Aconteceu em 11 de novembro de 2018: Voo Air Astana 1388 - Pilotando o avião impossível de voar

No dia 11 de Novembro de 2018, três pilotos prepararam-se para transportar um jacto regional pertencente à companhia aérea cazaque Air Astana de regresso a casa após uma ronda de manutenção pesada em Portugal. Mas quase assim que o Embraer ERJ-190 descolou de Lisboa, os pilotos foram lançados numa emergência de pesadelo diferente de tudo o que alguma vez tinham imaginado. O avião deles havia se tornado incontrolável, rolando descontroladamente em direções aparentemente aleatórias, virando de cabeça para baixo, mergulhando em direção ao solo a uma velocidade tremenda, apenas para arrancar e começar a mesma viagem de montanha-russa novamente. Confrontados com uma catástrofe quase certa, os pilotos fizeram um pedido assustador: que lhes fossem fornecidos vectores sobre o oceano, para que as pessoas em terra não corressem perigo.

E, no entanto, mesmo enquanto lutavam para afastar o avião das áreas povoadas, a tripulação se recompôs e, lenta mas seguramente, começou a entender aquela loucura. Ao conhecerem os caprichos do seu avião profundamente avariado, conseguiram recuperar o controlo e, após duas horas e duas aproximações falhadas, o voo 1388 da Air Astana aterrou inteiro na pista de Beja, Portugal, salvando a vida de todas as seis pessoas a bordo. Foi uma peça lendária de voo, que provavelmente será lembrada por décadas. Mas o que fez com que o avião voasse tão fora de controle? No final, os investigadores portugueses descobririam uma série de falhas de design, decisões erradas e erros de procedimento que levaram o avião a partir para o Cazaquistão com os seus ailerons ligados ao contrário.

◊◊◊

Tripulantes da Air Astana posam em frente a um dos E-Jets da Embraer da companhia aérea

Em 2003, com a segunda companhia aérea do país desde a independência mais uma vez à beira da falência, o Cazaquistão decidiu tentar uma nova abordagem, associando-se ao empreiteiro de defesa britânico BAE Systems para iniciar uma nova companhia aérea sob nova gestão. 

A propriedade da nova transportadora, batizada de Air Astana, foi dividida entre o fundo soberano do Cazaquistão, que detinha o controle acionário de 51%, e a BAE Systems, que detinha o restante; da mesma forma, a sua gestão superior consistia numa mistura de cidadãos cazaques e britânicos. 

Apesar das suas origens incomuns, a Air Astana posicionou-se como a transportadora de bandeira de fato do Cazaquistão em 2005 e hoje é uma das companhias aéreas mais lucrativas do mundo. Está também entre as mais seguras: nunca sofreu um acidente fatal e durante os primeiros 13 anos da sua existência foi a única companhia aérea do Cazaquistão autorizada a voar para a União Europeia.

P4-KCJ, a aeronave envolvida no acidente (Damir Kagarmanov)

Entre 2011 e 2020, a Air Astana operou nove jatos regionais Embraer E190 de fabricação brasileira, capazes de transportar até 97 passageiros em rotas domésticas mais curtas. Estes jactos de curto alcance normalmente não voavam para a Europa, exceto quando necessitavam de grandes manutenções. A Air Astana não possui oficina própria capaz de realizar manutenção pesada nos jatos da Embraer, nem nenhuma outra empresa no Cazaquistão, portanto este trabalho foi e ainda é contratado por empresas de manutenção certificadas na União Europeia.

No outono de 2018, um dos E190 da Air Astana, o Embraer ERJ-190LR (ERJ-190-100 LR) prefixo P4-KCJ – registrado na ilha caribenha holandesa de Aruba para fins fiscais – venceu uma verificação C programada, uma rodada de manutenção pesada e inspeções que todo avião deve passar aproximadamente uma vez por ano. Para este efeito, a Air Astana tinha em vigor um contrato de longo prazo com uma empresa de manutenção portuguesa estabelecida chamada OGMA Indústria de Portugal SA, ou OGMA, abreviadamente, que possuía aprovação da Agência Europeia para a Segurança da Aviação para realizar manutenções pesadas e inspeções em aeronaves Embraer.

No dia 2 de outubro de 2018, o P4-KCJ foi transportado para a base aérea de Alverca do Ribatejo, perto de Lisboa, Portugal, um campo de aviação militar que também acolhe várias empresas de manutenção civil, incluindo a OGMA. De acordo com o contrato entre a Air Astana e a OGMA, permaneceria lá até 24 de outubro enquanto os técnicos realizavam o C-check e colocavam o avião em conformidade com os últimos boletins de serviço emitidos pelo fabricante.

Os boletins de serviço são o principal meio de um fabricante de aeronaves divulgar atualizações e alterações de projeto diretamente aos operadores. Alguns boletins de serviço são opcionais; outros podem ser exigidos, dependendo da posição das autoridades reguladoras relevantes, mas é considerada uma boa prática cumprir todos eles, quer sejam exigidos ou não, e essa era a intenção da Air Astana.

O conjunto de polia original versus o novo suporte sem contato (GPIAAF e Embraer)

Entre os boletins de serviço a serem implementados no P4-KCJ estavam o SB-190–57–0038R2 e o SB-190–27–0037R1, que diziam respeito ao sistema de controle de aileron do Embraer E190.

Os ailerons do E190, que controlam o rolamento, são operados por um sistema tradicional de cabos e polias que transmitem os comandos do piloto diretamente aos atuadores hidráulicos. O primeiro dos dois boletins de serviço abordou relatos de atrito excessivo do cabo em torno de uma polia de suporte, orientando que a polia fosse substituída por um suporte sem contato, conforme mostrado acima. O segundo boletim orientava que os cabos de aileron de aço inoxidável fossem substituídos por cabos de aço carbono, mais resistentes ao desgaste.

Devido ao design do novo suporte de cabo sem contato, que apresentava um circuito fechado, a única maneira de completar o boletim de serviço era desconectar os dois cabos do aileron, instalar o suporte e, em seguida, passar os dois cabos de volta por ele. Depois de executar as duas primeiras etapas, porém, os técnicos descobriram que recolocar os cabos não era tão simples quanto parecia.

