MPF faz nova denúncia contra pilotos do jato Legacy (Globo.com, 28/05/2009)
Procuradoria oferece nova denúncia contra pilotos do jato Legacy (Folha.com, 28/05/2009)
"O Ministério Público Federal em Mato Grosso apresentou nesta quinta-feira uma nova denúncia contra os pilotos Joe Lepore e Jan Paul Paladino, que comandavam o jato Legacy no momento em que ele se chocou com o Boeing da Gol em setembro de 2006. O acidente causou a morte dos 154 ocupantes do voo 1907 da empresa aérea. Assinada pelos procuradores da República Analícia Ortega Hartz Trindade e Thiago Lemos de Andrade, a denúncia é baseada dois laudos concluídos em março deste ano que apontam duas condutas erradas dos pilotos. Os laudos são assinados pelo perito Roberto Peterka com base no relatório do Cenipa (Centro de Investigação e Prevenção de Acidentes Aeronáuticos)" (Folha.com, 28/05/2009).
"De acordo com os laudos, o plano de voo do Legacy foi apresentado pela Embraer, a pedido dos pilotos, como cortesia à empresa Excel Air" (GLOBO). Isto não está correto. Diz o CENIPA: "(...) o plano de vôo elaborado por software da Universal, empresa prestadora de serviços para a Excelaire no planejamento das viagens" (Relatório Final do CENIPA, p.38). "O PIC (Pilot-in-Command) declarou ao NTSB que, alguns dias antes da decolagem de SBSJ, havia contatado a empresa Universal para confecção do plano de vôo, atendendo a determinação contida no Manual de Operações da empresa operadora" (p.94). Ou seja, o plano foi apresentado à Embraer, mas foi feito por uma empresa americana a pedido da proprietária do Legacy, Excelaire e não como cortesia da Embraer como diz a notícia.
O Globo ainda diz: "(...) o plano de voo continha a informação falsa de que o jato atendia os requisitos para voar em espaço aéreo sob condição de separação vertical reduzida, conhecido pela sigla em inglês RVSM. No entanto, o jato não tinha autorização para voar RVSM e deveria ter sido mantido a 2 mil pés de distâncias das demais aeronaves, o que teria evitado o acidente" (GLOBO).
Estas frases são um amontoado de besteiras e estão completamente incorretas. O repórter não entendeu nada da nova denúncia. Ao contrário, como confirma o relatório do CENIPA: "A separação estava ocorrendo em condições Reduced Vertical Separation Minimums (RVSM), estando ambas as aeronaves homologadas e equipadas para este tipo de operação, cumprindo o subitem 1.11.1, do item 1.11 'Procedimentos Operacionais da Tripulação antes do Ingresso no Espaço Aéreo RVSM', do AIP BRASIL (ENR2.2-2) de 23 NOV 2006" (Relatório final do CENIPA, p.36). Ou seja, o Legacy atendia os requisitos exigidos.
O motivo da nova denuncia só pode ser que "(...) as regras para operação em espaço aéreo RVSM prevêem que o piloto notifique o controle sobre qualquer inoperância desse equipamento e, caso isso ocorresse, a separação vertical entre as aeronaves envolvidas deveria ser aumentada para 2000 pés" (Relatório final do CENIPA, p.39). E por isto a nova denuncia deve reforçar o que possa ter ficado omisso na denúncia original, que foi: "(...) seguiu-se uma longa negligência omissiva dos denunciados JOSEPH LEPORE e JAN PAUL PALADINO, que, cônscios da imprescindibilidade do transponder em vôos daquela natureza, deixaram de dispensar a devida e contínua atenção ao funcionamento do equipamento, em que pesem os avisos de desligamento que ficaram permanentemente expostos a cada um deles" (Denúncia do Ministério Publico Federal, 25/05/2007, p.7). Só isso.
quinta-feira, 28 de maio de 2009
quarta-feira, 13 de maio de 2009
Porque o NTSB presta um grande desserviço à segurança aérea
Os comentários feitos pela NTSB demonstram uma grande falta de entendimento dos fatores contribuintes do acidente da Gol. Já fiz vários comentários sobre isto, mas vou consolidar neste post as principais críticas.
O NTSB coloca como conclusão - "... (ATC) did not resolve the conflict before collisions" - como o pressuposto da análise e a partir disto constrói a lógica de seu discurso - "ATC services must be examined in detail..". Em qualquer país civilizado do mundo, colocar como pressuposto a conclusão desejada seria razão suficiente para colocar esta análise pretensamente técno-científica na lata do lixo e demitir sumariamente seu autor. Infelizmente isto não é possível neste caso. Sabemos, por exemplo, que em acidentes de trânsito, presume-se a culpa do veículo que colide com o que vai a frente, entretanto, se o veículo que vai à frente está fazendo uma conversão proibida e diminui repentinamente a velocidade, é ele o culpado no acidente. Quem tem tem a incubência de apurar as causas de um acidente não pode ter como pressuposto a presunção da culpa.
O NTSB cria um pressuposto equivocado, mesmo que a partir de algumas frases extraídas de vários documentos oficiais, de que sendo a missão do Controle de Tráfego Aéreo (ATC) evitar acidentes através da ação positiva de separação das aeronaves, então concluir que se houve uma colisão aérea é porque o ATC falhou na sua missão e é isto que deve ser analisado: as falhas do ATC que contribuíram para o acidente. Logo, seguindo a lógica do NTSB, poderíamos concluir que os fatores contribuintes dos afogamentos são as falhas dos guarda-vidas, os da criminalidade são as falhas dos policiais e por ai afora. Não pode haver algo mais evidente que a missão do guarda-vidas é salvar vidas, mas não pode ser colocado como pressuposto que ele possa ser causador de afogamentos. A sua omissão, é claro, pode contribuir para afogamentos, mas a partir daí ser colocado como pressuposto de análise há uma distância muito grande. Não conheço nenhum guarda-vidas que tenha enfiado a cabeça de alguém na água até o afogamento. O NTSB quer nos fazer crer que o ATC brasileiro ordenou a altitude que colocou o Legacy em rota de colisão com o Boeing, não foi capaz de evitá-la e este foi o principal fator causador do acidente. Este raciocínio só pode ser explicado por alguns viéses que todos podem imaginar suas origens. Qualquer estudo que pretendesse ser técno-científico seria descartado, desconsiderado se iniciasse pelo primeiro parágrafo iniciado pelo NTSB. De toda forma, fica claro que não se pode ser levado à sério pela sua explícita tendenciosidade na condução das conclusões. Antes de analisar os eventos, ele já informa à conclusão que quer chegar. O primeiro parágrafo da análise do NTSB já coloca como axioma a responsabilidade do Controle de Vôo nas colisões aéreas e não como simplesmente um dos protagonistas a serem investigados como fator contribuinte.
O NTSB falha gravemente em não endereçar corretamente a questão da organização do espaço aéreo, suas aerovias e o plano de vôo do Legacy neste cenário. Já escrevi muito sobre isto, mas vou repetir para os que não leram. Aeronaves que voam em aerovias com rumo magnético de 0º a 179º (quadrantes nordeste e sudeste) voam em níveis ímpares (350, 370, 390,...) e de 180º a 359º (quadrantes noroeste e sudoeste) em níveis pares (340, 360, 380,...). Contudo não é sempre, primeiro porque há vias de mão única, quando as aeronaves podem ocupar qualquer nível. Muitas vezes para resolução de tráfego os controladores podem manter aeronaves por pequenos trechos em níveis "errados". Por exemplo, neste evento, seria possível que duas aeronaves estivessem se cruzando sobre o espaço aéreo de Brasília e, portanto, poderia ser conveniente manter a altitude de uma delas até o conflito ser resolvido. Mas são situações perfeitamente previsíveis, controláveis, circunstanciais, que se desenrolam em poucos minutos, em pontos de transição e sob o acompanhamento constante do ATC. Uma outra possibilidade muito frequente é em trechos de direções próximas ao sul ou norte magnético nos quais a rota muda de quadrantes (por exemplo, de nordeste para noroeste), e nesta situação, para manter a mesma altitude em todo o voo, o plano de voo já prevê o deslocamento das aeronaves das aerovias colocando-as em rotas diretas, sem que haja conflitos nestas rotas. Mas são situações perfeitamente conhecidas pelas tripulações. Estes procedimentos eliminam por completo a possibilidade de colisões frontais. Não é possível, por exemplo, imaginar que uma aeronave vá cruzar um país, com dimensões continentais como o Brasil na contramão em uma aerovia. Isto é inconcebível por qualquer um, mas não para o NTSB, que suporta sua análise na prevalência da primeira compreensão das determinações do ATC sob quaisquer circustancias e não na organização do espaço aéreo. É claro que um policial, por exemplo, pode determinar que alguém trafegue em uma via na contramão, mas qualquer um sabe que é uma situação, controlada, de risco, em que os motoristas e os policiais estão com toda atenção voltada para a situação, especialmente os motoristas. Situações de extrema consciência situacional dos envolvidos e todos com cuidados redobrados e com a absoluta certeza de todos que regras estão sendo desobedecidas devido a circustâncias especiais. Procedimentos possíveis e admissíveis nestas situações não é uma liberação para as tripulações desprezarem todas as regras de organização do espaço aéreo e voarem às cegas a partir de sua compreensão das determinações do ATC. O questionamento de direcionamentos incorretos ou mesmo o seu esclarecimento em caso de violação de regras do espaço aéreo é uma obrigação das tripulações. Isto é uma norma internacional. Não há menor dúvida que voar na "contramão" em trechos tão longos é um risco para o voo e deve ser confirmado pela tripulação com o ATC. Desafio qualquer um a apresentar um plano de vôo que tenha sido realizado com uma aeronave trafegando mais de 2000 km na contramão em uma aerovia de mão dupla em qualquer lugar do mundo. De S.José dos Campos a Brasília o curso é muito próximo ao norte (006º), mas de Brasília a Manaus o curso é nitidamente noroeste (336º). Só este fato demonstra a total ausência de consciência situacional desta tripulação. Nenhum piloto, em sã consciência voaria de Brasília a Manaus em um nível impar. Não importa a autorização que tenham recebido, obviamente haveria algo de "anormal" em uma autorização deste tipo e demonstram desconhecimento dos fundamentos da organização do espaço aéreo. O NTSB chega ao absurdo de considerar que a autorização do nível impar até Manaus é a única interpretação possível e não precisaria ser questionada. Se alguém tem alguma dúvida sobre isto, consulte o site flightaware.com e monitore online os voos no espaço aéreo nos EUA. Não se encontrará nunca nenhum voo que cruze ou cruzou os EUA em níveis incompatíveis com as regras de direção das aerovias. Vejam e confirmem que todos os voos que estão em níveis estabilizados (em rota) e que vão para leste seguem em níveis impares e todos os voos que vão para oeste, níveis pares.
