Cos’è e come funziona il sistema “uomo morto” su un tram: possibile malfunzionamento nell’incidente di Milano

Sin dagli albori del trasporto pubblico ferroviario e tranviario, i progettisti hanno capito l'importanza di introdurre sistemi di sicurezza proattivi, in grado di fermare i macchinari – azionando i freni – nel caso in cui gli operatori fossero incapacitati al controllo. Un malore, una grave distrazione, lo svenimento e finanche la morte improvvisa di un conducente possono rappresentare un rischio estremo per la sicurezza; pertanto non c'è da stupirsi che sistemi automatizzati – che si attivano in assenza di determinati input – siano stati introdotti da oltre un secolo. I primi sono comparsi su locomotive a vapore ed elettriche di fine ’800 e sui treni della metropolitana di New York a inizio ’900. Il sistema di base che interviene si chiama interruttore “uomo morto” (dead man’s switch) e il suo nome fa riferimento proprio al caso estremo, quello in cui muore la persona al comando di un veicolo, macchinario o dispositivo, lasciandolo fuori controllo e potenzialmente in grado di provocare un disastro.

Un potenziale malfunzionamento del sistema uomo morto (e di altri sistemi che insieme prendono il nome di vigilante) è al centro delle indagini sul deragliamento del tram 9 a Milano, avvenuto poco dopo le 16:00 di venerdì 27 febbraio lungo viale Vittorio Veneto. Il mezzo, mentre si spostava da piazza Repubblica verso Porta Venezia, è uscito dai binari a forte velocità – si stimano circa 50 chilometri orari – e si è schiantato contro un ristorante giapponese all'angolo con via Lazzaretto. L'esito è stato tragico: due morti, il sessantenne Ferdinando Favia e il cinquantaseienne Abdou Karim Touré (entrambi a bordo del mezzo ma sbalzati fuori), e oltre cinquanta feriti. Il conducente del mezzo, un tranviere esperto di 60 anni che da trenta lavora presso Atm, ha confermato alle autorità di aver avuto un malore e quindi di aver perso il controllo del mezzo.

Il tram, un modello di ultima generazione Tramlink, secondo le ricostruzioni avrebbe saltato una fermata e non si sarebbe inserito nello scambio previsto; ciò ha portato al deragliamento e al terribile schianto che potete vedere nelle immagini riprese da un'automobile. Il procuratore Marcello Viola e la pm Elisa Calanducci hanno aperto un fascicolo d'indagine per omicidio colposo e lesioni; sono state sequestrate le immagini delle telecamere interne del mezzo, i dati recuperati dalla scatola nera e lo smartphone del conducente, per verificare se lo stesse utilizzando al momento dell'incidente (si procede per prassi). L'uomo, che si sta sottoponendo a vari esami clinici e tossicologici, sarà interrogato nei prossimi giorni.

Al netto dei risultati delle indagini, ciò che non torna sarebbe proprio la mancata attivazione del sistema uomo morto su un mezzo nuovissimo. “Un sistema di sicurezza uomo morto – spiega la società di robotica Standard Bots – può spegnere una macchina, fermare un treno o attivare un segnale di emergenza senza che nessuno lo tocchi. È presente nelle fabbriche, nei veicoli e persino nella posta elettronica, ed è uno degli strumenti di sicurezza più semplici ma essenziali nell'automazione.” “Un interruttore di sicurezza ‘uomo morto’ – prosegue l'azienda – è un meccanismo di sicurezza, meccanico o elettronico, progettato per attivarsi quando un operatore umano diventa incapace o non rispondente. Viene in genere utilizzato per prevenire incidenti o per attivare un allarme quando l'operatore non ha più il controllo di un dispositivo o di un sistema.”

Ne esistono vari tipi: a pulsante, leva e pedale. Quest'ultimo non si usa quasi più a seguito di incidenti in cui i conducenti, dopo un malore, si sono accasciati sul pedale impedendo l'attivazione del sistema di sicurezza. In genere, nei moderni treni e tram, l'interruttore uomo morto è direttamente integrato nella leva che dà trazione ed è combinato con altri sistemi – come il controllo periodico di attenzione e sensori di movimento dei comandi – che danno vita al sistema vigilante. Se il pulsante dedicato non viene premuto ogni 2-3 secondi, al fine di confermare la propria presenza e il fatto di essere vigili, si attiva un allarme acustico che invita a premerlo; se ciò non avviene per altri 2-3 secondi, parte il sistema di frenata di emergenza automatica che ferma il mezzo.

Nei veicoli più moderni l'interruttore uomo morto è integrato con altri sistemi e sensori (il sopracitato vigilante), un po' come quelli associati alla guida automatica delle auto moderne, non solo in grado di mantenere la distanza di sicurezza, verificare la presenza di ostacoli, frenare all'occorrenza e correggere la traiettoria, ma anche di verificare tramite una telecamera interna e altri sensori se il guidatore mantiene le mani sul volante, se è cosciente o se sta rischiando un colpo di sonno. Questo sistema di vigilanza integrato emette segnali acustici di varia intensità prima di intervenire direttamente sul controllo del veicolo.

Sembra che questo variegato insieme di sistemi non abbia funzionato adeguatamente sul tram 9 schiantatosi a Milano, alla luce della dinamica dell'incidente. Ciò emergerà dalle analisi attualmente in corso. Non si può escludere che il tranviere, durante il malore, abbia mantenuto la mano sul comando di marcia e frenatura (o manetta della trazione) dove si trova il sistema uomo morto, magari per sostenersi, oppure che la perdita di controllo sia avvenuta talmente a ridosso dello scambio che, dopo il deragliamento, non sarebbe stato più possibile arrestare la corsa del tram, anche col sistema attivo. Chiaramente queste sono solo speculazioni. Devono anche essere tenuti in considerazione ulteriori, potenziali sottosistemi automatizzati in grado di intervenire per impedire un disastro del genere. Non resta che attendere gli esiti delle indagini per capire esattamente ciò che è accaduto in quel tragico pomeriggio a Milano.