Eventos de interferência e falsificação de GNSS representam um perigo crescente

Muitos relatos de interferências e falsificações vêm de zonas de conflito.

No ano passado, surgiram relatos de que sinais falsos estavam a pôr em risco os sistemas de navegação de aeronaves na área sobre o Mar Negro. Relatados pela primeira vez pela organização de inteligência de segurança OpsGroup, os relatórios citavam sinais falsos ou bloqueados do sistema global de navegação por satélite (GNSS), afetando os sinais civis do sistema de posicionamento global (GPS) dos EUA, fazendo com que os sistemas de navegação das aeronaves mostrassem informações de posição ausentes ou imprecisas.

Mais recentemente, um membro do OpsGroup relatou ter sofrido falsificação de GPS em 29 de janeiro, após partir do Aeroporto Internacional Ben Gurion (LLBG), em Israel. “Isso durou até o limite do FIR. O ATC foi notificado e forneceu vetores [para nós].”

GNSS é um termo abrangente que se refere a qualquer sistema de posição, navegação e temporização (PNT) baseado em satélite que fornece informações a receptores, como unidades GPS portáteis e aquelas instaladas em aeronaves. O GPS dos EUA é um desses GNSS, e há outros, como o Galileo da Europa, o Globalnaya Navigazionnaya Sputnikovaya Sistema (Glonass), o BeiDou da China e sistemas regionais no Japão e na Índia. Os receptores podem ser configurados para operar em múltiplas constelações GNSS ou em apenas uma. A maioria dos receptores GNSS de aeronaves usa apenas a constelação GPS dos EUA, enquanto muitos receptores GNSS portáteis e relógios com capacidade GNSS utilizam múltiplas constelações.

O bloqueio do GPS sobrecarrega os sinais GNSS relativamente fracos e, nos EUA e em muitos outros países, é contra a lei comprometer o GNSS. Spoofing não é o mesmo que jamming e é mais sofisticado, induzindo o receptor a calcular uma posição falsa, o que poderia desviar a aeronave do curso desejado. Muitos produtos aviônicos modernos dependem do GNSS, e interferências e falsificações podem causar problemas além da navegação, como o desligamento do piloto automático.

Um piloto postou o seguinte no Fórum de Pilotos Phenom (para pilotos que voam em jatos Embraer Phenom 100 e 300) em 3 de dezembro de 2022: Em 01/12 decolei de OPLA [Lahore, Paquistão]. A aproximadamente 1.500 [pés], encontrei bloqueio de GPS (ou talvez falsificação). A falha do GPS causou falha no AHRS e, mais significativamente, a bússola HSI começou a girar rapidamente e ficou inutilizável, e o piloto automático… falhou. O AHRS não se recuperou. É verdade que não voamos [menos de] 200 nós e com as asas niveladas por 5 minutos. Estávamos mais preocupados em voltar ao aeroporto. Dispositivos GPS portáteis também ficaram bloqueados nesta situação. Também recebemos um aviso imediato do TAWS, que precisava ser silenciado. Não posso enfatizar o quão confuso e desconcertante era esse cenário. Decolagem, falha de GPS, alerta de colisão TAWS, desconexão do piloto automático, rotação da bússola HSI, tudo simultaneamente.”

Relatórios crescentes de falsificação

A falsificação de GPS continua a se expandir e aumentar, de acordo com o OpsGroup, que disse anteriormente ter recebido quase 50 relatos de sinais falsos afetando operadores de aeronaves. O grupo soou o alarme pela primeira vez sobre os incidentes de falsificação em setembro passado, citando uma dúzia de relatos de aeronaves que foram alvo de sinais falsos enquanto sobrevoavam o Iraque, perto da fronteira iraniana. Em muitos casos, isto levou à perda completa da capacidade de navegação.

No final de outubro, chegaram relatórios de operações no Mediterrâneo oriental, no Egito, e na abordagem a Amã, na Jordânia. Nestes casos, a aeronave apresentou uma falsa posição de estar estacionária sobre o LLBG, embora estivesse a até 212 nm de distância da área. Os incidentes mais recentes envolveram voos da LLBG que se dirigem para o Líbano com sinais falsificados.

Outros relatórios citados pelo OpsGroup incluem um Gulfstream G650 que apresentou falha total de navegação na partida do LLBG em 25 de outubro. A tripulação relatou: “O ATC informou que estávamos fora do curso e forneceu vetores. Dentro de alguns minutos, nossa posição estimada incerta (EPU) era de 99 nm, FMS, IRS e posição GPS não eram confiáveis. O sistema de navegação pensava que estava 225 milhas náuticas ao sul da nossa posição atual.” Da mesma forma, um Bombardier Global Express foi falsificado na partida do LLBG, recebendo uma posição GPS falsa mostrando-a acima de Beirute. O OpsGroup observou que a tripulação disse: “O controlador nos avisou que estávamos voando em direção a uma área proibida”. Enquanto isso, um Boeing 777 na FIR do Cairo encontrou um período de falsificação de 30 minutos, com uma posição falsa mostrando que a aeronave estava sobre LLBG.

Em 12 de dezembro, de acordo com o OpsGroup, um membro relatou falsificação perto do OPLA enquanto pilotava um Bombardier Global 6500. Ao executar um FMS com entrada de GPS ligada e outro com GPS desligado, a tripulação foi capaz de observar uma posição GPS falsa mostrando o avião 75 nm a nordeste de sua posição real. O ATC disse à tripulação que eles estavam no caminho certo.

Outro membro relatou bloqueio de GPS enquanto voava na Airway A599 na FIR VYYF/Yangon sobre Mianmar.

O que preocupa os especialistas do OpsGroup é que esses problemas sejam uma “descoberta no mundo real de uma falha fundamental no projeto de aviônicos. Se um sinal de posição GPS for falsificado, a maioria das aeronaves será incapaz de detectar o ardil.” A perda de navegação ocorre em alguns casos, enquanto em outros os sinais falsos levaram a “rastreamento errôneo sutil e não detectado”. Nos piores casos, o impacto foi grave – perda completa da navegação a bordo que exige vetores ATC, falha do IRS [sistema de referência inercial] e navegação despercebida fora da rota em direção a áreas de perigo e espaço aéreo hostil. A indústria tem demorado a lidar com o problema, deixando as tripulações sozinhas para encontrar maneiras de detectar e mitigar a falsificação de GPS.”

Uma tática importante para minimizar o risco de falsificação, de acordo com o OpsGroup, é observar um aumento repentino no EPU nas telas do cockpit (se disponível). A falsificação causa um “salto, portanto os valores de EPU saltaram de 0,1 nm para 60 nm e mais de 99 nm em ordem rápida”. Além disso, as tripulações podem receber um aviso EFIS relacionado à navegação, com algumas indo direto para o modo de cálculo morto. Outra pista é uma mudança significativa no horário UTC do relógio da aeronave – os relatórios variam de algumas horas até mudanças de 12 horas. O OpsGroup informa que, se isso ocorrer, as tripulações devem desmarcar as entradas de GPS o mais rápido possível para evitar falhas de navegação mais amplas, mudar para auxílios à navegação convencionais e relatar o problema ao ATC.

Em 26 de dezembro, a companhia aérea de carga UPS enviou uma “notam da empresa” aos pilotos alertando sobre interferências e falsificações no espaço aéreo do Azerbaijão e sobre o Mar Negro, Mar Vermelho e Mediterrâneo Oriental. “A UPS tem estado em contato com a Boeing sobre este assunto e está sendo monitorado ativamente pela Boeing, UPS, EASA e FAA.” O notam alertou: “Falsos alertas de EGPWS [sistema aprimorado de alerta de proximidade do solo] podem ocorrer durante ou a qualquer momento após a falsificação de GPS devido à contaminação da altitude do GPS no EGPWS. Desativar a atualização do GPS no FMC não protegerá o EGPWS contra falsificação.” A UPS pediu aos pilotos que tirassem fotos das indicações e enviassem um relatório do evento. “A Boeing lançará um boletim técnico de operações de voo atualizado em um futuro próximo para abordar modelos específicos”, observou a nota da UPS.

Mapa do grupo de operações

Pesquisa de um professor

“A principal alternativa é um sensor inercial ou [IRS]”, disse Todd Humphreys, especialista em PNT e professor da Escola de Engenharia Cockrell da Universidade do Texas em Austin. “Quando isso é capturado, você percebe que o design em si… parece ter falhas. Em outras palavras, o IRS não está verificando novamente o GPS, está simplesmente girando durante períodos de interrupção do GPS. Se o GPS indicar que tem uma posição, então o IRS está aceitando essa posição sem ceticismo suficiente e atualizando sua localização, velocidade e todos os seus coeficientes internos com base nessa posição.

“A maioria dos jatos executivos tem algo em torno de três ou dois receptores GPS e geralmente pelo menos dois IRSs. Em outras palavras, cada um desses sistemas que são supostamente redundantes [é] capturado pelo mesmo ataque, portanto não oferece nem de longe a redundância que aqueles que os projetaram pensaram que ofereceria. Quando todos eles estão sendo afetados pela mesma fonte e têm uma falha de modo comum, então não há o nível de segurança que você esperava.”

Há alguns anos, Humphreys se deu ao trabalho de construir um falsificador de GPS enquanto trabalhava em seu doutorado. na Universidade Cornell. Demorou seis meses, disse ele, “e foi um grande esforço para mim. Avançando para 2023, você poderá comprar um rádio pronto para uso e baixar o software que está disponível no GitHub. E você tem um falsificador. No entanto, ele não acredita que os chamados hobbyistas estejam por trás dos ataques atuais.

Em sua pesquisa, Humphreys fez parceria com uma rede de satélites de órbita terrestre baixa para identificar locais de ataques de falsificação, usando saídas ADS-B e anomalias em seus sinalizadores de categoria de integridade de navegação (NIC). “Também analisamos o histórico temporal dos locais relatados”, explicou ele. “E a partir dessa história, você pode ver um movimento completamente não físico da aeronave e saber que a unidade ADS-B da aeronave foi capturada. Você está procurando anomalias na trajetória. E a partir de tudo isso, você pode descobrir o que aconteceu.”

Com esta informação, Humphreys conseguiu identificar as origens dos ataques de falsificação, um dos quais foi na periferia oriental de Teerão, no Irão. “Desde então, ataques de falsificação muito semelhantes, com efeitos semelhantes em jatos executivos, tornaram-se bastante difundidos na área do conflito Israel-Gaza. Podem ser alguns dos colaboradores da Palestina ou podem ser apenas as Forças de Defesa de Israel a tentar proteger Israel [dos mísseis guiados por GPS do inimigo].”

