Aconteceu em 24 de agosto de 2001: Pânico no voo 236 da Air Transat - O "Planador Açores"

No dia 24 de agosto de 2001, um Airbus A330 totalmente carregado em um voo transatlântico de Toronto para Lisboa ficou sem combustível no meio do oceano, forçando os pilotos a tentar uma planagem angustiante de 121 quilômetros até um aeródromo em uma ilha remota. 

E, no entanto, sem combustível, sem motores, potência de travagem mínima e apenas uma única hipótese de acertar, os pilotos conseguiram o aparentemente impossível — levaram o voo 236 da Air Transat a uma aterragem segura nos Açores, depois do que viria a revelar-se ser o planeio impotente mais longo já realizado em uma aeronave comercial. Durante alguns breves dias, os pilotos tornaram-se heróis extraordinários; e o vôo em si, o Milagre no Hudson de sua época. E então a realidade desabou.

Os investigadores logo descobririam uma cadeia de decisões, tanto no solo quanto no ar, que levou o voo 236 à beira do desastre. A história envolvia peças incompatíveis durante a substituição do motor; um enorme vazamento de combustível sobre o oceano no meio da noite; e uma incapacidade por parte dos pilotos de identificar o problema - um lapso que os levou a alimentar todo o combustível direto no vazamento até que ele desaparecesse. 

O incidente acabaria revelando que os pilotos de todo o mundo estavam despreparados para lidar com vazamentos de combustível e que o design de vários aviões, incluindo o A330, dificultava ativamente a capacidade de resposta das tripulações. Essas descobertas lançariam o milagre do voo 236 sob uma nova luz - mas também melhorariam tangivelmente a segurança dos passageiros em todos os lugares.

◊◊◊

A Air Transat se comercializa como uma forma de chegar aos destinos de férias

Fundada em 1986, a Air Transat é a terceira maior companhia aérea do Canadá, com mais de 30 aeronaves e mais de 60 destinos. A companhia aérea não voa domesticamente, especializando-se em voos regulares e fretados do Canadá para destinos de férias populares no exterior, alternando regularmente entre localidades do sul no inverno e na Europa durante o verão. Embora a companhia aérea operasse anteriormente algumas aeronaves Boeing e Lockheed, hoje possui uma frota totalmente Airbus.

Desde o final da década de 1990, a estrela da frota de longo curso da Air Transat tem sido o Airbus A330, um jato bimotor de longo alcance e corpo largo que entrou em serviço pela primeira vez em 1994. Equipado com a mais recente tecnologia fly-by-wire, proteções de envelope de voo e sistemas de monitoramento de voo computadorizados, o avião foi considerado de última geração e, em 2001, ainda não havia sofrido um acidente ou incidente grave no serviço de passageiros - apesar de um acidente fatal durante o teste de voo em 1994.

C-GITS, a aeronave envolvida no acidente, vista aqui em 1999 (Ken Fielding)

Era um desses A330 que estava programado para realizar um voo noturno regular de Toronto, no Canadá, para Lisboa, em Portugal, nos dias 23 e 24 de agosto de 2001. Mas a história desse voo não começa na pista de Toronto, mas em Base de manutenção da Air Transat no Aeroporto de Mirabel, em Montreal, cerca de uma semana antes da dramática emergência nos Açores.

Em 17 de agosto, este mesmo avião, o Airbus A330-243, prefixo C-GITS, da Air Transat, foi levado para manutenção depois que sensores embutidos detectaram duas vezes a presença de lascas de metal no óleo do motor do motor direito. Lascas no óleo geralmente aparecem quando um componente está apresentando desgaste anormal, mas depois de inspecionar o motor, os técnicos não conseguiram localizar a origem do problema. Foi decidido que o motor deveria ser substituído por um sobressalente, permitindo que o avião permanecesse em serviço enquanto o departamento de manutenção da Air Transat realizava um exame mais aprofundado.

As companhias aéreas normalmente mantêm motores sobressalentes à mão precisamente para esse tipo de cenário, mas no verão anterior a Air Transat se viu sem um para sua frota A330. Como resultado, a Rolls Royce emprestou à companhia aérea um motor Trent 772B-60 sobressalente do tipo usado no A330 e o enviou para Mirabel de uma instalação de revisão em Hong Kong, onde chegou em julho de 2000. Como o motor era o único sobressalente Naquela época, o Trent 772B na América do Norte era mantido seguro e intacto, pronto para ser transferido para qualquer companhia aérea que precisasse dele em curto prazo. Acontece que a Air Transat seria a primeira a passar por dificuldades.

A localização da bomba hidráulica traseira em um
motor Rolls Royce Trent série 700 (Rolls Royce)

O prazo para a substituição, estabelecido em 17 de agosto, prometia ser apertado. O trabalho começou à meia-noite do mesmo dia, dando aos trabalhadores apenas 48 horas - todo o sábado, 18 e domingo, 19 - para preparar o avião para o próximo voo programado na segunda-feira, 20. Durante essas 48 horas, eles precisariam desconectar o motor original, reunir todas as peças necessárias, posicionar o motor substituto, conectar vários sistemas, instalar todos os acessórios, testar a funcionalidade do motor e fazer uma inspeção. Se alguma dessas etapas demorar mais do que o esperado, o próximo voo poderá ter que ser adiado.

Inicialmente, tudo correu bem, pois o motor original foi removido e despojado de todos os acessórios necessários para instalar o novo motor. De acordo com o arranjo padrão, o motor emprestado da Rolls Royce veio com o que é conhecido como “lista de transporte” – uma lista de componentes a serem retidos pela companhia aérea para facilitar a instalação do motor. Entre os componentes que já se encontravam no avião e os que foram guardados como peças sobressalentes, a Air Transat estava confiante de que tinha todos os itens da lista de transporte, e a instalação do novo motor decorreu conforme planeado na manhã de domingo.

Um dos itens de “transporte” não incluídos no próprio motor era a bomba hidráulica traseira. A lista indicava que o motor exigia uma bomba hidráulica com o número de peça 946976, que era a mesma instalada em todos os A330 da Air Transat, então os técnicos decidiram simplesmente usar a bomba hidráulica do motor antigo. Ou, pelo menos, esse era o plano - na verdade, quando tentaram instalar a bomba no novo motor, ficaram intrigados ao descobrir que não cabia. Era impossível prendê-lo no lugar porque vários tubos de alimentação de combustível tentavam ocupar o mesmo espaço ao mesmo tempo. Em busca de uma solução para esse desenvolvimento misterioso, os técnicos mergulharam no Catálogo Ilustrado de Peças da Airbus, onde rapidamente descobriram a origem do problema.

