Por que a confiança na aviação comercial depende de uma investigação rápida e competente da queda do voo AF 447
QUASE INTACTO
Um grande pedaço do leme é retirado do mar. As condições dos destroços podem ajudar a estabelecer as causas da queda - Foto: FAB/AP Photo
Quando voava sobre o Atlântico, o comandante do Airbus A330-200 deparou com uma tempestade. Imediatamente, como foi treinado a fazer, aplicou um procedimento-padrão de desvio, fazendo a aeronave subir de 35.000 para 35.300 pés (10.759 metros). Não adiantou. O piloto voltou para a altitude anterior. A turbulência piorou, levando-o a aplicar um segundo procedimento, conhecido como “severe turbulence”, reduzindo a velocidade do avião e desconectando o “auto thrust”, sistema automatizado de aceleração da aeronave. Cinquenta segundos depois, os indicadores no painel registraram uma rápida diminuição da velocidade e da altitude. Acenderam-se no painel a luz vermelha – mostrando que o piloto automático desligara sozinho – e a luz de alarme Master Warning, e começou a soar um alarme conhecido como “carga da cavalaria”.
O cockpit do Airbus se tornou um pandemônio de luzes e sons. Alarmes indicando todo tipo de pane – do leme, dos instrumentos, dos computadores – começaram a piscar, acompanhados dos sons de alerta respectivos. A razão era a formação de gelo nos tubos de Pitot que, do lado de fora do aparelho, monitoram parâmetros fundamentais para o voo, como a velocidade do avião, a do vento e a temperatura. O gelo enlouqueceu os sensores. O computador de bordo interpretou isso como se o avião tivesse estolado – ou seja, perdido sustentação.
O caos durou um minuto e meio. O piloto decidiu, então, pôr em prática um terceiro procedimento, chamado “unreliable speed indication” (“indicação não confiável de velocidade”). Em outras palavras: acertadamente, ele ignorou as informações dos sensores. Corrigiu a altitude e a velocidade do avião tomando por base outro sistema – o GPS, aparelho que mede o posicionamento da aeronave no globo terrestre –, e o avião pôde continuar seu voo até Paris.
A sequência de eventos do incidente descrito acima – ocorrido em agosto do ano passado com um A330-200 da Air Caraïbes, uma pequena companhia aérea francesa que opera no Caribe – guarda fortes semelhanças com as últimas mensagens enviadas pelo voo AF 447 que caiu no Atlântico na noite de 31 de maio, matando 228 pessoas. Saber se foi realmente isso o que aconteceu é fundamental para quem voa de avião voltar a confiar nos Airbus – e na segurança da aviação comercial em geral. Que riscos, afinal, corre quem embarca, hoje, em um avião de passageiros?
Por mais que as estatísticas nos digam que voar de avião é mais seguro que pegar a estrada com o próprio carro, elas são incapazes de tranquilizar boa parte dos passageiros. O medo de voar, que poderia parecer irracional, é profundamente racional. Tem a ver com a ignorância do leigo. Até a semana passada, quem sabia que um avião de 59 metros de comprimento depende do bom funcionamento de uma peça de menos de 20 centímetros, chamada tubo de Pitot (leia o quadro mais abaixo)? Tem a ver com a sensação de impotência de quem põe a vida nas mãos de um piloto, cruzando o céu a 900 quilômetros por hora e 10.000 metros de altura. E tem a ver com a sensação de que, no carro, nós temos mais controle sobre nossa vida do que num avião. Esse controle é em grande parte ilusório – mas não totalmente. Ao comparar as estatísticas de acidentes de avião com as de automóveis, a impressão inicial é que morrem muito mais pessoas dentro de um carro que voando. Em parte, isso é correto. Segundo dados do Cenipa, o órgão da Aeronáutica que investiga acidentes com aviões, 996 pessoas morreram em desastres aéreos no Brasil entre 1996 e 2008. Estimativas do Ministério da Saúde mostram que nas ruas e estradas do país morrem 36 mil pessoas por ano. A diferença é gigantesca: para cada pessoa morta num acidente de avião no Brasil, morreram 360 no trânsito. Mas esses são números absolutos.
Baseando-se nos registros estatísticos dos Estados Unidos, matemáticos calcularam a probabilidade bruta de morrer eletrocutado ao fazer a barba, tomando banho de banheira ou viajando de avião. Essa conta ajuda a ter uma ideia do risco relativo de uma atividade em relação a outra. Mas nos informa pouco sobre nossa própria vida. Quem dirige alcoolizado, além de cometer um crime, multiplica enormemente o risco de morrer (e de matar outras pessoas). Da mesma forma, voar toda semana é obviamente mais arriscado que pegar o avião uma vez por ano. Embarcar em certos tipos de aeronave é mais seguro que em outras, a julgar pelos registros (leia o quadro abaixo).
