Margine di errore

◊◊◊

Ogni disastro aereo è una confluenza di fallimenti critici, che si sviluppano e si esacerbano a vicenda fino a quando la catastrofe diventa inevitabile. Raramente, se mai, un crash può essere spiegato da una singola causa. A volte ogni passo sulla serie di fallimenti appartiene a un tema comune che unisce l’intera sequenza di eventi—forse una mancanza di comunicazione tra i piloti è alla base di più errori umani, o un guasto meccanico causa altri che non erano previsti. Ma in altri casi, eventi apparentemente casuali si uniscono nel posto sbagliato e nel momento sbagliato, catene separate di fallimenti convergenti in un momento culminante di terrore. Nel mio recente post sul volo TAROM 371, che si è schiantato perché il capitano ha avuto un infarto nel momento esatto in cui l’autothrottle ha funzionato male, ho affrontato il fatto che in un sistema con più livelli di ridondanza, qualcosa sta sempre fallendo, rendendo più probabili sfortunate coincidenze. Questo è noto come il” modello di formaggio svizzero ” degli incidenti aerei. Ogni fetta di formaggio svizzero ha buchi in luoghi diversi – i punti deboli sempre presenti che rendono necessaria la ridondanza in primo luogo. Quindi una pila di fette di formaggio svizzero, o più strati di ridondanza, è necessaria per coprire tutti i punti deboli. Ma, il modello dice, di tanto in tanto, i buchi nel formaggio svizzero si allineano, e questo è quando il disastro colpisce. Quello che segue è una storia in cui difetti sistemici, errore del pilota, errore del controller, condizioni meteorologiche, guasti meccanici e scarsa progettazione di aeromobili si sono riuniti in una piccola città in Canada.

◊◊◊

Sabato, l ‘ 11 febbraio 1978 partì per una partenza fredda e nevosa a Cranbrook, British Columbia. La tranquilla città di 15.000 persone, situata sul bordo occidentale delle Montagne Rocciose canadesi, non era nota per essere una delle principali destinazioni dei viaggi aerei, ma era certamente nota per la neve, e quella mattina c’era già mezzo metro a terra nel suo piccolo campo d’aviazione a pista singola, con altri ancora che scendevano. Cranbrook era quello che è conosciuto come un “aeroporto incontrollato,” in quanto mancava abbastanza traffico aereo per giustificare una torre di controllo. Tuttavia, un operatore radio era presente per fornire ai piloti informazioni sulle condizioni meteorologiche e per coordinare altre attività aeroportuali. Questo era considerato un “servizio di consulenza”; in quanto tale, l’operatore radio non aveva l’autorità di impartire comandi agli aerei, solo per fornire loro informazioni.

In linea con il suo stato di ristagno, il primo volo commerciale programmato per arrivare a Cranbrook quel giorno, un Boeing 737 Pacific Western, non doveva atterrare fino alle 13:00. L’aereo in questione, Pacific Western Airlines flight 314, era stato saltellando tra città e paesi nel Canada occidentale fin dalle prime ore del mattino. Iniziò la sua giornata a Edmonton, Alberta, poi volò a Fort McMurray, di nuovo a Edmonton e giù a Calgary. Era ora programmato di volare da Calgary a Cranbrook, e infine alla città di Castlegar nel centro sud della Columbia britannica. Sebbene l’aereo avesse una capacità massima di passeggeri di 117 persone, le destinazioni rurali del volo 314 significava che su diverse gambe del suo volo era meno della metà pieno. 44 passeggeri e cinque membri dell’equipaggio salirono sull’aereo a Calgary, alcuni diretti a Cranbrook e altri a Castlegar.

