Volo Qantas 72

Volo Qantas 72
VH-QPA, l'aereo coinvolto nell'incidente, fotografato nel 2017
Tipo di evento	Incidente
Data	7 ottobre 2008
Tipo	Picchiate improvvise durante il volo causate da errori nel software
Luogo	Vicino a Exmouth
Stato	Australia
Coordinate	22°14′06″S 114°05′18″E / 22.235°S 114.088333°E-22.235; 114.088333 Coordinate: 22°14′06″S 114°05′18″E / 22.235°S 114.088333°E-22.235; 114.088333
Tipo di aeromobile	Airbus A330-303
Nome dell'aeromobile	Kununurra
Operatore	Qantas
Numero di registrazione	VH-QPA
Partenza	Aeroporto di Singapore-Changi, Singapore
Destinazione	Aeroporto di Perth, Perth, Australia
Occupanti	315
Passeggeri	303
Equipaggio	12
Vittime	0
Feriti	119
Sopravvissuti	315
Danni all'aeromobile	Minori (riparato)
Mappa di localizzazione
Dati estratti da Aviation Safety Network
voci di incidenti aerei presenti su Wikipedia

Il volo Qantas 72 (QF72) era un volo di linea passeggeri internazionale dall'aeroporto di Singapore-Changi, Singapore, all'aeroporto di Perth, nell'Australia Occidentale. Il 7 ottobre 2008, un Airbus A330-303 che stava percorrendo la rotta, numero di registrazione VH-QPA, venne costretto ad effettuare un atterraggio di emergenza all'aeroporto di Learmonth, vicino alla città di Exmouth, in Australia, a seguito di un incidente in volo causato da manovre improvvise che provocarono lesioni gravi e fratture a diversi passeggeri e a membri dell'equipaggio.

L'aereo

Il velivolo coinvolto era un Airbus A330-303, codice di registrazione VH-QPA, numero di serie 553. Volò per la prima volta nell'ottobre del 2003 e venne consegnato a Qantas 20 giorni dopo, il 31 ottobre. Era spinto da 2 motori turboventola General Electric CF6-80E1A3. Al momento dell'incidente, l'aereo aveva circa 5 anni e aveva accumulato 20 040 ore di volo in 3 740 cicli di decollo-atterraggio. Avendo subito solo lievi danni, venne riparato e rimesso in servizio.

L'equipaggio

L'equipaggio era guidato dal comandante Kevin Sullivan, un ex pilota della Marina degli Stati Uniti. Il primo ufficiale era Peter Lipsett e il secondo ufficiale era Ross Hales. Oltre ai tre membri dell'equipaggio, c'erano nove assistenti di cabina e 303 passeggeri, per un totale di 315 persone a bordo. Il comandante Sullivan aveva 13 592 ore di esperienza volo, delle quali 2 453 sugli Airbus A330. Il primo ufficiale Lipsett ne aveva 11 650, di cui 1 870 sugli A330. Il secondo ufficiale Hales 2 070, di cui 480 sugli Airbus A330.

L'incidente

Il 7 ottobre 2008 alle 09:32 SST, il volo Qantas 72, con 315 persone a bordo, partì da Singapore verso Perth, Australia occidentale. Alle 10:01, l'aereo aveva raggiunto l'altitudine di crociera di 37 000 piedi (11 000 m) e stava mantenendo una velocità di Mach 0,82 (1 004,54 km/h).

Alle 12:40:26 WST, una delle tre unità di riferimento inerziali dei dati aerei (ADIRU) iniziò a fornire valori errati al computer di volo. In risposta, l'autopilota si disattivò automaticamente e, pochi secondi dopo, i piloti ricevettero messaggi elettronici sull'ECAM dell'aeromobile che li avvisava di irregolarità ai sistemi di riferimento inerziali e al pilota automatico, oltre ad avvertimenti di stallo e di overspeed (velocità eccessiva). Il comandante prese il controllo manuale. L'autopilota venne riattivato dall'equipaggio, e l'aereo iniziò a tornare al livello di volo selezionato in precedenza. Il pilota automatico fu poi disattivato dopo circa 15 secondi, e così rimase per il resto del volo.

