Aconteceu em 28 de dezembro de 2014: Voo Indonesia AirAsia 8501 - Solução mortífera deixa 162 vítimas fatais

No dia 28 de dezembro de 2014, um avião indonésio desapareceu sobre o Mar de Java a caminho de Singapura. Enquanto os controladores de tráfego aéreo tentavam, sem sucesso, contatá-lo, o Airbus A320 subiu rapidamente até 38.500 pés, virou e mergulhou no oceano, levando consigo a vida de todos os 162 passageiros e tripulantes. As caixas pretas, retiradas do fundo do mar junto com os destroços do avião, revelaram como isso aconteceu, desde suas origens prosaicas com uma pequena falha técnica, até os terríveis últimos momentos do voo, quando ele caiu de barriga em direção à água a 12.000 metros de altitude. pés por minuto. 

Foi uma sequência de eventos definida por mau julgamento, comunicação ainda pior e uma desconcertante ausência de habilidade de pilotagem, à medida que a tentativa imprudente do capitão de reiniciar dois computadores críticos se transformou em uma perda de controle desnecessária e evitável. A conclusão mais perturbadora, no entanto, foi que o acidente não foi o único - na verdade, levantou claramente o espectro do voo 447 da Air France, só que desta vez com um toque indonésio, uma vez que problemas sistémicos na indústria da aviação do país criaram as condições para o mesmo tipo de acidente ocorresse mesmo depois de as lições do voo 447 terem sido aprendidas.

◊◊◊

O relatório final sobre a queda do voo 447 da Air France (BEA)

Em julho de 2012, o Bureau de Inquérito e Análise da França divulgou seu tão esperado relatório final sobre a queda do voo 447 da Air France, que mergulhou 35.000 pés no Atlântico na noite de 1º de junho de 2009. As descobertas provaram estar entre as mais explosivo e conseqüente de qualquer investigação de acidente do século 21, revelando como uma perda de dados válidos de velocidade no ar fez com que dois pilotos supostamente treinados e profissionais entrassem em estado de pânico, recuando e paralisando um avião que teria continuado a voar normalmente se eles não tinha feito nada. O problema central era a falta de compreensão dos princípios básicos de voo, que surgiu de uma sensação de invulnerabilidade imbuída pelas avançadas proteções do envelope de voo do seu Airbus A330.

Conforme projetado, o A330, como todos os outros modelos modernos da Airbus, poderia evitar que os pilotos perdessem o controle, por mais mal que manuseassem o manche - um fato que os pilotos da Air France passaram a considerar natural, deixando a tripulação do voo 447 despreparada. reagir quando essas proteções foram removidas inesperadamente. A lição do desastre foi que a formação de pilotos em todo o mundo precisava de voltar ao básico, incutindo nos pilotos uma sensibilidade inata para os princípios aerodinâmicos que sustentam o voo manual, mesmo que raramente tenham de os aplicar.

O que se segue, no entanto, não é uma história alegre sobre os benefícios desta revolução na segurança, mas a história de uma companhia aérea que falhou tão completamente em aprender esta lição que nos perguntamos se estariam sequer a prestar atenção.

PK-AXC, a aeronave envolvida no acidente (Manuel Miller)

Essa companhia aérea era a Indonesia AirAsia, a filial indonésia da companhia aérea multinacional malaia AirAsia, que possui subsidiárias em países da região. No entanto, a relação entre as duas companhias aéreas não é exatamente a de uma empresa-mãe e uma subsidiária, uma vez que a lei indonésia proíbe a propriedade estrangeira de companhias aéreas nacionais. A Malaysia AirAsia detém uma participação minoritária de 49%, sendo o restante propriedade de um empresário indonésio, e embora ambas as companhias aéreas utilizem a marca AirAsia, a maior parte das operações diárias da Indonesia AirAsia são organizadas localmente.

Em 2014, a Indonesia AirAsia operava uma frota homogênea de 25 Airbus A320, incluindo o Airbus A320-216, prefixo PK-AXC (foto acima). Esta aeronave comum foi a que estava programada para operar o voo 8501 da Indonesia AirAsia, um serviço internacional regular de manhã cedo de Surabaya, na Indonésia, para Cingapura, no dia 28 de dezembro de 2014.

No comando do voo estava o capitão Iriyanto, de 53 anos, que pilotava aviões desde 1994 e tinha mais de 20.000 horas de experiência. (Como muitos indonésios, ele usou apenas um nome). Seu primeiro oficial naquele dia era um cidadão francês, Rémi Emmanuel Plesel, de 46 anos, que passou a maior parte de sua vida trabalhando na gestão do conglomerado petrolífero francês Total Energies, antes de fazer uma mudança abrupta de carreira em 2012. Em dezembro daquele ano, foi contratado pela Indonesia AirAsia logo após o treinamento de voo na França e colocado no assento direito do A320, onde desde então acumulou cerca de 1.400 horas de voo.

A rota do voo 8501 da Indonesia AirAsia

Às 5h35, ainda sem o sol nascer, o voo 8501 decolou da pista do Aeroporto Internacional Juanda, em Surabaya, com destino a Singapura. O avião estava quase lotado, com 162 pessoas a bordo, incluindo sete tripulantes e 155 passageiros, dos quais 41 eram membros de um único grupo religioso.

À medida que o voo subia sobre o Mar de Java, os pilotos monitoravam uma série de fortes tempestades no seu caminho, mas isto não era incomum na Indonésia em dezembro. Não havia nada que indicasse a possibilidade de problemas, mas às 5h57, os comissários alertaram os passageiros sobre a turbulência e os instruíram a apertar os cintos de segurança, por precaução.

