Assistenza Al Volo - trimestre 3 / 2022

AIR TRAFFIC CONTROL

Editoriale

Ci siamo lasciati alle spalle la summer ‘22. Il traffico ha nuovamente raggiunto livelli completamente operativi così che, nuovamente, tutti noi siamo stati chiamati a produrre safety al massimo delle nostre capacità e risorse. E oramai non si torna più indietro, con le previsioni che danno quantomeno questi livelli come strutturali alla nuova crescita del traffico aereo. Così come successo dopo l’11 settembre e dopo la crisi dei subprime del 2008.

Mentre però in passato si tornava ad operare in scenari operativi uguali a loro stessi, ora sono radicalmente mutate le condizioni in cui operiamo ed opereremo nel breve periodo, perché il cambiamento sembra essere diventato quotidiana variabile da tenere sempre in debita considerazione.

Il problema non è di poco conto perché un operatore del traffico aereo, ultra-specializzato ed ossessivamente condizionato dalla safety, ricerca sempre condizioni note e ripetitive. Quindi le modifiche degli scenari operativi, l’implementazione delle pros sime torri remote, i passaggi degli avvicinamenti ai centri di controllo d’area per l’anno 2023, il pensionamento di molti colleghi da qui al 2027, immettono nel sistema una notevole quantità di variabilità della performance da tenere in debito conto.

Stando così le cose, l’unica funzione in grado di tenere entro i dovuti limiti di accetta bilità la performance del provider è il fattore umano. A tutti i livelli, sia di front end che di blunt end.

Ripetendomi, occorre allora ricercare una comunanza di intenti tra la linea operativa e il management così che le informazioni possano muoversi in ambedue le direzioni creando quella consapevolezza situazionale necessaria a che tutti abbiano una conoscenza tale da comprendere i rispettivi diritti e doveri. Nel rispetto dei reciproci ruoli. Un progetto che potrebbe veicolare parte delle informazioni rispondenti ai requisiti sopradetti è il piano di monitoraggio del rischio da affaticamento professionale nel sistema di turni dei controllori del traffico aereo.

Lo studio ha come obiettivo principale quello di monitorare e fornire il livello di affati camento degli operatori del traffico aereo allo scopo di prevenire e gestire i potenziali rischi per la safety ATC.

ANACNA sostiene questo studio e intende veicolarlo a tutta la categoria perché, se le basi della nostra professione sono la tecnologia e la tecnica, su pari principi scientifici deve basarsi l’analisi dell’attività operativa del fattore umano. È una forma di tutela e valorizzazione del fattore umano estremamente importante e spero che tutti i col leghi vi partecipino.

Per i necessari chiarimenti siamo ovviamente qua.

Il Presidente Assistenza Al Volo - ANNO XLVII - NUMERO 3/2022

The OOTL (Out of the Loop) problem

La collisione di Uberlingen del

1 luglio 2002

• La collisione di Uberlingen

• Concause dell’evento

• SMOP, Single Man Operations

• Manutenzione del sistema telefonico

• Downgrade del sistema radar

• Attenzione divisa su più postazioni operative

• Cause sistemiche

• TCAS, Traffic Alert and Collision Avoidance System

• Introduzione del sistema ACAS/TCAS

• Il fenomeno out of the loop per Uberlingen

• Il passaggio contemporaneo dallo Human in the loop allo Human on the loop

La collisione di Uberlingen Ogni generazione, che sia sociale o, come in questo caso, lavorativa, può venire condizionata nel bene e nel male da particolari accadimenti. Questi posso no contribuire a costruirne precipue caratteristiche lavorative, costrutti comportamentali, strutture cognitive ed emozionali.

Il primo luglio 2002 alle 23:35:32 il volo Bashkirian Air lines 2937 operato con un Tupolev TU-154 decollato da Mosca e diretto a Barcellona si scontrò con il volo cargo DHL 611 operato con un Boeing 757 in volo da Bergamo a Bruxelles. La collisione avvenne nei cieli sopra la cittadina tedesca di Uberlingen alla quota di 36.000 piedi. Nell’incidente morirono 71 persone; 69 tra equipaggio e passeggeri presenti sul Tupolev e 2, i piloti, a bordo del cargo DHL.

Il 24 febbraio 2004 Peter Nielsen, il controllore del traffico aereo che quella sera era responsabile del la posizione operativa inerente i 2 voli fu pugnalato a morte da Vitaly Kaloyev, un architetto russo che perse la moglie ed entrambi i suoi figli nell’inciden te.

L’indagine investigativa fu portata avanti dalla BFU, Bundesstelle für Flugunfalluntersuchung, l’ufficio federale tedesco per le indagini sugli incidenti aerei, in collaborazione con il Büro für Flugunfalluntersu chungen, ufficio investigativo svizzero sugli inciden ti aerei e, in accordo all’Annesso 13 ICAO, i rappre sentanti accreditati del Regno del Bahrein (Stato di registrazione del B757), della Federazione Russa (Stato di registrazione del TU-154) e degli Stati Uniti d’America (Stato avente giurisdizione sull’organiz zazione responsabile per l’assemblamento finale dell’aeromobile B757). La collisione avvenne all’in terno dello spazio aereo tedesco in cui, in ragione di accordi precedentemente sottoscritti, i servizi della navigazione aerea venivano forniti dal centro di con trollo d’area di Zurigo ed operati dalla società privata svizzera Skyguide.

Tecnicamente la collisione avvenne in seguito al mancato rispetto delle procedure inerenti il sistema TCAS, Traffic Alert and Collision Avoidance System, da parte dell’equipaggio russo. I piloti russi, contrariamente alla normativa in vigore nei paesi occiden tali, seguirono la manovra a loro comunicata dal controllore del traffico aereo. Questi, per evitare la collisione, ordinò all’aeromobile russo di scendere, lasciando la quota di 36.000 piedi, contravvenendo

Di Gianluca Del Pinto

“La sera del 1 luglio 2002 Peter Nielsen operavasupostazionidistantitralorocir ca2metri,conunapproccioergonomicoche aggiungevacomplessitàalsistema.”

agli ordini impartiti dal TCAS, che all’opposto comu nicava ai piloti del Tupolev di salire. Allo stesso tem po la manovra opposta fu ordinata ai piloti del volo DHL che, man mano che scendevano eseguendo la manovra impartita dal loro sistema anticollisione, portavano il B757 sempre più in prossimità dell’im patto.

Questo avvenne alle ore 23:35:32, con gli aeromobili che si scontrarono con un angolo di impatto di 90 gradi; il Tupolev con prua magnetica 004, il Boeing con prua magnetica 274. La quota riportata dal FDR, Flight Data Recorder, fu di 34.890 piedi.

I piloti DHL riuscirono a passare sotto il Tupolev ma il timone di coda del Boeing colpì la fusoliera del Tu polev tranciandola di netto poco avanti le superfici alari. Il Tupolev precipitò in 4 tronconi, senza che i piloti potessero alcunché. Il Boeing continuò a vo lare ma privo delle fondamentali superfici di coda precipitò a circa 7 chilometri dal luogo dell’impatto.

Il modello HFACS considera la mera ricerca dell’anel lo rotto parziale e fuorviante, ritenendo necessaria l’investigazione anche relativamente a quelli rimasti integri.

Il primo livello degli atti non sicuri è riferito agli operatori front-line. Essi, in ragione della loro prossimità all’incidente, tanto temporale che spaziale, vengono ad essere scoperti anche nell’immediatezza dell’episodio restando additati come le cause originarie dell’evento. Ancora oggi, in molti casi, questo livello tende ad essere l’unico investigato. A riprova di ciò basti pensare [O’Hare et al. 1994] come circa l’80% degli incidenti aerei viene attribuito [Wiegmann &, Shappell 2001] all’errore umano.

Il secondo livello è relativo ai presupposti per atti non sicuri. In questa categorizzazione rientrano de terminazioni relative alle condizioni psico-fisiche dell’operatore che inducono determinati stati biolo gici di prontezza e risposte neuro-muscolari. Inoltre si considerano come presupposti le interagenze oc correnti tra gli operatori; in accordo ai principi CRM, Cockpit Resources Management, per i piloti e TRM, Team Resources Management, per i controllori del traffico aereo.

Concause dell’evento

Il modello HFACS, Human Factors Analysis and Clas sification System, è stato sviluppato [Shappell & Wiegmann, 2000] da Scott A. Shappell della FAA e da Douglas A. Wiegmann dell’Università dell’Illinois nel 2000.

Attraverso un processo tassonomico ad albero gerarchico, esso investiga un possibile inconveniente o incidente cercando concause e flussi che vanno oltre l’additamento della persona e del singo lo processo. Il malfunzionamento viene visto [Dek ker, 2013] come un rilascio di energia del sistema nella sua interezza e non come l’errore del singolo. La struttura gerarchica sviluppa 4 livelli di analisi: atti non sicuri, pre supposti per atti non sicuri, supervi sione pericolosa, influenze organiz zative. Questi descrivono i modi con cui soggetti differenti, all’interno di un sistema complesso, approccia no un preciso punto nello spazio e nel tempo in cui (durante il quale) si veri- fica un’anomala emissione nel flusso continuo di energia.

Il terzo livello è relativo alla supervisione pericolosa. Questa categoria tassonomica analizza la pianifica zione delle attività, l’analisi dello scenario operativo in fase pretattica, la necessità di correzione dei problemi noti.

Il quarto livello è relativo alle influenze organizzative. Il management di alto livello è chiamato a creare il clima organizzativo [Argentero & Cortese, 2016], a gestire le risorse umane, l’area operativa, le relazi oni con il personale e la formazione. La distanza tra operatori di sharp end e amministratori di blunt end può impedire l’emersione evidente di possibili con flittualità organizzative che, a volte senza una pre cisa attività decisionale, rendono prono lo scenario operativo all’evento.

“Il controllore di Monaco si accorse con anticipodell’interagenzatrailTupoleveil Boeing,manonriuscìacomunicareconil collegasvizzero.”

SMOP, Single Man Operations

Il controllore del traffico aereo Peter Nielsen stava lavorando da solo. In tur no la notte dell’evento era sì stabilita la presenza di due controllori ma questi avrebbero intercalato la loro presenza in sala operativa in relazione al tempo off-duty, determinato in relazione al riposo da effettuare in un’altra stanza.

Le SMOP, single man operations, fu rono introdotte dal fornitore Skyguide nel 2001 [Nunes & Laursen, 2004].

Le Single Man Operations sono a tutt’oggi procedure operative non riconosciute ufficialmente ma poste in essere in relazione a molteplici fattori: carenza di personale, ottimizzazione delle risorse umane, taglio dei costi di gestione. Nel marzo del 2001 il loro uti lizzo fu stigmatizzato da IFATCA [2001], International Federation of Air Traffic Control Associations, nel corso dell’an nuale conferenza federale a Ginevra.

Nielsen operava su due postazioni radar. L’una relativa al controllo del lo spazio aereo svizzero, l’altra asser vita al controllo di avvicinamento dell’aeroporto di Friedrichshafen. Le due postazioni erano distanti, circa Nei 2 minuti antecedenti alla collisione Nielsen cer cò ripetutamente di contattare la torre di controllo dell’aeroporto; senza però avere risposta al punto che istruì l’equipaggio dell’aeromobile a contattare esso stesso l’aeroporto.

2 metri, così che il controllore doveva fisicamente spostarsi da una CWP, Controller Working Position, all’altra. Oltremodo diverse erano le tecniche di con trollo, ché le stesse mappe radar sulle due posizioni erano settate su scale differenti. L’attenzione era quindi divisa e il focus relativo posto, nel frangente temporale immediatamente prima della collisione, sul controllo di un aeromobile in arrivo presso l’aero porto sopradetto.

Probabilmente la presenza di più controllori avreb be permesso una più funzionale separazione di competenze.

Manutenzione del sistema telefonico

Peter Nielsen fu oltremodo impegnato nel coordi namento necessario al rilascio dell’aeromobile che intendeva atterrare a Friedrichshafen a causa della manutenzione del sistema telefonico. Questo era quindi out of service e inoltre lo stesso sistema di back up era inutilizzabile per una problematica soft ware mai identificata prima.

La manutenzione dell’impianto telefonico princi pale e il malfunzionamento di quello di back up im pedirono inoltre una possibile risoluzione dell’even to. Il centro di controllo d’area di Monaco, limitrofo all’ente svizzero, si accorse infatti dell’interagenza tra il Tupolev e il Boeing ma il controllore lì in forza non riuscì, stante i numerosi tentativi, a comunicare con la Svizzera.

Skyguide era letteralmente isolato rispetto ai limitrofi enti di controllo.

Downgrade del sistema radar

La variabilità della performance fu ulteriormente ac centuata a causa della manutenzione programma ta del sistema radar. In tale frangente il servizio di controllo del traffico aereo veniva fornito in fall-back

mode, ovvero attraverso un sistema di supporto che sì sopperiva alle necessità del servizio ma in mo dalità non completa. Nello specifico quella sera lo STCA, Short Term Conflict Alert, era attivo solo par zialmente per un’attività manutentiva programma ta.

Lo STCA è un sistema inteso ad assistere l’opera tore nella prevenzione delle collisioni. Esso genera un segnale acustico e visivo al raggiungimento di determinate condizioni di tempo e spazio. Il segnale visivo, attraverso il marcamento di rosso degli aeromobili interessati, viene visualizzato sulla map pa radar 120 secondi prima del raggiungimento del la separazione minima di 6,5 miglia nautiche; ovvero quando questi si trovano ad una separazione verti cale inferiore ai 1500 piedi, o ai 750 piedi, al di so pra o al di sotto di 29.000 piedi di quota. Il segnale acustico viene attivato quando la separazione tra gli aeromobili scende al di sotto delle 6,5 miglia nau tiche.

Le procedure interne a Skyguide prevedevano che in caso di SMOP lo STCA dovesse essere attivo. Quel la sera questo non venne rispettato, così che solo il segnale audio era in uso, mentre la modalità visiva non era attiva. A ragione di tale criticità, il control lore non era financo informato della succitata attività manutentiva.

Il mancato contributo dello STCA, che come safe ty net avrebbe potuto modificare l’esito negativo dell’evento, fu ritenuto materialmente contributivo [Eurocontrol, 2004]. La sua piena operatività avrebbe potuto anticipare l’eventuale azione di recovery del controllore, così che lo scenario operativo si sarebbe potuto normalizzare piuttosto che convergere verso l’esito esiziale dell’evento.

Materialmente, l’operatore avrebbe avuto indicazione del conflitto 2 minuti prima della prossima collisione invece dei soli 32 secondi messi a dispo sizione dall’allarme acustico.

Attenzione divisa su più postazioni operative Lavorare in un centro di controllo radar presume l’impiego marcato dell’attenzione divisa, ovve ro la capacità di valutare più input contempora neamente (Umiltà, 1995) e di eseguire più compiti parallelamente (Ladavas e Berti, 1999). La capacità di svolgere un compito correttamente in presenza di attenzione divisa può dipendere [Marcantoni & Fabio, 2008] dalla difficoltà del compito e dall’abitu dine a farlo.