Não resta a menor dúvida que a tripulação deve conhecer o espaço aéreo, isto é normativo, e deve esclarecer sim se está sendo autorizada a trafegar na contramão por mais de 2000 km. A tripulação é obrigada a conhecer as cartas aeronáuticas. A tripulação é obrigada a verificar e conhecer seu plano de vôo. A tripulação tem a obrigação de ter noções básicas de organização do espaço aéreo e suas regras. A tripulação é obrigada a saber então que voar em nível 370 de Brasília a Manaus é voar na contramão. A tripulação é obrigada a saber que isto envolve um risco elevadíssimo, autorizada ou não. E por fim, mesmo que autorizada a voar em nível incompatível, solicitar um nível compatível com as regras da aerovia, ninguém está obrigado a correr riscos desnecessários.
O NTSB não aborda esta questão e não discute as responsabilidades de uma tripulação que não têm consciência situacional de estar claramente sob risco de colisão, autorizada ou não.
O NTSB não tem uma frase sequer sobre o plano de vôo elaborado para o Legacy, que pode ter sido o grande fator contribuinte para este acidente. O plano de vôo foi feito por um programa de computador por uma empresa americana, Universal Weather, a pedido da Excelaire. Observem como é importante o planejamento de vôos. Não é a tripulação nem é o ATC que o faz, mas uma empresa especializada e contratada para isso. Será que um plano de vôo então não tem nenhuma importância para a tripulação? É somente uma obrigação do ATC estudar o plano de vôo para conduzir a aeronave? É claro que não, a tripulação deve analisá-lo, estudá-lo e eventualmente até alterá-lo para melhor adequá-lo às condições específicas encontradas. O plano de vôo do Gol, por exemplo, previa o nível 410, entretanto, o piloto achou mais conveniente devido ao peso da aeronave, e outras razões que só ele sabe, solicitar o nível 370. Ele não solicitou 360 ou 380 porque o piloto sabia que níveis pares eram inadequados para a aerovia Manaus-Brasília. O ATC atendeu imediatamente sem nenhuma restrição, como costuma fazer na quase totalidade das vezes, pois os níveis que ocupam as aeronaves quando estão em rota, desde que obedecidas as regras das aerovias, não tem qualquer influência para as tarefas do ATC. Agora vejamos quais são as tarefas e preocupações típicas dos controladores de vôo. Eles estão atentos às aproximações horizontais das aeronaves e quando surgem conflitos horizontais os resolvem separando as aeronaves verticalmente quando possível ou retendo-as quando não for possível. Sem muita dificuldade, qualquer um pode concluir que não há necessidade de tratar conflitos se não há aproximação de aeronaves. Quando as aeronaves estão numa mesma aerovia, como no caso deste acidente é praticamente impossível que haja conflitos. Só haverá conflito se a aeronave que estiver atrás trafegar numa velocidade superior da que está à frente. Se as aeronaves estão em sentidos contrários, as regras da aerovia, com níveis alternados segundo as direções que trafegam, faz com que não haja aeronaves ocupando as mesmas altitudes. Uma autorização que coloca as aeronaves em níveis incompatíveis com seus rumos por longos trechos é um erro grave do ATC, mas também é um erro grave da aeronave que a aceita pois certamente está havendo alguma autorização equivocada e colocando a aeronave em risco. A aerovia de Brasília a Manaus, nunca teve, nem terá uma aeronave autorizada a voar em nível impar em seus mais de 2500 km. Esta é uma autorização impossível de ser emitida, a qualquer hora, em qualquer dia, em qualquer circunstância e se emitida, estará por construção incorreta. O NTSB argumenta que os pilotos não são obrigados a saber. É obrigação do ATC cuidar da separação das aeronaves, já que "esta é sua missão". O que vocês acham? Vocês como passageiros, acham que a tripulação deve conhecer as cartas aeronáuticas que utilizam, como exigem as normas, terem senso crítico sobre isto, ou seguir a recomendação do NTSB, que ela deve simplesmente confiar e seguir a altitude que entenderam por rádio sem questionar? Quando vocês viajam para a China em um avião americano, vocês gostariam que a tripulação conhecesse as cartas aeronáuticas chinesas, ou simplesmente confiassem e não colocasse em dúvida a orientação dos controladores chineses? Vocês já viram um controlador chinês emitindo autorizações em inglês? Pesquisem no Youtube, você vão dar boas risadas. Se vocês perderem suas vidas em um acidente aéreo na China, não se preocupem, morram em paz, é porque os controladores chineses não sabem falar bem inglês; pilotos americanos não são obrigados a conhecer as cartas aéreas chinesas para questionar autorizações duvidosas, e todos poderão determinar como causa do acidente as falhas do controle de tráfego chinês. Você se sentiria confortável nesta situação? Você considera esta uma boa recomendação do NTSB ou você considera que seria melhor os pilotos verificarem se os níveis que estão voando é compatível com as cartas aeronáuticas, algo que é muito fácil de ser feito e não exige mais que um passar de olhos na carta aeronáutica. Mas enfim, o que o NTSB não analisa é que a rotina dos ATC em qualquer lugar do mundo, não envolve preocupações com conflitos resultantes de aeronaves voando na mesma aerovia em sentidos contrários. Isto não faz parte de suas preocupações e não têm sua atenção voltada para ele, porque, obedecidas as regras da aerovia, nunca surge este tipo de conflito. Não há na história da aviação nenhum conflito deste tipo antes deste. Portanto este deveria ser o foco da análise: porque um conflito que nunca ocorreu antes na história da aviação, vem a acontecer justamente neste episódio?
Mas voltando ao plano de vôo do Legacy, ele têm uma característica extremamente incomum. Não é comum uma aeronave mudar sua proa magnética de quadrante durante um vôo. Não é comum, como vocês devem imaginar, uma aeronave ter que alterar seu rumo de nordeste para noroeste. Isto ocorre em rotas próximas ao norte ou sul magnético, ou em outras palavras, paralelas aos meridianos. Sendo assim, é extremamente incomum que tenha em seu plano de vôo mudanças de altitude. Mudanças de altitude em rota (não estamos falando de decolagens e aproximações), em quase sua totalidade, são determinadas pelas condições atmosféricas encontradas durante o vôo, como ventos de altitude, ou é um plano de vôo regular, freqüente, como o da Gol, e segundo a situação de peso da aeronave ou outras condições, o piloto solicita uma altitude mais adequada para a aeronave para aquele vôo específico. Ou seja, quem solicita e, portanto, determina a altitude em rota dos vôos é na sua quase totalidade das vezes o piloto. De Poços de Caldas, primeiro fixo do vôo do Legacy, até Brasília, o rumo magnético é 006º e de Brasília a Manaus é 336º. Se olharmos o mapa não nos parece que a direção de Poços a Brasília esteja no quadrante nordeste, nos parece noroeste. É porque os rumos magnéticos são ligeiramente diferentes dos rumos geográficos pelo fenômeno da declinação magnética. Ninguém imaginaria que neste vôo houvesse necessidade de mudanças de altitude. Para evitar situações como esta, muitas vezes em rotas paralelas aos meridianos e de volume significativo de tráfego, estabelecem-se aerovias de mão única. É o caso da aerovia de Poços de Caldas a Brasília pela qual trafegou o Legacy, a UW2, que tem mão única no sentido de Brasília. Não há risco de colisão frontal nesta aerovia.
Entretanto a empresa americana que fez o plano de vôo, contratada pela Excelaire, proprietária do Legacy, e não como foi divulgado de início, como sendo para a Embraer, a Universal Weather aparentemente não levou isto em conta. Consta do relatório final do CENIPA, que o programa de computador da Universal Weather determinou as altitudes em função de ventos de altitude. Ventos de altitudes são resolvidos normalmente em vôo por iniciativas da tripulação em decorrência de turbulências e não desta forma, nos planos de vôo. Como é um programa de computador que fez o plano, tenho fortes razões para acreditar que ele não tenha levado em conta o fato da UW2 ser de mão única. É difícil crer que de Poços de Caldas a Brasília a empresa americana que fez o plano considerasse que a altitude mais adequada seria 370 e de Brasília a Teres 360 e de Teres a Manaus 380. Permitam-me duvidar, acredito que o programa da Universal Weather desnecessariamente estabeleceu 370 levando em consideração somente as proas magnéticas, e posteriormente 360 e 380 em função de consumo de combustível. Não há razões lógicas para se fazer um plano assim. Já que a UW2 tem mão única, poderia ter sido feito um plano em nível único, par, e em função das condições atmosféricas encontradas, a tripulação poderia solicitar durante o vôo níveis mais adequados às condições encontradas. Desta forma já estamos em uma situação completamente atípica: um plano de vôo que necessariamente exigirá uma mudança de altitude no meio da rota sem que seja determinada pelas condições de tráfego e sim somente para adequar-se às regras da aerovia. Tenho fortes suspeitas que e o motivo da aerovia UW2 ser de mão única é ela ser uma aerovia muito próxima do norte magnético. As aeronaves que vem de Brasília para S.José trafegam pela UW1 que tem mão única neste sentido (Brasília, Campinas, S.José). Parece que isto é fundamental para a análise deste acidente e é completamente negligenciado pelo NTSB. Este plano de vôo criou dificuldades de coordenação do ATC, ao mesmo tempo em que foi totalmente negligenciado e desprezado pela tripulação. Então estamos diante de um cenário em que a mudança de altitude é determinada para adequação ao espaço aéreo, o que nunca foi uma preocupação do ATC, que se preocupa e tem suas atenções voltadas para resolver conflitos de aproximação de aeronaves. Adequação ao espaço aéreo, supõe-se já tenha sido levado em conta no planejamento do vôo, como foi feito pela Universal Weather para a Excelaire. Qualquer tripulação acostumada ao espaço aéreo, ou companhia brasileira que elaborasse o plano de vôo, estabeleceria um nível único, par, de Poços de Caldas (primeiro fixo) à Manaus. Este seria um plano esperado pelo ATC. Um plano de vôo que pede alteração de nível de vôo em Brasília é completamente sem sentido. Não faz sentido algum uma aeronave subir ao FL 370 e no meio do vôo descer a FL 360 e voltar a subir para FL 380. O NTSB e CENIPA não fazem nenhum comentário sobre a inadequação do plano de vôo e a falta de justificativas consistentes para mudanças de altitudes e transfere a responsabilidade exclusiva sobre esta coordenação desnecessária e não usual para o ATC. A Universal Weather não justificou em nenhum momento a necessidade deste plano de vôo não usual. As aerovias são projetadas para que as aeronaves que saem de S.José e sigam para Brasília (pela aerovia UW2, rumo muito próximo ao norte e tem por isto mão única, possam ir para os seus destinos mantendo o mesmo nível. Por exemplo, para Manaus (noroeste) ou Fortaleza (nordeste).
