Dietro le quinte del Galvanic Pulse

Nella notte del 2 dicembre 2024, un velista svedese — Dag Eresund, 33 anni — è caduto fuoribordo dalla barca in testa all’Atlantic Rally for Cruisers. Stando alle dichiarazioni pubbliche del World Cruising Club, indossava la dotazione standard d’altura: un giubbotto autogonfiabile con applicato un beacon personale AIS-MOB. Le ricerche, coordinate dall’MRCC Norfolk della Guardia Costiera statunitense e che hanno coinvolto due imbarcazioni dirottate sul posto, sono durate diciannove ore prima di essere sospese al calar della notte. Non è stato recuperato. Scriviamo queste righe con cura, nel rispetto suo e della sua famiglia, e senza esprimere alcun giudizio sull’operato di chicchessia. Se questo articolo esiste, è perché la dotazione descritta nel comunicato pubblico è la stessa che usa quasi ogni velista d’altura, noi compresi. Nei giorni successivi alla notizia, ci è tornata in mente una domanda semplice: noi, in concreto, cosa stiamo facendo di diverso? Il Galvanic Pulse è nato dal tentativo di rispondere onestamente a quella domanda.

Cosa è accaduto, nelle parole del registro operativo

I fatti dell’incidente non sono in discussione, perché a metterli agli atti sono stati gli operatori di Ocean Breeze e il World Cruising Club. Intorno alle 02:27 UTC del 2 dicembre 2024, il Volvo Ocean 70 Ocean Breeze — in testa al rally — ha segnalato un uomo a mare e ha avviato le manovre di recupero. La posizione era circa 1.300 nm a sud-est delle Bermuda. Il vento spirava da ovest-nord-ovest a 20-25 knots, con raffiche fino a 30. Il World Cruising Club ha coordinato la prima risposta. L’MRCC Norfolk ha assunto il controllo operativo. Il Vismara 62 Leaps & Bounds 2 — altro iscritto all’ARC — si è dirottato sul posto. Il motoryacht di 88 metri Project X si è unito alle ricerche.

L’operazione è durata circa diciannove ore. Con il buio, un mare in peggioramento e l’impossibilità di copertura aerea a quella distanza dalla terraferma, l’MRCC Norfolk ha sospeso le ricerche attive alle 20:45 UTC. Eresund non è stato recuperato.

Cosa ha fatto l’attrezzatura, cosa non ha fatto e cosa non è dato sapere

La dotazione descritta nel comunicato del World Cruising Club — un giubbotto autogonfiabile con applicato un beacon personale AIS-MOB — è quella che usa quasi ogni velista d’altura. È quella che usiamo noi. Dopo questa perdita, ci siamo documentati con attenzione su quanto è noto pubblicamente dell’operazione e sulle prestazioni di questa categoria di attrezzature nei test sul campo. Diverse cose si sono rivelate o limiti documentati della tecnologia in generale, o semplicemente assenti dai documenti pubblici. Non facciamo alcuna affermazione sul comportamento specifico del dispositivo coinvolto in questo incidente.

Se il beacon AIS-MOB si sia attivato, pubblicamente, non è dato sapere

Interpellato direttamente sull’eventuale attivazione del beacon AIS personale, il direttore del World Cruising Club ha preferito non avanzare ipotesi. Senza una firma di emergenza AIS documentata sui ricevitori delle imbarcazioni accorse, la questione resta davvero aperta. Non siamo nella posizione di trarre alcuna conclusione sul dispositivo specifico; rileviamo soltanto che, nell’operazione che ne è seguita, il segnale del beacon non sembra aver funzionato come dato utilizzabile.

