No dia 25 de fevereiro de 2009, um Boeing 737 da Turkish Airlines estava em aproximação final no aeroporto Schiphol de Amsterdã quando, repentinamente, parou e caiu do céu. O avião bateu com a barriga em um campo, matando 9 pessoas e ferindo outras 120.
Uma investigação do Conselho de Segurança holandês descobriu que um rádio-altímetro com defeito enganou o autothrottle fazendo-o pensar que o avião estava pousando - e que uma tempestade de fatores psicológicos deixou os pilotos ignorantes do problema, permitindo que o computador inadvertidamente estolasse o avião.
O relatório levantou questões de longo alcance sobre como os humanos interagem com a tecnologia e destacou as maneiras pelas quais o design de interface não leva em conta a natureza humana.
O voo da Turkish Airlines 1951 foi um serviço regular regular de Istambul, na Turquia, para Amsterdã, na Holanda, usando o Boeing 737-8F2 Next Generation, prefixo TC-JGE, da THY Turkish Airlines (foto acima).
No dia 25 de fevereiro de 2009, havia 128 passageiros e sete tripulantes a bordo deste voo, incluindo três pilotos: Capitão Hasan Arisan, Primeiro Oficial Murat Sezer e o “capitão de segurança” Olgay Özgür.
Este foi um voo de treinamento oficial para Sezer, que completou apenas 17 voos desde que foi contratado e nunca voou para Amsterdã; portanto, um terceiro piloto estava a bordo para se certificar de que os outros pilotos não perdessem nada com o aumento da carga de trabalho.
Mas isso não seria a única coisa que tornaria este voo um pouco menos que a rotina.
Por muitos anos, as companhias aéreas de todo o mundo relataram o que parecia ser um pequeno problema incômodo com os rádio altímetros do 737. A Boeing recebeu centenas de relatórios de rádio-altímetros de repente mostrando leituras de altitude negativas durante o voo. As companhias aéreas tentaram de tudo para consertar o problema, mas não conseguiram fazê-lo desaparecer.
Um rádio-altímetro mede a altura de um avião acima do terreno, refletindo um sinal de rádio do solo e registrando o tempo de resposta. O 737 tem dois rádios-altímetros, um do lado do capitão e outro do primeiro oficial. Muitos sistemas computadorizados a bordo do 737 usam dados do rádio-altímetro em seus cálculos.
Um deles é o autothrottle, o sistema que ajusta automaticamente a potência do motor durante o voo. Em alguns dos problemas de funcionamento do rádio-altímetro relatados à Boeing, a leitura negativa do rádio-altímetro fez com que o autothrottle acreditasse que o avião estava perto do solo, permitindo que ele entrasse indevidamente no modo "retard flare", no qual reduz o empuxo dos motores segundos antes do toque para ajudar a desacelerar o avião e levantar o nariz - um processo denominado "flaring". Nos casos em que isso ocorria, os pilotos sempre desabilitavam o autothrottle, aceleravam manualmente e pousavam sem problemas.
A Boeing reconheceu o problema e, em 2004, colocou uma passagem no “Guia de Desvio de Despacho” do 737, aconselhando não usar o autothrottle durante o pouso se o rádio-altímetro fosse considerado inoperante antes do voo.
Nos dias que antecederam o 25 de fevereiro de 2009, o altímetro de rádio lateral do capitão no 737 da Turkish Airlines, que se tornaria o voo 1951, avariou várias vezes, mostrando erroneamente uma leitura de -8 pés enquanto o avião estava no ar.
Como de costume, os engenheiros de manutenção não conseguiram encontrar a causa do mau funcionamento. Mas o problema nunca reapareceu no solo, e o voo 1951 decolou de Istambul com os dois rádio-altímetros em pleno funcionamento.
Quase imediatamente, o rádio-altímetro voltou a funcionar mal e mostrou uma leitura de -8 pés. Mas logo o avião ficou acima do alcance do rádio-altímetro e os pilotos tiraram isso da cabeça.
O restante do voo para Amsterdã foi normal, até a abordagem final em Schiphol, quando o altímetro começou a indicar -8 pés novamente. O capitão de segurança Özgür apontou isso para os outros pilotos, que reconhecem a falha.
