Chiunque di voi abbia preso un aereo sa bene la quantità di controlli da superare prima dell’imbarco e l’attenzione meticolosa dedicata a computer portatili, tablet e smartphone.
Anche a bordo dell’aereo il personale di volo e le istruzioni di sicurezza che trovate nel sedile di fronte insistono sulla necessità di comunicare urgentemente eventuali surriscaldamenti dei dispositivi che avete con voi.
Questo a causa delle batterie al litio che equipaggiano molti degli oggetti che utilizziamo quotidianamente.
La storia di oggi spiega perché le compagnie aeree siano così attente ai nostri device elettronici.
Il 3 settembre 2010, il volo UPS 6, un aereo cargo sulla rotta Dubai – Colonia, si schiantò causando la morte dei due piloti ai comandi.
L’equipaggio si trovò ad affrontare una situazione drammatica: un incendio a bordo danneggiò il velivolo e il fumo prodotto, invadendo la cabina di pilotaggio, rese estremamente difficile la gestione dell’emergenza.
Questo incidente ha acceso i riflettori sul mondo dell’aviazione e sui pericoli nascosti dietro il trasporto di merci pericolose, portando a una revisione globale delle normative sul trasporto di batterie al litio e di altri materiali infiammabili
Contesto Storico e Background
Il volo UPS 6 era parte della vasta rete globale di trasporto merci della UPS Airlines, che utilizza aerei cargo di medie e grandi dimensioni per le spedizioni internazionali.
Il protagonista della storia di oggi, un Boeing 747-400, era uno degli aerei più recenti costruiti di questa serie, prima dell’introduzione del successivo modello, il 747-8.
Il velivolo era carico di una vasta gamma di merci, tra cui anche container contenenti batterie al litio, classificate come “merci pericolose”.
Il litio, utilizzato per la produzione di batterie, è estremamente pericoloso da trasportare per diverse ragioni legate alla sua instabilità chimica e alla sua natura infiammabile.
Vi do qualche parametro per capire con cosa abbiamo a che fare.
Il litio è un elemento altamente reattivo, che può infiammarsi facilmente a contatto con l’umidità dell’aria.
Incendiandosi può rilasciare gas estremamente infiammabili, come l’idrogeno, il che rende l’incendio più violento e l’estinzione decisamente più difficile. Pensate che le temperature possono superare di parecchio i 1.000°C.
Se vi sembrano tanti, lo sono. Considerate che l’acciaio fonde a circa 1.500°C.
Le batterie al litio sono comunemente spedite in grandi quantità su voli cargo, e l’alta densità di stoccaggio può far sì che un piccolo difetto in una batteria scateni una reazione a catena, causando incendi che si propagano rapidamente (un fenomeno noto come “effetto domino”).
Le variazioni di temperatura e le vibrazioni, fenomeni abbastanza comuni su un aereo cargo, possono contribuire a un guasto strutturale delle batterie, aumentando il rischio di incidenti.
E nonostante la presenza di diversi sistemi di sicurezza per contenere le conseguenze di un incendio a bordo, questi non sono sempre in grado di sopprimere efficacemente gli incendi causati dal litio, anche in virtù delle condizioni di volo, che possono influenzare negativamente la stabilità delle batterie.
Negli anni precedenti l’incidente del volo UPS 6, le batterie al litio erano state oggetto di diversi episodi preoccupanti. Già nel 2006, un aereo della FedEx aveva subito un incendio a bordo, attribuito al trasporto di batterie al litio, sebbene l’incidente fosse stato contenuto e l’aereo fosse atterrato in sicurezza.
Questo e altri incidenti minori avevano sollevato dubbi sull’efficacia delle normative esistenti per il trasporto di merci pericolose via aerea.
L’Organizzazione Internazionale dell’Aviazione Civile e la Federal Aviation Administration americana avevano introdotto regolamenti per il trasporto sicuro delle batterie al litio, imponendo misure specifiche come l’imballaggio protettivo e il limite di quantità consentite in una singola spedizione.
Tuttavia, molti esperti del settore temevano che tali misure non fossero sufficienti, soprattutto considerando la rapida crescita del commercio elettronico e la conseguente domanda di spedizioni di dispositivi alimentati da queste batterie.