“Gosto de dizer que a falsificação é o novo bloqueio, e o que quero dizer com isso é que se você tem a intenção de negar o serviço GPS aos seus adversários, a falsificação é um meio mais potente de fazer isso do que apenas um bloqueio desajeitado. Isso ocorre porque você não precisa de tanta potência de sinal para fazer com que os receptores que você está direcionando exibam informações erradas ou exibam algum sinalizador que indique um mau funcionamento em comparação com um bloqueio. Ao interferir, você deve sobrecarregar os sinais autênticos. Com a falsificação, você só precisa ter sinais da mesma magnitude dos sinais autênticos. Eles são engolidos pelo mesmo receptor. O receptor então fica confuso e não consegue perceber a diferença e muitas vezes levanta uma bandeira e diz: 'Ei, estou fora, você não pode confiar em mim', e então eles lhe negaram o serviço.

Além das mitigações que reduzirão o risco de ataques de falsificação, que estão sendo abordadas pela indústria, Humphreys acredita que uma opção melhor seria simplificar o processo de certificação de aviônicos, especialmente rádios definidos por software, que são muito mais fáceis de atualizar rapidamente. “É difícil manter-se à frente das ameaças se você estiver trabalhando com latências [de tecnologia] de 20 anos. Essa é a natureza deste negócio, infelizmente. Mas esperamos até que algo ruim aconteça antes de fazermos algo a respeito.”

Reunião EASA/IATA

A EASA e a Associação Internacional de Transporte Aéreo realizaram um workshop em janeiro para compartilhar informações sobre incidentes e soluções para interferências e falsificações de GNSS. O workshop concluiu que “a interferência com serviços baseados em satélite que fornecem informações sobre a posição precisa de uma aeronave pode representar desafios significativos para a segurança da aviação”.

Os participantes do workshop concordaram em algumas medidas para tornar os serviços PNT fornecidos pelo GNSS mais resilientes, incluindo a comunicação de eventos, eventualmente para uma base de dados comum; compartilhar orientações dos fabricantes de aeronaves com os operadores; partilhar alertas da EASA sobre ataques com as partes interessadas relevantes; e garantir um sistema de backup com a rede operacional mínima dos tradicionais auxílios à navegação terrestres.

“[Vimos] um aumento acentuado nos ataques a sistemas [GNSS], o que representa um risco à segurança”, disse o diretor executivo em exercício da EASA, Luc Tytgat. “A EASA está a enfrentar o risco específico destas novas tecnologias. Precisamos imediatamente de garantir que os pilotos e as tripulações conseguem identificar os riscos e saber como reagir e aterrar em segurança. A médio prazo, precisaremos de adaptar os requisitos de certificação dos sistemas de navegação e aterragem. A longo prazo, precisamos de garantir que estamos envolvidos na concepção de futuros sistemas de navegação por satélite. Combater esse risco é uma prioridade para a agência.”

A EASA também publicou o Boletim de Informações de Segurança 2022-02R2 sobre este tópico.

O site GPSjam.org mostra áreas onde a interferência prolifera

Atualizações de Aviônica

Os fabricantes de aviônicos estão bem cientes dos problemas de interferência e falsificação do GNSS e estão trabalhando em esforços de mitigação, tanto com equipamentos existentes como com produtos futuros. Na verdade, existem novos padrões que abordam esses problemas, incluindo RTCA DO-384 e FAA TSO C220.

A divisão Litef da Northrop Grumman fabrica IRSs para diversos fabricantes de aeronaves, e Klaus Blatter, gerente de produto de aviação comercial, forneceu algumas informações básicas sobre como esses sistemas funcionam.

“O sistema inercial não recebe informações de GPS, mas calcula a posição apenas com base na medição dos sensores inerciais (numa instalação clássica)”, explicou. “Como esta informação de posição não é afetada pelo GPS, ela não é suscetível a falsificação ou interferência. No entanto, esta informação de posição inercial pura pode não ser precisa o suficiente para manter os requisitos de RNP/RNAV no longo prazo. A correção GPS é realizada no FMS. O FMS decide também se utiliza as informações de posição corrigidas ou não corrigidas do IRS.”

Os IRS modernos calculam uma solução GPS/IRS combinada ou híbrida, acrescentou ele, que é fornecida ao FMS. “Em caso de perda do GPS (ou seja, bloqueio), a solução híbrida continua automaticamente fornecendo informações de posição com base nas medições inerciais. O status da solução híbrida (por exemplo, sem aumento de GPS) também é fornecido ao FMS. O tempo por quanto tempo uma determinada operação RNP/RNAV pode ser mantida após a perda do GPS depende da especificação do sistema inercial. Normalmente, os sistemas inerciais que fornecem uma solução híbrida também fornecem uma solução inercial pura em paralelo.”

A forma como o fabricante da aeronave integra os aviônicos determina se os pilotos podem desligar a entrada do GPS caso ela esteja comprometida. “Nos sistemas inerciais da Litef com solução híbrida, a entrada do GPS pode ser desligada por comandos”, disse. “Mas cabe ao integrador do sistema se o comando for implementado na aviônica.”

Os pilotos devem ser alertados sobre o bloqueio do GNSS, com um alerta de que o aumento do GPS foi perdido, explicou Blatter. “Spoofing é diferente: um sistema inercial com solução híbrida pode realizar verificações de plausibilidade dos dados GPS recebidos. Esses testes podem detectar sinais GPS inconsistentes e descartá-los. No entanto, isso depende do tipo e da qualidade da falsificação. Mesmo que dados suspeitos sejam inicialmente detectados, os dados GPS falsificados podem ser considerados válidos novamente depois de parecerem consistentes novamente. Isso significa que o nível de proteção contra falsificação depende de quão inteligentes as verificações de plausibilidade podem ser feitas.”

O novo padrão de desempenho RTCA DO-384 para IRSs ajudará no bloqueio e falsificação, disse ele.

Um Boeing 737-800 voando perto da fronteira iraniana conseguiu superar um encontro de falsificação de GPS usando atualização DME para fornecer uma posição precisa. © Grupo de operações

Honeywell

A Honeywell planeja certificar um sistema compatível com RTCA DO-384 este ano para um avião comercial e no próximo ano para sua unidade de referência microinercial Laseref VI (IRU). A Honeywell também publicou uma carta de informações de serviço “descrevendo as indicações de falsificação e os comportamentos esperados dos aviônicos”. Para procedimentos mais específicos relacionados a aeronaves e aviônicos, a Honeywell recomenda consultar o fabricante da aeronave. No entanto, Matt Picchetti, vice-presidente e gerente geral de navegação e sensores da empresa, ofereceu informações adicionais sobre os IRUs da Honeywell.

“Os atuais produtos Honeywell ADIRUs e micro-IRU produzem dois tipos diferentes de parâmetros de navegação: um conjunto inercial puro de parâmetros de navegação e um conjunto híbrido inercial/GPS de parâmetros de navegação. O conjunto inercial puro de saídas de navegação não é auxiliado por medições de GPS e, portanto, não é afetado pela perda de GPS ou falsificação de GPS durante o vôo. Além dos parâmetros inerciais puros, os IRSs modernos também produzem parâmetros de navegação híbrida inercial/GPS totalmente integrados.

“Os produtos atuais Honeywell ADIRU e micro-IRU têm prontamente algum nível de resiliência à falsificação de GPS para suas saídas híbridas inerciais/GPS. A Honeywell realizou testes básicos de seu software híbrido inercial/GPS em relação aos padrões relevantes do setor. Os resultados desses testes indicam que os produtos de última geração da Honeywell podem manter a integridade da saída de posição horizontal híbrida, rejeitando uma mudança de posição GPS falsificada de 60 nm durante um tempo de exposição de 60 minutos. No entanto, nos casos em que as etapas de posição induzidas pela falsificação persistem por mais tempo do que o que pode ser atualmente detectado e mitigado, as saídas híbridas do IRS começarão a utilizar medições GPS falsificadas.”

As IRUs recentemente atualizadas, disse ele, “melhorarão ainda mais a resiliência dos parâmetros híbridos à falsificação de GPS com mudanças de posição muito baixas e durações prolongadas. Os novos algoritmos patenteados da Honeywell podem rejeitar mudanças de posição GPS falsificadas de 3 nm por mais de 60 minutos, o que constitui uma melhoria inovadora em comparação com o comportamento atual do IRS. O IRS também poderá indicar às tripulações de voo e aos sistemas da aeronave quando ocorrer falsificação de GPS.

“As próximas atualizações de produtos da Honeywell no período 2024/2025 permitirão [detecção de] falsificação, alertarão as equipes e continuarão fornecendo uma solução de posição híbrida GNSS/IRS de alta integridade, limitada por limites de proteção horizontais durante toda a duração do evento de falsificação. Assim que essas atualizações de produto estiverem disponíveis, a Honeywell, portanto, recomenda que os sistemas downstream, como o FMS ou os sistemas de vigilância, usem o GNSS/IRS híbrido do IRS como sua principal fonte de posição, pois será imune à falsificação de GPS, ao mesmo tempo que sendo mais preciso do que a posição inercial pura. Deve-se também prestar atenção aos efeitos na orientação da aeronave durante aproximações baseadas em GPS. Aqui, novamente, o IRS anunciará eventos de falsificação para tripulações de voo e sistemas de aeronaves, de modo que os recursos dependentes de GPS possam ser desativados automática ou manualmente.”

Aviônica Universal

Os FMS universais com o software mais recente não podem ser comprometidos por interferências ou falsificações do GNSS devido à forma como o FMS utiliza as informações de posição das estações DME. Esta tem sido uma característica dos FMSs universais, explicou Jason Mason, engenheiro sênior de integração de sistemas aviônicos. Na década de 1980, os engenheiros da Universal projetaram o FMS com sensores de navegação que passam por filtros de Kalman para fornecer a melhor posição calculada. Depois que a Força Aérea dos EUA desligou a disponibilidade seletiva do sistema GPS em 2000 e o GPS se tornou mais preciso para usuários civis, a Universal ponderou a filtragem de Kalman para GPS, mas demonstrou que a varredura ou triangulação DME com base na posição DME funcionava de maneira confiável quando os sinais GPS eram comprometidos. Em 1991, a Universal recebeu a aprovação de pedido padrão técnico da FAA para a capacidade de digitalização DME.

Mais recentemente, em resposta às preocupações dos clientes sobre interferências e falsificações, a Universal emitiu uma carta de serviço para explicar isso aos usuários e também deixou claro aos pilotos o que o FMS está fazendo. Isso foi incorporado ao software FMS 1002.6 e versões posteriores. Uma mensagem em banner, por exemplo, destaca que o GNSS não está funcionando e que o DME-DME está sendo usado, com a posição de navegação real também exibida e registrada para leitura pós-voo no aplicativo FlightReview da Universal. Isso também foi adicionado ao software de treinamento FMS para que os pilotos possam ver como a varredura DME protege contra interferências e falsificações.