Então, conforme o avião descia mais, um aviso do trem de pouso disparou, porque o sistema acreditava que o avião estava próximo ao solo sem o trem de pouso abaixado. O capitão Arisan, aparentemente familiarizado com a falha, observou que o rádio-altímetro foi o responsável pelo alarme. A tripulação ignorou o aviso e continuou a abordagem.
No entanto, sua abordagem não era totalmente estável. Eles estavam bem atrás do cronograma exigido nos procedimentos operacionais padrão com relação às altitudes nas quais as listas de verificação de aproximação e pouso deveriam ser concluídas.
Tecnicamente, esse era o motivo para declarar uma aproximação perdida e dar uma volta para outra tentativa de pouso, mas os pilotos nem mesmo consideraram fazê-lo. Além disso, eles estavam realizando o que é conhecido como uma abordagem de “enterrada”.
Ao pousar usando um sistema de pouso por instrumento, o computador trava em uma "rampa de planagem" que guia o avião para baixo no ângulo adequado em direção à pista. Normalmente, os pilotos costumam nivelar e interceptar a rampa de planeio por baixo, mas em uma abordagem de enterrada, eles caem abruptamente e interceptam por cima, o que é consideravelmente mais difícil.
As regras de controle de tráfego aéreo na Holanda não autorizavam os controladores a permitir aproximações de enterrada, mas era prática comum em Schiphol fazê-las de qualquer maneira.
Para entender o que aconteceu a seguir, é necessário um pouco de conhecimento sobre os modos de piloto automático e autothrottle do 737. Durante a aproximação, a tripulação usou o “modo de aproximação” do piloto automático, que lhes permitiu definir altitudes-alvo progressivamente mais baixas.
Pouco antes de interceptar a rampa de planeio, os pilotos mudavam o piloto automático do modo de aproximação para o “modo de velocidade vertical”, o que lhes permitia definir uma taxa de descida ao invés de uma altitude alvo.
O único modo autothrottle relevante para este caso é o modo “retard flare” mencionado anteriormente. O modo de retardo de flare só pode ser ativado quando o autothrottle está ativado, o avião está a menos de 27 pés acima do solo, os flaps são estendidos além de 12,5 graus e nenhuma altitude alvo é selecionada no piloto automático. Quando todas essas condições forem atendidas, isso sinaliza ao autothrottle que o avião está a segundos do toque, então o modo retard flare é ativado e o computador “ajusta” o avião.
Conforme o voo 1951 descia em direção à pista em Amsterdã, cada uma dessas condições foi satisfeita sucessivamente. O autothrottle extraiu suas informações de altitude do rádio-altímetro lateral do capitão, que estava erroneamente lendo -8 pés.
Normalmente, se houvesse uma falha no altímetro do capitão, ele mudaria para o altímetro do primeiro oficial, mas a falha do altímetro foi tal que não produziu um aviso de falha que o autothrottle pudesse detectar. Portanto, o autothrottle tratou a leitura de -8 pés como dados válidos.
Ao completar a lista de verificação de aproximação, os pilotos estenderam os flaps para 15 graus, atendendo à condição de que os flaps devem ser ajustados para pelo menos 12,5 graus. Finalmente, quando a tripulação mudou o piloto automático do modo de aproximação para o modo de velocidade vertical, a altitude alvo foi apagada. Com todas as condições atendidas, o autothrottle mudou para retardar o modo flare assim que o voo 1951 estava começando a descida “slam dunk” para interceptar o glide slope de uma altitude de 2.000 pés.
Ao entrar no modo de retard flare, o autothrottle diminuiu automaticamente o empuxo em ambos os motores para a marcha lenta, e a palavra “retard” apareceu em vermelho nos visores eletrônicos dos pilotos.
No entanto, a diminuição no empuxo não atingiu imediatamente a tripulação como importante por causa de uma infeliz coincidência: aconteceu quando eles esperavam que o empuxo diminuísse de qualquer maneira.
Ao interceptar a rampa de planeio de cima em uma abordagem de “enterrada”, a altitude deve ser perdida rapidamente e uma alta taxa de descida foi selecionada. A tripulação esperava que o autothrottle diminuísse o empuxo para atingir essa alta taxa de descida.
Nenhum dos três pilotos notou que o modo autothrottle em seus monitores mudou para “retard”, e que a diminuição no empuxo foi na verdade porque o computador pensou que eles estavam pousando.