Le preoccupazioni non erano prive di fondamento: gli aerei cargo sono dotati di rilevatori di fumo e sistemi antincendio nelle stive, oltre a specifici rivestimenti antifiamma delle pareti interne, ma le condizioni particolari dell’incendio del volo UPS 6, superarono le capacità di contenimento del sistema a bordo.
Solo dopo questo incidente, in cui due piloti hanno perso la vita mentre stavano lavorando, le organizzazioni regolamentari internazionali presero misure significative per rivedere le norme sul trasporto delle batterie al litio.
Soffermiamoci un attimo su questo punto: tendiamo quasi a spersonalizzare gli incidenti aerei come se fossero eventi di chissà quale natura. Invece sono incidenti in cui, come in questo caso, l’equipaggio sta svolgendo le mansioni per cui percepisce lo stipendio.
Narrazione dell’Incidente
Andiamo alla sera del 3 settembre 2010.
Dopo essere arrivato da Hong Kong nelle prime ore della giornata, il volo UPS 6 decollò dall’aeroporto internazionale di Dubai, con destinazione Colonia, in Germania.
L’equipaggio designato era formato dal comandante Doug Lampe e dal primo ufficiale Matthew Bell.
Si trattava di piloti esperti, con migliaia di ore di volo alle spalle.
Dopo il decollo, raggiunto lo spazio aereo del Bahrein, l’equipaggio sintonizzò la radio sulla frequenza della Torre di Controllo, portandosi gradualmente ad una quota di 9.500 m.
Circa 20 minuti dopo la partenza, l’allarme incendio del ponte principale risuonò nella cabina di pilotaggio, segnalando un focolaio nel compartimento cargo, mentre l’aereo si trovava circa 220 km a nordovest di Dubai.
I piloti intervennero tempestivamente mettendo in pratica il loro addestramento e dividendosi i compiti per far fronte all’emergenza.
Mentre il capitano disabilitava il pilota automatico prendendo il comando dell’aereo, il primo ufficiale si dedicava alla verifica della checklist di bordo.
Questo aspetto del settore aeronautico mi ha sempre affascinato. La presenza di procedure dettagliate per l’esecuzione di compiti più o meno complessi è di fondamentale importanza, tanto per un aereo quanto per un lavoro che si svolge con i piedi per terra.
Sapere cosa fare e come farlo è una delle misure di prevenzione più efficaci in assoluto, a patto di rispettare minuziosamente la scaletta delle azioni.
Se non ci credete, provate a montare un mobile di Ikea senza le istruzioni!
Purtroppo ad oggi le procedure sono ancora poco diffuse nella maggior parte delle aziende medio piccole, che operano spesso con un metodo quasi artigianale, lontano dalla ricerca della sicurezza, vista come un impiccio, una perdita di tempo.
Torniamo a bordo.
Il comandante contattò la torre dichiarando il problema ed ebbe l’indicazione di dirigersi verso l’aeroporto più vicino, a Doha. L’equipaggio tuttavia richiese di poter tornare a Dubai, poco più distante, un aeroporto conosciuto e ben attrezzato per la gestione di emergenze anche gravi:
19:12:57 – CPT: “Incendio, ponte principale avanti. Prendo il controllo.”
19:13:07 – CPT: “Ho la radio, vai avanti e segui la checklist.”
19:13:14 – CPT all’ATC: “Abbiamo appena ricevuto un’indicazione di incendio sul ponte principale, devo atterrare il prima possibile.”
19:13:19 – ATC: “Doha è alle dieci e a cento miglia, è abbastanza vicino?”
19:13:23 – CPT: “E se facessimo un’inversione per tornare a Dubai? Vorrei dichiarare un’emergenza.”
19:13:27 – ATC: “UPS 6, gira a destra verso zero-nove-zero e scendi al livello di volo due-otto-zero.”
Ottenuto l’ok dalla torre per rientrare su Dubai, l’equipaggio impostò la rotta.
Il primo ufficiale iniziò la procedura di depressurizzazione della stiva per rimuovere l’ossigeno, un sistema che in condizioni di emergenza – diciamo – ordinarie, avrebbe risolto il problema
Il vantaggio di non avere passeggeri a bordo è notevole in questo caso.