Il controllore del traffico aereo responsabile di un determinato spazio aereo riceve molti stimoli e valu ta molte variabili. Opera su aree molto estese con molti aeromobili in contatto e in conflitto tra loro. Tanto in presenza di un alto carico di lavoro che in condizioni di minimo traffico si ha, da un punto di vista cognitivo ed elaborativo, poco tempo per agire, nell’ordine temporale di secondi; la capacità decisio nale diviene quindi dirimente tra un corretto svolgimento delle proprie funzioni o un piano di azione formulato male.

La sera del 1 luglio 2002 Peter Nielsen operava su postazioni distanti tra loro circa 2 metri, con un ap proccio ergonomico che aggiungeva complessità al sistema, dato che egli doveva spostarsi fisicamente da uno schermo radar ad un altro. L’attenzione divisa fu ulteriormente un’importante variabile della performance per le caratteristiche precipue del lavoro di controllo e gestione del traffi co aereo, ché quella sera le tecniche di controllo per la gestione del B757 e del TU154 a livello di volo 360 e dell’A320 in avvicinamento all’aeroporto di Fried richshafen differivano per distanze, margini opera tivi, tempi di intervento.

Cause sistemiche

La BFU ritenne di identificare, dalle immanenti con cause proprie del comportamento umano, ulteriori istanze sistemiche. È difatti pacifico come lo stato dell’arte dell’analisi e delle indagini di safety non debba fermarsi all’identificazione delle evidenze superficiali dello scenario operativo. Occorre analiz zare il sostrato profondo dal quale le evidenze em piriche sono emerse in un determinato momento di spazio e tempo.

Così facendo possono essere tratte all’attenzione [Hollnagel, 2016] due funzioni contribuenti alla con cretizzazione dello scenario operativo, l’una defini bile organizzativa, l’altra tecnologica.

Da un punto di vista organizzativo fu per anni tollerata, di notte con un carico di lavoro minimo per i pochi aeromobili in volo, la presenza di un solo con trollore responsabile dell’intera settorizzazione del centro di controllo d’area di Zurigo.

Ciò divenne nel corso degli anni prassi comune ed accettata, da una cultura organizzativa che portò alla diffusione di propaggini di usi e consuetudini ol tremodo esacerbanti la variabilità della performance che il sistema, per sua ragion d’essere, continuava a richiedere.

Da sottolineare come l’attività manutentiva che quella notte era stata programmata in una durata di 6 ore era relativa all’introduzione dello spazio aereo RVSM, Reduced Vertical Separation Minima. Stante le caratteristiche proprie di tale settorizzazione qui si vuole sottolineare come tale implementazione poteva essere definita epocale, pertanto da realizza re certamente con una necessaria e maggiore contezza di intenti da parte dell’organizzazione.

A tali modalità di azione potrebbe quindi essere ri portata, la notte dell’evento, la mancata comunica zione dei lavori in atto, sul sistema radar e sulle linee telefoniche, e la conseguente ignoranza di ciò da parte del controllore.

Se le linee telefoniche fossero state operative, o se fosse stato presente in sua vece un sistema di back up funzionante, le comunicazioni con l’aeroporto di Friedrichshafen sarebbero state in linea con le tem pistiche necessarie a portare l’attenzione sui traffici confliggenti. Ancora, il centro di controllo d’area di Monaco, avvedutosi del conflitto, avrebbe potuto fi nalizzare il suo intendimento relativamente alla co municazione di esso.

Si rintraccia altresì un’importante variabilità della performance sistemica nella cultura organizzativa propria di coloro che, agenti dell’evento, determinarono le proprie azioni ed inazioni in risposta agli input generati dal sistema ACAS/TCAS.

I piloti del B757, di nazionalità inglese, agirono seguendo le indicazioni fornite dalla RA, Resolution Advisory, facendo scendere l’aeromobile. I piloti del TU154, di nazionalità russa, agirono invece seguen do le indicazioni del controllore, stante che nel cock pit risuonasse l’avviso sonoro della RA indicante la

necessità di salire; ché, come precedentemente det to, i sistemi degli aeromobili interessati dal conflitto cooperano nel fornire indicazioni di manovra sem pre opposte. I piloti agirono nel rispetto delle reciproche procedure addestrative.

Volendo poi collocare l’intendimento del control lore nell’istruire i russi a salire, la timeline dell’evento mostra come egli abbia comunicato la manovra da effettuare prima che la RA fosse attivata dai sistemi di bordo.

Lo scenario così formato vide il TCAS dare l’avviso di manovra pochi secondo dopo che il controllore aveva istruito il TU154 ad eseguire una manovra di scampo, rivelatasi questa fatalmente opposta a quella automatica e tecnologicamente allo stato dell’arte, in quel precipuo momento storico, fornita dai sistemi di bordo.

TCAS, Traffic Alert & Collision Avoidance System

Il TCAS, Traffic alert and Collision Avoidance System, è un sistema indipendente di navigazione aerea il cui scopo è quello di tracciare le posizioni vicen devoli di aeromobili in reciproca prossimità, in grado di fornire al pilota informazioni necessarie ad evitare una possibile collisione in volo. Il sistema deve essere utilizzato [ICAO, Doc.8168] dai piloti per l’evitamen to delle collisioni, per aumentare la consapevolezza situazionale, per la ricerca attiva e per l’individuazione visiva del traffico confliggente. Introdotto nel 1989, la versione 7.1 è al momento lo stato dell’arte dei sistemi denominati anticollisione, in grado di dare avviso e comunicazione delle manovre da ef fettuare, sul piano verticale, in caso di prossimità fisica di due aeromobili.

Il TCAS [ICAO, Annesso 10] è l’implementazione tecnica dello standard ICAO ACAS, Airborne Colli sion Avoidance System. L’indipendenza del sistema è relativa sia in relazione ai sistemi di bordo, di navigazione e di gestione del volo, sia ai sistemi di controllo del traffico aereo. Il sistema è in grado di fornire 2 tipologie di allarme. La TA, Traffic Advisory, permette al pilota di acquisire informazioni a riguardo della posizione di un aero mobile che possibilmente potrebbe risultare essere una minaccia. La RA, Resolution Advisory, è invece l’indicazione, sia visiva che sonora, della manovra da effettuare sul piano verticale, fornita al pilota per im pedire la collisione. La TA porta l’attenzione del pilo ta sulla possibile interagenza, mentre la RA agisce come ultima safety net.

I sistemi TCAS degli aeromobili interessati agiscono in maniera cooperativa, così da rilasciare istruzioni complementari tra loro, sempre opposte le une alle altre e mai uguali.

Lo standard ACAS II opera su due scale temporali: la TA viene rilasciata a 48 secondi dal CPA, Closest Point of Approach, la RA 35 secondi prima del CPA. Il pilota non deve utilizzare la TA per manovrare l’aeromobile ma deve attendere l’eventuale RA.

Oltre a ciò, le scale temporali si riducono se gli aero mobili interessati operano a quote più basse, dove le velocità, assolute e relative, diminuiscono; ovvero in caso di manovre repentine del pilota.

Nei casi di aircraft proximity, con le posizioni e le ve locità relative degli aeromobili, come giudicate dal pilota o dal controllore, tali che la safety possa es sere compromessa [ICAO, Doc. 4444], solo nel 28% degli eventi si attiva lo STCA e solo nello 0,3% [Saez Nieto et al. 2010] si verifica una RA. Stante inoltre la possibilità che il sistema possa rilasciare falsi posi tivi, portando comunque il pilota a rispondere con celerità alle manovre comandate, nello spazio aereo europeo la possibilità di una collisione per volo è sti mata essere nell’ordine di 2,7 x 10-8; una probabilità ogni 3 anni.

Solo i sistemi GPWS, Ground Proximity Warning System, che genera avvisi e risposte da seguire ob bligatoriamente in caso di prossimità al terreno e di windshear detection possono avere priorità nei con fronti del TCAS. Il fenomeno del windshear consiste in repentine ed intense variazioni dell’intensità e del la direzione del vento. Molto pericoloso in prossimità del terreno nelle fasi di avvicinamento all’aeroporto. I sistemi di rilevazione del windshear coadiuvano i piloti nella risposta da fornire in relazione ad esso. Il volume di spazio aereo protetto dal TCAS è designato in funzione della velocità, della prua, dell’alti tudine degli aeromobili interessati. Se un pilota riceve una RA, è obbligato ad eseguire la manovra suggerita, anche se ciò porta a contrav venire alle istruzioni impartite dal controllore del traffico aereo. Quest’ultimo non viene a conoscenza della risolu- zione TCAS fino a che il pilota non ne comunica l’effettuazione in radio-frequenza. L’abilità del sistema nell’assistere il pilota nell’evitare una collisione dipende dalla corretta interpretazione della manovra da eseguire e dall’immediata attuazione di questa da parte dell’equipaggio. Il TCAS riduce il rischio di collisioni di un fattore variabile tra 3 e 10. Da considerare in ogni caso [CENA, 2002] che il TCAS può indurre a quasi collisioni (nearmiss collision) o a collisioni, anche se il numero di queste è circa il 10% di quelle che si realizzerebbero in assenza dei protocolli ACAS if certain combina tions of events occur [FAA, 2011].

Dopo che il pilota ha iniziato una manovra di evita mento assistita dal TCAS e comunicato ciò al con trollore del traffico aereo, questi deve rispondere di aver compreso la comunicazione:

-PILOT: TCAS RA

-ATC: Roger e non deve provare a modificare il percorso dell’aeromobile fino a quando l’equipaggio non riporta di es sere libero dal traffico [ICAO, Doc. 4444]. Tale prioritizzazione delle decisioni della macchina sugli intendimenti dell’uomo è data anche dall’accura tezza relativa ai sistemi impiegati. Il TCAS [Skyway magazine, 2007] relativizza la posizione dell’aero mobile definito intruder con una risoluzione nell’or dine di 1 piede verticale (30,48 centimetri). I sistemi di controllo del traffico aereo hanno invece risoluzione pari a 25 piedi verticali (7,62 metri). È pacifico quindi ritenere che sussistano alcune in compatibilità tra procedure del controllo del traffico aereo e TCAS.

“I piloti agirono nel rispetto delle reciproche procedure addestrative: gli inglesi seguirono il TCAS, i russi le autorizzazioniimpartitedalcontrollore deltrafficoaereo.”

Introduzione del sistema ACAS/TCAS

All’atto dell’introduzione del sistema ACAS/TCAS fu ritenuta prioritaria [ICAO, 1982] la conoscenza e il relativo addestramento da fornire agli equipaggi di condotta. Un’opportuna conoscenza teorica [Euro control, 1997] doveva essere sostenuta dall’adeguata pratica cumulata attraverso attività ai simulatori di volo o quantomeno sostenuta da software riprodu centi lo scenario operativo di una RA. Nel rapporto stilato dalla BFU in relazione alla col lisione di Uberlingen viene riportata invece, come criticità sistemica, un’importante carenza informati va relativa alle azioni ed inazioni da tenere in caso di RA. Perché è pacifico ritenere il sistema utile solo se il pilota risponde in accordo alle istruzioni della mac china. Nel caso dell’equipaggio del TU154 gli investi gatori rinvennero misinterpretation and uncertainty nel rispondere alle procedure TCAS, stante che essi avevano sì sostenuto l’addestramento teorico, ma mai avevano operato in sessioni simulate di risposta alle sollecitazioni del sistema anticollisione. Un’ulteriore criticità va rinvenuta nella non conoscenza da parte di Peter Nielsen delle azioni che i piloti stavano eseguendo, così come determinato dalle modalità attuative del sistema ACAS.

Il controllore infatti non ha contezza della manovra di scampo fino a quando il pilota non lo comunica in frequenza, così che è statuitamene [ICAO, Doc. 8168] ritenuto plausibile il caso in cui il controllo del traffico aereo istruisca l’aeromobile ad effettuare manovre contrarie alla risoluzione impartita dal TCAS.

Da ciò, è fondamentale che i piloti seguano le istruzioni della RA e immediatamente dopo comunichi no la manovra di scampo al controllore. Questa sequenza funzionale non fu pedissequa mente eseguita. L’equipaggio russo eseguì la manovra impartita dal controllore contravvenendo alle istruzioni del TCAS. Il controllore mancò di ese guire compiutamente la sua attività supervisiva sul traffico che impegnava lo spazio aereo svizzero pri ma che la RA si palesasse.

Sempre la BFU [2004] statuì allora nel report finale che l’introduzione del sistema ACAS/TCAS II in Euro pa mancò di disseminare una corretta informazione univoca per quanto riguarda la sua filosofia attuati va. Le regolamentazioni ICAO, i singoli recepimenti da parte delle autorità nazionali, le istruzioni proce durali ed operative degli operatori aerei, furono in complete e parzialmente contradditorie.

La crescente preponderanza dei sistemi tecnologici, attuativi del linguaggio di basso livello necessario a che le macchine e le loro interconnessioni funzionassero correttamente, cozzò drammaticamente sui dialoghi di alto livello che il fattore umano con tinuava ad avere.

Il fenomeno out of the loop per Uberlingen La BFU definì patologico lo scenario operativo così conchiuso. Sia in relazione al contributo eventuale degli operatori umani sia, in special modo, in relazione alle funzioni tecnologiche ed organizzative. Un’implementazione tecnologica, il TCAS, le cui ca pacità migliorative furono vanificate da procedure quantomeno non correttamente applicate, adde stramenti mal pianificati, disseminazione di conoscenze solo parziali. Una funzione organizzativa le cui capacità di coordinamento, supervisione ed in dirizzo erano state fortemente piegate ad usi e con suetudini patologici, accettati per utilità di breve periodo. Così strutturata l’attività di controllo, si possono al lora rinvenire delle interconnessioni tra funzioni [Hollnagel, 2012] esacerbanti una variabilità della performance fortemente protesa verso il punto in corrispondenza del quale l’evento alla fine emerse, superando il livello ritenuto accettabile ai fini della safety aeronautica. Da tale prospettiva sistemica, basata sulle normative e procedure sopra riportate, si può allora osservare [Moray, 1986] il controllore del traffico aereo ricopri re una posizione supervisiva, attendente gli sviluppi eventuali che necessitano di intervento, senza finalizzare alcuna azione a meno che lo stato del proces so non lo ritenga necessario.

Tale attività di attesa può oltremodo portare ad un processamento errato delle informazioni e dei dati a disposizione, in ragione [Kaber & Endsley, 2004] di una progressiva perdita di consapevolezza situazionale e comprensione dei processi sottostanti agli eventi apparenti.

Il fenomeno dell’out of the loop così determinato [Wickens, 1992] porta l’operatore a reagire con tem pi dilatati se confrontati questi al dinamismo dei processi automatici in atto, riducendo oltremodo [Kaber & Endsley, 1997] l’incidenza positiva dell’interazione dell’uomo con il sistema. Tali caratterizzazioni promananti da un impegno negletto delle capacità cognitive superiori riducono [Schneider & Shiffrin, 1997] lo sforzo interattivo della memoria di

lavoro e dell’attenzione nei confronti del sistema, generando [Woods et al. 1987] criticità a riguardo dell’interazione con le interfacce e nell’allocazione sistemica delle competenze proprie dell’operatore da un lato, e degli automatismi dall’altro.

