Crise aérea do Brasil: Mais detalhes do CTA brasileiro no acidente da Gol voo 1907

sexta-feira, 30 de abril de 2010

Mais detalhes do CTA brasileiro no acidente da Gol voo 1907

Aqui descrevo informações mais detalhadas o sistema de Controle de Tráfego Aéreo brasileiro que foi duramente criticado, sem nenhum fundamento, no episódio do acidente da Gol voo 1907, e completa o post Análise detalhada da mudança automática de níveis no sistema do CTA.

Na ilustração abaixo, se vê como é uma imagem do radar (etiqueta) e da fita (strip) de acompanhamento de um voo. Alguns centros de controle de tráfego ainda mantêm estas strips em papel. No Brasil, estas strips passaram por um processo de migração para eletrônicas.

O dado que é apresentado do lado direito da etiqueta (Nivel Autorizado/CFL) tem origem na strip para o ponto do voo onde se encontra a aeronave. Como já expliquei várias vezes, os níveis de voo são planejados com antecedência e as autorizações são emitidas à medida que o voo se desenrola. Chama-lo de “NÍVEL AUTORIZADO/CFL” pode levar a algumas conclusões equivocadas, porque ele pode não ter sido comunicado à tripulação simplesmente porque ainda não chegou o momento adequado. Não é possível, por exemplo, autorizar no momento da partida da aeronave, em um voo complexo todos os níveis de voo que irão ocorrer futuramente. O Legacy recebeu uma autorização usual, como ocorre em todos os voos do mundo, uma autorização para o nível inicial do voo (FL370). À medida que ele fosse passando pelos pontos onde haveria mudança de altitude, era esperado que ele recebesse novas autorizações para as mudanças de níveis, ou até mesmo que o próprio piloto a solicitasse. Não é porque a aeronave não recebeu a autorização para mudar de nível, que o nível que será autorizado deva ser alterado. Por exemplo, não faz nenhum sentido alterar os níveis CFL de toda a strip para 370 simplesmente porque em S.José dos Campos a torre de controle não emitiu uma autorização completa. Imaginem que a strip passasse a ser toda preenchida com FL370; como o controlador saberia que em Brasília deveria conduzir a aeronave a descer para FL370?

Para vocês se convencerem do que eu estou afirmando está correto, vejam abaixo a etiqueta do avião TU154M que em 2002, em um voo de Moscou a Barcelona se chocou com um Boeing da DHL perto da cidade alemã de Ueberlingen, na região do Lago Constância. A região estava sob o controle do centro de Zurique. Para começar, vejam que a strip contém muito menos informação do que a strip do controle brasileiro.

Era uma situação semelhante, em que o TU154M tinha uma mudança de altitude programada em Trasadingen de FL360 para FL350 às 21:42. O acidente ocorreu as 21:35. A strip mostra 350, a autorização que deveria ser emitida às 21:42, embora o TU154M nunca tivesse recebido uma autorização para descer em Trasadingen. Na verdade o acidente se deu por motivos não diretamente associados a isto, mas por problemas de resolução de conflitos não percebidos a tempo e tratamento dos avisos do sistema anti-colisão, quando ambas as aeronaves estavam em FL360, antes de Trasadingen. Ou seja, fica claro que uma strip no sistema europeu em 2002 não era alterada porque a aeronave não teria recebido esta autorização; não faria nenhum sentido que assim o fosse. A strip serve justamente para isto, para indicar ao controlador que deve solicitar a mudança de altitude da aeronave. Ou seja, a strip não indica o nível que foi (passado) autorizado; ela indica o nível que será (presente e futuro) autorizado. Por outro lado, a strip também não é necessariamente o plano requisitado. O plano de voo requisitado para o TU154M, por exemplo, foi:

O plano requisitado previa um único nivel (FL360). O controle de tráfego tratou o plano requisitado, alterando o nível para FL350 depois de Trasadingen, porque “the AIP Switzerland states that odd level numbers are to be used for the intended flight route”. Ou seja, em nenhum momento o TU154M requisitou FL350 e em nenhum momento ele foi autorizado a voar em FL350, entretanto a strip mostrava FL350. Não porque ele tivesse sido requisitado, mas porque seria este o nível que seria autorizado (futuro) quando a aeronave estivesse em Trasadingen e porque assim o determinou o CTA.

