El 4 de noviembre de 2010, a las 10:01 de la mañana, el Airbus A380 VH-OQA de Qantas subía sobre la isla indonesia de Batam con 469 personas a bordo cuando su motor número dos reventó por dentro. Un trozo del disco de una turbina atravesó el ala izquierda, otros cortaron unos 650 cables, y en la cabina de mando empezaron a llover avisos: hidráulica, electricidad, combustible, frenos, mandos de vuelo. Una hora y tres cuartos después, el avión más grande del mundo aterrizaba en Singapur con 41 toneladas de más, sin slats y con un motor que nadie conseguía apagar. Nadie resultó herido.
Qantas 32 suele contarse como la historia de una tripulación excepcional, y lo fue. Pero el informe de la investigación australiana describe algo más amplio: un tubo de aceite con la pared más fina que una tarjeta de crédito, fabricado así años antes y aceptado después sin las firmas que exigían los procedimientos; un disco de turbina que no se comportó como esperaba su fabricante; y un sistema de alertas que dijo la verdad en todo momento, aunque costara creerlo.
En esta página reconstruimos el vuelo con los datos del informe oficial: qué falló dentro del motor, por dónde viajaron los fragmentos, cómo se gestionó la cascada de avisos, cuánto margen tenía de verdad el aterrizaje y qué cambió después en los motores, en las fábricas y en las normas que deciden cómo debe sobrevivir un avión a la rotura de un disco.
| Qantas vuelo 32 — Ficha del suceso | |
|---|---|
| Fecha y hora | Jueves 4 de noviembre de 2010 · rotura del motor a las 02:01:11 UTC10:01 hora local de Singapur (UTC+8) · 03:01 en la España peninsular |
| Aeronave | Airbus A380-842 · matrícula VH-OQA · n.º de serie 0014 · «Nancy-Bird Walton»Fabricado en Francia en 2008 · matriculado el 4/9/2008 · certificado de aeronavegabilidad del 18/9/2008 · 8.533 horas y 1.843 ciclos · primer A380 de Qantas |
| Motores | 4 × Rolls-Royce Trent 972-84 (familia Trent 900), turbofán de tres ejesMotor afectado: n.º 2, interior izquierdo, n.º de serie 91045 |
| Aerolínea | Qantas Airways (QF / QFA) |
| Ruta | Singapur-Changi (SIN / WSSS) → Sídney (SYD / YSSY)Regreso de emergencia a Changi, pista 20C (4.000 × 60 m) |
| Ocupantes | 440 pasajeros + 5 pilotos + 24 tripulantes de cabina = 469 a bordo |
| Víctimas | Ninguna. Sin heridos a bordo y sin heridos confirmados en tierraRestos repartidos por unos 1,5 km² de la isla de Batam (Indonesia) |
| Lugar | Sobre la isla de Batam (Indonesia), en ascenso a unos 2.100 m (7.000 ft) y 250 ktIsla de Batam: ≈1,1° N · 104,0° E (centro de la isla) |
| Fase del vuelo | Ascenso inicialunos 4 minutos después del despegue |
| Pesos | Despegue: 464.040 kg (máx. 569.000) · Aterrizaje: 431.712 kg (máx. 391.000) |
| Desenlace | Aterrizaje en Changi a las 11:46:47 local; se detiene a unos 150 m del final de la pista. El motor n.º 1 no se pudo apagar hasta las 14:53 |
| Investigación | ATSB — Australian Transport Safety BureauCon AAIB de Singapur, NTSC de Indonesia, BEA, AAIB del Reino Unido, Airbus y Rolls-Royce |
| Informe | AO-2010-089 · preliminar 3/12/2010 · intermedio 18/5/2011 · final 27/6/2013 (302 págs.)3 recomendaciones formales y 13 cuestiones de seguridad |
| El avión | Reparado en Singapur (A$139 millones); volvió al servicio con Qantas en abril de 2012, unos 17 meses después del accidente Coste según Australian Aviation (2012); no figura en el informe oficial |
Línea temporal
Condiciones: mañana despejada en Singapur · viento flojo del sur-suroeste, de 3 a 6 kt · sin precipitación entre Singapur y Batam · vuelo en condiciones visuales · la meteorología no influyó.
Factores clave: grieta por fatiga en un tubo de aceite de pared demasiado fina · fuego interno sin detección · disco de turbina que se acelera en lugar de frenarse · daños en caminos de cableado redundantes · decenas de avisos del ECAM · fuga de combustible sin posibilidad de vaciado · aterrizaje con 41 t de sobrepeso.
Despega de la pista 20C de Changi hacia Sídney con 469 personas. Ascenso normal con piloto automático.
Una grieta por fatiga en un tubo de aceite del motor 2 deja escapar una niebla de aceite a unos 370 °C. Se inflama sola.
El fuego debilita el brazo que une el disco de la turbina intermedia con su eje, y se parte. El disco, libre, empieza a acelerar.
El ECAM muestra «ENG 2 TURBINE OVHT»: la alarma llega antes que la explosión.
El disco revienta en tres trozos a 7.000 ft y 250 kt. Atraviesan el ala izquierda y cortan unos 650 cables.
