Checklist aeronautiche e Behavior Based Safety modalità di ... Venuti... · LA BEHAVIOR BASED...

POLITECNICO DI MILANO

Scuola di Ingegneria Industriale e dell’Informazione

Tesi di Laurea Magistrale in

Ingegneria della Prevenzione e della Sicurezza nell’Industria di Processo

Checklist aeronautiche e Behavior Based Safety:

modalità di utilizzo tradizionali e prospettive di sviluppo

Relatore: Prof. Fabio TOSOLIN

Correlatore: Dott.ssa Arianna Gatti

Giorgio VENUTI Matr. 850330

A.A. 2016 – 2017

II

Indice Sommario .......................................................................................................................................................... 1

Abstract ............................................................................................................................................................. 2

Capitolo 1 Introduzione .................................................................................................................................... 3

1.1 Checklist: cosa sono? ............................................................................................................................... 7

1.2 Funzioni ................................................................................................................................................... 9

1.3 Dispositivi di erogazione delle checklist .................................................................................................. 9

1.3.1 Checklist cartacea ............................................................................................................................. 9

1.3.2 Scroll checklist................................................................................................................................. 10

1.3.3 Checklist meccanica ed elettromeccanica ...................................................................................... 10

1.3.4 Checklist vocale ............................................................................................................................... 11

1.3.5 Checklist computerizzata ................................................................................................................ 11

1.4 Filosofie.................................................................................................................................................. 11

1.5 Design della checklist ............................................................................................................................. 12

1.6 Formato ................................................................................................................................................. 13

Capitolo 2 Problematiche legate all’uso delle checklist ................................................................................. 15

2.1 Degani e Wiener: uno studio sul campo................................................................................................ 16

2.1.1 Mancato completamento ............................................................................................................... 16

2.1.2 Errata percezione ........................................................................................................................... 17

2.1.3 Interruzioni e distrazioni ................................................................................................................. 17

2.1.4 Ambiguità della checklist ................................................................................................................ 19

2.1.5 Eccessivo carico di lavoro ............................................................................................................... 19

2.2 Segnali di pericolo.................................................................................................................................. 19

2.3 Possibili miglioramenti .......................................................................................................................... 20

2.4 Conclusioni ........................................................................................................................................ 20

Capitolo 3 Metodi per la valutazione del fattore umano ............................................................................... 21

3.1 Il sistema uomo-macchina ..................................................................................................................... 22

3.2 Modelli di comportamento umano ....................................................................................................... 23

3.2.1 Il modello RCM-PIPE ....................................................................................................................... 23

3.2.2 Modello SRK .................................................................................................................................... 23

3.2.3 Modello di “macchina cognitiva fallibile” ....................................................................................... 24

3.2.4 Modello COCOM (Contextual Control Model) ................................................................................ 26

3.3 Metodi che tengono conto dei fattori organizzativi .............................................................................. 27

3.3.1 SHEL ................................................................................................................................................ 28

III

3.3.2 SHELL .............................................................................................................................................. 30

3.3.3 ADREP ............................................................................................................................................. 32

3.4 Metodi di affidabilità umana ................................................................................................................. 33

3.4.1 Metodologia SHARP ........................................................................................................................ 34

3.4.2 Metodo HCR ................................................................................................................................... 34

3.4.3 Metodo CREAM .............................................................................................................................. 35

3.4.5 Metodo THERP ................................................................................................................................ 37

3.5 Limiti dei metodi di affidabilità umana ................................................................................................. 41

Capitolo 4 Sistemi basati sul comportamento: la BBS ..................................................................................... 42

4.1 Antecedenti ........................................................................................................................................... 42

4.2 Comportamento .................................................................................................................................... 43

4.3 Conseguenze .......................................................................................................................................... 43

4.4 Tipi di conseguenze e loro caratteristiche ............................................................................................. 44

4.5 Rinforzi ................................................................................................................................................... 44

4.6 Punizioni ed estinzioni ........................................................................................................................... 45

4.7 Quale meccanismo di attribuzione conseguenze va utilizzato? ............................................................ 46

4.8 Analisi ABC ............................................................................................................................................. 46

4.9 Schemi di rinforzo .................................................................................................................................. 47

Capitolo 5 Evidenze sperimentali e affidabilità dei modelli di ricerca ........................................................... 49

5.1 Evidenze sperimentali trovate ............................................................................................................... 50

Capitolo 6 Analisi delle checklist .................................................................................................................... 52

6.1 Note metodologiche .............................................................................................................................. 52

6.1.1 Challenge e response ...................................................................................................................... 52

6.1.2 Elementi ambigui ............................................................................................................................ 52

6.1.3 Divisione del volo in fasi ................................................................................................................. 52

6.2 Analisi dei sistemi passati ...................................................................................................................... 52

6.2.1 Canadair CL-44 ................................................................................................................................ 55

6.2.2 Douglas DC-8 .................................................................................................................................. 56

6.2.3 Boeing 747-100 ............................................................................................................................... 57

6.2.4 Boeing 747-200F ............................................................................................................................. 58

6.2.5 Aérospatiale/BAC Concorde ........................................................................................................... 58

6.2.6 Osservazioni .................................................................................................................................... 60

6.2.7 Grafici riassuntivi ............................................................................................................................ 61

6.3 Analisi dei sistemi attuali ....................................................................................................................... 64

6.4 Correlazioni ............................................................................................................................................ 67

IV

6.5 Parametri redazionali ............................................................................................................................ 67

6.5.1 Numero di colonne ......................................................................................................................... 67

6.5.2 Tipo di divisione tra sezioni ............................................................................................................ 68

6.5.3 Formattazione del testo ................................................................................................................. 68

6.5.4 Divisione tra challenge e response ................................................................................................. 68

6.6 Parametri formali .................................................................................................................................. 69

6.6.1 Numero di challenge e di response ................................................................................................ 69

6.6.2 Numero di sezioni ........................................................................................................................... 72

6.6.3 Presenza di termini ambigui ........................................................................................................... 74

6.6.4 Lettura valori .................................................................................................................................. 76

6.6.5 Presenza dei ruoli di svolgimento ................................................................................................... 78

6.6.6 Presenza di numerazione ............................................................................................................... 80

6.6.7 Presenza di interruzioni programmate ........................................................................................... 80

6.6.8 Presenza di sotto-sezioni ................................................................................................................ 82

6.6.9 Silent checklist ................................................................................................................................ 84

6.6.10 Presenza elementi Through Flights .............................................................................................. 84

6.6.11 First flight of the day checklist ...................................................................................................... 86

6.7 Parametri funzionali .............................................................................................................................. 86

6.7.1 Presenza elementi critici ................................................................................................................ 86

6.7.2 Elementi con più check doppi ......................................................................................................... 89

6.8 Inserimento checklist nelle operazioni di volo ...................................................................................... 89

6.8.1 Before start ..................................................................................................................................... 90

6.8.3 Before takeoff ................................................................................................................................. 94

6.8.4 After takeoff ................................................................................................................................... 96

6.8.5 Descent ........................................................................................................................................... 98

6.8.6 Landing ........................................................................................................................................... 99

6.8.9 After landing ................................................................................................................................... 99

6.8.10 Shutdown .................................................................................................................................... 101

6.8.11 Secure ......................................................................................................................................... 103

6.8.12 Conclusione ................................................................................................................................ 103

Capitolo 7 La BBS nell’uso delle checklist ...................................................................................................... 105

7.1 Un approccio quantitativo ................................................................................................................... 105

7.1.2 Metodo ......................................................................................................................................... 105

7.1.2 Risultati ......................................................................................................................................... 106

7.1.3 Tipologie di deviazioni .................................................................................................................. 108

V

7.1.4 Divisione delle omissioni tra i membri dell’equipaggio ................................................................ 108

7.1.5 Conseguenze delle deviazioni ....................................................................................................... 109

7.1.6 Discussione ................................................................................................................................... 110

7.1.7 Sistema di feedback su checklist ................................................................................................... 111

7.2 Aeronautical Behavior Based Safety .................................................................................................... 111

7.2.1 Possibile protocollo di ABBS nell’uso delle checklist .................................................................... 112

7.3 Applicazioni.......................................................................................................................................... 115

7.3.1 Rantz et al: l’effetto dei feedback durante l’uso delle checklist nell’addestramento all’uso degli

strumenti ............................................................................................................................................... 115

7.3.2 Rantz e Van Houten: un intervento su checklist cartacee e digitali ............................................ 118

7.3.3 Arianna Gatti: applicazione del sistema di feedback a una scuola di volo ................................... 119

Capitolo 8 Conclusioni ................................................................................................................................... 123

Bibliografia ..................................................................................................................................................... 125

Sitografia ........................................................................................................................................................ 126

Ringraziamenti ............................................................................................................................................... 127

Appendice A Selezione di checklist analizzate ............................................................................................... 128

VI

Indice delle figure Figura 1: checklist del B-17 ................................................................................................................................ 8

Figura 2: Scroll checklist presente sul C-141 ................................................................................................... 10

Figura 3: Diverse tipologie di checklist impiegate, Boeing, 1989 ................................................................... 12

Figura 4: schema dell'incidente Spanair 5022 ................................................................................................. 15

Figura 5: schema concettuale modello CFM ................................................................................................... 24

Figura 6: esempio tabella ADREP .................................................................................................................... 33

Figura 7: matrice CREAM ................................................................................................................................. 36

Figura 8: processo THERP ................................................................................................................................ 37

Figura 9: esempio HRA-ET ............................................................................................................................... 40

Figura 10: postazione dell'ingegnere di bordo sul velivolo Boeing 747-100 ................................................... 53

Figura 11: cockpit dell'Aérospatiale/BAC Concorde ........................................................................................ 54

Figura 12: Boeing 747-100 Pan Am ................................................................................................................. 57

Figura 13: il Concorde in configurazione di atterraggio e di crociera ............................................................. 59

Figura 14: procedura Before Start ................................................................................................................... 91

Figura 15: Before Start checklist ...................................................................................................................... 92

Figura 16: procedura Before Taxi .................................................................................................................... 93

Figura 17: Before Taxi checklist ....................................................................................................................... 94

Figura 18: procedura Before Takeoff ............................................................................................................... 95

Figura 19: check possibili sui componenti ....................................................................................................... 96

Figura 20: Before Takeoff checklist .................................................................................................................. 96

Figura 21: procedura After Takeoff ................................................................................................................. 97

Figura 22: After Takeoff checklist .................................................................................................................... 97

Figura 23: procedura Descent ......................................................................................................................... 98

Figura 24: Descent checklist ............................................................................................................................ 98

Figura 25: Landing checklist............................................................................................................................. 99

Figura 26: procedura After Landing ............................................................................................................... 100

Figura 27: After Landing checklist.................................................................................................................. 101

Figura 28: procedura Shutdown .................................................................................................................... 102

Figura 29: shutdown checklist ....................................................................................................................... 102

Figura 30: procedura Secure .......................................................................................................................... 103

Figura 31: Secure checklist ............................................................................................................................. 103

Figura 32: numero di deviazioni per volo per le checklist, il monitoraggio e le procedure .......................... 106

Figura 33: andamento elementi performati correttamente, esperimento di Rantz ..................................... 118

Figura 34: esempi di schermata di Smartlist ................................................................................................. 120

Figura 35: dati raccolti da Smartlist ............................................................................................................... 121

Figura 36: andamento elementi performati correttamente, esperimento di Gatti ...................................... 121

Figura 37: riassunto risultati esperimento di Gatti 122

VII

Indice dei grafici Grafico 1: numero di passeggeri al mondo, dati World Bank ........................................................................... 3

Grafico 2: numero di morti e di incidenti mortali all’anno. Il 2014 sconta l'abbattimento del volo MH17,

avvenuto nei cieli dell'Ucraina il 17 Luglio 2014, e la sparizione del volo MH370 dell'8 Marzo 2014 .............. 4

Grafico 3: rateo incidentale ............................................................................................................................... 4

Grafico 4: percentuale di incidenti imputabile a errori umani e percentuale imputabile a guasti tecnici ....... 6

Grafico 5: fonte delle distrazioni dei piloti ...................................................................................................... 18

Grafico 6: fase del volo nel quale avvengono le interruzioni .......................................................................... 18

Grafico 7: schemi di rinforzo BBS .................................................................................................................... 46

Grafico 8: numero elementi ambigui checklist Canadair CL-44 ...................................................................... 56

Grafico 9: numero di challenge sezione Before Start ...................................................................................... 60

Grafico 10: numero sezioni per checklist ........................................................................................................ 61

Grafico 11: numero challenge e response per checklist .................................................................................. 62

Grafico 12: percentuale elementi ambigui ...................................................................................................... 62

Grafico 13: media challenge e response per checklist ..................................................................................... 63

Grafico 14: numero colonne checklist ............................................................................................................. 68

Grafico 15: numero challenge checklist .......................................................................................................... 70

Grafico 16: numero response checklist ........................................................................................................... 71

Grafico 17: rapporto tra response e challenge ................................................................................................ 71

Grafico 18: numero di sezioni .......................................................................................................................... 73

Grafico 19: numero di sezioni vs numero di items .......................................................................................... 74

Grafico 20: % elementi ambigui checklist compagnia aerea e produttore ..................................................... 76

Grafico 21: andamento temporale percentuale elementi ambigui ................................................................ 76

Grafico 22: presenza ruoli svolgimento ........................................................................................................... 80

Grafico 23: origine checklist con ruoli svolgimento......................................................................................... 80

Grafico 24: presenza phase line ...................................................................................................................... 81

Grafico 25: provenienza checklist con phase line ............................................................................................ 82

Grafico 26: presenza sotto-sezioni .................................................................................................................. 83

Grafico 27: provenienza checklist con sotto-sezioni ....................................................................................... 84

Grafico 28: numero di controlli ....................................................................................................................... 88

Grafico 29: numero di check doppi per elemento ........................................................................................... 89

VIII

Indice delle tabelle Tabella 1: matrice di rischio ICAO ...................................................................................................................... 5

Tabella 2: tabella CPC ...................................................................................................................................... 36

Tabella 3: esempio di analisi ABC .................................................................................................................... 47

Tabella 4: tipologia di controllo ....................................................................................................................... 87

Tabella 5: percentuali controlli ........................................................................................................................ 88

Tabella 6: numero check doppi per elemento ................................................................................................. 89

Tabella 7: tipologie di velivoli studiati ........................................................................................................... 105

Tabella 8: deviazioni per volo, per categoria ................................................................................................. 107

Tabella 9: tipologie di deviazioni dalle checklist ............................................................................................ 108

Tabella 10: deviazioni risultanti in stato indesiderato del velivolo ............................................................... 110

Tabella 11: percentuale di insuccessi nella fase di baseline.......................................................................... 117

1

Sommario INTRODUZIONE

Come in molti ambiti ad alto rischio, anche in aeronautica l’uso delle checklist risulta fondamentale per mitigare il rischio, riportandolo a livelli accettabili.

Le checklist aeronautiche vengono utilizzate nei vari segmenti del volo (Degani & Wiener, 1990) e

utilizzano un format che si è evoluto a partire dagli ’60, ma si sviluppano tramite una filosofia di

utilizzo che si è mantenuta, in fin dei conti, quasi inalterata.

In tutte le checklist attualmente utilizzate, infatti, i membri dell’equipaggio non ricevono feedback

sulle attività eseguite.

Le checklist attuali presentano inoltre parecchie problematiche di utilizzo (Degani & Wiener, 1993)

e di affidabilità (Dismuker & Berman, 2010), che ci portano a ricercare dei metodi mediante i quali

migliorarle al fine di aumentare l’affidabilità del sistema.

LA BEHAVIOR BASED SAFETY (BBS)

Negli ultimi anni si sta affermando in campo industriale la Behavior Based Safety (BBS), che ad oggi

rappresenta l’unico metodo scientifico di controllo dei comportamenti degli operatori (Carrara,

2014). La BBS si basa sulla erogazione di feedback contingenti ai comportamenti messi in atto dai

lavoratori o da chiunque sia parte attiva nel processo di sicurezza. Tali feedback vanno a

modificare la probabilità che il comportamento interessato si ripresenti in futuro.

I principi della BBS non sono ancora riusciti a radicarsi nell’ambito delle checklist aeronautiche,

anche se tre studi (Rantz et.al., 2009, Rantz & Van Houten, 2011, Gatti, 2014) sono stati fatti in tal

senso e tutti e tre indicano che i risultati dell’applicazione di tali principi potrebbe portare a

risultati stupefacenti (nel range di 10-15 punti percentuali) in termini di compliance e, di

conseguenza, di affidabilità del sistema.

CONCLUSIONE

Alla luce degli studi di cui sopra si auspica e si raccomanda la sostituzione delle checklist attuali con

checklist elettroniche dotate di sistemi di feedback e sviluppate sulla base dei principi scientifici

dell’ABA (Applied Behavior Analysis) e della BBS (Behavior Based safety) aumentando così

l’affidabilità del trasporto aereo e portando a una forte riduzione di incidenti e di morti a essi

dovuti.

2

Abstract INTRODUCTION

As in many high-risk contests, in aviation the use of checklists has a fundamental role in reducing

risk, maintaing it below maximum levels.

Checklists are used in different segments of the flight (Degani & Wiener, 1990) and are based upon

a format which evolved since the sixties, but are using the same philosophy which remained

almost unchanged.

The crew members, indeed, do not receive any feedback about their actions.

Current checklists also present many operational (Degani & Wiener, 1993) and reliability

(Dismuker & Berman, 2010) issues, issues leading me to find methods through which increase the

reliability of the system.

THE BEHAVIOR BASED SAFEY (BBS)

In recent years the Behavior Based Safety philosophy has been affirming in the industrial field. The

BBS represents the only scientific method to control human behaviors (Carrara, 2014).

The BBS is based upon providing feedbacks to behaviors made by the subject. These feedbacks

modify the probability that a behavior is carried out.

The BBS principles did not make it to make their way through the aviation checklist field, but three

studies (Rantz et.al., 2009, Rantz & Van Houten, 2011, Gatti, 2014) were carried out and all of

them idicate that BBS application could lead to astonishing results in terms of compliance and,

then, of system reliability.

CONCLUSIONS

In the light of the above mentioned studies, it is recommended to replace existing checklists with electronic checklists equipped with feedback systems and developed on the basis of the BBS scientific principles, thus increasing aviation reliability, reducing accidents and deaths due to them.

3

Capitolo 1

Introduzione Solo in Italia, nel corso dell’anno 2016, ben 164 milioni di persone divise in 1.2 milioni di voli hanno

utilizzato l’aereo come mezzo di trasporto. A livello globale il numero di passeggeri dell’anno 2016

si attesta a 3.7 miliardi, in aumento del 6.3% rispetto al 2015.

Questi numeri, già impressionanti di per loro, lo diventano ancora di più se paragonati ai dati del

2000, anno in cui il trasporto aereo mondiale totalizzò 1.6 miliardi di passeggeri, e del 2007, con

2.2 miliardi.

Grafico 1: numero di passeggeri al mondo, dati World Bank

Ciononostante il numero di incidenti non solo non aumenta, ma mostra un trend in forte

diminuzione, passando dai 22 del 2007 ai 9 del 2016.

Contestualmente anche il numero di morti è in calo, come mostrato dal grafico sottostante, da cui

si notano entrambi i trend positivi.

4

Grafico 2: numero di morti e di incidenti mortali all’anno. Il 2014 sconta l'abbattimento del volo MH17, avvenuto nei cieli dell'Ucraina il 17 Luglio 2014, e la sparizione del volo MH370 dell'8 Marzo 2014

Contestualizzando e riportando il numero di incidenti e di morti per milione di km osserviamo una

diminuzione ancora più marcata del rateo di rischio

Grafico 3: rateo incidentale

Questo continuo decremento è dovuto al miglioramento cui tutti gli operatori del settore si

sottopongono in maniera continua al fine di diminuire il rischio e portarlo al di sotto della soglia di

accettabilità.

Ingegneristicamente il rischio si definisce come:

𝑅𝑖𝑠𝑐ℎ𝑖𝑜 = 𝑝𝑟𝑜𝑏𝑎𝑏𝑖𝑙𝑖𝑡à ∗ 𝑑𝑎𝑛𝑛𝑜 𝑝𝑜𝑡𝑒𝑛𝑧𝑖𝑎𝑙𝑒

Come abbiamo visto le probabilità di un incidente aereo sono particolarmente contenute: i danni

potenziali di un incidente aereo sono però estremamente elevati e sono riassumibili nei seguenti

punti:

5

• Perdita di innumerevoli vite umane;

• Danno di immagine della compagnia e dell’azienda produttrice del velivolo nei confronti

degli stakeholders, con conseguente danno economico e rischio societario;

• Perdita dell’aeromobile.

Ne deriva che, per rimanere al di sotto di una soglia di rischio accettabile, la probabilità degli

incidenti deve essere molto bassa.

Volendo strutturare frequenza, danno potenziale e rischio in un numero discreto di intervalli e

volendo rendere visivamente la relazione sopra si utilizza la matrice di rischio (MdR).

La matrice di rischio mostra delle regioni di accettabilità e delle regioni di non accettabilità.

Prendendo come riferimento il documento ICAO Safety Management Manual (2007), la MdR si

basa su cinque livelli di frequenza e di danno potenziale.

Per operare in campo aeronautico occorre chiaramente mantenersi nella zona di rischio

contrassegnata come negligible.

Tabella 1: Matrice di rischio ICAO

Per mantenersi al di sotto del rischio accettabile si utilizzano molte metodologie di prevenzione e

protezione, costituite sia da sistemi automatici che da procedure operative applicate

dall’operatore.

Tra queste procedure le checklist rivestono un ruolo particolarmente importante, coprendo tutte

le fasi del volo e del pre-volo.

Nel momento in cui scrivo il comportamento scorretto dell’equipaggio risulta essere direttamente

responsabile dell’80% circa degli incidenti aerei, come mostrato dal grafico 4. Molti altri incidenti

che rientrano sotto le cause tecniche, inoltre, hanno radici in comportamenti scorretti avvenuti a

monte: emblematico in questo ambito è l’incidente dell’Atlantic Southeast Airlines 529, avvenuto

a Carrolton, Georgia, il 21 Luglio 1995.

Alle 12.53, mentre il velivolo era ancora sul sentiero di salita, una pala dell’elica sinistra si staccò,

portando alla perdita del motore. Il velivolo iniziò a scendere con un angolo di 9 gradi ed un rateo

di discesa di 5500 piedi al minuto.

6

Inizialmente l’equipaggio dichiarò l’emergenza e tentò un ritorno ad Atlanta. Successivamente,

però, il comandante avvisò il controllo del traffico aereo (ATC) che non era possibile ritornare ad

Atlanta e richiese un aeroporto alternativo. Il velivolo fu rivettorato verso il West Georgia Regional

Airport, Carrollton (CTJ), per un atterraggio di emergenza. Nonostante i numerosi e continui

tentativi, effettuati tramite la regolazione della manetta e dei controlli sulle superfici

aerodinamiche, l’equipaggio non fu in grado di portare l’aereo a CTJ, ed il velivolo impattò con il

terreno nei pressi di Carrollton. A causa delle lesioni riportate nell’impatto e delle ustioni causate

dall’incendio che ne seguì, il comandante e 7 passeggeri persero la vita.

Ad una prima occhiata questo avvenimento parrebbe rientrare nella casistica degli incidenti dovuti

a cause tecniche: approfondendo la questione, però, si rileva come la rottura della pala fosse

dovuta a un cambiamento nelle procedure mai comunicato ai tecnici. In aggiunta a ciò le indagini

dell’NTSB portarono alla luce come gli sforzi dovuti alla rottura della pala fossero stati

sottovalutati dalla progettazione, portando a un sottodimensionamento del motore, che non resse

le sollecitazioni e portò ad un netto calo delle prestazioni aerodinamiche.

Grafico 4: percentuale di incidenti imputabile a errori umani e percentuale imputabile a guasti tecnici

Inizia ad apparire evidente come quell’80% sia un dato in realtà sottostimato; appare altrettanto

evidente come, per meglio gestire il rischio, sia fondamentale ridurre al minimo i comportamenti

scorretti da parte dell’equipaggio.

Per fare ciò i costruttori e le compagnie aeree hanno adottato diversi metodi: i primi hanno

riprogettato i cockpit in modo da renderli più ergonomici per il pilota, le seconde introducendo

procedure specificamente studiate e iniziando a utilizzare liste di controllo.

7

Queste liste di controllo prendono il nome di checklist.

1.1 Checklist: cosa sono?

30 ottobre 1935, Wright Air Field, Daytona, Ohio.

Lo scintillante Boeing Model 299, soprannominato “Flying Fortress”, imponente con la sua

apertura alare di 35 metri e i suoi quattro motori, si stacca dal suolo, pronto a spiccare il volo per

affrontare i test di prova per l’aviazione militare degli Stati Uniti.

Il suo avversario nella gara, un Douglas DB-1, sembrava non avere speranza: il modello della

Boeing portava cinque volte più bombe di quelle richieste dall’esercito, era più veloce e vantava

una maggiore autonomia.