“Os testes de voo determinaram quão bem podemos navegar com o DME-DME”, disse Mason. “Quando percebemos que poderíamos fazer isso, decidimos tornar isso mais evidente para a tripulação.”

O software 1002.6 está disponível em FMSs universais da série W (desde 2006), mas há um STC disponível para atualização de unidades mais antigas para a série W como um substituto imediato.

Collins Aeroespacial

A Collins Aerospace fabrica um receptor GNSS popular, o GLU 2100. As atualizações do GLU 2100 incluirão torná-lo atualizável em campo para modificações mais fáceis conforme os requisitos mudam. A empresa também está trabalhando no projeto de receptores GNSS que possam identificar sinais anormais e compensá-los ou notificar a tripulação de que a fonte de navegação é inválida, de acordo com Adam Evanschwartz, que lidera a estratégia de produtos da unidade de negócios de aviônicos da Collins Aerospace. Além disso, uma mitigação simples para o bloqueio de GNSS é construir receptores que possam usar múltiplas redes GNSS, caso uma delas esteja comprometida.

Tales

A Thales está ciente da ameaça da interferência GNSS e implementou um algoritmo dedicado para detectar a ocorrência de falsificação. “Se for detectada falsificação, dependendo do sistema de navegação da aeronave a bordo, a orientação da aeronave pode mudar automaticamente para fontes que não usam GPS para operações contínuas seguras”, disse a empresa à AIN . “Juntamente com os OEMs e a indústria de aviação global, a Thales está ativamente envolvida nas iniciativas para reforçar ainda mais a proteção das operações contra falsificação, adaptando tecnologias e algoritmos já comprovados em campo em plataformas militares.”

Uma tripulação da Bombardier Global Express voando perto de Bagdá perdeu o GPS e viu um deslocamento de posição de 60 nm, e os aviônicos foram direto para o cálculo morto. © Grupo de operações

Safran

A Safran já está fabricando o SkyNaute, um sistema de navegação inercial (INS) que atende aos novos padrões RTCA DO-384 usando sua tecnologia de giroscópio ressonador hemisférico compacto. “Combinando alto desempenho e integridade em todas as circunstâncias, o SkyNaute apresenta características físicas excepcionais em comparação com INS concorrentes com desempenho semelhante”, de acordo com Alexandre Lenoble, vice-presidente sênior de linhas de produtos de navegação e cronometragem da Safran Electronics & Defense.

“Existem duas maneiras pelas quais os INS Safran são capazes de detectar e mitigar interferências: os sensores inerciais são, em essência, completamente imunes ao bloqueio ou falsificação do GNSS. Como consequência, eles podem ser usados...para monitorar a exatidão dos sinais GNSS e da solução de navegação híbrida. Outra maneira de fazer isso é calcular algoritmos de detecção e mitigação de interferência diretamente nos sinais fornecidos pelo receptor GNSS, antes de combinar esses sinais com a parte inercial. Isso permite que o INS, uma vez detectado o evento de falsificação, mude para um modo de navegação inercial/desaceleração puro.

“Como fabricante de PNT, a Safran está acostumada a mesclar dados de sensores inerciais e GNSS para calcular uma solução de navegação híbrida ideal.”

Advanced Navigation

A Advanced Navigation está adotando uma abordagem diferente para criar sistemas de navegação inercial que podem mitigar os riscos de falsificação. “Não é mais uma possibilidade, mas sim uma certeza de que indústrias críticas, como a indústria da aviação, serão perturbadas pela proliferação da falsificação de GNSS”, disse a empresa antes da cimeira EASA/IATA. “Felizmente, aproveitar a tecnologia mais recente para combater as ameaças mais recentes é uma opção. Portanto, é fundamental que o sector privado permaneça na vanguarda para minimizar o impacto, avaliando e implementando rapidamente sistemas que possam acompanhar esta preocupação crescente.”

A empresa desenvolveu um INS com o que afirma ser “uma nova abordagem de filtragem baseada em um processamento proprietário de rede neural artificial”. O resultado são “capacidades de navegação extremamente precisas em cenários com GNSS negado, bem como o melhor monitoramento de integridade da categoria para detectar e mitigar GNSS falsos ou errôneos”.

Em geral, de acordo com a Advanced Navigation, as indústrias dependentes de PNT devem utilizar receptores de rede multi-GNSS e monitoramento de integridade autônomo de receptor avançado e incorporar INS mais recentes com monitoramento de integridade avançado, como INS baseado em rede neural artificial. Deverão também trabalhar com os reguladores para ajudar a acelerar a integração de novas tecnologias. “Agilizar os processos de certificação, sem comprometer os padrões de segurança, pode garantir que os equipamentos de aviação permaneçam na vanguarda da defesa contra o cenário de ameaças em constante evolução”, afirmou a empresa.

Dassault Aviation

O bloqueio e a falsificação de GNSS se tornaram um “tópico quente”, de acordo com o engenheiro de suporte piloto da Dassault, Mathias Paquier.

A forma como a Dassault configurou os aviônicos da Honeywell em seus jatos executivos equipados com EASy não é usar o recurso híbrido que usa GPS para atualizar a posição do IRS. “Isso não é exatamente o mesmo no Falcon em comparação com os concorrentes”, disse Paquier. “Isso significa, na prática, que nos Falcons, ao usar as entradas do IRS, essa entrada não pode ser afetada pela falsificação de GPS. Como não utilizamos [os insumos híbridos], o FMS não pode ser impactado.”

O FMS dos Falcons escolhe o sensor com a melhor incerteza de posição estimada (EPU), começando pelo GPS. Se isso estiver comprometido, o FMS analisa a posição do IRS e usa DME-DME ou VOR-DME.

É claro que estes últimos exigem que o avião esteja dentro do alcance das estações terrestres DME-DME ou VOR-DME utilizáveis. Mas, na pior das hipóteses, e se o IRS também falhar, o FMS pode continuar a navegação com base no cálculo morto.

Os pilotos do Falcon devem conhecer os sintomas de bloqueio do GPS, que incluem perda de visão sintética. “Este é provavelmente o mais fácil de detectar”, disse ele. “Está bem na frente dos pilotos.” O próximo sintoma seria uma mensagem CAS para falha na saída ADS-B, porque a saída ADS-B depende de GPS.

Os sintomas secundários incluem uma mensagem como “Incapaz RNP”, que indica que o EPU é muito grande para o desempenho de navegação exigido (RNP) na área onde o avião está voando. O EPU não é exibido permanentemente no PFD, mas pode ser visualizado na página “mostrar sensores”. O modo avançado do EGPWS também não estará disponível.

Finalmente, os passageiros provavelmente notarão que o satélite não funciona mais. “Este é um grande inconveniente para os passageiros”, observou ele. Após o término do bloqueio, a aeronave será reconfigurada e retornará ao normal.

“Quando falamos sobre falsificação, as coisas ficam mais difíceis”, disse Paquier.

Quando um cliente experimentou um spoofing na província de Hatay, na Turquia, o sistema de navegação mostrou o avião a 70 nm de distância de sua posição real. A hora UTC no display do piloto estava incorreta, o que é uma boa indicação de falsificação, e o FMS exibiu uma mensagem para “verificar a posição do IRS”.

Sem nenhuma mensagem CAS ou mensagem óbvia de falha, ele explicou: “Pode ser muito difícil para os pilotos perceberem o que está acontecendo”.

A Dassault emitiu um boletim aos operadores já em abril de 2022 e aconselha, ao voar em áreas com risco de falsificação, desmarcar GPS 1 e 2 na página dos sensores de navegação. Isso desmarca a entrada de GPS do FMS para que o FMS não use o GPS para atualizações de navegação. “Mesmo se você for falsificado, isso não terá impacto no FMS”, disse ele. “Depois de sair da área, você pode selecionar novamente a entrada do GPS.”

Caso os pilotos não tenham previsto a desmarcação do GPS antes que a falsificação aconteça, eles ainda devem desmarcar a entrada do GPS, disse ele. “Se a sua posição FMS foi corrompida e você desmarcar, ele reverterá para o modo IRS. Ele manterá sua última posição válida (neste caso, a falsificada) e será atualizada usando a entrada do IRS a partir daí. A recomendação é, portanto, realizar uma atualização da posição do FMS usando a posição bruta do IRS. O IRS bruto não pode ser afetado por falsificação porque não é afetado pelo GPS. A desvantagem é que a posição bruta do IRS é afetada pelo desvio do IRS, mas pelo menos você retornará a uma posição razoável, que será atualizada automaticamente usando DME-DME ou VOR-DME se estiver dentro do alcance. Se você estiver decolando de uma área de falsificação, você sempre pode desmarcar o GPS e atualizar o FMS após a partida do motor usando um ponto de referência ou posição lat/long [no solo].”

Paquier também aconselha os pilotos a saberem qual IRS é o mais preciso e, em seguida, escolher aquele como o principal. “Você pode verificar o desvio real de cada IRS na página de aviônicos. Se você sabe que o IRS 2 é sempre menor, nossa recomendação é que você tenha isso em mente ao atualizar a posição do FMS.”

Algumas operadoras (não apenas Falcons) relataram que o GPS não se recupera após um incidente de falsificação. Os pilotos devem estar preparados para navegar utilizando fontes não GPS. “Isso representa um desafio operacional”, disse ele, “se eles tiverem que voar de longa distância sem GPS. Requer mais preparação. Costumávamos voar assim há 20 anos, mas hoje não nos sentimos confortáveis ​​em voar sem GPS.”

Embora muitos países estejam a desativar ajudas à navegação terrestres, muitos especialistas recomendam que os países mantenham uma rede robusta de ajudas à navegação terrestres, tais como estações VOR e DME.

Há uma outra técnica não oficial que os pilotos podem considerar: emparelhar um receptor GPS portátil multi-rede com seus tablets. Alguns receptores podem usar GPS, Galileo e Glonass, e a falsificação pode afetar apenas um deles. Obviamente, os reguladores não permitem que os pilotos usem mapas móveis do EFB como fontes oficiais de navegação, mas o EFB poderia fornecer uma maneira fácil de confirmar um encontro de falsificação e também fornecer alguns conselhos de localização para complementar outras fontes. O uso de múltiplas constelações é, na verdade, uma das melhorias possíveis a médio prazo para os receptores GPS de aeronaves. Esta não é uma solução mágica, ressaltou ele, porque os bloqueadores provavelmente bloquearão todos os sinais GNSS.

