Em 4 de novembro de 2010, um Airbus A380 da Qantas foi abalado por uma falha catastrófica no motor minutos após a decolagem de Singapura, lançando fragmentos de um disco de turbina através das asas e da fuselagem em vários pontos. A explosão danificou quase todos os principais sistemas da aeronave, desde os controles de voo e tanques de combustível até os sistemas hidráulico e pneumático.
Diante de uma série de alertas de falha e com a integridade da aeronave comprometida, a tripulação trabalhou em conjunto para tomar uma série de decisões críticas que permitiriam o pouso da enorme aeronave. E, no fim, apesar de uma série de contratempos — incluindo problemas no trem de pouso, perda de capacidade de frenagem e um motor que se recusava a desligar — eles não só conseguiram pousar o avião, como o fizeram sem ferir nenhum dos 469 passageiros e tripulantes.
A causa do incidente foi finalmente rastreada até o interior do motor número dois: um único tubo de óleo que havia sido fabricado com uma parede ligeiramente mais fina do que o necessário. Como esse defeito aparentemente minúsculo surgiu e como quase derrubou o maior avião de passageiros do mundo é uma história tão fascinante quanto a do próprio voo, remontando a anos e abrangendo decisões questionáveis no projeto, falhas ocultas na lógica de usinagem e suposições equivocadas sobre o comportamento do motor.
Repetidamente, o problema escapou pelas brechas do sistema, despencando ladeira abaixo rumo ao desastre — para ser contido no último instante, não apenas pelos próprios pilotos, mas também por uma série de proteções explícitas incorporadas ao projeto do A380, cada uma desempenhando um papel crucial na contenção das consequências de uma falha que superou as piores expectativas do fabricante. A história do voo 32 da Qantas, como contada aqui, não é apenas o relato de uma emergência dramática, mas um testemunho da segurança da aviação atual — uma história que deve fazer com que cada leitor se sinta um pouco menos receoso de voar.
Introduzido em serviço em 2007, o A380, de dois andares e quatro motores, é de longe a maior aeronave de passageiros do mundo, superando o aclamado Boeing 747 em quase todas as dimensões. Impressionante de se ver e agradável de pilotar, não há muito o que criticar no A380 — a menos que você seja uma companhia aérea, caso em que a maioria das grandes empresas descartou o gigante por considerá-lo grande demais para seus modelos operacionais. De fato, a avaliação dos analistas hoje é de que o A380 foi construído para um mercado que havia encolhido consideravelmente quando ele entrou em serviço, e, como resultado, a produção terminou em 2021 com apenas 254 unidades construídas, algumas das quais já foram sucateadas.
Para uma aeronave extraordinariamente cara, equipada com algumas das tecnologias mais avançadas de qualquer avião comercial, resultado coletivo de imenso esforço e imaginação, tal destino é lamentável, mas os motivos por trás disso e o futuro do modelo são assuntos para outro artigo. Apesar do exposto, algumas companhias aéreas consideraram o A380 adequado para suas operações, incluindo a Qantas, a companhia aérea de bandeira da Austrália. A Qantas encomendou 12 A380s para serem entregues em 2008, dos quais dez ainda estão em operação. Foi o primeiro deles, registrado como VH-OQA e apelidado de Nancy-Bird Walton em homenagem à pioneira da aviação australiana, que se envolveu nos eventos de 4 de novembro de 2010.
 |
| VH-OQA, a aeronave envolvida no acidente |
Naquela data, o VH-OQA chegou a Singapura para uma escala programada em uma longa viagem de Londres a Sydney, onde reabasteceu, embarcou passageiros e recebeu uma nova tripulação para o último trecho até a Austrália. O avião estava praticamente lotado, com 440 dos 450 assentos ocupados, além de uma enorme equipe de 29 tripulantes, incluindo nada menos que cinco pilotos.
Embora o A380 seja normalmente pilotado por apenas dois pilotos, a Qantas também havia escalado um segundo oficial como tripulante de reserva; um instrutor de voo estava realizando uma verificação de linha com o comandante; e outro instrutor de voo estava treinando o primeiro instrutor de voo, então a cabine de comando estava certamente lotada.
No comando, e sob avaliação, estava o Capitão Richard Champion de Crespigny, de 53 anos, um veterano da aviação com mais de 15.000 horas de experiência e 32 anos na área. Os demais tripulantes eram o Primeiro Oficial Matt Hicks, o Segundo Oficial Mark Johnson, o Comandante Harry Wubben e o Comandante Sênior David Evans. Os cinco tripulantes somavam 140 anos de experiência em aviação e 71.000 horas de voo, um total incrível raramente igualado.
Às 9h56, horário local, com o Comandante de Crespigny aos comandos, o voo 32 da Qantas decolou de Singapura e seguiu para sudeste, atravessando o estreito em direção à Indonésia, sobrevoando a densamente povoada ilha de Batam. Todos os parâmetros pareciam normais enquanto o A380 subia a 7.000 pés, quatro minutos após a decolagem. Não havia qualquer indício de que uma falha catastrófica estivesse prestes a ocorrer.
◊◊◊
 |
| Um motor Rolls-Royce Trent 900 com um homem para comparação de escala |
Para entender o que aconteceu a bordo do voo 32 da Qantas, preciso descrever a estrutura de certas partes específicas do motor. Como todos os motores a jato de alto bypass, o Trent 900 consiste em quatro seções principais: o ventilador, os compressores, a câmara de combustão e as turbinas.
Durante o funcionamento normal, o ar é forçado para trás e pressurizado por uma série de compressores cada vez mais potentes, antes de ser alimentado na câmara de combustão, onde é misturado com o combustível e inflamado. A combustão cria energia mecânica que gira uma série de turbinas, que por sua vez acionam os compressores, bem como o ventilador na parte frontal do motor, que acelera grandes quantidades de ar de bypass ao redor da parte externa do núcleo do motor para gerar a maior parte do empuxo.
 |
| Localização das turbinas e compressores no Trent 900 |
A maioria dos motores turbofan analisados em meus artigos possui um compressor de alta pressão e um compressor de baixa pressão, que correspondem às turbinas de alta e baixa pressão. Essas turbinas são conectadas às suas respectivas seções de compressores por eixos de transmissão concêntricos.
No entanto, o Trent 900 difere ligeiramente desse projeto, pois também possui um compressor de pressão intermediária com uma turbina de pressão intermediária correspondente, entre as seções de alta e baixa pressão. Ele também difere pelo fato de o próprio ventilador funcionar como compressor de baixa pressão. (De agora em diante, por brevidade, as abreviações LP, IP e HP serão usadas para baixa pressão, pressão intermediária e alta pressão, respectivamente).
 |
| Neste diagrama em corte da área da turbina IP, desenhei caixas azuis ao redor dos componentes mencionados no parágrafo seguinte |
No Trent 900, as seções da turbina HP e IP na parte traseira do motor consistem em um disco de turbina de estágio único. As pás ao redor da circunferência de cada disco capturam a energia mecânica dos gases quentes da combustão que fluem pelo que é conhecido como "caminho de gás do anel". Esses gases giram o disco, que é conectado por um braço de acionamento ao seu respectivo eixo de acionamento. O eixo, então, transfere a energia rotacional da turbina para o compressor correspondente na parte frontal do motor.
Este trecho de um vídeo da FAA ajuda a visualizar o corte transversal do conjunto do mancal de alta/média pressão. Observe a localização da câmara do mancal, que aparece cheia de óleo, e o tubo que leva até ela
Para suportar os discos e eixos da turbina, permitindo ao mesmo tempo sua livre rotação, o motor possui um sistema complexo de mancais. As seções de alta e média pressão da turbina compartilham um conjunto de mancais comum, chamado cubo do mancal de alta/média pressão, que circunda os eixos de acionamento e os mantém no lugar, permitindo sua livre rotação. Para evitar o desgaste dos mancais, o espaço dentro do cubo do mancal, chamado de câmara do mancal, é constantemente preenchido com óleo pressurizado, o que garante o funcionamento suave de todo o conjunto.