Portanto, a análise que se faz sobre a autorização que o Legacy recebeu em S.José dos Campos, de que ela não especificou um limite ou foi incompleta não faz sentido algum. É assim que são feitas em todo o mundo, mesmo que o plano de voo contenha mudanças de altitude na sua rota. Em segundo lugar, não faz nenhum sentido que a strip seja alterada para o nivel autorizado verbalmente para a tripulação, pois isto coloca em risco a segurança do voo ao não indicar o planejamento do CTA para o voo. E mais, não é isto que é feito em todo o mundo como pode ser comprovado pela strip do acidente em Ueberlingen (lembrando-se novamente que não foi isto que provocou o acidente en Ueberlinger).

Agora vejamos uma etiqueta de um voo em uma tela de radar americano, conforme indicado no Instrument Flying Handbook da FAA - Federal Aviation Administration – que controla o tráfego aéreo americano:

Vejam a indicação do voo N1388V. Nem ao menos a indicação do nível autorizado é apresentada, ao contrário do “ineficiente” sistema brasileiro em que esta informação está na etiqueta. Agora, vejam na imagem da tela abaixo a etiqueta de uma aeronave não provida de transponder (untracked target, nonselect code mode C).

Obviamente é impossível controlar o voo nesta situação; não se sabe nada dele, o voo não está identificado, somente se sabe que há um avião lá.

Agora vejam a seqüência de telas acompanhando o voo do Legacy:

Às 18:55 o Legacy passa por Brasília, e a etiqueta passa a apresentar 370=360. Esta era a indicação para o controlador entrar em contato com o Legacy e solicitar que descesse para FL360. Ela não significa que o Legacy tenha recebido (passado) uma autorização para FL360, mas sim que ele deve receber (presente) uma autorização para FL360. Nem significa que isto deve ser feito imediatamente. Ao seu critério, o controlador pode fazer a mudança quando julgar conveniente. Às 19:02 o transponder é desligado, passando a apresentar a etiqueta 370Z360. Nestes 7 minutos, até onde se sabe, o controlador não percebeu estas indicações, pois estaria atento a outras aeronaves em procedimentos de decolagem e aproximação. Isto é uma situação absolutamente normal; o controlador não precisa acompanhar a cada segundo uma aeronave em rota em voo estabilizado sem nenhuma outra aeronave na sua rota. Qualquer um pode imaginar que a atenção do controlador pode estar voltada para outras aeronaves em situações em que a sua intervenção é mais necessária. Em seguida ao desligamento do transponder, a etiqueta passou a apresentar:

Ou seja, o Legacy some do radar! O acidente vai ocorrer somente às 19:56, sem que o Legacy esteja aparecendo na tela do radar. Isto mostra a ridícula análise do NTSB do sistema de controle de tráfego aéreo, subsidiada pela fraca análise do CENIPA que considerou o lado direito da etiqueta como "CFL = nível autorizado" (passado), e não como nível que deve ser autorizado (presente). Ou seja, o sistema se comportou como teria se comportado qualquer sistema em qualquer lugar do mundo.

Este acidente teve como causa indiscutível o desligamento inadvertido do transponder pela tripulação e o erro do CTA foi não ter retomado as comunicações com o Legacy por não perceber uma inusitada situação de risco de uma aeronave estar voado na “contramão”. Nunca antes na história da aviação uma aeronave havia trafegado na contramão; isto significa hoje em dia, com a precisão da navegação aérea, um desastre certo. Qualquer piloto com um mínimo de consciência situacional saberia disto.

Nenhum comentário:

Postar um comentário

Aviso aos Estudantes

O uso acadêmico de qualquer informação aqui contida é altamente desaconselhável.