Paquier, que participou na cimeira EASA/IATA, concluiu que soluções imediatas não estão prontamente disponíveis. “Todos estão trabalhando duro em mitigações de curto, médio e longo prazo. A EASA está levando isso muito a sério. É importante ter em mente que descobrimos todos os dias que cada combinação de aviônicos, sensores e aeronaves produz sintomas ligeiramente diferentes. E isso pode variar de um tipo para outro, mesmo dentro das [plataformas] Dassault. As informações que você terá de diferentes OEMs podem ser diferentes. A história ainda está se desenrolando.”

Gulfstream Aerospace

A Gulfstream Aerospace emitiu uma carta de operações de manutenção aos operadores de suas aeronaves, primeiro aconselhando os pilotos a planejarem voos em torno de áreas conhecidas onde ocorrem interferências ou falsificações. “Se for necessário voar através dessas áreas, considere a utilização de fontes de navegação terrestres.”

Os pilotos devem reportar quaisquer anomalias ao ATC, aconselhou a empresa. “Quando aplicável, as tripulações de voo devem solicitar vetores e/ou utilizar navegação terrestre. Os procedimentos do Manual de Voo do Avião (AFM) devem ser seguidos para quaisquer mensagens do Sistema de Alerta da Tripulação (CAS) e indicações de navegação degradada. Os procedimentos devem ser seguidos para quaisquer mensagens CAS e indicações de navegação degradada.”

Tendo auxiliado na produção da carta de informações de serviço da Honeywell de dezembro, a Gulfstream também está trabalhando com a Collins Aerospace para fornecer informações semelhantes aos operadores que voam em seus aviões equipados com aviônicos Collins.

Bombardier

De acordo com a Bombardier, a empresa “tem sido muito proativa com seus clientes sobre a realidade da falsificação de GPS.

“No final de dezembro de 2023, a Bombardier lançou um Advisory Wire para aprimorar a comunicação com todos os nossos clientes, somando-se aos FONs (Flight Operation Notifications) que publicamos no início daquele ano. Além disso, publicamos diversas atualizações em nossas comunicações aos clientes no ano passado para informar os clientes sobre o problema. Também trabalhamos em estreita colaboração com a FAA e vários operadores de frota para garantir que tenham as informações mais atualizadas.”

Satcom Direct

Em vez de adicionar novos equipamentos, a Satcom Direct oferece tecnologia de geolocalização para clientes que utilizam seus GeoServices FlightDeck Freedom. “Poucas situações são mais alarmantes para a tripulação do voo do que perceber que de repente são incapazes de determinar com precisão a posição da aeronave”, disse a empresa. “Quando o posicionamento das aeronaves não pode mais ser determinado corretamente, a separação no céu torna-se mais difícil de garantir e o risco de complicações políticas aumenta muito.”

GeoServices fornece alertas GeoNotification quando a aeronave de um cliente está se aproximando de uma região onde ocorreram ataques de falsificação, com base nas configurações do GeoFence no FlightDeck Freedom. “[Isso] fornece aos usuários um aviso prévio do perigo, permitindo-lhes alterar o curso e evitar possíveis interrupções em seus sistemas de navegação.”

A AIN está ciente de outros esforços que abordarão o bloqueio e a falsificação do GNSS e reportará sobre eles à medida que forem revelados. Um será anunciado na feira de aviônica da AEA em 19 de março e outro é um aplicativo de detecção de anomalias de GPS que foi lançado pelo desenvolvedor de aplicativos de planejamento de voo APG. Enquanto isso, o OpsGroup recomenda que os pilotos visualizem as áreas afetadas pela interferência do GPS no site gpsjam.org e “não voem contra nenhum hexágono vermelho ou amarelo!”

Com informações do site ainonline.com

Vídeo: ÓLEO DE COZINHA como combustível no avião

ÓLEO DE COZINHA como combustível no avião. No vídeo de hoje Lito Sousa fala sobre o SAF, combustível sustentável de aviação.

Via Canal Aviões e Músicas com Lito Sousa

Vídeo: Mayday Desastres Aéreos - US-Bangla Airlines 211 Erro de Cálculo em Kathmandu

Via Cavok Vídeos

Aconteceu em 12 de março de 2018: Piloto perturbadoㅤㅤA queda do voo 211 da US-Bangla Airlines

No dia 12 de março de 2018, o voo 211 da US-Bangla Airlines estava se aproximando de Katmandu, no Nepal, quando os eventos começaram a sair de controle. A tripulação parecia perdida e confusa, o avião voou erraticamente e os controladores de tráfego aéreo temeram por suas vidas quando o avião quase atingiu a torre antes de fazer um pouso forçado na pista. 

O acidente de fogo matou 51 das 71 pessoas a bordo. O que os investigadores descobriram foi chocante: nos últimos minutos do voo 211, o capitão parecia sofrer um colapso mental completo, culminando em sua tentativa condenada de terminar uma abordagem que era irremediavelmente instável - e seu primeiro oficial era muito tímido para intervir.

O DHC-8, prefixo S2-AGU, da US-Bangla Airlines, envolvido no acidente

A US-Bangla Airlines é uma ramificação de uma joint venture entre os EUA e Bangladesh, que começou a transportar passageiros em 2014 em rotas de, para e dentro de Bangladesh. Com uma pequena frota de menos de 10 aviões, começou a se expandir para vários destinos na Índia e no Nepal, incluindo Kathmandu, a capital do Nepal. 

A rota de Dhaka a Kathmandu era normalmente operada por um dos quatro Bombardier Dash 8 Q400s canadenses da companhia, uma popular aeronave turboélice dupla que podia transportar cerca de 70 passageiros. Esta rota seria realizada no dia 12 de março de 2018 pelo de Havilland Canada DHC-8-402Q Dash 8, prefixo S2-AGU, da US-Bangla Airlines.

No comando estava o capitão Abid Sultan, de 52 anos, um piloto experiente com 5.500 horas de voo, incluindo 1.700 no Q400, e que voou para Kathmandu mais de 100 vezes. Sua primeira oficial foi Prithula Rashid, de 25 anos, uma nova contratada que tinha apenas 390 horas de voo e nunca havia voado para Katmandu antes. 

Abid Sultan voava em aviões desde 2002 e já havia voado com a Força Aérea de Bangladesh, mas foi dispensado do serviço em 1993 porque sofria de depressão. No entanto, seus exames médicos durante os anos 2000 não encontraram sinais de que ele fosse mentalmente incapaz de voar. 

Ele também tinha o hábito de fumar e, embora seus superiores soubessem disso informalmente, ele era inconsistente em declarar isso em seus exames médicos, durante os quais às vezes respondia que nunca havia fumado, ou que costumava fazer, mas tinha desistido. 

No entanto, ele tinha a reputação de ser competente, profissional, amigável e maduro em seus serviços com a companhia aérea. A primeira oficial Prithula Rashid também era vista como uma aprendiz rápida e pontuava muito em seus exames.

Nos dias que antecederam o voo, o capitão Abid Sultan aparentemente descobriu que um colega havia criticado seu profissionalismo e habilidade como instrutor de treinamento. Sultan levou isso para o lado extremamente pessoal, a ponto de perder o sono por causa disso e, aparentemente, começar a entrar em uma espiral muito negativa. 

Quando ele se apresentou para trabalhar na manhã seguinte para o voo para Katmandu, estava visivelmente agitado. Mesmo antes de o voo começar, ele foi pego de surpresa por uma nova exigência de que os pilotos relatassem um "número de autorização de defesa aérea" aos controladores em todos os voos para destinos estrangeiros, o que elevou ainda mais seu nível de estresse, uma vez que ele aparentemente não sabia disso nova regra. 

Então, quando o avião saiu de Dhaka, ele inadvertidamente respondeu a uma chamada de rádio dos operadores da empresa para outro avião Bangla dos Estados Unidos, sem confirmar que se destinava a ele. 

Durante todo o voo, o capitão Sultan manteve uma longa conversa unilateral com a primeira oficial Rashid, na qual ele expressou sua frustração com o colega que o havia criticado. Ele acabou declarando que não poderia lidar com isso e teria que renunciar, então expressou preocupação com sua situação financeira após sua renúncia, pois não sabia o que faria para viver (De acordo com colegas, ele havia de fato apresentado sua demissão antes do voo). 

Sultan começou a chorar repetidamente, enquanto Rashid oferecia o mínimo de comentários. Subitamente, Sultan puxou um maço de cigarros e começou a fumar, em flagrante violação dos procedimentos operacionais padrão. 

Em vários pontos ele desabou totalmente, dizendo o quão magoado ele estava com as críticas de seu colega, e uma vez ele gritou “Eu não me importo com um voo seguro, seu f ... ??? seu dever!" Não ficou claro a quem ele dirigiu esse comentário.

Com seu capitão fumando e chorando alternadamente, o voo 211 seguiu em direção ao Aeroporto Internacional Tribhuvan, em Katmandu. Depois de cerca de uma hora no ar, a tripulação começou a fazer os primeiros preparativos para o pouso, e o capitão Sultan passou a instruir a primeira oficial Rashid sobre os pontos mais delicados do pouso em Katmandu. 

Ele pareceu recuperar alguma compostura e parecia em seu elemento, pois seu conselho era calmo e preciso. Às 8h10, com Rashid operando o rádio, o controlador de aproximação em Katmandu instruiu o voo 211 a voar até o waypoint “GURAS” e entrar em um padrão de espera; em resposta, a tripulação programou o padrão de espera no computador de voo.

Depois disso, o capitão Sultan começou a se lamentar novamente. Ele conduziu sem entusiasmo o briefing de abordagem, mas errou muitas etapas e nunca divulgou seus próprios gráficos de abordagem, optando por consultar periodicamente os de Rashid. Isso certamente não ajudou nenhum dos pilotos a entender a abordagem complexa do sul para a pista 02 do Aeroporto de Tribhuvan. 

Minutos depois, o controlador de abordagem cancelou a instrução anterior para aguentar o GURAS e autorizou o voo 211 para uma abordagem direta. A tripulação reconheceu essa instrução, mas aparentemente esqueceu que havia pré-programado o computador de voo para colocar o avião em um padrão de espera. 

Quando o avião chegou ao GURAS, o piloto automático iniciou uma curva para a esquerda para entrar no padrão de espera. O controlador de abordagem ligou para confirmar que eles continuariam a abordagem direta, e a tripulação respondeu afirmativamente. 

O capitão Sultan acendeu outro cigarro, colocou o piloto automático no “modo de rumo” e selecionou um rumo a nordeste para voltar à direita e retomar a abordagem adequada. O avião estava muito alto porque a mudança de rumo do capitão fez com que o piloto automático mantivesse a altitude, e ele não havia começado a descer novamente. 

Sultan finalmente reiniciou a descida, mas eles ainda estavam muito altos. Em seguida, os pilotos começaram a trabalhar na lista de verificação de pouso, que deveria ter sido concluída no início da aproximação. 

