono acustico continuo. Il jet raggiunge un angolo di attacco critico. Le ali non generano più portanza sufficiente. Ci sarebbe una cosa da fare, a questo punto: spingere il muso verso il basso e riprendere velocità. Ma Bonin continua a tirare verso di sé il sidestick.
Perché lo fa? Non c’è una risposta semplice. Bonin, colto di sorpresa dall’allarme e dai movimenti bruschi dell’apparecchio, potrebbe aver reagito d’impulso a una sensazione (errata) di perdita di quota, frequente quando si vola di notte e tra le nuvole. Forse si trova in uno stato di confusione acuta: i display mostrano valori contraddittori, alcune indicazioni sono scomparse. Poi c’è il «comportamento» dell’allarme dello stallo che, per come è pensato, smette di suonare quando la velocità scende sotto certi valori di soglia (proprio 111 chilometri orari), ritenendo il dato inaffidabile.
Il «Crew resource management» mancato
E così ogni volta che Bonin riduce leggermente la pressione sul sidestick, permettendo al muso di abbassarsi, la velocità risale sopra quel limite, facendo però ripartire l’allarme «Stall, stall». In tutto questo l’altro pilota, Robert, cerca di capire cosa succede. Le letture degli anemometri sono caotiche: alcuni indicano velocità bassissime, altri sono bloccati su valori precedenti, solo uno sembra funzionare normalmente.
E qui bisogna fare un discorso laterale, ma importante. I piloti lavorano in regime di cosiddetto «Crew resource management». Prevede che ognuno monitori l’altro, nella massima trasparenza, così da correggere eventuali errori, e senza timori gerarchici. Ma sull’A330 è meno facile. I due sidestick sono asincroni e non si muovono in parallelo (come avviene per le cloche sui Boeing): se il pilota di destra tira la leva, quella del pilota di sinistra resta immobile. L’unico modo per accorgersi di ciò che fa l’altro è guardare la sua mano o capirlo dal muso dell’aereo.
Il fatto è che in quegli attimi Bonin non dice chiaramente che sta alzando il muso e Robert non ha il riflesso di andare a controllare, sommerso anche lui da allarmi e una situazione incomprensibile. «Ma tu capisci cosa sta succedendo o no?», chiede proprio Robert a Bonin. Poco dopo il ghiaccio sulle sonde si scioglie. I dati di velocità corretti tornano sui display, ma ormai l’aereo si trova in una configurazione estrema: il muso puntato all’insù con un angolo di oltre 15 gradi, la velocità sotto i 185 chilometri orari. L’aereo sta precipitando a 51 metri al secondo.
La decisione di richiamare il comandante
Alle 23.11 la cabina contatta via interfono un’assistente di volo. L’avvisa di chiamare il comandante. «Ma sta arrivando o no?», si chiede Robert, sempre più preoccupato. Dubois entra alle 23.11 e 42 secondi. «Cosa state facendo?», chiede. «Non so, non so cosa sta succedendo», risponde Robert. «Stiamo perdendo il controllo dell’aereo», aggiunge Bonin. Il comandante chiede conto della velocità e dell’altitudine. Ma i dati sono confusi. Nessuno pronuncia la parola chiave: stallo.
L’aereo è in stallo da oltre un minuto. Ma, come spiegano diversi piloti, quando ci si trova in cabina, l’assetto a muso alto dà la sensazione di salire, non di cadere. Per questo la manovra di recupero è controintuitiva: bisogna abbassare il muso, cioè peggiorare apparentemente l’assetto, e recuperare portanza. C’è un addestramento apposito che viene fatto, ma al simulatore, a bassa quota, in condizioni di visibilità normale e con istruttori presenti. In mezzo all’Oceano e in una situazione di panico le cose si complicano.