La dilatazione dei tempi di intervento pregiudica [Moray, 1986] le capacità di supervisione dell’opera tore, mentre la riduzione dello sforzo cognitivo ren de difficoltosa l’azione di monitoraggio.

Il passaggio contemporaneo dallo Human in the loop allo Human on the loop

L’investigazione successiva alla collisione di Uberlin gen fu per una sua consistente parte centrata sul le criticità inerenti l’introduzione del sistema TCAS, temporalmente avvenuta questa solo 2 anni prima dell’evento oggetto di questa analisi. La nuova tec nologia portò ad una rivisitazione ontologica delle azioni di controllo, introducendo una logica opera tiva più centrata sulla gestione dei flussi di traffico che non sui singoli aeromobili interessati. Si vide allora come il passaggio da uno scenario operativo tecnologicamente precisato ad un altro più autonomo nelle determinazioni contingenti ad una abnormal situation fu caratterizzato da impor tanti criticità; queste tanto sistemiche, che le funzioni organizzative peccarono nella gestione del cambia mento, che umane, lì dove gli operatori non rius cirono a supervisionare correttamente il passaggio dalle normali operazioni alla gestione dell’evento. L’automazione del software anticollisione, in grado di agire come ultima safety net, peccò nella capacità di collocarsi correttamente all’interno del sistema perché le interconnessioni create con gli altri attori non furono adeguatamente costruite; così che restò valido il paradigma dello human in the loop, HITL. Tale scenario, con l’operatore tenuto in capo alle

azioni tattiche ed esecutive, è caratterizzato sì da forte interdipendenza delle funzioni umane e tecno logiche, ma queste restano preponderanti ognuna nel proprio campo. Nello HITL le funzioni in quanto tali sono centrali a loro stesse mentre le reciproche interconnessioni restano sullo sfondo. È quindi rela tivamente semplice allocare i corretti compiti all’uo mo e alla macchina. Difficile è comprendere le interrelazioni tra funzioni lì dove la complessità pone in essere n+1 processi, ché diviene inapplicabile la possibilità di azione od inazione su ogni singola attività. L’automazione stessa è divenuta sempre più com plessa, apparendo non peregrino chiedersi [Baron, 1988] chi sia il soggetto che ha il controllo in un de terminato momento, se la macchina o l’uomo. Automazione e complessità che dovrebbero on tologicamente, magneticamente, respingersi cre ano [Ogle et al. 2008] in realtà un differente livello di attrazione, in relazione al quale l’operatore vede modificare il proprio ruolo: il livello dello human on the loop, HOTL.

Nello HOTL i paradigmi alla base del contributo del fattore umano spostano i propri interventi dal pia no tattico al piano strategico. Si fa centrale l’azione supervisiva dell’operatore attraverso l’utilizzo di un linguaggio di alto livello cognitivo, interveniente, lì dove le azioni di controllo restano su di un basso livello esecutivo, ripetitivo nella propria logica bina ria e lineare. Ancora, il controllore del traffico aereo indirizza i flussi di traffico, mentre il sistema intelli gente realizza le relative azioni tattiche. Lo HOTL enfatizza il ruolo delle interconnessioni tra funzioni più che operare sulle singolarità di quest’ul time. È pertanto cruciale e di non facile risoluzione la corretta allocazione, ed interdipendenza soprat tutto, dei compiti umani e artificiali.

È difatti acclarato e pacifico che, allo stato dell’arte attuale nel controllo del traffico aereo e non solo, l’automazione in quanto tale è prettamente deter ministica, quantomeno [Sabatini, 2020] non suf ficientemente adattiva nelle sue definizioni più innovative.

Paradossalmente ciò determina un aumento di complessità non trasparente, un sovraccarico cognitivo a volte non riconosciuto in fase proget tuale, la svilente e pericolosa determinazione del le azioni umane unicamente come sottoprodotto dell’automazione [Parasuraman & Riley, 1997).

L’aggiunta di automazione non può allora essere intesa [Woods & Tinapple, 1999] come semplice e lineare sostituzione dell’attività umana con l’attività di una macchina. È difatti acclarato [Endsley & Kiris, 1995] che la performance di un intervento umano in fase emergenziale, dopo un periodo di attività for temente sostenuta dall’automazione, risulta essere fortemente degradata, se confrontata in relazione allo stesso periodo emergenziale ma preceduto questo da un’attività prevalentemente a controllo umano.

“L’automazione stessa è divenuta semprepiùcomplessa,tantodachiedersi chi sia ad avere il controllo in un dato momento,selamacchinaol’uomo.

Riferimenti

Argentero P. & Cortese C. G., 2016. Psicologia del lavoro. In Man uale di psicologia del lavoro e delle organizzazioni. Raffello Cor tina Editore BFU (2004). Investigation report, AX001-1-2/02, Uberlingen, May 2004 CENA (2002). QinetiQ, Sofréavia. ACAS programme, ACASA project. ECT. Work Package 1. Final Report on Studies on the Safety of ACAS II in Europe. March 2002 Dekker S. (2013). Sicurezza e pensiero sistemico. Hirelia Edizioni. Endsley M. R. & Kiris E. O. (1995). The out-of-the-loop perfor mance problem and level of control in automation. Eurocontrol (1997). ACAS Implementation guidance Docu ment issued.

Eurocontrol (2004/17/12). Final Report: Review of the BFU Über lingen Accident Report. Version 1. Eurocontrol (2007) A decade of developments. Skyway maga zine.

FAA (2011). Introduction of TCAS II, version 7. Hollnagel E. (2012). FRAM: The Functional Resonance Analysis Method: Modelling Complex Socio-Technical Systems. Hollnagel E. (2016) Safety-I e Safety-II. Il passato e il futuro del safety management. Editore Hirelia, 2016 Kaber D. & Endsley M. (1997) Out-of-the-loop performance problems and the use of intermediate levels of automation for improved control system functioning and safety. Process Saf Prog 16(3):126–131

Kaber D. & Endsley M. (2004). Out-of-the-Loop Performance Problems and the Use of Intermediate Levels of Automation for Improved Control System Functioning and Safety. Process Safety Progress. 16. 126 - 131. 10.1002/prs.680160304.

ICAO State Letter AN 11/19-02/82, Proposed Airborne Collision Avoidance System (ACAS) Performance-based Training Objec tives.

ICAO DOC 8168, Procedures for Air Navigation Services (PANS) - Aircraft Operations - Volume I Flight Procedures

ICAO Annex 10, Standards and Recommended Practices and Guidance Material for Airborne Collision Avoidance Systems

ICAO DOC 4444, Procedures for Air Navigation Services (PANS) — Air Traffic Management. 16th Edition, 2016

IFATCA (2001). 40th annual conference, WP No. 159: Single Per son Operations in ATC. Geneva, Switzerland, 19-23 March 2001 Marcantoni M. & Fabio R. A. (2008). L’attenzione: Fisiologia, pa tologie e interventi riabilitativi. Italia: Franco Angeli Edizioni.

Flight Centric ATC

INTRODUZIONE

Il continuo incremento del traffico aereo (nel 2019 è stato raggiunto il suo picco massimo a livello mondiale) dopo il rallentamento dovuto alla crisi globale conseguente alla pandemia da Covid-19 nel 2022 sta mettendo duramente alla prova l’in tero sistema di trasporto aereo. Il comparto ATM, attraverso il programma SESAR, ha già da tempo ini- ziato a studiare e sviluppare nuove modalità di gestione del traffico per far fronte all’accre sciuta domanda prevista nei prossimi anni. Tra i diversi progetti di ricerca SESAR uno di quelli su cui da tempo si sta concentrando l’interesse degli stakeholder è il PJ.10-W2-73 FCA relativo al Flight Centric ATC, (FCA) noto inizialmente anche come sectorless ATM.

Il concetto alla base delle operazioni sectorless è, come dice la parola stessa, quella di eliminare la suddivisione dello spazio aereo in settori delimitati da precisi confini geografici. Usata fin dagli albori del controllo del traffico aereo in rotta, questa settorizzazione prevede che ogni settore sia affidato alla responsabilità di uno o più opera tori (spatial responsibility, figura in alto), con team abitualmente composti da un CTA executive (EXE) e un CTA planner (PLN). Il concetto sectorless pro pone invece una soluzione che vede ogni singolo CTA responsabile solo di un certo numero di aeromobili (normalmente 6-8, ma con possibilità di ar rivare al doppio in determinate circostanze) per la loro intera traiettoria di volo all’interno di una FIR o di uno specifico spazio aereo, non più quindi sud diviso in settori (aircraft-centered responsibility).

In pratica diversi CTA (nelle simulazioni svolte presso il centro di ricerca DLR a Braunschweig al

quale ha partecipato anche ANACNA si è arrivati a 10) saranno responsabili della gestione del traf fico loro assegnato all’interno di un unico spazio aereo condiviso. Implementazioni future del con cetto sectorless arrivano addirittura a prevedere che un CTA possa gestire un volo gate-to-gate.

SVILUPPO DEL PROGETTO

Il concetto di operazioni sectorless è stato intro dotto per la prima volta nel 2001 da alcuni ricer catori del Centro Sperimentale Eurocontrol di Bretigny allo scopo di gestire volumi più elevati di traffico in spazi aerei complessi senza compro mettere gli standard di sicurezza . Già allora era diventato chiaro che la tradizionale suddivisione degli spazi aerei in settori, ognuno gestito da un team di controllori (executive e planner), avrebbe raggiunto dei limiti incompatibili con il continuo incremento del traffico aereo e in futuro sarebbe stato necessario ridefinire i criteri delle operazioni ATC in rotta.

La soluzione proposta prevedeva la decentraliz zazione degli spazi aerei divisi in settori e la mi grazione verso un controllo dei voli trajectory based. Diverso anche il ruolo del CTA, visto come un real-time dynamic flow manager che avrebbe mantenuto un limitato numero di voli sotto il suo controllo dalla partenza fino all’arrivo e che avreb be potuto svolgere il suo servizio da qualsiasi località (location independency), persino presso la sede di una compagnia aerea. Dopo una serie di studi rimasti perlopiù a livel lo teorico, dove si era anche arrivati a proporre una diversa struttura di rotte a livello europeo ot timizzata per le operazioni sectorless , a partire

Di Adriano Covizzi

dal 2008 il progetto sectorless ATM, prende vita grazie all’interesse dimostrato dall’ANSP tedesco DFS e dal Centro Aerospaziale Tedesco DLR. Sem pre nello stesso anno iniziano le prime simulazio ni presso il centro di ricerca di DFS allo scopo di investigare la fattibilità del progetto.

Uno studio del 2009, presentato da DFS e DLR alla 28a Digital Avionics Systems Conference di Orlando specificherà in dettaglio le basi con cettuali del sectorless ATM. L’idea di partenza è semplice e al tempo stesso rivoluzionaria: il CTA non sarà più responsabile della gestione di tutto il traffico all’interno del proprio settore ma solo di uno specifico numero di aeromobili nel loro intero percorso attraverso un determinato spazio aereo, definito Flight Centric Airspace , non più frammentato in settori (ad esempio una FIR o addirittura l’intero spazio aereo di una nazione) . Quando un aeromobile entra nello spazio aereo sectorless viene assegnato al primo controllore disponibile che lo gestirà e ne man terrà la responsabilità fino al punto di uscita del suddetto spazio aereo. L’assegnazione del traffico ai controllori è gestita, secondo specifiche regole, da un Assignment Center o da un operatore uma no, definito Allocator. Il compito primario del CTA resterà invariato: prevenire le collisioni con altri aeromobili.

Il succitato studio aveva a suo tempo già delineato i principali benefici del nuovo sistema: un ottimale bilanciamento dei carichi di lavoro, in quanto tut ti i CTA operanti nello spazio sectorless avrebbe ro normalmente in contatto un numero di aeromobili calcolato, dall’Assignment Center, in modo da garantire a ciascuno lo stesso workload o taskload; un aumento della capacità dello spazio aereo non più limitata dalla capacità di settore; un’ottimale gestione delle situazioni di contin gency dove i CTA prenderebbero in carico traffici di centri di controllo limitrofi; riduzione del nu mero di comunicazioni T/B/T e minore necessità di coordinamenti; ambiente ottimale per l’im plementazione di nuove tecnologie e procedure operative, come ad esempio le business trajecto ry, in quanto il CTA ha l’immagine mentale dell’in tero percorso dei voli che ha sotto il suo controllo; sparizione dei vincoli dello spazio aereo (settori, aerovie) e utilizzo di traiettorie dirette. Un ulteriore beneficio era stato individuato nel più stretto rapporto che si instaura tra il CTA e l’equipaggio

del volo che sarà mantenuto sotto la sua diretta gestione, per un tempo molto superiore a quanto avviene ora con la tradizionale gestione ATC: non a caso il CTA veniva visto come un ulteriore (tem poraneo) membro dell’equipaggio incaricato del la gestione dei conflitti di traffico lungo la rotta. Per rendere fattibile un simile cambiamento venivano previsti nuovi strumenti a supporto del CTA, come ad esempio sistemi avanzati di indi viduazione e risoluzione di conflitti (CD&R), oltre a nuovi ruoli, regole e responsabilità, quali quelle per individuare il controllore responsabile della risoluzione di un eventuale conflitto di traffico. Nuova anche l’interfaccia uomo-macchina (HMI): la workstation del controllore (CWP) non prevede va più la presentazione situazionale basata sullo schermo radar con l’area geografica del settore di competenza, ma uno schermo suddiviso in sei diverse aree chiamate tiles (supponendo un mas simo di 6 aeromobili gestibili da ogni CTA) ognu na centrata su uno degli aeromobili in carico. Da qui la definizione di Flight Centric ATC per questo tipo di gestione del traffico aereo, che ha sosti tuito il precedente termine Sectorless ATM usato inizialmente.

Risulterebbe tuttavia, da informazioni risalenti alla primavera 2020, che la presentazione situazionale centrata sugli aeromobili non venga più supportata a causa di problemi tecnici, e per tanto i CTA nelle operazioni sectorless lavoreran no con schermi radar tradizionali sui quali verrà presentato solo il traffico loro assegnato, filtran do ogni altro traffico presente nello spazio aereo, ad eccezione dei traffici in conflitto sotto la re sponsabilità di altri CTA, e di eventuali traffici di potenziale interesse.

Nel 2016 l’ANSP ungherese HungaroControl diventa partner del progetto di ricerca SESAR Flight Centric ATC esplorando, con DLR e Fre quentis, il concetto FCA nello spazio aereo ungherese sopra FL 325, e conducendo poi, a gennaio 2019 a Budapest, la prima campagna su larga sca la di fattibilità e validazione operativa. In questi anni si sono inoltre svolte diverse cam pagne di simulazione su diversi prototipi di piat taforme, sia fast-time che real-time, tra le quali vale la pena segnalare quelle relative ai seguenti spazi aerei:

• Budapest ACC, tra FL 325 e FL 660, a cura di Hun garoControl, Frequentis e DLR

• Madrid ACC, da GND a UNL (con l’esclusione de gli aeroporti e della TMA di Madrid) a cura di Indra e ENAIRE

• Brema ACC, nei settori Eide, Aller, Hamburg West e Hamburg East tra FL 105 e FL 245, a cura di DFS

• Praga ACC, a tutti i livelli, a cura di Eurocontrol e Air Navigation Service Czech Republic.