La Fortezza Volante raggiunse in un istante i cento metri di quota, entrò in stallo e precipitò,

esplodendo all’impatto. Due dei cinque uomini a bordo, compreso il pilota, il maggiore Ployer Hill,

persero la vita.

La commissione assegnò la vittoria al progetto della Douglas; la Boeing finì sull’orlo della

bancarotta.

L’inchiesta interna escluse un guasto meccanico: l’incidente era dovuto a un errore del pilota.

Il nuovo aeroplano, ben più complesso di quelli passati, imponeva al pilota di occuparsi dei quattro

motori, del carrello retrattile, dei flap, delle alette compensatrici, del passo delle eliche.

Nell’eseguire tutte queste operazioni, il maggiore Hill si era dimenticato di disinserire il blocco dei

timoni di profondità e di direzione.

L’aereo, per usare le parole dell’inchiesta, si era dimostrato “troppo complesso perché un essere

umano potesse farlo volare”.

Un gruppo di piloti, però, non si diede per vinto e iniziò a ragionare su come rendere l’aereo

pilotabile.

Quello che decisero di non fare fu più importante di quello che effettivamente fecero. Decisero

infatti che era inutile commissionare nuovi programmi di addestramento per i piloti del Model

299: difficilmente infatti si potevano accumulare una conoscenza e un’esperienza maggiori di

quelle di Hill, collaudatore capo dell’aviazione militare.

Ebbero invece un’idea tanto semplice quanto rivoluzionaria: creare una checklist.

Riassunsero tutte le procedure che il pilota doveva effettuare durante le procedure di decollo,

volo, atterraggio e rullaggio, riducendole così all’osso da farle entrare in una sola scheda.

Con la checklist in mano i piloti continuarono a far volare il Model 299, presto ribattezzato B-17,

per un totale di 15 Paesi, che ne ordinarono 13 mila esemplari.

8

Figura 1: checklist del B-17

9

Da allora le checklist hanno subito una grande evoluzione e continuano a rimanere un elemento

centrale in un contesto dove, all’aumentare della complessità e dell’affidabilità dei velivoli,

aumenta l’importanza di una corretta gestione del fattore umano.

Nonostante la loro importanza e nonostante diversi incidenti dovuti all’erroneo uso delle checklist

fu solo nel 1987, dopo l’incidente Delta 1141, che si iniziarono a sviluppare alcune linee guida per

la realizzazione e la gestione delle stesse.

L’incidente del Delta 1141 ricorda molto da vicino quello del Boeing Model 299: subito dopo il

decollo, infatti, l’aereo perse quota per schiantarsi al suolo. Il pilota si era malauguratamente

dimenticato di inserire i flap e l’avviso di errata configurazione non aveva suonato, causando una

perdita di portanza e un conseguente stallo.

Entrambi gli incidenti si sarebbero potuti evitare con un adeguato uso delle checklist, che, nel

secondo caso, erano già entrate nell’uso comune delle compagnie aeree.

Risulta quindi evidente l’importanza ricoperta dalle checklist (e dal loro corretto utilizzo) nel

pilotaggio sicuro.

Ma, concretamente, a cosa servono le checklist? Cosa sono? E come sono composte?

1.2 Funzioni

La funzione principale delle checklist è quella di assicurarsi che l’equipaggio configuri l’aeroplano

in maniera adeguata per ogni segmento del volo, oltre a standardizzare la gestione

dell’aeromobile e a distribuire il carico di lavoro tra gli uomini dell’equipaggio.

La checklist completa è divisa in più checklist relative a singole fasi (task-checklist), tra cui le più

critiche sono sicuramente le task di Takeoff, Approach e Landing.

Oltre a queste checklist, denominate normal, ne esistono altre due tipologie: le abnormal e le

emergency checklist.

In questa tesi mi concentrerò sulle normal checklist.

1.3 Dispositivi di erogazione delle checklist

Le informazioni seguenti provengono dallo studio Cockpit checklists: concepts, design, and us, di

Degani & Wiener (1993).

1.3.1 Checklist cartacea

Le checklist cartacee sono ampiamente le più impiegate all’interno dei velivoli e sono quelle su cui

mi focalizzerò. Essa è un dispositivo estremamente semplice, consistente in una serie di elementi

scritti su un foglio di carta.

Presentano molti svantaggi, come ad esempio la mancanza di un modo per distinguere tra

elementi svolti e non svolti, o la mancanza di un sistema di memorizzazione degli elementi e delle

checklist svolte, o ancora la difficoltà di lettura in ambienti poco illuminati.

10

1.3.2 Scroll checklist

La scroll checklist consiste in una striscia di carta che scorre verticalmente su due ruote. La carta è

posta in una scatola con una finestra e una linea che indica l’elemento al quale si è giunti.

Questa checklist è la più usata sugli aerei militari di generazioni superate (in particolar modo sugli

aerei da trasporto in uso presso l’aeronautica statunitense, come i C-130, C-5, C-141, C-9) e ha il

grosso vantaggio di avere un puntatore e un sistema di avanzamento che permettono di

identificare l’elemento al quale si è giunti.

Gli svantaggi principali sono la mancanza di un sistema di memorizzazione degli elementi svolti o

non svolti e la difficoltà di lettura che possono presentare

Figura 2: Scroll checklist presente sul C-141

1.3.3 Checklist meccanica ed elettromeccanica

È costituita da un piccolo pannello presentante diversi pannelli in plastica, che si muovono sopra

gli elementi della checklist. Quando un elemento è stato svolto, il rispettivo pannellino viene

spostato a coprire il suo nome, mostrando così solo gli elementi da svolgere.

Il concetto è molto simile nella checklist elettromeccanica, in cui però gli elementi da svolgere

sono contrassegnati da una luce accesa, che viene spenta tramite un interruttore.

Le checklist meccaniche ed elettromeccaniche permettono una chiara visualizzazione degli

elementi non ancora svolti ma presentano difficoltà qualora la checklist sia molto lunga.

Attualmente queste checklist sono utilizzate solo sulle superportaerei statunitensi di classe Nimitz.

11

1.3.4 Checklist vocale

Prevede che la checklist sia letta da un sistema vocale posizionato nel cockpit.

È praticamente inutilizzata perché presenta il rischio che la sua lettura venga confusa nei rumori

ambientali e che la checklist non sia dunque performata correttamente

1.3.5 Checklist computerizzata

Con l’implementazione dei glass cockpit si è reso possibile utilizzare checklist controllate dal

computer.

Ne esistono di due categorie principali:

• Display-and-pointer checklist: il pilota seleziona tramite cursore la checklist desiderata da

un elenco. Dopo la sua selezione, gli elementi della checklist compaiono sullo schermo.

Ogni qualvolta l’equipaggio svolge un elemento sulla checklist e passa al successivo

l’elemento svolto cambia colore;

• Computer-aided checklist with feedback loop: rappresentano lo stato dell’arte nel campo

delle CL. L’aeromobile richiama in automatico la checklist necessaria e la mostra sullo

schermo come nel caso delle display-and-pointer, con la differenza che gli elementi svolti

vengono eliminati automaticamente dallo schermo.

Vengono attualmente impiegate sui velivoli Airbus, anche se in maniera limitata: sono state

caricate soltanto le checklist relative alle fasi di decollo ed atterraggio, lasciando tutte le

altre checklist in formato cartaceo

Le checklist computerizzate comportano innumerevoli ed evidenti vantaggi, ma anche alcuni

svantaggi, come la distanza pilota-schermo non regolabile e l’inferiore qualità alfanumerica.

1.4 Filosofie

Ci sono due principali filosofie di scrittura e svolgimento delle checklist:

• Challenge-response: in questo metodo la checklist è utilizzata come backup per far volare

l’aeromobile. Dopo aver completato la configurazione, infatti, il pilota utilizza la checklist

per verificare di aver settato correttamente tutti i valori e di aver configurato

correttamente l’aeromobile.

Il processo di conduzione di queste checklist è il seguente:

1. Il pilota A legge l’elemento della checklist;

2. I piloti A e B controllano assieme il corretto settaggio;

3. Il pilota B conferma il corretto settaggio.

• Do-list: la checklist è utilizzata come metodo principale per far volare l’aeromobile,

utilizzando uno schema passo passo. È un metodo non ridondante, infatti il processo di

conduzione di queste checklist è:

1. Il pilota A legge l’elemento della checklist;

2. Il pilota B setta l’elemento nella giusta posizione e ne legge il nuovo

posizionamento.

• Combinazione: in alcuni casi i due tipi di checklist vengono fusi

12

Figura 3: Diverse tipologie di checklist impiegate, Boeing, 1989

Esistono anche due differenti filosofie riguardo gli elementi che dovrebbero essere presenti. La

prima filosofia raccomanda che solo gli elementi principali delle procedure dovrebbero essere

riportati; la seconda invece raccomanda di riportare tutti gli elementi.

Entrambe le filosofie hanno vantaggi e svantaggi, e la situazione è ancora fortemente discussa.

L’ATA (Air Transport Association) consiglia la seguente filosofia:

Le checklist dovrebbero contenere, in forma abbreviata, tutte le informazioni necessarie ad un

equipaggio addestrato per condurre il velivolo in situazioni normali e non normali. Le normal

checklist dovrebbero essere organizzate per segmento di volo. […] solo gli step i quali, se omessi,

porterebbero ad avere un impatto diretto sulle operazioni dovrebbero essere riportati.

1.5 Design della checklist

Le checklist più datate comprendono un elevato numero di elementi. Swain e Guttman, in uno

studio del 1983, trovarono una correlazione tra una maggiore lunghezza della checklist e una

maggiore fallibilità delle stesse, dovuta alla tendenza a saltare degli elementi e alla fretta di

portarle a termine prima di eventuali interruzioni.

Da allora la lunghezza media delle checklist si è notevolmente ridotta, anche grazie alla loro

divisione in sotto-checklist.

Di fondamentale importanza è la disposizione degli elementi. Tipicamente essi sono raggruppati

per impianto (idraulico, pressurizzazione…) e i sottogruppi sono divisi da linee continue.

All’interno di tali gruppi la disposizione degli elementi dovrà seguire degli schemi ben pensati, in

modo da ridurre la probabilità di errore del pilota. Durante la progettazione della checklist si

dovrà tenere conto di:

• Sequenza operazionale: chiaramente gli elementi dovranno seguire la sequenza

operazionale dell’impianto in questione;

13

• Percorsi oculo-motori: nel cockpit di un velivolo gli strumenti sono disposti in base a

considerazioni relative a frequenza d’uso, importanza ed altre considerazioni relative i

fattori umani. Al fine di facilitare il flusso logico mentre si svolge un’operazione, in fase di

addestramento ai piloti viene raccomandato un determinato ordine delle operazioni,

chiamato flow-pattern.

Per diminuire la probabilità di errore una checklist dovrebbe seguire le seguenti linee

guida:

o Il flow-pattern della checklist deve essere lo stesso del volo;

o Le azioni della checklist devono essere logiche e coerenti nel moto della testa e

delle braccia;

o La combinazione del flusso spaziale e quello verbale deve creare sinergia tra i due;

o La checklist deve assicurare una corrispondenza tra la locazione spaziale di uno

strumento e la sequenza, rendendo più difficile saltare un elemento.

• Logica operativa: alcune checklist saranno svolte in un ambiente dove le interruzioni,

dovute principalmente agli operatori di terra e all’ATC, saranno frequenti. Si dovrà dunque

tenerne conto;

• Posizionamento degli elementi critici: siccome purtroppo le interruzioni possono essere

frequenti si consiglia di disporre gli elementi critici all’inizio della checklist, in modo da

diminuire la probabilità che siano saltati;

• Ridondanza: alcune compagnie hanno deciso di duplicare gli elementi più critici,

provvedendo così ad assicurare ridondanza al sistema.

1.6 Formato

Nonostante ci siano alcuni capitoli ancora aperti, la comunità scientifica ha raggiunto un accordo

su alcune linee guida per la corretta redazione delle checklist. Tali linee guida sono state redatte

dalla Flight Safety Foundation (FSF) sulla base dei principi della Gestalt.

Innanzitutto si raccomanda di scrivere titoli chiari e completi. Le informazioni riportate dovranno

essere sequenziate in maniera corretta (A prima di B, Captain prima di First Officer); il font dovrà

essere chiaramente leggibile e di dimensioni comprese tra 10 e 12.

Una regola empirica comunemente utilizzata per stabilire le dimensioni del testo e il giusto

rapporto tra queste e le dimensioni del titolo è quella della X: la X maiuscola nel testo dovrà avere

le stesse dimensioni della x minuscola nel titolo.

L’interlinea dovrà poi essere compresa tra il 20 e il 25% della dimensione del testo.

Per evidenziare le parti fondamentali si possono usare caratteri in grassetto e in corsivo, ma senza

che questi rappresentino più del 10% del testo. Al di là di questa soglia, infatti, il cervello inizia ad

ignorare le evidenziature.

Un altro metodo comunemente utilizzato per evidenziare le parti fondamentali è quello delle

lettere maiuscolo: esse, però, rendono il testo più confusionario e riducono la velocità di lettura

del 12%. La sottolineatura degli elementi fondamentali è invece da evitare in quanto conferisce al

testo un aspetto amatoriale.

14

Il design della lista assume poi importanza fondamentale, in quanto l’operatore dovrà farsi un’idea

rapida della checklist che ha appena preso in mano, senza disorientamenti provocati da un

formato poco adeguato.

La FSF raccomanda di organizzare le liste in tre possibili maniere:

• Bullets;

• Numeri sequenziali;

• Parole indicanti la posizione.

La grammatica degli elementi contenuti nella checklist dovrà essere uniforme, ovvero tutte le frasi

dovranno avere la stessa struttura.

Confini, riquadri e linee possono agire da barriere mentali, facendo in modo che l’operatore si

fermi dove voluto.

4.2.Each passenger shall be required to fasten his or her

seatbelt:

• During aircraft movement on the surface

• During takeoff and landing

• When the seatbelt sign is illuminated

• When instructed by a crew member

4.3.Smoking is prohibited when: • The no-smoking sign is illuminated • Aircraft moving on the surface • During takeoff and landing • Oxygen is in use • At the lavatory

L’esempio 4.2 ha una struttura

coerente e risulta di facile

lettura.

L’esempio 4.3 ha una struttura

non coerente e poca

interlinea. Pertanto risulta

poco comprensibile

Schema 1: esempi di comunicazioni effettuate in maniera coerente e incoerente

15

Capitolo 2

Problematiche legate all’uso delle checklist Era il primo mattino del 20 Agosto 2008 quando un MD-82 di proprietà della Spanair, matricola EX-

HFP, partiva da Barcellona diretto a Madrid, per il primo volo della giornata. L’equipaggio era

arrivato all’aeroporto di Barcellona alle 8 del mattino, aveva consumato la colazione e aveva svolto

la regolare riunione di briefing.

L’aereo decollò alle 08.55, arrivando a Madrid alle

10.13 senza problemi di sorta.

Arrivato a Madrid, l’equipaggio lasciò il velivolo, sul

quale avrebbe dovuto volare una seconda volta

alle ore 13.00, con destinazione Gran Canaria.

Alle 14.24, dopo avere effettuato la corsa di

rullaggio, l’equipaggio portò le manette al

massimo, iniziando il decollo. Il velivolo raggiunse

senza difficoltà la V1, poi la VR, alla quale il

comandante avviò la procedura di rotazione: dopo

una corsa di 1950 metri, la scatola nera registrò lo

stacco del carrello anteriore da terra.

Circa quattro secondi dopo il distacco da terra si

attivò lo stick shaker, segnale inequivocabile di uno

stallo imminente. L’istante di disorientamento dei

piloti, convinti si trattasse di un problema ai

motori, fu fatale: l’aereo entrò in stallo,

schiantandosi al suolo e incendiandosi dopo una

corsa di circa 450 metri.

154 persone morirono e 18 vennero gravemente ferite in quello che fu il peggior incidente aereo

nella storia spagnola dai tempi del disastro di Las Palmas.

Le conclusioni delle indagini della Comisión de Investigación de Accidentes e Incidentes de

l’Aviación Civil (CAIAC) furono chiare: l’equipaggio aveva perso il controllo del velivolo poiché

aveva iniziato la corsa di decollo senza che questo fosse correttamente configurato.

Questo era avvenuto perché i due membri dell’equipaggio non avevano utilizzato in maniera

corretta le checklist. In particolare le loro mancanze furono le seguenti:

• La posizione dei flap non fu impostata (Checklist After Start);

• Il cross check delle leve di posizione di slat e flap e delle loro luci di stato non venne

effettuato (Checklist After Start);

Figura 4: schema dell'incidente Spanair 5022

16

• Il controllo si posizione di slat e flap, presente nella checklist di decollo, non venne

effettuato;

• Il check visivo generale presente nel check finale pre decollo non venne davvero effettuato.

Il CAIAC individuò inoltre due concause, ovvero il mancato funzionamento del TOWS (Take Off

Warning System), sistema che doveva segnalare l’errata configurazione del velivolo, e una scarsa

gestione delle risorse in cabina. Queste due concause non devono però distrarci dal punto centrale

della relazione del CAIAC, ovvero gli errori nell’esecuzione delle checklist.

Nel rapporto del CAIAC si trovano anche le cause meno immediate dell’incidente: prima del

decollo il velivolo aveva avuto un guasto minore all’impianto di riscaldamento del sensore RAT,

che aveva portato ad un notevole accumulo di ritardo. Il guasto era stato scoperto al termine della

Checklist After Start.

Al termine della procedura di manutenzione le checklist sono state ricominciate da capo, come

prevedeva la procedura: attraverso il Cockpit Voice Recorder (CVR), però, si può sentire come il

comandante anticipasse il primo ufficiale nella lettura e nell’esecuzione degli item delle checklist

con il chiaro scopo di ridurre il ritardo accumulato.

Dopo aver avviato i motori l’equipaggio eseguì la Checklist After Start. Dal CVR risulta che il primo

ufficiale lesse correttamente otto elementi; al nono elemento, Flaps & Slats, il comandante ordinò

al primo ufficiale di richiedere l’autorizzazione al decollo.

Dopo questo step mancato l’equipaggio avrebbe avuto ben altre cinque opportunità di scoprire il

problema, più una sesta associata ad indicatori di stato dei sistemi.

L’investigazione non è stata in grado di comprendere il motivo per il quale tutti questi step

abbiano fallito, ma riconosce il ruolo centrale dell’errore nell’esecuzione della checklist.

Questo incidente ci porta a una domanda: quanto sono efficaci le attuali checklist? Esistono degli

spazi di miglioramento?

2.1 Degani e Wiener: uno studio sul campo Alla base dello studio di Degani e Wiener (“Human Factors of Flight-Deck Checklists: The Normal

Checklist”, 1990), dal quale prenderò le informazioni seguenti, sta un’osservazione sistematica

svolta su quarantadue equipaggi, per un totale di 140 ore di volo analizzate. Per evitare che nel

risultato della ricerca fosse presente un bias, gli autori non hanno rivelato agli equipaggi lo scopo

della ricerca stessa.

Oltre all’osservazione diretta, Degani e Wiener hanno intervistato piloti provenienti da sette

diverse compagnie aeree e analizzato i database dell’NTSB, alla ricerca di incidenti legati ad errori

nell’uso di checklist.

2.1.1 Mancato completamento

La prima problematica identificata dagli autori è il rischio che una checklist non venga completata.

Questo problema è particolarmente presente nelle checklist cartacee e può essere prevenuto solo

17

inserendo un item finale che ufficializzi la chiusura della checklist (completion call), come potrebbe

essere, a titolo esemplificativo ma non esclusivo, “la Checklist Before Start è completata”. Alcune

compagnie aeree inseriscono l’elemento di chiusura come ultimo item della checklist, altre non lo

inseriscono ma chiedono ai piloti di svolgerlo, altre ancora ignorano completamente la questione.

La completion call è un’azione ridondante, poiché il pilota quasi sempre sa quando una checklist è

completata; ciononostante può essere un elemento utile in caso di distrazione dell’equipaggio. In

più, la completion call rappresenta un elemento mentale importante, in quanto permette

all’equipaggio di passare mentalmente da una checklist alle aree di operazione successive.

2.1.2 Errata percezione

Un grosso problema sottolineato dai piloti è stato quello della percezione: essi infatti rispondono

alla checklist sulla base di quello che percepiscono essere lo stato delle cose, e non sulla base dello

stato reale. Diversi piloti hanno affermato di aver visto un item della checklist in uno stato errato,

ma di averlo segnalato come corretto. Un evento incidentale legato a un errore di percezione è

stato quello del Delta Air Lines 1141: in occasione dell’incidente l’equipaggio eseguì correttamente

la checklist per il controllo dei flap e indicò la loro corretta estensione. I flap non erano invece stati

estesi, in una situazione molto simile a quella del disastro aereo di Madrid, e il velivolo stallò dopo

il decollo.

2.1.3 Interruzioni e distrazioni

La distrazione è definita come un’azione o un avvenimento che distoglie l’attenzione da quello che

si sta facendo. Le distrazioni si possono dividere in quattro macroclassi:

• DISTRAZIONI VISIVE;

• DISTRAZIONI UDITIVE;

• DISTRAZIONI FISICHE, per esempio la ricerca di un controllo;

• DISTRAZIONI COGNITIVE, in gergo comune “avere la testa tra le nuvole”.

Nell’ambito aeronautico possono esistere diverse fonti di distrazione, come ad esempio gli

annunci ai passeggeri, delle chiamate radio, l’ingresso in cockpit di un’assistente di volo o la ricerca

di traffico.

18

Grafico 5: fonte delle distrazioni dei piloti

In una ricerca su 300 incidenti scelti in maniera casuale all’interno dell’ASRS (Aviation Safety

Report System), l’NTSB ha rilevato 61 occasioni nelle quali una distrazione aveva impedito o

ostacolato il corretto svolgimento di una checklist.

In un’altra analisi, svolta dall’Australian Transport Safety Board su 325 incidenti, ha scoperto che la

fase in cui avvengono più distrazioni è quella della crociera. Rapportando però il numero di

incidenti alla durata delle fasi del volo scopriamo che in fasi come il decollo o l’atterraggio, che

sono anche le più critiche dal punto di vista della sicurezza, le interruzioni sono statisticamente

molto più frequenti.

Grafico 6: fase del volo nel quale avvengono le interruzioni

19

Ne deriva che le interruzioni siano il problema centrale relativo all’utilizzo delle checklist, e in

particolar modo di quelle cartacee. Gli altri tipi di checklist permettono infatti di tenere traccia

degli elementi svolti e non svolti fino al momento dell’interruzione. Nelle checklist cartacee,

invece, il PF dovrebbe riportare ogni interruzione della checklist e notificare esplicitamente la

ripresa della checklist stessa. Anche questo metodo sarebbe però fallibile, in quanto risulta

evidente come la sua efficacia dipenda dalla memoria dei piloti.

2.1.4 Ambiguità della checklist

Termini ambigui possono essere presenti nella checklist. Molte della checklist riportano termini

come “set”, “checked”, “completed” per indicare che gli item sono stati compiuti. Per risolvere

questo problema è importante che le checklist obblighino a leggere il settaggio del parametro che

è stato appena controllato.

2.1.5 Eccessivo carico di lavoro

Una scarsa gestione delle risorse presenti in cockpit può portare ad un accumulo di lavoro in

momenti critici. Questo eccessivo carico di lavoro porta facilmente a un overload e ad un mancato

svolgimento delle attività previste. Uno studio sull’overload, svolto da Smith nel 1979, ha rivelato

come la performance dell’equipaggio soffra il mancato successo del comandante nell’anticipare

l’overload di un membro dell’equipaggio in determinate circostanze.

2.2 Segnali di pericolo

Esaminando le segnalazioni di near-miss provenienti dai piloti e archiviate nei report dell’NTSB è

possibile individuare dei segnali di pericolo, ovvero delle condizioni le quali, se verificate,

aumentano la probabilità di un errore nell’uso delle checklist.

Tali segnali sono:

• FATICA: uno dei fattori di rischio più presenti è la fatica dei piloti. Come tutti sappiamo

l’essere umano tende a essere meno efficiente e meno brillante quando è stanco. La

difficoltà sta, da parte del pilota, nel riconoscere i segni preliminari della fatica e capire

quando sarebbe meglio non volare.

• ABITUDINE: un altro fattore di rischio molto presente è l’abitudine: svolgendo le stesse

procedure molte volte i piloti tendono ad abituarcisi, portando a un abbassamento

dell’attenzione.

• DISTRAZIONE: quasi tutti gli incidenti relativi all’uso delle checklist provengono da qualche

tipo di distrazione da parte del pilota.

• SENSAZIONE DI FRETTA: la fretta dovuta a ritardi è un fattore che innalza di molto lo stress

nel cockpit, contribuendo alla scorretta o mancata esecuzione delle checklist.

• OPERAZIONI ANOMALE: volare con un velivolo che non si conosce, con un

equipaggiamento guasto o in territorio sconosciuto sono circostanze ampiamente

coinvolte negli incidenti aerei.