Llamada de urgencia a Singapur. El autoempuje no funciona; el comandante controla la potencia a mano.
Intentan disparar los dos extintores, dos veces cada uno; no llega ninguna confirmación. Los cables estaban cortados.
Un aviso del sistema hidráulico amarillo, en el lado sano, les hace dudar. Lo comprueban y deciden seguir sus listas.
A 7.400 ft y a menos de 30 NM de Changi. Piden tiempo en vez de volver deprisa.
Terminan los procedimientos iniciales del ECAM. Con una fuga confirmada, deciden no transferir más combustible; tampoco pueden vaciarlo.
Todas las acciones completadas. El programa da «sin resultado»; con el peso real, 100 m de margen.
Salen de la espera tras comprobar los mandos a 4.000 ft. Tren abajo por gravedad a las 11:37:57.
Sin slats, sin frenos en el tren del ala izquierda y con un solo inversor. Se detiene a unos 150 m del final.
Con un motor en marcha y combustible en el suelo, bajan por escaleras por la puerta 2R, en grupos. El último sale unas 2 horas después de aterrizar.
Tras fallar todos los métodos, los bomberos lo paran con agua y espuma en la toma de aire.
Horas según el informe ATSB AO-2010-089 (registrador de vuelo, datos del ECAM y del motor, y apéndice A). Las marcadas con «≈» no figuran al segundo en el informe. No hay grabación de voz de la emergencia: la grabadora de cabina, de dos horas en bucle, se sobrescribió mientras el motor 1 seguía en marcha.
La cronología tiene una forma poco habitual. Lo que rompió el avión se decidió en apenas un minuto, entre que el aceite empezó a arder dentro del motor, hacia las 10:00, y el estallido del disco, a las 10:01:11. Lo que lo salvó llevó casi dos horas, y la parte más importante fue una decisión que no se ve en ninguna gráfica: no volver deprisa. Con Changi a pocos minutos, la tripulación pidió un circuito de espera para trabajar los avisos uno a uno, y revisó esa decisión una y otra vez mientras calculaba el combustible. Cuando el avión por fin tocó la pista, sus pilotos ya sabían qué funcionaba, qué no y qué podía fallar en el último momento.
La tripulación
Aquel día la cabina de mando del VH-OQA llevaba cinco pilotos en vez de los tres habituales en un vuelo de largo recorrido. El comandante, Richard de Crespigny, estaba pasando un chequeo de línea, un examen en vuelo real que los comandantes repiten periódicamente. Lo evaluaba Harry Wubben, un comandante que a su vez se formaba como examinador, y a Wubben lo supervisaba David Evans. Junto a ellos volaban el primer oficial, Matt Hicks, y el segundo oficial, Mark Johnson, el piloto de relevo. Entre los cinco sumaban más de 72.000 horas de vuelo.
La ATSB analizó cómo se repartieron el trabajo. El comandante volaba el avión y el primer oficial leía y ejecutaba las listas del ECAM, como marcan los procedimientos; los tres pilotos adicionales se encargaron de lo que no era imprescindible para volar: hablar con la cabina, hacer anuncios, ir a ver el ala y calcular la distancia de aterrizaje. El informe concluyó que tripulación de vuelo y de cabina actuaron como «un equipo competente», y añadió un matiz importante: sin esos tres pilotos de más, la tripulación habitual probablemente habría hecho lo mismo, solo que más despacio.
Richard de Crespigny
53 años · en chequeo de línea
Antes había volado Boeing 747 y Airbus A330. Habilitado en A380 desde abril de 2008. Después escribió el libro «QF32» (2012).
Matt Hicks
Edad no publicada
Leyó y ejecutó las listas del ECAM durante la emergencia. Era el piloto con más experiencia en A380 de los dos titulares.
Mark Johnson
Edad no publicada
Fue a la cabina de pasaje a ver los daños: vio la fuga de combustible desde una ventanilla del piso principal.
Harry Wubben
Edad no publicada
Estaba evaluando el chequeo de línea del comandante mientras él mismo se formaba como examinador.
David Evans
Edad no publicada
Supervisaba a Wubben. Hizo anuncios a los pasajeros y participó en el cálculo de la distancia de aterrizaje.
Michael von Reth
28 años en Qantas
Al no conseguir hablar con la cabina de mando por el interfono, recorrió los puestos uno a uno para informar a cada tripulante.
Sin fotografías: no hemos podido verificar imágenes de la tripulación con licencia libre. Horas de vuelo según el informe ATSB AO-2010-089 (apartado 1.5), que no publica nombres ni edades; los nombres y cargos proceden de Flight Safety Australia (2012) y la edad del comandante, de su fecha de nacimiento publicada (31/5/1957). Los 24 tripulantes de cabina eran el jefe de cabina, un responsable de la cubierta superior y 22 auxiliares (AeroSafety World, 2013).
