Aconteceu em 12 de julho de 2024: Reação em cadeia catastrófica - A queda do voo Gazpromavia 9608

Em 12 de julho de 2024, um Sukhoi Superjet 100, operado pela companhia petrolífera estatal russa Gazprom, perdeu o controle e caiu em uma floresta apenas cinco minutos após a decolagem, em um voo que deveria ter sido breve, de reposicionamento. O tempo estava perfeito, a tripulação estava bem descansada e a aeronave acabara de passar por uma rigorosa inspeção — então, o que deu errado? A resposta, como se vê, é ao mesmo tempo tecnicamente complexa e visceralmente horrível.

Um ano após o acidente, a divulgação do relatório final revelou uma sequência de eventos quase inacreditável, que começou com uma colossal confusão na manutenção, causada por um projeto inadequado da aeronave. Sem saber que o avião estava irremediavelmente inoperante, os pilotos tentaram reposicioná-lo para o próximo voo programado, apenas para se depararem com uma série de indicações confusas, seguidas por uma luta aterrorizante e, no fim, infrutífera pelo controle, enquanto o SSJ-100, com sistema fly-by-wire, aparentemente tentava se chocar contra o solo. Variações mínimas nos parâmetros e decisões aparentemente banais da tripulação desencadearam uma complexa "cascata" de automação, culminando em um acoplamento catastrófico de duas proteções de envelope de voo diferentes, que jamais deveriam ser ativadas simultaneamente.

Os pilotos passaram seus últimos momentos puxando os manches laterais num esforço desesperado para ganhar altitude, incapazes de vencer um computador regido pela lógica inexorável de sua programação. Das pranchetas da United Aircraft Company às ações finais da tripulação condenada, esta é a história de como tudo aconteceu.

◊◊◊

Parte 1: Apenas um voo curto

Se você quiser saber mais sobre como era voar com a Gazpromavia em 2015 como estrangeiro, recomendo este artigo, por vezes muito divertido, de Bernie Leighton, do Airline Reporter: (https://www.airlinereporter.com/2015/09/gazpromavia-they-have-yak-42s-what-more-do-you-need/)

Se, por algum motivo, você se encontrasse procurando voos para as cidades produtoras de gás de Nadym e Novy Urengoy, no extremo norte da Rússia, poderia descobrir a opção de comprar passagens em uma companhia aérea bastante incomum chamada Gazpromavia.

Como a maior empresa da Rússia e a maior produtora mundial de gás natural, a estatal Gazprom exerce imenso poder sobre a economia e a sociedade russas, com centenas de subsidiárias em diversos setores, incluindo um banco, um grupo de mídia com 38 canais de televisão e até mesmo um exército mercenário privado que participa ativamente da invasão da Ucrânia. 

Sendo uma empresa verticalmente integrada, a Gazprom também controla todos os elementos do seu processo de produção de gás, da exploração à extração, do refino à distribuição. Isso inclui o transporte aéreo de pessoal e equipamentos, frequentemente para destinos remotos no Ártico e na Sibéria, para o qual sua subsidiária Gazpromavia opera uma frota de mais de 30 aeronaves de asa fixa e mais de 100 helicópteros. 

A maioria dessas aeronaves é diretamente utilizada em funções de apoio à extração de gás, bem como em operações de fretamento, mas algumas são usadas para voos regulares de passageiros, como qualquer outra companhia aérea. Na verdade, você pode acessar a internet agora mesmo e comprar passagens para voos da Gazpromavia entre Moscou, Ufa, Tyumen, Nadym e Novy Urengoy, embora eu não recomende dar seu suado dinheiro para a Gazprom. Outros destinos também podem estar disponíveis, mas foi difícil encontrar uma lista completa da malha aérea da companhia.

A base de operações da Gazpromavia está localizada no Aeroporto Internacional de Vnukovo, na periferia sudoeste de Moscou. Em 2024, a frota da companhia aérea baseada em Vnukovo era composta por 9 jatos Sukhoi Superjet 100 (SSJ-100) de curto a médio alcance, configurados com 90 assentos para passageiros cada.

Naquele mesmo ano, a Gazpromavia começou a terceirizar a manutenção de rotina e as inspeções pesadas para o Centro de Manutenção e Revisão de Aeronaves Civis (MOC, na sigla em inglês), na fábrica de aeronaves PA Voronin Lukhovitsy, na cidade de Lukhovitsy, localizada a 120 quilômetros a sudeste de Moscou.

A fábrica de aviões de Lukhovitsy. Nos últimos meses, a fábrica tem sido
supostamente alvo de drones ucranianos (Astrapress)

A fábrica de aeronaves de Lukhovitsy e o Aeroporto de Tretyakovo, anexo à fábrica, são propriedade e operados há décadas pela fabricante russa de aeronaves Mikoyan & Guryevich, ou RAC MiG, que construiu e manteve importantes aviões de guerra em Lukhovitsy, incluindo o MiG-29. Assim como todas as outras fabricantes de aeronaves russas, a MiG agora faz parte da United Aircraft Company, ou UAC, assim como a fábrica e o aeroporto.

Desde a queda da União Soviética, a MiG não projetou nem produziu um novo tipo de aeronave, subsistindo principalmente da receita contínua de manutenção da frota existente de aviões de combate MiG. No entanto, essa é uma fonte de receita finita e em declínio. Em 2015, por exemplo, um especialista em caças disse ao Moscow Times que o negócio de manutenção e modernização da MiG "desaparecerá à medida que os clientes de exportação aposentarem, armazenarem, sucatearem e substituírem seus MiG-29". 

Embora na época a UAC tenha contestado a ideia de que a MiG estivesse em dificuldades, em 2022 a empresa foi incorporada à Sukhoi Aircraft, outra subsidiária da UAC e fabricante do avião regional SSJ-100. Como parte desse processo, em 2021 a UAC inaugurou o Centro de Manutenção e Revisão de Aeronaves Civis na Fábrica de Aeronaves de Lukhovitsy, a fim de realizar a manutenção das aeronaves SSJ-100 utilizando a equipe técnica existente da MiG na fábrica.

Três aeronaves Gazpromavia SSJ-100 passaram por manutenção e inspeções no Centro de Operações Aeronáuticas de Lukhovitsy em 2024, incluindo uma aeronave com o número de registro RA-89049.

RA-89049, a aeronave envolvida no acidente (Aleksey Simanovich)

Em 12 de julho de 2024, a aeronave foi liberada da manutenção e uma tripulação da Gazpromavia foi enviada ao Aeroporto de Tretyakovo para buscá-la e reposicioná-la na base operacional da companhia aérea em Vnukovo. Após concluir todas as verificações pré-voo, a tripulação entrou em contato com o Gerente de Tráfego Aéreo de Tretyakovo — o equivalente a um controlador de tráfego aéreo no aeroporto privado — e recebeu permissão para taxiar às 14h48, horário local. A autorização para decolagem foi concedida cinco minutos depois.

O voo para o Aeroporto de Vnukovo não deveria ser longo. Os dois aeroportos ficam a apenas 136 km de distância, e a tripulação do RA-89049 não esperava subir mais do que 10.000 pés antes de iniciar a descida. A aeronave estava leve e ágil, sem passageiros ou bagagem a bordo, e o tempo estava perfeito, com visibilidade ilimitada e poucas nuvens em toda a região metropolitana de Moscou.

Após a decolagem da pista 10, o voo executou uma curva à esquerda para o rumo 004 graus, após o que a tripulação usou seu segundo rádio para contatar o Radar de Domodedovo, a divisão de controle de tráfego aéreo responsável pelo espaço aéreo de nível médio ao redor do Aeroporto Internacional de Domodedovo, em Moscou. Após coordenar com a torre de Tretyakovo, o controlador autorizou uma nova curva à esquerda para o rumo 260, direção do Aeroporto de Vnukovo, com subida irrestrita para 10.000 pés. Usando o indicativo de chamada do voo, o controlador do radar de Domodedovo perguntou: “Gazprom 9608, e me diga se vocês estão prontos para prosseguir para Vnukovo? E qual altitude vocês precisam?”

“Sim, estamos prontos para Vnukovo imediatamente, mas não precisamos de altitude superior a dez mil pés, 9608”, respondeu o comandante.

Cerca de 30 segundos depois, o controlador de radar de Domodedovo olhou para o seu visor e percebeu que o voo 9608 não havia começado a subir para 10.000 pés — na verdade, estava a 5.000 pés e descendo. Presumindo que tivesse havido algum mal-entendido, dirigiu-se ao voo: “Gazprom 9608, confirme a subida para dez mil pés?” Mas não houve resposta.

No aeroporto de Tretyakovo, o gerente de tráfego aéreo ouviu o voo 9608 relatando "velocidade não confiável", mas o controlador de Domodedovo não ouviu a transmissão e continuou a questionar com crescente alarme. Mas ele não ouviu mais nada do voo. Em vez disso, assistiu impotente enquanto a descida da aeronave se acentuava e sua velocidade aumentava, sua altitude diminuindo até quase zero, até que, às 14h59min16s, ela desapareceu do radar.

Imagens de câmeras de segurança registraram a descida e a queda do avião ao longe

Na torre de controle de Tretyakovo, o controlador de tráfego aéreo observou uma coluna de fumaça preta irrompendo abruptamente de uma floresta distante, testemunhando o fim violento do voo RA-89049. Ele imediatamente acionou o alarme de acidente, e no Aeroporto de Domodedovo, o supervisor do centro de controle fez o mesmo.

A notícia da queda de um avião comercial se espalhou rapidamente para diversas agências de emergência, que, juntas, enviaram 381 pessoas e 120 veículos ao local do acidente para conter o incêndio, procurar sobreviventes e garantir o acesso à área. 

Mas, ao chegarem, encontraram pouco mais do que uma cratera fumegante na floresta de folha larga, onde os destroços em chamas do que um dia fora um SSJ-100 estavam espalhados pelo chão da mata por uma distância de quase 400 metros. Dentro dessa enorme cicatriz, descobriram os corpos de dois pilotos e uma comissária de bordo, que eram os únicos ocupantes da aeronave. Não houve sobreviventes.

◊◊◊

De acordo com a legislação russa, a responsabilidade pela investigação recaía sobre o Comitê Interestadual de Aviação (MAK, na sigla em inglês), uma organização multinacional independente do setor de aviação com sede em Moscou e atuação em diversas ex-repúblicas soviéticas. O MAK é um tema recorrente em meus artigos, mas, caso você não esteja familiarizado com ele, basta dizer que o MAK é uma das últimas organizações civis na Rússia a ter escapado, em grande parte, da cooptação pelos interesses do Estado russo, pelo menos por enquanto.

O MAK não é conhecido por publicar relatórios rapidamente — o relatório final sobre a queda do voo 1492 da Aeroflot, notoriamente, levou quase seis anos para ser divulgado — mas parece que a queda do voo 9608 da Gazpromavia quebrou essa tendência. Apesar de conduzir extensos experimentos envolvendo modelos matemáticos complexos, o MAK publicou seu relatório final após apenas um ano. O texto do relatório revela muito sobre o que aconteceu naquele dia, e lendo nas entrelinhas, descobre-se um pouco mais — e nem tudo é agradável.

◊◊◊

Parte 2: A Brigada do Balde da Gazprom

O Sukhoi Superjet 100 é o avião comercial russo de maior sucesso projetado e construído desde 1991, mas não enfrenta forte concorrência. Cerca de 235 unidades foram construídas (a Wikipédia indica "citação necessária"), e companhias aéreas de diversos países já o operaram, mas a maioria abandonou o modelo rapidamente devido à confiabilidade inferior à anunciada e à escassez de peças de reposição. Atualmente, algumas dezenas estão em serviço com o governo russo e diversas companhias aéreas russas, mas, a partir de 2025, o único operador remanescente fora da Rússia é a patrulha de fronteira do Cazaquistão.

O SSJ-100 nasceu como um projeto internacional fruto de uma parceria entre a United Aircraft Company e diversas empresas aeroespaciais ocidentais. Os motores são uma colaboração entre a francesa Safran e a russa NPO Saturn; a aviônica é da francesa Thales Aerospace; os sistemas de controle de voo são da alemã Liebherr; a unidade de potência auxiliar é fabricada pela americana Honeywell; e o sistema elétrico é da Hamilton Sundstrand. A maior parte da fuselagem e das asas é fabricada na Rússia, mas quase todo o resto vem do exterior, grande parte consistindo em componentes disponíveis no mercado.

Fornecedores do SSJ-100 (Sukhoi Aircraft Company)

Onde antes esses fornecedores ocidentais eram comercializados como um benefício, agora representam um problema. As sanções impostas à Rússia após a invasão da Ucrânia em 2022 interromperam o fornecimento de peças de reposição e suporte técnico de fornecedores nos EUA e na Europa, forçando as companhias aéreas russas a buscar cadeias de suprimentos alternativas, incluindo, mas não se limitando ao mercado negro. Algumas também deixaram aeronaves em solo para desmontá-las e aproveitar as peças.

Mesmo antes da invasão, a UAC já buscava "russificar" o SSJ-100, substituindo componentes estrangeiros por equivalentes russos, um processo conhecido como substituição de importações. Como parte desse processo, o certificado de tipo do SSJ-100 foi entregue à Yakovlev — anteriormente conhecida como Irkut — que renomeou o projeto para SJ-100 ou "Superjet Novo". Apesar das grandes promessas, até o momento, nenhum SJ-100 com substituição de importações foi entregue a qualquer companhia aérea, e não se sabe quando ou mesmo se isso ocorrerá. 

Segundo diversas fontes, o CEO da Yakovlev foi destituído do cargo no final de 2024 devido à falta de progresso, mas dificilmente se pode atribuir a culpa a ele: atualmente, a Rússia enfrenta dificuldades para encontrar a expertise técnica e de fabricação necessária para substituir os sistemas ocidentais sem grandes perdas de eficiência que poderiam tornar as aeronaves antieconômicas.

Enquanto isso, as companhias aéreas esperam e se viram como podem.

◊◊◊

Em 20 de março de 2024, o Gazpromavia SSJ-100 RA-89029 chegou ao Centro de Manutenção e Revisão da Fábrica de Aeronaves de Lukhovitsy para passar por uma série de inspeções pesadas padronizadas e manutenção preventiva. Essas inspeções poderiam ser descritas como uma inspeção C, embora tecnicamente não fosse o caso. 

A maioria das aeronaves comerciais possui um regime de inspeção padronizado composto por inspeções A, B, C e D, cada uma com um nível crescente de rigor e complexidade, além de um intervalo de tempo maior entre as inspeções. Normalmente, uma inspeção C ocorre aproximadamente a cada dois anos, mas isso varia de acordo com o tipo de aeronave e o estilo de operação. 

Por outro lado, a UAC não fornece um regime de inspeção estritamente consolidado; em vez disso, define o intervalo máximo aceitável de inspeção para cada sistema e permite que as companhias aéreas organizem os itens de inspeção individuais em pacotes conforme sua conveniência, desde que nenhum intervalo máximo seja excedido. 