Esse óleo é fornecido principalmente por um tubo de alimentação que sai do suprimento principal de óleo do motor, passa pelo caminho dos gases do anel de lubrificação e desce até o cubo do mancal de alta/média pressão, onde o óleo é injetado através de um filtro e direcionado para a câmara do mancal. A estrutura do cubo do mancal consiste em uma seção interna e uma externa, de modo que exista um espaço vazio entre a câmara do mancal e o restante do motor. O tubo de alimentação de óleo atravessa ambas as seções para alcançar a câmara do rolamento.
O último segmento desse tubo, com alguns centímetros de comprimento, é soldado no lugar durante a fabricação do cubo do rolamento, e a parte principal do tubo é encaixada posteriormente. Esse segmento final fixo que passa pelo espaço de amortecimento entre as seções interna e externa do cubo do rolamento HP/IP é chamado de "tubo de ligação".
Uma animação da FAA da sequência de falhas que levou à explosão a bordo do voo 32 da
Qantas, com anotações minhas. Isso deve ser muito útil para visualizar o parágrafo seguinte
Por razões que serão examinadas em detalhes mais adiante, este minúsculo tubo de alimentação de óleo desencadeou uma sequência crescente de eventos em questão de segundos, enquanto o voo 32 da Qantas decolava de Singapura. No motor nº 2, localizado na posição interna da asa esquerda, uma rachadura no tubo de alimentação de óleo causou um vazamento de óleo menos de quatro minutos após a decolagem.
O vazamento era pequeno, mas o óleo dentro do tubo estava sob alta pressão, resultando em um jato atomizado no espaço entre as seções interna e externa do cubo do rolamento HP/IP. A temperatura dentro desse espaço provavelmente estava entre 365 e 375 °C, bem acima da temperatura de autoignição do óleo do motor, de 280 °C, portanto o jato se inflamou imediatamente.
Na extremidade dianteira do cubo do rolamento, uma vedação tripla é fixada à estrutura do cubo para isolar o espaço de amortecimento, que possui baixa pressão interna, da área atrás do disco da turbina de alta pressão, onde a pressão é maior. Mas, à medida que o fogo no espaço de amortecimento se alastrou, atingiu essa vedação, causando sua falha. Com a área de baixa pressão desprotegida, o ar altamente pressurizado do fluxo de gás do anel foi atraído para ela, irrompendo pelo disco da turbina de alta pressão e entrando no espaço de amortecimento.
Essa rajada de ar que entrou pela extremidade dianteira do espaço de amortecimento impulsionou o fogo para trás, como um maçarico, contra a vedação correspondente na outra extremidade, que também falhou. O óleo em chamas, como um maçarico, conseguiu então entrar em contato direto com o braço de acionamento que conecta o disco da turbina IP ao seu eixo de acionamento, localizado diretamente atrás do cubo do rolamento HP/IP. Já sob considerável tensão devido à operação normal do motor, o braço de acionamento falhou sob o calor intenso em questão de segundos. Toda essa sequência, desde o início do vazamento de óleo até a falha do braço de acionamento, durou consideravelmente menos de um minuto.
 |
| O disco da turbina se desintegra |
Durante a operação normal, essa energia é usada para girar os compressores intermediários, o que requer uma força considerável. Mas esse caminho de carga só existe quando o disco da turbina está conectado ao eixo de acionamento, então, quando o braço de acionamento quebrou, a única maneira de o disco absorver toda essa energia era girar cada vez mais rápido… e cada vez mais rápido…
Em apenas quatro segundos, a energia do fluxo de gás no anel acelerou a turbina IP além de sua velocidade crítica, até que as forças centrífugas excederam a resistência máxima do disco de liga de níquel maciço. O disco incandescente, girando descontroladamente, fraturou-se instantaneamente em várias seções, que foram lançadas para fora em múltiplas direções a uma velocidade incompreensível.
Os projetistas de motores fazem o possível para garantir que a estrutura do motor possa conter detritos voadores, como pás individuais de ventiladores e turbinas, mas a quantidade de energia contida nesses tipos de projéteis é uma fração da energia contida em um fragmento de um disco de turbina que se rompeu. Para fins de engenharia, assume-se que os fragmentos do disco possuem energia infinita no momento da liberação; eles cortarão qualquer material razoável e não podem ser contidos.
Quando o disco da turbina IP do voo 32 da Qantas se rompeu repentinamente, nada pôde deter os fragmentos resultantes, que cortaram a carcaça e a carenagem do motor como se fossem manteiga, abrindo uma fissura circunferencial perfeita ao redor de todo o motor, dentro da aeronave, onde o disco estava localizado. Em uma fração de segundo, um desses fragmentos de disco saiu do motor para baixo e para a esquerda, impulsionado em direção ao solo distante, mas vários outros viajaram na direção oposta.
Um fragmento foi lançado para a direita, entrou na área abaixo do compartimento de carga, atravessou várias longarinas estruturais e feixes de cabos, e saiu do outro lado, para nunca mais ser visto. Mais dois fragmentos dispararam para cima, abrindo caminho com destruição pelo interior da asa esquerda antes de emergirem de sua superfície superior, momento em que também desapareceram no espaço. Numerosos pedaços menores, como pás de turbina desalojadas e fragmentos da estrutura do motor, também se espalharam por várias partes da aeronave, incluindo as asas e a fuselagem.
A bordo do avião, os pilotos e passageiros ouviram duas explosões distintas em rápida sucessão, seguidas, na cabine de comando, por uma súbita e avassaladora cascata de avisos. O avião guinou ligeiramente para a esquerda e o sistema de autothrust desconectou-se. Reconhecendo que havia ocorrido uma falha grave, o Capitão de Crespigny pressionou o botão de manutenção de altitude no piloto automático para nivelar o avião, e então a atenção de todos se voltou para o ECAM.
O sistema eletrônico centralizado de monitoramento de aeronaves, ou ECAM, apresenta à tripulação avisos, alertas e recomendações relacionados à degradação ou falha de uma ampla gama de sistemas da aeronave, juntamente com os procedimentos anormais ou de emergência associados.
Presente na maioria das aeronaves comerciais modernas, o ECAM transformou a maneira como os pilotos lidam com emergências em voo, ajudando a garantir uma ação rápida e correta em resposta a praticamente qualquer falha mecânica concebível. Hoje, esse sistema seria colocado à prova. A primeira mensagem a aparecer na tela do ECAM foi um aviso de SUPERAQUECIMENTO DA TURBINA DO MOTOR 2, seguido, nos 20 segundos seguintes, por outras 34 mensagens de diferentes níveis de alerta.
As mensagens de maior prioridade, exibidas no topo da lista, indicavam um problema grave no motor nº 2, mas, curiosamente, não uma falha completa, pois o motor — exceto o disco da turbina IP e todos os componentes conectados a ele — ainda estava girando. Após as ações indicadas pelo ECAM, o Capitão de Crespigny reduziu a potência do motor danificado, mas, em vez de corrigir o problema, um aviso de “INCÊNDIO NO MOTOR 2” apareceu na tela por um ou dois segundos e depois desapareceu.
 |
| Um membro da tripulação tirou esta foto do painel de instrumentos durante o voo, mostrando várias mensagens, incluindo uma mensagem vermelha de "aviso", no visor do ECAM |
Enquanto o primeiro oficial Hicks fazia uma chamada de emergência (pan-pan) para o controle de tráfego aéreo, um nível abaixo de "mayday", a tripulação decidiu que o motor provavelmente estava gravemente danificado e optou por desligá-lo. Ao reduzirem a potência, a mensagem ENG 2 FAIL finalmente apareceu no ECAM.
Os pilotos também tentaram acionar os dois extintores de incêndio embutidos no motor, mas apenas um deles disparou e nenhuma das luzes de confirmação acendeu. No entanto, ao percorrerem a lista aparentemente interminável de alertas do ECAM, dos quais apenas um ou dois podiam ser exibidos por vez, ficou claro que o motor e seus extintores de incêndio não eram os únicos sistemas com problemas. Quando os fragmentos do disco da turbina IP atravessaram a asa e a fuselagem do A380, causaram danos secundários consideráveis ao longo do percurso, não apenas ao motor nº 2, mas também ao tanque de combustível da asa esquerda, que apresentou um vazamento; ao mecanismo de extensão do slat da asa, que foi atingido diretamente; e ao sistema elétrico da aeronave.
