Usability & GSPR4 : What is the impact on safety?

Usability vs safety. Plane crashes are instructive for understanding how safety depends on technical choices. A Saab 2000 risked crashing in 2014 despite not having the slightest problem. After being struck by lightning (which did not damage the plane in the slightest, as almost always happens), the pilots wanted to regain altitude. Despite their efforts, the plane did not seem to respond to the controls, so they were convinced that the lightning had damaged the flight controls. They tried everything but the plane didn't respond. By coincidence ADR 2 had a problem and the autopilot suddenly deactivated. At that point the commands of the pilots, who were attempting to move the plane with extreme commands, were immediately implemented, putting the plane into an extreme dive which only by a miracle did not turn into a disaster. The pilots did not realize that all the time they were fighting against the autopilot which was engaged and which was resisting their commands. As you can see from the figures, the difference between the autopilot engaged and disengaged is minimal, almost invisible in an emergency situation. However, when the on-board computer realized that the pilots' commands were contrary to those of the autopilot, it issued a minor alarm (beep). The pilots, now in a panic, stunned by the lightning, did not realize this minor alarm (master caution) and perhaps mentally filtered it precisely because it was minor. Here the famous GSPR4 comes to our aid, reminding us that alarm signals are not the priority solution for safety. Intrinsically safe design should be preferred whenever possible. IN this case the autopilot would have had to disengage following a significant force exerted on the controls by the pilots (as almost all airplanes do, the Saab 2000 is one of the few remaining that does not do this). So think carefully about alarms as a safety measure: they are not always effective, especially in stressful situations such as in intensive care. This story is proof of that.

Italian

Usabilità vs sicurezza. Gli incidenti aerei sono istruttivi per capire come la sicurezza dipenda dalle scelte tecniche. Un Saab 2000 ha rischiato di schiantarsi nel 2014 pur non avendo il minimo problema. I piloti dopo essere stati colpiti da un fulmine (che non ha danneggiato minimamente l’aereo, come succede quasi sempre) avrebbero voluto riprendere quota. Malgrado gli sforzi l’aereo sembrava non rispondere ai controlli, al che si convinsero che il fulmine aveva danneggiato i controlli di volo.  Provarono di tutto ma l’aereo non rispondeva. Per una coincidenza (fortuita?) l’ADR 2 ebbe un problema e l’autopilota si disattivò di colpo. A quel punto i comandi dei piloti, che stavano tentando di muovere l’aereo con comandi estremi,  furono immediatamente recepiti mettendo l’aereo in una picchiata estrema che solo per miracolo non si trasformò in un disastro. I piloti non si erano resi conto che per tutto il tempo stavano lottando contro l’autopilota che era inserito e che si opponeva ai loro comandi. Come vedete dalle figure la differenza tra autopilota inserito e disinserito è minima, quasi invisibile in situazione di emergenza. Il computer di bordo comunque quando si è reso conto che i comandi dei piloti erano contrari a quelli dell’autopilota ha emesso un allarme minore (beep). I piloti ormai nel panico , storditi dal fulmine non si resero conto di questo allarme minore (master caution) e forse lo filtrarono mentalmente proprio perché minore. Qui ci viene in soccorso il famoso GSPR4 il quale ci ricorda che i segnali di allarme non sono la soluzione prioritaria per la sicurezza. Quando è possibile deve essere preferita la progettazione intrinsecamente sicura. IN questo caso l’autopilota doveva disinserirsi a seguito di una forza consistente esercitata sui comandi dai piloti (come fanno quasi tutti gli aerei, il Saab 2000 è uno dei pochi rimasti a non farlo). Quindi riflettete bene sugli allarmi come misura di sicurezza: non sempre sono efficaci soprattutto in situazioni di stress come in terapia intensiva. Questa vicenda ne è la prova.