Portanto, o RA-89029 não estava, na verdade, passando por uma inspeção C, mas sim por uma “inspeção 1C+5C”, conforme definida pela Gazpromavia, que consiste em elementos a serem inspecionados e revisados ​​a cada dois anos, combinados com elementos a serem inspecionados e revisados ​​a cada dez anos. 

Na maioria dos tipos de aeronaves, isso seria considerado uma inspeção C e D combinada, mas os operadores do SSJ-100 têm a liberdade de chamá-la como quiserem; por exemplo, em 2023, o MOC de Lukhovitsy realizou inspeções e revisões de rotina em um SSJ-100 da Yamal Airlines de acordo com o que essa companhia aérea denominou de inspeção “2920DY+1460DY+730DY+7500FH+ADD” (presumivelmente consistindo em itens de inspeção combinados de 7.500 horas de voo, itens de inspeção de 2 anos, itens de inspeção de 4 anos, itens de inspeção de 8 anos e o que quer que ADD signifique).

RA-89029, a primeira aeronave da Gazpromavia a chegar a Lukhovitsy (Marian Chovancak)

Essa história mal contada começa com a verificação 5C na aeronave RA-89029. O escopo exato dessa verificação não é descrito no relatório final, mas o importante é que a Gazpromavia aparentemente solicitou que o Centro de Operações de Manutenção (MOC) de Lukhovitsy substituísse os dois sensores principais de ângulo de ataque da aeronave enquanto ela estava em inspeção.

O ângulo de ataque é o ângulo entre as superfícies de sustentação e o fluxo de ar incidente. Geralmente, isso pode ser expresso como o ângulo de inclinação menos o ângulo da trajetória de voo. Por exemplo, uma aeronave com inclinação de 10 graus para cima, mas subindo em uma rampa de 7 graus, tem um ângulo de ataque de 3 graus, pelo menos em teoria (assumindo uma trajetória esférica, etc.).

Uma ilustração útil do ângulo de ataque para meus leitores não especializados em aviação
(Aviation Performance Solutions)

O ângulo de ataque (AOA) é crucial para o voo, pois é um componente chave da equação de sustentação. Assim, um ângulo de ataque maior resulta em mais sustentação, até certo ponto. Acima desse ponto, o ar deixa de fluir suavemente sobre a superfície superior da asa, a sustentação diminui drasticamente e ocorre uma perda de sustentação, fazendo com que o avião caia. 

Portanto, os primeiros sensores de ângulo de ataque foram desenvolvidos principalmente com a intenção de alertar a tripulação caso esse ponto estivesse se aproximando. Em algumas aeronaves comerciais convencionais, especialmente as mais antigas e menos computadorizadas, esse ainda é o principal propósito do sensor de AOA: fornecer informações sobre o ângulo de ataque para o sistema de alerta de perda de sustentação. Embora a maioria das aeronaves também possua indicadores de AOA para a tripulação, estes geralmente não são considerados instrumentos primários ou essenciais.

Por outro lado, aeronaves altamente computadorizadas — e aeronaves fly-by-wire em particular — dependem muito mais dos dados de ângulo de ataque. O SSJ-100 é uma aeronave fly-by-wire, o que significa que os manches laterais dos pilotos não estão diretamente conectados às superfícies de controle de voo. 

Em vez disso, mover o manche lateral envia um comando de inclinação ou rolagem para um conjunto de computadores de voo que interpretam como as superfícies de controle devem se mover para atingir o estado da aeronave comandado pela tripulação, levando em consideração a velocidade, a configuração e uma série de outros parâmetros, incluindo limitações do envelope de voo, características de estabilidade e assim por diante. O funcionamento exato desse processo será abordado com mais detalhes na Parte 3. 

Por ora, basta entender que os dados de ângulo de ataque são usados ​​para dois propósitos principais relevantes para esta história: primeiro, para aplicar uma correção à pressão ambiente (ou estática) medida, usada no cálculo da altitude e da velocidade, a fim de compensar as diferenças no fluxo de ar através dos sensores de pressão estática em diferentes ângulos de ataque; Em segundo lugar, para informar as proteções do envelope de voo do sistema fly-by-wire, para que possam agir e impedir que o ângulo de ataque atinja o limite de estol.

Para fornecer grandes quantidades de dados verificados e confiáveis ​​ao sistema fly-by-wire, o SSJ-100 possui três sistemas redundantes de dados aéreos (ADSs), cada um dos quais coleta informações brutas de sensores, incluindo sensores de pressão estática, sensores de pressão dinâmica (tubos de Pitot), sensores de ângulo de ataque, sensores de temperatura e assim por diante; processa os dados em um formato utilizável; verifica sua validade; e os distribui para os sistemas da aeronave, incluindo o sistema fly-by-wire. 

Os instrumentos do comandante utilizam, por padrão, dados aéreos do ADS 1; os do primeiro oficial, do ADS 2; e os instrumentos de reserva ou backup, do ADS 3, enquanto o sistema fly-by-wire utiliza parâmetros consolidados derivados dos três ADSs para garantir o mais alto nível de integridade paramétrica.

Essa redundância é possível porque cada ADS possui seu próprio conjunto de sensores. No caso do AOA (Ângulo de Ataque), o ADS 1 recebe os dados do sensor AOA nº 1, localizado no lado esquerdo da aeronave, enquanto o ADS 2 recebe os dados do sensor AOA nº 2, localizado no lado direito. Esses dois sensores AOA são considerados os sensores “primários”, pois seus dados são incorporados diretamente às indicações dos instrumentos normalmente utilizadas pela tripulação. Já o ADS 3 — o sistema de reserva — possui não um, mas dois sensores AOA, um em cada lado da aeronave, totalizando quatro.

Localização de todos os sensores de dados aéreos na parte externa da fuselagem (MAK)

Cada sensor AOA individual consiste em uma palheta fixada a um eixo rotativo com uma amplitude de movimento de aproximadamente ±40 graus. Conforme a aeronave voa, a palheta gira para se alinhar com o fluxo de ar local. A posição da palheta é medida por um resolver e transmitida ao computador de dados aéreos (ADC) correspondente, que aplica um algoritmo de correção para converter a posição da palheta no ângulo de ataque (AOA) real da aeronave.

O eixo do sensor AOA gira dentro de um conjunto de rolamentos, que por sua vez estão contidos em uma carcaça. A carcaça, o eixo, os rolamentos e a palheta formam, em conjunto, a unidade única que constitui o sensor AOA. Caso seja identificado um problema com a indicação do sensor AOA, os técnicos podem simplesmente remover a unidade defeituosa e substituí-la por uma unidade em perfeito funcionamento.

Cada sensor AOA encaixa-se numa abertura pré-fabricada no painel da fuselagem correspondente. A natureza dessa fixação é espacialmente complexa, mas também é crucial para esta história, então tenha paciência comigo.

Diagrama básico de um sensor AOA (MAK)

O elemento que fixa o sensor AOA no lugar dentro dessa abertura é uma peça chamada "sobreposição" (em russo: накладка). A sobreposição é uma peça circular de metal, ligeiramente maior que a abertura da fuselagem, com um pequeno recorte circular no centro para acomodar a palheta saliente. Ao redor da circunferência interna da sobreposição, cinco furos são feitos para acomodar cinco parafusos que fixam a sobreposição à carcaça, permitindo que o eixo e a palheta girem livremente. 

Ao mesmo tempo, a circunferência externa da sobreposição apresenta 15 furos, espaçados em 24 graus, que correspondem a 15 furos equidistantes ao redor da parte externa da abertura na fuselagem. O sensor AOA e a sobreposição são, portanto, inseridos juntos na abertura, com os furos da sobreposição alinhados com os furos na fuselagem, e fixados no lugar por 15 parafusos. Uma cobertura, que também apresenta um recorte central para a palheta AOA, é então colocada sobre toda a área e fixada por 6 parafusos, correspondentes aos 6 furos para parafusos na fuselagem. O diagrama abaixo mostra todas essas peças e suas relações entre si, identificadas por números que correspondem à legenda da imagem.

1 — Revestimento da fuselagem. 2 — Conector elétrico. 3 — Sobreposição. 4 — Parafusos de fixação da sobreposição à fuselagem. 5 — Tampa. 6 — Parafusos de fixação da tampa. 7 — Parafusos de fixação da sobreposição ao sensor. 8 — Arruela. 9 — Espaçador. 10 — Pinos guia do sensor AOA. 11 — Arruela. 12 — Porca. 13 — Sensor AOA. 14 — Arruela (MAK)

É importante notar que, embora o revestimento da fuselagem, a cobertura e a sobreposição sejam todos fabricados pela UAC, o próprio sensor de ângulo de ataque (AOA) — assim como toda a aviônica do SSJ-100 — é um produto padrão da Thales. Portanto, a UAC teve que decidir na fase de projeto como incorporar os sensores de AOA da Thales de forma a garantir o funcionamento adequado do sensor, atender às normas de segurança e permitir a substituição da unidade pela equipe de manutenção.

Talvez o primeiro elo na cadeia de eventos que levou ao acidente tenha sido a decisão da UAC de não estabelecer diretrizes específicas para a localização do primeiro dos 15 furos de fixação no painel da fuselagem. 

Como resultado, as posições exatas dos furos de fixação variavam em cada fuselagem, embora o número de furos e o espaçamento entre eles fossem sempre os mesmos. Isso significava que os furos correspondentes nas sobreposições também não podiam ser perfurados sistematicamente. 

Após a perfuração dos cinco furos de fixação para a caixa do sensor na sobreposição, os 15 furos de fixação externos precisavam ser perfurados de forma que, quando alinhados com os 15 furos correspondentes na fuselagem, a caixa do sensor de ângulo de ataque também ficasse alinhada com a "horizontal estrutural" da aeronave. Isso ocorre porque inclinar a unidade, mesmo que ligeiramente, em relação ao seu eixo original introduz um erro sistemático em todos os valores de ângulo de ataque medidos. 

Como o ângulo de ataque é (em termos simplificados*) o ângulo do fluxo de ar em relação ao eixo horizontal da aeronave, o "ponto zero" da amplitude de movimento da palheta deve estar alinhado com esse eixo, caso contrário, a palheta fará a medição em relação à linha de base incorreta.

*Tecnicamente, o ângulo de ataque da asa e o ângulo de ataque da fuselagem são coisas ligeiramente diferentes. Mas, para os propósitos desta explicação, não precisamos entrar nesse detalhe.

Utilizando um quadrante óptico para estabelecer o ângulo necessário do eixo do pino guia (MAK)

Considerando que os furos de fixação estavam alinhados de forma ligeiramente diferente em cada fuselagem, e que os sensores de ângulo de ataque (AOA) tinham de ser instalados sempre no mesmo ângulo exato, a UAC acabou por ter de criar sobreposições personalizadas não só para cada aeronave, como também para cada local de instalação em cada aeronave.

A UAC realizou esse procedimento perfurando primeiro os 15 furos de fixação ao redor da borda da sobreposição e, em seguida, parafusando-a no lugar na fuselagem. Depois que a sobreposição estava no lugar, um dispositivo de guia óptico foi usado para determinar onde perfurar dois pequenos furos projetados para acomodar um par de "pinos-guia" na carcaça do sensor. 

O objetivo dos pinos-guia é garantir que haja apenas uma maneira possível de fixar a sobreposição ao sensor. Usando o dispositivo de guia óptico, os maquinistas tiveram que garantir que o eixo formado pelos dois furos dos pinos-guia estivesse deslocado do eixo vertical da aeronave em exatamente 8°42' (±6') no sentido anti-horário no lado esquerdo da aeronave e no sentido horário no lado direito. Somente com o eixo dos pinos-guia nesse ângulo o sensor de AOA indicará zero quando o ângulo de ataque for zero graus.

Após a perfuração dos orifícios para os pinos-guia, o dispositivo de guia óptica foi utilizado novamente para perfurar os cinco orifícios de fixação da caixa do sensor nas posições corretas em relação aos orifícios dos pinos-guia.

É claro que, se as posições dos furos de fixação na fuselagem tivessem sido padronizadas desde o início, as sobreposições poderiam ter sido produzidas em massa. Em vez disso, esse processo garantiu que não houvesse duas sobreposições com o mesmo alinhamento relativo exato entre os furos de fixação da caixa do sensor e os furos de fixação da fuselagem.

Essa talvez não tenha sido a técnica de fabricação mais otimizada, mas não deveria apresentar problemas de manutenção ou fornecimento em si . A sobreposição é uma peça estática que deve durar muitas vezes mais que a própria aeronave, portanto, não deveria haver necessidade de a equipe de manutenção substituí-la. No entanto, o processo de substituição do sensor de ângulo de ataque (AOA) envolve necessariamente a remoção da sobreposição e sua posterior reinstalação, e é aí que as coisas começam a ficar problemáticas.

Em algum momento do processo de projeto, deve ter sido percebido que, embora os furos-guia garantam que haja apenas uma maneira de fixar a sobreposição ao sensor, ainda existem 15 maneiras diferentes de fixar o conjunto sobreposição-sensor à fuselagem. Se você colocar a sobreposição contra a fuselagem e alinhar os furos, isso não significa nada, porque se você girá-la 24 graus para a esquerda ou para a direita, os furos se alinharão novamente, e após mais 24 graus, eles se alinharão mais uma vez, e assim por diante, por toda a circunferência do conjunto. 

A solução mais confiável para esse problema seria projetar algum tipo de assimetria no padrão dos furos de fixação, de modo que os furos só se alinhassem com a sobreposição na orientação correta. Mas isso não foi feito neste caso. Em vez disso, a solução da UAC foi adicionar uma etapa ao procedimento do manual de manutenção para remoção do sensor, exigindo que o técnico faça uma marca na sobreposição e na superfície adjacente da fuselagem com um marcador permanente antes de remover a sobreposição (como visto abaixo). Dessa forma, quem reinstalasse a sobreposição poderia instalá-la em sua orientação original simplesmente alinhando as duas metades da marca.

A marca vermelha usada para alinhamento pode ser vista à direita. Observe como ela é desenhada tanto na sobreposição quanto na superfície da fuselagem. Outros detalhes a serem observados: a tampa está removida; a substância preta é selante; e o ângulo de rotação da palheta é arbitrário e não está relacionado ao alinhamento geral do sensor. Você consegue ver os 15 pontos de fixação da sobreposição à fuselagem, os cinco pontos de fixação da sobreposição ao sensor e os dois pinos-guia? (MAK)

Em 2013, após produzir cerca de 20 aeronaves, a UAC começou a aplicar essa marca durante a fase de fabricação. O procedimento de manutenção foi revisado simultaneamente para exigir que os técnicos redesenhassem a marca, mesmo que ela já estivesse presente, a fim de evitar que desbotasse.

Embora essa fosse uma solução rudimentar para o problema, mostrou-se bastante eficaz na prática, simplesmente porque as instruções eram fáceis de seguir e era óbvio se as duas metades da marca estavam alinhadas ou não. Mas surge inevitavelmente a questão: o que aconteceria se alguém tentasse instalar uma sobreposição na aeronave errada ou na posição errada na aeronave certa?