Alle 12:42:27, l'aeromobile effettuò una manovra improvvisa e non comandata di picchiata, sperimentando la forza di -0,8 g e raggiungendo gli 8,4 gradi di inclinazione verso il basso, scendendo rapidamente di 650 piedi (200 m). Venti secondi dopo, i piloti furono in grado di riportare l'A330 al livello di volo di crociera assegnato, FL370. Alle 12:45:08, il velivolo fece una seconda manovra di natura simile, questa volta causando un'accelerazione di +0,2 g, con un angolo di 3,5 gradi verso il basso e una perdita di altitudine di 400 piedi (120 m); l'equipaggio riuscì a risalire al livello assegnato solo 16 secondi dopo. I passeggeri e gli assistenti che non erano allacciati (e persino alcuni allacciati) furono scagliati nella cabina o schiacciati dai bagagli usciti dalle cappelliere sopra le loro teste. I piloti stabilizzarono il velivolo e dichiararono un pan-pan, poi cambiato in mayday quando l'entità delle lesioni venne trasmessa alla cabina di pilotaggio.

L'incidente causò gravi ferite (tra cui fratture, lacerazioni e lesioni alla colonna vertebrale) a molti passeggeri e membri dell'equipaggio. A Learmonth, l'aereo fu accolto dal Royal Flying Doctor Service. Quattordici persone furono trasportate in aereo a Perth, e altre 39 ricoverate in ospedale. Complessivamente, un membro dell'equipaggio e 11 passeggeri riportarono gravi lesioni, mentre otto membri dell'equipaggio e 99 passeggeri si ferirono lievemente.

Le indagini

All'indagine dell'ATSB parteciparono anche l'Autorità australiana per la sicurezza dell'aviazione civile (CASA), Qantas, il Bureau d'Enquêtes et d'Analyses pour la sécurité de l'aviation civile (BEA) e Airbus. Copie dei dati provenienti dal registratore dei dati di volo e dal registratore vocale della cabina di pilotaggio dell'aeromobile vennero inviate al BEA e Airbus.

L'aeromobile era equipaggiato con ADIRU prodotti da Northrop Grumman Corporation; gli investigatori inviarono l'unità coinvolta alla casa madre, negli Stati Uniti, per ulteriori test. Il 15 gennaio 2009, l'Agenzia europea per la sicurezza aerea (EASA) emise una direttiva di aeronavigabilità di emergenza per affrontare il problema degli A330 e A340 equipaggiati con gli ADIRU di Northrop-Grumman, che rispondevano erroneamente a causa di difetti al sistema di riferimento inerziale.

In un rapporto preliminare, l'Australian Transport Safety Bureau (ATSB) identificò un guasto all'interno dell'ADIRU n.1 come "probabile origine dell'evento"; l'ADIRU, uno dei tre presenti sull'aeromobile, iniziò a fornire dati errati agli altri sistemi.

Gli effetti iniziali dell'errore furono:

• falsi (e contraddittori) avvisi di stallo aerodinamico e velocità eccessiva;
• informazione di perdita di altitudine sul Primary Flight Display (PFD) del comandante;
• numerosi avvisi sul sistema ECAM (Electronic Centralized Aircraft Monitor).

Circa due minuti dopo, i dati provenienti dall'ADIRU n.1, che forniva le informazioni al Primary Flight Display (PFD) del comandante, riportavano un angolo di attacco (AOA) molto elevato; ciò portò a:

• un comando di picchiata dai computer di controllo di volo, con conseguente inclinazione dell'aeromobile verso il basso ad un massimo di circa 8,5 gradi;
• l'attivazione di un errore di inclinazione del Flight Control Primary Computer (FCPC).

Progetto difettoso del FCPC

L'angolo di attacco (AOA) è un parametro di volo di fondamentale importanza, e i sistemi di controllo di volo con piena autorità, come quelli equipaggiati dagli A330/A340, richiedono dati AOA molto accurati per funzionare correttamente. Il velivolo era dotato di tre ADIRU per fornire ridondanza allo scopo di garantire la tolleranza ai guasti, e gli FCPC utilizzavano i tre valori provenienti dai dispositivi indipendenti per verificarne la coerenza. Solitamente, quando tutti e tre i valori di AOA sono validi e coerenti, il valore medio degli AOA 1 e 2 viene utilizzato dagli FCPC per i calcoli. Se AOA 1 o AOA 2 si discostano significativamente, gli FCPC utilizzano un valore memorizzato per 1,2 secondi. L'algoritmo è molto efficace, ma non è in grado di gestire correttamente uno scenario in cui vi sono più picchi distanti 1,2 secondi.

