Come si prevengono gli incidenti aerei: il nuovo rapporto EUROCONTROL

La sicurezza del trasporto aereo è il risultato di un processo continuo di analisi, monitoraggio e miglioramento, che coinvolge le organizzazioni, i professionisti e i sistemi tecnologici. Un ruolo centrale in questo processo è svolto da EUROCONTROL, l'organizzazione europea che contribuisce al coordinamento e alla gestione del traffico aereo, promuovendo l'efficienza e la sicurezza delle operazioni nei cieli europei. Tra le sue attività, EUROCONTROL svolge un importante lavoro di analisi degli eventi di sicurezza, con l'obiettivo di individuare le vulnerabilità operative, comprendere il funzionamento delle barriere di prevenzione ed identificare le aree sulle quali concentrare gli interventi di miglioramento. È in questo contesto che, il 23 ottobre 2026, EUROCONTROL ha pubblicato il rapporto NM Top 5 Safety Priorities, uno studio che esamina 167 eventi di sicurezza di elevata gravità registrati nel 2025, attraverso il contributo di 36 fornitori europei di servizi di navigazione aerea. L'analisi permette di individuare cinque priorità per la sicurezza del traffico aereo, approfondendo il ruolo dei fattori umani, delle procedure operative e dei sistemi tecnologici nella prevenzione degli incidenti. Dal punto di vista della psicologia dell'aviazione, il rapporto offre una prospettiva particolarmente interessante: comprendere come l'attenzione, il carico cognitivo, la consapevolezza situazionale e i processi decisionali interagiscano con le difese tecnologiche e organizzative. I risultati mostrano come la sicurezza aeronautica non dipenda dall'assenza di errori, ma dalla capacità del sistema di riconoscerli, intercettarli e limitarne le conseguenze.

Le cinque priorità di sicurezza individuate da EUROCONTROL

L'indagine permette di osservare una caratteristica importante dei sistemi complessi: la presenza di molteplici protezioni non garantisce che ogni minaccia venga intercettata. Alcuni eventi attraversano più livelli di difesa prima di esaurirsi senza conseguenze catastrofiche.

1. Controller Blind Spot

Mancato riconoscimento, da parte del controllore, di un aeromobile potenzialmente in conflitto con quello destinatario di un'istruzione o autorizzazione.

2. Restricted Airspace Infringement

Violazione di spazi aerei soggetti a restrizioni, con possibili interferenze tra traffico civile, attività militari e altri pericoli operativi.

3. Voli senza transponder funzionante

Assenza o malfunzionamento di informazioni elettroniche necessarie a identificare e monitorare adeguatamente il traffico.

4. Controlled Airspace Infringement

Ingresso non autorizzato in uno spazio aereo controllato, con particolare attenzione agli incontri con droni.

5. Rilevamento dei conflitti in pista

Difficoltà del controllo del traffico aereo nell'identificare situazioni potenzialmente pericolose che coinvolgono aeromobili o veicoli nell'area di pista. Queste priorità non costituiscono una graduatoria delle cinque cause più frequenti di incidente aereo. Rappresentano piuttosto cinque aree nelle quali EUROCONTROL ritiene particolarmente importante concentrare il lavoro di prevenzione e mitigazione del rischio.

Il ruolo dell'attenzione umana: quando un aeromobile non viene considerato

Uno dei risultati più interessanti dal punto di vista della psicologia dell'aviazione riguarda il fenomeno definito Controller Blind Spot. Nel campione degli eventi avvenuti durante il volo in rotta, 17 dei 58 incidenti analizzati, pari al 29%, sono stati associati a situazioni nelle quali un controllore non ha considerato un aeromobile potenzialmente in conflitto prima di impartire un'istruzione. In sedici di questi eventi, il conflitto è stato arrestato al livello della barriera anticollisione ACAS. L'analisi individua alcune caratteristiche ricorrenti: dodici eventi riguardavano gli aeromobili con traiettorie in direzione opposta, mentre in sette casi era stato segnalato un carico di lavoro elevato (workload). In cinque casi, almeno uno degli aeromobili coinvolti si trovava al di fuori dello spazio aereo del settore considerato. Dal punto di vista psicologico, questo fenomeno è compatibile con i limiti dell'attenzione selettiva e della consapevolezza situazionale (situational awareness). Un controllore può disporre di una rappresentazione complessiva accurata del traffico e, contemporaneamente, non integrare un'informazione critica in una specifica decisione. La visibilità di un dato su uno schermo non equivale automaticamente alla sua corretta elaborazione cognitiva. Non sarebbe però scientificamente corretto attribuire tutti questi episodi a disattenzione, stanchezza o sovraccarico cognitivo. Il rapporto descrive le funzioni di sicurezza coinvolte, ma non fornisce valutazioni neuropsicologiche individuali o misure sperimentali sufficienti per identificare il meccanismo cognitivo responsabile di ciascun evento. Il contributo dei fattori umani consiste quindi nell'individuare possibili vulnerabilità del processo decisionale e nel progettare sistemi che rendano meno probabile la loro trasformazione in eventi pericolosi.