• TENTATIVI MULTIPLI: tentare più volte le stesse operazioni frustra i piloti, rendendoli più

inclini a saltare le procedure e a operare secondo le loro personali linee guida.

20

• DISCREPANZE NON RISOLTE: avvengono quando c’è una differenza tra il volo pianificato e

quello reale e tale differenza non viene scoperta, oppure quando tale differenza viene

scoperta ma non corretta

2.3 Possibili miglioramenti

Nel corso degli anni sono stati suggeriti alcuni miglioramenti al sistema delle checklist, tali da

aumentarne l’affidabilità.

Ne vedremo ora alcuni:

• NON USARE LE CHECKLIST CHALLENGE-AND-RESPONSE COME DO-LIST: come già

sottolineato c’è una differenza fondamentale tra le checklist di tipo challenge-and-response

e le do-list. Ciononostante molti piloti usano le prime come se fossero delle do-list. I piloti

dovrebbero dunque essere opportunamente addestrati all’uso delle due tipologie di

checklist.

• ESTABLISH, TRIM, CHECK: l’abitudine di stabilizzare e trimmare il velivolo dovrebbe essere

resa procedura standard nell’uso delle checklist. In questo modo il pilota avrebbe la

certezza di non avere interruzioni mentre svolge la checklist.

• RICOMINCIARE LE CHECKLIST INTERROTTE: nel caso in cui le operazioni sopra non fossero

sufficienti e la checklist dovesse essere interrotta per qualsiasi ragione, questa dovrebbe

essere ricominciata, in modo da avere la certezza di aver svolto ogni elemento.

• UTILIZZARE LA REGOLA DEL COCKPIT STERILE: durante l’uso delle checklist deve vigere la

regola del cockpit sterile, ovvero nessun discorso non relativo al pilotaggio dovrà essere

svolto nell’abitacolo.

• ALTITUDE CRITICAL AREA: sono aree nelle quali deve vigere la regola del cockpit sterile. Si

definisce Altitude Critical Area (ACA) ogni luogo a meno di 1000 piedi dal suolo, o a meno di

1000 piedi dal livellamento da una salita o una discesa. Avviamento del velivolo, rullaggio,

decollo e atterraggio avvengono tutti in un’ACA

2.4 Conclusioni

Ne deriva che i sistemi attuali di gestione delle checklist, seppur avanzati ed essendo stati testati in

anni di utilizzo, abbiano margini di miglioramento. In tal senso sono stati eseguiti alcuni tentativi di

applicazione di sistemi feedback-based, che verranno illustrati in seguito, anche se tali tentativi

risultano ancora in fase embrionale rispetto alle potenzialità disponibili

21

Capitolo 3

Metodi per la valutazione del fattore

umano Come visto in precedenza, data la grande incidenza del fattore umano nelle cause degli incidenti,

per mitigare il rischio e portarlo al di sotto della soglia di accettabilità (nella parte verde della

matrice di rischio) occorre intervenire su di esso, riducendone le conseguenze e la probabilità di

accadimento.

Le discipline che studiano il fattore umano hanno ormai terminato la fase nella quale

consideravano solamente l’aspetto ergonomico della questione, giungendo al progetto incentrato

sull’uomo (Human Centered Design, HCD) tramite il controllo e la supervisione delle procedure in

funzione del sistema di controllo stesso.

Purtroppo questo sistema non è sempre rispettato e compreso; può inoltre capitare che ci siano

scollamenti tra la situazione reale e quella percepita dall’operatore (Situational Awareness, SA).

Il principio oggigiorno accettato è quello che esista una stretta correlazione tra fattori organizzativi

e fattori umani; il fattore umano va analizzato in una prospettiva che ne tenga conto come non la

causa degli eventi ma come la conseguenza di fattori che risiedono nei vari livelli organizzativi.

In seguito andrò a presentare quelli che sono i principali metodi attualmente utilizzati per

modellare il fattore umano. Per farlo mi sono aiutato, oltre che con libri (fondamentale Cacciabue,

Sicurezza del Trasporto Aereo, 2009, dal quale, se non differentemente riportato, si ritengono

prese le informazioni contenute nel presente capitolo) e papers, anche con il Safety Methods

Database, nell’edizione aggiornata a fine 2016. Iniziato il 24 settembre 2004 e sviluppato da

Mariken H.C. Everdij e da Henk A.P. Blom, del National Aerospace Laboratory di Amsterdam , con il

contributo di Michael Allocco (FAA), David Bush (NATS), Mete Çeliktin (Eurocontrol), Barry Kirwan

(Eurocontrol), Patrick Mana (Eurocontrol), Jochen Mickel (Goethe University), Keith Slater (NATS),

Oliver Sträter (Eurocontrol), Edwin Van der Sluis (NLR), viene aggiornato ogni due anni circa, grazie

anche alle aggiunte che possono essere mandate da tutti scrivendo a [email protected].

Sul SMD è possibile trovare, oltre ad una breve presentazione di ogni metodo, anche una loro

classificazione. Per ogni metodo che ho trovato sull’SMD riporterò:

• Safety assessment Stage: passo del safety assessment nel quale il metodo in esame viene

più comunemente impiegato. Gli stadi sono:

1. Obiettivo dell’assessment

2. Apprendimento delle operazioni nominali

3. Identificazione dei pericoli

4. Combinazione dei pericoli nella struttura del rischio

5. Valutazione del rischio

mailto:[email protected]

22

6. Identificazione di particolari misure di riduzione del rischio

7. Monitoraggio della sicurezza

8. Apprendimento dai feedback ricevuti

• Oggetto di applicazione: il metodo può essere applicato all’hardware (H), al software (S), al

fattore umano (HF), alle procedure (P), all’organizzazione (O)

3.1 Il sistema uomo-macchina Ogni interazione tra macchina ed operatore ricade nella definizione di sistema uomo-macchina

(Human-Machine Interaction, HMI). Per uomo si intende l’operatore, mentre per macchina si

intende l’impianto vero e proprio, comprensivo dell’ambiente di lavoro in cui avviene l’interazione.

Sono parte del sistema macchina le interfacce, gli attuatori e i comandi, ma anche elementi come

l’interazione con i colleghi, il contesto reale e quello sociale di lavoro.

Il modello di uomo invece afferisce al paradigma IPS (Information Processing System), i cui aspetti

principali sono:

1. Memoria

2. Conoscenza di base

3. Meta-memoria

4. Interpretazione

5. Pianificazione

6. Personalità

7. Percezione

Contesto/ambiente

Attuatori Interfacc

e

Risposte

umane

Stimoli

dell’impianto

Stimoli del

contesto

Schema 2: schema concettuale sistema uomo-macchina

23

8. Esecuzione

9. Intenzioni

10. Decisioni

Il paradigma IPS semplifica l’operatore, considerato un semplice processore di informazioni.

3.2 Modelli di comportamento umano

Ispirandosi al paradigma IPS sono stati sviluppati quattro metodi principali:

3.2.1 Il modello RCM-PIPE

Questo è stato il primo modello definito nell’ambito dei fattori umani. Particolare attenzione è

dedicata agli stimoli e alle risposte, oltre che al ciclo iterativo che si instaura tra i processi e le

operazioni mentali.

Quattro principali funzioni cognitive sono gli elementi fondamentali del modello:

• PERCEZIONE

Legata al contenuto delle informazioni trasferite all’uomo attraverso i normali recettori

sensoriali

• INTERPRETAZIONE

Rielaborazione degli stimoli percepiti attraverso il confronto tra essi e quanto

immagazzinato in memoria

• PIANIFICAZIONE

Implica una scelta o lo sviluppo di un piano per risolvere la situazione venutasi a creare, ma

può anche essere l’inizio di un nuovo processo cognitivo

• ESECUZIONE

Implica l’attuazione della decisione

Altri elementi importanti sono la memoria (Knowledge Base) e l’allocazione delle risorse.

La prima contiene tutte le esperienze pregresse e le informazioni acquisite dal soggetto in passato;

la seconda è un processo cruciale per l’intero modello cognitivo, in quanto descrive come le

risorse disponibili all’uomo siano allocate ed il modo in cui influiscono sull’evolversi e

sull’interazione tra le quattro funzioni cognitive.

La memoria interagisce solo con Interpretazione e Pianificazione in quanto esse sono considerate

funzioni cognitive di alto livello, contrapposte a Percezione ed Esecuzione, considerate di basso

livello.

Gli stimoli entranti sono il motore del sistema, e i collegamenti tra le quattro funzioni sono pensati

per mantenere la natura ciclica del sistema.

3.2.2 Modello SRK

Il modello SRK è stato sviluppato da Rasmussen negli anni ’80, e si basa sul paradigma SL (step-

ladder): esso descrive come i processi di apprendimento ed interpretazione passino per stadi

24

sempre più elevati. Una volta raggiunto lo stadio più elevato sarà possibile ridiscendere la scala

per ritrovare uno ad uno tutti gli scalini percorsi.

Il modello identifica tre principali livelli:

• RULE-BASED BEHAVIOR:

La reazione dell’operatore si basa esclusivamente sulle regole a lui dettate

dall’organizzazione. È l’unico livello non subconscio.

• SKILL-BASED BEHAVIOR:

L’operatore prende una scorciatoia rispetto alle regole, reagendo ad una situazione

conosciuta mettendo in atto dei comportamenti automatici, senza dover cercare le regole

• KNOWLEDGE-BASED BEHAVIOR:

Si verifica quando l’operatore viene messo di fronte ad una situazione ad egli sconosciuta.

Egli fa ricorso a processi di ragionamento che implicano la profonda conoscenza del

sistema con il quale sta interagendo. È il livello più complesso in quanto l’operatore non

può basarsi su regole o procedure, ma deve crearsi da solo la strategia d’intervento.

Difficilmente viene utilizzato come modello “stand alone”

Safety assessment stage: 2

3.2.3 Modello di “macchina cognitiva fallibile”

Il modello di macchina cognitiva fallibile (Fallible Cognitive Machine, CFM) si basa su diverse

correlazioni empiriche trovate da Reason e si compone di due parti principali: la memoria e la base

di conoscenza. La memoria è a sua volta divisa in memoria focale e periferica.

Il suo fulcro è che gli elementi nella base di conoscenza sono attivati e richiamati alla memoria da

processi associati al contenuto del lavoro che sta venendo svolto: questi elementi richiamati

verranno utilizzati per compiere decisioni.

La memoria periferica riceve le informazioni in maniera diretta dalla base di conoscenza e le

seleziona, tramite alcuni meccanismi basati sulla conservazione della cognizione, per la memoria

focale.

Questi meccanismi possono appartenere a due categorie principali:

• SIMILARITY MATCHING

Permette di associare le informazioni percepite e la conoscenza della base;

• FREQUENCY GAMBLING

Permette di compiere la scelta definitiva basandosi su familiarità, esperienza e vicinanza

temporale con eventi già accaduti;

25

All’interno del suo modello, Reason suddivide gli errori in due macrocategorie:

• ERRORI LATENTI

Errori commessi ad alti livelli in seno a un’organizzazione, ovvero in condizioni remote o

distanti dal processo, come, ad esempio, durante la manutenzione. Vengono talvolta

definiti come errori patogeni.

• ERRORI ATTIVI

Errori commessi da operatori in prima linea, i quali risultano immediatamente visibili

nell’evoluzione dell’incidente

A loro volta queste categorie si suddividono in:

• SLIPS

Errori dovuti a sviste, dimenticanze o errori. Si manifestano principalmente negli operatori

esperti. In questo caso l’azione viene pianificata in maniera corretta ma viene poi portata a

termine in maniera errata;

• LAPSES

Eventi che coinvolgono mancanza di memoria;

• MISTAKES

Errori commessi ad alto livello cognitivo. L’azione viene pianificata in maniera errata fin

dall’inizio, e l’errata pianificazione viene correttamente portata a termine;

• VIOLATIONS

Violazioni consapevoli delle procedure operative. Si dividono in:

o Cutting-corner violations: il loro scopo è scopo quello di semplificare procedure

giudicate troppo macchinose dall’operatore.

Memoria periferica

Similarity matching

Frequency gambling

Input

Azioni

MEMORIA

FOCALE

BASE DI CONOSCENZA

Schema 3: schema concettuale modello CFM

26

o Thrill-seeking violations: violazioni commesse per il solo gusto di commetterle

o Necessary violations: molte organizzazioni continuano a scrivere più procedure del

necessario, e l’operatore, per riuscire a portare a termine il proprio lavoro, dovrà

violarle.

o Exceptional violations: avvengono quando il sistema sta operando in condizioni

straordinarie


3.2.4 Modello COCOM (Contextual Control Model)

Secondo questo modello il comportamento umano viene regolato da due principi fondamentali: la

ciclicità delle funzioni cognitive e la dipendenza dei processi cognitivi dal contesto in cui l’uomo si

viene a trovare.

Il modello si basa sul paradigma IPS e considera separatamente il modello delle competenze,

composto dalle funzioni cognitive e dai loro collegamenti, e il modello del controllo, composto dai

vari processi cognitivi.

Le competenze sono viste come cicliche

I livelli di controllo sono quattro:

• CONTROLLO STRATEGICO

Permette l’utilizzo di tutte le funzioni cognitive e lascia tempo all’operatore di scegliere tra

le varie opzioni

• CONTROLLO TATTICO:

Caratteristico di situazioni obbedenti a regole e logiche conosciute, permette ampio utilizzo

delle funzioni cognitive

• CONTROLLO OPPORTUNISTICO:

Condizione nella quale le azioni vengono scelte il tempo reale, una dopo l’altra, basate

sulle caratteristiche del contesto e sul loro impatto immediato

• CONTROLLO IMPULSIVO:

La scelta è slegata dal contesto e risulta quasi casuale.

È intuitivo come il controllo strategico sia quello teoricamente più efficiente; purtroppo nella

pratica si rileva come le persone tendano a operare tramite controllo tattico od opportunistico.

I due parametri principali che influiscono sul modello del controllo sono il risultato delle azioni

precedenti e la nozione soggettiva del tempo a disposizione. Esistono poi altri parametri che

influiscono minormente sul modello, come il numero di obiettivi simultanei da raggiungere o la

disponibilità di piani e regole.

Hollnagel sottolinea come il comportamento umano segua un andamento ciclico.

27

Schema 4: schema concettuale ciclo di Hollnagel

Questo ciclo rappresenta la cognizione come un insieme di feedback e feedforward, fornendo un

modo per interpretare la situazione dinamica che si instaura tra la comprensione della situazione,

le azioni compiute e i feedback.

Il modello COCOM ha il pregio di tenere in considerazione le influenze che il contesto operativo e

sociale ha sui modelli comportamentali.


3.3 Metodi che tengono conto dei fattori organizzativi Tutti i metodi precedentemente visti condividono il difetto di considerare in maniera riduttiva il

contesto socio-culturale nel quale si sviluppano gli errori umani (Catino, 2006). La conclusione che

ne deriva sarebbe dunque che gli errori umani avvengono per il fallimento della IPS e i guasti per

cause tecniche. La responsabilità degli eventi sarebbe dunque individuale.

Per far fronte a tale difetto è stato sviluppato l’approccio organizzativo all’errore umano: il suo

scopo è quello di valutare sì gli aspetti umani e tecnologici, ma anche quelli socio-organizzativi. Nel

loro sviluppo questi tre elementi sono stati considerati assolutamente inscindibili.

L’attenzione per gli aspetti organizzativi ha avuto origine dall’incidente di Three Mile Island, nel

1979.

Alle 4.36 del 28 marzo 1979 alcune pompe d’acqua andarono fuori uso nella seconda unità della

centrale nucleare. Il blocco delle pompe impedì l’afflusso di acqua ai generatori di vapore,

impedendo il funzionamento della centrale e il raffreddamento del nocciolo. L’aumento di

temperatura provocò un aumento di pressione, che a sua volta portò all’apertura di una valvola di

Feedback

Modifica comprensione

della situazione

Controllo

Risposta del sistema

Eventi

esterni

28

sicurezza, denominata PORV (pilot-operated relief valve). Questa valvola si sarebbe dovuta

richiudere in tredici secondi, ma rimase bloccata in posizione aperta, continuando a scaricare

acqua di refrigerazione per due ore e ventidue minuti. Se gli operatori si fossero resi conto della

situazione e avessero chiuso una seconda valvola di sicurezza, nulla di pericoloso sarebbe

accaduto, ma così non fu. A partire dalla prima interpretazione errata (gli operatori pensavano che

la valvola si fosse chiusa) ebbe luogo una serie di errori e interpretazioni errate, che portarono ad

un parziale melt-down del nocciolo.

Nel pomeriggio successivo, in un clima di maggiore incertezza e confusione, si formò un eccesso di

idrogeno nell’edificio di contenimento, che portò ad un’esplosione.

Un’altra bolla di idrogeno si ridusse spontaneamente dopo alcuni giorni per ragioni mai chiarite.

La commissione d’inchiesta evidenziò una serie di errori umani come cause primarie dell’incidente.

La stessa commissione d’inchiesta, però, evidenziò che dietro agli errori umani vi erano grossi

errori organizzativi. Uno su tutti, l’approccio alla sicurezza era troppo legato ai fattori tecnici e

troppo poco a quelli umani e organizzativi; in particolare l’essere umano veniva visto come un

portatore di insicurezza, e ciò gli impediva di essere, invece, un portatore di sicurezza.

Queste conclusioni vennero confermate successivamente dagli studi di Perrow, il quale evidenziò

come proprio i fattori organizzativi fossero predominanti su quelli umani e tecnici.

Dopo l’incidente e i due rapporti summenzionati i fattori organizzativi iniziarono ad essere

considerati seriamente ai fini dell’analisi di rischio: nel 1985 l’NTSB, per bocca del suo vicedirettore

Gerry Bruggink, utilizzò per la prima volta il termine policy factors, a seguito di un’analisi di 23

incidenti occorsi tra il 1972 e il 1983.

I policy factors sono le condizioni create dall’organizzazione che possono favorire comportamenti

inadeguati rispetto alla situazione da parte di coloro che sono in prima linea ad affrontare

problemi complessi.

Secondo l’analisi dei policy factors gli incidenti non sono responsabilità solo dell’operatore, ma

sono generati a diversi livelli di distanza, sia fisica che temporale, da esso.

Occorre dunque indagare le cause degli incidenti: vanno evidenziate le buone azioni che hanno

dato luogo a violazioni e comportamenti pericolosi.

3.3.1 SHEL

Ogni processo di lavoro implica la relazione tra componenti di natura diversa, quali persone,

software, hardware, regole e procedure. Tali elementi sono a loro volta immersi in un contesto

esterno che ne influenza l’esecuzione e che a sua volta può essere influenzato dal processo di

lavoro. Ne consegue che la sicurezza del sistema dipende sì dall’affidabilità dei singoli componenti,

ma anche e soprattutto dalla loro interazione.

29

Sulla base di questa visione sistemica è stato realizzato il modello SHEL (Software, Hardware,

Environment, Liveware).

Le dimensioni che costituiscono il modello SHEL sono:

1. SOFTWARE

Comprende norme, regole e procedure, sia formali che informali; la conoscenza e le

informazioni presenti nei materiali operativi che supportano l’individuo o il team di lavoro

2. HARDWARE

Riguarda le componenti fisiche e non umane del sistema

3. LIVEWARE

Riguarda le componenti umane negli aspetti cognitivi, emotivi, relazionali, comunicativi

4. ENVIRONMENT

Contesto ambientale fatto di fattori fisici, economici e politici

Schema 5: schema concettuale modello SHEL

Il modello SHEL si basa dunque sul presupposto che le attività lavorative a tutti i livelli possano

essere definite come una specifica combinazione dei tre componenti hardware, software e

liveware e le componenti sono collegate tra loro tramite scambio di informazioni. Ciò comporta

che –se possibile- ogni cambiamento o perdita di risorse in una dimensione viene compensato da

cambiamenti nelle altre, rendendo però il sistema meno stabile e più esposto a possibili break

down. Considerato che la componente umana è la più flessibile e adattiva, ne consegue che sia

proprio quella a farsi carico dei cambiamenti. Nel caso in cui l’ambiente esterno sia poco collegato

con uno degli elementi il rischio di breakdown aumenta.

Ne consegue che gli errori e i break down non sono mai generati esclusivamente da una delle tre

cause, ma sempre da una combinazione di esse: l’affidabilità di un sistema è dunque un problema

di coerenza socio-tecnica tra le varie componenti.

30


3.3.2 SHELL

Evoluzione diretta del metodo SHEL è rappresentata dal modello SHELL.

In questo caso al centro del modello è posto l’uomo che, per omogeneità fonetica, è denominato

liveware.

Questo sistema permette di identificare le interazioni critiche che, a partire dalla liveware, si

realizzano con le altre componenti:

1. INTERFACCIA L-H

È l’area più classica della progettazione e si basa sulla considerazione che la tecnologia

deve adattarsi all’essere umano e ai suoi limiti.

2. INTERFACCIA L-S

Riguarda le interazioni tra l’uomo e le procedure e regole che ne definiscono la

prestazione. Va investigata in maniera approfondita in caso di incidenti: è molto più utile,

infatti, verificare se le regole sono adatte alla situazione piuttosto che concentrarsi sulla

fallibilità degli operatori coinvolti.

3. INTERFACCIA L-E

Riguarda l’area dell’interazione tra l’uomo e l’ambiente esterno ed è l’area di minore

intervento possibile per il progettista

4. INTERFACCIA L-L

È l’area delle relazioni interne alla componente umana del sistema e riguarda il modo in cui

le informazioni e la conoscenza sono scambiate tra le persone nella realizzazione

dell’attività, la distribuzione dei compiti e le responsabilità, i processi di decisione.

31

Schema 6: schema concettuale modello SHELL

Un sistema ben progettato garantisce l’equilibrio tra le varie componenti, ed esiste solo in questo

stato. Uno sbilanciamento di una delle parti richiederà dunque un ribilanciamento delle altre.

Ad esempio, un cambio di tecnologia dovrà essere compensato da un cambio di

regolamentazione.

Se non si prosegue al bilanciamento aumenta la possibilità di break down.

Un’ulteriore evoluzione del modello SHELL è rappresentata dal modello SHELL-T, dove la lettera T

sta per Team. Questo modello si pone infatti lo scopo di rappresentare le complesse dinamiche di

gruppo tipiche del pilotaggio degli aeromobili.

Un classico esempio può essere quello di un velivolo con due uomini di equipaggio, vale a dire il

pilota e il primo ufficiale (First Officer, FO), al quale viene aggiunto per via della sua importanza un

terzo elemento, ovvero il controllore di volo. Ogni elemento del team ha un’interfaccia dedicata

solo a se stesso, mentre solo pilota e FO condividono lo stesso ambiente di lavoro: i due si trovano

infatti a condividere lo stesso ambiente socio-culturale, organizzativo e fisico (il cockpit), mentre il

controllore opererà in un differente ambiente. Pilota e FO condividono anche la stessa formazione

e le stesse procedure, che sono invece diverse per il controllore. I tre membri del gruppo

comunicano tra di loro in egual misura.

La rappresentazione del team raffigurata in figura si presta molto bene a rappresentare i rapporti

e le relazioni esistenti ed è particolarmente adatto a classificare tali aspetti relazionali in una

prospettiva di analisi di lavoro di gruppo e d eventuali errori del team.


32

3.3.3 ADREP

Un ulteriore sviluppo applicativo del modello SHELL è rappresentato dalla tassonomia ADREP –

Accident/Incident Data Reporting-, progettata per supportare la catalogazione degli eventi

accidentali in campo aeronautico, dove il contributo umano risulti rilevante sia a livello operativo

sia a livello di organizzazione (Hollnagel, 2017).

Una tassonomia è una classificazione che mira a catalogare tutte le informazioni su un incidente o

un evento indesiderata seguendo uno schema prestabilito ed è quindi una buona guida anche

nella condotta dell’analisi dell’evento stesso.

In ADREP il comportamento umano è visto nel suo complesso come il risultato delle relazioni e

dipendenze che esistono tra l’individuo e il contesto socio-tecnico che lo circonda. Ciò permette di

tenere conto sia degli errori attivi che di quelli latenti.

I principali elementi della tassonomia ADREP sono:

1. EVENTS

Descrivono le tipologie di eventi attraverso cui è possibile ricostruire l’accaduto

2. DESCRIPTIVE FACTORS

Elencano una serie di voci che mirano a descrivere in maniera specifica l’accaduto,

rispondendo alla domanda “cosa è avvenuto e quando?”

3. EXPLANATORY FACTORS

Voci dedicate alla classificazione dettagliata dei fattori umani, quando questi siano

riscontrati in relazione a certi Descriptive Factors

4. MODIFIERS

Attributi assegnati, assieme ad altre voci minori, in relazioni sia a Descriptive Factors che a

Explanatory Factors, e servono a dare una misura qualitativa del fattore a cui si riferiscono

5. ALTRI

sono presenti altri elementi meno importanti, per i quali rimando all’apposita sezione del

sito

ICAO

Secondo lo stesso autore un aspetto critico di tale tassonomia riguarda la staticità della struttura,

che è poco capace di individuare la sequenza logico-temporale delle interazioni e degli eventi

avvenuti nel corso di un incidente. Sempre secondo l’autore il sistema, oltre a richiedere una

conoscenza approfondita di SHELL, risulta molto complesso e soggetto a errori di classificazione.