Il capitano del volo era Chris Miles, 30 anni, che ha iniziato a volare a 19 anni e aveva 2.780 ore sul Boeing 737. Era accompagnato dal 25enne primo ufficiale Peter Van Oort, che aveva solo 81 ore sul 737, su 1.316 ore di volo totali. Nessuno dei due era noto per avere eventuali carenze ed entrambi erano pienamente qualificati per il volo, ottenuto abbastanza riposo la notte precedente, e aveva volato a Cranbrook prima. Eppure, avrebbero commesso errori che sarebbero presto diventati parte di un treno inarrestabile di decisioni e coincidenze convergenti sul volo 314.

◊◊◊

Pacific Western flight 314 decollò da Calgary alle 12: 32 e salì alla sua altitudine di crociera di 20.000 piedi. Dopo aver lasciato Calgary, sono stati inviati due avvisi ETA (estimated time of arrival), uno dalla compagnia aerea ai suoi gestori di bagagli a Cranbrook e un altro da Calgary ATC all’operatore radio Cranbrook. La società ha fornito un ETA di 12:55, mentre ATC ha inviato un ETA di 13: 05. Questa era una deviazione massiccia per un volo così breve, ma questo era perché questi due ETA erano pensati per scopi diversi: l’ETA della compagnia era pratico in modo che i gestori dei bagagli sapessero quando prepararsi, mentre l’ETA di Calgary ATC era un limite esterno—in altre parole, l’ultimo momento in cui ci si poteva ragionevolmente aspettare che l’aereo arrivasse nelle condizioni. I dieci minuti in più dovevano tenere conto di un possibile ritardo del tempo, insieme a una tolleranza per un loop attorno al faro all’inizio dell’avvicinamento a Cranbrook per bloccare il segnale dal sistema di atterraggio dello strumento. I controllori del traffico aereo di Calgary non sapevano che l’equipaggio del volo 314 non aveva intenzione di eseguire questo ciclo. Nel frattempo, l’operatore radio di Cranbrook-che ha ricevuto solo la stima ATC, e non quella più accurata di Pacific Western—ha trattato questa ETA come una vera stima di quando l’aereo sarebbe arrivato.

A Cranbrook, l’operatore spazzaneve Terry George era fuori a liberare la neve accumulata dalla pista in preparazione del volo in arrivo. Alle 12:35, l’operatore radio chiamò per fargli sapere che il volo 314 era programmato per arrivare alle 13: 05 e per essere fuori pista prima di allora. L “ETA da Calgary ATC non è mai stato destinato per l” uso nella direzione di operazioni a terra, ma l “operatore radio sembrava non avere idea che l” aereo potrebbe facilmente arrivare ben prima di questo momento. Di conseguenza, nemmeno George.

Alle 12:42, i piloti del volo 314 hanno ricevuto il permesso di iniziare la loro discesa. Non appena il controllo dell’area di Calgary li ha autorizzati ad avvicinarsi a Cranbrook, erano essenzialmente da soli e non avevano bisogno di ulteriore spazio per atterrare, andare in giro, circondare l’aeroporto o eseguire altre manovre a bassa quota. Non essendo più in debito con l’ATC, i piloti passarono la radio del primo ufficiale Van Oort alla frequenza dell’aeroporto di Cranbrook mentre il capitano Miles era sintonizzato su un canale della Pacific Western company. Anche nel 1978, questo era considerato un cattivo giudizio; avrebbe dovuto ascoltare l’operatore radio Cranbrook stesso invece di affidarsi esclusivamente al primo ufficiale per ricevere informazioni e comunicarglielo. Potrebbe aver ritenuto che fosse appropriato in questo contesto perché non avrebbero ricevuto ulteriori istruzioni, ma solo informazioni consultive.