Análisis técnico
Un motor de tres ejes
El VH-OQA llevaba cuatro Rolls-Royce Trent 900, motores de tres ejes. Delante está el ventilador, el gran disco de palas que se ve en la entrada y que da la mayor parte del empuje; detrás, el aire que entra en el núcleo se comprime, se quema con el combustible y sale empujando unas turbinas que mueven todo lo de delante. Rolls-Royce lo organiza en tres ejes concéntricos, cada uno con su compresor y su turbina: baja presión, presión intermedia y alta presión. La pieza que falló fue el disco de la turbina de presión intermedia, un único disco macizo con álabes en el borde que gira a gran velocidad en medio de los gases de la combustión.
Una pared de 0,35 milímetros
Ese disco gira apoyado en cojinetes que necesitan aceite, y el aceite les llega por unos tubos cortos, los «stub pipes», encajados en la estructura que los sostiene. En la fábrica de Rolls-Royce en Hucknall, el extremo de cada tubo se mecanizaba con un contrataladro que tenía que quedar centrado para que la pared fuera igual de gruesa en todo el contorno: 0,91 mm nominales y nunca menos de 0,82. En el tubo del motor 2, el taladrado estaba descentrado. La pared medía 1,42 mm en un lado y 0,35 en el otro.
La zona fina se agrietó por fatiga, vuelo a vuelo, sin dar señales. La mañana del 4 de noviembre la grieta se abrió lo suficiente para dejar escapar aceite hacia un hueco del motor diseñado para estar siempre seco, y lo que siguió fue una cadena de cinco fases que la ATSB reconstruyó con los datos de los sensores del propio motor.
El hallazgo clave · ATSB AO-2010-089
El grosor de una pared
Espesor de la pared del tubo de aceite («stub pipe») en la zona del contrataladro. La línea roja marca el mínimo que permitía el diseño.
peor combinación de tolerancias
lado grueso
lado fino, donde se agrietó
Tras el accidente, Rolls-Royce retiró de servicio todo motor con menos de 0,5 mm (40 motores en todo el mundo, 5 de Qantas) y fijó un mínimo de fabricación de 0,70 mm para las piezas nuevas.
Datos del fabricante recogidos por la ATSB
Cuánto aguanta cada grosor
Rolls-Royce calculó el esfuerzo y la vida a fatiga del tubo para varios grosores de pared. Elige uno.
Ciclo: un vuelo completo, de despegue a aterrizaje. Vidas calculadas por Rolls-Royce suponiendo empuje máximo en cada despegue, el peor caso, y ajustadas a los 677 ciclos reales del motor 2; la de 0,91 mm la estimó la ATSB a partir de una gráfica. La escala de vida es logarítmica; la línea roja marca 677 ciclos. Fuente: ATSB AO-2010-089, apartado 2.5.2, tablas 8 y 9.
Del tubo al estallido
Cinco fases en un minuto
El aceite sale atomizado a un hueco a 365–375 °C. Este aceite se inflama solo desde unos 280 °C: no hace falta chispa.
El fuego atraviesa la cámara y deforma los sellos de la turbina de alta presión. Gases calientes entran donde no deberían.
La llama ablanda el brazo que une el disco de la turbina intermedia con su eje, que se rompe por sobrecarga.
Rolls-Royce esperaba que un disco suelto se frenara. Pero el compresor de alta siguió empujando aire y en 4 segundos superó su velocidad de diseño.
El disco se parte en tres segmentos que atraviesan la carcasa en direcciones distintas. El motor aún siguió girando hasta que lo apagaron, a las 10:03.
Fuente: ATSB AO-2010-089, apartados 2.3, 3.1–3.5 y 4.3. Horas locales de Singapur. Las horas de las fases 1 y 2 están deducidas de los sensores de temperatura y vibración del motor.
Tres trozos, dos mazos de cables
La carcasa de un motor está diseñada para retener un álabe suelto, no un disco entero: un trozo de disco de turbina lleva tanta energía que se considera imposible de contener. Uno de los fragmentos entró por el borde de ataque del ala izquierda, cruzó el larguero delantero, atravesó el depósito de combustible interior y salió por el extrados dejando un agujero. A su paso cortó un mazo de cables que recorría el borde de ataque. Otro fragmento cortó un segundo mazo en la panza del avión, bajo la unión del ala con el fuselaje, y ahí estaba la trampa: por ese mazo iban los cables de respaldo de algunos de los sistemas que ya habían perdido los suyos en el ala. Dos caminos que se suponían independientes cayeron a la vez.
La mayor parte de los daños en los sistemas no fueron mecánicos sino eléctricos: unos 650 cables afectados, que a su vez dejaron sin control válvulas, bombas, frenos y extintores alejados del punto de impacto. Por eso el problema se extendió mucho más allá de lo que se veía desde la cabina, y por eso el ECAM mostró avisos de sistemas que, a primera vista, no tenían nada que ver con un motor del ala izquierda.
Recreación propia · esquema orientativo
El recorrido de los fragmentos
Vista desde atrás del motor 2 y la raíz del ala izquierda. El disco se rompió en tres segmentos que salieron en direcciones distintas.