Como os adesivos são específicos para cada local de instalação, instalá-los em outro local onde a orientação dos furos de fixação seja ligeiramente diferente geralmente impossibilita o alinhamento do sensor AOA com o eixo horizontal da aeronave.

Após o acidente, o MAK realizou extensos testes em vários SSJ-100 para determinar o que aconteceria se os técnicos trocassem as sobreposições esquerda e direita, instalando a sobreposição esquerda no lado direito e vice-versa. Descobriram, em primeiro lugar, que era possível trocar as sobreposições dessa maneira sem que o sensor de ângulo de ataque (AOA) apontasse visivelmente para o lado errado, simplesmente girando a sobreposição 180 graus antes de fixar o sensor de AOA nela. 

Posteriormente, o conjunto sensor-sobreposição podia ser instalado na fuselagem com a palheta apontando geralmente na direção correta, mas com um deslocamento igual à diferença em graus entre a posição dos furos de fixação na localização pretendida da sobreposição e sua localização de instalação real. Esse deslocamento podia variar de zero a 24 graus e era único em cada aeronave. Além disso, a diferença no tamanho do deslocamento entre os lados esquerdo e direito nunca foi superior a cerca de 3 graus.

Sobreposição das imagens de sobreposição esquerda e direita, mostrando a imagem de sobreposição esquerda colocada sobre a imagem de sobreposição direita da aeronave de número de série 95032. É possível posicionar a linha do pino guia do sensor com uma precisão de 4 graus em relação à posição correta, mas as marcas não se alinharão

Em algumas aeronaves, esse tipo de desalinhamento era altamente improvável, pois as marcas não podiam ser alinhadas sem girar o sensor de ângulo de ataque (AOA) muito além da posição correta. Se a palheta estiver apontando na direção completamente errada, a maioria dos técnicos perceberá imediatamente que algo está errado. 

E em algumas aeronaves, as marcas não podiam ser alinhadas de forma alguma com a sobreposição, independentemente da orientação. Mas o MAK descobriu que, em certas aeronaves, era possível alinhar as marcas e os furos de fixação simultaneamente com o sensor de AOA orientado próximo à posição normal. Se isso ocorria ou não dependia inteiramente de onde as marcas em cada lado haviam sido desenhadas arbitrariamente por quem as aplicou primeiro.

Esta sobreposição de duas imagens do sensor AOA da aeronave RA-89032 mostra que é possível alinhar as marcas com a imagem correta no lado esquerdo da aeronave 95032, resultando em um erro de linha do pino guia de +27°

Durante o processo, o MAK também descobriu que resultados semelhantes poderiam ser obtidos instalando a sobreposição com a face voltada para baixo em vez de para cima. A face interna da sobreposição é revestida com esmalte cinza, enquanto a face externa é revestida com primer amarelo e selante preto, fornecendo uma indicação clara da orientação correta. No entanto, nada impedia fisicamente a instalação incorreta. 

Um técnico que tentasse instalá-la dessa forma descobriria que não há nenhuma marca na sobreposição para alinhar com a marca na fuselagem. Tentar instalar a sobreposição mesmo assim deslocaria o sensor do eixo horizontal da aeronave, devido à assimetria da sobreposição.

Efeitos da inversão da sobreposição esquerda da aeronave RA-89029.
Acima: instalação correta. Abaixo: efeitos da instalação da sobreposição invertida

Para evitar a possibilidade de instalar os revestimentos no lado errado da aeronave, o manual de manutenção continha um aviso: “ATENÇÃO: Reinstale o revestimento apenas no local da fuselagem de onde foi retirado”. No entanto, esse procedimento não impedia que os técnicos instalassem o revestimento do avesso. E, como você provavelmente já imaginou, ele também apresentava outras falhas.

Durante a pesquisa para este artigo, procurei responder a uma questão não abordada no relatório da MAK: ou seja, se o projeto da instalação do sensor AOA está em conformidade com os requisitos de certificação. Como a FAA, a EASA e a Agência Federal de Transporte Aéreo da Rússia têm regulamentações praticamente idênticas, utilizei os bancos de dados públicos da FAA e da EASA para descobrir — tendo em mente que a EASA certificou o SSJ-100 em 2012 e revogou essa certificação em 2022.

Os regulamentos da FAA e da EASA contêm a seguinte redação: “Cada elemento de cada sistema de controle de voo deve ser projetado ou marcado de forma distinta e permanente para minimizar a probabilidade de montagem incorreta que possa resultar em falha ou mau funcionamento do sistema. O requerente pode usar marcação distinta e permanente somente quando os meios de projeto forem impraticáveis.” (FAR 25.671)

Como não tenho formação em certificação de aeronaves, não posso afirmar com certeza se os sensores de ângulo de ataque em uma aeronave fly-by-wire são considerados parte do sistema de controle de voo. No entanto, é verdade que eles fornecem dados que compõem o sinal de comando agregado enviado às superfícies de controle de voo pelo sistema fly-by-wire. 

Além disso, a circular consultiva atual da FAA que descreve como cumprir a FAR 25.671 afirma que a conformidade para aeronaves fly-by-wire inclui uma “avaliação da integridade do sinal de comando”. A circular lista fatores que podem afetar negativamente essa integridade, incluindo “sinais de sensores corrompidos” e “valores congelados ou errôneos”. 

Portanto, na minha opinião leiga, parece plausível que os órgãos reguladores considerem os sensores de ângulo de ataque como um elemento do sistema de controle de voo sujeito à FAR 25.671, e que medidas para “minimizar a probabilidade de montagem incorreta” devam ser tomadas se essa montagem incorreta “puder resultar em um mau funcionamento do sistema”.

Se a conformidade com a FAR 25.671 fosse exigida, o método preferencial seria uma solução de projeto. No entanto, não havia nenhum elemento de projeto que impedisse a montagem incorreta. Em vez disso, a UAC usou marcações, mas é discutível se essas marcações eram "distintivas" ou "permanentes". Essas marcações reduziram a probabilidade de montagem incorreta, mas será que a "minimizaram"? Eu diria que marcar as sobreposições com as palavras "esquerda", "direita" e "este lado para baixo" teria sido muito melhor.

Muito provavelmente, o argumento mais forte da UAC para a conformidade era que o aviso do manual de manutenção (“reinstale a sobreposição apenas no local da fuselagem de onde foi retirada”) minimizava efetivamente a probabilidade de montagem incorreta quando implementado em conjunto com o sistema de marcação. Mas, na realidade, sob as condições da aviação russa moderna, as premissas que sustentavam essa avaliação começaram a se desfazer.

Vamos retomar a história em 20 de março de 2024, quando a aeronave RA-89029 foi levada para a revisão 1C+5C. Por razões não especificadas no relatório, a Gazpromavia solicitou a remoção dos dois sensores AOA primários desta aeronave. Talvez houvesse algum problema com os sensores e eles precisassem ser retirados de serviço — não sabemos ao certo. Tudo o que sabemos é que os sensores foram devolvidos à Gazpromavia e nunca foram reinstalados em nenhuma aeronave.

Em condições normais, os técnicos de manutenção retiram dois novos sensores AOA do estoque e, em seguida, substituem os sensores existentes um de cada vez. Isso garante que as sobreposições sejam sempre recolocadas no mesmo lugar, pois só há um local disponível para elas em um dado momento.

Mas, neste caso, houve uma complicação: segundo o relatório da MAK, nem a Gazpromavia nem o MOC tinham sensores AOA sobressalentes para o SSJ-100 em estoque. O motivo dessa escassez não foi divulgado, mas a verdade está nas entrelinhas. Muito provavelmente, nenhuma das empresas conseguiu adquirir um excedente de uma peça fabricada na França e cuja exportação para a Rússia era proibida devido às sanções da UE.

Sem novos sensores de ângulo de ataque (AOA) disponíveis para substituir os removidos do RA-89029, a Gazpromavia e/ou o Centro de Operações Marítimas de Lukhovitsy (MOC) elaboraram um plano para manter o cronograma. (Não está totalmente claro no relatório de quem foi a ideia, ou se foi um acordo entre as duas empresas.) O plano era manter o RA-89029 no MOC até a chegada da próxima aeronave para inspeções de rotina. 

Nesse momento, os técnicos removeriam os sensores de AOA dessa aeronave e os instalariam no RA-89029, permitindo que esta retornasse ao serviço. A segunda aeronave, RA-89049, passaria então pela inspeção e manutenção planejadas, até a chegada da próxima aeronave, RA-89018. Os sensores seriam então removidos do RA-89018 e instalados no RA-89049, permitindo que ele também partisse. Em outras palavras, eles organizaram uma espécie de corrente humana, só que com aviões em vez de bombeiros e sensores de AOA em vez de baldes.

Não está claro no relatório se a Gazpromavia pretendia que essa prática de reaproveitamento de aeronaves continuasse além do RA-89018. No entanto, minha interpretação é que eles sempre planejaram que terminasse ali. Na época da publicação do relatório, em julho de 2025, o RA-89018 ainda estava estacionado no Centro de Operações Marítimas (MOC), o que sugere que a aeronave foi retirada de serviço e possivelmente está sendo desmontada para reaproveitamento de peças. Além disso, as fontes atuais listam apenas 7 aeronaves na frota de SSJ-100 da Gazpromavia, em comparação com as 9 aeronaves antes do acidente.

Os eventos ocorridos durante essa "corrente de baldes" envolveram cinco personagens. Esses indivíduos são identificados neste artigo da seguinte forma:

• Técnico 1: Um técnico de nível 4 de 28 anos que trabalhava na RAC MiG desde os 16 anos, com exceção de um ano em que serviu nas forças armadas.
• Técnico 2: Um técnico de nível 6 de 49 anos, que se qualificou originalmente em 1994 e trabalhou brevemente como técnico, ficou afastado por duas décadas e retornou em 2015 para trabalhar na RAC MiG.
• Técnico 3: Um técnico de nível 4 de 36 anos que trabalhava na RAC MiG desde 2007.
• Técnico 4: Um técnico de nível 4 de 27 anos que trabalhava na RAC MiG desde 2016.
• O chefe de seção: um homem de 30 anos que trabalhava na RAC MiG desde 2012, com exceção de um ano em que serviu nas forças armadas.

Entre 20 e 22 de março de 2024, o Técnico 1 removeu um sensor AOA do RA-89029 sob a supervisão do Técnico 2, que era qualificado para supervisionar o processo. Posteriormente, o outro sensor AOA foi removido pelo Técnico 3 sob a supervisão do Chefe de Seção.

Em 2 de maio, após a chegada do RA-89049 ao MOC, o Técnico 4 removeu ambos os sensores AOA daquela aeronave, sob a supervisão do Chefe de Seção, e os transferiu para o almoxarifado. Presume-se que as sobreposições também foram armazenadas naquele momento. Como ambos os sensores eram necessários para a instalação no RA-89029, e o RA-89018 ainda não havia chegado, a prática usual de remover apenas uma sobreposição por vez não pôde ser seguida.

Em 4 de maio, o Técnico 2, sob a supervisão do Chefe de Seção, instalou os dois sensores AOA do RA-89049 no RA-89029. A instalação envolveu a retirada dos sensores AOA do estoque; a conexão de cada um com a sobreposição correta; a aplicação de pasta nos parafusos de fixação; a lubrificação das arruelas; a reaplicação do primer, esmalte e selante; a conexão elétrica; a fixação da sobreposição na fuselagem; a aplicação de mais selante; e a instalação da tampa. O procedimento completo do manual de manutenção é mostrado abaixo.

Manual de manutenção com o procedimento para reinstalar um sensor AOA SSJ-100 (MAK)

Em 6 de maio, a aeronave RA-89029 foi declarada apta para o serviço e dois pilotos chegaram para reposicioná-la em Vnukovo. No entanto, dados posteriores mostraram que, à medida que a aeronave acelerava na pista, o ângulo de ataque fornecido ao sistema de dados aéreos nº 1 pelo sensor AOA esquerdo repentinamente aumentou para valores de até 7,2°. Isso era obviamente impossível, pois durante a corrida de decolagem, antes da rotação, o ângulo de inclinação e o ângulo de trajetória de voo são ambos zero e, portanto, o ângulo de ataque também deveria ser zero. De fato, os investigadores determinariam posteriormente que os valores de AOA fornecidos pelo ADS 1 estavam sistematicamente muito altos durante todo o voo.

Durante a subida, várias mensagens de erro apareceram no Visor Eletrônico de Alerta (EWD) no cockpit, incluindo NAV ADS 1 FAULT, NAV BARO REF DISAGREE e NAV ALT DISAGREE.

Embora cada conjunto individual de instrumentos receba dados de um único sistema de dados aéreos, o sistema fly-by-wire utiliza parâmetros consolidados dos três sistemas para garantir redundância. Os computadores de voo comparam constantemente as saídas das três fontes de dados e, se um sistema produzir parâmetros que diferem consideravelmente dos outros dois, o ADS defeituoso será isolado do sistema fly-by-wire para conter os dados errôneos. A rejeição de um ADS dessa maneira gera uma FALHA NAV ADS (1)(2)(3) no EWD. Os critérios exatos de rejeição para velocidade e ângulo de ataque serão discutidos na Parte 3.

Na RA-89029, a leitura erroneamente alta do ângulo de ataque (AOA) do ADS 1 resultou em uma correção inadequada aplicada à pressão estática nº 1, o que, por sua vez, causou uma diferença nos dados de altitude barométrica fornecidos pelo ADS 1. Isso resultou nas mensagens de alerta adicionais “NAV BARO REF DISAGREE” e “NAV ALT DISAGREE”.

Assim que a diferença no ângulo de ataque (AOA) ou na altitude entre o ADS 1 e a média dos três ADSs excedeu um valor limite, o ADS 1 foi rejeitado pelo computador de voo e seus dados deixaram de ser usados ​​para gerar comandos para as superfícies de controle. Em resposta às mensagens de alerta, a tripulação usou o seletor de fonte de dados aéreos do comandante para alterar a fonte de dados aéreos de seus instrumentos de ADS 1 para ADS 3 e, em seguida, desligou o ADS 1. Nenhum outro problema foi encontrado e o voo prosseguiu até o destino.

Após a chegada da aeronave em Vnukovo, os técnicos realizaram uma manutenção de diagnóstico. De acordo com os registros dessa manutenção, a falha não reapareceu após a reinicialização dos computadores. No entanto, o MAK (Centro de Inteligência Aeroespacial) constatou que os dados do ângulo de ataque do ADS 1 apresentavam um erro sistemático ao longo de todo o voo de aproximadamente +8,2 a +8,3 graus, o que provavelmente resulta de um erro de instalação e não de um erro de computador. 