◊◊◊

Como funcionam os ailerons (FAA)

A forma como os ailerons induzem a rotação é aumentando a sustentação em uma asa e, ao mesmo tempo, prejudicando a sustentação na outra. Para conseguir isso, o aileron da asa “para cima” gira para baixo, aumentando a sustentação, enquanto o aileron da asa “para baixo” gira para cima, diminuindo a sustentação. 

Portanto, cada aileron possui dois cabos: um que o move para cima e outro que o move para baixo, com a direção do movimento dependendo de qual cabo está tensionado.

Diagrama completo do sistema de controle de aileron do E190, com a
área onde ocorreu o erro circulada em vermelho. (GPIAAF e Embraer)

O problema com a remontagem do sistema de controle do aileron do E190 era que os cabos “para cima” e “para baixo” em cada asa eram idênticos e seu roteamento era extraordinariamente complexo. Na seção mais externa do lance de cabos nas asas, a orientação dos cabos em relação um ao outro mudou duas vezes, de vertical - um cabo acima do outro - para horizontal - um cabo próximo ao outro - e de volta para vertical novamente, como mostrado no diagrama acima, retirado do manual de manutenção da Embraer. Se você acha que o diagrama não está claro, você não estaria sozinho. 

Embora fosse apenas um dos muitos diagramas relacionados ao sistema de controle do aileron, a maioria dos outros não eram menos ambíguos quanto à orientação e posição exata dos cabos, e a única explicação definitiva estava contida no texto, que foi escrito em inglês técnico. . E talvez o mais crítico é que não explicou que, apesar da mudança de vertical para horizontal e de volta para vertical novamente, os cabos não deveriam se cruzar – o cabo que estava em cima no início deve permanecer em cima no final, mesmo embora não esteja claro qual deles está “em cima” no meio, onde eles correm lado a lado.

A imagem inserida mostra como os cabos foram encontrados no
 avião após o acidente, com os cabos se cruzando (GPIAAF)

Foi aqui que ocorreu o erro crítico: durante a reinstalação no dia 11 de outubro, os técnicos cruzaram inadvertidamente os cabos em ambas as alas, conectando os cabos “para cima” aos acessórios “para baixo” nas unidades de controle de energia hidráulica, e vice-versa. Não havia marcações nos cabos que os pudessem distinguir, nem havia qualquer diferença de design que os impedisse de serem montados de forma errada. 

Segundo a Embraer, a principal garantia contra a troca dos cabos era o fato de nenhum procedimento exigir que eles fossem removidos ao mesmo tempo, garantindo que só houvesse uma maneira de recolocar o cabo removido. O SB-190–57–0038R2 não poderia ser realizado sem a remoção simultânea de ambos os cabos, pelo que este princípio básico de design foi violado, com o resultado previsível de que os técnicos da OGMA instalaram os cabos ao contrário.

No dia 17 de outubro, os técnicos concluíram a substituição dos cabos pelas versões em aço carbono. Seguindo o procedimento adequado, eles substituíram cada cabo, um de cada vez, garantindo que a configuração existente fosse mantida – apenas que a configuração estava errada e ninguém percebeu.

De acordo com o boletim de serviço, a substituição do cabo deveria ter sido seguida de um teste operacional imediato do sistema de controle do aileron. No entanto, o teste exigiu que o avião estivesse ligado, o que não foi possível naquele momento devido aos trabalhos em curso no seu sistema elétrico. Com isso, as verificações operacionais foram adiadas para o final do período de manutenção, inicialmente previsto para 24 de outubro, mas que já havia sido renegociado para 31 de outubro.

A representação das superfícies de controle durante um teste operacional, conforme mostrado na página sinótica. Observe que esta imagem mostra o movimento CORRETO do aileron e do spoiler (GPIAAF)

Em 25 de outubro, o avião foi ligado e os testes operacionais do sistema de ailerons começaram. Para realizar o teste, os técnicos de manutenção entraram na cabine e utilizaram o Sistema informatizado de Informações do Motor e Alerta da Tripulação, ou EICAS, para abrir a página “sinóptico de controle de voo”. Esta página inclui as etapas necessárias para realizar uma verificação completa de controle de todos os sistemas de controle e apresenta uma representação visual do avião e de todas as suas superfícies de controle, que aparecem como caixas verdes quando totalmente desviadas, conforme mostrado acima.

No entanto, o objetivo principal desta página é mostrar que a deflexão total é possível e não avisa diretamente o usuário se uma superfície de controle não estiver desviando na direção comandada. Na verdade, as caixas verdes apareceriam sempre que a deflexão total fosse alcançada, independentemente da direção – esperava-se simplesmente que o usuário soubesse qual resposta estava procurando.

Para entender o que os técnicos teriam visto na página sinótica e por que isso era significativo, devemos fazer uma breve tangente ao design do sistema de controle do E190 como um todo. Na maior parte, o E190 é uma aeronave fly-by-wire, com a maioria das entradas de controle transmitidas a computadores que modificam essas entradas de acordo com a velocidade no ar, posição dos flaps e outros parâmetros antes de acionar as superfícies de controle. 

Originalmente lançado pela Airbus na década de 1980, um sistema fly-by-wire traz benefícios como melhor manuseio, uma viagem mais confortável, menos falhas mecânicas e menor probabilidade de ações perigosas do piloto. Contudo, o E190 não é totalmente fly-by-wire: como mencionado anteriormente, seus ailerons ainda são acionados por cabos e polias conectados diretamente às rodas de controle dos pilotos. A moderação do computador nas entradas de rotação é, portanto, realizada não através dos ailerons, mas através dos spoilers multifuncionais do E190.

Os spoilers multifuncionais são painéis que podem ser implantados para reduzir a sustentação em uma asa específica. No E190, eles podem ser usados ​​para pressionar o avião contra o solo após o pouso (“ground spoilers”), para aumentar a taxa de descida na aproximação (“freios de velocidade”) ou para auxiliar na curva do avião (“roll spoilers”). 

Ao funcionar como roll spoilers, os painéis do spoiler aumentam o desempenho de rolagem ao serem implantados automaticamente apenas na asa “para baixo”, resultando em uma maior perda de sustentação naquele lado e, portanto, em uma taxa de rolagem mais alta. Como resultado, ao movimentar os ailerons, os roll spoilers devem aparecer na asa cujo aileron também está apontando para cima, e devem permanecer guardados na asa cujo aileron está apontando para baixo, conforme visto no diagrama anterior da página sinóptica.