Pouco tempo depois, o voo 1951 interceptou o glide slope, nesse ponto, o empuxo deve ter aumentado para manter uma razão de descida mais rasa. Mas, como o autothrottle estava no modo de retard flare, isso não aconteceu.
Em um esforço para manter o avião na rampa de planeio, o piloto automático inclinou o nariz do avião para cima para gerar mais sustentação. Logo, a velocidade do voo 1951 estava bem abaixo do normal e seu ângulo de ataque era anormalmente alto. Mesmo assim, ninguém percebeu que algo estava errado, possivelmente porque os pilotos estavam distraídos trabalhando na lista de verificação de pouso (que já deveriam ter completado).
Era incomum que, durante todo esse tempo, ninguém monitorasse a velocidade do avião ou atitude de inclinação - ou pelo menos ninguém reconhecesse que esses parâmetros eram anormais, embora a baixa velocidade no ar eventualmente acionasse uma caixa âmbar piscando em torno do valor da velocidade no visor eletrônico.
Quando a velocidade no ar caiu perigosamente baixa, o capitão de segurança Özgür ficou momentaneamente distraído por um relatório de um comissário de voo de que a cabine estava pronta para o pouso, que ele repetiu aos pilotos. Portanto, ele também não estava monitorando a velocidade no ar em um momento crítico.
Segundos depois, o alerta do “stick shaker” foi ativado, sacudindo as colunas de controle dos pilotos para avisá-los de que sua velocidade estava perigosamente baixa e o avião estava prestes a estolar.
Reconhecendo o aviso imediatamente, o primeiro oficial Sezer, que estava pilotando o avião, aumentou o empuxo em ambos os motores e empurrou sua coluna de controle para a frente para evitar a ocorrência de estol.
Passados um ou dois segundos, o capitão Arisan anunciou: “Eu tenho o controle”, fazendo com que Sezer soltasse os manetes. Quando o modo de "alargamento de retardo" está ativado, entradas de energia manuais não são permitidas, então o autothrottle simplesmente colocou os dois motores em marcha lenta assim que Sezer tirou a mão das alavancas!
Segundos depois, o avião 'estolou' e caiu do céu de uma altitude de apenas 150 metros.
Quando o estol começou, o capitão Arisan empurrou o nariz para baixo e acelerou os manetes até a potência máxima. Mas já era tarde demais. A recuperação de um estol teria levado pelo menos 500 pés de altitude, e eles não tinham isso.
O voo 1951 caiu direto como uma rocha antes de cair de barriga no campo de um fazendeiro a apenas 1,5 km da pista.
O avião bateu forte, quebrando-se em três seções e deslizando até parar em uma distância muito curta, enquanto os motores se catapultavam para a frente e para cima através de um canal próximo.
O impacto brutal matou os três pilotos, bem como um comissário e cinco passageiros, principalmente os da frente do avião. Dos 126 outros a bordo, 120 ficaram feridos no violento acidente.
 |
| Mapa de assentos do avião (em vermelho, a localização das vítimas fatais) |
Por um golpe de sorte, o avião não explodiu nem pegou fogo, sem dúvida salvando muitas vidas. No entanto, houve uma corrida louca para escapar, pois os passageiros temiam uma explosão a qualquer momento.
Os primeiros socorristas chegaram ao local depois de alguns minutos e ficaram aliviados ao encontrar muitos sobreviventes já se afastando do avião. Uma frota de 60 ambulâncias levou pelo menos 84 pessoas aos hospitais próximos.
Relatos de sobreviventes do acidente apareceram na mídia quase imediatamente. “Parecia que caímos no vazio”, lembrou um passageiro. Outros disseram que o avião "caiu para trás" ou "caiu como uma pedra".
O próprio estol foi o resultado do autothrottle entrando no modo retard flare em resposta a uma falsa leitura do rádio-altímetro, mas uma série de perguntas tiveram que ser feitas.
Em primeiro lugar, por que o autothrottle foi capaz de entrar erroneamente no modo de retard flare? Por que essa possibilidade não foi reconhecida antes do acidente? E o mais importante, por que os pilotos não perceberam que havia um problema?
A história e o desenvolvimento do sistema de autothrottle e do rádio-altímetro do Boeing 737 NG explicam a maioria das questões mecânicas.