Ao examinarem a aeronave, os investigadores constataram que todos os sensores de ângulo de ataque estavam instalados corretamente — mas, ao testarem possíveis cenários, descobriram que, se a sobreposição do sensor de ângulo de ataque esquerdo desta aeronave fosse instalada com a face voltada para baixo em vez de para cima, a palheta do sensor ficaria deslocada do eixo horizontal da aeronave em +17 graus. Após a aplicação dos algoritmos de correção, o erro total do ângulo de ataque com o sensor nessa posição seria de cerca de 8,5° ±0,2°. (Veja o diagrama anterior.)

O MAK também observou que a forma de aplicação do selante nos sensores AOA primários esquerdo e direito da aeronave RA-89029 era muito diferente, apesar de ambos terem sido oficialmente instalados pelo Técnico 2. Com base nisso, o MAK especulou que o sensor esquerdo pode, na verdade, ter sido instalado por outra pessoa cuja função não foi documentada. 

O relatório não especifica se isso significa que uma pessoa diferente do Técnico 2 instalou a sobreposição com a face voltada para baixo por engano, ou se o processo de remoção e reinstalação foi repetido durante a solução de problemas em Vnukovo. Presumo que seja a segunda opção, pois a sobreposição deve ter sido removida e reinstalada corretamente antes do próximo voo, caso contrário o problema teria ocorrido novamente. 

Os técnicos que realizaram o procedimento podem nem ter percebido o problema, pois simplesmente seguir o procedimento descrito no manual de manutenção para remoção e reinstalação do sensor teria resolvido o problema, mesmo que eles não tivessem conhecimento dele. 

O procedimento também inclui a aplicação de novo selante, o que poderia explicar por que o selante na sobreposição esquerda parece ter sido aplicado por uma pessoa diferente. Por algum motivo, essa ação não foi registrada no log de solução de problemas, e a reinicialização dos computadores foi listada como a solução. A instalação incorreta não foi identificada nem relatada.

Após a partida do RA-89029 em 6 de maio, seu navio irmão, o RA-89049, passou por uma série de verificações, designadas 2A+4A+1C+2C+5C. Durante esse período, permaneceu atracado sem os sensores AOA primários e com ambas as sobreposições removidas.

Os registros do almoxarifado de peças indicavam que, em 6 de julho, o Técnico 2 foi ao almoxarifado e retirou duas “tampas do sensor AOA”. Oficialmente, isso se refere às tampas dos sensores, que presumivelmente foram removidas da aeronave RA-89049 em maio, juntamente com as sobreposições. Não havia registro de ninguém ter retirado as próprias sobreposições. Além disso, o catálogo de peças separado indicava que as tampas permaneceram no almoxarifado até 8 de julho, dois dias após o Técnico 2 supostamente tê-las retirado. Essa discrepância não foi resolvida.

Em 7 de julho, após a chegada da aeronave RA-89018, o Técnico 1 removeu ambos os sensores AOA daquela aeronave sob a supervisão do Técnico 2 e os levou para o almoxarifado.

Em 8 de julho, os registros mostraram que o Técnico 1 obteve a ordem de serviço referente à instalação de dois sensores AOA no RA-89049. A documentação também mostrou que o Técnico 2 foi ao almoxarifado e recuperou os dois sensores AOA removidos do RA-89018 no dia anterior. No entanto, apenas um sensor AOA foi recebido e teve seu recebimento assinado.

O técnico 1 afirmou que instalou apenas o sensor AOA esquerdo no RA-89049 naquele dia, sob a supervisão do técnico 2. Ele afirmou que as marcas estavam alinhadas e que não teve dificuldade em instalar a sobreposição.

Um anexo à ordem de serviço afirmava que ambos os sensores AOA foram instalados naquele dia, o que era falso. Além disso, ocorreu uma violação adicional do protocolo, pois nenhum dos técnicos devolveu o segundo sensor AOA nem as ferramentas ao almoxarifado ao final do expediente.

No dia 9 de julho, o Técnico 1 estava ausente do trabalho. Embora a ordem de serviço o listasse como responsável, o Técnico 2 decidiu concluir o trabalho por conta própria. Após obter as peças necessárias, ele aplicou selante no sensor AOA esquerdo e tentou instalar o sensor direito. No entanto, ele relatou ter dificuldades para instalar a sobreposição, pois havia várias marcas de cores diferentes e não era óbvio quais marcas deveriam ser alinhadas. Finalmente, ele conseguiu alinhar duas marcas pretas e, em seguida, concluiu a instalação com sucesso.

Mais tarde, a MAK descobriu que os Técnicos 1 e 2 instalaram as sobreposições esquerda e direita nos lados errados da aeronave. A falibilidade inerente ao procedimento de marcação permitiu que eles alinhassem as marcas mesmo que as sobreposições não estivessem nas posições corretas. 

No entanto, os investigadores não conseguiram determinar onde e quando ocorreu a troca — se foi antes das sobreposições serem enviadas para o almoxarifado, durante o armazenamento ou depois de terem sido retiradas. Aparentemente, nenhuma informação sobre o armazenamento das sobreposições foi registrada, nem há qualquer evidência de que medidas tenham sido tomadas para garantir que cada sobreposição fosse reinstalada na mesma posição de onde foi retirada, conforme exigido pelo manual de manutenção.

Após o acidente, uma parte da sobreposição direita foi recuperada ainda presa a um pedaço da fuselagem esquerda. As marcas vermelhas estavam alinhadas, comprovando a versão do Técnico 1 (MAK)

Em 10 de julho, o Técnico 1 retornou ao trabalho e constatou que o Técnico 2 havia concluído a instalação. Não parece que o Técnico 2 tenha sido supervisionado por alguém, nem foi oficialmente registrado como o responsável pela execução do serviço.

O documento oficial de normas do MOC afirmava que qualquer "trabalho de instalação e ajuste" deveria ser submetido a uma inspeção de qualidade pós-execução. No entanto, a ficha de serviço correspondente nunca foi preenchida e nenhuma inspeção foi realizada. O procedimento de inspeção não está descrito no relatório MAK, mas se incluísse uma verificação do ângulo de instalação do sensor — o que espero que inclua — o erro teria sido detectado.

Um tópico que o relatório MAK não aborda é o treinamento recebido pelos técnicos. O relatório aponta que, dos quatro sensores de ângulo de ataque instalados por essa equipe em 2024, três foram instalados incorretamente. No entanto, os investigadores não encontraram registro de nenhum caso anterior de indicações de ângulo de ataque sistematicamente errôneas no SSJ-100, o que sugere que esses erros de instalação nunca haviam ocorrido antes da aeronave RA-89029. 

Além disso, a RA-89049 foi apenas a 25ª aeronave a passar por manutenção no Centro de Operações Militares de Lukhovitsy. Todos esses fatos levantam questões sobre como a equipe de manutenção foi retreinada quando a instalação começou a realizar a manutenção dos SSJ-100 em 2021, mas, até o momento, nenhuma dessas questões possui respostas satisfatórias.

Em todo caso, sem saber que haviam cometido um erro potencialmente catastrófico, a equipe de manutenção terminou de preparar a aeronave em 11 de julho, e no dia seguinte ela foi liberada para serviço. Apesar das tentativas bem-sucedidas dos técnicos de alinhar as marcações, a palheta de ângulo de ataque esquerda estava, na verdade, desalinhada em +9 graus em relação à horizontal estrutural da aeronave, enquanto a palheta de ângulo de ataque direita estava desalinhada em +11–12 graus, resultando em um erro real de ângulo de ataque de aproximadamente +4–5 e +5–7 graus, respectivamente.

Como as sobreposições esquerda e direita foram instaladas nos lados opostos do RA-89049. Observação: O diagrama inferior esquerdo deve indicar “posição direita”, e não “posição esquerda” (MAK) (Clique sobre as imagens para vê-las em tamanho real) 

Com as coberturas colocadas sobre as sobreposições, teria sido praticamente impossível perceber que os sensores de ângulo de ataque (AOA) estavam instalados incorretamente. O MAK (Centro de Pesquisa Aeronáutica) chegou a encontrar uma fotografia do RA-89049, tirada em 12 de julho de 2024, mas, ao tentar verificar se o ângulo de instalação do sensor AOA poderia ser determinado a partir da foto, descobriu que isso era impossível. 

Como as palhetas do AOA podem girar livremente para qualquer posição dentro de sua faixa de operação de ±40 graus durante o reboque e o táxi, a posição da palheta, vista por um observador externo, não tem relação detectável com o ângulo de instalação do sensor. Em outras palavras, não havia como alguém perceber o erro até que a aeronave começasse a se mover.

Assim, o palco estava montado para uma batalha épica entre o homem e a máquina — uma batalha na qual nenhum dos dois sairia vitorioso.

◊◊◊

Parte 3: Os Homens e a Máquina

Por volta do meio-dia de 12 de julho, uma tripulação de voo desavisada chegou ao Aeroporto de Tretyakovo para reposicionar o RA-89049 para o Aeroporto de Vnukovo.

O comando estava a cargo do Capitão Yevgeniy Bulavko, de 53 anos, um piloto experiente que ascendeu da patente de navegador, acumulando 13.220 horas de voo nesse processo, incluindo mais de 5.000 no SSJ-100.

Seu primeiro oficial naquele dia era Vladislav Kharlamov, de 53 anos, cujas 12.518 horas totais de voo e 4.000 no SSJ-100 o tornavam quase tão experiente quanto o Capitão Bulavko. Nenhum dos pilotos tinha histórico de dificuldades de treinamento e ambos haviam concluído com sucesso diversos exercícios de emergência envolvendo dados aéreos não confiáveis ​​durante o treinamento recorrente. Não havia evidências de discrepâncias no programa de treinamento da Gazpromavia ou na progressão da carreira dos pilotos.

A bordo também estava um terceiro indivíduo, identificado como o comissário de bordo Maksim Lukmanov. O motivo de sua presença neste voo não é mencionado no relatório final nem em nenhuma reportagem que consegui encontrar. Tenho certeza de que havia um bom motivo; só não sei qual era.

Os três homens embarcaram na aeronave por volta das 14h15, após o que os pilotos concluíram todas as verificações pré-voo de acordo com os procedimentos operacionais padrão. A tripulação também obteve as informações meteorológicas mais recentes, realizou um briefing pré-voo detalhado, ligou os motores e executou a bateria completa de verificações de controle. Todas as superfícies de controle responderam normalmente e nenhuma indicação nos instrumentos sugeriu qualquer anormalidade.

Fotografia do RA-89049 tirada durante o reboque no dia do acidente (MAK)

Às 14h48, a aeronave RA-89049 decolou, operando como voo 9608. A tripulação taxiou até o início da pista 10, voltada para sudeste, onde posicionou o estabilizador na posição correta de decolagem e inseriu as velocidades de decolagem calculadas no sistema de gerenciamento de voo. Uma altitude inicial de subida de 5.000 pés também foi definida.

Às 14h52:58, o controlador de tráfego aéreo de Tretyakovo autorizou a decolagem. O comandante Bulavko passou o controle para o primeiro oficial Kharlamov, que confirmou o comando. Em seguida, ele ajustou a potência dos motores para a configuração de decolagem calculada e acionou o acelerador automático. "Potência flexível de decolagem configurada em 86%", anunciou Bulavko.

À medida que o avião acelerava na pista, os indicadores de velocidade acenderam, seguidos pelos indicadores de ângulo de ataque a 60 nós. Mas onde o ângulo de ataque deveria ser zero, o da esquerda disparou para 3,8°, enquanto o da direita saltou para 4,8°. Esses valores aumentaram para 4,2° e 5,9°, respectivamente, conforme o avião acelerava. No entanto, monitorar as indicações de ângulo de ataque não faz parte da verificação normal dos instrumentos na decolagem, nem as indicações são particularmente chamativas, então nenhum dos pilotos percebeu.

A 100 nós, o Capitão Bulavko anunciou a velocidade, seguido cinco segundos depois por “V1, rotacionar”. O Primeiro Oficial Kharlamov puxou o manche lateral e o nariz da aeronave subiu, seguido pelas rodas principais. “Subida positiva”, declarou Bulavko.

“Preparem-se”, respondeu Kharlamov.

“Trem de pouso recolhido”, disse Bulavko, recolhendo o trem de pouso.

Onze segundos após a decolagem, a uma altitude de 445 pés, Kharlamov solicitou o piloto automático, e Bulavko o acionou, dizendo: "Piloto automático ativado, verificado".

Trajetória de voo anotada, parte 1: da decolagem ao acionamento do piloto automático (MAK)

Embora ainda não soubessem, o voo estava prestes a vivenciar uma sequência de eventos em rápida sucessão, que exige um conhecimento técnico considerável para ser compreendida. Em 5 minutos, tudo teria terminado — mas primeiro, precisamos entender a matemática por trás da máquina.

◊◊◊

O sistema fly-by-wire do SSJ-100 funciona de maneira muito semelhante ao sistema fly-by-wire padrão da Airbus. Meu artigo sobre o voo Aeroflot 1492 aborda com mais detalhes o funcionamento geral dos sistemas fly-by-wire; neste artigo, descreverei brevemente o conceito antes de entrar nos detalhes relevantes para esta história.

Quando o piloto do SSJ-100 move o manche lateral para a esquerda ou para a direita, por exemplo, ele está comandando uma determinada taxa de rolagem. Os computadores de voo calculam então como defletir os ailerons para atingir essa taxa nas condições atuais. Se a velocidade for alta, menos deflexão dos ailerons é necessária; inversamente, mais é necessária se a velocidade for baixa — mas o piloto não precisa se preocupar com isso, porque os computadores garantem que a resposta da aeronave a um determinado comando seja sempre aproximadamente a mesma.

Mover o manche lateral para frente ou para trás comanda um fator de carga específico. Quando um veículo em movimento muda de direção repentinamente, você sente uma força de tração, que é uma "carga", frequentemente expressa em termos de equivalente à força G. Em voo reto e nivelado, o fator de carga é 1, ou 1 G — a gravidade normal da Terra. Quando um avião inicia uma subida, o fator de carga aumenta, o que os ocupantes sentem como uma força que os pressiona contra seus assentos. Quanto mais rápida a transição, maior o fator de carga. 

Portanto, se o piloto mover o manche lateral para trás e mantê-lo nessa posição, o avião irá inclinar-se para cima continuamente para manter um fator de carga constante maior que 1. Quando o piloto relaxar o manche lateral, a inclinação parará de mudar. Se agora ele quiser reduzir a inclinação, o piloto deve empurrar o manche lateral para frente para comandar um fator de carga negativo. Quanto maior a deflexão do manche lateral, maior o fator de carga e maior a taxa de inclinação.

O sistema também incorpora proteções de envelope de voo que incluem limites rígidos e flexíveis para velocidade, ângulo de ataque, ângulo de inclinação, ângulo de rolagem e fator de carga. Por exemplo, se o piloto mantiver o manche lateral totalmente para a esquerda, o ângulo de rolagem aumentará até um limite rígido, mas não além disso. Se o piloto relaxar o manche lateral, o ângulo de rolagem diminuirá e se estabilizará em um limite flexível inferior. A deflexão ativa do manche lateral é necessária para atingir ângulos de rolagem acima do limite flexível e abaixo do limite rígido.

