# Volo Loganair 6780

Il volo Loganair 6780 era un volo regionale dall'aeroporto di Aberdeen all'aeroporto di Sumburg nelle isole Shetland, in Scozia. Il 15 dicembre 2014, il Saab 2000 che operava il volo fu colpito da un fulmine durante l'avvicinamento; questo causò una discesa a una velocità più alta di quella massima operativa del velivolo. L'aereo arrivò a 1 100 piedi (340 m) da terra prima che i piloti riprendessero il controllo e tornassero ad Aberdeen. Tutti i 33 passeggeri e l'equipaggio rimasero illesi.
I dati registrati dalla scatola nera mostravano che l'autopilota era rimasto attivo dopo il fulmine, contrariamente a quanto credevano i piloti, e gli input di beccheggio con il muso volto in su effettuati dai piloti venivano contrastati dalla funzione di assetto del beccheggio dell'autopilota, che portava il muso in giù per tornare all'altitudine selezionata di 2 000 piedi (610 m).
In risposta all'incidente, l'Air Accidents Investigation Branch (AAIB) pubblicò cinque raccomandazioni di sicurezza relative alle modifiche al sistema del pilota automatico.

## Contesto
### L'aereo

Il velivolo coinvolto era un Saab 2000, registrato come G-LGNO; volò per la prima volta nel marzo 1995. Equipaggiato con due motori turboelica Rolls-Royce AE 2100A, aveva un totale di 26 672 ore di volo e 25 357 cicli di volo al momento dell'incidente. Il Saab 2000 è un turboelica bimotore che può trasportare fino a 53 passeggeri, ed è stato prodotto dalla sua certificazione nel 1994 fino al 1999. L'aereo ha una velocità operativa massima (VMO) di 270 nodi (500 km/h) a quota 11 000 piedi (3 400 m) e 250 nodi (460 km/h) al di sotto dei 9 000 piedi (2 700 m). La velocità massima raggiunta durante le prove di volo era intorno ai 318 nodi (589 km/h).
Loganair, una compagnia aerea regionale scozzese, possedeva un contratto di franchising con la compagnia britannica Flybe fino ad agosto 2017. Pertanto, al momento dell'incidente, l'aereo operava con la livrea della Flybe.

### L'equipaggio

Il comandante era un uomo di 42 anni entrato nella Loganair dal 2005. Aveva accumulato un totale di 5 780 ore di volo, di cui 4 640 sul Saab 340 e 143 sul Saab 2000. Il comandante originariamente pilotava il Saab 340, ma era passato al Saab 2000 nell'agosto 2014. Quando il comandante pilotava il 340, aveva ricevuto un esercizio di addestramento in cui un fulmine aveva causato un guasto al generatore e l'autopilota si era disinserito.
Il copilota era una donna di 35 anni assunta da Loganair all'inizio del 2014. Aveva un totale di 1 054 ore di volo, di cui 260 ore sul Saab 2000. Si era qualificata per pilotare il Saab 2000 nel maggio 2014.

## Il volo
### Preparazione

Non erano state segnalate anomalie prima del decollo. Il tempo ad Aberdeen era buono, ma le previsioni per Sumburgh prevedevano temporali con pioggia, neve, grandine e venti fino a 60 nodi (110 km/h).
I due piloti completarono la rotazione senza incidenti da Aberdeen a Sumburgh e ritorno, quindi si prepararono per la seconda rotazione con il comandante come pilota al comando. Ci volle circa un'ora per raggiungere Sumburgh, richiedendo 1 826 chilogrammi di carburante. Per sfruttare il prezzo del carburante più basso ad Aberdeen, i piloti riempirono i serbatoi e il carico effettivo di carburante era di 3 000 chilogrammi.