Alle 12:47, l’operatore radio Cranbrook ha chiamato il volo 314 e li ha informati che la visibilità era di 1,2 km (0,75 miglia) con una leggera nevicata e che uno spazzaneve era in procinto di liberare la pista. Van Oort ha riconosciuto la trasmissione, ma o non ha sentito parlare della presenza dello spazzaneve o non lo ha trasmesso a Miles, supponendo che sarebbe stato fuori pista al momento del loro arrivo. Non ha dato all’operatore radio Cranbrook un orario di arrivo stimato, e l’operatore radio non ne ha chiesto uno. Non ci sono state ulteriori comunicazioni tra l’equipaggio di condotta e l’operatore radio, nonostante fosse consuetudine informare l’operatore quando si avvicinava all’aeroporto, quindi l’equivoco sull’ETA dell’aereo è rimasto irrisolto. Il volo 314 raggiunse presto il radiofaro Skookumchuck, dove avrebbero dovuto fare il loop se volevano usare il ILS, ma continuarono in avanti per un approccio manuale diretto a Cranbrook.

L’aereo è arrivato alle 12:55 come previsto dalla compagnia aerea, ma l’operatore radio e l’operatore spazzaneve non se lo aspettavano per altri dieci minuti. Anche se i piloti potevano vedere la pista, lo spazzaneve era oscurato dal pennacchio di neve che stava vomitando, che era a sua volta invisibile su uno sfondo di ancora più neve. Il volo 314 ha toccato 240 m (800 piedi) oltre la soglia della pista, e il capitano Miles ha schierato gli inversori di spinta sui motori per rallentare. Circa un secondo dopo, vide lo spazzaneve, che era circa 370m (1,200 ft) davanti a loro, e si rese conto che non potevano fermarsi prima di colpirlo. Intorno allo stesso tempo, Terry George, l’operatore spazzaneve, sentito un rumore e si voltò per vedere un Boeing 737 sfreccia dritto verso di lui. “Da dove diavolo è venuto!”urlò alla radio mentre si arrampicava per togliersi di mezzo.

◊◊◊

I manuali di Boeing dal 1977 hanno informato i piloti che l’esecuzione di un go-around in un 737 dopo che gli inversori di spinta sono spiegati non è raccomandato dovuto il pericolo di un guasto dell’inversore di spinta. Tuttavia, i piloti della Pacific Western Airlines sapevano che occasionalmente veniva fatto comunque, senza conseguenze negative. I piloti del volo 314 erano ora di fronte a una decisione che avevano solo un paio di secondi per fare: annullare la spinta inversa e decollare di nuovo, o colpire lo spazzaneve. Temendo un incidente, Miles chiese un immediato go-around e stivò gli inversori di spinta solo 2,5 secondi dopo aver ordinato loro di schierarsi. Il Boeing 737-200 aveva inversori di spinta “a benna”, che invertivano la direzione della spinta del motore piegando due porte sul retro del motore per formare un “secchio” che avrebbe deviato la spinta in avanti. Questo secchio idraulico-alimentato non poteva distribuire o stivare istantaneamente; piuttosto, ci sono voluti alcuni secondi per andare a posto. Miles stava pensando e si muoveva più velocemente di così. Quasi non appena ha stivato gli inversori di spinta, ha spinto le manette per andare in giro per sollevare di nuovo fuori dalla pista. Nel momento in cui ha fatto questo comando, le porte di inversione di spinta sinistra erano ancora aperte di circa 5 cm.

Il sistema che rileva se gli inversori di spinta sono distribuiti considera aperto tutto ciò che non è “completamente chiuso”. Improvvisamente comandare la spinta in avanti completa con l’invertitore di spinta ancora leggermente in posizione aperta ha innescato un meccanismo di sicurezza che dovrebbe entrare in gioco solo mentre l’aereo è in aria. Al fine di evitare che uno spiegamento involontario dell’invertitore di spinta durante il volo diventi un incidente catastrofico, il sistema ridurrebbe la spinta del motore al minimo sul motore interessato e taglierebbe la potenza idraulica alla porta dell’invertitore di spinta se rilevasse che l’invertitore si era spostato nella posizione “dispiegata” mentre le leve dell’acceleratore erano impostate per fornire la spinta in avanti. Per coincidenza, le condizioni durante il go-around erano giuste per attivare il sistema di sicurezza, che tagliava la potenza idraulica all’invertitore di spinta sul motore sinistro e riportava la spinta del motore al minimo mentre l’aereo si stava sollevando. Di conseguenza, la porta dell’invertitore di spinta è rimasta aperta di 5 cm.

