Os comentários feitos pela NTSB demonstram uma grande falta de entendimento dos fatores contribuintes do acidente da Gol. Já fiz vários comentários sobre isto, mas vou consolidar neste post as principais críticas.
"ICAO document 44441 defines the purpose of ATC services as 'preventing collisions …between aircraft, and … expediting and maintaining an orderly flow of air traffic.' Similar definitions appear in U.S. documents as well. As both of the involved aircraft in this collision were operating under required positive control, and under all applicable directions, ATC services must be examined in detail to determine the factors that initially placed the aircraft into conflict and why ATC services did not resolve the conflict before the collision" (NTSB).
O NTSB coloca como conclusão - "... (ATC) did not resolve the conflict before collisions" - como o pressuposto da análise e a partir disto constrói a lógica de seu discurso - "ATC services must be examined in detail..". Em qualquer país civilizado do mundo, colocar como pressuposto a conclusão desejada seria razão suficiente para colocar esta análise pretensamente técno-científica na lata do lixo e demitir sumariamente seu autor. Infelizmente isto não é possível neste caso. Sabemos, por exemplo, que em acidentes de trânsito, presume-se a culpa do veículo que colide com o que vai a frente, entretanto, se o veículo que vai à frente está fazendo uma conversão proibida e diminui repentinamente a velocidade, é ele o culpado no acidente. Quem tem tem a incubência de apurar as causas de um acidente não pode ter como pressuposto a presunção da culpa.
O NTSB cria um pressuposto equivocado, mesmo que a partir de algumas frases extraídas de vários documentos oficiais, de que sendo a missão do Controle de Tráfego Aéreo (ATC) evitar acidentes através da ação positiva de separação das aeronaves, então concluir que se houve uma colisão aérea é porque o ATC falhou na sua missão e é isto que deve ser analisado: as falhas do ATC que contribuíram para o acidente. Logo, seguindo a lógica do NTSB, poderíamos concluir que os fatores contribuintes dos afogamentos são as falhas dos guarda-vidas, os da criminalidade são as falhas dos policiais e por ai afora. Não pode haver algo mais evidente que a missão do guarda-vidas é salvar vidas, mas não pode ser colocado como pressuposto que ele possa ser causador de afogamentos. A sua omissão, é claro, pode contribuir para afogamentos, mas a partir daí ser colocado como pressuposto de análise há uma distância muito grande. Não conheço nenhum guarda-vidas que tenha enfiado a cabeça de alguém na água até o afogamento. O NTSB quer nos fazer crer que o ATC brasileiro ordenou a altitude que colocou o Legacy em rota de colisão com o Boeing, não foi capaz de evitá-la e este foi o principal fator causador do acidente. Este raciocínio só pode ser explicado por alguns viéses que todos podem imaginar suas origens. Qualquer estudo que pretendesse ser técno-científico seria descartado, desconsiderado se iniciasse pelo primeiro parágrafo iniciado pelo NTSB. De toda forma, fica claro que não se pode ser levado à sério pela sua explícita tendenciosidade na condução das conclusões. Antes de analisar os eventos, ele já informa à conclusão que quer chegar. O primeiro parágrafo da análise do NTSB já coloca como axioma a responsabilidade do Controle de Vôo nas colisões aéreas e não como simplesmente um dos protagonistas a serem investigados como fator contribuinte.
O NTSB falha gravemente em não endereçar corretamente a questão da organização do espaço aéreo, suas aerovias e o plano de vôo do Legacy neste cenário. Já escrevi muito sobre isto, mas vou repetir para os que não leram. Aeronaves que voam em aerovias com rumo magnético de 0º a 179º (quadrantes nordeste e sudeste) voam em níveis ímpares (350, 370, 390,...) e de 180º a 359º (quadrantes noroeste e sudoeste) em níveis pares (340, 360, 380,...). Contudo não é sempre, primeiro porque há vias de mão única, quando as aeronaves podem ocupar qualquer nível. Muitas vezes para resolução de tráfego os controladores podem manter aeronaves por pequenos trechos em níveis "errados". Por exemplo, neste evento, seria possível que duas aeronaves estivessem se cruzando sobre o espaço aéreo de Brasília e, portanto, poderia ser conveniente manter a altitude de uma delas até o conflito ser resolvido. Mas são situações perfeitamente previsíveis, controláveis, circunstanciais, que se desenrolam em poucos minutos, em pontos de transição e sob o acompanhamento constante do ATC. Uma outra possibilidade muito frequente é em trechos de direções próximas ao sul ou norte magnético nos quais a rota muda de quadrantes (por exemplo, de nordeste para noroeste), e nesta situação, para manter a mesma altitude em todo o voo, o plano de voo já prevê o deslocamento das aeronaves das aerovias colocando-as em rotas diretas, sem que haja conflitos nestas rotas. Mas são situações perfeitamente conhecidas pelas tripulações. Estes procedimentos eliminam por completo a possibilidade de colisões frontais. Não é possível, por exemplo, imaginar que uma aeronave vá cruzar um país, com dimensões continentais como o Brasil na contramão em uma aerovia. Isto é inconcebível por qualquer um, mas não para o NTSB, que suporta sua análise na prevalência da primeira compreensão das determinações do ATC sob quaisquer circustancias e não na organização do espaço aéreo. É claro que um policial, por exemplo, pode determinar que alguém trafegue em uma via na contramão, mas qualquer um sabe que é uma situação, controlada, de risco, em que os motoristas e os policiais estão com toda atenção voltada para a situação, especialmente os motoristas. Situações de extrema consciência situacional dos envolvidos e todos com cuidados redobrados e com a absoluta certeza de todos que regras estão sendo desobedecidas devido a circustâncias especiais. Procedimentos possíveis e admissíveis nestas situações não é uma liberação para as tripulações desprezarem todas as regras de organização do espaço aéreo e voarem às cegas a partir de sua compreensão das determinações do ATC. O questionamento de direcionamentos incorretos ou mesmo o seu esclarecimento em caso de violação de regras