◊◊◊

Um motor Rolls Royce Trent série 700 como aparece durante a manutenção. Muitas das peças não anexadas a ele nesta foto são feitas pelo fabricante do avião e não pelo fabricante do motor; estes compõem a maioria dos itens transportados (Dedienne Aerospace)

Em 1999, a Airbus recebeu vários relatórios de pequenos vazamentos de fluido hidráulico nas bombas hidráulicas traseiras em Airbus A330s com motores Trent 772B. Em resposta aos relatórios, a Airbus emitiu um boletim de serviço não obrigatório, ou SB, fornecendo aos operadores instruções para substituir as bombas hidráulicas por qualquer uma das três versões mais novas que seriam menos suscetíveis a vazamentos. 

Reconhecendo que as novas bombas hidráulicas tinham carcaças mais largas que interfeririam nas linhas de combustível fabricadas pela Rolls Royce ao redor, a empresa também emitiu um boletim de serviço solicitando a substituição das linhas de combustível por novas versões que não entrariam em contato com as bombas hidráulicas . Ambos os boletins de serviço declaravam que, se um deveria ser executado, o outro também deveria ser executado.

Como não eram considerados críticos para a segurança e não eram respaldados por uma diretiva de aeronavegabilidade de nenhuma autoridade reguladora, os boletins de serviço eram puramente opcionais. No entanto, a maioria das companhias aéreas, na prática, cumpre todos os boletins de serviço, sejam eles obrigatórios ou não, pelo que, quando a Air Transat adquiriu os seus A330, a aeronave já tinha ambos os boletins de serviço incorporados.

O motor emprestado, por outro lado, teve uma história diferente. Durante a revisão em julho de 2000, a oficina, conhecida como Hong Kong Aero Engine Services Limited, ou HAESL, planejou realizar o boletim de serviço Rolls Royce neste motor, mas abandonou o plano depois de não conseguir adquirir as peças necessárias em tempo hábil maneiras. O motor foi assim enviado para a Air Transat sem que o boletim de serviço Rolls Royce tivesse sido consubstanciado. 

Além disso, a HAESL só foi obrigada a informar a Air Transat sobre SBs opcionais que tinhaconcluídas, não aquelas que ainda estavam pendentes. Portanto, para descobrir a discrepância, o pessoal da Air Transat teria de verificar todos os 167 boletins de serviço opcionais listados no histórico do motor com os incorporados nos demais motores da empresa, o que normalmente não era feito porque levaria muito tempo tempo.

Com isso, ninguém sabia que o motor emprestado era diferente até que os técnicos consultaram o catálogo de peças e perceberam que as tubulações de combustível instaladas no motor correspondiam à configuração pré-SB, tornando-as incompatíveis com a bomba hidráulica pós-SB. 

Para saber quais peças eram realmente necessárias, o técnico líder tentou usar um computador para ler um CD contendo o texto dos boletins de serviço, mas devido a um erro de rede, o acesso foi negado. Os Rolls Royce SBs também foram listados no Trent Illustrated Parts Catalogue, acessível de qualquer computador na instalação, mas ele aparentemente não sabia disso, então ele mudou para o plano B e ligou para o Air Transat Maintenance Control Center para obter ajuda.

O Controle de Manutenção encaminhou o técnico líder para o especialista local em motores Trent, conhecido como Controlador de Motor. O Controlador do Motor prontamente retirou os boletins de serviço relevantes, embora não tivesse cópias em mãos, e informou ao técnico responsável que seria necessário substituir as linhas de combustível do motor por versões pós-SB, que poderiam ser retiradas do motor que estava sendo removido. 

O técnico principal perguntou se eles poderiam usar uma bomba hidráulica pré-SB, mas o Controlador do Motor apontou que todos os motores Trent 772 no Canadá já haviam sido modificados, exceto este, então seria impossível encontrar uma bomba hidráulica pré-modificada. bombear. Foi, portanto, tomada a decisão de substituir as linhas de combustível, efetivamente colocando o motor em conformidade com os SBs.

A localização da interferência entre o tubo hidráulico e a linha de combustível (GPIAA e FAA)

Pouco tempo depois, os técnicos substituíram as linhas de combustível pré-SB pelas versões pós-SB e instalaram a bomba hidráulica pós-SB. Desta vez, entrou sem muitos problemas. Mas se tivessem olhado o texto do SB, teriam percebido que erraram uma etapa: também deveriam substituir o tubo hidráulico que prendia a bomba.

Embora fosse possível instalar as linhas de combustível pós-SB e a bomba hidráulica com um tubo hidráulico pré-SB, o tubo ficaria encostado em uma das linhas de combustível em um ponto onde arredondava uma curva de 90 graus próximo à bomba. 

Cientes de que o avião não poderia ser despachado a menos que houvesse folga entre os tubos, os técnicos apertaram uma porca na extremidade do tubo hidráulico até que ele subisse aproximadamente 0,635 mm da face da linha de combustível. Eles não pareciam apreciar o fato de que essa folga era insuficiente para um tubo flexível que mudava de forma quando bombeado com fluido hidráulico pressurizado.

Após a instalação do último acessório, os técnicos realizaram uma inicialização bem-sucedida e um inspetor verificou a continuidade dos controles do motor. Os números exatos de peças de tubos hidráulicos aleatórios e as folgas entre eles não faziam parte do regime normal de inspeção e o pequeno erro passou despercebido. A papelada foi então assinada, a aeronave foi liberada para serviço e os técnicos voltaram para casa no final da noite de domingo, satisfeitos por terem concluído o trabalho no prazo.

◊◊◊

A rota do voo 236 manteve-o sempre a 120 minutos de voo de um aeroporto, conforme exigido pelos regulamentos de operações estendidas de dois motores, ou ETOPS. O certificado ETOPS da Air Transat, como o da maioria das outras companhias aéreas da época, não permitia operar o A330 bimotor a mais de 120 minutos de um aeroporto (FAA)

Quatro dias depois, na noite de 23 de agosto, a tripulação do voo 236 da Air Transat apresentou-se ao serviço no Aeroporto Internacional Pearson de Toronto para voar com o C-GITS para Lisboa. No comando estava o capitão Robert Piché, de 48 anos, uma figura grandiosa que ganhou asas como piloto de mato no interior do norte de Quebec. 