Il go-around è stato eseguito così rapidamente che i piloti non hanno stivato il carrello di atterraggio o regolato i flap su un’impostazione di decollo appropriata, ma l’aereo era pilotabile. Il motore sinistro era al minimo di spinta, causando un imbardata a sinistra, che Miles istintivamente contrastato con un comando timone a destra. Pochi secondi dopo aver visto lo spazzaneve, il volo 314 passò circa 15 m (50 piedi) sopra di esso. “Era direttamente sopra di me”, disse George in seguito al Calgary Herald. “Ricordo di aver guardato fuori dalla mia finestra e la ruota era proprio lì.”

Mentre l’aereo saliva e si allontanava dallo spazzaneve di Terry George, le forze aerodinamiche strapparono le porte dell’invertitore di spinta parzialmente aperte alla posizione completamente schierata. Pochi istanti dopo, i piloti sembravano rendersi conto di quello che era successo, perché Van Oort ha raggiunto fino a cercare di capovolgere l’interruttore di override invertitore di spinta del motore sinistro, che avrebbe ripristinato la potenza idraulica alla porta e ha permesso loro di chiuderla. Ma le grandi e ingombranti porte a secchiello stavano causando un’enorme quantità di resistenza, che combinata con la spinta asimmetrica dei motori per forzare l’aereo in un peggioramento della riva sinistra. A peggiorare le cose, il carrello di atterraggio era ancora schierato, causando ancora più resistenza, ei piloti non avevano ancora avuto il tempo di spostare i flap nella posizione appropriata per generare un sollevamento extra per il decollo. L’equipaggio aveva solo circa cinque secondi per risolvere questi problemi. Non era abbastanza tempo. L’aereo si inclinò a novanta gradi e si bloccò. I passeggeri si aggrapparono ai loro posti per la vita cara mentre l’aereo si inclinò, riempiendo le finestre laterali di sinistra con una chiara vista del terreno, che era a pochi metri di distanza. Il primo ufficiale Van Oort è stato gettato fuori equilibrio e non è mai riuscito a capovolgere l’interruttore di override reverser. Ha accidentalmente digitato il microfono sulla sua radio, trasmettendo l’ultimo urlo terrorizzato del capitano Miles sulla frequenza dell’aeroporto di Cranbrook: “We’re gonna craaaash!”

Il volo 314 si schiantò con un angolo di banco quasi verticale e trenta gradi di beccheggio. L’ala sinistra e la cabina di pilotaggio colpirono per primi il suolo; l’ala si disintegrò e l’impatto strappò la cabina passeggeri a metà, espellendo un certo numero di passeggeri dalla fusoliera mentre si staccava. La cabina di pilotaggio e la sezione anteriore della cabina colpirono duramente il terreno e si staccarono, uccidendo entrambi i piloti, mentre la sezione centrale subì il peso dell’impatto. Un’esplosione ha squarciato l’aereo mentre arava nel terreno innevato, scivolando solo a breve distanza prima di fermarsi bruscamente. La maggior parte della cabina passeggeri in avanti della fila 18 fu completamente distrutta, uccidendo quasi tutti all’interno, ma le file 18-21 e la cambusa posteriore rimasero intatte. Stordita nello scoprire che era ancora viva, l’assistente di volo posteriore ha lottato fuori dal suo posto e ha aperto una porta di uscita, attraverso la quale è fuggita dall’aereo, insieme a un altro passeggero sopravvissuto dalla fila 20. Altri due passeggeri delle file 18 e 21 saltarono fuori attraverso la fusoliera rotta e barcollarono tra la neve, i detriti e il fuoco.