33

Figura 6: esempio tabella ADREP

3.4 Metodi di affidabilità umana

Risulta necessario, ai fini di un corretto risk assessment, inserire le relazioni umane nella struttura

logica delle consuete analisi di rischio, quantificando il loro effetto sul risultato finale della stessa.

I metodi che si occupano di introdurre gli errori umani e quantificarli vengono chiamati Human

Reliability Analysis, HRA.

Esistono in letteratura due approcci principali alla classificazione degli HRA: il primo, quello di

Watson, prevede di classificare i metodi in funzione delle tecniche di quantificazione degli errori,

assegnando in pratica a ogni azione una probabilità di successo. Tale probabilità è tipicamente

assegnata sulla base di dati storici. Tale approccio, detto riduzionista, non ha riscontrato

particolare successo.

Il secondo approccio, sul quale ci concentreremo, è stato sviluppato verso la fine degli anni ’80 in

campo nucleare ed è stato pubblicato dalla IAEA nel 1989. Questo approccio prevede di

identificare due passi principali: analisi qualitativa e quantificazione, analogamente a quanto

effettuato nei modelli di analisi del rischio puramente tecnico.

34

Per quanto riguarda lo studio delle situazioni critiche, tali metodi possono dividersi in due

sottogruppi: metodi legati all’obiettivo (task driven methods) e metodi legati alla componentistica

(component driven methods). Nei primi ogni passo della procedura è analizzato in dettaglio con

riferimento ai relativi performance shaping factors (ambiente, stress, complessità del lavoro…) e

talvolta tabellato, in analogia con i metodi FMEA/FMECA. Nei secondi i possibili guasti vengono

utilizzati come punto di partenza e l’indagine della procedura si pone come scopo quello di

identificare i possibili errori dell’operatore che influiscono sull’evento.

Il secondo approccio è il più praticato in quanto, essendo molto vicino al metodo dell’albero di

evento, si collega in maniera più diretta ai metodi di QRA tecnico.

Lo scopo finale dei metodi di affidabilità umana è quello di definire la probabilità di successo

dell’azione svolta dall’operatore: risulta dunque imprescindibile un’adeguata analisi qualitativa a

monte.

Andremo ora ad esporre i principali metodi utilizzati nel campo della sicurezza aeronautica.

3.4.1 Metodologia SHARP

La metodologia SHARP è una struttura per l’analisi di sistemi che coinvolgono i sistemi uomo-

macchina, e si compone di 7 passi distinti:

1. IDENTIFICAZIONE DELLE AZIONI UMANE – DEFINITION

Gli alberi logici dell’impianto vengono studiati a fondo al fine di comprendere tutte le

interazioni uomo-macchina

2. SELEZIONE DELLE ASSUNZIONI DI BASE – SCREENING

Gli alberi logici sono rivisti per identificare le azioni più rilevanti

3. DEFINIZIONE DEI PUNTI IMPORTANTI DI INTERAZIONE – BREAKDOWN

Ciascuna interazione rilevante è suddivisa in azioni, obiettivi e sotto-obiettivi al fine di

identificare i fattori più influenti per una modellizzazione completa

4. DESCRIZIONE DETTAGLIATA DELLE INTERAZIONI – REPRESENTATION

Le interazioni sono modellate sotto forma di event tree

5. INTEGRAZIONE DELLE AZIONI CON LE RISPOSTE DELLA MACCHINA – IMPACT

ASSESSMENT

I possibili alberi logici derivanti dalle azioni precedentemente individuate sono sviluppati in

maniera da permettere all’analista di valutarne l’impatto sul comportamento

dell’impianto. Gli ET precedenti vengono rivisti, dando così origine a nuovi eventi iniziatori

6. QUANTIFICAZIONE – QUANTIFICATION

Le azioni sono quantificate in termini di qualità

7. DOCUMENTAZIONE DEI RISULTATI – DOCUMENTATION

3.4.2 Metodo HCR

Il metodo HCR (Human Cognitive Reliability) affonda le sue radici nel modello SRK, permette di

valutare la probabilità di errore di un’azione in funzione del tempo di risposta.

35

Tale probabilità è stata definita empiricamente analizzando un numero di missioni da completare

ed è stata successivamente approssimata da una curva di tipo Weibull:

𝑝(𝑡) = exp (

𝑡𝑇1/2

− 𝐶𝑟𝛽

𝐶𝑛)

Dove: t è il tempo che il soggetto impiega a terminare l’azione; T1/2 è il tempo medio,

riparametrato sui PSF, per svolgere l’azione; β è un parametro di correlazione basato sul tipo di

lavoro cognitivo; Cr è un parametro di tempo di ritardo; Cn è un parametro di normalizzazione

basato sul tipo di lavoro cognitivo.

La grande limitazione di questo metodo sta nel fatto che tutti i coefficienti visti sopra sono tutti

basati su correlazioni empiriche e pareri di esperti, e non sono dunque scientificamente accurati.

3.4.3 Metodo CREAM

Il metodo CREAM (Cognitve reliability and Error Analysis Method) si basa sul modello di cognizione

COCOM, ed è stato sviluppato da Hollnagel nel 1998.

CREAM permette all’operatore di:

• Identificare le azioni che richiedono cognizione e che possono dunque essere influenzate

da fattori cognitivi;

• Determinare le condizioni sotto le quali l’affidabilità dei processi cognitivi potrebbe

risultare ridotta;

• Fornire una valutazione delle conseguenze dei comportamenti sulla sicurezza;

• Sviluppare modifiche che aumentano l’affidabilità del sistema, riducendo i comportamenti

a rischio.

CREAM può essere utilizzato sia come un modello standalone, sia come parte di altre valutazioni.

Come modello standalone si compone di quattro parti principali:

1. ANALISI DEI COMPORTAMENTI;

2. DESCRIZIONE DEL CONTESTO;

3. SPECIFICAZIONE DEGLI EVENTI INIZIATORI

Seguendo la tabella allegata (della quale inserisco un estratto) per ogni CPC (Common

performance condition) si definisce l’effetto sulla sicurezza;

36

Tabella 2: tabella CPC

4. PREDIZIONE DEGLI ERRORI

Si svolge contando quanti CPC aumentano la sicurezza e quanti la diminuiscono. Sulla base

di questa conta si compila la matrice sottostante e si definisce il tipo di controllo sul

sistema.

Figura 7: matrice CREAM

I quattro tipi di controllo sono gli stessi del metodo COCOM.

Nonostante questo metodo sia stato e rimanga ampiamente utilizzato, lo stesso autore ha

evidenziato sul proprio sito i punti deboli dell’approccio, da lui giudicato obsoleto. In particolare

Hollnagel evidenzia come il metodo si concentri sulle azioni che possono fallire piuttosto che sulla

37

variabilità della performance e come esso rappresenti un punto di vista strutturale e non di

performance. Infine Hollnagel ammette che il metodo CREAM si basa su semplificazioni eccessive

del comportamento umano.

3.4.5 Metodo THERP

Il metodo THERP (Technique for Human Error Rate Prediction) risulta ad oggi il metodo più

utilizzato in campo aeronautico ed è un metodo ibrido, in quanto gli errori umani vengono

descritti utilizzando alberi di probabilità e modelli di dipendenza, combinati con i PSF.

Il metodo THERP si basa su quattro fasi:

1. FAMILIARIZZAZIONE;

2. ANALISI QUALITATIVA

Vengono eseguiti il sopralluogo, l’intervista al personale, l’analisi delle procedure e lo

sviluppo degli ET di errore umano;

3. ANALISI QUANTITATIVA

Comprende l’assegnazione dei valori nominali della probabilità di errore umano, la stima

dei PSF, la valutazione delle dipendenze e infine il calcolo della probabilità di successo;

4. INCORPORAZIONE

Comprende analisi di sensitività e trasmissione delle informazioni all’analista di sicurezza

per la loro successiva inclusione nella QRA.

Le quattro fasi possono poi essere successivamente suddivise in dodici sotto-processi, come

evidente in figura.

38

1. Visita impianto

3. Sopralluogo e discussione con il

personale

4. Analisi delle procedure

5. Albero degli eventi di errore umano

6. Valutazione HEP nominali

7. Valutazione PSF

8. Valutazione dipendenze

9. Calcolo delle probabilità di errore

10. Determinazione effetti recuperi

11. Analisi di sensitività

12. Inclusione risultati nel QRA

FAMILIARIZZAZIONE

ANALISI QUALITATIVA

ANALISI QUANTITATIVA

INCORPORAZIONE

Le prime due fasi sono di natura essenzialmente qualitativa; si discuteranno dunque le fasi 3 e 4.

Una volta caratterizzato l’impianto e definiti i possibili malfunzionamenti ai quali questo possa

essere soggetto, con le relative influenze sul comportamento dell’operatore, viene eseguita

un’indagine dettagliata della procedura da eseguire, identificando tutti i potenziali errori e le

potenziali mancanze dell’operatore. Alla definizione degli errori contribuisce fortemente la

classificazione implicita contenuta nella banca dati legata al metodo, nella quale vengono

classificati tutti gli errori suddivisi in due macrocategorie:

• ERRORI DI OMISSIONE

Errori a causa dei quali uno o più passi delle procedure vengono omessi dall’operatore

Schema 7: fasi metodo THERP

39

• ERRORI DI COMMISSIONE

Errori che riguardano la mancanza di conoscenza, le possibili interpretazioni errate di

informazioni e segnali, le nozioni distorte dall’operatore eccetera

Per descrivere gli errori umani THERP usa la tecnica degli

alberi di evento (Human Reliability Analysis – Event Tree –

HRA-ET).

La procedura è dunque rappresentata da nodi decisionali o

esecutivi binari, che permette di continuare l’analisi sia in

caso di esito positivo che di errore.

È necessario dunque assegnare a ogni nodo delle probabilità

di riuscita o di fallimento: ciò viene fatto basandosi sulle

formule di probabilità condizionata presenti nel capitolo 20

del manuale THERP.

A fianco si trova un breve riassunto della stima di queste

probabilità. Dopo aver suddiviso l’incarico in molteplici

attività elementari, occorre assegnare tramite le suddette

formule gli HEP (Human Error Potential), si passa a valutare

l’effetto dei PSF presenti al momento della performance sul

luogo di lavoro, al fine di calcolare i nuovi HEP.

Successivamente si passa alla fase della costruzione

dell’albero di evento, accertandosi della dipendenza

reciproca dei vari elementi considerati e costruendo l’albero

vero e proprio.

Per quanto riguarda la determinazione delle dipendenze,

esse sono dividibili in dipendenze positive (il successo

dell’azione precedente aumenta la probabilità di successo dell’azione successiva) e negative

(l’opposto).

La scelta della dipendenza passa poi dall’assegnazione di uno tra i cinque gradi di dipendenza:

1. Dipendenza nulla (DN)

2. Dipendenza bassa (DB)

3. Dipendenza media (DM)

4. Dipendenza alta (DA)

5. Dipendenza completa (DC)

I valori delle probabilità, già modificati dai PSF, vengono modificati tramite le seguenti relazioni

empiriche:

Schema 8: processo alberi di evento

40

DN 𝑃𝑐 = 𝑃

DB 𝑃𝑐 =

1 + 19𝑃

20

DM 𝑃𝑐 =

1 + 6𝑃

7

DA 𝑃𝑐 =

1 + 𝑃

2

DC 𝑃𝑐 = 1

Dove Pc è la probabilità condizionata del successo dell’azione B dato il successo dell’azione A

Con riferimento all’ET in figura 11, abbiamo che:

• A, B: azione conclusa con successo

• a, b: azione conclusa senza successo

• S: success

• F: failure

Ne consegue che:

• p(A), p(B): probabilità di successo delle azioni A e B

• p(a), p(b): probabilità di fallimento delle azioni A e B

Ricordando la regola base della probabilità:

∑ 𝑝𝑖 = 1

𝑛

𝑖=1

Abbiamo che 𝑝(𝑎) = 1 − 𝑝(𝐵) con ovviamente analoga estensione sull’azione B.

La probabilità di successo verrà calcolata sommando le probabilità dei vari percorsi che portano al

successo, nel nostro caso:

𝑝(𝑆) = 𝑝(𝐴) ∗ 𝑝(𝐵) + 𝑝(𝑎) ∗ 𝑝(𝐵)

Ne consegue che, ovviamente:

𝑝(𝐹) = 1 − 𝑝(𝑆)

A a

B b B b

S F S F

Figura 9: esempio HRA-ET

41

Il metodo THERP richiede dunque una notevole mole di lavoro e ha lo svantaggio di non tener

conto di errori cognitivi svolti in situazioni complesse.

3.5 Limiti dei metodi di affidabilità umana I metodi di affidabilità umana utilizzano i termini errore umano ed errore organizzativo come

oggetto e causa dei comportamenti rischiosi dell’operatore. Tali termini sono poco scientifici e si

prestano ad ambiguità interpretative, che rendono difficile applicare questi modelli alla

sperimentazione scientifica, che pretendo oggetti di studio quantitativi.

In pratica: come definire l’errore? Cos’è l’errore umano?

42

Capitolo 4

Sistemi basati sul comportamento: la BBS Accanto ai metodi finora illustrati a partire dagli anni ’70 si è andato diffondendo un nuovo

approccio al tema della sicurezza sul lavoro in generale e ai fattori umani in particolare. Tale

approccio, noto con il nome di Behavior Based Safety (BBS), non si focalizza sugli errori umani ma

sui comportamenti.

La sua base teorica risiede nei lavori di Frederick Burrhus Skinner, il quale, basandosi sul

paradigma di Pavlov e sui lavori di Watson, sviluppò il suo celebre paradigma del condizionamento

operante, secondo il quale il comportamento umano (B) è evocato dagli antecedenti (A) e

rinforzato dalle conseguenze (C).

Schema 8: paradigma di Skinner

Lo scopo della BBS risulta, pertanto, quello di aumentare la presenza di comportamenti sicuri e

ridurre quella dei comportamenti non sicuri.

Sull’argomento è molto approfondito il libro di Aubrey Daniels (1989), dal quale trarrò le

informazioni presenti nel seguente capitolo.

4.1 Antecedenti

Un antecedente è qualsiasi stimolo fisico (in ambito professionale per lo più visivo e sonoro) che

venga prima del comportamento e sia quindi in grado di evocarlo.

Esempi tipici di antecedenti possono essere obiettivi posti dal management, procedure e job

description. Le istruzioni fornite ai dipendenti sono gli antecedenti maggiormente utilizzati dal

management.

Gli antecedenti devono rispondere ad alcune caratteristiche:

• SONO SEMPRE PRECEDENTI AL COMPORTAMENTO

43

• COMUNICANO INFORMAZIONI

La prima funzione degli antecedenti costruiti in modo efficace è quella di fornire

informazioni sul quale, come, quando e magari perché eseguire un determinato

comportamento.

• LA LORO EFFICACIA DIPENDE DALLO STORICO DI CONSEGUENZA A CUI SONO ASSOCIATI

Gli antecedenti più influenti sono sempre accoppiati con delle conseguenze precise (un

ferro caldo scotta sempre). Più l’associazione con delle conseguenze positive sarà debole,

meno gli antecedenti saranno efficaci, ovvero non saranno in grado di dare seguito ad

alcun comportamento. Le previsioni del tempo, ad esempio, non riescono sempre a predire

il meteo del giorno, e per questo è comune uscire senza ombrello anche se è stata prevista

pioggia. Quando le persone discriminano quali elementi predicono le conseguenze esatte

stanno praticando quello che è chiamato Discriminative Stimulus.

• LE CONSEGUENZE POSSONO ESSERE ANTECEDENTI

Le conseguenze ricevute da altri soggetti significativi nel nostro ambiente sociale possono

fungere da antecedenti per il nostro comportamento, in quanto sono stimoli fisici (es.

osservati od uditi) che descrivono il sillogismo se in una situazione simile, mi comporto in

modo simile, potrei ricevere conseguenze simili. Ad esempio, se un operatore assiste alla

gratificazione immediata ricevuta da un collega per un comportamento eseguito, potrebbe

essere motivato nell’imitarlo al fine di ricevere analoga gratifica.

Risulta dunque evidente come gli antecedenti efficaci devono essere scelti in modo accurato e

seguendo alcuni principi di base:

• DEVONO DESCRIVERE CHIARAMENTE LE ASPETTATIVE DEL COMPORTAMENTO

DESIDERATO;

• DEVONO POTER ESSERE ASSOCIATI A CONSEGUENZE SPECIFICHE E RILEVANTI

• DEVONO RAGGIUNGERE LA PERSONA IN PROSSIMITA’ DEL MOMENTO IN CUI IL

COMPORTAMENTO DOVREBBE ESERE ESEGUITO

4.2 Comportamento

Si definisce comportamento qualsiasi atto osservabile e misurabile che passi il test dell’uomo

morto: se un’azione può essere svolta da un uomo morto, essa non si qualifica come

comportamento. Ad esempio inciampare è un comportamento mentre precipitare da un

ponteggio non lo è.

4.3 Conseguenze

Conseguenze sono gli eventi che seguono il comportamento e ne influenzano la probabilità di

accadimento.

Risulta dunque evidente, oltre che immediato dalla nostra vita di tutti i giorni, come le

conseguenze risultino fondamentali nella gestione dei comportamenti e delle performance, in

quanto le persone agiscono per avere conseguenze positive o evitare quelle negative.

44

La domanda che dovrebbe guidare ogni bravo analista comportamentale dovrebbe dunque essere

la seguente: “quali sono le conseguenze di ogni comportamento?”

4.4 Tipi di conseguenze e loro caratteristiche

Le conseguenze davvero efficaci sono quelle che vengono subito dopo il comportamento. Anche il

più breve gap temporale tra il comportamento e la conseguenza fa sì che l’effetto della

conseguenza sia ridotto. Ne deriva che le conseguenze più efficaci sono quelle che occorrono

mentre la persona sta eseguendo il comportamento, e che le conseguenze che vengono assegnate

durante meeting annuali, semestrali e mensili, molto comuni nell’industria, hanno influenza sui

comportamenti minima se non nulla.

Le conseguenze si dividono in due grandi categorie:

• Primarie: biologicamente importanti, come cibo, acqua, stimolazione sessuale e calore

• Secondarie: stimoli senza importanza biologica. Devono essere associati a rinforzi primari o

secondari già “imparati” dalla persona

Esistono poi quattro macrocategorie di conseguenze: due aumentano la probabilità del

comportamento e due le diminuiscono.

4.5 Rinforzi

Si definiscono rinforzi tutte quelle conseguenze che aumentano la probabilità che il

comportamento venga ripetuto. Si dividono in due classi:

• RINFORZO POSITIVO (R+): OTTENERE QUELLO CHE SI VUOLE

• RINFORZO NEGATIVO (R-): EVITARE QUALCOSA CHE NON SI VUOLE

Per trovare dei rinforzi efficaci bisogna innanzitutto definire cosa le persone vogliono. Uno degli

errori più comuni commessi dai manager è quello di scegliere per altri rinforzi adatti a sé stessi.

Un’abitudine dei manager, ad esempio, è quella di pagare una cena in un ristorante raffinato al

top performer e a sua moglie anche se magari è l’ultima cosa che la coppia avrebbe desiderato. Il

rinforzo in questo caso si trasforma in una punizione. Egocentrismo ed eccessiva influenza da

parte di stereotipi possono rendere ulteriormente difficile la discriminazione di cosa sia e cosa non

sia utile per rinforzare qualcuno: un manovale potrebbe certamente trarre piacere da una cena

offerta in un ristorante raffinato, anche se lo stereotipo ad egli associato è quello di una persona

rozza, dai gusti semplici.

Occorre dunque una accurata selezione dei rinforzi ed un’indagine dei desideri delle persone è di

certo prassi molto utile. Un breve sondaggio distribuito ai lavoratori può essere un semplice modo

di collezionare informazioni sulla natura delle loro preferenze. Un problema associato a questi

metodi è quello dell’accettabilità percepita (o desiderabilità sociale): molto spesso le persone

tendono a glissare sulle effettive preferenze, optando invece per manifestare pubblicamente ciò

che pensano possa essere con buona probabilità accettato da parte di soggetti significativi del

proprio contesto sociale (es. il capo). Ambienti di lavoro troppo rigidi, nei quali manca un rapporto

45

di apertura e fiducia tra il subordinato e il manager, sono sicuramente soggetti a questo tipo di

fenomeno.

Quello che le persone fanno può essere usato come rinforzo per le persone stesse: questo tramite

il principio di Premack, noto anche con il nome di Grandma’s Law, che prevede l’utilizzo di un

comportamento ad alta probabilità di accadimento (ovvero piacevole) come conseguenza di uno a

bassa probabilità di accadimento (ovvero spiacevole): “Se mangi gli spinaci (bassa probabilità) puoi

mangiare il dolce (alta probabilità)”.

I rinforzi devono obbedire al principio WHIP – What you Have In your Possession-, altrimenti il

tempo necessario ad ottenerli ne ridurrà l’efficacia.

I rinforzi si dividono in tre classi:

• RINFORZI SOCIALI

Rappresentano i rinforzi maggiormente utilizzati, in quanto obbediscono al principio WHIP

e sono tipicamente gratuiti. Il rinforzo sociale di maggiore efficacia è il riconoscimento

pubblico del lavoro svolto.

• RINFORZI TANGIBILI

Danno l’occasione per inviare rinforzi sociali: inviando un premio dovremo infatti spiegare

come mai questo è stato consegnato. Qualsiasi rinforzo tangibile che sia visibile al lavoro o

a casa fornisce inoltre un antecedente per i comportamenti successivi.

• RINFORZI GENERALIZZATI

Soldi, gettoni e punti sono utili perché permettono al rinforzato di accedere a una vasta

gamma di rinforzi tangibili. In questo modo viene meno il problema della personalizzazione

dei rinforzi. I soldi spesso non sono però utili in quanto non possono essere dati sul posto e

le persone le usano spesso per acquistare cose che devono acquistare e non cose che

vorrebbero acquistare.

4.6 Punizioni ed estinzioni

A fianco dei rinforzi, che hanno come scopo quello di aumentare la probabilità di svolgimento di

un comportamento, abbiamo punizioni ed estinzioni, che vanno a diminuirle. Come detto, si

dividono in due classi:

• PUNIZIONI (P+): OTTENERE QUALCOSA CHE NON SI VUOLE

• ESTINZIONE (P-): NON OTTENERE QUELLO CHE SI VUOLE

Le punizioni sono da utilizzare quando il comportamento posto in essere sia pericoloso per

l’operatore, la collettività o la reputazione aziendale. Nel caso in cui il comportamento sia solo

fastidioso o improduttivo andrà messa in atto l’estinzione.

La principale controindicazione delle punizioni e dell’estinzione sta nel fatto che eliminando un

comportamento scorretto non si ha la certezza che esso sarà sostituito da uno corretto. Inoltre

utilizzandole si viene a creare un ambiente di lavoro poco collaborativo, nel quale le persone

46

provano a non farsi cogliere sul fatto mentre compiono atti pericolosi piuttosto che smettere di

compierli.

Nel caso in cui si presentasse un comportamento scorretto bisognerà mettere in atto la procedura

di correzione tramite rinforzo differenziale, rinforzando i comportamenti corretti e punendo o

ignorando quelli scorretti.

4.7 Quale meccanismo di attribuzione conseguenze va utilizzato?

I rinforzi sono certamente i metodi migliori per ottenere un comportamento. I rinforzi positivi, in

particolare, sono i più efficaci, in quanto l’operatore svolgerà performance eccellenti di sua

sponte, senza che lo si debba incoraggiare.

Grafico 7: schemi di rinforzo BBS

4.8 Analisi ABC

Prima di fornire conseguenze è assolutamente necessario svolgere un’analisi ABC, ovvero un

processo strutturato nel quale antecedenti, comportamenti e conseguenze sono accuratamente

identificati e classificati.

Per eseguire un’analisi ABC si compila una tabella ABC, partendo dal comportamento e definendo

antecedenti e conseguenze dello stesso.

Vediamo un esempio di analisi ABC: il comportamento oggetto dell’analisi è “gli operatori non

indossano gli occhiali di sicurezza quando usano il macchinario”. Diversi cartelli sono stati messi in

reparto per ricordare l’obbligo, che è stato sottolineato nei corsi di formazione aziendale. Le

conseguenze possono essere scritte chiedendo alle persone che svolgono il comportamento o

mettendosi nei loro panni.

