Un documento con indicazioni sbagliate, un sistema informatico estremamente complesso e un effetto domino che in poche ore ha trasformato un problema tecnico in una crisi operativa per l’intera aviazione britannica. È questa, secondo una prima ricostruzione raccolta da fonti europee, la sequenza che avrebbe portato al blocco del sistema di controllo del traffico aereo del Regno Unito e alla cancellazione di oltre 2.100 voli tra l’8 e il 9 settembre. Il punto di partenza sarebbe stato un piano di volo militare inserito con dati errati nel sistema informatico presso il centro Nats di Swanwick, nell’Hampshire. La cautela, però, è d’obbligo: si tratta di una ricostruzione preliminare, mentre Nats ha confermato un problema al proprio sistema di elaborazione dei dati di volo e le autorità britanniche hanno avviato verifiche per accertare la dinamica esatta.
Il dato che rende la vicenda particolarmente significativa non è soltanto la natura dell’errore iniziale, ma quello che è successo dopo. Un’informazione sbagliata inserita in una componente del sistema avrebbe avuto la capacità di propagarsi a una rete sulla quale dipende una parte essenziale della gestione del traffico aereo britannico. Il centro di Swanwick è infatti un nodo cruciale dell’infrastruttura Nats e il guasto ha costretto lo spazio aereo londinese a funzionare a capacità ridotta, con ripercussioni immediate sugli aeroporti della capitale e, attraverso la rete delle rotte europee, ben oltre il Regno Unito. Eurocontrol ha confermato che il problema alle apparecchiature di controllo del traffico presso Swanwick aveva imposto una riduzione della capacità nello spazio aereo londinese.
La somiglianza inquietante con il precedente del 2023
La parte più delicata della vicenda riguarda però il precedente. Nel 2023 un problema analogo aveva già dimostrato quanto possa essere vulnerabile l’architettura informatica sulla quale poggia il controllo del traffico aereo britannico. Allora era stato un piano di volo civile elaborato o inserito in modo errato a mandare in crisi il sistema di pianificazione di Nats, impedendo per un periodo anche l’interazione con il sistema europeo di Eurocontrol. Il risultato era stato un blocco di dimensioni eccezionali, con circa 700 mila persone coinvolte e danni stimati in circa 82 milioni di euro. La vicenda aveva portato a una revisione dei sistemi e delle procedure, proprio con l’obiettivo di evitare che un singolo elemento anomalo potesse nuovamente produrre un effetto così esteso.
Il fatto che oggi la dinamica possa ripresentarsi, seppure attraverso un’interfaccia militare e non civile, è quindi uno degli aspetti che alimentano le domande sulla resilienza dell’infrastruttura. Se la ricostruzione preliminare delle fonti europee venisse confermata, significherebbe che l’episodio attuale non sarebbe semplicemente la ripetizione meccanica del guasto del 2023, ma la scoperta di una nuova vulnerabilità capace di produrre conseguenze analoghe. È esattamente questo il punto che rende l’indagine più importante della semplice ricerca di un errore umano: il problema non sarebbe soltanto capire chi abbia inserito un’informazione sbagliata, ma perché il sistema non sia riuscito a contenerne gli effetti.
Nats, da parte sua, ha escluso che la sicurezza dei voli sia stata compromessa e ha lavorato al ripristino del servizio. Il sistema era stato inizialmente dichiarato risolto nel pomeriggio dell’8 settembre, ma il ritorno alla normalità si è rivelato molto più lento. I tecnici hanno dovuto intervenire nuovamente e portare il sistema offline per individuare e risolvere il problema. Soltanto in serata la società ha comunicato che il guasto era stato risolto, mentre restava da smaltire l’enorme quantità di traffico accumulata nel frattempo.
Un’infrastruttura che lavora già al limite
È qui che entra in gioco la seconda questione, forse ancora più rilevante per chi guarda alla vicenda dal punto di vista industriale e infrastrutturale. Il problema non è soltanto la possibilità che un sistema informatico possa andare in errore. Sistemi complessi possono fallire, anche in settori nei quali gli standard di sicurezza sono elevatissimi. Il vero tema è cosa succede quando una componente critica si ferma mentre l’intera infrastruttura sta operando vicino alla propria capacità massima.