Esquema no a escala, basado en la descripción de la ATSB (apartados 1.3 y 3.4 y apéndice B). Solo se recuperó un segmento, de unos 70 kg y el 43 % del disco, en una propiedad de Batam; el tamaño de los otros dos se estimó a partir de los daños. Las direcciones son ilustrativas.
Qué dejó de funcionar
Sistemas afectados
- Fuga en el depósito de alimentación del motor 2
- Sin vaciado en vuelo
- Transferencia y medición degradadas
- Válvulas de corte del motor 1 sin control
- Sistema verde perdido
- Menos redundancia en el amarillo
- Sin generación en los motores 1 y 2
- Uno de los cuatro sistemas de corriente alterna perdido
- El APU no se pudo conectar en tierra
- Slats y borde de ataque inoperativos
- Alerones y spoilers reducidos
- Ley alternativa
- Sin autoempuje
- Control automático reducido en los motores 1, 3 y 4
- Sin extensión normal del tren
- Sin frenos en el tren del ala izquierda
- Frenos y antideslizamiento del ala derecha reducidos
- Una de las dos botellas extintoras de los motores 1 y 2 sin función
- Sin confirmación de descarga en cabina
- Fugas de aire de sangrado en el ala izquierda
- Conducto de aire del APU dañado
Fuente: ATSB AO-2010-089, apartado 1.3.2. Algunos sistemas se perdieron por el impacto directo y otros por las acciones de los propios procedimientos del ECAM.
Las pruebas · fotografías de la ATSB
Lo que encontraron en Changi
Pulsa cada foto para verla a tamaño completo. Los rótulos de las imágenes los hemos traducido al español.
La cascada del ECAM
El ECAM es el sistema con el que un Airbus vigila sus propios sistemas: cuando detecta un fallo lo muestra en pantalla, en rojo o en ámbar según su gravedad, junto con la lista de acciones para resolverlo, y si llegan varios a la vez los ordena por prioridad. En el VH-OQA, el primer aviso apareció a las 10:01:08, tres segundos antes del estallido. Después llegó una cascada: avisos que aparecían, se borraban y volvían a aparecer, cada uno con su propia lista. El informe oficial no da una cifra cerrada de mensajes; las que circulan, de unas decenas a más de cien listas, proceden del recuerdo de la tripulación.
Hubo un momento de duda. Entre los avisos apareció uno del sistema hidráulico amarillo, que se alimenta de los motores del lado derecho, el que no había recibido ningún golpe. Si ese aviso era falso, quizá el propio ECAM estaba dañado. Entre las 10:10 y las 10:12 la tripulación abrió a mano las páginas de motores e hidráulica para comprobarlo, lo discutió y decidió seguir las listas tal como aparecían. Airbus confirmó después que todos los mensajes respondían a una condición real del avión: ninguno era una falsa alarma.
Seguir las listas no significó obedecerlas a ciegas. Cuando llegaron más avisos de combustible, la tripulación decidió no seguir pasando combustible de un depósito a otro, porque no se fiaba de un sistema con agujeros. Terminar los procedimientos iniciales llevó unos 50 minutos, y la lista completa de acciones no se dio por cerrada hasta las 11:13, más de una hora después del estallido.
Cuarenta y una toneladas de más
Un avión de largo recorrido despega más pesado de lo que puede aterrizar, porque lleva el combustible de todo el viaje. El A380 podía tomar tierra con 391 toneladas; el VH-OQA iba a hacerlo con casi 432, sin poder vaciar combustible, sin slats, sin frenos en el tren del ala izquierda y con un solo inversor de empuje, el del motor 3. El primer cálculo de distancia de aterrizaje, hecho por los pilotos de apoyo en un portátil, dio «sin resultado». El problema estaba en el programa: con el peso máximo de aterrizaje introducido, aplicaba su margen de seguridad una vez por cada una de las nueve averías; con un peso superior al máximo, solo una. Con el peso real, el resultado fue que el avión cabía en la pista con 100 metros de sobra.
Antes de salir de la espera, la tripulación desconectó el piloto automático para probar cómo respondía el avión en configuración de aterrizaje. Ya en la aproximación bajó el tren por gravedad, y sonaron dos avisos de baja energía, a unos 300 y 110 metros sobre el suelo, y un aviso de pérdida a un metro de la pista: todos genuinos, según Airbus. El comandante describió después una ventana de velocidad de apenas unos nudos entre la pérdida y salirse de la pista. A las 11:46:47 el avión tocó tierra y se detuvo a unos 150 metros del final.
Recreación propia · apéndice A del informe
Lo que veía la tripulación
La ATSB reconstruyó qué página mostraba cada pantalla y cuándo, con los datos grabados por el propio avión. Avanza paso a paso por la hora y media de la emergencia.
Simulación simplificada con fines divulgativos. Las horas y las páginas de sistemas proceden del informe ATSB AO-2010-089 (apéndice A); los textos de la pantalla de avisos son una recreación en español a partir de la lista que recordó la tripulación, salvo los mensajes entre comillas, que cita el informe. No es el orden exacto de todos los avisos.
Pista 20C de Changi · 4.000 m
¿Cuánto margen había?
Tres maneras de medir el mismo aterrizaje. La tripulación trabajó con la más pesimista, que era la única que tenía.
