di Mario Giardini
Changi Airport, Singapore, 4 novembre 2010.
L’Airbus 380, marche VH-OOA, volo Qantas 32 da Singapore a Sidney, è in decollo dalla testata 20C. Sono le 01 57’ UTC. A bordo ci sono 440 passeggeri, 24 attendenti di cabina, e, per un caso fortuito, e fortunato, ben 5 piloti. Secondo le regole della compagnia, c’è un Pilot in Command (15.140h di volo), un First Officer (11.279) e un Second Officer (8.153).
Tuttavia, essendo l’Airbus 380 entrato in servizio da poco, la Qantas ha inserito a bordo un Second Captain, che agisce in qualità di Check Captain (cioè di capitano incaricato di controllare la prestazione di un equipaggio durante i normali voli di linea. Se vogliamo, trattasi di un Controllo Qualità interno alla compagnia, che riguarda la condotta in volo dell’equipaggio che siede nella cabina di comando).
Il Check Captain ha 20.144 h di volo. A sua volta, è in addestramento nel suo incarico. Per questa ragione, a bordo c’è un quinto pilota: il Supervising Check Captain (17.692 h).
Insomma, per un puro caso del destino, a bordo ci sono oltre 72 000 ore di esperienza in volo. Tra poco, serviranno tutte.
Staccate le ruote, rientrati i flaps, l’A 380 sale a 250 nodi verso la quota di crociera. Appena passati i 7000 piedi (2100 m circa) in cabina vengono uditi, distintamente, e molto ravvicinati, due “loud bangs”. Il comandante reagisce con rapidità. Seleziona sul pannello “mantenere quota e prua”. Poi attende. Cosa? Che il sistema di controllo automatico della spinta regoli i motori in accordo con il comando impartito. Bisogna ridurre la potenza. Si aspetta invano. L’autothrust è off. Il pilota regola la potenza a mano e livella l’aereo.
Il pannello ECAM (Electronic Centralised Aircraf Monitor) lancia l’allarme di surriscaldamento del motore No 2. Subito dopo, decine di allarmi compaiono sullo schermo. Il PIC conferma che l’aereo è controllabile, e inizia la procedura di verifica degli allarmi.
Il primo a essere preso in considerazione è ovviamente quello che riguarda il motore 2. La procedura da seguire è quella di portare il motore in Idle (minimo) e aspettare 30” per attendere cosa accade. L’equipaggio approfitta per contattare il Controllo del Traffico Aereo di Changi e mandare un messaggio Pan (pericolo). Per un breve istante appare l’indicazione “fire in the N 2 engine ”. In automatico, l’ECAM avvisa di attendere 30” prima di prendere misure. L’equipaggio ignora l’avvertenza, e procede a spegnere il motore 2. Inoltre, avvia il sistema per spegnere eventuali fiamme. Scarica prima l’estintore 1. E poi il 2. I sistemi di bordo non confermano la loro entrata in azione.
Con un motore spento, la spinta è fuori asse, e le procedure impongono un trasferimento del combustibile. Che viene trasferito dai serbatoi alar
i estremi ai più centrali. A questo punto, i sistemi di allarme segnalano che i motori 1 e 4 stanno funzionando in maniera degradata. Il 3, invece, sta funzionando in “alternate mode”, cioè non in automatico, a causa delle manovre fatte dell’equipaggio sull’ECAM.
Nella cabina di pilotaggio si discute il da farsi. Naturalmente, la prima opzione è tornare indietro. L’aeroporto non è lontano. Ma l’aereo è appena decollato, ha il pieno di carburante, è certamente, e di molto, oltre il limite di peso consentito per un atterraggio in sicurezza. Inoltre, non sono chiari i danni, né cosa sia realmente accaduto.
Riportare a terra l’aereo il più rapidamente possibile non è detto sia la scelta più saggia. Devi prima sapere se i sistemi di bordo che servono durante l’atterraggio sono funzionanti oppure no. Non si può scoprirlo tentando di atterrare: se qualcosa non funziona, o funziona male, o funziona in ritardo, tutti morti. Bisogna anche verificare, dato l’eccesso di peso, che la pista sia sufficiente per fermarsi, prima di posare le ruote su di essa. Constatato che l’aereo risulta controllabile, sia pure con qualche difficoltà e che il carburante è largamente sufficiente, l’equipaggio decide di procedere a valutare i danni e a interpretare tutti gli allarmi sull’ECAM. Stima in 30 minuti il tempo necessario. In realtà, occorrerà circa un’ora.
