Cuatro minutos después de despegar del aeropuerto Changi de Singapur el 4 de noviembre de 2010, el vuelo 32 de Qantas ascendía a 2255 metros cuando los pasajeros lo oyeron: un estruendo, seguido de un segundo, más fuerte, que sacudió la cabina. En la cabina de mando, el capitán Richard de Crespigny también lo oyó. “Fue más fuerte que cualquier cosa que hubiera oído en el simulador”, recordó más tarde. “Pero obviamente se trataba de un fallo de motor”.”

Fue mucho más que eso. El motor Rolls-Royce Trent 900 número 2 del gigantesco Airbus A380 se había desintegrado en una falla incontrolada, del tipo en que la carcasa del motor no puede contener los restos. Fragmentos de un disco de turbina, lanzados con una energía descomunal, atravesaron el ala izquierda, seccionaron el cableado y desencadenaron una avalancha de mensajes electrónicos de falla que mantendrían ocupada a la tripulación durante casi dos horas.

Había 469 personas a bordo del superjumbo más nuevo del mundo, un avión que Qantas había nombrado con orgullo. Nancy-Bird Walton. Que todos se marcharan tranquilamente, bajando un único tramo de escaleras, se debe a una de las demostraciones de pericia aeronáutica más notables de la aviación moderna. Y a una afortunada coincidencia que permitió que cinco pilotos experimentados coincidieran en la cabina de mando.

Dos explosiones sobre la isla de Batam

El vuelo QF32 partió de Changi a las 9:57 a. m. con destino a Sídney, en la segunda etapa de su viaje desde Londres. A las 10:01 a. m., sobre la isla de Batam, en Indonesia, el disco de la turbina de presión intermedia del motor n.° 2 se desprendió. Los investigadores determinaron posteriormente que se fragmentó en tres pedazos de alta energía. Los fragmentos del motor atravesaron el revestimiento del ala y cayeron sobre Batam, algunos impactando sobre casas y una escuela. Sorprendentemente, nadie en tierra resultó herido.

En la cabina, de Crespigny y su tripulación hicieron lo que se les enseña a los pilotos: pilotar el avión primero. Mantener la altitud, seleccionar el rumbo, estabilizar. Solo entonces, entre 40 y 50 segundos después de la explosión, se escuchó la llamada por radio: “Pan, Pan, Pan, Qantas 32, fallo del motor número dos, manteniendo 7400 pies, manteniendo el rumbo actual. Estén atentos a las instrucciones”.”

La llamada "Pan" indica urgencia, un nivel por debajo de Mayday. Reflejaba la evaluación inicial de la tripulación: la aeronave volaba, las alas estaban niveladas y no había motivo para el pánico. Lo que los pilotos aún no podían ver era el estado de su máquina. El combustible salía a borbotones por agujeros en el ala izquierda. Uno de los dos sistemas hidráulicos había fallado. Aproximadamente la mitad de las redes informáticas de la aeronave estaban comprometidas.

De Crespigny declararía más tarde que 21 de los 22 sistemas principales del A380 resultaron dañados o deteriorados esa mañana; según sus cálculos, el único sistema que no se vio afectado fue el de oxígeno para pasajeros, que no fue necesario porque la aeronave se mantuvo por debajo de los 10.000 pies.

Armagedón de ECAM

Las cabinas de los Airbus modernos se basan en el ECAM (Sistema Electrónico Centralizado de Monitorización de Aeronaves), un sistema que supervisa aproximadamente 250 000 sensores y parámetros y genera listas de verificación cuando algo falla. En una mala sesión de simulador, la tripulación podría tener que revisar cuatro de esas listas. En el vuelo QF32, se generaron unas 40 listas en los primeros segundos, seguidas de unas 60 más. Para cuando el avión aparcó, los pilotos habían realizado alrededor de 100 listas de verificación en el aire y otras 20 en tierra.