Não é recomendável o uso de informações contidas neste blog em trabalhos escolares. Este é um blog pessoal, não tenho nenhuma formação aeronáutica e muitas informações que estão aqui não tem procedência reconhecida, embora tenha procurado sempre citar as referências. Está baseado em intuição, reportagens, fóruns de discussão, blogs e documentos pesquisados na internet.

Consulte sempre os posts mais recentes. Posts antigos estão repletos de incorreções por terem sido escritos durante o calor dos acontecimentos.

Como fontes confiáveis de informação consultem:

Este mapa conceitual, embora não seja um documento oficial, já que foi elaborado por mim, auxilia a compreensão do acidente do voo Gol 1907.

Fale Conosco

Porque a responsabilidade do acidente do voo 1907 é da tripulação do Legacy

1. A emissão de uma autorização abreviada de partida em S.José dos Campos seguiu uma prática usual, como em milhares de autorizações que são emitidas em todo o mundo diariamente. Portanto, foi irrelevante para o acidente.
2. Se a tripulação tivesse analisado seu plano de voo e se preparado adequadamente como preveem as normas, ao passar por Brasília estaria aguardando instruções do controle de tráfego aéreo, preparando-se para mudar de altitude e atenta aos instrumentos, o que não aconteceu. Ao contrário, a tripulação estava desatenta aos intrumentos quando passou por Brasília.
3. O transponder foi desligado por um gesto involuntário da tripulação. Embora isto seja um evento de menor significado, o que importa é que foi desligado por imperícia da tripulação.
4. O fato relevante é que a tripulação não observou que o transponder foi desligado inadvertidamente porque estava distraida ao utilizar um notebook na cabina de comando, prática proibida por muitas companias aéreas e que originou até mesmo a perda de licença dos pilotos envolvidos no recente incidente do voo Northwest 188.
5. O controlador não pediu para o Legacy descer em Brasília porque não havia tráfego na rota no momento e estava atento a outros voos, algo normal, frequente e que não fere as normas. O controlador pode solicitar a mudança de altitude a qualquer momento que achar conveniente. Além disso, o controlador não segue todo o tempo o voo de uma aeronave, já que é extremamente incomum uma mudança de altitude planejada. As aeronaves normalmente mudam de altitude em rota por solicitação dos pilotos em função de condições atmosféricas. Os controladores solicitam mudanças por questões de tráfego. Portanto, uma mudança de altitude em Brasília era algo completamente inesperado pelos controladores.
6. O controlador perdeu o controle da altitude real do Legacy e posteriormente o controle total do voo somente e exclusivamente porque o transponder foi desligado, levado-o a formular e seguir a hipótese que o Legacy seguia o plano de voo conforme planejado. O erro do controlador foi induzido pelo desligamento do transponder, e se ao contrário, o transponder estivesse ligado, o controlador quando voltasse sua atenção para o voo do Legacy, solicitaria para a aeronave descer para o nível adequado, exatamente como estaria indicado no console do radar.
7. Se um sistema de controle de voo pudesse prescindir do sinal de transponder, ele não seria tão fundamental para a segurança do tráfego aéreo como reconhecidamente é. É ele que permite que uma aeronave seja identificada na tela de radar.
8. O erro dos controladores foi não executar as ações para recuperar o sinal do transponder. Subestimaram o risco envolvido, já que este foi o primeiro caso na história da aviação de colisão de aeronaves trafegando na mesma aerovia. A finalidade da implementação de aerovias é justamente evitar este tipo de conflito. Aeronaves cruzam oceanos e desertos em segurança onde não há qualquer cobertura de radar.

