Estate 1999
Università degli Studi di Trieste
Istituto per lo Studio dei Trasporti nell’Integrazione Economica Europea
I.S.T.I.E.E.
La Sicurezza nel Trasporto Aereo
L’attuale organizzazione internazionale per la sicurezza in volo
Intervento del Comandante Aldo Pezzopane alla 39a edizione delle Giornate di Studi Superiori riguardanti l'Organizzazione dei Trasporti nell'Integrazione Economica Europea - Corso Internazionale che ha avuto luogo presso l'Univeristà degli Studi di Trieste dal 7 al 12 settembre 1998.
Nel titolo di questo intervento L’attuale organizzazione internazionale per la sicurezza in volo è implicita la seguente domanda:è tale organizzazione in grado di assicurare adeguati livelli di sicurezza del trasporto aereo?
Dopo una rapida illustrazione delle ragioni, della storia, dei criteri e delle norme che riguardano la sicurezza individueremo i punti deboli dei criteri utilizzati fino ad’ora per realizzarla ed esamineremo brevemente le strategie per l’approccio alla sicurezza del sistema aeronautico necessarie a far fronte allo sviluppo del trasporto aereo mondiale nei prossimi anni.
I termini della sicurezza
Sicurezza delle operazioni volo è la massima salvaguardia della incolumità delle persone e dell’integrità delle cose nello svolgimento dell’attività aeronautica.
La sicurezza viene definita in inglese con i termini safety e security.
Entrambi i termini hanno un significato di salvaguardia dell'incolumità della persona e dell’integrità delle cose. La differenza è in ciò che minaccia tale condizione.
Security implica, prevalentemente, salvaguardia o protezione da attacchi, aggressioni, danni contro la persona o i beni, compiuti volontariamente da individui o gruppi di persone con l'intenzione di nuocere, in conseguenza di contrapposizioni sociali (belliche, razziali, ecc.) o a causa di attività criminali.
La prevenzione di tali atti è quindi la ricerca di una condizione di capacità di difesa.
Safety implica invece la salvaguardia o la protezione da eventi o circostanze generalmente indipendenti da precise volontà (eventi quindi accidentali) che comportano alta potenzialità lesiva in funzione del tipo di attività svolta.
L’attività di volo è, per ragioni evidenti, caratterizzata da elevata potenzialità lesiva in caso di evento accidentale, pertanto la sicurezza è il risultato di un’adeguata prevenzione di tali eventi.
Le ragioni della sicurezza
C'è una domanda implicita e generalmente inespressa dietro ai discorsi sulla Sicurezza del Volo; tale domanda riguarda le ragioni per le quali la sicurezza del volo è obiettivo prioritario dell’attività aeronautica.
Le ragioni della sicurezza del volo sono di ordine:
- morale/umano,
- economico,
- operativo
L'immunità dal pericolo e la maggior garanzia di incolumità è un diritto dell'uomo ed è uno dei suoi bisogni fondamentali; la sua realizzazione è, pertanto, basata su considerazioni di prevalente carattere morale.
I motivi economici sono dovuti all'elevato onere finanziario rappresentato dagli incidenti che comportano costi diretti e costi indiretti.
Questi ultimi sono di gran lunga superiori ai costi diretti e sono di complessa determinazione.
I motivi operativi sono legati al depauperamento delle risorse umane e finanziarie che comportano gli incidenti e che si ripercuotono sull' efficienza e sulla competitività del sistema.
La storia e l’ organizzazione della sicurezza
Dagli albori dell'Aviazione si è avuto un costante progresso nello sviluppo di norme e criteri per realizzare la sicurezza del volo sulla base di esigenze operative ed economiche.
Le aeronautiche militari anglosassoni e degli Stati Uniti sono state le prime ad elaborare criteri moderni di prevenzione di eventi accidentali nel periodo della seconda guerra mondiale e negli anni successivi.
Infatti l'operatività della forza aerea, quindi il suo impatto bellico, dipendeva dall'efficienza dei mezzi e degli uomini e tutti gli sforzi dell'organizzazione erano tesi a tale scopo.
Prima della seconda guerra mondiale la sicurezza veniva realizzata cercando di controllare i pericoli evidenti in sede di progetto iniziale e correggendo altri problemi quando si manifestavano durante l’attività o, nella migliore delle ipotesi in fase di collaudo.
Questo criterio basato su tentativo ed errore o, come venne definito in aviazione, fly-fix-fly, non può essere ritenuto accettabile agli attuali livelli di progresso tecnologico nel campo aerospaziale, degli impianti nucleari o di altri sistemi industriali a tecnologia avanzata e ad alta potenzialità lesiva.
Questi sistemi comportano esiti disastrosi in caso di eventi accidentali non adeguatamente previsti e richiedono un elevato livello di sicurezza intrinseca iniziale. Pertanto, c’è una fortissima esigenza che essi siano first-time-safe (sicuri ab initio).
Dalla fine della seconda guerra mondiale all’inizio degli anni ’60 ci fu un progressivo abbandono del tradizionale approccio per tentativo ed errore, o fly-fix-fly, dovuto alla sempre maggior complessità dei sistemi e alle conseguenze degli incidenti derivanti dalla presenza di aree di rischio irrisolte in sede di progetto.
In pratica nel campo aeronautico, spaziale, nucleare e militare l’evoluzione tecnologica comportò il consolidamento del concetto essenziale di un approccio gestionale preliminare alla massima sicurezza del sistema mentre la complessità e l’elevato costo di progetti industriali in altri campi, uniti alla richiesta di elevata qualità dei prodotti e dei servizi e alla contemporanea alta conflittualità e responsabilità per inadempienze contrattuali o gli alti costi assicurativi, dettarono un analogo criterio di valutazione a monte per una corretta gestione economica dei sistemi.
L'aviazione civile negli stessi anni riconobbe l'esigenza di regolare attraverso norme e standards il funzionamento del sistema di trasporto aereo mondiale con la Convenzione di Chicago (1944) dei paesi aderenti all’ICAO (International Civil Aviation Organization).
Gli Allegati alla Convenzione non sono altro che un complesso di requisiti minimi necessari affinché l'attività di trasporto aereo venga svolta con efficienza e sicurezza.
L' ICAO oltre a fare sicurezza del volo attraverso le norme, gli standard e le raccomandazioni, sancisce con l'ANNESSO 13 l' importanza fondamentale dell'analisi di eventi accaduti per evitare la ricorrenza di eventi similari.