Algunas listas de verificación contradecían lo que la tripulación podía ver. Los cables cortados impedían que la aeronave distinguiera entre un sensor averiado y una lectura de cero, por lo que el ECAM informaba que algunos sistemas estaban en mejor estado del que realmente estaban, y otros, en peor. La alarma principal sonaba una y otra vez; cada vez que la tripulación la desactivaba, una nueva falla la volvía a activar.

El enorme volumen de alertas se convirtió en una amenaza en sí misma. De Crespigny ha sido inusualmente honesto sobre el momento en que la avalancha de información lo abrumó, una franqueza que hizo que su relato, publicado posteriormente en su libro, fuera tan revelador. QF32, Lectura obligatoria en cabinas de mando y salas de control mucho más allá de la aviación.

Su respuesta provino de la historia de los vuelos espaciales. Recordando cómo el director de vuelo de la NASA, Gene Kranz, manejó la crisis del Apolo 13 —diciéndoles a sus ingenieros que dejaran de obsesionarse con lo que había fallado y se concentraran en lo que aún funcionaba—, de Crespigny invirtió la lógica. Si se eliminaban los sistemas averiados, lo que quedaba era, en efecto, un avión sencillo: alas, combustible, controles de vuelo, ruedas y frenos. Suficiente para aterrizar.

Cinco capitanes, una cubierta de vuelo

He aquí el giro del destino por el que el vuelo QF32 es famoso. Una tripulación normal del A380 consta de tres pilotos: ese día eran el capitán de Crespigny, el primer oficial Matt Hicks y el segundo oficial Mark Johnson. Pero a de Crespigny le tocaba su revisión anual de ruta, así que el capitán de pruebas Harry Wubben viajó con él para evaluarlo, y el capitán de pruebas sénior David Evans viajó con él para evaluar a Wubben. Cinco pilotos, con decenas de miles de horas de vuelo entre ellos, en el único vuelo que las necesitaría todas.

En lugar de abarrotar la cabina, los capitanes adicionales se integraron al equipo. Hicks se encargó de las interminables listas de verificación del ECAM. A Evans le entregaron los cálculos de rendimiento de aterrizaje. De Crespigny voló y tomó las decisiones que las computadoras no podían.

Una de esas recomendaciones provenía directamente de la aviación militar. Antes de intentar un aterrizaje, de Crespigny insistió en realizar una comprobación de controlabilidad en altitud: reducir la velocidad del avión dañado en su configuración de aterrizaje para demostrar que seguiría obedeciendo los controles a velocidad de aproximación. En aquel momento, ningún manual de Airbus ni de Qantas lo exigía.

Mientras tanto, el sistema de combustible se había sumido en el caos: ocho de los once tanques inutilizables, las bombas y los conductos de transferencia averiados, ambos ordenadores de combustible averiados y un desequilibrio creciente debido a la fuga de combustible del ala izquierda perforada. Cuando de Crespigny preguntó a sus cuatro colegas si alguien entendía el sistema de combustible, la respuesta fue el silencio. Dejaron de intentar repararlo y trabajaron con lo que tenían.

Cincuenta toneladas de más

Un A380 que despega con destino a Sídney lleva mucho más combustible del que está certificado para soportar al aterrizar. Al no poder descargar combustible —ese sistema también resultó dañado—, el vuelo QF32 tendría que aterrizar con aproximadamente 50 toneladas por encima de su peso máximo de aterrizaje, a gran velocidad y con el peso excesivo, con los frenos deteriorados, sin sistema antibloqueo de frenos, con la mitad de su control de alabeo y sin ninguno de sus slats de borde de ataque.

Cuando Evans introdujo los fallos en la aplicación de rendimiento de aterrizaje, el ordenador simplemente se negó a dar una respuesta. Solo después de que la tripulación eliminara la suposición de pista mojada —la pista de Changi estaba seca— arrojó un resultado: el A380 podía detenerse con unos 100 metros de margen en su pista de cuatro kilómetros.

