) ) ) ) ) ) ) ) )

) ) ) ) ) ) ) ) )
Esercitazione n. 2

Incidenti aerei
Comparazione tra l’incidente di Tenerife e gli incidenti degli aerei Boeing 737
Max Boeing usando il modello a groviera svizzera di James Reason
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )
INDICE
Indice

01 Modello groviera svizzera 02 Incidente di Tenerife

Spiegazione del modello groviera Dinamiche dell’incidente con focus sugli
errori attivi e latenti

03 Incidenti Boeing 737 Max 04 Conclusioni

Dinamiche dell’incidente con focus sugli Comparazioni tra gli incidenti
errori attivi e latenti
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

01
Modello groviera
svizzero

MODELLO GROVIERA SVIZZERA

) ) ) ) ) ) ) ) ) MODELLO A GROVIERA SVIZZERA
) ) ) ) ) ) ) ) )
di James Reason
) ) ) ) ) ) ) ) ) MODELLO A GROVIERA SVIZZERA
) ) ) ) ) ) ) ) )
di James Reason
James Reason, psicologo britannico, formulò la teoria del formaggio svizzero
per spiegare come nei sistemi complessi si possano verificare incidenti.

“In un mondo ideale ciascun strato difensivo è intatto. In realtà, tuttavia, è come se vi fossero
molte fette di formaggio svizzero, con molti buchi per ognuno, benchè, a differenza del
formaggio reale, questi buchi si aprono e si chiudono continuamente, spostandosi anche lungo
la superficie della fetta. La presenza di buchi in queste fette di per sè non è sufficiente a
determinare un esito nefasto. Di norma questo può avvenire quando questi buchi in più fette si
allineano, rendendo possibile che la traiettoria di una particolare procedura possa determinare
un evento avverso ad un paziente.”
) ) ) ) ) ) ) ) ) MODELLO A GROVIERA SVIZZERA
) ) ) ) ) ) ) ) )
di James Reason

Le fette del formaggio rappresentano i diversi strati di difesa del sistema, e i buchi invece
sono i difetti all’interno del sistema. Quando i buchi si allineano si crea una via di accesso
per l'errore, che può portare al verificarsi di un evento indesiderato.

Diversi strati di difesa --> barriere (permettono di evitare l’insorgenza di eventi indesiderati),
sono di 3 tipi: di natura fisica, dipendenti da procedure e controlli, dipendenti dall’estro umano

La cosa principale di questo modello è che un errore singolo non causa mai un incidente, ma
l’interazione di molti
) ) ) ) ) ) ) ) ) MODELLO A GROVIERA SVIZZERA
) ) ) ) ) ) ) ) )
di James Reason

Alla base della formazione dei buchi possiamo trovare due motivazioni: i fallimenti
attivi, e i fallimenti latenti.
Fallimenti attivi: identificati come guasti alle componenti dei sistemi oppure oppure come
azioni commesse da chi è in contatto diretto con il sistema o il processo, hanno un impatto
diretto e immediato sul funzionamento del sistema e sull'integrità delle barriere. Sono quelli
che hanno effetto immediato e visibile sul sistema

Fallimenti latenti: derivano da decisioni progettuali, di costruzione oppure da pratiche

consolidate e possono essere considerati come "agenti patogeni" latenti nei sistemi che si
rivelano come fallaci solo dopo l'occorrenza di incidenti. Sono quelli quindi che rimangono
nascosti o inattivi per un periodo di tempo.
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

02

INCIDENTE DI TENERIFE Incidente

Tenerife
) ) ) ) ) ) ) ) ) INCIDENTE DI TENERIFE
) ) ) ) ) ) ) ) )
Il disastro aereo di Tenerife avvenne il 27 marzo
1977, all’aeroporto di Los Rodeos. Fu uno dei
peggiori della storia dell’aviazione, provocando
583 vittime. L’incidente coinvolse due aerei
Boeing 747, uno della compagnia aerea olandese
KLM e della compagnia aerea statunitense Pan
American World Airways.
A causa di una serie di errori di comunicazione e di
comprensione tra l’equipaggio di volo e il controllo
del traffico aereo, i due aerei si scontrarono sulla
pista, in condizioni di scarsa visibilità dovute alla
presenza di nebbia.
) ) ) ) ) ) ) ) ) INCIDENTE DI TENERIFE
) ) ) ) ) ) ) ) )
27 MARZO 1977