Pur essendo state valutate e validate in diverse tipologie di spazi aerei, e a diversi livelli di volo, si prevede che le prime future implementazioni delle operazioni Flight Centric ATC (inizialmente previste per il 2020-21, ma rallentate anche a causa della pandemia) possano al momento av venire solo negli spazi aerei superiori. A breve presso l’UAC di Karlsruhe è in programma la prima introduzione sperimentale di operazio ni sectorless in uno spazio aereo che raggruppa due dei 5 settori che formano il gruppo EBG East (il quale occupa la maggior parte di spazio aereo dell’UAC di Karlsruhe) da FL 385+ allo scopo di limitare le problematiche, non ancora completa mente risolte, legate ai movimenti verticali degli aeromobili. Programmi futuri, dal 2024, preve dono l’estensione delle operazioni sectorless ai Top Sectors (FL375+) dell’intera UIR .

Allo stato attuale di avanzamento del progetto gli spazi aerei ideali per le prime potenziali imple mentazioni sono quelli nei quali le comunicazioni possono avvenire entro la portata di una singo la antenna VHF, in attesa del completo sviluppo dei sistemi Wide Area Communication, come ad esempio quelli di Ungheria, Slovacchia, Repub blica Ceca, Austria e di altre nazioni con analo ga o inferiore estensione territoriale. Per quanto riguarda gli ACC italiani i candidati ideali sareb bero gli ACC di Milano e Padova, dalla ridotta estensione territoriale e dagli elevati volumi di

dell’UAC di Maastricht o WUR dell’UAC di Karlsruhe che hanno da tempo raggiunto la saturazione e che attualmente risulta impossibile dividere in ulteriori settori più piccoli in quanto l’aumen tato numero di coordinamenti e comunicazioni che ne deriverebbe annullerebbe il minimo incre mento di capacità. Aumento della produttività dei CTA Si è dimostrato nel corso delle diverse campagne di simulazione che con le operazioni FCA anche la produttività dei controllori può aumentare fino ad oltre il 100%. Il concetto sectorless prevede infatti single man operations senza più la presenza del CTA Planner, sostituito da uno o più Multi Sector Planner. Per questo tipo di at tività, dove lo spazio aereo non è più suddiviso in settori, il Planner prende il nome di Extended ATC Planner (EAP) e avrà diversi ruoli e responsa bilità. In un ambiente Flight Centric ATC dove operano 10 CTA EXE potrebbe essere addirittu ra sufficiente un unico EAP, arrivando virtual mente a dimezzare il numero di CTA a parità di volumi di traffico gestito . In termini di gestione delle risorse diventerà quindi più semplice l’im piego dei CTA, in quanto le operazioni FCA non richiedono abilitazioni per ogni singolo settore o gruppo di settori (e la conoscenza della geografia e delle peculiarità operative di ogni spazio aereo); sarà sufficiente un’unica abilitazione valida per l’intera FIR, con evidenti vantaggi in termini di addestramento, mantenimento delle qualifiche e interscambiabilità del personale. Vantaggi per gli Airspace Users (AU) Il traffico sarà in contatto con un solo CTA per l’in tero attraversamento di uno spazio aereo (e in fu turo con ogni probabilità per l’intera durata del volo). Grazie a ciò il servizio sarà più personalizza traffico.

BENEFICI ATTESI

Incremento capacità dello spazio aereo

Grazie alle operazioni Flight Centric ATC si riuscirà ad ot tenere un significativo incre mento (fino al 100%) della ca pacità di un dato spazio aereo. Questo sarà determinante in al cuni spazi aerei congestionati, come ad esempio i settori LUXIE

to, senza più nessuna necessità di cambiare fre quenza per ogni settore attraversato. Negli ACC più piccoli o in quelli con i settori congestionati spesso un traffico rimane in contatto con i diversi settori per non più di 3-4 minuti ciascuno (sovrac carico di comunicazioni, rischio selezione di fre quenze errate, necessità di coordinamenti). In più le comunicazioni si avvarranno di nuove tecnolo gie digitali, come ad esempio il voice over inter net protocol (VoIP) o le trasmissioni via satellite. Ottimizzazione dei carichi di lavoro

Le operazioni Flight Centric ATC permettono di bilanciare equamente il carico di lavoro tra i di versi CTA. Non si avranno più settori in sovraccarico e altri con pochi aerei in contatto, ma ognuno dei CTA gestirà lo stesso numero di aeromobili. oppure avrà un carico di lavoro analogo a quello degli altri colleghi operanti nello spazio FCA. Allo scopo sono stati studiati diversi criteri per l’assegnazione del traffico ai vari CTA. Il più semplice ed immediato è quello di attribuire un aeromobile ad ogni CTA operante nello spazio aereo Flight Centric, ripetendo il ciclo per i successivi aeromo bili secondo il criterio di allocazione denominato round-robin . Altri sistemi di assegnazione si ba sano ad esempio sui flussi prevalenti di traffico, sulle direzioni di volo, sulle aree geografiche di provenienza, sui carichi di lavoro previsti (il sistema valuta il carico di lavoro futuro previsto per ogni CTA assegnando poi un traffico all’operatore con il più basso workload previsto). L’allocazione degli aeromobili ai diversi CTA può essere decisa automaticamente dal sistema oppure dall’Alloca tor o da un supervisore in base al suo giudizio sulla complessità dello scenario. Allo stesso modo, in caso di traffici in conflitto assegnati a CTA diversi, può essere individuato il CTA che avrà la responsabilità di risolvere il conflitto . Benefici futuri

I benefici futuri non riguardano solamente l’as petto puramente operativo ma anche il poten ziale futuro business della fornitura dei servizi del traffico aereo. Ora gli ANSP sono monopolisti, ma in futuro si prevede che si potrà avere la de -

regolamentazione anche in questo settore, e il Flight Centric ATC permetterà la deframmen tazione della fornitura del servizio e l’allocazione dinamica delle risorse .

Simulazioni maggio-giugno 2022

Lo stato attuale di avanzamento del progetto Flight Centric ATC, giunto alla fase di maturità V2 (e si prevede potrà arrivare alla V3 nel corso del prossimo anno), è stato presentato al pubblico e agli stakeholders durante l’open day tenutosi il 3 giugno 2022, al termine della campagna di vali dazione e delle attività di simulazione real-time svoltesi nei giorni precedenti presso il centro di ricerca DLR a Braunschweig. Tra le altre cose du rante l’Open Day gli stakeholders hanno avuto l’opportunità di incontrare i CTA partecipanti e conoscere le loro opinioni.

Alle di simulazioni hanno preso parte 15 CTA di 6 diverse nazioni, la maggior parte dei quali con consolidata esperienza operativa presso ACC: Po lonia (6), Italia (3), Lituania (2), Ucraina (2), Spagna (1) e Germania (1). Per l’Italia vi hanno preso parte un CTA di Milano ACC, uno di Padova ACC e uno di Bari TWR. Lo scenario utilizzato era lo spazio aereo ungherese sopra FL 325 (HungaroControl è uno dei partner principali del progetto), all’interno del quale operavano 10 CTA in altrettante workstation dotate di sofisticati tool di analisi del traffico e rilevamento di conflitti. Le operazioni sono state supportate dal sistema di comunicazione di ultima generazione X10 di Frequentis (altro partner chiave del progetto) per le comunicazioni terra/aria e terra/terra così da validare il concetto di wide area communication. Altri 5 CTA operavano simulando i normali settori degli enti limitrofi per l’interscambio di traffico con l’area FCA. Scopo delle simulazioni era di validare le capacità operative del concetto FCA in scenari rappre

“In alcuni spazi aerei estremamente congestionatirisultaimpossibiledividere lospazioaereoinsettoripiùpiccoli.”

sentanti situazioni di traffico normali, anormali e degradate. A tal fine sono stati eseguiti 9 diver si scenari, alcuni con elevati volumi di traffico e altri con maltempo, discese di emergenza, avaria alle comunicazioni e guasto del sistema di rileva mento dei conflitti. L’ambiente operativo preve deva 10 posizioni EXE Flight Centric ATC senza alcuna posizione PLN: non ci si dimentichi che uno degli scopi di questo sistema di gestione del traffico è quello di ottenere una significativa riduzione di personale a parità di quantità di traffico gestite. A disposizione dei CTA diversi tool avanzati il cui utilizzo è imprescindibile du rante le operazioni Flight Centric ATC. Senza aver la pretesa di fornire una descrizione esaustiva di tutte le funzionalità disponibili, cosa inutile ai fini della presente trattazione e che peraltro potrebbe rivelare particolari ancora coperti da segreto industriale, vale comunque la pena descrivere i princi pali tool. Un primo e fondamentale strumento è la funzione di analisi e valutazione ( probing ) degli effetti delle istruzioni da impartire al traffico. Un esempio è riportato nella foto a lato, dove si può vedere la funzionalità offerta per la scelta del livello da assegnare ad un traffico: in bianco i livelli disponibili, in arancione quelli assegnabili in maniera condizionata ed in rosso quelli proibiti, con in più l’opzione di evidenziare, a lato del livello inibito, il nominati vo e la posizione degli aeromobili in conflitto per una migliore analisi e pianificazione. Oltre che sul piano verticale, selezionando dalla macro label le voci specifiche, la funzione di probing è possibile anche sul piano orizzontale, con di verse opzioni disponibili: per valutare quando in stradare il traffico verso determinati punti futu ri della sua rotta (in bianco i punti utilizzabili, in rosso quelli proibiti perché creerebbero conflitti con altro traffico), per assegnare una prua in caso di vettoramento (vengono evidenziate, ad incre menti di 5 gradi, le variazioni consentite, sia ver so destra che verso sinistra, oppure la congruità di una specifica prua), per gestire la velocità (con le indicazioni di quali velocità, incrementate o di minuite, si possono assegnare). Fondamentale sottolineare che tutte le modalità di probing sono dinamiche: le opzioni disponibili vengono aggior nate in tempo reale in funzione delle posizioni relative degli aeromobili e tenendo in considerazione ogni azione nel frattempo intrapresa dai

vari CTA: un livello non assegnabile potrebbe, ad esempio, diventare disponibile dopo qualche decina di secondi, una volta che il sistema ha rile vato la risoluzione di un potenziale conflitto. Di vitale importanza, in ambiente sectorless è lo strumento di rilevamento e risoluzione dei con flitti (CD&R) in combinazione con l’algoritmo di volo meno impattato (LIFA, less impacted flight algorithm ). In caso di conflitto, lo strumento CD&R rileva potenziali conflitti tra due o più aeromobili con un tempo di previsione di 20 minuti. Sulla base di regole di priorità, lo strumento LIFA determina quale delle parti in conflitto è tenuta a intraprendere un’azione evasiva per ogni conflit to. Il controllore senza l’aeromobile con diritto di precedenza riceve dal sistema opportuni suggerimenti per la risoluzione dei conflitti. Oltre a questi strumenti di Medium Term Conflict Detection (MTCD) che supportano il controllore, soprattut to in situazioni di traffico complesse, risolvendo un conflitto senza crearne uno nuovo entro i suc cessivi 15 minuti, vi è un efficace sistema di Short Term Conflict Alert (STCA) che all’attivazione for nisce al CTA un’immediata indicazione grafica della traiettoria di scampo da far seguire ai traf fici coinvolti, associata ad eventuali indicazioni di salita o discesa. Un altro strumento essenziale per controllare il traffico aereo modalità Flight Cen tric ATC è l’algoritmo di filtraggio, il quale filtra tutti gli aeromobili non rilevanti per il controllore al fine di garantire chiarezza in ogni momento.

“Saràinevitabileripensareiprofilidire sponsabilitàdelCTAincasodiavarie.”

ci in conflitto con i propri (label interamente bianca con indica zione del CTA che ha in carico tale traffico, informazione utile qualora si presentasse la neces sità di azioni di coordinamento). Ogni altro traffico viene filtrato e completamente eliminato dal la presentazione situazionale, e può essere visualizzato solo togliendo la filtratura; soltan to in questo modo si riesce ad avere una visione complessiva del traffico in atto e ci si può ac corgere che lo spazio aereo che sullo schermo di ogni CTA ap pare semivuoto è in realtà occu pato molti di aeromobili. Assistenza Al Volo - ANNO XLVII - NUMERO 3/2022

Workload

Le recenti attività di simulazione hanno permes so ad un gruppo di CTA di sperimentare in pri ma persona i vantaggi (e le criticità) del sistema Flight Centric ATC.

Una prima considerazione riguarda la gestione dello spazio aereo FCA: CTA provenienti da diver si ANSP europei, dopo un solo giorno di familiarizzazione con le numerose e sofisticate funzioni della workstation, hanno gestito lo spazio aereo ungherese sopra FL 325 senza particolari difficoltà e senza necessità di conoscere in maniera appro fondita la geografia o le peculiarità del suddetto spazio aereo, peraltro primo spazio aereo europeo ad introdurre le operazioni free routing . Pur con le limitazioni e le inevitabili semplificazioni operative di un’attività di simulazione, appare comun que confermata la maggiore semplicità della gestione Flight Centric ATC : un CTA di media es perienza potrebbe operare con traffico reale con un addestramento minimo, e con un’abilitazione che potrebbe comprendere l’intera FIR, senza ne cessità, come ora, di lunghe sessioni addestrative in ogni singolo settore.

In condizioni operative normali il workload è bas so: generalmente gli aerei in contatto sono tra i 6 e gli 8 per ogni singolo CTA e la gestione del traffico è estremamente fluida e in taluni casi perfino noiosa , in quanto sullo schermo viene presentato solamente il traffico in contatto (label blu) o che lo sarà a breve (label blu con riga del call sign bianca), ed eventualmente altri traffi

In alcuni scenari ad alto traffico il numero di aerei in contatto veniva raddoppiato rispetto ai 6-8 nor malmente previsti, ma anche in queste situazioni la gestione è stata molto più agevole rispetto a quella tradizionale. Il numero di movimenti verti cali degli aeromobili, con salite e discese, era relati vamente basso e la funzione di probing consentiva un’agevole valutazione dei nuovi livelli di volo da assegnare. Utile sarebbe investigare se numerose salite o discese contemporanee possono es sere gestite in modo affidabile e sicuro. Per traffi ci inseriti nella simulazione e aventi destinazione gli aeroporti di Ungheria, Romania o Austria (prin cipalmente Vienna) la traiettoria di volo riportata indicava chiaramente il punto ottimale di inizio discesa (Continuos Descend Operations), calcola to in base al traffico in atto. Negli scenari in cui venivano proposte situazioni di maltempo con i traffici costretti ad azioni di evitamento non si sono avute difficoltà di gestione, in quanto il sistema riusciva a calcolare in tempo reale le interazioni tra le nuove traiettorie degli aeromobili e ad offrire proposte di risoluzione adattate alle nuove dinamiche di traffico. Il workload aumentava, ma sempre in misura inferiore a quello che si avrebbe con una gestione ATC che prevede la tradizionale divisione in settori; il CTA (che come già riportato opera in single man operation) aveva tempo a disposizione per even tuali coordinamenti.

