La sera del 1° febbraio 1985, un Boeing 767 della Trans World Airlines si lanciò all'atterraggio all'aeroporto Logan di Boston, diretto a Parigi. Per i passeggeri era un normale volo notturno. Ma non lo era affatto. Sedici piloti della TWA avevano seguito un addestramento speciale per questa rotta, comprese sessioni al simulatore per un atterraggio di emergenza a Sondrestromfjord, una pista isolata in Groenlandia. Undici osservatori della Federal Aviation Administration sedevano in cabina, monitorando ogni dettaglio. E da qualche parte oltre la costa canadese, il volo TWA 810 fece qualcosa che nessun aereo di linea bimotore americano aveva mai fatto legalmente: continuò a volare verso est finché la pista utilizzabile più vicina non si trovò ben oltre il vecchio limite.

Ogni traversata oceanica che abbiate mai fatto su un bimotore a reazione – e oggi si tratta praticamente di tutti – deriva da quel singolo volo. Il regolamento che lo ha reso possibile si riassume in cinque lettere: ETOPS. Ufficialmente, Extended-range Twin-engine Operations Performance Standards (Standard di prestazione per operazioni bimotore a lungo raggio). Ufficiosamente, come vi diranno generazioni di piloti con un sorriso: Motori accesi o passeggeri in acqua.

La camicia di forza da sessanta minuti

Per capire perché quel volo Boston-Parigi fosse rivoluzionario, bisogna tornare all'epoca dei pistoni. I motori aeronautici degli anni '30 e '40 erano macchine magnifiche, ma capricciose, che si guastavano con una regolarità deprimente. Nel 1936, le autorità di regolamentazione statunitensi stabilirono che gli aerei di linea dovevano rimanere entro 100 miglia da un aeroporto adeguato. Nel 1953, questa norma si evolse nella famosa regola dei 60 minuti: un aereo di linea bimotore non poteva mai trovarsi a più di un'ora di volo, alla velocità di un solo motore, da un luogo di atterraggio. Gli aerei con tre o quattro motori godevano di maggiore flessibilità, in base alla logica sensata che trasportavano più pezzi di ricambio.

La regola tracciava una barriera invisibile sulla mappa. L'Atlantico settentrionale, il Pacifico, le distese polari: di fatto, tutte zone off-limits per i bimotori. Ecco perché l'epoca d'oro dei voli a lungo raggio apparteneva a velivoli con motori in abbondanza: il Boeing 707 e 747, il DC-8 e, successivamente, i trimotori DC-10 e L-1011, per i quali la regola dei 60 minuti fu derogata nel 1964. I bimotori volavano sulle rotte brevi. Gli oceani erano appannaggio dei quadrimotori e dei trimotori.

Verso la fine degli anni '70, però, la logica stava crollando. La nuova generazione di turbofan ad alto rapporto di diluizione si stava dimostrando di gran lunga più affidabile dei motori a pistoni per i quali la norma era stata concepita. Airbus stava già facendo volare il suo bimotore A300 su tratti dell'Oceano Atlantico e Indiano seguendo una raccomandazione ICAO più permissiva di 90 minuti. E alla Boeing, un ingegnere dirigente di nome Dick Taylor, in seguito soprannominato il padre dell'ETOPS, iniziò a porre alla FAA una domanda scomoda: se i motori non si guastano quasi mai, perché continuiamo a pianificare come se si guastassero sempre?

Wendover Productions spiega come il protocollo ETOPS permetta a piccoli aerei di attraversare grandi oceani.

La prima risposta della FAA non fu affatto sottile. Quando Taylor si rivolse all'amministratore J. Lynn Helms nel 1980 per chiedere un'esenzione per il nuovo 767, Helms pronunciò una delle frasi più memorabili nella storia della regolamentazione aeronautica.

A quanto pare, la situazione si è risolta in circa cinque anni. Boeing e i produttori di motori hanno sommerso l'ente regolatore con una valanga di dati sull'affidabilità. Le statistiche erano inconfutabili: gli arresti dei motori erano diventati così rari che un bimotore aveva un'altissima probabilità di completare qualsiasi traversata senza problemi, e se un motore si fosse spento, l'altro – una macchina completamente indipendente – non avrebbe avuto motivo di seguirlo. Nel 1985 la FAA ha emesso la Circolare Consultiva 120-42, che consentiva ai bimotori adeguatamente preparati di volare per 120 minuti da un aeroporto alternativo. I Boeing 767 della TWA sono stati i primi a beneficiare di questa normativa, e i vantaggi economici sono stati immediati: il 767 consumava circa 7.000 libbre di carburante in meno all'ora rispetto al trimotore L-1011 che aveva sostituito sulla rotta per Parigi.

Guadagnarsi il diritto di stare da soli

Il successo di ETOPS risiede nel fatto che non si è mai trattato di una semplice autorizzazione. È un regime di certificazione rigoroso, che agisce su due fronti. In primo luogo, la combinazione aeromobile-motore deve ottenere l'omologazione di tipo: è necessaria la dimostrazione di ridondanza nei sistemi elettrici, idraulici e di comunicazione, e un tasso di arresto in volo inferiore a circa 1 ogni 20.000 ore di funzionamento del motore per ETOPS-120, 1 ogni 50.000 per ETOPS-180 e 1 ogni 100.000 per gli standard superiori. In secondo luogo, ogni singola compagnia aerea deve ottenere l'approvazione operativa: programmi di manutenzione specifici, equipaggi e addetti al controllo del traffico aereo addestrati, voli di validazione sulle rotte effettive.

