Assistenza Al Volo - trimestre 3 / 2017

AIR TRAFFIC CONTROL

ASSISTENZA AL VOLO

PERIODICO ANACNA - ANNO XLII - NUMERO 3/2017 OMAA Abu Dhabi International, by Attila Nagy - gizmodo.com.au

Corsi di inglese Climb Level 4 Moduli di formazione: Tempo, durata e orari Salute Persone Carico, materiali e incendio Navigazione, movimento e geografia Tempo atmosferico Tecnologia Aeroporti Comunicazione

CL4 Commuter CL4 Short-haul CL4 Long-haul CL4 Stopover

info@anacna.it

Ore di lezione

Durata del corso

Sconto ANACNA

Prezzo in euro

125

1 mese e mezzo

55%

80

125

4 mesi e mezzo

55%

174

150

9 mesi

60%

214

175

12 mesi

60%

253

indice dice Member of IFATCA International federation of Air traffic Controller’s Association

Pubblicazione trimestrale, organo ufficiale di ANACNA, Associazione nazionale Assistenti e Controllori della Navigazione Aerea, anno XLII nr. 159 - trimestre 3/2017.

Direttore Editoriale: Eugenio Diotalevi.

Hanno collaborato a questo numero: Oliver Barsanti, Felice De Lucia, Gianluca Del Pinto, Euegnio Diotalevi, Michael Ferrario, Nicola Gallo, Salvatore Luca Greco, Benedetto Santagati.

Direzione, redazione e pubblicità: via Camilla 39 00181 Roma, tel. 067842963 fax 067803094 www.anacna.it, info@anacna.it

La rivista è aperta alla collaborazione di professionisti, studiosi ed esperti del controllo del traffico aereo e dell’assistenza al volo. Alcuni articoli, pubblicati come contributo indipendente di documentazione e critica, possono non esprimere il punto di vista dell’ANACNA.

EDITORIALE

4 ANACNA Studio ANACNA sul Servizio Informazioni Volo

HUMAN FACTORS Fatigue e FRMS nel controllo del traffic aereo ANACNA Anacna Runway Safety Team HUMAN FACTORS I Quaderni di ANACNA

6 8 10 12

ENGLISH BITES

14

Testi, foto e materiali in genere inviati alla redazione, anche se non pubblicati, non verranno restituiti.

IFATCA

Ambient Workplace Recording

15

editoriale ASSOCIAZIONE OCIAZIONE NAZIONALE ASSISTENTI E CONTROLLORI DELLA NAVIGAZIONE AEREA ITALIAN AIR TRAFFIC CONTROLLERS’ ASSOCIATION

MEMBER OF IFATCA INTERNATIONAL FEDERATION EDERATION OF AIR TRAFFIC CONTROLLERS’ ASSOCIATIONS SSOCIATIONS

Eye in the Sky “I am the eye in the sky Looking at you I can read your mind I am the maker of rules Dealing with fools…1” Mi piace immaginare che questo testo sia stato scritto per gli operatori dei servizi del traffico aereo, quegli occhi (“I am the eye in the sky”) che, dalle torri di controllo o dai centri radar, osservano (“looking at you”), interpretano le necessità degli user (“I can read your mind”) e dettano le regole (“I am the maker of rules”) di questo splendido gioco che è il cielo. Sembrerebbe che la canzone fosse stata scritta in riferimento a ben altri giochi, quelli d’azzardo e dei casinò, che tanto lontano sono e devono essere dal modus operandi che applichiamo al nostro ambito lavorativo.

E, visto che nel nostro lavoro non si gioca d’azzardo e conosciamo bene le regole, anche ANACNA contribuisce a far sì che queste regole del gioco siano sempre più affinate e gli azzardi sempre più vicini allo zero.

Durante l’estate l’Associazione non si è fermata.

Tra le varie attività citiamo l’incontro tenuto presso la sede ANACNA con ENAV e ANPAC per discutere sulle problematiche relative alla turbolenza di scia seguite alla warning news del 25 marzo 20172 e all’implementazione delle procedure PBN CDO Closed Path per Roma Fiumicino.

1 2

The Alan Parsons Project: Eye in the Sky (1982) http://anacna.it/anacna-news/514-anacna anacna-warning-news.html

4

editoriale ASSOCIAZIONE NAZIONALE ASSISTENTI E CONTROLLORI DELLA NAVIGAZIONE AEREA ITALIAN AIR TRAFFIC CONTROLLERS’ ASSOCIATION

MEMBER OF IFATCA INTERNATIONAL FEDERATION EDERATION OF AIR TRAFFIC CONTROLLERS’ ASSOCIATIONS SSOCIATIONS

L’estate è stata foriera anche che della collaborazione con ENAC per l’inserimento dei rappresentanti della categoria dei controllori del traffico aereo all’interno delle Local Runway Safety Team (LRST) aeroportuali.

In agosto è stato presentato lo Studio ANACNA sul FIS3 che sarà tradotto in inglese per essere portato ad IFATCA. L’estate è passata e anche quest’anno gli operatori dei servizi del traffico aereo, hanno affrontato flussi di traffico e picchi di domanda da massimo carico mentale. Gli aeroporti si sono riempiti, i cieli sono divenuti affollati e gli incendi con le operazioni di emergenza hanno contribuito ad una richiesta di professionalità fuori dal comune.

Un altro anno col trend positivo volge al termine e come sempre gli operatori hanno permesso che i livelli di safety rimanessero altissimi facendo ciò che riesce loro meglio: l’occhio vigile nel cielo.

Il presidente

(Oliver)

3

http://anacna.it/anacna-news/530-studio studio-anacna-sul-servizio-informazioni-volo.html

5

ANACNA Studio ANACNA sul Servizio Informazioni Volo

“Non hai veramente capito qualcosa fino a quando non sei in grado di spiegarlo a tua nonna.”

Di Benedetto Santagati

Albert Einstein

Ma tu che lavoro fai?

Quante volte vi hanno fatto questa domanda? E come rispondete? Mi vien già da ridere pensando alle possibili risposte dei miei Amici-Colleghi…

E se sei un FISO? Come fai a muoverti tra l’eticamente corretto, l’usurpazione di un titolo e la realtà?

Spiegare qualcosa agli altri, soprattutto se non addetti ai lavori, ci fa riflettere meglio sulla vera essenza delle cose costringendoci a vedere le medesime cose da un altro punto di vista.

Se per gli addetti ai lavori ha un senso parlare di Servizio Informazioni Volo (FIS) ed è altrettanto chiaro che le diverse classi di spazio aereo servono ad ottimizzare la resa dei Servizi ATS, volendo vedere la cosa da un altro punto di vista come la traduciamo?

Fermo qui la provocazione perché è un esercizio che chi fa il nostro lavoro ha sicuramente fatto e vado al dunque.

Il FIS è un servizio basico il cui fine è quello di “fornire avvisi ed informazioni utili per una sicura ed efficiente condotta dei voli” e nella sua forma basica, quella non associata al servizio di controllo, è rivolto ad un’utenza tanto specifica quanto eterogenea.

L’estate che sta per finire ci ha consegnato un’Italia martoriata da roghi e fiamme ed ha visto il personale ATS impegnato, tra l’altro, nell’assistenza di velivoli ed elicotteri impegnati in attività di antincendio boschivo come poche volte in passato. Un esercizio la cui riuscita si basa su coordinamenti rapidi ed efficaci, analisi delle interazioni tra i volumi di protezione ed aeroporti, aviosuperfici, zone aviolancistiche e traffico in atto, che nel periodo estivo raggiunge appunto i massimi livelli; senza tralasciare ovviamente il monitoraggio delle operazioni per garantire a tutti i traffici operativi il servizio di allarme.

Questo è solo uno degli scenari con cui i Centri di Informazione Volo (FIC) devono misurarsi quotidianamente in quanto, fuori dagli spazi aerei controllati si svolgono molteplici attività, dalle comuni attività di addestramento, tanto dell’Aviazione Generale quanto di quella militare, alle attività di pattugliamento e controllo del territorio, passando per il lavoro aereo ed i voli ambulanza caratterizzati dall’immediatezza d’intervento nei luoghi più disparati.

Che ruolo gioca la fornitura del Servizio Informazioni Volo in questo contesto? Come si concretizza il supporto ad una sicura ed efficiente condotta dei voli?

Avete mai sentito parlare dell’esperimento della rana bollita?

Verso la fine del 1800 come risultato di un esperimento alcuni scienziati conclusero che se si lancia una rana all’interno di una pentola di acqua bollente questa salta fuori per salvarsi; se invece la si immerge in acqua tiepida e si riscalda gradualmente fino all’ebollizione, la rana, non riuscendo a percepire le piccole variazioni di temperatura, muore bollita. Ho scomodato la povera rana per rafforzare il concetto che senza il giusto spirito critico non riusciremo più a percepire come varia ciò che ci circonda e se priviamo il nostro lavoro, che attiene alla Safety, del nostro spirito critico perdiamo tutti delle opportunità per

6

migliorare ciò che facciamo, ciò che forniamo e noi stessi.

Con questo spirito ANACNA ha pubblicato sui canali associativi lo “Studio sul Servizio Informazioni Volo”, che ha lo scopo di analizzare il Servizio Informazioni Volo (FIS) al fine di comprenderne meglio i principi e le norme che ne regolano l’erogazione nell’ambito dei Servizi del Traffico Aereo ed a delineare il perimetro di competenza delle figure professionali ad esso preposte siano essi FISO o ATCO. Per quanto l’elenco delle informazioni da fornire agli aeromobili in volo sia chiaro, e riportato nei manuali operativi dei provider, l’espressione “any other information likely to affect safety”, se non contestualizzata, in relazione alla tipologia di servizio ed alla natura delle informazioni stesse, potrebbe rendere indefinito dal punto di vista normativo, il perimetro di competenza del FIS. Se in ambito operativo è il personale ATS che eroga il servizio a discriminare e a dare priorità alle informazioni facendo ricorso al proprio addestramento e Best Judgement, dal punto di vista normativo è necessario spingersi oltre l’elenco delle informazioni da fornire. Per individuare tale ambito di competenza, ed il limite al dovere d’informazione a carico del personale che eroga il servizio, è necessario restringere tale perimetro ovvero stabilire quali informazioni

ANACNA

debbano essere fornite agli aeromobili.

Lo studio ANACNA sul Servizio Informazioni Volo, scaricabile da sito ANACNA, si compone di 4 sezioni principali: I riferimenti normativi sul FIS; analisi normativa; conclusioni e suggerimenti.

Attraverso la disamina degli aspetti normativi lo studio arriva alla conclusione che, dall’analisi della normativa tecnica “madre” e nello specifico delle linee guida contenute nell’ICAO-Doc 9426 ATS Planning Manual, il FIS ha la funzione di integrare ed aggiornare durante il volo i piloti sulle variazioni delle informazioni che essi stessi hanno acquisito in fase di pianificazione pre-volo dal servizio meteo (MET) e dal servizio di informazioni aeronautiche (AIS) attraverso i suoi prodotti (AIP, AIC, NOTAM). È questo il contributo di ANACNA al dibattito su un argomento (FIS) che auspichiamo coinvolga Autorità, Providers, Utenti e Personale Operativo con lo scopo di rivedere, confermare o modificare alcuni aspetti normativi e operativi alla luce dello sviluppo

Services le cui proposte di modifica riguardano tanto FIS quanto il Servizio Informazioni Volo Aeroportuale (AFIS); lo scopo in tal senso è quello di introdurre a livello regolamentare delle norme che possano contribuire ad un sempre più alto livello di standardizzazione.