Por que a responsabilidade não é do Controle de Tráfego Aéreo

1. A autorização abreviada em S.José dos Campos não está errada e é usual. Uma autorização em um nível único, mesmo que na "contramão" não está errada em si, desde que os conflitos em voo sejam tratados.
2. O controlador não precisa, nem está obrigado a comunicar futuras mudanças de níveis. Ele pode fazer a mudança de nível no momento que julgar conveniente em função do tráfego aéreo.
3. O controlador não estava com a atenção voltada para o Legacy quando passou por Brasília porque não havia tráfego na sua rota. Sua atenção estava voltada para outras aeronaves em situação de tráfego mais crítica.
4. Quando o controlador voltou sua atenção para o Legacy, o transponder já estava em standby. Com isto ele não tinha mais a informação da altitude real da aeronave. Aparentemente ele não percebeu que havia uma mudança de altitude em Brasília prevista no plano de voo, algo que é completamente não usual em planos de voo, ou que o Legacy já havia recebido uma autorização antecipadamente para mudar de nível.
5. Se o transponder da aeronave estivesse operacional, o controlador perceberia em seu console a indicação que deveria solicitar que o Legacy descesse para o nível previsto no plano de voo autorizado.
6. O controlador não percebeu uma situação de risco, já que foi uma situação inusitada na história da aviação uma colisão frontal de aeronaves na mesma aerovia. As regras estabelecidas para as aerovias por si só eliminam este tipo de conflito de tráfego.
7. Por não perceber uma situação de risco iminente, o controlador não executou as ações para retomar as comunicações com o Legacy, já que a perda de comunicações é uma situação frequente pelas próprias restrições tecnológicas das comunicações radiofônicas.

