Quattro minuti dopo il decollo dall'aeroporto Changi di Singapore, il 4 novembre 2010, il volo Qantas 32 stava salendo a 7.400 piedi quando i passeggeri udirono un forte boato, seguito da un secondo, più intenso, che fece tremare la cabina. Anche il comandante Richard de Crespigny, in cabina di pilotaggio, lo sentì. "Era più forte di qualsiasi rumore avessi mai sentito al simulatore", ricordò in seguito. "Ma era chiaramente un'avaria al motore."“

Fu molto più di questo. Il secondo motore Rolls-Royce Trent 900 del gigantesco Airbus A380 si era appena disintegrato in un guasto incontrollato, di quelli in cui l'involucro del motore non riesce a contenere i detriti. Frammenti di un disco della turbina, scagliati con enorme energia, perforarono l'ala sinistra, tranciarono i cablaggi e scatenarono una valanga di messaggi di errore elettronici che avrebbero tenuto impegnato l'equipaggio per quasi due ore.

C'erano 469 persone a bordo del superjumbo più recente del mondo, un aereo che la Qantas aveva orgogliosamente chiamato Nancy-Bird Walton. Il fatto che tutti se ne siano andati – con calma, scendendo un'unica rampa di scale – è merito di una delle più straordinarie dimostrazioni di abilità aeronautica dell'aviazione moderna. E di un colpo di fortuna legato agli orari che ha riunito cinque piloti esperti nella stessa cabina di pilotaggio.

Due esplosioni sull'isola di Batam

Il volo QF32 era decollato da Changi alle 9:57, diretto a Sydney per la seconda tratta del suo viaggio da Londra. Alle 10:01, sopra l'isola di Batam, in Indonesia, il disco della turbina a media pressione del motore numero 2 si è staccato. Gli investigatori hanno successivamente appurato che si è frantumato in tre frammenti ad alta energia. Pezzi del motore hanno perforato il rivestimento dell'ala e sono piovuti su Batam, alcuni atterrando su case e una scuola. Sorprendentemente, nessuno a terra è rimasto ferito.

Nella cabina di pilotaggio, de Crespigny e il suo equipaggio fecero ciò che i piloti sono addestrati a fare: prima di tutto pilotare l'aereo. Mantenere la quota, selezionare la rotta, stabilizzare. Solo allora, circa 40-50 secondi dopo l'esplosione, arrivò la chiamata via radio: "Pan, Pan, Pan, Qantas 32, avaria al motore, motore numero due, manteniamo i 7.400 piedi, manteniamo la rotta attuale. Attendere istruzioni."“

La chiamata "Pan" segnala un'urgenza, un gradino sotto il Mayday. Rifletteva la valutazione iniziale dell'equipaggio: l'aereo era in volo, le ali erano livellate e non c'era motivo di farsi prendere dal panico. Ciò che i piloti non potevano ancora vedere era lo stato del loro velivolo. Il carburante fuoriusciva a fiotti da fori nell'ala sinistra. Uno dei due sistemi idraulici era fuori uso. Circa metà delle reti informatiche dell'aereo erano state compromesse.

De Crespigny avrebbe poi affermato che 21 dei 22 principali sistemi dell'A380 erano stati danneggiati o si erano deteriorati quella mattina; secondo i suoi calcoli, l'unico sistema rimasto intatto era quello dell'ossigeno per i passeggeri, che non era necessario poiché l'aereo si manteneva al di sotto dei 10.000 piedi.

ECAM Armageddon

Le moderne cabine di pilotaggio degli Airbus sono costruite attorno all'ECAM (Electronic Centralised Aircraft Monitor), un sistema che monitora circa 250.000 sensori e parametri e fornisce liste di controllo quando qualcosa va storto. In una sessione di simulazione andata male, un equipaggio potrebbe dover eseguire quattro di queste liste di controllo. Sul volo QF32, circa 40 si sono accodate nei primi secondi, e altre 60 circa sono seguite. Quando l'aereo è stato parcheggiato, i piloti avevano eseguito circa 100 liste di controllo in volo e altre 20 a terra.

