Cosa può imparare la sicurezza in mare dall’aviazione: la storia di TCAS e TAWS

Come l’aviazione ha affrontato il problema della prevenzione delle collisioni, e quali lezioni valgono anche per il mare.

Quando pensiamo a come rendere il mare più sicuro, sarebbe da ingenui non alzare lo sguardo verso il cielo. L’aviazione opera in un ambiente molto meno indulgente del nostro: tre dimensioni invece di due, velocità nell’ordine delle centinaia di nodi e margini d’errore che si misurano in secondi, non in minuti. Eppure, negli ultimi cinquant’anni, il settore aeronautico ha ottenuto progressi straordinari sul fronte della sicurezza, soprattutto nel prevenire le due categorie di incidenti più catastrofiche: la collisione in volo e l’impatto controllato con il suolo.

Le tecnologie nate da questo sforzo — TCAS (Traffic Collision Avoidance System) e TAWS (Terrain Awareness and Warning System) — hanno molto da insegnare a chi, come noi, lavora per rendere il mare più sicuro.

Il problema: i limiti umani in un ambiente ad alta velocità

Per gran parte della sua storia, l’aviazione ha affidato la prevenzione delle collisioni allo stesso principio che governa ancora oggi buona parte della navigazione marittima: vedere ed evitare. Il pilota doveva mantenere la separazione visiva dagli altri velivoli. I controllori del traffico aereo aggiungevano un ulteriore livello di sicurezza ma, alla fine dei conti, l’ultima linea di difesa restavano gli occhi del pilota.

Agli albori del volo, questo funzionava abbastanza bene. Ma con cieli sempre più affollati e velivoli sempre più veloci, i limiti del metodo sono diventati tragicamente evidenti. Tra due jet che si avvicinano frontalmente la velocità di chiusura può superare i 1.000 nodi: dal momento in cui il pilota scorge un puntino sul parabrezza a quello dell’impatto possono passare pochi secondi. I tempi di reazione umani, semplicemente, non bastano.

Allo stesso modo, l'”impatto controllato con il suolo” (CFIT) — quando un velivolo perfettamente funzionante finisce contro il terreno, spesso in scarsa visibilità — è rimasto una delle principali cause di incidenti mortali fino agli anni Settanta inoltrati. Piloti disorientati o distratti scendevano contro montagne o rilievi che non avevano mai visto arrivare.

TCAS: la sentinella elettronica contro la collisione in volo

Il Traffic Collision Avoidance System è nato da un’intuizione tanto semplice quanto potente: i velivoli portano già a bordo dei transponder che trasmettono identità e quota. E se quei transponder potessero parlarsi tra loro, indipendentemente dal controllo da terra?

Il TCAS funziona interrogando attivamente i transponder dei velivoli vicini. Quando il TCAS del tuo aereo emette un segnale radio, ogni transponder nel raggio d’azione risponde comunicando identità e quota. Cronometrando queste risposte e seguendole nel corso di interrogazioni ripetute, il TCAS costruisce un’immagine tridimensionale del traffico attorno a te: distanza, quota relativa e, soprattutto, velocità di chiusura.

La genialità del TCAS sta nelle sue previsioni. Non si limita a dirti dove sono gli altri velivoli adesso: calcola dove saranno e se le vostre traiettorie si incroceranno.

Quando i calcoli segnalano un pericolo, il TCAS emette avvisi in due fasi crescenti:

Ciò che rende il TCAS particolarmente elegante è la sua capacità di coordinamento. Quando due velivoli dotati di TCAS sono in rotta di collisione, i loro sistemi dialogano via data link per garantire manovre complementari. Se a uno viene ordinato di salire, all’altro viene ordinato di scendere. Il sistema scongiura lo scenario da incubo in cui entrambi i piloti compiono la stessa scelta evasiva.

L’interfaccia umana: come imporre un’azione immediata

Forse l’aspetto più istruttivo del TCAS e del TAWS per chi progetta sistemi marittimi è proprio il modo in cui comunicano con il pilota. L’aviazione ha imparato a sue spese che l’interfaccia tra macchina e uomo conta quanto la tecnologia che le sta sotto.

Pensa a cosa si trova davanti un pilota: una plancia gremita di strumenti, il brusio della radio, il rumore dei motori e il carico mentale di gestire un volo complesso. In questo contesto, il sistema di sicurezza deve far arrivare un avviso che catturi l’attenzione all’istante e inneschi la reazione corretta.