Clique sobre a imagem para ampliá-laMuitos passageiros preferem não pensar nessas coisas ao voar. Outros gostam de se informar e leem com atenção o que é publicado sobre desastres aéreos. Conscientes disso desde os primórdios da aviação comercial, os organismos internacionais de segurança de voo desenvolveram, ao longo das décadas, uma rede de informações mundial que registra cada incidente ocorrido com uma aeronave, investiga suas causas e aponta correções. Disso resulta a enorme segurança do transporte aéreo. Acidentes como o do voo AF 447, quando isolados, não prejudicam a imagem da aviação. Quando se repetem em curto espaço, porém, podem abalar a confiança dos passageiros e prejudicar todo o setor aeronáutico. Talvez ainda voássemos em dirigíveis, não fosse uma série de catástrofes nos anos 30 que minou irremediavelmente – com justiça ou não – a imagem desse meio de transporte.
A Air France desmentiu o rumor de que manteria toda a sua frota de Airbus no chão até segunda ordem
Justamente por isso é fundamental encontrar a verdadeira causa da queda do Airbus A330-200 da Air France. Foi o primeiro desastre fatal com esse modelo. Mas a ocorrência de outros incidentes com os tubos de Pitot – como o da Air Caraïbes descrito no início desta reportagem – pode ser o sinal de uma falha recorrente que ameaça derrubar outros aparelhos iguais. A Air France desmentiu, na semana passada, um rumor de que manteria no chão toda a sua frota de A330 e A340 até segunda ordem. O sindicato de pilotos da empresa ameaçou fazer greve até que, em cada Airbus, dois dos três tubos de Pitot sejam trocados por um modelo mais resistente ao gelo.
Também está em jogo a própria filosofia da aviação comercial moderna – a substituição do homem pelo computador em muitas das tarefas antes a cargo do piloto. As estatísticas mostram que, quanto mais eletrônica o avião traz embarcada, menor o número de acidentes. Os adversários do sistema de voo fly-by-wire (voar por fios, em uma tradução literal), característico do Airbus e de alguns modelos concorrentes, afirmam que ele tirou dos comandantes muito da margem de manobra necessária em situações de emergência. “O computador impede que o piloto assuma o comando total da aeronave. Isso pode ter dificultado o controle do AF 447”, diz um piloto de A330-200 que faz voos transatlânticos e prefere não se identificar por temer represália da companhia aérea em que trabalha. Nos Airbus modernos, o velho manche deu lugar a um joystick e há vários “modos de pilotagem” com “proteções” que impedem o piloto de fazer manobras bruscas em certas situações. A ideia é proteger o aparelho contra uma falha humana, mas, afirma esse mesmo piloto, “em casos em que é necessário fazer uma manobra brusca, o computador pode se recusar a executar a ordem humana”.
Embora seja criticado por pilotos, o sistema é defendido pelos engenheiros. “É à prova de pilotos burros”, disse certa vez, de forma politicamente incorreta, um dos criadores do fly-by-wire, o francês Bernard Ziegler. Ele chegou a precisar de escolta policial depois dessa declaração, por ter recebido ameaças. Não há como negar que o fly-by-wire já salvou vidas. Muito se elogiou a perícia do piloto Chesley Sullenberger, que neste ano fez um pouso forçado no Rio Hudson, em Nova York, salvando 155 pessoas. O que se disse bem menos foi que, sem o fly-by-wire, dificilmente ele teria pousado a aeronave no ângulo e na velocidade exatos para o avião ficar intacto ao tocar a água. A evolução rumo à informatização dos procedimentos de voo parece inexorável, mas uma série de acidentes provocados por falhas de software poderia pôr esse progresso em questão.