Le procedure di sicurezza infatti prevedevano di depressurizzare la stiva e portare l’aereo ad almeno 6.000 m di quota, per privare le fiamme dell’ossigeno.
Dopo aver indossato le maschere respiratorie, come misura di sicurezza ulteriore richiesta dalle procedure, altri allarmi iniziarono ad attivarsi, segnalando che altre aree della stiva erano interessate dalle fiamme.
Il sistema antincendio primario non aveva funzionato.
Qui si presentò il secondo problema.
I microfoni installati dentro ai respiratori richiedevano di essere settati per il funzionamento corretto. Dopo pochi minuti, risolta la questione del microfono e ripristinato il contatto con la torre, iniziò il terzo dei problemi: il fumo iniziò ad invadere la cabina di pilotaggio.
Il capitano Lampe, nel tentativo di scendere a 3.000 m, lamentò problemi di manovra, rendendosi conto di non avere il controllo dello stabilizzatore di coda, il dispositivo mobile che permette all’aereo di salire e scendere di quota.
Ancora non potevano saperlo ma il fuoco, bruciando il rivestimento protettivo ignifugo che ricopriva la stiva aveva causato il quarto problema della nostra storia, distruggendo il sistema di controllo di volo primario, impendendo così di governare manualmente l’aereo.
Il fumo intanto aumentava, compromettendo la loro capacità di vedere gli strumenti di volo.
Il comandante riuscì a riattivare il pilota automatico cercando il comando alla cieca, dimostrando una conoscenza del suo aereo eccellente.
Da principio, questa scelta si rivelò vincente. I sistemi di controllo manuali e quelli del pilota automatico infatti sono completamente separati, per garantire la ridondanza necessaria ad ottenere la sicurezza di manovra dell’aereo.
Quasi fuori dallo spazio aereo del Bahrein, l’equipaggio ebbe a che fare con il quinto problema: non riuscivano a vedere il computer di bordo per impostare la rotta del pilota automatico verso Dubai. E questo era un problema enorme. L’inserimento delle coordinate infatti gli avrebbe permesso, in avvicinamento, di agganciare l’ILS, un sistema in grado di guidare l’aereo a terra, scortandolo in un “tunnel” virtuale verso la pista di atterraggio.
Dopo molta fatica, Bell riuscì ad inserire le coordinate. Mancavano 6 minuti alla pista.
Si presentò quindi il sesto problema: l’aereo andò oltre la portata dei radar del Bahrein. Il controllore di volo, ormai cieco, chiese supporto alla torre di controllo di Abu Dhabi, per fornire le indicazioni necessarie al volo UPS 6. E qui si verificò il settimo problema. La comunicazione da qui in poi diventerà difficoltosa e richiederà molti – troppi – passaggi per inviare le comunicazioni all’aereo.
Pochi istanti dopo, alle 19:20, l’ottavo problema: il sistema di respirazione del comandante smise di funzionare, danneggiato dal fuoco. Il comando dell’aereo passò al primo ufficiale Bell. Questa la comunicazione tra i piloti:
19:19:56 – CPT: “Non ho ossigeno.”
[…]
19:20:02 – CPT: “Non ho ossigeno, non riesco a respirare.”
19:20:04 – F.O.: ” Ok, Ok.”
19:20:20 – CPT: “(Sono senza) ossigeno.”
[…]
19:20:21 – CPT: “Pilota tu l’aereo.”
Il comandante lasciò i comandi al collega e si alzò dal sedile per recuperare il respiratore di riserva, posizionato dietro al suo posto.
Perse conoscenza quasi immediatamente, crollando sul pavimento della cabina di pilotaggio.
La causa principale di decessi durante gli incendi è rappresentata proprio dall’inalazione dei fumi tossici che causano un fenomeno detto ipossia, ovvero la riduzione della percentuale di ossigeno necessaria alla sopravvivenza.
E iniziò così il nono problema: rimasto solo ai comandi Bell oltre a non essere più visibile sui radar del Bahrein, stava per uscire anche dalla sua portata di ricezione radio.
