Vier Minuten nach dem Start vom Flughafen Singapur Changi am 4. November 2010 befand sich Qantas-Flug 32 im Steigflug auf 7.400 Fuß, als die Passagiere es hörten: einen Knall, dann einen zweiten, heftigeren, der durch die Kabine erschütterte. Auch Kapitän Richard de Crespigny im Cockpit hörte es. “Es war lauter als alles, was ich je im Simulator gehört hatte”, erinnerte er sich später. “Aber es war ganz klar ein Triebwerksausfall.”

Es war weitaus mehr als das. Das zweite Rolls-Royce Trent 900-Triebwerk des riesigen Airbus A380 hatte sich in einem unkontrollierten Defekt – bei dem das Triebwerksgehäuse die Trümmer nicht mehr zurückhalten konnte – selbst zerstört. Fragmente einer Turbinenscheibe, mit enormer Wucht herausgeschleudert, durchschlugen den linken Flügel, rissen Kabelbäume ab und lösten eine Flut von elektronischen Fehlermeldungen aus, die die Besatzung fast zwei Stunden lang in Atem hielten.

An Bord des weltweit neuesten Superjumbos, eines Flugzeugs, das Qantas stolz benannt hatte, befanden sich 469 Personen. Nancy-Bird Walton. Dass alle unverletzt – ruhig und ruhig eine einzige Treppe hinunter – davonkam, ist einer der bemerkenswertesten fliegerischen Leistungen der modernen Luftfahrt zu verdanken. Und einem glücklichen Zufall, der fünf erfahrene Piloten in einem Cockpit zusammenbrachte.

Zwei Knalle über der Insel Batam

QF32 war um 9:57 Uhr in Changi mit Ziel Sydney auf dem zweiten Abschnitt ihres Fluges von London gestartet. Um 10:01 Uhr löste sich über der indonesischen Insel Batam die Mitteldruckturbinenscheibe des Triebwerks Nr. 2. Die Ermittler stellten später fest, dass sie in drei hochenergetische Fragmente zerbrach. Triebwerksteile durchschlugen die Tragflächenbeplankung und regneten auf Batam herab – einige trafen Häuser und eine Schule. Wie durch ein Wunder wurde niemand am Boden verletzt.

Im Cockpit taten de Crespigny und seine Crew, was Piloten gelernt haben: Zuerst das Flugzeug fliegen. Höhe halten, Kurs wählen, stabilisieren. Erst dann, etwa 40 bis 50 Sekunden nach der Explosion, kam der Funkspruch: “Pan, Pan, Pan, Qantas 32, Triebwerksausfall, Triebwerk Nummer zwei, halten 7.400 Fuß, halten den aktuellen Kurs. Warten Sie auf Anweisungen.”

Ein “Pan”-Ruf signalisierte Dringlichkeit, eine Stufe vor dem Mayday. Er spiegelte die erste Einschätzung der Besatzung wider: Das Flugzeug flog, die Tragflächen waren waagerecht, und es bestand kein Grund zur Panik. Was die Piloten noch nicht sehen konnten, war der Zustand ihrer Maschine. Treibstoff strömte aus Löchern in der linken Tragfläche. Eines der beiden Hydrauliksysteme war ausgefallen. Etwa die Hälfte der Computernetzwerke des Flugzeugs war kompromittiert.

De Crespigny sagte später, dass 21 der 22 wichtigsten Flugzeugsysteme des A380 an diesem Morgen beschädigt oder beeinträchtigt waren – nach seiner Zählung war das einzige unversehrte System die Sauerstoffversorgung der Passagiere, die nicht benötigt wurde, da das Flugzeug unter 10.000 Fuß blieb.

ECAM Armageddon

Moderne Airbus-Cockpits basieren auf ECAM – dem Electronic Centralised Aircraft Monitor, einem System, das rund 250.000 Sensoren und Parameter überwacht und bei Problemen Checklisten ausgibt. In einer fehlerhaften Simulator-Session arbeitet die Crew unter Umständen vier dieser Checklisten ab. Bei Flug QF32 erschienen innerhalb der ersten Sekunden etwa 40 Checklisten, gefolgt von rund 60 weiteren. Bis zur Landung des Flugzeugs hatten die Piloten in der Luft etwa 100 Checklisten und am Boden weitere 20 abgearbeitet.