La NPA in argomento ha ricevuto, nel periodo di consultazione, 1763 commenti oggi al vaglio di EASA, indice dell’attenzione rivolta dagli stakeholders all’argomento.

Parte di questi commenti è stata oggetto di un intervento da parte di Fabio Grasso (ATM/ANS Regulation Officer EASA) presso il FISO Seminar 2017 di Varsavia svoltosi a settembre al quale ANACNA ha partecipato; le presentazioni sono allegate alla news relativa all’evento su anacna.it.

Rinnovo ai lettori l’appello al confronto lanciato qualche mese fa sull’editoriale a mia firma rivolgendomi in primis al personale FISO, che rappresenta la figura professionale esperta sul FIS e che conosce da vicino tutti gli aspetti operativi che riguardano l’erogazione del servizio nello spazio aereo nazionale e negli aeroporti sede di AFIU. Un’ultima informazione, per restare in tema; pare che l’esperimento della rana sia stato messo in discussione agli inizi del 2000…

Al netto di ciò che la povera rana deciderà di fare o farà effettivamente facciamo in modo di non perdere il nostro spirito critico, facciamo in modo di migliorare o per lo meno proviamoci, ciò che facciamo, il servizio odierno dell’Aviazione Generale, Turi- che forniamo e noi stessi. stico-Sportiva e non da ultimo, le esigenze di tutti gli attori coinvolti.

Dibattito che peraltro è già in corso a livello europeo con la Notices of Proposed Amendment (NPA) 2016-09 EASA su Requirements for Air Traffic

7

human factors ATS, è necessario procedere con il relativo Risk Assessment e valutare la necessità di implementazione di eventuali azioni di mitigazione. di Salvatore Luca Greco L’effettuazione di un risk assessment specifico risulta tuttavia un processo tutt’altro che semplice. Diversi sono i Vi presentiamo di seguito la quinta di fattori che possono contribuire alla una serie di pubblicazioni sul tema percezione di fatigue da parte “fatigue” nell’ambito dei servizi del dell’individuo, e molti di questi sono traffico aereo. Come le precedenti, imprevedibili. questa pubblicazione è basata sul Inoltre, la fatigue è raramente l’unica documento ICAO – CANSO – IFATCA causa di un evento, ma regolarmente “Fatigue management guide for air costituisce un contributo aggiuntivo traffic services providers”. nella catena. L’intensità di tale Le pubblicazioni precedenti hanno contributo è funzione del contesto illustrato le differenti categorie di operativo e del compito eseguito in sonno (REM-NREM) e i fattori che tale contesto dagli operatori. influenzano negativamente la qualità Per il risk assessment relativo del sonno stesso. Nella seconda all’influenza della fatigue degli pubblicazione sono stati discussi gli operatori può essere utilizzato una effetti della mancanza di sonno con matrice di rischio, analogamente a particolare riferimento alle prestazioni quanto previsto per ogni hazard erogate, le problematiche relative al identificabile tramite i comuni processi recupero del sonno perso e la di safety management. In tabella 2 è sincronizzazione dei periodi di sonno possibile osservare un esempio di tali nel nostro organismo (cfr. AAVV matrici.

02/2016 e 03/2016). La terza Tuttavia vi sono alcune differenze tra pubblicazione ha mostrato gli effetti un risk assessment “classico” ed un della luce sul nostro orologio risk assessment relativo al rischio circadiano, gli effetti della rotazione fatigue. dei turni di servizio e l’influenza dei carichi di workload sulla qualità del Una volta identificato un rischio Quest’ultimo, come già accennato, sonno. (AA/VV 01/2017). Infine, la innescato da fatigue degli operatori dispiega diversi effetti possibili in funzione del contesto quarta pubblicazione operativo in atto. (rif. AAVV 02/2017) è Proprio per questo stata incentrata sulla motivo, per eseguire gestione del rischio da un corretto risk fatigue attraverso assessment dei rischi l’approccio prescrittivo. da fatigue utilizzando le matrici, è necessario In questa sviluppare diverse pubblicazione scale di “risk severity” introdurremo il che prendano in concetto di FRMS. considerazioni la Tuttavia, per questioni Tabella 1: Possibili modalità di identificazione del rischio fatigue varietà degli effetti di brevità, non generabili da verranno illustrati a Immagine tratta dal documento “Ftigue management guide for air traffic services providers”, redatto congiuntamente da ICAO, CANSO, IFATCA. performance fondo i processi, le policy e la influenzate dalla fatica documentazione che ne degli operatori. costituiscono l’ossatura Alcuni esempi di queste principale, ma ci si scale possono limiterà ad illustrare il comprendere: principio di -Il livello percepito funzionamento, le di fatigue da parte variabili da valutare ed degli operatori, i principali passi sull’assunto che necessari per il maggiore il livello di processo di affaticamento approvazione e percepito, maggiore dispiegamento. la probabilità che le La definizione data da performance possano ICAO di Fatigue Risk declinare.

A tale Management System è scopo possono essere la seguente: “A datautilizzate differenti driven means of scale di misura, come continuously la Karolinska monitoring and Sleepiness Scale Tabella 2: Esempio di matrice di rischio utilizzabile per I risk assessment managing fatigue(KSS) o la scala di Immagine tratta da ICAO DOC 9859 – Safety Management Manual, 3rd edition related safety risks, misura Samn-Perelli. based upon scientific Entrambe le scale

Fatigue e FRMS nel controllo del traffico aereo

principles and knowledge as well as operational experience that aims to ensure relevant personnel are performing at adequate levels of alertness” Si tratta di un approccio al contrasto del rischio fatigue degli operatori del tutto analogo a quanto previsto nei Safety Management System dei singoli provider.

L’annesso 11 prevede tre tipologie di identificazione dei rischi: -Predittivo: Relativo ai rischi identificati attraverso l’analisi dei turni pianificati, tenendo in considerazione i fattori noti per la loro influenza su qualità e quantità del sonno e il conseguente livello percepito di fatigue.

-Proattivo: Prevede l’identificazione dei rischi attraverso la misurazione del livello percepito di fatigue durante le normali operazioni.

-Reattivo: Include tutti i rischi identificati in caso di eventi a seguito di valutazione dell’influenza del livello percepito di fatigue.

Le tipologie di identificazione del rischio appena descritte sono interamente applicabili al FRMS.

8

human factors richiedono una valutazione soggettiva del livello percepito di fatigue.

Al termine della pubblicazione è riportato un breve approfondimento sulle scale citate.

-Modelli bio-matematici: Questi modelli puntano, utilizzando funzioni matematiche, a prevedere e descrivere il livello di fatigue percepito da parte degli operatori nel corso di un turno o durante una serie di turni programmati.

Nonostante i modelli bio-matematici sono ormai parte degli strumenti comunemente utilizzati per il contrasto al rischio derivante da fatigue, tali modelli non dovrebbero in alcun caso essere utilizzato come unico strumento.

-Altre scale: Scale che prendano in considerazione la quantità di fattori che possano influenzare direttamente il livello di fatigue durante una specifica attività.

Il processo di risk assessment permette quindi di stabilire se un determinato rischio da fatigue necessiti di azioni di mitigazione. È da considerare tuttavia che ogni azione di mitigazione costituisce un costo per il provider, e come tale ne devono essere valutate la fattibilità e l’eventuale ordine di priorità tra diverse azioni di mitigazione.

Azioni di mitigazione che siano veramente efficaci vanno oltre il concetto di “quantità di lavoro/riposo”, considerando anche interamente il contesto dei turni pianificati nei giorni precedenti e successivi, e valutando l’impatto di questi turni sull’orologio circadiano.

I dati ottenuti dal processo FRMS devono essere utilizzati per valutare la rispondenza agli indicatori di safety (SPI – safety performance indicators) predefiniti dal regulator in fase di definizione del processo. Se le mitigazioni applicate permettono il raggiungimento e il mantenimento delle performance richieste, allora tali mitigazioni diverranno parte delle normali operazioni messe in atto dal provider.

Implementazione di un Fatigue Risk Management System L’implementazione di un FRMS è portata avanti in diverse fasi. Ogni fase deve essere approvata dal regulator prima che la fase successiva possa avere inizio.

In tabella 3 viene riportato uno schema riassuntivo delle singole fasi di implementazione del FRMS. Per un dettaglio delle singole fasi si rimanda al documento Fatigue Management Guide for air traffic services providers già citato, redatto da IFATCA, ICAO e CANSO. Con questa pubblicazione termina la

Tabella 3: Fasi di implementazione di un FRMS

serie dedicata al rischio fatigue nei servizi del traffico aereo.

Come già accennato nella precedente pubblicazione, (cfr. AAVV 02/2017) bisogna ricordare che la gestione di questa tipologia di rischio può essere effettuata anche con un approccio di tipo prescrittivo.

Indipendentemente dall’approccio scelto per il contrasto al rischio fatigue, si rimarca l’importante ruolo personale rivestito dall’operatore ATS. Non esiste alcun metodo di contrasto ai rischi analizzati che possa essere efficace senza che vi sia il coinvolgimento diretto e totale della persona coinvolta.

Proprio il personale impegno degli operatori ATS costituisce la prima barriera contro il rischio fatigue.

APPROFONDIMENTO: KAROLINSKA SLEEPINES SCALE e scala SAMN-PERELLI. La Karolinska Sleepiness Scale (KSS) (Akerstedt & Gillberg, 1990) è una scala comunemente utilizzata per misurare il livello percepito di sonnolenza. È richiesto ai partecipanti al test di indicare il livello percepito di sonnolenza in una scala che va da 1 a 9 (1 = extremely alert, 3 = alert, 5 = neither alert nor sleepy, 7 = sleepy, but no difficulty remaining awake, to

9 = extremely sleepy, fighting sleep).

Anche i valori intermedi per cui non è spiegato un significato specifico possono essere utilizzati.

Valori più elevati dei risultati indicano una maggiore sonnolenza percepita.

Nonostante l’apparenza semplice e la soggettività tipica di questa misura, è stato dimostrato che i valori ottenuti dall’utilizzo della scala presentano una elevata correlazione con i risultati ottenuti da elettroencefalogramma (EEG), elettrooculogramma (EOG) e altre variabili comportamentali, suggerendo quindi una elevata validità della misura.

La scala Samn-Perelli è una scala analoga alla KSS, sviluppata durante uno studio condotto dalla USAF School of Aerospace Medicine presso la base aerea di Brooks, Texas.

Lo studio ha messo in relazione il livello di fatigue percepito con le possibili conseguenze in termini di safety delle operazioni.

Nell’immagine 1 è visibile un estratto dello studio originale.