La ricostruzione raccolta dal Corriere descrive il sistema Nats come particolarmente complesso e difficile da gestire persino per gli stessi operatori britannici. L’accusa, molto pesante, è che una struttura tecnologica stratificata e sottoposta a un carico elevatissimo possa trasformare un’anomalia relativamente circoscritta in un’interruzione sistemica. Non è un dettaglio secondario. Nel trasporto aereo la capacità non è una grandezza astratta: significa numero di aeromobili che possono essere gestiti in un determinato spazio, in una determinata sequenza e con determinati margini di sicurezza. Quando la capacità viene ridotta, gli effetti non si sommano semplicemente: si moltiplicano.
È il motivo per cui un problema localizzato a Swanwick può arrivare rapidamente a Heathrow, Gatwick, Stansted, Luton, London City, Manchester, Edimburgo e agli altri aeroporti della rete. Un aereo che non parte non è soltanto un volo cancellato. È un equipaggio che non raggiunge la destinazione prevista, un aeromobile che si trova nel posto sbagliato, un volo successivo che non può essere operato, una coincidenza che salta, un altro aeroporto che deve assorbire traffico deviato. In una rete altamente interconnessa, l’incidente iniziale diventa rapidamente un problema di pianificazione globale.
2.102 voli cancellati: il conto della paralisi
I numeri raccontano meglio di qualsiasi immagine la dimensione della crisi. Secondo l’ultimo aggiornamento di Cirium riportato dal Corriere, nel primo giorno di disagi sono stati cancellati 1.746 voli tra partenze e arrivi, pari al 30,1% dell’intera programmazione prevista nel Regno Unito. Il giorno successivo si sono aggiunte altre 356 cancellazioni, equivalenti al 6% della programmazione totale. Il bilancio complessivo è così arrivato a 2.102 voli cancellati, con circa 315 mila passeggeri rimasti a terra. In condizioni normali, la quota di cancellazioni si colloca intorno all’1-2%: passare da quella fascia al 30,1% in una sola giornata restituisce la misura di uno shock operativo senza precedenti nella normale gestione quotidiana della rete.
Già nelle prime ore il quadro era apparso estremamente pesante. Alle 21 dell’8 settembre Cirium aveva contabilizzato 1.134 voli cancellati: 400 a Heathrow, 238 a Gatwick, 122 a Stansted, 108 a Luton, 78 a Manchester, 66 a London City, 65 a Edimburgo, 36 a Glasgow e 21 ad Aberdeen. A questi numeri si aggiungevano centinaia di voli in ritardo, in alcuni casi per oltre sei ore. Nel corso della notte il conto è quindi quasi raddoppiato.
Heathrow, il principale hub britannico e uno degli snodi più importanti dell’aviazione europea, è stato tra gli aeroporti più colpiti. Il problema non ha però riguardato soltanto i passeggeri che dovevano partire dal Regno Unito. La rete internazionale ha risentito delle ripercussioni attraverso cancellazioni, deviazioni e aeromobili ed equipaggi rimasti fuori posizione. È il classico effetto domino dell’aviazione moderna: quando salta un nodo importante, la perturbazione viaggia insieme agli aerei e ai programmi operativi.
Le compagnie alzano il tiro contro Nats
La reazione del settore è stata altrettanto significativa. Ryanair e Wizz Air hanno chiesto una revisione profonda del funzionamento di Nats, mentre Ryanair è arrivata a chiedere le dimissioni dell’amministratore delegato Martin Rolfe. La protesta non riguarda soltanto l’episodio dell’8 settembre, ma la frequenza con cui negli ultimi anni si sono verificati problemi capaci di produrre conseguenze molto superiori alla causa iniziale.
Il tema è diventato quindi anche manageriale e regolatorio. Se una società che gestisce un’infrastruttura essenziale registra un guasto, la domanda non può fermarsi al perché il software abbia smesso di funzionare. Bisogna chiedersi se esistano adeguati sistemi di ridondanza, se le procedure di emergenza siano sufficientemente rapide, se l’architettura tecnologica sia adeguata ai volumi attuali e futuri e, soprattutto, se il modello organizzativo sia in grado di impedire che un errore circoscritto diventi un’interruzione nazionale.