do espaço aéreo é uma obrigação das tripulações. Isto é uma norma internacional. Não há menor dúvida que voar na "contramão" em trechos tão longos é um risco para o voo e deve ser confirmado pela tripulação com o ATC. Desafio qualquer um a apresentar um plano de vôo que tenha sido realizado com uma aeronave trafegando mais de 2000 km na contramão em uma aerovia de mão dupla em qualquer lugar do mundo. De S.José dos Campos a Brasília o curso é muito próximo ao norte (006º), mas de Brasília a Manaus o curso é nitidamente noroeste (336º). Só este fato demonstra a total ausência de consciência situacional desta tripulação. Nenhum piloto, em sã consciência voaria de Brasília a Manaus em um nível impar. Não importa a autorização que tenham recebido, obviamente haveria algo de "anormal" em uma autorização deste tipo e demonstram desconhecimento dos fundamentos da organização do espaço aéreo. O NTSB chega ao absurdo de considerar que a autorização do nível impar até Manaus é a única interpretação possível e não precisaria ser questionada. Se alguém tem alguma dúvida sobre isto, consulte o site flightaware.com e monitore online os voos no espaço aéreo nos EUA. Não se encontrará nunca nenhum voo que cruze ou cruzou os EUA em níveis incompatíveis com as regras de direção das aerovias. Vejam e confirmem que todos os voos que estão em níveis estabilizados (em rota) e que vão para leste seguem em níveis impares e todos os voos que vão para oeste, níveis pares.
Não resta a menor dúvida que a tripulação deve conhecer o espaço aéreo, isto é normativo, e deve esclarecer sim se está sendo autorizada a trafegar na contramão por mais de 2000 km. A tripulação é obrigada a conhecer as cartas aeronáuticas. A tripulação é obrigada a verificar e conhecer seu plano de vôo. A tripulação tem a obrigação de ter noções básicas de organização do espaço aéreo e suas regras. A tripulação é obrigada a saber então que voar em nível 370 de Brasília a Manaus é voar na contramão. A tripulação é obrigada a saber que isto envolve um risco elevadíssimo, autorizada ou não. E por fim, mesmo que autorizada a voar em nível incompatível, solicitar um nível compatível com as regras da aerovia, ninguém está obrigado a correr riscos desnecessários.
O NTSB não aborda esta questão e não discute as responsabilidades de uma tripulação que não têm consciência situacional de estar claramente sob risco de colisão, autorizada ou não.
O NTSB não tem uma frase sequer sobre o plano de vôo elaborado para o Legacy, que pode ter sido o grande fator contribuinte para este acidente. O plano de vôo foi feito por um programa de computador por uma empresa americana, Universal Weather, a pedido da Excelaire. Observem como é importante o planejamento de vôos. Não é a tripulação nem é o ATC que o faz, mas uma empresa especializada e contratada para isso. Será que um plano de vôo então não tem nenhuma importância para a tripulação? É somente uma obrigação do ATC estudar o plano de vôo para conduzir a aeronave? É claro que não, a tripulação deve analisá-lo, estudá-lo e eventualmente até alterá-lo para melhor adequá-lo às condições específicas encontradas. O plano de vôo do Gol, por exemplo, previa o nível 410, entretanto, o piloto achou mais conveniente devido ao peso da aeronave, e outras razões que só ele sabe, solicitar o nível 370. Ele não solicitou 360 ou 380 porque o piloto sabia que níveis pares eram inadequados para a aerovia Manaus-Brasília. O ATC atendeu imediatamente sem nenhuma restrição, como costuma fazer na quase totalidade das vezes, pois os níveis que ocupam as aeronaves quando estão em rota, desde que obedecidas as regras das aerovias, não tem qualquer influência para as tarefas do ATC. Agora vejamos quais são as tarefas e preocupações típicas dos controladores de vôo. Eles estão atentos às aproximações horizontais das aeronaves e quando surgem conflitos horizontais os resolvem separando as aeronaves verticalmente quando possível ou retendo-as quando não for possível. Sem muita dificuldade, qualquer um pode concluir que não há necessidade de tratar conflitos se não há aproximação de aeronaves. Quando as aeronaves estão numa mesma aerovia, como no caso deste acidente é praticamente impossível que haja conflitos. Só haverá conflito se a aeronave que estiver atrás trafegar numa velocidade superior da que está à frente. Se as aeronaves estão em sentidos contrários, as regras da aerovia, com níveis alternados segundo as direções que trafegam, faz com que não haja aeronaves ocupando as mesmas altitudes. Uma autorização que coloca as aeronaves em níveis incompatíveis com seus rumos por longos trechos é um erro grave do ATC, mas também é um erro grave da aeronave que a aceita pois certamente está havendo alguma autorização equivocada e colocando a aeronave em risco. A aerovia de Brasília a Manaus, nunca teve, nem terá uma aeronave autorizada a voar em nível impar em seus mais de 2500 km. Esta é uma autorização impossível de ser emitida, a qualquer hora, em qualquer dia, em qualquer circunstância e se emitida, estará por construção incorreta. O NTSB argumenta que os pilotos não são obrigados a saber. É obrigação do ATC cuidar da separação das aeronaves, já que "esta é sua missão". O que vocês acham? Vocês como passageiros, acham que a tripulação deve conhecer as cartas aeronáuticas que utilizam, como exigem as normas, terem senso crítico sobre isto, ou seguir a recomendação do NTSB, que ela deve simplesmente confiar e seguir a altitude que entenderam por rádio sem questionar? Quando vocês viajam para a China em um avião americano, vocês gostariam que a tripulação conhecesse as cartas aeronáuticas chinesas, ou simplesmente confiassem e não colocasse em dúvida a orientação dos controladores chineses? Vocês já viram um controlador chinês emitindo autorizações em inglês? Pesquisem no Youtube, você vão dar boas risadas. Se vocês perderem suas vidas em um acidente aéreo na China, não se preocupem, morram em paz, é porque os controladores chineses não sabem falar bem inglês; pilotos americanos não são obrigados a conhecer as cartas aéreas chinesas para questionar autorizações duvidosas, e todos poderão determinar como causa do acidente as falhas do controle de tráfego chinês. Você se sentiria confortável nesta situação? Você considera esta uma boa recomendação do NTSB ou você considera que seria melhor os pilotos verificarem se os níveis que estão voando é compatível com as cartas aeronáuticas, algo que é muito fácil de ser feito e não exige mais que um passar de olhos na carta aeronáutica. Mas enfim, o que o NTSB não analisa é que a rotina dos ATC em qualquer lugar do mundo, não envolve preocupações com conflitos resultantes de aeronaves voando na mesma aerovia em sentidos contrários. Isto não faz parte de suas preocupações e não têm sua atenção voltada para ele, porque, obedecidas as regras da aerovia, nunca surge este tipo de conflito. Não há na história da aviação nenhum conflito deste tipo antes deste. Portanto este deveria ser o foco da análise: porque um conflito que nunca ocorreu antes na história da aviação, vem a acontecer justamente neste episódio?