Em contrapartida, a função de limitação de alta velocidade não possui um limite flexível. Em vez disso, se a velocidade aumentar acima da velocidade máxima de operação de 308 nós, ou VMO, o sistema intervirá acionando automaticamente os freios aerodinâmicos, que se elevam das asas para aumentar o arrasto e reduzir a velocidade.

A função de limitação do ângulo de ataque é mais complexa. À medida que o ângulo de ataque aumenta, a função se ativa em estágios correspondentes a certos limiares, denominados “alfa linear”, “alfa proteico”, “alfa mínimo” e “alfa limite”.

Os ângulos de ataque usados ​​pelo sistema de limitação de AOA. CL = coeficiente de sustentação (MAK)

O alfa linear é o ângulo de ataque (AOA) acima do qual a derivada do coeficiente de sustentação se torna não linear. Você não precisa saber o que isso significa, mas vale a pena observar, pois é o ponto em que um coeficiente relacionado ao ângulo de ataque começa a ser aplicado ao sinal de comando de inclinação (pitch) apenas para fins de aumento da estabilidade.

O alfa protecionismo, abreviação de "proteção", é o ponto em que a função de limitação do ângulo de ataque entra em ação. Essa função aplica um coeficiente de redução ao comando de arremesso para impedir que o ângulo de ataque atinja o limite máximo, que é o limite alfa. O valor do coeficiente é determinado pela necessidade da função para atingir esse objetivo, levando em consideração fatores como a taxa de arremesso.

O limite alfa, como acabei de dizer, é o máximo absoluto, equivalente ao "alfa máximo" no Airbus A320. Teoricamente, o piloto só consegue atingir o limite alfa mantendo o manche totalmente para trás e, independentemente de quanto tempo o mantenha nessa posição, a função de limitação do ângulo de ataque não permitirá que o ângulo de ataque aumente mais. Soltar o manche fará com que o ângulo de ataque se reduza ao limite alfa.

O limite alfa é definido como um grau abaixo do ângulo no qual o aviso de estol será ativado, que por sua vez está a uma certa distância abaixo do ângulo de ataque real do estol. O valor do limite alfa varia dependendo da posição dos flaps e do número de Mach (velocidade expressa como uma porcentagem da velocidade do som local), sendo que os valores mais baixos do limite alfa ocorrem com os flaps recolhidos e um número de Mach elevado. Isso ocorre porque esses dois fatores reduzem o ângulo de ataque do estol.

Esses dados de voo extraídos do RA-89049 mostram como os valores de limite alfa e
proteção alfa diminuem quando os flaps são retraídos (MAK)

Você deve ter notado que eu disse que o limite alfa só pode ser atingido “teoricamente”. Isso porque o valor limite real usado pela função de limitação do ângulo de ataque não é, na verdade, o limite alfa. De acordo com o relatório MAK, existe uma margem entre o ângulo de ataque máximo permitido e o limite alfa, dependendo de certos fatores dinâmicos não enumerados no documento. Presumivelmente, isso serve para evitar que o ângulo de ataque exceda o limite alfa em caso de movimentos rápidos da aeronave que ultrapassem a capacidade de resposta da função de limitação.

Por fim, o ângulo de ataque de piso (alfa floor) é um ângulo de ataque entre o alfa de proteção (alfa prot) e o alfa limite (alfa limit), onde uma função separada comanda automaticamente um aumento no empuxo do motor. O objetivo dessa função é aumentar o estado energético da aeronave, ajudando a reduzir o ângulo de ataque necessário para manter a sustentação. No entanto, essa função não desempenha um papel direto nesta história.

A autoridade das proteções do envelope de voo é incontestável quando o sistema fly-by-wire está no Modo Normal; o piloto não pode anulá-las. Se os dados que o sistema fly-by-wire utiliza para suportar essas funções se tornarem inválidos ou indisponíveis, o sistema pode alternar para o Modo Direto, seja automaticamente ou por seleção manual. No Modo Direto, as proteções do envelope de voo ficam indisponíveis e uma relação direta é estabelecida entre a deflexão do manche lateral e a deflexão das superfícies de controle. A mudança para o Modo Direto é geralmente considerada uma opção de último recurso, pois torna a aeronave consideravelmente mais difícil de pilotar.

◊◊◊

Gostaria também de discutir como o sinal de comando de inclinação é montado no Modo Normal. Por sinal de comando de inclinação, refiro-me ao sinal eletrônico que é enviado às unidades de controle dos atuadores para indicar a elas o quanto os profundores devem ser defletidos. Os componentes desse sinal incluem, entre outros:

• Um coeficiente (positivo ou negativo) derivado da posição do stick lateral;
• O fator de carga comandado pelo manche lateral;
• Feedback posicional, para tornar o comando proporcional ao fator de carga e à taxa de inclinação existentes;
• Feedback do ângulo de ataque quando o ângulo de ataque estiver acima do alfa de proteção, a fim de evitar que o ângulo de ataque atinja o limite alfa;
• E feedback de afinação da função de limitação de tons agudos.

Em conjunto, os componentes do sinal garantem que o avião reaja aos comandos do piloto da maneira desejada, sem ultrapassar ou ficar aquém do alvo, e sem exceder quaisquer limites do envelope de voo.

Os componentes acima mencionados referem-se apenas aos envolvidos na deflexão dos profundores. O controle de arfagem também é efetuado pelo estabilizador horizontal ajustável, que determina a combinação de arfagem e velocidade na qual a aeronave se mantém estável quando nenhum comando está sendo aplicado. Um algoritmo separado faz com que o estabilizador "siga" os profundores, utilizando um chamado laço integral, para garantir que a aeronave permaneça na última arfagem comandada quando o piloto soltar o manche lateral.

O sistema fly-by-wire de uma aeronave como o SSJ-100 não depende de um único sensor, como o infame MCAS da Boeing. Em vez disso, como mencionei anteriormente, ele integra parâmetros de todos os três sistemas de dados aéreos. No caso do ângulo de ataque, o sistema usa um "AOA consolidado" igual à média das saídas de AOA dos ADS 1, 2 e 3. O valor de cada saída individual é então comparado ao valor mediano e, se a diferença exceder um determinado limite, a fonte de dados é rejeitada como defeituosa, uma mensagem NAV ADS (1)(2)(3) FAULT aparece no EWD e o sistema fly-by-wire continua a operar usando um AOA consolidado igual à média das duas fontes de dados restantes. 

O limite exato de rejeição diminui à medida que a velocidade aumenta, de 7,5 graus a 100 nós para 3,0 graus na velocidade máxima de operação (VMO). Essa variação permitida relativamente grande é necessária para levar em conta as diferenças locais no ângulo de ataque que podem ocorrer durante manobras; por exemplo, se a aeronave estiver em derrapagem lateral.

A diferença máxima entre uma indicação de ângulo de ataque (AOA) e o valor mediano de AOA em função da velocidade do ar. A linha laranja mostra o limite normal; a linha azul mostra o limite se um sistema de detecção de radar (ADS) já tiver sido rejeitado (MAK)

Da mesma forma, o sistema fly-by-wire utiliza um valor de velocidade consolidado, igual à média dos valores de velocidade fornecidos pelos três sistemas de dados aéreos. Se a diferença entre dois valores de velocidade quaisquer exceder 10 nós, então uma de duas coisas pode acontecer.

Se, por exemplo, o ADS 1 estiver fornecendo uma velocidade no ar com uma diferença superior a 10 nós em relação aos ADS 2 e ADS 3, então o ADS 1 é identificado como defeituoso, seus dados são rejeitados, uma mensagem NAV ADS 1 FAULT aparece no EWD e o sistema fly-by-wire passa a usar a média das duas velocidades restantes. Foi isso que aconteceu no RA-89029, e é chamado de "falha inequívoca". 

Mas se, por exemplo, o ADS 1 estiver com uma diferença superior a 10 nós em relação ao ADS 3, mas o ADS 2 estiver dentro de uma faixa de 10 nós tanto do ADS 1 quanto do ADS 3, então isso é considerado uma "falha ambígua" porque o sistema fly-by-wire não sabe qual ADS está com defeito. Nesse cenário, uma mensagem NAV ADS DISAGREE aparece no EWD, levando a tripulação a aplicar o procedimento de “velocidade aerodinâmica não confiável”, que fornece ferramentas para determinar qual ADS, se houver, está com defeito.

Como isso é realmente importante, vou fornecer um exemplo mais concreto (cortesia do MAK): se as saídas do ADS 1, 2 e 3 forem 200 kts, 212 kts e 215 kts, respectivamente, então trata-se de uma falha inequívoca no ADS 1. E se as saídas forem 200 kts, 209 kts e 211 kts, respectivamente, então trata-se de uma falha ambígua e é necessária a intervenção da tripulação para identificar a causa.

Existe também uma lógica especial que entra em ação se nenhuma das três velocidades ADS estiver a menos de 10 nós de qualquer uma das outras, mas isso está fora do escopo deste artigo.

◊◊◊

Retornando ao voo 9608, às 14h53:49 o piloto automático foi acionado. O piloto automático possui canais laterais e verticais que operam em modos separados, alguns dos quais estão acoplados ao acelerador automático. No momento do acionamento, o canal lateral do piloto automático estava no modo LNAV, que comanda a aeronave a seguir a trajetória programada no sistema de gerenciamento de voo — neste caso, a Saída Padrão por Instrumentos RILPO 1B. Segundos depois, o modo vertical foi configurado para Subida (CLB), que é um modo de velocidade em função do ângulo de inclinação, o que significa que o piloto automático manterá a velocidade selecionada pela tripulação aumentando o ângulo de inclinação para reduzir a velocidade e diminuindo-o para aumentá-la, enquanto o empuxo permanece constante. No modo de Subida, o acelerador automático entra automaticamente no modo de retenção de empuxo (THR) com os motores na potência de subida.

É importante notar que o SSJ-100, assim como os modelos Airbus modernos, possui alavancas de potência que funcionam como seletores de regime de operação do motor quando o acelerador automático está acionado. A tripulação simplesmente posiciona as alavancas no regime desejado — marcha lenta, cruzeiro, subida, decolagem flexível, subida máxima, decolagem/arremetida (TOGA) ou potência máxima* — e o acelerador automático determina a quantidade de potência necessária, dentro dos limites do regime selecionado.

*Nota: Este regime é exclusivo do SSJ-100 e não aparece em nenhum Airbus.

Momentos antes de acionar o modo CLB, o Capitão Bulavko disse: "Concordamos em reduzir a velocidade vertical, Vlad."

“Ah, entendi, agora mesmo”, respondeu o primeiro oficial Kharlamov.

“Bem, mude para a subida e diminua a velocidade”, disse Bulavko.

"Subir!", gritou Kharlamov ao ativar o modo de subida. Segundos depois, acrescentou: "Velocidade!"

"Selecionado", anunciou Bulavko, definindo uma velocidade de 148 nós usando o painel de controle de voo.

“Acelera, sobe”, repetiu Kharlamov.

“Coloque 1.500, velocidade vertical”, disse Bulavko.

“Vertical 1.500 configurado”, disse Kharlamov. Ele estendeu a mão e mudou o modo vertical do piloto automático de Subida para Velocidade Vertical (V/S).

No modo de velocidade vertical, o piloto automático inclina o nariz para cima ou para baixo para manter uma taxa de subida ou descida selecionada — neste caso, 1.500 pés por minuto — enquanto o acelerador automático muda para o modo de manutenção de velocidade (SPD) e modifica o empuxo do motor conforme necessário para atingir a velocidade selecionada.

“Ah, perfeito, e para onde vamos escalar?” perguntou Bulavko.

Nesse momento, um sinal sonoro foi emitido e uma mensagem apareceu no EWD: “PORTAS DIANTEIRAS (ESQUERDA) ESCOTILHA NÃO FECHADA”. O procedimento associado a essa mensagem, de acordo com o Manual de Referência Rápida (QRH) dos pilotos, é verificar se a aeronave está pressurizando corretamente e, em caso afirmativo, ignorar a mensagem.

“A escotilha da porta esquerda não está fechada”, disse Bulavko em inglês.

“Confere”, disse Kharlamov.

"Que diabos temos aqui?", ponderou Bulavko.

Após algumas linhas de diálogo ininteligíveis, a tripulação descartou o alerta. A pressurização da aeronave estava ocorrendo normalmente, portanto, o aviso era evidentemente falso. A causa do falso alerta de porta aberta não é explicada no relatório MAK, mas pequenas falhas como essa não são incomuns após grandes manutenções.

Trajetória de voo anotada, parte 2: acionamento do piloto automático até a aceleração inicial (MAK)

Enquanto a aeronave iniciava a curva à esquerda após a decolagem, o Capitão Bulavko instruiu o Primeiro Oficial Kharlamov a mudar o canal lateral do piloto automático para o modo de rumo (HDG), antecipando instruções do controle de tráfego aéreo. Kharlamov engatou o modo de rumo e selecionou um rumo de 004 graus. Pouco tempo depois, ele reduziu a velocidade vertical selecionada para cerca de 1.000 pés por minuto, a fim de iniciar a aceleração para que pudessem recolher os flaps. Momentos depois, às 14:54:56, Kharlamov anunciou: “Flaps 1”.

“Flaps 1”, repetiu Bulavko enquanto movia a alavanca dos flaps da posição FLAPS 2, usada para decolagem, para a posição intermediária FLAPS 1. Momentos depois, instruiu Kharlamov a manter a velocidade em 180 nós, o que ele fez.

Às 14h55:17, os flaps terminaram de se retrair para a posição FLAPS 1. Nesse exato momento, um sinal sonoro soou na cabine de comando e a mensagem NAV ADS DISAGREE apareceu brevemente no EWD.

Até então, os valores errôneos do ângulo de ataque (AOA) dos ADS 1 e 2 não haviam afetado materialmente o voo, pois a diferença entre as três leituras de AOA estava abaixo do limite de rejeição. No entanto, como uma correção baseada no AOA é usada no cálculo da velocidade, os ADS 1 e 2 também estavam fornecendo dados de velocidade e altitude ligeiramente inferiores aos reais, sendo o ADS 2 um pouco mais afetado. 

Enquanto isso, o ADS 3 fornecia dados precisos. Mas, à medida que a velocidade aumentava, a diferença entre o ADS 3 e o ADS 2 também aumentava até atingir 10 nós. Contudo, a diferença entre o ADS 3 e o ADS 1 ainda era inferior a 10 nós, o que levou a um cenário de "falha ambígua". Como resultado, nenhum dos ADSs foi rejeitado e a tripulação foi alertada para iniciar a solução de problemas com a exibição da mensagem NAV ADS DISAGREE.