Il controllore del Bahrein comunicò quindi di entrare in contatto con Dubai, rivelando al pilota ai comandi il decimo problema: la radio non era visibile. Era impossibile raggiungerla per cambiare la frequenza di comunicazione.
Il controllore ebbe quindi un’idea. Utilizzare degli aeromobili di supporto, ovvero sfruttare gli altri aerei in volo nello spazio aereo vicino per veicolare le proprie comunicazioni.
Il giro era questo: Bahrein parlava con Abu Dhabi per avere i dati di volo dell’aereo in emergenza, ricevuta l’informazione la inviava ad un aereo di supporto che a sua volta comunicava con UPS 6.
L’idea, seppure fosse l’unica soluzione possibile, presentava due enormi limiti: il ritardo nelle comunicazioni avrebbe fornito al volo UPS 6 dati inesatti e differiti, considerando che viaggiava a circa 600 km/h. Inoltre, la presenza di troppi intermediari tra una comunicazione e l’altra avrebbe portato ad avere informazioni finali incomplete e potenzialmente diverse da quelle iniziali. Ricordate il gioco del “telefono senza fili” che si faceva da bambini?
Bene, con questo siamo a undici problemi.
Riuscite a immaginare il carico di lavoro a cui era soggetto il pilota? In meno di 20 minuti si verificò tutta la catena di eventi. Proviamo a riassumerla:
- Allarme incendio a bordo (richiede tempi di intervento rapidissimi)
- I microfoni dei respiratori richiedono una regolazione (tempo perso)
- Il fumo invade la cabina di pilotaggio (si riduce la visibilità)
- I comandi manuali non rispondono (non si può governare l’aereo)
- Difficoltà nell’impostare il pilota automatico (tempo perso)
- Invisibilità ai radar della torre con cui si è in contatto (difficoltà nel reperimento di informazioni vitali)
- Sfruttamento di una seconda torre di controllo per avere informazioni utili sulla posizione dell’aereo (ulteriore tempo perso)
- Esaurimento dell’ossigeno nel respiratore del comandante (da qui in poi un solo pilota sarà ai comandi)
- Superamento della portata radio della torre di controllo con cui il pilota è in contatto e necessità di intermediari (tempo perso e incremento della possibilità di errore)
- Il telefono senza fili (carenze nella comunicazione)
- Impossibilità di contattare la torre di controllo dell’aeroporto di destinazione
È difficile immaginare una situazione peggiore di questa. Non vieni addestrato per un’emergenza del genere, devi essere abbastanza freddo da mettere insieme tutte le tue conoscenze e ricavare una procedura nuova, che possa funzionare.
E sei il primo che prova a metterla in pratica.
E sei solo a metà del lavoro.
Nonostante tutto, Bell riuscì ad attivare il sistema di atterraggio automatico del 747, per agganciare l’ILS.
Inizialmente sembrava che i suoi sforzi potessero dare risultati. Era infatti riuscito ad allineare l’aereo alla pista. Il tutto nell’impossibilità di manovrare efficacemente l’aereo coi comandi manuali.
Ma sfortunatamente, dodicesimo problema, era troppo alto e troppo veloce e il segnale dell’ILS venne perso.
Venne richiesto a Bell di effettuare una svolta a 360° per provare a riallinearsi. Ma non era possibile.
Il pilota provò ad impostare il pilota automatico per effettuare una discesa ripida e cercando a tentoni sui comandi riuscì ad estrarre i flap e ad azionare il comando di attivazione del carrello di atterraggio.
Un altro allarme, il tredicesimo problema. Il carrello non si muoveva.
19:38:20 – Primo ufficiale: “Non ho il carrello di atterraggio.”
19:38:37 – Primo ufficiale: “Signore, dove siamo? Dove ci troviamo?”
19:38:39 – Dubai 1: “Riesci a girare a sinistra ora verso Sharjah? È a dieci miglia di distanza.”
Bell venne informato sulla rotta da impostare per virare verso la pista di Sharjah, ricevendo l’indicazione di effettuare una virata di 95° a sinistra.