Immagine 1: Estratto dallo studio “Estimating Aircrew Fatigue: a technique with application to airlift operation”, Samn & Perelli, 1982, pag4

9

ANACNA di F. De Lucia G. Del Pinto L’attività di controllo del traffico aereo è caratterizzata dall’essere complessa e sotto-specificata. Complessa, ché nulla più può essere inteso come scevro da connessioni e interdipendenze con altri apparati o funzioni del sistema; sotto-specificata, ché altrettanto nulla può essere esaustivamente atomizzato quando ci si impegna nella sua spiegazione. Tali caratteristiche rendono arduo l’ottenere un completo controllo e un’ottimale gestione dello scenario operativo aeroportuale.

Per tale ragione le funzioni svolte da un controllore del traffico aereo possiedono, in maniera intrinseca, una certa quantità di variabilità. Tale variabilità rende la performance dell’operatore, come già poc’anzi ricordato, non completamente controllabile e gestibile. Vi è quindi la necessità di ottemperare ad improvvise emersioni dell’evento, tale che il CTA debba sempre operare in tale ottica.

A supporto e corollario di ciò intervengono i principi della safety II, per cui l’evento viene reso imponderabile, sempre presente in potenza, inevitabile se si ritiene la variabilità della performance componente irrinunciabile del sistema1. Non è quindi l’evento ciò a cui si deve prestar attenzione risolutiva (nell’ottica di un’ingegnerizzazione del sistema sempre migliore) ma al suo possibile risultato negativo. È infatti a quest’ultimo che va prestata estrema attenzione, proprio per permettere al sistema ANS di sopravvivere a se stesso.

La messa in opera dei succitati principi si può allora realizzare spostando alcune barriere contenitive da prima dell’evento a dopo questo e prima del risultato negativo. Non è infatti forse vero che una procedura di avvicinamento termina “solo” con il missed approach? O che in caso di bassa visibilità (evento) le procedure LVP regolano in altro modo il traffico aereo? O che una runway incursion (evento) possa essere individuata e risolta con un’accorta gestione tattica onde evitare una collisione (risultato negativo)?

Anacna accoglie e fa propri questi principi, perché ritiene che possano essere utilizzati a tutela dell’operatore, quando questi opera in scenari operativi complessi e sottospecificati come un aeroporto.

Un aeroporto che, in ragione della sua complessità, vede quotidianamente un certo numero di eventi. Questi, della più disparata classificazione, possono esser valutati in ragione della loro criticità, ovvero essi immettono nel sistema una certa quantità di variabilità di performance2. Maggiore questa, maggiore la possibilità che l’evento possa realizzarsi e condurre ad un risultato negativo. Ancora, per uno scenario aeroportuale, summa di tutta la variabilità della performance è la runway incursion.

Statisticamente e su scala mondiale il 68% degli accidents che hanno interessato il Sistema ATM nel periodo 1998-2001 ha interessato la fase a terra del volo3. Cosi come è riportato che in Europa c’è una runway incursion ogni 3 giorni e che ogni 2 mesi questi eventi fanno emergere una near collision4. Una runway incursion è definita dallo European Aviation Safety Plan (EASP) come uno dei 5 rischi operativi correlati alla safety per il trasporto aereo commerciale.

EUROCONTROL ha identificato 5 occorrenze che possono avere il potenziale per causare un accident o un serious incident:  Separation minima infringements  Level busts  Deviation from ATC clearance  Runway incursions  Airspace infringements Ora, molteplici possono essere le “cause” di tali aumenti. Basti pensare alla possibilità che gli operatori possano essere stati correttamente influenzati dalla just culture, portando ad un aumento del numero di segnalazioni così da far emergere un evento sempre intrinseco al sistema.

1

È qui che Anacna intende inserirsi, sottolineando l’importanza di stare a quei tavoli dove si fa safety. Lì dove si produce safety safety. Perché un sistema non possiede in maniera statica safety, ma la produce quotidianamente.

L’Associazione vuole così portare l’attenzione sul progetto ARST, Anacna Runway Safety Team. Esso porterà i rappresentanti locali all’interno dei LRST, Local Runway Safety Team Team, gruppi locali preposti al trattamento delle problematiche inerenti la safety aeroportuale ed istituiti nel Doc 9870 di ICAO Manual on the Prevention of Runway Incursions e seguente European Action Plan for the Prevention of Runway Incursions” edito da Eurocontrol urocontrol.

3.1.1 1.1 A runway incursion pr prevention programme should start with the establishment of runway safety teams at individual aer aerodromes…

3.1.2 The team should comprise representatives from aerodrome operations, air traffic service providers, airlines or aircraft operators, pilot and air traffic controller associations and any other groups with a direct invol involvement in runway operations. The team should meet on a regular basis. Frequency of meetings should be determined by the individual groups. At some aerodromes, other groups may already exist that could carry out the functions of a runway safety team.

Il LRST è cioè un gruppo di tipo consultivo composto dai rappresentanti qualificati del fornitore del servizio del traffico aereo, degli operatore aerei, del gestore, nonché di tutti quei soggetti pubblici e/o privati che operano con continuità nell’area di manovra dell’aeroport dell’aeroporto5. Le attribuzioni sono

Hollnagel E., Safety-I e Safety-II. Il passato e il futuro del safety management. Hirelia Edizioni. 2016 Questa intesa nella sua accezione negativa di matrice safety I, proprio perché immessa dagli eventi e non dagli operatori.

Review of ATM-related Accidents worldwide from 1980 to 2001 by the National Aerospace Laboratory (NLR) – Netherlands. Altre statistiche correlano tale percentuale anche a scenari attuali (NdA) 4 European JAA – 2002 5 ENAC, circolare serie aeroporti apt-30 incursioni in pista – prevenzione e gestione aeroportuale. 2008 2 3

10

ANACNA orientate all’analisi delle specifiche problematiche del singolo aeroporto correlate con la sicurezza delle operazioni in pista ed all’individuazione delle necessarie azioni correttive da portare a conoscenza del team di sorveglianza locale, nell’ambito di un programma complessivo di adozione delle misure di prevenzione delle incursioni in pista (runway safety program). In particolare il LRST svolge i propri compiti in ragione di attività proattive

grazie alla volontà del presidente Oliviero Barsanti, supportato dal coordinatore nazionale Felice De Lucia, nel richiedere al Regulator di far assegnare all’Associazione professionale dei controllori del traffico aereo, un posto come membro permanente del LRST, come già avviene in molti paesi europei.

ENAC ha espresso parere favorevole alla richiesta fatta e questo a dimostrazione della sensibilità e della vo-

4 ottobre 2017, quando i rappresentanti Anacna si incontreranno a Roma, in una prima giornata conoscitiva e formativa a riguardo del progetto ARST. Si dovrà pertanto costruire una nuova casa comune, ché le realtà operative italiane sono tante e disparate. Non sarà cioè possibile creare uno schema unico ed univoco di intervento, men che meno fatto a piè pari. Si dovrà allora canalizzare l’enorme esperienza

e reattive. Azioni proattive prevedono la verifica e il monitoraggio di tutto ciò che riguarda la formazione degli operatori, le procedure di movimentazione e la segnaletica aeroportuale, la fraseologia e i potenziali fattori di rischio. Azioni reattive invece riguardano l’analisi e la valutazione di ogni evento locale connesso con le incursioni di pista, l’identificazione delle possibili conseguenze dovute ad un evento, le proposte di soluzioni e misure di miglioramento in seguito ad un risultato negativo.

Il progetto che si è sviluppato nel tempo grazie all’attività svolta da ANACNA sia in contesti nazionali che internazionali, ha avuto un impulso durante il presente mandato del CDN

lontà del Regulator ad ampliare i tavoli di discussione su una tematica molto importate e sempre attuale come quella della runway safety.

Tutto ciò permetterà all’Associazione di svolgere un ruolo fattivo, costruttivo e proattivo, a riguardo della safety aeroportuale. Anacna potrà così interagire con tutti quei soggetti che sinora hanno posto in essere positive azioni correttive a riguardo delle operatività aeroportuali. È una grande novità, raggiunta in breve tempo e nonostante i mesi estivi. ARST permetterà di dare riscontro e ulteriore motivazione a tutti coloro che lavorano, partecipano, sostengono l’Associazione.

Il primo appuntamento formale sarà il

degli operatori ATC sulla base di principi questi sì comuni: collaborazione, condivisione, accettazione. Saranno queste le prime prerogative per entrare in un mondo ai più nuovo.

Anacna cercherà anche di instaurare ottimali rapporti di collaborazione con chi già da tempo opera nei LRST. Con chi cioè potrà essere preso ad esempio, per esperienza ed attività passate. Così facendo l’Associazione potrà essere presente localmente, con riconoscimento nazionale. Riuscendo a far interagire questi piani di intervento si otterranno grandi risultati

11

human factors I quaderni di ANACNA

“Una brutta storia” di Gianluca Del Pinto Il primo febbraio 1991 il volo USair 1493, operato con un B737, si scontrò in fase di atterraggio sulla pista 24L dell’Aeroporto Internazionale di Los Angeles (LAX) con il volo SkyWest 5569, operato con un Fairchild Metroliner, allineato e pronto al decollo dalla stessa pista 24L. Delle 89 persone a bordo del B737 22 persero la vita; a bordo del Metroliner le vittime furono 12, senza sopravvissuti1.

I soccorsi furono immediati, ché già 7 minuti dopo l’evento i vigili del fuoco cominciarono ad operarsi per spegnere l’incendio. Il piano di emergenza era stato attivato con la consapevolezza di raggiungere un solo aeromobile, che inizialmente, dalla Torre di Controllo, si credeva essere, questo, stato oggetto di un attacco terroristico. Il 17 gennaio era stato dato il via all’operazione Desert Storm che, nel quadro più ampio della prima Guerra del Golfo, aveva portato le truppe della coalizione avversa a Saddam Hussein ad invadere l’Iraq.

In verità il B737, dopo aver toccato la pista di atterraggio, si trovò di fronte il Metroliner, allineato a circa 780 metri dalla soglia pista, all’altezza dell’intersezione 45. Lo scontro fu inevitabile, nonostante i piloti dello USairr 1493, dopo aver abbassato il muso dell’aereo, si fossero accorti dell’imminente impatto. Dopo la collisione i due aerei si spostarono alcune decine di metri lungo la pista, per poi uscire da questa sul lato sinistro ed impattare contro una

vecchia stazione in disuso del vigili del fuoco. Il Metroliner venne distrutto, mentre il B737 subì relativamente pochi danni strutturali dai due impatti.

Il cockpit fu maggiormente interessato dall’urto contro l’edificio, sul lato sinistro del Comandante.

L’incendio che poi ne derivò, divampando dalla parte anteriore dello USair 1493, determinò la distruzione di questo. Fu anche la causa principale della morte di molti dei passeggeri a bordo del B737.

Mentre il Metroliner veniva rintracciato, dalle squadre di emergenza, sotto la pancia del 737, la Torre di Controllo, sette minuti dopo l’impatto, comunicò la possibilità che un altro aeromobile potesse essere stato coinvolto. Mancava infatti “alla conta” il volo SkyWest 5569.