Negli scenari di avaria dei sistemi CD&R (stru menti fondamentali e imprescindibili nell’ambiente FCA) il workload aumentava considerevol mente, con la frequente necessità di eliminare i filtri per visualizzare il traffico in atto nell’intero spazio aereo Flight Centric ATC, ovvero le label di un centinaio di aeromobili. In questa situazione degradata era obiettivamente difficoltoso dis criminare il traffico soggetto a potenziali conflit ti e la gestione operativa diveniva estremamente complessa e incerta stante la necessità di dover riacquisire in tempi relativamente brevi la com pleta situational awareness che nelle operazioni Flight Centric ATC viene ampiamente condivisa con la macchina. In queste condizioni il workload e la fatica sono stati molto superiori rispetto alle operazioni ATC tradizionali e l’impressione è che i margini di sicurezza siano estremamente ridotti. Non è stato previsto nelle simulazioni lo scenar io peggiore, quello di avaria totale del sistema ol

tre che degli strumenti CD&R. Fondamentale da parte degli esperti investigare anche su questo aspetto, soprattutto se associato ad ulteriori sce nari di maltempo e di alto traffico in atto. Occorre prevedere adeguati ausili di back-up in grado di ripristinare livelli di sicurezza adeguati, comun que non inferiori a quelli attuali, in tempi brevi. Situational awareness

Come già ampiamente spiegato, in ambiente Flight Centric ATC il CTA vede sul proprio scher mo solo un ridotto numero di aeromobili (mediamente 6-8, il doppio in particolari situazioni di elevato traffico) mentre quasi tutto l’altro traffico presente nello spazio aereo viene eliminato (oltre al proprio è visualizzato solo eventuale traffico in conflitto in contatto con altri CTA e qualche traf fico di potenziale interesse). Ciò inevitabilmente influisce sulla situational awareness. Nelle simulazioni che si sono svolte in questi anni la critica unanime di tutti i CTA era rivolta pro prio alla situational awareness delle operazioni Flight Centric ATC , estremamente ridotta se non, in certe circostanze, addirittura inesistente. Le stesse considerazioni sono state espresse dai CTA partecipanti all’ultima campagna di validazione, durante l’open day conclusivo. È a questo punto fondamentale sottolineare che la progettazione di operazioni FCA prevede inevitabilmente un approccio diverso alla situational awareness rispetto a quanto avviene nella nor male gestione operativa di un settore da parte di un team di CTA. Gli operatori all’interno del pro prio settore hanno infatti (o dovrebbero avere) la totale consapevolezza situazionale di tutto ciò che sta avvenendo. Il Flight Centric ATC è invece progettato per dare al CTA la situational aware ness del solo traffico sotto il suo diretto control lo, o che lo sarà a breve, che è anche l’unico che viene normalmente visualizzato sullo schermo ra dar, e di eventuali traffici in conflitto. Ogni altro traffico di non immediato interesse del CTA viene eliminato dall’algoritmo di filtraggio. In questo caso sarebbe forse utile introdurre nella letteratura tecnica il termine più corretto di limited awareness o quello ancora più appropriato di Flight Centric ATC Awareness per sottolineare che, quando questo tipo di gestione sarà im plementata su larga scala, la visione del traffico da parte del CTA sarà solo parziale, centrata solamente sui singoli voli in contatto (da cui il

termine Flight Centric ATC) e condivisa con una “macchina”. Non a caso nelle intenzioni iniziali dei progettisti la presentazione situazionale sulla CWP prevedeva la presenza di 6 finestre, ognuna delle quali centrata su uno dei 6 voli previsti dover essere in contatto con ogni singolo CTA . È eviden te che in questo caso il CTA, pur rimanendo l’elemento chiave nella fornitura del servizio ATC, è costretto a fidarsi completamente dell’interfaccia tecnologica e dei tool da questa offerta, in partico lare degli strumenti di CD&R, allo stesso modo in cui un pilota in IFR/IMC, non potendo disporre di ausili e riferimenti visivi all’esterno, per la condot ta dell’aeromobile deve affidarsi alle informazioni provenienti dagli strumenti. Con questi presupposti sarà inevitabile ripen sare i profili di responsabilità del CTA, soprattutto in nazioni, tra le quali l’Italia e la Svizze ra, nelle quali la Just Culture non trova ancora completa applicazione. Occorre implementare nuove forme di tutela in caso in inconvenienti gra vi imputabili a malfunzionamenti dell’infrastrut tura tecnologica. Si dovrà inevitabilmente tener conto di eventuali bug di sistema che potranno venire scoperti solamente dopo un adeguato periodo operativo. Non va ad esempio scordato quan to accaduto al Boeing 737 Max, entrato in servizio nel 2017 e vittima poco dopo di due gravi incidenti dovuti ad un errore di progettazione del sistema automatico di controllo del volo. Si è stati costretti alla messa a terra di tutti i velivoli per due anni, alla completa riprogettazione dei sistemi coinvolti e ad una nuova certificazione del velivolo.

CONCLUSIONI

I limiti infrastrutturali e le carenze tecnologiche nella gestione del traffico aereo europeo sono

da tempo ampiamente evidenti e ritardi e dis servizi dovuti alla saturazione dello spazio aereo sono e saranno in futuro sempre più frequenti. Lo scopo di questo lavoro è stato quello di pre sentare le peculiarità del Flight Centric ATC, in novativa e rivoluzionaria modalità di gestione del traffico aereo, descrivendo le fasi più importanti del lungo, e ancora in corso, sviluppo di questo progetto, proponendo, per il dovuto approfondi mento, adeguati riferimenti alla letteratura tecni ca disponibile, unitamente a spunti di riflessione e a considerazioni di carattere operativo maturate prendendo parte alle recenti attività di validazione che, come tali, rappresentano l’esclusivo parere personale dell’autore. Il progetto Flight Centric ATC costituisce però solo un tassello di un grande mosaico, costituito dai numerosi progetti del Single European Sky. Questi, nell’arco dei prossimi 10-15 anni, rivoluzioneranno in maniera radicale le modalità e i sistemi di fornitura dei servizi del traffico aereo, e i principali beneficiari saranno i controllori della nuova generazione, i quali inevitabilmente si tro veranno di fronte a metodi operativi e ad inno vazioni tecnologiche sconosciute ai colleghi della “vecchia scuola” che li hanno preceduti. Prima di arrivare ad una diffusa implementazione a livello europeo, prevista tra il 2030 e il 2035 , sarà però necessario porre rimedio alle numerose cri ticità evidenziate nel corso delle attività sperimen tali, che rischiano di compromettere gli evidenti benefici offerti dalla nuova tecnologia. Questo allo scopo di introdurre una modalità di gestione del traffico aereo adeguata alle future esigenze e al tempo stesso in grado di garantire standard di sicurezza uguali o superiori a quelli attuali.

SKILL UP

Skilling, Reskilling, Upskilling

Il complesso dei servizi della navigazione aerea ha la capacità di gestire i flussi di traffico che quotidiana mente attraversano i cieli di tutto il mondo, in ragione di una complessità operativa che fa da contral tare allo sviluppo sociale ed economico delle aree geografiche considerate.

Per l’estrema complessità che lo caratterizza, questo settore sociotecnico è fortemente soggetto a modi fiche operative, amministrative, burocratiche, orga nizzative e funzionali. La mutevolezza del lavoro è ordinaria amministrazione.

Questo perché il controllo del traffico aereo, nel mondo in generale e più precipuamente in Europa per quanto ci riguarda, fa parte di quella categoria di sistemi sociotecnici complessi che stanno trainando il passaggio della civiltà umana dal secondo al terzo millennio. È infatti pacifico ammettere come un mondo che viaggia è chiaramente un mondo in grado di gestire le variabilità umane e sociali che storicamente hanno sempre caratterizzato la civiltà umana.

A ragione di tutto questo, l’attuale gestione del traf fico aereo si sta approcciando ad un’ulteriore tras formazione epocale, quella caratterizzata da una sempre maggiore automazione e digitalizzazione dell’attività lavorativa a sostegno dell’incessante do manda di traffico.

I nuovi totem sono divenuti pertanto la scalabilità in funzione delle necessità e delle disponibilità, l’ot timizzazione delle risorse economiche, lo snellimen to delle procedure operative.

Ritenendo come questi target possano essere perseguiti attraverso un sempre più impellente ri corso alle capacità non-tecniche dell’individuo, il rapporto tra uomo e macchina, in ragione di una performance non più analizzabile in maniera lineare

attraverso lo studio dei singoli costituenti, deve es sere allora rivisto alla luce del picco gaussiano a cui sono giunte le capacità cognitive umane da un lato e lo sviluppo attuale dell’automazione e dell’intelli genza artificiale dall’altro. La figura del controllore del traffico aereo si identifi ca quindi con l’uomo aumentato, fattore del rappor to biunivoco tra egli e la macchina. Il progetto Skill up, finanziato dall’Unione Europea, si inserisce sulla falsariga di queste considerazioni. I razionali che lo giustificano risiedono innanzitut to nell’identificazione delle maggiori trasformazioni tecnologiche a cui andrà incontro il settore dell’avi azione.

Da ciò il tratteggio degli scenari operativi più proba bili, all’interno dei quali ricade la previsione di quel lo che saranno le future capacità che gli operatori dovranno avere, ovvero mutare o migliorare in rap porto alla domanda avanzata dai fruitori dei servizi. Segue poi lo sviluppo di programmi di addestra mento, iniziali e continui, che ricadono nella logica propria del VET, Vocational Education and Training. Si identificano allora le abilità non-tecniche neces sarie ai controllori del traffico aereo novizi ed esperti per gestire la montante complessità della variabilità della performance associata agli sviluppi contem poranei del settore dell’aviazione.

Di Gianluca del Pinto

“Nelcontrollodeltrafficoaereolamute volezzadellavoroècontinua.Siassiste quotidianamente a modifiche operative, amministrative, burocratiche, organiz zativeefunzionali.”

Il progetto vede la partecipazione di ANACNA grazie alla partnership sviluppata con Deepblue, società di ricerca e sviluppo con sede a Roma. Il 28 e 29 settembre scorsi l’Associazione insieme a Deepblue e grazie alla collaborazione di ENAV ha realizzato due giornate formative inerenti alla ricer ca delle nuove skills necessarie ai CTA per operare in contesti ad alta implementazione tecnologica. Il primo giorno colleghi di vari aeroporti e ACC italiani hanno visitato la nuova torre di controllo di Brindisi. Il secondo giorno si è effettuata l’analisi dei contesti operativi relativi per l’individuazione delle succitate skills. I risultati entreranno a far parte dei futuri syl labi dei corsi ab initio che l’Europa implementerà in maniera regolamentare e che poi saranno manda tory per i singoli ANSP nazionali.

Le risposte che i colleghi cercheranno saranno rela tive alle seguenti domande: Qual è allora il ruolo dell’operatore all’interno di un sistema non soltanto progressivamente più sofisti cato ma anche progressivamente più autonomo? Quali le competenze non-tecniche, da ricercare, al lenare, utilizzare?

“Icontrolloriesperti,sarannointeressati daprocessidiupskilling,conloscopodi svilupparenuovecompetenzeall’interno dellastessaspecializzazioneoperativa.”

vise dei sistemi, malfunzionamento dei dispositivi. Ciò in relazione a carichi di lavoro che giornalmente eccedono i precedenti, con poche flessioni stagionali e basi volumetriche di traffico costantemente in aumento.

Tale scenario condiviso sia dai novizi, coloro che probabilmente più facilmente riterranno le norma li operazioni tali a prescindere da paragoni, che da coloro dentro il sistema da più tempo.

Questi ultimi, gli esperti, saranno interessati da pro cessi di upskilling, con lo scopo di sviluppare nuove competenze all’interno della stessa tipologia di spe cializzazione operativa. Tale sarà il processo che de terminerà l’aggiornamento sia delle competenze tecniche che non-tecniche. Nuove conoscenze digi tali per il contenimento della variabilità della perfor mance operativa e innovativi approcci cognitivi ed emotivi ai rapporti con i colleghi. Esempio può essere la figura dell’OJTI, on the job training instructor. L’istruttore esperto che dovrà confrontarsi con l’utilizzo di nuovi sistemi informati ci, aggiornando le proprie competenze e adattando i giudizi alle capacità degli studenti e alle richieste del sistema.

Le attività allora da sviluppare saranno relative a tre aspetti propri dell’istruzione: skilling, reskilling, up skilling.

La montante marea digitale porta lo skilling iniziale a strutturarsi in maniera più compiuta. Se in un passato non remoto si potevano acquisire le cono-

Il reskilling ha lo scopo di sviluppare nuove abilità, conoscenze, capacità in grado di permettere all’operatore di mutare il ruolo sinora ricoperto. Un percor so di riqualificazione in grado di valorizzare le risorse interne al fornitore dei servizi della navigazione aerea; un processo win-to-win, che assicura cresci ta professionale, ottimizzazione delle risorse umane, scalabilità dei processi produttivi. Esempio può essere il controllore del traffico aereo che inizia ad operare in una torre di controllo remo ta, dopo avere per anni lavorato nel classico scenario aeroportuale. scenze necessarie all’espleta mento dei compiti propri del con trollo operando in linea operativa sin da subito affiancati da per sonale esperto, oggi occorre sin dai prodromi selettivi individuare capacità tali da far ritenere il futu ro operatore in grado di gestire al meglio molti aspetti oramai con naturati al sistema: limiti tempo rali, quantità notevoli di vincoli operativi, indisponibilità improv

HAIKU Human AI teaming Knowledge and Understanding for aviation safety

Di Gianluca Del Pinto

Il progetto HAIKU, Human AI teaming Knowedge and Understanding for aviation safety, sviluppa prototipi di intelligenza artificiale per differenti seg menti nel campo dell’aviazione: pilotaggio, pilotag gio remoto, controllo del traffico aereo in ambiente di torre remota. L’IA sta già ampiamente impattan do il mondo dell’aviazione per quanto riguarda il machine learning, ma ancora non è pienamente entrata nelle sale operative dell’ATC. Questo avverrà nel medio periodo con un primo orizzonte tempora le previsto per il 2030.

Al 2030 infatti saranno operativi agenti artificiali in grado di supportare il CTA nelle operazioni cosid dette time-pressures, ovvero quelle in cui i livelli di safety sono al momento garantiti dal fattore umano. Essendo quindi essenziale rivedere prerogative, pro cedure, compiti e responsabilità dei CTA le principali domande del progetto sono:

• Quale deve essere il livello di relazione racco mandato e preferibile tra l’operatore e l’IA? Ovvero, quale deve essere lo scopo dell’IA e quali i benefici attesi per le operazioni ATC?

• L’IA dovrà essere spiegabile? Ovvero il CTA dovrà capire perché è stata fornita una certa interpre tazione o dovrà prendere per oro colato la decisione di far eseguire un mancato avvicinamento?

• Si ritiene necessario permettere agli operatori di partecipare agli sviluppi dell’IA così che si possano riportare feedback in fase di progettazione ricor siva?