In questa fase il funzionamento dei sidestick dell’A330 non aiuta. Se un pilota tira verso di sé e l’altro non fa niente, l’aereo riceve solo l’input del primo. Se entrambi danno input contemporaneamente, il computer somma i comandi (entro certi limiti). Un segnale acustico avvisa quando i piloti stanno dando input simultaneamente. C’è anche una luce. Ma in quelle condizioni, con il caos in cabina, la discesa rapida, gli allarmi multipli, nessuno presta attenzione ai segnali.
«Ci stiamo per schiantare!»
La discesa dura poco più di tre minuti. I motori stanno andando al massimo, cosa che — con il muso così verso l’alto — accentua l’effetto di cabrata. «Sali, sali, sali, sali», dice Bonin. «No, no, no, non salire!», risponde Robert, realizzando l’errore del collega. A quel punto prende i comandi, spinge il muso verso il basso. L’angolo di attacco inizia a diminuire, la velocità risale. L’aereo sta per riprendere il volo. Ma non c’è più spazio: il mare è a poche centinaia di metri. Bonin, forse preso dal panico, riprende il comando e tira la leva verso di sé. «Ma sono a muso completamente alto da un po’», dice alle 23.13 e 41 secondi.
Il comandante forse a questo punto capisce. «No, no, no. Non salire», ordina Dubois. «Vai pure, hai i comandi, siamo ancora in “Toga” eh», replica Bonin, indicando la spinta massima dei motori. «Attento, stai cabrando lì», ripete tre volte il comandante. Robert prova a dargli una mano. La situazione è sempre più drammatica. «Ci stiamo per schiantare», urla Bonin alle 23.14 e 24 secondi. «Questo non può essere vero… cosa succede?». «Dieci gradi di assetto in cabrata», dichiara Dubois alle 23.14 e 27 secondi. Un secondo dopo le scatole nere smettono di registrare dati. L’impatto distrugge la fusoliera, uccidendo tutti quelli a bordo.
La verità nelle «scatole nere»
La verità su quanto accaduto a bordo emerge soltanto nella primavera del 2011 quando vengono trovate, in fondo all’oceano, le due scatole nere. Il rapporto finale del Bureau d’Enquêtes et d’Analyses — l’ente investigativo francese — venne pubblicato nel luglio del 2012. Gli esperti identificarono tre cause. La prima: il malfunzionamento temporaneo dei tubi di Pitot. La seconda: l’incapacità dell’equipaggio di applicare la procedura di «velocità inaffidabile» che i piloti conoscevano e che si trovava nel manuale a bordo. La terza: l’incapacità dell’equipaggio di identificare che l’aereo era in stallo e di applicare la manovra di recupero adeguata.
In quattro minuti di emergenza, con un allarme che ha segnalato «stallo» per 75 volte, nessuno dei tre piloti in cabina pronunciò quella parola chiave. Dopo l’incidente Airbus aggiornò la procedura per la velocità inaffidabile, rendendola più semplice e immediata. I tubi di Pitot vennero sostituiti con modelli più robusti. L’addestramento per il recupero da stallo ad alta quota fu reso obbligatorio e venne sviluppato un tipo specifico di corso chiamato «Upset prevention and recovery training» per insegnare ai piloti a gestire situazioni di volo anomalo.
Nei giorni scorsi la Corte d’Appello di Parigi ha condannato Air France e Airbus per omicidio colposo. Ribaltando il giudizio di primo grado del 2023. Le società dovranno pagare una multa di 225 mila euro ciascuna, il massimo previsto dalla legge. La compagnia aerea è stata ritenuta colpevole di non aver dato istruzioni adeguate ai piloti. Il colosso aerospaziale di aver «sottovalutato» i difetti dei sensori esterni e per non aver informato le aviolinee che impiegavano aerei dotati dei modelli «malfunzionanti». Air France e Airbus respingono ogni addebito e annunciano ricorso in Cassazione.
23 mag 2026 | 06:41
© RIPRODUZIONE RISERVATA