Scatola nera degli aerei: come funziona e perché non è nera

Due registratori, un nome solo

Quando si parla di “scatola nera” di un aereo, in realtà si intende un sistema fatto di due apparecchi distinti, che nella maggior parte degli aerei moderni convivono in un solo dispositivo combinato. Il primo è il FDR (Flight Data Recorder, registratore dei dati di volo): registra parametri tecnici come quota, velocità e rotta, e sui modelli più recenti può arrivare a monitorarne oltre mille. Il secondo è il CVR (Cockpit Voice Recorder, registratore vocale di cabina): cattura, tramite un microfono d’ambiente posizionato tra i due piloti, le comunicazioni radio, la conversazione in cabina e i rumori utili a un’inchiesta, come il funzionamento dei motori o un allarme di stallo.

Sull’Airbus A320, per esempio, sono stati introdotti registratori combinati capaci di conservare in un solo apparecchio sia i dati di volo sia l’audio di cabina, oltre a testo e comunicazioni digitali scambiate in volo. La distinzione tra FDR e CVR resta comunque utile, perché insieme restituiscono un quadro completo di un volo: i parametri tecnici da un lato, l’ambiente di cabina dall’altro.

C’è poi un dettaglio poco noto: il nome è sbagliato. Le scatole nere non sono nere. Sono arancioni, un colore scelto fin dall’inizio perché rende molto più facile individuare la custodia metallica tra i rottami di un incidente. Il termine “black box” nasce da tutt’altra ragione: risale agli anni ‘30 e al registratore a pellicola fotografica dell’ingegnere francese François Hussenot, racchiuso in una scatola leggera ed ermetica. Il nome è rimasto, il colore no.

Come nacque l’idea: David Warren e il mistero del Comet

L’invenzione ha un padre preciso: David Warren, chimico australiano nato nel 1925 a Groote Eylandt, nel Territorio del Nord, specializzato in carburanti per aviazione e ricercatore presso gli Aeronautical Research Laboratories (ARL) di Melbourne. A metà degli anni ‘50 fu coinvolto nelle indagini su una serie di incidenti che coinvolsero il De Havilland Comet, il primo aereo di linea a reazione del mondo, precipitato più volte tra il 1953 e il 1954 senza che si riuscisse a capire perché.

L’intuizione arrivò a Warren osservando, a una fiera commerciale, uno dei primi registratori vocali miniaturizzati mai messi in vendita: se un apparecchio del genere fosse rimasto acceso in cabina fino al momento dell’impatto, ragionò, recuperarlo dal relitto avrebbe permesso di capire cosa era davvero successo, invece di limitarsi a formulare ipotesi sui rottami. Il suo contributo tecnico decisivo fu introdurre il nastro magnetico al posto della pellicola: un supporto che si poteva cancellare e riscrivere in continuazione, e che quindi funzionava anche per un volo di routine, non solo per registrare un singolo evento irripetibile. Warren costruì il primo prototipo, chiamato ARL Flight Memory Unit, nel 1956.

Esempio pratico: i vecchi registratori a pellicola fotografica somigliavano a una macchina fotografica usa e getta, buona per un solo “scatto” prima di dover cambiare il rullino. Il nastro magnetico introdotto da Warren funzionava più come un vecchio registratore a cassetta che si può riavvolgere e riusare all’infinito: proprio questa differenza rendeva il dispositivo installabile in modo permanente su un aereo di linea, senza doverlo smontare dopo ogni volo.

Il rifiuto australiano e l’incidente di Mackay

La storia dell’adozione della scatola nera non fu affatto lineare, ed è la parte meno conosciuta della vicenda. Le autorità militari australiane liquidarono con un rifiuto sprezzante il progetto di installare i registratori sui velivoli della Royal Australian Air Force, e il Dipartimento della Difesa si rifiutò persino di brevettare l’invenzione, giudicando ingiustificata la spesa di 2.000 sterline australiane richiesta per farlo. Fu invece un funzionario britannico, Sir Robert Hardingham dell’Air Registration Board, a mostrarsi interessato all’idea quando Warren gliela presentò nel 1958.

A convincere l’Australia ci pensò, indirettamente, una tragedia. Il 10 giugno 1960 un Fokker F27 Friendship della Trans Australia Airlines precipitò vicino a Mackay, nel Queensland, uccidendo tutte le 29 persone a bordo. La commissione d’inchiesta che seguì si concluse il 10 novembre 1960, senza riuscire a stabilire la causa dell’incidente. Fu proprio l’impossibilità di rispondere alla domanda più semplice — cosa è successo — a spingere il giudice dell’inchiesta a raccomandare l’installazione obbligatoria delle scatole nere sugli aerei commerciali.

Il governo federale australiano recepì la raccomandazione l’anno successivo, nel 1961: l’Australia divenne così il primo Paese al mondo a rendere obbligatoria la registrazione vocale di cabina sui voli commerciali, anche se il Dipartimento dell’Aviazione Civile finì per acquistare un sistema americano al posto di quello sviluppato da Warren. Negli Stati Uniti lo stesso obbligo arrivò solo nel 1965. Per una delle ironie della storia tecnologica, il primo apparecchio prodotto commercialmente su scala industriale nacque nel Regno Unito, e il riconoscimento delle origini australiane dell’invenzione, presente nelle prime comunicazioni, scomparve poi dai documenti ufficiali successivi.

Cosa registrano davvero FDR e CVR

Mettiamo a confronto i due apparecchi fianco a fianco: le differenze sono più marcate di quanto il nome comune lasci intuire.