Esso si intitola appunto AIRCRAFT ACCIDENT INVESTIGATION e contiene tra le premesse un concetto essenziale così espresso:
The fundamental objective of the investigation of an accident or incident shall be the prevention of accidents and incidents. It is not the purpose of this activity to apportion blame or liability.
L’obiettivo fondamentale dell’investigazione di un evento accidentale o di un incidente deve essere la prevenzione degli eventi accidentali e degli incidenti. Lo scopo di questa attività non è l’assegnazione di biasimo o responsabilità
La gestione della sicurezza nel sistema del trasporto aereo internazionale non ha seguito la stessa evoluzione del sistema aeronautico militare degli Stati Uniti o di altri sistemi industriali del mondo anglosassone.
La ragione è individuabile prevalentemente nel fatto che non esistono strumenti atti a imporre le norme e gli standard dell’ICAO agli Stati Nazionali.
Le Autorità Nazionali dell'Aviazione Civile sono gli enti responsabili dell'applicazione degli standard ICAO all'interno dei loro paesi in termini di strutture aeronautiche, organizzazione dello spazio aereo, diffusione delle informazioni aeronautiche e controllo degli operatori locali.
A volte ci si trova in presenza di condizioni disastrosamente al di sotto dello standard come in alcune aree dell’Africa Centrale ed Occidentale od in alcune aree del Centro-Sud America.
In occasioni di eventi accidentali che hanno risonanza sui mezzi di informazione, emergono tali inadeguatezze e a poco vale sottolineare che il paese nel quale è avvenuto l’incidente è al di sotto degli standard ICAO.
Altri organismi internazionali che svolgono un ruolo importante per la sicurezza del volo sono:
La IATA (International Air Transport Association) che raggruppa le principali compagnie aeree mondiali. Questa organizzazione, nata per motivi prevalentemente commerciali, ha sviluppato negli anni degli elementi di riferimento per la sicurezza delle operazioni che collocano gran parte delle compagnie aderenti all’Associazione al di sopra dei requisiti minimi previsti dall’ICAO per gli operatori.
L’IFATCA (International Federation of Air Traffic Controller Associations) che raggruppa le Associazioni Professionali dei Controllori di Volo.
L’IFALPA (International Federation of Air Line Pilot Associations) che raggruppa le Associazioni Professionali dei Piloti Commerciali.
Queste federazioni hanno contribuito in modo significativo all’evoluzione delle norme e degli standard ICAO per adeguarli al continuo progresso tecnologico delle macchine e alle mutate esigenze del continuo incremento del traffico aereo mondiale.
L’IFALPA, in particolare, ha spesso esercitato una funzione di pressione nei confronti di quegli Stati Nazionali responsabili di aree aeronauticamente depresse sui quali l’ICAO non ha potere di intervento e che la IATA non ha interesse ad escludere dalla rete operativa delle compagnie per motivi commerciali.
Nel grande scenario della sicurezza del volo mondiale un ruolo fondamentale è, ovviamente, quello dei costruttori e degli enti di certificazione.
A questo riguardo ancora una volta il mondo aeronautico Statunitense con Boeing, McDonnell-Douglas e Loockeed è stato il principale riferimento e le norme FAA sono state la guida per gli standard di aeronavigabilità degli aeromobili.
Poi venne l’Europa e il successo degli aeromobili commerciali del Consorzio Airbus mentre si affermava la necessità di una normativa europea che fosse vincolante nei confronti degli Stati membri a differenza di quanto erano le norme ICAO.
Quindi si arrivò alle JARs (Joint Aviation Requirements) emanate da JAA (Joint Aviation Authorities) un ente sovranazionale che comprende le Autorità delle Aviazioni Civili dei singoli paesi della Comunità Europea.
I principi di sicurezza del volo che ritroviamo nelle JARs sono l’espressione di una impostazione nuova e sono il risultato delle più recenti acquisizioni in materia di gestione preventiva della sicurezza, come vedremo più avanti.
Dobbiamo inoltre considerare l’insostituibile funzione degli enti nazionali per l’investigazione degli incidenti.
I più conosciuti sono l’NTSB statunitense (National Transportation Safety Board) e l’AAIB inglese (Air Accident Investigation Branch).
Hanno diversa collocazione nel quadro organizzativo dello Stato.
L’NTSB è un ente autonomo i cui membri sono definiti secondo Appointment by the President of the USA.
L’AAIB è invece una dipendenza del Dipartimento dei Trasporti Britannico.
Il Trasportation Safety Board of Canada (TSBC) e il Bureau of Air Safety Investigations of Australia (BASI) sono gli enti di investigazione di queste due altre nazioni aeronauticamente evolute.
Tutti questi enti sono sostanzialmente diversi nella struttura organizzativa ma perfettamente coerenti con gli obiettivi di prevenzione della funzione investigativa definiti dall’ICAO (ANNEX 13).
Infatti al di là di norme organizzative e procedure operative spesso diverse è possibile riconoscere una filosofia di base che considera l’accertamento delle cause fondamentale per la prevenzione degli eventi accidentali e non per assegnare responsabilità.
Infine è necessario citare la Flight Safety Foundation, una organizzazione internazionale dedicata al miglioramento della sicurezza del volo. Indipendente e senza scopi di profitto economico la fondazione nacque nel 1945 per rispondere in modo obiettivo e neutrale alla esigenza dell’aviazione civile di poter disporre di informazioni sulla sicurezza scevre da qualsiasi condizionamento politico o commerciale.
Dal suo inizio la Fondazione ha sempre operato per il pubblico interesse ed è riferimento per oltre 600 organizzazioni in 75 paesi.
Fattori causali degli eventi accidentali e statistiche
Le procedure di segnalazione di incidente da parte delle Autorità Nazionali dell’Aviazione Civile alla sede dell’ICAO di Montreal furono, nell’immediato dopoguerra e per diversi anni a seguire, la fonte principale per la costruzione di una banca dati e per la elaborazione di statistiche sugli eventi accidentali e sulle cause determinate dall’investigazione.
Non tutti gli Stati utilizzavano enti di investigazione come l’NTSB o l’AAIB e spesso questi enti erano chiamati ad occuparsi di incidenti che avevano coinvolto aeromobili immatricolati negli in USA o nel Regno Unito avvenuti in aree geografiche aeronauticamente depresse.