Le barriere di sicurezza: come viene interrotta la progressione di un incidente

Un elemento centrale dell'indagine è l'impiego delle Safety Functions Maps, o SAFMAP, un modello che descrive le diverse funzioni di sicurezza disponibili per impedire che una situazione critica evolva verso un incidente. Nel caso di un potenziale conflitto tra aeromobili, le protezioni possono comprendere la prevenzione di tale problema, il mantenimento della separazione da parte dell'ATC, gli interventi correttivi dei controllori, i sistemi anticollisione a bordo e, quando applicabile, l'individuazione visiva del traffico da parte dei piloti.

Il sistema ACAS (Airborne Collision Avoidance System), che negli aeromobili commerciali è comunemente implementato attraverso il TCAS, può fornire ai piloti avvisi e indicazioni per evitare un potenziale conflitto. Un Resolution Advisory (RA), in particolare, indica una manovra verticale correttiva. Nel campione in rotta, la barriera anticollisione ACAS è stata considerata sollecitata in 56 eventi. In 38 è risultata efficace oppure non è stato necessario il suo intervento; in 18 è stata classificata come non efficace secondo i criteri del modello. Questi dati non possono essere interpretati come un tasso generale di affidabilità del TCAS. Il campione era stato deliberatamente selezionato per includere situazioni ad alta criticità, comprese quelle nelle quali alcune barriere precedenti erano già state superate. Un'altra particolarità della metodologia riguarda l'ultima barriera, denominata Providence. Essa indica che la progressione dell'evento non si è conclusa con una collisione anche quando le precedenti difese non hanno arrestato il conflitto. Non rappresenta un dispositivo o una procedura di sicurezza attivabile deliberatamente. Il valore della metodologia SAFMAP risiede proprio nella possibilità di riconoscere quali protezioni abbiano contribuito alla resilienza del sistema e dove, invece, siano rimaste vulnerabilità residue.

Spazi aerei riservati e transponder: quando il sistema perde informazioni critiche

La violazione degli spazi aerei riservati costituisce una delle principali criticità emerse dall'analisi degli eventi in rotta. In 20 dei 58 casi esaminati, pari al 34%, l'evento iniziale è stato associato all'ingresso in uno spazio aereo soggetto a restrizioni. In 15 di questi 20 casi, le barriere considerate dal modello non sono riuscite ad arrestare la progressione prima dell'ultimo livello, denominato Providence. Sette dei quindici eventi più critici hanno coinvolto l'ingresso in aree nelle quali erano attive esercitazioni di tiro. In otto sono state riscontrate problematiche relative alla rappresentazione del pericolo sul display del controllore oppure al sistema di allerta di prossimità alle aree interessate. Questi risultati evidenziano una vulnerabilità che va oltre il comportamento del singolo operatore: la consapevolezza situazionale dipende dalla qualità e dalla disponibilità delle informazioni fornite dall'ambiente tecnologico. La questione è strettamente collegata all'impiego del transponder, dispositivo che contribuisce alla sorveglianza e all'identificazione elettronica degli aeromobili. Nel campione in rotta, 16 eventi su 58 hanno coinvolto attività senza transponder correttamente funzionante. È importante precisare che in 15 di questi casi la criticità riguardava l'attività presente nello spazio aereo riservato, mentre il transponder dell'aeromobile che aveva violato quello spazio funzionava regolarmente. La distinzione è significativa: l'assenza di informazioni elettroniche su un traffico o su un'attività pericolosa può rendere indisponibili alcune funzioni di riconoscimento e prevenzione, senza implicare necessariamente un guasto dell'aeromobile coinvolto nell'evento.