Os pilotos não fizeram nenhuma preparação para o vôo, portanto desconheciam completamente todas estas preocupações. Vocês acham que estas preocupações são importantes? O NTSB acha que não, a responsabilidade da condução do voo, segundo eles, é única e exclusiva do ATC. É claro que a preparação para o voo é importante porque conduz à uma maior consciência situacional da tripulação, alertando-a para as orientações vindas do ATC, tornando-a alerta aos eventos esperados na rota como mudanças de aerovias e altitudes. Se é esperada uma mudança de altitude por adequação às regras da aerovia e ela não ocorre é razão suficiente para esclarecer com o ATC se a aeronave está na altitude correta. É isto o que nós passageiros esperamos da tripulação e não que sejam meros espectadores do voo.
Pelo que foi exposto, é perfeitamente possível entender com são feitas as autorizações de partida, as "clearances". Na quase totalidade das vezes se emite uma autorização para o plano de vôo que é solicitado pela aeronave. Eventuais conflitos são solucionados "taticamente" durante um vôo. É isto que foi feito para este vôo, o ATC emitiu uma autorização abreviada, como é feita em todos os vôos, no mundo todo, indicando o nível inicial, 370. Certamente o ATC não se preocupou com os diversos níveis durante o vôo porque isto é tratado no desenrolar do vôo, "taticamente", ou seja, na medida em que se antecipam aproximações de aeronaves. A tripulação, por seu lado, nem mesmo observou que seu plano previa vários níveis, porque se tivesse visto, isto lhe deveria chamar a atenção e identificar as razões que levaram a Universal Weather prever diversos níveis de vôo. Não se trata de algo usual, é, ao contrário, extremamente raro e mais do que isto desnecessário. Desta forma, a tripulação também não esperava que houvesse vários níveis previstos neste voo. O ATC também, por seu lado, não teve nenhuma preocupação com isto, porque raramente encontra um planejamento de vôo que prevê vários níveis. O ATC nunca teve intenção de autorizar o nível 370 de Brasília a Manaus, nem poderia, mas sua omissão não informando que a autorização tinha como limite Brasília, "formalmente" significou uma autorização para o vôo todo em um único nível. Ou seja, a autorização do nivel 370 de Brasília a Manaus foi emitida pela omissão do limite e não pela ação deliberada de autorizá-la. O NTSB analisa esta autorização pela sua formalização e não pela sua intenção, e passa a fazer um jogo de palavras de que o ATC autorizou o vôo em um único nível. A IFATCA, que se coloca ao lado desta interpretação, chega a incoerência de querer que o "sistema" modifique todo o plano de vôo para um único nível autorizado. A IFATCA sugere que o controlador coloque o nível inicial para todos os trechos do vôo, porque foi este nível o que foi informado à aeronave. O erro do ATC não foi autorizar o voo em um nível incorreto, mas sim não ter estabelecido o limite da autorização. Neste caso, a torre de S.José deveria ter dito claramente, "clearance limit Brasília". Porém é algo que qualquer piloto saberia ao ver a carta aeronáutica e o seu plano de vôo. Um controlador de vôo europeu me disse que em mais de 20 anos de profissão não se lembra de ter emitido nenhuma clearance com limite. NTSB conduz sua análise como se tivesse existindo uma autorização para um único nível de vôo, quando na verdade o que ocorreu foi uma omissão do seu limite. Não são a mesma coisa. Pode-se admitir que do ponto de vista formal para a tripulação, o voo estava sim autorizado a manter o FL 370 até que uma nova autorização viesse a ser emitida para a tripulação, mas não pode ser completamente ignorado, como faz o NTSB, que em situações normais, o ATC conduziria a aeronave segundo o planejamento do voo, ou seja, nos momentos adequados, solicitaria a aeronave que ocupasse o nivel de voo planejado por ela e para ela. Era isto o que estava previsto para o voo.
Ao se aproximar de Brasília, não há tráfego algum na rota do Legacy. A rotina do ATC é tratar conflitos de tráfego quando há outras aeronaves em sua rota. Se não há tráfego é natural que suas atenções estejam voltadas para outras aeronaves. Segundo consta do relatório, no espaço aéreo de Brasília onde deveria ocorrer a transição de níveis não havia aeronaves em tráfego concorrente com o Legacy. Certamente isto explica porque não houve nenhuma iniciativa do ATC para solicitar que o Legacy descesse de 370 para 360 como esta previsto no plano de voo. Lembre-se, trata-se de uma situação completamente incomum esta transição de níveis sem tráfego. Vejam a tela do console do operador no momento que o Legacy se aproxima de Brasília. Do lado direito estão todas as "strips" dos vôos que são controlados por ele. Observem que todas as strips mostram que não há variação nos níveis de vôo. O CENIPA e o NTSB dizem que o ATC falhou em não solicitar que o Legacy alterasse o nível de vôo de 370 para 360. Coloque-se na posição do controlador que tem a tela abaixo na sua frente. O Legacy está no nível 370 e não há tráfego próximo dele. Alguém crê em sã consciência que o controlador deva analisar cada uma destas complexas strips e comunique à aeronave para efetuar as próximas mudanças de altitudes, sem que haja nenhum conflito ou outra aeronave na sua rota? Que vá chamar a aeronave e avisá-la que ela deverá descer mesmo não sendo necessário por concorrência de tráfego? Isto não está previsto em nenhum procedimento do ATC e não faz parte da sua rotina. Não é um comportamento que possa se esperar ou exigir dos controladores, nem mesmo está obrigado a isto. O controle aéreo resolve os conflitos taticamente analisando as trajetórias das aeronaves e as aeronaves próximas. Sua tarefa é monitorar, vejam bem a palavra que utilizo, monitorar, observar as aproximações das aeronaves e separá-las. Querer que os controladores antecipem futuros conflitos entre aeronaves que nem memo estão sob seu controle é requerer um comportamento que está além de suas possibilidades. Vejam o absurdo desta análise, CENIPA e NTSB dizem que os controladores falharam em não fazer algo que não faz parte de suas rotinas, da sua forma de agir, e mais do que isto, não estão obrigados a fazê-lo. Ou seja, não havia nenhuma razão para os controladores solicitar que o Legacy alterasse sua altitude ou que comunicasse futuras alterações de altitude. Certamente os controladores não dão a menor importância para níveis autorizados ou solicitados, nem precisariam, eles devem estar atentos aos tráfegos concorrentes. Estão com suas atenções voltadas sim para o nível real que a aeronave ocupa no momento e os níveis das aeronaves próximas, em concorrência com sua rota.
O Legacy passa por Brasília sem solicitar a mudança de sua altitude, por que não têm nenhuma consciência da importância de mudar de altitude em Brasília, e nem mesmo está obrigado a fazê-lo. O ATC não tem nenhum tráfego próximo e não tem sua atenção dirigida para o Legacy, e por isto não solicita nem tem obrigação de solicitar que a aeronave desça para 360. Mas até este momento não há problema algum, porque não há nenhum tráfego concorrente e o ATC não tem motivos para pedir que o Legacy desça, já que está tratando de outros vôos. Não tem nem mesmo motivos para estar atento ao võo do Legacy. De qualquer forma, até este momento não se pode dizer que houvesse nenhuma falha operacional tanto do ATC, como afirmam o CENIPA e NTSB, quanto da tripulação. A tripulação, que desconhece seu plano de vôo e desconhece o espaço aéreo, passa a trafegar na contramão de Brasília a Manaus sem ter esta consciência, um trecho de mais de 2500 km, algo que é inconcebível por qualquer um que seja racional. Trata-se de algo elementar na organização do espaço aéreo. É como os sentidos das vias de tráfego em vias de mão dupla. Aqui no Brasil, sempre se anda à direita. É claro que em situações excepcionais ou em vias de mão única, pode-se andar à esquerda, mas nunca por 2500 km. Um maior nível de consciência situacional da tripulação poderia conduzí-la a tomar alguma atitude, embora é claro que ela não está obrigada a isto. Entendendo-se que a autorização para andar na contramão veio de uma omissão e não de uma ação, poderia haver uma iniciativa da tripulação em esclarecer se estavam autorizados a manter o nível 370 após Brasília? Se a tripulação indagasse que nível o Legacy estava autorizado após Brasília, o controlador veria a strip (vejam imagem) e responderiam sem pestanejar: 360. O Legacy desceria para o nível correto. A IFATCA e o NTSB acham que o sistema deveria preencher todos os níveis com 370 pois em S.José foi o único nível que o ATC forneceu. Nesta hipótese o controlador olharia para o seu console e veria: nível solicitado 360, nível autorizado 370. O que ele faria? Coloquem-se na posição do controlador. Vocês acham que ele deveria analisar a rota do Legacy e veria que o nível autorizado 370 não poderia ser mantido já que proa magnética da aeronave era naquele momento 336º (vejam que esta informação não está no seu console) e mudaria o nível autorizado de 370 para o solicitado 360? Ele não se pergutaria: o que está correto? Qual nível devo autorizar? Por que o nível autorizado está informado 370? Será que outro controlador fez outra coordenação de tráfego e precisou manter o nível 370 depois de Brasília? Será que o nível solicitado 360 estava incorreto para a aerovia e autorização correta seria 370 para o vôo todo? Eu não gostaria de estar na posição do controlador se o "sistema" seguisse as valiosas contribuições para a segurança de vôo do NTSB e da IFATCA e ele devesse revisar neste momento todo o plano de vôo do Legacy.