La risposta dell’aviazione combina tre canali contemporaneamente:

1. Un segnale audio inconfondibile

Gli avvisi vocali sono studiati con cura per emergere oltre il rumore di cabina e il traffico radio. Il TCAS usa frasi come “Traffic, traffic” per le segnalazioni e “Climb, climb!” o “Descend, descend!” per i comandi. Il TAWS è ancora più perentorio: “Terrain, terrain—pull up!”. La formulazione è standardizzata in tutto il mondo: le parole esatte sono imposte, non semplicemente consigliate. Un pilota addestrato in Brasile sente comandi identici a uno addestrato in Norvegia.

Curiosità: le prime ricerche sui fattori umani suggerivano che le voci femminili attirassero più facilmente l’attenzione dei piloti uomini. Per questo il sistema fu soprannominato “Bitching Betty” nell’aviazione militare nordamericana (o “Nagging Nora” nel Regno Unito).

2. La rappresentazione visiva

Il TCAS sovrappone le sue informazioni direttamente all’indicatore di velocità verticale (VSI), uno strumento che il pilota tiene già sott’occhio. Quando scatta un Resolution Advisory, sul quadrante del VSI compaiono archi colorati: il rosso indica la fascia di velocità verticale che porta alla collisione (la zona da “evitare”), mentre il verde indica la fascia sicura verso cui il pilota deve dirigersi. Nessuna ambiguità: vai verso il verde, lontano dal rosso.

Questo è fondamentale. Il sistema non si limita a dire al pilota cosa fare: glielo mostra, su uno strumento che sta già osservando, con colori che non richiedono alcuna interpretazione.

3. Una gerarchia di priorità

Quando più sistemi si contendono l’attenzione, l’aviazione ha stabilito una precedenza chiara. Gli avvisi del TAWS (terreno) hanno la priorità su quelli del TCAS (traffico), perché finire al suolo è più immediatamente fatale di una potenziale collisione che si potrebbe ancora evitare. I sistemi sono progettati per non entrare in conflitto: se il TCAS ordina di scendere ma sotto c’è del terreno, il TAWS prende il sopravvento con “Pull up!”.

Confronta tutto questo con i tipici allarmi marittimi: un bip, magari una luce lampeggiante, forse un messaggio di testo su uno schermo che lo skipper deve leggere e interpretare mentre allo stesso tempo governa la barca, gestisce le vele e l’equipaggio. Il contrasto è netto.

Il confronto con il COLREG: il problema dell’ambiguità in mare

Vediamo ora come funziona la prevenzione delle collisioni in mare. Il Regolamento internazionale per prevenire gli abbordi in mare — il COLREG — è un capolavoro di giurisprudenza ottocentesca. Codificato per la prima volta nel 1972, definisce un sistema di regole che stabilisce quale imbarcazione deve dare la precedenza in ogni incontro.

Il problema? Vanno interpretate.

Prendi un semplice incrocio di rotte ai sensi della Regola 15. Un’imbarcazione a motore che arriva dalla tua dritta ha la precedenza: tu devi tenerti libero. Fin qui è chiaro. Ma cosa significa esattamente “incrociare”? A che angolo una situazione di sorpasso diventa un incrocio di rotte? Il regolamento dice che è in sorpasso un’imbarcazione che proviene da più di 22,5 gradi a poppavia del traverso, ma come fa uno skipper a misurare con precisione quell’angolo di notte, con mare formato, davanti a una luce che potrebbe essere a un miglio come a tre?

La cosa si complica quando una barca a vela incontra un’altra barca a vela. La Regola 12 disciplina le imbarcazioni a vela: quando hanno il vento da lati diversi, deve tenersi libera quella che riceve il vento da sinistra. Quando lo ricevono dallo stesso lato, deve tenersi libera quella sopravvento. Ed è qui che la mente del marinaio comincia a vacillare: e se non riesco a capire da che lato l’altra barca riceve il vento? La Regola 12(a)(iii) impone allora alla barca con le mura a sinistra di tenersi libera, ma questo presuppone una conoscenza che lo skipper potrebbe non avere, soprattutto di notte o a distanza.

Pensa poi alla gerarchia della Regola 18. Le imbarcazioni a motore devono tenersi libere da quelle a vela. Tranne quando la barca a vela è in sorpasso. Tranne nei canali stretti, dove ai sensi della Regola 9 una barca a vela “non deve intralciare” un’imbarcazione che può navigare in sicurezza solo all’interno del canale. Ma cosa significa “intralciare”? Il regolamento non lo dice. E quanto deve essere stretto un canale? Lo deve giudicare lo skipper.