◊◊◊

Il primo sentore dell’operatore radio che qualcosa non andava fu l’esclamazione di George e l’urlo trasmesso alla radio. Cercando di rispondere alla domanda di George su dove provenisse l’aereo, l’operatore radio disse: “Non conosco Terry, ma sicuramente non ha chiamato dopo la sua prima chiamata”, riferendosi all’unica conversazione radio che ha avuto luogo tra l’aereo e l’operatore.

In quel momento, l’ATC di Calgary contattò l’operatore radio Cranbrook e disse: “Ho un arrivo per te”, non rendendosi conto che il volo Pacific Western 314 era già arrivato, e in effetti si era già schiantato.

A questo punto l’operatore radio poteva vedere il fumo e le fiamme eruttare dal piano in fiamme. “Standby per favore,” ha detto, ” Ho un’emergenza.”

Calgary contattò nuovamente Cranbrook nove minuti dopo e chiese: “Cranbrook radio, Calgary, sei ancora occupato?”

” Ah, ok, vai avanti ora Calgary.”

” Ok, prima di tutto, dov’è PW tre quattordici ora, hai idea?”Chiese Calgary, ancora completamente ignorante della situazione.

“Sì, è l’emergenza”, ha detto l’operatore radio Cranbrook. “Si è schiantato e sta bruciando dalla fine della pista.”

◊◊◊

Pochi istanti dopo aver ricevuto l’allarme generale, i due vigili del fuoco dell’aeroporto si arrampicarono sull’unico camion dei pompieri dell’aeroporto, raccolsero George e altri tre dipendenti dell’aeroporto e si precipitarono sulla scena, arrivando circa cinque minuti dopo l’incidente. Hanno dovuto affrontare una carneficina totale. Gran parte dell’aereo era stato ridotto a macerie in fiamme, ed era chiaro che la maggior parte dei passeggeri erano morti. I corpi giacevano ovunque, alcuni ancora legati ai loro posti. La neve profonda ha impedito al camion dei pompieri di avvicinarsi al relitto, così hanno continuato a piedi, scoprendo diversi sopravvissuti che vagavano storditi tra i detriti. Ben presto trovarono altri due sopravvissuti gravemente feriti, che erano stati seduti nelle file 16 e 18, sdraiati a terra fuori dall’aereo e li portarono in salvo. Un ultimo passeggero gravemente ferito è stato scoperto all’interno della fusoliera appena dietro la cabina di pilotaggio; dopo di che, il fuoco e il fumo è diventato troppo intenso per entrare nel relitto. Si pensa che alcuni passeggeri aggiuntivi, tra cui un bambino, siano morti tra le fiamme.

Ci sono voluti 25 minuti per i camion dei pompieri meglio attrezzati per arrivare da Cranbrook, che era 17 km di distanza dall’aeroporto, e dalla vicina comunità di Kimberley. Tra i vigili del fuoco che si sono precipitati sul luogo dell’incidente c’era Stewart Miskow, il cui padre era sull’aereo. “Quando mi sono avvicinato alla scena, ho potuto vedere i vigili del fuoco che lavoravano nella cabina di guida, attraverso le finestre, cercando di entrare”, ha detto. “E c’erano corpi che giacevano helter-skelter in tutto il luogo. Ho camminato verso la sezione di coda. Ho guardato in basso, e c’era mio padre. Era seduto lì, calmo, solo uno sguardo sul suo volto come se stesse guardando fuori dalla finestra o qualcosa del genere. Non c’era nessuno sguardo di terrore su di lui o altro. Così quello che ho fatto è stato ho proceduto verso uno degli ufficiali RCMP e ho detto, ‘Voglio identificare mio padre.'”