O Legacy passa por Brasília, não há conflitos de tráfego, e o console do radar passa a informar 370=360. Leia-se, nível real 370, nível autorizado 360. Mas o NTSB e IFATCA diz que ninguém autorizou 360. Sim, mas é uma excelente indicação para o controlador entrar em contato com o Legacy e solicitar que desça para 360. É desta que o "sistema" funciona e não se pode dizer que não seja o projeto de sistema mais adequado. O NTSB e a IFATCA argumentam que o nível autorizado foi 370 e portanto é isto que o console deveria mostrar ao controlador e consideram uma falha o console mostrar nível autorizado 360, pois este nível não foi comunicado, "autorizado", para a tripulação. O console do ATC deveria mostrar, sugere o NTSB, 370=370, nível real 370, nível autorizado 370. Vocês acham que o controlador adotaria alguma medida para solicitar ao Legacy que fosse para o nível 360? Vocês acham que o controlador deveria analisar o rumo magnético da aeronave e solicitaria para ela descer para 360 (vejam a tela do radar)? É claro que não, não se pode esperar este comportamento do ATC nesta situação, o plano do vôo é feito e tratado antecipadamente. Ele é desenhado desta forma, e muito bem desenhado, para que quando chegue o momento adequado, o controlador tenha a clara informação que deve solicitar que a aeronave proceda a mudança de altitude para o nível planejado. Agora, concluam vocês, o console pode mostrar 370=360 como esta projetado ou 370=370 como sugere o NTSB, já que a clearance 370 foi a última emitida para a tripulação. Qual é a indicação que vai fazer com que o controlador perceba que deve tomar alguma ação para colocar a aeronave no nível adequado sem que precise recorrer a outras informações e análises da strip? Admitindo-se que o transponder esteja funcionando, o que é a situação esperada, fundamental para a segurança do vôo, qual das duas alternativas vocês acham melhor? Vocês consideram a recomendação do NTSB e da IFATCA correta? Vocês acham que o console deve mostrar 370=370? Se vocês refletirem bem, verão que esta sugestão não tem o menor sentido em uma situação normal quando o transponder está ligado. A análise e critica que faz o NTSB é que na condição do transponder desligado, o conflito seria detectado se o sistema apresentasse o último autorizado e não aquele que seria autorizado depois de Brasília. Mas, ora, isto já tem um pressuposto para conduzí-los a uma conclusão. Onde é feita a análise do que é mais seguro apresentar nos diversos cenários possiveis? A análise que tem que ser feita, para não ser viesada, é qual é a melhor alternativa para qualquer situação. Mas muito mais grave que isto neste comentário do NTSB é que este comportamento do software do ATC é aquele que é o esperado e atende as suas especificações que foram projetados para transponders ligados. Não tenho dúvida também, que estas especificações são adotadas em muitos lugares do mundo. Portanto trata-se de um software homologado, aprovado e em uso há muitos anos, portanto, sob este aspecto, não houve nenhuma desobediência a nenhuma norma ou especificação técnica e cujas recomendações do NTSB, mesmo que ex-post sejam aceitáveis, são controversas e discutíveis se efetivamente deveriam ser adotadas. Qual é capacitação técnica do NTSB para fazer a análise deste software? Que ensaios ele fez? Que engenheiros de sistemas e designers de soluções foram envolvidos para eles emitirem esta análise? Que comparativos com outras especificações ela fez? Portanto ele conclui que um software que comporta-se exatamente como o esperado e segundo suas especificações, comprovação esta obtida através de laudos isentos, causou a colisão porque ele "acha" que sua especificação é melhor! É o mesmo que considerar em um relatório que a resistência do material de uma peça de avião que cai não é adequado, mesmo sem fazer nenhum ensaio e "achar" que é esta a causa do acidente. Esta "opinião" só poderia ser emitida após a análise técnica do software por orgão capacitado para isto, e só ai então ser levado em consideração um comentário como este. Mas o mais importante é estar claro que o software, e o "sistema" em si, comportou-se exatamente como foi projetado, ou seja, não houve em nenhum momento nenhuma "falha" do sistema, como quer apontar o NTSB.
Pois bem, passam-se cinco minutos, e antes que o ATC perceba a passagem do Legacy por Brasília, o transponder da aeronave entra em standby no momento mais crítico do voo quando haveria uma alteração de altitude. O NTSB e IFATCA acham que isto não provocou o acidente e que a ausência de transponder é uma situação normal, previsível. A ausência de transponder pode ser uma situação frequente, mas lembre-se que ela ocorre justamente no momento em que está prevista uma "atípica" mudança de altitude de aeronave e que o instrumento que desencadeia os eventos que fazem com que o ATC conduza a aeronave para o nível planejado para ela. Lembre-se que o transponder é fundamental não só para previnir colisões, através do TCAS que recebe as informações geradas pelo tranponder das outras aeronaves para o ATC, mas muito mais importante que isso, para que o ATC saiba qual é o nível real da aeronave e controle "positivamente" os vôos. O controle da altitude real da aeronave pelo ATC depende fundamentalmente do sinal do transponder. O radar determina a posição e o transponder informa a altitude para o ATC. O NTSB e IFATCA acham que o transponder é secundário e só serve em último caso para evitar colisões(sic). Para o NTSB, os pilotos não são obrigados a monitorarem os instrumentos, mas o ATC é obrigado a agir e registrar o nível que a aeronave estava voando no momento do desligamento do transponder. Consideram também que com maior cobertura de radares é possível estabelecer a altitude da aeronave sem depender de seu transponder. Parece-me uma boa recomendação, mas onde está a desobrigação dos pilotos monitorarem os instrumentos e onde está a obrigação do ATC registrar o nivel da aeronave quando o transponder é desligado? Não seria o caso de serem recomendações decorrentes do aprendizado dos fatores contribuintes para o acidente e não suas causas? Não deixa de ser uma boa recomendação registrar o último nível autorizado e também o nível real no momento do desligamento do transponder, mas só pode ser tratado como recomendação e não como causa do acidente.
Mas o mais ridículo na análise do NTSB é que ele trata as falhas do sistema de não ter registrado a última clearance após o último contato do Legacy com o ATC, ou seja, FL 370 depois de Brasilia ser o causador do acidente. Como foi dito, o erro do ATC foi ter permitido que fosse subentendida uma clearance para o FL 370 depois de Brasília. O erro não foi a clearance FL 370 não ter sido registrada, o erro foi a clearance ter sido entendida com tal. Logo a correção do erro teria sido ter estabelecido o limite da clearance FL 370 e ter sido emitida a clearance para o FL 360 depois de Brasília. Esta é a análise que deve ser feita, porque a clearance FL 360 não foi emitida. Este foi o erro do ATC e não o fato de não ter sido registrado no sistema a clearance FL 370 até Manaus. E a resposta só pode ser uma e sem a menor sombra de dúvida e é isto que determinou o acidente: quando a atenção do ATC se voltou para o Legacy (lembre-se que não havia tráfego na sua rota) e a clearance FL 360 iria ser emitida quando o controlador visse em seu console 370=360, cerca de 5 minutos depois da aeronave passar por Brasília, o transponder foi desligado. Ai surge a confusão provocada por este desligamento: a aeronave estava seguindo seu plano de vôo solicitado ou não? Ela já foi autorizada FL 360 ou não? Como o controlador vai saber? Ele teria que ter em sua cabeça todo o histórico do vôo, ele teria que saber que antes de Brasília a aeronave estava no FL 370 e manteve este nível após Brasília. Como saber se ela já não havia sido autorizada a proceder a descida para FL 360 anteriormente? Como não saber se entre Poços de Caldas e Brasília a aeronave não havia sido efetivamente autorizada por outro controlador FL 360? Esta seria uma análise possível? Sim, é claro, mas imaginem a complexidade desta análise. O controlador teria que analisar toda a strip do vôo, analisando todo o seu histórico. Mas o que seria esperado nesta situação? Obviamente que a aeronave já estivesse no nível adequado (lembre-se que não é esperado que a aeronave sofra mudanças de altitude sem que haja tráfego em sua rota). É claro que, analisando o acidente agora que sabemos que o transponder foi desligado, a recomendação do NTSB pode parecer a mais adequada para este evento, ou seja, informar como nível autorizado 370, mas quantos acidentes que foram evitados poderiam ter ocorrido por não alertar aos controladores que deveriam solicitar a alteração de níveis da aeronave? Ou seja a ausência do sinal do transponder em um plano de vôo completamente inadequado, descabido e com dificuldades desnecessárias para o ATC provoca esta tremenda confusão nestes momentos. Se o transponder estivesse ligado não haveria esta confusão porque o ATC veria claramente em sua tela 370=360 e solicitaria a descida do Legacy. Se ao contrário, como quer o NTSB e IFATCA, que o sistema tivesse registrado uma clearance FL 370 para depois de Brasília, como o controlador saberia que esta clearance estaria inadequada e deveria emitir uma nova clearance? Lembre-se que obrigatoriamente ele deveria emitir uma clearance para FL 360, porque FL 370 era contramão para este trecho. Ele deveria analisar a proa magnética do Legacy? Ele deveria ficar analisando voo a voo na sua rota, algo que não é necessário em sua rotina já que as regras da aerovia cuidam da separação vertical de aeronaves na mesma rota? Lembre-se que mantê-lo em FL 370, mesmo que sob o controle do ATC não faria o menor sentido. Vejam o absurdo desta análise e sugestão do NTSB e IFATCA. É claro que não se discute que no evento do desligamento do tranponder, a sugestão do NTSB e IFATCA são melhores para resolução de conflitos, mas são impensáveis se o transponder estivesse ligado. É claro que toda esta complexa análise é possível e é possivel melhores alternativas para que a detecção de conflitos seja facilitada, mas não pode ser questionado que a enorme dificuldade desta tarefa foi gerada pelo desligamento do transponder no momento mais crítico do vôo. Não se pode esquecer ainda, que o erro cometido, do ATC ter assumido que a aeronave seguia o plano de voo, se deu por um único controlador de voo. Foi o mesmo controlador que alguns minutos antes da aeronave passar por Brasília disse para manter FL 370, e foi o mesmo que após alguns minutos passou o posto para outro controlador acreditando que a aeronave estava no FL 360. Obviamente o controlador não iria ser induzido a este erro se o transponder estivesse ligado.