La Regola 17(a)(ii) consente all’imbarcazione che ha la precedenza di “manovrare da sola per evitare la collisione” quando diventa evidente che chi deve dare la precedenza non sta facendo la cosa giusta — ma quando diventa evidente? Il regolamento non offre alcuna risposta numerica. E intanto la velocità di chiusura cresce.

La differenza di fondo rispetto all’aviazione è lampante: il TCAS elimina del tutto l’interpretazione. “Climb, climb!” non è discutibile. Lo skipper di una barca a vela, invece, può ritrovarsi a percorrere un albero decisionale di complessità straordinaria: è una barca a vela o a motore? Con quali mura naviga? Stiamo incrociando o sorpassando? È un canale stretto? Sto intralciando o ho la precedenza? E loro cosa pensano che stia succedendo?

Il COLREG presuppone che entrambe le parti analizzino correttamente la situazione e arrivino alla stessa conclusione. Quando non accade — e spesso non accade — il risultato è confusione, mancate collisioni per un soffio e, a volte, tragedia.

TAWS: vedere il suolo prima di colpirlo

Il Terrain Awareness and Warning System affronta una minaccia diversa ma altrettanto letale. Il Ground Proximity Warning System (GPWS) originale, sviluppato da C. Donald Bateman alla Honeywell negli anni Sessanta, usava un radioaltimetro per misurare direttamente la quota del velivolo rispetto al terreno sottostante. Se la discesa verso il suolo era troppo rapida, scattavano gli allarmi.

Ma il primo GPWS aveva un limite cruciale: vedeva solo in verticale, sotto di sé. Se un velivolo volava in orizzontale verso un pendio montuoso in salita, il sistema non rilevava la minaccia fino a quando era ormai troppo tardi.

Il TAWS moderno (chiamato anche Enhanced GPWS o EGPWS) risolve il problema combinando il posizionamento GPS con un database digitale del terreno a copertura mondiale. Il sistema sa dove si trova ogni montagna, collina e ostacolo. Confronta di continuo la posizione e la traiettoria del velivolo con questo database, fornendo un preavviso sui conflitti con il terreno, anche quando il rilievo si trova davanti e non sotto.

Quando il TAWS rileva una minaccia, il pilota sente avvisi inequivocabili: “Terrain, terrain—pull up!” oppure “Too low—terrain!”. A questo sistema viene attribuito il merito di aver praticamente azzerato gli incidenti CFIT tra i velivoli che ne sono dotati.

Il fattore umano: quando la tecnologia incontra la cultura

La tecnologia da sola non basta a garantire la sicurezza. La tragica collisione in volo di Überlingen, nel 2002, lo ha dimostrato con una chiarezza devastante.

La notte del 1° luglio 2002, un Tupolev Tu-154 della Bashkirian Airlines con 69 persone a bordo (di cui 52 bambini) e un Boeing 757 cargo della DHL si trovavano in rotta di collisione nei cieli della Germania meridionale. Entrambi erano dotati di TCAS. Il sistema ha funzionato esattamente come progettato: ha ordinato al Tupolev di salire e al Boeing di scendere.

Ma quasi nello stesso istante, un controllore del traffico aereo — solo e sovraccarico di lavoro — ordinò via radio al Tupolev di scendere. L’equipaggio russo, addestrato a considerare prioritarie le istruzioni del controllore, obbedì all’uomo invece che alla macchina. L’equipaggio del Boeing seguì il proprio TCAS e scese. I due velivoli si scontrarono in volo. Persero la vita tutte le 71 persone a bordo dei due aerei.

Questa lezione — i sistemi di sicurezza vanno usati in modo identico da tutti, ovunque — ha implicazioni profonde per la tecnologia marittima. L’ambiguità uccide.

I bus dati: il sistema nervoso degli aerei moderni

Per chi ha familiarità con NMEA 2000 in barca, l’approccio dell’aviazione alla comunicazione dei dati offre paralleli interessanti — e qualche contrasto.

Lo standard dominante nell’aviazione commerciale è stato l’ARINC 429, entrato in servizio nei primi anni Ottanta su velivoli come il Boeing 757 e l’Airbus A310. A differenza della rete bidirezionale di NMEA 2000, l’ARINC 429 è rigorosamente unidirezionale: un singolo trasmettitore invia il segnale fino a 20 ricevitori attraverso una coppia di fili intrecciati. Questa semplicità garantisce una temporizzazione deterministica — sai sempre quando arriveranno i dati — ma richiede molti cablaggi separati, con un aumento di peso e complessità.