L’investigazione, condotta in questi anni con mezzi che potevano tutt’al più evidenziare problemi tecnici (relativi ai motori, agli impianti o alla struttura dei velivoli), subì una svolta significativa con lo sviluppo dei Flight Data Recorder e successivamente con l’introduzione del Cockpit Voice Recorder.
Questi dispositivi furono sollecitati prevalentemente dai piloti che vedevano sempre più frequentemente classificate le cause degli eventi accidentali con il verdetto, spesso troppo sbrigativo e forse per molti comodo, pilot error, in mancanza di cause tecniche evidenti.
L’analisi di questi elementi insieme alla registrazione dei tracciati radar, quando disponibili presso gli enti di controllo del traffico aereo, insieme alla registrazione delle trasmissioni terra-bordo-terra, fecero emergere aspetti del comportamento umano che assumevano un peso sempre più rilevante sulla tipologia dei fattori causali degli eventi accidentali.
La conoscenza delle cause divenne quindi la chiave per realizzare una prevenzione specifica. Intanto l’evoluzione tecnologica, risolvendo i problemi tecnici diminuiva il peso dei fattori causali dovuti alle macchine.
Il rateo annuale di perdite d'aeromobile rispetto al numero di voli (con esclusione dell’ex Unione Sovietica e della Repubblica Popolare Cinese e l’esclusione di eventi le cui cause sono relative ad aspetti di security) da 10-12 per milione di tratte volate negli anni 60, si è dimezzato negli anni 70.
Questo dimostra che il mondo occidentale ha fatto dei grandi progressi in occasione dell’introduzione di alcune tecniche addestrative come il CRM (Cockpit Resource Management - educazione alle tecniche di comunicazione interpersonale) e dell’introduzione di dispositivi come il GPWS (Ground Proximity Warning System). Esso serve per avvisare il pilota della prossimità al terreno in caso di perdita di consapevolezza della posizione in condizioni strumentali o di notte.
La conseguenza di questo processo evolutivo portò ad una stabilizzazione dei fattori causali degli incidenti in una proporzione attribuibile a human factors di ¾ sul totale, con la restante frazione attribuibile a fattori tecnici e ambientali.
Il valore medio di eventi accidentali con distruzione di aeromobile negli ultimi vent’anni si è stabilizzato, pertanto, in:
one hull loss per million flights, la perdita di un aeromobile ogni milione di voli.
Ma come sempre nelle medie statistiche vi sono aree geografiche e compagnie aeree che si discostano in più e in meno da questo valore.
Alcune negli ultimi quarant’anni non hanno subito alcuna perdita di aeromobile altre ne hanno perduti diversi, altre ancora ne hanno perduti molti.
Oltre all’ICAO anche la IATA, con il contributo delle Compagnie Aeree associate, aveva prodotto un notevole bagaglio di dati sulle cause degli incidenti e in occasione della Conferenza IATA di Istanbul del 1975 furono illustrati importanti studi e documenti sul Fattore Umano nel Trasporto Aereo Commerciale.
Questi studi furono tra i riferimenti per lo sviluppo di criteri di selezione, educazione, addestramento e controllo dei piloti negli anni successivi.
Le principali aree di intervento furono individuate nei processi di comunicazione delle informazioni ai piloti, di comunicazione tra i membri d’equipaggio, di comunicazione tra piloti e controllori del traffico aereo.
Alcuni anni dopo venne realizzato per la prima volta dalla Compagnia United Airlines (Denver,Colorado) un modulo addestrativo per i piloti denominato CRM (Cockpit Resource Management).
La Compagnia United Airlines aveva subito diversi incidenti culminati con un evento accidentale avvenuto a Portland (Oregon) in cui un DC-8 andò distrutto per impatto al suolo in conseguenza dell’esaurimento del carburante.
La ragione principale fu la mancanza di consapevolezza dell’evoluzione della situazione dei membri d’equipaggio dovuta essenzialmente ad una carenza di comunicazione tra loro.
Barriere psicologiche dovute a diversità di ruolo o atteggiamenti pregiudiziali nei rapporti interpersonali erano e sono ancora fonte di inibizione di un corretto e funzionale processo di comunicazione all’interno delle cabine di pilotaggio.
Eventi incidentali ed accidentali continuano ad avvenire a causa di fattori che l’addestramento al CRM dovrebbe prevenire ma questo è un aspetto organizzativo della prevenzione, come vedremo fra poco.
Il ruolo dell’organizzazione negli eventi accidentali: i Policy Factors
Gli incidenti hanno costituito una fonte importante per lo studio delle dinamiche relative ai fattori causali ma è evidente che non è possibile fare conto sugli eventi accidentali per lo sviluppo di migliori criteri e tecniche di investigazione.
L’investigazione è necessaria per la prevenzione ma perché investigare se la prevenzione ha portato ad un record che paragonato a quello di altri mezzi di trasporto potrebbe essere considerato soddisfacente?
Nel rispondere dobbiamo considerare diversi aspetti.
La media statistica di una perdita di aeromobile per milione di voli ha significato da 20 a 25 gravi incidenti ogni anno ma con l’aumento del traffico dei prossimi anni, favorito anche dalla deregolamentazione europea, se non riusciremo a introdurre nuove strategie di prevenzione per andare al di sotto di questo valore, andremo incontro ad un risultato di 40 – 50 gravi incidenti l’anno (mediamente uno a settimana). L’impatto sul pubblico di tale scenario porterebbe immancabilmente ad una contrazione dell’utilizazione del mezzo aereo con ripercussioni sul risultato economico del settore.
I primi a soffrirne sarebbero i piccoli operatori (le compagnie minori) che verrebero così indotti a scorciatoie di gestione con penalizzazione immediata delle risorse da destinare alla sicurezza. Questi aspetti sono stati già visti negli Stati Uniti negli anni successivi all’Aviation Deregulation Act del Presidente Reagan.
Alcuni anni e diversi incidenti dopo l’inizio della Deregulation negli Stati Uniti, nel 1985, il Vicedirettore del Bureau of Accident Investigation dell’NTSB (National Transportion Safety Board) Gerrard Bruggink produsse uno studio relativo a 23 incidenti analizzati dall’NTSB dal ’72 all’ 83 e individuò i precursori dei fattori umani che si manifestavano negli eventi accidentali.
Egli chiamò policy factors le condizioni create dal tessuto organizzativo, dalle norme, dal contesto economico, che favoriscono i comportamenti inadeguati di coloro che operano in prima linea (piloti, controllori ATC, tecnici di manutenzione) e che vengono indicati come fattori umani.