La pressione politica è già arrivata. La ministra britannica dei Trasporti Heidi Alexander ha chiesto a Nats un’indagine sulla causa dell’incidente e il governo ha imposto alla società di presentare un rapporto in tempi stretti. Parallelamente, la Civil Aviation Authority ha annunciato una revisione indipendente per valutare cosa sia accaduto e quanto Nats sia attrezzata per garantire un servizio resiliente nel futuro. La CAA ha inoltre chiarito che l’evento è verosimilmente riconducibile alle cosiddette “circostanze straordinarie” ai fini delle regole sui diritti dei passeggeri: le compagnie devono assistere i viaggiatori coinvolti, ma è improbabile che siano tenute a pagare compensazioni per i ritardi o le cancellazioni direttamente provocati dal guasto.
Il problema non è soltanto tecnologico
La crisi di Nats apre così una questione più ampia sulla gestione delle infrastrutture critiche nell’economia contemporanea. La tecnologia ha permesso di aumentare enormemente la capacità dei sistemi, ma ha anche aumentato la loro interdipendenza. Quando tutto funziona, il risultato è una macchina estremamente efficiente: più aerei, meno tempi morti, maggiore utilizzo degli aeroporti e delle flotte. Quando qualcosa si rompe, però, quella stessa efficienza può trasformarsi in fragilità.
Il caso britannico è particolarmente interessante perché il traffico aereo non è un’infrastruttura nella quale sia possibile semplicemente “rallentare” senza conseguenze. Ridurre la capacità significa accumulare aeromobili, ritardi e cancellazioni. Il sistema può essere riportato in funzione in poche ore, ma recuperare la posizione corretta di migliaia di passeggeri, centinaia di equipaggi e centinaia di aeromobili richiede molto più tempo. È questa la ragione per cui, anche dopo la risoluzione tecnica del problema, i disagi possono continuare per un’intera giornata o oltre.
E proprio qui si trova il nodo industriale della vicenda: quanto costa davvero un’infrastruttura che funziona al limite della capacità? Il prezzo non è soltanto quello dell’aggiornamento di un software o della sostituzione di un componente. Sono da considerare le perdite delle compagnie, le riprotezioni dei passeggeri, gli hotel, i voli ferry per riposizionare gli aerei, le ore di lavoro perse, gli effetti sulle connessioni internazionali e i costi indiretti sostenuti da aeroporti e imprese.
Nel 2023 il conto aveva raggiunto circa 82 milioni di euro, coinvolgendo 700 mila persone. Tre anni dopo, il nuovo episodio ha già messo a terra circa 315 mila passeggeri e oltre 2.100 voli. Numeri che spiegano perché il tema non possa essere liquidato come un semplice incidente informatico.
“Tre episodi in quattro anni non sono sfortuna”
A riassumere il malessere dell’industria è Nick Careen, Senior Vice President per la Safety Operations and Security della Iata, secondo il quale gli imprevisti tecnici possono accadere e nessun sistema ne è completamente immune. Ma, ha sottolineato, tre episodi significativi nell’arco di quattro anni non possono essere considerati semplice sfortuna. Le compagnie aeree e i loro passeggeri, è il senso della posizione Iata, hanno bisogno di interventi tempestivi.
È una frase che sposta il baricentro della discussione. Perché la questione non è stabilire se un errore umano sia inevitabile: lo è. La questione è progettare sistemi nei quali l’errore umano non abbia la possibilità di trasformarsi in un evento sistemico. In un settore come l’aviazione, dove la sicurezza impone livelli di controllo estremamente elevati, la resilienza informatica dovrebbe seguire la stessa logica.
Per Nats, dunque, il vero banco di prova comincia adesso. L’azienda dovrà spiegare che cosa sia realmente accaduto a Swanwick, perché il sistema abbia reagito in quel modo, quali barriere abbiano funzionato e quali invece siano saltate. Se verrà confermata la ricostruzione del piano di volo militare inserito con dati errati, la domanda successiva sarà ancora più difficile: perché un singolo documento è stato sufficiente per mettere in crisi un sistema dal quale dipendono i cieli di uno dei Paesi con il traffico aereo più intenso d’Europa?