Joe Sharkey e o acidente do Vôo 1907

Joe Sharkey é o jornalista que a convite das empresas Excelaire e Embraer estava a bordo do Legacy e que em 29 de setembro de 2006 colidiu em plena Amazônia com um Boeing 737 vôo 1907 da empresa Gol. O Boeing caiu sobre a selva vitimando seus 154 passageiros e tripulantes. Ele, mais quatro passageiros e os dois pilotos do Legacy conseguiram pousar na base aérea de Cachimbo, apesar dos danos na aeronave. Imediatamente verificou-se que o Legacy estava voando na "contramão", ou seja, em altitude incompatível com a regra da aerovia indicada na carta aeronáutica, embora deva ser ressaltado que a altitude que a aeronave deve voar é uma determinação do Controle de Tráfego Aéreo (ATC) e não da tripulação. As autoridades aeronáuticas apuraram que embora a tripulação do Legacy fosse experiente, este seria o primeiro vôo que fariam neste modelo de aeronave após um período de treinamento. Haviam somente passado por simuladores de vôo e algumas poucas horas de vôo acompanhados. Nunca haviam pilotado no espaço aéreo brasileiro, tinham pouca experiência em vôo internacionais e, o mais grave, desconheciam os níveis previstos em seu plano de vôo. Assumiram a autorização verbal abreviada para partida, em formato usual internacionamente, mas que omitiu seu limite até Brasília, como sendo de uma autorização de um único nível para todo o percurso até Manaus. Na verdade a autorização atendia ao plano de vôo solicitado da Universal Weather, empresa americana que elaborou o plano de vôo para a Excelaire, proprietária do Legacy. Neste plano estavam previstos diversos níveis, adequados às regras das aerovias. Por sua falta de preparação e seu desconhecimento com o plano de vôo, a tripulação nem mesmo chegou a esclarecer esta autorização, que se de fato fosse a que compreenderam, punha em risco a segurança do vôo ao trafegar em altitude incompatível com as regras da aerovia. Seria obrigatório por norma que a esclarecessem ao passar por Brasília, já que a tripulação é a responsável final pela segurança do vôo e deveriam estar autorizadas a voar na "contramão". De Brasília a Manaus as cartas aeronáuticas indicam claramente que as aeronaves devem voar em níveis alternados pré-determinados às aeronaves que trafegam em sentido contrário segundo seus rumos magnéticos, e por isso o Legacy precisaria alterar seu nível de vôo ao passar por Brasília, conforme estava previsto no plano de vôo que a sua companhia apresentou ao controle de tráfego aéreo. Ao se aproximar e passar por Brasília, não havia tráfego na rota do Legacy e por isto os controladores não tinham sua atenção voltada para esta aeronave. Por isto, o Controle de Tráfego Aéreo não teve a iniciativa de solicitar a alteração de nível, pois neste momento era desnecessária. Alguns minutos após passar pela vertical de Brasília, o transponder da aeronave, que informa a altitude ocupada pela aeronave ao controle de tráfego aéreo e que está interligado ao sistema anticolisão – TCAS – inexplicavelmente deixou de funcionar. A única explicação possível apurada pelas autoridades aeronáuticas é ser devido à falha dos pilotos em operá-lo. As alegadas falhas do equipamento não foram confirmadas. Pelo contrário, o equipamento passou por inúmeros testes após o acidente sem que tenha apresentado qualquer falha. Além disso, é um equipamento redundante, ou seja, percebida a falha de um módulo, pode ser acionado o outro. A tripulação não monitorava os instrumentos e por isto não percebeu a clara mensagem de desligamento apresentanda em seu painel de comando por quase uma hora. A tripulação estava dedicada a elaboração de cálculos de combustível através de um notebook aberto à frente do painel e não deu atenção aos instrumentos. Algumas companhias aéreas proíbem o uso de notebooks na cabine de comando, já que retiram a concentração dos pilotos no monitoramento dos instrumentos. O sinal do transponder é o que informa a altitude real ocupada pela aeronave para o Controle de Tráfego Aéreo e diante da sua ausência, o controle de tráfego aéreo não se deu conta que a alteração de nivel prevista no plano de vôo não havia sido feita. Se o transponder estivesse operando, o controlador tão logo tivesse sua atenção voltada para este vôo, veria em seu console a clara informação que deveria solicitar à aeronave que alterasse a sua altitude para o nível adequado previsto no planejamento do vôo. Ou seja, o evento que faria o controlador solicitar a alteração de altitude seria a informação que o Legacy voava em uma altitude diferente daquela que havia sido planejada para ele e o controlador com certeza solicitaria que a aeronave descesse para o nível previsto para aquele trecho. É muito provável que os controladores, nem mesmo tenham percebido que este plano previa mudanças de altitude, já que isto é extremamente incomum. Mudanças de níveis têm normalmente origem em resolução de conflitos de tráfego, e por isto não são previsto nos planos de vôo que normalmente estabelecem um único nível de cruzeiro. O plano de voo elaborado por uma companhia americana - a Universal Weather - estabelecia diferentes níveis de voo de forma desnecessária alternava níveis ímpares e pares. Esta empresa não levou em consideração que de S.José dos Campos a Brasília trata-se de uma aerovia de mão única e portanto o Legacy poderia manter um nível par do início do voo até Brasília sem riscos de conflitos. Nestes momentos, como agravante das circustâncias, houve troca de turnos dos controladores que, diante da falta da informação da altitude real pelo desligamento do transponder, passaram a trabalhar com a hipótese, a partir deste momento incorreta, que o Legacy estaria voando no