Da esquerda para a direita: o que o manual de manutenção dizia que deveriam ver; O que realmente aconteceu; e o que a página sinótica teria realmente mostrado. Observe que apenas a representação do manual de manutenção à esquerda mostra o movimento nominal do aileron; as outras duas imagens mostram o movimento do aileron fora de sincronia com os spoilers devido aos cabos invertidos (GPIAAF e Embraer)

Os spoilers fazem parte do sistema fly-by-wire e são controlados por um computador baseado em leituras de sensores eletromecânicos de posição nas rodas de controle dos pilotos. Isso significa que o movimento dos roll spoilers sempre corresponderá à posição comandada do aileron, mesmo que os cabos invertidos façam com que os ailerons se movam de forma oposta à posição comandada. Nesse cenário, os spoilers seriam implantados na asa “para cima” em vez de na asa “para baixo”, fato que era visível de fora do avião e exibido na página sinóptica, conforme mostrado acima. 

Apesar da configuração incorreta, porém, as caixas na página sinóptica ainda ficariam verdes quando os ailerons e spoilers atingissem a deflexão total. Além disso, o manual de manutenção não explicava claramente que a presença de caixas verdes não era, por si só, suficiente para indicar que o teste operacional tinha sido aprovado. Conforme afirmado anteriormente, esperava-se que o usuário soubesse e reconhecesse quando os ailerons e spoilers estavam fora de sincronia. 

Mas embora possamos legitimamente assumir que os técnicos qualificados do E190 saberiam para que lado os ailerons e spoilers devem se mover, neste caso estaríamos enganados. Entre 25 e 31 de Outubro, as verificações operacionais foram, de facto, realizadas duas vezes por dois grupos distintos de pessoas, e nenhum deles percebeu o problema.

A localização e aparência dos quatro módulos de controle de voo (GPIAAF)

No entanto, a sequência de acontecimentos estava longe de terminar, porque mais tarde, no dia 31 de Outubro, durante os testes finais antes de devolver o avião à Air Astana, o EICAS emitiu uma importante mensagem de aviso: “FLT CTR NO DISPATCH”.

Como você já deve ter adivinhado, esta mensagem significava que havia um problema nos sistemas de controle de voo que impediria o despacho do avião. Contra-intuitivamente, porém, sua ativação foi uma coincidência – cabos de aileron invertidos não são uma das condições de disparo do aviso. De fato, os técnicos da OGMA realizaram alguns trabalhos estruturais que envolveram a remoção temporária de numerosos sistemas da baía de aviónica, incluindo os Módulos de Controlo de Voo (FCMs), os computadores que processam as entradas de controlo de voo para o sistema fly-by-wire. Como resultado, vários erros foram introduzidos, como pinos do conector encaixados incorretamente, que acionaram coletivamente o aviso FLT CTR NO DISPATCH. Portanto, antes que o avião pudesse ser devolvido à companhia aérea, os técnicos resolveram encontrar a causa ou causas do alerta e corrigi-las.

Cada vez que localizavam e corrigiam um erro, os técnicos precisavam executar um “retorno ao serviço”, ou procedimento RTS, para fazer com que o aviso desaparecesse. O estado da mensagem de alerta é armazenado na memória não volátil dos quatro FCMs, e a única forma de apagá-lo é completando o procedimento RTS, que inclui uma verificação operacional completa dos controles de voo. À medida que os pilotos movem os controles durante esta verificação, os FCMs realizam o que é conhecido como testes integrados contínuos, ou CBITs, para verificar a integridade do sistema. Mas cada vez que os técnicos realizavam as verificações operacionais, os CBITs falhavam e o aviso FLT CTR NO DISPATCH permanecia, forçando-os a voltar à prancheta.

Depois de vários dias solucionando esse problema, e com o avião já atrasado para ser devolvido à Air Astana, os técnicos ficaram sem pistas. Eles inspecionaram e testaram cada centímetro do compartimento de aviônicos e corrigiram todos os problemas que poderiam ter gerado o aviso FLT CTR NO DISPATCH, mas toda vez que realizavam o procedimento RTS, os CBITs falhavam e o aviso se recusava a ser apagado. Depois de terem certeza absoluta de que não havia mais falhas que pudessem estar acionando o aviso, eles começaram a suspeitar que a falha em ser eliminada era uma falha em si.

Na realidade, a resposta era muito mais simples: os testes incorporados (CBITs) exigiam que os controles se movessem na direção correta para passar, e como os ailerons estavam engatados ao contrário, os testes sempre falhariam, evitando que o aviso fosse emitido. sendo eliminado da memória não volátil dos FCMs. E ainda assim, apesar de dias de solução de problemas e numerosos testes de retorno ao serviço, ninguém notou ou entendeu que os ailerons estavam se movendo na direção errada.

A essa altura, os técnicos já haviam executado todos os procedimentos de solução de problemas do manual de manutenção – embora a verificação da instalação dos cabos do aileron não fosse um deles – então decidiram procurar a ajuda do fabricante. Em resposta, a Embraer enviou um representante técnico de Amsterdã, que chegou no dia 6 de novembro para agregar sua experiência aos esforços de solução de problemas.

Observe os seis pontos vermelhos e dois pontos verdes onde diz “NVM reset ready”. Isso significa que três dos quatro FCMs não concluíram com êxito os CBITs necessários para limpar a memória não volátil (GPIAAF)

Mais uma vez, alguém poderia pensar que um engenheiro da Embraer notaria que os ailerons estavam se movendo para trás, mas de alguma forma isso não aconteceu. Em vez disso, convencidos de que estavam a lidar com um problema de software, o engenheiro e os técnicos da OGMA começaram a testar a teoria de que um dos quatro Módulos de Controlo de Voo estava avariado e não conseguia limpar corretamente a mensagem de aviso da sua memória. 

Um possível defeito foi detectado no FCM1, mas a substituição desse FCM não resolveu o problema. O FCM2 foi então trocado por um FCM de outra aeronave, o FCM 3 foi substituído e as posições dos FCMs 1 e 4 foram trocadas, mas isso também não resolveu o problema. Finalmente, no dia 9 de novembro, o FCM 4 também foi substituído — e a mensagem desapareceu.