Ottenuta una holding (circuito di attesa) a 20 miglia nautiche da Changi, si procede ad analizzare, uno per uno, gli allarmi, a ispezionare visivamente, più volte, i danni (senza risultato, dato che dal nessun punto della cabina il motore No 2 è completamente visibile), a fare una lista di ciò che non funziona o funziona in maniera degradata.
La situazione è per nulla rassicurante. Sinteticamente: motori 1 e 4 degradati. Sistema idraulico, governato dai motori 1 e 2: pressione bassa, basso livello di fluido. Sistema idraulico governato dal motore 4: pompe che segnalano “errori”. Generatori elettrici motori 1 e 2: in avaria. Controlli di volo in alternate law (vuol dire che alcune funzioni delegate ai computers devono essere realizzate manualmente dai piloti). Slats (servono a ridurre la velocità in atterraggio) non funzionanti. Capacità di manovrare gli alettoni: parziale. Controllo spoiler: parziale. Avvisi di allarme sul controllo e indicatore del carrello. Messaggi multipli di allarme sui freni. Messaggi multipli di allarme sul carburante. Problemi di centraggio. Autothrust e auto-land fuori servizio. Il sistema di trasferimento del carburante non funziona (ciò provocherà sbilanciamenti nel centraggio, cosa importante nelle fasi di avvicinamento e atterraggio). Generatore di energia del motore 1 disconnesso. Perdita di pressione nelle ruote di sinistra. Avionica surriscaldata. In aggiunta, c’è una marea di messaggi di allarme di cui occuparsi. Una perdita di olio e carburante visibile sull’ala sinistra, larga almeno mezzo metro. Le comunicazioni satellitari sono guaste.
Conclusioni: tutti i sistemi danneggiati possono, in qualche misura, influenzare il calcolo dei parametri per l’avvicinamento e l’atterraggio, rendendoli inaffidabili. In tutto questo tempo, l’autopilota è on. L’equipaggio è impegnato in una meticolosa analisi sulla funzionalità dei sistemi di bordo. I passeggeri ricevono frequenti avvisi che li informano sul fatto che l’aereo ha avuto un guasto tecnico e che l’equipaggio è impegnato a valutarne le conseguenze e la maniera di superarle. Vengono infine inseriti i parametri sul computer per il calcolo della lunghezza di pista necessaria all’atterraggio nelle attuali condizioni, cioè con un eccesso di peso di oltre 50 tonnellate rispetto al peso massimo all’atterraggio. Il computer non dà alcuna risposta.
Dopo una breve discussione, l’equipaggio decide di rifare il calcolo, inserendo manualmente i dati, fra cui quello, importante, che la pista 20C è, in quel momento, asciutta. Il risultato dei calcoli non è del tutto rassicurante.
Si può atterrare. Ma il margine è strettissimo: 100 m in totale.
Vuol dire che se tutto va come deve, e l’atterraggio è da manuale, l’aereo si fermerà a soli 100 metri dalla fine della pista. Un soffio, per una macchina che pesa oltre 400 tonnellate.
L’aereo viene configurato per l’avvicinamento. Si abbassano i flaps. Si tira fuori il carrello, ricorrendo alla procedura di emergenza (a causa degli allarmi presenti sull’ECAM e relativi ai circuiti idraulici). La velocità di avvicinamento viene stabilita in 166 Nodi (307 km/h).
Il reverse è disponibile solo sul motore No 3. Gli slats sono inutilizzabili. Il sistema anti-slittamento funziona solo sul carrello centrale. C’è un limitato controllo degli alettoni e degli spoilers (freni aerodinamici).
Il naso dell’aereo si alzerà al momento del touch-down, dunque non si potrà applicare al massimo i freni finché il carrello anteriore non sarà completamente e stabilmente a terra. C’è un’asimmetria nella spinta: il motore 2 è spento.