Il sistema ATC a LAX, con 4 piste utilizzate per decolli e atterraggi, era classificato di livello V. Tale classificazione veniva utilizzata per indicare una Torre di Controllo in grado di gestire più di 100 movimenti orari per 16 ore al giorno. Il livello V era il livello più elevato assegnabile ad una TWR. L’anno precedente si era chiuso con un numero totale di movimenti pari a 632.312.

Giornalmente la FAA non effettuava un ben preciso conteggio del numero degli aa/mm gestiti, ché veniva eseguito dai CTA a fine giornata; il primo febbraio ’91 i movimenti furono 1.622. Di questi, lo USair 1493 fu istruito dall’avvicinamento a contattare il Controllore responsabile della posizione LC22 alle 18:03:05 LT. L’evento accade quindi alla sera, un’ora dopo il tramonto. In Torre erano in turno 13 Controllori del Traffico Aereo. Il LC2, sulla frequenza di torre 133.9, era impegnato in ciò che poteva essere definita “routine”; di notte, con numerosi aerei che atterravano e decollavano, circa ogni 50 secondi; con 2 piste utilizzate indistintamente per decolli e atterraggi ed una rete di vie di rullaggio conseguentemente complicata.

La frequenza era oltremodo impegnata, ché numerose erano le comunicazioni da e per i piloti. Con 2 aeromobili al punto attesa della pista 24L, con 15 che impegnavano la frequenza, lo SKW5569, in rullaggio, chiese di poter partire dalla posizione intermedia 45.

Il LC2 autorizzò l’allineamento intermedio, mentre era impegnato nello ristabilire le comunicazioni con lo WW5006 West Wings, autorizzato ad attraversare la 24L, in prossimità del fine pista. Numerose furono le comunicazioni con questo aeromobile,

1

ché aveva cambiato frequenza in maniera errata. Nel frattempo lo USair 1493 reiterò la sua presenza al LC2 alle 18:04:35, oramai prossimo al corto finale; con i controlli effettuati mancava solo l’autorizzazione all’atterraggio. Il LC2 nel tempo intercorso tra l’arrivo in frequenza dello USair 1493 e questa seconda chiamata, in 1 minuto e 30 se secondi, effettuò e ricevette un totale di 40 comunicazioni. Nel mezzo ci fu la richiesta dello SKW5569 di utilizzare l’intersezione 45 per decollare da posizione intermedia. Richiesta che il LC2 accettò. Lo USair si avvicinava e passando i 500 piedi venne autorizzato utorizzato all’atterraggio alle 18:05:51.

Tra la seconda comunicazione dello USair e l’autorizzazione all’atterraggio, il LC2 effettuò e ricevette altre 22 chiamate.

Lo SKW 5569 era nel frattempo allineato in pista da 2 minuti e 17 secondi. L’impatto si ve verificò alle 18:06:59, come dedotto dalle registrazioni VCR del Boeing.

Il Metroliner era rimasto in pista quasi 4 minuti (3 minuti e 39 secondi).

Sin da subito fu ritenuto che il CTA avesse dimenticato SKW5569 in pista.

Essa stessa, dopo essere stata rilevata levata dalla postazione operativa, e dopo aver chiesto alla Ground e alla Delivery, si recò dal supervisore con la consapevolezza di ciò che era accaduto. È naturale, istintivo, cercare immediatamente la causa di un simile, macroscopico, effetto distruttiv distruttivo. Se non altro per impedire, nell’immediatezza del risultato sfavorevole, la reiterazione dell’evento, se questo ovviamente possa essere possibile. Perché un sistema socio socio-tecnico complicato come LAX nel 1991, non poteva semplicemente prendere atto dell’accaduto ccaduto e fermarsi. Tanto che la pista 24R continuò ad operare, nel frangente più immediato ancora sotto la responsabilità dello stesso LC2 interessato dall’evento. Ed è poi natura umana cercare una soluzione immediata. È un modo per sopravvivere, ancestra ancestrale quanto la specie umana. Prima si scopre la causa e prima si esorcizza l’esito negativo. Prima si isola il colpevole, prima ci si può guardare intorno, prima ci si immunizza. Inoltre, così facendo, permettiamo al sistema di sopravvivere. Perché anche que questo è molto importante.

L’uomo, per natura, è un animale sociale. Vive in branco, relazionandosi e scontrandosi con i propri simili, adattandosi all’ambiente circostante.

Un ambiente che quasi sempre è

Fonte: NTSB, Aircraft accident report runway collision of USair flight 1493, Boeing 737 AND SkyWest flight 5569 Fairchild Met Metroliner Los Angeles International Airport, California. February 1, 1991 Washington, D.C. Local Controller 2

2

12

human factors

ritenuto immutabile. Tanto vero è che, generalmente, cii si adatta al sistema, e si sacrificano per questo i propri simili piuttosto che modificare ciò a cui ci si è adattati. Quando per la prima volta si entra nel branco, si è lungi dal voler modificare il sistema, perché è più semplice adattarsi alle strutture re che si trovano già bell’e che pronte. Freud diceva che il bambino scopre molto presto il vantaggio di stare insieme a chi riconosce come simili, essenzialmente per soddisfare i propri bisogni egoistici. L’uomo allora non è un animale sociale nel senso che he ricerca i propri simili in quanto tali. L’uomo è un animale sociale in quanto si riconosce in un sistema utilitaristico, esterno ad esso. Gioco forza poi nel sistema ci saranno suoi simili, ma solo perché anche questi utilizzano gli stessi metri di giudizio. izio.

Dopo solo 2 mesi allora il colpevole venne ufficialmente additato, isolato, espulso dal branco.

L’NTSB, come ancora tutt’oggi fa in relazione alla safety aeronautica, fu l’ente incaricato di investigare. E fu sua l’identificazione del CTA come causa dell’evento. La colpa era troppo

evidente, così come troppo consequenziale l’autorizzazione all’atterraggio rispetto alla possibilità data allo SKW5569 di allinearsi sulla 24L. Le risultanze furono così contenute in un’analisi molto ampia che, partendo dagli aspetti più macroscopici, si insinuò nelle pieghe di un terreno sempre più profondo. Scavando sino a raggiungere il punto dal quale si ritenne più probabile che l’evento avesse preso piede. Una radice identica al ramo più alto dell’albero dell’evento, quel CTA che venne, poi, letteralmente tagliato via dal sistema.

Il patibolo fu allestito il 7 maggio di quell’anno 1991 quando, durante una drammatica deposizione, il Controllore si dichiarò colpevole (She accepted blame) di aver causato la tragedia. La sua testimonianza di fronte alla commissione investigativa fu seguita da quella del co-pilota sopravvissuto al disastro, che ricordò i rantoli del Comandante, descritti come essere gli ultimi suoi aneliti di vita. Dopo questa testimonianza il Controllore del Traffico Aereo lasciò il lavoro. All’età di 38 anni...

13

Continua su “Il fattore umano nel controllo del traffico aereo aereo”.

Il volume è disponibile, per il download gratuito, su: IOS Store Google Store AMAZON: https://goo.gl/Nz6xWM Youcanprint: https://goo.gl/CxpjvW Bookrepublic: https://goo.gl/4EpJbX Mondadori: https://goo.gl/LHctL1

Se l’articolo è riuscito a far emergere qualsivoglia tipo di suggerimento, scambio di vedute, ma soprattutto critica costruttiva accetta il mio invito e scriviun@promemoriaper.me :-)

english bites corner AVIATION ENGLISH BITE a cura di Michael Ferrario What about a light? No, I do not mean to light my cigarette since I do not smoke and certainly not to ignite me on fire but rather I am referring to electrical lights. Those things that can make night seem like day or add a touch of color to a dark background. Lights are everywhere, on your car, in your home and work and thousands of other places including airports.

Therefore, it is safe to say that when it comes to most commercial airports, lights are abundant.

From above, it looks like a Christmas tree. While looking very colorful to the eye, they serve a much more important purpose for safety and guidance but they may not always fulfill these purposes.

At a large airport, the sheer number of lights creates a glow as you know, which can be seen a 100nm away on a clear night. On a clear New Year’s Eve, a few years ago, I spotted my airport from 68nm away. When I told the controller I would like to cancel VFR flight following since I had the airport in sight, he seemed surprised and made a comment on how clear the visibility was that evening before terminating service. As I got closer, the lights became more intense and finally blinding to a point I turned them off and back on to low intensity. A bright light is great in the dark except if it is in your eyes, especially if they are white.

The color of lights in aviation go a long to helping make sense of what one is seeing. Since there are only four colors used in aviation, it would seem there could be no confusion as to what they are trying to highlight or their mea-

ning.

However, confusion does occur. Pilots on a long visual approach especially to a nontowered airport can mistake one airport for another when the runways are not far apart and orientated in the same direction. Smaller airports frequently lack the funds to light everything so white is the only color seen since the runway is the key feature. Larger airports light everything so color is really needed to have situational awareness of the surroundings. A recent loss of situational awareness happened at KSFO on July 7th of this year to Air Canada

759. The pilots told the NTSB that they believed they were lined up on the night visual approach for runway 28R. When in reality, they were lined up for parallel taxiway Charlie. Runway 28L was closed with a standard lighted “X” on it and it had a NOTAM published about the closure. When Air Canada 759 was .7 miles out, they questioned the controller about lights on the runway, to which the controller told them the runway was clear and issued the landing clearance again. Only 4 seconds later, the UAL 1 pilot who was first in the queue of 4 aircraft for departure on Charlie, made a comment on frequency about the intentions of Air Canada by saying, “where is that guy going” and a few seconds later, relaying

14

his position by saying, “He’s on the taxiway”. ACA759 had already started to go around when the controller issued a go around instruction to the pilot. It was determined by the on board radar altimeter that the aircraft sank to 59 ft agl at the lowest just past UAL 1 and before the PAL 115 an A340 . If you think of the height of the tail of UAL 1 or PAL 115, which is around 56 ft, that was very very close. It could have been just feet separating the aircraft from a horrible disaster. I must note that from the tower cab, it is very difficult to determine if an aircraft is lined up correctly on the two, 28L and 28R, approach runways since the viewing angle and distance from the runways and taxiway C is too great.

The NTSB noted that there were no outages, anomalies or misconfiguration of the lighting system. The pilots did not catch their mistake until it was almost too late despite all of the visual aids that were present.

The approach lights (ALSF2) should have made them realize that they were right of course, aiming for blue lights and not white, a green center line, a lighted “X” on their left, “lights” on the runway, and no threshold lights.

Not to mention, they knew the airport. They seemed to have overlooked all the clues that lighting is supposed to give to the pilot.

Why did they overlook these visual aids is the million dollar question. What do you think? It will take the NTSB some months to come up with the most probable answer to this question but we can say with certainty that the pilots were confused or lead astray by the lights.

ifatca IFATCA 56a Conferenza Annuale Toronto, 15-19 Maggio 2017 Ambient Workplace Recording AWR Traduzione di E. Diotalevi, N. Gallo Introduzione E. Diotalevi La nostra categoria, come poche altre, è da lungo tempo soggetta alla registrazione dei dati rilevanti ai fini della sicurezza. Le registrazioni, siano esse audio o video, fanno parte del nostro bagaglio culturale: analizzando a posteriori gli eventi anche tramite questi ausili, si trovano spunti e indizi che portano al miglioramento delle procedure e della sicurezza aerea in generale.

