Un bit impazzito mette in ginocchio Airbus. E il Sole ride dei francesi

Un lampo invisibile attraversa l’atmosfera, colpisce un microchip e un bit decide di ribaltarsi da 0 a 1 come se nulla fosse. A 11.000 metri di quota, quell’impercettibile capriccio elettronico può trasformarsi in un ordine di beccheggio che nessuno ha mai impartito. Sembra fantascienza, ma è lo scenario — raro, sì, ma reale — delle famigerate “perturbazioni a evento singolo”, quelle che gli ingegneri chiamano con flemma britannica Single Event Upset, parte della famiglia degli Single Event Effects, e che i cugini d’Oltralpe di Airbus ora si trovano al centro della scena dopo l’episodio del 30 ottobre 2025 su un Airbus A320 di JetBlue. Una storia che è costata un aggiornamento urgente a migliaia di aeromobili nel mondo, perché quando si parla di microchip e Sole, i francesi diventano prudenti come mai li avevamo visti.

Tutto nasce da una variazione di assetto improvvisa su un A320 in volo da Cancun a Newark: un comando di beccheggio verso il basso completamente inatteso, autopilota ancora inserito, perdita di quota, almeno quindici feriti e atterraggio di emergenza a Tampa. Le indagini tecniche — poi trasformate in una Alert Operators Transmission del costruttore e in una Emergency Airworthiness Directive dell’EASA (Agenzia dell’Unione Europea per la Sicurezza Aerea) — hanno puntato dritto su una vulnerabilità nel software dell’ELAC (Elevator Aileron Computer) versione L104, particolarmente sensibile ai bit-flip provocati da radiazione solare intensa. Risultato: obbligo di intervento immediato su circa seimila aeromobili della famiglia A320, con una frazione che necessita pure di modifiche hardware, perché quando si tratta di correggere errori i francesi non badano a spese, purché non si dica che hanno sbagliato.

Il fenomeno è noto: un protone o un elettrone ad alta energia attraversa un circuito in funzione, deposita carica, manda in errore un bit e l’intera catena software può, in casi rari, propagare un comando anomalo. Perfino Le Monde, che quando si parla di tecnologia francese sfodera sempre un certo patriottismo, ammette che l’effetto è ben documentato e può diventare rilevante se tocca dati usati dal sistema di pilotaggio. E quel 30 ottobre non era certo una giornata tranquilla: l’indice geomagnetico planetario Kp era a 5,3 su 9, un livello tipico di una piccola tempesta geomagnetica durante un massimo solare. Non un cataclisma, ma abbastanza per rendere l’atmosfera un po’ più elettrica del solito e aumentare la probabilità di errori nei circuiti degli aerei in crociera.

Il Ciclo Solare 25, secondo le previsioni del NOAA/SWPC (National Oceanic and Atmospheric Administration / Space Weather Prediction Center), sta vivendo un picco più rapido e intenso del previsto, con un aumento di brillamenti solari, espulsioni di massa coronale e particelle ad alta energia che possono viaggiare a velocità enormi, fino a “milioni di miglia all’ora”, raggiungere la Terra in meno di un giorno e far aumentare sensibilmente la radiazione alle quote di volo commerciale.

Gli Single Event Upset sono errori “morbidi”: niente fumo, niente chip bruciati, solo un bit ribaltato al momento sbagliato. Ma nei sistemi moderni, sempre più miniaturizzati, la carica necessaria per mandare in tilt un circuito è diminuita nel tempo, rendendo i computer più efficienti ma anche più vulnerabili. Nel caso dell’A320, la falla si è annidata nell’ELAC B con software L104, dove un bit-flip avrebbe corrotto dati fondamentali per il controllo di elevatori e alettoni, generando un impulso di beccheggio non richiesto. La soluzione d’emergenza è stata un ritorno al software precedente o la sostituzione dell’unità, un lavoro che richiede due o tre ore per aeromobile, ammesso che nel frattempo non scoppino altre tempeste solari.

Gli A320 utilizzano un’architettura fly-by-wire con sette computer ridondanti: due ELAC, tre SEC (Spoiler Elevator Computer) e due FAC (Flight Augmentation Computer). Il sistema, sulla carta, è una fortezza elettronica, ma come dimostra l’episodio JetBlue anche la ridondanza può avere un tallone d’Achille quando un singolo software reagisce male a un errore di memoria. Non è la prima volta che succede: il caso Qantas QF72 del 2008, con un A330 vittima di dati errati provenienti da un’unità ADIRU (Air Data Inertial Reference Unit), ricorda che basta un singolo valore sbagliato al momento sbagliato per costringere un equipaggio a una manovra d’emergenza.