Nel frattempo, nessuno dei camion dei pompieri poteva avvicinarsi abbastanza per combattere l’incendio, che stava bruciando incontrollato nel relitto. Ci è voluta un’ora per uno spazzaneve per liberare un percorso per i camion, e un’altra ora e mezza dopo prima che l’incendio fosse spento. Non sono stati trovati altri sopravvissuti oltre a quelli scoperti nei primi minuti. Dei sette sopravvissuti iniziali, la maggior parte furono gravemente feriti, e il passeggero trovato dietro la cabina di guida morì in ospedale dieci giorni dopo l’incidente, portando il bilancio finale a 43 morti e 6 sopravvissuti. Tutti coloro che sono sopravvissuti erano seduti all’indietro della fila 16, aggiungendo un altro esempio a una lunga lista di incidenti in cui la parte posteriore dell’aereo si è rivelata il posto più sicuro per sedersi.

◊◊◊

L’indagine ha incontrato serie difficoltà perché il prolungato incendio ha gravemente danneggiato le scatole nere, rendendo inutile il registratore vocale della cabina di pilotaggio e distruggendo anche la maggior parte del nastro del registratore dei dati di volo. Polemiche seguì nel corso di uno scatto dell ” ultimo minuto a sinistra notato sul registratore di dati, che sembrava implicare che uno dei piloti aveva fatto un comando del timone a sinistra, o smesso di fare un comando del timone a destra, secondi prima dello schianto. Boeing ha presentato un’inchiesta incolpando l’incidente sul primo ufficiale che deprimeva il pedale del timone durante il go-around. Nel frattempo, il Transportation Safety Board of Canada è finito sotto il fuoco per impedire che le informazioni relative all’indagine in corso vengano utilizzate in un caso giudiziario in cui era l’imputato, affrontando accuse di essere stato responsabile dell’incidente consentendo a Cranbrook di ricevere grandi aerei di linea commerciali pur non avendo una torre di controllo. Queste informazioni sono state infine pubblicate insieme alla relazione finale, che ha accusato una complessa convergenza di fattori ampiamente diversi.

Applicando il modello Swiss cheese allo schianto del volo 314, diventa chiaro quanto doveva andare storto per causare l’incidente. Fondamentale per il risultato furono l’ETA relativamente inutile fornito dai controllori di Calgary; il trattamento dell’operatore radio Cranbrook di questo ETA come una previsione accurata di quando l’aereo sarebbe arrivato; la decisione dei piloti di non utilizzare l’approccio ILS, che era raccomandato in condizioni strumentali; il fallimento da parte dei piloti e dell’operatore radio di confermare un preciso ETA; l’incapacità dei piloti di informare l’operatore radio quando stavano per atterrare (considerato educato ma non obbligatorio); e il design del sistema di inversione di spinta, che impediva alle porte dell’invertitore di chiudersi completamente. L’indagine ha anche scoperto che l’ingresso del timone sinistro era molto esagerato sul registratore di dati, perché un ingresso così grande avrebbe causato l’incidente dell’aereo prima di quanto non fosse in realtà. L’input reale e più piccolo era probabilmente il risultato di un momento di distrazione mentre i piloti cercavano di stabilizzare altri aspetti del volo. Il rapporto ha anche sollevato la possibilità che l’azione simultanea e forte dei due piloti per spingere le leve dell’acceleratore in avanti possa aver fratturato il pollice del capitano, aggiungendo alla situazione già caotica nella cabina di pilotaggio.