Mas voltando ao plano de vôo do Legacy, ele têm uma característica extremamente incomum. Não é comum uma aeronave mudar sua proa magnética de quadrante durante um vôo. Não é comum, como vocês devem imaginar, uma aeronave ter que alterar seu rumo de nordeste para noroeste. Isto ocorre em rotas próximas ao norte ou sul magnético, ou em outras palavras, paralelas aos meridianos. Sendo assim, é extremamente incomum que tenha em seu plano de vôo mudanças de altitude. Mudanças de altitude em rota (não estamos falando de decolagens e aproximações), em quase sua totalidade, são determinadas pelas condições atmosféricas encontradas durante o vôo, como ventos de altitude, ou é um plano de vôo regular, freqüente, como o da Gol, e segundo a situação de peso da aeronave ou outras condições, o piloto solicita uma altitude mais adequada para a aeronave para aquele vôo específico. Ou seja, quem solicita e, portanto, determina a altitude em rota dos vôos é na sua quase totalidade das vezes o piloto. De Poços de Caldas, primeiro fixo do vôo do Legacy, até Brasília, o rumo magnético é 006º e de Brasília a Manaus é 336º. Se olharmos o mapa não nos parece que a direção de Poços a Brasília esteja no quadrante nordeste, nos parece noroeste. É porque os rumos magnéticos são ligeiramente diferentes dos rumos geográficos pelo fenômeno da declinação magnética. Ninguém imaginaria que neste vôo houvesse necessidade de mudanças de altitude. Para evitar situações como esta, muitas vezes em rotas paralelas aos meridianos e de volume significativo de tráfego, estabelecem-se aerovias de mão única. É o caso da aerovia de Poços de Caldas a Brasília pela qual trafegou o Legacy, a UW2, que tem mão única no sentido de Brasília. Não há risco de colisão frontal nesta aerovia.
Entretanto a empresa americana que fez o plano de vôo, contratada pela Excelaire, proprietária do Legacy, e não como foi divulgado de início, como sendo para a Embraer, a Universal Weather aparentemente não levou isto em conta. Consta do relatório final do CENIPA, que o programa de computador da Universal Weather determinou as altitudes em função de ventos de altitude. Ventos de altitudes são resolvidos normalmente em vôo por iniciativas da tripulação em decorrência de turbulências e não desta forma, nos planos de vôo. Como é um programa de computador que fez o plano, tenho fortes razões para acreditar que ele não tenha levado em conta o fato da UW2 ser de mão única. É difícil crer que de Poços de Caldas a Brasília a empresa americana que fez o plano considerasse que a altitude mais adequada seria 370 e de Brasília a Teres 360 e de Teres a Manaus 380. Permitam-me duvidar, acredito que o programa da Universal Weather desnecessariamente estabeleceu 370 levando em consideração somente as proas magnéticas, e posteriormente 360 e 380 em função de consumo de combustível. Não há razões lógicas para se fazer um plano assim. Já que a UW2 tem mão única, poderia ter sido feito um plano em nível único, par, e em função das condições atmosféricas encontradas, a tripulação poderia solicitar durante o vôo níveis mais adequados às condições encontradas. Desta forma já estamos em uma situação completamente atípica: um plano de vôo que necessariamente exigirá uma mudança de altitude no meio da rota sem que seja determinada pelas condições de tráfego e sim somente para adequar-se às regras da aerovia. Tenho fortes suspeitas que e o motivo da aerovia UW2 ser de mão única é ela ser uma aerovia muito próxima do norte magnético. As aeronaves que vem de Brasília para S.José trafegam pela UW1 que tem mão única neste sentido (Brasília, Campinas, S.José). Parece que isto é fundamental para a análise deste acidente e é completamente negligenciado pelo NTSB. Este plano de vôo criou dificuldades de coordenação do ATC, ao mesmo tempo em que foi totalmente negligenciado e desprezado pela tripulação. Então estamos diante de um cenário em que a mudança de altitude é determinada para adequação ao espaço aéreo, o que nunca foi uma preocupação do ATC, que se preocupa e tem suas atenções voltadas para resolver conflitos de aproximação de aeronaves. Adequação ao espaço aéreo, supõe-se já tenha sido levado em conta no planejamento do vôo, como foi feito pela Universal Weather para a Excelaire. Qualquer tripulação acostumada ao espaço aéreo, ou companhia brasileira que elaborasse o plano de vôo, estabeleceria um nível único, par, de Poços de Caldas (primeiro fixo) à Manaus. Este seria um plano esperado pelo ATC. Um plano de vôo que pede alteração de nível de vôo em Brasília é completamente sem sentido. Não faz sentido algum uma aeronave subir ao FL 370 e no meio do vôo descer a FL 360 e voltar a subir para FL 380. O NTSB e CENIPA não fazem nenhum comentário sobre a inadequação do plano de vôo e a falta de justificativas consistentes para mudanças de altitudes e transfere a responsabilidade exclusiva sobre esta coordenação desnecessária e não usual para o ATC. A Universal Weather não justificou em nenhum momento a necessidade deste plano de vôo não usual. As aerovias são projetadas para que as aeronaves que saem de S.José e sigam para Brasília (pela aerovia UW2, rumo muito próximo ao norte e tem por isto mão única, possam ir para os seus destinos mantendo o mesmo nível. Por exemplo, para Manaus (noroeste) ou Fortaleza (nordeste).