El cálculo que no salía
La aplicación de distancia de aterrizaje multiplica la distancia por un factor por cada avería y añade un margen de prudencia. Los pilotos de apoyo introdujeron nueve averías. Mira qué cambiaba según el peso que escribieran.
Esquema orientativo. En las pruebas en simulador de 2011, con frenada máxima, el avión se detuvo siempre con 1.000 a 1.500 m de pista por delante. Fuente: ATSB AO-2010-089, apartados 1.1, 1.13 y 1.14. Los factores y el margen de la aplicación no se publican: el esquema de averías es solo ilustrativo.
Un motor que no se apagaba
Al cortar los motores, el sistema eléctrico pasó a un modo parecido al de emergencia y casi todas las pantallas de la cabina se quedaron en negro. Antes de que se apagaran, varios pilotos vieron que los frenos del tren izquierdo marcaban 900 °C y subían. Por radio, el jefe de bomberos pidió que apagaran el motor número 1. Ya lo habían hecho: el motor seguía girando. La orden de cerrar sus válvulas de combustible viajaba por cables que los fragmentos habían cortado, y tampoco funcionaron el botón de fuego ni los extintores.
Con combustible cayendo cerca de unos frenos al rojo y un motor en marcha en el lado izquierdo, la tripulación descartó la evacuación por toboganes, que en los estudios de la NTSB causa lesiones a alrededor de un 8 % de los evacuados. Mientras los bomberos cubrían el combustible de espuma, optó por un desembarque preventivo: escaleras por el lado derecho, una sola puerta para contar a los pasajeros y el resto de las puertas armadas, con un tripulante en cada una por si había que cambiar de plan. Los primeros pasajeros bajaron unos 50 minutos después de aterrizar; el último, una hora más tarde. El motor 1 solo se paró a las 14:53, cuando los bomberos lo ahogaron con agua y espuma directamente en la toma de aire.
La investigación
La investigación la dirigió la ATSB, el organismo australiano de seguridad en el transporte, con la participación de los investigadores de Singapur, Indonesia, Francia y el Reino Unido, además de Airbus y Rolls-Royce. Su primer obstáculo apareció esa misma tarde: la grabadora de voz de cabina guardaba solo las dos últimas horas en bucle, y mientras el motor 1 siguiera en marcha seguía grabando encima. Cuando por fin se paró, el estallido y todo lo que se habló en el aire hasta la aproximación habían desaparecido. La ATSB reconstruyó la secuencia con el registrador de datos, los ordenadores de mantenimiento, las unidades de cada motor y el testimonio de la tripulación.
El trozo de disco recuperado en Batam no tenía ningún defecto de material: se había roto por girar más deprisa de lo que podía aguantar. A finales de noviembre de 2010 la investigación ya había llegado al tubo de aceite, y el 1 de diciembre la ATSB emitió una recomendación urgente a Rolls-Royce, porque el problema podía afectar a toda la flota mundial del Trent 900. El informe final, publicado en junio de 2013, dedica la mayor parte de sus páginas a la pregunta más difícil: por qué una pieza fuera de plano llegó a volar, y por qué nadie la paró después.
La respuesta es una cadena de decisiones pequeñas tomadas a lo largo de años en Hucknall: una referencia de fabricación que no estaba atada a la posición del tubo, una primera inspección hecha con los planos de fabricación en lugar de los de diseño, una máquina de medir programada con otra referencia, una costumbre de no declarar las desviaciones consideradas menores y, en 2009, una concesión para aceptar piezas ya entregadas que se aprobó con un análisis estadístico cuya incertidumbre nadie comunicó bien y sin la firma del ingeniero jefe ni del director de calidad, que eran quienes podían haber evaluado el riesgo para los motores en servicio.
ATSB AO-2010-089 · la respuesta a la pregunta central
El avión nunca mintió
Cuando un aviso del sistema hidráulico del lado sano hizo dudar a la tripulación, el temor era que el ECAM estuviera confundido por sus propias heridas. Airbus comparó después los mensajes con el estado real del avión: todos respondían a una condición real. El problema no era distinguir las alarmas falsas de las verdaderas, sino tener tiempo para atenderlas todas, en orden y con criterio.
Factores de seguridad
Por qué llegó a pasar
Una grieta por fatiga en la zona fina del tubo dejó escapar aceite que se inflamó dentro del motor.
Tras soltarse, el disco se comportó de forma distinta a lo que preveían los modelos del fabricante: se aceleró y estalló.
El movimiento de la pieza durante el mecanizado dejó una pared críticamente fina, y la desviación no se detectó o no se declaró.
La primera inspección del proceso se hizo con los planos de fabricación, no con los de diseño.
En la planta de Hucknall se consideraba aceptable no declarar desviaciones «menores».
La concesión de 2009 se aprobó con un análisis estadístico mal comunicado y sin las firmas exigidas: de 138 concesiones de ese tipo entre 2009 y 2011, 131 incumplían el procedimiento.
Los daños del VH-OQA superaron el modelo de fragmentos que se usa para certificar los aviones frente a la rotura de un disco.
