 |
Um passageiro tirou esta foto em voo, mostrando os orifícios de saída dos
fragmentos da turbina na superfície superior da asa |
Nesse momento, a tripulação precisava tomar uma decisão: deveriam pousar imediatamente ou deveriam esperar para executar todos os procedimentos anormais associados às dezenas de mensagens do ECAM?
Avaliando que a aeronave era controlável com o piloto automático ligado e desligado, eles finalmente concordaram que era seguro permanecer no ar e que preferiam garantir que todos os tripulantes tivessem uma compreensão completa do estado de cada sistema da aeronave antes de iniciar o pouso. A última coisa que precisavam era de uma surpresa na aproximação final que os obrigasse a arremeter.
Tendo escolhido esse curso de ação, a tripulação solicitou autorização para entrar em um padrão de espera e o controle de tráfego aéreo concedeu-lhes permissão para circular sobre o oceano a nordeste de Singapura. A tripulação estimou que levaria pelo menos 30 minutos para executar todas as ações do ECAM. Enquanto isso, a tripulação de cabine tentava chamar a atenção dos pilotos usando o botão de chamada de emergência, mas todos os pilotos estavam tão concentrados nas falhas que inicialmente não perceberam. Só então enviaram o segundo oficial Mark Johnson para avaliar a situação na cabine.
Um piloto da Qantas, que viajava como passageiro no andar superior, chamou sua atenção para o sistema de entretenimento de bordo, que exibia uma imagem ao vivo da aeronave captada por uma câmera na cauda. A transmissão digital mostrava claramente um fluxo de combustível escorrendo da asa esquerda e atingindo o rastro da aeronave, visível também a olho nu do andar inferior. Johnson desceu para verificar pessoalmente e, nesse momento, observou pela primeira vez dois buracos enormes na parte superior da asa esquerda, cercados por metal irregular, por onde os fragmentos do disco da turbina haviam saído.
Segundo o comandante David Evans, a tripulação estava preocupada com o número de passageiros que assistiam à transmissão ao vivo da câmera na cauda, mas, em consenso, os pilotos optaram por não desligá-la, pois, em sua opinião, a interrupção repentina da transmissão seria provavelmente mais alarmante do que qualquer coisa que pudesse ser vista nela.
◊◊◊
 |
| Parte do disco da turbina causou sérios danos a um prédio |
Enquanto isso, em terra, os eventos tomavam um rumo inesperado. Na ilha de Batam, na Indonésia, destroços do motor nº 2 caíram em uma área povoada logo após a falha, causando surpresa e alarme. Entre os destroços, havia uma grande parte do disco da turbina IP que havia falhado, e que caiu com tanta força que atravessou um prédio, destruindo uma parede de tijolos.
Felizmente, ninguém em Batam se feriu com os destroços. No entanto, fotos de moradores locais segurando destroços de um avião com o que parecia ser a pintura da Qantas logo foram postadas no Twitter, onde foram interpretadas como indícios de que um avião da Qantas havia realmente caído em algum lugar sobre Batam.
Os engenheiros da Qantas já sabiam que o avião ainda estava voando, mas não conseguiam contatar a tripulação para obter mais informações. E fora desse círculo, a notícia de que um A380 da Qantas possivelmente havia caído se espalhou tão rapidamente que até mesmo os investidores reagiram enquanto o avião ainda estava no ar. Na verdade, o CEO da Qantas só tomou conhecimento da situação quando recebeu um telefonema perguntando por que o preço das ações da empresa estava caindo.
 |
| Pessoas recolhem pedaços da carenagem do motor que caiu em Batam |
Lá no alto, essas preocupações estavam longe da mente da tripulação. Executando um procedimento ECAM após o outro, eles estabilizaram lentamente vários sistemas afetados, mas, à medida que faziam isso, um problema em particular piorava: o combustível. Com um vazamento prodigioso de combustível do tanque da asa esquerda, um desequilíbrio se desenvolveu entre as asas esquerda e direita, provocando um alerta no ECAM instruindo-os a abrir as válvulas de transferência de combustível para equalizar os níveis.
No entanto, com um vazamento evidente e outras mensagens do ECAM indicando danos ao sistema de transferência de combustível, após uma discussão detalhada, os pilotos concluíram que seguir as instruções do computador seria imprudente — um ótimo exemplo de por que experiência e bom senso ainda são necessários, mesmo em uma aeronave tão automatizada quanto o A380. No final, foram necessários 55 minutos para apagar todas as mensagens do ECAM, um tempo sem precedentes que certamente estava muito além de qualquer coisa que os pilotos tivessem imaginado. Mas mesmo assim, ainda havia mais considerações a serem feitas antes que pudessem pousar.
O mais notável era que o avião ainda estava com mais de 40 toneladas acima do seu peso máximo de pouso, e entre as falhas ocorridas estava a perda do sistema de ejeção de combustível, o que impossibilitava a redução do peso por meio desse descarte. A possibilidade de permanecer no ar até que o combustível excedente fosse consumido foi considerada, mas com um desequilíbrio crescente de combustível entre as asas direita e esquerda e uma perda de 65% do controle de rolagem, os pilotos concluíram que isso seria irresponsável.
A conclusão foi que precisavam pousar em breve, mesmo estando acima do peso máximo. Mas será que alguma das pistas de Singapura seria longa o suficiente para acomodar um A380 significativamente sobrecarregado, com freios danificados, vários spoilers defeituosos e sem reversão de empuxo no motor 2? Certamente havia motivos para duvidar.
 |
| A trajetória completa do voo 32, incluindo sua longa espera |
Para ter certeza, o Capitão de Crespigny instruiu os dois comandantes instrutores a determinarem a distância de pouso necessária usando o software de desempenho da Airbus instalado em laptops no cockpit. O software detalhado permitia que eles inserissem vários parâmetros, incluindo o clima, as condições da pista e quaisquer falhas de sistemas, e então calculassem se era possível pousar.