Como a mensagem NAV ADS DISAGREE teria aparecido durante e
após cada discordância registrada (MAK)

Como a aeronave agora mantinha a velocidade selecionada de 180 nós, ela não continuou a acelerar, e a discrepância de velocidade permaneceu exatamente no limite de 10 nós. Consequentemente, variações mínimas na velocidade faziam com que a diferença subisse e descesse aleatoriamente acima e abaixo de 10 nós, removendo e restabelecendo repetidamente a condição de DISCORDÂNCIA NAV ADS. Cada vez que as condições eram atendidas, a mensagem de DISCORDÂNCIA NAV ADS aparecia e um sinal sonoro era emitido; cada vez que as condições deixavam de ser atendidas, a mensagem mudava de âmbar para branco por cinco segundos, indicando que a falha não estava mais presente, antes de desaparecer. Cada ativação durava de 1 a 4 segundos.

Enquanto isso acontecia, o Capitão Bulavko contatou o controle de radar de Domodedovo e obteve autorização para virar à esquerda para o rumo 260 e subir para 10.000 pés, desde que a aprovação da torre de Tretyakovo também fosse obtida. Essa conversa durou 34 segundos, durante os quais a mensagem NAV ADS DISAGREE apareceu 12 vezes.

Trajetória de voo anotada, parte 3: Retração inicial dos flaps até a discordância do NAV ADS (MAK)

Quando Bulavko assinou com Domodedovo, Kharlamov disse: “Então, rumo 260”.

“Confira”, respondeu Bulavko.

“Velocidade vertical de mil”, continuou Kharlamov, certificando-se cuidadosamente de que todos os parâmetros de voo estavam corretos.

“Confere”, disse Bulavko.

“Ah, velocidade 180”, disse Kharlamov.

Mas, em vez de responder com "verificar", a atenção de Bulavko foi subitamente atraída pela mensagem intermitente NAV ADS DISAGREE. "NAV ADS discorda, que diabos é isso?", perguntou ele.

O procedimento do Manual de Referência Rápida (QRH) para uma condição de DISCORDÂNCIA do ADS de Navegação exige que a tripulação verifique a velocidade e a altitude nos displays de voo primários (PFDs) dos pilotos e no display de reserva, que recebem dados dos ADS 1, 2 e 3, respectivamente, a fim de identificar qual indicação está com defeito. 

Se o ADS com defeito puder ser identificado, o procedimento consiste simplesmente em desligá-lo e selecionar uma nova fonte de dados para os instrumentos afetados. Mas se não for possível identificá-lo, os pilotos devem seguir o procedimento de “Velocidade Não Confiável”. É importante notar que o procedimento de DISCORDÂNCIA do ADS de Navegação não exige que a tripulação verifique as indicações do ângulo de ataque.

Procedimento QRH para uma mensagem NAV ADS DISAGREE (MAK)

O procedimento para velocidade aerodinâmica não confiável exige que a tripulação primeiro desligue o piloto automático e o acelerador automático, e em seguida estabilize a trajetória de voo definindo uma determinada atitude de inclinação e potência do motor. Durante a fase intermediária de subida, esses valores são 10 graus de inclinação e potência de subida. Após a estabilização, eles devem nivelar a aeronave e iniciar a solução de problemas. Espera-se que os pilotos executem o procedimento de memória até este ponto.

Após o nivelamento, o procedimento exige que a tripulação consulte uma tabela de valores de inclinação, empuxo e ângulo de ataque (doravante, tabela de inclinação/ângulo de ataque/empuxo) para determinar a velocidade aerodinâmica real. A ideia é que o piloto defina uma combinação de inclinação, ângulo de ataque e empuxo indicada na tabela e, em seguida, faça uma comparação com seu peso, configuração e altitude para determinar qual deveria ser a velocidade aerodinâmica. 

Essa velocidade aerodinâmica pode então ser verificada com os indicadores de velocidade para determinar qual é o mais preciso. O procedimento fornece várias maneiras de solucionar problemas com uma velocidade aerodinâmica ou altitude incorreta, mas não explica como identificar valores de ângulo de ataque incorretos ou o que fazer se o ângulo de ataque estiver incorreto.

Procedimento QRH para velocidade do ar não confiável, parte 1 (MAK)

Em vez disso, o procedimento instrui os pilotos a manterem o “ângulo de inclinação/ângulo de ataque” desejado, partindo do pressuposto de que, em voo nivelado, o ângulo de inclinação e o ângulo de ataque são iguais (ângulo de ataque = ângulo de inclinação menos ângulo de trajetória de voo; ângulo de trajetória de voo = 0, portanto, inclinação = ângulo de ataque). Em seguida, instrui a estabilizar a velocidade, verificar todas as indicações de velocidade e, se necessário, consultar também a velocidade e a altitude do GPS ou GLONASS. 

Se um ADS for considerado confiável, os instrumentos devem ser configurados para utilizá-lo e quaisquer outros ADSs devem ser desligados. Mas se o ADS com defeito ainda não puder ser identificado, a tripulação deve desligar todos os três ADSs para reverter o sistema de controle de voo para o Modo Direto. As tabelas de inclinação/ângulo de ataque/empuxo e as altitudes de rádio e GPS podem então ser usadas para voar e pousar a aeronave sem indicações de velocidade ou altitude barométrica.

Procedimento QRH para velocidade do ar não confiável, parte 2 (MAK)

Embora não tenha solicitado o procedimento QRH, o Primeiro Oficial Kharlamov evidentemente já o conhecia, pois começou a verificar as indicações de velocidade. "Discordo... eh, a minha é 180. Qual é a sua? 180... alguma cautela está sendo aplicada de vez em quando."

“Cento e nove…”, Bulavko começou a ler no visor de espera.

“190, 180”, disse Kharlamov.

As indicações estavam separadas por apenas 10 nós, exatamente igual à divergência máxima permitida, e a que destoava era a do indicador de espera. Além disso, a natureza intermitente da mensagem NAV ADS DISAGREE não estava prevista no QRH e teria parecido estranha para a tripulação. O MAK determinou que, naquele momento, a tripulação provavelmente considerou o próprio aviso errôneo, assim como a indicação de porta aberta recebida apenas dois minutos antes. Portanto, optaram por não executar o procedimento de velocidade aerodinâmica não confiável — pelo menos, não ainda.

Em vez disso, com a aeronave agora nivelada a 5.000 pés, o Capitão Bulavko procedeu à coordenação da subida para 10.000 pés na proa 260 com o controlador de tráfego aéreo de Tretyakovo, conforme planejado. Durante essa conversa, a mensagem NAV ADS DISAGREE desapareceu do visor, aparentemente confirmando a decisão de não prosseguir com o procedimento.

“89049, a 5.000 pés, em sua área de responsabilidade”, relatou Bulavko. “Concordamos em seguir para o rumo 260 e subir ainda mais para 10.000 pés.”

“Roger, Moscou assume o controle, certo?”, perguntou Tretyakovo.

“Não, Moscou assume o controle com a sua permissão, se começarmos a escalada no seu setor e Moscou nos assumirá”, disse Bulavko.

“Não tenho objeções, tenha um bom voo e um pouso tranquilo”, respondeu Tretyakovo. “Gazprom 9608, pressão QNH 1019.”

O primeiro oficial Kharlamov entrou em contato pelo rádio para dizer: "Roger, tudo de bom, adeus", enquanto Bulavko se despedia simultaneamente com: "1019, Gazpromavia 9608".

Na cabine de comando, Bulavko repreendeu seu primeiro oficial. "Não fale com eles, você sempre faz isso", disse ele. Como piloto em comando, não era função de Kharlamov falar com o controle de tráfego aéreo.

Bulavko então ligou para Domodedovo e disse: “Domodedovo, Gazprom 9608, a torre não se opõe. Rumo 260, continuando a… subir mais 10.000 metros.”

“Ah, por quê? Ah, bem, lá está — ”, Kharlamov começou a dizer, em resposta à admoestação de Bulavko.

“Vlad, pilote o avião”, ordenou Bulavko.

“Entendi”, disse Kharlamov.

“Gazprom 9608, entendido, rumo atual com a concordância da torre, subir para 10.000 pés, pressão QNH 1019”, disse Domodedovo.

“Subindo a 10.000 pés, pressão QNH 1019, Gazprom 9608”, confirmou Bulavko. Para Kharlamov, ele disse: “Aumente a velocidade”, e Kharlamov ajustou a velocidade selecionada para 230 nós. Em resposta, o acelerador automático aumentou a potência do motor e o avião começou a acelerar.

“Gazprom 9608, e diga-me se está pronto para seguir imediatamente para Vnukovo? E qual será a altitude necessária?”, perguntou Domodedovo.

“Sim, estamos prontos para Vnukovo imediatamente, mas não precisamos de mais de 10”, explicou Bulavko.

Trajetória de voo anotada, parte 4: NAV ADS DISCORDA da autorização para 10.000 pés (MAK)

Durante essa conversa, a mensagem NAV ADS DISAGREE apareceu mais oito vezes, terminando às 14h57:12. Depois disso, a mensagem nunca mais foi exibida.

Com tudo aparentemente normal, o Capitão Bulavko posicionou a alavanca dos flaps na posição 0 (flaps totalmente recolhidos) e instruiu o primeiro oficial a subir. Kharlamov então usou o painel de controle de voo para selecionar uma altitude de 9.000 pés e selecionou o modo de subida no canal vertical do piloto automático. Em seguida, ele redefiniu a velocidade selecionada para 253 nós.

Ninguém poderia prever que, em apenas 100 segundos, nada restaria do voo 9608 além de uma cratera fumegante em uma floresta. O que se segue é um relato momento a momento desses 100 segundos de confusão e terror.

◊◊◊

Parte 4: Reação em cadeia

Até aproximadamente às 14h57:30, os valores de ângulo de ataque erroneamente elevados não tiveram praticamente nenhum impacto material no voo, além de distorcer ligeiramente a velocidade e a altitude para baixo. O erro de +4–5 graus no ADS 1 e de +5–7 no ADS 2 foi insuficiente para elevar o ângulo de ataque consolidado acima do limite de proteção alfa, e a diferença entre as três indicações de ângulo de ataque também não excedeu o limite para rejeitar qualquer sistema de dados aéreos.

No entanto, como você provavelmente se lembra, a diferença máxima permitida entre os três valores de ângulo de ataque diminui à medida que a velocidade do ar aumenta.

Quando os pilotos selecionaram uma velocidade de 230 nós, o sistema de aceleração automática aumentou o empuxo do motor para iniciar a aceleração. Nesse momento, os três valores de ângulo de ataque foram 9,05° no ADS 1, 10,46° no ADS 2 e 3,8° no ADS 3. A 206 nós, a discrepância máxima permitida no ângulo de ataque é de 5,22°, diminuindo para 5,11° a 211 nós. Portanto, em algum ponto entre essas duas velocidades, o valor limite diminuiu abaixo da diferença real entre o ADS 3 e o valor mediano, que era o do ADS 1. Consequentemente, o sistema rejeitou o ADS 3 — o único sistema de dados aéreos que fornecia informações precisas.

Com a rejeição do ADS 3, ele foi excluído do AOA consolidado, que passou a ser a média do ADS 1 e 2. Como o AOA do ADS 3 era muito menor que o dos ADS 1 e 2, isso resultou em um aumento repentino e massivo no valor do AOA consolidado fornecido ao sistema fly-by-wire.

Ao mesmo tempo, os valores de alfa proteico e alfa limite estavam diminuindo devido à retração dos flaps. Entre aproximadamente 14:57:31 e 14:57:48, o valor de alfa limite diminuiu de 13,8 graus para cerca de 9 graus, e os outros limiares de ângulo de ataque (AOA) — alfa inferior, alfa proteico e alfa linear — diminuíram proporcionalmente. 

Quando essa diminuição começou, o AOA consolidado saltou para um valor entre 9 e 10 graus devido à rejeição do ADS 3, fazendo com que o AOA ultrapassasse instantaneamente o alfa proteico. Em teoria, e de acordo com o manual, a ultrapassagem do alfa proteico deveria desconectar o piloto automático, mas isso na realidade ocorre em um valor ligeiramente superior, que coincidentemente não foi atingido naquele momento.

Os valores de AOA de cada ADS, o AOA consolidado e os limites do
sistema de limitação de AOA durante os três minutos finais do voo (MAK)

Assim que o ângulo de ataque (AOA) ultrapassou o limite de alfa, a função de limitação do ângulo de ataque entrou em ação para impedir que o AOA atingisse o limite de alfa. Como o valor do limite de alfa estava diminuindo ativamente à medida que os flaps se retraíam, a função de limitação começou a aplicar feedback do ângulo de ataque ao sinal de comando do profundor para reduzir o AOA e mantê-lo abaixo do limite de alfa, que estava diminuindo rapidamente, fazendo com que os profundores defletissem para baixo. Conforme projetado, o estabilizador acompanhou essa deflexão, movendo-se automaticamente de 3,2° de inclinação para cima até 0°.

Enquanto isso acontecia, o primeiro oficial Kharlamov engatou o modo de subida com uma altitude selecionada de 9.000 pés, o que deveria fazer com que a aeronave inclinasse o nariz para cima e subisse. Mas o piloto automático não conseguiu defletir os profundores para cima porque o ângulo de ataque já estava acima do ângulo alfa de proteção; o piloto automático não tem autoridade para aumentá-lo ainda mais. 

Como resultado, o piloto automático entrou no modo de subida e o acelerador automático mudou para o modo de manutenção de potência no regime de "subida máxima" (MCL), mas a aeronave não subiu — em vez disso, inclinou-se para a frente e começou a descer enquanto acelerava rapidamente.

Esse comportamento do piloto automático pegou os pilotos completamente de surpresa. Não havia nenhum sinal prévio de problema com o piloto automático e, de repente, ele estava fazendo o oposto do que haviam comandado. Não há nenhum procedimento no QRH para essa situação, nem os pilotos teriam encontrado algo parecido durante o treinamento. Eles estavam em território desconhecido.

Quando o avião começou a descer de 5.000 pés, o primeiro instinto do primeiro oficial Kharlamov foi que ele havia selecionado o modo errado, então ele leu no painel de controle de voo: “Espere, alguma coisa, potência, subida… Para onde está indo? Olhe!”

Como o piloto automático parecia estar com defeito, ele agarrou o manche lateral e o puxou totalmente para trás, numa tentativa de contrariar a descida repentina. A aeronave interpretou corretamente que ele queria assumir o controle e o piloto automático desconectou-se automaticamente, acompanhado por um alarme sonoro. Percebendo que Kharlamov estava com dificuldades para pilotar o avião, o Capitão Bulavko imediatamente exclamou: "Eu estou no controle!" e pressionou o botão de prioridade do manche lateral para transferir o controle para si. Em seguida, ele também puxou o manche lateral totalmente para trás.

“Você tem o controle”, reconheceu Kharlamov, soltando o manche. “Veja, nossa altitude está aumentando”, acrescentou. “Quatro… 4.500…”

À medida que a velocidade aumentava rapidamente, o Capitão Bulavko puxou as manetes de potência para a posição de marcha lenta para interromper a aceleração, o que fez com que o acelerador automático se desconectasse. Nesse momento, a velocidade indicada era de 280 nós, bem acima do valor selecionado de 253 nós.