Além disso, dois chicotes de fios na borda de ataque da asa e na área da fuselagem foram completamente rompidos, afetando coletivamente cerca de 650 fios que transportavam informações críticas para e de praticamente todos os sistemas imagináveis da aeronave.
Um breve resumo, longe de ser exaustivo, dos danos à aeronave incluiu danos por impacto no revestimento superior e inferior da asa esquerda, na longarina dianteira, nas nervuras internas e na junção da asa com a fuselagem; perda de controle das bombas hidráulicas verdes (esquerda); degradação do sistema hidráulico amarelo (direita); perda de energia elétrica CA dos motores 1 e 2; perda de um dos quatro sistemas de distribuição de energia CA; perda de funcionalidade de todos os slats da borda de ataque; perda parcial de funcionalidade dos spoilers e ailerons; Degradação do controle sobre todos os motores restantes, resultando na perda do sistema de autothrust; perda da funcionalidade dos freios do trem de pouso da asa esquerda e do sistema antiderrapante dos freios do trem de pouso da asa direita; grave interrupção do sistema pneumático; perda das válvulas de corte de baixa pressão de combustível nº 1 e nº 2; degradação do sistema indicador de quantidade de combustível; redução na capacidade de transferência de combustível; perda do sistema de ejeção de combustível; perda da capacidade de proteção contra incêndio nos motores 1 e 2; e muito mais.
 |
| Mapa das superfícies de controle de voo operacionais [verde] e inoperantes [vermelho] |
Uma das falhas mais graves foi a perda do sistema hidráulico verde. Embora o sistema em si não tenha sido rompido, os fios cortados paralisaram todas as bombas hidráulicas verdes, resultando em uma perda de pressão que tornou inoperantes todos os sistemas que dependiam dele.
Ao contrário de algumas outras aeronaves de fuselagem larga, o A380 possui apenas dois sistemas hidráulicos — verde e amarelo — que abastecem principalmente os lados esquerdo e direito da aeronave, respectivamente. Em vez de sistemas hidráulicos redundantes, o A380 possui atuadores hidráulicos de reserva independentes em cada superfície de controle de voo individual, garantindo que mesmo uma perda total de ambos os sistemas hidráulicos resulte em dificuldades mínimas de controle de voo.
No entanto, os danos diretos degradaram o controle de rolagem da aeronave, eliminando o aileron central esquerdo (o A380 possui três em cada asa) e os spoilers 4 e 6 da asa esquerda. A perda de pressão hidráulica verde também causou a falha dos ailerons externos em ambas as asas, dos spoilers 2 e 8 em cada asa e do spoiler 4 na asa direita. No entanto, a redundância integrada no A380 era tão grande que os painéis de spoiler e aileron restantes foram suficientes para manobrar a aeronave, apesar de uma perda de 65% na capacidade de controle de rolagem. Inicialmente, as indicações do sistema hidráulico confundiram a tripulação.
A impressão inicial era de que o dano estava confinado ao lado esquerdo da aeronave, então eles se surpreenderam ao ver uma indicação relacionada ao sistema hidráulico amarelo (direito) misturada com todas as outras mensagens do ECAM, e consideraram brevemente se as mensagens poderiam ser falsas. A mesma possibilidade foi considerada pelos técnicos da Qantas em solo, que estavam recebendo dados de telemetria em tempo real da aeronave. Mas, ao acessar páginas eletrônicas detalhadas de status para cada sistema da aeronave e verificar o que não estava funcionando, os pilotos puderam concluir que todas as falhas eram provavelmente reais.
 |
| Um passageiro tirou esta foto em voo, mostrando os orifícios de saída dos fragmentos da turbina na superfície superior da asa |
Nesse momento, a tripulação precisava tomar uma decisão: deveriam pousar imediatamente ou deveriam esperar para executar todos os procedimentos anormais associados às dezenas de mensagens do ECAM?
Avaliando que a aeronave era controlável com o piloto automático ligado e desligado, eles finalmente concordaram que era seguro permanecer no ar e que preferiam garantir que todos os tripulantes tivessem uma compreensão completa do estado de cada sistema da aeronave antes de iniciar o pouso. A última coisa que precisavam era de uma surpresa na aproximação final que os obrigasse a arremeter.
Tendo escolhido esse curso de ação, a tripulação solicitou autorização para entrar em um padrão de espera e o controle de tráfego aéreo concedeu-lhes permissão para circular sobre o oceano a nordeste de Singapura. A tripulação estimou que levaria pelo menos 30 minutos para executar todas as ações do ECAM. Enquanto isso, a tripulação de cabine tentava chamar a atenção dos pilotos usando o botão de chamada de emergência, mas todos os pilotos estavam tão concentrados nas falhas que inicialmente não perceberam. Só então enviaram o segundo oficial Mark Johnson para avaliar a situação na cabine.
Um piloto da Qantas, que viajava como passageiro no andar superior, chamou sua atenção para o sistema de entretenimento de bordo, que exibia uma imagem ao vivo da aeronave captada por uma câmera na cauda. A transmissão digital mostrava claramente um fluxo de combustível escorrendo da asa esquerda e atingindo o rastro da aeronave, visível também a olho nu do andar inferior. Johnson desceu para verificar pessoalmente e, nesse momento, observou pela primeira vez dois buracos enormes na parte superior da asa esquerda, cercados por metal irregular, por onde os fragmentos do disco da turbina haviam saído.
Segundo o comandante David Evans, a tripulação estava preocupada com o número de passageiros que assistiam à transmissão ao vivo da câmera na cauda, mas, em consenso, os pilotos optaram por não desligá-la, pois, em sua opinião, a interrupção repentina da transmissão seria provavelmente mais alarmante do que qualquer coisa que pudesse ser vista nela.
◊◊◊
 |
| Parte do disco da turbina causou sérios danos a um prédio |
Enquanto isso, em terra, os eventos tomavam um rumo inesperado. Na ilha de Batam, na Indonésia, destroços do motor nº 2 caíram em uma área povoada logo após a falha, causando surpresa e alarme. Entre os destroços, havia uma grande parte do disco da turbina IP que havia falhado, e que caiu com tanta força que atravessou um prédio, destruindo uma parede de tijolos.
Felizmente, ninguém em Batam se feriu com os destroços. No entanto, fotos de moradores locais segurando destroços de um avião com o que parecia ser a pintura da Qantas logo foram postadas no Twitter, onde foram interpretadas como indícios de que um avião da Qantas havia realmente caído em algum lugar sobre Batam.
Os engenheiros da Qantas já sabiam que o avião ainda estava voando, mas não conseguiam contatar a tripulação para obter mais informações. E fora desse círculo, a notícia de que um A380 da Qantas possivelmente havia caído se espalhou tão rapidamente que até mesmo os investidores reagiram enquanto o avião ainda estava no ar. Na verdade, o CEO da Qantas só tomou conhecimento da situação quando recebeu um telefonema perguntando por que o preço das ações da empresa estava caindo.
 |
| Pessoas recolhem pedaços da carenagem do motor que caiu em Batam |
Lá no alto, essas preocupações estavam longe da mente da tripulação. Executando um procedimento ECAM após o outro, eles estabilizaram lentamente vários sistemas afetados, mas, à medida que faziam isso, um problema em particular piorava: o combustível. Com um vazamento prodigioso de combustível do tanque da asa esquerda, um desequilíbrio se desenvolveu entre as asas esquerda e direita, provocando um alerta no ECAM instruindo-os a abrir as válvulas de transferência de combustível para equalizar os níveis.
No entanto, com um vazamento evidente e outras mensagens do ECAM indicando danos ao sistema de transferência de combustível, após uma discussão detalhada, os pilotos concluíram que seguir as instruções do computador seria imprudente — um ótimo exemplo de por que experiência e bom senso ainda são necessários, mesmo em uma aeronave tão automatizada quanto o A380. No final, foram necessários 55 minutos para apagar todas as mensagens do ECAM, um tempo sem precedentes que certamente estava muito além de qualquer coisa que os pilotos tivessem imaginado. Mas mesmo assim, ainda havia mais considerações a serem feitas antes que pudessem pousar.