Mas, após a inserção de todos os dados, o programa apresentou uma resposta ineficaz: “nenhum resultado”. Ao calcular a distância de pouso, o software aplicava um “coeficiente operacional” genérico para levar em conta, de forma conservadora, as variações nas técnicas de pilotagem que poderiam resultar em uma desaceleração menos eficiente.
O problema, como os investigadores descobririam mais tarde, era que o software aplicava o coeficiente novamente sempre que outra falha de sistema era adicionada. Com tantas falhas de sistema na aeronave, o coeficiente foi aplicado um total de 9 vezes, resultando em uma distância de pouso calculada consideravelmente maior do que o comprimento da pista disponível.
No entanto, o Comandante Evans conseguiu resolver o problema inserindo manualmente o peso real de pouso, anulando a suposição do programa de um peso máximo de pouso. Ao especificar um peso de pouso superior ao máximo, a lógica do sistema mudou para aplicar o coeficiente operacional apenas uma vez — por razões obscuras e sem relação com o problema — e, para sua surpresa, ao executar os cálculos desta vez, o computador indicou que eles poderiam pousar com dificuldade em qualquer uma das pistas de 4.000 metros do Aeroporto Changi de Singapura, com apenas 100 metros de folga. Não era muito, mas sem pistas melhores por perto, teria que servir.
 |
| Policiais indonésios posam com um pedaço da fuselagem do avião |
Finalmente pronto para prosseguir, o Capitão de Crespigny retirou a aeronave do padrão de espera e iniciou as manobras para a aproximação. A tripulação solicitou caminhões de bombeiros para o pouso devido ao vazamento de combustível e orientou a tripulação de cabine a se preparar para uma emergência em solo caso ultrapassassem a pista. Eles alinharam com a pista a uma distância consideravelmente maior do que o habitual para minimizar as manobras, já que os comandos estavam bastante lentos — principalmente devido ao controle de rolagem comprometido.
O Capitão de Crespigny realizou, então, verificações manuais adicionais durante a aproximação para garantir que as características de controle permanecessem consistentes enquanto o Primeiro Oficial Hicks estendia progressivamente os flaps. Os pilotos também decidiram manter os motores 1 e 4 em um nível de empuxo constante e ajustar a velocidade utilizando apenas o motor 3, pois este era o menos afetado pelas diversas falhas do sistema de controle eletrônico. Os problemas, contudo, persistiram. Devido a uma falha no sistema hidráulico verde, o trem de pouso não baixou quando a alavanca foi acionada, obrigando os pilotos a utilizar um sistema de reserva que permitia o acionamento por gravidade. Felizmente, essa solução funcionou.
O Capitão de Crespigny também teve que manter uma faixa de velocidade muito estreita, pois havia uma margem mínima entre a velocidade mínima de segurança no ar, abaixo da qual a aeronave entraria em estol, e a velocidade máxima de segurança no pouso, acima da qual ultrapassaria a pista. De Crespigny lembrou posteriormente que a faixa de segurança entre essas velocidades era provavelmente de apenas três ou quatro nós. Em determinado momento, a aeronave chegou a gerar um alerta automático de baixa energia, avisando que a velocidade estava caindo muito para a configuração atual — então de Crespigny aumentou ligeiramente a potência do motor 3, e o alerta desapareceu.
Apesar disso, com a ajuda do sistema fly-by-wire ainda operacional do Airbus e dos controles praticamente intactos, de Crespigny conseguiu realizar o pouso com precisão, aterrissando suavemente na pista 20C do Aeroporto de Changi às 11h46, pouco menos de duas horas após a decolagem. Um alerta de estol soou brevemente pouco antes do toque na pista, mas uma fração de segundo depois eles já estavam no solo e o problema foi resolvido.
Os pilotos acionaram os freios que ainda funcionavam, ativaram o reverso de empuxo no motor 3 — o A380 só possui reversores nos motores internos — e torceram para que fosse suficiente. A desaceleração não foi exatamente exuberante, mas considerando o esforço necessário para parar uma aeronave do porte de um A380, mesmo em condições ideais, foi bastante impressionante.
Contudo, foi apenas bem no final do pouso que os pilotos tiveram certeza de que conseguiriam parar na pista, e, no fim das contas, o software de desempenho não estava muito longe da realidade: quando o avião parou completamente, restavam apenas 150 metros dos 4.000 metros da pista. Mesmo que alguns passageiros pensassem que seu pesadelo havia terminado, ainda havia mais por vir. Ao desligarem os motores, os pilotos observaram que a temperatura dos freios do trem de pouso esquerdo havia subido alarmantemente.
Esses eram os únicos freios funcionando no lado esquerdo da aeronave e foram submetidos a uma tensão considerável durante o pouso, o que causou seu superaquecimento; o superaquecimento, por sua vez, fez com que quatro pneus esvaziassem. Para piorar a situação, ainda havia vazamento de combustível na asa, e havia uma preocupação real de que um incêndio pudesse começar se o combustível derramado entrasse em contato com os freios quentes.