Manche Checklisten widersprachen den Beobachtungen der Besatzung. Durchtrennte Kabel führten dazu, dass das Flugzeug oft nicht zwischen einem defekten Sensor und einem Nullwert unterscheiden konnte, sodass das ECAM einige Systeme als intakter und andere als defekt meldete. Der Hauptwarnton ertönte unaufhörlich; jedes Mal, wenn die Besatzung ihn deaktivierte, wurde er durch einen neuen Fehler erneut ausgelöst.

Die schiere Menge an Warnmeldungen wurde selbst zu einer Bedrohung. De Crespigny war ungewöhnlich offen über den Moment, als ihn die Informationsflut überwältigte – eine Offenheit, die seinen Bericht, der später in seinem Buch veröffentlicht wurde, so eindrücklich machte. QF32, Pflichtlektüre in Cockpits und Kontrollräumen weit über die Luftfahrt hinaus.

Seine Antwort fand er in der Geschichte der Raumfahrt. Er erinnerte sich daran, wie NASA-Flugdirektor Gene Kranz die Apollo-13-Krise bewältigte – indem er seinen Ingenieuren sagte, sie sollten aufhören, sich mit den Fehlern zu beschäftigen, und sich stattdessen auf das konzentrieren, was noch funktionierte – und kehrte diese Logik um. Entfernte man die defekten Systeme, blieb im Grunde ein einfaches Flugzeug übrig: Tragflächen, Treibstoff, Flugsteuerung, Räder, Bremsen. Genug, um zu landen.

Fünf Kapitäne, ein Flugdeck

Hier kommt die schicksalhafte Wendung ins Spiel, für die QF32 berühmt ist. Eine normale A380-Besatzung besteht aus drei Piloten: an diesem Tag waren es Kapitän de Crespigny, Erster Offizier Matt Hicks und Zweiter Offizier Mark Johnson. Da de Crespigny jedoch seinen jährlichen Streckencheck absolvieren musste, begleitete ihn Checkkapitän Harry Wubben – und Senior Checkkapitän David Evans, um Wubben zu beurteilen. Fünf Piloten mit insgesamt zehntausenden Flugstunden auf einem Flug, der jede einzelne davon brauchen würde.

Statt das Cockpit zu überfüllen, fügten sich die zusätzlichen Kapitäne ins Team ein. Hicks arbeitete die endlosen ECAM-Checklisten ab. Evans übernahm die Berechnungen zur Landeleistung. De Crespigny flog – und traf die Entscheidungen, die Computer nicht treffen konnten.

Einer dieser Anrufe stammte direkt aus der Militärfliegerei. Vor dem Landeanflug bestand de Crespigny auf einem Kontrollierbarkeitstest in großer Höhe: Er wollte das beschädigte Flugzeug in Landekonfiguration verlangsamen, um zu beweisen, dass es bei Anfluggeschwindigkeit noch steuerbar war. Damals war dies weder im Airbus- noch im Qantas-Handbuch vorgeschrieben.

Das Treibstoffsystem war unterdessen im Chaos versunken: Acht von elf Tanks waren unbrauchbar, Pumpen und Transferleitungen ausgefallen, beide Treibstoffcomputer versagten, und durch den aus dem beschädigten linken Flügel austretenden Treibstoff entstand ein zunehmendes Ungleichgewicht. Als de Crespigny seine vier Kollegen fragte, ob irgendjemand das Treibstoffsystem verstünde, herrschte Stille. Sie gaben die Reparaturversuche auf und arbeiteten mit dem, was sie hatten.

Fünfzig Tonnen zu schwer

Ein A380, der nach Sydney startet, führt deutlich mehr Treibstoff mit sich, als für die Landung zugelassen ist. Da Treibstoff nicht abgeworfen werden konnte – auch dieses System war beschädigt –, musste QF32 mit rund 50 Tonnen Übergewicht schnell und schwer landen, mit eingeschränkter Bremsleistung, ohne Antiblockiersystem, mit halber Rollstabilität und ohne Vorflügel.

Als Evans die Fehlerdaten in die Anwendung zur Berechnung der Landeleistung eingab, verweigerte der Computer die Ausgabe eines Ergebnisses. Erst nachdem die Crew die Annahme einer nassen Landebahn – die Landebahn in Changi war trocken – verworfen hatte, lieferte er ein Ergebnis: Der A380 konnte mit etwa 100 Metern verbleibender Landebahnlänge von vier Kilometern zum Stehen kommen.