Três minutos depois, tendo nivelado na altitude de cruzeiro de 32.000 pés, os pilotos estavam prestes a se acomodar quando um sinal sonoro soou na cabine, acompanhado pela iluminação da luz Master Caution. Os olhos dos pilotos foram imediatamente atraídos para o Monitor Eletrônico Centralizado de Aeronaves, ou ECAM, um display que fornece informações à tripulação sobre a natureza das falhas técnicas. Com certeza, uma mensagem apareceu na tela do ECAM – “AUTO FLT RUD TRV LIM 1”, dizia, usando a abreviação de “Auto Flight Rudder Travel Limiter 1”. Momentos depois, o sinal sonoro soou novamente e a mensagem mudou para “AUTO FLT RUD TRV LIM SYS”, indicando que ambos os canais do Rudder Travel Limiting System falharam.

A estrutura do sistema de controle do leme, incluindo os FACs e o limitador de deslocamento (KNKT)

O limitador de deslocamento do leme é um dispositivo controlado por computador que limita artificialmente a deflexão máxima do leme dependendo da velocidade da aeronave. Quanto maior a velocidade, maior será a autoridade do leme; portanto, a Unidade Limitadora de Curso do Leme, ou RTLU, restringe progressivamente a amplitude de movimento do leme, a fim de evitar que grandes comandos do leme sobrecarreguem a fuselagem em altas velocidades. O RTLU não é considerado um sistema crítico para a segurança e, caso falhe, a tripulação só precisa ser lembrada de não fazer grandes movimentos do leme - fora isso, o vôo normal pode continuar.

Além da mensagem de falha, porém, a tela do ECAM também exibia instruções para corrigir o problema com o RTLU. Portanto, o Capitão Iriyanto gritou “ações ECAM” e os pilotos começaram a seguir as instruções de solução de problemas. O procedimento teve apenas duas etapas: primeiro, desligar e ligar novamente o primeiro Flight Augmentation Computer (FAC 1); e segundo, fazer o mesmo com o Computador de Aumento de Voo número dois (FAC 2).

Os dois computadores redundantes de aumento de voo fazem parte da abrangente rede de computadores que compõe o sistema fly-by-wire do Airbus A320. O Airbus A320, e todas as outras aeronaves Airbus modernas, não possuem conexões mecânicas diretas entre os controles da cabine e as superfícies primárias de controle de voo; em vez disso, quando o piloto faz uma entrada usando o manche lateral ou os pedais do leme, esses comandos são enviados para um banco de computadores que decide até que ponto a superfície de controle irá desviar, dependendo de fatores como velocidade, configuração do flap, ângulo de inclinação e muito mais. 

Este sistema sustenta as proteções do envelope de voo do A320, que evitam que o piloto voe muito rápido ou muito lento, inclinando-se mais de 67 graus, inclinando-se mais de 30 graus, induzindo uma carga G de mais de 2,5 G ou excedendo o ângulo de estol. de ataque (mais sobre isso mais tarde). Dessas diversas funções, os dois FACs eram responsáveis ​​pela movimentação do leme; processamento de informações de velocidade para exibição dos pilotos; cálculo das velocidades mínimas e máximas permitidas; gerar avisos de “cisalhamento do vento”; e calcular o “piso alfa”, o ângulo de ataque mais alto permitido.

Localização de todos os botões e disjuntores do FAC (KNKT)

Normalmente, apenas o FAC 1 está ativo, mas caso falhe, todas as suas responsabilidades podem ser transferidas para o FAC 2. Assim, foi possível desligar e ligar cada FAC, um de cada vez, sem interferir no voo de forma alguma. caminho. Isto é o que o ECAM instruiu a tripulação a fazer, e foi o que eles fizeram - usando os dois botões FAC no painel superior, o Capitão Iriyanto reinicializou os dois computadores, gritando “FAC um desligado e ligado”, depois “FAC dois desligados e ligados. Com certeza, a correção funcionou e a mensagem de alerta sobre o RTLU desapareceu.

Voltando às suas funções normais, os pilotos observaram uma tempestade em seu caminho, e o Primeiro Oficial Plesel ligou para o controle de tráfego aéreo para solicitar um desvio. O ATC autorizou-os a desviar-se da tempestade e o capitão Iriyanto instruiu o piloto automático a levá-los para a esquerda do curso atual. Plesel então realizou o briefing padrão do cruzeiro, discutindo contingências em caso de problemas na abordagem de Cingapura.

De repente, às 6h09, um sinal sonoro foi ouvido e a luz principal de advertência acendeu novamente. A mesma mensagem reapareceu na tela do ECAM: AUTO FLT RUD TRV LIM SYS, com instruções para desligar e ligar novamente os FACs. Mais uma vez, o Capitão Iriyanto anunciou “ações do ECAM” e seguiu fielmente as instruções, fazendo com que a mensagem de alerta desaparecesse.

Os pilotos voltaram sua atenção novamente para o clima, pois o controlador pediu-lhes que informassem quando a tempestade estivesse livre. O primeiro oficial Plesel então perguntou se eles poderiam subir até 38.000 pés e foi avisado para ficar de prontidão.

Antes que pudessem obter uma resposta, o sinal sonoro soou e a luz de advertência principal acendeu, acompanhada mais uma vez pela mensagem ECAM, AUTO FLT RUD TRV LIM SYS. Os pilotos realizaram as ações do ECAM, mas a trégua foi breve. Menos de dois minutos depois, às 6h15, a mensagem voltou pela quarta vez. O problema simplesmente se recusou a desaparecer.

“Alguma reinicialização do computador?”, Plesel perguntou.

“Sem reinicialização do computador”, disse Iriyanto. "Esqueça as ações do ECAM", decidiu ele — ele tinha uma ideia melhor.

◊◊◊

Como teria aparecido a falha RTLU no ECAM (KNKT)

Três dias antes do voo 8501, em 25 de dezembro, Iriyanto havia sido escalado para outro voo na mesma aeronave, o PK-AXC. Enquanto o voo estava recuando do portão, a luz de advertência principal acendeu e a mensagem AUTO FLT RUD TRV LIM SYS apareceu no display do ECAM. Iriyanto voltou ao estacionamento e convocou um engenheiro da AirAsia à cabine para resolver o problema. 