Além disso, quando os motores 3 e 4 foram desligados, o avião perdeu energia elétrica e, ao tentarem ligar a unidade de energia auxiliar, esta não conectou o sistema elétrico devido a danos na infraestrutura de distribuição. Operando apenas com energia elétrica de emergência, o avião passou a ter apenas um rádio VHF funcionando, e a tripulação levou alguns instantes para descobrir qual era, para que de Crespigny pudesse contatar o corpo de bombeiros do aeroporto.
 |
| Passageiros desembarcam do voo 32 |
Ao entrar em contato com a equipe de bombeiros, de Crespigny os orientou a resfriar os freios, mas o bombeiro responsável respondeu com uma notícia surpreendente: o motor nº 1 ainda estava funcionando, mesmo após a tripulação já ter realizado o procedimento de desligamento.
Danos nos sistemas da asa haviam inoperante as válvulas de corte de combustível do motor nº 1, impedindo a tripulação de desligá-lo pelos meios normais. Os dois extintores de incêndio do motor nº 1 também estavam inoperantes, impedindo a tripulação de desligá-lo acionando a alavanca de emergência. Incapaz de resolver o problema, de Crespigny orientou os bombeiros a se aproximarem dos freios, mantendo-se o mais longe possível das entradas e saídas de ar do motor nº 1.
Se os bombeiros se aproximassem demais da entrada de ar, poderiam ser sugados pela turbina; por outro lado, aproximar-se demais por trás resultaria em queimaduras graves, além do jato de ar. Apesar disso, as equipes de bombeiros conseguiram se aproximar o suficiente para jogar espuma nos freios, evitando um incêndio. Durante esse período, a tripulação também debateu se deveria ou não evacuar os passageiros.
Uma evacuação nem sempre é uma decisão fácil: as estatísticas mostram que cerca de 5 a 10% dos passageiros que evacuam pelas rampas de emergência sofrem ferimentos graves e, com 440 passageiros a bordo, incluindo idosos e pessoas com deficiência, esse era um número potencialmente muito grande de pessoas. Considerando que o risco de incêndio havia sido reduzido, a tripulação finalmente concordou que o lugar mais seguro para os passageiros era dentro da aeronave — pelo menos por enquanto.
Os comissários de bordo foram instruídos a se deslocarem para seus postos no lado direito da aeronave para estarem prontos para uma evacuação de emergência, caso a situação mudasse repentinamente, enquanto os pilotos tentavam solicitar que uma escada fosse levada até a aeronave. Mas, como o único rádio funcionando estava sendo usado para comunicação com os bombeiros, os únicos outros sistemas de comunicação em funcionamento a bordo da aeronave desligada eram os celulares dos pilotos. Levou bastante tempo e várias tentativas frustradas até que conseguissem falar com alguém na Qantas que pudesse ligar para a empresa de serviços aeroportuários do Aeroporto de Changi e pedir que enviassem uma escada de embarque.
 |
| Bombeiros tentam afogar o motor nº 1, ainda em funcionamento |
Após 50 minutos a bordo do avião cada vez mais abafado — sem energia e sem ar condicionado —, as escadas finalmente chegaram e o desembarque começou. Levou uma hora para que todos saíssem por uma única saída de forma ordenada, mas, no final, todos os 440 passageiros saíram ilesos.
Quanto ao motor nº 1, que ainda estava funcionando, os engenheiros da Qantas concluíram que a única maneira de desligá-lo era afogá-lo com espuma de combate a incêndio. Os bombeiros então despejaram grandes quantidades de água e espuma na entrada de ar, o que se mostrou eficaz, já que o motor finalmente parou às 14h53, mais de três horas após o pouso da aeronave.
◊◊◊
 |
A tripulação do voo 32; da esquerda para a direita: Mark Johnson, Matt Hicks,
Richard de Crespigny, David Evans e Harry Wubben |
A notícia de que o A380 da Qantas, com problemas mecânicos, havia pousado em segurança em Singapura foi um grande alívio para todos, especialmente para aqueles que estavam a bordo, que imediatamente elogiaram a tripulação. O Capitão de Crespigny, em um ato exemplar de profissionalismo, chegou a fornecer seu número de telefone pessoal e permaneceu por duas horas no lounge da Qantas em Singapura para responder às perguntas dos passageiros sobre o voo. Ele e sua tripulação foram aclamados como heróis, e não sem razão.
O número de falhas a bordo do A380 superou quase qualquer outro incidente, pelo menos em uma aeronave com tecnologia moderna de monitoramento de falhas. Tomadas de decisão ponderadas, trabalho em equipe e gerenciamento de recursos da tripulação ajudaram a equipe a determinar coletivamente o curso de ação com menor probabilidade de resultar em ferimentos ou perda de vidas, com resultados perfeitos. A própria aeronave, no entanto, também contribuiu bastante.
O projeto do sistema de controle de voo garantiu que o impacto na controlabilidade fosse limitado, mesmo com danos graves nos ailerons e a perda de um dos dois sistemas hidráulicos. Apesar de seu tamanho, o A380 é conhecido por responder com muita precisão aos comandos graças ao projeto de seu sistema fly-by-wire, que permaneceu totalmente intacto durante o incidente, permitindo que os pilotos se concentrassem principalmente na tomada de decisões em vez de no manuseio da aeronave.
O ECAM (Módulo de Conta de Emergência da Aeronave) e as páginas detalhadas dos sistemas também ajudaram os pilotos a avaliar a extensão das falhas de uma forma que não era necessariamente possível duas décadas antes. Sem minimizar as ações da tripulação, também é justo dizer que o projeto do A380 incorporou tanta redundância e margens de segurança tão elevadas que o risco de um acidente catastrófico era provavelmente muito baixo, mesmo com tantos danos à aeronave.
 |
| Resíduos escuros dentro do tanque de combustível, perto das rupturas, indicavam um breve incêndio repentino |
No entanto, havia alguns pontos com potencial para danos ainda maiores. É evidente que, se algum fragmento da turbina tivesse atingido a cabine de passageiros, haveria feridos, senão vítimas fatais, mesmo que o avião pousasse em segurança posteriormente. E, talvez ainda mais preocupante, os investigadores encontraram posteriormente indícios de um breve incêndio repentino dentro do tanque de combustível da asa esquerda, que provavelmente ocorreu quando um fragmento extremamente quente da turbina entrou em contato com vapores de combustível no espaço vazio do tanque.