Os pilotos não fizeram nenhuma preparação para o vôo, portanto desconheciam completamente todas estas preocupações. Vocês acham que estas preocupações são importantes? O NTSB acha que não, a responsabilidade da condução do voo, segundo eles, é única e exclusiva do ATC. É claro que a preparação para o voo é importante porque conduz à uma maior consciência situacional da tripulação, alertando-a para as orientações vindas do ATC, tornando-a alerta aos eventos esperados na rota como mudanças de aerovias e altitudes. Se é esperada uma mudança de altitude por adequação às regras da aerovia e ela não ocorre é razão suficiente para esclarecer com o ATC se a aeronave está na altitude correta. É isto o que nós passageiros esperamos da tripulação e não que sejam meros espectadores do voo.
Pelo que foi exposto, é perfeitamente possível entender com são feitas as autorizações de partida, as "clearances". Na quase totalidade das vezes se emite uma autorização para o plano de vôo que é solicitado pela aeronave. Eventuais conflitos são solucionados "taticamente" durante um vôo. É isto que foi feito para este vôo, o ATC emitiu uma autorização abreviada, como é feita em todos os vôos, no mundo todo, indicando o nível inicial, 370. Certamente o ATC não se preocupou com os diversos níveis durante o vôo porque isto é tratado no desenrolar do vôo, "taticamente", ou seja, na medida em que se antecipam aproximações de aeronaves. A tripulação, por seu lado, nem mesmo observou que seu plano previa vários níveis, porque se tivesse visto, isto lhe deveria chamar a atenção e identificar as razões que levaram a Universal Weather prever diversos níveis de vôo. Não se trata de algo usual, é, ao contrário, extremamente raro e mais do que isto desnecessário. Desta forma, a tripulação também não esperava que houvesse vários níveis previstos neste voo. O ATC também, por seu lado, não teve nenhuma preocupação com isto, porque raramente encontra um planejamento de vôo que prevê vários níveis. O ATC nunca teve intenção de autorizar o nível 370 de Brasília a Manaus, nem poderia, mas sua omissão não informando que a autorização tinha como limite Brasília, "formalmente" significou uma autorização para o vôo todo em um único nível. Ou seja, a autorização do nivel 370 de Brasília a Manaus foi emitida pela omissão do limite e não pela ação deliberada de autorizá-la. O NTSB analisa esta autorização pela sua formalização e não pela sua intenção, e passa a fazer um jogo de palavras de que o ATC autorizou o vôo em um único nível. A IFATCA, que se coloca ao lado desta interpretação, chega a incoerência de querer que o "sistema" modifique todo o plano de vôo para um único nível autorizado. A IFATCA sugere que o controlador coloque o nível inicial para todos os trechos do vôo, porque foi este nível o que foi informado à aeronave. O erro do ATC não foi autorizar o voo em um nível incorreto, mas sim não ter estabelecido o limite da autorização. Neste caso, a torre de S.José deveria ter dito claramente, "clearance limit Brasília". Porém é algo que qualquer piloto saberia ao ver a carta aeronáutica e o seu plano de vôo. Um controlador de vôo europeu me disse que em mais de 20 anos de profissão não se lembra de ter emitido nenhuma clearance com limite. NTSB conduz sua análise como se tivesse existindo uma autorização para um único nível de vôo, quando na verdade o que ocorreu foi uma omissão do seu limite. Não são a mesma coisa. Pode-se admitir que do ponto de vista formal para a tripulação, o voo estava sim autorizado a manter o FL 370 até que uma nova autorização viesse a ser emitida para a tripulação, mas não pode ser completamente ignorado, como faz o NTSB, que em situações normais, o ATC conduziria a aeronave segundo o planejamento do voo, ou seja, nos momentos adequados, solicitaria a aeronave que ocupasse o nivel de voo planejado por ela e para ela. Era isto o que estava previsto para o voo.