Come per altri sistemi critici per la sicurezza, lo sviluppo del sistema di controllo di volo degli A330/A340 durante il 1991 e il 1992, venne portato avanti includendo molti elementi per ridurre al minimo il rischio di errori di progettazione. Questi includevano revisioni paritarie, valutazioni sulla sicurezza (SSA) e test e simulazioni per verificare e convalidare i requisiti di sistema. Nessuna di queste attività identificò i limiti di progettazione nell'algoritmo AOA del FCPC.

Airbus dichiarò di non essere a conoscenza di incidenti simili verificatisi in precedenza sui suoi aerei. Rilasciò un Telex informativo agli operatori degli A330 e A340, con raccomandazioni procedurali e liste di controllo per ridurre al minimo il rischio in caso di incidenti simili.

Il rapporto finale

Analisi

Dopo un'analisi dettagliata dell'FDR, del software FCPC e dell'ADIRU, venne appurato che la CPU dell'unità di riferimento inerziale alterò i dati dell'angolo di attacco (AOA). La natura esatta del malfunzionamento era che la CPU dell'ADIRU scambiò erroneamente la word dei dati di altitudine, rappresentante 37.012 (l'altitudine al momento dell'incidente), con quella dell'AOA, portando ad una falsa misurazione di un angolo di attacco verso l'alto di 50,625 gradi. Il FCPC elaborò quindi i dati provenienti da quest'ultimo, erroneamente molto elevati, e, allo scopo di evitare uno stallo (che non sarebbe avvenuto), attivò la modalità di protezione, che comandò al sistema di controllo di volo (EFCS - electrical flight control system) di abbassare il muso dell'A330.

Potenziali tipi di innesco

Vennero studiati numerosi potenziali tipi di innesco, tra cui bug del software, corruzione del software, guasti hardware, interferenze elettromagnetiche e di particelle secondarie ad alta energia generate dai raggi cosmici. Sebbene non sia stato possibile raggiungere una conclusione definitiva, vi erano informazioni sufficienti, provenienti da più fonti, per concludere che era improbabile che la maggior parte dei potenziali fattori analizzati fossero stati coinvolti. Uno scenario molto più probabile era che una debolezza dell'hardware rendeva le unità sensibili agli effetti di un qualche tipo di fattore ambientale che innescava tale tipo di malfunzionamento. Il fattore ambientale più probabile è stato identificato in un raggio cosmico che attraversò, nel suo tragitto verso la Terra, la CPU dell’ADIRU, inducendo quello che viene chiamato “bit flip”, ovvero il cambiamento di stato di uno dei microscopici transistor presenti nel processore che fece cambiare il valore di uno dei bit, inducendo così il processore a generare degli errori.

La valutazione dell'ATSB ritenne "estremamente improbabili" le speculazioni di possibili interferenze dalla stazione di comunicazione navale Harold E. Holt o dai dispositivi elettronici personali dei passeggeri.

Conclusioni

Il rapporto finale dell'ATSB, pubblicato il 19 dicembre 2011, concluse che l'incidente fu causato da una combinazione di:

• un design difettoso del software del computer primario di controllo di volo (FCPC - flight control primary computer) presente sugli Airbus A330 e A340;
• un guasto che colpì uno dei tre ADIRU a bordo del velivolo.

Questo implicava che picchi multipli nei dati dell'angolo di attacco (AOA), provenienti da un ADIRU difettoso o guasto, avrebbero potuto indurre gli FCPC a comandare una picchiata.

