Nella torre di controllo, per un attimo, il traffico non è più una sequenza ordinata di tracce. È una configurazione che non torna perfettamente.
Il 6 novembre 2025, un volo diretto da Los Angeles a Roma si trova a pochi secondi da una situazione che, nei report ufficiali, verrà classificata come “serious incident”. Due aeromobili in fase di decollo si avvicinano fino a circa 920 metri in orizzontale e meno di 15 metri in verticale. A evitare la collisione è l’intervento di un controllore di volo che, in pochi secondi, corregge la traiettoria.
Non c’è impatto, non ci sono feriti, non c’è una vera notizia. Eppure, per l’aviazione, è esattamente qui che inizia il lavoro. Non perché “è andata bene”, ma perché il sistema, per un attimo, si è lasciato vedere.
Di solito leggiamo questi episodi come quasi incidenti. È già un passo avanti: il settore aeronautico studia i near miss più degli incidenti perché sono più numerosi e perché mostrano le condizioni prima che diventino irreversibili. Negli Stati Uniti, l’ASRS (Aviation Safety Reporting System) della NASA raccoglie segnalazioni volontarie da piloti, controllori e tecnici: nel 2023 sono state oltre 100.000. Non incidenti, segnalazioni. È su questo materiale che si costruisce apprendimento sistematico.
In Europa, è stato reso obbligatorio il reporting delle “occurrences”, cioè di tutto ciò che può compromettere la sicurezza del volo, anche se non ha prodotto danni. Non si aspetta l’evento: si osserva la possibilità dell’evento.
C’è una proporzione che ritorna spesso nella letteratura aeronautica: per ogni incidente grave esistono centinaia, a volte migliaia, di eventi minori lungo la stessa catena causale. È una relazione nota da decenni. Eppure, fuori dall’aviazione, continuiamo a costruire sistemi che imparano quasi solo dagli esiti.
Fin qui, tutto torna: incidenti e near miss come fonti di apprendimento. Ma c’è un livello ulteriore che resta spesso invisibile, ed è quello che davvero sposta il modo di guardare la sicurezza.
Il lavoro normale.
Erik Hollnagel lo mette al centro quando parla di resilienza operativa. Non è una teoria dell’errore, ma una teoria del funzionamento. È la distanza tra work-as-imagined (il lavoro come lo pensiamo) e work-as-done (il lavoro come accade davvero) a rendere visibile dove nasce la sicurezza. Un sistema reale non lavora mai esattamente come è stato progettato: opera con scarti, variazioni, tempi che non coincidono, informazioni parziali. Eppure funziona. Non perché tutto sia sotto controllo, ma perché il sistema, nel suo insieme, è capace di produrre risposte adeguate anche dentro queste variazioni.
Questo cambia la domanda. Non solo: perché qualcosa è andato storto? Non solo: che cosa stava per andare storto? Ma: come fa, ogni giorno, a non andare storto.
Rileggere quei cinque secondi sopra Los Angeles con questa lente è utile. Non sono soltanto un near miss. Sono la manifestazione di un sistema che ha avuto una risposta. Un controllore riconosce una configurazione che non coincide perfettamente con la procedura; un pilota reagisce dentro tempi stretti; le barriere funzionano perché qualcuno le rende operative nel contesto reale. Il sistema non si limita a eseguire: interpreta e risponde.
Ed è qui che emerge la distanza più scomoda, e più reale, tra procedura e realtà. Le procedure sono necessarie: definiscono confini, responsabilità, aspettative. Ma non descrivono mai completamente ciò che accade. Tra ciò che è previsto e ciò che succede davvero esiste sempre uno spazio. Non è un difetto del sistema: è la sua condizione normale.
Se questo è vero, allora la sicurezza non può essere ridotta al solo rispetto della procedura. Coincide con la capacità del sistema di continuare a proteggere anche quando la realtà si discosta da ciò che è stato previsto.
A questo punto, anche il ruolo della parola cambia. Non serve solo a segnalare ciò che non ha funzionato. Serve a collegare tre livelli che altrimenti restano separati: ciò che è accaduto, ciò che stava per accadere, e ciò che, ogni giorno, permette alle cose di funzionare.
Parlare non è un atto accessorio. È il modo in cui la procedura incontra la realtà. È ciò che permette al sistema di aggiornarsi, di adattarsi, di mantenere la propria capacità di protezione.
Forse è qui la lezione più utile dell’aviazione. Studiare gli incidenti è necessario. Studiare i near miss è ancora più utile. Ma comprendere davvero la sicurezza richiede un passo ulteriore: osservare il lavoro normale, riconoscere le risposte che il sistema è in grado di produrre mentre funziona e farle diventare conoscenza condivisa.
Non per celebrare l’eccezione. Per rendere visibile ciò che, ogni giorno, permette al sistema di proteggere davvero.
“Per comprendere la sicurezza, dobbiamo studiare il lavoro normale, non solo i fallimenti.”
— Erik Hollnagel
Fonti per lo scrittore
Fonte: https://asrs.arc.nasa.gov/docs/rpsts/ASRS_Annual_Report_2023.pdf
Fonte: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32014R0376