Nach fast zweistündiger Wartezeit, während die Checklisten abgearbeitet wurden, kehrte QF32 nach Changi zurück. Das Fahrwerk wurde per Notausstieg ausgefahren. Die Anfluggeschwindigkeit war 35 Knoten höher als bei einer normalen Landung eines A380. De Crespigny leitete ein sanftes Abfangen ein – entgegen der Empfehlung, das Fahrwerk voll auszufahren –, da er eine harte Landung als Risiko für das Einknicken des Fahrwerks in die mit Treibstoff getränkte Tragfläche einschätzte.

Um 11:45 Uhr setzte VH-OQA auf, verlor bei einer Vollbremsung vier Reifen und kam mit noch vor sich liegender Landebahn zum Stehen. Seltsamerweise stand der schwierigste Teil des Tages noch bevor.

Der Motor, der einfach nicht sterben wollte

Auf dem Standplatz schaltete die Crew die Triebwerke ab – doch Triebwerk Nr. 1 lief weiter. Die Scheibenfragmente hatten beide getrennten Steuerleitungen zum linken Außentriebwerk durchtrennt; die Treibstoffabsperrventile und selbst die Feuerlöscher funktionierten nicht mehr. De Crespigny öffnete sein Cockpitfenster, blickte zurück und sah, wie sich der Lüfter weiterdrehte, während etwa vier Tonnen Treibstoff aus dem Flügel nahe der durch die Vollbremsung erhitzten Bremsen strömten.

Der Wortwechsel mit dem Einsatzleiter der Feuerwehr ist legendär in der Luftfahrtgeschichte. “Wir sagten: 'Wasser über die heißen Bremsen und Schaum über den Treibstoff.' Sie sagten: 'Dann schalten Sie erst die Triebwerke ab.' Und wir sagten: 'Haben wir doch!'”, erinnerte sich de Crespigny. Die Feuerwehrleute löschten das Triebwerk schließlich mit Schaum und Wasser – es ging mehr als zwei Stunden nach der Landung endgültig aus.

Die Entscheidung, alle Passagiere sitzen zu lassen, anstatt 440 Passagiere über die Notrutschen von einem acht Meter hohen Deck neben einem laufenden Triebwerk und einem Kerosinsee ins Wasser zu schicken, wird heute als Fallbeispiel für Risikoabwägung gelehrt. Nachdem sich die Lage beruhigt hatte, verließen die Passagiere das Schiff durch eine Tür und eine Treppe hinunter. Es gab keine Verletzten.

De Crespigny tat dann etwas, wofür es kein Handbuch gibt: Er folgte seinen Passagieren ins Terminal, informierte sie persönlich über den genauen Hergang des Geschehens, beantwortete fast eine Stunde lang Fragen – und gab ihnen seine private Handynummer.

Es begann mit einer Ölleitung

Das australische Verkehrssicherheitsbüro führte den gesamten Vorfall auf ein einziges Bauteil im Inneren der Trent 900 zurück: ein Ölzulaufrohr, dessen Wandung bei der Fertigung dezentriert bearbeitet worden war, wodurch eine Seite zu dünn war. Ein Ermüdungsriss entstand, Öl trat in einen heißen Hohlraum aus und entzündete sich. Das Feuer schwächte die Mitteldruckturbinenscheibe so stark, dass sie platzte.

Die Folgen waren sowohl industriell als auch regulatorisch. Qantas legte ihre A380-Flotte still, Inspektionen durchkämmten die weltweiten Trent-900-Triebwerke – 53 Triebwerke wurden schließlich wegen verdächtiger oder nicht dokumentierter Ölzulaufleitungen von den Tragflächen abmontiert – und Rolls-Royce zahlte Qantas 95 Millionen US-Dollar Entschädigung. Nancy-Bird Walton Die Arbeiten dauerten bis 2012 und kosteten rund 139 Millionen A$, darunter sechs Kilometer neue Verkabelung im stark beschädigten linken Flügel.

De Crespigny wurde 2016 für seine Verdienste um die Flugsicherheit zum Mitglied des Order of Australia ernannt. Das Flugzeug selbst flog ab April 2012 wieder – seine Geschichte widerlegt eindrucksvoll die Annahme, moderne Verkehrsflugzeuge oder moderne Besatzungen seien lediglich Systeme im Autopilotmodus. Als 21 von 22 Systemen versagten, war die letzte Verteidigungslinie eigentlich gar kein System. Es waren die Menschen an Bord.

Quellen: Australian Transport Safety Bureau Final Report AO-2010-089, Eurocontrol HindSight 29 Interview mit Richard de Crespigny, Royal Aeronautical Society, Wikipedia, Richard de Crespigny “QF32” (Pan Macmillan, 2012)