47

Tabella 3: esempio di analisi ABC

Analisi ABC

Comportamento problematico: gli operatori non indossano gli occhiali di sicurezza quando usano

il macchinario

Antecedenti Conseguenze P/N I/F C/U

Ha lasciato gli occhiali da qualche parte Vede meglio senza P I C

Vede che gli altri operatori non li

indossano

Più comfort P I C

Causano problemi Non deve ricordarsi dove li

mette

P I C

Pensa di non essere scoperto Potrebbe infortunarsi N I U

Possibile rimprovero da

parte del manager

N I U

Possibili sanzioni

disciplinari

N F U

Dopo aver descritto antecedenti e conseguenze occorrerà poi identificare la tipologia di queste

ultime, seguendo tre parametri:

• P/N (Positiva - Negativa): determina se la conseguenza è positiva o negativa dal punto di

vista dell’operatore e NON dell’organizzazione

• I/F (Immediata - Futura): determina se la conseguenza avviene mentre il comportamento

sta avvenendo o nel futuro

• C/U (Certa – Incerta): determina se la conseguenza sia certa o incerta

Le conseguenze migliori dal punto di vista della BBS sono quelle PIC: Positive, Immediate e Certe,

mentre le conseguenze future e incerte sortiranno effetti quasi insignificanti sul comportamento.

Usando l’analisi ABC, dopo avere identificato le conseguenze associate ad ogni comportamento, è

possibile associare delle conseguenze PIC ai comportamenti desiderati, così da aumentare la loro

probabilità di compimento.

4.9 Schemi di rinforzo

Il rinforzo può essere assegnato secondo due schemi: quello di rinforzo continuo e quello di

rinforzo intermittente.

48

Nel primo caso la persona ottiene un rinforzo ogni volta che svolge il comportamento desiderato,

nel secondo caso i rinforzi non sono assegnati in ogni singolo svolgimento. A sua volta il rinforzo

intermittente può essere a ragione fissa (es. viene sempre premiato il terzo comportamento

corretto) o a ragione variabile (la persona non sa quando riceverà il rinforzo).

Tipicamente si tende ad assegnare rinforzi continui nelle prime fasi del programma, passando poi

ad un rinforzo di tipo intermittente, che è in grado di mantenere il comportamento. In questo

modo si libera il management dal compito gravoso di rinforzare ogni singolo comportamento,

evitando anche il fenomeno della sazietà, che avviene quando una persona ha ricevuto troppi

rinforzi e i nuovi rinforzi non fanno più effetto.

Risulta utile ricordare come, all’aumentare della distanza di due rinforzi negli schemi variabili,

l’efficacia dell’assegnazione del rinforzo cala non essendo più questa immediata.

49

Capitolo 5

Evidenze sperimentali e affidabilità dei

modelli di ricerca La sottintesa domanda che guida chi si occupa di ricerca è: “quando e come una evidenza

sperimentale dovrebbe influenzare quello che diciamo o facciamo nel nostro lavoro?”. La risposta

è, o dovrebbe essere, “quando siamo certi che tale evidenza è reale e non è frutto di un errore

nella ricerca”.

Ci sono molte ragioni per le quali un’evidenza osservata possa essere misleading o falsa, la più

importante delle quali è sicuramente il bias, o errore sistematico, della ricerca.

Esistono diverse tipologie di bias; le principali sono:

1. BIAS DA LINGUA STRANIERA

Avviene quando gli autori dello studio non prendono in considerazione un lavoro

precedente perché scritto in una lingua a loro non nota

2. BIAS DA SELEZIONE DEL CAMPIONE

Avviene quando il campione della ricerca è selezionato in maniera errata

3. BIAS DA CURVA DI APPRENDIMENTO

Bias dovuto alla scarsa dimestichezza degli autori con le tecniche utilizzate. È tipico degli

studi più innovativi

4. BIAS DA ERRORE DI MISURA

È causato da dati iniziali errati, che si ripercuotono sul resto della ricerca

5. BIAS DA STATISTICA INAPPROPRIATA

Avviene quando si osservano unità statistiche non corrette, ad esempio applicando allo

stesso lavoratore più dispositivi di protezione e osservando questi ultimi invece che il

lavoratore

6. BIAS DA SIGNIFICATIVITÀ

Avviene quando all’interno dello studio si evidenzia una correlazione statistica che in realtà

al di fuori di questo non è significativa

7. BIAS ECOLOGICO

Avviene quando si applica a singoli individui le conclusioni che si sono rivelate vere per dei

gruppi

8. BIAS DA CRITERIO DI VALUTAZIONE SURROGATO

Il criterio di valutazione surrogato avviene quando si effettua una valutazione di variabili

che dovrebbero essere predittive di eventi importanti che si manifestano più a lungo

termine rispetto a queste variabili. Il bias da criterio di valutazione surrogato avviene

quando queste variabili si rivelano in maniera non perfettamente collegata con l’evento

principale

9. BIAS DA DRAGAGGIO DEI DATI

50

Avviene quando si raccolgono dati relativi a variabili più disparate e si uniscono

successivamente cercando una significatività statistica qualsiasi. Per evitarlo occorre

stabilire un protocollo di ricerca rigoroso.

10. BIAS DA PUBBLICAZIONE

Questo tipo di errore è dovuto al fatto che vengono pubblicati molti più articoli che

convalidano la metodologia oggetto della ricerca piuttosto che quelle che la smentiscono

La presenza di vari bias ci permette di classificare le ricerche a seconda della loro affidabilità,

posizionandoli sui gradini di una scala di affidabilità scientifica.

Come osservabile in figura, il grading system comunemente impiegato conta 10 tipologie di studi

con evidenza scientifica crescente dal basso verso l’alto

Schema 9: gerarchia degli studi

Al primo livello sono posti gli studi con minore evidenza scientifica, nei quali i campioni trattati non

vengono posti a paragone con dei campioni di controllo.

Al secondo livello sono posti gli studi che utilizzano campioni di controllo seguiti nel tempo.

Al terzo livello si trovano gli studi con metodologie strutturate e randomizzate e campioni di

controllo.

5.1 Evidenze sperimentali trovate

In una ricerca precedente, la dott.ssa Laura Carrara ha trovato 22 evidenze sperimentali del

protocollo BBS, tra cui:

• 2 revisioni sistematiche di Studi Controllati e Randomizzati, contenenti rispettivamente 31

e 18 pubblicazioni di Studi Controllati e Randomizzati individuali

• 1 Meta-analisi contenente 13 pubblicazioni di Studi Controllati Randomizzati Individuali

• 1 Dossier contenente i risultati della meta analisi e delle Revisioni sistematiche citate

51

• 2 Studi Randomizzati Controllati Individuali

• 1 Studio Prospettico Controllato

• 1 Case Series

• 11 Case Report

• 3 Expert Opinion

Di contro, la dott.ssa Carrara non è riuscita a trovare evidenze sperimentali di nessuno dei metodi

finora citati, che risultano così deboli dal punto di vista scientifico.

Evidenziamo così un grosso difetto dei metodi tradizionali, ovvero la loro bassa affidabilità

scientifica.

52

Capitolo 6

Analisi delle checklist Andremo ora ad analizzare quelle che sono state e sono le checklist utilizzate in campo

aeronautico.

Tali checklist sono state sviluppate sulla base dell’esperienza diretta degli equipaggi e sulla base di

quelli che sono i modelli di fattore umano precedentemente esposti. In nessuno dei casi che segue

è stato utilizzato un meccanismo di attribuzione conseguenze.

Tale meccanismo è stato poi applicato in tre diversi studi sperimentali, successivamente esposti.

6.1 Note metodologiche

Nelle analisi seguenti richiamerò spesso alcune terminologie specifiche, che vorrei qui descrivere

6.1.1 Challenge e response

Per challenge si intende l’elemento letto sulla checklist, per response la risposta che questo deve avere. Un

singolo challenge può avere più response.

6.1.2 Elementi ambigui Nel suo paper “Cockpit checklist: concept, design and use” Degani e Wiener sconsigliano di

utilizzare termini come “Set”, “Checked” o “Completed”, poiché ambigui e disorientanti.

Considererò dunque come ambigui gli elementi che contengano una risposta di quelle di cui sopra,

se riferite ad un elemento del quale è possibile leggere il valore. Ad esempio se il challenge fosse

Cockpit Door, checked non sarebbe un elemento ambiguo, in quanto la porta dell’abitacolo non ha

un valore settato. Se il challenge fosse invece Flaps, checked sarebbe considerato termine

ambiguo.

6.1.3 Divisione del volo in fasi

Al fine di effettuare alcuni confronti ho diviso le fasi del volo riassunte dalle checklist nelle seguenti

parti:

• Plane preparation

• Taxi-out

• Takeoff/initial climb

• Cruise

• Descend/landing

• Shutdown and secure

Questa divisione è stata effettuata sulla base delle fasi operative di un volo.

6.2 Analisi dei sistemi passati

Andremo ora ad analizzare alcune checklist di velivoli non più in servizio.

53

I velivoli qui analizzati sono caratterizzati da un abitacolo completamente analogico e dalla

presenza dell’ingegnere di volo.

L’ingegnere di volo era un membro dell’equipaggio presente nei velivoli dotati di strumentazione

completamente analogica, e aveva il compito di tenere sotto controllo tutti gli impianti del

velivolo. L’assenza di strumentazione digitale infatti comportava la presenza di un enorme numero

di indicatori e controlli, tanto da rendere il controllo del velivolo impossibile a due persone.

Figura 10: postazione dell'ingegnere di bordo sul velivolo Boeing 747-100

L’ingegnere di volo era posizionato posteriormente ai piloti, in una postazione rivolta a 90 gradi

rispetto alla direzione di volo, ed era integrato con essi per quanto riguarda la gestione delle

procedure delle checklist e le comunicazioni con i controllori di volo. Performava inoltre le

ispezioni esterne del velivolo e ne seguiva da vicino la manutenzione, oltre a eseguire i calcoli

relativi alla quantità di carburante da imbarcare, al centro di gravità e alle velocità di decollo.

La presenza dell’ingegnere di volo è stata via via diminuita dagli anni ’90 ad oggi, per via della

digitalizzazione del cockpit e della sua conseguente semplificazione. I velivoli attuali dispongono

inoltre di programmi atti al controllo degli impianti di bordo e al lancio di allarmi nel caso di

malfunzionamenti: tali programmi sono più affidabili e meno costosi rispetto alla presenza di un

professionista umano, che hanno dunque progressivamente sostituito.

54

L’ultimo velivolo a disporre dell’ingegnere di volo è stato il prototipo del Boeing 767, con un

pannello di strumenti parzialmente digitalizzato; nelle versioni di produzione la postazione non era

già più necessaria.

Non per forza questi i velivoli qui avanti considerati devono essere stati prodotti o ritirati dal

servizio parecchio tempo fa: basta che le loro caratteristiche rientrino in quelle sopra per farli

rientrare in questa categoria. Ne è un esempio il Concorde, costruito dal 1969 e ritirato nel 2003,

ma caratterizzato dalla presenza dell’ingegnere di volo e da una digitalizzazione quasi nulla.

Figura 11: cockpit dell'Aérospatiale/BAC Concorde

Per il presente capitolo sono stati presi in considerazione i seguenti velivoli:

• Canadair CL-44

• Douglas DC-8

• Boeing 747-100

• Boeing 747-200F

• Aérospatiale/BAC Concorde

Purtroppo non mi è stato possibile trovare altre checklist relative ai velivoli di questa tipologia,

poiché esse venivano inserite molto di rado nei manuali di volo e non venivano divulgate dalle

compagnie. Le poche checklist disponibili sono utilizzate come pezzi da museo.

55

Tutte le cinque checklist analizzate provengono da compagnie aeree: tre da Seaboard World

Airlines (CL-44, DC-8, 747-200F), una da Pan Am (747-100) e una da Air France (Concorde).

6.2.1 Canadair CL-44

La checklist è divisa in 10 sezioni, per un totale di 124 challenge e 146 response. La divisione in

sezioni è in linea con le fasi del volo e con la divisione comunemente utilizzata nelle checklist più

recenti. Il numero di challenge per sezione si attesta a 10.3 e quello delle response a 12.16, valori

in linea con le checklist dell’epoca ma non, come vedremo, con le più recenti.

Il flusso di lavoro è spesso interrotto: nella prima sezione sono previsti alcuni elementi da svolgere

dopo che i motori sono stati avviati: questo significa che tali elementi verranno accantonati

mentalmente dall’equipaggio, che dovrà ricordarsi di svolgerli dopo l’accensione dei motori.

Nella seconda sezione, poi, è presente un altro bullet. Tale bullet rimanda a una nota a pié di

pagina, posta nel lato opposto del foglio. Questo provoca uno spaesamento del lettore, con le

conseguenze negative che è facile immaginare, ovvero perdita di tempo e scompaginamento del

flusso di lavoro. Questa nota chiede di verificare che i gear pins siano stati effettivamente rimossi

dal carrello e posti nell’apposito alloggiamento sito in cabina, in maniera tale che il carrello sia

libero di ritrarsi.

Nella seconda e nella terza colonna, nelle sezioni Climb, Approach e Before Landing troviamo degli

elementi che dovevano essere svolti dall’ingegnere di volo.

Per fare in modo che esso potesse svolgerli i piloti dovevano interrompere la propria checklist ed

attendere lo svolgimento, da parte dell’ingegnere, della sua parte.

Abbiamo inoltre visto come uno dei principali vantaggi delle checklist sia quello di assicurare una

certa ridondanza nelle operazioni svolte nell’abitacolo: assegnando all’ingegnere degli elementi di

checklist questa ridondanza, dovuta al controllo incrociato delle operazioni svolto da comandante

e primo ufficiale, viene meno.

Il numero di elementi ambigui (set, checked, completed) è pari a 11, corrispondenti all’8.8% del

totale.

56

Grafico 8: numero elementi ambigui checklist Canadair CL-44

Sono presenti delle chiamate di fine sezione, anche se non riportano quale sezione sarebbe state

terminata: si limitano infatti a riportare “sezione terminata”.

Il testo è scritto tutto in maiuscolo e dei punti separano la chiamata dalla risposta.

6.2.2 Douglas DC-8

La checklist qui analizzata è relativa al Douglas DC-8, velivolo quadrimotore prodotto tra il 1958 e il

1972 e concepito come rivale del Boeing 707, al quale però non ruscì mai a sottrarre consistenti

quote di mercato.

La checklist in oggetto ha 10 sezioni, 131 challenge e 144 response, per una media di 13.1

challenge e 14.4 response per sezione.

Si caratterizza per una lunga sezione BEFORE START (45 challenge), tanto lunga da essere stata

suddivisa in tre sottosezioni, in modo che in caso di interruzioni i piloti potessero interrompere la

checklist e riprenderla in un secondo momento. In questo senso si tratta della prima applicazione

di phase line da me individuata. Altre divisioni sussistono sulle sezioni CLIMB e DESCENT, nelle

quali esistono alcuni controlli da effettuarsi alla quota di 18.000 piedi.

Nonostante il DC-8 imbarcasse l’ingegnere di bordo, della sua presenza non si trova traccia

all’interno della checklist.

Tramite asterisco sono riportati degli elementi da svolgere alle transit station.

La percentuale di elementi ambigui è relativamente elevata (il 23%).

La checklist è realizzata su tre colonne ed è scritta interamente in maiuscolo. Dei punti dividono il

challenge dalla response.

11

113

Numero elementi ambigui

Elementi ambigui

Elementi non ambigui

57

6.2.3 Boeing 747-100

La checklist che andremo ora ad analizzare appartiene ad un Boeing 747-100 utilizzato dalla

compagnia aerea statunitense Pan Am negli anni ’70. In quegli anni la Pan Am fu il cliente di lancio

del 747, acquistandone un totale di 72 esemplari.

Figura 12: Boeing 747-100 Pan Am

Questa checklist è particolarmente interessante per via della singolare integrazione dell’ingegnere

di volo nelle procedure del cockpit.

La checklist era divisa in due macrosezioni, Departure e Arrival, a loro volta divise in 12 sezioni, per

un totale di 98 challenge e 114 response. La media è di 8.16 challenge e 9.5 response per sezione.

Sono stati contati 19 elementi ambigui, pari al 17.43% del totale.

È presente la call di fine checklist, specificante anche il nome della sezione appena terminata.

La particolarità di questa checklist sta nell’integrazione del lavoro dell’ingegnere di volo nelle

procedure: osserviamo infatti che nella macrosezione Departure la checklist dell’ingegnere non è

esplicitata, ed è essa stessa un elemento della checklist. Nella macrosezione Arrival, invece, la

checklist dell’ingegnere è esplicitamente citata. La checklist dell’ingegnere costituisce le intere

sezioni After Landing e Terminal.

Questo approccio rispecchia la divisione del lavoro nell’equipaggio del 747-100: nelle fasi

precedenti al decollo, infatti, l’ingegnere poteva lavorare in parallelo agli altri elementi

dell’equipaggio. Questo rendeva possibile lo svolgimento delle checklist in maniera indipendente,

con un semplice controllo finale. Nelle fasi di approccio, invece, il lavoro dell’ingegnere diventava

pienamente integrato con quello degli altri due membri dell’equipaggio. È possibile che questa

58

scelta fosse dettata dalla criticità delle fasi di avvicinamento e atterraggio, che rendevano

necessaria la collaborazione stretta dei tre membri dell’equipaggio. Ad ogni modo queste scelte

non sembrano complicare eccessivamente il flusso di lavoro, che risulta chiaro e lineare in ogni sua

parte.

In fase di atterraggio l’ingegnere si occupava di controllare l’impianto di condizionamento e

pressurizzazione, le luci, il carburante e di attivare i segnali luminosi in cabina passeggeri, mentre

in fase di atterraggio preparava l’APU ad entrare in funzione e controllava il funzionamento

dell’antiskid.

L’ultima sezione della checklist, ovvero la sezione Terminal, andava svolta solo qualora il velivolo si

fosse trovato in una stazione in cui non era presente la manutenzione Pan Am.

La checklist era scritta in minuscolo; il maiuscolo era utilizzato solo per le sigle o per le response

diverse da declare. Challenge e response sono divisi da punti. Non sono presenti phase line.

6.2.4 Boeing 747-200F

La checklist qui analizzata appartiene a un velivolo cargo, il 747-200F in forza a Seaboard World

Airlines. Nello stesso modo del 747-100, anche questo velivolo imbarcava l’ingegnere di bordo.

La checklist è però fondamentalmente diversa: così come nel caso del DC-8 l’ingegnere di volo non

è mai chiaramente menzionato.

Il fatto che su tre checklist Seaboard analizzate due non menzionino l’ingegnere di bordo mi fa

pensare che sia una prassi relativa alla compagnia, che utilizzava l’ingegnere in compiti diversi da

quelli monitorati nelle checklist. Purtroppo mi è risultato impossibile accedere alle procedure della

compagnia e non mi è stato possibile verificare questa ipotesi.

La checklist è composta da 11 sezioni, 127 challenge e 142 response, con una media di 11.54

challenge e 12.9 response per sezione. Sono presenti delle sotto-sezioni da svolgersi, in fase di

salita e di discesa, a 18.000 piedi.

La formattazione è la stessa delle precedenti checklist dei velivoli Seaboard, ovvero il DC-8 e il CL-

44.

6.2.5 Aérospatiale/BAC Concorde

Il Concorde è uno dei velivoli più iconici della storia dell’aviazione: è stato il primo ed unico

velivolo civile a operare regolarmente oltre la barriera del suono, e riportava alcune soluzioni

tecniche innovative, a partire dalla tipica ala a delta. Proprio l’ala a delta necessitava, nelle fasi di

decollo e atterraggio, di elevati angoli d’attacco, rendendo così necessario adottare, per garantire

ai piloti la giusta visibilità durante tutte le fasi del volo, una soluzione a muso abbassabile di 5

gradi.

59

Figura 13: il Concorde in configurazione di atterraggio e di crociera

Queste caratteristiche rendevano il Concorde un velivolo estremamente complesso e, unite con la

scarsa digitalizzazione dell’epoca –il Concorde è stato sviluppato negli anni ’70-, hanno reso la

cabina di pilotaggio dell’aereo anglo-francese estremamente complessa, tanto da richiedere un

ingegnere di volo fortemente integrato con i piloti in tutte le fasi del volo.

La checklist da me analizzata risale al 2003, anno di ritiro del Concorde, e tiene dunque conto delle

raccomandazioni presenti nelle ricerche precedenti, che costituiscono la stragrande maggioranza

della letteratura disponibile a riguardo.

La checklist del Concorde è divisa in 17 sezioni, e comprende sia le fasi di accelerazione che quelle

di decelerazione. Questo perché, viaggiando a Mach 1.95 e dunque oltre il numero di Mach critico,

insorgevano problemi legati alla posizione del centro di pressione sull’ala, che andavano risolti

rivedendo il centraggio del velivolo tramite trasferimento di carburante tra serbatoi.

Questo trasferimento non poteva ovviamente essere istantaneo, dunque al raggiungimento di un

determinato numero di Mach una determinata percentuale di ribilanciamento doveva essere

completata.

Gli stessi numeri di Mach usati per controllare il centraggio venivano poi usati come riferimento

per effettuare altre operazioni, come ad esempio la regolazione dell’inclinazione degli ugelli e il

riscaldamento dei tubi di Pitot.

La checklist è composta da 212 challenge e 247 response, con una media di 12.4 challenge e 14.5

response per sezione. Tali medie sono solo indicative, in quanto il numero reale di challenge per

sezione è variabile da 1 a 34 e quello di response varia tra 1 e 40.

Accanto al titolo di ogni sezione la checklist indica chi la dovrà iniziare:

• PF per Pilot Flying

• PNF per Pilot not Flying

• M per Mainteneur (nome francese dell’ingegnere di volo)

• CPM per Copilot Monitoring

Ogni elemento riporta poi alla sua sinistra quale dei tre membri dell’equipaggio dovrà svolgerlo.

60

All’ingegnere di volo sono stati riservati compiti di monitoraggio degli impianti che non hanno

impatto immediato sul volo e che, ovviamente, sono presenti alla sua postazione.

Sono stati contati 22 elementi ambigui, pari al 10.3% del totale.

Il testo è scritto in due maniere diverse a seconda che si tratti del challenge o della risposta: il

primo è scritto in minuscolo, con l’eccezione delle parole che sono state evidenziate, che sono

scritte in maiuscolo, la seconda è scritta sempre in maiuscolo.

In un caso è stato inserita, tramite asterisco, una sostituzione, da effettuarsi in caso di decollo

senza riscaldamento del postbruciatore.

Sono state inserite, nella parte sinistra della checklist, delle linee (phase line) per indicare dove

questa si può interrompere in attesa degli avvenimenti successivi: sappiamo infatti che i piloti

utilizzano spesso gli avvenimenti esterni per iniziare delle sezioni di checklist, e che spesso

tendano a dividere le sezioni in più sottosezioni. Questi riferimenti aiutano a interrompere in punti

segnalati, che difficilmente saranno dimenticati, e in momenti in cui il flusso di lavoro non ne sarà

particolarmente inficiato.

6.2.6 Osservazioni

Nel loro paper “Cockpit Checklists: Concepts, Design, and Use” Degani e Wiener sottolineavano

come i velivoli antiquati avessero lunghe liste di elementi nella sezione Before Start delle checklist.

Questa eccessiva lunghezza era dovuta alla complessità insita nell’utilizzo di un velivolo

completamene analogico e comportava un elevato rischio di errore.

Sotto il numero di elementi contati per ognuno dei velivoli:

Grafico 9: numero di challenge sezione Before Start

28

45

34 35

48

0

10

20

30

40

50

60

CL-44 DC-8 747-100 747-200F Concorde

Numero di pre-start challenge Media

61

Notiamo come il numero di challenge relativi alle sezioni di avviamento sia particolarmente

elevato nel caso del Concorde: questo numero così elevato è giustificato dalla complessità del

velivolo. Per il resto osserviamo come i velivoli più recenti tendano ad avere numeri di challenge

più bassi. Fa eccezione il CL-44, ma tale eccezione è spiegabile con il fatto che esso sia un velivolo

ad elica e richieda procedure meno complesse rispetto ai velivoli a reazione.

Il trend di presenza degli indicatori ambigui, eccetto che per il CL-44, è in discesa con il passare

degli anni.

La minore presenza di elementi ambigui nella checklist del CL-44 si può spiegare con l’elevata

presenza di challenge con lettura singola (ON, OFF) piuttosto che lettura di indicatori di valore.

6.2.7 Grafici riassuntivi

Grafico 10: numero sezioni per checklist

10 10

1211

17

0

2

4

6

8

10

12

14

16

18

CL-44 DC-8 747-100 747-200F Concorde

Numero sezioni Media

62

Grafico 11: numero challenge e response per checklist

Grafico 12: percentuale elementi ambigui

124 131

98

127

212

146 144

114

142

247

0

50

100

150

200

250

300

CL-44 DC-8 747-100 747-200F Concorde

Numero challenge e response per checklist

Numero challenge Numero response

8,8

23

19,4320,4

10,3

0

5

10

15

20

25

CL-44 DC-8 747-100 747-200F Concorde

Percentuale elementi ambigui Media

63

Grafico 13: media challenge e response per checklist

10,3

13,1

8,16

11,512,412,16

14,4

9,5

12,9

14,5

0

2

4

6

8

10

12

14

16

CL-44 DC-8 747-100 747-200F Concorde

Media challenge e response per checklist

Media challenge per sezione Media response per sezione

64

6.3 Analisi dei sistemi attuali

In questo capitolo andrò ad analizzare le checklist attuali raccomandate dai produttori degli

aeromobili o utilizzate dalle compagnie aeree.