Em resposta aos comandos de Bulavko para elevar o nariz completamente, os profundores defletiram ligeiramente para cima, superando o alfa de proteção e tirando o avião da descida. Como o piloto pode aumentar o ângulo de ataque até um valor próximo ao limite de alfa usando o manche lateral, o ângulo de ataque consolidado conseguiu aumentar acima do alfa de proteção (cerca de 7 graus), mas não atingiu o limite inferior de alfa (cerca de 8 graus). O ângulo de ataque real, calculado posteriormente pelo MAK, nunca ultrapassou significativamente 3 graus após esse ponto. Mesmo assim, isso foi suficiente para nivelar a aeronave.

Às 14h58min, oito segundos após assumir o controle, Bulavko concluiu que a velocidade indicada devia estar instável e que isso estava afetando o piloto automático de alguma forma, então ele gritou: "Velocidade instável, Vlad".

“Velocidade do ar não confiável”, repetiu Kharlamov.

“Diga a ele que a velocidade do ar não é confiável”, instruiu Bulavko.

Kharlamov tentou informar ao controlador de Domodedovo sobre a velocidade aérea não confiável, mas, em meio ao estresse da situação, esqueceu-se de trocar de rádio e transmitiu a chamada para Tretyakovo. Ao fundo, Domodedovo tentava contatá-los repetidamente, sem obter resposta.

Nesse momento, Bulavko estava executando os procedimentos de memória de velocidade não confiável. Ele havia se certificado de que o piloto automático e o acelerador automático estavam desconectados, havia assumido o controle da trajetória de voo e agora aumentava a potência para o regime de subida, tentando atingir 10 graus de inclinação. Até então, ele estava seguindo todos os procedimentos corretamente, exceto que, com seus comandos aparentemente razoáveis ​​no manche lateral, não conseguia atingir os 10 graus de inclinação. 

Na verdade, mal conseguia elevar o nariz da aeronave acima da linha do horizonte. O procedimento de memória de velocidade não confiável não fornecia nenhuma orientação para a tripulação seguir caso essas ações não estabilizassem a trajetória de voo.

A velocidade do ar não era, de fato, o problema, mas, considerando a discrepância anterior na velocidade e as mensagens de "NAV ADS DISAGREE", era uma suposição relativamente razoável. Essa suposição foi ainda corroborada pelo aparecimento repentino de uma mensagem "NAV ADS 3 FAULT" no EWD, acionada pela rejeição do ADS 3. Os pilotos não tentaram executar o procedimento associado a essa mensagem, mas teria sido uma perda de tempo de qualquer forma — o procedimento consistia apenas em desligar o ADS defeituoso.

“Olha o verde…”, Kharlamov começou a dizer. “Olha! Ah, olha, nós temos…”

“É preciso aumentar o ângulo de ataque”, observou Bulavko com perspicácia.

Trajetória de voo anotada, parte 5: Os últimos 100 segundos (MAK)

Isso finalmente levou Kharlamov a olhar para o pequeno indicador de ângulo de ataque em seu visor. Esse instrumento normalmente não é usado, exceto em situações como essa, então não é surpreendente que ninguém tenha pensado em verificá-lo até agora. Mas quando ele o verificou, percebeu, para sua surpresa, que estava mostrando um ângulo de ataque alto. "Olha, olha qual é o ângulo de ataque!", exclamou ele.

De acordo com o procedimento QRH para Velocidade Não Confiável, o piloto deve aumentar a potência e manter a altitude se o ângulo de ataque for maior do que o comandado. O Capitão Bulavko seguiu fielmente essa recomendação, aumentando ainda mais a potência.

Neste ponto, os pilotos de sofá podem começar a apontar que, com a inclinação próxima ao horizonte e a aeronave em voo nivelado, um ângulo de ataque elevado é impossível e que Bulavko deveria ter reconhecido isso. No entanto, acredito que eventos anteriores e os próprios procedimentos o levaram a presumir que era a velocidade que estava com defeito. 

Nada em seu treinamento o havia levado a crer que um ângulo de ataque impreciso devido a mais de um ADS (Sistema de Direção Automática) simultâneo fosse sequer possível, nem os procedimentos disponíveis a ele previam tal possibilidade. Assim, em uma situação de alto estresse, faz sentido que seu primeiro instinto tenha sido tentar aplicar o procedimento que conhecia. Isso também explica por que ele não tentou usar toda a autoridade do manche lateral para atingir 10 graus de inclinação.

É claro que aumentar a potência do motor acima da velocidade de subida em uma aeronave quase vazia em voo horizontal fará com que a velocidade dispare muito rapidamente. De fato, segundos após o aumento de potência, a velocidade ultrapassou 300 nós e atingiu VMO, acionando a proteção contra alta velocidade do SSJ-100. Às 14:58:22, os freios aerodinâmicos começaram a ser acionados automaticamente e uma voz robótica começou a anunciar: “EXCESSO DE VELOCIDADE!”

O capitão Bulavko respondeu imediatamente reduzindo a potência, interrompendo a aceleração. A velocidade caiu abaixo da VMO, os freios aerodinâmicos foram recolhidos e a aeronave iniciou uma subida muito suave, graças aos comandos contínuos de Bulavko para cima.

Ainda tentando entender o que estava acontecendo, o primeiro oficial Kharlamov gritou novamente: "Olhem, estamos com um ângulo de ataque muito alto."

Bulavko respondeu novamente aumentando a potência do motor, de acordo com o procedimento de velocidade aerodinâmica pouco confiável. Ao mesmo tempo, ele quebrava a cabeça em busca de alguma resposta. "Talvez — [ininteligível], porque o modo está correto, então..."

“Então, é, veja bem, isto é…”, Kharlamov começou a dizer.

De repente, a resposta atingiu Bulavko como um raio. "O sensor de ângulo de ataque não está funcionando ou algo assim?", perguntou ele.

“Sim, e geralmente não [ininteligível]…”, disse Kharlamov.

Dados de voo dos últimos 136 segundos. Esses dados são muito úteis para entender a
última parte do voo, se você dedicar um tempo para analisá-los com atenção (MAK)

Naquele exato momento, a velocidade do ar ultrapassou novamente a VMO devido ao aumento de potência de Bulavko, acionando mais uma vez as proteções contra alta velocidade. O alerta de SOBREVELOCIDADE começou a soar e os freios aerodinâmicos começaram a se estender. No entanto, a aeronave não diminuiu a velocidade, fazendo com que a proteção contra alta velocidade comandasse uma deflexão cada vez maior dos freios aerodinâmicos. Em segundos, os freios aerodinâmicos foram totalmente acionados, interrompendo drasticamente o fluxo de ar sobre ambas as asas. O MAK calcularia posteriormente que a sustentação produzida pelas asas foi reduzida em 67 a 68%.

Como era de se esperar, essa enorme perda de sustentação fez com que o avião iniciasse uma descida. O capitão Bulavko reagiu imediatamente, movendo o manche lateral totalmente para trás, mas o avião não respondeu.

Os motivos para isso foram dois. O primeiro é que os freios aerodinâmicos produzem um momento de inclinação para cima ao se estenderem, o qual a proteção contra alta velocidade contraria adicionando um componente de redução de inclinação ao sinal de comando do profundor. Isso contrabalançou parcialmente o comando de inclinação para cima de Bulavko, mas foi um fator transitório.

O segundo motivo era mais insidioso. O fato é que o ângulo de trajetória de voo estava diminuindo — e como o ângulo de ataque é igual ao ângulo de inclinação menos o ângulo de trajetória de voo, o ângulo de ataque necessariamente aumentou, mesmo que o ângulo de inclinação não tenha mudado. Ao mesmo tempo, o valor do limite de alfa estava diminuindo de 9 graus para cerca de 8,5 devido ao aumento do número de Mach da aeronave. 

Além disso, como mencionei na Parte 3, a função de proteção do ângulo de ataque do SSJ-100 nem sempre permite que o ângulo de ataque atinja o limite de alfa, com a margem exata dependendo de certas condições dinâmicas não especificadas. O resultado de todos esses fatores foi que o ângulo de ataque errôneo aumentou para um valor de 7 a 7,4 graus e, em seguida, parou abruptamente. A função de limitação do ângulo de ataque não apenas impediu que o ângulo de ataque atingisse o limite de alfa, como também não permitiu que atingisse o limite inferior de alfa. No entanto, mesmo que o ângulo de ataque tivesse atingido o limite de alfa, isso não teria sido suficiente para interromper a descida.

Com o ângulo de ataque (AOA) já fixado no valor máximo permitido, o comando de inclinação total para cima do Capitão Bulavko no manche lateral foi bloqueado pela função de limitação de AOA e não teve efeito algum. O avião continuou a inclinar-se cada vez mais para a frente, seguindo sua própria trajetória de voo em um ciclo de feedback mortal e imparável.

Este trecho de dados de voo ilustra de forma muito útil como o ângulo de inclinação acompanhou
o ângulo da trajetória de voo com um ângulo de ataque quase constante (MAK)

Enquanto o voo 9608 acelerava em direção ao solo, o Capitão Bulavko puxou as manetes de potência para a posição de marcha lenta, mas isso não surtiu efeito, então ele as empurrou para a posição TOGA (potência máxima de sobrevelocidade). 

O aviso de excesso de velocidade soou continuamente e a velocidade continuou aumentando muito além da VMO (velocidade máxima de sobrevelocidade). Em segundos, ele retornou as manetes de potência para a posição de marcha lenta, mas seus esforços desesperados foram inúteis. Descendo a 3.400 pés, o sistema de alerta de proximidade do solo começou a emitir um alarme sonoro: “TERRAIN AHEAD! TERRAIN AHEAD! PULL UP! AVOID TERRAIN! WHOOP WHOOP, PULL UP!”

“Pull up! Pull up, pull up!”, gritou Kharlamov.

“Pull up, Vlad!", gritou Bulavko. "Que diabos é isso!?"

Kharlamov puxou freneticamente seu próprio manche lateral para cima, mas isso não surtiu efeito.

Presos a bordo de um avião que se transformara numa máquina de matar, os pilotos viram a face da morte erguer-se diante deles. A morte não era uma figura encapuzada com uma foice, mas uma colcha de retalhos de campos e florestas. A morte estava nas folhas, nos galhos e nos prados, e sua mão estendia-se, empurrando o avião inexoravelmente para baixo, esmagando suas tentativas desesperadas de se afastar. É difícil compreender o terror que se deve sentir ao ver o chão se aproximando, ao puxar o manche com toda a força, apenas para não receber nenhuma resposta do avião, como se estivesse preso num pesadelo. Mas não era um sonho.

Às 14h59min16s, o voo 9608 da Gazpromavia colidiu com uma floresta a oeste da vila de Apraksino, viajando a uma velocidade de 365 nós, com o nariz inclinado 25 graus para baixo e a aeronave inclinada 25 graus para a direita. O avião atingiu o topo de várias árvores, cortou a folhagem e se chocou contra o solo com tremenda força. Pequenos pedaços do que segundos antes fora um SSJ-100 explodiram para fora, espalhando-se pela floresta em chamas e sendo consumidos pelo fogo.

Os três ocupantes morreram instantaneamente com o impacto.

Local da queda do voo 9608 da Gazpromavia (MAK)

◊◊◊

Parte 5: Depois da Queda

Ao longo de sua investigação de um ano, o MAK reconstruiu o ângulo de ataque (AOA), a velocidade e a altitude reais durante todo o voo; testou inúmeros cenários de instalação de sensores de AOA; entrevistou dezenas de pessoas; desenvolveu um modelo matemático do voo; realizou voos simulados em uma plataforma de testes de aeronaves não tripuladas; estudou as reações de pilotos reais; e muito mais. 

Concluíram que a causa provável do acidente foi a violação dos procedimentos do manual de manutenção para a instalação dos sensores de AOA, o que levou a valores errôneos semelhantes de AOA em dois dos três sistemas de dados aéreos. Isso, por sua vez, resultou na ativação simultânea da função de limitação de AOA e da função de proteção contra alta velocidade, um cenário que jamais deveria ter ocorrido em voo. As ações da tripulação foram consideradas razoáveis; eles seguiram os procedimentos padrão e se comunicaram claramente entre si.

Peças recuperadas do RA-89049, dispostas em um hangar (MAK)

Os investigadores recuperaram uma parte da sobreposição do sensor AOA direito ainda presa a um pedaço do lado esquerdo da fuselagem, com as marcas na sobreposição e na fuselagem ainda alinhadas, provando não só que as sobreposições tinham sido trocadas, como também confirmando a insistência dos técnicos de que tinham alinhado as marcações.

A MAK observou que o acidente poderia ter sido evitado se a MOC tivesse documentado e etiquetado corretamente as sobreposições para garantir que fossem reinstaladas nos locais corretos e se tivesse solicitado inspeções após a conclusão do trabalho. Numerosas discrepâncias foram identificadas nos registros e operações da instalação, sugerindo que os padrões estavam sendo negligenciados.

O MAK evitou, em grande parte, criticar o projeto das sobreposições, exceto na medida em que apontar, de forma sucinta, a possibilidade de instalação incorreta constitui uma crítica. A investigação também recomendou que todas as operadoras implementassem um boletim de serviço, publicado pela UAC após o acidente, que descreve as alterações no projeto das sobreposições para evitar instalações incorretas. 

No entanto, ainda me pergunto: quão difícil poderia ter sido projetar as sobreposições de forma que elas não coubessem em nenhum outro lugar além do local de instalação pretendido? Acho que, em algum momento durante o processo de projeto, houve uma falha de imaginação, mas talvez nunca saibamos onde ou por quê.

Quanto à possibilidade de a tripulação ter evitado o acidente, a resposta foi "sim, mas na verdade não". De modo geral, constatou-se que a aeronave permaneceria controlável desde que a velocidade não excedesse a VMO e a função de proteção contra alta velocidade não fosse ativada. No entanto, isso era mais fácil dizer do que fazer.