In questa working paper, il Technical and Operations Committee TOC ed il Professional and Legal Committee PLC di IFATCA analizzano in maniera congiunta le implicazioni legate all’introduzione di un nuovo sistema, l’Ambient Workplace Recording AWR. Tale implementazione, voluta da alcuni ANSP, spesso deriva dalle raccomandazioni delle autorità nazionali a seguito di un evento e si allinea con le raccomandazioni dell’Annesso 11 ICAO. Va inoltre considerato che EASA ha ultimamente proposto di renderle obbligatorie in Europa.

Le AWR, che sono già operative in Svizzera, Algeria e Sud Africa, regi-

strano le conversazioni in sottofondo ed i rumori ambientali all’interno di una sala operativa del controllo del traffico aereo in maniera del tutto simile a quanto il Cockpit Voice Recorder CVR fa a bordo di un aeromobile. Questo potrebbe permettere di ottenere informazioni aggiuntive alle normali registrazioni radiotelefoniche in quanto dovrebbe permettere di registrare anche gli scambi verbali fatti senza l’uso dei dispositivi normalmente registrati (radio e telefono).

Questo nuovo sistema però, pone degli interrogativi sia di natura tecnica sia legale.

Infatti, come ben conosciamo, le sale operative del controllo del traffico aereo non sono ambienti ristretti e confinati come può essere la cabina di pilotaggio. Questo può rendere difficile l’acquisizione di audio con qualità sufficienti ad essere utilizzato nelle indagini a seguito di incidenti o inconvenienti. Inoltre, l’accesso alle sale operative, pur essendo ristretto, è autorizzato anche a personale non con-

Immagine tratta da SkyART.com

15

trollore come ad esempio il personale tecnico di base nell’impianto e, in maniera saltuaria, anche esterno.

Dal punto di vista legale, si deve tutelare il controllore dalla divulgazione al pubblico delle registrazioni che, come già sfortunatamente accaduto, potrebbero essere utilizzate in maniera impropria dagli organi di informazione. Si deve inoltre tutelare il controllore da possibili azioni disciplinari derivanti dall’uso delle AWR al di fuori del contesto investigativo.

Si intrecciano quindi problematiche di safety, di tutela della privacy e di rispetto dei principi di Just Culture che il documento descrive partendo da una indagine condotta dalla associazione olandese ATC The Netherlands (LVNL) per la CANSO Global ATM Safety Conference 2015 (aggiornato a novembre 2016).

Il lavoro si conclude con la revisione di una policy IFATCA già esistente per adattarla al nuovo concetto delle AWR.

INTERNATIONAL FEDERATIONOF AIR TRFFIC CONTROLLERS’ ASSOCIATIONS 56th conferenza annuale - Toronto, Canada, 15-19 Maggio 2017

Ordine del giorno: B.5.1 / C.6.1

17 WP n. 83

IFATCA

Ambient Workplace Recording AWR Presentato dal TOC e PLC

Sommario Molte Member Associations (MA’s) hanno affrontato con i loro Air Navigation Service Providers (ANSP’s)la questione dell’implementazione delle registrazioni ambientali nei luoghi di lavoro (Ambient Workplace Recording-AWR), in seguito alla raccomandazione ICAO (2006) o su raccomandazione delle autorità nazionali.

Una recente proposta EASA per rendere le AWR un requisito obbligatorio ha scosso la regione europea.

Le AWR acquisiscono le voci di sottofondo di un ambiente operativo e sono finalizzate ad aiutare gli investigatori in caso di incidenti/inconvenienti, fornendo un contesto che non è disponibile da altre fonti di informazione. Dal punto di vista tecnico l’idea è abbastanza semplice e paragonabile a quello di un cockpit voice recorder. Tuttavia il sistema solleva importanti questioni di privacy e di responsabilità, mentre le MA’s in cui le AWR sono operative riportano che il beneficio per la sicurezza può essere sopravvalutato.

IFATCA invita per primacosa gli ANSP ad indagare, insieme alle MA l’effettivo beneficio di una loro implementazione. Qualora effettivamente un tale sistema venisse implementato, dovrebbero essere previste procedure chiare per il rispetto della privacy, l'accesso alle registrazioni, l’utilizzo delle registrazioni, il tempo di conservazione ed il filtraggio delle informazioni non pertinenti.

Questo documento fornisce una guida, esempi e aggiornamenti alle policy IFATCAsull'uso dei dati registrati.

1.

Introduzione

1.1

Molte Member Associations (MA’s) si stanno confrontando con i loro fornitori di servizi di navigazione aerea (ANSP) circa l’implementazione delle registrazioni ambientali nei luoghi di lavoro (AWR). Alcuni paesi hanno respinto la tecnologia, mentre altri hanno le AWR operative da anni.

1.2

Le informazioni ed i report degli utenti circa la realizzazione ed il funzionamento delle AWR in tutto il mondo sono disponibili attraverso un questionario IFATCA (2016) ed un'indagine di ATC The Netherlands (LVNL) per CANSO (2015, aggiornato 2016).

1.3

La spinta per l’implementazione delle AWR è spesso derivante da una raccomandazione da parte dell’agenzia nazionale dei trasporti a seguito di un incidente o un inconveniente grave. Si fa riferimento in generale alla raccomandazione ICAO nell'Annesso 11 su questo argomento (2006).

1.4

Sebbene le AWR siano utilizzabili al solo scopo di contribuir ealle indagini in caso di incidente/inconveniente, si sollevano questioni relative alle responsabilità ad alla privacy.

1.5

Nel 1994 IFATCA ha redatto una policy sulle Area Recording come parte delle policy sulle indagini sugli incidenti/inconvenienti. Quest’ultima è stata rivista e modificata negli anni successivi mentre la policy sulle Area Recording è rimasta la invariata.

1.6

In questo documento, TOC e PLC hanno lo scopo di ridefinire il concetto di AWR unendo le esperienze da tutto il mondo, rivedere l'attuale policy IFATCA e, se necessario, aggiornare questa policy con i dddd B.5.1 / C.6.1 / Page 1 of 12

principi esistenti su Automatic Safety Monitoring Tools (ASMT) e Automated Data Recording 1.7

Si deve notare che la protezione delle informazioni registrate potrebbe anche essere soggetta alla legislazione nazionale.

2.

Discussione

2.1 2.1.1

Il desiderio di registrare le comunicazioni di sottofondo IFATCA descrive le Area Recording come "qualsiasi tipo di registrazione audio e/o video, all’interno di una sala operativa del controllo del traffico aereo che registra in modo accurato le conversazioni dei controllori e l'ambiente all'interno di una sala operativa del controllo del traffico aereo su base continua." (Ottawa, 1994).

2.1.2

Non vi è una chiara definizione di Ambient Workplace Recording (AWR). In questo momento, l'ICAO Safety Management Panel (SMP) sta discutendo questo problema. Questo documento è incentrato specificamente sulle comunicazioni non generalmente registrate (comunicazioni in sottofondo e rumori ambientali), escludendo l'uso di video. Il Cockpit Voice Recorder (CVR) è un altro esempio di AWR (ICAO Annessi 13 e19, 2006).

2.1.3

Lo scopo delle AWR è quello di migliorare la sicurezza aerea supportando le indagini sugli incidenti.

Non tutti gli scambi verbali di informazioni nella sala operativa sono catturati attraverso il sistema di comunicazione vocale (telefono, interfono). Per esempio, ATCOs che lavorando in posizioni contigue, possono talvolta coordinarsi senza l’utilizzo del sistema che registrino le loro comunicazioni.

2.1.4

A seguito della collisione di Überlingen nel 2002, l’ente tedesco per le investigazioni di sicurezza (BFU) ha pubblicato la seguente raccomandazione: "Per migliorare le inchieste su futuri incidenti/inconvenienti, ICAO dovrebbe esigere che le ATS unit - in aggiunta alla presente normativa - debbano essere dotate di un dispositivo di registrazione che registri le comunicazione in sottofondo ed i rumori alle postazioni degli ATCO simile al flight deck area microphone system. 1"

2.1.5

ICAO nel 2006 ha adottato un emendamento all'Annesso 11 (Servizi del Traffico Aereo), che pur non obbligando gli stati contraenti, raccomanda che: “Air traffic control units should be equipped with devices that record background communication and the aural environment at air traffic controller work stations, capable of retaining the information 2 recorded during at least the last twenty-four hours of operation. ”

2.1.6

Secondo ICAO, la raccomandazione è stata fatta perché ICAO ha riconosciuto la criticità di un analisi investigativa basata sui riporti degli interessati in assenza di evidenze oggettive. Gli elementi oggettivi mancanti in tali evenienze possono essere: "(…) lo scambio verbale di informazione che avviene tra controllore e supervisore, controllore e tecnico di manutenzione e tra controllore e controllore. La registrazione audio delle comunicazioni in sottofondo e dei rumori ambientali nella zona della postazione di lavoro del controllore potrebbe contribuire ad una migliore comprensione della sequenza degli eventi che ha portato ad un incidente/inconveniente.3" La raccomandazione ICAO è stata inserita nella regolamentazione per l'aviazione civile di molti paesi in tutto il mondo.

2.1.7

Negli anni seguenti diverse Agenzie Nazionali di Investigazione hanno raccomandato l’effettiva realizzazione delle AWR, facendo riferimento alla raccomandazione ICAO. Gli esempi sono: -

Lussemburgo, 2010 (relazione finale 2012): la collisione di un Cargolux B747-400F in atterraggio con un veicolo. Tra le numerose raccomandazioni scaturite, Tra le numerose raccomandazioni dddd

1 German Federal Bureau of Aircraft Accidents Investigation (BFU), Investigation Report AX001-1-2/02 – May 2004 2 ICAO Annex 11 Air Traffic Services, Chapter 3 Air Traffic Control Service, paragraph 3.3.3 – Thirteenth Edition July 2001, amended 2006 3 ICAO AN-WP/8041 Appendix A: “Summary of replies to state letter AN 13/1.8, AN 13/13.5, AN 6/1.2-04/93”

B.5.1 / C.6.1 / Page 2 of 12

-

-

2.2 2.2.1

scaturite, ricordiamo quella diretta all’ANA (l'ANSP) in cui si invitava all‘attuazione della raccomandazione contenutanell'Annesso 11 Servizi di Traffico Aereo, paragrafo 3.3.3. [LU-AC2012/002] 4 Francoforte, 2011 (relazione finale 2012): perdita della separazione tra Aeroflot A320 in decollo e Lufthansa A388 in riattaccata su pista parallela. Raccomandazione: "Il Ministero Federale dei Trasporti, dell'Edilizia e Urbanistica (BMVBS) dovrebbe emanare un decreto di attuazione della raccomandazione ICAO dell'Annesso 11, Capitolo 3.33. Sulla base di questo decreto i fornitori di servizi di traffico aereo devono (...) [38/2012]5 Amsterdam, 2012 (relazione finale 2015): nove decolli da pista non disponibile. Una delle tre raccomandazioni dall’agenzia di sicurezza olandese all’ ANSP fu: "Dare effetto alla raccomandazione ICAO anche per raccogliere le conversazioni di sottofondo negli enti di controllo del traffico aereo. 6"

La policy attuale ed i regolamenti ICAO L’Annesso 11 ICAO, Emendamento 44 (2006) tratta le AWR come segue: CHAPTER 3.