Eles estragaram esta lista de verificação também; quando a primeira oficial Rashid pediu que o trem de pouso fosse abaixado, o capitão Sultan não tocou na alavanca do trem de pouso, mas instintivamente chamou "marchas três verdes", referindo-se às três luzes verdes que confirmam que o trem estava abaixado. 

Aparentemente, nenhum dos pilotos realmente olhou para as luzes, que não estavam acesas porque a marcha não estava abaixada. Se Rashid viu isso, ela não contou a Sultan. Claramente, os dois membros da tripulação estavam perdendo o controle da situação.

Quando o avião cruzou em direção ao caminho de aproximação normal, a tripulação falhou em ajustar o rumo de volta ao curso adequado ao norte, e o voo 211 começou a desviar para a direita do aeroporto. 

Ambos, não fizeram qualquer tentativa de colocar seus sistemas de navegação de volta no modo adequado para interceptar a inclinação do planador. O controlador aparentemente não estava monitorando de perto a tela do radar e também não percebeu esse desvio. 

À medida que a aproximação fora do curso continuava, o capitão Sultan definiu incorretamente a altitude mínima segura e, em seguida, solicitou repetidamente a lista de verificação de pouso, embora já o tivesse feito. Um aviso de “trem de pouso inseguro” começou a soar na cabine porque o avião foi configurado para pousar sem o trem de pouso abaixado.

Finalmente, o controlador de aproximação percebeu que o voo 211 estava indo para nordeste e ultrapassando o aeroporto. Ele perguntou à tripulação se pretendiam pousar na pista 02 ou na pista 20 (a mesma pista, mas na outra direção). 

O capitão Sultan, agora operando o rádio e também pilotando o avião - uma grande quebra de procedimento - confirmou que eles estavam pousando na pista 02, mas continuou voando pelo aeroporto, aparentemente acreditando que ele ainda estava no curso. 

O voo 211 caiu perigosamente baixo, acionando os alertas sonoros de proximidade do solo, "Muito baixo - terreno!" 

Nesse ponto, ocorreu uma mudança de turno e um novo controlador de tráfego aéreo assumiu a comunicação com o voo 211. Este controlador autorizou o avião a pousar na pista 20, assumindo que era a pista pretendida.

O voo 211 agora estava indo direto para uma montanha, então Sultan assumiu o controle manual total e executou um loop de 270 graus para a direita. Ele fez a curva extremamente difícil, inclinando-se até 45 graus enquanto a apenas 175 pés acima do solo, disparando avisos simultâneos de ângulo de inclinação e proximidade do solo, bem como o aviso de equipamento inseguro. 

Nivelando na direção oeste, perpendicular à soleira da pista, Sultan subiu de volta a 6.500 pés e passou direto pela extremidade norte do aeroporto. De alguma forma, ele não conseguiu avistar a pista. 

Agora, desesperadamente perdido, ele continuou voando para o oeste enquanto pedia a Rashid a lista de verificação de pouso, que ela novamente disse que eles já haviam completado. O controlador, agora quase tão confuso quanto os pilotos, autorizou o voo 211 para pousar em qualquer uma das pistas e deixou que eles próprios resolvessem o problema.

O Capitão Sultan então entrou em outra volta à direita, girando mais de 180 graus até voar para sudeste. O primeiro oficial Rashid avistou a pista à sua direita de uma altitude de mais de 1.500 metros e, para surpresa de todos, o capitão Sultan imediatamente tentou alinhá-la. 

Ele fez uma margem direita extremamente íngreme e desceu rapidamente, enquanto Rashid permanecia sentada em um silêncio petrificado, aparentemente chocada e assustada demais até mesmo para fazer os callouts de altitude padrão. Ela, no entanto, abaixou o trem de pouso. 

O voo 211 sobrevoou a fronteira do aeroporto e foi direto para o terminal. O controle de tráfego aéreo em pânico disse, “Autorização de decolagem cancelada”, no calor do momento, negligenciando a ordem formal de uma aproximação perdida.

Com avisos estridentes na cabine, o voo 211 passou por um hangar e um pátio de estacionamento, quase atingiu o terminal doméstico e foi direto para a torre de controle. 

Temendo uma colisão, os controladores correram para um lugar seguro enquanto o avião balançava para a esquerda, errando por pouco a torre e sobrevoando vários aviões estacionados em seus portões. 

Segundos depois, o voo 211 pousou diagonalmente na pista, saiu do lado esquerdo, caiu em um aterro e explodiu em chamas. Acima e abaixo, há imagens reais do CCTV do acidente. Em ambos os ângulos, o plano pode ser visto no canto superior esquerdo do vídeo.

O acidente matou imediatamente muitos passageiros do lado esquerdo, bem como os pilotos, e aqueles que sobreviveram foram imediatamente confrontados com um inferno violento que consumiu rapidamente o avião. 

Alguns sobreviventes fugiram a pé enquanto outros foram retirados dos destroços por equipes de resgate que correram para o local. Os bombeiros conseguiram extinguir o incêndio em 15 minutos, mas para a maioria dos que estavam a bordo, era tarde demais.

Vinte e dois passageiros foram levados para hospitais, onde dois sucumbiram aos ferimentos, elevando o número de mortos para 51 com 20 sobreviventes. Entre os mortos estavam os comissários de bordo, o capitão Abid Sultan e o primeiro oficial Prithula Rashid.

Embora as primeiras interpretações da transcrição do controle de tráfego aéreo (que vazou para o público no dia do acidente) sugerissem que os controladores estavam confusos, a investigação descobriu que a fonte de sua confusão era, na verdade, o comportamento extremamente errático do voo 211. 

A gravação de voz angustiante da cabine mostrou que o capitão Abid Sultan passou grande parte do voo sofrendo de um colapso emocional aparente gerado pelas críticas de seu colega sobre sua habilidade, durante a qual ele fumava, chorava e se tornava totalmente incapaz de voar. 

Severamente agitado, distraído e chateado, ele foi incapaz de se concentrar em pilotar o avião e, conseqüentemente, estragou vários procedimentos básicos. 

Ele se esqueceu de limpar o padrão de espera no computador, falhou em conduzir corretamente um briefing de aproximação, falhou em interceptar novamente a rampa de planagem, perdeu o controle de sua posição, não conseguiu abaixar o trem de pouso e muito mais. 

Isso demonstrou uma total falta de consciência situacional provocada por seu estado mental perturbado.

Os investigadores também tiveram que perguntar por que a tripulação não fez uma abordagem errada e tentou alinhar com a pista novamente. 

É provável que o capitão Sultan tenha tido uma visão de túnel - ele ficou tão obcecado em tentar pousar o avião que mal conseguia pensar além de "apontar o avião em direção à pista". 

Ele pode ter estado em um estado que não conseguia pensar em mais nada, ou pode ter pirado tão completamente que simplesmente parou de se preocupar com os procedimentos adequados. 

De qualquer forma, o resultado foi uma abordagem irremediavelmente instável que terminou com o avião sendo desalinhado com a pista em 25 graus após o toque.

Também foi preciso levantar a questão de por que a primeira oficial Prithula Rashid nunca interveio para corrigir nenhum dos erros do capitão Sultan. Na verdade, havia uma série de razões plausíveis para isso. 

Sultan tinha o dobro de sua idade e 14 vezes mais experiência, então ela teria dificuldade em justificar internamente qualquer decisão de contradizê-lo. Ela nunca tinha voado para Katmandu antes e não estava especialmente familiarizada com a abordagem, então ela confiou nele para mostrar a ela o que fazer, criando uma dinâmica professor-aluno que tornava ainda mais difícil questioná-lo. 

Além disso, Sultan tinha acabado de passar a última hora reclamando de um colega que havia criticado sua habilidade de voar. Rashid, sem dúvida, teria pensado nisso enquanto decidia se corrigia seus erros! E durante a abordagem final, ela pode ter ficado tão apavorada com as ações de seu capitão que não foi capaz de reagir, como evidenciado por sua completa falta de presença nos momentos finais da gravação de voz da cabine.

Que lição devemos tirar dessa lamentável seqüência de eventos? Embora possa não ter sido possível prever que Abid Sultan se quebraria de forma tão dramática, os efeitos de seu colapso poderiam ter sido mitigados se Prithula Rashid tivesse um melhor treinamento de gerenciamento de recursos de tripulação que a teria capacitado a enfrentar seu capitão. 

Depois de um certo ponto, deve ter ficado óbvio para ela que a abordagem era instável, mesmo que ela não tivesse certeza de como a abordagem deveria ser normalmente. 

Nesse ponto, mesmo em face da autoridade imponente de Sultan, ela deveria ter pedido uma abordagem errada. Se tivesse um treinamento de CRM melhor, dado a ela um pouco mais de autoconfiança, ela poderia ter tido a presença de espírito para perceber que sua vida e a vida de seus passageiros eram mais importantes do que o respeito pela autoridade.

Edição de texto e imagem por Jorge Tadeu (Site Desastres Aéreos)

Com Admiral Cloudberg, ASN, Wikipedia e baaa-acro.com - Imagens: The New York Times, The Daily Star, Prothomalo, Google, Jacdec, DJ's Aviation, CNN, India Today e PBS. Clipes de vídeo cortesia da Infomaze Nepal.

Vídeo: Mayday Desastres Aéreos - Cougar Helicopters 91 Transporte Mortal

Via Cavok Vídeos

Aconteceu em 12 de março de 2009: A queda do voo Cougar Helicopters 91 - Certificado para falhar

No dia 12 de março de 2009, um helicóptero Sikorsky S-92A que transportava trabalhadores para uma plataforma de petróleo na costa canadense sofreu uma falha catastrófica da caixa de câmbio principal, fazendo-a despencar nas águas geladas do Atlântico Norte. Das 18 pessoas a bordo, apenas uma conseguiu escapar quando o helicóptero destruído afundou sob as ondas. 

Os investigadores rastrearam a falha até uma falha de projeto minúscula que levou a uma série de falhas crescentes durante um período crítico de 11 minutos durante o voo fatal. Eles também encontraram um erro de cálculo crítico do fabricante do helicóptero, um quase-desastre anterior na Austrália e um conjunto de pistas enganosas que levaram os pilotos a pensar que poderiam voltar ao aeroporto. 

Havia deficiências na comunicação da tripulação, suposições incorretas durante a certificação do helicóptero e manutenção inadequada. O desastre foi possível devido a falhas sutis em todos os níveis ao longo de um período de mais de dez anos, desde o projeto do helicóptero até as decisões de fração de segundo tomadas pela tripulação enquanto eles mergulhavam em direção ao mar. 

Os investigadores descobririam que o acidente continha lições para todos, de reguladores a fabricantes, operadores e pilotos, o que ajudaria a melhorar a segurança dos helicópteros em todo o mundo.