Anche il fatto che fosse solo in coperta non risulta dai documenti pubblici

I comunicati del World Cruising Club descrivono l’incidente, la risposta e l’operazione, ma non affrontano — al momento in cui scriviamo — la situazione in coperta nei secondi precedenti l’allerta di uomo a mare, né come ci si sia accorti dell’assenza. La posizione pubblicata dal WCC sulle circostanze è inequivocabile: “non conosciamo le circostanze dell’incidente e non avanzeremo ipotesi.” Risultano in corso indagini con le autorità austriache e svedesi. Non abbiamo chiesto, e nemmeno noi avanzeremo ipotesi. Citiamo questa lacuna solo perché il tempo che intercorre tra l’attimo in cui il polso supera la battagliola e la prima azione dell’equipaggio è l’incognita più decisiva in qualsiasi analisi di un evento del genere. Più breve è quell’intervallo, migliori sono le probabilità di recupero. Qualsiasi tecnologia che azzeri quell’intervallo per costruzione — che elimini la domanda “quando è stato visto l’ultima volta?” sostituendola con un orario registrato — fa collassare una categoria di incertezza che, in questo caso come in molti altri, i documenti pubblici non possono risolvere.

Un punto importante di contesto, slegato da questo caso. Su una barca da diporto a equipaggio ridotto, “solo in coperta” di notte è la normalità, non l’eccezione. Coppie in crociera, equipaggi familiari, navigatori solitari e piccoli team d’altura di tre o quattro persone si danno il cambio; per gran parte di ogni notte di traversata su una piccola imbarcazione da diporto, è esattamente una persona a essere di guardia, sola in pozzetto. È una situazione strutturalmente diversa da un clipper con equipaggio completo o da un programma agonistico, dove in coperta c’è quasi sempre una seconda persona. Il rischio che una caduta passi inosservata per minuti — anziché per secondi — è quindi una *condizione di base* del modo in cui si naviga davvero la stragrande maggioranza delle miglia oceaniche da diporto. È anche il rischio più sottovalutato da una progettazione di attrezzature di sicurezza che, persino nel 2026, dà per scontato che ci sia qualcuno in pozzetto a notare un posto vuoto.

E il punto più ampio: l’aviazione ce l’avrebbe già detto

Non è una critica all’indagine in corso — le autorità austriache e svedesi starebbero esaminando il caso, e non hanno ancora pubblicato nulla. È una critica al rapporto che il settore marittimo ha, più in generale, con l’apprendimento condiviso.

Se fosse stato un incidente dell’aviazione civile, il mondo ne saprebbe già molto più di quanto questo articolo possa raccontare. In base all’Annesso 13 ICAO — vincolante per ogni Stato firmatario dal 1951 — gli incidenti dell’aviazione civile devono essere oggetto di indagine indipendente; l’indagine opera con un mandato esplicito di sicurezza, non di colpa; e il rapporto finale deve essere reso pubblico. I rapporti preliminari escono entro 30 giorni. Quelli finali, di norma, entro 12-24 mesi. L’archivio cumulativo — NTSB negli Stati Uniti, AAIB nel Regno Unito, BEA in Francia, BFU in Germania — è liberamente consultabile, indicizzato e letto in tutto il settore. Ogni compagnia aerea, ogni equipaggio di volo, ogni costruttore di velivoli impara da ogni evento registrato. È per questo che l’aviazione commerciale è il mezzo di trasporto più sicuro del pianeta, e per questo che un pilota che sale in cabina nel 2026 eredita le lezioni di ogni incidente dal 1951 in poi.

La nautica da diporto non ha nulla di equivalente. Le autorità nazionali indagano in modo selettivo; i rapporti sulle imbarcazioni da diporto — quando esistono — variano per profondità, sono lenti a uscire e raramente si diffondono come lezioni concrete nella più ampia comunità velica. Il risultato è che le stesse categorie di incidente mortale — caduta fuoribordo di notte, ancora che ara, collisione in scarsa visibilità, errore da stanchezza — continuano a ripetersi, e ogni equipaggio tende ad affrontarle come fosse la prima volta. L’apprendimento cumulativo che l’aviazione ha integrato in un sistema, nella nautica da diporto è stato lasciato al dolore privato e al passaparola.

Non lo diciamo per aggiungere dolore a chi soffre. Lo diciamo perché l’assenza strutturale di un’infrastruttura di apprendimento condiviso è di per sé una falla nella sicurezza. Il velista che l’anno prossimo prenderà il largo per la prima volta non potrà leggere cosa si è imparato da questa perdita, né dalla prossima. Finché le cose non cambieranno — e al momento nulla lascia presagire che lo faranno — la responsabilità di migliorare la sicurezza ricade su chi costruisce l’attrezzatura, e sui velisti che prestano attenzione alle perdite altrui. Noi abbiamo cercato di prendere sul serio entrambe le cose.