AIR TRAFFIC CONTROL SERVICE

3.3 Operation of air traffic control service 3.3.3 Recommendation. — Air traffic control units should be equipped with devices that record background communication and the aural environment at air traffic controller work stations, capable of retaining the information recorded during at least the last twenty-four hours of operation.

Note. — Provisions related to the non-disclosure of recordings and transcripts of recordings from air traffic control units are contained in Annex 13, 5.12.

L’Annesso 13, Annesso E LEGAL GUIDANCE FOR THE PROTECTION OF INFORMATION FROM SAFETY DATA COLLECTION AND PROCESSING SYSTEMS. 7. Protection of recorded information Considering that ambient workplace recordings required by legislation, such as cockpit voice recorders (CVRs), may be perceived as constituting an invasion of privacy for operational personnel that other professions are not exposed to: a) subject to the principles of protection and exception above, national laws and regulations should consider ambient workplace recordings required by legislation as privileged protected information, i.e. information deserving enhanced protection; and b) national laws and regulations should provide specific measures of protection to such recordings as to their confidentiality and access by the public. Such specific measures of protection of workplace recordings required by legislation may include the issuance of orders of non-public disclosure.

4 Luxembourg Ministry of Sustainable Development and Infrastructure, Department of Transport, Report N° AET-2012/AC-01 – December 2012 5 German Federal Bureau of Aircraft Accidents Investigation (BFU), Investigation Report 5x013-11– 2012 6 Dutch Safety Board (OvV), Nine take-offs from an unavailable runway, 16 June 2012 Amsterdam Airport Schiphol – june 2015

B.5.1 / C.6.1 / Page 3 of 12

L’Annesso 19, Appendice 3 (in vigore dal novembre 2016) regola che: PRINCIPLES FOR THE PROTECTION OF SAFETY DATA, SAFETY INFORMATION AND RELATED SOURCES 6. Protection of recorded data Note 1.— Ambient workplace recordings required by national laws, for example, cockpit voice recorders (CVRs) or recordings of background communication and the aural environment at air traffic controller work stations, may be perceived as constituting an invasion of privacy for operational personnel that other professions are not exposed to.

Note 2. — Provisions on the protection of flight recorder recordings and recordings from air traffic control units during investigations instituted under Annex 13 are contained therein. Provisions on the protection of flight recorder recordings during normal operations are contained in Annex 6.

6.1 States shall, through national laws and regulations, provide specific measures of protection regarding the confidentiality and access by the public to ambient workplace recordings.

6.2 States shall, through national laws and regulations, treat ambient workplace recordings required by national laws and regulations as privileged protected data subject to the principles of protection and exception as provided for in this appendix.

2.2.2

Alla data di analisi della presente Working Paper risulta che l' ICAO Safety Management Panel (SMP) abbia in programma per gennaio 2017 la trattazione delle AWR. Uno degli obiettivi è quello di giungere a una definizione globale di AWR e di cosa esse possano comportare.

2.2.3

SERA Lo Standardised European Rules of the Air (SERA), entrato in vigore in tutta Europa nel 2014, non menziona le AWR; la raccomandazione ICAO non è stata inclusa.

2.2.4

EASA Nel settembre 2016, EASA ha emanato un avviso di proposta di emendamento (NPA 2016-09), in cui è formulato un requisito per la registrazione delle comunicazioni in background : proposed) ATS.OR.465 Background communication and aural environment recording Air traffic control units shall be equipped with devices that record background communication and the aural environment at air traffic controller work stations, capable of retaining the information recorded during at least the last 24 hours of operation.

2.2.5

Questa proposta scaturisce dalle raccomandazioni ICAO nell'Annesso 11. Il testo è quasi lo stesso dell’Annesso 11 ICAO,con la differenza importante che tale requisito, qualora venga effettivamente approvato e vada ad emendare il SERA, sarebbe obbligatorio in quanto Regolamento Europeo che utilizza il termine "shall" invece di "should".

Secondo EASA: "ICAO non fornisce indicazioni sullo scopo e sull'implementazione di questo requisito, e le prove raccolte dall'Agenzia con il contributo dei membri del RMG.0464 suggeriscono che la maggioranza degli Stati membri dell'UE non ha ancora attuato tale disposizione, e che anche quando è presente, vi è una grande diversità nel modo in cui è stata implementata."

I soggetti interessati, compresa IFATCA, possono presentare osservazioni su questa proposta di regolamento fino alla fine del mese di febbraio 2017.

2.2.6

IFATCA La prima linea guida IFATCA sull'uso delle informazioni registrate risale al 1989, e la prima policy sulle AWR è stata adottata nel 1994. Il termine usato era “Area Recording”. Dal 1994, la policy non è stata modificata: B.5.1 / C.6.1 / Page 4 of 12

IFATCA Technical and Professional Manual edizione 2016 - LM11.2.6 Use of recorded data Audio, visual and area recordings, together with associated computer data and transcripts are intended to provide a record of such of air traffic control communications communications for use in the monitoring of air traffic control operations, and the investigation of incidents and accidents. Such recordings are confidential and are not permitted to be released to the public. Such recordings are not to be used to provide direct evidence such as in disciplinary cases, or to be used to determine controller incompetence.

2.6.2 Except for area recordings, recorded data shall only be used in the following cases: a) when investigating ATC related accidents and incidents; b) for search and rescue purposes; c) for training and review purposes provided all ATCOs affected agree; d) for the purposes of adjusting and repairing ATC equipment. Area recordings shall only be used for accident investigation purposes.

An area recording may generally be defined as any type of recording, audio and / or visual, instituted in an air traffic control operations room that records accurately the conversation of controllers and the environment within an air traffic control operations room on a continuous basis.

Access to recorded data shall be limited to authorised personnel for the purposes listed in 2.6.2 above. Authorised personnel shall be mutually agreed by the controllers' representative and the appropriate authority.

Recorded data used shall be identical as presented to and / or originated by the controller at the relevant controller's position.

IFATCA is opposed to the use of Visual Area recordings for reasons of invasion of privacy.

Prior to the installation of Area recorders, legislation shall be in place which prohibits the use of any area recorder information against a controller in any criminal or civil litigation or disciplinary proceedings of any kind. The legislation should provide for substantial penalties for any breach of the legislation.

Except when an accident occurs, area recordings shall be capable of being erased when a controller is relieved from his position. Controllers shall have prompt confirmation of the erasure. Agreement between the Member Association and the employer on procedures for the erasure of area recordings shall be established prior to the operation of area recorders.

2.2.7 La policy potrebbe essere migliorata in molti modi. Prima di tutto la definizione di AWR non è ancora inclusa; essa dovrebbe essere distinta dalle registrazione d’area in generale, le quali includono anche le riprese video. In secondo luogo, la policy è frammentata e non in ordine logico.

2.2.8 Il paragrafo sull'accesso ai dati registrati si riferisce ad un elenco di obiettivi che inizia con un presupposto non valido per le registrazioni di sottofondo. Infine, l’attuale raccomandazione per la cancellazione delle registrazioni non è attuabile. Eliminare le informazioni non appena un ATCO è sollevato dalla posizione di lavoro, può essere troppo avventato. Potrebbe essere necessario del tempo tra il verificarsi di un incidente e l’inizio delle indagini.

2.3 Implementazione delle AWR in tutto il mondo 2.3.1 La figura 1 fornisce una panoramica dei paesi che hanno le AWR operative (colore verde) o non hanno le AWR (colore giallo), fino a novembre 2016. Un'indagine di ATC The Netherlands (LVNL), eseguita per CANSO, ha riportato questa panoramica.

B.5.1 / C.6.1 / Page 5 of 12

Figura 1: Panoramica in tutto il mondo dell’operatività delle AWR, inchiesta della ATC The Netherlands (LVNL) per la CANSO Global ATM Safety Conference 2015 - Punta Cana, Repubblica Dominicana.

Aggiornato a Novembre 2016.

Verde scuro: AWR operative. Giallo: No AWR. Verde chiaro: il Voice Comm System acquisisce già il sottofondo.

Nota: ANSP di Eurocontrol non è visualizzato, ma non ha alcun AWR in funzione.

2.3.3

Il TOC ed il PLC IFATCA hanno inviato un questionario in materia di AWR nel settembre/ottobre 2016; 22 Member Associations (MA’s) hanno risposto da tutti i continenti. Alle MA è stato chiesto se le AWR sono attualmente in funzione e se no, quali sono le ragioni. Anche singoli ATCOs sono stati invitati a dare il loro parere sui vantaggi e gli svantaggi del concetto ed i principali risultati sono: In tre dei 22 paesi, le AWR sono attualmente operative: Sud Africa, Svizzera e Algeria. Per i paesi che non dispongono delle AWR, il motivo è legato ad uno o più dei seguenti fattori:  MA’s si sono opposte (33,3%)  decisione del management (27,8%)  problemi tecnici (11.1%)  Altri, ad es. AWR non ancora considerate (50%)

2.4 2.4.1

Vantaggi e svantaggi delle AWR Secondo i partecipanti al sondaggio IFATCA, il vantaggio principale delle AWR risiede nel facilitare le indagini di safety fornendo un contesto che non è disponibile attraverso altre fonti di informazione come ad esempio le registrazioni di radiotelefonia. L’ascolto delle registrazioni di sottofondo è in grado di fornire una maggiore comprensione dell’ambiente operativo, in particolare quando si vogliono analizzare i coordinamenti verbali tra il personale operativo che non vengono effettuati attraverso un sistema di comunicazione vocale. Alcuni esempi sono i veloci accordi verbali tra settori ("Puoi scendere con il volo …") o tra le diverse posizioni operative di una torre ("Puoi attraversare la pista … con volo … / veicolo …"). I coordinamenti ATCO-supervisore o con personale tecnico sono altri casi in cuile registrazioni di sottofondo potrebbero essere utili. Questo può aiutare gli investigatori a capire meglio gli esatti accadimenti e le motivazioni che li hanno determinati

2.4.2

Le risposte date dagli utenti al sondaggio IFATCA mostrano che il sistema AWR solleva diverse questioni. È’ emerso come la loro utilità sia sopravvalutata, in particolare dall’autorità di sicurezza dei trasporti e dal management. Ci sono così tanti dati già disponibili che spesso si può giungere ad una chiara e sufficiente comprensione di un incidente senza l’ausilio delle registrazioni dei suoni ambientali.

Per uno degli intervistati: "Il principio della commisurazione deve essere applicato(… ) quasi tutti i B.5.1 / C.6.1 / Page 6 of 12

coordinamenti e gli input sono già registrati; quasi nessun vantaggio al nostro sistema può derivare dalle AWR. Il solo uso sarà per incolpare il singolo".

2.4.3

In un ambiente operativo affollato, in particolare di una torre di controllo, può essere un problema catturare tutta la comunicazione in modo abbastanza chiaro a determinare ciò che è stato detto e da chi. Il coordinamento tra ATCO è spesso effettuato in maniera non verbale, ad esempio per mezzo di segnali con la mano o il solo sguardo. Inoltre esistono delle sfide tecniche da superare per implementare tali sistemi (vedi paragrafo 2.5).