Tras permanecer en espera durante casi dos horas mientras se revisaban las listas de verificación, el vuelo QF32 volvió a dirigirse hacia Changi. El tren de aterrizaje se desplegó mediante el sistema de descenso por gravedad. La velocidad de aproximación fue 35 nudos superior a la de un aterrizaje normal de un A380. De Crespigny realizó una maniobra de planeo suave —en contra de la recomendación de aterrizar bruscamente—, considerando que un aterrizaje forzoso podría provocar que el tren de aterrizaje se colapsara contra el ala empapada de combustible.

A las 11:45 de la mañana, el VH-OQA aterrizó, reventó cuatro neumáticos al frenar a fondo y se detuvo con la pista aún por delante. Curiosamente, lo más difícil del día aún estaba por llegar.

El motor que no quería morir

En la plataforma de aterrizaje, la tripulación apagó los motores, pero el motor número 1 siguió funcionando. Los fragmentos del disco habían cortado ambos conjuntos de cableado de control independiente del motor exterior izquierdo; las válvulas de cierre de combustible, e incluso los extintores, ya no respondían. De Crespigny abrió la ventanilla de la cabina, miró hacia atrás y observó cómo el ventilador seguía girando mientras aproximadamente cuatro toneladas de combustible brotaban del ala cerca de los frenos, calentados por el frenado a máxima potencia.

El intercambio con el controlador de incendios se ha convertido en leyenda de la aviación. “Les dijimos: "Echen agua sobre los frenos calientes y espuma sobre el combustible". Ellos respondieron: "Bueno, primero apaguen los motores". Y nosotros dijimos: "¡Ya lo hicimos!"', relató de Crespigny. Los bomberos finalmente lograron sofocar el motor con agua y espuma, que se apagó definitivamente más de dos horas después del aterrizaje.

Esa decisión —mantener a todos sentados en lugar de enviar a 440 pasajeros por los toboganes de evacuación desde una cubierta a ocho metros de altura, junto a un motor en marcha y un charco de queroseno— se enseña ahora como un caso de estudio sobre la gestión de riesgos. Cuando la situación se estabilizó, los pasajeros salieron por una puerta y bajaron por una escalera. No hubo heridos.

De Crespigny hizo entonces algo que no figura en ningún manual: siguió a sus pasajeros hasta la terminal, les explicó personalmente lo que había sucedido, respondió a sus preguntas durante casi una hora y les dio su número de teléfono móvil personal.

Todo empezó con un oleoducto.

La Oficina Australiana de Seguridad del Transporte determinó que el incidente se originó en un único componente ubicado en el interior del motor Trent 900: un tubo de alimentación de aceite cuya pared había sido mecanizada descentrada durante la fabricación, dejando un lado demasiado delgado. Se produjo una grieta por fatiga, el aceite se filtró en una cavidad caliente y se incendió, debilitando el disco de la turbina de presión intermedia hasta que reventó.

Las consecuencias fueron tanto industriales como regulatorias. Qantas dejó en tierra su flota de A380, las inspecciones abarcaron los motores Trent 900 de todo el mundo —53 motores finalmente se desprendieron del ala debido a tuberías de alimentación de aceite sospechosas o no documentadas— y Rolls-Royce pagó a Qantas 95 millones de dólares en compensación. Nancy-Bird Walton Las obras duraron hasta 2012 y costaron alrededor de 139 millones de libras esterlinas, incluyendo seis kilómetros de cableado nuevo en el ala izquierda, que estaba muy dañada.

De Crespigny fue nombrado miembro de la Orden de Australia en 2016 por sus servicios a la seguridad aérea. El avión volvió a volar en abril de 2012, y su historia constituye una refutación permanente para cualquiera que piense que los aviones comerciales modernos —o las tripulaciones modernas— son simplemente sistemas en piloto automático. Cuando fallaron 21 de los 22 sistemas, la última línea de defensa nunca fue realmente un sistema. Fueron las personas al mando.

Fuentes: Informe final AO-2010-089 de la Oficina Australiana de Seguridad del Transporte, entrevista de Eurocontrol HindSight 29 con Richard de Crespigny, Real Sociedad Aeronáutica, Wikipedia, Richard de Crespigny “QF32” (Pan Macmillan, 2012)