La cura dei dettagli rasenta l'ossessione, ed è proprio questo il punto. I sistemi a tempo limitato devono resistere anche allo scenario peggiore: il sistema antincendio della stiva, ad esempio, deve continuare a funzionare per tutta la durata della deviazione più lunga possibile, con un margine di sicurezza. Le compagnie aeree in genere organizzano la manutenzione in modo che lo stesso tecnico non esegua la stessa operazione su entrambi i motori prima di una partenza ETOPS, perché lo scenario da incubo non è rappresentato da due guasti casuali, ma da un errore umano fedelmente replicato sul lato sinistro e destro dell'ala.

Il sistema si dimostrò subito efficace. Nel 1988 la FAA estese il limite a 180 minuti e l'ETOPS-180 aprì circa il 95% della superficie terrestre ai bimotori. Il Boeing 777 fu progettato fin dall'inizio per questo scenario e, per la prima volta, entrò in servizio nel 1995 già con la certificazione ETOPS-180. I trimotori non si ripresero mai. Nel giro di due decenni anche il 747 e l'A380 erano in declino, soppiantati dai bimotori che potevano volare ovunque i giganti, con un consumo di carburante di gran lunga inferiore.

Quando accade davvero

Come si svolge in pratica una deviazione ETOPS? Molto prima della partenza, i responsabili del controllo del traffico aereo selezionano gli aeroporti alternativi lungo la rotta – nomi suggestivi e battuti dal vento come Keflavik, Gander, Halifax e Cold Bay – e calcolano i punti di uguale tempo, ovvero i punti in cui diventa più rapido proseguire verso il porto successivo piuttosto che tornare indietro al precedente. Se un motore si guasta in mezzo all'oceano, l'equipaggio segue una procedura prestabilita: mettere in sicurezza il motore, scendere alla quota di volo con un solo motore, dirigersi verso l'aeroporto alternativo già previsto dal piano. Il motore rimanente è certificato, letteralmente, per funzionare da solo per l'intera distanza – cinque ore e mezza o più sui jet più moderni.

E poiché una deviazione non si conclude con l'atterraggio, le regole richiedono persino un piano di recupero dei passeggeri: la prova che una compagnia aerea sia in grado di fornire alloggio, cibo e assistenza a diverse centinaia di persone appena atterrate inaspettatamente su un'isola subartica, e di farle ripartire entro circa 48 ore. Una piccola pista di atterraggio con una manica a vento non è sufficiente.

I fatti dimostrano sia l'efficacia di questo sistema, sia la giustificazione della paranoia. Nel 2001, il volo Air Transat 236, un A330 con una perdita di carburante dovuta alla rottura di una tubazione, rimase senza carburante sull'Atlantico, con entrambi i motori in avaria, e percorse 65 miglia nautiche atterrando a motore spento a Lajes, nelle Azzorre, salvando tutti i 306 passeggeri a bordo. Si trattò di un guasto al sistema di alimentazione del carburante, non del doppio guasto indipendente di un motore, evenienza contro cui il protocollo ETOPS prevede delle misure di sicurezza, ma è proprio per questo motivo che esistono aeroporti di emergenza.

Motori in funzione o passeggeri in acqua?

Il che ci riporta alla battuta. L'acronimo inverso esiste da quasi quanto le regole, e i piloti l'hanno sentito innumerevoli volte. Ken Hoke, un comandante in pensione di Boeing 757 e 767 che ha trascorso anni ad attraversare il Pacifico secondo le regole ETOPS, offre il verdetto standard della cabina di pilotaggio.

Ha ragione riguardo all'acqua, ed è il dettaglio che la maggior parte delle persone trascura. L'ETOPS non è una regola che riguarda il sorvolo dell'acqua; è una regola che riguarda la distanza dalle piste di atterraggio. Esistono rotte terrestri attraverso la Siberia, il Sahara e l'entroterra australiano che richiedono una pianificazione ETOPS, e tratti di oceano che non ne necessitano affatto. Il mare è secondario. Il punto è la solitudine.

Quanto ci è concesso di sentirci soli? Nel 2007 la FAA ha abolito il limite massimo di 180 minuti, consentendo certificazioni fino al limite di progettazione dell'aeromobile. L'Airbus A330 ha ottenuto la certificazione ETOPS-240 nel 2009. Nel dicembre 2011 il Boeing 777 ha ricevuto l'autorizzazione ETOPS-330 e il primo volo commerciale con tale autorizzazione – Air New Zealand, da Auckland a Buenos Aires – è seguito nel dicembre 2015. Il 787 ha ottenuto la propria certificazione ETOPS-330 nel maggio 2014. E il punto di riferimento attuale appartiene all'Airbus A350, certificato dall'EASA nell'ottobre 2014 – prima ancora che entrasse in servizio – per un massimo di 370 minuti: più di sei ore, ovvero circa 2.500 miglia nautiche, dalla pista più vicina con un solo motore. Ciò copre praticamente l'intero pianeta, Polo Sud escluso.

Vera ingegneria sul Boeing 787: il jet progettato fin dall'inizio per un'autonomia di 330 minuti.

Da qualche parte, si sospetta, fa davvero molto freddo. I gemelli ormai volano ovunque. I passeggeri, quarantun anni dopo, non hanno ancora imparato a nuotare.

Fonti: Wikipedia, Circolare consultiva FAA 120-42B, EASA, Boeing, AeroSavvy, Admiral Cloudberg