Seu currículo incomum também incluiu uma passagem como contrabandista aéreo de drogas, que o levou a cumprir 16 meses em uma prisão nos Estados Unidos depois de ser pego usando seu avião para transportar maconha para o país. 

A condenação não impediu a Air Transat de contratá-lo em 1995, e ele foi considerado suficientemente “reformado” em 2000 para ser oficialmente perdoado. Naquela noite, ele foi acompanhado por um primeiro oficial muito menos experiente, Dirk DeJager, de 28 anos, que tinha 4.800 horas de voo contra 16.800 de Piché.

Depois de abastecer os dois tanques das asas do avião para uma carga total de combustível de 46,9 toneladas métricas - 5,5 toneladas a mais do que o necessário para a viagem - Piché e DeJager realizaram uma decolagem sem intercorrências de Toronto, e o voo 236 decolou às 19h52, horário local, 42 minutos atrasados. 

O voo subiu progressivamente até sua altitude de cruzeiro de 39.000 pés, indo para o leste através das províncias marítimas do Canadá, antes de prosseguir sobre o vasto Oceano Atlântico que deu nome à companhia aérea.

A linha de combustível rachada, conforme encontrada após o acidente (GPIAA)

Durante quatro horas, tudo parecia normal. Nenhum dos pilotos poderia estar ciente de que, no fundo do motor certo, as sementes do desastre plantadas dias antes pela equipe de manutenção estavam prestes a dar frutos.

Quando o fluido hidráulico entrou pela primeira vez na linha para a bomba hidráulica traseira no motor direito, ele forçou a linha a se endireitar ligeiramente, fazendo com que entrasse em contato com a linha de combustível adjacente. 

À medida que o motor vibrava durante as operações normais nos dias seguintes, a linha hidráulica começou a se desgastar na linha de combustível abaixo dela, reduzindo sua espessura até começar a rachar sob a força do combustível altamente pressurizado que circulava por dentro. 

Finalmente, quando o voo 236 cruzou sobre o Atlântico, o tubo quebrou completamente e o combustível começou a espirrar na nacele do motor. No arquipélago dos Açores, a terra habitada mais próxima, a hora local era 3h38 da manhã.

Inicialmente, o vazamento permaneceu relativamente pequeno, borbulhando a uma taxa de aproximadamente 10 quilos por minuto. Às 3h58, cruzando a longitude 30˚ oeste, os pilotos realizaram uma verificação rotineira da quantidade de combustível; apesar do vazamento, constataram que o combustível a bordo estava de acordo com a quantidade especificada no plano de voo. Cerca de 200 quilos foram perdidos neste ponto, mal o suficiente para notar.

No entanto, com o passar do tempo e a rachadura se alargando, a taxa de perda de combustível começou a aumentar. As bombas de combustível da asa direita começaram a trabalhar horas extras para compensar o vazamento, aumentando a vazão para garantir que a quantidade adequada de combustível chegasse ao motor. Ainda assim, o avião não estava equipado com nenhum sensor que pudesse revelar o problema, e os pilotos permaneceram alegremente inconscientes.

A página “Motor” no Visor do Sistema, como apareceria em condições normais (FAA)

A primeira indicação de problema acabou vindo de algum lugar totalmente inesperado: o sistema de óleo do motor. Os sistemas de óleo e combustível do motor interagem em apenas um local, conhecido como trocador de calor de óleo combustível, ou FOHE, onde o óleo quente flui em torno de uma série de pequenos tubos contendo combustível frio. Este engenhoso dispositivo ajuda a resfriar o óleo e aquecer o combustível simultaneamente, trocando calor entre eles. 

Mas com o vazamento de combustível localizado a jusante da FOHE, a vazão pelo trocador aumentou muito, o que por sua vez resultou em um resfriamento maior do que o normal do óleo do motor. À medida que o óleo esfriava, sua viscosidade aumentava, resultando em uma pressão de óleo mais alta e um ciclo mais lento no sistema, fazendo com que a quantidade de óleo no reservatório diminuísse.

Enquanto isso, os pilotos continuaram trabalhando em suas verificações regulares de cruzeiro, abrindo a página “Motor” na tela principal do sistema para examinar os parâmetros do motor. 

Por volta das 4h15, enquanto examinavam as indicações, os pilotos notaram algo estranho: a quantidade de óleo do motor era muito menor no lado direito do que no esquerdo. Enquanto debatiam por que isso poderia acontecer, eles notaram indicações mais incomuns, ou seja, uma baixa temperatura do óleo e uma alta pressão do óleo. Nenhum dos valores estava fora das especificações do fabricante, mas eram anormais o suficiente para levantar algumas sobrancelhas. 

Em busca de informações sobre o que poderia causar tais indícios, os pilotos vasculharam o manual, mas nada encontraram. Tanto a baixa temperatura do óleo quanto a alta pressão do óleo eram indicações incomuns por si só, ocorrendo em vôo apenas em circunstâncias muito raras e específicas, e era inédito que ambos aparecessem simultaneamente.

Perplexos com o problema inesperado, os pilotos ligaram para o departamento de manutenção da Air Transat às 4h21 para ver se os engenheiros poderiam fornecer respostas. As discrepâncias já eram bastante grandes: a quantidade de óleo do motor direito era de 14,5 litros, sua temperatura era de 65˚C e a pressão era de 150 psi, enquanto esses valores no lado esquerdo eram de 18,2 L, 110˚C e 80 psi, respectivamente . Algo estava claramente errado, mas o quê? Ninguém sabia dizer, e os engenheiros também ficaram coçando a cabeça.

A página “Combustível” no visor do sistema, como apareceria em condições normais (FAA)

Enquanto isso, os avançados sistemas automatizados do Airbus tentavam silenciosamente compensar o vazamento de combustível, sem o conhecimento dos pilotos. Com o combustível deixando o tanque da asa direita muito mais rápido do que o tanque da asa esquerda, um computador começou automaticamente a tentar restaurar o equilíbrio transferindo combustível para o tanque da asa direita de um tanque de reserva na cauda, conhecido como tanque de compensação. Este tanque normalmente não é controlado pelos pilotos; em vez disso, os computadores movem o combustível para dentro e para fora do tanque compensador ao longo do voo para fazer ajustes no centro de gravidade do avião. 