O engenheiro consultou o manual de solução de problemas da Airbus, onde encontrou um conjunto aplicável de procedimentos que lhe pedia para reinicializar os disjuntores de ambos os FACs. Deve-se notar que puxar o disjuntor não é o mesmo que pressionar o botão FAC, como os pilotos estavam fazendo no vôo 8501 - se o botão for como selecionar “reiniciar” no menu do seu computador e, em seguida, reiniciar o circuito disjuntor é mais como desconectá-lo da parede e conectá-lo novamente.

Depois que o engenheiro reinicializou todos os quatro disjuntores associados aos dois FACs, a mensagem de cuidado desapareceu e o problema pareceu estar resolvido. O capitão Iriyanto perguntou se ele poderia reiniciar os disjuntores dessa maneira sempre que o problema aparecesse, ao que o engenheiro lhe disse de forma bastante ambígua para apenas seguir as ações do ECAM.

Minutos depois, o avião recuou do portão uma segunda vez, apenas para que a mesma mensagem de falha aparecesse novamente. Os pilotos tentaram as ações do ECAM, reiniciando os FACs usando os botões, mas a mensagem apareceu novamente em segundos. Iriyanto convocou mais uma vez o engenheiro e disse-lhe, pelo interfone, que as ações do ECAM não estavam funcionando, e perguntou se poderia reiniciar os disjuntores. 

O engenheiro concedeu permissão e o primeiro oficial puxou os disjuntores novamente – mas a mensagem ainda não foi apagada. Os pilotos devolveram o avião ao estacionamento, os passageiros desembarcaram e o engenheiro encontrou uma solução temporária: simplesmente substituiu o FAC 2 por um módulo canibalizado de outra aeronave. Isso pareceu resolver o problema, e Iriyanto então voou de avião para Kuala Lumpur e voltou sem que o problema voltasse.

Capitão Iriyanto (esquerda) e Primeiro Oficial Plesel (direita) (Airlive)

Este evento ainda estava fresco em sua mente quando Iriyanto se viu a bordo do voo 8501, confrontado com uma quarta mensagem consecutiva do AUTO FLT RUD TRV LIM SYS no espaço de 15 minutos. Reiniciar os FACs claramente não estava funcionando, então parece que ele decidiu que era hora de aumentar a aposta. Sem explicar seu plano ao primeiro oficial Plesel, ele estendeu a mão para o painel superior e puxou os dois disjuntores do FAC 1.

Assim que fez isso, o FAC 1 perdeu energia, acionando novamente a luz mestre de advertência, e uma mensagem “FAC 1 FAULT” apareceu no ECAM. Ao fundo, ouviu-se o controlador tentando autorizar o voo 8501 a subir a 34.000 pés, mas ninguém respondeu. Iriyanto empurrou os disjuntores FAC 1 de volta e foi procurar os disjuntores do FAC 2.

Aqui deve ser observado que nunca se deve tentar puxar os disjuntores FAC enquanto o avião estiver no ar. Na verdade, o Manual de Operações da Tripulação de Voo (FCOM) continha uma lista de todos os computadores cujos disjuntores poderiam ser acionados em vôo, bem como as condições que exigiriam tal ação, e os FACs não estavam na lista. Quer ele soubesse ou não, Iriyanto acabara de cometer uma violação grave dos procedimentos operacionais padrão – mas ainda não havia terminado e, na verdade, estava prestes a piorar as coisas.

O que Iriyanto não percebeu foi que recolocar os disjuntores FAC apenas restaura a energia do computador – na verdade, não o liga novamente. Para restaurar o FAC 1 para operação total, ele teria que pressionar o botão FAC 1 no painel superior após reiniciar os disjuntores, mas não fez isso. Conseqüentemente, as funções do FAC ainda estavam sendo desempenhadas pelo FAC 2 e não podiam ser transferidas para o FAC 1, quando ele saiu de seu assento, caminhou até o painel da parede traseira atrás do Primeiro Oficial e puxou ambos os disjuntores do FAC 2 como bem.

Uma análise mais detalhada das leis de controle de voo, para os interessados (Airbus)

As consequências desta ação foram imediatas e explosivas. Com ambos os computadores de aumento de voo off-line, o aviso mestre foi acionado novamente, uma mensagem FAC 1+2 FAULT apareceu no ECAM e todas as funções administradas pelos FACs, desde o controle automático do leme até avisos de baixa velocidade e proteção alfa do piso, foram perdidas instantaneamente. 

O piloto automático foi desconectado com um alto alarme de carga de cavalaria, o acelerador automático foi desativado e o sistema fly-by-wire mudou de Lei Normal para Lei Alternativa, eliminando todas as proteções do envelope de voo do Airbus. E para piorar ainda mais a situação, um comando errôneo do leme fez o avião rolar para a esquerda a uma velocidade de seis graus por segundo e, sem nenhum controle do computador sobre o leme, apenas os pilotos poderiam pará-lo.

Embora os acontecimentos no cockpit a partir desse momento se tenham desenrolado com uma rapidez impressionante, seria melhor darmos um passo atrás e examinarmos o que realmente aconteceu, com um foco particular no significado de “Direito Alternativo”.

Os leitores familiarizados com a queda do voo 447 da Air France talvez se lembrem de que a filosofia fly-by-wire da Airbus incorpora vários níveis de autoridade computacional sobre as informações do piloto. Na Lei Normal, que quase sempre está em vigor durante o voo, os computadores operam com autoridade total e todas as proteções do envelope de voo estão ativas, evitando que os pilotos façam quaisquer entradas que possam levar à perda de controle. 

No entanto, a perda de dados válidos ou a falha de múltiplos computadores fará com que os controles de voo entrem na Lei Alternativa, na qual certas funções fly-by-wire são rescindidas, principalmente algumas das proteções do envelope de voo, que não funcionarão a menos que todos os computadores estão funcionando corretamente. Os computadores continuarão a modificar algumas entradas do piloto para produzir deflexões na superfície de controle proporcionais à velocidade e configuração do avião, mas não irão e não podem impedir que os pilotos se inclinem muito acentuadamente ou se inclinem muito para cima ou para baixo. Além disso, no Direito Alternativo, o piloto deve voar manualmente e o piloto automático não pode ser acionado.