Obviamente, a razão pela qual o aviso FLT CTR NO DISPATCH desapareceu é porque ele foi armazenado na memória não volátil dos quatro FCMs originais e, depois que todos os FCMs foram substituídos, ele não estava mais lá. As discrepâncias que originalmente acionaram o aviso foram todas corrigidas, portanto não havia motivo para ele reaparecer. Em vez disso, os técnicos simplesmente encontraram uma brecha que lhes permitiu apagar a mensagem sem executar com êxito nenhum dos testes integrados destinados a verificar a integridade do sistema de controle. 

Esses testes continuaram a falhar mesmo após a substituição dos FCMs, e de fato na página sinóptica seis pontos vermelhos indicavam que os CBITs haviam falhado em três dos quatro FCMs (o quarto não estava conectado ao sistema de controle do aileron), mas havia não havia nada no manual que dissesse que o avião não poderia ser despachado naquela condição, desde que o aviso NO DISPATCH desaparecesse. No que lhes dizia respeito, então, o trabalho deles estava concluído.

◊◊◊

Da esquerda para a direita: Capitão Aushev, Primeiro Oficial Karasholakov e Primeiro Oficial Sokolov

Enquanto isso, no Cazaquistão, o capitão da Air Astana, Vyacheslav Aushev, tinha acabado de completar um voo de rotina quando recebeu uma missão surpresa. O capitão original que deveria voar P4-KCJ de Portugal já não estava disponível devido ao atraso, e Aushev foi escolhido para ocupar o seu lugar no dia 11 de novembro. A juntar-se a Aushev na viagem de Lisboa a Almaty via Minsk estariam os tripulantes de apoio originais, incluindo o primeiro oficial Bauyrzhan Karasholakov e um piloto de segurança, o primeiro oficial Sergey Sokolov. Nenhum deles era novo no E190, e Sokolov, em particular, era conhecido por seu amplo conhecimento de sistemas.

O capitão Aushev chegou a Lisboa no dia 10 de novembro, ajudou os primeiros oficiais a assinar a papelada do cheque C e organizou o plano de voo antes de passar a noite num hotel. No dia seguinte, ele estava de volta, fazendo os preparativos finais para retornar o avião ao serviço programado com a Air Astana. Após o arranque do motor, foram encontradas mais duas pequenas avarias, que os técnicos da OGMA rapidamente corrigiram. Os pilotos ligaram os motores novamente, revisaram as listas de verificação pré-voo e realizaram uma verificação de controle. Os controles moveram-se com total liberdade em todas as direções e a tripulação declarou as verificações concluídas. Talvez por pressa ou desatenção — mas certamente não por falta de conhecimento — eles também não perceberam que os ailerons estavam se movendo na direção errada.

Finalmente, pouco depois do meio-dia, o voo 1388 da Air Astana estava pronto para partir para a primeira etapa do voo para Minsk, na Bielorrússia. Os três pilotos assumiram os seus cargos e três técnicos da Air Astana que acompanhavam o andamento do C-check também embarcaram no avião, onde se sentaram juntos na cabine de passageiros. Sem saber que sua aeronave estava perigosamente imprópria para aeronavegabilidade, os pilotos taxiaram até a pista e decolaram normalmente às 13h31, subindo nas densas nuvens de chuva que cobriam o aeroporto. Eles não tinham ideia de que estavam prestes a ser lançados em uma das emergências de voo mais dramáticas e demoradas da memória recente.

A rota planejada do voo 1388 da Air Astana

Por cerca de 10 segundos após a decolagem, tudo parecia normal. Mas então, lentamente a princípio, mas aumentando em amplitude, o avião começou a balançar de um lado para o outro. À medida que subiam para a camada de nuvens, os pilotos tentaram corrigir essa oscilação com os ailerons e o leme, mas as oscilações continuaram aumentando. Algo estava claramente errado, mas o quê? Não havia luzes de advertência, nenhuma mensagem de falha no EICAS, nenhum sinal de mau funcionamento. O capitão Aushev tentou acionar o piloto automático, mas ele não conseguiu ativar, gerando uma mensagem de erro.

Em dois minutos, a situação se transformou em uma emergência total. O avião começou a virar para a esquerda e desta vez não conseguiram nivelá-lo. Estremecendo violentamente, o avião virou para a margem esquerda extrema, fazendo com que as asas perdessem sustentação; o nariz caiu e o avião começou a descer. Em questão de segundos, ele mergulhou 300 metros, antes que as asas se nivelassem e o capitão Aushev conseguisse sair do mergulho. Neste ponto, o primeiro oficial Karasholakov emitiu um pedido desesperado de socorro, informando ao ATC de Lisboa que o voo 1388 da Air Astana estava fora de controle.

Sem saber ao certo o que estava causando o problema, os pilotos recorreram ao treinamento: como haviam sido ensinados a fazer em caso de falha no controle de voo, decidiram ganhar o máximo de altitude possível para fornecer uma almofada em caso de perda de voo. controle e, em seguida, inicie a solução de problemas. Mas ganhar altitude provou ser uma experiência estressante. 

O avião era completamente incontrolável e frequentemente assumia ângulos de inclinação extremos, resultando em uma rápida perda de altitude. Mas se o capitão Aushev tentasse levantar o nariz enquanto eles estavam efetivamente de lado, ele colocaria o avião em um mergulho em espiral, do qual não poderia haver recuperação. Em vez disso, ele teve que esperar que o avião se nivelasse, aparentemente por conta própria, e então subir repentinamente, tentando ganhar o máximo de altitude possível antes que a mesma coisa acontecesse novamente.

Role o processamento de entrada no modo normal versus modo direto (GPIAAF)

Na verdade, o avião estava girando descontroladamente em várias direções, embora com uma inclinação para a esquerda, e nenhuma das suas ações de controle parecia ter qualquer efeito compreensível no ângulo de inclinação. Na verdade, embora os ailerons claramente não respondessem normalmente, as entradas de controle dos pilotos também não foram totalmente invertidas, devido à influência dos roll spoilers fly-by-wire, que ainda funcionavam corretamente, em oposição aos ailerons invertidos.