Droni e spazi aerei controllati: una criticità emergente

Il rapporto dedica particolare attenzione alle violazioni degli spazi aerei controllati, soprattutto nelle aree terminali e nelle zone di controllo aeroportuali. Su 14 eventi di questo tipo esaminati, 12 hanno coinvolto droni. In 10 casi, gli eventi hanno attraversato le barriere anticollisione previste dal modello senza essere risolti prima dell'ultimo livello. Il problema riguarda principalmente la rilevabilità. Un drone privo di transponder compatibile può non essere identificabile attraverso le normali modalità di sorveglianza cooperativa del traffico aereo. Di conseguenza, alcune protezioni progettate per la gestione degli aeromobili convenzionali possono risultare indisponibili. È un tema che richiede una valutazione specifica dell'integrazione dei sistemi a pilotaggio remoto nello spazio aereo, della capacità di rilevamento e dell'interazione tra traffico tradizionale e nuovi utilizzatori. Il dato non dimostra un aumento generalizzato del rischio di collisione con droni in Europa: indica invece che, nel campione selezionato, questi incontri hanno rappresentato una componente rilevante degli eventi critici associati alla violazione degli spazi aerei controllati.

Incursioni in pista: attenzione, comunicazione e coordinamento

La sicurezza delle operazioni aeroportuali costituisce il terzo grande ambito analizzato da EUROCONTROL.

Il rapporto considera 53 incursioni in pista, cioè situazioni nelle quali un aeromobile, un veicolo o una persona si trova impropriamente nell'area protetta destinata ad atterraggi e decolli. In 26 eventi, pari al 49% del campione, è stata identificata una mancata rilevazione del potenziale conflitto da parte del controllo del traffico aereo.

Particolarmente interessante è il risultato relativo alle stop bar, sistemi luminosi utilizzati per proteggere i punti di attesa delle piste. Secondo l'analisi, 13 dei 53 eventi avrebbero potuto essere prevenuti qualora queste protezioni fossero state installate in tutte le posizioni pertinenti e utilizzate continuativamente. Si tratta di una valutazione controfattuale basata sugli scenari esaminati, non di una dimostrazione sperimentale dell'efficacia preventiva. Dal punto di vista dei fattori umani, emerge anche l'importanza degli strumenti di supporto alla memoria operativa dei controllori. In 11 episodi è stato segnalato il loro utilizzo scorretto o mancato utilizzo. L'indicazione pratica è chiara: la sicurezza deve essere sostenuta da procedure, strumenti di segnalazione, configurazioni ambientali e sistemi di controllo incrociato che riducano la dipendenza esclusiva dalla memoria e dalla vigilanza individuale.

Carico cognitivo, addestramento e trasferimento delle informazioni

Accanto alle cinque priorità principali, EUROCONTROL identifica alcune condizioni operative da monitorare.

Nel campione degli eventi in rotta, un carico di lavoro elevato è stato segnalato in 15 casi su 58. Dieci eventi hanno coinvolto situazioni di addestramento sul posto di lavoro (On-the-Job Training, OJT), mentre otto sono stati associati alle procedure di passaggio di consegne tra controllori. Questi contesti presentano caratteristiche psicologiche differenti. Il carico di lavoro può influenzare la distribuzione dell'attenzione e la gestione delle attività concorrenti. L'addestramento richiede una continua regolazione tra autonomia dell'allievo e supervisione dell'istruttore. Il passaggio di consegne impone invece il trasferimento di informazioni aggiornate e la ricostruzione del quadro operativo da parte di chi assume la responsabilità del settore. La presenza di questi fattori in un incidente non dimostra automaticamente che ne siano stati la causa.

È però coerente con un'impostazione della sicurezza centrata sull'interazione tra caratteristiche cognitive umane, organizzazione del lavoro, procedure e tecnologia. Per la psicologia dell'aviazione, questa prospettiva suggerisce l'importanza di studiare non soltanto le prestazioni individuali, ma anche le condizioni organizzative nelle quali vengono prese le decisioni.