As mensagens ECAM vistas após a retirada dos disjuntores (KNKT)

Se o Capitão Iriyanto tivesse entendido que estava desligando ambos os FACs simultaneamente, ele poderia ter sido capaz de prever que isso desconectaria o piloto automático e colocaria os controles em Lei Alternativa. 

No entanto, no caso, ele não percebeu que a reinicialização sequencial dos disjuntores de ambos os FACs desarmaria ambos off-line ao mesmo tempo, e ele estava totalmente despreparado para a cascata de avisos que atacaram seus sentidos. 

Na verdade, o gravador de voz capturou-o exclamando: “Oh meu Deus”, provavelmente enquanto ele empurrava os disjuntores FAC 2 de volta e, em seguida, subia para seu assento do outro lado da cabine. Enquanto isso, acredita-se que o primeiro oficial Plesel tenha desviado sua atenção para a tela do ECAM, que agora exibia inúmeras mensagens de falha, incluindo “AUTO FLT AP OFF” (piloto automático desligado) e “F/CTL ALTN LAW (PROT LOST)” (voo lei alternativa de controle [proteção perdida]).

Em meio ao caos, o primeiro oficial Plesel levou nove segundos para perceber que o avião estava girando rapidamente para a esquerda. No momento em que ele pegou o manche lateral para assumir o controle manual, a aeronave havia atingido 54 graus de inclinação, muito fora do envelope operacional normal - tão longe, na verdade, que não teria sido possível com os controles de voo na Lei Normal*. 

Assustado com a reviravolta massiva e inesperada, ele girou o manípulo lateral o mais para a direita possível, e a margem esquerda reduziu para 9 graus em apenas dois segundos. Esse giro ainda mais rápido apenas aprofundou sua desorientação, e ele imediatamente contra-atacou novamente, mandando o avião de volta para 53 graus à esquerda. Agora totalmente dominado por um pânico descontrolado, ele tentou rolar para a direita novamente, mas ao mesmo tempo ficou tenso e puxou com força o manche lateral, fazendo o avião disparar para uma subida.

*(Para os aficionados do Airbus, observo que é possível inclinar até 67˚ na Lei Normal, mas o piloto deve manter pressão lateral no manche, caso contrário o ângulo de inclinação retornará automaticamente para 33˚. O avião não inclinar-se além de 33˚ por conta própria).

◊◊◊

Dois stills da animação KNKT da sequência do acidente, com conversas na cabine e alarmes (KNKT)

Escalar a 32.000 pés deve ser tentado com cuidado. Uma boa explicação do porquê: “Fundamentalmente, à medida que o ângulo de ataque – o ângulo do avião na corrente de ar – aumenta, a sustentação aumenta, até atingir o ponto crítico e cair rapidamente, fazendo com que o avião pare. Como o ar é rarefeito em grandes altitudes e fornece pouca sustentação, é necessária uma velocidade maior para manter o avião no ar, e o ângulo crítico de ataque é muito baixo. Inclinar-se mesmo alguns graus [enquanto estiver em alta altitude] pode colocar o avião à beira de um estol.”

Normalmente, um Airbus não pode estolar, mesmo quando o piloto sobe em grande altitude, porque as proteções do envelope de voo não permitirão que o ângulo de ataque exceda o ponto crítico. Esta função específica, conhecida como proteção de piso alfa, garante que o piloto não consiga estolar a aeronave, mesmo que tente. Mas na Lei Alternativa, não há proteção de piso alfa – em vez disso, há um aviso auditivo de estol, apresentando um clacker e uma voz robótica que grita a palavra “stall”, a fim de obrigar o piloto a reduzir o ângulo de ataque.

No voo 8501, os movimentos excessivos do primeiro oficial Plesel com o nariz para cima fizeram com que o ângulo de ataque aumentasse até acionar o aviso de estol, poucos segundos após o avião começar a subir. O capitão Iriyanto, que acabara de se amarrar em seu assento, ouviu o aviso de estol e sabia que o avião iria estolar a menos que reduzissem o ângulo de ataque baixando o nariz. 

Mas em uma trágica reviravolta do destino, sua língua ficou presa pela falta de uma língua nativa comum com o primeiro oficial Plesel. Como Iriyanto era indonésio e Plesel era francês, eles só conseguiam se comunicar em inglês básico de aviador, e seu repertório de frases não padronizadas era provavelmente limitado. E assim, no momento em que precisou pedir a Plesel que empurrasse o nariz para baixo, o que saiu de sua boca foi algo totalmente diferente: “Puxe para baixo”, gritou ele. "Puxe para baixo! Puxe para baixo! Puxe para baixo! Puxe para baixo!"

Visão geral dos parâmetros de voo próximo ao momento da altitude máxima (KNKT)

Quando ele ouviu pela primeira vez o aviso de estol, o primeiro oficial Plesel instintivamente começou a empurrar seu manche para frente para abaixar o nariz, e por um segundo o aviso de estol realmente parou, quando suas ações começaram a surtir efeito. Mas antes que pudesse ir longe, ele ouviu o capitão Iriyanto gritando para ele “puxar para baixo” e reverteu sua decisão. O comando para puxar para baixo era, obviamente, contraditório: puxa-se o manche para subir e empurra-se para descer, de modo que a frase “puxar para baixo” está aberta à interpretação. 

Infelizmente, Plesel concluiu que Iriyanto queria que ele puxasse o stick para trás, e ele o fez - até o fim. O avião recuou e disparou para cima a uma velocidade de 11.000 pés por minuto, causando uma perda catastrófica de velocidade e aumento no ângulo de ataque. A inclinação do avião atingiu 48 graus com o nariz para cima, muito além do que seria permitido pela Lei Normal. O aviso de estol imediatamente voltou à vida, gritando “STALL, STALL!” uma e outra vez.

“O que está acontecendo de errado!?”, Plesel exclamou em francês.