2.4.4

Gli svantaggi più discussi del registrare le comunicazione di sottofondo sono legati alla privacy ed alla Just Culture. Gli ATCOs descrivono una situazione di lavoro critica, dove i controllori potrebbero astenersi dal dire ciò che vogliono o che devono dire quando sanno di essere registrati. Un ATCO riporta di aver visto soluzioni stravaganti di “mascheramento”del sistema: "Ho visto tutto, da bicchieri di carta agli orsetti di peluche, sopra i microfoni". Questo argomento è discusso separatamente nel paragrafo 2.6.

2.4.5

Di seguito vengono riportate le ragioni emerse dalla summenzionata indagine CANSO che hanno determinato il successo o l’insuccesso nell’implementazione di tali sistemi: Contro AWR Nessun obbligo legale per le registrazioni d’area Nessun beneficio per la sicurezza (Pochi eventi utili, già un numero sufficiente di dati) Leggi sulla privacy Argomento delicato per le parti sociali Molte voci si sono registrate (problemi tecnici)

Favore AWR Raccomandazione ICAO, talvolta imposto dalle Autorità dell’Aviazione Civile Utile nelle indagine sugli incidenti (riempie i vuoti) Emendamenti alla legge possono essere effettuati se necessario Garanzie nel protocollo Nessun problema tecnico (cancellazione registrazioni)

Uso giudiziario poco chiaro

Stesse regole di altre registrazioni ATC

Il costo non giustifica i vantaggi

Usato "spesso" (utile soprattutto nei cambi di turno)

Minaccia emotiva all’ambiente di JC safety, Blame Machine stile “Grande Fratello”

Nessun reclamo / Prove pro ATCO

2.5 2.5.1

Problemi tecnici I requisiti collegati al Cockpit Voice Recorder (CVR),utilizzato come una funzione sul cockpit per aiutare le inchieste sugli incidenti/inconvenienti aerei, a partire dagli anni cinquanta, hanno richiesto ampie ricerche ed esperimenti che superano di gran lunga quelli fatti sulle AWR che sono relativamente nuove. Il presupposto secondo cui i sistemi AWR possano essere assimilati in tutto e per tutto ai CVR ha determinato una carenza di studi che permettano la raccolta di sufficienti informazioni specifiche di natura scientifica. Conseguentemente, anche il punto di vista tecnico del presente documento si basa sulle analogie tra CVR e AWR. Ciò che è emerso dall’analisi rivela che molti problemi derivanti dall’installazione dei sistemi CVR possono essere validi anche nella trattazione degli omologhi sistemi ATC.

2.5.2

Le AWR, come la loro controparte CVR, riguardano sistemi installati all’interno di una sala operativa del controllo del traffico aereo per catturare tutti i suoni che potranno essere utili allo scopo di investigare su un incidente/inconveniente. Per questo scopo, la qualità delle registrazioni dovrebbero fornire un elevato livello di comprensibilità del parlato e del rumore di fondo udibile all'interno dello spazio lavorativo o area di copertura.

7

Inchiesta ATC The Netherlands (LVNL) per CANSO Global ATM Safety Conference 2015 - Punta Cana, Dominican Republic

B.5.1 / C.6.1 / Page 7 of 12

2.5.3

L'idea di base del sistema AWR non è molto complessa. Come riporta un produttore di registratori ambientali: "Nella maggior parte dei casi questo può essere raggiunto facilmente tramite l'aggiunta di canali audio supplementari nel vostro sistema di registrazione esistente. (…) Una soluzione basilare è quella di aggiornare il registratore audio per acquisire un ulteriore canale audio per ogni posizione operativa, con microfoni posti il più vicino possibile alla posizione di seduta del CTA. (…) Una soluzione duratura per avere ulteriori canali audio è quella di installare microfoni non solo nelle CWP ma anche in tutta la sala 8 operativa”.

2.5.4

Altri elementi di progettazione sono un buon posizionamento dei microfoni (progettazione elettroacustica dell’ambiente operativo), il processo di eliminazione digitale del rumore ed un sistema di memorizzazione che soddisfa i requisiti di sicurezza delle informazioni e di ridondanza.

2.5.5

È imperativo che per massimizzare i vantaggi per le inchieste offerti da questi sistemi, devono essere installati dei Workspace Area Microphones (WAM) in posizioni strategiche, ciascuno su un canale diverso. Tuttavia, i sistemi dedicati a catturare il rumore di fondo al fine di migliorarel’intelligibilità generalmente presentano i seguenti problemi: - Scarsa qualità della registrazione a causa di pre-amplificatori sottodimensionati; - Scarsa qualità della registrazione a causa di una insufficiente sensibilità dei Workspace Area Microphones (WAM); - Installazione errata dei WAM; - Rumore di fondo eccessivo a causa di una non corretta schermatura del cablaggio audio dei WAM; - Cancellazione del segnale quando sono mescolati a segnali di fase opposta.

- La saturazione della registrazione su alcuni canali a causa di vibrazioni a bassa frequenza dovute ad una eccessiva sensibilità del WAM. Per risolvere i problemi di cui sopra si evidenzia la necessità di conoscere alcuni componenti vitali del sistema AWR. Componenti del sistema AWR

2.5.6

Microfono Nel contesto della discussione, con riferimento al microfono ci si riferisce al Workspace Area Microphone (WAM) similmente al Cockpit Area Microphone (CAM). WAM è il dispositivo chiave che permette la cattura delle vibrazioni delle corde vocali. I segnali di uscita dal WAM variano in termini di intensità e qualità e vengono spesso amplificati prima di essere processati. I tipi di microfono da considerare sono il Dynamic ed il Condenser . Nonostante il tipo Dynamic abbia un diaframma robusto per assorbire forti rumori, il tipo Condenser dovrebbe essere sufficiente per il sistema AWR grazie alla sua capacità di registrare piccole sfumature dei suoni, sebbene non sia robusto come il precedente.

2.5.7

Acustica della stanza Nell’implementazione di sistemi AWR è importante riferirsi alla dimensione della stanza, l'orientamento, la levigatezza e la rugosità delle pareti e degli altri componenti della stanza (mobili, equipaggiamenti, ecc.). Tutti questi elementi influiscono sul modo in cui le onde sonore rimbalzano fino ad arrivare al WAM creando ritardi, riverberi, interferenza costruttiva e distruttiva a varie frequenze, flutter, e così via.

L’acustica potrebbe essere regolata o migliorata attraverso l'uso di pannelli di riflessione, clouds, bass trap, diffusori ecc.

Implementazione del sistema AWR

2.5.8

In un sistema di CVR i Cockpit Area Microphone (CAM) che raccolgono i segnali audio del comandante, del primo ufficiale ed di altri sono solitamente abbinati con i dati pilota- ATC, pilota-pilota, ecc. per essere poi canalizzati separatamente per la memorizzazione. Dei CAM (Cockpit Area Microphone) supplementari,inoltre,vengono generalmente posizionati strategicamente all'interno del cockpit per ottimizzare la cattura di segnali desiderati.

2.5.9

Mentre i sistemi CVR vengono implementati in ambienti analoghi (i cockpit non si differenziano a parità di tipo di aeromobile), nell’installazione dei sistemi ATC è necessario che, a causa dell'unicità di ogni

vc cccccc cccccc ccccc vv

8

White Paper: auditiva Ambiente () Registrazione, Ultra Electronics AudioSoft, 2008 B.5.1 / C.6.1 / Page 8 of 12

postazione/sala ATC, venga fatto uno studio delle peculiarità della stesa. In aggiunta, essendo il personale coinvolto molto più numeroso quello di un equipaggio di volo (ATCOs, tecnici, personale delle pulizie, management, ecc.), devono essere previste delle procedure per la riduzione del rumore da far rispettare acoloro i quali avranno accesso a tali aree di lavoro.

2.5.10 Come per il CVR, ai fini di una uniforme implementazione, è necessario un regolamento deisistemi AWR che definiscai loro componenti specifici ela loro installazione, includendo le figure (può essere un'istituzione designata) che sono qualificate per recuperare e analizzare registrazioni non trattate.

2.6 2.6.1

Privacy e legislazione Delle 22 MA che hanno risposto al questionario IFATCA, l’84% è del parere che le AWR coinvolgono la privacy dei controllori del traffico aereo. È chiaro che, quando in servizio,l’ATCO non è in un ambiente pubblico. A seconda delle leggi nazionali, le registrazioni del background potrebbero essere rilasciate al pubblico in caso di accadimenti che lo rendano necessario. Qualora le registrazioni vengano utilizzate da un ente nazionale di investigazione sui trasporti o in tribunale, è probabile che i dati non possano essere protetti, anche in presenza di misure di protezione richieste da ICAO (Annesso 11, 13, 19) o da leggi nazionali o sovranazionali di protezione della privacy.

Leggi nazionali e Just Culture 2.6.2

Le risposte al questionario dimostrano preoccupazione per le questioni relative alla privacy. A parere degli ATCOs la possibilità di abuso è enorme. Uno spezzone di registrazione reso pubblico in cui i controllori parlano di questioni non lavorative, potrebbe essere facilmente collocato fuori dal proprio contesto e trasmettere un messaggio fuorviante. Qualcosa di simile si è verificato in passato quando i Cockpit Voice Recording sono stati pubblicati dai media. Come indicato al paragrafo 2.4, tali preoccupazioni potrebbero portare il controllore ad essere molto cauto nell’avere conversazioni personali sul posto di lavoro ed ad un’atmosfera tesa che non giova alla condizione lavorativa (team working, ecc.).

2.6.3

In Svizzera la normativa aeronautica è stata modificata al fine di essere conforme con i requisiti di protezione dei dati richiesti dal governo . La base giuridica è stata quindi appositamente creata per implementare l’AVRE (Ambient Voice Recording Equipment) presso Skyguide, l’ANSP civile nazionale.

2.6.3

In Svizzera la legge in materia di aviazione è stata modificata al fine di essere conforme con i requisiti di protezione dei dati richiesti dal governo svizzero. La base giuridica è stata appositamente creata per implementare AVRE (Ambient Voice Recording Equipment) presso l’ANSP svizzero Skyguide.

2.6.4

L'implementazione e l’utilizzo del sistema AVRE segue un rigoroso protocollo. L’unico scopo è quello di coadiuvare le indagini del Swiss Transportation Safety Investigation Board per migliorare la sicurezza aerea a seguito di incidente o inconveniente grave. Al di là di tale scopo le registrazioni possono essere accessibili solo per motivi di manutenzione. E’ inoltre richiestariservatezza a chiunque sia coinvolto nella fase di installazione e manutenzione del sistema, con sanzioni in caso di uso improprio.

Un’autorità separata, chiamata‘Authority of Trust’, accettata sia dai sindacati che dall’ANSP, è la proprietaria dei dati.