Ao se aproximar de Brasília, não há tráfego algum na rota do Legacy. A rotina do ATC é tratar conflitos de tráfego quando há outras aeronaves em sua rota. Se não há tráfego é natural que suas atenções estejam voltadas para outras aeronaves. Segundo consta do relatório, no espaço aéreo de Brasília onde deveria ocorrer a transição de níveis não havia aeronaves em tráfego concorrente com o Legacy. Certamente isto explica porque não houve nenhuma iniciativa do ATC para solicitar que o Legacy descesse de 370 para 360 como esta previsto no plano de voo. Lembre-se, trata-se de uma situação completamente incomum esta transição de níveis sem tráfego. Vejam a tela do console do operador no momento que o Legacy se aproxima de Brasília. Do lado direito estão todas as "strips" dos vôos que são controlados por ele. Observem que todas as strips mostram que não há variação nos níveis de vôo. O CENIPA e o NTSB dizem que o ATC falhou em não solicitar que o Legacy alterasse o nível de vôo de 370 para 360. Coloque-se na posição do controlador que tem a tela abaixo na sua frente. O Legacy está no nível 370 e não há tráfego próximo dele. Alguém crê em sã consciência que o controlador deva analisar cada uma destas complexas strips e comunique à aeronave para efetuar as próximas mudanças de altitudes, sem que haja nenhum conflito ou outra aeronave na sua rota? Que vá chamar a aeronave e avisá-la que ela deverá descer mesmo não sendo necessário por concorrência de tráfego? Isto não está previsto em nenhum procedimento do ATC e não faz parte da sua rotina. Não é um comportamento que possa se esperar ou exigir dos controladores, nem mesmo está obrigado a isto. O controle aéreo resolve os conflitos taticamente analisando as trajetórias das aeronaves e as aeronaves próximas. Sua tarefa é monitorar, vejam bem a palavra que utilizo, monitorar, observar as aproximações das aeronaves e separá-las. Querer que os controladores antecipem futuros conflitos entre aeronaves que nem memo estão sob seu controle é requerer um comportamento que está além de suas possibilidades. Vejam o absurdo desta análise, CENIPA e NTSB dizem que os controladores falharam em não fazer algo que não faz parte de suas rotinas, da sua forma de agir, e mais do que isto, não estão obrigados a fazê-lo. Ou seja, não havia nenhuma razão para os controladores solicitar que o Legacy alterasse sua altitude ou que comunicasse futuras alterações de altitude. Certamente os controladores não dão a menor importância para níveis autorizados ou solicitados, nem precisariam, eles devem estar atentos aos tráfegos concorrentes. Estão com suas atenções voltadas sim para o nível real que a aeronave ocupa no momento e os níveis das aeronaves próximas, em concorrência com sua rota.
O Legacy passa por Brasília sem solicitar a mudança de sua altitude, por que não têm nenhuma consciência da importância de mudar de altitude em Brasília, e nem mesmo está obrigado a fazê-lo. O ATC não tem nenhum tráfego próximo e não tem sua atenção dirigida para o Legacy, e por isto não solicita nem tem obrigação de solicitar que a aeronave desça para 360. Mas até este momento não há problema algum, porque não há nenhum tráfego concorrente e o ATC não tem motivos para pedir que o Legacy desça, já que está tratando de outros vôos. Não tem nem mesmo motivos para estar atento ao võo do Legacy. De qualquer forma, até este momento não se pode dizer que houvesse nenhuma falha operacional tanto do ATC, como afirmam o CENIPA e NTSB, quanto da tripulação. A tripulação, que desconhece seu plano de vôo e desconhece o espaço aéreo, passa a trafegar na contramão de Brasília a Manaus sem ter esta consciência, um trecho de mais de 2500 km, algo que é inconcebível por qualquer um que seja racional. Trata-se de algo elementar na organização do espaço aéreo. É como os sentidos das vias de tráfego em vias de mão dupla. Aqui no Brasil, sempre se anda à direita. É claro que em situações excepcionais ou em vias de mão única, pode-se andar à esquerda, mas nunca por 2500 km. Um maior nível de consciência situacional da tripulação poderia conduzí-la a tomar alguma atitude, embora é claro que ela não está obrigada a isto. Entendendo-se que a autorização para andar na contramão veio de uma omissão e não de uma ação, poderia haver uma iniciativa da tripulação em esclarecer se estavam autorizados a manter o nível 370 após Brasília? Se a tripulação indagasse que nível o Legacy estava autorizado após Brasília, o controlador veria a strip (vejam imagem) e responderiam sem pestanejar: 360. O Legacy desceria para o nível correto. A IFATCA e o NTSB acham que o sistema deveria preencher todos os níveis com 370 pois em S.José foi o único nível que o ATC forneceu. Nesta hipótese o controlador olharia para o seu console e veria: nível solicitado 360, nível autorizado 370. O que ele faria? Coloquem-se na posição do controlador. Vocês acham que ele deveria analisar a rota do Legacy e veria que o nível autorizado 370 não poderia ser mantido já que proa magnética da aeronave era naquele momento 336º (vejam que esta informação não está no seu console) e mudaria o nível autorizado de 370 para o solicitado 360? Ele não se pergutaria: o que está correto? Qual nível devo autorizar? Por que o nível autorizado está informado 370? Será que outro controlador fez outra coordenação de tráfego e precisou manter o nível 370 depois de Brasília? Será que o nível solicitado 360 estava incorreto para a aerovia e autorização correta seria 370 para o vôo todo? Eu não gostaria de estar na posição do controlador se o "sistema" seguisse as valiosas contribuições para a segurança de vôo do NTSB e da IFATCA e ele devesse revisar neste momento todo o plano de vôo do Legacy.