Ma commise un errore, il quattordicesimo problema: impostò la rotta a 195°, determinando una svolta dell’aereo nella direzione opposta. Accorgendosi subito dell’errore, disabilitò il pilota automatico per correggere manualmente la rotta, ma i comandi manuali ormai non rispondevano più e l’aereo iniziò a puntare il muso verso il basso. E siamo a quindici problemi.
Il sistema di allarme di prossimità al suolo suona in cabina: “PULL UP”, “TIRA SU”.
Dopo aver miracolosamente superato un centro abitato, grazie alle manovre di Bell, l’ala destra colpì il suolo in un’area desertica tra due arterie stradali e il 747 in fiamme slittò di alcuni metri, esplodendo in una palla di fuoco.
Alle 19:41:35 la scatola nera interruppe il rilevamento dei dati.
Entrambi i membri dell’equipaggio persero la vita nell’incidente.
Conseguenze Legali e Giudiziarie
Le indagini furono condotte dall’Autorità Generale dell’Aviazione Civile degli Emirati Arabi Uniti (GCAA), che coinvolse nell’inchiesta i tecnici dell’NTSB americano, essendo l’aero prodotto dalla Boeing. Chi ha visto almeno una volta “Indagini ad alta quota” sa di chi sto parlando.
Il primo indizio degli inquirenti era fondamentale: fuoco a bordo. Si trattava di capire come si era sviluppato.
Gli investigatori dovettero faticare parecchio per raccogliere le prove utili alla soluzione del caso. L’aereo aveva impattato terra con un angolo basso e ad alta velocità e i rottami erano sparsi su una superficie enorme.
La ricerca si concentrò subito sul registratore di cabina e il registratore di volo.
Mentre il primo venne trovato quasi subito, permettendo di ascoltare le comunicazioni dei minuti immediatamente precedenti all’impatto, per il registratore di volo ci vollero 3 giorni di ricerche, sotto il sole rovente di Dubai.
Uno degli investigatori trovò una piccola batteria al litio che mostrava i segni del fuoco. Questo suggerì la pista da seguire per arrivare alla soluzione.
Consultando il manifesto di carico dell’aereo infatti si scoprì che nella stiva si trovavano oltre 80.000 batterie al litio.
Conoscendo la pericolosità del litio, il team incaricato delle indagini effettuò dei test in laboratorio verificando di persona l’estrema reattività al fuoco delle batterie, che bruciavano in maniera violenta propagando velocemente l’incendio a seguito del loro surriscaldamento. In alcuni casi era capitato che le batterie si trasformassero in veri e propri proiettili, lanciati a tutta velocità verso il materiale circostante, estendendo ulteriormente le fiamme.
Analizzando la catena dei guasti registrati dalla scatola nera, si riuscì a risalire alla posizione dei container di batterie e al percorso delle fiamme nella stiva.
L’incendio si era sviluppato proprio sotto la cabina di pilotaggio, in un punto nevralgico dell’aereo, nel quale passano molti dei comandi principali, quelli che avevano smesso di funzionare quasi subito durante le prime fasi dell’emergenza.
E nonostante tutto, il pilota ai comandi era riuscito a far schiantare l’aereo lontano dagli edifici del centro abitato che stava sorvolando.
Ma com’è possibile che il rivestimento ignifugo della stiva non fosse riuscito a contenere le fiamme? Lo hanno messo apposta.
Il calore sviluppato e l’espansione delle fiamme aveva letteralmente distrutto l’ultima barriera protettiva disponibile nell’area di carico.
La relazione redatta al termine delle indagini conteneva 36 raccomandazioni relative ad altrettante misure di mitigazione ritenute necessarie per incrementare la sicurezza.
Le famiglie delle vittime, le associazioni di piloti e i sindacati internazionali fecero pressione affinché venissero implementate procedure più efficaci per la gestione di situazioni di emergenza come gli incendi a bordo degli aerei da trasporto.
Una delle conseguenze più immediate dell’incidente fu la revisione delle normative sull’aviazione e le autorità internazionali presero subito provvedimenti.
Vennero introdotte misure più stringenti riguardo l’imballaggio, la ventilazione e i sistemi di sicurezza a bordo per i voli cargo.