No entanto, o combustível do tanque também pode ser usado para corrigir um desequilíbrio entre os dois tanques de asa, que foi o que começou a acontecer a bordo do voo 236. Assim que isso ocorreu, uma mensagem verde apareceu na tela do Electronic Centralized Aircraft Monitoring System, ou ECAM, informando aos pilotos que o combustível estava sendo transferido para fora do tanque de compensação, algo que normalmente não ocorreria até mais tarde no vôo. Era uma pista sutil de que algo estava errado com o sistema de combustível, mas em meio à luta para entender o problema do óleo, ninguém percebeu.

Às 4h30, o tanque de compensação secou e a mensagem no ECAM mudou para indicar que o tanque havia sido totalmente transferido. Os computadores agora não eram mais capazes de compensar o excesso de combustível vazando da asa direita e, nos três minutos seguintes, o nível de combustível no tanque da asa direita começou a cair rapidamente em relação ao tanque da asa esquerda. 

Os pilotos foram informados do problema pela primeira vez às 4:33, quando uma mensagem branca de aviso apareceu no ECAM, alertando para um desequilíbrio de combustível. Os pilotos fecharam imediatamente a página do motor no visor do sistema e abriram a página do combustível. 

Com certeza, o tanque da asa direita tinha menos combustível do que o tanque da asa esquerda. A mensagem de aviso não especificava nenhum procedimento que a tripulação deveria seguir, mas o capitão Piché havia lidado com desequilíbrios de combustível muitas vezes durante o treinamento de falha do motor, e ele sabia de cor o que fazer. 

Agindo puramente de memória, sem sequer consultar a lista de verificação, ele abriu a válvula de alimentação cruzada, conectando os tanques esquerdo e direito um ao outro, e desligou as bombas de combustível da asa direita, permitindo que as bombas de combustível da asa esquerda forçassem o combustível através da linha de alimentação cruzada. O combustível começou a fluir do tanque da asa esquerda para o tanque da asa direita, corrigindo rapidamente o desequilíbrio.

Piché não tinha ideia de que tinha acabado de cometer um grande erro. Enquanto o vazamento até então drenava apenas o tanque da asa direita, agora estava drenando ambos. E com o combustível agora escapando pelo buraco a uma taxa de 13 toneladas por hora, não demoraria muito para que eles ficassem sem combustível, 11 quilômetros acima do Atlântico e a centenas de quilômetros do aeroporto mais próximo.

A localização do voo 236 quando foi tomada a decisão de desviar para o aeroporto mais próximo

Até este ponto, os pilotos estavam quebrando a cabeça em busca de alguma explicação para seus problemas aparentemente desconexos, e parece que em algum momento eles se agarraram à única explicação que conseguiram pensar: um erro de computador. A baixa temperatura do óleo, a alta pressão do óleo e o desequilíbrio do combustível eram tão anômalos que era mais simples descartá-los como incorretos. 

A possibilidade de vazamento de combustível passou pela cabeça deles, mas foi descartada — afinal, não haviam recebido nenhum alerta, não haviam ocorrido colisões ou ruídos incomuns que pudessem estar associados a uma falha grave do sistema de combustível, e sua última verificação de queima de combustível às 3h58 mostrou que as quantidades de combustível eram normais.

Mas, ao continuarem a monitorar o sistema de combustível, não puderam deixar de notar que a quantidade total de combustível nos tanques estava caindo de forma alarmante. Quase sete toneladas já haviam sido perdidas às 4h33, e às 4h45 o sistema de gerenciamento de voo indicava que o combustível a bordo havia caído abaixo do necessário para chegar a Lisboa. 

Embora ainda acreditassem que o problema era mais provável do que um erro de computador, os pilotos não eram tolos e, às 4h48, informaram ao Controle Oceânico, na ilha de Santa Maria, que estavam desviando para a Base Aérea das Lajes, um aeródromo militar. nos Açores portugueses.

A taxa de vazamento de combustível e o total de combustível a bordo durante o voo. Note que os horários neste gráfico estão em UTC, enquanto os horários utilizados neste artigo são os horários dos Açores, que é UTC -1 (GPIAA)

A essa altura, restavam apenas sete toneladas de combustível a bordo, contra 11 quando os pilotos ligaram a alimentação cruzada às 4h36. Não era muito, tendo em conta que a Ilha Terceira, onde se situa a Base Aérea das Lajes, estava a mais de 300 quilómetros de distância, e entre a fuga e o combustível utilizado pelos motores, estes rodavam cerca de 19 toneladas por hora.

Buscando confirmar se estavam realmente perdendo combustível, os pilotos instruíram a tripulação de cabine a olhar pelas janelas dos passageiros em busca de qualquer sinal de combustível vindo das asas ou dos motores. Mas enquanto um fluxo de combustível seria óbvio durante o dia, atualmente era o meio da noite, e mesmo com as luzes da cabine apagadas, era impossível ver qualquer coisa.

Na frente, os pilotos ainda esperavam que toda a situação fosse um grande erro de computador, mas se não fosse, eles estariam em apuros se não agissem. Temendo um possível vazamento de combustível do lado direito, às 4h54 eles ligaram as bombas de combustível no tanque da asa direita em vez do tanque da asa esquerda, fazendo com que o tanque da asa direita alimentasse os dois motores. Isso mais uma vez isolou o combustível no tanque da asa esquerda do vazamento, mas cinco minutos depois eles mudaram a configuração de volta.

Às 5h01, o comissário principal voltou ao cockpit para relatar que nenhum sinal de vazamento de combustível havia sido observado. O capitão Piché informou-a então de que estavam a desviar-se para a Base Aérea das Lajes por falta de combustível, e que a tripulação de cabina teria de preparar os passageiros. 

Mas, perguntou o comissário principal, eles deveriam se preparar para um pouso ou um pouso? A matemática de Piché sugeria que eles provavelmente conseguiriam mesmo que ficassem sem combustível, mas ele não iria correr nenhum risco. Os passageiros precisariam estar prontos para um pouso em mar aberto.