Le checklist da me analizzate provengono dai Flight Crew Operations Manual (FCOM) dei rispettivi

velivoli o dalle procedure operative delle compagnie aeree che li utilizzano.

Nel mondo dell’aviazione civili non è raro che una compagnia aerea decida di utilizzare la

procedura raccomandata dal costruttore del velivolo: ogni modifica deve essere infatti approvata

dall’FAA, con conseguente dispendio di tempo e di denaro.

Nel mio lavoro ho considerato le seguenti checklist:

• Douglas DC-9

• McDonnel-Douglas MD80

• Boeing 737-300

• Avions de Trasport Régional ATR 42

• Airbus A320

• Avions de Trasport Régional ATR 72

• Boeing 747-400

• McDonnel-Douglas MD11

• Bombardier CRJ200

• Airbus A340

• Boeing 777-200

• Boeing 777-300

• Boeing 737 NG

• Embraer EMB 145

• Embraer E-190

• Boeing 787-800

Tranne gli ATR, che sono turboprop, tutte le checklist considerate sono relative a velivoli dotati di

motore turbofan. Sono stati considerati modelli con due, tre e quattro motori. La variabilità nel

numero di motori non inficia in maniera rilevabile la struttura o la complessità delle checklist. È

inoltre presente un velivolo cargo, il 777-200. Anche in questo caso la sua caratteristica non

influenza la composizione della checklist.

Analogamente a quanto comunemente utilizzato per gli aerei militari ho deciso di dividere i velivoli

in quattro generazioni sulla base della tecnologia implementata e dell’anno di entrata in servizio. I

velivoli appartenenti alla classe “Old glories” dispongono di sistemi di sicurezza primitivi e non

progettati secondo alcun metodo presentato. La strumentazione di volo è rudimentale e

completamente analogica. I velivoli della classe “Classic” utilizzano cockpit parzialmente elettronici

(dispongono ad esempio di computer di bordo) e implementano sistemi di sicurezza progettati in

65

maniera specifica. La classe “Advanced” dispone di tecnologie avanzate come il glass cockpit, e

utilizza checklist progettate per lo specifico utilizzo secondo sistemi scientifici. La classe “Next

gen”, infine, comprende velivoli dotati di tecnologie molto avanzate come l’head-up display,

interfacce user-friendly e display touch screen. La loro tecnologia e i loro sistemi di sicurezza

possono essere considerati come l’attuale stato dell’arte.

Boeing Airbus Altro brand

“Old glories” DC-9

“Classic” 737-300

747-400

ATR 42

ATR 72

“Advanced” 777-200

737 NG

A320

A340

ERJ 145

E170

MD11

CRJ200

EMB 145

“Next gen” 787-800

777-300

E-190

La divisione funzionale sopra è necessaria per poter seguire sia l’evoluzione temporale delle

checklist all’interno dello stesso costruttore sia un paragone tra le checklist appartenenti alla

stessa generazione.

Purtroppo non è stato possibile raccogliere molti dati per i velivoli appartenenti alle classi “Old

glories” e “Next gen”: nel primo caso questo è dovuto a una scarsa disponibilità delle checklist,

oramai utilizzate come pezzi da museo, mentre nel secondo caso queste sono oramai integrate nel

sistema elettronico del velivolo e non sono più diffuse dai costruttori.

Per quanto riguarda il Boeing 747-400 mi è stato possibile recuperare due checklist: quella del

produttore e quella di una compagnia aerea europea, che denominerò compagnia A. Stessa cosa

per il 777-200, del quale ho recuperato le procedure di due compagnie, che denominerò

compagnia B e compagnia C Procederò dunque ad analizzarle separatamente.

Per quanto riguarda l’A320 sono riuscito a recuperare la checklist utilizzata sui velivoli della

compagnia EasyJet, che però è immutata rispetto a quella del produttore e non verrà considerata.

66

In tutti i casi da me indagati la checklist segue la filosofia challenge-response: ne deduco che la

filosofia to-do list sia caduta in disuso anni fa.

Tutte le checklist analizzate, con l’eccezione di quella del Boeing 787-800 e del Boeing 777-300,

sono cartacee.

Per dividere gli aeromobili in classi e studiare l’evoluzione temporale delle checklist ho utilizzato

due parametri: l’anno di entrata in servizio dell’aeromobile e l’anno di scrittura della checklist

analizzata. Il primo parametro è stato funzionale alla divisione in classi, mentre il secondo verrà

utilizzato per stabilire la correlazione tra la presenza di un determinato parametro e l’anno di

scrittura della checklist, in modo da evidenziare trend temporali.

Velivolo Anno di entrata in

servizio

Anno di scrittura CL

analizzata

Compagnia/produttore

DC-9 1965 1965 Compagnia

MD80 1980 1998 Produttore

737-300 1984 1984 Produttore

ATR 42 1985 2001 Compagnia

A320 1988 1988 Produttore

ATR 72 1989 2014 Compagnia

747-400 1989 1989 Produttore

747-400 compagnia A 1989 2010 Compagnia

MD11 1990 1990 Compagnia

CRJ 200 1992 2008 Produttore

A340 1993 1993 Produttore

777-200 compagnia B 1995 2002 Compagnia

777-200 compagnia C 1995 2006 Compagnia

737 NG 1998 2016 Compagnia

777-300 1998 2015 Produttore

EMB 145 1999 2001 Produttore

E-190 2005 2005 Produttore

67

787-800 2011 2017 Compagnia

Delle 18 checklist analizzate, 9 provenivano dalle procedure operative di compagnie aeree e 9 dai

manuali di volo forniti dal produttore.

6.4 Correlazioni Per correlare due dati verrà da qui utilizzato il coefficiente di Pearson.

Tale coefficiente permette di determinare la correlazione tra due serie di dati, qui chiamate X e Y,

e può andare da -1 –correlazione inversa perfetta- a +1 –correlazione diretta perfetta. Tipicamente

due variabili si considerano non correlate se il valore assoluto del coefficiente di Pearson è

inferiore a 0.3, debolmente correlate se è compreso tra 0.3 e 0.7 e fortemente correlate se è

superiore a 0.7.

Il coefficiente di Pearson è definito nel modo seguente:

𝜌𝑋𝑌 =𝜎𝑋𝑌

𝜎𝑋𝜎𝑌

Dove con σx e σY si definisce la deviazione standard delle due serie X e Y e con σXY la covarianza

delle due serie.

Questo coefficiente permette di avere un valore di correlazione istantaneo.

6.5 Parametri redazionali Inizieremo con l’indagare i parametri redazionali delle checklist. Si definiscono parametri

redazionali quelli che riguardano la formattazione della checklist. I parametri redazionali

assumono notevole importanza in quanto il layout della pagina è la prima cosa che il lettore nota

una volta presa in mano la checklist. I messaggi sono più efficienti se consegnati tramite un layout

facilmente comprensibile dal lettore.

6.5.1 Numero di colonne

Alcune ricerche suggeriscono che messaggi complessi dovrebbero essere trasmessi tramite un

testo formattato in una sola colonna. Nonostante questo la maggior parte delle checklist

analizzate sono formattate con un testo a due colonne. L’ATR 72 adotta un formato orizzontale

con il testo su tre colonne, mentre il Boeing 737-300, il 747 compagnia A, l’MD11, l’Embraer 190, il

Boeing 777-300 e il Boeing 787-800 utilizzano la formattazione a una sola colonna.

La diffusione del testo su due colonne è probabilmente dovuta alla necessità di comprimere la

checklist sul minor numero di fogli possibile, in modo da ridurre la quantità di documenti nel

cockpit, con tutti i vantaggi che questo può comportare in fase di pilotaggio.

Non è stata riscontrata alcuna relazione tra il numero di colonne e la provenienza della checklist,

né con l’età di quest’ultima.

68

Grafico 14: numero colonne checklist

6.5.2 Tipo di divisione tra sezioni

La divisione tra sezioni è essenziale, in quanto permette di passare mentalmente da una sezione

all’altra. Questa divisione può essere effettuata in due modi:

• DIVISIONE IN RIQUADRI: rappresenta il modo più diffuso per dividere le sezioni. Le sezioni

vengono racchiuse in riquadri, il cui titolo può essere posto in varia maniera. Questa

divisione è presente in 6 checklist di quelle da me analizzate

• DIVISIONE TRAMITE TITOLO: questa divisione è più comune, essendo presente nelle 11

checklist restanti, e prevede che le sezioni siano divise soltanto da un titolo, tipicamente

colorato e racchiuso in un riquadro.

La checklist del Boeing 787-800 è quella del Boeing 777-300 sono elettroniche e non necessitano

pertanto di divisione tra le sezioni. Il pilota seleziona tramite interfaccia la sezione da eseguire. Sul

display di interfaccia comparirà dunque solo la sezione selezionata.

6.5.3 Formattazione del testo

Il testo risulta essere sempre scritto con font molto semplici, senza alcun elemento a rendere più

complessa la lettura. L’unica differenza rilevata sta nell’uso del maiuscolo. Questo infatti può

essere usato in due modi: per la scrittura regolare o per evidenziare parole importanti.

I due casi sono equidistribuiti (entrambi 9 checklist su 18). La prima filosofia prevede di scrivere in

maiuscolo l’intero challenge, la seconda prevede di scrivere in maiuscolo solo le sigle o le parole

più importanti, lasciando il resto in minuscolo.

6.5.4 Divisione tra challenge e response

In tutte le checklist analizzate, ad eccezione di quella del 777-200 della compagnia C e della

seconda parte di quella del 737 NG, challenge e response sono divisi da una serie di puntini. Nei

6

11

1

Numero colonne

1 colonna 2 colonne 3 colonne

69

due casi sopra, invece, la divisione è effettuata colorando le diverse righe di colori alternativi:

questo fornisce all’occhio una divisione sulla linea.

6.6 Parametri formali Andremo ora a indagare i parametri formali delle checklist prese in esame. I parametri formali

vanno a indagare come la checklist è stata scritta e non puntano a comprendere cosa questa

permette di fare.

6.6.1 Numero di challenge e di response

Il numero di challenge e di response contenuti nella checklist varia nella maniera seguente:

Velivolo Numero di challenge Numero response

DC-9 48 70

MD80 80 132

737-300 80 96

ATR 42 79 86

A320 54 55

ATR 72 90 95

747-400 159 198

747-400 compagnia A 43 48

MD11 61 68

CRJ 200 155 170

A340 54 55

777-200 compagnia B 76 99

777-200 compagnia C 64 75

737 NG 108 111

EMB 145 144 150

E-190 58 61

787-800 39 44

777-300 41 47

70

Il numero di challenge non risulta correlato con l’età della checklist, avendo un coefficiente di

Pearson pari a -0.08. Stessa cosa con il numero di response, che ha coefficiente di Pearson pari a

0.05.

Le checklist delle compagnie aeree hanno una media di 66.4 challenge e 96.8 response, contro i

94.6 challenge e 114.6 response delle checklist dei produttori.

Grafico 15: numero challenge checklist

39 41 43 48 54 54 58 61 6476 79 80

90 92

111127

144155 159

0

20

40

60

80

100

120

140

160

180

Numero challenge checklist

Numero challenge checklist Media

71

Grafico 16: numero response checklist

Grafico 17: rapporto tra response e challenge

46 47 48 55 55 61 68 70 75 86 95 96 99 111132

150170

198

0

50

100

150

200

250

Numero response checklist

Numero response checklsit Media

1,02 1,02 1,04 1,05 1,06 1,10 1,10 1,11 1,12 1,14 1,15 1,15 1,17 1,21 1,25 1,301,46

1,67

0

0,2

0,4

0,6

0,8

1

1,2

1,4

1,6

1,8

Rapporto tra response e challenge

Rapporto challenge-response Media

72

Numero di

challenge

Numero di

response

Rapporto response/challenge

Plane

preparation

574 676 1.17

Taxi-out 93 131 1.41

Takeoff/initial

climb

196 236 1.20

Cruise 3 3 1

Descend/landing 260 306 1.18

Shutdown and

secure

299 319 1.07

6.6.2 Numero di sezioni

Il numero di sezioni identifica il numero di divisioni presenti nella checklist. Ogni sezione

rappresenta una specifica fase del volo

Velivolo Numero di sezioni

DC-9 7

MD80 12

737-300 7

ATR 42 11

A320 9

ATR 72 11

747-400 18

747-400 compagnia A 15

MD11 9

CRJ 200 15

A340 9

777-200 compagnia B 10

73

777-200 compagnia C 11

737 NG 8

EMB 145 15

E-190 10

787-800 10

777-300 9

In questo caso il coefficiente di Pearson, pari a -0.25, indica che ci potrebbe essere una debole

correlazione tra età della checklist e numero di sezioni: checklist più recenti tendono ad avere

meno sezioni.

Grafico 18: numero di sezioni

Una correlazione molto più elevata e intuitiva è quella tra il numero di sezioni e il numero di

elementi: in questo caso il coefficiente di Pearson è pari a 0.66.

7 78

9 9 9 910 10 10

11 11 11

13

15 15 15

18

0

2

4

6

8

10

12

14

16

18

20

Numero di sezioni Media

74

Grafico 19: numero di sezioni vs numero di items

Non esiste correlazione nemmeno tra il numero di elementi e il numero di motori del velivolo (-

0.01), mentre esiste una debole correlazione, data da un coefficiente di Pearson pari a 0.35, tra il

numero di sezioni e il numero di motori.

Le checklist delle compagnie aeree hanno una media di 10.3 sezioni, contro le 11.6 delle checklist

dei produttori.

6.6.3 Presenza di termini ambigui

La percentuale di elementi ambigui presenti nelle checklist è la seguente:

Velivolo Percentuale elementi ambigui

DC-9 18.75%

MD80 26.13%

737-300 18.75%

ATR 42 26.58%

A320 5.56%

ATR 72 20.00%

75

747-400 16.98%

747-400 compagnia A 11.63%

MD11 13.11%

CRJ 200 23.87%

A340 5.56%

777-200 compagnia C 13.16%

777-300 compagnia B 8.70%

737 NG 3.70%

EMB 145 24.31%

E-190 43.10%

787-800 0%

777-300 2.44%

L’utilizzo del solito indicatore statistico di Pearson suggerirebbe che non ci sia una relazione diretta

tra l’età della scrittura della checklist e il numero di elementi ambigui (coefficiente di 0.15).

Analizzando i velivoli brand per brand, però, si nota come alcuni di questi abbiano compiuto

notevoli passi avanti nella riduzione degli elementi ambigui.

I velivoli Boeing sembrerebbero, in particolare, avere svolto notevoli passi avanti da questo punto

di vista.

I velivoli Airbus, invece, si sono mantenuti costanti al 5.5% di elementi ambigui. Le percentuali di

elementi ambigui sulle checklist del 340 e del 320 sono identiche in quanto le che checklist

differiscono solo per dei particolari. Gli aerei Airbus sono infatti caratterizzati da una forte

standardizzazione, tanto che il type rating di alcuni velivoli (ad esempio A300/A330,

A319/A320/A321) viene accorpato.

Ottimi progressi sono stati compiuti da McDonnel Douglas e ATR, mentre Embraer non sembra

aver effettuato alcun intervento per la riduzione degli elementi ambigui.

In media le checklist scritte dal produttore hanno più elementi ambigui (media del 20.5%) di quelle

scritte dalle compagnie aeree (media del 12.9%).

76

Grafico 20: % elementi ambigui checklist compagnia aerea e produttore

Grafico 21: andamento temporale percentuale elementi ambigui

6.6.4 Lettura valori

Al fine di ridurre l’ambiguità derivante da alcuni elementi critici si introduce spesso la possibilità di

leggere il valore della variabile appena controllata. Questa lettura comporta che tale valore venga

12,9

18,5

0

2

4

6

8

10

12

14

16

18

20

Compagnia aerea Produttore

% elementi ambigui

% elementi ambigui

0

5

10

15

20

25

30

35

40

45

Andamento temporale percentuale elementi ambigui

Boeing Airbus Embraer McDonnel Douglas ATR Bombardier

77

reso noto a entrambi i membri dell’equipaggio, in maniera tale che la probabilità di errori di

lettura si riduca al minimo.

Questa possibilità è presente in 16 checklist su 18.

Velivolo Lettura valori presente Lettura valori non presente

DC-9 X

MD80 X

737-300 X

ATR 42 X

A320 X

ATR 72 X

747-400 X

747-400 compagnia A X

MD11 X

CRJ 200 X

A340 X

777-200 compagnia B X

777-200 compagnia C X

737 NG X

EMB 145 X

E-190 X

787-800 X

777-300 X

Si nota come tale lettura non sia presente sui velivoli ATR: questo mi fa pensare che non sia una

consuetudine adottata dal costruttore.

Gli elementi su cui è più facile trovare la lettura sono:

78

1. Estensione dei flap in decollo e in atterraggio, presenti nel 77% delle checklist con lettura

analizzate;

2. Impostazioni di trimmaggio, presenti nel 77% delle checklist con lettura analizzate;

3. Quantità di carburante imbarcato, presente nel 69% delle checklist con lettura analizzate;

4. Stato degli altimetri o dei barometri ad essi collegati, presente nel 69% delle checklist con

lettura analizzate;

5. Velocità di decollo, presente nel 23% delle checklist con lettura analizzate (principalmente

nei velivoli Airbus).

6.6.5 Presenza dei ruoli di svolgimento

Alcune checklist si caratterizzano dall’indicazione del membro dell’equipaggio che dovrà svolgere

l’elemento.

Di seguito i velivoli che riportano i ruoli di svolgimento:

Velivolo

MD11

747-400

747-400 compagnia A

CRJ 200

MD80

777-200 compagnia C

77-300

In totale quattro checklist lo riportano, di cui tre di una compagnia aerea (MD11, 747-400

compagnia A e 777-200 compagnia C) e quattro dei produttori (747-400, CRJ 200, MD80, 777-300).

La checklist dell’MD11 e del 747-400 compagnia A riportano, a destra di ogni elemento, un

numero o una sigla relativa a chi dovrà svolgere l’elemento. Numeri e sigle presenti sono i

seguenti:

Sigla Significato

1 Comandante

2 Primo Ufficiale

B Entrambi (Both)

1/2 Uno qualsiasi dei due piloti

79

PNF Pilot Not Flying

Il sistema ha il difetto di riportare questa divisione a destra dell’elemento: l’operatore tenderà

dunque a leggere prima l’elemento e poi il membro dell’equipaggio a cui è assegnato.

Essendo questo sistema comune a entrambe le checklist Compagnia A da me trovate, ne deduco

che sia comune a tutta la compagnia.

Un’altra checklist a condividere questo approccio formale è quella del CRJ 200: in questo caso le

sigle sono molto più intuitive:

Sigla Significato

PLT Pilot

CPLT Copilot

BOTH Entrambi

PNF Pilot Not Flying

Delle checklist che invece non condividono tale approccio sono quelle del 747-400, dell’MD80, del

777-200 Compagnia C e del 777-300.

La prima delle due riporta gli esecutori in testa alla sezione, riportandone i nomi per intero e non

utilizzando sigle.

La seconda, invece, ha un doppio approccio: da un lato riporta gli esecutori in testa all’elemento,

come nel caso precedente. Dall’altro riporta, nel caso in cui questo fosse richiesto, gli elementi che

dovranno essere svolti da comandante e primo ufficiale in maniera congiunta.

La terza riporta all’inizio della riga chi dovrà svolgere l’elemento, dividendoli in:

Sigla Significato

C Captain

FO First Officer

PF Pilot Flying

PM Pilot Monitoring

La quarta utilizza le stesse sigle ma riporta l’esecutore al termine della riga. Viene aggiunta la

possibilità per i piloti di eseguire un elemento congiuntamente.

80

Grafico 22: presenza ruoli svolgimento

Grafico 23: origine checklist con ruoli svolgimento

6.6.6 Presenza di numerazione

Numerare gli elementi di una checklist può aiutare i piloti ad orientarsi nella stessa e a riprendere

le operazioni in caso di interruzioni. Nonostante ciò e nonostante essa sia esplicitamente

consigliata da Degani e Wiener, nessuna checklist di quelle analizzate è risultata essere numerata.

6.6.7 Presenza di interruzioni programmate

Alcune checklist prevedono la presenza di phase line, ovvero di linee indicanti che l’equipaggio

potrebbe ritardare l’esecuzione della procedura in quel punto. Questo avviene per garantire un

11

7

Presenza ruoli svolgimento

Non presente

Presente

3

4

Origine checklist con ruoli di svolgimento

Compagnia aerea

Produttore

81

migliore “cadenzamento” della checklsit. Il membro dell’equipaggio che sta svolgendo la checklist

è responsabile per la sua ripresa al momento giusto.

I velivoli che presentano la phase line sono i seguenti:

Velivolo

737-300

CRJ 200

737 NG

EMB 145

E-190

747-400 Compagnia A

Grafico 24: presenza phase line

6

12

Presenza phase line

Presenti

Non presenti

82

Grafico 25: provenienza checklist con phase line

6.6.8 Presenza di sotto-sezioni

Un parametro simile a quello precedentemente discusso è rappresentato dalla presenza di sotto-

sezioni.

Queste sotto-sezioni vanno a spezzare la sezione in due o più parti, legando il loro svolgimento

all’avvenimento di eventi esterni, come ad esempio il ricevimento del permesso di rullaggio.

Sono presenti nei seguenti velivoli:

Velivolo Sotto-sezioni presenti Sotto-sezioni non presenti

DC-9 X

MD80 X

737-300 X

ATR 42 X

A320 X

ATR 72 X

747-400 X

747-400 compagnia A X

MD11 X

2

4

Provenienza checklist con phase line

Compagnia

Costruttore

83

CRJ 200 X

A340 X

777-200 compagnia B X

777-300 compagnia C X

737 NG X

EMB 145 X

E-190 X

787-800 X

777-300 X

Grafico 26: presenza sotto-sezioni

7

11

Presenza sotto-sezioni

Presente

Non presente

84

Grafico 27: provenienza checklist con sotto-sezioni

6.6.9 Silent checklist

In alcuni casi si osserva la presenza delle cosiddette silent checklist, ovvero le checklist svolte in

maniera autonoma da un membro dell’equipaggio, senza che la normale procedura di challenge-

reponse venga applicata.

Non è un fenomeno particolarmente diffuso, in quanto fa venire meno il cross checking degli

elementi, diminuendo l’affidabilità della checklist.

La silent checklist è stata da me individuata nelle checklist dell’MD80 e del CRJ 200. In entrambi i

casi si tratta di checklist scritte dal produttore del velivolo: questo mi porta a pensare che sia una

procedura non utilizzata nelle normali operazioni aeree.

6.6.10 Presenza elementi Through Flights

Nell’aviazione si definiscono through flights tutti i voli i quali effettuano uno scalo tra la partenza e

la destinazione finale.

Durante lo scalo non è necessario svolgere tutta la checklist in quanto alcuni elementi rimangono

impostati in maniera corretta dal volo precedente: in questo caso è possibile svolgere una

checklist ridotta, denominata through flight checklist.

Gli elementi da svolgere in questa checklist sono contrassegnati da un asterisco o da un altro

segnale (rombo, quadrato…) posto prima della riga dell’elemento.

Le checklist nelle quali questa pratica è presente sono le seguenti:

2

5

Provenienza checklist con sotto-sezioni

Compagnia aerea

Produttore

85

Velivolo Through flight checklist

presente

Through flight checklist non

presente

DC-9 X

MD80 X

737-300 X

ATR 42 X

A320 X

ATR 72 X

747-400 X

747-400 Compagnia A X

MD11 X

CRJ 200 X

A340 X

777-200 Compagnia C X

777-300 Continental X

737 NG X

EMB 145 X

E-190 X

787 X

777-300 X

Come si può vedere dalla tabella questa particolarità è relativa a tre velivoli su 18, di cui due

Boeing 737, e si può dunque considerare come una caratteristica del velivolo.

A mio parere questo è dovuto alla minore affidabilità di un sistema basato su impostazioni

vecchie: il tempo necessario a svolgere i pochi elementi di differenza tra la checklist completa e la

through flight non giustificano la diminuzione di affidabilità che questa differenza comporta.

86

6.6.11 First flight of the day checklist

Analogamente alle through flight checklist è possibile imbattersi nelle first flight of the day

checklist, la quale riporta degli elementi da svolgere unicamente nel primo volo della giornata.

Anche in questo caso la sua applicazione sta cadendo in disuso ed è presente solo nelle checklist

del CRJ 200 e dell’MD80.

6.7 Parametri funzionali Andremo ora a indagare quelli che sono i parametri funzionali di una checklist, ovvero i parametri

che ci permettono di identificare cosa la checklist ci permetta di fare e cosa no.