• Sarà utile che l’intelligenza artificiale possa es sere personalizzabile per il singolo operatore così che ognuno abbia un IA che segua lo stile operati vo del CTA?

Il progetto tenta di dare risposte alle succitate do mande settorizzando gli sviluppi attesi. In primis si ritiene necessario utilizzare l’approccio HITL, Human In The Loop, così che sin dalle fasi proget tuali si tengano in debito conto le esigenze dei CTA. Poi si realizzeranno case studies, così da calare nella realtà operativa le considerazioni progettuali teoriz zate. Come terza fase, si relativizzeranno le prime conclusioni alla safety e alla legislazione in materia. Infine, si sottolineeranno le implicazioni legali, so ciali e di wellbeing dell’operatore.

Quindi, a cosa può servire un IA?

• A monitorare le velocità degli avvicinamenti così che si possano sempre avere le miglia necessarie per l’inserimento delle partenze?

• Nel caso si palesino le condizioni per un man cato avvicinamento, il CTA avrà l’ultima parola in merito alla decisione o sarà l’AI a comandare la sua esecuzione?

• Chi emenderà il mancato per quote?

• L’IA dovrà partecipare alla fase del passaggio di consegne?

ANACNA partecipa al progetto all’interno dell’Ad visor board. L’associazione sarà interessata nei processi inerenti all’individuazione delle principali interconnessioni uomo-IA all’interno delle sale operative, in special modo quelle delle torri di con trollo remotizzate.

“L’IA, per quanto riguarda il machine learning,stagiàampiamenteimpattan doilmondodell’aviazione.”

EUROCONTROL COMPREHENSIVE ASSESSMENT

European Aviation

Headlines

30,293 daily flights on average over past week (decrease of 1% on previous week); 87% of 2019 levels.  Network traffic (flights) is below the base EUROCONTROL Traffic Scenario: 87% for 1-14 September (vs 2019).

On a year-to-date basis, 2022 reached 82% of 2019 levels.  With the back-to-school period start, north-to-south European flows are now levelling off (Greece, Spain, Türkiye, Italy), on a week-on-week basis.  Ryanair was the busiest aircraft operator last week with 2,989 flights per day on average (+15% vs 2019), followed by easyJet (1,632; -14% vs 2019), Turkish Airlines (1,463; -3% vs 2019), Lufthansa (1,176; -27% vs 2019), Air France (1,078; -16% vs 2019), Wizz Air (823; +22% vs 2019) and KLM (774; -19% vs 2019).  Intra regional/Domestic traffic vs 2019: Europe is still below (-11%), USA ( 15%), China ( 57%) and Middle East ( 5%).  Two European airports (Amsterdam and Paris CDG) are in the Top 10 Global airports.  Arrival punctuality (within 15 minutes) is close to 67% while departure punctuality is just below 60%.  In recent days, ATFM delays were above 2019, mostly caused by Weather.  Jet fuel prices decreased to 339 cts/gallon on 9 September ( 11% over two weeks, +45% since early January).

OVERALL TRAFFIC SITUATION AT NETWORK LEVEL

On week 8 Sep – 14 Sep: 30,293 average daily flights. -1% on previous week. 87% of 2019 traffic levels. Stabilisation, since early July 2022, to just above 30,000 flights per day in the network.

CURRENT SITUATION COMPARED TO THE LATEST EUROCONTROL TRAFFIC SCENARIOS

The last EUROCONTROL

Traffic scenarios have been published on 6 April 2022. Since the beginning of September, network traffic (flights) is at 87% of 2019 levels, below the base scenario.

On a year to date basis, network traffic in 2022 stands at 82% of 2019.

AVIATION SUSTAINABILITY

MARKET SEGMENTS

Mid-September

2022, compared to 2019: Two segments are above 2019 levels: Business Aviation (+19%) and All-cargo (+2%).

Low-Cost (-8%) recorded a continuous increase at the beginning of 2022 but are now stable. Mainline (-21%) and Regional (-24%) have been recovering since the beginning of 2022 but are now stable since July (vs 2019).

Note: a new Segment “Regional” has been created by selecting commercial flights operated by aircraft types between 19 and 120 seats.

AIRCRAFT OPERATORS (AVERAGE DAILY FLIGHTS FOR THE LAST WEEK)

Within the top 10, seven airlines posted decreases or stabilisation over the previous week, highest being:

Turkish Airlines (-54 flights; -4%) mainly owing to domestic flows in Türkiye and flows with UK and Germany.

KLM (-35 flights; -4%) mainly due to decreases on flows with Germany, UK and Switzerland.

easyJet (-26 flights; -2%) mainly due to decreases on flows Greece-Italy, France-UK, Greece-UK and France-Greece.

Also increases for:

Ryanair is the busiest Aircraft Operator with 2,989 flights per day on average over last week, followed by easyJet (1,632), Turkish Airlines (1,463), Lufthansa (1,176), Air France (1,078), WizzAir (823) and KLM (774).

The ranking remains unchanged compared to two weeks ago.

Lufthansa (+124 flights; +12%): an “artificial” increase on all flows due to the airline’s strike on 2 Sep.

SAS (+4 flights; +1%) notably owing to flows SpainSweden or Italy-Sweden.

AIRCRAFT OPERATORS (AVERAGE DAILY FLIGHTS FOR THE LAST WEEK)

Top 40

Largest decreases in flights vs previous week for Turkish Airlines (-4%), KLM Group (-4%), easyJet Group (-2%), Volotea (-9%), Royal Air Maroc (-13%) and Vueling (-2%).

AIRCRAFT MANUFACTURERS (SHARE OF FLIGHTS FOR THE LAST WEEK)

Flights of the top 20 Aircraft operators for the last week

At European level, 39% of all flights last week were operated by Airbus aircraft vs 32% by Boeing aircraft.

The situation varies for the top 20 aircraft operators. For these aircraft operators, Airbus share was 51% and Boeing share was 37%.

ORDERS AND DELIVERIES IN EUROPE

The European fleet has stabilised since the disruption due to COVID-19 outbreak and is now back up to 2018/2019 levels. In 2022, there have been 168 deliveries, with a further +/-140 expected.

OPERATORS

Cargo, Legacy, Low Cost and Regional Carriers

STATES (AVERAGE DAILY DEPARTURE/ARRIVAL FLIGHTS FOR THE LAST WEEK)

UK is the State with the highest number of dep/arr flights on average over last week (5,593) followed by Germany (5,041), Spain (5,024), France (4,344), Italy (4,012) and Türkiye (3,355). Ranks for Germany and Spain have been swapped compared to last week (mostly due to Lufthansa strike early September).

Within the top 10, seven States posted flight decreases over the previous week: Türkiye (-135 flights; -4%) mainly due to Turkish Airlines, Corendon and Pegasus. Notably on domestic flows, flows with Germany, UK and Austria. UK (-111 flights; -2%) mainly due to easyJet, British Airways and West Atlantic group. Flows with Spain, Greece, France and domestic flows.

Greece (-104 flights; -5%) mainly easyJet, light AOs and Volotea. Mainly flows with Italy, France and UK.

Spain (-61 flights; -1%) mainly due to Vueling , light AOs and Blue Air. Decreases on domestic flows as well as flows with UK, Romania and Italy.

STATES (AVERAGE DAILY DEPARTURE/ARRIVAL FLIGHTS FOR THE LAST WEEK)

ARRIVAL & DEPARTURE PUNCTUALITY (AT TOP AIRPORTS FOR THE

EN-ROUTE ATFM DELAYS

En-route ATFM delays have started to rise since midMay 2022, reaching 2019 levels on many occasions (see next slide). Recent days are above 2019 levels, especially caused by Weather. Major contributors over the last 7 days: Germany (34% of all en-route ATFM delays), France (19%), UK (11%), Serbia & Montenegro (9%), Hungary (6%) and Italy (5%).

TOTAL

ATFM DELAYS

(ALL CAUSES, AIRPORTS AND EN-ROUTE)

2019 and 2022 (7-day average)

Evolution of total ATFM Delays and Flights

TRAFFIC FLOWS (AVERAGE DAILY DEPARTURE/ARRIVAL FLIGHTS FOR

THE LAST WEEK)

The main traffic flow is the intra-Europe flow with 24,267 flights on average for the most recent week, stable over the previous week. Flows between Europe and Other Europe (incl. Russia) are at -69% compared to 2019.

Important lockdowns (COVID-zero policy) in China over Q2 affected Chinese international and domestic flows. Domestic flows started to recover during Q3 but new lockdowns (eg. Chengdu) hit the traffic recovery for Asia/Pacific (next slide).

Intra-Europe flights are 11% below 2019 levels while intercontinental flows are at -22%.

COUNTRY PAIRS (AVERAGE DAILY FLIGHTS FOR THE LAST WEEK)

Top 20

Seven of the top 10 flows are domestic.

Spain-Spain is the country-pair with the highest number of dep/arr flights (1,277) followed by France-France (1,031), Italy-Italy (972), Spain-UK (885), Norway-Norway (868), UK-UK (834), and Türkiye-Türkiye (819).

France-France increased their ranking while Italy-Italy decreased.

Within the top 10, six flows posted a decrease over the previous week for:

Germany-Türkiye (-32flights; -7%) mainly due to Corendon, Turkish Airlines and Tailwind.

Italy-Italy (-30 flights; -3%) mainly due to light AOs, Volotea and Blue Air.

Spain-UK (-27 flights, -3%) mainly due to British Airways, easyJet and TUI.

Some increases for:

France-France (+81 flights; +9%) mainly due to light AOs and Air France.

Germany-Germany (+54 flights; +10%) mainly due to a side effect of the Lufthansa strike on 2 September.

COUNTRY PAIRS (AVERAGE DAILY FLIGHTS FOR THE LAST WEEK)

AIRPORTS (AVERAGE DAILY DEPARTURE/ARRIVAL FLIGHTS FOR THE LAST WEEK)

Top 10

IGA Istanbul is the airport with the highest number of dep/arr flights (1,334) followed by Amsterdam (1,304), Paris CDG (1,246), Frankfurt (1,159) and London Heathrow (1,110).

IGA Istanbul is the busiest airport in Europe, recording more flights than in 2019 over the same week (+6%). Palma de Mallorca also managed to exceed 2019 levels too (+1%).

Within the top 10, six airports posted decreases or stabilization over the previous week, highest being:

Amsterdam (-36 flights; -3%) mainly due to KLM Group. Flows with France, Türkiye and Germany.

IGA Istanbul (-29 flights; -2%) mainly due to Turkish Airlines. Main decreases on domestic flows.

Paris CDG (-27 flights; -2%) mainly due to Air France and Nouvel Air Tunisie. Flows with Tunisia, Switzerland, US and Morocco.

Increases for:

Frankfurt (+81 flights; +7%) due to the counter effect of the Lufthansa strike on 2 September.

AIRPORTS

TOP 40 GLOBAL AIRPORTS (AVERAGE DAILY DEPARTURE FLIGHTS

FOR THE LAST WEEK)

Comparing week ending 29 August (right) with the same week in 2019 (left): 10 European airports are ranked in the Top 40 global airports (vs 8 in 2019) Two European airports are in the Top 10: Amsterdam (8th) and Paris CDG (10th). Frankfurt and London Heathrow are in the Top 15. Ten of the Top 15 global airports are currently based in the US. The first Asian airport in 2022 is New Delhi (12th).

EN-ROUTE AIR NAVIGATION CHARGES

EUROCONTROL has billed 805M€ of en-route charges for August flights. This is 1% higher compared tothe amount billed for the August 2019 flights. On a year-to-date basis, EUROCONTROL billed 4,997M€ which is -6% vs 2019

FUEL & TICKET PRICES

Compared to 2019, air ticket prices started to increase since May 2022. July 2022 recorded circa 15% increase on July 2019.

Air ticket prices here are deflated (we removed the effects of inflation).

Jet fuel prices dropped to 339 cts/gallon on 9 September (-11% over two weeks, +45% since early January).

ECONOMIC FORECAST (2022-2023)

GDP baseline forecast from Oxford Economics was revised downwards in the August 2022 release (vs May 2022). Main reasons: rising inflation, dwindling growth, growing geopolitical tensions, natural disruptions to business.

To further assist you in your analysis, EUROCONTROL provides the following additional information on a daily basis (daily updates at 7:30 CET for the first item and 12:00 CET for the second) and every Friday for the last item:

1. EUROCONTROL Daily Traffic Variation dashboard: www.eurocontrol.int/Economics/DailyTrafficVariation (or via the COVID-19 button on the top of our homepage www.eurocontrol.int)

• This dashboard provides traffic for Day+1 for all European States; for the largest airports; for each Area Control Centre (ACC) and for the largest airline operators.

2. COVID Related-NOTAMS with Network Impact (i.e. summary of airspace restrictions): https://www.public.nm.eurocontrol.int/PUBPORTAL/gateway/spec/index.html

• The Network Operations Portal (NOP) under “Latest News” is updated daily with a summary table of the most significant COVID 19 NOTAMs applicable at 12.00 UTC.

3. NOP Recovery Plan. https://www.public.nm.eurocontrol.int/PUBPORTAL/gateway/spec/index.html

• This report, updated every Friday, is a special version of the Network operation Plan supporting aviation response to the COVID-19 Crisis. It is developed in cooperation with the operational stakeholders ensuring a rolling outlook.

For more information please contact aviation.intelligence@eurocontrol.int

© EUROCONTROL - September2022

Thisdocument is publishedby EUROCONTROL forinformationpurposes. It maybecopied in wholeor in part,providedthat EUROCONTROL is mentionedasthe source and itis not usedforcommercialpurposes (i.e. forfinancialgain) Theinformation in thisdocumentmay notbemodifiedwithoutprior written permission from EUROCONTROL www.eurocontrol.int

Challenges from the Introduction of Artificial Intelligence in the European Air Traffic Management System

Marc Baumgartner IFATCA - international federation of air traffic controllers' associations 10 PUBLICATIONS 37 CITATIONS

SEE PROFILE

SEE PROFILE

Tom Laursen Linköping University 13 PUBLICATIONS 114 CITATIONS

SEE PROFILE

Smoker

ChallengesfromtheIntroductionofArtificialIntelligenceintheEuropean AirTrafficManagementSystem

Malakis

Stathis*. Baumgartner Marc*. Berzina Nora*. Laursen Tom * . Smoker Anthony*. Poti Andrea*. Fabris Gabriele*.

* Supported by the IFATCA Joint Cognitive Human Machine System (JCHMS) group. International Federation of Air Traffic Controllers Associations, Montreal, Canada. (email: stathis.malakis@gmail.com)

Abstract: The Air Traffic Management (ATM) system can be defined as a “Joint Cognitive System” of people, teams, and artifacts that adapts to the challenges and demands posed by familiar and unfamiliar situations in a dynamically evolving operational context. In the era of digitalization and Big Data we live, an incremental modernization of the ATM system is expected in the coming years with the pervasive implementation of Artificial Intelligence (AI) and Machine Learning (ML). In this paper, we present the findings from an initial attempt to detect and document the fundamental challenges of the introduction of AI, in the European ATM system through the lens of Cognitive Systems Engineering paradigm We also discuss how these challenges give rise to difficult to resolve safety and performance related patterns in the ATM system.