Outra visualização da quantidade de combustível e taxa de vazamento ao longo do tempo (FAA)

Na cabine, a notícia de um possível abandono iminente foi recebida com respostas que variaram do pânico ao desespero, do fervor religioso à determinação de aço. Os comissários de bordo fizeram o que era preciso, explicando como colocar os coletes salva-vidas e como assumir as posições dos coletes salva-vidas em inglês, francês e português.

No cockpit, os pilotos apontavam direto para as Lajes e viam a quantidade de combustível indicada cair para zero. O combustível no tanque da asa direita caiu uma tonelada e continuou até ficar vazio. Às 5h13, o motor direito, sem combustível, engasgou e morreu, diminuindo a velocidade com um gemido lamentável. Incapaz de manter 39.000 pés com um motor, o A330 começou a descer.

Em pouco tempo, o tanque da asa esquerda também estava vazio. Às 5h15, restavam apenas 600 quilos, insuficientes para sustentar o motor esquerdo por mais de alguns minutos. Os pilotos tentaram ligar as bombas para transferir combustível do tanque compensador, mas também estava vazio. 

Com a dura realidade finalmente estabelecida, o primeiro oficial DeJager declarou emergência às 5h23. Mais três minutos se passaram e então, a 34.500 pés de altitude e a 121 quilômetros de Lajes, o motor esquerdo também queimou. As luzes piscaram e depois se apagaram, mergulhando a cabine na escuridão, e o rugido dos motores se desvaneceu em um silêncio terrível, interrompido apenas pelos débeis gritos de passageiros aterrorizados e pelo zumbido distante do vento.

Na cabine, muitos monitores computadorizados dos pilotos apagaram e os controles de vôo voltaram para Direct Law, sem qualquer modificação do computador. O sistema de compensação elétrica, o piloto automático, dois dos três sistemas hidráulicos, a maioria dos spoilers, alguns dos freios, os reversores de empuxo, o controle de pressurização e muitos outros sistemas ficaram instantaneamente inoperantes. 

Tudo o que restou foi alimentado pela bateria de emergência ou pela turbina de ar comprimido, ou RAT – uma pequena hélice que foi implantada automaticamente sob a fuselagem para alimentar instrumentos críticos e controles de voo. Sem combustível, não havia como colocar nenhum desses sistemas online novamente. Os pilotos teriam que planar até o Campo das Lajes na escuridão da madrugada com nada mais do que um punhado de instrumentos de apoio, enquanto se esforçavam para mover os controles de vôo com hidráulica limitada.

Base Aérea das Lajes, vista de sudeste (USAF)

Mas mesmo com os passageiros temendo o pior, a matemática parecia cada vez mais funcionar a favor dos pilotos. Com uma razão de descida entre 1.000 e 2.000 pés por minuto e uma velocidade de mais de 200 nós, eles tiveram tempo suficiente para chegar ao Campo das Lajes, e então alguns - se é que tiveram que se preocupar com o overshooting. Mas, de uma altitude de mais de 30.000 pés, numa noite perfeitamente clara, as luzes dos Açores já se avistavam no horizonte, bastando ao Capitão Piché apontar para elas.

Durante 19 minutos, o voo 236 deslizou silenciosamente no céu, seus pilotos envolvidos em um vaivém contínuo com o controle de tráfego aéreo enquanto se preparavam para se alinhar com a pista. 

Na cabine de passageiros, a perda de ar pressurizado fez com que as máscaras de oxigénio caíssem à medida que o avião descia 17.000 pés, mas a necessidade de oxigénio provou ser de curta duração à medida que o voo continuava a descer. 

Chegando quente a oito milhas e ainda a 13.000 pés, o capitão Piché agora levou o avião a um loop de 360 ​​graus para perder altitude; os passageiros viram as luzes da Ilha Terceira aparecerem na escuridão, apenas para desaparecer mais uma vez quando o avião virou. 

Piché manobrou o avião de volta à pista, bem à frente com as luzes acesas, mas ainda eram muito altas e rápidas. Sabendo que ele teria apenas uma chance de abordagem, ele começou a girar o avião com força de um lado para o outro, inclinando-se e guinando bruscamente para aumentar o arrasto. 

Os passageiros aguentaram a vida enquanto Piché os carregava em um passeio de carnaval magistral, usando toda a gama de seus controles limitados para manobrar o avião atingido diretamente para a soleira da pista.

O voo 236 ocupou três quartos da pista, mas conseguiu parar com sucesso (LUSA/EPA)

E então, às 5h45, o voo 236 ultrapassou a soleira e pousou na única pista do Campo das Lajes, viajando a uma velocidade alucinante de mais de 200 nós. O trem principal pousou com força e o avião saltou de volta no ar; pensando rapidamente, Piché plantou-o novamente e pisou no freio. 

Sem sistemas antiderrapantes em funcionamento, os pneus imediatamente deslizaram e estouraram, um após o outro; mas Piché não conseguia levantar o pé, porque o sistema de frenagem de emergência só tinha pressão hidráulica residual suficiente para uma ou duas aplicações de freio. Fumaça saindo de seu trem de pouso destruído, o avião derrapou em suas bordas, faíscas voando em todas as direções, pelo que pareceu uma eternidade, antes de finalmente parar, ereto e inteiro, 7.600 pés abaixo da pista de 10.000 pés. .

Caminhões de bombeiros correram imediatamente para o avião e encharcaram o trem de pouso em chamas com espuma, enquanto os pilotos ordenavam à tripulação de cabine que iniciasse uma evacuação de emergência. 

Os comissários de bordo abriram sete das oito portas do avião – a oitava sofreu um mau funcionamento – e todos os 293 passageiros desceram pelos escorregadores de maneira ordenada. Dezesseis pessoas sofreram ferimentos leves no processo, mas dificilmente poderiam ter se importado – alguns passageiros ficaram tão aliviados por terem evitado uma queda que, assim que saíram do avião, se curvaram e beijaram a pista.

◊◊◊

O capitão Robert Piché, o primeiro oficial Dirk DeJager e a comissária de bordo Meleni Tesic
em uma coletiva de imprensa quatro dias após o acidente

A notícia do notável pouso de emergência do voo 236 da Air Transat logo se espalhou e, no final da manhã, as agências de notícias já o classificavam como um milagre. O capitão Piché e o primeiro oficial DeJager foram elogiados como heróis; jornalistas os perseguiam para entrevistas e passageiros elogiavam sua coragem e habilidade em relatos de tirar o fôlego na TV. 