Os problemas do altímetro eram conhecidos há muitos anos, mas nenhuma quantidade de testes foi capaz de revelar a causa das discrepâncias. Eles também não foram categorizados como um problema de segurança de voo, o que significa que receberam uma prioridade baixa.
Então, em 2004, a Boeing foi informada de que um rádio-altímetro defeituoso poderia fazer com que a rotação automática entre no modo de retardo de flare, quando não deveria. Naquela época, cinco casos disso haviam sido relatados. Os testes da Boeing descobriram que uma leitura defeituosa do altímetro não seria necessariamente marcada como tal dentro do sistema do computador.
Em 2006, a Boeing lançou uma solução para o problema na forma de uma atualização de software para todos os novos 737s construídos de 2006 em diante, o que evitou que o autothrottle entrasse no modo de retard flare se as duas leituras do rádio-altímetro não concordassem.
No entanto, os autothrottles em 737s construídos antes de 2006 (incluindo o avião acidente) executavam um sistema operacional diferente que não podia suportar o novo software, então eles não receberam a atualização. (Testes após o acidente mostraram que a atualização não foi 100% eficaz de qualquer maneira).
Isso não foi considerado um problema de segurança porque, se o modo de retard flare fosse acionado incorretamente, os pilotos poderiam simplesmente desativar o autothrottle e continuar o voo, como haviam feito em todos relataram incidentes até aquele momento, e de fato como fizeram em mais sete incidentes que ocorreram depois disso.
Por que, então, os pilotos do voo 1951 não conseguiram se recuperar e permitir que o avião estolasse, quando pelo menos uma dúzia de outras tripulações enfrentaram exatamente o mesmo problema e saíram bem?
As tentativas do Conselho de Segurança holandês de responder a essa pergunta lançaram luz sobre questões preocupantes com a maneira como os pilotos interagiam com a tecnologia e com os procedimentos operacionais padrão.
No nível de superfície, os pilotos estavam em falta porque não perceberam a mudança no modo de autothrottle, não perceberam sua velocidade no ar diminuindo, voaram em uma aproximação instável e não aplicaram potência máxima assim que o stick shaker disparou.
No entanto, a investigação argumentou que essas falhas se estendiam muito além desta tripulação em particular. A pesquisa mostrou que a maioria dos pilotos da Boeing não olha ativamente para as mensagens que exibem o modo atual do autothrottle e dos pilotos automáticos. (Isso está em contraste com os pilotos Airbus, para os quais os procedimentos ditam que eles devem chamar mudanças de modo. Os pilotos da Boeing não eram obrigados a fazer isso).
Pesquisas adicionais revelaram que, embora os humanos sejam inerentemente ruins no monitoramento da automação, certas dicas visuais podem tornar mais fácil ou mais difícil. Na verdade, os pilotos têm mais facilidade para monitorar medidores de velocidade no ar do estilo antigo que usam um dial, em vez de simplesmente um número, porque fornece uma pista visual instantânea sem a necessidade de processar mentalmente o que o número significa no contexto.
Na prática, uma parte importante do monitoramento da velocidade no ar se resume em ver o indicador de velocidade no ar na visão periférica enquanto realizam outras tarefas, e os investigadores sentiram que o projeto dos indicadores modernos tornou os pilotos menos propensos a notá-los.
A investigação abordou o fracasso dos pilotos em abandonar a abordagem em termos semelhantes. No momento em que interceptou a rampa de planeio, o voo 1951 estava em violação de pelo menos três itens exigidos para uma aproximação estável: a lista de verificação de pouso não estava completa em 1.000 pés, as alavancas do acelerador não estavam na posição correta e a velocidade era muito baixo.
Os procedimentos operacionais da Turkish Airlines exigiam que uma abordagem falhada fosse feita se mesmo um desses itens não fosse atendido. No entanto, a investigação descobriu que, para as tripulações em todo o mundo, as diretrizes de abordagem perdida, na verdade, tinham pouca influência sobre se eles decidiam ou não.
Os pilotos geralmente decidiam continuar as aproximações, a menos que houvesse alguma indicação de que não poderiam pousar com segurança e não abortaram as aproximações simplesmente porque não atendiam à definição padrão de “estabilizado".
Portanto, os pilotos efetivamente operaram com um conjunto de princípios orientadores diferente daqueles que estavam oficialmente em vigor. Mais uma vez, o design do sistema não parecia levar em conta a natureza humana.
