Il Caso G-BEBP

Il tragico finale del volo Dan Air 622 e diventato una sorta di pietra miliare nella storia della progettazione aeronautica.
L'incidente ha rivelato, infatti, una inquietante realtà a più di venti anni dalle drammatiche vicessitudini del Comet:
la possibilità di cedimenti strutturali per fatica e tutt'altro che remota e il termine «fail-safe », oggi sinonimo della filosofia tecnologica più avanzata, è privo di senso se al progresso delle strutture non corrisponde un adeguato salto qualitativo delle procedure di ispezione.
Alle 09.29 del 14 maggio 1977 il B.707-321C G-BEBP lascia la holding a 5.000 ft. e inizia l'avvicinamento alla pista 10 di Lusaka, al termine di un volo cargo per conto della Zambian Airlines.
A bordo i sei membri di equipaggio si preparano a concludere la lunga tappa iniziata a Nairobi, dove hanno dato il cambio ai colleghi provenienti da Heathrow.
Alle 09.32:53 il secondo pilota seleziona 50° di flaps, mentre l'aereo e già allineato sui rituali 3° del « glide slope », e da inizio ai controlli per l'atterraggio.
Alle 09.33:11 la « check list» è completa e i piloti si preparano alla fase finale del volo:
sei secondi dopo un sordo rumore imprime la sua sinistra traccia sul nastro del Cockpit Voice Recorder e il quadrigetto scompare dal cielo di Lusaka.
Testimoni oculari riferiranno poi a Geoffry Wilkinson, ispettore dell' Accident Investigation Branch, di aver visto una parte di struttura separarsi dalla fusoliera mentre l'aereo era stabilizzato sul normale sentiero di avvicinamento.
Un controllore di torre aggiunge poi che
« subito dopo il Boeing è andato giù di muso e si è abbattuto al suolo da un'altezza di circa 800 ft.».
Sul luogo dell'impatto il ritrovamento del semistabilizzatore destro 200 metri più indietro dei resti della fusoliera conferma queste testimonianze e chiarisce la dinamica del sinistro, la traiettoria viene ricostruita completamente dopo l'analisi della « scatola nera » e una accurata procedura di simulazione:
in seguito al cedimento strutturale il piano orizzontale ha rotto gli attacchi e si è separato dalla sezione di coda, il G-BEBP, perso l'equilibrio longitudinale, è precipitato al suolo dopo un'affondata parabolica di 50°.
Il disastro di Lusaka non acquista grande risonanza per la mancanza di passeggeri a bordo, ma negli ambienti aeronautici più qualificati l'allarme per l'anomalo caso di cedimento strutturale si diffonde ben presto e l'inquietudine cresce ancor più quando si accerta che la rottura nel piano di coda del B.707 non è stata rilevata da alcuna ispezione, che le procedure di manutenzione della Dan Air sono ineccepibili e che, soprattutto, la frattura presenta caratteristiche di fatica.
A ventitre anni di distanza il fantasma del Comet ritorna sulle rotte dell'aviazione civile?

L’Aereo
Il fatale velivolo di Lusaka era un B.707-321C, il primo esemplare della serie «cargo convertible » costruito dalla Boeing nello stabilimento di Seattle nel 1963.
Al momento dell'incidente aveva volato per 47.621 ore ed effettuato 16.723 atterraggi, di cui, rispettivamente, 1.649 e 438 dopo la certificazione nel registro britannico.
Il G-BEBP aveva operato in origine nel ruolo passeggeri con la Pan American sulle rotte interne americane con la matricola N765PA, totalizzando 45.972 ore di volo e 16.285 atterraggi.
Nel marzo 1976 era state ritirato dal servizio e inviato a Miami in attesa di essere ceduto.
Nel giugno dello stesso anno l'N765PA decollava alla volta di Londra dopo aver ottenuto un « Export Certificate of Airworthiness » (grado C di A) e ricevendo l'immatricolazione della Civil Aviation Authority come G-BEBP nei colori della Dan Air.
Durante il servizio con la Pan American l'aereo era state ispezionato secondo le norme FAA e il Maintenance Planning Data pubblicato dalla Boeing.
Dal libretto di volo risultava inoltre che il velivolo non aveva subito alcun incidente o danno alla struttura e che i due semi-stabilizzatori erano ancora quelli originari montati all'atto della costruzione.