Embora os roll spoilers sejam implantados aproximadamente proporcionalmente aos ailerons, há uma “zona morta” próxima a zero grau de movimento do volante de controle, onde apenas os ailerons se moverão, sem que os roll spoilers entrem em ação. As entradas de rotação foram perfeitamente espelhadas - girar a roda ligeiramente para a esquerda faria com que o avião rolasse ligeiramente para a direita e vice-versa. No entanto, se um dos pilotos girasse o volante além da zona morta, os roll spoilers entrariam em ação e começariam a lutar contra os ailerons na tentativa de empurrar as asas na direção comandada. Isso resultou em vibrações significativas e resultados de rolagem imprevisíveis. No entanto, se os pilotos girassem as rodas o suficiente para implantar totalmente os spoilers, os spoilers começariam a dominar os ailerons, girando lentamente o avião de volta na direção desejada.

Para tornar as coisas ainda mais confusas, os pontos exatos em que estas inversões ocorreriam estavam inicialmente em mudança. Com o sistema fly-by-wire em modo normal, o tamanho exato da “zona morta” dependia muito da velocidade no ar e do ajuste dos flaps, que mudavam continuamente à medida que os pilotos lutavam para controlar o avião. Após os primeiros minutos, entretanto, os pilotos mudaram os controles de vôo para o modo direto, o que simplificou um pouco as coisas ao remover qualquer modificação do computador em suas entradas. Isso fez com que a zona morta se estabilizasse em um movimento consistente de 5,5 graus do volante de controle em qualquer direção. No entanto, os pilotos ainda não conseguiram compreender o comportamento do avião, problema que foi agravado pela falta de referências visuais externas, obrigando-os a confiar apenas nos seus instrumentos.

Acima: Dados de voo para todo o voo de 90 minutos, mostrando altitude,
velocidade vertical, velocidade no ar e aceleração vertical (GPIAAF e Embraer)

Enquanto os pilotos lutavam para compreender as respostas completamente imprevisíveis do avião aos seus comandos, o voo 1388 embarcou numa trajetória de montanha-russa que simplesmente se recusou a terminar. Depois de subir inicialmente para cerca de 10.000 pés, às 13h38 o avião subitamente caiu em um mergulho extremo, mergulhando 5.000 pés em questão de momentos. A taxa de descida atingiu brevemente -20.000 pés por minuto, e os ocupantes foram submetidos a cinco G's esmagadores durante a recuperação, aproximando-se dos limites estruturais finais da aeronave - os pilotos tiveram a sorte de o E190 ser flexível o suficiente para aceitá-lo, porque eles chegaram alarmantemente perto de arrancar as asas. 

Após este mergulho aterrorizante, o avião oscilou descontroladamente entre 5.000 e 7.000 pés durante vários minutos. Mesmo assim, às 13h45, os pilotos conseguiram recuperá-lo acima de 10.000 pés - apenas para mergulhar novamente, perdendo cerca de 4.000 pés e puxando 3,5 G's, novamente excedendo a carga limite projetada. Mesmo assim, o avião manteve-se firme e os pilotos voltaram a subir, lutando para subir até cerca de 16.000 pés, com apenas uma perda de altitude relativamente pequena ao longo do caminho.

Tendo obtido uma almofada de altitude razoável, os pilotos começaram a solucionar problemas sérios. Trabalhando juntos para manter todos na mesma página, eles tentaram diferentes configurações de flap e avaliaram cada um deles quanto à controlabilidade. Algumas diferenças marcantes entre eles foram notadas e, eventualmente, eles se estabeleceram na posição 1 do retalho, quase totalmente retraído. Em seguida, eles tentaram desconectar os canais de inclinação, rotação e guinada do computador de controle de vôo. Um de cada vez, o piloto de segurança Sergey Sokolov anunciou o canal que estava prestes a desconectar, certificando-se de que o capitão Aushev e o primeiro oficial Karasholakov estivessem prontos. Mas não importa qual canal Sokolov desconectou, os pilotos não sentiram nenhuma diferença – o avião ainda estava quase incontrolável.

De repente, depois de passar vários minutos oscilando entre 14 e 16.000 pés, às 14h03 o vôo sofreu sua reviravolta mais dramática até então. O avião rolou completamente de cabeça para baixo e entrou num mergulho invertido, a sua velocidade de descida excedeu os -20.000 pés por minuto enquanto mergulhava como um dardo num relvado em direção ao interior de Portugal. 

O avião estremeceu violentamente e os altímetros giraram tão rápido que os pilotos nem conseguiram lê-los. A velocidade no ar se aproximou de 350 nós e o sistema de alerta de proximidade do solo começou a gritar: “WHOOP WHOOP, PUXE! URO URO, PUXE PARA CIMA!” Os pilotos obedeceram, mas se parassem com muita força, sobrecarregariam a fuselagem e o jato se quebraria no ar, ao passo que, se o fizessem muito lentamente, atingiriam o solo. Foi um equilíbrio delicado, mas os pilotos conseguiram acertar o alvo. Depois de perder mais de 10.000 pés de altitude em menos de um minuto, o voo 1388 começou a se nivelar.

Um trecho da simulação do voo da Embraer mostra o mergulho invertido do avião (GPIAAF e Embraer)

Abalados pela queda repentina, os pilotos compreenderam que estavam voando com tempo emprestado – mais cedo ou mais tarde a sorte certamente acabaria. Temendo que pudessem cair a qualquer momento, seus pensamentos se voltaram para as pessoas no chão. Agora, através da frequência ATC de Lisboa, fizeram um pedido extraordinário: que lhes fosse dada uma orientação sobre o oceano para mergulharem no mar, onde teriam menos probabilidades de matar transeuntes inocentes se perdessem novamente o controlo.

O controlador de Lisboa acabou por fornecer-lhes várias vezes indicações em direção ao oceano, mas para imensa frustração dos pilotos, eles não conseguiram seguir as instruções do controlador. O capitão Aushev mais tarde brincaria que o avião só conseguia manter uma direção constante por cerca de um segundo – o que significa que não. O mapa abaixo, que mostra a trajetória de voo do avião, deve dar alguma indicação do que ele quis dizer.