O mais notável era que o avião ainda estava com mais de 40 toneladas acima do seu peso máximo de pouso, e entre as falhas ocorridas estava a perda do sistema de ejeção de combustível, o que impossibilitava a redução do peso por meio desse descarte. A possibilidade de permanecer no ar até que o combustível excedente fosse consumido foi considerada, mas com um desequilíbrio crescente de combustível entre as asas direita e esquerda e uma perda de 65% do controle de rolagem, os pilotos concluíram que isso seria irresponsável.
A conclusão foi que precisavam pousar em breve, mesmo estando acima do peso máximo. Mas será que alguma das pistas de Singapura seria longa o suficiente para acomodar um A380 significativamente sobrecarregado, com freios danificados, vários spoilers defeituosos e sem reversão de empuxo no motor 2? Certamente havia motivos para duvidar.
 |
| A trajetória completa do voo 32, incluindo sua longa espera |
Para ter certeza, o Capitão de Crespigny instruiu os dois comandantes instrutores a determinarem a distância de pouso necessária usando o software de desempenho da Airbus instalado em laptops no cockpit. O software detalhado permitia que eles inserissem vários parâmetros, incluindo o clima, as condições da pista e quaisquer falhas de sistemas, e então calculassem se era possível pousar.
Mas, após a inserção de todos os dados, o programa apresentou uma resposta ineficaz: “nenhum resultado”. Ao calcular a distância de pouso, o software aplicava um “coeficiente operacional” genérico para levar em conta, de forma conservadora, as variações nas técnicas de pilotagem que poderiam resultar em uma desaceleração menos eficiente.
O problema, como os investigadores descobririam mais tarde, era que o software aplicava o coeficiente novamente sempre que outra falha de sistema era adicionada. Com tantas falhas de sistema na aeronave, o coeficiente foi aplicado um total de 9 vezes, resultando em uma distância de pouso calculada consideravelmente maior do que o comprimento da pista disponível.
No entanto, o Comandante Evans conseguiu resolver o problema inserindo manualmente o peso real de pouso, anulando a suposição do programa de um peso máximo de pouso. Ao especificar um peso de pouso superior ao máximo, a lógica do sistema mudou para aplicar o coeficiente operacional apenas uma vez — por razões obscuras e sem relação com o problema — e, para sua surpresa, ao executar os cálculos desta vez, o computador indicou que eles poderiam pousar com dificuldade em qualquer uma das pistas de 4.000 metros do Aeroporto Changi de Singapura, com apenas 100 metros de folga. Não era muito, mas sem pistas melhores por perto, teria que servir.
 |
| Policiais indonésios posam com um pedaço da fuselagem do avião |
Finalmente pronto para prosseguir, o Capitão de Crespigny retirou a aeronave do padrão de espera e iniciou as manobras para a aproximação. A tripulação solicitou caminhões de bombeiros para o pouso devido ao vazamento de combustível e orientou a tripulação de cabine a se preparar para uma emergência em solo caso ultrapassassem a pista. Eles alinharam com a pista a uma distância consideravelmente maior do que o habitual para minimizar as manobras, já que os comandos estavam bastante lentos — principalmente devido ao controle de rolagem comprometido.
O Capitão de Crespigny realizou, então, verificações manuais adicionais durante a aproximação para garantir que as características de controle permanecessem consistentes enquanto o Primeiro Oficial Hicks estendia progressivamente os flaps. Os pilotos também decidiram manter os motores 1 e 4 em um nível de empuxo constante e ajustar a velocidade utilizando apenas o motor 3, pois este era o menos afetado pelas diversas falhas do sistema de controle eletrônico. Os problemas, contudo, persistiram. Devido a uma falha no sistema hidráulico verde, o trem de pouso não baixou quando a alavanca foi acionada, obrigando os pilotos a utilizar um sistema de reserva que permitia o acionamento por gravidade. Felizmente, essa solução funcionou.
O Capitão de Crespigny também teve que manter uma faixa de velocidade muito estreita, pois havia uma margem mínima entre a velocidade mínima de segurança no ar, abaixo da qual a aeronave entraria em estol, e a velocidade máxima de segurança no pouso, acima da qual ultrapassaria a pista. De Crespigny lembrou posteriormente que a faixa de segurança entre essas velocidades era provavelmente de apenas três ou quatro nós. Em determinado momento, a aeronave chegou a gerar um alerta automático de baixa energia, avisando que a velocidade estava caindo muito para a configuração atual — então de Crespigny aumentou ligeiramente a potência do motor 3, e o alerta desapareceu.
Apesar disso, com a ajuda do sistema fly-by-wire ainda operacional do Airbus e dos controles praticamente intactos, de Crespigny conseguiu realizar o pouso com precisão, aterrissando suavemente na pista 20C do Aeroporto de Changi às 11h46, pouco menos de duas horas após a decolagem. Um alerta de estol soou brevemente pouco antes do toque na pista, mas uma fração de segundo depois eles já estavam no solo e o problema foi resolvido.
Os pilotos acionaram os freios que ainda funcionavam, ativaram o reverso de empuxo no motor 3 — o A380 só possui reversores nos motores internos — e torceram para que fosse suficiente. A desaceleração não foi exatamente exuberante, mas considerando o esforço necessário para parar uma aeronave do porte de um A380, mesmo em condições ideais, foi bastante impressionante.
Contudo, foi apenas bem no final do pouso que os pilotos tiveram certeza de que conseguiriam parar na pista, e, no fim das contas, o software de desempenho não estava muito longe da realidade: quando o avião parou completamente, restavam apenas 150 metros dos 4.000 metros da pista. Mesmo que alguns passageiros pensassem que seu pesadelo havia terminado, ainda havia mais por vir. Ao desligarem os motores, os pilotos observaram que a temperatura dos freios do trem de pouso esquerdo havia subido alarmantemente.
Esses eram os únicos freios funcionando no lado esquerdo da aeronave e foram submetidos a uma tensão considerável durante o pouso, o que causou seu superaquecimento; o superaquecimento, por sua vez, fez com que quatro pneus esvaziassem. Para piorar a situação, ainda havia vazamento de combustível na asa, e havia uma preocupação real de que um incêndio pudesse começar se o combustível derramado entrasse em contato com os freios quentes.
Além disso, quando os motores 3 e 4 foram desligados, o avião perdeu energia elétrica e, ao tentarem ligar a unidade de energia auxiliar, esta não conectou o sistema elétrico devido a danos na infraestrutura de distribuição. Operando apenas com energia elétrica de emergência, o avião passou a ter apenas um rádio VHF funcionando, e a tripulação levou alguns instantes para descobrir qual era, para que de Crespigny pudesse contatar o corpo de bombeiros do aeroporto.
 |
| Passageiros desembarcam do voo 32 |
Ao entrar em contato com a equipe de bombeiros, de Crespigny os orientou a resfriar os freios, mas o bombeiro responsável respondeu com uma notícia surpreendente: o motor nº 1 ainda estava funcionando, mesmo após a tripulação já ter realizado o procedimento de desligamento.
Danos nos sistemas da asa haviam inoperante as válvulas de corte de combustível do motor nº 1, impedindo a tripulação de desligá-lo pelos meios normais. Os dois extintores de incêndio do motor nº 1 também estavam inoperantes, impedindo a tripulação de desligá-lo acionando a alavanca de emergência. Incapaz de resolver o problema, de Crespigny orientou os bombeiros a se aproximarem dos freios, mantendo-se o mais longe possível das entradas e saídas de ar do motor nº 1.
Se os bombeiros se aproximassem demais da entrada de ar, poderiam ser sugados pela turbina; por outro lado, aproximar-se demais por trás resultaria em queimaduras graves, além do jato de ar. Apesar disso, as equipes de bombeiros conseguiram se aproximar o suficiente para jogar espuma nos freios, evitando um incêndio. Durante esse período, a tripulação também debateu se deveria ou não evacuar os passageiros.