"I policy factors diventano una componente intrinseca del meccanismo causale quando i top managers di case costruttrici, compagnie di trasporto, organizzazioni professionali e sindacali, enti di regolamentazione e di gestione di strutture aeronautiche favoriscono l’incidente ignorando le lezioni di eventi predittivi e incidenti similari avvenuti in passato o, tollerando compromessi per ragioni di immagine, di economicità o per incompetenza."
Dopo quasi vent’anni dalla prima Conferenza IATA (Istanbul 1975) che pose l’accento sugli Human Factor come causa degli incidenti, un’ altra Conferenza IATA tenutasi a Montreal nel 1993, trattò ancora l’argomento human factor e diversi esperti di sicurezza dei sistemi misero in evidenza i risultati e gli studi degli incidenti avvenuti in tutti questi anni.
Essi individuarono le cause primarie degli eventi nei cosiddetti policy factors, confermando il concetto introdotto da Gerry Bruggink.
La Conferenza di Montreal ebbe come argomento ricorrente le strategie di abbattimento della:
one accident per million flight barrier
Le conclusioni della Conferenza di Montreal indicarono inequivocabilmente che per andare al di sotto della barriera di 1 su 1 milione, gli sforzi dell’industria per i provvedimenti di prevenzione avrebbero dovuto assumere dei connotati diversi da quanto fatto fino a quel momento e avrebbero dovuto avere orientamenti specifici che riguardassero prevalentemente l’organizzazione.
Il principale assertore della necessità di concentrare l’attenzione delle misure di prevenzione sull’aspetto organizzativo dei sistemi industriali è James Reason (Dept of Psychology, University of Manchester) il quale compì delle accurate analisi di alcuni incidenti che ebbero particolare rilievo come il naufragio dell’Herald of Free Enterprise, il disastro di Chernobyl, l’incidente di Three Mile Island, l’incidente ferroviario di Clapham Junction e l’incidente alla stazione della metropolitana di King’s Cross .
In ogni sistema industriale la mancanza di cultura della sicurezza ai più alti livelli di gestione provoca la diffusione di carenze latenti (latent failures) che costituiscono i precursori di errori o violazioni (active failures) di coloro che operano in front line.
Carenza di comunicazione in condizioni di politiche fuorvianti o contraddittorie, obiettivi non chiaramente definiti o in contrasto con la sicurezza delle operazioni, responsabilità non assegnate coerentemente alle competenze, creano l’ambiente favorevole all’innesco di sequenze logiche e cronologiche che conducono all’incidente.
In altre parole se la qualità dei processi organizzativi non è adeguata alla complessità del sistema, il sistema ne risente attraverso delle instabilità localizzate che progressivamente rendono incontrollabile l’intero sistema con immancabili conseguenze di carattere economico. Sotto la pressione prevalente dell’aspetto economico, l’impiego di risorse in sicurezza assume, purtroppo, il connotato di voce di bilancio esclusivamente negativa.
In tal caso la rincorsa a scorciatoie (short-cuts) di gestione può aumentare notevolmente la diffusione di aree di rischio e la generazione di possibili fattori causali di incidente.
Active failures e latent failures sono termini che hanno il significato di deficienze ad effetto immediato e di difetti latenti. Essi dipendono da chi le commette e dal tempo che trascorre prima che esse influiscano sulla sicurezza del sistema.
-Active failures are committed by those at the "sharp end" of the system (pilots, air traffic controllers, maintenance engineers). These are the people whose actions can have immediately adverse consequences. They are also the ones who, until quite recently, received the most attention from accident investigators.
Active failure (falle attive): sono azioni commesse da chi è in prima linea nel sistema (piloti, controllori del traffico aereo, tecnici di manutenzione). Le loro azioni possono avere conseguenze negative immediate. Su di essi fino a poco tempo fa si concentrava l’attenzione degli investigatori.
-Latent failures arise from fallible decision, usually taken within the higher levels of the organization or by regulators, government officials and politicians. Their damaging consequences can lie dormant for a long time, only becoming apparent when they combine with local triggering events (i.e. active failures, technical faults, atypical conditions, etc.) to breach the system’s defences.
Latent failures (falle latenti) sono il risultato di scelte errate (decisioni incorrette), di solito scaturite dai livelli più elevati della struttura organizzativa o da chi scrive le regole, enti di governo e politici. Le loro conseguenze dannose possono giacere assopite per lungo tempo, fino a divenire evidenti quando entrano in combinazione con eventi scatenanti locali (deficienze ad effetto immediato, avarie tecniche, condizioni atipiche, ecc.) per far breccia nelle barriere difensive del sistema.
Intercorrono otto anni tra la definizione di G.Bruggink e lo studio di J.Reason e l’equazione policy factors = latent failures è legittimata dall’analisi di quegli incidenti avvenuti in sistemi ad elevata e complessa tecnologia e definiti organizational accidents.
In questi sistemi accadono catastrofici "breakdowns" non a causa dell’errore isolato o della singola avaria ma per l’insidioso accumularsi di mancanze nell’ambito delle sfere politiche, organizzative, manageriali, che si manifestano a scoppio ritardato.
Questi problemi non appartengono esclusivamente alle macchine o agli uomini ma emergono da complesse e poco comprese interazioni tra gli aspetti sociali e tecnici del sistema.
Occasionalmente, ed inevitabilmente, decisioni non corrette associate a processi comuni ad ogni organizzazione industriale (setting goals, organizing, regulating, managing, communicating, designing, building, operating, maintaining) seminano latent failures nel sistema.
Esse sono quindi trasmesse lungo il percorso costituito dai vari livelli gestionali fino al posto di lavoro (sharp edge, front line, comunque lo si voglia chiamare), dove creano le condizioni che favoriscono errori e violazioni.
A livello individuale vengono commesse frequentemente azioni non corrette o unsafe; esistono delle barriere difensive nei confronti di questi comportamenti costituite da norme, standard operativi, addestramento ed esperienza di coloro che operano in prina linea.
Se il processo organizzativo influenza negativamente l’efficienza delle barriere difensive determina un aumento della probabilità di eventi accidentali e ne diviene, in una corretta analisi di sequenza logica e cronologica, il fattore causale primario.
Così come ogni individuo può commettere errori, allo stesso modo un’ organizzazione alberga al suo interno inefficienze nascoste o latent failures.
Le decisioni ad alto livello, in particolare in regime di concorrenza come l’attuale, sono condizionate da incerto futuro e dalla disponibilità di risorse limitate.