La aplicación de distancia de aterrizaje era excesivamente conservadora con varias averías por debajo del peso máximo.
Pulsa cada tarjeta para desplegarla
Conceptos para entender el QF32
📟ECAMEl sistema que vigila al avión›
Detecta los fallos, los muestra en rojo o ámbar según su gravedad y escribe debajo la lista de acciones. Si llegan varios a la vez, los ordena por prioridad, como un triaje en urgencias; en las fases más delicadas retiene los avisos menores para no distraer.
En QF32 todos sus mensajes resultaron ser reales, incluido el que hizo dudar a la tripulación.
⚙️Turbofán de tres ejesTres motores en uno›
Baja presión (ventilador y su turbina), presión intermedia y alta presión: tres ejes concéntricos, cada uno con su compresor y su turbina, que giran a velocidades distintas. Es la arquitectura característica de los motores Trent de Rolls-Royce.
Falló el disco de la turbina del eje intermedio.
🌀Sobrevelocidad de turbinaUn disco sin freno›
Si una turbina se separa de su eje, deja de mover nada y, si el aire sigue empujándola, se acelera. Por encima de cierta velocidad, su propio metal no aguanta la fuerza que lo estira hacia fuera.
Tras el accidente, Rolls-Royce añadió el IPTOS, que corta el combustible si detecta un fuego interno y una frenada brusca del compresor.
📏No conformidad y concesiónCuando una pieza no cumple el plano›
Una pieza que se sale de las medidas del plano es una no conformidad. Se puede aceptar con una concesión, un documento en el que alguien con autoridad evalúa que sigue siendo segura.
La concesión de 2009 que dejó volar los tubos finos no pasó por quienes debían firmarla.
⚖️Peso máximo de aterrizajeDespegar más pesado de lo que se aterriza›
El tren, los frenos y la estructura se calculan para aterrizar con menos peso que el de despegue. Si hay que volver pronto, lo normal es vaciar combustible en vuelo o quemarlo dando vueltas.
El VH-OQA no podía vaciarlo y aterrizó con 41 toneladas de más.
🎯El modelo del tercio de discoCómo se certifica contra un estallido›
Para demostrar que un avión resiste la rotura de un disco, se dibujan las trayectorias de un fragmento de un tercio de disco dentro de un abanico de ±3° y se comprueba que la probabilidad de catástrofe quede por debajo de 1 entre 20.
Los daños del VH-OQA superaron ese modelo porque varios trozos alcanzaron a la vez caminos redundantes.
🛝Desembarque frente a evacuaciónToboganes o escaleras›
Una evacuación por toboganes saca a todos en muy poco tiempo, pero en los estudios de la NTSB alrededor de un 8 % de los evacuados se lesiona. Si no hay peligro inmediato, puede ser más seguro esperar escaleras con los toboganes listos.
Los 440 pasajeros bajaron por escalera, sin un rasguño.
🎙️Grabadora de voz en bucleDos horas y se borra›
La grabadora de cabina graba de forma continua y escribe lo nuevo encima de lo más antiguo. En 2010 la norma exigía dos horas.
Con el motor 1 en marcha tres horas, la emergencia se borró. Hoy los aviones grandes nuevos llevan grabadoras de 25 horas.
Fuentes: ATSB AO-2010-089, apartados 5, 6 y 7 y apéndice A; FAA AC 20-128A (1997); NTSB, estudio de seguridad sobre evacuaciones (2000), citado por la ATSB.
Certificar contra un disco roto
Ninguna norma promete que un disco de motor no vaya a romperse nunca. Lo que exigen las normas europea y estadounidense para aviones de transporte, en su apartado 25.903(d)(1), es tomar precauciones de diseño para minimizar los peligros si ocurre. Para demostrarlo, los fabricantes usan el modelo de la guía AC 20-128A, cuya versión europea, la AMJ 20-128A, fue la que se usó para certificar el A380: se dibujan las trayectorias de un fragmento de un tercio de disco dentro de un abanico estrecho, se miran qué cables, tubos y depósitos atraviesa, se separan los sistemas duplicados y se comprueba que la probabilidad de catástrofe quede por debajo de un objetivo, una entre veinte para ese fragmento.
Ese modelo es, en buena parte, un archivo de accidentes: cada versión nació de uno. La ATSB concluyó que los daños del VH-OQA superaron el modelo, no por el tamaño de un trozo, sino porque varios fragmentos en trayectorias distintas alcanzaron a la vez caminos redundantes, como las válvulas de corte de combustible y la extinción del motor 1. Aun así, el avión siguió siendo capaz de volar y aterrizar. En 2013 recomendó a EASA y a la FAA incorporar esa experiencia a la guía. En 2016, un grupo de trabajo de fabricantes y operadores que asesora a la FAA concluyó que el método vigente proporcionaba un nivel de seguridad adecuado, citando precisamente el A380 como ejemplo. En su web, la ATSB sigue dando el asunto por no resuelto.
La norma como archivo de accidentes
Cómo se aprende a sobrevivir a un disco roto
Un DC-10 de Air Florida sufre la rotura de un disco en la carrera de despegue. Sin heridos.