Pesquisas realizadas como parte da investigação sobre o acidente com o voo 800 da TWA em 1996, causado pela explosão do tanque de combustível central, constataram que os tanques de combustível das asas de aviões comerciais continham misturas inflamáveis de ar e combustível em cerca de 7% dos casos.
No entanto, no voo 32 da Qantas, a temperatura no tanque estava muito baixa para que a mistura ar-combustível atingisse uma concentração inflamável, e os investigadores determinaram que a breve ignição dos vapores durante a passagem do fragmento da turbina provavelmente não foi suficiente para elevar a temperatura do restante do combustível o bastante para sustentar a combustão. Se esse combustível tivesse continuado a queimar, causando uma explosão ou um incêndio prolongado na asa, o resultado poderia ter sido muito diferente.
 |
| Fios rompidos na borda de ataque da asa |
Embora esses cenários mais catastróficos não tenham se concretizado, o nível de danos ainda estava muito além do que a Airbus ou a Rolls-Royce haviam previsto, e ambas as empresas estavam ansiosas para saber o motivo — assim como os investigadores do Departamento Australiano de Segurança nos Transportes (ATSB), encarregados de descobrir. Os esforços iniciais estabeleceram que um vazamento de óleo causou um incêndio interno que levou à falha do braço de acionamento do disco da turbina IP, conforme descrito anteriormente.
Mas isso não respondeu a uma das perguntas mais importantes dos fabricantes: por que o disco foi autorizado a girar em alta velocidade até estourar? Afinal, de acordo com a filosofia de projeto do motor, isso jamais deveria ter acontecido. O risco representado pela ruptura de um disco de motor, seja ele um ventilador, compressor ou turbina, é bem conhecido na indústria.
Numerosos acidentes catastróficos ocorreram como resultado de rupturas de discos, seja por excesso de velocidade ou defeitos de material. Os efeitos colaterais comprovados da ruptura de discos incluem danos severos aos controles de voo (ver o voo 232 da United, Sioux City, Iowa, 1989, no qual fragmentos do disco da turbina resultaram na falha de todos os sistemas hidráulicos, perda de controle no pouso e 111 mortes); impactos fatais diretos em passageiros (ver o voo 1288 da Delta, Pensacola, Flórida, 1996, no qual um disco do compressor entrou na cabine de passageiros durante a decolagem, matando dois passageiros); e incêndios em voo (ver o voo 5055 da LOT Polish Airlines, Varsóvia, Polônia, 1987, que caiu após um fragmento de um disco de turbina rompido iniciar um incêndio no compartimento de bagagens, matando 183 pessoas).
Acidentes como esses fundamentam as diretrizes de certificação de aeronaves, que classificam a falha de um disco como um evento “perigoso” cuja probabilidade deve ser “extremamente remota” (definida como um evento ou menos a cada 100 milhões de horas de operação). E, por precaução, caso tal evento viesse a ocorrer, as normas introduzidas após o acidente da United em Sioux City também exigem que os fabricantes minimizem as potenciais falhas secundárias que poderiam ocorrer como resultado, razão pela qual o A380 possuía sistemas hidráulicos de reserva individuais para todas as superfícies de controle críticas.
De modo geral, o acidente a bordo do voo 32 demonstrou que os requisitos para minimização de danos foram atendidos, com exceção da consequente impossibilidade de cortar o combustível do motor nº 1, o que foi explicitamente definido nas diretrizes de certificação como indesejável. Esse sucesso, por si só, o diferenciou de acidentes fatais anteriores com liberação do disco. Mas a Rolls-Royce estava preocupada com a possibilidade de o disco estourar. Durante o desenvolvimento do Trent 900, a empresa calculou que, caso o disco da turbina de pressão intermediária (IP) se desconectasse do eixo de acionamento, o disco não aceleraria rápido o suficiente para estourar.
Essencialmente, acreditava-se que, sem a turbina para acioná-lo, o compressor IP desaceleraria até que o ar deixasse de fluir suavemente sobre suas pás, causando uma estolagem que, subsequentemente, se propagaria para o compressor de alta pressão (HP) atrás dele. Isso levaria a uma sobrepressão do motor, na qual a interrupção do fluxo de ar através da seção do compressor permite que o ar pressurizado da câmara de combustão seja expelido para a frente do motor. Em teoria, isso reduziria a quantidade de ar que flui para trás através do caminho de gás do anel e sobre a turbina IP, aliviando a carga na turbina e impedindo que ela acelerasse além de sua velocidade crítica.
Uma premissa fundamental era que a parada do compressor IP ocorreria mais rápido do que o sistema avançado de controle eletrônico do motor conseguiria detectar a sobrepressão e reduzir o fluxo de combustível, o que diminuiria a pressão na câmara de combustão para eliminar a sobrepressão e restaurar o fluxo de ar normal. Na prática, os investigadores descobriram que, embora o compressor IP tenha parado e ocorrido uma sobrepressão, a redução automática do fluxo de combustível foi rápida o suficiente para permitir a recuperação parcial do compressor HP, que voltou a injetar ar pressurizado na câmara de combustão e, consequentemente, sobre a turbina.