La Struttura
Il modello 707 ebbe inizio negli anni cinquanta con la versione militare KC-135 e la serie 100 in campo civile.
I piani di coda del B.707 sono formati da due semistabilizzatori di tipo classico con struttura resistente a cassone formata da due longheroni e un rivestimento di lamiera in lega al 2024-T3.
I due elementi di resistenza flessionale terminano con attacchi a forcella per il relativo fissaggio alla sezione di coda della fusoliera ad opera di due perni di forza.
I longheroni sono di tipo classico con due flange per gli sforzi di flessione e un'anima verticale che assorbe le sollecitazioni di taglio, assiemati a mezzo di una doppia fila di chiodi a testa svasata.
Qusti timoni orizzontali furono progettati secondo la filosofia «fail safe », introdotta per compiere un salto qualitativo in tema di sicurezza del trasporto aereo e in seguito divenuta una caratteristica delle strutture aeronautiche civili.
Il problema di fondo che il «fail safe» era chiamato a risolvere e la garanzia di sopportare i carichi di volo con gli adeguati margini di sicurezza anche nel caso di cedimento di un componente primario.
Per questo il progettista deve provvedere una molteplicità di vie resistenti aumentando il numero di elementi di forza cosicchè le unità strutturali rimanenti possano sopportare anche la parte di carico che gravava in precedenza sul componente primario prima del suo collasso.
Tuttavia, una volta che questo si sia prodotto, la struttura deve continuare a resistere per consentire agli agenti ispettivi di individuare la rottura prima che fatica e corrosione indeboliscano irrimediabilmente gli elementi rimasti.
Dato, poi che la vita residua della compagine danneggiata è ben al di sotto di quella del complesso originario, ciò significa che la frattura deve essere scoperta, e un'adeguata azione di ripristino intrapresa, in un tempo molto minore della normale vita a fatica della struttura.
La fatica è senz'altro la causa primaria del progressivo danneggiamento di una struttura, una sorta di male da cui nessun componente è immune e che è stato responsabile, in passato, di alcuni tragici episodi, di cui il più famoso protagonista fu il Comet, il quadrigetto della De Havilland che si disintegrava «misteriosamente» in volo.
La manifestazione più familiare del fenomeno di fatica è senz'altro la rottura del classico filo di ferro che, sottoposto a flessioni ripetute, si rompe dopo un certo numero di tentativi.

Nello stesso modo, sia pure in senso lato, lavora la struttura di un velivolo:
ad ogni volo l'ala viene caricata e scaricata dalla portanza, la fusoliera si deforma per effetto della pressurizzazione, il carrello sopporta i carichi di decollo, atterraggio e rullaggio.
E’ un ciclo continuo, un ripetersi di sollecitazioni sugli elementi strutturali che vengono «tormentati » per milioni di volte durante la vita operativa della macchina per oltre 50.000, 60.000 ore di volo.
E ogni ciclo «distorce » in modo infinitesimo l'intima struttura intercristallina del metallo di longheroni, correnti, attacchi, lamiere, ordinate.
Così, per un processo detto di « danno cumulativo », si giunge alla rottura dopo un numero limite di cicli.
Di qui il nome di rottura « per fatica ».
E’ da dire che il cedimento di una struttura non avviene improvvisamente, ma passa attraverso tre fasi caratteristiche: una prima « nucleazione » della frattura, a livello microscopico, una fase di accrescimento a gradiente limitato, infine una rapida e inarrestabile crescita del crack ».
La velocità di propagazione di queste fessure viene determinata durante le prove statiche del prototipo, soggetto a uno spettro di carico che simula lo sviluppo delle sollecitazioni nel ciclo di lavoro, e da questi rilievi vengono poi dedotti gli intervalli di ispezione.
Ciò è quanto fu fatto dalla Boeing per i piani di coda del 707 nel corso della prova statica in cui la casa di Seattle dimostrò alla FAA la capacità «fail safe» della struttura: agendo su un dispositivo dinamico si causò la rottura dell'attacco posteriore alla sezione di coda della fusoliera cosicchè il solo longherone principale continuò a sopportare l'intero carico flessionale.
A questo test seguì la prova a fatica, nel corso della quale alcuni cracks vennero scoperti nella flangia superiore del secondo longherone, in un punto vicino a quello di origine della frattura del G-BEBP.
L'indicatore dei cicli denunciava tuttavia 240.000 ore di volo, ossia un valore quattro volte superiore all'effettiva vita stimata del velivolo.
La prova venne ritenuta con ciò del tutto soddisfacente alle norme di certificazione.