I beacon personali AIS-MOB hanno modalità di guasto documentate nei test sul campo

Il test comparativo di Yachting World del 2018 sui dispositivi personali AIS-MOB — che copriva l’MOB1 e l’MOB2 di Ocean Signal, le unità ACR, il Weatherdock easyONE, AMEC e l’McMurdo S10 — ha registrato una serie di problemi ricorrenti nell’uso reale. Vale la pena elencarli, perché non sono casi limite:

• Il dispiegamento dell’antenna è meccanico, e non sempre affidabile. La maggior parte dei dispositivi personali AIS-MOB ripiega l’antenna dentro il giubbotto, così che il gonfiaggio stesso la dispieghi e armi il beacon. Il dispiegamento è azionato da una piccola molla, o da una pastiglia di sale che si scioglie nell’acqua. Nessuno dei due meccanismi è perfettamente ripetibile; il test di Yachting World ha documentato almeno un’unità il cui dispiegamento ha sparso frammenti della pastiglia di sale “per mezza stanza” anziché liberare l’antenna in modo pulito.
• Anche quando l’antenna si dispiega, il dispositivo potrebbe non galleggiare con l’antenna in alto. Per una trasmissione AIS utile l’antenna deve essere orientata grosso modo in verticale, sopra la linea di galleggiamento. Diverse unità testate, tra cui l’AMEC, sono state osservate galleggiare ma non con l’antenna verso l’alto; in quegli orientamenti la trasmissione si attenua in modo significativo. Si è notato che gli attacchi a clip da cintura scivolavano via dalla camera d’aria durante il gonfiaggio, lasciando il dispositivo semisommerso.
• L’antenna può rimanere dentro la fodera del giubbotto o esserne ostacolata. Le unità più ingombranti — l’McMurdo S10, il Weatherdock easyRESCUE Pro — sono state segnalate come difficili da posizionare in modo ottimale dentro la fodera; l’antenna può impigliarsi nel tessuto o restare in parte coperta quando la camera d’aria si gonfia.
• L’attivazione manuale è affidabile solo se chi è in mare riesce ad agire. La maggior parte dei beacon AIS-MOB offre una levetta di attivazione manuale come riserva. La levetta va azionata con decisione, al freddo, spesso con il giubbotto già gonfio che ne ostacola l’accesso. È un ripiego che dipende dalla capacità di chi è in acqua di usarlo nei secondi peggiori — proprio il presupposto che chi è in mare non sempre può soddisfare.
• L’orizzonte di cinque miglia è piccolo quando dentro non c’è nessuno. Un beacon AIS-MOB perfettamente funzionante — antenna dispiegata, antenna in alto, aggancio GPS acquisito — ha un orizzonte utile verso i ricevitori AIS di altre imbarcazioni di circa 5 nm in buone condizioni. In pieno oceano aperto, con l’imbarcazione più vicina a decine di miglia di distanza, il segnale si irradia verso un campo di ricevitori vuoto.

L’imbarcazione viaggiava veloce quando è iniziato il recupero

A prescindere da qualsiasi caso specifico, la geometria di uno scafo da regata veloce a tutta velocità non perdona. Un Volvo Ocean 70 in andatura di regata copre mezzo nm ogni 100-150 secondi. Tra il momento in cui si registra l’assenza, la ruota messa al traverso, le vele lascate e la barca che decelera, una posizione di partenza per il recupero si trova in genere tra uno e tre nm sottovento rispetto al punto in cui chi è in mare è caduto in acqua. La geometria non è questione di addestramento o di intenzioni; è questione di distanza, velocità e tempo.

La copertura aerea non era possibile a quella distanza dalla terraferma

Un elicottero di ricerca e soccorso operante dalle Bermuda ha un raggio d’azione utile di circa 400 nm. L’incidente era a 1.300. Un velivolo ad ala fissa a lungo raggio avrebbe potuto in linea di principio decollare, ma i conti su tempo di arrivo sul posto, autonomia in zona e carburante per il rientro non tornavano nelle ore di luce disponibili. La decisione operativa è agli atti.