Esse fluxo de ar inesperadamente robusto forneceu a energia mecânica necessária para acelerar o disco da turbina IP além de sua velocidade crítica. Os engenheiros da Rolls-Royce não conseguiram determinar conclusivamente por que isso ocorreu. No entanto, para evitar que se repetisse, a empresa desenvolveu uma função de sobrevelocidade da turbina IP para o controle eletrônico do motor, que monitora diretamente o disco da turbina IP e corta instantaneamente o fluxo de combustível para o motor se o disco começar a girar muito rápido.
◊◊◊
 |
| Uma visualização da parede fina do tubo de alimentação de óleo |
Claro, se você chegou até aqui, provavelmente já sabe que uma questão crucial permanece. Toda essa sequência de eventos começou quando o tubo de alimentação de óleo — lembra dele? — apresentou um vazamento. Caso precise refrescar a memória, esse era o pequeno segmento de tubo que atravessava as seções externa e interna do cubo do rolamento para fornecer óleo à câmara do rolamento.
Então, por que isso aconteceu? A resposta, como se vê, era visível a olho nu. Quando os investigadores removeram o tubo defeituoso, descobriram que uma das paredes era simplesmente fina demais. Incapaz de suportar as tensões da operação normal, começou a sofrer fadiga do metal e falhou após apenas 677 voos.
O tubo de alimentação de óleo foi projetado com um diâmetro interno ligeiramente maior na extremidade inferior para acomodar um filtro. Isso exigiu o alargamento do diâmetro interno do tubo através da perfuração de um rebaixo a partir de uma das extremidades, conforme mostrado acima.
O centro do rebaixo deve estar alinhado com o centro do furo principal. No entanto, no tubo recuperado do motor danificado da Qantas, o rebaixo estava deslocado para um dos lados em aproximadamente meio milímetro, resultando em uma espessura de parede irregular que variava de 1,42 mm de um lado a apenas 0,35 mm do outro.
Foi essa parte extra fina da parede do tubo que falhou no voo 32. A história de como o rebaixo ficou deslocado em meio milímetro tem implicações que vão muito além do tamanho físico do erro. A seção seguinte abordará algumas discussões bastante complexas sobre o projeto e o processo de fabricação, mas espero que vocês tenham paciência.
Quando os projetos para o conjunto do cubo do rolamento HP/IP foram elaborados no início dos anos 2000, os engenheiros de projeto seguiram a prática padrão, definindo a posição e as dimensões do tubo de alimentação de óleo e características associadas em relação a um ponto fixo, denominado "datum".
Esse ponto, designado datum AA, foi definido como o furo na seção externa do cubo do rolamento por onde o tubo de alimentação de óleo passa em seu caminho para a câmara do rolamento. Esse furo será conhecido daqui em diante como "furo de folga externo". Todos os outros aspectos da conexão do tubo foram posicionados em relação à linha central desse furo.
Em consonância com o furo de folga externo, os projetos também previam um "furo de interferência" no cubo interno, no qual a extremidade inferior do tubo se encaixaria. O furo de interferência foi projetado para ser ligeiramente mais estreito que o tubo, de modo que a extremidade do tubo, uma vez encaixada firmemente em seu interior, fosse mantida por atrito. Esse furo deveria estar centrado no datum AA para mantê-lo perfeitamente alinhado com o furo de folga externo.
Em seguida, um "rebaixo interno do cubo" seria perfurado a partir do interior do cubo interno, encontrando-se no meio com o furo de interferência. Este seria o furo por onde o óleo do tubo de alimentação de óleo entraria na câmara do rolamento. Então, uma vez que esses furos fossem usinados, o próprio tubo de alimentação de óleo seria inserido através do furo de folga externo e no furo de interferência, sendo então soldado no lugar.
 |
| Como interpretar a relação entre um valor de tolerância, a referência e o deslocamento |
Finalmente, trabalhando de dentro para fora através do rebaixo do cubo interno, o rebaixo do tubo curto seria perfurado até uma profundidade especificada para acomodar o filtro. (Este foi o furo que posteriormente se descobriu estar deslocado em meio milímetro.)
De acordo com as especificações do projeto, o rebaixo do tubo curto deve estar alinhado com a referência AA, com uma tolerância de Ø 0,10 mm. Em outras palavras, isso significa que o centro do rebaixo deve estar dentro de um círculo de 0,10 mm de diâmetro centrado na referência AA. Não significa que o furo possa estar a 0,10 mm da referência, mas sim que o furo pode estar a 0,05 mm da referência em qualquer direção, para uma gama total de posições possíveis com 0,10 mm de diâmetro.
(Aqui, o termo “offset” refere-se à distância de um determinado ponto em relação à referência, enquanto os termos “tolerância” e “não conformidade”, indicados pelo símbolo “Ø”, referem-se ao diâmetro de um círculo centrado na referência e com sua borda no ponto em questão. Por mais confuso que isso possa parecer para alguns leitores, é assim que as tolerâncias são medidas na engenharia da vida real; portanto, se os engenheiros conseguem lidar com isso, você também consegue (esperamos).)
Em todo caso, quando chegou a hora de planejar a fabricação do conjunto do cubo do rolamento, algumas alterações tiveram que ser feitas nesse processo. O problema fundamental era que, uma vez inserido o tubo de alimentação de óleo no conjunto do cubo, o computador de usinagem não conseguiria mais encontrar a localização da referência AA, pois o furo de folga externo que a definia ficaria preenchido pelo tubo. Isso significava que seria impossível determinar com precisão onde o rebaixo para o tubo de alimentação de óleo deveria ser perfurado posteriormente.