Keywords: Cognitive Systems Engineering, Joint Cognitive Systems, Air Traffic Control, Air Traffic Management, Artificial Intelligence, Machine Learning, Digitalization

1. INTRODUCTION

It is widely accepted that a pilot in a cockpit is one of the earliest and most enduring symbols of what we can achieve withapositiveandcollaborativeworkingrelationshipbetween humans and machines. If we make a step further and consider as the unit of analysis the airplane, i.e., the pilots plus flight control and automation, as the flight Joint Cognitive System (JCS) then the Air Traffic Management (ATM) is the environment. It is also possible to go one more step further and consider the pilots and the ATM as one system the traffic flow JCS (Figure 1) in which case the environment is the airlines, the airports, and the other aviation stakeholders (Hollnagel, 2007). In the era of digitalization and Big Data, this traffic flow JCS faces important and potentially disruptive challenges with the introduction of Artificial Intelligence (AI) both in the air and the in the ground components. It is ubiquitous that the use of AI is spreading rapidly in every industry with aviation and ATM making no exception.

However, innovative technologies not only provide capacity enhancement opportunities and other performance improvements but also raise new regulatory, safety, cognitive and operational challenges, and tradeoffs. Therefore, there is an urgent need to examine the introduction of AI cautiously. In this paper, we present an initial attempt to detect and document the fundamental challenges of implementing AI, in the European ATM system through the lens of Cognitive Systems Engineering (CSE) paradigm (Hollnagel and Woods, 2005; Woods and Hollnagel, 2006).

1.1 Motivation

Figure 1 The traffic flow Joint Cognitive System (Hollnagel,2007)

The significant and continued growth in air traffic in the years prior to the COVID 19 pandemic has prompted considerable exploration of the use of AI in the ATM. It is expected that AI will provide the additional capacity to meet the challenges of increasing air traffic complexity due to sustained growth and new airspace users and support more efficient and environmentally friendly operations while maintaining and increasing current safety levels. Modern ATM systems comprise many airspace sectors with varying air traffic flows that interact in complex ways and evolve dynamically. ATM is a work domain that relies on the cognitive functions of Air Traffic Controllers (ATCOs) and their collaboration with flight crews, airportoperators, networkmanagers andtheother aviation stakeholders to control the airspace, manage safety and adapt to the changing demands of new technological initiatives (Kontogiannis and Malakis, 2017). According to EASA (2021) while the concept of AI has been in existence since the 1950s, its development has significantly accelerated in the last decade due to three factors: a) significant improvements in the capacity to collect and store massive amounts of data (i.e., Big Data), b) significant increases in computing power and c) development of powerful algorithms

and methods. From apurely AI view theATM system is a real time safety critical decision making process in highly dynamic and stochastic environments where human air traffic controllers monitor and direct many aircraft flying through its designated airspace sectors (Brittain et al, 2020). The extensive introduction of AI is expected to create a new ATM environment which will be tightly coupled, more complex to cope, with increased air traffic, and pressing needs for a) minimization of delays, b) accommodating a diverse array of autonomous aircraft, c) operating in adverse weather, d) smoothing out 4D aircraft trajectories and e) minimizing environmental impact. AI is expected to increase the resilience and the flexibility of the system (i.e., increase support during emergency in flight or on the ground or unusual situations, as severe weather, failures etc.) and to increase the situational awareness of the operators (e.g., ATCOs and Pilots). In parallel ongoing EASA’s projects such as Extended Minimum Crew Operations (eMCOs) and Single Pilot Operations (SiPOs) rely heavily on AI and the application of powerful Machine Learning (ML) methods. eMCOs are defined as operations where the flight time is extended by means of rest in flight with the minimum flight crew. It is achieved by allowing operations with one pilot at the controls, during the cruise flight phase; however, offering an equivalent overall level of safety through compensation means (e.g., ground assistance, advanced cockpit design with workload alleviation means, pilot incapacitation detection). SiPOs are defined as end to end single pilot operations. Air operations regulation already foresees conditions and limitations under which these types of operations are allowed. In the future, it is expected that these conditions and limitations will need to evolve to extend single pilot operations to large airplanes, provided that compensation means (e.g., ground assistance, advanced cockpit design with workload alleviation means, capability to cope with pilot incapacitation) are in place in order to provide for an overall level of safety equivalent to today’s two pilot operations. EASA is working with interested industry stakeholders to explore the feasibility of such operational concepts, while maintaining current safety levels. It is evident that both projects that rely heavily on AI and ML will need ATM support and therefore introduce new operational requirements for the ATC. All these will impose a brand new array of challenges to the ATM systems in the next 10 to 15 years. In this context we attempted to elicit and document fundamental challenges to the ATM system from the introduction of AI with of the view of drawing the attention to the potential side effects that we must act upon promptly.

2. METHODOLOGY

We used a range of methods over several phases of fieldwork, documentation analysis and finally divergent thinking, comparative reasoning, and integrative thinking to compile the final list.

In the fieldwork phase, we used many methods. These ranged from participation in structured group discussions (e.g., concerning AI certification) and in depth discussions (e.g., AI related projects). From a Cognitive Systems Engineering (CSE) perspective, these techniques belong to the ‘natural history’ family of methods that are based on a diverse

collection of observations in situ (Hoffman and Militello, 2009). This was a recurrent step that was used throughout the whole process. The result of each round was an improved version of the list of fundamental challenges. The next step was to consolidate the list by performing a documentation analysis. During this step we applied a documentation analysis of the most recent reports, white papers, position papers and technical documents from ATM and aviation organizations (EASA, 2020, 2021; EUROCONTROL, 2021a, 2021b; CANSO, 2021, 2021) regarding digitalization and AI in the European continent. The next step was to perform a literature review. There is an extensive body of high quality research in the human factors and CSE literature that can inform the development and application of automated systems which is beyond the scope of this paper Therefore, we decided to concentrate on some influential research publications and reports in the areas of automation AI, CSE and ATM (Bainbridge, 1983; Parasuraman and Riley,1997; Dekker and Woods, 1999; Moray and Inagaki, 1999; Parasuraman et al. 2000; Russell et al 2010, Woods and Sarter, 2000; Woods and Branlat, 2010; Woods et al, 2010; Norman, 2013). We also reviewed similar research efforts (Prevot et al. 2012), acceptance of automation studies (Westin, et al. 2016) and introduction of ML techniques can be used in developing classification rules and eliciting knowledge in the area ATM system (Malakis et al. 2020) Finally, we applied divergent thinking, comparative reasoning, operational expertise, and integrative thinking by capitalizing on the knowledge and operational expertise of the team members through successive rounds of drafting, commenting, and finalizing the list.

In compiling the final list of fundamental challenges, we followed the next principles:

Fundamental challenges should not be overlapping. To this end we performed a vertical division into five widely accepted levels in the ATM system, which were identified through the literature review. These levels are: 1) Political / Regulatory. 2) Air Navigation Service Providers (ANSPs). / Business. 3) Technical. 4) Operational. 5) ATCOs.

Fundamental challenges should not be contradictory. This is a critical requirement as a challenge in one level may be neutral or even beneficial in another especially between Political / Regulatory which is the highest level of abstraction and all the other levels.

Independent of the size, complexity, staffing levels and nature of operations of the ANSPs to which they apply. It is widely accepted that the ATM provision in the European Contingent is fragmented (Finger et al., 2014; Andribet et al., 2022). Therefore, compiling the list having in mind only one or two ANSPs will certainly distort and bias the analysis. To avoid this, we selected only those challenges that are common for the majority of the European ANSPs.

Address the European ATM although most of them can be applied to other ATM systems worldwide. European ATM is a uniqueblendof increased traffic levels, capacity shortfalls, ANSPs fragmentation and complexity among all the worldwide ATM systems. The US ATM system for comparison has an extensive degree of cohesion in terms of

ATM provision, CNS systems used, training of ATCOs and centralized oversight. Therefore, we focused only on the European ATM system although quite a few of the challenges may also be valid in other ATM systems worldwide subject to more research.

Pragmatic in nature. Given the diversity of AI related projects there is always the risk that superficial, inconsequential, close to maturity or even remote challenges to be identified. To avoid this trap, we focused only on pragmatic challenges that were uniformly identified and well understood in nature.

Not connected to a particular AI paradigm and ML method to the extent possible. There is plethora of methods, tools, paradigms, and application with regard of AI and ML (Russell et al 2010, Barredo Arrieta, 2020). Focusing on a particular method, tool or application would have resulted in a narrow and potentially outdated analysis. For instance, there is a growing literature on the explainability issues of AI (Barredo Arrieta, 2020). Especially for Neural Networks which is the state of the art in Deep Learning. However, focusing only Neural Networks would have restricted our scope into a particular paradigm and method.

3. RESULTS

The fundamental challenges from the introduction of AI in the European ATM system are outlined below

3 1 Political / Regulatory

The challenges in the Political / Regulatory area are the following:

• Fragmentation of the European ATM sector (Finger et al., 2014; Andribet et al., 2022).

• Complexity and novelty of AI related products certification.

• Obsolescence of traditional development assurance frameworks that are not adapted to ML and development of the Learning Assurance Concept (EASA, 2021).

• State sovereignty concerns.

• Legal differentiation between Air Traffic Services Providers and ATM Data Service Providers.

• Geographical redundancy and availability of ATM data centers.

• Complexity of agreements on risk sharing and charging mechanism between States.

• Definition, sharing, and applying a common policy on ethics, related to AI.

• Maintain the credibility and reliability of the ATM systemsbypromotingsocialacceptabilityandchange management

• Build the trust of operators through a system of rules that distribute and clearly define the responsibilities and operating limits of the AI and the operator

3.2 ANSP / Business

The challenges in the ANSP / Business area are the following:

• Organizational transformation issues.

• Insurance and liabilities.

• Constraints from the early adoption of new technology.

• Unclear cost effectiveness benefits.

• Complexity of service borders and scope definition.

• Costly reinforced cybersecurity infrastructure.

• Complexity of service continuity requirements.

• Disruption of established knowledge sharing, learning procedures, and practices within ANSPs.

• Encourage simulation, training, and feedback paths from operators, tobe shared with systems developers.

• Build a new change management policy to gradually drive operators through new technologies and working methods.

3.3 Technical

The challenges in the technical area are the following:

• Complexity of sharing of AI infrastructure between countries.

• Extreme dependency of the ML models on the datasets that are used for training, validation, and testing.

• Curse of dimensionality, which refers to the extraordinarily rapid growth of the complexity, as the number of variables (or dimensions) increases (Bellman, 1957).

• Significant differentiation of AI solutions for Tower, Approach and Area Control operations.

• TailormadeAIsolutionsforeach usecasethatcannot be easily generalize across same type of units in different geographical areas.

• Consolidation of critical data to guarantee consistency, integrity, and safety of displayed information on the Controllers’ Working Positions

• Develop backup systems to face failures or unusual situations in complex AI systems.

• Define effective AI methods to detect, frame into context, and interpret into decisions weak signals

4 Operational

The challenges in this area are the following:

• A scale shift in complexity in terms of the density of interdependencies across processes and activities.

• Synchronization of operational procedures between Air Traffic Services Units (ATSUs) and between ATSUs and Network Manager.

• Incompatibility with existing Concept of Operations (CONOPS) and the need of development of new ones.

• Explainability issues of the ML models.

• Function allocation issues. Avoiding leftover strategy where the ATCOs are expected to assume control when automation fails.

• Develop, validate and harmonize the integration of AI technologies in the whole system, among all users (ATCOs, pilots, aerodrome operators and Network Manager).

• Disruption of established relationships, lines of communication and the ability to exert authority.

3 5 ATCOs

The challenges in this area are the following:

• Keeping the ATCO ‘in the loop’ and situationally aware and able to intervene

• Disruption of established patterns in coordinated activity between ATCOs’ and between ATCOs’ and flight crews.

• Disruption of established patterns of resilience.

• Increasing instances of automation surprises and clumsiness.

• Increased space for potential and new type of errors that cannot be easily foreseen.

• Demands for new kind of knowledge and skills.

• Demands for more threads to track that makes attention management difficult

• Demand for the development of new mental models, how the AI system works, how it fails, why it fails, and how to adapt (Borders et al, 2019).

• ATCOs acceptance of their new roles and remits.

• Synchronizing an increased number of micro cultures of ATCOs’ communities which are based on their local practices and local affordances.

• De Skilling of ATCOs

• ATCOs’ intervening during failures and contingencies, (Leftover strategies).

• Vigilance / boredom tradeoffs.

• Managing of social aspects (e.g., relocation and mobility of ATCOs)

• Resistance from ATCOs’ who could legitimately fear for their jobs.

4. DISCUSSION

Although the pandemic of Covid 19 significantly decreased the number of flights by slowing down the air transportation system in 2020 and 2021, this is not going to be a permanent situation. Commercial aviation already (June 2022) shows signs of a significant rebounce. The ATM systems is operating on its usual high traffic levels and the need from the introduction of AI in the ATM will gain momentum. AI is promising costs reduction, flight efficiency, improved strategic planning, enhanced trajectory prediction, and fuel efficiency to name but a few. However, it is evident from the challenges above that many and difficult to tackle challenges emerge. The range of challenges that were identified previously may well be the enablers of following safety and performance related patterns

4.1 Difficult organizational and operational trade offs Operations rooms are hectic workplaces, and in many cases, work demands exceed resources, so ATCOs have to do their best and manage their traffic by adjusting their practices to meet existing conditions. In this sense, they are trying to maintain a continuous balance between demands and resources.Moreover,thisdoesnotonlyconcernhighworkload situations, but also low workload periods, during which ATCOs need to maintain their performance and awareness levels despite not having enough to do to keep them engaged. The effort to tailor human performance to work demands can be described as if it involved a trade off between efficiency and thoroughness. This view has received particular emphasis from Hollnagel's (2009) proposition of the Efficiency Thoroughness Trade Off (ETTO) principle. To cater for efficiency, ATCOs generally try to achieve their goals by keeping their efforts and resources (for example workload) as low as possible. Safety, on the other hand, requires that more resources are spent on ensuring that the necessary conditions are in place, so that performance goals are achieved without risks. Safety implies that ATCOs spent more time in thinking whether preconditions for an activity are met, execution conditions are right and preparations for contingencies are made in advance. ATCOs have to reach both their safety and performance goals, neither of which should be achieved at the expense of others. In this line of reasoning unresolved challenges from AI projects will most certainly disrupt this fragile balance and create room for new and more complex dilemmas. Additionally, very thorough investigation will be required to determine how many, and which ATCO tasks will AI take over and/or assist with. For example, completing the simple and routine tasks would be beneficial in a high workload situation, as this would allow ATCOs to focus on the complex tasks, but detrimental in a low workload situation, as

it would even furthermore reduce ATCOs engagement and could lead to reduced situational awareness and performance levels.

4.2

Difficult organizational and operational trade offs

Current safety methodologies cannot cope well with AI related projects especially when it comes to learning assurance (EASA, 2020, 2021). EASA developed a multiyear project to address exactly this type of weakness in certification. ANSPs’ safety methodologies focus on the needs of single agents, but do not allow risks of different types and sources to be assessed with reference to each other, singly or in combination in dynamic environments. Hence, dysfunctional interactions arise that are beyond the control of single agents and current methodologies cannot adequately deal with them.