Il successivo incidente del volo Qantas 71

Il 27 dicembre 2008, un altro Airbus A330-300 di Qantas, operante da Perth a Singapore, fu vittima di un guasto, a circa 260 miglia nautiche (480 km) a Nord-Ovest di Perth e a 350 miglia nautiche (650 km) a Sud dell'aeroporto di Learmonth, durante la fase di crociera a 36,000 piedi (10,973 m). L'autopilota si disattivò e l'equipaggio ricevette un avviso indicante un problema all'ADIRU n.1. L'equipaggio eseguì la procedura rilasciata da Airbus dopo l'incidente del volo Qantas 72, atterrando senza problemi a Perth. L'ATSB incluse l'accaduto nell'indagine sul volo 72. L'incidente alimentò nuovamente le speculazioni dei media riguardanti interferenze provenienti dalla stazione di comunicazione navale Harold E. Holt, con l'Australian and International Pilots Association che chiedeva che gli aerei commerciali venissero esclusi dall'area per precauzione, fino a quando i due incidenti non potessero essere meglio compresi; il direttore della struttura sostenne che era "altamente improbabile" che si fosse verificata un'interferenza.

Conseguenze

All'indomani dell'incidente, Qantas offrì un risarcimento a tutti i passeggeri. La compagnia aerea annunciò il rimborso del costo di tutti i viaggi degli itinerari relativi all'incidente; offrì anche un buono equivalente a un viaggio di ritorno a Londra applicabile alla stessa classe di viaggio, e pagò le spese mediche derivanti dall'incidente. Ulteriori richieste di risarcimento furono prese in considerazione caso per caso, con diversi passeggeri del volo che hanno perseguito un'azione legale contro la compagnia. Una coppia affermò che al momento dell'incidente indossavano le cinture di sicurezza, e mise in dubbio il modo in cui Qantas gestì i loro casi.

Nella cultura di massa

Nel 2018, l'incidente del volo Qantas 72 sono stati raccontati in "Free Fall" (Stagione 18, Episodio 7) della serie televisiva canadese Indagini ad alta quota. Nel maggio 2019, un libro sull'accaduto, scritto da Kevin Sullivan (comandante del volo), è stato pubblicato in Australia con il nome di "No Man's Land: the untold story of automation". Nel giugno 2019, alla Sunday Night di Seven Network sono stati descritti gli eventi del volo Qantas 72 attraverso i ricordi di diversi passeggeri e membri dell'equipaggio che erano a bordo dell'aereo, nonché con i commenti del capitano del volo US Airways 1549, Chesley "Sully" Sullenberger.

Note

Voci correlate

• Volo Ethiopian Airlines 302
• Volo LATAM Airlines 800
• Volo Lion Air 610
• Incidenti aerei di voli commerciali
• Airbus A330
• Qantas

Altri progetti

• Wikimedia Commons contiene immagini o altri file su volo Qantas 72

V · D · M ← 2007 · Incidenti aerei nel 2008 · 2009 →
4 gen Incidente del Let L 410 di Transaven · 17 gen Volo British Airways 38 · 23 gen Incidente del CASA C-295 dell'Aeronautica militare polacca · 14 feb Volo Belavia 1834 · 21 feb Volo Santa Bárbara Airlines 518 · 23 feb Incidente del B-2 Spirit dell'USAF · 3 apr Incidente dell'Antonov An-28 di Blue Wing Airlines · 15 apr Volo Hewa Bora Airways 122 · 25 mag Volo Kalitta Air 207 · 26 mag Volo Moskovia Airlines 9675 30 mag Volo TACA 390 · 10 giu Volo Sudan Airways 109 · 7 lug Volo Centurion Air Cargo 164 · 21 lug Incidente del Boeing B-52 dell'USAF · 25 lug Volo Qantas 30 · 20 ago Volo Spanair 5022†‡ · 24 ago Volo Iran Aseman Airlines 6895† · 27 ago Volo Sriwijaya Air 62 · 30 ago Incidente del Boeing 737 di Conviasa · 14 set Volo Aeroflot-Nord 821† · 7 ott Volo Qantas 72 · 8 ott Volo Yeti Airlines 103 · 10 nov Volo Ryanair 4102 · 27 nov Volo XL Airways Germany 888T · 20 dic Volo Continental Airlines 1404
† indica incidenti con più di 50 vittime — ‡ indica l'incidente più grave per numero di vittime nel 2008