Uma evacuação nem sempre é uma decisão fácil: as estatísticas mostram que cerca de 5 a 10% dos passageiros que evacuam pelas rampas de emergência sofrem ferimentos graves e, com 440 passageiros a bordo, incluindo idosos e pessoas com deficiência, esse era um número potencialmente muito grande de pessoas. Considerando que o risco de incêndio havia sido reduzido, a tripulação finalmente concordou que o lugar mais seguro para os passageiros era dentro da aeronave — pelo menos por enquanto.
Os comissários de bordo foram instruídos a se deslocarem para seus postos no lado direito da aeronave para estarem prontos para uma evacuação de emergência, caso a situação mudasse repentinamente, enquanto os pilotos tentavam solicitar que uma escada fosse levada até a aeronave. Mas, como o único rádio funcionando estava sendo usado para comunicação com os bombeiros, os únicos outros sistemas de comunicação em funcionamento a bordo da aeronave desligada eram os celulares dos pilotos. Levou bastante tempo e várias tentativas frustradas até que conseguissem falar com alguém na Qantas que pudesse ligar para a empresa de serviços aeroportuários do Aeroporto de Changi e pedir que enviassem uma escada de embarque.
 |
| Bombeiros tentam afogar o motor nº 1, ainda em funcionamento |
Após 50 minutos a bordo do avião cada vez mais abafado — sem energia e sem ar condicionado —, as escadas finalmente chegaram e o desembarque começou. Levou uma hora para que todos saíssem por uma única saída de forma ordenada, mas, no final, todos os 440 passageiros saíram ilesos.
Quanto ao motor nº 1, que ainda estava funcionando, os engenheiros da Qantas concluíram que a única maneira de desligá-lo era afogá-lo com espuma de combate a incêndio. Os bombeiros então despejaram grandes quantidades de água e espuma na entrada de ar, o que se mostrou eficaz, já que o motor finalmente parou às 14h53, mais de três horas após o pouso da aeronave.
◊◊◊
 |
| A tripulação do voo 32; da esquerda para a direita: Mark Johnson, Matt Hicks, Richard de Crespigny, David Evans e Harry Wubben |
A notícia de que o A380 da Qantas, com problemas mecânicos, havia pousado em segurança em Singapura foi um grande alívio para todos, especialmente para aqueles que estavam a bordo, que imediatamente elogiaram a tripulação. O Capitão de Crespigny, em um ato exemplar de profissionalismo, chegou a fornecer seu número de telefone pessoal e permaneceu por duas horas no lounge da Qantas em Singapura para responder às perguntas dos passageiros sobre o voo. Ele e sua tripulação foram aclamados como heróis, e não sem razão.
O número de falhas a bordo do A380 superou quase qualquer outro incidente, pelo menos em uma aeronave com tecnologia moderna de monitoramento de falhas. Tomadas de decisão ponderadas, trabalho em equipe e gerenciamento de recursos da tripulação ajudaram a equipe a determinar coletivamente o curso de ação com menor probabilidade de resultar em ferimentos ou perda de vidas, com resultados perfeitos. A própria aeronave, no entanto, também contribuiu bastante.
O projeto do sistema de controle de voo garantiu que o impacto na controlabilidade fosse limitado, mesmo com danos graves nos ailerons e a perda de um dos dois sistemas hidráulicos. Apesar de seu tamanho, o A380 é conhecido por responder com muita precisão aos comandos graças ao projeto de seu sistema fly-by-wire, que permaneceu totalmente intacto durante o incidente, permitindo que os pilotos se concentrassem principalmente na tomada de decisões em vez de no manuseio da aeronave.
O ECAM (Módulo de Conta de Emergência da Aeronave) e as páginas detalhadas dos sistemas também ajudaram os pilotos a avaliar a extensão das falhas de uma forma que não era necessariamente possível duas décadas antes. Sem minimizar as ações da tripulação, também é justo dizer que o projeto do A380 incorporou tanta redundância e margens de segurança tão elevadas que o risco de um acidente catastrófico era provavelmente muito baixo, mesmo com tantos danos à aeronave.
 |
| Resíduos escuros dentro do tanque de combustível, perto das rupturas, indicavam um breve incêndio repentino |
No entanto, havia alguns pontos com potencial para danos ainda maiores. É evidente que, se algum fragmento da turbina tivesse atingido a cabine de passageiros, haveria feridos, senão vítimas fatais, mesmo que o avião pousasse em segurança posteriormente. E, talvez ainda mais preocupante, os investigadores encontraram posteriormente indícios de um breve incêndio repentino dentro do tanque de combustível da asa esquerda, que provavelmente ocorreu quando um fragmento extremamente quente da turbina entrou em contato com vapores de combustível no espaço vazio do tanque.
Pesquisas realizadas como parte da investigação sobre o acidente com o voo 800 da TWA em 1996, causado pela explosão do tanque de combustível central, constataram que os tanques de combustível das asas de aviões comerciais continham misturas inflamáveis de ar e combustível em cerca de 7% dos casos.
No entanto, no voo 32 da Qantas, a temperatura no tanque estava muito baixa para que a mistura ar-combustível atingisse uma concentração inflamável, e os investigadores determinaram que a breve ignição dos vapores durante a passagem do fragmento da turbina provavelmente não foi suficiente para elevar a temperatura do restante do combustível o bastante para sustentar a combustão. Se esse combustível tivesse continuado a queimar, causando uma explosão ou um incêndio prolongado na asa, o resultado poderia ter sido muito diferente.
 |
| Fios rompidos na borda de ataque da asa |
Embora esses cenários mais catastróficos não tenham se concretizado, o nível de danos ainda estava muito além do que a Airbus ou a Rolls-Royce haviam previsto, e ambas as empresas estavam ansiosas para saber o motivo — assim como os investigadores do Departamento Australiano de Segurança nos Transportes (ATSB), encarregados de descobrir. Os esforços iniciais estabeleceram que um vazamento de óleo causou um incêndio interno que levou à falha do braço de acionamento do disco da turbina IP, conforme descrito anteriormente.
Mas isso não respondeu a uma das perguntas mais importantes dos fabricantes: por que o disco foi autorizado a girar em alta velocidade até estourar? Afinal, de acordo com a filosofia de projeto do motor, isso jamais deveria ter acontecido. O risco representado pela ruptura de um disco de motor, seja ele um ventilador, compressor ou turbina, é bem conhecido na indústria.
Numerosos acidentes catastróficos ocorreram como resultado de rupturas de discos, seja por excesso de velocidade ou defeitos de material. Os efeitos colaterais comprovados da ruptura de discos incluem danos severos aos controles de voo (ver o voo 232 da United, Sioux City, Iowa, 1989, no qual fragmentos do disco da turbina resultaram na falha de todos os sistemas hidráulicos, perda de controle no pouso e 111 mortes); impactos fatais diretos em passageiros (ver o voo 1288 da Delta, Pensacola, Flórida, 1996, no qual um disco do compressor entrou na cabine de passageiros durante a decolagem, matando dois passageiros); e incêndios em voo (ver o voo 5055 da LOT Polish Airlines, Varsóvia, Polônia, 1987, que caiu após um fragmento de um disco de turbina rompido iniciar um incêndio no compartimento de bagagens, matando 183 pessoas).
Acidentes como esses fundamentam as diretrizes de certificação de aeronaves, que classificam a falha de um disco como um evento “perigoso” cuja probabilidade deve ser “extremamente remota” (definida como um evento ou menos a cada 100 milhões de horas de operação). E, por precaução, caso tal evento viesse a ocorrer, as normas introduzidas após o acidente da United em Sioux City também exigem que os fabricantes minimizem as potenciais falhas secundárias que poderiam ocorrer como resultado, razão pela qual o A380 possuía sistemas hidráulicos de reserva individuais para todas as superfícies de controle críticas.