Le ricerche sono state sospese al calar della notte

Diciannove ore sono una ricerca attiva lunga, per qualsiasi parametro. Con il buio, condizioni in peggioramento e nessun avvistamento registrato in tutte quelle diciannove ore, la decisione dell’MRCC Norfolk di sospendere rientrava nelle procedure standard per il SAR d’altura. È anche la frase con cui si chiude la maggior parte dei resoconti di incidenti di questo tipo.

La domanda che ci è rimasta dentro

Ciò che ci è rimasto dentro, nei giorni successivi, è stata una domanda più sommessa e più utile dell’orrore o del dolore visto da lontano. L’ARC l’abbiamo fatta anche noi. Abbiamo fatto la guardia notturna soli in coperta, a mille miglia da qualsiasi soccorso, più volte di quante riusciamo facilmente a contare. La dotazione descritta nel comunicato del WCC è quella che portiamo noi. Il ritmo delle guardie di una traversata d’altura è uno che abbiamo seguito più e più volte. Le condizioni descritte sono condizioni in cui abbiamo navigato. A voler essere onesti, il confine tra quella situazione e le situazioni in cui ci mettiamo abitualmente è sottile — ed è l’unico motivo per cui tutto questo ci ha spinti a costruire qualcosa.

Così ci siamo chiesti, senza giri di parole: noi, in concreto, cosa stiamo facendo di diverso? Stesso giubbotto. Stesso beacon. Stessa lunga guardia notturna a mille miglia dal soccorso. La risposta onesta era: non molto.

Dove la barca già si trova

La barca è sempre a una trentina di metri dal polso. La barca è il ricevitore più vicino al mondo a chiunque sia a bordo — più vicino di qualsiasi imbarcazione dotata di AIS entro l’orizzonte, più vicino di qualsiasi elicottero possa mai essere, più vicino di qualsiasi altro membro dell’equipaggio addormentato in un’altra cabina. Se l’allarme fosse l’assenza di un segnale anziché la sua presenza — se il bracciale tacesse per un secondo più del dovuto, e fosse la barca stessa a far scattare l’allerta — l’allarme scatterebbe al secondo uno. Non al minuto tre. Non al cambio di guardia successivo. Al secondo uno.

Ecco l’intera idea del Galvanic Pulse, in un paragrafo. Tutto il resto è ingegneria.

Non abbiamo inventato il segnale negativo. L’abbiamo preso in prestito.

Il principio per cui “l’allarme è ciò che scatta quando chi lo indossa smette di rispondere” è più antico della nautica da diporto. L’aviazione lo usa dai tempi della Guerra Fredda — un aereo il cui transponder smette di rispondere è, sullo schermo di ogni controllore, un problema immediato. I beacon da soccorso in valanga funzionano allo stesso modo: un beacon che ammutolisce è l’allarme. Nella nautica da diporto il principio è arrivato sul mercato nel 2007 con il sistema a bracciale Raymarine LifeTag, e in seguito con prodotti analoghi.

Ciò che colpisce è quanto ostinatamente il settore nautico abbia continuato a costruire l’altro tipo di dispositivo MOB — quello che dipende dal fatto che chi è in mare faccia qualcosa. I beacon AIS personali sono prodotti straordinari: gridano forte a qualsiasi ricevitore AIS entro il loro orizzonte, con qualsiasi tempo, per molte ore. Ma sono un sistema a segnale positivo. Dipendono dall’attivazione — tramite sensore d’acqua, tramite molla, tramite levetta manuale — proprio nel momento in cui “contare sul fatto che qualcosa funzioni” è il presupposto su cui meno conviene scommettere.

Su una barca dove è presente il livello a segnale negativo, quel presupposto non serve farlo. La barca è il ricevitore. Il polso è il trasmettitore. L’allarme è il silenzio. A chi è in mare è concesso di essere privo di sensi, ferito o incapace di trovare un pulsante, perché la barca era già in ascolto per suo conto.