O mais irônico no comentário do NTSB é que a maioria dos consoles de radares pelo mundo não mostram o nível autorizado e somente o real! Ou seja as informações adicionais é que confundiram os controladores!
Estes são os eventos que eram esperados, seriam normais e rotineiros. O inesperado neste acidente é o plano de vôo solicitado pelo Legacy e no momento mais crítico deste plano o transponder ser desligado, equipamento fundamental para que a transição pudesse ter sido feita corretamente pelo ATC.
Nos primeiros momentos após o desligamento do transponder, o console do radar passa a mostrar níveis reais muito oscilante e em seguida mostra 360Z360. Ou seja, nível autorizado 360 (pela ausência do nível real) e repete o nível autorizado 360. O "Z" indica a ausência do sinal do transponder. O NTSB e IFATCA consideram que o nível autorizado foi 370, então dizem que na tela do radar deveria aparecer 370Z370, nível autorizado 370 (pela ausência do nível real) e repete o nível autorizado. Com isto o ATC, poderia perceber o conflito de níveis, ao ver uma aeronave em sentido contrário no mesmo nível e vendo que o último nível autorizado, na lógica do NTSB, foi 370. Entretanto, não levam em consideração que pela ausência do tranponder o Legacy desaparece das telas de radar logo em seguida. Sem o transponder, os radares não conseguem associar a aeronave a uma posição do radar e deste modo não conseguem detectar riscos de colisão. A aeronave pode até ter caído que eles não conseguem saber, como foi o caso do Gol. Ou seja, mesmo que adotada a infeliz alternativa do NTSB, o risco ainda da aeronave não ser associada no radar e haver uma colisão seria extremamente alto.
Diante da situação do transponder desligado, a recomendação do NTSB de apresentar na tela 370Z370 é melhor para saber o nível ocupado aeronave, entretanto, transponders desligados é uma situação absolutamente anormal. Adotada a sugestão do NTSB, a segurança de vôo em todas as situações que o transponder está ligado seria prejudicada! Portanto, que sistema vocês acham preferível? O que mostra claramente o conflito quando os transponders estão ligados e permitiriam o ATC executar melhor suas tarefas ou um que mostra melhor o conflito (por alguns minutos antes de desaparecer da tela do radar) quando o transponder estiver desligado como sugerem o NTSB e IFATCA? Deve-se projetar sistemas adequados para transponders ligados ou desligados? É obvio que entendemos a recomendação do NTSB quando observamos o seu pressuposto de análise que o erro é sempre do ATC em qualquer caso. O ATC deve ser capaz, na sua análise, corrigir os erros da tripulação (desligamento do transponder).
Está mais do que claro que se o transponder não fosse desligado logo após o Legacy ter passado por Brasília, o console do controlador passaria a mostrar 370=360 (real 370, autorizado 360), e tão logo o ATC voltasse sua atenção para o Legacy, e mesmo antes que surgisse uma aeronave em sentido contrário, solicitaria que o Legacy descesse para 360. Se o sistema incorporasse as recomendações do NTSB e IFATCA e o transponder não estivesse desligado, como se espera, o console mostraria 370=370, o que seria uma situação muito mais difícil de ser indentificada pelo controlador, criaria dificuldades desnecessárias de coordenação para o ATC, o que colocaria muito mais intensamente, em situações normais, as aeronaves em risco. Com o tranponder desligado, como ocorreu, a aeronave logo desapareceria dos radares e do mesmo modo exigiria um esforço grande de resolução dos conflitos do ATC.
Ou seja o erro do ATC foi não tomar medidas emergenciais diante da ausência do sinal do transponder, mas que na concepção de qualquer um tratava-se de um evento até mesmo trivial e comum. O ATC subestimou a possibilidade de colisão porque não se trata de um evento previsível uma aeronave ocupar um nível incompatível com as regras da aerovia. Não é o tipo de conflito que faça parte de seu dia-a-dia, pois já é resolvido no planejamento do vôo, tarefa das tripulações. Ao mesmo tempo, a ausência do sinal do transponder impossibilitou ao ATC a imediata detecção do conflito pelo ATC. As tarefas do ATC estão relacionadas diretamente com o disponibilização do sinal do transponder, e mesmo na sua ausência, dificilmente colocam as aeronaves em risco. Na sua ausência, tudo passa a depender de suposições e conjecturas que não podem ser esperadas em um ambiente crítico como o do ATC. O aprendizado deste acidente, é que pode ser esperado sim, por mais absurdo que possa parecer, que uma aeronave tente voar na contramão por mais de 2000km, e isto deve ser previsto. A recomendação do NTSB para um sistema que identificaria o conflito em uma situação de transponders desligado só pode estar relacionado ao seu pressuposto de análise enviesado de que tudo é decorrente de erros do ATC, e mesmo assim, é uma cômoda situação para uma análise ex-post de um acidente que nunca ocorreu em situações semelhantes antes na história da aviação. Antes deste acidente, o NTSB nunca apresentaria esta sugestão. Não posso comprovar, mas tenho sérias suspeitas que os sistemas americanos não incorporam as sugestões do NTSB para o nosso sistema e que mesmo mundialmete falando, outros sistemas não tenham o mesmo comportamento que o brasileiro. De qualquer forma, não houve qualquer falha do sistema do ATC.
Enfim, entre os inúmeros erros do NTSB destacam-se: (1) considerar que a tripulação não precisa conhecer a organização do espaço aéreo, sendo que foi isso que não os fez perceber o limite claro e óbvio que foi omitido na autorização inicial e isto se chama imprudência e fere normas técnicas; (2)desenvolver a análise fundamentando-se em uma efetiva e intencional autorização de nível 370 de Brasília a Manaus, que só existe por uma omissão do limite desta autorização; (3) afirmar que o ATC falhou em não comunicar futuras mudanças de altitude quando isto não é práticado nem é obrigação do ATC, e portanto, não pode ser considerada uma falha; (4) sugerir que um sistema de informações deva ser projetado para ser eficiente quando os tranponders estão desligados e prejudiciais para a segurança de voo para a situação normal de estarem ligados, sugestão esta extremamente controversa e sem capacitação para emitir este comentário e (5) e por fim, e mais grave de tudo, desconsiderar completamente que foi justamente o desligamento do transponder no momento mais crítico do vôo, a passagem sobre a vertical de Brasília, quando em situações normais o ATC iria conduzir a aeronave para o nível planejado e adequado para a aerovia, o evento que fez com que os controladores perdessem o controle da altitude efetiva da aeronave. O desligamento do transponder, por culpa única e exclusiva da tripulação, não só não impediu o acidente mas, antes disso, foi a principal causa de manter a aeronave em rota de colisão com o Boeing.
"ICAO document 44441 defines the purpose of ATC services as 'preventing collisions …between aircraft, and … expediting and maintaining an orderly flow of air traffic.' Similar definitions appear in U.S. documents as well. As both of the involved aircraft in this collision were operating under required positive control, and under all applicable directions, ATC services must be examined in detail to determine the factors that initially placed the aircraft into conflict and why ATC services did not resolve the conflict before the collision" (NTSB).
O NTSB coloca como conclusão - "... (ATC) did not resolve the conflict before collisions" - como o pressuposto da análise e a partir disto constrói a lógica de seu discurso - "ATC services must be examined in detail..". Em qualquer país civilizado do mundo, colocar como pressuposto a conclusão desejada seria razão suficiente para colocar esta análise pretensamente técno-científica na lata do lixo e demitir sumariamente seu autor. Infelizmente isto não é possível neste caso. Sabemos, por exemplo, que em acidentes de trânsito, presume-se a culpa do veículo que colide com o que vai a frente, entretanto, se o veículo que vai à frente está fazendo uma conversão proibida e diminui repentinamente a velocidade, é ele o culpado no acidente. Quem tem tem a incubência de apurar as causas de um acidente não pode ter como pressuposto a presunção da culpa.
O NTSB cria um pressuposto equivocado, mesmo que a partir de algumas frases extraídas de vários documentos oficiais, de que sendo a missão do Controle de Tráfego Aéreo (ATC) evitar acidentes através da ação positiva de separação das aeronaves, então concluir que se houve uma colisão aérea é porque o ATC falhou na sua missão e é isto que deve ser analisado: as falhas do ATC que contribuíram para o acidente. Logo, seguindo a lógica do NTSB, poderíamos concluir que os fatores contribuintes dos afogamentos são as falhas dos guarda-vidas, os da criminalidade são as falhas dos policiais e por ai afora. Não pode haver algo mais evidente que a missão do guarda-vidas é salvar vidas, mas não pode ser colocado como pressuposto que ele possa ser causador de afogamentos. A sua omissão, é claro, pode contribuir para afogamentos, mas a partir daí ser colocado como pressuposto de análise há uma distância muito grande. Não conheço nenhum guarda-vidas que tenha enfiado a cabeça de alguém na água até o afogamento. O NTSB quer nos fazer crer que o ATC brasileiro ordenou a altitude que colocou o Legacy em rota de colisão com o Boeing, não foi capaz de evitá-la e este foi o principal fator causador do acidente. Este raciocínio só pode ser explicado por alguns viéses que todos podem imaginar suas origens. Qualquer estudo que pretendesse ser técno-científico seria descartado, desconsiderado se iniciasse pelo primeiro parágrafo iniciado pelo NTSB. De toda forma, fica claro que não se pode ser levado à sério pela sua explícita tendenciosidade na condução das conclusões. Antes de analisar os eventos, ele já informa à conclusão que quer chegar. O primeiro parágrafo da análise do NTSB já coloca como axioma a responsabilidade do Controle de Vôo nas colisões aéreas e não como simplesmente um dos protagonistas a serem investigados como fator contribuinte.