Em questão de segundos, o ângulo de ataque atingiu o ponto crítico e o avião começou a estolar. Fortes golpes balançaram a aeronave enquanto o fluxo de ar sobre as asas se tornava turbulento e desorganizado. Ainda inclinada para cima, com o ângulo de ataque próximo de 44 graus, a asa esquerda perdeu sustentação e caiu como uma pedra, fazendo com que o avião rolasse vertiginosamente 104 graus para a esquerda. A velocidade caiu para apenas 55 nós e a altitude atingiu o pico de 38.500 pés. Por um momento, o avião pareceu ficar ali, meio virado de cabeça para baixo, os avisos de estol soando, os motores funcionando – e então, com uma guinada angustiante, ele começou a descer.

O avião começa a cair em posição plana (KNKT)

Neste ponto, com um grito de “Meu Deus”, o capitão Iriyanto agarrou seu próprio manche em uma tentativa desesperada de recuperar o controle. Ele rolou para a direita para nivelar as asas e empurrou o nariz para frente para reduzir o ângulo de ataque, mas deixou de fora um passo crítico – esqueceu de anunciar: “Eu tenho o controle”.

Ao contrário das colunas de controle das aeronaves Boeing, os manípulos laterais usados ​​nos modelos modernos da Airbus não são interligados mecanicamente e não é possível para um piloto sentir os comandos dados pelo outro. Em vez disso, as duas entradas são simplesmente somadas.

Este sistema é projetado com a expectativa de que os pilotos comuniquem sobre quem está no comando, mas pode falhar quando essa comunicação não ocorrer. Se ambos os pilotos fizerem comandos simultâneos no side stick, uma voz automatizada chamará “DUAL INPUT” para chamar a atenção deles para o problema – mas no voo 8501, esse aviso nunca soou, porque o aviso de estol tinha prioridade. Como resultado desses fatores, o capitão Iriyanto provavelmente nunca percebeu que o primeiro oficial Plesel havia respondido ao seu comando de “puxar para baixo” puxando o nariz para cima e, na verdade, ainda segurava o manche lateral o mais para trás possível.

Iriyanto também poderia ter bloqueado Plesel fora dos controles, mantendo pressionado o botão de “prioridade do stick lateral”, mas ele nunca o fez, seja porque não sabia que Plesel estava parando ou porque isso não lhe ocorreu em meio ao caos. a cabine de comando.

Apesar de ter que lutar contra seu primeiro oficial, Iriyanto conseguiu nivelar as asas e reduzir o ângulo de inclinação para 0 graus quando o avião atingiu 29.000 pés, mas isso não tirou o avião do estol. Na verdade, eles estavam agora caindo de barriga em direção ao mar, com um ângulo de ataque de 40 graus e uma velocidade de descida de 12.000 pés por minuto. Isso colocou o avião em uma configuração altamente incomum – o nariz e as asas estavam nivelados e os motores estavam em impulso de cruzeiro, mas a aeronave estava descendo, não para frente. 

Perplexo com essas indicações conflitantes, Iriyanto parece ter perdido toda a confiança em seus instrumentos, pois os gravadores de voo o capturaram mudando seu display para uma fonte de dados de backup para corrigir um problema de dados defeituosos que na verdade não existia. As leituras bizarras em seus instrumentos estavam todas corretas, mas a essa altura o avião já havia saído do envelope de voo experimentalmente validado do A320 e, quando confrontado com indicações que nenhum piloto do A320 jamais havia visto antes, ele simplesmente não acreditou nelas.

Esta animação do acidente apareceu no episódio 9 da temporada 16 de Mayday. Alguns pontos não mostrados: o avião já estava inclinando-se acentuadamente quando sua altitude atingiu o pico; e seu rumo girou lentamente quase 540 graus durante a descida

A única maneira de se recuperar do estol neste ponto seria inclinar o nariz para baixo, reduzindo o ângulo de ataque abaixo do ponto crítico. Eles teriam precisado entrar em um mergulho íngreme e de alta velocidade, perdendo milhares de metros de altitude, mas poderiam ter sobrevivido. Infelizmente, nenhum dos pilotos jamais compreendeu a natureza e a magnitude da tarefa que tinha pela frente. 

Plesel nunca parou de puxar o manche para trás, e os movimentos indiferentes de nariz para baixo de Iriyanto foram insuficientes para superar seu primeiro oficial e trazer o nariz abaixo do horizonte. Em vez disso, o voo 8501 continuou a cair em direção ao oceano distante, girando lentamente e girando, alertas de estol estridentes, fustigado por vibrações poderosas, além de qualquer esperança de recuperação. 

Eles seguiram em frente, caindo inexoravelmente para baixo, os pilotos perplexos brigando pelos controles, observando a extremidade subir para encontrá-los. A velocidade de avanço atingiu 132 nós e a velocidade de descida suavizou para 8.400 pés por minuto, mas ainda assim eles continuaram caindo, presos em um estol do qual nunca escapariam. 

A altitude evoluiu continuamente em direção a zero, até que finalmente, às 6:20 e 35 segundos, o voo 8501 da Indonesia AirAsia bateu na superfície do Mar de Java e se partiu, com apenas um breve estrondo de trovão e um único e poderoso respingo para marcar a sua passagem, antes que as águas agitadas pela tempestade fechassem mais uma vez sobre o local de descanso final dos 162 passageiros e tripulantes.

◊◊◊

No centro de controle da área de Jacarta, os controladores observaram toda a espiral mortal do voo 8501, do início ao fim, tentando desesperadamente contatá-lo, apenas para observarem a sua altitude descer até zero e o seu alvo desaparecer, para nunca mais subir. 

A descida final em espiral do voo 8501 para o mar (KNKT)

Foi declarada uma emergência, foram enviadas equipas de resgate, famílias foram reunidas no aeroporto de Singapura para receberem as más notícias – uma rotina que para os indonésios se tornou demasiado familiar. O mesmo acontecia com a rotina de esperar por respostas. Afinal, antes que os investigadores pudessem dizer o que aconteceu com o voo 8501, as equipes de busca precisavam encontrá-lo.