Para solucionar esse problema, os engenheiros de produção da Rolls-Royce decidiram redefinir a posição do rebaixo para o tubo em relação a uma nova referência, denominada referência M, que correspondia ao centro do rebaixo interno do cubo. Ao mesmo tempo, a tolerância para o rebaixo do tubo foi alterada de Ø 0,10 mm para Ø 0,20 mm por razões desconhecidas. Mas o problema maior era que a posição do próprio tubo de derivação era determinada pela posição do furo de interferência, que ainda era definida pela referência AA. Como a posição do rebaixo do cubo interno não tinha uma tolerância especificada em relação à referência AA — na verdade, no projeto original, sua posição não importava muito —, não havia garantia direta de que a referência M se alinharia com a referência AA e, portanto, não havia garantia de que o tubo de derivação se alinharia com seu próprio rebaixo. Neste ponto, você já deve estar começando a perceber o problema.
O processo de fabricação propriamente dito, baseado nas especificações acima descritas nos desenhos da etapa de produção, procedeu da seguinte forma. Primeiramente, os conjuntos básicos do cubo foram entregues à fábrica de usinagem da Rolls-Royce em Hucknall, Reino Unido, com o furo de folga externo já perfurado (e o ponto de referência AA definido), mas sem o furo de interferência ou o rebaixo interno do cubo (ponto de referência M). Em vez disso, um furo de referência foi perfurado, tendo como referência o ponto de referência AA, na posição que posteriormente se tornaria o rebaixo interno do cubo. Um pino de sincronização temporário foi inserido nesse furo de referência, sendo então utilizado pelo equipamento de usinagem computadorizado para orientar o cubo de modo que o braço de usinagem se alinhasse com o ponto de referência AA. Até aqui, tudo bem.
Posteriormente, o furo de interferência foi perfurado, tendo como referência o ponto de referência AA. Então veio a parte mais complicada: para perfurar o rebaixo interno do cubo, o pino de sincronização teve que ser removido, mas a máquina também precisava memorizar sua posição para saber onde perfurar. Portanto, o computador de usinagem utilizou sondas especializadas para medir e registrar a posição do pino de sincronização no espaço tridimensional, permitindo a remoção subsequente do pino. Nesse ponto, a única garantia de alinhamento correto do rebaixo do cubo interno — e, consequentemente, do datum M e, portanto, do rebaixo do tubo de escape — era a suposição de que a posição registrada do pino de sincronização permanecia precisa.
 |
| Consegue ver o deslocamento na posição perfurada do rebaixo do cubo interno? |
Infelizmente, essa suposição provou-se incorreta. O problema era que, enquanto o furo de interferência tinha sido perfurado pelo lado de fora, o rebaixo do cubo interno teve de ser perfurado pelo lado de dentro, o que exigiu a reconfiguração das braçadeiras que prendiam o conjunto do cubo, para dar espaço ao braço de usinagem.
Durante esse processo, o conjunto do cubo por vezes — mas nem sempre — deslocava-se imperceptivelmente. Se o cubo se deslocasse, quando o processo de usinagem fosse retomado, a localização registada do pino de sincronização (e, portanto, a referência AA) estaria ligeiramente deslocada da sua nova localização real, e a máquina, consequentemente, perfuraria o rebaixo do cubo interno deslocado por uma mesma medida. Isso significava que a referência M — novamente, definida como o centro do rebaixo do cubo interno — também estaria deslocada da referência AA por essa mesma medida.
Posteriormente, o tubo curto foi inserido através do furo de folga externo e no furo de interferência, onde foi soldado no lugar. O rebaixo para o tubo curto foi então perfurado na extremidade do tubo, tendo como referência o ponto de referência M, que, novamente, estaria deslocado caso o cubo tivesse sofrido uma descida. No caso dos componentes envolvidos no acidente, presume-se que o cubo tenha sofrido uma descida de pouco menos de meio milímetro, resultando em um deslocamento igual tanto do rebaixo interno do cubo quanto do rebaixo para o tubo curto em relação ao próprio tubo. Como consequência, uma das paredes do tubo ficou com espessura insuficiente.
 |
| O produto final é criado com uma parede de tubo curto fina. A melhor maneira de perceber esse deslocamento do rebaixo do tubo curto é medindo a posição do furo de interferência em relação à referência M. Medir o furo de interferência em relação à referência AA não revelará o erro |
No projeto original, nenhuma espessura de parede do tubo curto foi especificada; em vez disso, a espessura adequada da parede foi garantida pelo alinhamento tanto do tubo (através do furo de interferência) quanto do seu rebaixo com a mesma referência (AA).
O fato de que essa garantia poderia ser perdida ao usar o processo de fabricação retrabalhado não foi reconhecido na época, nem as inspeções subsequentes foram adaptadas para encontrar tal defeito. A esse respeito, duas inspeções são dignas de nota, ambas envolvendo o uso de uma máquina de medição por coordenadas (MMC).
Uma delas, conhecida como OP 230, envolveu apenas a medição da posição do rebaixo do tubo curto em relação à referência M, o que não forneceu informações úteis sobre sua posição em relação ao próprio tubo. Uma inspeção visual também foi realizada nesta etapa, mas não foi possível para o inspetor observar a espessura da parede do tubo curto no rebaixo, pois essa extremidade do tubo estava soldada dentro do furo de interferência, completamente fora da vista.
Outra inspeção, denominada OP 70, ocorreu antes da OP 230 e apresentou uma melhor oportunidade para detectar o erro. Durante essa inspeção, a CMM mediu a posição do furo de interferência em relação à referência M, embora ele tenha sido usinado com referência à referência AA. Se a referência M e a referência AA estivessem deslocadas em mais do que a tolerância especificada para o furo de interferência, isso deveria ter feito com que a CMM reportasse um erro na posição do furo de interferência. A tolerância para esse furo deveria ser de Ø 0,05 mm de acordo com os desenhos de projeto, mas foi alterada para Ø 0,5 mm nos desenhos de fabricação sem explicação. Mesmo assim, a não conformidade no cubo acidentado estava entre Ø 0,90 e Ø 0,98 (um desvio de 0,45 a 0,49 mm), o que deveria ter sido sinalizado pela máquina. Os registros da CMM do cubo acidentado não foram mantidos, portanto, não foi possível aos investigadores confirmarem se o erro foi de fato registrado.