O NTSB falha gravemente em não endereçar corretamente a questão da organização do espaço aéreo, suas aerovias e o plano de vôo do Legacy neste cenário. Já escrevi muito sobre isto, mas vou repetir para os que não leram. Aeronaves que voam em aerovias com rumo magnético de 0º a 179º (quadrantes nordeste e sudeste) voam em níveis ímpares (350, 370, 390,...) e de 180º a 359º (quadrantes noroeste e sudoeste) em níveis pares (340, 360, 380,...). Contudo não é sempre, primeiro porque há vias de mão única, quando as aeronaves podem ocupar qualquer nível. Muitas vezes para resolução de tráfego os controladores podem manter aeronaves por pequenos trechos em níveis "errados". Por exemplo, neste evento, seria possível que duas aeronaves estivessem se cruzando sobre o espaço aéreo de Brasília e, portanto, poderia ser conveniente manter a altitude de uma delas até o conflito ser resolvido. Mas são situações perfeitamente previsíveis, controláveis, circunstanciais, que se desenrolam em poucos minutos, em pontos de transição e sob o acompanhamento constante do ATC. Uma outra possibilidade muito frequente é em trechos de direções próximas ao sul ou norte magnético nos quais a rota muda de quadrantes (por exemplo, de nordeste para noroeste), e nesta situação, para manter a mesma altitude em todo o voo, o plano de voo já prevê o deslocamento das aeronaves das aerovias colocando-as em rotas diretas, sem que haja conflitos nestas rotas. Mas são situações perfeitamente conhecidas pelas tripulações. Estes procedimentos eliminam por completo a possibilidade de colisões frontais. Não é possível, por exemplo, imaginar que uma aeronave vá cruzar um país, com dimensões continentais como o Brasil na contramão em uma aerovia. Isto é inconcebível por qualquer um, mas não para o NTSB, que suporta sua análise na prevalência da primeira compreensão das determinações do ATC sob quaisquer circustancias e não na organização do espaço aéreo. É claro que um policial, por exemplo, pode determinar que alguém trafegue em uma via na contramão, mas qualquer um sabe que é uma situação, controlada, de risco, em que os motoristas e os policiais estão com toda atenção voltada para a situação, especialmente os motoristas. Situações de extrema consciência situacional dos envolvidos e todos com cuidados redobrados e com a absoluta certeza de todos que regras estão sendo desobedecidas devido a circustâncias especiais. Procedimentos possíveis e admissíveis nestas situações não é uma liberação para as tripulações desprezarem todas as regras de organização do espaço aéreo e voarem às cegas a partir de sua compreensão das determinações do ATC. O questionamento de direcionamentos incorretos ou mesmo o seu esclarecimento em caso de violação de regras do espaço aéreo é uma obrigação das tripulações. Isto é uma norma internacional. Não há menor dúvida que voar na "contramão" em trechos tão longos é um risco para o voo e deve ser confirmado pela tripulação com o ATC. Desafio qualquer um a apresentar um plano de vôo que tenha sido realizado com uma aeronave trafegando mais de 2000 km na contramão em uma aerovia de mão dupla em qualquer lugar do mundo. De S.José dos Campos a Brasília o curso é muito próximo ao norte (006º), mas de Brasília a Manaus o curso é nitidamente noroeste (336º). Só este fato demonstra a total ausência de consciência situacional desta tripulação. Nenhum piloto, em sã consciência voaria de Brasília a Manaus em um nível impar. Não importa a autorização que tenham recebido, obviamente haveria algo de "anormal" em uma autorização deste tipo e demonstram desconhecimento dos fundamentos da organização do espaço aéreo. O NTSB chega ao absurdo de considerar que a autorização do nível impar até Manaus é a única interpretação possível e não precisaria ser questionada. Se alguém tem alguma dúvida sobre isto, consulte o site flightaware.com e monitore online os voos no espaço aéreo nos EUA. Não se encontrará nunca nenhum voo que cruze ou cruzou os EUA em níveis incompatíveis com as regras de direção das aerovias. Vejam e confirmem que todos os voos que estão em níveis estabilizados (em rota) e que vão para leste seguem em níveis impares e todos os voos que vão para oeste, níveis pares.
Não resta a menor dúvida que a tripulação deve conhecer o espaço aéreo, isto é normativo, e deve esclarecer sim se está sendo autorizada a trafegar na contramão por mais de 2000 km. A tripulação é obrigada a conhecer as cartas aeronáuticas. A tripulação é obrigada a verificar e conhecer seu plano de vôo. A tripulação tem a obrigação de ter noções básicas de organização do espaço aéreo e suas regras. A tripulação é obrigada a saber então que voar em nível 370 de Brasília a Manaus é voar na contramão. A tripulação é obrigada a saber que isto envolve um risco elevadíssimo, autorizada ou não. E por fim, mesmo que autorizada a voar em nível incompatível, solicitar um nível compatível com as regras da aerovia, ninguém está obrigado a correr riscos desnecessários.
O NTSB não aborda esta questão e não discute as responsabilidades de uma tripulação que não têm consciência situacional de estar claramente sob risco de colisão, autorizada ou não.
O NTSB não tem uma frase sequer sobre o plano de vôo elaborado para o Legacy, que pode ter sido o grande fator contribuinte para este acidente. O plano de vôo foi feito por um programa de computador por uma empresa americana, Universal Weather, a pedido da Excelaire. Observem como é importante o planejamento de vôos. Não é a tripulação nem é o ATC que o faz, mas uma empresa especializada e contratada para isso. Será que um plano de vôo então não tem nenhuma importância para a tripulação? É somente uma obrigação do ATC estudar o plano de vôo para conduzir a aeronave? É claro que não, a tripulação deve analisá-lo, estudá-lo e eventualmente até alterá-lo para melhor adequá-lo às condições específicas encontradas. O plano de vôo do Gol, por exemplo, previa o nível 410, entretanto, o piloto achou mais conveniente devido ao peso da aeronave, e outras razões que só ele sabe, solicitar o nível 370. Ele não solicitou 360 ou 380 porque o piloto sabia que níveis pares eram inadequados para a aerovia Manaus-Brasília. O ATC atendeu imediatamente sem nenhuma restrição, como costuma fazer na quase totalidade das vezes, pois os níveis que ocupam as aeronaves quando estão em rota, desde que obedecidas as regras das aerovias, não tem qualquer influência para as tarefas do ATC. Agora vejamos quais são as tarefas e preocupações típicas dos controladores de vôo. Eles estão atentos às aproximações horizontais das aeronaves e quando surgem conflitos horizontais os resolvem separando as aeronaves verticalmente quando possível ou retendo-as quando não for possível. Sem muita dificuldade, qualquer um pode concluir que não há necessidade de tratar conflitos se não há aproximação de aeronaves. Quando as aeronaves estão numa mesma aerovia, como no caso deste acidente é praticamente impossível que haja conflitos. Só haverá conflito se a aeronave que estiver atrás trafegar numa velocidade superior da que está à frente. Se as aeronaves estão em sentidos contrários, as regras da aerovia, com níveis alternados segundo as direções que trafegam, faz com que não haja aeronaves ocupando as mesmas altitudes. Uma autorização que coloca as aeronaves em níveis incompatíveis com seus rumos por longos trechos é um erro grave do ATC, mas também é um erro grave da aeronave que a aceita pois certamente está havendo alguma autorização equivocada e colocando a aeronave em risco. A aerovia de Brasília a Manaus, nunca teve, nem terá uma aeronave autorizada a voar em nível impar em seus mais de 2500 km. Esta é uma autorização impossível de ser emitida, a qualquer hora, em qualquer dia, em qualquer circunstância e se emitida, estará por construção incorreta. O NTSB argumenta que os pilotos não são obrigados a saber. É obrigação do ATC cuidar da separação das aeronaves, já que "esta é sua missão". O que vocês acham? Vocês como passageiros, acham que a tripulação deve conhecer as cartas aeronáuticas que utilizam, como exigem as normas, terem senso crítico sobre isto, ou seguir a recomendação do NTSB, que ela deve simplesmente confiar e seguir a altitude que entenderam por rádio sem questionar? Quando vocês viajam para a China em um avião americano, vocês gostariam que a tripulação conhecesse as cartas aeronáuticas chinesas, ou simplesmente confiassem e não colocasse em dúvida a orientação dos controladores chineses? Vocês já viram um controlador chinês emitindo autorizações em inglês? Pesquisem no Youtube, você vão dar boas risadas. Se vocês perderem suas vidas em um acidente aéreo na China, não se preocupem, morram em paz, é porque os controladores chineses não sabem falar bem inglês; pilotos americanos não são obrigados a conhecer as cartas aéreas chinesas para questionar autorizações duvidosas, e todos poderão determinar como causa do acidente as falhas do controle de tráfego chinês. Você se sentiria confortável nesta situação? Você considera esta uma boa recomendação do NTSB ou você considera que seria melhor os pilotos verificarem se os níveis que estão voando é compatível com as cartas aeronáuticas, algo que é muito fácil de ser feito e não exige mais que um passar de olhos na carta aeronáutica. Mas enfim, o que o NTSB não analisa é que a rotina dos ATC em qualquer lugar do mundo, não envolve preocupações com conflitos resultantes de aeronaves voando na mesma aerovia em sentidos contrários. Isto não faz parte de suas preocupações e não têm sua atenção voltada para ele, porque, obedecidas as regras da aerovia, nunca surge este tipo de conflito. Não há na história da aviação nenhum conflito deste tipo antes deste. Portanto este deveria ser o foco da análise: porque um conflito que nunca ocorreu antes na história da aviação, vem a acontecer justamente neste episódio?