Muito da confiança do público na aviação vai depender da presteza com que as autoridades – governos, companhias aéreas, fabricantes de aviões – agirão no caso do AF 447. A sensação, até agora, é que não se tomaram providências que poderiam ter evitado o acidente – e, pior, que ainda não se divulgou tudo o que se sabe sobre suas causas. O incidente da Air Caraïbes – junto com outro parecido, ocorrido com um aparelho da mesma empresa – foi reportado à Airbus numa reunião em outubro do ano passado. Um relatório interno da Air Caraïbes (leia a tradução integral) diz que o fabricante do avião o levou em conta, mas que em dezembro ainda “cogitava” instruir as empresas a trocar os tubos de Pitot em seus A330 – uma espécie de recall aeronáutico. Por via das dúvidas, a Air Caraïbes o fez por conta própria (assim como outras empresas, como a brasileira TAM; até no avião do presidente Lula foram trocados os tubos). Os sensores Pitot PN C16195AA (iguais aos do Airbus do voo AF 447) foram substituídos pelos PN C16195BA. A mudança vai muito além de uma simples letra. “Esses equipamentos têm um melhor desempenho em condições de chuva, graves tempestades ou grandes formações de gelo”, afirmou Serge Tsygalmitsky, CEO da Air Caraïbes, em uma nota para a agência de notícias AFP. Embora tivesse conhecimento desses e de outros incidentes, a Air France só começou a fazer as trocas depois do acidente do último dia 31. Procurada por ÉPOCA, a Thales, fabricante do Pitot, informou que não vai se manifestar durante as investigações.
Ainda é cedo para afirmar que a formação de gelo nos sensores foi a causa da queda do voo Rio-Paris, mas, entre todas as hipóteses, essa é a que se afigurava mais plausível até o final da semana passada. Qualquer que seja o resultado das investigações, porém, sabe-se que, por si só, um problema nos tubos de Pitot não seria suficiente para derrubar o Airbus. “Existem outros medidores que podem auxiliar os pilotos, como o sistema de posicionamento por satélite, o GPS”, diz Ronaldo Jenkins, coordenador da Comissão de Segurança de Voo do Sindicato Nacional das Empresas Aeroviárias. “Um acidente de avião geralmente ocorre pela somatória de três ou mais fatores”, diz o coronel Jorge Barros, especialista em segurança de voo. Dados do Instituto Nacional de Pesquisas Espaciais mostram que o AF 447 desapareceu em um ponto onde havia uma grande formação de cúmulos-nimbos. Essas nuvens podem conter pedras de granizo do tamanho de uma laranja e ventos de até 180 quilômetros por hora. O procedimento normal de um piloto ao encontrá-las é tentar desviar. Por algum motivo, os pilotos do AF 447 passaram pela tempestade, o que pode ter desencadeado o congelamento dos tubos de Pitot, como no incidente da Air Caraïbes. “A tempestade poderia ser mais forte do que os pilotos conseguiram medir no radar”, diz Barros.
FORA DO MAR
O trabalho de resgate dos corpos - Foto: Roberto CandiaPor que os pilotos não lançaram nenhum alerta de socorro? A falta de contato nos minutos que antecederam a queda impede saber exatamente como eles reagiram à emergência. Sem as caixas-pretas que provavelmente jazem no fundo do Atlântico é muito difícil resolver essa parte do mistério.
A versão do acidente mais aceita por especialistas em segurança de voo coincide com a apresentada pelo jornal francês Le Figaro na sexta-feira. O jornal publicou o seguinte roteiro hipotético: entupidos de gelo, os tubos de Pitot enviaram aos computadores informações discrepantes. Os pilotos foram erroneamente avisados de que o avião estava perdendo sustentação. Ao tomar medidas corretivas – como aumentar a velocidade ou a altitude – para um problema inexistente, podem ter forçado a estrutura do aparelho a um esforço excessivo, que teria levado a rachaduras e à desintegração em pleno voo. Isso explicaria por que boa parte do leme foi recuperada quase intacta, do mar, pelas embarcações que há duas semanas vasculham a zona onde já foram encontrados mais de 40 corpos e centenas de destroços. O cenário descrito pelo Le Figaro não é muito distante do ocorrido com um DC-9 da Austral Lineas Aéreas que caiu no Uruguai em 1997, matando 74 pessoas. O gelo nos tubos de Pitot induziu o piloto a acelerar os motores para perigosos 1.100 quilômetros por hora, muito acima da velocidade de cruzeiro daquele tipo de aparelho, e abrir apêndices aerodinâmicos das asas chamados slats. Um dos slats não suportou a velocidade alta e rompeu-se. A assimetria nas asas levou a uma queda de bico imediata e fatal.