6.7.1 Presenza elementi critici

Il primo compito di una checklist è quello di assicurare che il velivolo sia correttamente configurato

per le varie fasi del volo, in particolare per quelle di decollo, avvicinamento e atterraggio.

Ho dunque individuato, tramite lettura dei FCOM dei principali velivoli, una serie di elementi critici

per lo svolgimento del volo, che andrò qui ad elencare:

• Quantità di carburante imbarcato;

• Funzionamento dei comandi di volo: rappresenta un elemento cruciale per ragioni

abbastanza ovvie. Viene svolto muovendo la cloche e controllando che al movimento della

cloche corrisponda effettivamente un movimento delle superfici alari;

• Velocità di decollo;

• Impostazioni trim velivolo: il trim è un compensatore manovrabile dal pilota, che permette

di mantenere un certo assetto di volo senza intervenire sui comandi. Un trim male

impostato potrebbe portare ad angoli di pitch pericolosi e a potenziali incidenti;

• Posizione flap in decollo: il mancato posizionamento dei flap è stato responsabile di diversi

incidenti che hanno portato alla perdita del velivolo e alla morte degli occupanti. Risulta

dunque essenziale, per scongiurare il rischio di uno stallo conseguente al distacco

prematuro dalla pista, controllare la posizione dei flap al decollo;

• Posizione flap in atterraggio: un errato posizionamento dei flap in atterraggio potrebbe

indurre il pilota a condurre il velivolo a una velocità inferiore a quella di stallo. La loro

posizione è meno critica che nella fase di atterraggio in quanto si tende a mantenere

sempre un certo margine rispetto alla velocità di stallo;

• Impostazioni altimetro in atterraggio: un’errata impostazione dell’altimetro potrebbe

portare a sottovalutare la distanza dal terreno, con i rischi che questo comporta;

• Posizionamento corretto del carrello di atterraggio.

Di seguito troviamo le percentuali relative alla presenza di tali elementi nelle checklist analizzate:

Elemento Numero di checklist nelle

quali è presente

Percentuale di presenza

Quantità di carburante imbarcato 16 88.89 %

87

Funzionamento comandi di volo 17 94.40 %

Velocità di decollo 8 44.44 %

Trim 14 77.78 %

Flap in decollo 18 100 %

Flap in atterraggio 14 77.78 %

Altimetro in atterraggio 12 66.67 %

Posizionamento carrello 14 77.78 %

Tali elementi possono essere inseriti come lettura del valore o come semplice check dello stesso,

senza che il membro dell’equipaggio debba leggere il settaggio ad alta voce. Troviamo il riassunto

di tali elementi nella tabella seguente, dove C significa check e R reading:

Tabella 4: tipologia di controllo

Per quanto riguarda i singoli velivoli le percentuali sono le seguenti:

Velivolo Fuel qty TO speeds Trim Flaps TO Flaps LDG Altimeter LDGLanding

gear

Flight

control

DC 9 R C R R C

737-300 R R R R R C C

A320 R R R C R C

747-400 R R R R R C C

MD11 R R R R R C C

A340 R R C C

MD80 R R R C C C C

ATR 42 C C C C C C C

EMB 145 R R C C C

777-200 compagnia B R R R R C C

777-200 compagna C R R R R R C C

E-190 C R R R C C C

CRJ 200 C R R R C C C

747-400 compagnia A R R R R R C C

ATR 72 C C C C C C

777-300 R R R R R C C

737 NG R R R C

787-800 R R R R R C C

% Reading 75% 100% 85% 77% 85% 41% 0% 0%

% check 25% 0% 15% 23% 15% 59% 100% 100%

88

Tabella 5: percentuali controlli

Il coefficiente di Pearson tra età e percentuale di presenza degli elementi critici è di -0.14, mentre

quello tra l’età e la percentuale di elementi da leggere è 0.14. La media di elementi in reading si

attesta al 53.33% contro al 46.67% degli elementi da controllare.

Grafico 28: numero di controlli

Velivolo

%

presenza

elementi

critici

%

Reading%Check

DC 9 63% 60% 40%

737-300 88% 66% 34%

A320 75% 66% 34%

747-400 88% 71% 29%

MD11 88% 71% 29%

A340 50% 50% 50%

MD80 88% 42% 58%

ATR 42 88% 0% 100%

EMB 145 63% 40% 60%

777-200 Continental 75% 66% 34%

777-200 Transaero 88% 71% 29%

E-190 88% 42% 58%

CRJ 200 88% 42% 58%

747-400 Lufthansa 88% 57% 43%

ATR 72 75% 0% 100%

777-300 88% 71% 29%

737 NG 50% 75% 25%

787-800 88% 71% 29%

5248

54

46

0

10

20

30

40

50

60

70

80

90

100

Reading Check

Numero di controlli

Compagnia Produttore

89

6.7.2 Elementi con più check doppi

Come abbiamo visto in precedenza alcuni elementi, per via della loro criticità, possono essere

caratterizzati da un check congiunto tra primo ufficiale e comandante.

Come esposto in precedenza non tutte le checklist prevedono l’assegnazione esplicita di ogni

singolo elemento agli elementi dell’equipaggio, quindi mi è stato possibile svolgere l’analisi solo

sulle checklist che presentano tale caratteristica.

Nella tabella seguente troviamo gli elementi con più check doppi:

Tabella 6: numero check doppi per elemento

Grafico 29: numero di check doppi per elemento

6.8 Inserimento checklist nelle operazioni di volo Andremo ora ad analizzare, tramite un articolo scritto dal manager della flotta Boeing 777 di una

compagnia australiana, come le checklist vengono inserite nelle normali operazioni di volo.

Elemento Numero di check doppi

Quantità carburante 1

Impianto idraulico 1

Velocità di decollo 2

Trim 3

Flaps al decollo 3

Carrello di atterraggio 3

Flaps in atterraggio 3

Controlli di volo 3

Impianto ossigeno 4

Altimetro decollo 4

Altimetro atterraggio 5

1 1

2

3 3 3 3 3

4 4

5

0

1

2

3

4

5

6

Numero di check doppi per elemento

90

Per effettuare questa analisi useremo la normal checklist di tale velivolo, assieme con le normal

procedures e con alcuni schemi concettuali che ci aiuteranno ad interpretare gli elementi.

L’analisi si divide nelle sezioni proprie della checklist.

In questo velivolo la checklist è automatizzata e si richiama premendo il pulsante “CHKL” sul

computer di bordo, che automaticamente fa comparire la prima sezione non svolta, sgravando

così i piloti dal compito di doversi ricordare quali sezioni siano già state svolte e quali no.

La checklist viene richiamata ogni qualvolta sia terminata la normal procedure relativa alla sezione:

tramite checklist si controlla così che tutte le operazioni siano state correttamente svolte.

6.8.1 Before start

La sezione Before Start è richiamata appena il primo ufficiale ha ottenuto dall’ATC l’autorizzazione

al rullaggio o al pushback. Il primo ufficiale aziona un EICAS pronunciante le parole “Recall… Engine

Shutdown”, al quale il comandante dovrà rispondere cancellando l’EICAS e iniziando il flusso

Before Start. Alla fine della procedura il primo ufficiale inizierà la checklist; una volta che questa è

terminata egli tornerà ai suoi doveri, coordinandosi con l’agente di rampa per l’avvio dei motori.

91

Figura 14: procedura Before Start

La checklist è richiamata dal comandante una volta che egli ha settato il trim del velivolo. Questo

implica che le procedure del primo ufficiale siano state completate.

92

Figura 15: Before Start checklist

In questo caso la quantità di carburante a bordo è letta tramite EICAS e nessun cross check con la

quantità necessaria è richiesto, anche se un controllo mentale viene spesso performato.

6.8.2 Before taxi

La sequenza Before Taxi viene iniziata dopo che il secondo motore stato acceso.

93

Figura 16: procedura Before Taxi

La checklist viene richiamata dal comandante appena i motori sono accesi, l’agente di rampa si è

disconnesso e il controllo di flap e controlli di volo è andato a buon fine.

94

Figura 17: Before Taxi checklist

Il valore dell’anti-ice è basato sulla posizione dello switch assunta al passo precedente.

6.8.3 Before takeoff

Appena abbandonate le aree più congestionate e appena il carico di lavoro basso il comandante

ordina un doppio controllo sulle impostazioni di decollo: prima a memoria tramite procedure e

successivamente tramite checklist.

95

Figura 18: procedura Before Takeoff

Il controllo sopra è svolto dal PM e monitorato dal PF. Una volta ricevuto il segnale di CABIN

READY si procede ad attivare il WXR/TERR.

Nella tabella seguente troviamo riepilogati i check effettuati su ogni componente

96

Figura 19: check possibili sui componenti

In questo caso la checklist può essere richiamata in qualsiasi momento.

Figura 20: Before Takeoff checklist

6.8.4 After takeoff

La procedura di after takeoff è iniziata appena i flap sono stati correttamente retratti. Il PM dovrà

assicurarsi del fatto che la procedura si svolga in un momento consono – basso carico di lavoro e

basse distrazioni.

Nel caso in cui queste condizioni più la calma meteo e ATC non fossero rispettate la procedura

potrebbe aspettare.

La procedura viene svolta dal PM.

97

Figura 21: procedura After Takeoff

Come iniziatore per la checklist di After Takeoff il PF può utilizzare la rimozione del Pitch Limit

Indicator

Figura 22: After Takeoff checklist

98

6.8.5 Descent

La preparazione alla discesa è tipicamente effettuata dal PF, il quale, per meglio performare la

procedura, potrebbe momentaneamente passare il controllo del velivolo al PM. In questo caso la

checklist viene richiamata sullo schermo all’inizio della procedura e viene iniziata appena

terminata la stessa.

Figura 23: procedura Descent

L’item Recall verifica che lo stato del velivolo sia adatto per l’atterraggio prima che inizi la

procedura di discesa. Notes potrebbe invece contenere indicazioni sull’aeroporto di arrivo,

restrizioni o richieste.

Figura 24: Descent checklist

99

6.8.6 Landing

La landing checklist è richiamata dal PM dopo che i flap sono stati estesi a 20 gradi, senza tener

conto dell’estensione finale degli stessi.

Dopo il completamento della checklist viene solitamente aggiunto dai piloti un item di

completamento della stessa.

Figura 25: Landing checklist

6.8.9 After landing

La procedura di After Landing è iniziata appena il velivolo ha raggiunto la velocità di rullaggio, ha

abbandonato la pista e ha ricevuto l’autorizzazione al rullaggio.

La procedura inizia con il ritiro dei freni aerodinamici da parte del comandante: tale ritiro non deve

avvenire precedentemente all’inizio della procedura, in quanto rappresenta l’inizio della stessa.

100

Figura 26: procedura After Landing

Relativamente alla checklist risulta degno di nota il fatto che le luci stroboscopiche dovrebbero

rimanere accese durante l’attraversamento di qualsiasi pista attiva. È presente la ritrazione dei

flap in quanto un rullaggio con i flap estesi potrebbe essere erroneamente interpretato dall’ATC

come un rullaggio pre-decollo e trattato come tale.

101

Figura 27: After Landing checklist

6.8.10 Shutdown

La procedura di shutdown inizia non appena la potenza dei motori è ridotta sotto il 10% ed è stato

disattivato il segnale delle cinture in cabina.

102

Figura 28: procedura Shutdown

La checklist è l’ultimo elemento delle procedure di shutdown.

Figura 29: shutdown checklist

Il valore del parking brake non è prescritto dalle procedure e viene deciso dal comandante sulla

base delle condizioni della piazzola di sosta. La cosa migliore è comunque non iniziare la checklist

finché l’agente di rampa abbia confermato il corretto posizionamento dei tacchi e il freno di

103

parcheggio sia stato rilasciato. Questo risulta necessario poiché il freno utilizza un meccanismo

idraulico, che viene dunque rilasciato non appena la pressione idraulica residua viene meno.

6.8.11 Secure

La procedura di securing avviene non appena tutti i passeggeri hanno lasciato il velivolo e va

completata ogni qualvolta l’equipaggio successivo non sia già sul posto.

Figura 30: procedura Secure

Figura 31: Secure checklist

6.8.12 Conclusione

Possiamo notare come la checklist venga sempre eseguita al completamento delle procedure

standard per assicurarsi del loro corretto svolgimento.

104

Sia la checklist che le procedure vengono inserite dal membro dell’equipaggio preposto in un

momento in cui il carico di lavoro è basso e il velivolo non si trova in condizioni tali da richiedere

che l’attenzione dell’equipaggio sia completamente rivolta al pilotaggio o alle condizioni esterne

all’aeromobile.

Notiamo infine come la checklist digitale permetta di diminuire il carico di lavoro sull’equipaggio,

che non deve più ricordarsi a quale sezione è giunto né quali elementi siano stati già svolti, in

quanto il sistema computerizzato richiama la giusta sezione da svolgere e permette di indicare

quali elementi si siano già svolti.

105

Capitolo 7

La BBS nell’uso delle checklist Abbiamo precedentemente visto quali siano le caratteristiche e i problemi di utilizzo delle checklist

in campo aeronautico. Molte di queste checklist sono state ottimizzate per l’utilizzo, ma una

domanda sorge spontanea: quanto sono affidabili le checklist?

7.1 Un approccio quantitativo Degani e Wiener adottavano un approccio qualitativo: per avere un punto di vista più quantitativo

sulla questione dobbiamo aspettare il 2010 e lo studio “Checklist and monitoring the cockpit: why

crucial defenses sometimes fail” di Dismukes e Berman.

7.1.2 Metodo

Berman, pilota con molta esperienza, ha osservato 60 voli di tre compagnie aeree statunitensi dal

jumpseat della cabina di pilotaggio, annotando gli errori nell’esecuzione delle checklist.

Dei 60 voli analizzati 39 erano già sottoposti ad audit interno, mentre gli altri 21 sono stati

condotti in maniera simile agli audit: l’equipaggio ha ricevuto comunicazione della presenza del

ricercatore dalla compagnia e dal sindacato, unitamente a una spiegazione degli scopi dello studio.

Due equipaggi sono stati osservati due volte, e un altro pilota è stato osservato operare con due

diversi piloti.

Le osservazioni sono state fatte su sei tipi di velivolo.

Tabella 7: tipologie di velivoli studiati

Prima del volo il ricercatore ha studiato il manuale di volo del velivolo, rilasciato dalla compagnia,

che descrive nel dettaglio le procedure e l’utilizzo delle checklist. L’osservatore ha provato a

rendersi il meno influente possibile: ad ogni modo, vista la sua esperienza e poiché l’occupante del

jumpseat è tecnicamente parte dell’equipaggio, egli è in alcune occasioni intervenuto nelle

operazioni di pilotaggio, segnalando situazioni anomale.

106

Ogni deviazione dalle procedure è stata contata, sia nel caso in cui questa sia stata volontaria che

in quello in cui non lo fosse stato: questo perché può essere difficile stabilire a quale categoria

appartenga una deviazione. Considerarle entrambe come errori implica il rimuovere la

discrezionalità dell’osservatore e aumentare l’obiettività dello studio.

I ricercatori hanno annotato ogni deviazione, anche quella che potrebbe essere dovuta alle

operazioni di volo.

Sono state contate le deviazioni dall’uso corretto delle checklist, dalle operazioni di volo e dal

monitoraggio dello stato del velivolo.

Con monitoraggio dello stato del velivolo si intende la responsabilità dei piloti di tenere traccia

della posizione, della configurazione e dello stato dei sistemi dell’aereo. Secondo l’NTSB un errore

nel monitoraggio è coinvolto nell’84% degli incidenti aerei attribuiti ad un errore dell’equipaggio

avvenuti tra il 1982 e il 1994. Appare evidente come, pur non essendo oggetto di questa tesi e

passando dunque in secondo piano nella mia ricerca, il monitoraggio dello stato del velivolo sia

un’operazione di primaria importanza.

7.1.2 Risultati

894 deviazioni sono state osservate (194 nell’uso delle checklist, 391 nel monitoraggio e 314 nelle

operazioni).

Nella figura 31 troviamo la distribuzione delle deviazioni per volo, che troviamo riepilogata in

tabella 8.

Figura 32: numero di deviazioni per volo per le checklist, il monitoraggio e le procedure

107

Tabella 8: deviazioni per volo, per categoria

La variabilità nel numero di deviazioni può essere dovuta a più fattori: differenze nel modo con cui

i piloti eseguono le procedure, differenze nelle condizioni di volo e differenze nella capacità

dell’osservatore di notare le deviazioni.

Anche se non i ricercatori non sono stati in grado di separare questi tre fattori, hanno comunque

svolto un’analisi che suggerisce come buona parte della variabilità risieda nella differenza nel

modo in cui i piloti effettuano le procedure. Il numero di deviazioni effettuate prima del decollo è

stato comparato con il numero di deviazioni effettuate durante l’atterraggio, con l’assunzione che

lo stile di pilotaggio di un equipaggio non cambi durante il volo, ed è stato rilevato che il numero di

deviazioni prima del decollo era correlato con il numero di deviazioni effettuate durante

l’atterraggio. Le checklist avevano un valore r=0.54, le procedure r=0.5 e il monitoraggio r=0.3, con

un r totale pari a 0.54. Eccetto che per i dati sul monitoraggio tutte le correlazioni sono

statisticamente significative.

108

7.1.3 Tipologie di deviazioni

Ci concentreremo sulle deviazioni rilevate durante l’esecuzione delle checklist, che sono riassunte

in tabella 9

Tabella 9: tipologie di deviazioni dalle checklist

In 48 casi una checklist di tipologia challenge-response è stata effettuata come una to-do-list; in 43

casi il membro dell’equipaggio ha risposto prima di aver effettivamente controllato il settaggio o

leggendo un valore mentre l’elemento era settato diversamente. In 42 casi un elemento è stato

saltato, la risposta è stata scorretta (ad esempio è stato letto set invece che il valore della

variabile), o più response sono state combinate in una sola. In 31 casi il pilota ha iniziato la

checklist in un momento sbagliato e in 17 l’ha svolta a memoria. In 13 casi la checklist è stata

saltata: in 10 dei 13 casi, però, l’altro pilota si è accorto dell’omissione e ha corretto il collega.

7.1.4 Divisione delle omissioni tra i membri dell’equipaggio

Il 54% delle omissioni totali è stato effettuato dal comandante e il 46% dal primo ufficiale. Il

numero di deviazioni è ugualmente distribuito tra PF e PM.

Per paragonare il rateo di deviazione di comandanti e primi ufficiali è stato necessario analizzare

solo le deviazioni avvenute durante il volo, in quanto a terra è sempre il comandante a controllare

il velivolo, e calcolare le deviazioni per volo.

Durante tutti i voli i piloti hanno effettuato 604 deviazioni (74 checklist, 331 monitoraggio e 199

procedure operative). I comandanti tendono ad effettuare leggermente più deviazioni per volo, sia

come PF (4.6deviazioni per volo contro 4.2) sia come PM (5.5 contro 4.4).

I piloti che stavano effettuando il primo volo assieme hanno commesso 22.4 deviazioni per volo,

contro le 13.9 dei piloti che già avevano volato assieme.

109

7.1.5 Conseguenze delle deviazioni

Solo il 18% delle deviazioni è stato corretto. Per ovvie ragioni i ricercatori non hanno avuto modo

di capire se alcune deviazioni fossero state scoperte ma non corrette.

Delle deviazioni corrette, il 63% sono state scoperte dal pilota che non stava svolgendo la

procedura, il 17% da quello che stava svolgendo la procedura e il 19% dai controllori di volo.

Nel campo delle checklist sono state individuate e corretti 28 elementi su 194, pari al 14% del

totale.

I ricercatori hanno poi selezionato 31 voli sui quali effettuare un’analisi più approfondita. Nei 31

voli 160 delle 518 deviazioni (88.8%) non hanno avuto conseguenze individuabili diverse

dall’abbassamento del livello generale dia affidabilità del sistema: 12 (2.3%) hanno portato a errori

conseguenti, 44 (8.5%) hanno portato a uno stato del velivolo indesiderato, tanto da richiedere

l’intervento dell’equipaggio per correggerlo.

Venti deviazioni sono state osservate durante 11 atterraggi non stabilizzati. Di questi 11

avvicinamenti, 2 sono stati corretti dai piloti e uno ha portato a un go around, mentre in 8 casi i

piloti hanno ignorato la situazione e sono ugualmente atterrati.

110

Tabella 10: deviazioni risultanti in stato indesiderato del velivolo

7.1.6 Discussione

Il numero di deviazioni per volo osservato è di 15, delle quali 3.2 riguardano l’uso delle checklist,

5.2 le procedure primarie e 6.5 il monitoraggio del velivolo.

La letteratura nel campo è molto ristretta: Degani e Wiener hanno prodotto un lavoro qualitativo,

mentre i risultati degli audit interni non sono mai resi pubblici.

Klinect, Wilhelm e Helmreich, che hanno avuto accesso a 314 audit, riportano una media di 1.84

errori per volo. Purtroppo essi non definiscono l’errore, quindi per paragonare i risultati dovremo

supporre che sia stato definito nello stesso modo della deviazione del paper precedente. Klinect et

al. rilevano che nel 64% dei segmenti di volo è presente almeno un errore, mentre nel paper di

Dismukes e Bernan ogni volo analizzato aveva almeno una deviazione, anche se il 32% di essi non

aveva deviazioni nelle checklist e il 13% non aveva deviazioni nelle procedure primarie.

111

Questa differenza di risultati riflette il fatto che Dismukes e Bernan hanno registrato ogni

deviazione, anche le più piccole.

Risulta intuitivo come il numero di deviazioni sia proporzionale al numero di elementi presenti in

una checklist: purtroppo da questo punto di vista non sono emersi dati disponibili.

Gli autori suggeriscono poi alcuni miglioramenti che le compagnie aeree potrebbero adottare:

• Formalizzare i ruoli di PF e PM;

• Minimizzare gli elementi della checklist con più componenti e specificare la risposta per

ogni componente: spesso i piloti performano in maniera incompleta degli elementi che

riguardano più componenti. Ad esempio l’elemento “Hydraulics – Checked and on”

presume che i piloti controllino gli indicatori posti sul cruscotto e gli switch posti sul tetto

del cockpit, ma molti piloti controllavano solo il secondo. Per evitare questa deviazione gli

autori suggeriscono che l’elemento sia diviso in due parti: “Hydraulics gauges – checked” e

“Hydraulics switch – on”.

7.1.7 Sistema di feedback su checklist

Un suggerimento sul quale, per via della sua grande attinenza, mi vorrei soffermare è quello di

utilizzare sistemi di feedback sulle checklist.

Una delle tante ragioni per le quali i piloti non comprendono quando stanno effettuando

deviazioni e abbassando l’affidabilità del sistema è il fatto che non ricevano mai dei feedback a

riguardo. Ironicamente è proprio l’elevata affidabilità dei sistemi aeronautici a rendere il feedback

impossibile: viste le molteplici salvaguardie in gioco è molto raro che i piloti vedano le

conseguenze dei propri errori, quindi l’unico modo per fare avere ai piloti dei feedback è quello di

fornirglieli direttamente.

Un esempio di sistema suggerito è quello dei debriefing, nei quali ogni membro dell’equipaggio

può fornire agli altri dei feedback su quanto effettuato in volo.

Questa ricerca risulta essere la prima volta in cui in una ricerca in campo aeronautico viene citata

direttamente la BBS, e in particolare l’ABBS, ovvero Aeronautical Behavior Based Safety

7.2 Aeronautical Behavior Based Safety

Nonostante la sua efficacia e la sua diffusione la BBS non è mai riuscita a farsi largo in un sistema

come quello aeronautico, nonostante alcuni tentativi stiano venendo svolti da Ranz, Olson e

Austin, tutti e tre impiegati presso l’Università del Michigan Occidentale (WMU) di Kalamazoo.

L’introduzione di un protocollo di ABBS si svolge in quattro fasi principali:

1. ASSESSMENT

In questa fase si analizza il contesto nel quale si andrà ad applicare l’ABBS, intervistando i

vari attori, analizzando ogni aspetto dei protocolli esistenti e sviluppando le baseline;

2. DEVELOPMENT

In questa fase si andranno a determinare gli scopi del protocollo e la strategia da seguire.

112

Vengono individuati i comportamenti target, che nel nostro caso sono, divisi nei due

macrogruppi “Istruttori” e “Allievi”:

a. Istruttori:

i. Pre-Flight

ii. Pre-Flight Briefing

iii. In-Flight

iv. Post-Flight

v. Post Flight Briefing

vi. Classroom instructions

b. Allievi:

i. Pre-flight inspection

ii. Classroom learning

iii. Team Riding

Occorre poi individuare un processo per misurare i comportamenti sicuri e per assegnare i

feedback.

3. IMPLEMENTATION

Prevede l’osservazione delle azioni e la messa in atto del protocollo

4. EVALUATION AND CONTINUOUS IMPROVEMENT

Prevede di valutare ex post il protocollo, al fine di identificarne i punti deboli e di migliorarli

secondo una logica di miglioramento continuo

7.2.1 Possibile protocollo di ABBS nell’uso delle checklist

Prima di procedere e di osservare gli esempi di ABBS già esistenti, vorrei simulare la creazione e

l’applicazione di un protocollo di ABBS per quanto riguarda l’uso delle normal checklist. Salterò le

fasi di approvazione da parte di azienda ed eventuali sindacati in quanto assolutamente non

rilevanti dal punto di vista scientifico. Supporrò dunque di avere la piena collaborazione della

direzione aziendale e dei sindacati.