Dois dias se passaram sem nenhum sinal do avião, antes que vários destroços flutuantes, incluindo um escorregador de fuga, bagagens e corpos de vítimas, fossem avistados em 30 de dezembro. 

A partir daí, o resto do avião foi localizado no fundo raso do Mar de Java, sob apenas algumas dezenas de metros de água, a cerca de 100 quilómetros da costa de Bornéu. A mídia global transmitiu imagens de equipes de recuperação levantando a cauda vertical quase intacta do avião e o teto da cabine traseira, seguido pela seção central, com ambas as asas ainda presas. 

A taxa de descida relativamente lenta no momento do impacto, em comparação com outros acidentes semelhantes, significou que muitos dos destroços ainda eram reconhecíveis como um avião - mas isso não foi suficiente para salvar os passageiros e a tripulação, que morreram instantaneamente quando o avião colidiu com o avião. mar.

Cauda do PK-AXC após ser retirada do mar (AP)

A investigação ao acidente seria liderada, como sempre, pelo Comité Nacional de Segurança nos Transportes da Indonésia, ou KNKT, com a ajuda do Gabinete Francês de Inquérito e Análise, ou BEA, que representa o país de fabrico da aeronave. 

Embora a mídia tenha especulado desde o início sobre o papel potencial do tempo tempestuoso através do qual o voo 8501 estava voando, os investigadores da KNKT e da BEA provavelmente suspeitaram desde o início que a causa estava em outro lugar. 

Na verdade, quando as caixas negras foram retiradas do fundo do mar e levadas para Jacarta para análise, provaram que o acidente não teve nada a ver com o clima – e tudo a ver com a relação entre os pilotos e o seu avião.

A sequência de eventos começou com uma série de mau funcionamento da unidade limitadora de deslocamento do leme. Para saber mais sobre o motivo, a unidade foi levada ao fabricante, que imediatamente detectou o problema: uma junta de solda ruim no módulo eletrônico do RTLU havia rachado, causando uma descontinuidade elétrica intermitente afetando ambos os canais do RTLU.

De acordo com os registros de manutenção, os pilotos relataram problemas com o RTLU desta aeronave 23 vezes ao longo de 2014, incluindo cinco vezes em novembro e nove vezes em dezembro. O gravador de dados de voo também sugeriu que provavelmente houve muitos outros casos que não foram relatados. Então, por que essa falha recorrente nunca foi abordada?

Outra vista da seção da cauda (AFP)

A resposta estava nos procedimentos de manutenção inadequados da Indonesia AirAsia. Os investigadores observaram que os engenheiros de manutenção acompanhavam cada mau funcionamento do RTLU executando os testes integrados do equipamento ou redefinindo os FACs, que eram as ações prescritas pelo manual de solução de problemas, mas apenas para ocorrências únicas. Segundo o manual, se o problema persistisse, a ação corretiva adequada seria substituir o módulo eletrônico RTLU. Isso teria resolvido o problema, mas nunca foi tentado. 

A razão provável foi que os engenheiros não avaliaram a natureza recorrente da falha, em parte porque a maioria dos casos não estava sendo registrada no registro técnico. Na verdade, naquela altura, os pilotos na Indonésia não eram obrigados a anotar as falhas no registo técnico, e a não comunicação das falhas estava profundamente enraizada na cultura de pilotagem da maioria das companhias aéreas indonésias. 

No entanto, o BEA acreditava que os engenheiros deveriam ter informações suficientes à sua disposição para concluir que a execução do diagnóstico do computador e a redefinição dos FACs não resolveriam o problema. Em qualquer caso, porém, a falha na substituição do módulo eletrônico RTLU permitiu que a falha persistisse por muito tempo depois de ter sido resolvida, até ocorrer novamente quatro vezes no voo 8501.

Os restos danificados da seção central da asa do A320 (AP)

Embora a falha em si não fosse grave, as repetidas mensagens de falha distraíam e o capitão Iriyanto parecia ficar mais irritado cada vez que a falha voltava. Reconhecendo que as ações prescritas do ECAM não estavam resolvendo o problema, ele decidiu tentar reinicializar os disjuntores de ambos os FACs, como havia aprendido com o engenheiro no local três dias antes. Esta ação não foi prescrita por nenhum procedimento oficial e foi de fato proibida em voo.

Surgiu algum desacordo entre o KNKT e o BEA sobre se ele deveria saber que isto era proibido e se existiam cursos de ação alternativos. Em primeiro lugar, o BEA escreveu que se as ações do ECAM não resolvessem o problema, então nada impediria a tripulação de simplesmente limpar as mensagens do ECAM e continuar o voo com o RTLU inoperante. 

O KNKT, por sua vez, discordou, argumentando que os procedimentos operacionais padrão obrigavam a tripulação a realizar as ações do ECAM. Mesmo que isso não fosse permitido, teria sido muito mais seguro do que o que eles realmente fizeram.

Recuperação da seção central da asa (CNN)

O segundo ponto estava relacionado ao Manual de Referência Rápida de Procedimentos Anormais, ou QRH, que incluía uma linha que dizia: “AVISO: Não reinicie mais de um computador ao mesmo tempo, a menos que seja instruído a fazê-lo”, e acrescentou que o os pilotos devem “considerar e compreender totalmente as consequências” antes de acionar qualquer disjuntor durante o voo. Mais abaixo, na mesma seção, havia a linha: “Em voo, como regra geral, a tripulação deve restringir as reinicializações dos computadores aos listados na tabela”, seguida por uma tabela contendo a lista de computadores que poderiam ser reinicializados durante o voo. 

Na opinião do KNKT, as palavras “como regra geral” e “considerar e compreender plenamente as consequências” poderiam ter levado o Capitão Iriyanto a acreditar que lhe era permitido reinicializar os disjuntores da FAC, desde que conhecesse as consequências, o que ele talvez pensei que sim, depois de observar um engenheiro realizar o procedimento no solo. Por outro lado, o BEA considerou que a linguagem do QRH era bastante simples sobre quais computadores poderiam ser reiniciados durante o voo e quais não.