Il salto tecnologico nel numero di parametri registrati dal FDR è stato enorme: l’Airbus A300B2, entrato in servizio a fine anni ‘70, ne registrava circa 100; un Airbus A350, aereo moderno, ne gestisce circa 3.500 per 25 ore continue. Gli elicotteri, che affrontano dinamiche di volo diverse da quelle degli aerei ad ala fissa, registrano tipicamente tra 800 e 1.200 parametri.

Il salto tecnologico riguarda anche il supporto di memoria: dalla pellicola fotografica delle origini, al nastro magnetico introdotto da Warren, fino alla memoria a stato solido, che ha eliminato le parti meccaniche in movimento e con esse gran parte del rischio di rottura durante un impatto — la stessa tecnologia di memorizzazione che, ormai, si trova in gran parte dei dispositivi digitali di uso quotidiano.

Dove si trova e quanto resiste

Fisicamente, FDR e CVR si trovano quasi sempre nella sezione di coda dell’aereo, la parte che secondo l’NTSB risulta statisticamente più resistente agli impatti rispetto al resto della fusoliera. Il sensore che misura l’accelerazione verticale, in particolare, deve essere fissato rigidamente alla struttura, entro limiti precisi rispetto al centro di gravità dell’aereo, secondo la normativa federale statunitense.

Ma la vera protezione non viene dalla posizione soltanto: viene dalla custodia. Gli standard tecnici, tra cui il TSO-C124 della FAA e l’equivalente europeo EUROCAE ED-112A, impongono che il contenitore resista a:

• un urto di 3.400 G per 6,5 millisecondi;
• un incendio fino a 1.100 °C, per 30 minuti secondo l’NTSB (sugli elicotteri, Airbus distingue tra apparecchi “pesanti”, che reggono un’ora a quella temperatura, e “leggeri”, che ne reggono un quarto);
• la pressione dell’acqua fino a 6.100 metri di profondità, per un periodo prolungato di 30 giorni o più, secondo la normativa federale statunitense.

Sono soglie pensate da chi progetta questi apparecchi con un unico obiettivo in mente: far sopravvivere il registratore anche quando quasi tutto il resto dell’aereo non ce l’ha fatta.

Dopo l’incidente: dal recupero al laboratorio

Se un aereo cade in mare, ritrovare un oggetto delle dimensioni di una scatola da scarpe in mezzo a chilometri di fondale non sarebbe possibile senza un aiuto tecnico. Per questo ogni registratore porta un localizzatore acustico subacqueo (ULB): un dispositivo che, appena entra in contatto con l’acqua tramite un interruttore dedicato, comincia a emettere un impulso ultrasonico a 37,5 kHz una volta al secondo, rilevabile da 1-2 chilometri in condizioni normali e fino a 4-5 chilometri in condizioni ideali. Sugli aerei di grandi dimensioni che volano oltre le 180 miglia nautiche dalla costa, l’EASA impone dal 2019 anche un secondo localizzatore a bassa frequenza (8,8 kHz), rilevabile da 13 a 22 chilometri: circa quattro volte più lontano del modello standard. La batteria di questi dispositivi, una volta attivata, deve garantire almeno 90 giorni di trasmissione continua secondo la normativa EASA in vigore dal 2020, contro i 30-40 giorni delle generazioni precedenti.

Una volta recuperato, il registratore non viene “letto” al volo: passa nelle mani di specialisti che devono scaricare, decodificare, validare e analizzare i dati contenuti, un processo che negli Stati Uniti avviene nella sede centrale dell’NTSB a Washington. Non è un lavoro isolato: gli specialisti sincronizzano l’audio di cabina con i parametri del FDR, i dati radar, i video delle telecamere aeroportuali e le registrazioni del controllo del traffico aereo, ricostruendo la sequenza degli eventi minuto per minuto — un procedimento sistematico, non troppo diverso nella logica da come un algoritmo segue passi precisi e ripetibili per arrivare a un risultato verificabile. Negli Stati Uniti, per legge, l’NTSB non può comunque rilasciare pubblicamente alcuna parte della registrazione audio del CVR, per la natura sensibile delle comunicazioni private in cabina.

Esempio pratico: un aereo che registra costantemente i propri parametri di volo — quota, velocità, accelerazione e molto altro — genera in ogni istante una quantità enorme di dati numerici, un po’ come i sensori di un robot aspirapolvere accumulano dati per orientarsi in casa. Il FDR non fa altro che raccogliere e conservare quel flusso, parametro dopo parametro, per 25 ore di fila.

Le norme che impongono tutto questo

Niente di ciò che abbiamo descritto è lasciato alla buona volontà dei singoli costruttori: esiste un impianto normativo internazionale piuttosto dettagliato, non diverso nello spirito da altri ambiti tecnologici in cui l’Unione Europea ha scelto di fissare standard vincolanti, come l’AI Act per l’intelligenza artificiale. Sotto l’ICAO Annex 6, la norma internazionale di riferimento, dal 2001 i CVR di nuova installazione devono garantire almeno 2 ore di registrazione più un’alimentazione di riserva di 10 minuti; il CVR è obbligatorio per tutti gli aerei a turbina con più di 9 posti passeggeri usati per trasporto a pagamento.

Negli Stati Uniti, la normativa federale (14 CFR 25.1459) impone requisiti puntuali sull’installazione, sull’alimentazione elettrica del registratore — che deve restare attivo il più a lungo possibile senza compromettere i sistemi di emergenza dell’aereo — e sulla resistenza della custodia. In Europa, l’EASA ha alzato ulteriormente l’asticella per gli aerei più pesanti di 27.000 kg costruiti dopo il 1° gennaio 2021, imponendo un CVR capace di registrare 25 ore continue, contro le 2 ore che bastavano in precedenza. Ogni nuovo aereo, in ogni caso, deve monitorare almeno 88 parametri di volo considerati importanti dal regolatore: un minimo che i costruttori, come si è visto, superano ampiamente già da diversi decenni.