Alcune checklist contraddicevano ciò che l'equipaggio poteva vedere. I cavi tranciati facevano sì che l'aereo spesso non riuscisse a distinguere un sensore guasto da una lettura pari a zero, quindi l'ECAM segnalava alcuni sistemi in condizioni migliori di quelle reali e altri in condizioni peggiori. Il segnale acustico di allarme principale suonava ripetutamente; ogni volta che l'equipaggio lo disattivava, un nuovo guasto lo faceva riattivare.

L'enorme quantità di avvisi divenne di per sé una minaccia. De Crespigny è stato insolitamente onesto riguardo al momento in cui il flusso di informazioni lo ha travolto, una franchezza che ha reso il suo racconto, pubblicato in seguito nel suo libro, davvero speciale. QF32, lettura obbligatoria nelle cabine di pilotaggio e nelle sale di controllo ben oltre il settore aeronautico.

La sua risposta proveniva dalla storia dei voli spaziali. Ricordando come il direttore di volo della NASA Gene Kranz gestì la crisi dell'Apollo 13 – dicendo ai suoi ingegneri di smettere di ossessionarsi su ciò che non aveva funzionato e di concentrarsi su ciò che ancora funzionava – de Crespigny invertì la logica. Eliminando i sistemi guasti, ciò che rimaneva era, in effetti, un semplice aereo: ali, carburante, comandi di volo, ruote, freni. Abbastanza per atterrare.

Cinque capitani, una cabina di pilotaggio

Ecco il colpo di scena che ha reso famoso il volo QF32. Un equipaggio standard di un A380 è composto da tre piloti: quel giorno c'erano il comandante de Crespigny, il primo ufficiale Matt Hicks e il secondo ufficiale Mark Johnson. Ma de Crespigny doveva sottoporsi al controllo annuale della rotta, quindi il comandante istruttore Harry Wubben lo accompagnò per valutarlo, e il comandante istruttore capo David Evans lo accompagnò per valutare Wubben. Cinque piloti, con decine di migliaia di ore di volo alle spalle, su un unico volo che avrebbe richiesto tutta la loro esperienza.

Anziché affollare la cabina di pilotaggio, i comandanti aggiuntivi si integrarono nella squadra. Hicks si occupava delle infinite checklist dell'ECAM. A Evans venivano affidati i calcoli per le prestazioni di atterraggio. De Crespigny pilotava e prendeva le decisioni che i computer non potevano prendere.

Una di queste richieste proveniva direttamente dall'aviazione militare. Prima di tentare un atterraggio, de Crespigny insistette per un controllo di controllabilità in quota: rallentare l'aereo danneggiato nella sua configurazione di atterraggio per dimostrare che avrebbe continuato a obbedire ai comandi alla velocità di avvicinamento. All'epoca, nessun manuale Airbus o Qantas lo prevedeva.

Nel frattempo, il sistema di alimentazione era precipitato nel caos: otto degli undici serbatoi erano inutilizzabili, pompe e condotti di trasferimento erano fuori uso, entrambi i computer di bordo non funzionavano e si registrava un crescente squilibrio a causa della fuoriuscita di carburante dall'ala sinistra forata. Quando de Crespigny chiese ai suoi quattro colleghi se qualcuno capisse come funzionasse il sistema di alimentazione, la risposta fu il silenzio. Smisero di tentare di ripararlo e si misero al lavoro con quello che avevano.

Cinquanta tonnellate di troppo

Un A380 in decollo per Sydney trasporta molto più carburante di quanto sia certificato per l'atterraggio. Non potendo sganciare il carburante (anche quel sistema era danneggiato), il QF32 avrebbe dovuto atterrare con circa 50 tonnellate in più rispetto al suo peso massimo all'atterraggio, ad alta velocità e pesante, con i freni degradati, senza sistema antislittamento, con metà del sistema di controllo del rollio e senza nessuno degli slat del bordo d'attacco.

Quando Evans inserì i dati relativi ai guasti nell'applicazione per le prestazioni di atterraggio, il computer si rifiutò categoricamente di fornire una risposta. Solo dopo che l'equipaggio ebbe eliminato l'ipotesi della pista bagnata (la pista di Changi era asciutta), il sistema fornì un risultato: l'A380 poteva fermarsi con circa 100 metri dei suoi quattro chilometri di pista ancora a disposizione.