Mesmo enquanto o avião continuava a subir e descer e de um lado para o outro, os pilotos continuaram solucionando problemas. Eles consideraram a possibilidade de desconectar cada uma das duas rodas de controle para ver se uma delas estava gerando entradas incorretas, mas essa ideia foi rejeitada, pois a força combinada de ambos os pilotos era necessária para manter alguma aparência de controle (Embora eles ainda não percebessem, isso acontecia porque ter vários pilotos controlando os controles tornava mais fácil acionar totalmente os spoilers de rotação, que então dominariam os ailerons e rolariam o avião na direção correta). Eles também tentaram mudar o vôo. controlou várias vezes entre o modo normal e direto, mas isso não fez diferença e eles eventualmente ficaram no modo direto.

Esta captura de tela da trajetória terrestre do voo 1388, registrada pelo Flightradar24, foi
capturada por um usuário enquanto a emergência estava em andamento (Flightradar24)

De acordo com o relato dos pilotos sobre os acontecimentos, foi nessa altura que tiveram a brilhante ideia de contatar os três técnicos da Air Astana na cabine para ver se sabiam alguma coisa sobre o que exatamente tinha sido feito ao avião durante o C- verificar. Esta provou ser a bala de prata que salvou suas vidas. No final das contas, os técnicos tinham consigo a documentação completa descrevendo tudo o que havia sido feito e, sob orientação dos pilotos, começaram a examiná-la até encontrarem a prova fumegante: uma entrada no registro que dizia “Cabos de aileron mudado."

Pela primeira vez, os pilotos consideraram a possibilidade de seus ailerons terem sido conectados de forma errada. Se assim fosse, isso explicaria quase tudo o que estava acontecendo. Para testar sua teoria, os pilotos instruíram os técnicos a observar o movimento dos ailerons e dos spoilers da cabine de passageiros à medida que vários testes eram feitos. Isso provou ser um assunto complicado, já que a porta da cabine se fechava sozinha toda vez que o avião rolava para a esquerda, e um dos técnicos foi jogado violentamente contra a parede enquanto tentava mantê-la aberta, torcendo o tornozelo no processo. 

Mas apesar dessas dificuldades, os técnicos conseguiram confirmar o que os pilotos agora suspeitavam: que os ailerons se moviam na direção oposta aos seus comandos, mas os roll spoilers funcionavam normalmente. Os pilotos também verificaram esta observação utilizando a página sinóptica de controle de voo.

Mapa 3D das três tentativas de aproximação do voo 1388 (GPIAAF, Google e Embraer)

Agora armados com uma compreensão completa da natureza do problema, os pilotos foram capazes de ajustar suas informações para evitar grandes desvios do voo controlado. O momento em que eles descobriram isso pode ser fixado por volta das 14h38, porque depois disso, os parâmetros de voo começam a melhorar visivelmente. Foi também nessa época que o avião emergiu da área de nuvens e entrou em condições visuais, ajudando os pilotos a se orientarem.

A essa altura, já estavam a girar pelo centro de Portugal há mais de uma hora e os pilotos tinham pouca ideia de onde estavam ou para onde iam. O controlador sugeriu que aterrassem na Base Aérea de Beja, um aeródromo militar próximo da sua posição, com bom tempo e uma longa pista. Para ajudá-los a encontrá-lo, dois F-16 da Força Aérea Portuguesa foram enviados para interceptar o avião, chegando-o pouco depois das 14h45.

Sob a orientação dos F-16, os pilotos conseguiram manobrar o avião para uma aproximação direta à pista 19R da Base Aérea de Beja. Mas, à medida que se aproximavam do aeroporto, o avião mais uma vez começou a balançar de um lado para o outro, oscilando como um trailer na estrada. Muito provavelmente, os pilotos estavam inconscientemente revertendo para movimentos normais de rotação durante a aproximação de alto estresse, fazendo com que o avião saísse do curso repetidamente, embora tenha demorado algum tempo para perceber isso. Ficou claro, no entanto, que eles não conseguiriam pousar nessas condições, então, quando o avião se aproximou da soleira, o capitão Aushev pediu uma arremetida e o voo 1388 partiu para uma segunda tentativa.

Este foi o fim do caminho para o primeiro oficial Karasholakov. Membro mais jovem e menos experiente da tripulação, ficou gravemente traumatizado com os acontecimentos do voo e sentiu-se tão mal que não pôde continuar a exercer as suas funções de copiloto. Reconhecendo que Karasholakov estava genuinamente incapacitado, o capitão Aushev concordou em deixá-lo trocar de lugar com o piloto de segurança Sokolov, que assumiu o lugar certo para a segunda aproximação.

Contudo, apesar da ajuda de Sokolov, a segunda abordagem falhou pela mesma razão que a primeira. Enquanto subiam mais uma vez, o capitão Aushev decidiu estabelecer a lei: desta vez, ninguém tocaria nos ailerons e eles dirigiriam usando apenas o leme. No início, esta técnica parecia estar a funcionar e a terceira abordagem parecia estar no caminho certo para ter sucesso. Mas no último momento, o avião começou a virar para a esquerda, afastando-se da pista a menos de um minuto do pouso. Pensando rapidamente, Aushev anunciou uma mudança de planos: eles simplesmente pousariam na pista paralela 19L em vez da pista 19R. A poucos minutos do pouso, os pilotos conseguiram se endireitar na pista 19L e, de repente, a vitória estava sobre eles. 

Às 15h27, o voo 1388 pousou com um estremecimento de alegria e, embora o avião quase tenha saído do lado esquerdo da pista, esmagando várias luzes laterais no processo, os pilotos conseguiram mantê-lo sob controle. Finalmente, depois de quase duas horas no ar, o P4-KCJ parou com o lado direito para cima e inteiro – apesar das grandes adversidades, eles venceram as adversidades.

◊◊◊

Quando o voo 1388 aterrissou, investigadores do Gabinete de Investigação e Prevenção de Acidentes de Aviação Civil e Ferroviária, ou GPIAAF, de Portugal, já estavam a caminho de Beja. A agência foi notificada enquanto o avião ainda estava no ar, durante o período em que estava claramente fora de controle e parecia prestes a cair. 

O voo 1388 chega à pista, visto de um dos F-16

Embora agradavelmente surpresos com o fato de o avião ter pousado intacto, os investigadores sabiam que o voo 1388 poderia facilmente ter terminado em desastre e seria necessária uma investigação completa. Na verdade, uma inspeção do avião mostrou o quão perto eles chegaram da catástrofe: depois de exceder repetidamente a carga limite projetada, as asas, os painéis e a estrutura da fuselagem foram todos irreversivelmente deformados, e inúmeras medições foram encontradas fora das tolerâncias. 