Non importa quanto sia grande il talento e l’ esperienza dei decision-makers, le loro decisioni avranno comunque degli aspetti errati quando viste a posteriori.
Un sistema industriale che impiega gran numero di uomini e mezzi è un sistema probabilistico ed è inevitabile che vengano prese decisioni che si possono rivelare poi inadeguate. Che cosa fare quindi?
La chiave di risposta è nel conoscere cosa si può gestire e cosa non può essere tenuto sotto controllo.
Gli incidenti per loro natura non sono controllabili, cioè non possono essere programmati decidendo a priori l’entità delle conseguenze.
Ma il sistema può essere programmato.
Le latent failures esistono molto prima dell’evento catastrofico e per questo possono essere evidenziate e corrette in modo pro-attivo (antero attivo).
Reason definisce infatti proactive mode la continua sorveglianza di segni indicatori dello stato del sistema e reactive mode gli interventi di prevenzione resi necessari dall’analisi degli incidenti.
La realizzazione della sicurezza delle operazioni volo attraverso l’investimento di grosse somme di denaro non è la via più semplice né, tantomeno, la migliore come rapporto costo-efficacia.
L’elemento umano nella equazione che esprime il livello di sicurezza è estremamente condizionante e, indipendentemente dalla bontà del progetto, della fabbricazione, della manutenzione, delle operazioni, gli errori umani compaiono nella maggior parte degli eventi accidentali ed incidentali.
E’ stato detto che il pilota deve farsi carico dell’incapacità del costruttore di realizzare il sogno del progettista e della incapacità di chi emana le norme di realizzare procedure perfette. Questo è altrettanto vero per il controllore ATC alla sua consolle.
Si tratta di un problema umano e non tecnico.
All’inizio del 1995 negli Stati Uniti fu tenuta una mega conferenza sull’onda di una serie di incidenti ad aerei turboelica connessi con la formazione di ghiaccio.
Il prodotto fu il piano "Zero Accident-A Shared Responsibility". Questo piano comprendeva 540 raccomandazioni prodotte dai 6 working groups.
Zero Accidents può essere un obiettivo lodevole o un sogno impossibile ma, in ogni caso serve a focalizzare l’attenzione sulla sicurezza e a raddoppiare gli sforzi per trovare soluzioni e rimedi.
Fu enfatizzata la necessità di conoscere e condividere i dati riguardanti gli incidenti per consentire a tutti di evitare errori dello stesso tipo.
Fu evidenziata la necessità di aumentare l’addestramento tecnico e su aspetti di human factor per avere una forza di lavoro in prima linea maggiormente educata ad evitare errori.
Fu sottolineata la necessità di migliorare la comunicazione a tutti i livelli per evitare ambiguità, errori e per consentire al programma di sicurezza di procedere secondo il piano stabilito.
Tutto questo può essere realizzato senza grossi investimenti di denaro in eventuali nuove tecnologie. Come può essere fatto?
La sicurezza attraverso la qualità dei processi
La risposta è di valutare attentamente ciò che già viene fatto in alcune nicchie del sistema ed estenderlo, migliorandolo, a tutto il sistema.
L’ auditing, da tempo usato in manutenzione, deve essere utilizzato e sviluppato nelle operazioni volo e nell’ATC.
L’ auditing è parte essenziale di un Quality System.
Gli enti nazionali dell’Aviazione Civile, National Aviation Authorities (NAA), hanno istituito in Europa il self-auditing come strumento normativo.
La JAA ha previsto, quindi, nelle JAR-OPS1, l’attuazione di un Quality System da parte di ogni operatore aeronautico, dall’ 1 aprile 1998.
A livello di aerolinee il self-auditing è da tempo utilizzato in manutenzione quindi non è argomento nuovo.
La novità è che esso dovrà essere esteso a tutte le attività delle compagnie, prima fra tutte la conduzione delle Flight Operations, e sarà sottoposto a valutazione da parte delle NAA.
Non sarà più valutato solamente il prodotto e il servizio di una compagnia (how the job was done) ma sarà valutato come la compagnia compie tale monitoraggio al proprio interno.
Sarà valutata l’ottemperanza ai criteri di assicurazione e controllo qualità dei processi definiti dagli standard internazionali consolidati.
Le JAR-OPS 1 sono estremamente chiare a questo riguardo nelle indicazione che vengono fornite tramite le IEM (Interpretative and Explanatory Material) e le AMC (Acceptable Means of Compliance).
In esse è stabilito in modo definitivo il riferimento allo standard di qualità della International Organization of Standards denominato ISO-9000 series.
The 4Ps Concept (Il concetto delle 4 P)
Un concetto organizzativo diffuso in aviazione e rafforzato da uno Special Safety Report (Wiener & Degani,Flight Safety Foundation 1994) stabilisce la necessità di una coerente sequenzialità tra Philosophie, Policy, Procedures e Practices nell’ambito di un sistema aeronautico ai fini della sicurezza delle operazioni.
Tale sequenzialità nella sua coerenza non è altro che la qualità dei processi organizzativi.
La filosofia (Philosophie) del vertice di un organizzazione aeronautica, sia essa un ente di stato, un costruttore di aeromobili o una compagnia aerea deve definire gli scopi del sistema ovvero le strategie di gestione, con specifico riguardo alla sicurezza delle operazioni in quanto il volo è attività ad elevata lesività potenziale.
La politica (Policy) deve rispecchiare attraverso la definizione di specifici obiettivi e quindi di tattiche adeguate in ogni settore del sistema, la filosofia di vertice.
Il termine policy ha pertanto il significato di criteri e metodologie.
Tutto questo deve essere concretizzato nello svolgimento ordinato, controllabile, ripetibile e quindi affidabile, di una serie di processi produttivi identificati da procedure (Procedures) e attuati con pratiche (Practices) ad esse conformi.
Questo concetto definito appunto "delle 4 P" altro non è che un riferimento per una migliore organizzazione dei processi, quindi per una concreta possibilità di rendere il sistema più resistente alla erosione di carenze latenti e per diminuirne la suscettibilità a subire un organizational accident.
L’analisi di 93 hull-loss accident avvenuti tra il 1977 e il 1984 effettuata da Lautman & Gallimore (Boeing - 1987) ha individuato come fattore causale predominante, con un peso del 33% sul totale dei fattori presenti, la deviazione dei piloti dalle procedure previste.
"Pilot deviation from basic operational procedures".