Nella serie 300/400 lo stabilizzatore venne ampiamente modificato: l'apertura fu aumentata per accrescere il «volume di coda» e adeguare il nuovo «margine statico » alle caratteristiche del nuovo modello, venne poi introdotto un rinforzo sull'asse neutro dell'anima del longherone posteriore per aumentare il grado di « fail safe» della struttura.
Durante lo sviluppo della serie i collaudatori osservarono che l'aereo aveva una scarsa risposta ai comandi di barra e gli ingegneri della Boeing accertarono subito che il difetto era dovuto alla bassa rigidezza torsionale dello stabilizzatore, che si deformava eccessivamente sotto i carichi torcenti introdotti dalla manovra dell'elevatore, riducendo con ciò l'incidenza effettiva dei profili e quindi le variazioni di carico aerodinamico della coda.
A questo stato di cose fu posto rimedio raddoppiando lo spessore di lamiera inferiore con un «doubler» di lega Al 2024-T3 da 0.45" e cambiando il materiale del rivestimento superiore con acciaio inossidabile.
La modifica tendeva ad aumentare la rigidezza del cassone resistente e i successivi collaudi mostrarono un'eccellente risposta ai comandi, così il nuovo assetto strutturale venne definitivamente approvato dalla FAA senza richiedere la ripetizione della prova statica a robustezza e a fatica.
Altrettanto fece la CAA, ratificando in assoluto la decisione del registro americano per gli esemplari della serie 300 ordinati dalla BOAC.
Questo fu il primo di una catena di errori che dovevano condurre al disastro del G-BEBP.