2.6.5

In Nuova Zelanda, invece, nel 1999 è stata modificato l’impianto legislativo al fine di proteggere la riservatezza delle registrazioni CVR, tuttavia, non si è riusciti a fare altrettanto con le analoghe registrazioni ATC. Una recente analisi da parte dell' Australian and New Zealand Law Association afferma che "non è soddisfacente che da un lato l'Annesso 13 crea una presunzione di non divulgazione di registrazioni di ATC, mentreil New Zealand Official Information Act crea una presunzione di disponibilità di tali informazioni."9

Accesso, tempo di archiviazione ed eliminazione di conversazioni personali 2.6.6

Un'altra questione molto importante è quella relativa a quali figure dovrebbero avere accesso alle registrazioni all’interno dell’ANSP. Mentre le registrazioni AWR potrebbero essere utili per qualsiasi tipo

9 Murray, Kim --- "The Confidentiality of Air Traffic Control Recordings?”, The Ron Chippindale Address to the Australian and New Zealand Societies of Air Safety Investigators, 2011 Regional Air Safety Seminar Wellington, 10-12 June 201" [2011] ANZAvBf 20; (2011) 57 Aviation Law Association of Australia and New Zealand Aviation Briefs 18

B.5.1 / C.6.1 / Page 9 of 12

di indagine è altamente discutibile se debbano essere utilizzate per le indagini interne piuttosto che per le sole richieste delle appropriate autorità nazionali. Essendo significativamente invasivo per la privacy dei controllori, il loro uso potrebbe essere giustificato solo per l’analisi diinconvenienti significativicon l’esclusivo coinvolgimento di investigatori indipendenti. Il problema delle analisi interne è infatti che all’interno degli ANSP, spesso, l’indagine sugli eventi viene spesso eseguita da un collega ATCO o dal management, portando a possibili problemi di riservatezza e privacy. Potrebbe anche verificarsi il caso in cui l’ANSP utilizzi le registrazioni per evitare che la colpa ricada su di sé (a livello organizzativo o individuale del proprio management). Una possibile soluzione è quella di rilasciare le registrazioni ambientali solo adinvestigatori indipendentiappartenenti, ad esempio,all’ente di sicurezza dei trasporti nazionale. Un'altra opzione è quella di utilizzare le registrazioni AWR solo per le indagini interne, solamente quando è iniziata anche un'indagine esterna. Ciò comporterebbe che le registrazioni AWR verrebbero utilizzate solo per gli incidenti con un certo grado di gravità. Il management dell’ANSP non dovrebbe mai avere accesso diretto ad esse.

2.6.7

Per proteggere la privacy degli ATCOs, le informazioni personali nelle registrazioni ambientali potrebbero essere rimosse prima che la registrazione venga rilasciata. Questo dovrebbe essere fatto da personale indipendente, ma con sufficiente conoscenza del controllo del traffico aereo per filtrare le registrazioni. Finora non abbiamo riscontrato una MA dove questo sia in essere, ma i benefici per la tutela della privacy dei controllori sono evidenti. Questo potrebbe anche essere un modo per utilizzare le comunicazioni in background per le indagini interne. In aggiunta, dalle trascrizioni delle AWR devono essere rimosse le conversazioni non pertinenti prima che siano pubblicate in qualsiasi modo.

2.6.8

E’ inoltre importante anche considerare il tempo di conservazione di tali registrazioni. Per motivi di privacy, le registrazioni dovrebbero essere eliminate immediatamente in assenza di eventi rilevanti nell’intervallo di tempo registrato. Le registrazioni CVR possono essere cancellate dai piloti subito dopo la conclusione di un volo tranquillo. Per il controllo del traffico aereo, questo è un po' più complicato in quanto l’accadimento di un evento può non essere immediatamente chiaro, nonché talvolta l’analisi di periodi antecedenti al loro verificarsi può essere molto utile all’indagine. Pertanto, un periodo più lungo di conservazione sembra ragionevole per assicurare la disponibilità delle registrazioni come necessario. In tal senso l’Annesso 11 ICAO raccomanda un minimo di 24 ore; tuttavia il tempo di conservazione potrebbe essere esteso se richiesto dalla regolamentazione nazionale. Sino a che le questioni di privacy e di accesso alle registrazioni non saranno risolte, l'effettivo tempo di memorizzazione è meno rilevante.

3.

3.1

Conclusioni Un numero crescente di ANSPs sta prendendo in considerazione l’implementazione delle AWR, come risultato della raccomandazione ICAO (Annesso 11, 2006) o a seguito di raccomandazioni da parte delle loro autorità nazionali di sicurezza dei trasporti.

3.2

Il vantaggio principale delle AWR è quello di facilitare le indagini di sicurezza fornendo un contesto che non è disponibile da altre fonti di informazione.

3.3

Il concetto tecnico di AWR è abbastanza semplice e può essere paragonato a un Cockpit Voice Recorder. Tuttavia, siccome nelle sale operative ATC sono presenti molte più persone di quelle presenti in cabina,la qualità delle registrazioni rappresenta una sfida.

3.4

Sebbene le AWR abbiano il solo scopo di aiutare le indagini in caso di incidente, si sollevano questioni legate alla privacy ed alle responsabilità. L’Annesso 19 ICAO prescrive l’adozione di misure per la protezione dei dati registrati per quanto riguarda la riservatezza e l’accesso al pubblico. In realtà, è noto che le leggi nazionali sulla privacy sono spesso in conflitto con talirequisiti.

3.5

ATCOs che lavorano in paesi che hanno esperienza con il concetto di AWR, riportano che il vantaggio del sistema può essere sopravvalutato dagli enti investigativi e dal management. Il numero di incidenti in cui le registrazioni ambientali potrebbero essere utili ad un'inchiesta sembra essere limitato e gli accordi non verbali non vengono comunque acquisiti. Di contro, l'esistenza dei sistemi AWR può portare ad una situazionetesa in cui i controllori si astengono dal parlare liberamente.

B.5.1 / C.6.1 / Page 10 of 12

3.6

L’implementazione delle AWR potrà essere presa in considerazione solo quando sarà in essere un sistema pienamente efficiente fondato sui principi di Just Culture e vi sarà un elevato livello di fiducia tra tutte le parti coinvolte.

3.7

IFATCA invita gli ANSP ad indagare a fondo, insieme con le MA, sugli effettivi benefici delle AWR. Se un tale sistema deve essere implementato, è essenziale che una procedura chiara sia sviluppata con rispetto per la privacy, diritti di accesso, tempi di conservazione ed eventuale filtraggio delle conversazioni personali.

4.

Raccomandazioni

4.1

Si consiglia che la seguente policy IFATCA:

LM 11.2.6 USE OF RECORDED DATA Audio, visual and area recordings, together with associated computer data and transcripts are intended to provide a record of such of air traffic control communications communications for use in the monitoring of air traffic control operations, and the investigation of incidents and accidents. Such recordings are confidential and are not permitted to be released to the public. Such recordings are not to be used to provide direct evidence such as in disciplinary cases, or to be used to determine controller incompetence.

2.6.2 Except for area recordings, recorded data shall only be used in the following cases: a) when investigating ATC related accidents and incidents; b) for search and rescue purposes; c) for training and review purposes provided all ATCOs affected agree; d) for the purposes of adjusting and repairing ATC equipment. Area recordings shall only be used for accident investigation purposes.

An area recording may generally be defined as any type of recording, audio and / or visual, instituted in an air traffic control operations room that records accurately the conversation of controllers and the environment within an air traffic control operations room on a continuous basis.

Access to recorded data shall be limited to authorised personnel for the purposes listed in 2.6.2 above. Authorised personnel shall be mutually agreed by the controllers' representative and the appropriate authority.

Recorded data used shall be identical as presented to and / or originated by the controller at the relevant controller's position.

IFATCA is opposed to the use of Visual Area recordings for reasons of invasion of privacy.

Prior to the installation of Area recorders, legislation shall be in place which prohibits the use of any area recorder information against a controller in any criminal or civil litigation or disciplinary proceedings of any kind. The legislation should provide for substantial penalties for any breach of the legislation.

Except when an accident occurs, area recordings shall be capable of being erased when a controller is relieved from his position. Controllers shall have prompt confirmation of the erasure. Agreement between the Member Association and the employer on procedures for the erasure of area recordings shall be established prior to the operation of area recorders.

Venga sostituita con il testo seguente: Audio and visual recordings and Ambient Workplace Recording (AWR), together with associated computer data and transcripts of air traffic control communications are intended to provide a record of such communications for use in the monitoring of air traffic control operations, and the investigation of incidents and accidents.

B.5.1 / C.6.1 / Page 11 of 12

Audio and visual recordings and AWR are confidential and shall not be released to the public.

Audio and visual recordings and AWR shall not be used to provide direct evidence, such as in disciplinary cases, or to determine controller competence.

Except for AWR, recorded data shall be used only in the following cases: a) when investigating ATC related accidents and incidents; b) for search and rescue purposes; c) for training and review purposes provided all ATCOs affected agree. d) for the purposes of adjusting and repairing ATC equipment.

Access to recorded data shall be limited to authorised personnel. Authorised personnel shall be mutually agreed by the controllers' representative and the appropriate authority. Recorded data used shall be identical to that presented at or originating from the relevant controller's position.

Ambient Workplace Recording (AWR) may generally be defined as any type of recording, audio and / or visual, instituted in an air traffic control operations area that records the conversation of controllers and / or the environment within an air traffic control operations room on a continuous basis.

IFATCA is opposed to the use of visual AWR on the basis of invasion of privacy.

AWR shall only be used to aid in incident and accident investigations to improve aviation safety.

Prior to the installation of AWR, legislation shall be in place which prohibits the use of any recorded information against a controller in any criminal or civil litigation. The legislation should provide for substantial penalties for any breach.

The AWR system, including user management and access to the recordings, should be managed by an independent authority within the ANSP, chosen jointly by management and Member Association(s).

Before being published in an incident or accident report, non-relevant information shall be removed from AWR transcripts.

5.

Riferimenti -

International Civil Aviation Organisation (ICAO): Annex 11 Air Traffic Services (Amendment 44 2006) International Civil Aviation Organisation (ICAO): Annex 19 Safety Management International Civil Aviation Organisation (ICAO): Annex 13 Aircraft Accident and Incident Investigation SERA - Standardised European Rules of the Air International Civil Aviation Organisation (ICAO) Safety Management Panel (SMP): Ambient Workplace Recordings, Guidance Material (concept), July 2016 White Paper: Aural Environment (Ambient) Recording, Ultra Electronics AudioSoft, 2008 ICAO AN-WP/8041 Appendix A: “Summary of replies to state letter AN 13/1.8, AN 13/13.5, AN 6/1.204/93” Luxembourg Ministry of Sustainable Development and Infrastructure, Department of Transport, Report N° AET-2012/AC-01 – December 2012 German Federal Bureau of Aircraft Accidents Investigation (BFU), Investigation Report 5x013-11– 2012 Dutch Safety Board (OvV), Nine take-offs from an unavailable runway, 16 June 2012 Amsterdam Airport Schiphol – June 2015

- FINE -

B.5.1 / C.6.1 / Page 12 of 12

SAFETY ALERTS Keeping Your Heads Up! All EUROCONTROL Safety Alerts available on: www.eurocontrol.int/safety-alerts Subscribe to: tzvetomir.blajev@eurocontrol.int