Os testes realizados utilizando o modelo matemático do voo, bem como voos de teste executados por pilotos de teste e instrutores treinados na plataforma de testes da UAC, revelaram o seguinte:

• Se, no momento em que o Capitão Bulavko disse "velocidade não confiável" às 14:58:00, a tripulação tivesse aplicado os procedimentos de memória para velocidade não confiável nesta fase do voo, que consistiam em estabelecer uma inclinação de 10° com as manetes de potência no regime de subida, então a aeronave teria iniciado uma subida sem exceder a VMO (velocidade máxima de subida). Uma inclinação de 10° era alcançável com a deflexão total do manche para trás por 8 segundos, embora isso fosse muito mais do que o normalmente necessário, e, na realidade, Bulavko nunca conseguiu atingir esse valor. Este cenário exige que os pilotos não sigam a recomendação de aumentar a potência se o ângulo de ataque (AOA) estiver muito alto.
• Se, às 14:58:00, a tripulação tivesse tentado estabilizar a trajetória de voo usando a tabela de inclinação/ângulo de ataque/potência do QRH, que, para a configuração, peso e altitude da aeronave, exigia 63% de potência e comandos no manche lateral conforme necessário para estabilizar a altitude, então a aeronave teria permanecido em voo nivelado ou em uma leve subida sem exceder a VMO. Este cenário também exige que os pilotos não sigam a recomendação de aumentar a potência se o ângulo de ataque estiver muito alto.
• Se, a partir das 14h58min02s, os pilotos tivessem deixado o empuxo do motor inalterado e realizado os mesmos comandos de inclinação que na realidade, resultando nas manetes de potência permanecendo em baixa potência, a aeronave teria iniciado uma subida e não teria ultrapassado a VMO (velocidade máxima de subida). O limite de alfa (alfa floor) eventualmente se ativaria para aumentar o empuxo. No entanto, este cenário é puramente demonstrativo e não representa uma ação que os pilotos provavelmente tomariam.
• Se, a partir das 14h58min22s, quando o aviso de excesso de velocidade soou, ambas as manetes de potência fossem reduzidas à marcha lenta com os comandos necessários para evitar exceder a VMO (velocidade máxima de voo), a aeronave eventualmente manteria um voo reto e nivelado muito próximo, mas não acima, da VMO. Este cenário pressupõe, mais uma vez, que os pilotos não sigam a recomendação de aumentar a potência se o ângulo de ataque (AOA) estiver muito alto. Também pressupõe que os pilotos considerem a velocidade indicada como confiável.
• Se, após a falha do piloto automático em gerar subida, os pilotos tivessem mudado para o Modo Direto desligando todos os ADSs, a aeronave teria permanecido controlável e o voo horizontal poderia ter sido mantido. No entanto, nenhum procedimento previa a mudança para o Modo Direto tão cedo.
• Se, após atingir a posição de flaps 0, os pilotos tivessem controlado o empuxo de forma a evitar exceder a VMO em voo horizontal, seria possível manter o voo nivelado apenas com deflexão contínua do manche para trás.
• Após o piloto automático se desconectar, enquanto Bulavko mantinha o manche totalmente para trás, se ele tivesse instruído Kharlamov a mudar o sistema de controle de voo para o Modo Direto, a aeronave teria arrebentado com um fator de carga de 6 Gs, resultando em falha estrutural. Isso ocorre porque, no Modo Direto, o manche está diretamente ligado às superfícies de controle, sem feedback de força, e não há proteção contra altas forças G. Se os pilotos quisessem mudar para o Modo Direto em algum momento durante os últimos 80 segundos do voo, teriam que aliviar o manche ao fazer a mudança, permitindo que o avião entrasse em um mergulho antes de se recuperar no Modo Direto.

Distribuição dos destroços após o acidente (MAK)

Todos esses eram resultados possíveis; a maioria era boa, alguns melhores que outros, e um era catastrófico. Mas o problema com esses resultados é que eles foram simulados por pilotos de teste e instrutores experientes, com conhecimento prévio do cenário do acidente. A questão de o que uma tripulação real faria é respondida, creio eu, pelo próprio Bulavko e Kharlamov. 

Ao longo do voo, suas ações foram baseadas em seu treinamento e no conteúdo do procedimento de velocidade não confiável, que seu treinamento e o QRH os levaram a acreditar ser apropriado. Os pilotos de teste que simularam o cenário concordaram que a maioria das tripulações interpretaria a situação anormal como um evento de velocidade não confiável e tomaria medidas com base nessa suposição. Eles acreditavam que muitas tripulações eventualmente aumentariam a potência do motor, levando a uma ultrapassagem da VMO, ativação da proteção de alta velocidade e uma descida irrecuperável.

Para comprovar um ponto, o MAK realizou testes em um simulador de voo usando pilotos de companhias aéreas que operam o SSJ-100 em toda a Rússia. O simulador não era capaz de simular a falha de dois sensores de ângulo de ataque (AOA), então o MAK simulou a falha de dois sensores de velocidade do ar e mediu quanto tempo os pilotos levavam para concluir o procedimento de velocidade instável e mudar para o Modo Direto. Eles descobriram que, em média, isso levava mais de 7 minutos desde o momento em que os pilotos identificavam o problema com a velocidade instável. O voo completo do RA-89049, da decolagem ao impacto, durou menos de 6 minutos.

No voo 9608, os pilotos não tiveram a oportunidade de solucionar o problema adequadamente, pois não conseguiram estabilizar a trajetória de voo. Durante o breve voo, eles experimentaram 22 alertas intermitentes de "NAV ADS DISAGREE" (discordância entre os sistemas de navegação e direção), falha do piloto automático em responder aos comandos do painel de controle de voo, falta de resposta normal da aeronave aos comandos do manche lateral e valores de ângulo de ataque e velocidade que não correspondiam entre si. Esses problemas não estavam previstos em nenhum procedimento. 

Quando os pilotos perceberam que algo estava seriamente errado, tinham menos de um minuto para identificar a natureza de uma situação nunca antes enfrentada, desenvolver de forma independente uma possível solução e executá-la antes que a situação se tornasse irrecuperável. De fato, apesar da completa ausência de treinamento ou procedimentos relevantes, os pilotos identificaram um problema no sensor de ângulo de ataque como a causa de suas dificuldades apenas 55 segundos após o primeiro contato de Kharlamov informando que algo estava errado. Infelizmente, a essa altura já era tarde demais.

Autoridades examinam o local do acidente (Alexander Grechishev)

O voo 9608 está longe de ser o único exemplo de uma complexa "cascata" de sistemas se desenrolando mais rápido do que o piloto consegue interpretar razoavelmente o que está acontecendo. A solução normal é desenvolver indicadores confiáveis ​​do início da emergência e um procedimento contendo ações corretivas. Mas, em casos como este, essa não é realmente uma resposta viável.

Durante o projeto do SSJ-100, e presumo que de todas as outras aeronaves de transporte já fabricadas, a falha simultânea e simétrica de dois sensores de ângulo de ataque (AOA), de forma a fornecer dados de AOA consistentemente falsos ao sistema fly-by-wire, foi considerada “extremamente improvável”, com uma probabilidade inferior a 1 em 1 bilhão por hora de voo. Consequentemente, a UAC não foi obrigada a criar um procedimento para que as tripulações identificassem ou respondessem a tal falha. Além disso, fazê-lo seria impraticável, pois pequenas diferenças na natureza do evento desencadeador, seja uma instalação incorreta ou outro fator, podem ter efeitos drasticamente diferentes e imprevisíveis no desenvolvimento da situação — a “cascata”.

Vale ressaltar que esse tipo de avaliação normalmente não considera a possibilidade de erros de manutenção.A probabilidade de um mecânico trocar as películas de proteção acidentalmente era consideravelmente maior que 1 em 1 bilhão, e o resultado foi que o supostamente impossível aconteceu. 

Abordei outro caso de valores de ângulo de ataque (AOA) simétricos e errôneos simultâneos, também causado por um erro de manutenção, em meu artigo sobre o voo 888T da XL Airways Germany; nesse caso, uma equipe de pintura violou o manual de manutenção e usou uma mangueira de incêndio para lavar um A320 e remover poeira, fazendo com que a água entrasse nos sensores de AOA, que então congelaram ao atingir a altitude de cruzeiro, travando ambas as palhetas primárias de AOA na posição neutra. No voo 888T, o sistema fly-by-wire também rejeitou o único sistema de dados aéreos que estava fornecendo informações corretas.

Em todo caso, voltando ao tópico de como lidar com falhas em cascata em uma aeronave moderna e complexa, especialistas na vanguarda da segurança da aviação estão abordando essa questão neste exato momento. Não existe uma solução universal fácil, pelas razões que já expliquei. Uma técnica ensina os pilotos a desligarem parte ou toda a automação, incluindo os computadores de voo e os computadores de dados aéreos, se necessário, e retornarem ao controle puramente manual, com manche e pedais. Isso às vezes é eficaz, mas nem sempre, como ilustrado pelo cenário hipotético do MAK em que a tripulação muda para o Modo Direto e desintegra instantaneamente a aeronave.

Acredito que a seguinte citação de um artigo de 2021 da Wired, escrito pelo investigador de acidentes e capitão de avião Shem Malmquist*, ilustra muito bem a questão:

“Centenas de outros desafios imprevistos relacionados à automação podem surgir e não podem ser previstos usando métodos tradicionais de análise de risco… Uma solução eficaz precisa ir além das limitações dos projetistas de aeronaves, que são incapazes de criar o jato perfeito à prova de falhas. Como destaca o Capitão Chesley Sullenberger, a automação nunca será a solução para todas as situações inéditas e imprevistas durante o treinamento.”

*Nota: O artigo completo de Malmquist é útil para contextualizar este acidente; você pode lê-lo clicando aqui.

Malmquist prossegue destacando que os pilotos de hoje frequentemente relatam saber menos sobre o funcionamento de suas aeronaves do que sabiam no passado. Isso restringe a capacidade dos pilotos de pensar em possíveis razões para o comportamento anormal do sistema e desenvolver possíveis soluções para cenários que não estão descritos em nenhuma lista de verificação. 

Na opinião de Malmquist, a melhor maneira de reduzir a ocorrência desses tipos de acidentes égarantir que os pilotos tenham um conhecimento mais profundo e abrangente dos sistemas automatizados que controlam aeronaves modernas.— não apenas o que é tradicionalmente considerado “automação”, como pilotos automáticos e aceleradores automáticos, mas também os sistemas que funcionam em segundo plano, como a lógica de consolidação de dados aéreos e os componentes de sinal de comando do profundor. Tudo o que a tripulação do voo 9608 precisava era da capacidade de reconhecer um problema no sensor de ângulo de ataque 20 segundos antes, e eles poderiam ter saído ilesos do caos.

◊◊◊

Um motor queima no local do acidente (Aviationbrk)

Em última análise, a queda do voo 9608 da Gazpromavia foi um acidente complexo causado por múltiplos problemas interligados. Alterar o projeto da sobreposição do sensor de ângulo de ataque (AOA) do SSJ-100 foi uma medida útil e necessária, que teria evitado este acidente em particular, mas a história vai muito além do projeto da aeronave. É um estudo de caso que destaca a necessidade de repensar algumas das premissas atuais sobre como os pilotos são treinados para interagir com sistemas automatizados. 

Afinal, as únicas falhas foram dois pontos de dados incorretos; fora isso, todos os sistemas da aeronave operaram conforme o projeto e a tripulação seguiu os procedimentos para os quais havia sido treinada, mas o avião ainda caiu porque houve uma discrepância entre o escopo dos procedimentos disponíveis e a verdadeira gama de problemas possíveis. Como já enfatizei, não existe uma solução puramente procedimental para essa questão. Resta saber como a indústria da aviação continuará a se adaptar aos riscos representados pela crescente complexidade das aeronaves altamente automatizadas.

De uma perspectiva completamente diferente, o acidente também destaca como as sanções aumentaram o nível de risco inerente à indústria aeronáutica russa. As sanções não causaram o acidente, mas aumentaram a probabilidade de erros de manutenção, impossibilitando a adoção de práticas normalmente utilizadas para garantir que os sensores de ângulo de ataque (AOA) fossem sempre reinstalados no mesmo local de onde foram retirados. A abordagem de "corrente humana" adotada pelo Ministério da Aviação Civil (MOC) e pela Gazpromavia exigia que a equipe de manutenção tomasse medidas adicionais de mitigação de riscos, como etiquetar os sensores após removê-los da aeronave. No entanto, os técnicos não compreenderam as potenciais consequências da "solução" proposta por seus gerentes para a escassez de peças de reposição, e essas precauções não foram tomadas.

Este cenário de acidente também inclui aspectos únicos que podem ser novidade para alguns pilotos. Uma das várias razões pelas quais passei um mês e meio traduzindo o relatório do acidente e escrevendo este artigo foi para aumentar a conscientização sobre o que aconteceu naquele dia sobre a Rússia, não porque eu acredite que a mesma coisa vá acontecer novamente, mas porque estudá-la é instigante e potencialmente útil. Sei que alguns pilotos estão lendo isto, e ficaria muito honrado se eles se perguntassem: o que eu faria nesta situação, sabendo apenas o que Bulavko e Kharlamov fizeram? Meus amigos pilotos de linha aérea se fazem esse tipo de pergunta o tempo todo, e acho que esta é valiosa.

Acredito que haja um grupo específico de leitores que possa se incomodar com a ideia de que os pilotos devam sequer pensar nisso, simplesmente porque a suposta causa raiz foi a falha da UAC em projetar uma instalação de sensor de ângulo de ataque (AOA) que cumprisse adequadamente o espírito das regulamentações aplicáveis. 

No entanto, como Malmquist aponta, as análises probabilísticas de risco que os fabricantes usam para estimar o fator de segurança em cada sistema da aeronave não são nem de perto 100% eficazes para capturar todos os cenários de falha possíveis; não apenas porque os métodos de análise são projetados por humanos que cometem erros, mas porque os métodos existentes nem sempre conseguem capturar a "cascata". E isso antes mesmo de considerarmos o fato de que, para um tipo de aeronave muito utilizada, a probabilidade de um evento com probabilidade de 1 em 1 bilhão ocorrer eventualmente é bastante alta — considere, por exemplo, a frota de A320, cujas mais de 330 milhões de horas de voo totais significam que a probabilidade de um determinado evento com probabilidade de 1 em 1 bilhão por hora de voo já ter ocorrido em algum lugar da frota é teoricamente de cerca de 1 em 3.

O gravador de dados de voo danificado do voo 9608 (MAK)

A questão é que esses eventos ocasionalmente acontecem e continuarão acontecendo, mesmo que alguns fabricantes se mostrem mais escrupulosos do que outros. E para os pilotos que precisam voar em aviões modernos diariamente, existe um interesse compreensível em aprender sobre esses eventos para desenvolver novas técnicas e estratégias, mesmo que seja apenas por um senso de obrigação profissional ou até mesmo de autopreservação.

Não sou piloto, apenas um contador de histórias muito obcecado que conhece muitos pilotos, então, no fim das contas, o que eles farão com essa história é problema deles. Quanto a todos os outros, espero que tenham achado essa história tão fascinante quanto eu. O voo 9608 da Gazpromavia não foi um acidente amplamente divulgado pela mídia internacional, nenhum passageiro ficou ferido e envolveu um tipo de aeronave construída e operada por empresas russas para transportar principalmente russos.

Mas a cascata transcende essas fronteiras. É um desdobramento de todos os sistemas complexos, visível apenas depois de cuidadosamente organizada em uma série de registros temporais segundo a segundo, revelando os processos que mergulharam a tripulação em um terror e confusão inimagináveis. Nenhum evento como esse é exatamente igual a outro, e nem todos tentarão matar os ocupantes com a mesma intensidade que este — mas alguns tentarão, e essas são as histórias que permanecem conosco muito depois das chamas se extinguirem.

Edição de texto e imagens por Jorge Tadeu da Silva (Site Desastres Aéreos) com Admiral Cloudberg