Relativamente al trasporto, venne imposta una riduzione sensibile delle quantità di batterie al litio trasportabili, che oggi devono viaggiare stoccate in imballaggi certificati, dotati di rilevatori antincendio e resistenti a condizioni di stress termico elevato.
Gli aerei cargo furono inoltre dotati di sistemi antincendio più avanzati, specificamente progettati per rilevare e contenere incendi alimentati da batterie al litio.
UPS si mise all’opera per migliorare le proprie pratiche di sicurezza ancor prima dell’emissione del rapporto sull’incidente.
Iniziò il collaudo di speciali container resistenti ad alte temperature per lunghi periodi di tempo.
Si parla di container in grado di resistere a temperature di oltre 600°C per almeno 4 ore, sufficienti per portare un aereo a terra in caso di emergenza.
Inoltre sviluppò maschere respiratorie più facili da indossare e collaborò attivamente allo sviluppo di un sistema speciale di sicurezza per consentire la visibilità anche in una cabina invasa dal fumo, per mezzo di una sorta di tenda trasparente che consente di vedere i comandi e di mantenere il contatto visivo con ciò che si trova fuori dal parabrezza.
Testimonianze e Reazioni
Com’è ovvio aspettarsi, l’incidente del volo UPS 6 colpì profondamente la comunità aeronautica internazionale.
Le testimonianze di chi conosceva i membri dell’equipaggio confermarono come Douglas Lampe e Matthew Bell, i due piloti a bordo del volo UPS 6, fossero piloti rispettati per la loro competenza e professionalità, molto esperti e ben addestrati.
Una delle voci più toccanti fu quella di Richard Philips, controllore di volo della torre del Bahrein, che aveva mantenuto le comunicazioni con il volo durante tutta l’emergenza.
L’uomo, descrisse il momento in cui l’aereo uscì dalla portata dal radar come uno dei più difficili della sua carriera, cercando di mantenere il contatto fino alla fine pur sapendo che gli sforzi dei piloti potevano risultare insufficienti.
Anche le famiglie dei due piloti si espressero pubblicamente. Le loro dichiarazioni riflettevano il dolore per la perdita ma anche una ferma determinazione a garantire che altri piloti non dovessero affrontare gli stessi pericoli.
La moglie del capitano Lampe, in un’intervista, sottolineò la necessità di una maggiore consapevolezza sui pericoli legati al trasporto aereo di materiali infiammabili, chiedendo che questo tipo di tragedie fosse evitato attraverso una migliore regolamentazione e tecnologie di prevenzione più efficaci.
Fortunatamente, come spiegato poco fa, le reazioni non si limitarono solo alle parole. Le compagnie aeree, UPS su tutte, iniziarono a rivalutare le loro pratiche operative, avviando una revisione interna dei protocolli di sicurezza, collaborando con le autorità per migliorare le pratiche di gestione delle merci pericolose e sensibilizzando i propri dipendenti sui rischi legati al trasporto di merci infiammabili.
Magari le attività industriali mostrassero sempre la stessa risposta dopo un grave incidente!
Conclusione e Riflessioni Finali
L’incidente del volo UPS 6 ci insegna che la sicurezza può essere compromessa a causa di errori di valutazione e sottostima dei pericoli. Anche nel settore del trasporto aereo, uno dei più regolamentati in assoluto.
Grazie alle riforme che sono seguite all’incidente, oggi siamo più consapevoli dei rischi legati al trasporto di batterie al litio e altri materiali pericolosi e abbiamo a disposizione un apparato normativo specifico per il trasporto sia su terra (il regolamento ADR in Italia ed Europa) che in aria (per mezzo delle linee guida emanate da ICAO e IATA, i principali enti internazionali di normazione del settore aeronautico).
Resta inteso che questo tipo di attività non potrà mai essere a rischio zero, ma la riduzione dei rischi, quando questi non sono eliminabili, può portare comunque risultati apprezzabili.
Ridurre i rischi significa minimizzare le conseguenze di un evento dannoso.
Minimizzare le conseguenze di un evento dannoso significa salvare qualcuno.
E ridurre i morti sul lavoro, anche in settori meno controllati e normati di quello della storia di oggi.