De modo geral, o acidente a bordo do voo 32 demonstrou que os requisitos para minimização de danos foram atendidos, com exceção da consequente impossibilidade de cortar o combustível do motor nº 1, o que foi explicitamente definido nas diretrizes de certificação como indesejável. Esse sucesso, por si só, o diferenciou de acidentes fatais anteriores com liberação do disco. Mas a Rolls-Royce estava preocupada com a possibilidade de o disco estourar. Durante o desenvolvimento do Trent 900, a empresa calculou que, caso o disco da turbina de pressão intermediária (IP) se desconectasse do eixo de acionamento, o disco não aceleraria rápido o suficiente para estourar.
Essencialmente, acreditava-se que, sem a turbina para acioná-lo, o compressor IP desaceleraria até que o ar deixasse de fluir suavemente sobre suas pás, causando uma estolagem que, subsequentemente, se propagaria para o compressor de alta pressão (HP) atrás dele. Isso levaria a uma sobrepressão do motor, na qual a interrupção do fluxo de ar através da seção do compressor permite que o ar pressurizado da câmara de combustão seja expelido para a frente do motor. Em teoria, isso reduziria a quantidade de ar que flui para trás através do caminho de gás do anel e sobre a turbina IP, aliviando a carga na turbina e impedindo que ela acelerasse além de sua velocidade crítica.
Uma premissa fundamental era que a parada do compressor IP ocorreria mais rápido do que o sistema avançado de controle eletrônico do motor conseguiria detectar a sobrepressão e reduzir o fluxo de combustível, o que diminuiria a pressão na câmara de combustão para eliminar a sobrepressão e restaurar o fluxo de ar normal. Na prática, os investigadores descobriram que, embora o compressor IP tenha parado e ocorrido uma sobrepressão, a redução automática do fluxo de combustível foi rápida o suficiente para permitir a recuperação parcial do compressor HP, que voltou a injetar ar pressurizado na câmara de combustão e, consequentemente, sobre a turbina.
Esse fluxo de ar inesperadamente robusto forneceu a energia mecânica necessária para acelerar o disco da turbina IP além de sua velocidade crítica. Os engenheiros da Rolls-Royce não conseguiram determinar conclusivamente por que isso ocorreu. No entanto, para evitar que se repetisse, a empresa desenvolveu uma função de sobrevelocidade da turbina IP para o controle eletrônico do motor, que monitora diretamente o disco da turbina IP e corta instantaneamente o fluxo de combustível para o motor se o disco começar a girar muito rápido.
◊◊◊
 |
| Uma visualização da parede fina do tubo de alimentação de óleo |
Claro, se você chegou até aqui, provavelmente já sabe que uma questão crucial permanece. Toda essa sequência de eventos começou quando o tubo de alimentação de óleo — lembra dele? — apresentou um vazamento. Caso precise refrescar a memória, esse era o pequeno segmento de tubo que atravessava as seções externa e interna do cubo do rolamento para fornecer óleo à câmara do rolamento.
Então, por que isso aconteceu? A resposta, como se vê, era visível a olho nu. Quando os investigadores removeram o tubo defeituoso, descobriram que uma das paredes era simplesmente fina demais. Incapaz de suportar as tensões da operação normal, começou a sofrer fadiga do metal e falhou após apenas 677 voos.
O tubo de alimentação de óleo foi projetado com um diâmetro interno ligeiramente maior na extremidade inferior para acomodar um filtro. Isso exigiu o alargamento do diâmetro interno do tubo através da perfuração de um rebaixo a partir de uma das extremidades, conforme mostrado acima.
O centro do rebaixo deve estar alinhado com o centro do furo principal. No entanto, no tubo recuperado do motor danificado da Qantas, o rebaixo estava deslocado para um dos lados em aproximadamente meio milímetro, resultando em uma espessura de parede irregular que variava de 1,42 mm de um lado a apenas 0,35 mm do outro.
Foi essa parte extra fina da parede do tubo que falhou no voo 32. A história de como o rebaixo ficou deslocado em meio milímetro tem implicações que vão muito além do tamanho físico do erro. A seção seguinte abordará algumas discussões bastante complexas sobre o projeto e o processo de fabricação, mas espero que vocês tenham paciência.
Quando os projetos para o conjunto do cubo do rolamento HP/IP foram elaborados no início dos anos 2000, os engenheiros de projeto seguiram a prática padrão, definindo a posição e as dimensões do tubo de alimentação de óleo e características associadas em relação a um ponto fixo, denominado "datum".
Esse ponto, designado datum AA, foi definido como o furo na seção externa do cubo do rolamento por onde o tubo de alimentação de óleo passa em seu caminho para a câmara do rolamento. Esse furo será conhecido daqui em diante como "furo de folga externo". Todos os outros aspectos da conexão do tubo foram posicionados em relação à linha central desse furo.
Em consonância com o furo de folga externo, os projetos também previam um "furo de interferência" no cubo interno, no qual a extremidade inferior do tubo se encaixaria. O furo de interferência foi projetado para ser ligeiramente mais estreito que o tubo, de modo que a extremidade do tubo, uma vez encaixada firmemente em seu interior, fosse mantida por atrito. Esse furo deveria estar centrado no datum AA para mantê-lo perfeitamente alinhado com o furo de folga externo.
Em seguida, um "rebaixo interno do cubo" seria perfurado a partir do interior do cubo interno, encontrando-se no meio com o furo de interferência. Este seria o furo por onde o óleo do tubo de alimentação de óleo entraria na câmara do rolamento. Então, uma vez que esses furos fossem usinados, o próprio tubo de alimentação de óleo seria inserido através do furo de folga externo e no furo de interferência, sendo então soldado no lugar.
 |
| Como interpretar a relação entre um valor de tolerância, a referência e o deslocamento |
Finalmente, trabalhando de dentro para fora através do rebaixo do cubo interno, o rebaixo do tubo curto seria perfurado até uma profundidade especificada para acomodar o filtro. (Este foi o furo que posteriormente se descobriu estar deslocado em meio milímetro.)
De acordo com as especificações do projeto, o rebaixo do tubo curto deve estar alinhado com a referência AA, com uma tolerância de Ø 0,10 mm. Em outras palavras, isso significa que o centro do rebaixo deve estar dentro de um círculo de 0,10 mm de diâmetro centrado na referência AA. Não significa que o furo possa estar a 0,10 mm da referência, mas sim que o furo pode estar a 0,05 mm da referência em qualquer direção, para uma gama total de posições possíveis com 0,10 mm de diâmetro.
(Aqui, o termo “offset” refere-se à distância de um determinado ponto em relação à referência, enquanto os termos “tolerância” e “não conformidade”, indicados pelo símbolo “Ø”, referem-se ao diâmetro de um círculo centrado na referência e com sua borda no ponto em questão. Por mais confuso que isso possa parecer para alguns leitores, é assim que as tolerâncias são medidas na engenharia da vida real; portanto, se os engenheiros conseguem lidar com isso, você também consegue (esperamos).)
Em todo caso, quando chegou a hora de planejar a fabricação do conjunto do cubo do rolamento, algumas alterações tiveram que ser feitas nesse processo. O problema fundamental era que, uma vez inserido o tubo de alimentação de óleo no conjunto do cubo, o computador de usinagem não conseguiria mais encontrar a localização da referência AA, pois o furo de folga externo que a definia ficaria preenchido pelo tubo. Isso significava que seria impossível determinar com precisão onde o rebaixo para o tubo de alimentação de óleo deveria ser perfurado posteriormente.
Para solucionar esse problema, os engenheiros de produção da Rolls-Royce decidiram redefinir a posição do rebaixo para o tubo em relação a uma nova referência, denominada referência M, que correspondia ao centro do rebaixo interno do cubo. Ao mesmo tempo, a tolerância para o rebaixo do tubo foi alterada de Ø 0,10 mm para Ø 0,20 mm por razões desconhecidas. Mas o problema maior era que a posição do próprio tubo de derivação era determinada pela posição do furo de interferência, que ainda era definida pela referência AA. Como a posição do rebaixo do cubo interno não tinha uma tolerância especificada em relação à referência AA — na verdade, no projeto original, sua posição não importava muito —, não havia garantia direta de que a referência M se alinharia com a referência AA e, portanto, não havia garantia de que o tubo de derivação se alinharia com seu próprio rebaixo. Neste ponto, você já deve estar começando a perceber o problema.