Como um dos maiores produtores de petróleo do mundo, o Canadá tem uma extensa indústria de perfuração offshore que extrai mais de 250.000 barris de petróleo bruto todos os dias. Um de seus depósitos mais lucrativos é o campo de petróleo Hibernia, na costa leste de Newfoundland, sob as ondas do selvagem Atlântico Norte. 

Milhares de homens e mulheres corajosos dirigem as plataformas e plataformas de petróleo aqui durante todo o ano, e a grande maioria deles se desloca para o trabalho de helicóptero. 

Uma das empresas que oferecem voos de rotina de e para o campo de petróleo de Hibernia foi a Cougar Helicopters, uma empresa com sede em St. John's que transporta quase exclusivamente trabalhadores do petróleo para plataformas de petróleo ao largo de Newfoundland. 

Para esses voos, a Cougar Helicopters usou, e ainda usa, o Sikorsky S-92A, um helicóptero de transporte de 19 lugares de última geração que entrou em serviço pela primeira vez em 2004. 

Era um desses helicópteros, o Sikorsky S-92A, prefixo C-GZCH, da Cougar Helicopters  (foto acima), que estava programado para operar um voo de rotina da cidade de St. John's para a plataforma de petróleo Sea Rose e a plataforma de petróleo Hibernia no dia 12 de março de 2009. 

No comando do voo estavam o Capitão Matthew Davis, 34 , um piloto experiente com cerca de mil horas no S-92A; e o primeiro oficial Tim Lanouette, 47, que teve uma longa carreira voando Sea Kings na marinha canadense, mas era novo no Sikorsky, com apenas 94 horas de uso. 

Se juntaram a eles naquele dia, 16 passageiros, todos os quais - como os pilotos - haviam passado por extenso treinamento de sobrevivência, que era necessário para voar em um helicóptero durante operações prolongadas sobre a água. Todos os ocupantes do helicóptero também usaram roupas de sobrevivência à prova d'água e assistiram a um vídeo de segurança de 15 minutos antes do embarque. 

Às 9h17, horário local, o voo 91 da Cougar Helicopters decolou do heliporto do Aeroporto Internacional de St. John e seguiu para sudeste em direção à plataforma de petróleo Hibernia. No entanto, ninguém sabia que nas profundezas dos sistemas vitais do helicóptero, uma grande falha mecânica estava para ocorrer. 

A parte mais importante de um helicóptero é indiscutivelmente a caixa de câmbio principal. A caixa de engrenagens principal é onde o torque do motor é transmitido a uma variedade de sistemas, incluindo o rotor principal, rotor de cauda, ​​bombas de óleo, bombas hidráulicas e geradores elétricos. 

O grande número de peças móveis e engrenagens giratórias dentro da caixa de engrenagens principal significa que ela deve ser preenchida com óleo para manter tudo lubrificado. Sem óleo, os dentes de metal das engrenagens se desgastariam rapidamente até falharem catastroficamente. 

No Sikorsky S-92A, as bombas conduzem o óleo por uma série de filtros para remover os detritos. Os filtros são alojados dentro de uma concha de metal oca chamada de copo do filtro, que é aparafusada na lateral da caixa de engrenagens usando um conjunto de três pinos de titânio. 

O titânio foi escolhido para ajudar os pinos a suportar as cargas significativas que lhes são impostas quando o óleo altamente pressurizado passa pelo copo do filtro. No entanto, o titânio tem uma grande vulnerabilidade: quando esfrega contra o metal, sua superfície tende a se ligar à do outro objeto, fazendo com que seja arrancado - um processo conhecido como escoriação. 

Como resultado, os prisioneiros sofreram danos irritantes sempre que os trabalhadores de manutenção os removeram para substituir os filtros de óleo.

Quando o voo 91 deixou St. John's em 12 de março, os filtros de óleo do helicóptero haviam sido trocados 11 vezes. E a cada vez, a corrosão desgastava alguns dos fios dos pinos, forçando cada vez mais a tensão nos fios que permaneceram intactos. 

Com o tempo, esse estresse extra fez com que um dos três pinos sofresse de fadiga do metal. Uma pequena rachadura se formou e progressivamente alongou ao longo de ciclos de carga repetidos, até que a integridade estrutural do prisioneiro foi fatalmente comprometida. 

Vinte e oito minutos após a decolagem, às 9h45, o pino inferior esquerdo do recipiente do filtro finalmente falhou. Em uma fração de segundo, a transferência repentina de tensão sobrecarregou o pino inferior direito, que também quebrou. 

Preso por apenas um pino, não havia nada que impedisse o óleo altamente pressurizado dentro do copo do filtro de jorrar pelo espaço entre o copo do filtro e a caixa de engrenagens. 

A pressão do óleo começou a cair rapidamente, disparando uma luz vermelha piscante de baixa pressão do óleo nos visores dos pilotos, e uma voz automatizada começou a gritar: “PRESSÃO DA CAIXA DE VELOCIDADES! PRESSÃO DA CAIXA DE VELOCIDADES! ”

Uma perda de pressão da caixa de engrenagens é uma emergência extremamente séria, porque na ausência de óleo lubrificante, a vida útil restante da caixa de engrenagens será medida em minutos. 

O capitão Davis imediatamente entrou em ação, voltando para St. John's enquanto iniciava uma descida de emergência de sua altitude de cruzeiro de 9.000 pés. 

Ele também pediu a lista de verificação de emergência, e o primeiro oficial Lanouette puxou o Manual de referência rápida (QRH), enquanto Davis ligava seu microfone e transmitia uma chamada do socorro para o controle de tráfego aéreo de St. John. 

Dentro de 20 segundos após a falha, a pressão do óleo caiu de sua faixa normal de 45-75 psi para menos de 5 psi, indicando que provavelmente todo o óleo havia escapado. O tempo agora estava chegando ao desastre. Mas Lanouette descobriu que o aviso de pressão da caixa de câmbio principal não estava entre os alertas listados no índice na contracapa do QRH. 

Desistindo do índice, ele começou a folhear o livro em busca do procedimento. Por três vezes, ele indicou que estava tendo problemas para encontrar a lista de verificação, mas Davis estava simultaneamente tentando pilotar o helicóptero e falar com o controle de tráfego aéreo e não ouviu ou não processou os pedidos indiretos de ajuda de Lanouette. 

Depois de dois minutos e meio de pesquisa, Lanouette finalmente encontrou a lista de verificação apropriada - ela acabou sendo integrada à lista de verificação para o cuidado de pressão da caixa de câmbio principal muito menos sério (em oposição ao alerta total, que indica um aviso muito mais significativo perda de óleo).

A lista de verificação usada pela tripulação do Cougar 91

A maior parte da lista de verificação consistia em três conjuntos de sintomas que os pilotos poderiam usar para determinar a gravidade da falha. 

Em um helicóptero, existem três cursos de ação de emergência que correspondem a esses níveis de seriedade: “pousar o mais rápido possível”, “pousar o mais rápido possível” e “pousar imediatamente”. Na prática, isso significava, respectivamente, "pousar em um local de pouso conveniente", "pousar no local seguro mais próximo" e "pousar em qualquer terreno em que você esteja sobrevoando". 

Seu trabalho era determinar qual deles se aplicava à sua situação. Lanouette começou a ler os sintomas listados na lista de verificação, primeiro verificando se a pressão da caixa de marchas estava abaixo de 35 psi (a essa altura, ela havia caído para zero). 

Outro item era a temperatura do óleo, que a lista de verificação afirmava que deveria aumentar durante um vazamento de óleo, conforme o aumento do contato metal com metal entre as engrenagens gera calor de fricção que aquece o óleo restante. 

No entanto, a indicação da temperatura do óleo ainda estava dentro da faixa normal. Os pilotos não sabiam que, com todo o óleo acabado, o sensor estava, na verdade, medindo a temperatura do ar ambiente dentro da caixa de câmbio. 

Esse sintoma conflitante injetou confusão na situação, sugerindo que, afinal, talvez não houvesse problema. Isso foi ainda confirmado pelos outros sintomas listados na lista de verificação: fumaça na cabine, vibrações, flutuações da pressão do óleo entre 5 e 25 psi e falhas hidráulicas. Nenhum desses sintomas estava presente; na verdade, o único sinal de problema era a leitura do medidor de pressão do óleo zero. 

Na ausência de quase todos os sintomas, exceto para a própria leitura da pressão, os dois pilotos começaram a especular que o problema poderia realmente ser com o sensor. Após uma extensa discussão, eles concluíram que provavelmente tinham um problema no sensor e que, mesmo que houvesse algum tipo de vazamento, quase certamente haveria óleo suficiente no sistema para permitir que eles voltassem para St. John's. 

O capitão Davis traçou um curso para St. John's e nivelou a 250 metros, o que lhes permitiria limpar uma colina de 150 metros localizada perto do aeroporto. Como precaução, eles tomaram nota de um estacionamento em Cape Spear, a terra mais próxima, como um local de pouso alternativo em potencial. 

Só então Lanouette chegou ao fim da lista de verificação, que listava as possíveis condições sob as quais eles eram obrigados a pousar imediatamente. Entre eles estava uma pressão da caixa de câmbio abaixo de 5 psi, então Lanouette anunciou que eles estavam, de fato, em uma condição de “aterrissar imediatamente”. 

No entanto, Davis estava totalmente convencido de que o problema era com o sensor e disse isso aos despachantes da empresa pelo rádio. Tendo chegado a essa conclusão incorreta, ele não fez o que todo piloto de helicóptero deveria fazer ao se deparar com uma possível falha da caixa de câmbio principal: descer para 50 ou 100 pés e se preparar para a queda. 

Nesse ponto, o primeiro oficial Lanouette começou a ficar cada vez mais preocupado. Ele novamente apontou que eles estavam em uma condição de "terra imediatamente", mas o capitão Davis o ignorou. Em vez de, Davis decidiu aumentar a potência do motor e ver se notava algo anormal. 

O helicóptero respondeu normalmente, então ele deixou a potência nesta configuração mais alta para encurtar o tempo de voo de volta ao aeroporto. Lanouette respondeu que isso poderia ser uma compensação porque também poderia acelerar a falha da caixa de câmbio principal se todo o óleo tivesse acabado, mas Davis não mudou sua estratégia. 

Lanouette logo acrescentou que a partir de uma altura de 250 metros, a amaração seria difícil e eles provavelmente deveriam revisar os procedimentos de amaração, mas Davis não respondeu. Mais tarde, Davis disse a Lanouette que não havia razão para abandonar a queda, a menos que parecesse que o helicóptero estivesse “desmoronando”. 