I comportamenti che nelle pratiche si discostano dalle procedure rientrano nella complessità dell’articolazione degli human factors, ma, come ha indicato J.Reason in un modello dell’organizational accident, decisioni manageriali e processi organizzativi predispongono le condizioni per tali comportamenti.
Ricordiamo che anche G.Bruggink, individuando nei Policy Factor le cause degli organizational accidents, ha posto l’accento su una delle 4 P.
Le ISO-9000 consentono la realizzazione ottimale del 4P’s concept, della coerente sequenza di Philosophies, Policies, Procedures e Practices.
Analogamente, l’impostazione di gestione del sistema secondo il 4 P’s concept consente di soddisfare le linee guida delle ISO-9000.
Non è possibile valutare la sicurezza intrinseca di una compagnia aerea attraverso le statistiche degli incidenti gravi da essa subiti perché se essa fosse attestata sul valore medio di 1 per milione di voli ed è una grande compagnia che effettua 200000 voli ogni anno, avrebbe un evento catastrofico ogni 5 anni, mentre una compagnia di dimensioni più ridotte potrebbe, con gli stessi standard, mantenere un record immacolato per dieci, vent’anni.
L’effetto sul pubblico sarebbe, naturalmente, ben diverso.
E’ necessario, pertanto, valutare la sicurezza su altri parametri che, alla luce del modello dell’ organizational accident, sono le caratteristiche della cultura di corporate riguardo alla sicurezza delle operazioni e alla qualità dei processi interni di comunicazione, di assegnazione di compiti e responsabilità, di definizione del ciclo produttivo e di fornitura dei servizi interni ed esterni.
Abbiamo detto che la serie ISO 9000 (da 9001 a 9004) della International Organization of Standards è indicata nelle JAR-OPS 1 quale riferimento per un Quality System nelle operazioni volo e nella manutenzione degli aeromobili di una compagnia aerea nell’ambito della Comunità Europea.
La conformità ai requisiti delle ISO 9000 diventa quindi la migliore oggettivazione delle caratteristiche di resistenza del sistema aeronautico a subire incidenti di tipo organizzativo.
Secondo il concetto 4 P è fondamentale il commitment del vertice gestionale della compagnia per una filosofia della qualità al massimo livello possibile.
La policy di conformità alla serie ISO 9000 è il passo successivo.
La prova di conformità si realizza attraverso un processo piuttosto articolato che vede una definizione preliminare dell’ organizzazione interna e delle procedure (chi fa /che cosa fa).
Dopo una serie di verifiche (auditing) interne il sistema aeronautico viene sottoposto all’ auditing di un ente esterno in grado di assegnare la certificazione di conformità.
Per una compagnia aerea l’intero processo di certificazione alle ISO 9000 può richiedere fino ad un paio d’anni per ogni specifico settore.
Dobbiamo concludere il discorso sulla ottemperanza agli standard internazionali di gestione dei sistemi con una prospettiva che non è affatto conclusiva e che pone ai managers ulteriori obiettivi da realizzare affinché i sistemi produttivi siano anche strumento di civiltà.
Tale prospettiva è costituita dai cosiddetti sistemi di gestione integrati che vedranno qualità, ambiente, sicurezza da eventi accidentali e sicurezza sociale come oggetto di standard unificanti per i criteri di gestione.
A questo fine gli standard di qualità ISO 9000 sono attualmente in rielaborazione per una nuova stesura che comprenda anche i criteri e le norme per la gestione della sicurezza sul lavoro (di cui la Legge 626/94 si occupa in dettaglio) e dell'ambiente (il cui riferimento sono le ISO 14000).
Sta venendo alla luce anche l'aspetto della "social accountability" il cui significato è di garantire a coloro che sono a contatto con l'attività produttiva una serie di diritti umani che in alcuni contesti nazionali, politici, sociali sono completamente trascurati consentendo la disponibilità sul mercato di servizi e prodotti a prezzi inferiori grazie ad un minor costo delle risorse umane.
Questi nuovi standard saranno proposti per diventare norma sovranazionale.
Per questo nel prossimo secolo la sicurezza di sistema avrà significato globale perché gli standard di gestione vanno verso concetti che riguardano la salvaguardia dell'uomo come addetto al processo produttivo, dell'uomo come utente del prodotto ed, ancora, dell'uomo immerso in un ambiente che subisce gli effetti delle attività produttive in tutti i suoi aspetti (fisico, sociale, ecc).
Esempio di applicazione della teoria: un’ analisi di sistema
A completamento di questa esposizione è necessario fornire l'esempio, e la testimonianza diretta che, scovare e aggredire le carenze latenti in un sistema aeronautico, rimuovere le condizioni che predispongono comportamenti errati, in breve, eliminare quelli che Reason chiama anche patogeni residenti, serve a ripristinare -per restare nell’ambito della analogia- le difese immunitarie del sistema.
Dal 2 agosto 1968 al 14 settembre 1979 il trasporto aereo italiano, rappresentato prevalentemente dal Gruppo Alitalia, subì la perdita di 8 aeromobili:
2 DC-8/43 (Malpensa, Palermo), 1 DC-8/62 (New York), 1 Caravelle SE-210 (Marsiglia), 2 DC-9/30 (Palermo, Cagliari), 2 Fokker-27 (Frosinone, Bari).
Di questi aeromobili 5 erano Alitalia e 3 ATI.
In quel periodo eravamo ben al di sopra di -one accident per milion flight- eravamo in effetti a 4,5 accidents per milione di tratte.
All’inizio degli anni ’80, la sollecitazione della Commissione Tecnica dell’ Associazione Professionale dei Piloti (ANPAC) e la consapevolezza di una parte del Management Aziendale (La Direzione Operazioni Volo) determinarono la decisione di adottare un addestramento specifico per rimuovere uno dei fattori causali principali che accomunavano questi eventi accidentali.
Il problema di integrazione e coordinamento dell’equipaggio di condotta.
Era disponibile da poco tempo il CRM (Cockpit Resource Management) che veniva fornito con la guida di esperti dalla Compagnia United Airlines, la prima che lo aveva adottato.
Furono effettuati due corsi sperimentali nell’82 ma problemi di rapporti industriali dovuti alla componente sindacale dell’ANPAC e alla Direzione del Personale della Compagnia non consentirono l’inizio sistematico dei corsi fino all’85.