O processo de fabricação propriamente dito, baseado nas especificações acima descritas nos desenhos da etapa de produção, procedeu da seguinte forma. Primeiramente, os conjuntos básicos do cubo foram entregues à fábrica de usinagem da Rolls-Royce em Hucknall, Reino Unido, com o furo de folga externo já perfurado (e o ponto de referência AA definido), mas sem o furo de interferência ou o rebaixo interno do cubo (ponto de referência M). Em vez disso, um furo de referência foi perfurado, tendo como referência o ponto de referência AA, na posição que posteriormente se tornaria o rebaixo interno do cubo. Um pino de sincronização temporário foi inserido nesse furo de referência, sendo então utilizado pelo equipamento de usinagem computadorizado para orientar o cubo de modo que o braço de usinagem se alinhasse com o ponto de referência AA. Até aqui, tudo bem.
Posteriormente, o furo de interferência foi perfurado, tendo como referência o ponto de referência AA. Então veio a parte mais complicada: para perfurar o rebaixo interno do cubo, o pino de sincronização teve que ser removido, mas a máquina também precisava memorizar sua posição para saber onde perfurar. Portanto, o computador de usinagem utilizou sondas especializadas para medir e registrar a posição do pino de sincronização no espaço tridimensional, permitindo a remoção subsequente do pino. Nesse ponto, a única garantia de alinhamento correto do rebaixo do cubo interno — e, consequentemente, do datum M e, portanto, do rebaixo do tubo de escape — era a suposição de que a posição registrada do pino de sincronização permanecia precisa.
 |
| Consegue ver o deslocamento na posição perfurada do rebaixo do cubo interno? |
Infelizmente, essa suposição provou-se incorreta. O problema era que, enquanto o furo de interferência tinha sido perfurado pelo lado de fora, o rebaixo do cubo interno teve de ser perfurado pelo lado de dentro, o que exigiu a reconfiguração das braçadeiras que prendiam o conjunto do cubo, para dar espaço ao braço de usinagem.
Durante esse processo, o conjunto do cubo por vezes — mas nem sempre — deslocava-se imperceptivelmente. Se o cubo se deslocasse, quando o processo de usinagem fosse retomado, a localização registada do pino de sincronização (e, portanto, a referência AA) estaria ligeiramente deslocada da sua nova localização real, e a máquina, consequentemente, perfuraria o rebaixo do cubo interno deslocado por uma mesma medida. Isso significava que a referência M — novamente, definida como o centro do rebaixo do cubo interno — também estaria deslocada da referência AA por essa mesma medida.
Posteriormente, o tubo curto foi inserido através do furo de folga externo e no furo de interferência, onde foi soldado no lugar. O rebaixo para o tubo curto foi então perfurado na extremidade do tubo, tendo como referência o ponto de referência M, que, novamente, estaria deslocado caso o cubo tivesse sofrido uma descida. No caso dos componentes envolvidos no acidente, presume-se que o cubo tenha sofrido uma descida de pouco menos de meio milímetro, resultando em um deslocamento igual tanto do rebaixo interno do cubo quanto do rebaixo para o tubo curto em relação ao próprio tubo. Como consequência, uma das paredes do tubo ficou com espessura insuficiente.
 |
| O produto final é criado com uma parede de tubo curto fina. A melhor maneira de perceber esse deslocamento do rebaixo do tubo curto é medindo a posição do furo de interferência em relação à referência M. Medir o furo de interferência em relação à referência AA não revelará o erro |
No projeto original, nenhuma espessura de parede do tubo curto foi especificada; em vez disso, a espessura adequada da parede foi garantida pelo alinhamento tanto do tubo (através do furo de interferência) quanto do seu rebaixo com a mesma referência (AA).
O fato de que essa garantia poderia ser perdida ao usar o processo de fabricação retrabalhado não foi reconhecido na época, nem as inspeções subsequentes foram adaptadas para encontrar tal defeito. A esse respeito, duas inspeções são dignas de nota, ambas envolvendo o uso de uma máquina de medição por coordenadas (MMC).
Uma delas, conhecida como OP 230, envolveu apenas a medição da posição do rebaixo do tubo curto em relação à referência M, o que não forneceu informações úteis sobre sua posição em relação ao próprio tubo. Uma inspeção visual também foi realizada nesta etapa, mas não foi possível para o inspetor observar a espessura da parede do tubo curto no rebaixo, pois essa extremidade do tubo estava soldada dentro do furo de interferência, completamente fora da vista.
Outra inspeção, denominada OP 70, ocorreu antes da OP 230 e apresentou uma melhor oportunidade para detectar o erro. Durante essa inspeção, a CMM mediu a posição do furo de interferência em relação à referência M, embora ele tenha sido usinado com referência à referência AA. Se a referência M e a referência AA estivessem deslocadas em mais do que a tolerância especificada para o furo de interferência, isso deveria ter feito com que a CMM reportasse um erro na posição do furo de interferência. A tolerância para esse furo deveria ser de Ø 0,05 mm de acordo com os desenhos de projeto, mas foi alterada para Ø 0,5 mm nos desenhos de fabricação sem explicação. Mesmo assim, a não conformidade no cubo acidentado estava entre Ø 0,90 e Ø 0,98 (um desvio de 0,45 a 0,49 mm), o que deveria ter sido sinalizado pela máquina. Os registros da CMM do cubo acidentado não foram mantidos, portanto, não foi possível aos investigadores confirmarem se o erro foi de fato registrado.
Contudo, mesmo que tivesse sido, uma inspeção subsequente poderia ter concluído que o erro era falso — porque os desenhos de fabricação especificavam a posição do furo de interferência em relação à referência AA, e os inspetores geralmente desconheciam que a CMM estava, na verdade, medindo a posição do furo em relação à referência M. Portanto, se os inspetores vissem que a posição do furo de interferência estava sinalizada como fora da tolerância, eles poderiam consultar os desenhos de fabricação, verificar a posição do furo em relação à referência AA, constatar que tudo estava normal e emitir um atestado de conformidade para o cubo.
 |
| Uma máquina de medição por coordenadas usada nas instalações de Hucknall |
Pelos motivos acima, vários cubos de mancais de alta pressão/pressão intermediária foram liberados para uso com paredes do tubo de alimentação de óleo que poderiam ou não ser muito finas. Ninguém tinha conhecimento disso até 2009, após a fabricação do cubo acidentado, quando a Hucknall Casings and Structures decidiu alterar o datum para o rebaixo do tubo de alimentação de óleo a fim de simplificar o processo de fabricação.
A alteração previa o uso do datum AF, definido como o centro do furo principal do tubo, para posicionar o rebaixo. Posteriormente, dois rebaixos de tubos fabricados anteriormente foram medidos em relação a esse novo datum e constatou-se uma não conformidade de Ø 0,5 mm (ou um deslocamento de 0,25 mm, cerca de metade do tubo acidentado). Como lembrete, a tolerância para o rebaixo do tubo deveria ser de Ø 0,20 (para um deslocamento máximo permitido de 0,1 mm).
O problema foi rapidamente levado ao conhecimento de um engenheiro de projeto, que o encaminhou à gerência para definir o que fazer com os cerca de 100 tubos de alimentação de óleo que já haviam sido liberados para uso. A questão era se o erro teria implicações de segurança. Caso não houvesse, a fábrica poderia emitir o que chamou de "concessão retroativa", permitindo que os produtos fabricados incorretamente permanecessem em operação. Mas, se houvesse, seriam necessárias ações corretivas, talvez até mesmo um recall.