Cosa il Galvanic Pulse non può fare — e cosa può

Sul limite siamo prudenti, perché il limite è reale. Il Galvanic Pulse non cambia la geometria di un’imbarcazione veloce a tutta velocità. Non trasforma un Volvo Ocean 70 in una barca da domenica. L’equipaggio deve comunque virare. Chi è in mare resta comunque in acqua. Il vento è comunque quello che è, l’onda è comunque quella che è, la temperatura dell’acqua è comunque quella che è. Il bracciale non solleva nessuno fuori dall’oceano — lo fa l’equipaggio. Lo strumento non può fare ciò che solo l’equipaggio può fare.

Ciò che il Galvanic Pulse può fare è restituire all’equipaggio il primo minuto. Il minuto che non si può contare di guadagnare con il beacon AIS — perché il dispiegamento può non aver funzionato, o l’antenna può non essere verticale, o nessun ricevitore è abbastanza vicino da sentirlo. Il minuto che la vedetta non può guadagnare, perché la vedetta è a prua quando chi è in mare cade da poppa. Il minuto che il MAYDAY non può guadagnare, perché nessuno sa ancora che c’è un MAYDAY da lanciare. Quel minuto è la differenza tra “lo abbiamo saputo subito e siamo tornati indietro all’istante” e “ce ne siamo accorti tre minuti dopo, quando nessuno ha risposto alla radio.”

E — cosa altrettanto importante — restituisce all’equipaggio la posizione in cui il segnale è scomparso. Nient’altro. Il Galvanic Pulse non vede chi è in mare nell’acqua, non riporta la barca da lui, non ha un’opinione su cosa stia facendo il vento o su come mezzo nodo di corrente possa aver spostato un corpo umano in trenta secondi. Quello che fa è registrare, nel secondo in cui il polso oltrepassa la linea, l’esatta latitudine e longitudine dove ha sentito il bracciale per l’ultima volta — e poi consegnare quell’unica coordinata all’equipaggio, sul Voice, su ogni schermo della barca, nell’istante in cui scatta l’allarme. Quell’unica coordinata è l’unico punto fisso in un problema fatto, per il resto, interamente di elementi in movimento.

Quell’unica coordinata conta più di quanto sembri. Il recupero di un uomo a mare è, nel freddo senso operativo, un problema di navigazione — e dei più ostici. Va risolto sotto pressione di tempo, in condizioni che l’equipaggio non ha scelto, di solito di notte, da persone le cui risorse cognitive sono al minimo. Il membro dell’equipaggio appena strappato alla cuccetta per affrontarlo dormiva da novanta minuti. Quello che era in coperta quando è successo era di guardia da ore, e probabilmente stava già contando i minuti al cambio. Nessuno dei due è al momento in condizione di fare geometria mentale su vento, corrente, scarroccio e schema di ricerca da una barca in movimento, che ha già percorso un miglio o due sottovento rispetto all’evento. Il bracciale non risolve quel problema. Quello che fa è dare a quel gruppo di esseri umani sfiniti il punto di ancoraggio del problema — un riferimento fisso sulla carta dal quale ragionare in avanti su tutto il resto (deriva, scarroccio, schema di ricerca, previsione di deriva). Ragionare in avanti da un punto noto è già abbastanza difficile. Ragionare in avanti partendo da “da qualche parte là dietro, credo” è molto più vicino all’impossibile.

Un punto che vale la pena dire ad alta voce sulla navigazione a equipaggio ridotto, perché raramente lo si dice: spesso un recupero lo conduce la persona meno preparata a bordo. Il velista più esperto di una traversata è, per definizione, di frequente quello smontato dalla guardia quando scoppia l’emergenza. Il recupero lo gestisce allora un partner, un amico imbarcato per quella tratta, o il membro dell’equipaggio che si trovava in coperta — spesso con una persona in meno rispetto al solito, spesso a lume di lampada, spesso dopo una guardia che ha già eroso a tutti il margine per pensare con lucidità. Tutto ciò che toglie un’informazione difficile da recuperare dalla fallibile memoria umana e la mette automaticamente su uno schermo, con un orario, aiuta proprio quella persona a prendere decisioni migliori negli unici minuti che contano. La posizione di chi è in mare nell’istante della separazione è una delle informazioni più decisive del recupero, e quella che un cervello stanco e spaventato è meno attrezzato a ricordare con precisione.