Alla fine, il volo Pacific Western Airlines 314 si può dire che sia tra una manciata molto piccola di incidenti in cui inadeguatezze sistemiche, maltempo, errore del pilota, errore del controller, guasto meccanico e design scadente hanno giocato tutti ruoli importanti. Non c’erano abbastanza regolamenti su come i piloti dovrebbero comportarsi quando volano in aeroporti incontrollati o su come gli ETA dovrebbero essere emessi e utilizzati. Ciò ha portato i controllori a emettere un ETA scadente che non è stato mai rettificato a causa della mancanza di comunicazione tra i piloti e l’operatore radio, perché non erano legalmente obbligati a fare il check-in anche se era considerato educato. Questi errori, combinati con il maltempo, hanno portato lo spazzaneve ad essere ancora sulla pista quando l’aereo è atterrato per atterrare. Poi è iniziata un’altra catena di errori. Boeing non aveva considerato cosa sarebbe successo se i piloti avessero cercato di eseguire un go-around dopo aver schierato gli inversori di spinta fino al 1977, meno di un anno prima dell’incidente, e l’avvertimento che questo era pericoloso non aveva ancora avuto il tempo di mettere radici, né Boeing aveva avuto il tempo di progettare un sistema di spinta inversa migliore. Così, quando i piloti hanno cercato di uscire dalla situazione pericolosa in cui erano stati inseriti dalla precedente serie di errori, si sono imbattuti in uno nuovo quando la loro accelerazione ha innescato inavvertitamente un sistema di sicurezza che impediva alle porte dell’invertitore di spinta di chiudersi completamente e ha riportato il motore sinistro al minimo. L’invertitore è stato quindi costretto a tutta la strada aperta dall’aria che si precipita nel vuoto. La combinazione della resistenza dall’invertitore aperto e l’impostazione di potenza ridotta sul motore sinistro ha portato a una banca pericolosa che non era recuperabile, perché l’aereo non era in una configurazione adeguata per il decollo. L’ultimo chiodo nella bara fu l’incapacità del primo ufficiale Van Oort di capovolgere l’interruttore di override dell’invertitore di spinta in tempo (anche se è lodevole che il suo primo istinto fosse quello di raggiungerlo). Ovunque su questa catena, l’incidente avrebbe potuto facilmente essere evitato con un solo piccolo aggiustamento alla sequenza di eventi.

Oggi, non c’è alcuna possibilità che un incidente simile possa accadere di nuovo. I piloti che si avvicinano agli aeroporti incontrollati sono tenuti a trasmettere le loro intenzioni sulla frequenza generale. Gli inversori di spinta in stile bucket sono ora visti raramente, con praticamente tutti gli aerei di linea passeggeri comuni che utilizzano un design completamente diverso che non causa tanta resistenza quando schierato e non può essere schierato da forze aerodinamiche. Non c’è più alcuna necessità per il tipo di sistema di sicurezza stopgap che avrebbe dovuto mitigare gli effetti di una distribuzione inversore in volo, perché la progettazione di invertitori moderni rende impossibile per loro di distribuire in volo, in primo luogo. Entrambe le principali catene di errori che hanno portato a questo crash sarebbero quindi state stroncate sul nascere molto prima che potessero causare problemi.

Il valore nel guardare indietro allo schianto del Pacific Western flight 314 non è che ha ancora lezioni di sicurezza non indirizzate, ma che dimostra quanto sia complesso il “modello di formaggio svizzero” degli incidenti aerei può diventare. In qualche modo, questo oscuro incidente in un piccolo aeroporto canadese ha avuto una catena di errori paragonabile forse solo al disastro di Tenerife. Così tanti sistemi falliti su così tanti livelli che è difficile credere che un simile incidente possa accadere, anche nell’ambiente aeronautico molto meno regolamentato degli anni ‘ 70. Ma, come dice il proverbio, qualcosa sta sempre fallendo. Il design dell’invertitore di spinta era un incidente in attesa di accadere. Così erano gli ETA imprecisi di Calgary ATC. Pochissimi degli errori che hanno portato a questo incidente sono stati eventi una tantum; piuttosto, erano sempre presenti, ma non erano convergenti in un modo veramente pericoloso. L’unica ragione per cui tutti questi fallimenti sistemici non hanno causato un incidente prima era perché i buchi nel formaggio svizzero non si allineavano—fino a quando un giorno, tragicamente, lo fecero.