Em muitos locais, a pele tornou-se visivelmente ondulada e as asas foram permanentemente dobradas para cima, em direção às pontas. Os danos foram tão extensos que o avião foi declarado perdido total e nunca mais voou.

Mapa dos danos estruturais sofridos pelo avião (GPIAAF e Embraer)

Quanto à tripulação, eles foram prejudicados à sua maneira. Além da torção no tornozelo sofrida por um dos técnicos, vários ocupantes foram tratados de náuseas agudas induzidas pelas manobras selvagens do avião, incluindo o primeiro oficial Karasholakov, que foi o mais afetado. 

Além disso, todos os três pilotos foram afetados psicologicamente pelo período de estresse prolongado diante da morte quase certa, e todos receberam licença por tempo indeterminado até o momento em que se sentissem confortáveis ​​para retornar à cabine – o que os três eventualmente fizeram.

Esses dois diagramas estavam entre aqueles que podem ter gerado confusão entre o pessoal de manutenção. O diagrama à esquerda, que acompanha o procedimento de ajuste dos cabos, mostra a conexão entre os cabos do aileron e a unidade de controle de potência por baixo; enquanto o diagrama à direita, que acompanha o procedimento de substituição do cabo, mostra o mesmo dispositivo visto de cima. Não havia código de cores no original; isso foi adicionado pela investigação. Não é difícil ver como a mistura dessas duas ilustrações pode causar erros (GPIAAF e Embraer)

Entretanto, em Beja, uma das primeiras coisas que os investigadores observaram foram os cabos de controlo dos ailerons. Veja só, os cabos “para cima” e “para baixo” em ambas as asas foram invertidos perto de onde os suportes estruturais sem contato foram instalados durante a manutenção recente. Embora muitos testes e simulações fossem realizados posteriormente, era bastante óbvio que esta era a causa das dificuldades dos pilotos.

O GPIAAF acabou por determinar que os técnicos da OGMA instalaram os cabos ao contrário enquanto tentavam seguir instruções confusas do manual de manutenção da Embraer. Uma vez cometido esse erro, a capacidade de detectá-lo ficou comprometida por três motivos principais. Em primeiro lugar, quando um inspetor independente examinou a obra, teria sido difícil discernir que os cabos tinham sido cruzados, devido às mudanças invulgares na orientação relativa dos cabos na área onde ocorreu o erro. 

Em segundo lugar, a página sinóptica utilizada durante os testes operacionais destacou os controlos a verde para indicar que as condições de teste foram cumpridas, não necessariamente que o teste foi aprovado, facto que foi explicitamente declarado no manual de operações de voo, mas não no manual de manutenção. E terceiro, nenhum dos técnicos possuía o conhecimento aeronáutico necessário para compreender em que direção os ailerons e spoilers deveriam se mover e, embora isso tenha sido explicado no manual de manutenção, não parece que eles tenham compreendido adequadamente a seção relevante.

O fato de esta falta de conhecimento ser tão generalizada levou os investigadores a concluir que o problema provavelmente começou a nível organizacional. Embora a OGMA já existisse há muitos anos, recentemente começou a sofrer com uma rotatividade excessiva de pessoal, resultando numa hemorragia de experiência institucional. Este efeito foi agravado pela falta de testes de competência eficazes que pudessem comprovar a amplitude do conhecimento dos técnicos. Além destes, o GPIAAF também criticou a OGMA pela contabilidade desleixada, com inconsistências observadas na documentação de inspeção e nas carteiras de trabalho, sugerindo uma adesão insuficientemente rigorosa aos procedimentos adequados.

Uma visualização 3-D da trajetória de voo em forma de montanha-russa do voo 1388 

O GPIAAF também criticou a Embraer por produzir diagramas de manutenção confusos e por emitir um boletim de serviço que minou a base de certificação do sistema de controle de ailerons. Na verdade, os regulamentos da União Europeia exigem que um sistema de controlo baseado em cabos inclua cabos que não possam ser trocados ou, se isso não for possível, cabos que estejam tão claramente marcados que tornem improvável a sua reversão. 

A Embraer demonstrou o cumprimento desta regra por meios pouco ortodoxos – nomeadamente, alegando que os cabos nunca seriam removidos simultaneamente, garantindo que só poderiam ser reinstalados nas mesmas posições de onde vieram. Mas ao emitir um boletim de serviço que exigia a remoção simultânea de ambos os cabos, a Embraer violou a base de certificação do sistema. Embora não esteja explicitamente indicado no relatório do GPIAAF, isto tornou o boletim de serviço, tal como redigido, ilegal.

Na opinião deste autor – que foi partilhada pela Air Astana nos seus comentários ao relatório final – há uma série de outras áreas, não claramente mencionadas pelo GPIAAF, onde faltava o design do E190 e a documentação que o acompanha. O mais importante deles era o fato de que os cabos de aileron invertidos não acionariam um aviso FLT CTR NO DISPATCH, o que significava que, se nenhuma outra falha incidental tivesse ocorrido, teria sido possível despachar imediatamente o avião neste estado, momento em que a meticulosidade das verificações de controlo dos pilotos seria a única salvaguarda contra desastres. 

Embora neste caso fossem necessárias medidas adicionais para eliminar o aviso antes do avião ser despachado, em teoria ele poderia ter passado direto da manutenção para a decolagem sem qualquer indicação óbvia de que algo estava errado. A única indicação negativa em tal caso seria a falha na conclusão dos Testes Integrados Contínuos durante a verificação de retorno ao serviço, mas de acordo com o manual de voo, a conclusão correta dos CBITs não era necessária para despachar o avião, então essa indicação não tinha sentido.

Além dessas questões, também vale a pena notar que o manual de isolamento de falhas não listou cabos de aileron invertidos como uma razão potencial para uma falha na eliminação de um aviso FLT CTR NO DISPATCH; o manual de manutenção não explicava que as caixas verdes ao redor dos controles de voo na página sinóptica não significam que as verificações de controle foram aprovadas; o procedimento oficial de verificação de controle não pedia aos pilotos que identificassem a direção do movimento da superfície de controle; e a explicação do manual de manutenção sobre o movimento adequado do aileron e spoiler usava as abreviaturas “CW” e “CCW” para “sentido horário” e “sentido anti-horário” sem explicar o que as abreviaturas significavam, algo que poderia ter confundido falantes não nativos de inglês.