Na imprensa francesa, aumentaram nos últimos dias os questionamentos em relação à reação da Airbus, da Air France e do BEA (sigla em francês para Escritório de Investigações e Análises), o órgão responsável pela apuração do acidente. O Air Safety Report (ARS), documento-padrão que as companhias aéreas enviam obrigatoriamente às autoridades da aviação civil e também ao fabricante quando há um incidente em voo, descreve três incidentes em voos da Air France relacionados aos sensores. Durante um voo Paris-Tóquio, “houve perda de indicações ligadas à velocidade. A tripulação suspeita que os tubos de Pitot tenham ficado entupidos com gelo”. Em um voo Paris-Antananarivo (Madagascar), registraram-se “alarme e perda de indicações de velocidade. Os incidentes duraram entre três e cinco minutos”. Em um A340 que voava entre Caiena (Guiana Francesa) e Paris, ocorreu uma anomalia nos cálculos de velocidade que ativou vários alarmes. No ARS, a Air France fez um comentário lacônico: “Sexto caso em A330/A340 desde janeiro de 2008. Airbus e Thales propõem novos tubos de Pitot. Informação oficial de segurança de voo feita em novembro de 2008 sobre o tema”.
Vazaram para a imprensa 24 mensagens do Acars do AF 447. A Air France teria, porém, recebido outras
Outra dúvida é sobre o conteúdo completo das mensagens transmitidas por satélite pelo AF 447. Vazaram para a imprensa duas páginas com 24 mensagens dos quatro minutos finais do voo. Uma delas registra uma pane nos sensores Pitot; outras alertam sobre falhas em diversos outros sistemas, levando os pilotos a uma situação catastrófica de voo cego em meio à tempestade. Mas a Air France não divulgou todas as mensagens Acars do voo, e haveria outras relevantes para a explicação do acidente. “A primeira mensagem WARNING (alerta) foi emitida às 22h45 (horário de Londres), quer dizer, logo depois de a aeronave decolar no Rio de Janeiro”, diz Christoph Gilgen, membro da Federação Internacional de Controladores de Tráfego Aéreo que está acompanhando as investigações. O conteúdo dessas mensagens ainda não foi revelado.
Da solução do caso dependerão as indenizações às famílias das vítimas do AF 447. Estima-se que as indenizações possam ultrapassar os 200 milhões de euros. Parte desse valor deverá ser pago já nas próximas semanas. Convenções e regulamentos internacionais estipulam que os parentes das vítimas têm direito a receber, com antecipação, uma parte do montante da indenização. Esse pagamento prévio, que será posteriormente deduzido da quantia total, não pode ser inferior a 18 mil euros.“No caso do acidente com o voo da Air France, os beneficiários poderão receber avanços imediatamente, a partir do momento em que eles se apresentarem à companhia aérea”, diz Patrick de la Morinerie, diretor marítimo, de aviação e especial da Axa Soluções Corporativas, seguradora da Air France. No acidente com o Concorde da Air France que matou 113 pessoas em Paris, em 2000, algumas famílias obtiveram, após dois anos de negociações, indenizações de até 7,6 milhões de euros, enquanto outras receberam 115 mil euros. A responsabilidade pelo pagamento das indenizações é decidida após o laudo de conclusão do acidente. Se for comprovada alguma falha técnica do equipamento do avião, a responsabilidade poderá recair sobre a Airbus. Se a falha foi de manutenção ou imperícia do piloto, a Air France será responsabilizada.
Clique na imagem para ampliá-la
As hipóteses para a queda do AF 447
Formação de gelo nos sensores
BOA PROBABILIDADE
Uma das mensagens do Acars indica falha no funcionamento do Pitot, que ajuda a medir a velocidade do avião. Isso pode ter gerado um voo cego e confundido os pilotos.
Falha no sistema fly-by-wire
MÉDIA PROBABILIDADE
O sistema de voo eletrônico pode ter criado outros riscos, como um erro de software que impeça o piloto de controlar a aeronave. Combinado ao defeito do Pitot, pode ter contribuído para derrubar o A330-200.
Atentado terrorista
POUCA PROBABILIDADE
O serviço secreto francês encontrou dois nomes na lista de passageiros que coincidem com os de terroristas. O governo informou que se tratavam de simples homônimos. Além disso, ninguém reivindicou o atentado.
Quebra do leme no ar
IMPROVÁVEL
A hipótese surgiu da interpretação equivocada da mensagem RUD TRV LIM FAULT, do Acars. Ela indica apenas a falha no limitador dos movimentos do leme, que impede o piloto de fazer manobras bruscas. Se o leme quebrou, foi na queda.
Fonte: Juliana Arini, Andres Vera e Daniela Fernandes (Revista Época)
Limitação da pista impede voos diretos para outros continentes
Limitação da pista impede voos diretos para outros continentes
As causas do desastre ainda são desconhecidas, segundo O Centro Operacional Departamental de Incêndios e Resgate (CODIS). Um inquérito foi iniciado pelo Bureau d'enquête et d'analyses (BEA).