Mas voltando ao plano de vôo do Legacy, ele têm uma característica extremamente incomum. Não é comum uma aeronave mudar sua proa magnética de quadrante durante um vôo. Não é comum, como vocês devem imaginar, uma aeronave ter que alterar seu rumo de nordeste para noroeste. Isto ocorre em rotas próximas ao norte ou sul magnético, ou em outras palavras, paralelas aos meridianos. Sendo assim, é extremamente incomum que tenha em seu plano de vôo mudanças de altitude. Mudanças de altitude em rota (não estamos falando de decolagens e aproximações), em quase sua totalidade, são determinadas pelas condições atmosféricas encontradas durante o vôo, como ventos de altitude, ou é um plano de vôo regular, freqüente, como o da Gol, e segundo a situação de peso da aeronave ou outras condições, o piloto solicita uma altitude mais adequada para a aeronave para aquele vôo específico. Ou seja, quem solicita e, portanto, determina a altitude em rota dos vôos é na sua quase totalidade das vezes o piloto. De Poços de Caldas, primeiro fixo do vôo do Legacy, até Brasília, o rumo magnético é 006º e de Brasília a Manaus é 336º. Se olharmos o mapa não nos parece que a direção de Poços a Brasília esteja no quadrante nordeste, nos parece noroeste. É porque os rumos magnéticos são ligeiramente diferentes dos rumos geográficos pelo fenômeno da declinação magnética. Ninguém imaginaria que neste vôo houvesse necessidade de mudanças de altitude. Para evitar situações como esta, muitas vezes em rotas paralelas aos meridianos e de volume significativo de tráfego, estabelecem-se aerovias de mão única. É o caso da aerovia de Poços de Caldas a Brasília pela qual trafegou o Legacy, a UW2, que tem mão única no sentido de Brasília. Não há risco de colisão frontal nesta aerovia.
Entretanto a empresa americana que fez o plano de vôo, contratada pela Excelaire, proprietária do Legacy, e não como foi divulgado de início, como sendo para a Embraer, a Universal Weather aparentemente não levou isto em conta. Consta do relatório final do CENIPA, que o programa de computador da Universal Weather determinou as altitudes em função de ventos de altitude. Ventos de altitudes são resolvidos normalmente em vôo por iniciativas da tripulação em decorrência de turbulências e não desta forma, nos planos de vôo. Como é um programa de computador que fez o plano, tenho fortes razões para acreditar que ele não tenha levado em conta o fato da UW2 ser de mão única. É difícil crer que de Poços de Caldas a Brasília a empresa americana que fez o plano considerasse que a altitude mais adequada seria 370 e de Brasília a Teres 360 e de Teres a Manaus 380. Permitam-me duvidar, acredito que o programa da Universal Weather desnecessariamente estabeleceu 370 levando em consideração somente as proas magnéticas, e posteriormente 360 e 380 em função de consumo de combustível. Não há razões lógicas para se fazer um plano assim. Já que a UW2 tem mão única, poderia ter sido feito um plano em nível único, par, e em função das condições atmosféricas encontradas, a tripulação poderia solicitar durante o vôo níveis mais adequados às condições encontradas. Desta forma já estamos em uma situação completamente atípica: um plano de vôo que necessariamente exigirá uma mudança de altitude no meio da rota sem que seja determinada pelas condições de tráfego e sim somente para adequar-se às regras da aerovia. Tenho fortes suspeitas que e o motivo da aerovia UW2 ser de mão única é ela ser uma aerovia muito próxima do norte magnético. As aeronaves que vem de Brasília para S.José trafegam pela UW1 que tem mão única neste sentido (Brasília, Campinas, S.José). Parece que isto é fundamental para a análise deste acidente e é completamente negligenciado pelo NTSB. Este plano de vôo criou dificuldades de coordenação do ATC, ao mesmo tempo em que foi totalmente negligenciado e desprezado pela tripulação. Então estamos diante de um cenário em que a mudança de altitude é determinada para adequação ao espaço aéreo, o que nunca foi uma preocupação do ATC, que se preocupa e tem suas atenções voltadas para resolver conflitos de aproximação de aeronaves. Adequação ao espaço aéreo, supõe-se já tenha sido levado em conta no planejamento do vôo, como foi feito pela Universal Weather para a Excelaire. Qualquer tripulação acostumada ao espaço aéreo, ou companhia brasileira que elaborasse o plano de vôo, estabeleceria um nível único, par, de Poços de Caldas (primeiro fixo) à Manaus. Este seria um plano esperado pelo ATC. Um plano de vôo que pede alteração de nível de vôo em Brasília é completamente sem sentido. Não faz sentido algum uma aeronave subir ao FL 370 e no meio do vôo descer a FL 360 e voltar a subir para FL 380. O NTSB e CENIPA não fazem nenhum comentário sobre a inadequação do plano de vôo e a falta de justificativas consistentes para mudanças de altitudes e transfere a responsabilidade exclusiva sobre esta coordenação desnecessária e não usual para o ATC. A Universal Weather não justificou em nenhum momento a necessidade deste plano de vôo não usual. As aerovias são projetadas para que as aeronaves que saem de S.José e sigam para Brasília (pela aerovia UW2, rumo muito próximo ao norte e tem por isto mão única, possam ir para os seus destinos mantendo o mesmo nível. Por exemplo, para Manaus (noroeste) ou Fortaleza (nordeste).
Os pilotos não fizeram nenhuma preparação para o vôo, portanto desconheciam completamente todas estas preocupações. Vocês acham que estas preocupações são importantes? O NTSB acha que não, a responsabilidade da condução do voo, segundo eles, é única e exclusiva do ATC. É claro que a preparação para o voo é importante porque conduz à uma maior consciência situacional da tripulação, alertando-a para as orientações vindas do ATC, tornando-a alerta aos eventos esperados na rota como mudanças de aerovias e altitudes. Se é esperada uma mudança de altitude por adequação às regras da aerovia e ela não ocorre é razão suficiente para esclarecer com o ATC se a aeronave está na altitude correta. É isto o que nós passageiros esperamos da tripulação e não que sejam meros espectadores do voo.
Pelo que foi exposto, é perfeitamente possível entender com são feitas as autorizações de partida, as "clearances". Na quase totalidade das vezes se emite uma autorização para o plano de vôo que é solicitado pela aeronave. Eventuais conflitos são solucionados "taticamente" durante um vôo. É isto que foi feito para este vôo, o ATC emitiu uma autorização abreviada, como é feita em todos os vôos, no mundo todo, indicando o nível inicial, 370. Certamente o ATC não se preocupou com os diversos níveis durante o vôo porque isto é tratado no desenrolar do vôo, "taticamente", ou seja, na medida em que se antecipam aproximações de aeronaves. A tripulação, por seu lado, nem mesmo observou que seu plano previa vários níveis, porque se tivesse visto, isto lhe deveria chamar a atenção e identificar as razões que levaram a Universal Weather prever diversos níveis de vôo. Não se trata de algo usual, é, ao contrário, extremamente raro e mais do que isto desnecessário. Desta forma, a tripulação também não esperava que houvesse vários níveis previstos neste voo. O ATC também, por seu lado, não teve nenhuma preocupação com isto, porque raramente encontra um planejamento de vôo que prevê vários níveis. O ATC nunca teve intenção de autorizar o nível 370 de Brasília a Manaus, nem poderia, mas sua omissão não informando que a autorização tinha como limite Brasília, "formalmente" significou uma autorização para o vôo todo em um único nível. Ou seja, a autorização do nivel 370 de Brasília a Manaus foi emitida pela omissão do limite e não pela ação deliberada de autorizá-la. O NTSB analisa esta autorização pela sua formalização e não pela sua intenção, e passa a fazer um jogo de palavras de que o ATC autorizou o vôo em um único nível. A IFATCA, que se coloca ao lado desta interpretação, chega a incoerência de querer que o "sistema" modifique todo o plano de vôo para um único nível autorizado. A IFATCA sugere que o controlador coloque o nível inicial para todos os trechos do vôo, porque foi este nível o que foi informado à aeronave. O erro do ATC não foi autorizar o voo em um nível incorreto, mas sim não ter estabelecido o limite da autorização. Neste caso, a torre de S.José deveria ter dito claramente, "clearance limit Brasília". Porém é algo que qualquer piloto saberia ao ver a carta aeronáutica e o seu plano de vôo. Um controlador de vôo europeu me disse que em mais de 20 anos de profissão não se lembra de ter emitido nenhuma clearance com limite. NTSB conduz sua análise como se tivesse existindo uma autorização para um único nível de vôo, quando na verdade o que ocorreu foi uma omissão do seu limite. Não são a mesma coisa. Pode-se admitir que do ponto de vista formal para a tripulação, o voo estava sim autorizado a manter o FL 370 até que uma nova autorização viesse a ser emitida para a tripulação, mas não pode ser completamente ignorado, como faz o NTSB, que em situações normais, o ATC conduziria a aeronave segundo o planejamento do voo, ou seja, nos momentos adequados, solicitaria a aeronave que ocupasse o nivel de voo planejado por ela e para ela. Era isto o que estava previsto para o voo.
Ao se aproximar de Brasília, não há tráfego algum na rota do Legacy. A rotina do ATC é tratar conflitos de tráfego quando há outras aeronaves em sua rota. Se não há tráfego é natural que suas atenções estejam voltadas para outras aeronaves. Segundo consta do relatório, no espaço aéreo de Brasília onde deveria ocorrer a transição de níveis não havia aeronaves em tráfego concorrente com o Legacy. Certamente isto explica porque não houve nenhuma iniciativa do ATC para solicitar que o Legacy descesse de 370 para 360 como esta previsto no plano de voo. Lembre-se, trata-se de uma situação completamente incomum esta transição de níveis sem tráfego. Vejam a tela do console do operador no momento que o Legacy se aproxima de Brasília. Do lado direito estão todas as "strips" dos vôos que são controlados por ele. Observem que todas as strips mostram que não há variação nos níveis de vôo. O CENIPA e o NTSB dizem que o ATC falhou em não solicitar que o Legacy alterasse o nível de vôo de 370 para 360. Coloque-se na posição do controlador que tem a tela abaixo na sua frente. O Legacy está no nível 370 e não há tráfego próximo dele. Alguém crê em sã consciência que o controlador deva analisar cada uma destas complexas strips e comunique à aeronave para efetuar as próximas mudanças de altitudes, sem que haja nenhum conflito ou outra aeronave na sua rota? Que vá chamar a aeronave e avisá-la que ela deverá descer mesmo não sendo necessário por concorrência de tráfego? Isto não está previsto em nenhum procedimento do ATC e não faz parte da sua rotina. Não é um comportamento que possa se esperar ou exigir dos controladores, nem mesmo está obrigado a isto. O controle aéreo resolve os conflitos taticamente analisando as trajetórias das aeronaves e as aeronaves próximas. Sua tarefa é monitorar, vejam bem a palavra que utilizo, monitorar, observar as aproximações das aeronaves e separá-las. Querer que os controladores antecipem futuros conflitos entre aeronaves que nem memo estão sob seu controle é requerer um comportamento que está além de suas possibilidades. Vejam o absurdo desta análise, CENIPA e NTSB dizem que os controladores falharam em não fazer algo que não faz parte de suas rotinas, da sua forma de agir, e mais do que isto, não estão obrigados a fazê-lo. Ou seja, não havia nenhuma razão para os controladores solicitar que o Legacy alterasse sua altitude ou que comunicasse futuras alterações de altitude. Certamente os controladores não dão a menor importância para níveis autorizados ou solicitados, nem precisariam, eles devem estar atentos aos tráfegos concorrentes. Estão com suas atenções voltadas sim para o nível real que a aeronave ocupa no momento e os níveis das aeronaves próximas, em concorrência com sua rota.
