(TEMPOITALIA.IT) Non è un nuovo “mostro” nei cieli, ma una vulnerabilità molto specifica. A fine Ottobre, su un volo JetBlue da Cancun a Newark, un Airbus A320 ha improvvisamente abbassato il muso, un piccolo “pitch-down” non comandato. Pochi istanti, una breve perdita di quota, qualche passeggero ferito. E tante domande.
Gli investigatori tecnici hanno ricostruito la sequenza con la solita pazienza chirurgica: il comportamento anomalo è stato collegato a una corruzione dei dati in uno dei computer di controllo del volo, in particolare un modello di Elevator Aileron Computer (ELAC). Il tutto è avvenuto durante un episodio di intensa radiazione solare e particellare.
Non un guasto “meccanico” classico, quindi, ma un errore di calcolo indotto dall’ambiente radiativo, che ha colpito una determinata combinazione di hardware e firmware. Un caso raro, ma sufficiente a far scattare l’allarme.
Da qui la mossa rapida di Airbus. Il costruttore ha emesso una Alert Operators Transmission invitando tutte le compagnie che operano A320 con quella specifica configurazione di ELAC a cessare immediatamente l’uso di quel software. O si aggiorna, o si torna a una versione precedente considerata sicura, e in alcuni casi si interviene anche sull’hardware.
Le stime circolate tra analisti e media parlano di circa 6.000 aeromobili della famiglia A320 potenzialmente coinvolti, più o meno metà della flotta mondiale. Un numero enorme se pensiamo che, su molte rotte a corto e medio raggio, l’A320 è praticamente “l’autobus del cielo”.
Per molti di questi velivoli l’intervento non è rinviabile: l’indicazione è di completarlo prima del prossimo volo, o comunque in una finestra temporale estremamente stretta. Un linguaggio che, nel mondo dell’aviazione, non lascia spazio a interpretazioni.
Le autorità di vigilanza non sono rimaste a guardare. L’EASA, per Europa, e gli enti omologhi in altre regioni hanno pubblicato una Emergency Airworthiness Directive che impone alle compagnie di eseguire l’aggiornamento richiesto. In alternativa? Aerei a terra finché il lavoro non è stato completato.
Il risultato è abbastanza prevedibile: cancellazioni e ritardi “significativi”, soprattutto per i vettori che dipendono in modo massiccio dalla flotta A320. Non parliamo di qualche volo sparso, ma di possibili ripercussioni a catena nelle prossime settimane.
La buona notizia, se così vogliamo chiamarla, è che gli interventi software in sé sono relativamente rapidi: questione di ore per singolo velivolo, non di giorni. Il problema è la scala globale, la logistica, la disponibilità di slot in hangar, di squadre tecniche, di documentazione chiusa e firmata. Insomma, tutte quelle cose poco visibili ai passeggeri ma che fanno la differenza.
Quanto alla sicurezza, il messaggio delle autorità è chiaro: gli aerei che hanno eseguito l’aggiornamento o il rollback previsto possono operare normalmente e il rischio residuo viene riportato entro i margini accettati dallo standard aeronautico. La scelta di imporre il grounding dove necessario è proprio il modo, forse un po’ drastico ma efficace, per mantenere il livello di sicurezza a cui l’aviazione commerciale ci ha abituati.
Al centro di tutta la vicenda c’è un concetto che, tra ingegneri e meteorologi spaziali, è noto da anni: il “single event upset”. In pratica, una particella ad alta energia – di origine cosmica o solare – può colpire un componente elettronico e modificare un singolo bit, o un pacchetto di dati, all’interno di un processore.
Di solito, i sistemi critici sugli aerei sono progettati proprio per fronteggiare questo tipo di eventi, grazie a ridondanza, filtri, controlli incrociati. Qui, però, in questa particolare configurazione di ELAC, la gestione dell’errore non è stata ridondante come ci si aspettava. Da qui la possibilità, seppur rara, di un comando di volo anomalo e non richiesto dal pilota.
Gli episodi di space weather intenso registrati a novembre 2025 da ESA e da altre agenzie rientrano in questo quadro: tempeste di particelle, variazioni nel flusso di radiazioni, fenomeni che vengono monitorati costantemente ma che, in questo caso, hanno trovato una “falla” di design.
È importante sottolinearlo: non stiamo assistendo a un cambiamento improvviso e drammatico dell’ambiente radiativo dell’atmosfera. L’esposizione alle radiazioni cosmiche e solari alle quote di crociera è un fatto noto, storicamente considerato nei margini di progetto. Il caso Airbus mette piuttosto in luce una vulnerabilità specifica di implementazione, che ora viene chiusa in modo energico.
Dal punto di vista fisico, la storia è lineare. L’atmosfera alle quote tipiche di un A320 non scherma completamente le particelle ad alta energia; il livello di radiazioni solari e cosmiche è superiore rispetto al suolo, e questo è già incorporato nei criteri di progetto dei sistemi avionici. In certe condizioni – flussi particellari elevati, traiettoria, quota, tipologia di hardware – un singolo computer/firmware può trovarsi più esposto al rischio di dati corrotti.
Qui il nodo è proprio questo: uno specifico standard di computer di controllo, con una determinata versione di firmware, che non ha trattato l’anomalia come il sistema di voto ridondante avrebbe dovuto fare. Il risultato è stato un comando di assetto anomalo, limitato ma sufficiente a farsi notare, e documentare.
Sul fronte della gestione del rischio, la risposta di Airbus e delle autorità è volutamente conservativa. Grounding immediato dove necessario, aggiornamenti accelerati, comunicazioni chiare agli operatori. È il classico approccio “fail-safe” dell’aviazione: si agisce in modo forte a livello operativo per evitare che un evento raro possa trasformarsi in qualcosa di più serio.
Le conseguenze per i passeggeri? Disagi sì, rischio no, almeno sugli aeromobili che hanno recepito la direttiva. Chi salirà su un A320 aggiornato si troverà su un aereo che ha assorbito la lezione di questo episodio. E, diciamolo, il fatto che un singolo evento porti a una revisione globale di 6.000 velivoli è esattamente il motivo per cui volare resta uno dei modi più sicuri di spostarsi. (TEMPOITALIA.IT)