Quanto a saber se os pilotos “consideraram plenamente” as consequências antes de agirem, ambas as partes concordaram que muito provavelmente não o fizeram. O KNKT escreveu que durante os 54 segundos entre a última falha do RTLU e o acionamento do primeiro disjuntor, a conversa na cabine era ininteligível, mas que, independentemente disso, não foi tempo suficiente para desenvolver e implementar um plano para lidar com as consequências do acionamento. os disjuntores. 

O BEA, por outro lado, escreveu que o conteúdo da gravação de voz da cabine durante esses 54 segundos não era “menos ininteligível” do que qualquer outra parte, e na verdade simplesmente não houve conversa, exceto uma breve troca – “Qualquer computador reiniciar?" e “Sem reinicialização do computador” – que o KNKT não mencionou no seu relatório final. De qualquer forma, porém, os pilotos claramente não sabiam no que estavam se metendo, e essa falta de previsão alimentou todos os acontecimentos que se seguiram.

A cauda recuperada ainda tinha parte da estrutura da cozinha de popa anexada (Reuters)

Quando o Capitão Iriyanto desligou os disjuntores do FAC 1, ele não garantiu que o computador estivesse online novamente antes de puxar os disjuntores do FAC 2, resultando na perda de ambos os FACs e na conseqüente desconexão do piloto automático e reversão dos controles de voo para Lei Alternativa.

Além disso, nenhum dos pilotos estava preparado para reagir a esta súbita reversão para o voo manual. Quando o avião começou a rolar para a esquerda, o primeiro oficial Plesel reagiu em pânico e descoordenado, fazendo vários movimentos grandes de rolagem antes de puxar o nariz para cima, colocando o avião em uma subida íngreme. Tal reação talvez pudesse ter sido evitada se, antes de acionar os disjuntores, os pilotos tivessem discutido o que Plesel deveria fazer em caso de consequências adversas, mas não o fizeram.

A partir daí, os pilotos não conseguiram reagir aos avisos de estol de forma coerente e coordenada. Eles poderiam ter conseguido chegar a um resultado seguro, mas a exortação contraditória do capitão Iriyanto para “puxar para baixo” injetou ainda mais confusão na situação. 

O primeiro oficial Plesel deveria saber que precisava empurrar para baixo, e não puxar para cima, em resposta a um aviso de estol, mas por alguma razão, ele interpretou “puxar para baixo” como um comando para puxar para cima, então foi isso que ele fez, e em na verdade, ele nunca parou de parar até o avião atingir a água - assim como o primeiro oficial do voo 447 da Air France, cinco anos antes.

Uma oficial examina a cauda do PK-AXC (Reuters)

Rémi Emmanuel Plesel e o primeiro oficial da Air France 447, Pierre-Cedric Bonin, foram ambos produtos de escolas de aviação francesas durante o mesmo período geral. Ambos passaram apenas algumas centenas de horas voando em aeronaves leves, apenas o suficiente para obter uma compreensão intuitiva da dinâmica de voo, antes de serem colocados a bordo de jatos Airbus altamente automatizados que não exigiam que gastassem muito tempo, se é que voavam manualmente. E quando confrontados com uma desconexão repentina e inesperada do piloto automático, ambos reagiram puxando instintivamente, mesmo que não houvesse motivo para isso. 

O denominador comum entre eles era a falta de compreensão dos princípios aerodinâmicos que permitem aos aviões voar – e que os fazem parar de voar se forem manuseados de forma inadequada. Um piloto que entende esses princípios nunca levantaria o nariz em resposta a um aviso de estol, mesmo que o capitão mandasse, porque saberia que isso inevitavelmente resultaria em estol.

Tanto Bonin quanto Plesel careciam desse tipo de bom senso aeronáutico, em parte porque passaram toda a sua carreira de piloto aninhados no abraço reconfortante das proteções do envelope de voo. Eles nunca tiveram que se preocupar em estolar o avião, porque o avião não se permitiria estolar, mesmo que puxassem o manche totalmente para trás. Sem treinamento rigoroso ou oportunidades de voar manualmente, esse ambiente permitiu que sua intuição aeronáutica se atrofiasse até desaparecer.

Isso não quer dizer que haja algo inerentemente errado com as proteções do envelope de voo - na verdade, elas são provavelmente um benefício líquido de segurança - mas é responsabilidade das companhias aéreas treinar seus pilotos de Airbus para voar como se as proteções não existissem, ou então os pilotos irão corre maior risco de perder o controle se as proteções forem retiradas inesperadamente.

Equipes de recuperação acenam para um helicóptero após encontrar a cauda (Prasetyo Utomo)

Na verdade, foi exatamente isso que aconteceu. De repente, encontrando-se em vôo manual a 32.000 pés, algo que provavelmente nunca havia feito em um Airbus na vida real, Plesel fez uma série de ações absurdas que fizeram o avião disparar incontrolavelmente para cima. O avião subiu ao zênite, estolou e caiu em direção ao mar, mas Plesel, assim como Bonin, aparentemente nunca percebeu o fato de que suas ações estavam causando o estol do avião - ele simplesmente continuou parando na crença obstinada de que, se o fizesse, o avião deveria parar de descer.

Os investigadores identificaram dois pontos cegos de treinamento que contribuíram para esta falha desastrosa da pilotagem. Por um lado, o treinamento da companhia aérea em estol de grande altitude era bem diferente da situação em que os pilotos realmente se encontravam. Nos cenários de treinamento, o avião manteria o vôo nivelado enquanto sua velocidade diminuía lentamente e seu ângulo de ataque aumentava lentamente, até o início do aviso de estol. Os pilotos foram então treinados para reagir empurrando o nariz em direção ao horizonte para reduzir o ângulo de ataque e evitar o estol. Os cenários não permitiram que o estol realmente ocorresse e não envolveram uma subida íngreme em ângulo de inclinação elevado, como ocorreu no voo do acidente.