Il 28 novembre 2025 l’EASA ha emesso una Emergency Airworthiness Directive 2025-0268-E, imponendo interventi prima di ogni nuovo volo. Il Regno Unito ha seguito a ruota e la FAA (Federal Aviation Administration) statunitense ha annunciato misure analoghe. Alcuni operatori sono rimasti fuori dal caos perché non utilizzano quel particolare software ELAC, ma molte compagnie hanno subito ritardi e cancellazioni. easyJet e Lufthansa hanno previsto disagi contenuti, mentre vettori come ANA e Jetstar hanno affrontato cancellazioni più estese. Secondo Associated Press e Financial Times, gli aeromobili potenzialmente coinvolti sono migliaia e circa novecento richiedono interventi più lunghi.

Il perché accada proprio ora ha una spiegazione semplice: il Sole è nervoso. Quando la sua attività aumenta, cresce anche la probabilità che particelle ad alta energia arrivino in atmosfera e finiscano per colpire, statisticamente, anche un microchip aeronautico. Non significa che volare sia diventato meno sicuro: significa che la progettazione deve restare un passo avanti e che la meteorologia spaziale è ormai un elemento della sicurezza quotidiana tanto quanto il bollettino meteo sulla rotta.

La difesa contro questi disturbi mette in campo tecniche raffinate, dalla scelta dei componenti alla ridondanza tripla, dalle memorie ECC (Error Correction Code) ai sistemi di watchdog, dai test con fasci di protoni alle simulazioni con neutroni atmosferici. È un insieme di competenze sviluppato da decenni nel settore spaziale e ormai indispensabile anche nell’aviazione commerciale, perché più i sistemi diventano complessi, più serve proteggerli dall’imponderabile.

Per piloti e controllori aerei, tutto questo si traduce in monitoraggi continui, procedure su ECAM (Electronic Centralized Aircraft Monitoring) e QRH (Quick Reference Handbook) e nell’eventualità — remota ma possibile — di passare a leggi di controllo degradate. Nel caso JetBlue, l’autopilota ha reagito rapidamente alla variazione di assetto, ma questo non ha impedito l’apertura di un’indagine approfondita e la successiva cascata di direttive di sicurezza.

Non va inoltre confuso un upset da radiazione con un guasto di manutenzione o un errore sensoristico: la casistica A320 contiene episodi con cause totalmente diverse, dai cablaggi difettosi ai sensori fuori calibrazione. La lezione degli investigatori è semplice: distinguere sempre ciò che è software, ciò che è hardware e ciò che è ambiente.

Gli upset rimangono eventi rari, ma la loro probabilità aumenta durante le tempeste solari o sulle rotte ad alte latitudini. Questo è il vero motivo per cui l’episodio del 30 ottobre ha attirato tanta attenzione: non per la fisica, già nota, ma perché ha fatto emergere una debolezza precisa in una catena critica, prontamente corretta da costruttore e autorità.

Nei prossimi mesi assisteremo al completamento degli aggiornamenti sulla quasi totalità della flotta, a possibili affinamenti del software per aumentare la tolleranza agli Single Event Effects, e a un maggiore utilizzo di allerte di meteorologia spaziale nelle operazioni di volo, soprattutto sulle rotte polari, mentre il Ciclo Solare 25 inizia lentamente a declinare.

Il punto fondamentale è che l’aereo resta il mezzo di trasporto più sicuro. Un disturbo a evento singolo è, per definizione, un fenomeno transitorio e isolato. La sicurezza nasce dalla stratificazione delle difese: hardware ridondante, procedure, manutenzione obbligatoria e correzioni immediate. Il caso A320 non dimostra un fallimento, ma un successo del sistema: un’anomalia rarissima è stata individuata, compresa e corretta in poche ore, con migliaia di aeromobili aggiornati prima del rientro in servizio. E se perfino i francesi, in questo caso, hanno reagito con una rapidità quasi commovente, significa che la filiera funziona.

Alla fine la fisica resta quella: una particella può cambiare un bit. Ma la sicurezza non dipende dall’illusione di eliminare ogni imprevisto, bensì dalla capacità di correggerlo quando arriva. La vicenda dell’A320 dimostra che — persino nel pieno di un massimo solare — l’aviazione civile sa aggiornarsi alla velocità del Sole, e qualche volta persino più in fretta dei comunicati di Airbus.