Contudo, mesmo que tivesse sido, uma inspeção subsequente poderia ter concluído que o erro era falso — porque os desenhos de fabricação especificavam a posição do furo de interferência em relação à referência AA, e os inspetores geralmente desconheciam que a CMM estava, na verdade, medindo a posição do furo em relação à referência M. Portanto, se os inspetores vissem que a posição do furo de interferência estava sinalizada como fora da tolerância, eles poderiam consultar os desenhos de fabricação, verificar a posição do furo em relação à referência AA, constatar que tudo estava normal e emitir um atestado de conformidade para o cubo.
 |
| Uma máquina de medição por coordenadas usada nas instalações de Hucknall |
Pelos motivos acima, vários cubos de mancais de alta pressão/pressão intermediária foram liberados para uso com paredes do tubo de alimentação de óleo que poderiam ou não ser muito finas. Ninguém tinha conhecimento disso até 2009, após a fabricação do cubo acidentado, quando a Hucknall Casings and Structures decidiu alterar o datum para o rebaixo do tubo de alimentação de óleo a fim de simplificar o processo de fabricação.
A alteração previa o uso do datum AF, definido como o centro do furo principal do tubo, para posicionar o rebaixo. Posteriormente, dois rebaixos de tubos fabricados anteriormente foram medidos em relação a esse novo datum e constatou-se uma não conformidade de Ø 0,5 mm (ou um deslocamento de 0,25 mm, cerca de metade do tubo acidentado). Como lembrete, a tolerância para o rebaixo do tubo deveria ser de Ø 0,20 (para um deslocamento máximo permitido de 0,1 mm).
O problema foi rapidamente levado ao conhecimento de um engenheiro de projeto, que o encaminhou à gerência para definir o que fazer com os cerca de 100 tubos de alimentação de óleo que já haviam sido liberados para uso. A questão era se o erro teria implicações de segurança. Caso não houvesse, a fábrica poderia emitir o que chamou de "concessão retroativa", permitindo que os produtos fabricados incorretamente permanecessem em operação. Mas, se houvesse, seriam necessárias ações corretivas, talvez até mesmo um recall.
Para descobrir, um engenheiro de produção foi designado para realizar uma análise estatística da provável distribuição de não conformidades no rebaixo dos tubos de alimentação de óleo, com base em medições feitas em nove cubos fabricados anteriormente que ainda estavam na fábrica. Utilizando um programa de análise estatística, o engenheiro descobriu que a provável não conformidade máxima de qualquer rebaixo do tubo era de Ø 0,7 mm (um desvio de 0,35 mm). Os cálculos de engenharia mostraram que a espessura da parede resultante não alteraria significativamente a vida útil do tubo curto, o que significava que não havia implicações de segurança.
 |
O dado de fabricação revisado era muito mais robusto, mas as implicações para os
conjuntos de cubos produzidos anteriormente não foram adequadamente consideradas |
Na realidade, essa análise estatística era falha devido ao baixo número de pontos de dados e à falta de garantia de que o conjunto de dados de nove cubos fosse representativo dos cubos fabricados em anos anteriores. Portanto, o resultado deveria ter sido interpretado como “uma não conformidade máxima provável de Ø 0,7 mm, mais ou menos um fator de incerteza de magnitude não especificada”.
No entanto, o engenheiro não estava familiarizado com o programa de análise estatística e não conseguiu transmitir claramente essa incerteza no relatório submetido à Autoridade de Não Conformidade, a entidade responsável por tomar decisões sobre a aceitabilidade das não conformidades. A Autoridade de Não Conformidade interpretou o relatório como indicando que não havia implicações de segurança e aprovou a concessão retroativa, permitindo que os tubos afetados, incluindo o tubo do acidente, permanecessem em serviço.
Os investigadores observaram que, de acordo com os procedimentos internos da Rolls-Royce, uma concessão retroativa também exigia as assinaturas do Diretor de Qualidade da Empresa e, mais importante, do Engenheiro-Chefe, que tinha o poder de decidir se alguma ação em toda a frota era justificada. Nenhuma dessas assinaturas foi obtida para a concessão retroativa concedida aos tubos de alimentação de óleo.
O ATSB observou que a unidade de Hucknall estava usando a mesma documentação para concessões retroativas que usava para concessões em peças não conformes detectadas internamente, que não exigiam essas assinaturas adicionais, portanto, nenhum campo para assinatura foi fornecido. Também não havia nada na documentação que indicasse se uma concessão era retroativa ou não. Assim, a Autoridade de Não Conformidade pode não ter tido conhecimento de que não tinha o direito de aprovar unilateralmente a concessão sem o consentimento de um engenheiro de nível hierárquico superior.
Após o acidente, foram realizadas medições em todos os tubos de alimentação de óleo dos mancais HP/IP em serviço para determinar o alinhamento de seus rebaixos. A maioria estava fora da tolerância de Ø 0,20 mm nos desenhos de fabricação, e vários deles apresentavam não conformidades maiores que os Ø 0,7 mm previstos pela análise estatística. Quatro dos tubos apresentavam não conformidades ainda maiores que a do tubo envolvido no acidente, e dois apresentavam uma não conformidade alarmante, próxima de Ø 1,2 mm. Esses tubos provavelmente teriam falhado em serviço, podendo causar repetições do incidente da Qantas, caso não tivessem sido detectados.