Dopo essere rimasto in attesa per quasi due ore mentre venivano eseguite le procedure di controllo, il volo QF32 ha fatto ritorno a Changi. Il carrello di atterraggio si è abbassato grazie al sistema di emergenza a caduta libera. La velocità di avvicinamento era di 35 nodi superiore a quella di un normale atterraggio di un A380. De Crespigny ha effettuato una leggera manovra di atterraggio, contrariamente al consiglio di far atterrare il carrello bruscamente, ritenendo che un atterraggio troppo brusco avrebbe rischiato di far collassare il carrello sull'ala imbevuta di carburante.

Alle 11:45, il VH-OQA atterrò, forò quattro pneumatici a causa della frenata massima e si fermò con ancora della pista davanti a sé. La parte più difficile della giornata, stranamente, doveva ancora arrivare.

Il motore che non voleva morire

Sul posto, l'equipaggio spense i motori, ma il motore numero 1 continuò a funzionare. I frammenti del disco avevano tranciato entrambi i set di cablaggi di controllo separati del motore più esterno sinistro; le valvole di intercettazione del carburante e persino le bombole dell'estintore non rispondevano più. De Crespigny aprì il finestrino della cabina di pilotaggio, si voltò e osservò la ventola ancora in funzione mentre circa quattro tonnellate di carburante fuoriuscivano a fiotti dall'ala, vicino ai freni surriscaldati dalla frenata massima.

Lo scambio di battute con il responsabile antincendio è diventato leggenda nell'aviazione. "Abbiamo detto: 'Mettete acqua sui freni surriscaldati e schiuma sul carburante'. Loro hanno risposto: 'Beh, prima spegnete i motori'. E noi: 'L'abbiamo già fatto!'", ha raccontato de Crespigny. I vigili del fuoco alla fine hanno sommerso il motore con schiuma e acqua, che si è spento definitivamente più di due ore dopo l'atterraggio.

Quella decisione – di tenere tutti seduti invece di far scendere 440 passeggeri dagli scivoli di emergenza da un ponte a otto metri di altezza, accanto a un motore acceso e a una pozza di cherosene – viene ora studiata come caso di studio sulla valutazione dei rischi. Quando la situazione si è stabilizzata, i passeggeri sono usciti da un'unica porta, scendendo una sola rampa di scale. Nessun ferito.

De Crespigny fece quindi qualcosa che non si trova in nessun manuale: seguì i suoi passeggeri nel terminal, spiegò loro personalmente cos'era successo, rispose alle loro domande per quasi un'ora e diede loro il suo numero di cellulare personale.

Tutto è iniziato con un tubo dell'olio

L'Australian Transport Safety Bureau ha ricondotto l'intero evento a un singolo componente situato all'interno del Trent 900: un tubo di alimentazione dell'olio la cui parete era stata lavorata in modo decentrato durante la fabbricazione, risultando in un lato troppo sottile. Si è aperta una cricca da fatica, l'olio è fuoriuscito in una cavità calda e ha preso fuoco, indebolendo il disco della turbina a media pressione fino a provocarne la rottura.

Le conseguenze furono sia industriali che normative. Qantas bloccò la sua flotta di A380, le ispezioni interessarono tutti i motori Trent 900 del mondo (53 motori furono infine rimossi dalle ali a causa di tubi di alimentazione dell'olio sospetti o non documentati) e Rolls-Royce pagò a Qantas 95 milioni di dollari australiani di risarcimento. Nancy-Bird Walton I lavori si sono protratti fino al 2012 e sono costati circa 11.400.139 milioni di sterline australiane, inclusi sei chilometri di nuovi cablaggi nell'ala sinistra devastata.

De Crespigny è stato nominato Membro dell'Ordine dell'Australia nel 2016 per i suoi servizi alla sicurezza aerea. L'aereo stesso ha ripreso a volare dall'aprile del 2012, e la sua storia è una smentita permanente per chiunque pensi che gli aerei di linea moderni, o gli equipaggi moderni, siano solo sistemi in pilota automatico. Quando 21 dei 22 sistemi si sono guastati, l'ultima linea di difesa non è mai stata un sistema, bensì le persone in prima linea.

Fonti: Rapporto finale AO-2010-089 dell'Australian Transport Safety Bureau, intervista Eurocontrol HindSight 29 a Richard de Crespigny, Royal Aeronautical Society, Wikipedia, Richard de Crespigny “QF32” (Pan Macmillan, 2012)