O Legacy passa por Brasília, não há conflitos de tráfego, e o console do radar passa a informar 370=360. Leia-se, nível real 370, nível autorizado 360. Mas o NTSB e IFATCA diz que ninguém autorizou 360. Sim, mas é uma excelente indicação para o controlador entrar em contato com o Legacy e solicitar que desça para 360. É desta que o "sistema" funciona e não se pode dizer que não seja o projeto de sistema mais adequado. O NTSB e a IFATCA argumentam que o nível autorizado foi 370 e portanto é isto que o console deveria mostrar ao controlador e consideram uma falha o console mostrar nível autorizado 360, pois este nível não foi comunicado, "autorizado", para a tripulação. O console do ATC deveria mostrar, sugere o NTSB, 370=370, nível real 370, nível autorizado 370. Vocês acham que o controlador adotaria alguma medida para solicitar ao Legacy que fosse para o nível 360? Vocês acham que o controlador deveria analisar o rumo magnético da aeronave e solicitaria para ela descer para 360 (vejam a tela do radar)? É claro que não, não se pode esperar este comportamento do ATC nesta situação, o plano do vôo é feito e tratado antecipadamente. Ele é desenhado desta forma, e muito bem desenhado, para que quando chegue o momento adequado, o controlador tenha a clara informação que deve solicitar que a aeronave proceda a mudança de altitude para o nível planejado. Agora, concluam vocês, o console pode mostrar 370=360 como esta projetado ou 370=370 como sugere o NTSB, já que a clearance 370 foi a última emitida para a tripulação. Qual é a indicação que vai fazer com que o controlador perceba que deve tomar alguma ação para colocar a aeronave no nível adequado sem que precise recorrer a outras informações e análises da strip? Admitindo-se que o transponder esteja funcionando, o que é a situação esperada, fundamental para a segurança do vôo, qual das duas alternativas vocês acham melhor? Vocês consideram a recomendação do NTSB e da IFATCA correta? Vocês acham que o console deve mostrar 370=370? Se vocês refletirem bem, verão que esta sugestão não tem o menor sentido em uma situação normal quando o transponder está ligado. A análise e critica que faz o NTSB é que na condição do transponder desligado, o conflito seria detectado se o sistema apresentasse o último autorizado e não aquele que seria autorizado depois de Brasília. Mas, ora, isto já tem um pressuposto para conduzí-los a uma conclusão. Onde é feita a análise do que é mais seguro apresentar nos diversos cenários possiveis? A análise que tem que ser feita, para não ser viesada, é qual é a melhor alternativa para qualquer situação. Mas muito mais grave que isto neste comentário do NTSB é que este comportamento do software do ATC é aquele que é o esperado e atende as suas especificações que foram projetados para transponders ligados. Não tenho dúvida também, que estas especificações são adotadas em muitos lugares do mundo. Portanto trata-se de um software homologado, aprovado e em uso há muitos anos, portanto, sob este aspecto, não houve nenhuma desobediência a nenhuma norma ou especificação técnica e cujas recomendações do NTSB, mesmo que ex-post sejam aceitáveis, são controversas e discutíveis se efetivamente deveriam ser adotadas. Qual é capacitação técnica do NTSB para fazer a análise deste software? Que ensaios ele fez? Que engenheiros de sistemas e designers de soluções foram envolvidos para eles emitirem esta análise? Que comparativos com outras especificações ela fez? Portanto ele conclui que um software que comporta-se exatamente como o esperado e segundo suas especificações, comprovação esta obtida através de laudos isentos, causou a colisão porque ele "acha" que sua especificação é melhor! É o mesmo que considerar em um relatório que a resistência do material de uma peça de avião que cai não é adequado, mesmo sem fazer nenhum ensaio e "achar" que é esta a causa do acidente. Esta "opinião" só poderia ser emitida após a análise técnica do software por orgão capacitado para isto, e só ai então ser levado em consideração um comentário como este. Mas o mais importante é estar claro que o software, e o "sistema" em si, comportou-se exatamente como foi projetado, ou seja, não houve em nenhum momento nenhuma "falha" do sistema, como quer apontar o NTSB.
Pois bem, passam-se cinco minutos, e antes que o ATC perceba a passagem do Legacy por Brasília, o transponder da aeronave entra em standby no momento mais crítico do voo quando haveria uma alteração de altitude. O NTSB e IFATCA acham que isto não provocou o acidente e que a ausência de transponder é uma situação normal, previsível. A ausência de transponder pode ser uma situação frequente, mas lembre-se que ela ocorre justamente no momento em que está prevista uma "atípica" mudança de altitude de aeronave e que o instrumento que desencadeia os eventos que fazem com que o ATC conduza a aeronave para o nível planejado para ela. Lembre-se que o transponder é fundamental não só para previnir colisões, através do TCAS que recebe as informações geradas pelo tranponder das outras aeronaves para o ATC, mas muito mais importante que isso, para que o ATC saiba qual é o nível real da aeronave e controle "positivamente" os vôos. O controle da altitude real da aeronave pelo ATC depende fundamentalmente do sinal do transponder. O radar determina a posição e o transponder informa a altitude para o ATC. O NTSB e IFATCA acham que o transponder é secundário e só serve em último caso para evitar colisões(sic). Para o NTSB, os pilotos não são obrigados a monitorarem os instrumentos, mas o ATC é obrigado a agir e registrar o nível que a aeronave estava voando no momento do desligamento do transponder. Consideram também que com maior cobertura de radares é possível estabelecer a altitude da aeronave sem depender de seu transponder. Parece-me uma boa recomendação, mas onde está a desobrigação dos pilotos monitorarem os instrumentos e onde está a obrigação do ATC registrar o nivel da aeronave quando o transponder é desligado? Não seria o caso de serem recomendações decorrentes do aprendizado dos fatores contribuintes para o acidente e não suas causas? Não deixa de ser uma boa recomendação registrar o último nível autorizado e também o nível real no momento do desligamento do transponder, mas só pode ser tratado como recomendação e não como causa do acidente.