I velivoli moderni come il Boeing 787 usano un mix di tecnologie: l’ARINC 664 (in sostanza una Ethernet deterministica) per i sistemi principali, con il CAN bus (ARINC 825) a gestire le funzioni meno critiche. Gli interruttori del pannello superiore di un 787, per esempio, comunicano via CAN bus, eliminando decine di cablaggi singoli.

Il mondo nautico, con NMEA 2000 costruito sulla tecnologia CAN bus, ha in un certo senso scavalcato l’architettura ormai datata dell’aviazione. Ma il rigore con cui l’aviazione affronta ridondanza, rilevamento degli errori e comportamento deterministico insegna come rendere questi sistemi davvero affidabili nelle applicazioni critiche per la sicurezza.

Il quadro normativo: come l’aviazione impone la sicurezza

In aviazione la sicurezza non è facoltativa. Il quadro normativo, coordinato attraverso l’ICAO (Organizzazione dell’aviazione civile internazionale) e applicato da autorità nazionali come la FAA (Stati Uniti) e l’EASA (Unione Europea), impone equipaggiamenti specifici per operazioni specifiche.

Il TCAS II è obbligatorio su tutti gli aerei commerciali con più di 30 posti o con massa massima al decollo superiore a 5.700 kg. Il TAWS è obbligatorio per i velivoli con motore a turbina e sei o più posti passeggeri. Non sono raccomandazioni: sono obblighi di legge, e senza di essi un velivolo non può operare.

Il mondo nautico ha tradizionalmente adottato un approccio normativo più leggero. L’AIS (Automatic Identification System) è obbligatorio per le navi commerciali oltre certe dimensioni, ma le imbarcazioni da diporto ne sono in gran parte esentate. La prevenzione delle collisioni resta fondamentalmente affidata alle regole di navigazione e alla vigilanza umana.

Man mano che la tecnologia rende sistemi di sicurezza sofisticati più accessibili e pratici anche per le imbarcazioni più piccole, sorge una domanda: la normativa marittima dovrebbe seguire l’esempio dell’aviazione?

Le lezioni per il mondo della nautica

Cosa possiamo trarre, noi che lavoriamo alla sicurezza in mare, dall’esperienza dell’aviazione? Emergono alcuni principi:

• Automatizza le decisioni in cui il tempo è tutto. Quando la velocità di chiusura supera i tempi di reazione umani, deve intervenire la tecnologia. Il TCAS non aspetta che il pilota calcoli le traiettorie: fa i conti di continuo ed emette comandi quando serve.
• Rendi gli avvisi inequivocabili. “Climb, climb!” non lascia spazio a interpretazioni. Troppo spesso gli allarmi marittimi dicono all’equipaggio che qualcosa non va, senza specificare con chiarezza cosa fare.
• Standardizza a livello globale. Überlingen ha insegnato all’aviazione che le varianti nazionali nelle procedure di sicurezza generano confusione letale. Qualsiasi tecnologia marittima per prevenire le collisioni deve funzionare in modo identico in tutto il mondo.
• Progetta per lo scenario peggiore. Il TCAS presuppone che il controllo del traffico aereo abbia fallito. Il TAWS presuppone che il pilota non possa vedere fuori. Un sistema di sicurezza efficace deve funzionare proprio quando tutto il resto è andato storto.
• Integra, non sovrapporre. I sistemi degli aerei moderni condividono i dati senza soluzione di continuità grazie a bus standardizzati. I sistemi marittimi, troppo spesso, restano isole separate, costringendo l’equipaggio a integrare mentalmente informazioni da più fonti, sotto pressione.

Il mare non sarà mai regolamentato quanto il cielo. Chi va per mare per diporto godrà sempre di libertà che un pilota privato può solo invidiare. Ma man mano che la tecnologia rende i sistemi di sicurezza sofisticati più piccoli, più economici e più pratici, si apre la possibilità di portare la prevenzione delle collisioni di livello aeronautico su imbarcazioni di ogni dimensione. La domanda non è se la tecnologia per la sicurezza in mare debba imparare dall’aviazione: è quanto in fretta riusciremo ad applicarne le lezioni per salvare vite umane sul mare.

Questo articolo si basa su informazioni pubblicamente disponibili provenienti dalle autorità aeronautiche, dai rapporti delle indagini sugli incidenti e da fonti del settore. L’autore è un ex pilota con esperienza diretta dei sistemi descritti.