Enquanto o voo 91 continuava em direção a St. John's, o colapso da caixa de câmbio estava bem encaminhado. Na ausência da superfície lubrificante gerada pelo óleo, o contato metal com metal entre a engrenagem motriz e a engrenagem do pinhão ligada ao rotor de cauda fez com que o pinhão esquentasse a uma temperatura extremamente alta. Esse calor enfraqueceu o metal e os dentes do pinhão começaram a se desgastar rapidamente. 

Às 9h56, 11 minutos após a falha do copo do filtro, o pinhão do rotor de cauda começou a desistir do fantasma. Uma vibração repentina ou excursão de guinada convenceu o capitão Davis de que o helicóptero estava de fato se desintegrando e que seria necessário um pouso. 

Ele imediatamente iniciou uma descida de emergência e informou aos controladores, despachantes e passageiros que eles estavam para abandonar. 

Trinta segundos depois, a 600 pés acima das ondas, o pinhão do rotor de cauda parou completamente de acasalar com a engrenagem motriz - uma das falhas mais sérias que podem ocorrer em um helicóptero. O rotor de cauda serve para estabilizar o helicóptero no plano horizontal; sem ele, o torque produzido pelos motores fará com que o helicóptero gire em círculos incontrolavelmente.

Assim que o pinhão do rotor de cauda falhou, o helicóptero guinou bruscamente para a direita a uma taxa de 20 graus por segundo. A única maneira de parar esse giro era desligar os motores, o que o Capitão Davis fez dois segundos após a falha.

Com os motores desligados, os pilotos precisavam descer à superfície por meio de uma técnica chamada autorrotação. Durante uma autorrotação, os pilotos devem atingir uma determinada inclinação da pá, velocidade no ar e ângulo de inclinação para otimizar o fluxo de ar através do rotor, permitindo que forças aerodinâmicas o girem no lugar dos motores. 

Isso faz com que as lâminas continuem gerando sustentação, tornando possível uma razão de descida segura. Mas eles também estavam viajando a uma velocidade no ar muito alta com muita potência do motor, o que exacerbou significativamente os problemas de controle que eles experimentaram quando o rotor de cauda falhou. 

No caos do momento, o capitão não baixou o passo das pás para um nível apropriado antes de desligar os motores. O passo alto da pá em relação à corrente de ar causou maior arrasto, o que reduziu a rotação do rotor abaixo do nível necessário para manter a taxa de descida adequada durante uma autorrotação. 

Enquanto o helicóptero descia por 120 metros, Lanouette acidentalmente acionou seu microfone e transmitiu palavras frenéticas de encorajamento para o Capitão Davis pela frequência do ATC. 

No momento em que Davis se recuperou das excursões de pitch and roll, a água estava correndo para encontrá-los, e sua velocidade no ar estava muito baixa e a taxa de descida muito rápida. 

Segundos depois, descendo a uma taxa consideravelmente superior a 2.300 pés por minuto, a rotação da pá caiu tão baixo que as pás estolaram, e o helicóptero caiu como uma rocha no mar. 

Menos de um minuto após a falha do rotor de cauda, o voo 91 da Cougar Helicopters se chocou contra a superfície do Oceano Atlântico com uma força incrível. O helicóptero se espatifou com o impacto e a água do mar entrou em cada fenda, enchendo a cabine em segundos. 

Embora todos os passageiros tenham sobrevivido ao impacto, muitos ficaram gravemente feridos e não puderam agir. Outros foram pegos de surpresa pelo choque frio provocado pela água do mar gelada, que os fez perder a capacidade de prender a respiração; essas pessoas se afogaram rapidamente. 

Apenas dois passageiros conseguiram desfazer seus cintos de três pontos e nadar para fora do helicóptero enquanto ele afundava em uma profundidade de nove metros. Um conseguiu prender a respiração por tempo suficiente para chegar à superfície, mas o outro não, e ela engoliu grandes quantidades de água do mar que a fez se afogar logo após voltar à superfície.

Depois que um avião de reconhecimento o avistou acenando para eles da água, um helicóptero foi enviado para resgatar Decker, chegando cerca de 40 minutos após o acidente. 

Ele havia sofrido vários ferimentos, incluindo vários ossos quebrados e sua temperatura corporal estava perigosamente baixa, mas uma vez fora da água, os médicos conseguiram estabilizar sua condição. Um helicóptero também resgatou o corpo da passageira, que foi encontrada flutuando na superfície nas proximidades. 

Robert Decker a caminho do hospital após ser resgatado

Mas todos os outros passageiros e tripulantes haviam afundado com o voo 91 e precisariam ser resgatados do fundo do oceano junto com os destroços. 

A responsabilidade pela investigação do acidente caiu para o Transportation Safety Board of Canada. Uma embarcação especial de salvamento subaquático foi contratada para levantar os corpos das vítimas e os destroços do helicóptero, que foi levado para um hangar em St. John para análise. 

Com a ajuda dos engenheiros da Sikorsky, os investigadores abriram a caixa de câmbio principal e descobriram imediatamente a origem do problema: os pinos que seguravam o copo do filtro haviam se quebrado, permitindo que todo o óleo escapasse. 

Isso, por sua vez, fazia com que o atrito desgastasse os dentes do pinhão do rotor de cauda até que ele parasse de acasalar com a engrenagem de transmissão, levando à perda de controle. Foi nesse ponto que os engenheiros da Sikorsky deram uma notícia surpreendente: isso já havia acontecido antes.

Os destroços do C-GZCH no fundo do oceano

Em julho de 2008, outro Sikorsky S-92A estava operando um voo para uma plataforma de petróleo na costa da Austrália Ocidental quando os pilotos receberam um alerta de pressão da caixa de câmbio principal. Eles imediatamente voltaram para a terra e começaram a solucionar o problema usando a lista de verificação. Assim como a tripulação do voo 91, eles descobriram que a maioria dos sintomas listados na lista de verificação não estavam presentes, exceto pela indicação da pressão do óleo. 

No entanto, reunindo seus conhecimentos sobre os sistemas, eles perceberam que o aviso e o medidor de pressão do óleo obtinham suas informações de pressão de sensores separados e redundantes, confirmando que as indicações deviam ser reais. Depois de voar por sete minutos, eles colocaram o helicóptero no chão imediatamente ao alcançar a terra; todos a bordo sobreviveram e o helicóptero não foi danificado. 

Quando os engenheiros da Sikorsky examinaram a caixa de câmbio, eles descobriram que os pinos da tigela do filtro haviam quebrado e todo o óleo havia escapado. Os pinos apresentavam evidências visíveis de escoriações, que haviam desgastado os fios até que os pinos quebrassem. 

Como resultado dessas descobertas, em novembro de 2008 a Sikorsky emitiu um aviso de segurança para todos os operadores do S-92A instruindo-os a inspecionar os prisioneiros do copo do filtro sempre que substituíssem os filtros; para substituir os pinos que foram encontrados danificados; e enviar quaisquer pinos danificados para Sikorsky para análise. 

Em janeiro de 2009, a Sikorsky deu sequência a isso com um boletim de serviço exigindo que os operadores substituíssem os pinos de titânio por pinos de aço, que não seriam vulneráveis ​​a corrosão, dentro de um ano ou 1.250 horas de voo. 

Este prazo relativamente frouxo foi considerado razoável porque Sikorsky ainda não havia recebido nenhum relatório de pinos danificados, sugerindo que o problema era raro, e porque o regime de inspeção descrito no aviso de segurança foi claramente suficiente para detectar danos. Então, o que deu errado?

Destroços do helicóptero são trazidos de volta à superfície por um navio de recuperação

Os investigadores descobriram que a escoriação nos prisioneiros da tigela do filtro de titânio era generalizada em toda a frota do S-92A, mas nem um único operador havia realmente implementado os regimes de inspeção estabelecidos no aviso de segurança de Sikorsky. 

A única explicação para essa falha generalizada em seguir as instruções era que os operadores não entendiam o motivo das inspeções. A falha em relatar os parafusos danificados fez com que a Sikorsky redigisse seu boletim de serviço com base em informações imprecisas sobre a escala e a urgência do problema. 

Tragicamente, se a Cougar Helicopters tivesse seguido os procedimentos do aviso de segurança, a corrosão nas vigas do helicóptero do acidente teria sido facilmente detectável. 

Em seguida, os investigadores analisaram o processo de certificação original do S-92A no final dos anos 1990 e início dos anos 2000. Desde a década de 1980, a maioria dos helicópteros foi obrigada a funcionar por pelo menos 30 minutos após a perda total da lubrificação da caixa de câmbio principal. 

No entanto, a Administração Federal de Aviação dos Estados Unidos, que supervisionou o processo de certificação do S-92A, permitiu uma exceção se o fabricante pudesse provar que a possibilidade de uma perda total de lubrificação era "extremamente remota". Isso significava que a probabilidade de falha deveria estar na faixa de uma em dez milhões a uma em um bilhão por hora de voo - raro o suficiente para que certamente não houvesse mais de uma ou duas dessas falhas durante a vida de toda a frota. 

A Sikorsky inicialmente esperava que o S-92A cumprisse a regra de 30 minutos, mas para sua surpresa, a caixa de câmbio principal falhou depois de apenas 11 minutos durante um teste de “funcionamento a seco” em 2002. Como resultado, eles decidiram ter a caixa de câmbio certificada sob a provisão “extremamente remota” em vez disso. 

Eles instalaram uma válvula de desvio que poderia interromper qualquer vazamento de óleo assim que fosse ativada, fornecendo redundância suficiente para empurrar uma perda total de lubrificação para a faixa de probabilidade necessária. A FAA certificou a caixa de câmbio S-92A com base em sua análise dessas mudanças.

No entanto, Sikorsky e a FAA não consideraram uma falha do copo do filtro de óleo em seus cálculos. A falha do copo do filtro que ocorreu no Cougar 91 e no incidente australiano causou um vazamento tão grande que todo o óleo já havia acabado antes que os pilotos pudessem ativar a válvula de desvio. 

Quando o S-92A foi certificado no Canadá, a Transport Canada expressou preocupação de que os pilotos não seriam capazes de ativar a válvula de derivação a tempo, porque Sikorsky havia declarado que eles deveriam fazer isso dentro de cinco segundos após receberem um aviso de pressão da caixa de câmbio. 

A Transport Canada sentiu que esta ação deveria ser automatizada. A Sikorsky respondeu que cinco segundos era o pior cenário e que, na prática, os pilotos poderiam ativar a válvula de derivação muito mais tarde. Transport Canada relutantemente aceitou esta explicação, com a condição de que Sikorsky fornecesse algum meio para os pilotos saberem se ativaram a válvula em breve, o que eles fizeram. 