Così, il comandante regola i motori 1 e 4 affinché forniscano una spinta simmetrica, e costante. Il solo motore No 3 verrà usato per controllare la velocità di avvicinamento.
In previsione di un’uscita (possibile) di pista, il comandante richiede che i mezzi dei pompieri a terra siano dotati di schiumogeni. Il personale di bordo istruisce i passeggeri sulle procedure da seguire durante l’atterraggio e la eventuale evacuazione.
L’autopilota si disconnette due volte durante l’avvicinamento. A questo punto, il PIC decide di passare al pilotaggio manuale.
Non ci sarà flare, perché non c’è pista sufficiente. Dunque l’aereo verrà (in gergo) “sbattuto” sulla pista. Alle 3 46’ (due ore circa dopo il guasto) l’aereo tocca terra. Dopo circa 6 secondi, il reverse del motore 3 viene attivato, e il pilota inizia una frenata violenta. All’inizio, l’equipaggio ha la netta impressione che l’aereo non riesce a rallentare. Ma poi, progressivamente, e visibilmente, la velocità comincia a diminuire. La fine della pista, però, si avvicina rapidamente. Solo quando la velocità è scesa intorno ai 60 nodi (110 km/h) il PIC capisce che ce la faranno a fermarsi. Quando l’A 380 è finalmente fermo, la fine della pista dista 150 m dal suo muso.
L’aereo è fermo, ma c’è un allarme: i freni di sinistra sono surriscaldati. La temperatura, in aumento, è di 900° C. A sinistra c’è una perdita di carburante e olio. C’è un rischio concreto di incendio. Per giunta, il motore No 1 non si spegne. Continua a girare.
Inoltre, spenti i motori 3 e 4, il sistema di generazione di energia di bordo è andato in emergenza. L’evacuazione, in tali condizioni, è rischiosa.
Si rende necessario verificare quale sia la miglior procedura per sbarcare i passeggeri. Nel frattempo, i pompieri, a terra, sparano schiuma sui freni e tengono d’occhio la perdita di carburante. Si sceglie di sbarcare i passeggeri sul lato destro, usando delle scale. Per poter essere certi del loro numero, si userà una sola uscita. Sono le 4 41’ quando finalmente l’ultimo di loro lascia l’aeroplano. Ci sono voluti 55 minuti. Un tempo che deve essere parso a tutti assai più lungo.
Il motore No 1, intanto, per ragioni a tutti sconosciute, continua a girare. Gli ingegneri che stanno cercando di spegnerlo useranno tutti i mezzi ed i trucchi che conoscono. Alla fine, disperati, lo inondano con la schiuma antincendio delle autopompe dei pompieri. Il motore No 1 smette di girare alle 6 53’, oltre due ore dopo l’atterraggio.
Nessuno è morto. Nessuno è ferito, a bordo. Si avranno, però, due feriti leggeri a terra, in Indonesia, nell’isola di Batam. Sono stati colpiti da materiale perso dall’aereo nel momento dello scoppio del motore No 2.
Riflessioni. Il sangue freddo, la calma, e la professionalità con la quale l’equipaggio ha fatto fronte all’emergenza, durata quasi tre ore, sono ammirevoli. I cinque piloti hanno affrontato, analizzato e valutato ogni singolo problema.
Senza farsi prendere dall’affanno, hanno proceduto con ordine e metodo in una situazione indubitabilmente difficilissima (osservate la foto del motore No 2 per rendervene conto). Certamente, devono aver riflettuto sul rischio che si assumevano rimanendo in aria, con 440 passeggeri a bordo, col pieno di carburante e una perdita costante dello stesso, su un aereo che da un momento all’altro poteva rivelarsi una trappola mortale. Trappola, inoltre, che una qualsiasi delle disfunzioni elencate sopra avrebbe potuto far scattare.
E’ andata bene.
E dunque dobbiamo concludere che i cinque nella cabina di pilotaggio hanno preso le decisioni giuste.
Tuttavia, la linea di frontiera fra ciò che è “giusto” e ciò che è “sbagliato”, in circostanze del genere, è così sottile che, talvolta, è difficile dire se è stata la fortuna, o l’uomo, o entrambi, a determinarne la posizione.
Commenti