Mas para os investigadores do Departamento de Prevenção e Investigação de Acidentes de Aviação de Portugal, ou GPIAA, a primeira ordem do dia era manter a mente aberta. Eles, juntamente com o Conselho de Segurança de Transporte do Canadá, foram encarregados de encontrar as causas do quase desastre, e esperava-se que não deixassem pedra sobre pedra - mesmo que algumas dessas pedras fossem objeto de aclamação pública.

A primeira tarefa deles era inspecionar o próprio avião. Embora não tenha sido exatamente uma baixa, os danos foram pesados: o trem de pouso foi praticamente destruído e o pouso foi tão violento que a fuselagem se deformou logo atrás das asas. 

Mas o dano mais importante encontrado pelos investigadores foi uma modesta rachadura em forma de L, com 80 mm de comprimento e 2,5 mm de largura, em um tubo de entrada de combustível no motor nº 2. A rachadura se espalhou de uma área onde a linha de combustível e um tubo hidráulico adjacente estavam se esfregando, até que finalmente se abriu, causando o vazamento de combustível.

O avião ficou vários dias parado na pista das Lajes devido a dificuldades em adquirir o equipamento adequado para o deslocar. Isto causou uma perturbação significativa na vida na ilha, que dependia do aeroporto para transportar pessoas e suprimentos (AP)

Ao analisar a documentação, examinar o motor e entrevistar o pessoal de manutenção da Air Transat, os investigadores estabeleceram que os técnicos que realizaram a substituição do motor no fim de semana anterior ao acidente tinham deixado no local um tubo hidráulico incompatível com as linhas de combustível adjacentes. 

Isto, por sua vez, ocorreu porque o motor foi emprestado à Air Transat sem ter sido modificado de acordo com os últimos boletins de serviço da Rolls Royce, e porque os técnicos, apesar de reconhecerem este fato quando não conseguiram instalar a bomba hidráulica, terminaram o trabalho sem adquirir o texto real dos boletins de serviço, e sem perceber que eles também deveriam ter substituído o tubo hidráulico, não apenas as linhas de combustível.

Esta sequência de eventos representou uma falha no sistema de boletim de serviço, que é projetado para delinear claramente entre as modificações que são críticas de segurança e aquelas que não são. Nem o boletim de serviço da Airbus sobre a bomba hidráulica nem o boletim de serviço da Rolls Royce sobre as linhas de combustível eram críticos de segurança por si só, mas quando os técnicos da Air Transat inadvertidamente misturaram peças modificadas e não modificadas, um risco de segurança foi criado onde antes não existia.

Apesar da possibilidade de tal risco surgir, houve relativamente pouca supervisão da implementação de boletins de serviço não obrigatórios na indústria da aviação. A empresa sediada em Hong Kong que revisou o motor pela última vez não foi obrigada a realizar os SBs opcionais mais recentes, nem foi obrigada a manter a documentação afirmando que não o havia feito. A responsabilidade de garantir que o motor estava em conformidade com os SB's mais recentes era do operador que eventualmente o instalasse em uma aeronave. 

Na Air Transat, os boletins de serviço eram normalmente revisados ​​pelo departamento de engenharia, mas os SBs específicos em questão eram desconhecidos para os engenheiros da empresa porque todos os A330s da Air Transat já haviam sido modificados por seus proprietários anteriores; e além disso, não era uma prática padrão comparar a lista completa de boletins de serviço em um motor emprestado com aqueles incorporados em outros motores da companhia aérea. 

O resultado cumulativo dessas lacunas processuais foi que qualquer discrepância no status de modificação de um motor emprestado dificilmente seria descoberta até que os técnicos estivessem tentando instalá-lo em um avião.

As rodas do voo 236 sofreram grandes danos durante o pouso (GPIAA)

Uma vez descoberta a discrepância, a pressão do tempo pode ter levado o técnico responsável a concluir que o trabalho poderia ser concluído sem consultar o texto exato dos boletins de serviço. Consequentemente, os técnicos substituíram basicamente as peças que observaram que obstruíam a instalação da bomba hidráulica, em vez de todas as peças cuja substituição era solicitada nos boletins de serviço. 

O tubo hidráulico pré-SB foi omitido porque parecia caber ao lado da linha de combustível pós-SB. Embora fosse previsível que o tubo hidráulico flexível pressionaria a linha de combustível quando pressurizado, os técnicos não haviam sido treinados nesta propriedade das tubulações flexíveis e não a previram. 

Os investigadores sentiram que os especialistas em controle de qualidade, se estivessem presentes, poderiam ter sido mais céticos, mas nenhum estava no local, porque o pessoal de controle de qualidade da Air Transat trabalhava apenas de segunda a sexta-feira.

Outra visão do trem de pouso mutilado do voo 236 (FAA)

◊◊◊

Todos esses erros humanos, sistêmicos e mecânicos levaram ao vazamento de combustível, mas isso acabou sendo apenas metade da história. A outra metade, revelada por meio de dados de caixa-preta e entrevistas com os pilotos, acabaria por minar a narrativa inicial do acidente ao provar que, mesmo com o vazamento, o avião não precisava ficar sem combustível.

Desde muito cedo na investigação, o GPIAA e o TSB notaram que os pilotos do voo 236 nunca realizaram nenhum dos três possíveis procedimentos de vazamento de combustível, e de fato abriram o crossfeed entre os tanques esquerdo e direito por 32 minutos, permitindo várias toneladas de combustível do tanque de outra forma não afetado da asa esquerda seja perdido através do vazamento no motor direito. 

Os cálculos mostraram que se os pilotos tivessem parado a alimentação cruzada e realizado o procedimento de “Fuel Leak from Engine” às 4h45, quando tomaram a decisão de desviar pela primeira vez, teriam pousado com 5.136 quilos de combustível e dois motores operacionais. Os procedimentos relacionados “vazamento de combustível do tanque” e “vazamento de combustível não localizado” teriam sido um pouco menos eficazes, mas ainda permitiriam que o avião pousasse com combustível no tanque da asa esquerda e um motor operacional. 

Além disso, mesmo que nenhum desses procedimentos fosse executado, um resultado semelhante poderia ser obtido simplesmente nunca abrindo a alimentação cruzada em primeiro lugar.

A lista de verificação de desequilíbrio de combustível não é usada pela tripulação (GPIAA)

Essa revelação levou os investigadores a examinar a tomada de decisão minuto a minuto dos pilotos à medida que a emergência se desenrolava.