La NTSB pide una guía para cumplir la norma basada en casos reales de daños graves.
La FAA publica la primera guía para minimizar los daños por rotura de rotor.
Un DC-10 de United pierde los tres sistemas hidráulicos por un disco del ventilador. 112 muertos.
Nueva guía, armonizada con la europea AMJ 20-128A. Incluye el modelo del tercio de disco.
EASA y la FAA certifican el A380 el 12 de diciembre, con la AMJ 20-128A como guía.
Primer fallo no contenido de un motor de «tercera generación». Los daños superan el modelo. Sin heridos.
Recomienda a EASA y a la FAA revisar los daños del VH-OQA e incorporar lo aprendido.
Concluye que el método vigente es adecuado y propone solo aclaraciones (borrador de AC 20-128B).
En su web, la ATSB marca la cuestión como «Closed – Not addressed».
Fuentes: ATSB AO-2010-089 (apartados 1.18 y 7.2.12); FAA AC 20-128A (1997); ARAC/AAWG, Rotorburst Recommendation (noviembre de 2016); ATSB, cuestión de seguridad AO-2010-089-SI-13. Las víctimas de Sioux City figuran como 111 en el informe de la ATSB y como 112 en otras fuentes, entre ellas nuestra página del vuelo 232.
Comparativa
Dos discos, dos finales
Veintiún años antes, otro disco de motor roto había dejado a un avión sin caminos redundantes. Los dos casos empiezan igual y terminan de forma muy distinta.
En los dos casos, un defecto de fabricación superó todos los controles y los fragmentos alcanzaron a la vez caminos que debían ser independientes. La diferencia la marcó lo que quedó: el DC-10 se quedó sin mandos y el A380 conservó los suficientes.
Lee la investigación de United 232 →Fuentes: NTSB/AAR-90/06 (United 232) y ATSB AO-2010-089 (Qantas 32). La NTSB contabiliza 111 fallecidos en United 232; otras fuentes, entre ellas nuestra página del caso, dan 112.
Lo que pudo pasar
En casi todas nuestras investigaciones, este es el lugar para recordar a las víctimas. En Qantas 32 no las hubo, y eso obliga a mirar con calma lo cerca que estuvo de haberlas. El fragmento que atravesó el depósito de combustible iba caliente y encendió los vapores del interior: la ATSB encontró hollín en las paredes, pero la mezcla de aquel momento no permitía que el fuego se mantuviera y se apagó en un fogonazo, sin llegar a quemar la pintura. El fuego que un pasajero vio durante minutos a través del agujero del ala fue, según el informe, otro, el del aceite en la parte baja del motor 2, que también se apagó solo.
Debajo del avión también había gente. Los restos cayeron sobre más de un kilómetro cuadrado de la isla de Batam un jueves por la mañana; el trozo de disco de 70 kilos acabó dentro de una propiedad y, según la prensa de la época, otros fragmentos alcanzaron una escuela, casas y un coche. No se confirmó ningún herido, y fueron los propios vecinos, con la policía indonesia, quienes ayudaron a recuperar las piezas que después analizaron los investigadores.
Un fragmento caliente atravesó el depósito interior y encendió sus vapores, pero la mezcla no permitía mantener el fuego.
Calcularon 100 m de sobra. Airbus estimó después que, frenando al máximo, habrían sobrado unos 1.700.
Con un motor en marcha y combustible en el suelo, los 440 pasajeros bajaron por escalera, en grupos y sin lesiones.
«La tripulación de vuelo y la de cabina gestionaron el suceso como un equipo competente.» — ATSB, conclusiones del informe
Fuente: ATSB AO-2010-089, apartados 1.11, 1.12, 1.13 y 6.3. La cita es una traducción propia del informe.
Lecciones y legado
Qantas 32 dejó pocos cambios espectaculares y muchos discretos. En semanas se midieron los tubos de toda la flota mundial del Trent 900, se retiraron cuarenta motores y se instaló un software que corta el combustible si un disco se suelta. Después llegaron los cambios en la fábrica, en el programa de cálculo de aterrizaje y en las grabadoras de cabina. Son tubos medidos, líneas de código y papeles firmados por quien debía firmarlos: así es casi siempre como se hace un avión más seguro.
Simulador · ATSB AO-2010-089, apartado 7.2.1
El freno de software
Un mes después del accidente, todos los Trent 900 llevaban un programa nuevo en su ordenador de control, el IPTOS. Vigila dos señales y solo actúa cuando aparecen las dos. Provoca las condiciones y mira qué hace el motor.
Lo que pasa dentro del motor
Lo que hace el ordenador del motor
Simulación simplificada con fines divulgativos, basada en la descripción de la lógica que Rolls-Royce facilitó a la ATSB. El IPTOS está diseñado para apagar el motor antes de que el disco alcance su velocidad de rotura; el informe no dice qué habría pasado si el VH-OQA lo hubiera llevado. Instalado en toda la flota el 6 de diciembre de 2010 y obligatorio por la directiva de EASA 2010-0262.