◊◊◊

Nos seus comentários ao relatório final, a Air Astana criticou a falta de detalhes do relatório,
mas as suas sugestões foram rejeitadas. O acima é apenas um exemplo (GPIAAF)

Neste ponto, deve notar-se que o GPIAAF produziu um relatório final que parecia muito elegante e moderno, mas que por vezes era confuso e carente de detalhes. A descrição dos eventos do voo em si, conforme relatado neste artigo, teve que ser obtida de uma série de fontes diferentes, às vezes contraditórias, portanto, a ordem exata e o momento dos eventos devem ser considerados com cautela. 

Além disso, a maior parte das informações sobre as manobras feitas pelo avião teve que ser inferida a partir de um único gráfico borrado reproduzido no relatório sem contexto, de modo que todas as altitudes, velocidades e taxas de descida declaradas vêm com barras de erro significativas. Esta é uma informação que normalmente se encontraria num relatório final, mas que estava visivelmente ausente.

Além disso, o relatório final não descreveu a sequência exata de eventos ocorridos na oficina que levaram à inversão dos cabos do aileron; fez afirmações sobre a qualidade da organização e cultura de segurança da OGMA sem as apoiar com exemplos específicos; e exibiu numerosos casos de tradução ambígua ou imprópria para o inglês. A maioria destas questões foram explicitamente levantadas pela Air Astana nos seus comentários ao relatório, apenas para que as sugestões da companhia aérea fossem rejeitadas. Na verdade, apesar da insistência do GPIAAF em que o seu relatório continha detalhes suficientes, este artigo só conseguiu atingir o seu atual nível de clareza graças às informações adicionais contidas nos comentários da Air Astana.

A OGMA também adicionou comentários que incluíam algumas informações úteis, particularmente sobre as “caixas verdes” na página sinóptica, mas em geral a resposta da empresa pareceu agressiva e impenitente. A OGMA não estava claramente disposta a aceitar qualquer responsabilidade pelo incidente, chegando ao ponto de afirmar que o conhecimento do movimento adequado do aileron e do spoiler era “irrelevante” desde que os seus técnicos seguissem o manual, o que alegou que faziam. A empresa também procurou culpar os pilotos pela não detecção do erro, escrevendo que o envio do avião em condições de aeronavegabilidade era, em última análise, responsabilidade deles e que deveria ter sido óbvio para eles que os ailerons não estavam respondendo corretamente. 

A OGMA argumentou, de fato, que os pilotos provavelmente não realizaram as verificações de controlo pré-voo e acusou-os de negligência. Por seu lado, o GPIAAF argumentou que as verificações de controlo provavelmente se tornaram mecânicas, levando à desatenção e ao comportamento automático que os levou a ignorar o facto de que a página sinótica, que deveria estar aberta, mostrava os ailerons a moverem-se na direção errada. Em qualquer caso, era difícil acreditar que os pilotos merecessem muita culpa por um evento que foi possível graças ao mau design da Embraer e às más práticas de manutenção da OGMA.

◊◊◊

O P4-KCJ está na Base Aérea de Beja pouco depois do acidente – um aeroporto
de onde nunca partiria (Nuno Veiga)

Como resultado do incidente, ações de segurança foram tomadas por todas as partes envolvidas. A Air Astana aumentou a supervisão dos seus prestadores de serviços de manutenção; introduziu procedimentos especiais para pilotos que realizam voos de aceitação de manutenção, incluindo o fornecimento de informações sobre quais sistemas foram trabalhados; e mudou seus procedimentos operacionais padrão para exigir que os pilotos indiquem a direção do movimento da superfície de controle durante as verificações de controle pré-voo. 

A Embraer melhorou a qualidade de seus manuais e ilustrações de manutenção; reformulou o boletim de serviço para não exigir a remoção simultânea de ambos os cabos do aileron; e começou a trabalhar em uma nova mensagem de alerta que alertaria explicitamente a tripulação se os cabos do aileron fossem instalados incorretamente (Deve-se notar que o GPIAAF pretendia alterações de design mais concretas, o que a Embraer rejeitou). E a OGMA iniciou uma revisão do seu controlo de qualidade e inspeções, contratou uma empresa externa para melhorar o seu sistema de gestão de segurança e tomou medidas para melhorar as suas avaliações de competências.

Neste ponto, gostaria de tranquilizar o leitor sobre o fato de que a maioria dos aviões comerciais possui cabos de controle que não podem ser trocados acidentalmente. O projeto do E190 foi excepcionalmente pobre nesse aspecto, mas não está claro se as ações da Embraer eliminaram totalmente a possibilidade de um incidente semelhante acontecer novamente. Felizmente, porém, isso é algo com que apenas os pilotos terão que se preocupar, porque o primeiro voo após uma manutenção pesada nunca é realizado com passageiros a bordo.

Concluamos, então, com uma palavra de parabéns aos pilotos Vyacheslav Aushev, Bauyrzhan Karasholakov e Sergey Sokolov pela sua demonstração de incrível habilidade de pilotagem, que garantiu um resultado seguro para um voo que poderia muito facilmente ter terminado numa cratera de fogo. Embora enfrentassem uma emergência assustadora, eles aderiram ao treinamento, mantiveram a calma e trabalharam juntos para encontrar uma solução. As decisões foram tomadas de comum acordo, a opinião de todos foi respeitada e cada piloto garantiu que os outros estivessem cientes do que estavam fazendo. 

Foi um manual de gerenciamento de recursos de tripulação, um triunfo do treinamento de pilotos moderno. E embora a maioria das emergências sejam estabilizadas rapidamente, esta não foi, e ainda assim os pilotos conseguiram manter-se sob controle durante mais de uma hora de voo quase descontrolado, mantendo a compostura diante do que devem ter parecido probabilidades impossíveis. Portanto, da próxima vez que você voar com a Air Astana, fique tranquilo: se algo der errado, você dificilmente estará em melhores mãos.

Edição de texto e imagens por Jorge Tadeu (Site Desastres Aéreos) com Admiral Cloudberg, ASN e Wikipédia