Embora os dados da caixa preta mostrassem que o vazamento começou às 3h38, haveria pouca indicação desse fato até quase uma hora depois. O A330, como quase todas as outras aeronaves, não possuía sensores capazes de detectar diretamente um vazamento de combustível e avisar a tripulação por meio do ECAM. 

Em vez disso, esperava-se que as tripulações observassem um desequilíbrio de combustível entre os dois tanques de asa e, em seguida, consultem a lista de verificação “Desequilíbrio de combustível”. Esta lista de verificação continha uma nota que dizia: “Cuidado: Não aplique este procedimento se houver suspeita de vazamento de combustível. Consulte o procedimento de vazamento de combustível.” 

A menos que o vazamento de combustível fosse diretamente visível para a tripulação, este era o único caminho processual que levaria os pilotos aos procedimentos de vazamento de combustível. No entanto, não explicou quais indicações deveriam levá-los a suspeitar de um vazamento de combustível em primeiro lugar.

No evento real, a tripulação nem chegou tão longe, porque o capitão Piché imediatamente executou a lista de verificação de desequilíbrio de combustível de memória e, portanto, nunca viu a nota de advertência. Esta decisão mostrou que um vazamento de combustível não estava na mente dos pilotos quando o aviso de desequilíbrio de combustível apareceu às 4h33. 

Embora, em retrospectiva, um vazamento seja uma das explicações mais prováveis ​​para um grande desequilíbrio durante uma fase inesperada do voo, havia uma série de razões pelas quais os pilotos podem não ter considerado isso, a maioria das quais estava enraizada na raridade percebida de tal mau funcionamento.

O trem de pouso destruído do avião abriu sulcos na pista, visíveis aqui (FAA)

Em primeiro lugar, os pilotos do A330 geralmente eram ensinados que, se ocorresse um mau funcionamento do sistema, eles seriam alertados por meio do ECAM. Isso pode ser verdade 99% das vezes, mas a rede de sensores que alimentam o ECAM não é onisciente, e os pilotos devem ter em mente que existem inúmeras falhas mais raras que podem não ser cobertas. 

A partir de suas entrevistas, ficou claro que os pilotos esperavam que um problema tão sério quanto um grande vazamento de combustível fosse indicado no ECAM, e a ausência de qualquer aviso foi indevidamente tomada como evidência contra a existência de um vazamento.

Em segundo lugar, novamente devido à sua raridade, os vazamentos de combustível não foram abordados no treinamento e os pilotos não aprenderam quais sintomas procurar ou quais procedimentos realizar. O número de cenários de mau funcionamento que podem ser cobertos no treinamento é muito menor do que o número de defeitos concebíveis, então alguns devem ser deixados de fora, e vazamentos de combustível estão entre eles.

Isso teria deixado os pilotos despreparados para reconhecer os sintomas, como um desequilíbrio inesperado de combustível e uma transferência de combustível mais cedo do que o normal para fora do tanque de compensação (Também deve ser notado que a transferência automática de combustível do tanque compensador para o tanque da asa direita atrasou a ativação do aviso de desequilíbrio de combustível em 15 minutos, resultando em mais perda de combustível antes que os pilotos pudessem descobrir o problema).

Com tudo isso em mente, atrase o relógio alguns minutos e lembre-se de que os primeiros indícios de qualquer anormalidade foram as leituras simultâneas de baixa quantidade de óleo, baixa temperatura do óleo e alta pressão do óleo no motor certo, uma combinação de sintomas que não estava coberto no manual e era desconhecido do departamento de manutenção da Air Transat. Devido à estranheza das indicações, aliada ao facto de o motor parecer estar a funcionar normalmente, foi bastante natural que os pilotos suspeitassem que a falha residia nos computadores que processavam a informação.

(FAA)

Essa mentalidade já havia começado a se desenvolver quando os pilotos receberam o aviso de desequilíbrio de combustível totalmente inesperado e aparentemente não relacionado. A decisão quase casual do capitão Piché de aplicar o procedimento de desequilíbrio de combustível de memória veio da crença de que qualquer resposta precisa ser apenas preventiva. 

Não havia nada de perigoso em abrir a alimentação cruzada para transferir combustível de um tanque para outro, mesmo que o aviso de desequilíbrio fosse falso, então não havia nada a perder ao fazê-lo - ou assim ele pensava. Ainda assim, os investigadores sentiram que os pilotos deveriam ter examinado as indicações mais de perto, talvez descobrindo no processo que faltavam seis toneladas de combustível, antes de decidir que ação tomar.

A oportunidade seguinte surgiu menos de 10 minutos após a abertura do crossfeed, quando os pilotos observaram que tinham menos combustível a bordo do que o esperado e que a quantidade total de combustível estava diminuindo a um ritmo inacreditável. Esta foi a primeira evidência verdadeiramente forte de um vazamento de combustível, mas os pilotos não o trataram como tal e, na verdade, deixaram o crossfeed aberto, alimentando o combustível diretamente no vazamento, por mais 20 minutos. Então, por que eles não mudaram seu curso de ação diante dessas novas e surpreendentes indicações?

Na tentativa de explicá-lo, os investigadores se voltaram para um fenômeno cognitivo chamado viés de enquadramento.O viés de enquadramento é a tendência humana, quando confrontado com duas escolhas negativas, de escolher um curso de ação com baixa probabilidade de perda desastrosa, em vez de um curso de ação com alta probabilidade de perda moderada. No caso do voo 236, uma ação foi assumir a existência de um vazamento de combustível e tomar medidas para mitigar a perda de combustível. 

Por outro lado, de acordo com o princípio do viés de enquadramento, seria mais tentador assumir que as indicações eram uma falha do computador e que tudo estava bem, mesmo que isso resultasse em um resultado pior na chance (percebida) de que realmente houve um vazamento. Essa escolha pode ser consciente ou inconsciente, mas no caso do voo 236 teria sido o último.

Além disso, uma vez que esse quadro ou mentalidade foi escolhido, o viés de confirmação teria tornado os pilotos mais propensos a considerar evidências que apoiassem sua mentalidade existente, como a ausência de quaisquer avisos do ECAM, a ausência de qualquer ruído ou impacto que pudesse estar associado a um mau funcionamento grave, a falha dos comissários de bordo em detectar quaisquer sinais de vazamento de combustível e o que eles perceberam ser uma taxa excessivamente alta de perda de combustível.