Mas o mais ridículo na análise do NTSB é que ele trata as falhas do sistema de não ter registrado a última clearance após o último contato do Legacy com o ATC, ou seja, FL 370 depois de Brasilia ser o causador do acidente. Como foi dito, o erro do ATC foi ter permitido que fosse subentendida uma clearance para o FL 370 depois de Brasília. O erro não foi a clearance FL 370 não ter sido registrada, o erro foi a clearance ter sido entendida com tal. Logo a correção do erro teria sido ter estabelecido o limite da clearance FL 370 e ter sido emitida a clearance para o FL 360 depois de Brasília. Esta é a análise que deve ser feita, porque a clearance FL 360 não foi emitida. Este foi o erro do ATC e não o fato de não ter sido registrado no sistema a clearance FL 370 até Manaus. E a resposta só pode ser uma e sem a menor sombra de dúvida e é isto que determinou o acidente: quando a atenção do ATC se voltou para o Legacy (lembre-se que não havia tráfego na sua rota) e a clearance FL 360 iria ser emitida quando o controlador visse em seu console 370=360, cerca de 5 minutos depois da aeronave passar por Brasília, o transponder foi desligado. Ai surge a confusão provocada por este desligamento: a aeronave estava seguindo seu plano de vôo solicitado ou não? Ela já foi autorizada FL 360 ou não? Como o controlador vai saber? Ele teria que ter em sua cabeça todo o histórico do vôo, ele teria que saber que antes de Brasília a aeronave estava no FL 370 e manteve este nível após Brasília. Como saber se ela já não havia sido autorizada a proceder a descida para FL 360 anteriormente? Como não saber se entre Poços de Caldas e Brasília a aeronave não havia sido efetivamente autorizada por outro controlador FL 360? Esta seria uma análise possível? Sim, é claro, mas imaginem a complexidade desta análise. O controlador teria que analisar toda a strip do vôo, analisando todo o seu histórico. Mas o que seria esperado nesta situação? Obviamente que a aeronave já estivesse no nível adequado (lembre-se que não é esperado que a aeronave sofra mudanças de altitude sem que haja tráfego em sua rota). É claro que, analisando o acidente agora que sabemos que o transponder foi desligado, a recomendação do NTSB pode parecer a mais adequada para este evento, ou seja, informar como nível autorizado 370, mas quantos acidentes que foram evitados poderiam ter ocorrido por não alertar aos controladores que deveriam solicitar a alteração de níveis da aeronave? Ou seja a ausência do sinal do transponder em um plano de vôo completamente inadequado, descabido e com dificuldades desnecessárias para o ATC provoca esta tremenda confusão nestes momentos. Se o transponder estivesse ligado não haveria esta confusão porque o ATC veria claramente em sua tela 370=360 e solicitaria a descida do Legacy. Se ao contrário, como quer o NTSB e IFATCA, que o sistema tivesse registrado uma clearance FL 370 para depois de Brasília, como o controlador saberia que esta clearance estaria inadequada e deveria emitir uma nova clearance? Lembre-se que obrigatoriamente ele deveria emitir uma clearance para FL 360, porque FL 370 era contramão para este trecho. Ele deveria analisar a proa magnética do Legacy? Ele deveria ficar analisando voo a voo na sua rota, algo que não é necessário em sua rotina já que as regras da aerovia cuidam da separação vertical de aeronaves na mesma rota? Lembre-se que mantê-lo em FL 370, mesmo que sob o controle do ATC não faria o menor sentido. Vejam o absurdo desta análise e sugestão do NTSB e IFATCA. É claro que não se discute que no evento do desligamento do tranponder, a sugestão do NTSB e IFATCA são melhores para resolução de conflitos, mas são impensáveis se o transponder estivesse ligado. É claro que toda esta complexa análise é possível e é possivel melhores alternativas para que a detecção de conflitos seja facilitada, mas não pode ser questionado que a enorme dificuldade desta tarefa foi gerada pelo desligamento do transponder no momento mais crítico do vôo. Não se pode esquecer ainda, que o erro cometido, do ATC ter assumido que a aeronave seguia o plano de voo, se deu por um único controlador de voo. Foi o mesmo controlador que alguns minutos antes da aeronave passar por Brasília disse para manter FL 370, e foi o mesmo que após alguns minutos passou o posto para outro controlador acreditando que a aeronave estava no FL 360. Obviamente o controlador não iria ser induzido a este erro se o transponder estivesse ligado.
O mais irônico no comentário do NTSB é que a maioria dos consoles de radares pelo mundo não mostram o nível autorizado e somente o real! Ou seja as informações adicionais é que confundiram os controladores!
Estes são os eventos que eram esperados, seriam normais e rotineiros. O inesperado neste acidente é o plano de vôo solicitado pelo Legacy e no momento mais crítico deste plano o transponder ser desligado, equipamento fundamental para que a transição pudesse ter sido feita corretamente pelo ATC.
Nos primeiros momentos após o desligamento do transponder, o console do radar passa a mostrar níveis reais muito oscilante e em seguida mostra 360Z360. Ou seja, nível autorizado 360 (pela ausência do nível real) e repete o nível autorizado 360. O "Z" indica a ausência do sinal do transponder. O NTSB e IFATCA consideram que o nível autorizado foi 370, então dizem que na tela do radar deveria aparecer 370Z370, nível autorizado 370 (pela ausência do nível real) e repete o nível autorizado. Com isto o ATC, poderia perceber o conflito de níveis, ao ver uma aeronave em sentido contrário no mesmo nível e vendo que o último nível autorizado, na lógica do NTSB, foi 370. Entretanto, não levam em consideração que pela ausência do tranponder o Legacy desaparece das telas de radar logo em seguida. Sem o transponder, os radares não conseguem associar a aeronave a uma posição do radar e deste modo não conseguem detectar riscos de colisão. A aeronave pode até ter caído que eles não conseguem saber, como foi o caso do Gol. Ou seja, mesmo que adotada a infeliz alternativa do NTSB, o risco ainda da aeronave não ser associada no radar e haver uma colisão seria extremamente alto.