PASSO 1: PINPOINTING Per poter effettuare correttamente il processo è necessario innanzitutto identificare l’obiettivo del

processo di ABBS. Nel nostro caso questo può essere definito come “svolgere tutti gli elementi

della checklist senza omissioni e/o deviazioni”.

Quanto sopra non è però un comportamento, in quanto lo svolgimento degli elementi della

checklist si svolge in più fasi, come visto nei capitoli precedenti. Possiamo dividere lo svolgimento

della checklist in più comportamenti, per poi analizzarli singolarmente. Abbiamo dunque, in ordine

di svolgimento:

1. Richiamo della corretta sezione della checklist nel momento corretto;

2. Lettura del challenge e del valore e successivo cross-check.

Appare evidente che i due comportamenti andranno analizzati e rinforzati in maniera separata.

113

PASSO 2: MISURAZIONE BASELINE Avendo individuato i comportamenti da influenzare occorre ora effettuare la misurazione delle

baseline, osservando il comportamento dei piloti e annotando ogniqualvolta essi compiano

deviazioni dal corretto svolgimento.

L’osservazione andrà svolta in maniera da non interferire con il comportamento analizzato.

Tipicamente questo si ottiene prolungando le osservazioni per molto tempo, in modo tale che

l’influenza dell’osservatore sull’osservato vada scemando.

PASSO 3: ANALISI ABC A questo punto occorre passare all’analisi ABC, costruendo le tabelle indicate in tabella 3.

Analisi ABC: richiamare la sezione corretta nel momento corretto

Performance

problematica

Antecedenti

Conseguenze

P/N

I/F

C/U

Sezione errata o

richiamata nel

momento

sbagliato

• Carico di lavoro

troppo elevato

• Scarso CRM

• Checklist poco chiara

• Distrazione dal

pilotaggio

• Velivolo in stato

non corretto

N I C

N I U

Performance

desiderata

Antecedenti

Conseguenze

P/N

I/F

C/U

Sezione corretta

richiamata nel

momento corretto

• Addestramento

• Raccomandazioni della

compagnia

• Esperienza di

pilotaggio

• Probabilità di

incidente

diminuita

P I U

Analisi ABC: svolgere l’elemento della checklist in maniera corretta

Performance

problematica

Antecedenti

Conseguenze

P/N

I/F

C/U

Elemento checklist

non svolto o

svolto

erroneamente

• Elevato carico di

lavoro

• Interruzioni

• Sensazione di fretta

• Pressioni della

• Velivolo non

configurato in

maniera corretta

• Aumentato

rischio di

N I U

N I U

114

compagnia

• Scarsa cultura della

sicurezza

incidenti

• Eventuale

giudizio negativo

da parte degli

altri piloti

• Diminuzione

eventuale ritardo

accumulato

N F U

P I C

Performance

desiderata

Antecedenti

Conseguenze

P/N

I/F

C/U

Elemento checklist

svolto in maniera

corretta

• Addestramento

• Buona cultura della

sicurezza

• Incidenti precedenti

• Esperienza di

pilotaggio

• Diminuzione

rischio incidenti

• Giudizio positivo

da parte dei

colleghi

P I U

P F U

Notiamo come ci sia una carenza di conseguenze PIC nello svolgere correttamente le procedure.

Tali conseguenze sono invece presenti nel mancato o errato svolgimento delle stesse.

PASSO 4: ATTRIBUZIONE CONSEGUENZE PIC Visto il contesto nel quale si svolge un volo (solo due persone nel cockpit, con poche possibilità di

darsi feedback) l’attribuzione di conseguenze PIC non è semplice.

Tali conseguenze possono essere però attribuite tramite l’utilizzo di checklist digitali, che

permettano, tramite tablet o computer di bordo, di attribuire dei feedback al pilota.

Un problema in questo senso sarebbe spingere il sistema a “capire” quando il pilota ha svolto

correttamente l’elemento della checklist.

Come precedentemente osservato i rinforzi e le punizioni forniti sono limitati per via della natura

stessa del pilotaggio.

Come rinforzo si potrebbe adottare un sistema grafico tale da indicare al pilota la situazione della

checklist e da illuminarsi progressivamente di colore verde (associato al successo) mentre lo

svolgimento della checklist procede. Come punizione si potrebbero invece adottare dei suoni che il

pilota trova fastidiosi.

Essendo il sistema sopra completamente digitalizzato si potrebbero introdurre algoritmi tali per

cui la proporzione di 5 a 1 tra rinforzi e punizioni sia mantenuta in maniera automatica.

115

7.3 Applicazioni

Sono riuscito a trovare solo tre applicazioni del protocollo di ABBS nell’uso delle checklist, che

vedremo in seguito

7.3.1 Rantz et al: l’effetto dei feedback durante l’uso delle checklist nell’addestramento

all’uso degli strumenti

Questo rappresenta il primo studio relativo all’ABBS nell’uso delle checklist.

Lo studio ( si svolge non nel velivolo ma bensì al simulatore, allo scopo di monitorare in maniera

più completa le performance dei piloti. Per svolgere l’esperimento sono stati selezionati 8 allievi

piloti, ognuno dei quali con almeno due ore di esperienza al simulatore. La loro età andava da 20 a

26 anni.

Gli autori fungono da osservatori, seguendo lo svolgersi dell’esperimento dalla stanza accanto ai

simulatori, utilizzando delle webcam dotate di microfono per osservare le attività degli allievi.

Il volo che gli allievi avrebbero svolto è stato diviso in sei parti: PRE-TAKE OFF, TAKE OFF, CRUISE,

ARRIVAL, PRE-LANDING, LANDING. Del volo svolto esistevano sei varianti.

A turno gli autori si dividevano il lavoro: uno dei due osservava l’allievo durante tutte le fasi del

volo, l’altro guardava momenti casuali del volo fornendo feedback al collega. Questo controllo

incrociato dà origine a un termine statistico, detto interobserver agreement, calcolato dividendo il

numero di osservazioni sulle quali i due osservatori concordano per il numero di osservazioni

totali. Tale termine è stato dell’82% per la rilevazione degli errori.

La checklist utilizzata conteneva 40 elementi ed era relativa al velivolo Cessna 172, ed è stata

montata a sinistra del monitor del computer di volo.

Innanzitutto è stata rilevata la baseline: agli allievi è stato chiesto a turno di svolgere alcuni

normali voli, utilizzando le checklist in maniera del tutto naturale. Al termine del volo l’osservatore

entrava nella stanza del simulatore, descrivendo all’allievo la sua performance, complimentandosi

nel caso in cui questa fosse stata positiva. Nessun feedback viene dato in merito all’uso delle

checklist.

Nella fase di svolgimento dell’esperimento, invece, l’osservatore fornisce feedback relativi anche

alle checklist, esponendo la percentuale di elementi completati correttamente, sia per il volo che

per i voli precedenti, inclusa la baseline, oltre che il numero di elementi completati correttamente

e di errori per ogni segmento del volo appena terminato. L’osservatore fornisce dei feedback in

merito alla checklist, complimentandosi se la performance risulta migliorata rispetto alle volte

precedenti.

Successivamente il feedback è stato rimosso, riportando il de briefing ad essere identico a quello

della baseline.

Come facilmente rilevabile dalla figura sotto, il protocollo ha portato ad un evidente innalzamento

della percentuale di elementi svolti correttamente dall’allievo.

116

Lo studio ha anche confermato come le checklist utilizzate nei momenti in cui il carico di lavoro è

più elevato sono anche quelle in cui si concentrano gli errori. La tabella 2 mostra la percentuale di

errori relative alle checklist svolte durante la baseline in ogni segmento del volo; gli elementi sono

grigi se la percentuale di errori è maggiore al 50%, e i nomi degli elementi sono in grigio se quattro

o più partecipanti all’esperimento hanno commesso più del 50% di errori. Ne deriva che, nelle fasi

di volo in cui il carico di lavoro è più elevato (after-take off e pre-landing), la media degli errori in

queste fasi (aggregate) è stata del 71%, contro il 36% delle altre fasi aggregate.

Cosa più importante, abbiamo conferma del fatto che, una volta rimosso il feedback, il

comportamento appreso viene mantenuto allo stesso livello dei comportamenti rinforzati.

117

Tabella 11: percentuale di insuccessi nella fase di baseline

118

Figura 33: andamento elementi performati correttamente, esperimento di Rantz

7.3.2 Rantz e Van Houten: un intervento su checklist cartacee e digitali

In questo studio (“A feedback intervention to increase digital and paper checklist performance in

technically advanced aircraft simulation”, 2011) Rantz e Van Houten riprendono tutte le

metodologie dell’esperimento precedente, verificandone i risultati ed estendendolo alle checklist

digitali.

In aggiunta al loro primo esperimento, Rantz e Van Houten effettuano una verifica dopo un

periodo che poteva andare dai 60 ai 90 giorni, verificando così che i risultati dell’intervento

vengono mantenuti nel tempo.

119

I due ricercatori sottolineano come le checklist digitali siano particolarmente consigliate in quanto

permettono di fornire feedback immediati, oltre a poter essere attivate autonomamente dal

computer di volo, evitando così che siano iniziate nel momento sbagliato.

7.3.3 Arianna Gatti: applicazione del sistema di feedback a una scuola di volo

Lo studio della dott.ssa Gatti ha riguardato quattro allievi piloti dell’Aeroclub “Bolla” di Parma. Il

loro recruiting è avvenuto sulla base delle ore di volo da essi svolte (minimo 12, massimo 45) e

sulla base di alcune interviste effettuate in loco dall’autrice.

Lo studio rappresenta la prima e unica ricerca in Italia nell'ambito della promozione

dell'accuratezza nella compilazione delle checklist.

Il comportamento dei quattro partecipanti è stato controllato tramite l’installazione di una

videocamera; questa videocamera era sempre presente per tutti e quattro gli allievi, in modo da

120

ridurre gli effetti relativi alla presenza/assenza dell’osservazione. In aggiunta a questo, almeno il

25% delle sessioni di ogni partecipante è stata osservata dall’istruttore di volo.

L’intervento si basa sull’utilizzo di un’applicazione per tablet creata appositamente per l’occasione,

Smartlist.

Smartlist permetteva agli utenti, previa registrazione del proprio profilo personale, di selezionare

la sezione della checklist necessaria e di contrassegnarla come eseguita. Vista la particolarità

dell’ambito applicativo Smartlist è stata utilizzata sia con liste to-do che con checklist vere e

proprie.

Figura 34: esempi di schermata di Smartlist

Smartlist monitorava il tempo intercorso tra la presentazione dell’item sullo schermo e il suo

contrassegno come eseguito. Se il tempo di esecuzione era inferiore al tempo ritenuto necessario

per svolgere l’elemento, esso veniva dall’applicazione salvato come non eseguito correttamente.

Al contrario, se esso era maggiore uguale al tempo di riferimento, l’elemento veniva salvato come

correttamente eseguito.

La normal checklist del velivolo è stata divisa in 5 macro-sezioni, per un totale di 128 elementi:

1. Sart-up (32 elementi)

2. Before take-off (32 elementi)

3. Take-off (26 elementi)

4. Landing (21 elementi)

5. After landing (17 elementi)

121

Figura 35: dati raccolti da Smartlist

Figura 36: andamento elementi performati correttamente, esperimento di Gatti

122

Lo studio ha avuto momenti di inizio e durata diversi per ogni partecipante, al fine di correlare

correttamente i cambi di performance allo studio e non a fattori esterni casuali e non controllabili

dagli studiosi.

I risultati della ricerca sono molto incoraggianti: il primo partecipante è passato da una compliance

del 75% a una del 99.2%; il secondo è passato dal 91% al 100%; il terzo dal 92% al 100%; il quarto

dall’82% al 100%. In totale i quattro allievi sono passati da una compliance media dell’85.5% a una

del 99.8%.

Figura 37: riassunto risultati esperimento di Gatti

Quello di Gatti rappresenta il primo studio a esplorare il campo dell’attribuzione di feedback

tramite checklist digitali ed è dunque di indubbio interesse per la presente tesi.

Gatti stessa sottolinea come l’applicazione delle checklist elettroniche possa avere un grande

spazio di applicazione, per la loro flessibilità, il loro basso costo e le loro enormi possibilità di

personalizzazione.

L’autrice suggerisce inoltre alcuni possibili sviluppi, tra cui la possibilità di accedere a uno storico

della propria compliance al fine di auto-monitorarsi e la possibilità di condividere i dati in un social

network composto da piloti al fine di promuovere una cultura sociale della sicurezza.

123

Capitolo 8

Conclusioni Dalla nostra disamina delle diverse modalità di costruzione e di utilizzo delle checklist in ambito

aeronautico risulta che le checklist attualmente in uso, pur avendo subito molti cambiamenti, non

rappresentano ancora una soluzione ottimale al problema dei comportamenti scorretti da parte

degli equipaggi.

Come evidenziato nel capitolo 7, infatti, il numero medio di deviazioni dalla sequenza e di

violazioni commesse in un volo dai piloti di linea è particolarmente elevato e presenta ampi

margini di miglioramento.

La compilazione e l’efficacia preventiva delle checklist tradizionali, pressochè in tutte le loro

varianti, risultano influenzabili a un gran numero di fattori che possono indurre a comportamenti

scorretti o a cattive interpretazioni della situazione nella quale si trova il velivolo, nonostante

l’impegno per la formazione e la motivazione messi in campo dalle compagnie aeree.

Studi recenti hanno permesso di verificare come molti di questii problemi possano essere superati

mediante l’utilizzo di checklist elettroniche: come accade per esempio con il problema delle

iinterruzioni, che vengono rese meno pericolose mediante i sistemi di tracking di avanzamento dei

quali sono dotate tutte le odierne checklist digitali.

L’ambito in cui le checklist elettroniche sembrano consentire sviluppi ancora più significativi risulta

senza dubbio essere quello del feedback. L’aggiunta, in modo sistematico e in accordo con i

principi del comportamento umano, di conseguenze contingenti all’escussione dei singoli punti

della checklist rende lo strumento della checklist utile non soltanto a svelare errori ed omissioni

nelle sequenze, ma anche a costruire i comportamenti antagonisti a quelli antagonisti, corretti.

Sotto questo profilo, l’adozione di checklist elettroniche consente la migliore combinazione possibile. Visto

l’ambiente in cui i piloti si trovano a operare, infatti, i feedback forniti tramite mezzi diversi da quelli

elettronici risultano poco efficaci, in quanto costringono a far trascorrere molto tempo dal comportamento

all’erogazione del rinforzo e limitano inoltre enormemente la possibilità di erogare conseguenze ad alta

frequenza, limitando così fortemente l’efficacia del sistema.

Questa caratteristica delle checklist elettroniche è stata esplorata sia nell’esperimento di Rantz e Van

Houten (2011) sia nella ricerca di Gatti (2014), la quale ha basato l’intero suo studio sulle possibilità delle

checklist digitali con feedback.

Le due ricerche citate sopra più la prima effettuata da Rantz e Houten mostrano come le checklist

con feedback siano estremamente più efficaci di quelle senza feedback, attualmente utilizzate sui

velivoli commerciali. Tali ricerche mostrano inoltre come un feedback immediato sia più efficace

rispetto a un feedback ritardato, in conformità con quanto ritrovato in letteratura e comunemente

impiegato all’interno dei protocolli di BBS.

124

Per queste ragioni, fondate non solo ragionamenti logici ma anche su esperimenti controllati, ci

sentiamo di raccomandare che le checklist attualmente utilizzate siano sostituite con quelle

sviluppate nell’ambito di sistemi legati alla BBS, la quale è, come ricordato nel capitolo 5, l’unico

protocollo scientifico per il controllo dei comportamenti che permetta di usare

contemporaneamente e in modo integrato le checklist sia come strumento di misura e controllo,

sia come strumento per l’aumento dei comportamenti di sicurezza, in modo misurabile su scala

parametrica attraverso l’erogazione contingente di feedback e rinforzi, .

Risulta anche dalla disamina effettuata che le checklist elettroniche con feedback si

avvantaggerebbero dall’essere programmate in modo da fornire sia rinforzi positivi, più efficaci,

sia negativi, in un rapporto di almeno 4 a 1. Tale rapporto risulta infatti essere ottimale per

ottenere una maggiore percentuale di comportamenti corretti, e per sviluppare l’accettazione

volontaria del sistema da parte dei piloti.

Al fine di automatizzare la checklist e il relativo feedback e di superare definitivamente i problemi

legati all’intervento umano e all’autovalutazione sarebbe auspicabile l’installazione di un sistema

di tracking dello sguardo del pilota, simile a quanto già viene utilizzato nelle ricerche di marketing.

In base allo spostamento e alla durata dello sguardo sugli strumenti possiamo determinare se il

pilota abbia svolto correttamente l’elemento della checklist o meno: dal momento che sguardi

inferiori ai 300 ms non siano sufficienti per visualizzare e dunque rispondere correttamente un

evento che richiede un’azione certa e precisa. Nel caso in cui lo sguardo si trattenesse per meno di

quel tempo e l’elemento fosse contrassegnato come positivo sulla checklist si potrebbe fornire un

feedback negativo, mentre un rinforzo sarebbe fornito nel caso in cui il pilota si comportasse in

maniera corretta, mantenendo lo sguardo sul punto per il tempo necessario a garantire la risposta

giusta.

Altri sistemi per la compilazione automatica o per incoraggiare il pilota a compilare in maniera

veritiera potrebbero essere inseriti nel programma sviluppato per la gestione della checklist. Tali

sistemi esulano dallo scopo della tesi e non vengono dunque trattati. Sarebbe auspicabile che

qualcuno proseguisse gli studi in questa direzione.

In alternativa ai sistemi precedentemente illustrati, dove le circostanze non permettano

l’installazione di checklist elettroniche con feedback, si potrebbero inserire nei voli al simulatore

degli elementi imprevisti che possano essere risolti solo tramite una esecuzione completa della

checklist. In questo modo l’eliminazione stessa del problema, con il ritorno al volo normale,

fungerebbe da rinforzo al comportamento “svolgere completamente la checklist”. Traslando dal

simulatore al velivolo l’effetto del feedback dovrebbe rimanere immutato, permettendo di avere

risultati migliori anche durante il volo reale.

Tale sistema rimane tuttavia, anche perché non ancora bene esplorato attraverso ricerche

sperimentali, una seconda scelta rispetto a quello illustrato sopra.

125

Bibliografia

Articoli

Degani, A, Wiener, E. (1993). Cockpit checklists: concepts, design, and use. Human Factors, 35(2),

345-359.

Degani, A, Wiener, E. (1990). Human Factors of Flight-Deck Checklists: The Normal Checklist. NASA contractor report 177549. Flight safety foundation. (1997). Principles of design and display for aviation technical messages.

Flight Safety Digest, 16(1), 1-44.

Turner, J.W. et.al. (1991). The use and design of flightcrew checklists and manuals. FAA.

Smith, R. (1979). “A simulator study of the interaction of pilot workload with errors, vigilance, and

decisions”. NASA Technical Memorandum 78482.

ATSB. (2004). Dangerous Distraction: An examination of accidents and incidents involving pilot

distraction in Australia between 1997 and 2004. Aviation research investigation report

B2004/0324.

Subramaniam, K. (2000). A perspective on human reliability analysis (HRA). Bhabha Atomic Researc

Center.

Bell, J, Holroyd, J. (2009). Review of human reliability assessment methods. UK HSE laboratory.

Swain, A.D., Guttman, H.E. (1983). Handbook of Human Reliability Analysis with Emphasis on

Nuclear Power Plant Applications. U.S. Nuclear Regulatory Commission.

Kirwan, B. (1996). The validation of three Human Reliability Quantification techniques - THERP,

HEART and JHEDI. Applied Ergonomics 27(6), 359-373.

Carrara, L. (2010). Metodi per la sicurezza industriale che considerano il fattore umano: ambiti di applicazione e analisi comparativa di efficacia. Tesi di laurea magistrale. Milano, IT: Politecnico di Milano. Key Dismukes, R., Berman, B. (2010). Checklist and Monitoring in the Cockpit: why crucial defenses

sometimes fail. NASA.

Gatti, A. Solutions for the (near) future: a new approach to Safety in Aviation with Behavior

Analysis technology. Tesi di laurea magistrale. Parma, IT: Università degli studi di Parma.

126

Rantz, W. G., Dickinson, A., Sinclair, G., Van Houten, R. (2009). The Effect of Feedback on Accuracy

of Checklist Completion During Instrument Flight Training. Journal of Applied Behavior Analysis,

42(3), 497-509.

Rantz, W.G., Van Houten, R. (2011). Feedback intervention to increase digital and paper checklist

performance in technically advanced aircraft simulation. Journal of Applied Behavior Analysis,

2011, 44, 145-150.

Libri

Gawande, A. (2011). Checklist. Come fare andare meglio le cose. Torino, IT: Einaudi Editore.

Reason, J. (2013). A life in error. Farnham, UK: Ashgate Publishing.

Catino, M. (2006). Da Chernobyl a Linate. Incidenti tecnologici o errori organizzativi? Milano, IT:

Mondadori.

Cacciabue, P.C. (2009). Sicurezza del Trasporto Aereo. Milano, IT: Springer.

Daniels, A. (1989). Performance Management. Atlanta, USA: Performance Management

Publications.

Turner, T. (2001). Controlling pilot error: Checklists and compliance. New York, USA: McGraw-Hill.

Sitografia

Philip S. Mellinger. (2004). When the fortress went down. Disponibile da www.airforcemag.com.

Erik Hollnagel. (2017). Contextual Control Model (COCOM) Disponibile da:

http://erikhollnagel.com.

NLR. (2017). Safety Method Database. Disponibile da: http://www.nlr.nl/downloads/safety-

methods-database.pdf.

ICAO. (n.d.). ADREP Taxonomy. Disponibile da:

https://www.icao.int/safety/airnavigation/AIG/Pages/ADREP-Taxonomies.aspx.

http://www.airforcemag.com/

http://erikhollnagel.com/

http://www.nlr.nl/downloads/safety-methods-database.pdf

http://www.nlr.nl/downloads/safety-methods-database.pdf

https://www.icao.int/safety/airnavigation/AIG/Pages/ADREP-Taxonomies.aspx

127

Ringraziamenti Mi sembra incredibile ritrovarmi, dopo tanti anni e tante fatiche, di fronte alla pagina “ringraziamenti“ della

mia tesi di laurea.

E, non lo nascondo, questa è la parte più piacevole da scrivere.

Varrebbe la pena di scrivere una tesi solo per questa parte. E quasi quasi…

Sono molte le persone che hanno contribuito, direttamente o indirettamente, alla mia carriera

accademica e alla mia tesi.

Innanzitutto desidero ringraziare il mio relatore, prof. Fabio Tosolin, e la dott.ssa Arianna Gatti,

che tanto mi hanno assistito nella stesura del presente elaborato, del quale ogni eventuale errore

od omissione sono comunque imputabili solo a me stesso.

Desidero poi ringraziare la segreteria dell’AARBA per la pazienza con la quale ha sopportato le mie

richieste.

Vorrei poi ringraziare Domenico e David per l’aiuto tecnico fornitomi.

Un grosso grazie va anche alla Comifar Distribuzione, che spesso è stata sede di scrittura della mia

tesi, e a tutti i colleghi con i quali ho diviso l’ufficio in questi mesi, a partire da Claudio e Fabio, per

arrivare a Federico, Gianluca, Serena, Mara, Alberto, Antonella, Nando, Andrea, Giulio, Chiara (in

rigoroso ordine di distanza dalla mia sedia…) e a tutti gli altri. Un ringraziamento speciale va al

Malta, Maestro di Vita e di Stile, e alla Mastro, Regina dei Casciaratt.

Per tutti gli anni al Politecnico non basterebbe una pagina per elencare le persone che mi hanno

permesso di giungere a questo, ma sarò estremamente sintetico.

Un grazie innanzitutto alla mia famiglia, che mi ha permesso di intraprendere questo percorso.

Come non ringraziare poi Yuri, compagno di studio nei momenti più difficili della triennale?

Last, but not least, desidero ringraziare la mia fidanzata Selene per essermi stata a fianco ed

avermi sostenuto (si dice così adesso “spinto”?) durante tutti questi anni.

128

Appendice A

Selezione di checklist analizzate

Figura 38: checklist A320

129

Figura 39: checklist MD80

130

Figura 40: checklist CRJ-200, parte 1

131

Figura 41:checklist CRJ-200, parte 2

Checklist aeronautiche e Behavior Based Safety modalità di ... Venuti... · LA BEHAVIOR BASED...

Documents

Transcript of Checklist aeronautiche e Behavior Based Safety modalità di ... Venuti... · LA BEHAVIOR BASED...