L'Indagine
Geoffrey Wilkinson, dopo aver esaminato il rottame del G-BEBP, concentrò la sua attenzione sulla zona fessurata, ricercando l'origine dell'innesco del crack e le cause del suo incontrollato accrescimento, la cui velocità aveva vanificato ogni controllo ispettivo.
L'esame metallurgico del reperto indicava nel rivetto n° 11 della flangia superiore del secondo longherone il punto di partenza della frattura di 36 cm. che aveva causato il disastro di Lusaka e denunciava un numero di cicli di propagazione pari a 7.200 ore di volo.
Wilkinson imputò dapprima la contigua lamiera in acciaio inossidabile dell'aumento anomalo di tensione locale che aveva amplificato il rateo di crescita del fatale crack.
Il suo ragionamento era questo:
l'introduzione dell'acciaio, se da un lato aumentava la rigidezza torsionale del cassone, dall'altro comportava l'assorbimento di una più alta percentuale del carico totale da parte della nuova superficie di rivestimento, in quanto elemento più resistente;
ne risultava, dunque, accresciuto anche il livello di sforzi che la lamiera trasferiva sulla chiodatura, con aumento anomalo della tensione di lavoro dei rivetti e conseguente elevamento della tensione effettiva nella zona dei fori.
L'effetto era stato considerato dai progettisti della Boeing e l'analisi approvata dalla FAA, ma tutto si era concluso in una riduzione degli intervalli ispettivi.
La convinzione di Wilkinson era tuttavia che questo schema non rappresentava l'effettiva situazione tensionale della struttura e pertanto esistevano pericolosi fattori di aumento delle sollecitazioni che erano sfuggiti ai progettisti.
La conferma non tardò molto: a conclusione dei controlli ordinati dalla FAA/CAA dopo Lusaka un esteso crack venne scoperto in un esemplare della serie 300 nella stessa zona di rottura del G-BEBP, lo stesso accadde per un B.707-436 della Maverick che volava con una frattura di 12 cm nel semistabilizzatore destro.
Nei due casi il crack partiva dalla chiodatura della flangia, rispettivamente dal rivetto n° 5 e n° 11.
A questo punto lo schema di collasso della struttura era definito, ma non era stata ancora individuata la causa dell' aumento di tensione che aveva ridotto la resistenza a fatica dello stabilizzatore e accelerato la propagazione del crack.
Wilkinson si concentrò sui libretto di volo dell'aereo e osservò che il velivolo era stato impiegato in prevalenza dalla Pan Am (97%) e che questa lo aveva utilizzato nel servizio interno con una tratta media di 3 ore di volo, cioè con un grande numero di atterraggi.
Decise quindi di ricercare nei carichi di atterraggio i motivi dell'aumento imprevisto della sollecitazione nei piani di coda e dopo aver esaminato minuziosamente lo spettro di carico assunto dalla Boeing, organizzò una serie di test per misurare gli sforzi effettivi sviluppati dallo stabilizzatore nella fase finale del volo.

Le prove dimostrarono che durante un normale atterraggio con spoilers e reverse i timoni di profondità erano soggetti a vibrazioni di frequenza 5 cicli/sec. che elevavano la tensione fino all'80% del massimo registrabile in volo.
Questo valore, che non trovava riscontro nelle stime dei progettisti di Seattle, cambiava radicalmente il comportamento a fatica della struttura accelerandone il degradamento per effetto dei crack già innescati.
La conferma definitiva venne a Wilkinson dai laboratori della Boeing, dove uno stabilizzatore destro (56.227 ore di volo 20.052 atterraggi) di un B.707-436 ormai radiato veniva sottoposto a differenti condizioni di carico per ricostruire la storia strutturale del G-BEBP.
Queste le condizioni scelte:
1 ) volo livellato, 50° flaps
2 ) volo livellato, 50° flaps, improvvisa e violenta manovra dell'elevatore
3 ) richiamata con 2.5 g
4 ) raffica verticale discendente
5 ) carico pari al 67% della condizione 4, attacco posteriore scollegato
6 ) carico pari al 100% della condizione 1, dieci rivetti rimossi
7 ) carico pari al 100% della condizione 1, struttura fessurata
8 ) prova a fatica della struttura secondo lo spettro di carico.
Le prove dimostrarono che il crack originava sempre dai rivetti, aumentando al rateo di un mm ogni 125 voli finche la frattura non raggiungeva il 60% della corda di flangia, qui la fessura « saltava » di quasi 21 mm. in un solo volo e tornava nuovamente ad accrescersi con il rateo precedente per poi compiere un altro « balzo » dopo che aveva interessato l'intera larghezza dell' anima del longherone.
Il tutto senza una apparente anomalia esterna, cioè tale da sfuggire a qualunque ispezione visiva.
Il « rapporto Wilkinson" costrinse, la Boeing a rivedere il progetto del semistabilizzatore del B.707, accorciando i tempi di revisione della struttura e aggiornando anche il relativo manuale, ma soprattutto dimostrò che nel campo della fatica strutturale il cammino è ancora lungo per arrivare ad un soddisfacente approccio del problema.

Antonio Mancino
Jp4, Novembre 1980