### Avvicinamento

Il volo 6780 stava per effettuare un avvicinamento tramite il sistema di atterraggio strumentale (ILS) alla pista 27 dell'aeroporto di Sumburgh. L'aereo scese a 2 000 piedi (610 m) e si sintonizzò sul localizzatore dell'ILS a 9 miglia nautiche a est dell'aeroporto. Durante l'avvicinamento, il comandante decise di effettuare una riattaccata a causa di un forte temporale comparso sul radar meteorologico. Mentre l'aereo virava a sud, venne colpito da un fulmine, che penetrò nella cellula dal radome direttamente davanti alla cabina di pilotaggio uscendo dallo scarico dell'unità di potenza ausiliaria (APU) nella coda. Un fulmine globulare comparve per un istante nella cabina appena prima del colpo. Il comandante, nel mezzo di una trasmissione, smise di comunicare e prese subito il controllo dell'aereo, iniziando ad inviare degli input di beccheggio dai comandi di volo. Durante questo periodo, il copilota dichiarò mayday e il controllore del traffico aereo offrì all'equipaggio tutte le opzioni per un avvicinamento o una deviazione.
Sebbene l'aereo avesse iniziato a salire, il comandante sentiva che i suoi crescenti sforzi sui controlli di volo non sembravano sortire l'effetto desiderato. Anche la copilota aveva applicato input con il muso in su, ma aveva anche percepito che l'aereo non stava rispondendo come previsto. Il display di volo primario (PFD) mostrava gli avvisi di beccheggio ed errore di rollio. Il comandante ordinò al copilota di attivare l'interruttore di assetto d'emergenza dell'equilibratore, ma il sistema non rilevava alcuna anomalia, quindi la funzione di assetto d'emergenza non si attivò.
Il volo 6780 salì a circa 4 000 piedi (1 200 m) quando l'assetto si capovolse e l'aereo prese a scendere. Il Saab iniziò a precipitare a una velocità di discesa massima di 9 500 piedi (2 900 m) al minuto, durante il quale i dati non validi da uno dei computer di bordo (ADC) provocarono il disinnesto dell'autopilota, mentre l'assetto del beccheggio era con il muso quasi completamente in giù. L'angolo di beccheggio raggiunse i 19° a muso in giù e la velocità toccò i 330 nodi (610 km/h), 80 nodi (150 km/h) sopra la VMO (velocità da non superare). Durante quei momenti il controllore continuò ad informare occasionalmente i piloti sulla loro altitudine.
I piloti mantennero gli input di beccheggio con il muso in su e l'aereo prese a beccheggiare. Dal Ground Proximity Warning System (EGPWS) risuonarono allarmi come "SINK RATE" (rateo di discesa eccessivo) e "PULL UP" vicino all'altezza minima di 1 100 piedi (340 m). Il comandante applicò la massima potenza e l'aereo iniziò a salire. Il volo 6780 continuò a salire fino a 24 000 piedi (7 300 m) venendo dirottato all'aeroporto di Aberdeen, dove atterrò in sicurezza.

## Le indagini

L'Air Accidents Investigation Branch (AAIB) aprì un'indagine sull'incidente.

### Dati preliminari

Gli investigatori effettuarono un'ispezione dettagliata dell'aeromobile. Trovarono alcuni piccoli segni di fuliggine e danni sulla superficie del radome e, sebbene all'interno ci fossero danni da calore, non erano presenti dei buchi. Lo scarico dell'APU risultava danneggiato con sezioni di metallo fuso, ma non vennero trovati ulteriori danni. I test e le ispezioni dei sistemi di controllo dell'equilibratore e dell'autopilota non rivelarono alcuna anomalia.
L'esame delle informazioni meteorologiche mise in evidenza che l'aereo era stato colpito da un fulmine auto-innescato, un fenomeno in cui un aereo che accumula una carica negativa durante il volo innesca una scarica elettrica quando si avvicina a una regione con carica positiva in una cella temporalesca. Il sistema di rilevamento fulmini del Met Office registrò un fulmine nella posizione occupata dall'aereo alle 19:10:20.