Nel 1987 divenne responsabile del Servizio Sicurezza Volo Alitalia il Comandante Silvano Silenzi che, in stretta collaborazione con la Commissione Tecnica dell’ANPAC di cui ero Direttore, si prodigò per compensare gli effetti di questo ritardo e iniziò fin da allora l’applicazione di quelle strategie di gestione della sicurezza che emergevano dal contesto anglosassone ed erano periodicamente illustrate nelle Conferenze Internazionali della Flight Safety Foundation e nei Convegni del Flight Safety Committee della IATA (di cui il Comandante Silenzi era membro).
Seguivamo pertanto molto attentamente lo sviluppo delle conoscenze in materia di prevenzione.
Gerrard Bruggink aveva già enucleato il concetto di policy factors nelle dinamiche di generazione di eventi accidentali e già da quegli anni, ognuno nelle rispettive competenze, iniziammo la caccia sistematica a tali carenze nell’ambiente operativo di Alitalia (l’ATI aveva una sua organizzazione di sicurezza volo) anche se con notevoli difficoltà e con scarso apporto e comprensione da parte di vari livelli di management aziendale.
L’ATI subì un altra grave perdita di aeromobile con l’evento accidentale dell’ATR-42 precipitato a Conca di Crezzo nell’autunno del 1987.
L’esito dell’investigazione individuò alcuni fattori causali di tipo organizzativo ma i veri precursori dell’evento non furono tutti formalmente riconosciuti anche se erano ben noti agli addetti ai lavori.
A dimostrazione che la cultura della prevenzione era (ed è tutt’ora) di tipo reattivo, cioè reagisce solo dopo l’evento accidentale, un inizio di cambiamento nell’organizzazione e nella gestione della sicurezza dovette attendere altri due incidenti.
Il disastro di Zurigo del novembre 1990 e l’incidente di Varsavia del dicembre 1991. Quest’ultimo conclusosi fortunatamente senza vittime e con un danneggiamento limitato dell’aeromobile.
Intanto avevo assunto la funzione di incaricato per la sicurezza volo del settore B-747. Nello stesso periodo il Comandante Arturo Radini, già Responsabile Tecnico dell’Associazione APPL (che comprendeva in larga parte i piloti dell’ATI) divenne Presidente di detta Associazione, e poco dopo, grazie alla sua competenza in materia, venne assunto come responsabile del settore investigazione del Servizio Sicurezza Volo Alitalia, alle dipendenze del Comandante Silenzi.
L’aver lavorato per anni con obiettivi coerenti nell’interesse professionale dei piloti e per la sicurezza del volo ci aveva reso profondamente credibili tra i colleghi.
Questo ci permise di diffondere con ogni mezzo e con ottimi risultati la cultura della sicurezza tra coloro che operavano in prima linea.
Perseguimmo il fine di informarli costantemente di quelle dinamiche di generazione di incidente che essi avrebbero potuto subire o che avrebbero potuto arrestare se ne fossero stati consapevoli.
Nel 1994 le Direzioni Operative dell’ATI furono definitivamente assorbite in Alitalia con la conseguenza della diffusione di numerosi fattori latenti di incidente già sperimentati negli Stati Uniti dove la deregulation aveva causato numerosi merging tra grandi e piccole compagnie.
Purtroppo continui avvicendamenti al top management e conseguenti rotazioni ai livelli intermedi avevano reso sempre difficile il coinvolgimento della dirigenza aziendale nella gestione della sicurezza.
Infine nel giugno del 1995 riuscimmo ad effettuare un intervento di due ore ad un uditorio costituito dal Presidente, dall’Amministratore Delegato di allora e dai Direttori delle principali Divisioni aziendali.
In quell’occasione evidenziammo il peso delle decisioni gestionali sulla sicurezza delle operazioni e le responsabilità dirette di chi esercitava queste funzioni.
Il risultato immediato fu una dichiarazione di impegno del Presidente per la sicurezza del volo che divenne norma scritta sul Manuale Operativo della Compagnia.
In definitiva avevamo chiuso il cerchio intervenendo sistematicamente sui due poli del sistema: il personale in prima linea che doveva evitare le active failures e il management che doveva evitare di diffondere le latent failures.
Mancava ancora la realizzazione di un sistema di qualità che ci avrebbe consentito di sorvegliare efficacemente la presenza o il sorgere di condizioni favorevoli allo sviluppo di germi di incidente.
A questo scopo fu istituito il servizio Assicurazione Qualità delle Operazioni Volo di cui mi sono occupato negli ultimi due anni di attività.
Ma altri sconvolgimenti di scenario, altri avvicendamenti del management aziendale, nuove strategie sindacali e politiche governative sulla previdenza hanno provocato condizioni che non ci hanno consentito di portare a compimento un progetto di sicurezza del volo coerente con le esigenze dei prossimi anni.
Sono stati disseminati altri policy factors ma nei sistemi complessi le relazioni causa-effetto hanno tempi di anni ed un volano ben avviato, unitamente a residui di competenza ancora presenti, potrebbe ancora ritardare l’effetto di nuovi patogeni nel sistema.
Con l’aggiunta di una nota statistica è possibile rilevare che gli sforzi iniziati intorno alla metà degli anni ottanta hanno portato a dei frutti solo agli inizi degli anni novanta e che dopo il disastro di Zurigo, il trasporto aereo italiano non ha, a tutt’oggi, perduto un solo passeggero in incidenti di volo.
Questo significa un reale zero accidents su circa 20 milioni di voli e qualche centinaio di milioni di passeggeri trasportati.
Incidenti nel trasporto aereo italiano nei quali l'aeromobile ha subito danni irreparabili, è andato distrutto e/o vi sono state delle vittime nell'evento.
Periodo Incidenti / Vittime
1956 - 1960 6 / 101
1961 - 1965 5 / 154
1966 - 1970 5 / 19
1971 - 1975 4 / 198
1976 - 1980 4 / 210 (è incluso l'incidente di Ustica)
1981 - 1985 0 / 0
1986 - 1990 2 / 83 (ATR42 Conca di Crezzo; DC9 Zurigo;)
1991 - 1995 0 / 0
1996 - 1997 0 / 0
Conclusioni
La sicurezza del trasporto aereo ha avuto un progressivo e costante incremento dall’era dei primi velivoli con propulsione a getto grazie alla sempre maggior conoscenza dei fattori causali di incidenti.
La conoscenza dei fattori umani ha portato ad una soglia minima di 1 perdita di aeromobile per milione di voli ma essa potrebbe essere ulteriormente abbassata se l’industria concentrasse gli sforzi per la prevenzione degli incidenti su fattori organizzativi.