Os investigadores também criticaram a cultura da fábrica de Hucknall, responsável pela produção dos cubos dos mancais HP/IP, identificando sinais de complacência e descumprimento generalizado dos procedimentos. Uma revisão da documentação mostrou que as assinaturas necessárias estavam ausentes em 131 das 138 concessões retroativas emitidas entre 2009 e 2011, e um grande número de não conformidades menores não havia sido tratado adequadamente pela cadeia de comando normal. Uma revisão interna realizada em 2007 também havia constatado que a unidade de Hucknall carecia de um “forte foco na qualidade dentro da empresa”. Isso parecia se estender à criação dos desenhos de fabricação originais, que haviam sido alterados em relação aos desenhos de projeto sem o consentimento dos engenheiros responsáveis.
Além disso, as inspeções iniciais no início da produção deveriam verificar se o processo de fabricação estava criando produtos que atendessem à “intenção do projeto”, mas os produtos iniciais foram verificados em relação aos desenhos de fabricação, e não aos desenhos de projeto. Essa verificação era circular e não garantia que a intenção do projeto fosse de fato atendida. Se os desenhos de projeto tivessem sido utilizados, conforme exigido pelos procedimentos, os engenheiros provavelmente teriam descoberto que o processo não estava produzindo tubos curtos com as tolerâncias necessárias.
Após o acidente, uma longa lista de medidas de segurança foi tomada para evitar sua recorrência e incorporar as lições aprendidas. Uma lista não exaustiva dessas medidas de segurança inclui o seguinte:
- A Qantas suspendeu temporariamente as operações de sua frota de A380 entre 4 e 27 de novembro de 2010.
- A Agência Europeia para a Segurança da Aviação (EASA) emitiu uma diretiva de aeronavegabilidade exigindo inspeções em todos os tubos de alimentação de óleo do motor Trent 900.
- A Rolls-Royce desenvolveu um sistema de proteção contra sobrevelocidade da turbina IP. A Airbus emitiu um boletim de serviço obrigatório exigindo sua instalação em todos os A380 em até 10 voos.
- Toda a produção original dos cubos de rolamento HP/IP foi retirada de serviço e descartada. Todos os outros cubos de rolamento HP/IP com espessura da parede do tubo de alimentação de óleo inferior a 0,7 mm também foram retirados de serviço.
- A Rolls-Royce revisou seus procedimentos para garantir a consulta entre os engenheiros de fabricação e de projeto sobre a intenção do projeto de peças recém-introduzidas.
- Diversas iniciativas foram implementadas para mudar a cultura em relação às não conformidades na fábrica de Hucknall.
- A Rolls-Royce encerrou a prática de concessões retroativas e instituiu um novo programa para lidar com peças não conformes que entraram em serviço.
- A Airbus modificou o software de desempenho de pouso para prever com mais precisão o desempenho real da aeronave em todos os pesos de pouso.
Em conjunto, essas reformas contribuíram muito para garantir que a Rolls-Royce continue produzindo produtos de qualidade e mantendo o histórico de segurança impecável do Airbus A380, que até hoje nunca sofreu um acidente com ferimentos a passageiros.
◊◊◊
 |
| Grandes seções da asa do avião tiveram que ser substituídas, entre outros reparos, mas ele acabou voando novamente |
Se você chegou até aqui, em primeiro lugar, parabenizo sua paciência e/ou seu interesse por assuntos relacionados. Em segundo lugar, presumo que tudo o que você leu até agora provavelmente deixou uma impressão positiva sobre a segurança da aviação moderna. A sequência de eventos necessária para apenas ferir, e não matar, este Airbus A380 foi absurdamente longa, passando por inúmeros pontos em que o progresso rumo ao desastre poderia ter sido interrompido. Mesmo assim, o sistema se manteve firme.
De acordo com o modelo de segurança do queijo suíço, um acidente ocorre quando os furos nas fatias de queijo suíço empilhadas se alinham, permitindo que um perigo passe direto, sem impedimentos. O perigo, neste caso, penetrou inúmeras fatias de queijo suíço, da prancheta ao chão de fábrica, à sala de inspeção e além. Mas a indústria aeronáutica cometeu tantos erros que nem mesmo essa impressionante falha foi suficiente para ferir um único passageiro.
Até mesmo o próprio avião sobreviveu: após um reparo maratona que durou 535 dias e custou US$ 139 milhões, o A380 Nancy-Bird Walton retornou triunfalmente aos céus em 2012. Diversas lições intangíveis podem ser extraídas tanto dos sucessos quanto dos fracassos ao longo do caminho até o voo 32 da Qantas, desde a importância contínua da experiência e do bom senso na cabine de comando até as consequências negativas de acreditar que uma pequena não conformidade não poderia ser relevante. O fato é que um desvio de menos de meio milímetro quase derrubou o maior avião comercial do mundo.
A aviação é, e sempre foi, implacável até mesmo com as menores falhas. Os dispositivos, projetos e decisões que mantiveram o voo 32 da Qantas no ar não surgiram do nada, mas são, na verdade, o resultado coletivo de regras, regulamentos e políticas visionárias impostas por pessoas sobre essa base implacável. Nesse sentido, a conclusão do drama a bordo do voo 32 é que, no fim das contas, o sistema está funcionando.
.jpg)
/i.s3.glbimg.com/v1/AUTH_59edd422c0c84a879bd37670ae4f538a/internal_photos/bs/2025/8/K/jwlgpWRCOzq9FYZecd8w/g48iionxuaaf1sv.jpg)