nível previsto no seu plano de vôo. Nenhum dos controladores percebeu que haveria uma mudança de nível em Brasília e que o Legacy estava mantendo o nível do trecho anterior. Ou seja, para chegar a esta conclusão, o controlador precisaria elaborar uma complexa análise do histórico do vôo do Legacy, impossível de ser feita em um ambiente sobrecarregado de tarefas como do ATC. O mais surpreendente é que a mensagem de que o transponder estava desativado permaneceu por mais de uma hora no painel da aeronave, no seu display primário, sem que os pilotos tivessem percebido. Provavelmente por estarem com um notebook aberto à sua frente, através do qual a tripulação analisava os manuais técnicos digitais da aeronave na qual voavam sozinhos pela primeira vez. Diante da falta de informação da altitude exata do Legacy que o transponder fornece, e ainda enganado pelo plano de vôo não usual, que continha desnecessárias e inesperadas mudanças de níveis, o controlador não percebeu que o Legacy estava em nível incompatível com as regras da aerovia e estava em rota de colisão com o Boeing. Os controladores assumiram, incorretamente, que ele voava segundo seu plano de vôo apresentado e autorizado. Voar na "contramão" em um trecho de dimensões continentais era algo que os controladores de vôo não suspeitaram por ser algo completamente inusitado na história da aviação. Para os controladores de vôo tratava-se apenas de um pequeno problema de ausência de comunicações ou ajuste do transponder, evento extremamente comum e frequente. Ao tentar contatar a aeronave por rádio, os controladores não foram bem sucedidos por problemas relacionados com alocações de frequências para comunicação com a aeronave. Os controladores, ao não se darem conta do risco de colisão, pois nunca na história da aviação houve um conflito de aeronaves em uma mesma aerovia, falharam em não tomar as providências que deveriam ter sido iniciadas nesta situação, ou seja, procurar contato com a aeronave por todos os meios e não sendo possível, afastar outras aeronaves de sua trajetória. Pelas falhas dos pilotos em não se prepararem adequadamente para o vôo, não analisando e refletindo sobre seu plano de vôo e com isto, terem um comportamento esperado a ele, ou seja, esclarecer o nível autorizado de Brasília à Manaus; por não operar adequadamente e monitorar os instrumentos por tão longo tempo; por colocarem a aeronave em risco ao não esclarecer e confirmar a autorização que os colocava na "contramão" e, enfim, por terem a responsabilidade final pela segurança do vôo, foram indiciados em processo criminal, como exigem as leis em qualquer lugar do mundo. Também os controladores foram indiciados por terem fornecido uma autorização de vôo sem estabelecer o seu devido limite, e desta forma terem autorizado, por omissão, o vôo em um único nível; por não terem agido com a presteza e com os procedimentos que a situação exigia diante da ausência do sinal do transponder; por terem perdido o controle do vôo nos momentos que se seguiram a perda do sinal do transponder e com isto não evitarem a colisão. Desde então, Joe Sharkey, por motivações até agora não totalmente esclarecidas, tenta por todos os meios imputar toda e exclusiva culpa deste acidente ao controle de tráfego aéreo brasileiro e sua infra-estrutura de controle de tráfego aéreo. Tem se colocado como um jornalista isento, simples passageiro do Legacy. Entretanto sua viagem ao Brasil foi patrocinada pela Excelaire e Embraer o que lhe permite escrever matérias como freelancer para revistas de aviação. Desta forma seu trabalho como jornalista foi viabilizado pelas companhias diretamente envolvidas no acidente, o que lhe confere um caráter de assessor de imprensa e não jornalista. Sharkey relaciona problemas estruturais, culturais e políticos brasileiros como se algum deles, os quais não podem ser contestados por serem evidentes, pudessem ter contribuido para o acidente. Esta linha de ataque tem lhe trazido grande apoio daqueles que se opõe ao governo e à estrutura do tráfego aéreo brasileiro, embora não seja possível estabelecer nenhuma associação efetiva entre os problemas vividos por estas organizações e os fatores contribuintes apresentados na apuração do acidente. Utiliza a estratégia de denegrir a Justiça, autoridades e organizações para inocentar o réu. Desconsidera o desligamento do transponder como o fator que fez o Controle de Tráfego aéreo perder o controle da altitude da aeronave. Desconsidera o inusitado de uma aeronave voar de Brasília a Manaus na "contramão". Desconsidera a omissão da tripulação em não observar os instrumentos por quase uma hora. Desconsidera a imperícia da tripulação em provocar o desligamento involuntário do transponder. Há uma grande campanha na internet através de blogs, fóruns e artigos tentando criar esta versão dos fatos para a mídia, recobrido-a com um disfarce técnico para minimizar, ou até mesmo retirar, a responsabilidade civil da Excelaire e criminal dos pilotos. A versão largamente defendida pela mídia, especialmente internacional, é a versão de Joe Sharkey. Há alguns fóruns que chegam a censurar qualquer argumentação em contrário. O blog de Sharkey não publica qualquer comentário contrário à sua argumentação. Este acidente deu início a crise aérea brasileira, sendo instalada uma CPI “destinada a investigar as causas, conseqüências e responsáveis pela crise do sistema de tráfego aéreo brasileiro, desencadeada após o acidente aéreo ocorrido no dia 29 de setembro de 2006” (Relatório da CPI). Portanto, como está claro nesta apresentação do relatório da CPI, que este acidente provocou a crise aérea, e não o inverso, como Sharkey quer fazer a mídia acreditar.