Responder a uma emergência de alto ângulo de inclinação normalmente não faz parte do treinamento de recuperação de estol, mas está incluído no treinamento de recuperação de perturbações. Os leitores do meu artigo recente sobre o voo 182 da Sriwijaya Air lembrarão que este treinamento fornece aos pilotos estratégias de comunicação e técnicas de vôo que os ajudarão a se recuperar de “perturbações durante o voo”, como ângulos de inclinação elevados, ângulos de inclinação altos ou baixos, ângulos de inclinação excessivos ou baixos. velocidade insuficiente e várias combinações das mesmas. 

Se os pilotos tivessem recebido esse treinamento, o capitão Iriyanto teria aprendido textos explicativos padrão que ele poderia usar para identificar uma perturbação do nariz e sugerir ações corretivas. Essas chamadas teriam lhe dado as ferramentas necessárias para obrigar o primeiro oficial Plesel a empurrar o nariz para baixo, enquanto na realidade ele teve que confiar em seu próprio conhecimento limitado de inglês, resultando no comando enganoso de “puxar para baixo”. 

Curiosamente, no entanto, o manual de treinamento de voo do A320 da Indonesia AirAsia realmente prescrevia treinamento de recuperação de perturbações – então por que os registros dos pilotos mostram que eles nunca o receberam?

O momento em que a cauda foi encontrada (AFP)

A resposta, que recebeu apenas uma menção passageira no relatório final do KNKT, deixa o caso totalmente aberto quando considerado no contexto. No final das contas, a Indonesia AirAsia não estava realmente fornecendo aos pilotos do A320 treinamento de recuperação de perturbações, embora isso fizesse parte do currículo oficial de treinamento. A razão estava bem ali no Manual de Operações de Voo da empresa: “A eficácia da arquitetura fly-by-wire e a existência de leis de controle”, dizia, “eliminam a necessidade de manobras de recuperação de perturbações a serem treinadas em aeronaves Airbus”.

Esta afirmação é tão flagrantemente falsa, tão descarada na sua ingenuidade, que é difícil imaginar que tenha sido escrita por um profissional da aviação. Em 2014, a indústria estava perfeitamente consciente de que a existência de proteções no envelope de voo não torna as aeronaves Airbus imunes a acidentes de perda de controle. 

O voo 447 da Air France deveria ter sido o último prego no caixão para esta mentalidade perigosa. Foi um alerta vermelho para a indústria da aviação sobre os perigos de deixar os pilotos da Airbus acreditarem que eram invulneráveis. E, no entanto, cinco anos e meio após o desastre da Air France, e dois anos e meio após a publicação das conclusões contundentes do BEA, aqui estava a Indonesia AirAsia, ainda defendendo a mesma filosofia perigosamente incorrecta que tornou inevitável a queda do voo 447.

Equipes de recuperação transportam parte da fuselagem do PK-AXC (Reuters)

Esta falha abjeta em aprender a lição mais óbvia do voo 447 foi tristemente sintomática da cultura mais ampla de segurança da aviação na Indonésia. Na verdade, se você ler sobre a queda do voo 182 da Sriwijaya Air, muito do que foi dito até agora provavelmente parece bastante familiar, desde a incapacidade dos pilotos de reagir a uma perturbação repentina durante o voo, até a companhia aérea falha na aplicação adequada do manual de solução de problemas para identificar e corrigir um problema mecânico recorrente. 

Na verdade, este tipo de acidente já acontece na Indonésia há algum tempo, desde pelo menos desde a queda do voo 574 da Adam Air em 2007, que também ficou fora de controle enquanto os pilotos tentavam resolver uma pequena falha no computador. O facto de este ser um problema conhecido na Indonésia torna a decisão da Indonesia AirAsia de não dar treino de perturbação e recuperação aos seus pilotos Airbus ainda mais imperdoável.

Em 2014, o treino para perturbações e recuperação não era obrigatório na Indonésia, e foi assim que a companhia aérea conseguiu escapar a esta política míope. Após a queda do voo 8501, porém, isso finalmente mudou. Como resultado de uma recomendação da KNKT decorrente do desastre, a Direção Geral de Aviação Civil da Indonésia determinou que todas as companhias aéreas indonésias fornecessem aos seus pilotos formação em perturbação e recuperação a partir de 2018. 

Como o recente acidente aéreo da Sriwijaya mostrou, no entanto, a implementação e a aplicação foram desigual, uma vez que a tentativa tímida da Sriwijaya Air de fornecer formação de recuperação de perturbações revelou-se insuficiente para evitar que os pilotos do voo 182 perdessem o controlo do seu Boeing 737, mais de seis anos após a queda do voo 8501 ter sublinhado a extensão das deficiências de formação da Indonésia.

◊◊◊

Os caixões das vítimas do acidente são transportados para um avião militar para transporte para Surabaya (Reuters)

A queda do voo 8501 da Indonesia AirAsia é um exemplo claro dos riscos de se agarrar beligerantemente a uma ideologia ultrapassada que subordinou a responsabilidade humana a uma crença cega no progresso tecnológico. O conhecido ex-investigador do NTSB, John Goglia, descreveu o acidente como “totalmente evitável” – certamente pelos pilotos, que não exerceram bom senso e bom senso – mas especialmente pela companhia aérea, que não poderia ter deixado de ouvir sobre as duras lições de aquele que é hoje um dos acidentes mais estudados da história da aviação, mas por alguma razão optou por não aprendê-los. 

É possível que o fator determinante tenha sido o resultado final – não era necessária uma melhor formação, então porquê investir o capital para a implementar? Não querendo ir mais longe, a Indonesia AirAsia enterrou a cabeça na areia, insistindo que os acidentes com perda de controle não são um problema da Airbus. Não se pode sequer dizer que o crash provou que estavam errados, porque já estavam errados e o resto do mundo sabia disso. 

Em vez disso, 162 pessoas perderam a vida, suportando quatro minutos seguidos de terror, antes de tudo terminar desnecessariamente, com o seu destino coletivo selado por uma empresa que não conseguiu ensinar os seus pilotos a simplesmente pilotar o avião.

Edição de texto e imagens por Jorge Tadeu (Site Desastres Aéreos) com Admiral Cloudberg