Qantas dejó en tierra sus seis A380 el mismo día y Rolls-Royce ordenó revisar todos los Trent 900 antes del siguiente vuelo. El 10 de noviembre EASA lo hizo obligatorio con una directiva de emergencia; Qantas volvió a volar el 27 de noviembre, sin usar el empuje máximo.
Rolls-Royce NMSB 72-G589 (4/11/2010) · EASA AD 2010-0236-E (10/11/2010), 2010-0242-E (22/11/2010) y cancelación 2010-0242-CN (2/3/2011)Se midió el tubo de toda la flota: cualquier motor con menos de 0,5 mm de pared salió de servicio, 40 en total, 5 de ellos de Qantas. El mínimo de fabricación para piezas nuevas subió a 0,70 mm.
ATSB SR-012 (1/12/2010) · Rolls-Royce NMSB 72-G595 rev. 1 · ATSB 7.2.2Rolls-Royce publicó el IPTOS el 3 de diciembre de 2010 y lo instaló en toda la flota del Trent 900 el día 6; EASA lo hizo obligatorio una semana después. Su lógica, en el simulador de arriba.
Rolls-Royce NMSB RB.211-73-AG639 · Airbus SB A380-73-8011 · EASA AD 2010-0262 (13/12/2010)Consulta obligatoria entre ingenieros de fabricación y de diseño, primeras inspecciones con los planos de diseño, revisión de las concesiones y la pieza reclasificada como «sensible para la fiabilidad». Rolls-Royce pagó a Qantas A$95 millones.
ATSB 7.2.3–7.2.10 · NBR (22/6/2011)Airbus corrigió la aplicación de distancia de aterrizaje para que el resultado fuera coherente con cualquier peso, y mejoró el software del ECAM para los tanques de compensación y del sistema eléctrico.
Airbus SB A380-46-8046 (4/10/2011) · SB A380-42-8022 (25/4/2013) · ATSB 7.2.11 y 7.3La ATSB presentó el caso ante la OACI en 2012 como ejemplo de por qué dos horas no bastan. La OACI adoptó en 2016 grabadoras de voz de 25 horas para los aviones grandes fabricados desde 2021.
ATSB 1.10 · OACI, Anexo 6 · SKYbraryLa ATSB pidió a EASA y a la FAA incorporar los daños del VH-OQA al modelo de fragmentos. En 2016 el grupo asesor de la FAA consideró suficiente el método vigente. La cuestión sigue abierta.
ATSB SR-039 y SR-040 (27/6/2013) · ARAC/AAWG (1/11/2016) · ATSB SI-13«Qantas 32 no dejó víctimas que recordar, pero sí una lección: los datos más valiosos son los que llegan sin que nadie haya muerto.»— Despresurizados · Expediente 32
Fuentes y referencias
- OFICIALAustralian Transport Safety Bureau — Informe final AO-2010-089: In-flight uncontained engine failure, Airbus A380-842, VH-OQA, overhead Batam Island, Indonesia, 4 November 2010 (27/6/2013) →Informe, preliminar e intermedio. Licencia Creative Commons Attribution 3.0 Australia.
- OFICIALATSB — Cuestión de seguridad AO-2010-089-SI-13: certificación frente a la rotura de un rotor (EASA y FAA) →Respuestas de EASA y de la FAA y estado actual.
- OFICIAL
- OFICIALARAC / Airworthiness Assurance Working Group — Rotorburst Recommendation Document (1/11/2016) →Incluye el borrador de revisión de la AC 20-128A.
- OFICIAL
- DIVULGATIVAFlight Safety Australia (CASA) — QF32 and the black swan (2012, reed. 2016) →Nombres y cargos de la tripulación de vuelo.
- DIVULGATIVAFlight Safety Foundation, AeroSafety World — A Black Swan Event (dic. 2011) y Presence of Mind (oct. 2013) →Testimonio del comandante y de la tripulación de cabina.
- DIVULGATIVA
- PRENSAABC Four Corners — QF32 (28/3/2011) →Transcripción del reportaje con entrevistas a la tripulación.
- PRENSA
- PRENSA
- OFICIALNational Transportation Safety Board — NTSB/AAR-90/06: United Airlines Flight 232, McDonnell Douglas DC-10-10, Sioux Gateway Airport, Iowa, July 19, 1989 →Usado en la comparativa con United 232.
- BASE DE DATOS
- BASE DE DATOS
- ARCHIVOWikipedia en inglés — Qantas Flight 32 y Richard de Crespigny →Contrastada con el informe; usada para la compensación y los restos en Batam.
- IMÁGENESWikimedia Commons — Adrian Pingstone, «Qantas A380 VH-OQA takeoff Heathrow» (2009), dominio público →Las fotografías de los daños son del informe de la ATSB (figuras 5, 9, 10, 23, 38 y 41), con licencia CC BY 3.0 AU; hemos traducido sus rótulos.
Vuelo 32 de Qantas (2010)
Un A380 que avisa de decenas de averías a la vez y cinco pilotos que deciden no tener prisa. Te contamos cómo se aterriza un avión que no sabes cuánto está roto.