### Comportamento del pilota

Immediatamente dopo il fulmine, i piloti eseguirono vari input sui comandi di volo per continuare la riattaccata che, insieme a piccoli aumenti di potenza del motore, consentirono all'aereo di salire. D'altra parte, l'autopilota cominciò a spostare l'assetto del beccheggio in giù per mantenere l'altitudine selezionata di 2 000 piedi (610 m), richiedendo ai piloti di tirare la barra di controllo con una forza di 24 libbre (11 kg). Per i successivi due minuti e mezzo dopo il fulmine, i piloti e il pilota automatico non smisero di dare input contrastanti. L'aereo continuò a salire in più fasi fino a 4 000 piedi (1 200 m).
Per mantenere quest'altitudine, i piloti dovettero tirare la barra di comando con la maggior forza di 80 libbre (36 kg). Il volo 6780 mantenne i 4 000 piedi (1 200 m) per circa 10 secondi, ma il muso si abbassò gradualmente mentre l'autopilota continuava a spostare l'assetto del beccheggio in giù.

### Discesa incontrollata

Alla fine, l'assetto del beccheggio si fermò intorno ai 9° (su un massimo di 10°) e il volo 6780 iniziò a scendere a una velocità di 1 500 piedi (460 m) al minuto. Il Saab prese a scendere e accelerare mentre la potenza del motore veniva gradualmente ridotta e spostata al minimo. Sei secondi dopo, l'autopilota si disinserì mentre il volo 6780 superava 3 600 piedi (1 100 m) a una velocità di discesa di 4 250 piedi (1 300 m) al minuto e in aumento.
I piloti mantennero gli input di beccheggio con il muso in su e diedero piena potenza, e il Saab iniziò a beccheggiare proprio mentre l'EGPWS emetteva l'allarme "SINK RATE". A questo seguì un "PULL UP" quando l'aereo raggiunse la sua velocità massima di discesa di 9 500 piedi (2 900 m) al minuto a 1 600 piedi (490 m) di quota, ma i piloti riuscirono a recuperare l'aereo 7 secondi prima di toccare terra.

### Comportamento del pilota automatico

L'autopilota rilevava che l'aereo stava salendo al di sopra dell'altitudine selezionata di 2 000 piedi (610 m), iniziando così ad abbassare il muso in giù per tornare quell'altitudine. Nonostante il comandante stesse tirando la barra di comando o azionando l'interruttore di assetto del beccheggio, l'autopilota non si disinseriva. L'uomo ritenne che la forza richiesta sulla cloche fosse maggiore rispetto al solito, a causa dell'opposizione dell'autopilota ai suoi input. Potrebbe aver erroneamente attribuito questo a un malfunzionamento del controllo di volo causato dal fulmine. Dopodiché, l'autopilota si disinserì mentre l'aereo si era posizionato in un assetto di picchiata di 10°, a causa di un malfunzionamento dell'ADC. Se ciò non fosse accaduto, l'autopilota si sarebbe disinserito una volta raggiunto il limite di beccheggio di 17°.
L'analisi del registratore di dati di volo (FDR) rivelò che uno dei computer di controllo di volo (FCC) non riceveva dati o gliene arrivavano di non validi dall'ADC per almeno 99 millisecondi. Questo aveva disinserito il pilota automatico alle 19:13. Gli investigatori non rimossero il sistema del pilota automatico per ulteriori indagini perché dopo l'incidente non riscontrarono alcun malfunzionamento in esso.