4.3

Transform or transfer hazards to other stakeholders

In many cases, risks may be transformed or transferred among ATM stakeholders since the solution of one’s own concerns may create problems elsewhere. For instance, adverse weather is a safety hazard for all flight operations. When weather cells are encountered, flight crews may request to circumnavigate cells which could increase traffic complexity for ATCOs particularly in congested airspaces. Hence, granting a cell circumvention to aircrews may increase the risk of separation minimum infringement and reduce the margin of maneuverfor controllers. On the contrary, flight operation hazards are effectively reduced. The increase in air traffic complexity (e.g., more conflicts points) as several air crews are requiring changes to their routes to circumvent the weather cell cannot always be mitigated by ATFCM restrictions alone. Corver and Grote (2016) showed that area controllers, in addition to reducing and acknowledging uncertainty, may deliberately increase uncertainty to increase flexibility for other actors in the system to meet their operational goals. On severe weather days, ATCOs often forgo a few procedures, e.g., coordination requirements, to increase their overall efficiency in handling the complex traffic and to ensure the safety of the aircraft. These results are particularly important as uncertainty is likely to increase in future AI supported operations of area control ATC especially since explainability issues will remain an issue (Barredo Arrieta, 2020). Therefore, risk transferability between ATM stakeholders which is common now and, in a sense, understood (because work practices are built upon it) will most probably be disrupted with unwanted safety and performance consequences. For this reason, any AI that is introduced in ATC has to be modeled in a way that matches the ATCO working practice and culture.

4.4 Patterns of events that are difficult to anticipate, monitor or comprehend

Complex aviation systems require pilots and controllers to anticipate critical events and stay ahead of traffic so that they get prepared for new evolving situations. For this reason, the set capacity values for a specific sector are often lower than the actual capacity.Infact, many automated support tools have been designed to allow practitioners to foresee the evolutionof weather and traffic, which then gives information on whether a sector would become overloaded and whether the gap between set capacity value and actual capacity will be filled.

Anticipation of evolving traffic becomes very important since traffic patterns may be affected by factors controlled by different ATM stakeholders (e.g., airlines, airports and ANSPs). With the introduction of AI in the air and on the ground new patterns of events that are difficult to anticipate, monitor or comprehend will materialize. In addition to preparing and updating the currently existing contingency plans, consideration will also have to be made towards potential AI related issues. This will certainly entail implications for the safety, performance, and capacity of the ATM system.

5. CONCLUSION

There are a lot of questions to be answered in those five levels we identified, with the most critical being at the ATCOs level. In this context IFATCA has created the concept of Joint Cognitive Human Machine System (JCHMS) or a Human Centric approach and wishes to influence ICAO and standardization bodies such as EUROCAE and EASA in Europe as well as other global organization such as RTCA, SAE in the way these new technologies are designed. This is a first step towards this goal of raising awareness to challenged raised by the introduction of AI in the European ATM system. It is widely accepted that each technology shift as the wide scale introduction of AI in the ATM extends the range of potential control. In doing so it also extends the range of potential control of the JCS that performs the work as well. Woods and Branlat (2010) framed these challenges in the form of two simple questions: What does it now mean to be ‘in control’? How to amplify control within the new range of possibilities. We argue that the way forward in answering the challenges that we have documented above includes the provision of definitive answers to these questions.

5. DIRECTIONS FOR FURURE RESEARCH

The findings of this study are pending further validation and generalization due to the exploratory character of the research. However, many of the challenges drawn from this study are expected to remain relatively stable when additional studies are carried out. Errors introduced by designers in developing AI systems can themselves be major source of safety and operational problems in the ATM In our view a) many studies must be designed that take into account the challenges we identified and b) aircraft operations related projects such as eMCOs and SiPOs ought to include the prospect of collaborating with an AI assisted ATM system.

REFERENCES

Andribet, P. Baumgartner, M. and Garot, J.M. (2022). Reinventing European air traffic control based on the covid 19 pandemic experience. Utilities Policy 75. https://doi.org/10.1016/j.jup.2022.101343.

Bainbridge, L. (1983). Ironies of automation. Automatica, 19, 775 780.

Barredo Arrieta, A. Dıaz Rodrıguez, N. Del Ser, J. Bennetot, A. Tabik, S. Barbado, A. Garcia, S. Gil Lopez, S. Molina, D. Benjamins, R. Chatila, R. Herrera, F. (2020). Explainable Artificial Intelligence (XAI): Concepts,

taxonomies, opportunities and challenges toward responsible AI, Information Fusion, 58, 82 115.

Bellman, R. (1957). Dynamic Programming, Princeton University Press, Princeton, NJ.

Borders, J., Klein, G., and Besuijen, R. (2019). An operational account of mental models: A pilot study. Proceedings of the 2019 International Conference on Naturalistic Decision Making, San Francisco, CA.

Brittain, M. Yang, X. Wei, P. (2020). A Deep Multi Agent Reinforcement Learning Approach to Autonomous Separation Assurance. arXiv 2020, arXiv:2003.08353.

CANSO, (2021). Artificial Intelligence. CANSO Whitepapers Emerging Technologies for Future Skies. Civil Air Navigation Services Organization.

CANSO, (2022). Virtualisation. CANSO Whitepapers Emerging Technologies for Future Skies. Civil Air Navigation Services Organization.

Corver, S. Grote, G. (2016). Uncertainty management in enroute air traffic control: a field study exploring controller strategies and requirements for automation. Cognit Technol Work 18(3):541 565

Dekker, S. W. and Woods, D. D. (1999). To intervene or not to intervene: The dilemma of management by exception. Cognition Technology and Work, 1, 86 96.

EASA, (2020). Artificial Intelligence Roadmap 1.0. European Aviation Safety Agency.

EASA, (2021). First usable guidance for Level 1 machine learning applications. European Aviation Safety Agency.

Eurocontrol. (2021a). A Patterns in How People Think and Work Importance of Patterns Discovery for Understanding Complex Adaptive Systems. Brussels: Eurocontrol.

Eurocontrol. (2021b). Digitalisation And Human Performance. Hindsight 33. Winter 2021 2022. Brussels: Eurocontrol.

Finger, M. and Baumgartner, M. (2014). The Single European Sky gridlock: A difficult 10 year reform process. Utilities Policy, 31, 289 301.

Hoffman, R. R., and L. G. Militello. (2009). Perspectives on Cognitive Task Analysis: Historical Origins and Modern Communities of Practice. Hove, UK: Taylor & Francis.

Hollnagel, E. (2007). Flight decks and free flight: Where are the system boundaries? Applied Ergonomics, 38, 409 416.

Hollnagel, E. (2009). The ETTO principle: efficiency thoroughness trade off: why things that go right sometimes go wrong. Ashgate, Aldershot.

Hollnagel, E. and Woods, D. D. (2005). Joint Cognitive Systems.FoundationsofCognitiveSystemsEngineering. London: Taylor and Francis.

Kontogiannis, T., and S. Malakis. (2017). Cognitive Engineering and Safety Organization in Air Traffic Management. Boca Raton, FL: CRC Press; Taylor & Francis.

Malakis, S., P. Psaros, T. Kontogiannis, and C. Malaki. 2020. “Classification of Air Traffic Control Scenarios Using Decision Trees: insights from a Field Study in Terminal Approach Radar Environment.” Cognition Technology and Work 22: 159 179.

Moray, N. and Inagaki, T. (1999) Laboratory studies of trust between humans and machines in automated systems. Trans. Inst. MC 21(4/5), pp203 211).

Norman, D. (2013) The Design of Everyday Things. MIT Press.

Parasuraman,R.&Riley,V. (1997).HumansandAutomation: Use, Misuse, Disuse, Abuse. Human Factors, 39(2).

Parasuraman, R., Sheridan, T.B., Wickens, C.D. (2000). A Model for Types and Levels of Human Interaction with Automation. IEEE Transactions on Systems, Man and Cybernetics Part A: Systems and Humans, Vol 30, No. 3, May.

Prevot, T., Homola, J. R., Martin, L. H., Mercer, J. S., and Cabrall, C. D. (2012). Toward Automated Air Traffic Control Investigating a Fundamental Paradigm Shift in Human/Systems Interaction. International Journal of Human Computer Interaction, 28(2), 77 98.

Russell, S. J., P. Norvig, and E. Davis. (2010). Artificial Intelligence: A Modern Approach. 3rd ed. Upper Saddle River, NJ: Prentice Hall.

Westin, C., Borst, C., and Hilburn, B. (2016). Strategic Conformance: Overcoming Acceptance Issues of Decision Aiding Automation? IEEE Transactions on Human Machine Systems, 46(1), 41 52.

Woods, D. D. and Branlat, M. (2010). Holnagell’s test: Being in control of highly interdependent multi layered networked systems. Cognition, Technology & Work, 12, 95 101.

Woods, D. D. and Hollnagel, E. (2006). Joint Cognitive Systems: Patterns in Cognitive Systems Engineering. Boca Raton, FL: CRC Press.

Woods, D. D., Dekker, D., Cook, R., Johannesen, L., and Sarter, N. (2010). Behind Human Error. Second Edition. Farnham: Ashgate Publishing.

Woods, D.D., Sarter, N.B., (2000). Learning from automation surprises and ‘going sour’ accidents. In: Sarter, N.B., Amalberti, R. (Eds.), Cognitive Engineering in the Aviation Domain. Lawrence Erlbaum Associates, Mahwah, NJ, pp. 327 354.

Borsa di studio Ezio Silveri

Ezio Silveri, ex Presidente e Segretario Generale ANACNA, per anni Direttore responsabile della nostra rivista Assistenza al Volo, è ricordato da tutti come un grande professionista. Le sue capacità operative e la dedizione ad un continuo aggiornamento, lo hanno reso figura chiave per l’associazione ed un esempio per tutti noi.

E’ quindi un grande piacere per ANACNA, come ogni anno, rendere disponibili 3 (tre) borse di studio per neo diplomati intitolate ad Ezio Silveri del valore di 2000 € ciascuna.

REQUISITI

Possono presentare domanda i figli degli associati ANACNA e che abbiano conseguito il diploma di Scuola Media Superiore con il punteggio minimo di 90/100 nell'anno scolastico 2021/2022. Gli associati ANACNA ordinari ed onorari, genitori dei diplomati richiedenti borsa di studio, dovranno possedere anzianità associativa di almeno due (2) anni alla data del 01 Settembre 2022, pena il rigetto della domanda.

MODALITÀDIPARTECIPAZIONE

I candidati dovranno spedire la domanda di partecipazione (specificando generalità, recapiti telefonici e indirizzo e mail) attraverso uno dei seguenti metodi:

• Raccomandata con ricevuta di ritorno inviata entro e non oltre il 31 Dicembre 2022 (farà fede il timbro postale) all’indirizzo: ANACNA ViaCamilla, 39 00181 Roma;

• Posta Elettronica Certificata entro e non oltre il 31 Dicembre 2022 (faràfede l'allegato daticert.xml delle informazioni di servizio sulla trasmissione) all’indirizzo anacna@pec.it

Alla stessa dovrà essere allegata una fotocopia autenticata del diploma o in alternativa un certificato rilasciato dall’istituto scolastico che attesti il conseguimento dello stesso e la relativa votazione.

Non saranno accettate domande da vincitori di borse di studio dei bandi precedenti.

PREMI

Ciascuna borsa di studio consiste in un premio di 2000 € (duemila euro).

I premi devono essere utilizzati per frequentare corso/i di formazione a

Via Camilla 39 00181 Roma Tel. +39.06.7842963 Fax +39.06.89012864 www.anacna.it info@anacna.it

propria scelta presso enti nazionali o internazionali (incluse spese di viaggio) purché interamente documentabili.

La destinazione parziale dei premi all’acquisto di beni strumentali e propedeutici ai corsi dovrà essere espressamente richiesta dai vincitori al Consiglio Direttivo Nazionale che eventualmente autorizzerà con apposita delibera. Questa quota non dovrà superare il 20% del totale utilizzata per i corsi di formazione.

CRITERIDISELEZIONE

Saranno premiati i tre concorrenti che riporteranno la valutazione con il punteggio maggiore.

A parità di punteggio sarà selezionato il concorrente più giovane di età. In caso di parità di età (gg/mm/aa) risulterà vincitore il concorrente figlio dell’associato ANACNA con la maggiore anzianità associativa. In caso di ulteriore parità, il vincitore sarà decretato dal Consiglio Direttivo Nazionale il cui giudizio è da ritenersi insindacabile.

VINCITORI

I vincitori saranno informati direttamente entro il 31 Gennaio 2023 attraverso i contatti forniti nella domanda.

TEMPISTICHE

I vincitori, pena annullamento del premio, dovranno: • entro il 31 Luglio 2023: comunicare alla Segreteria ANACNA il corso/i scelti fornendone adeguata documentazione a riguardo; • entro il 31 Marzo 2024: produrre alla Segreteria ANACNA le ricevute dei pagamenti effettuati.

Eventuali penali per cancellazioni per motivi non dipendenti da ANACNA saranno tassativamente a carico dei vincitori.

Per ulteriori informazioni, potete contattare la segreteria ANACNA a info@anacna.it.

Buona fortuna!

Via Camilla 39 00181 Roma Tel. +39.06.7842963 Fax +39.06.89012864 www.anacna.it info@anacna.it

Ogni lunedi alle 21:00

SPAZIO AL SUONO!

con Cillo e Ninni

Il Radionauta è un programma radiofonico serale nato dall'idea di Cillo e Ninni.

Ambientata a bordo di una nave spaziale chiamata "Towanda", la trasmissione propone, per ogni puntata, un tema che diventa pretesto per approfondire considerazioni introspettive legate all'uomo e al mondo che viviamo.

Accompagnato da tanta buona musica ogni viaggio è arricchito da elementi di varia natura (cinema, narrativa, scienze ecc.) e ovviamente dai contributi dei "passeggeri", ovvero gli ascoltatori che interagiscono durante tutta la puntata in diretta.

Cerca Il Radionauta su Facebook e Instagram!

Inoltre puoi riascoltare i podcast delle puntate sul sito del Radionauta o sulle maggiori piattaforme di streaming (Spotify, Apple Music e Google podcast) .

Il Radionauta riscopre un nobile aspetto dell'intrattenimento sonoro, quello serale, e vi terrà compagnia nel viaggio verso la meravigliosa profondità… della radio!

Ascolta la diretta o i podcast di tutte le puntate su

WWW.ILRADIONAUTA.IT

Via Camilla, 39/41 00181 Rome - Italy e Tel. +39.067842963 - Fax +39.0689012864

info@anacna.it www.anacna.it

La rivista è aperta alla collaborazione di professionisti, studiosi ed esperti del controllo del traffico aereo e dell’assistenza al volo. Alcuni articoli, pubblicati come contributo indipendente di documentazione e critica, possono non esprimere il punto di vista dell’ANACNA.

Testi, foto e materiali in genere inviati alla redazione, anche se non pubblicati, non verranno restituiti.