Toda a sequência de eventos que levou ao acidente apontou para um fenômeno que o Dutch Safety Board chamou de "surpresa de automação". Quando ocorre uma “surpresa de automação”, a automação age de maneiras que os pilotos não esperam, e eles perdem pistas que predizem suas ações.
A tripulação do voo 1951 não tinha como saber que o autothrottle obtinha seus dados de altitude apenas do rádio-altímetro do capitão, e também não tinha como saber que a leitura defeituosa desse altímetro faria com que ele entrasse no modo de retardamento. O fato de que eles não estavam antecipando uma mudança de modo reduziu significativamente suas chances de percebê-la.
Este funcionamento obscuro do sistema de autothrottle não estava no manual de operações, e o Manual de Referência Rápida do 737 - o livreto que fornece procedimentos para situações anormais - nada tinha a dizer sobre uma falha no rádio-altímetro. O resultado foi que o estado de espírito dos pilotos diferia das regras reais sob as quais seu avião estava operando.
Isso também contribuiu para a falha em manter imediatamente as alavancas do acelerador na potência máxima após o acionador do stick shaker. Com base no que eles achavam que sabiam sobre a situação, nunca passou por suas cabeças a possibilidade de o computador puxar os aceleradores para inativo durante uma recuperação de estol.
Houve também um certo azar que separou o voo 1951 de outros incidentes envolvendo a ativação acidental do modo de retardamento. Se o modo de flare de retardo não tivesse sido acionado corretamente quando os pilotos esperavam que a potência do motor diminuísse por motivos não relacionados, eles perceberiam imediatamente que havia um problema. Isso também poderia ter sido evitado se eles não estivessem seguindo uma abordagem de “enterrada”, que não era tecnicamente permitida pelos regulamentos holandeses.
Ainda mais infeliz foi o fato de que o terceiro piloto, que estava a bordo especificamente para monitorar coisas que os outros pilotos poderiam perder, também não percebeu os sinais de alerta que se mostravam. Ele estava sujeito às mesmas armadilhas humanas que os outros pilotos e não conseguia monitorar a velocidade do ar ou prever modos de aceleração automática melhor do que os outros.
Como resultado das descobertas iniciais da investigação, a Boeing emitiu vários boletins com conselhos sobre como reparar os problemas recorrentes do rádio-altímetro no 737, e outros alertas de advertência que retardam o modo de flare podem entrar em ação como resultado das leituras de altitude ruins.
A Turkish Airlines adicionou mais treinamento, incluindo uma sessão de simulador extra envolvendo recuperação de estol em baixa altitude. Em seu relatório final, o Conselho de Segurança recomendou que a Boeing encontrasse uma maneira de tornar seus rádio-altímetros mais confiáveis; que a lógica do autothrottle seja redesenhada para evitar o tipo de falha que ocorreu no voo 1951; que as agências relevantes considerem a obrigatoriedade de um aviso audível de baixa velocidade no ar; e que as companhias aéreas incluissem a recuperação de estol em seu treinamento recorrente para pilotos de linha.
O Conselho de Segurança também abordou um problema com os mecanismos de relatório. Durante a investigação, eles descobriram que apenas uma pequena fração das falhas de rádio-altímetro foram relatadas às companhias aéreas ou à Boeing, e recomendaram que fosse encontrada alguma forma de garantir melhores taxas de relatórios.
Em última análise, as questões em jogo na queda do voo da Turkish Airlines em 1951 transcendem qualquer acidente individual, e o debate sobre a melhor forma de garantir que humanos e automação trabalhem juntos de forma eficaz continua até hoje.
Este acidente é um exemplo perfeito de um caso em que nem o erro do piloto nem a falha mecânica podem por si só explicar o resultado. Em vez disso, uma série de coincidências levou ao desastre dentro do contexto de um sistema que impedia a capacidade dos pilotos de reconhecer o perigo em que estavam, até que fosse tarde demais.
Edição de texto e imagens por Jorge Tadeu
Com Admiral Cloudberg, ASN, Wikipedia
Imagens: FAA, baaa-acro.com, The Dutch Safety Board, CBC, Welt e Wikipedia. Clipes de vídeo de Mayday (Cineflix).
Nenhum comentário:
Postar um comentário