Diante da situação do transponder desligado, a recomendação do NTSB de apresentar na tela 370Z370 é melhor para saber o nível ocupado aeronave, entretanto, transponders desligados é uma situação absolutamente anormal. Adotada a sugestão do NTSB, a segurança de vôo em todas as situações que o transponder está ligado seria prejudicada! Portanto, que sistema vocês acham preferível? O que mostra claramente o conflito quando os transponders estão ligados e permitiriam o ATC executar melhor suas tarefas ou um que mostra melhor o conflito (por alguns minutos antes de desaparecer da tela do radar) quando o transponder estiver desligado como sugerem o NTSB e IFATCA? Deve-se projetar sistemas adequados para transponders ligados ou desligados? É obvio que entendemos a recomendação do NTSB quando observamos o seu pressuposto de análise que o erro é sempre do ATC em qualquer caso. O ATC deve ser capaz, na sua análise, corrigir os erros da tripulação (desligamento do transponder).
Está mais do que claro que se o transponder não fosse desligado logo após o Legacy ter passado por Brasília, o console do controlador passaria a mostrar 370=360 (real 370, autorizado 360), e tão logo o ATC voltasse sua atenção para o Legacy, e mesmo antes que surgisse uma aeronave em sentido contrário, solicitaria que o Legacy descesse para 360. Se o sistema incorporasse as recomendações do NTSB e IFATCA e o transponder não estivesse desligado, como se espera, o console mostraria 370=370, o que seria uma situação muito mais difícil de ser indentificada pelo controlador, criaria dificuldades desnecessárias de coordenação para o ATC, o que colocaria muito mais intensamente, em situações normais, as aeronaves em risco. Com o tranponder desligado, como ocorreu, a aeronave logo desapareceria dos radares e do mesmo modo exigiria um esforço grande de resolução dos conflitos do ATC.
Ou seja o erro do ATC foi não tomar medidas emergenciais diante da ausência do sinal do transponder, mas que na concepção de qualquer um tratava-se de um evento até mesmo trivial e comum. O ATC subestimou a possibilidade de colisão porque não se trata de um evento previsível uma aeronave ocupar um nível incompatível com as regras da aerovia. Não é o tipo de conflito que faça parte de seu dia-a-dia, pois já é resolvido no planejamento do vôo, tarefa das tripulações. Ao mesmo tempo, a ausência do sinal do transponder impossibilitou ao ATC a imediata detecção do conflito pelo ATC. As tarefas do ATC estão relacionadas diretamente com o disponibilização do sinal do transponder, e mesmo na sua ausência, dificilmente colocam as aeronaves em risco. Na sua ausência, tudo passa a depender de suposições e conjecturas que não podem ser esperadas em um ambiente crítico como o do ATC. O aprendizado deste acidente, é que pode ser esperado sim, por mais absurdo que possa parecer, que uma aeronave tente voar na contramão por mais de 2000km, e isto deve ser previsto. A recomendação do NTSB para um sistema que identificaria o conflito em uma situação de transponders desligado só pode estar relacionado ao seu pressuposto de análise enviesado de que tudo é decorrente de erros do ATC, e mesmo assim, é uma cômoda situação para uma análise ex-post de um acidente que nunca ocorreu em situações semelhantes antes na história da aviação. Antes deste acidente, o NTSB nunca apresentaria esta sugestão. Não posso comprovar, mas tenho sérias suspeitas que os sistemas americanos não incorporam as sugestões do NTSB para o nosso sistema e que mesmo mundialmete falando, outros sistemas não tenham o mesmo comportamento que o brasileiro. De qualquer forma, não houve qualquer falha do sistema do ATC.
Enfim, entre os inúmeros erros do NTSB destacam-se:
(1) considerar que a tripulação não precisa conhecer a organização do espaço aéreo, sendo que foi isso que não os fez perceber o limite claro e óbvio que foi omitido na autorização inicial e isto se chama imprudência e fere normas técnicas;
(2)desenvolver a análise fundamentando-se em uma efetiva e intencional autorização de nível 370 de Brasília a Manaus, que só existe por uma omissão do limite desta autorização;
(3) afirmar que o ATC falhou em não comunicar futuras mudanças de altitude quando isto não é práticado nem é obrigação do ATC, e portanto, não pode ser considerada uma falha;
(4) sugerir que um sistema de informações deva ser projetado para ser eficiente quando os tranponders estão desligados e prejudiciais para a segurança de voo para a situação normal de estarem ligados, sugestão esta extremamente controversa e sem capacitação para emitir este comentário e
(5) e por fim, e mais grave de tudo, desconsiderar completamente que foi justamente o desligamento do transponder no momento mais crítico do vôo, a passagem sobre a vertical de Brasília, quando em situações normais o ATC iria conduzir a aeronave para o nível planejado e adequado para a aerovia, o evento que fez com que os controladores perdessem o controle da altitude efetiva da aeronave. O desligamento do transponder, por culpa única e exclusiva da tripulação, não só não impediu o acidente mas, antes disso, foi a principal causa de manter a aeronave em rota de colisão com o Boeing.