Il volo KLM stava decollando dalla pista, senza

autorizzazione, mentre il volo Pan Am stava tassando
(movimentandosi a terra) per uscire, e a causa della
scarsa visibilità dovuta alla nebbia i due equipaggi
non sono stati in grado di vedere l’uno l’altro fino a
quando non fu troppo tardi e si scontrarono.

L’aeroporto di Los Rodeos disponeva di una sola pista e di solito gestisce solo il traffico di piccoli velivoli,
però fu costretto a far atterrare tutti i voli diretti a Gran Canaria a causa di un'allerta bomba nell'aeroporto
di Las Palmas. La mancanza di controllo sulla situazione ha fatto si che i due aerei procedessero
contemporaneamente sulla stessa pista.
) ) ) ) ) ) ) ) ) Fallimenti attivi Fallimenti latenti:
) ) ) ) ) ) ) ) )
Il comandante del volo KML ha deciso di decollare Le condizioni meteorologiche: presenza di
senza autorizzazione dalla torre di controllo. nebbia che limitava la visibilità

Le condizioni dell’aeroporto: sovraffollamento e

Il volo Pan Am non è uscito dall’uscita giusta
assenza di un radar a terra per monitorare la
(C3) per incomprensioni comunicative
posizioni degli aerei.

Rifornimento completo dell'aereo KLM che Scarsa qualità nella comunicazione tra la
permette alla condizione atmosferica torre di controllo e gli aerei che ha generato
nebbiosa di peggiorare incomprensioni

Disponibilità di un solo canale radio per le comunicazioni

Entrambi gli aerei vengono fatti sostare in
con conseguente incapacità di comunicazione
prossimità della taxiway 12 contemporanea tra torre di controllo e piloti
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

03

INCIDENTI BOEING 737

Incidenti
boeing 737
) ) ) ) ) ) ) ) ) INCIDENTE DI BOEING 737 MAX
) ) ) ) ) ) ) ) )

Lion Air Flight 610, 29 ottobre 2018 Ethiopian Airlines Flight 302, 10 marzo 2019
) ) ) ) ) ) ) ) ) INCIDENTE DI BOEING 737 MAX
) ) ) ) ) ) ) ) )
Gli incidenti dei Boeing 737 Max coinvolsero due
aerei: uno, il Lion Air che decollò il 29 ottobre 2018,
dall’Indonesia, che si schiantò in mare e l’altro che
decollò a distanza di qualche mese il 10 marzo 2019,
l’Ethiopian Airlines 302, diretto a Nairobi.

In entrambi gli incidenti le indagini hanno evidenziato

problemi con il sistema anti-stallo MCAS. In entrambi
l’indagine ha rilevato che il sistema automatizzato di
controllo ha ricevuto dati erronei da un sensore di angolo
d’attacco difettoso che nel primo caso ha fatto abbassare il
muso dell’aereo in modo incontrollato e nel secondo ha
comunque portato allo schianto dell’aereo.
) ) ) ) ) ) ) ) ) Fallimenti attivi Fallimenti latenti
) ) ) ) ) ) ) ) )

I sensori non funzionavano correttamente, infatti

hanno attivato erroneamente il sistema MCAS, Il mancato aggiornamento del sistema dopo
progettato per correggere la stabilità del volo che l’incidente del Lion Air
ha però risposto in modo errato

I segnali provenienti dal sistema MCAS sono

Boeing ha deciso di tenere nascosto ai clienti i
stati interpretati male dai piloti,
difetti del modello 737 Max, e alle autorità di
probabilmente per incorretto
regolamentazione
addestramento