Entrentanto, os pilotos do Cougar 91 levaram nada menos que 77 segundos para ativar a válvula de derivação - e mesmo se tivessem feito isso em cinco segundos, ainda não teria sido rápido o suficiente para interromper a perda total de lubrificação. 

Ficou claro a partir dessas descobertas que a base na qual a caixa de engrenagens S-92A foi certificada tinha uma falha fatal, porque era possível que uma única falha contornasse a redundância fornecida pela válvula de desvio.

Os investigadores remontaram os destroços do helicóptero em um hangar para análise

Apesar de tudo isso, a falha dos prisioneiros do copo do filtro no voo 91 não precisava terminar em desastre. Alguns anos antes, um tipo diferente de helicóptero que atendia aos campos de petróleo offshore do Canadá também sofreu uma falha na caixa de câmbio principal; nesse caso, os pilotos realizaram uma amarração controlada imediata e todos sobreviveram. 

A diferença entre aquele caso e o Cougar 91 estava nas decisões tomadas pela tripulação durante os 11 minutos críticos entre a falha e o acidente. Os investigadores encontraram uma variedade de fatores contribuintes que levaram os pilotos, especialmente o Capitão Davis, a acreditar que eles poderiam voltar para St. John's. 

Em primeiro lugar, eles não sabiam que o tempo esperado de “secagem” para o S-92A era de apenas 11 minutos - tempo insuficiente para retornar à costa - porque esse número não foi mencionado em nenhum lugar do manual de operações de voo. Se eles soubessem que a caixa de câmbio poderia falhar após 11 minutos, eles poderiam ter decidido que o fosso era a opção mais segura. 

Mas um fator ainda mais importante para sua decisão foi a diferença entre como eles esperavam que uma perda de pressão na caixa de câmbio ocorresse e como isso realmente aconteceu. 

Durante o treinamento, os dois pilotos enfrentaram uma perda simulada de lubrificação da caixa de câmbio principal. Mas no cenário de treinamento, a perda de pressão foi gradual e abaixo de 20 psi o simulador introduziu vibrações pesadas que levariam a tripulação a pousar imediatamente. 

A simulação também incluiu o aumento da temperatura do óleo, que acabou voltando ao normal depois que todo o óleo acabou. Em contraste, a perda real de lubrificação aconteceu muito repentinamente, sem queda gradual de pressão; a temperatura do óleo nunca teve chance de aumentar antes que todo o óleo acabasse; e nenhuma vibração ocorreu. 

A lista de verificação de emergência também enfatizou esses sintomas e foi enterrada dentro da lista de verificação da luz de advertência da pressão da caixa de câmbio principal menos urgente, porque Sikorsky esperava que esta luz acendesse antes do alerta de pressão da caixa de engrenagem principal mais sério. 

Novamente, o procedimento foi baseado na expectativa de que qualquer vazamento seria gradual, o que contribuiu para a dificuldade do primeiro oficial Lanouette em encontrar a lista de verificação e para a confusão dos pilotos ao interpretá-la.

Todas essas expectativas enganosas levaram os pilotos a concluir que provavelmente tinham um problema no sensor, em vez de uma perda real de pressão do óleo. Como resultado, o Capitão Davis optou por nivelar a 800 pés para limpar a colina perto do aeroporto e manteve a velocidade bem acima do valor recomendado na lista de verificação de emergência. 

Quando o rotor de cauda falhou, isso os forçou a uma autorrotação. Quando recuperaram o controle direcional do helicóptero, sua velocidade no ar estava muito baixa, as hélices não giravam rápido o suficiente e sua taxa de descida estava muito alta. 

Se estivessem voando a 30 metros em vez de 250 metros, nada disso teria importância, porque quando os primeiros sinais de problemas no rotor de cauda começaram, eles teriam sido capazes de descer até a água antes que o rotor realmente falhasse.

Mesmo assim, ficou claro pela gravação de voz da cabine que o primeiro oficial Lanouette tinha dúvidas sobre a decisão do capitão Davis de continuar o voo. Em vários pontos, ele expressou preocupação sobre sua altura, velocidade e falta de preparação para uma amarração que Davis ignorou devidamente. Isso sugeriu uma falta de gerenciamento adequado dos recursos da tripulação. 

Embora tivesse apenas 94 horas no S-92A, Lanouette tinha 11 anos de experiência na água, tanto como primeiro oficial quanto como capitão de helicópteros Sea King, e ele estava bem ciente do perigo de não estar pronto para se livrar se algo desse errado. Mas Lanouette tinha uma personalidade submissa e faltava-lhe firmeza para desafiar com eficácia as suposições do capitão Davis sobre a situação. 

Davis era conhecido por sua personalidade forte e passava dez vezes mais horas no S-92A, o que causava um gradiente de autoridade acentuado, onde Davis não levava as preocupações de Lanouette a sério.

Davis também não conseguiu exibir tarefas eficazes e gerenciamento de carga de trabalho durante a emergência. Segundos depois do aviso, ele começou a pilotar o helicóptero, a se comunicar com o controle de tráfego aéreo e a gerenciar a resposta à emergência. 

Enquanto isso, Lanouette não fez nada além de se esforçar para encontrar a lista de verificação por dois minutos e meio. Davis deveria ter entregue a tarefa demorada, mas mecânica, de pilotar o helicóptero para Lanouette enquanto ele usava sua experiência e julgamento superiores para interpretar a lista de verificação e determinar o curso de ação. 

Ele também não aderiu ao princípio de “evitar, navegar, comunicar”, pois passou um tempo valioso envolvido em longas conversas pelo rádio, quando era inteiramente seu direito dizer ao ATC para aguardar enquanto ele estabilizava a situação. 

Em vez disso, ele ficou tão saturado de tarefas que repetidamente ignorou as sugestões indiretas e pedidos de ajuda de Lanouette. Incapaz de se concentrar em tudo ao mesmo tempo, seu cérebro se agarrou a indicações que sustentavam seu curso de ação desejado: retornar ao aeroporto. 

Foi um caso clássico de viés de confirmação. Se Davis e Lanouette tivessem conversado abertamente sobre suas opções, Davis poderia ter percebido que seria perigoso estar a 250 metros se algo desse errado.

O alto número de fatalidades foi resultado direto dessa série de decisões equivocadas. A alta taxa de descida no momento do impacto fez com que as paredes da cabine falhassem, permitindo que o helicóptero afundasse quase imediatamente. Também causou ferimentos graves aos passageiros e tripulantes, o que impediu a fuga de alguns deles.

Mapa dos ferimentos sofridos pelos ocupantes. Observe quantos dos que morreram sofreram ferimentos relativamente leves durante o acidente, mas ainda assim se afogaram

Se eles tivessem pousado com uma razão de descida apropriada, os airbags na parte inferior do helicóptero teriam inflado automaticamente para mantê-lo flutuando, e poderia ter havido tempo suficiente para todos escaparem. Mas o forte impacto destruiu os sistemas de ativação dos airbags e nenhum deles inflou. O fato de Robert Decker sobreviver foi um milagre. 

A fuga de um helicóptero que afundou após um grande impacto como o do voo 91 requer firmeza mental, clareza de pensamento, um forte instinto de sobrevivência e muita sorte. Decker tinha todos esses fatores trabalhando a seu favor, mas apenas porque ele havia passado por um treinamento intensivo de sobrevivência em água fria.

Notavelmente, o outro passageiro que conseguiu escapar também recebeu esse treinamento, enquanto a maioria dos que caíram com o helicóptero não. A água gelada rapidamente roubou-lhes a capacidade de pensar com clareza e prender a respiração, deixando-os sem chance de escapar. 

Como resultado do acidente, a FAA emitiu várias diretrizes de aeronavegabilidade exigindo mudanças no Sikorsky S-92A. O primeiro AD exigiu que os operadores do S-92A substituíssem imediatamente os prisioneiros do copo do filtro de titânio por versões de aço. Nenhum S-92A voou novamente com pinos de titânio. 

A FAA também ordenou que Sikorsky mudasse o manual de voo do S-92A para indicar claramente que o tempo de “funcionamento seco” do helicóptero poderia ser de apenas 10 minutos ou menos; e determinou uma mudança de projeto para o copo do filtro que evitaria que ele falhasse como resultado de uma falha de um pino de montagem. 

A Cougar Helicopters introduziu um novo sistema de gerenciamento de segurança; iniciou um programa que aumentou com sucesso o uso de capacetes entre seus pilotos; alterou sua lista de verificação de advertência de baixa pressão de óleo; e contratou um instrutor de gerenciamento de recursos de tripulação qualificado para ensinar um programa de CRM atualizado. A Sikorsky aumentou o número de pinos do recipiente do filtro de três para seis. 

Os passageiros de helicópteros nos campos de petróleo offshore canadenses receberam aparelhos respiratórios subaquáticos e o treinamento de sobrevivência em quedas de helicópteros foi aprimorado. 

E, finalmente, os pilotos do S-92A agora são ensinados que as leituras da temperatura do óleo podem parecer normais se todo o óleo tiver acabado. 

Além das ações já tomadas, o TSB também emitiu várias recomendações, incluindo que Sikorsky redesenhou a válvula de desvio para ativar automaticamente quando uma perda de pressão de óleo for detectada; e que a FAA exige que todos os helicópteros sigam a regra de corrida sem chuva de 30 minutos. 

A queda do voo 91 da Cougar Helicopters contém lições valiosas para todas as partes da indústria da aviação, desde o perigo de brechas de certificação baseadas em probabilidade até a importância de considerar o pior cenário ao tomar decisões. 

Nenhuma pessoa ou organização foi responsável pelo acidente, que ocorreu devido ao acúmulo de inúmeras falhas interconectadas na FAA, em Sikorsky, na Cougar Helicopters e na cabine do voo malfadado. 

A sequência de eventos também é um lembrete importante para estar vigilante e preparado ao voar a bordo de um helicóptero, seja você um piloto ou passageiro. Os helicópteros têm menos sistemas redundantes e mais pontos únicos de falha do que os aviões. 

Enquanto o desejo natural de um avião é continuar voando, o estado natural de um helicóptero é basicamente um tijolo, exigindo vários sistemas complexos apenas para evitar que caia do céu.

É difícil fazer um helicóptero que atenda ao nível de segurança esperado de aviões de asa fixa, mas se a resposta à queda do voo 91 nos mostra alguma coisa, é que helicópteros mais seguros são possíveis se a indústria estiver disposta a se esforçar.

Edição de texto e imagens por Jorge Tadeu (Site Desastres Aéreos)

Com Admiral Cloudberg, ASN e Wikipedia Imagens: Mayday, Transport Canada, Transportation Safety Board of Canada, The Hamilton Spectator, CBC, Vertical Magazine, CTV News, The Globe and Mail e The Telegram. Clipes de vídeo cortesia de Mayday (Cineflix).