I dati della Guardia Costiera statunitense e dell’MAIB britannico sulle morti per uomo a mare collocano entrambi il tratto ripido della curva di sopravvivenza entro i primi dieci minuti dall’immersione. Tre minuti di ritardo contro zero minuti di ritardo sono un discorso molto diverso dentro quella finestra — e lo è altrettanto *”so esattamente da dove iniziare a cercare”* contro *”credo fosse più o meno da queste parti.”*

Aggiungere, non sostituire — due livelli battono uno

C’è una precisazione che vogliamo rendere esplicita, perché conta. Con il Galvanic Pulse al polso, stiamo forse togliendo il beacon personale AIS-MOB dal nostro giubbotto? No, e non abbiamo mai avuto intenzione di farlo. Stiamo aggiungendo il bracciale alla nostra dotazione, non sostituendo nulla. Il beacon AIS-MOB — con le riserve sui test sul campo descritte prima — resta un livello utile quando funziona come progettato; nella giornata giusta, nel posto giusto, con le imbarcazioni giuste a portata, può fare esattamente ciò per cui è stato costruito. Il Galvanic Pulse è un secondo livello, indipendente, che scatta immediatamente, sulla barca stessa, e che non dipende dalla capacità di chi è in mare di agire.

Guardando avanti, la nostra tabella di marcia è portare lo stesso principio del segnale negativo al giubbotto stesso — così che la barca sappia non solo quando un membro dell’equipaggio supera la battagliola, ma anche se in quel momento indossava davvero il giubbotto. Due informazioni decisive che nessuno a bordo raccoglierà in modo affidabile a mano alle tre del mattino. Due modi indipendenti perché ciascuna possa fallire. Due livelli indipendenti che dovrebbero fallire insieme perché il sistema nel suo complesso ammutolisca.

È questo il motivo per cui l’aviazione funziona. L’aviazione commerciale è il mezzo di trasporto più sicuro del pianeta non perché un singolo componente sia eccezionalmente affidabile, ma perché il sistema è progettato in modo che nessun singolo guasto sia catastrofico. I motori vanno a coppie o a quattro, su velivoli certificati per volare con uno in meno. L’idraulica è a tripla ridondanza. L’avionica è multicanale. La navigazione ha il GPS più l’inerziale più la radio. Se un livello cede, il successivo subentra. Il tasso di vittime è quello che è perché la probabilità cumulativa che ogni livello ceda simultaneamente, sullo stesso volo, è infinitesimale.

Una barca a vela è autorizzata ad applicare esattamente la stessa logica. Due modi di rilevare un uomo a mare sono meglio di uno. Due modi di confermare se il membro dell’equipaggio indossava davvero il giubbotto sono meglio di uno. Il Galvanic Pulse non è pensato per sostituire alcun livello della dotazione di sicurezza d’altura esistente. È pensato per essere il livello che non richiede a chi è in mare di fare alcunché — accanto ai livelli che, quando funzionano, continuano a fare cose utili. Due battono uno. Sempre.

Perché l’abbiamo costruito

Al di là di qualsiasi caso singolo, ciò che la dotazione standard d’altura — giubbotto autogonfiabile più beacon personale AIS-MOB — dà silenziosamente per scontato è che chi è in mare sarà in condizione di collaborare al proprio salvataggio. Ogni livello di quella catena è costruito attorno a quel presupposto, ed è proprio il presupposto che una persona in acqua è meno in grado di garantire.

L’unica cosa che ci venisse in mente di cambiare era quel presupposto. Così abbiamo costruito un livello che non dipende affatto dalla capacità di chi è in mare di agire.

Il bracciale è piccolo, leggero e silenzioso. Non sembra il pezzo più importante dell’attrezzatura di sicurezza a bordo. Siamo arrivati a credere che lo sia.