### Conclusioni

Nel settembre 2016 l'AAIB pubblicò il suo rapporto finale, affermando:
«Le azioni del comandante in seguito al fulmine prevedevano input manuali sui comandi di volo, che sembrano esser stati istintivi e potrebbero essere basati sulla sua ipotesi che l'autopilota si fosse disconnesso quando il fulmine colpì l'aereo. Tuttavia, l'autopilota non si è disconnesso e stava tentando di mantenere un'altitudine di 2.000 piedi slm portando il muso in giù mentre il comandante stava effettuando degli input di beccheggio con il muso in su. Le forze di controllo percepite dal comandante erano superiori al normale perché l'autopilota si opponeva ai suoi input e potrebbe averlo attribuito a un malfunzionamento del controllo di volo causato dal fulmine. Non ricordava di aver visto o sentito nessuno degli allarmi acustici o visivi di mistrim, che gli avrebbero segnalato che l'autopilota era ancora attivo. Questo è stato probabilmente un caso di cecità disattenta.»
Inoltre, il rapporto affermava:
«Il comandante ha applicato e mantenuto l'ingresso completo della colonna di controllo di poppa (elevatore a muso in su); tuttavia, l'assetto dell'equilibratore con il muso in giù imposto dall'autopilota superò l'input di assetto imposto dal comandante e l'aereo si inclinò con il muso in giù e scese, raggiungendo una velocità massima di discesa di 9.500 piedi al minuto. L'autopilota si è quindi disinserito a causa di un guasto dell'ADC e ciò ha consentito agli input di assetto del beccheggio del comandante di realizzarsi. L'aereo ha iniziato a beccheggiare poco prima di raggiungere un'altezza minima di 1.100 piedi sul livello del mare.»
Su 22 tipi di aeromobili esaminati, solo il Saab 2000 aveva un pilota automatico con i seguenti tre attributi:
* L'applicazione di una forza di override alla barra di comando sposterà l'equilibratore ma non causerà il disinnesto dell'autopilota
* L'autopilota può "trimmare" nella direzione opposta rispetto all'imput applicato dal pilota
* La pressione degli interruttori del trim del pitch primario non ha alcun effetto e non provoca il disinnesto dell'autopilota
In precedenza, il pilota automatico dell'Airbus A300, del Fokker 70 e del Fokker 100 avevano caratteristiche simili, ma, sulla scia di molti incidenti gravi e non, l'autopilota era stato riprogettato. Inoltre, il Saab 340 aveva le stesse caratteristiche del Saab 2000, in quanto l'autopilota non si disinseriva anche se il pilota azionava la barra di comando, ma era progettato per disinserirsi quando il pilota azionava il beccheggio.
L'AAIB concluse anche che la maggiore autorità dell'assetto del trim rispetto alla barra di controllo durante il volo ad alta velocità aveva contribuito all'incidente. Anche quando la barra veniva tirata al limite, i piloti non poterono impedire l'abbassamento del muso. L'autopilota era stato progettato per disinserirsi automaticamente quando il beccheggio o la virata supera un determinato angolo, ma non è progettato per impedire di raggiungere una velocità maggiore, anche se supera la VMO.

### Effetto startle

L'Agenzia dell'Unione europea per la sicurezza aerea (EASA) dichiarò, in un rapporto del 2018 sull'effetto "startle" (letteralmente "sussulto"), che "questo è un caso interessante in cui la gravità dell'incidente non è stata definita dalla causa dello startle (in questo caso il fulmine) ma nella sequenza degli eventi subito dopo". L'EASA descrisse ulteriormente l'incidente come segue:
«In effetti, dopo il fulmine, l'aereo era perfettamente funzionante e un semplice disinnesto dell'autopilota sarebbe stato sufficiente da consentire ai piloti di manovrare l'aereo in qualsiasi modo desiderassero. Tuttavia, gli effetti dello startle, probabilmente accoppiati con lo stress prima dello startle, ridusse lo stato d'animo cognitivo del PIC ad effettuare immediati input manuali, ignorando altre modalità di controllo. Naturalmente l'ipotesi alternativa è che il PIC (pensando che l'autopilota si fosse disinserito a causa del fulmine) possa aver ipotizzato che il suo sistema di controllo manuale fosse danneggiato, e si sia concentrato su questo problema. Sfortunatamente, se i piloti si fossero astenuti da una reazione manuale istantanea, probabilmente il problema secondario di lottare con l'autopilota sarebbe stato del tutto evitato e avrebbe portato a un volo molto più sicuro.»

### Raccomandazioni

L'AAIB emanò cinque raccomandazioni di sicurezza per l'EASA e la Federal Aviation Administration (FAA) onde prevenire un'altra perdita di controllo a causa del pilota automatico. L'avviso di sicurezza raccomanda di rivedere la progettazione del pilota automatico di aeromobili certificati dalle regole della Parte 25 e regolamenti correlati, incluso il Saab 2000, e richiedere delle modifiche, se necessario, per garantire che i piloti non rappresentino un potenziale pericolo quando applicano delle forze che vanno in conflitto con l'autopilota.

## Nella cultura di massa

Il volo 6780 della Loganair è stato analizzato nel primo episodio, dal nome Incubo nel mare del Nord, della ventunesima stagione del programma canadese Indagini ad alta quota.