Progettazione poco intuitiva del sistema MCAS,

soprattutto rispetto alla sua disattivazione, in quanto una
volta disattivato si ri attivava subito, invece di aspettare i 5
secondi previsti
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

04

CONCLUSIONI: COMPARAZIONI

Conclusioni
 COMPARAZIONI
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )
Possiamo fare alcune comparazioni tra i diversi disastri aerei basate su aspetti
generali, inclusi errori umani, problemi di progettazione, e impatto sulla
sicurezza aerea, anche se sono avvenuti in contesti diversi e riguardano modelli
aerei diversi.

ERRORI DI PROGETTAZIONE ERRORI UMANI E DI COMUNICAZIONE

FATTORI TECNOLOGICI
 ERRORI DI PROGETTAZIONE
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

BOEING 737 MAX

Questi incidenti sono stati principalmente attribuiti a

problemi di progettazione legati al sistema MCAS,
che ha risposto in modo errato a dati erronei dai
sensori di angolo d'attacco.
TENERIFE

In questo caso invece gli errori umani e di

comunicazione hanno giocato un ruolo
predominante rispetto a errori di progettazione
dell'aereo in sé.
 ERRORI UMANI E DI COMUNICAZIONE
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

BOEING 737 MAX

I problemi di comunicazione che hanno affrontato

erano legati alla gestione del sistema MCAS, e
quindi di formazione e consapevolezza.

TENERIFE

In questo incidente invece sono stati più centrali questi

errori, comprendenti decisioni erronee da parte degli
equipaggi e del controllo del traffico aereo
 FATTORI TECNOLOGICI
) ) ) ) ) ) ) ) )
) ) ) ) ) ) ) ) )

BOEING 737 MAX

Problemi tecnologici legati al sistema MCAS, con l'uso di

un singolo sensore di angolo d'attacco e la mancanza di
adeguata redundanza.
TENERIFE

I problemi legati agli strumenti di comunicazione utilizzati, così

come l’assenza dei radar adeguati.
) ) ) ) ) ) ) ) )
CONCLUSIONI
) ) ) ) ) ) ) ) )
Riassumendo, considerando anche i diversi errori latenti e attivi, possiamo notare che nel caso di
Tenerife gli errori attivi e latenti si distribuiscono equamente, mentre nel caso degli aerei Boeing
l’incidente è quasi completamente da attribuire ai fallimenti latenti.

Mentre per quanto riguarda la distribuzione dell’errore tra l’uomo e la automazione vediamo che nei
disastri degli aerei Boeing 737 Max è l’eccessiva automazione ad aver portato al fallimento, con l’essere
umano lasciato solo come eventuale persona per risolvere i problemi per i quali però non era stato
preparato adeguatamente, insieme ad errori di design che si sono ripercossi sul sistema.

Per concludere, però complessivamente è l'errore umano qui a farla da padrone, in quanto è proprio
questo che, sia come fallimento attivo che come fallimento latente, porta agli incidenti, soprattutto in
sistemi ad alta complessità richiedenti una progettazione, un uso e una manutenzione adeguate.
) ) ) ) ) ) ) ) )
FONTI
) ) ) ) ) ) ) ) )
Rizzo, A. (2020). Ergonomia cognitiva. Dalle origini al design thinking. Il Mulino
https://sites.google.com/student.unisi.it/gjovanmarku/esercitazioni/esercitazione-2?authuser=0
https://sites.google.com/student.unisi.it/markonikolic/esercitazioni/esercitazione-2?authuser=0
https://clinicalriskmanagement.it/swiss-cheese-model/
https://it.wikipedia.org/wiki/Disastro_aereo_di_Tenerife
https://it.wikipedia.org/wiki/Volo_Lion_Air_610
https://it.wikipedia.org/wiki/Volo_Ethiopian_Airlines_302

Margherita Iannucci
Margherita Iannucci
Matricola: 115209