Cosa possiamo ricavare da questi risultati per la psicologia dell'aviazione?

L'indagine EUROCONTROL non è uno studio clinico e non misura direttamente l'ansia dei passeggeri, la paura di volare o l'efficacia degli interventi psicoterapeutici. Offre tuttavia una base tecnica utile per comprendere come vengono identificati e gestiti i rischi operativi nell'aviazione. Per esempio, nella paura di volare è frequente che un evento inatteso venga interpretato come segnale di pericolo imminente. La conoscenza del funzionamento delle procedure aeronautiche può aiutare a distinguere la percezione soggettiva del rischio dai processi reali con cui viene gestita la sicurezza. Questo non significa sostenere che ogni situazione sia prevedibile o che tutti i sistemi funzionino invariabilmente. Il messaggio scientificamente più corretto è che l'aviazione dispone di una struttura di gestione del rischio articolata, sottoposta a monitoraggio e revisione, nella quale gli eventi critici vengono utilizzati anche per individuare opportunità di miglioramento.

Nell'ambito della psicoterapia cognitivo-comportamentale della paura di volare, tali informazioni possono avere una funzione psicoeducativa, purché non si trasformino in rassicurazioni ripetitive o in promesse di sicurezza assoluta. Comprendere un sistema complesso può contribuire a costruire una rappresentazione più accurata del rischio; tollerare la quota inevitabile di incertezza rimane un obiettivo psicologico distinto.

I limiti dell'indagine e il significato dei risultati

La principale cautela metodologica riguarda la selezione del campione. Il rapporto comprende eventi particolarmente significativi per lo studio delle barriere di sicurezza e non costituisce una raccolta esaustiva degli incidenti verificatisi nel traffico aereo europeo. Inoltre, i criteri di inclusione sono stati modificati per gli eventi di perdita di separazione in rotta e nelle aree terminali, privilegiando determinate condizioni di criticità. Questo cambiamento rende problematico interpretare variazioni percentuali rispetto agli anni precedenti come un reale aumento o una riduzione del rischio. Le analisi sono principalmente descrittive e basate sulla ricostruzione collaborativa degli eventi. Non consentono quindi di stabilire con certezza tutti i processi cognitivi e organizzativi che hanno determinato le anomalie osservate. Resta comunque significativo il fatto che diverse priorità ricorrano negli anni. Questa stabilità suggerisce che alcuni problemi siano strutturali e meritino interventi continuativi, anziché iniziative isolate in risposta ai singoli eventi.

Sintesi

• Il rapporto EUROCONTROL 2026 offre una lettura della sicurezza aeronautica nella quale gli errori individuali rappresentano soltanto una parte di un sistema molto più articolato.
• Le criticità individuate riguardano l'attenzione dei controllori, la disponibilità delle informazioni, la gestione degli spazi aerei, il funzionamento delle difese anticollisione e il riconoscimento tempestivo dei conflitti durante le operazioni aeroportuali.
• Il contributo principale dell'analisi è mostrare che studiare un incidente significa comprendere sia le difese che non hanno funzionato sia quelle che hanno impedito un esito più grave.
• Dal punto di vista dei fattori umani, la lezione più importante riguarda la necessità di progettare sistemi compatibili con i limiti cognitivi dell'essere umano, soprattutto nelle situazioni caratterizzate da elevata complessità operativa.
• La sicurezza non si misura soltanto dall'assenza di incidenti, ma anche dalla capacità di individuare le vulnerabilità e rafforzare le difese prima che si traducano in conseguenze irreversibili.

Bibliografia

• Blajev, T. (2026). NM top 5 safety priorities: Safety functions map analysis of European A and B severity safety incidents 2025 data sample (Ed. 1.0). EUROCONTROL. Documento originale allegato.
• EUROCONTROL. (2014). Blind spots: Operational safety study. Pubblicazione ufficiale
• EUROCONTROL. (2015). Controller detection of potential runway and manoeuvring area conflict: Operational safety study. Pubblicazione ufficiale
• EUROCONTROL. (2025). Network performance plan 2025–2029. Documento ufficiale.
• Le fonti integrative EUROCONTROL confermano il contesto istituzionale della prioritizzazione, la continuità delle problematiche di sicurezza e l'impiego dei modelli SAFMAP.
• EUROCONTRO