Para descobrir, um engenheiro de produção foi designado para realizar uma análise estatística da provável distribuição de não conformidades no rebaixo dos tubos de alimentação de óleo, com base em medições feitas em nove cubos fabricados anteriormente que ainda estavam na fábrica. Utilizando um programa de análise estatística, o engenheiro descobriu que a provável não conformidade máxima de qualquer rebaixo do tubo era de Ø 0,7 mm (um desvio de 0,35 mm). Os cálculos de engenharia mostraram que a espessura da parede resultante não alteraria significativamente a vida útil do tubo curto, o que significava que não havia implicações de segurança.
 |
| O dado de fabricação revisado era muito mais robusto, mas as implicações para os conjuntos de cubos produzidos anteriormente não foram adequadamente consideradas |
Na realidade, essa análise estatística era falha devido ao baixo número de pontos de dados e à falta de garantia de que o conjunto de dados de nove cubos fosse representativo dos cubos fabricados em anos anteriores. Portanto, o resultado deveria ter sido interpretado como “uma não conformidade máxima provável de Ø 0,7 mm, mais ou menos um fator de incerteza de magnitude não especificada”.
No entanto, o engenheiro não estava familiarizado com o programa de análise estatística e não conseguiu transmitir claramente essa incerteza no relatório submetido à Autoridade de Não Conformidade, a entidade responsável por tomar decisões sobre a aceitabilidade das não conformidades. A Autoridade de Não Conformidade interpretou o relatório como indicando que não havia implicações de segurança e aprovou a concessão retroativa, permitindo que os tubos afetados, incluindo o tubo do acidente, permanecessem em serviço.
Os investigadores observaram que, de acordo com os procedimentos internos da Rolls-Royce, uma concessão retroativa também exigia as assinaturas do Diretor de Qualidade da Empresa e, mais importante, do Engenheiro-Chefe, que tinha o poder de decidir se alguma ação em toda a frota era justificada. Nenhuma dessas assinaturas foi obtida para a concessão retroativa concedida aos tubos de alimentação de óleo.
O ATSB observou que a unidade de Hucknall estava usando a mesma documentação para concessões retroativas que usava para concessões em peças não conformes detectadas internamente, que não exigiam essas assinaturas adicionais, portanto, nenhum campo para assinatura foi fornecido. Também não havia nada na documentação que indicasse se uma concessão era retroativa ou não. Assim, a Autoridade de Não Conformidade pode não ter tido conhecimento de que não tinha o direito de aprovar unilateralmente a concessão sem o consentimento de um engenheiro de nível hierárquico superior.
Após o acidente, foram realizadas medições em todos os tubos de alimentação de óleo dos mancais HP/IP em serviço para determinar o alinhamento de seus rebaixos. A maioria estava fora da tolerância de Ø 0,20 mm nos desenhos de fabricação, e vários deles apresentavam não conformidades maiores que os Ø 0,7 mm previstos pela análise estatística. Quatro dos tubos apresentavam não conformidades ainda maiores que a do tubo envolvido no acidente, e dois apresentavam uma não conformidade alarmante, próxima de Ø 1,2 mm. Esses tubos provavelmente teriam falhado em serviço, podendo causar repetições do incidente da Qantas, caso não tivessem sido detectados.
Os investigadores também criticaram a cultura da fábrica de Hucknall, responsável pela produção dos cubos dos mancais HP/IP, identificando sinais de complacência e descumprimento generalizado dos procedimentos. Uma revisão da documentação mostrou que as assinaturas necessárias estavam ausentes em 131 das 138 concessões retroativas emitidas entre 2009 e 2011, e um grande número de não conformidades menores não havia sido tratado adequadamente pela cadeia de comando normal. Uma revisão interna realizada em 2007 também havia constatado que a unidade de Hucknall carecia de um “forte foco na qualidade dentro da empresa”. Isso parecia se estender à criação dos desenhos de fabricação originais, que haviam sido alterados em relação aos desenhos de projeto sem o consentimento dos engenheiros responsáveis.
Além disso, as inspeções iniciais no início da produção deveriam verificar se o processo de fabricação estava criando produtos que atendessem à “intenção do projeto”, mas os produtos iniciais foram verificados em relação aos desenhos de fabricação, e não aos desenhos de projeto. Essa verificação era circular e não garantia que a intenção do projeto fosse de fato atendida. Se os desenhos de projeto tivessem sido utilizados, conforme exigido pelos procedimentos, os engenheiros provavelmente teriam descoberto que o processo não estava produzindo tubos curtos com as tolerâncias necessárias.
Após o acidente, uma longa lista de medidas de segurança foi tomada para evitar sua recorrência e incorporar as lições aprendidas. Uma lista não exaustiva dessas medidas de segurança inclui o seguinte:
- A Qantas suspendeu temporariamente as operações de sua frota de A380 entre 4 e 27 de novembro de 2010.
- A Agência Europeia para a Segurança da Aviação (EASA) emitiu uma diretiva de aeronavegabilidade exigindo inspeções em todos os tubos de alimentação de óleo do motor Trent 900.
- A Rolls-Royce desenvolveu um sistema de proteção contra sobrevelocidade da turbina IP. A Airbus emitiu um boletim de serviço obrigatório exigindo sua instalação em todos os A380 em até 10 voos.
- Toda a produção original dos cubos de rolamento HP/IP foi retirada de serviço e descartada. Todos os outros cubos de rolamento HP/IP com espessura da parede do tubo de alimentação de óleo inferior a 0,7 mm também foram retirados de serviço.
- A Rolls-Royce revisou seus procedimentos para garantir a consulta entre os engenheiros de fabricação e de projeto sobre a intenção do projeto de peças recém-introduzidas.
- Diversas iniciativas foram implementadas para mudar a cultura em relação às não conformidades na fábrica de Hucknall.
- A Rolls-Royce encerrou a prática de concessões retroativas e instituiu um novo programa para lidar com peças não conformes que entraram em serviço.
- A Airbus modificou o software de desempenho de pouso para prever com mais precisão o desempenho real da aeronave em todos os pesos de pouso.
Em conjunto, essas reformas contribuíram muito para garantir que a Rolls-Royce continue produzindo produtos de qualidade e mantendo o histórico de segurança impecável do Airbus A380, que até hoje nunca sofreu um acidente com ferimentos a passageiros.
◊◊◊
 |
| Grandes seções da asa do avião tiveram que ser substituídas, entre outros reparos, mas ele acabou voando novamente |
Se você chegou até aqui, em primeiro lugar, parabenizo sua paciência e/ou seu interesse por assuntos relacionados. Em segundo lugar, presumo que tudo o que você leu até agora provavelmente deixou uma impressão positiva sobre a segurança da aviação moderna. A sequência de eventos necessária para apenas ferir, e não matar, este Airbus A380 foi absurdamente longa, passando por inúmeros pontos em que o progresso rumo ao desastre poderia ter sido interrompido. Mesmo assim, o sistema se manteve firme.
De acordo com o modelo de segurança do queijo suíço, um acidente ocorre quando os furos nas fatias de queijo suíço empilhadas se alinham, permitindo que um perigo passe direto, sem impedimentos. O perigo, neste caso, penetrou inúmeras fatias de queijo suíço, da prancheta ao chão de fábrica, à sala de inspeção e além. Mas a indústria aeronáutica cometeu tantos erros que nem mesmo essa impressionante falha foi suficiente para ferir um único passageiro.
Até mesmo o próprio avião sobreviveu: após um reparo maratona que durou 535 dias e custou US$ 139 milhões, o A380 Nancy-Bird Walton retornou triunfalmente aos céus em 2012. Diversas lições intangíveis podem ser extraídas tanto dos sucessos quanto dos fracassos ao longo do caminho até o voo 32 da Qantas, desde a importância contínua da experiência e do bom senso na cabine de comando até as consequências negativas de acreditar que uma pequena não conformidade não poderia ser relevante. O fato é que um desvio de menos de meio milímetro quase derrubou o maior avião comercial do mundo.
A aviação é, e sempre foi, implacável até mesmo com as menores falhas. Os dispositivos, projetos e decisões que mantiveram o voo 32 da Qantas no ar não surgiram do nada, mas são, na verdade, o resultado coletivo de regras, regulamentos e políticas visionárias impostas por pessoas sobre essa base implacável. Nesse sentido, a conclusão do drama a bordo do voo 32 é que, no fim das contas, o sistema está funcionando.
Por Jorge Tadeu da Silva (Site Desastres Aéreos) com Admiral Cloudberg e ASN