Um dos pilotos do voo 236 deixa o avião após o acidente (IASA)

Como resultado de todos esses fatores, os pilotos não aceitaram que estavam lidando com um vazamento real de combustível até que fosse tarde demais. No momento em que foram confrontados com evidências suficientes para redefinir seu modelo mental, eles não tinham mais combustível suficiente para chegar a nenhum aeroporto e não havia sentido em realizar um procedimento de vazamento de combustível. 

Na verdade, os próprios pilotos confirmaram que não abandonaram totalmente a crença de que uma falha no computador poderia ser responsável até que o motor direito explodiu às 5h13, enquanto o último ponto em que a aplicação de qualquer procedimento de vazamento de combustível teria feito qualquer a diferença foi de 4h54.

Embora houvesse motivos para questionar algumas das decisões dos pilotos, os investigadores observaram que o comportamento de Piché e DeJager no voo 236 foi notavelmente semelhante a alguns incidentes anteriores envolvendo vazamentos de combustível. 

Talvez o mais significativo, em 1997, um Airbus A320 da Air France em um curto voo doméstico sofreu um grave vazamento de combustível, resultando em um aviso de desequilíbrio de combustível. A tripulação deste voo também respondeu ao desequilíbrio abrindo o crossfeed, agravando o vazamento; e em outro paralelo ao voo 236, os tripulantes não conseguiram ver o combustível escapando devido à escuridão. Esse voo finalmente pousou em seu destino com 900 quilos de combustível restantes.

Na verdade, em dois dos três casos de fugas graves de combustível em meados da década de 1990, os pilotos não conseguiram determinar se estava a ocorrer uma fuga de combustível. À luz desta constatação, o Escritório Francês de Inquérito e Análise, ou BEA, publicou um relatório em 1997 que concluiu que os procedimentos existentes não auxiliavam adequadamente as tripulações de voo na detecção da presença de um vazamento. 

Este relatório levou a Airbus a criar a lista de verificação de desequilíbrio de combustível, bem como uma nova lista de verificação de vazamento de combustível; no entanto, a tripulação do voo 236 nunca os mencionou. A questão, na verdade, era um pouco mais profunda, na incapacidade dos pilotos de reconhecer a necessidade de consultar essas listas de verificação em primeiro lugar.

◊◊◊

O C-GITS foi reparado após o acidente e voltou ao serviço até ser aposentado em 2021.
Esta foto foi tirada em 2011 (Wikimedia AeroIcarus)

A essa altura, a investigação havia identificado amplas deficiências que deixaram 306 pessoas suspensas sobre o Atlântico por 19 minutos a bordo de um avião sem motores funcionando. Mas caberia a outros garantir que essas deficiências fossem corrigidas.

Uma das primeiras ações tomadas pela Transport Canada foi suspender o certificado da Air Transat para operar aeronaves bimotores longe de qualquer aeroporto, obrigando a companhia aérea a voar temporariamente em rotas mais longas para se manter perto da terra. 

A agência também publicou uma série de materiais destinados a auxiliar as tripulações de voo na identificação e mitigação de vazamentos de combustível e ordenou à Air Transat que colocasse seus pilotos em vários cursos de treinamento adicionais. 

Entre os novos itens de treinamento fornecidos pela companhia aérea estava um cenário de vazamento de combustível, corrigindo a falta de conhecimento que tem influenciado a tomada de decisão do piloto em muitos incidentes de vazamento de combustível. A companhia aérea também contratou mais pessoal de manutenção e controle de qualidade e lançou um esforço para melhorar seu ambiente de manutenção. 

Enquanto isso, A Airbus e o Diretório Geral de Aviação Civil da França trabalharam juntos para produzir um boletim de serviço recomendado modificando os Computadores de Aviso de Voo nas aeronaves A330 e A340, permitindo-lhes alertar sobre possíveis vazamentos de combustível comparando continuamente o combustível planejado com o combustível real a bordo. 

E, finalmente, a Rolls Royce emitiu um boletim de serviço pedindo aos operadores que inspecionassem seus motores para garantir folgas adequadas entre o combustível e as linhas hidráulicas, o que foi tornado obrigatório por uma diretiva de aeronavegabilidade da Autoridade de Aviação Civil do Reino Unido.

Após a publicação do relatório final, algumas ações adicionais foram tomadas, incluindo a introdução de um novo regulamento da FAA exigindo que os aviões avisem a tripulação se a quantidade de combustível disponível cair abaixo do necessário para chegar ao destino. Várias diretrizes de aeronavegabilidade também foram emitidas com o objetivo de melhorar a clareza e acessibilidade dos procedimentos de vazamento de combustível.

◊◊◊

O capitão Piché continuou a voar para a Air Transat por mais 16 anos, antes de se aposentar
em outubro de 2017. A foto acima de Piché foi tirada após um de seus últimos voos

Para o capitão Piché, a revelação de que o avião não precisava ter ficado sem combustível foi incômoda, mas talvez não surpreendente. Ele nunca tentou contestar as descobertas e, na verdade, desde o início procurou desencorajar outros de chamá-lo de herói. Suas ações naquele dia foram humanas, mas não sobre-humanas; eles eram imperfeitos, mas em última análise não eram desastrosos. 

E uma vez que todas as decisões foram tomadas, e tudo o que restava era levar o avião para a pista, o verdadeiro talento de Piché - voar com manche e leme - ficou aparente, enquanto ele executava um pouso impecável de manche morto em uma pequena ilha no meio do oceano, à noite, com a vida de 306 pessoas em suas mãos. 

No processo, ele estabeleceu um recorde para o mais longo voo sem força em um avião comercial - 121 quilômetros - que permanece até hoje. Essa façanha lhe rendeu o prêmio Air Line Pilots Association Superior Airmanship, que é realmente tudo o que ele poderia ter pedido. 

Então Piché foi um herói? Ele diria que não, mas cabe a nós decidir. E no final, não há resposta certa. Acidentes como esse geralmente nascem de uma série obscura de erros, mal-entendidos e erros que só se tornam claros para nós depois do fato - e às vezes o que mais importa é que todos foram embora, independentemente de quem era o culpado.

Edição de texto e imagens por Jorge Tadeu (Site Desastres Aéreos) com Admiral Cloudberg, ASN e Wikipedia