L’adozione di standard consolidati e universalmente riconosciuti di qualità dei processi è la chiave per la realizzazione di un sistema aeronautico con forti connotati di immunità nei confronti di incidenti catastrofici dovuti a fattori organizzativi.
La sequenza delle 4 P è l’unico modello idoneo a soddisfare lo standard di qualità delle ISO 9000.
Attraverso questo criterio di organizzazione un sistema aeronautico può presentare adeguate credenziali di affidabilità in termini di sicurezza e, in definitiva, di economicità.
Non bisogna dimenticare che in un ambiente fortemente competitivo e deregolamentato un grave incidente può avere effetti nocivi su un operatore molto più significativi dei soli costi diretti dell’incidente.
In aviazione si dice "if you think that safety is costly try an accident" (se credete che la sicurezza sia costosa provate un incidente).
Da quanto detto scaturisce la conclusione che la sicurezza può essere realizzata esclusivamente con l’impiego di risorse per migliorare la qualità dei processi. Questo approccio gestionale rende la sicurezza un reale investimento.
La sicurezza è quasi sempre la conseguenza della capacità e dell’impegno di pochi individui piuttosto che il risultato della sistematica applicazione di strumenti e tecniche consolidate.
Prof. James Reason
Sommario
Vengono inizialmente proposte delle definizioni idonee a comprendere il significato di sicurezza delle operazioni volo.
Dopo una puntualizzazione su alcune ragioni per la scelta della sicurezza in aviazione viene fatta una rapida panoramica sull’evoluzione della sicurezza nei sistemi industriali e militari caratterizzati da elevata potenzialità lesiva. Vengono indicate alcune norme e standard di riferimento per questi sitemi e vengono elencate la principali fonti di norme dell’ICAO per la gestione della sicurezza del volo da parte degli Stati contraenti la Convenzione di Chicago e da parte di tutti gli operatori dell’aviaione civile.
Vengono quindi evidenziati gli sviluppi della conoscenza dei fattori causali di incidente che mettono in luce un approccio alla sicurezza di sola adesione alle regole e di rispetto dei requisiti minimi della norma.
Viene illustrato come sia riduttivo ritenere il fattore umano come causa principale degli incidenti e vengono rapidamente illustrati gli aspetti gestionali ed organizzativi che creano le condizioni favorevoli alla manifestazione delle limitazioni umane.
Dal modello del cosiddetto organizational accident del Prof. James Reason alle strategie di contenimento della diffusione dei precursori degli eventi accidentali, vengono passati in rassegna i criteri per uno sviluppo coerente della sicurezza al fine della maggior efficienza economica del sistema aeronautico.
La realizzazione della sicurezza delle operazioni attraverso la assicurazione e il controllo della qualità dei processi interni del sistema con particolare riferimento a quelli di comunicazione sono l’oggetto della norma internazionale emanata per gli Stati della Comunità Europea dalle Joint Aviation Authorities.
A dimostrazione dell’efficacia di una strategia della prevenzione per la quale è fondamentale creare consapevolezza in prima linea e coinvolgere contemporaneamente il management aziendale viene illustrata con una sintetica analisi l’azione costante svolta dal Comandante Silvano Silenzi responsabile del Servizio Sicurezza Volo Alitalia dal 1987 al 1997, e dai suoi collaboratori.
Una continua attenzione e partecipazione alla cultura della prevenzione ha consentito al Comandante S.Silenzi ed ai suoi collaboratori, di annullare - in Alitalia - la condizione di svantaggio rispetto alle compagnie con miglior record di sicurezza che era culminata con l’incidente di Zurigo.
RIFERIMENTI BIBLIOGRAFICI
1991- November 11-14, 44th Annual International Air Safety Seminar, Singapore
"Aviation Safety Challenges in the 1990s"
1993 - November 8-11,46th IASS & The International Federation of Airworthines
23rd International Conference, Kuala Lumpur, Malaysia
"Safety Through Interactions and International Standards"
Brandt, M.H. (1994) FOQA - Flight Operational Quality Assurance and Information Technology. FSF European Corporate & Regional Aircraft Operators Safety Seminar
Bruggink, Gerard 1975 - The Last Line of Defense, Legal Eagle News, March
Bruggink, G. (1985) Uncovering the Policy Factor in Accident. Air Line Pilot, May
Caesar, H. (1988) International Jet Loss Statistics Update of Airline Safety Record Lesson Learned Avoidance Strategies, FSF 41st IASS,Sidney
Caesar, H. (1989) 30 Years of Jet Losses - Did We Draw the Right Conclusions? FSF 42nd IASS,Athens
Caesar, H. (1990) Air Transport Development and the Role of Aviation Administration, FSF 43rd IASS, Rome
Carlzon, J. (1986) Flight Safety Comes First in a Competitive Environment, FSF Flight Safety Digest, July
Diehl, A.E. Human performance aspects of aircraft accidents - Aviation Psychology London: Gower Publishing Company (Tech)
Enders, J.H. (1993) Study Urges Application of Flight Operational Quality Assurance Methods in U.S. Air Carrier Operations. FSF Flight Safety Digest, April
Gray, R.R. (1986) The Interrelationships of Deregulation and Safety, CALPA:"Pilot"
Lewis, K. (1990) Involvement of Top Management, 43rd IASS, Rome
Lederer, J. (1987) Economics and Air Safety. FSF Flight Safety Digest, April-May
MacGregor,C & Hopfl,H (1992) Integrating Safety and Systems: The Implications for Organizational Learning FSF 45th IASS & IFA 22nd International Conference
NTSB (1994) A Review of Flightcrew-involved, Major Accidents of U.S. Air Carriers, 1978 Through 1990, April - Special Safety Report
Pezzopane, A.C. (1986) Commento a: "A New Look at Accident Contributors and the Implications of Operational and Training Procedures. ANPAC: "il Notiziario" Novembre
Pezzopane, A.C. (1987) Policy Factors = Safety versus Economics. ANPAC: "il Notiziario" Luglio-Agosto
Reason, J. (1992) Collective Mistake in Aviation:"The Last Great Frontier". B.A.:"Flight Deck"
Reason, J. (1990) Human error. Cambridge: Cambridge University Press
Reinhardt, A. (1990) Managing Safety in International Operations, 43rd IASS Flight Safety Foundation, November
Tortora, M. (1993) Relazione su: IATA 22nd Technical Conference on HUMAN FACTORS IN AVIATION