O Legacy passa por Brasília sem solicitar a mudança de sua altitude, por que não têm nenhuma consciência da importância de mudar de altitude em Brasília, e nem mesmo está obrigado a fazê-lo. O ATC não tem nenhum tráfego próximo e não tem sua atenção dirigida para o Legacy, e por isto não solicita nem tem obrigação de solicitar que a aeronave desça para 360. Mas até este momento não há problema algum, porque não há nenhum tráfego concorrente e o ATC não tem motivos para pedir que o Legacy desça, já que está tratando de outros vôos. Não tem nem mesmo motivos para estar atento ao võo do Legacy. De qualquer forma, até este momento não se pode dizer que houvesse nenhuma falha operacional tanto do ATC, como afirmam o CENIPA e NTSB, quanto da tripulação. A tripulação, que desconhece seu plano de vôo e desconhece o espaço aéreo, passa a trafegar na contramão de Brasília a Manaus sem ter esta consciência, um trecho de mais de 2500 km, algo que é inconcebível por qualquer um que seja racional. Trata-se de algo elementar na organização do espaço aéreo. É como os sentidos das vias de tráfego em vias de mão dupla. Aqui no Brasil, sempre se anda à direita. É claro que em situações excepcionais ou em vias de mão única, pode-se andar à esquerda, mas nunca por 2500 km. Um maior nível de consciência situacional da tripulação poderia conduzí-la a tomar alguma atitude, embora é claro que ela não está obrigada a isto. Entendendo-se que a autorização para andar na contramão veio de uma omissão e não de uma ação, poderia haver uma iniciativa da tripulação em esclarecer se estavam autorizados a manter o nível 370 após Brasília? Se a tripulação indagasse que nível o Legacy estava autorizado após Brasília, o controlador veria a strip (vejam imagem) e responderiam sem pestanejar: 360. O Legacy desceria para o nível correto. A IFATCA e o NTSB acham que o sistema deveria preencher todos os níveis com 370 pois em S.José foi o único nível que o ATC forneceu. Nesta hipótese o controlador olharia para o seu console e veria: nível solicitado 360, nível autorizado 370. O que ele faria? Coloquem-se na posição do controlador. Vocês acham que ele deveria analisar a rota do Legacy e veria que o nível autorizado 370 não poderia ser mantido já que proa magnética da aeronave era naquele momento 336º (vejam que esta informação não está no seu console) e mudaria o nível autorizado de 370 para o solicitado 360? Ele não se pergutaria: o que está correto? Qual nível devo autorizar? Por que o nível autorizado está informado 370? Será que outro controlador fez outra coordenação de tráfego e precisou manter o nível 370 depois de Brasília? Será que o nível solicitado 360 estava incorreto para a aerovia e autorização correta seria 370 para o vôo todo? Eu não gostaria de estar na posição do controlador se o "sistema" seguisse as valiosas contribuições para a segurança de vôo do NTSB e da IFATCA e ele devesse revisar neste momento todo o plano de vôo do Legacy.
O Legacy passa por Brasília, não há conflitos de tráfego, e o console do radar passa a informar 370=360. Leia-se, nível real 370, nível autorizado 360. Mas o NTSB e IFATCA diz que ninguém autorizou 360. Sim, mas é uma excelente indicação para o controlador entrar em contato com o Legacy e solicitar que desça para 360. É desta que o "sistema" funciona e não se pode dizer que não seja o projeto de sistema mais adequado. O NTSB e a IFATCA argumentam que o nível autorizado foi 370 e portanto é isto que o console deveria mostrar ao controlador e consideram uma falha o console mostrar nível autorizado 360, pois este nível não foi comunicado, "autorizado", para a tripulação. O console do ATC deveria mostrar, sugere o NTSB, 370=370, nível real 370, nível autorizado 370. Vocês acham que o controlador adotaria alguma medida para solicitar ao Legacy que fosse para o nível 360? Vocês acham que o controlador deveria analisar o rumo magnético da aeronave e solicitaria para ela descer para 360 (vejam a tela do radar)? É claro que não, não se pode esperar este comportamento do ATC nesta situação, o plano do vôo é feito e tratado antecipadamente. Ele é desenhado desta forma, e muito bem desenhado, para que quando chegue o momento adequado, o controlador tenha a clara informação que deve solicitar que a aeronave proceda a mudança de altitude para o nível planejado. Agora, concluam vocês, o console pode mostrar 370=360 como esta projetado ou 370=370 como sugere o NTSB, já que a clearance 370 foi a última emitida para a tripulação. Qual é a indicação que vai fazer com que o controlador perceba que deve tomar alguma ação para colocar a aeronave no nível adequado sem que precise recorrer a outras informações e análises da strip? Admitindo-se que o transponder esteja funcionando, o que é a situação esperada, fundamental para a segurança do vôo, qual das duas alternativas vocês acham melhor? Vocês consideram a recomendação do NTSB e da IFATCA correta? Vocês acham que o console deve mostrar 370=370? Se vocês refletirem bem, verão que esta sugestão não tem o menor sentido em uma situação normal quando o transponder está ligado. A análise e critica que faz o NTSB é que na condição do transponder desligado, o conflito seria detectado se o sistema apresentasse o último autorizado e não aquele que seria autorizado depois de Brasília. Mas, ora, isto já tem um pressuposto para conduzí-los a uma conclusão. Onde é feita a análise do que é mais seguro apresentar nos diversos cenários possiveis? A análise que tem que ser feita, para não ser viesada, é qual é a melhor alternativa para qualquer situação. Mas muito mais grave que isto neste comentário do NTSB é que este comportamento do software do ATC é aquele que é o esperado e atende as suas especificações que foram projetados para transponders ligados. Não tenho dúvida também, que estas especificações são adotadas em muitos lugares do mundo. Portanto trata-se de um software homologado, aprovado e em uso há muitos anos, portanto, sob este aspecto, não houve nenhuma desobediência a nenhuma norma ou especificação técnica e cujas recomendações do NTSB, mesmo que ex-post sejam aceitáveis, são controversas e discutíveis se efetivamente deveriam ser adotadas. Qual é capacitação técnica do NTSB para fazer a análise deste software? Que ensaios ele fez? Que engenheiros de sistemas e designers de soluções foram envolvidos para eles emitirem esta análise? Que comparativos com outras especificações ela fez? Portanto ele conclui que um software que comporta-se exatamente como o esperado e segundo suas especificações, comprovação esta obtida através de laudos isentos, causou a colisão porque ele "acha" que sua especificação é melhor! É o mesmo que considerar em um relatório que a resistência do material de uma peça de avião que cai não é adequado, mesmo sem fazer nenhum ensaio e "achar" que é esta a causa do acidente. Esta "opinião" só poderia ser emitida após a análise técnica do software por orgão capacitado para isto, e só ai então ser levado em consideração um comentário como este. Mas o mais importante é estar claro que o software, e o "sistema" em si, comportou-se exatamente como foi projetado, ou seja, não houve em nenhum momento nenhuma "falha" do sistema, como quer apontar o NTSB.
Pois bem, passam-se cinco minutos, e antes que o ATC perceba a passagem do Legacy por Brasília, o transponder da aeronave entra em standby no momento mais crítico do voo quando haveria uma alteração de altitude. O NTSB e IFATCA acham que isto não provocou o acidente e que a ausência de transponder é uma situação normal, previsível. A ausência de transponder pode ser uma situação frequente, mas lembre-se que ela ocorre justamente no momento em que está prevista uma "atípica" mudança de altitude de aeronave e que o instrumento que desencadeia os eventos que fazem com que o ATC conduza a aeronave para o nível planejado para ela. Lembre-se que o transponder é fundamental não só para previnir colisões, através do TCAS que recebe as informações geradas pelo tranponder das outras aeronaves para o ATC, mas muito mais importante que isso, para que o ATC saiba qual é o nível real da aeronave e controle "positivamente" os vôos. O controle da altitude real da aeronave pelo ATC depende fundamentalmente do sinal do transponder. O radar determina a posição e o transponder informa a altitude para o ATC. O NTSB e IFATCA acham que o transponder é secundário e só serve em último caso para evitar colisões(sic). Para o NTSB, os pilotos não são obrigados a monitorarem os instrumentos, mas o ATC é obrigado a agir e registrar o nível que a aeronave estava voando no momento do desligamento do transponder. Consideram também que com maior cobertura de radares é possível estabelecer a altitude da aeronave sem depender de seu transponder. Parece-me uma boa recomendação, mas onde está a desobrigação dos pilotos monitorarem os instrumentos e onde está a obrigação do ATC registrar o nivel da aeronave quando o transponder é desligado? Não seria o caso de serem recomendações decorrentes do aprendizado dos fatores contribuintes para o acidente e não suas causas? Não deixa de ser uma boa recomendação registrar o último nível autorizado e também o nível real no momento do desligamento do transponder, mas só pode ser tratado como recomendação e não como causa do acidente.
Mas o mais ridículo na análise do NTSB é que ele trata as falhas do sistema de não ter registrado a última clearance após o último contato do Legacy com o ATC, ou seja, FL 370 depois de Brasilia ser o causador do acidente. Como foi dito, o erro do ATC foi ter permitido que fosse subentendida uma clearance para o FL 370 depois de Brasília. O erro não foi a clearance FL 370 não ter sido registrada, o erro foi a clearance ter sido entendida com tal. Logo a correção do erro teria sido ter estabelecido o limite da clearance FL 370 e ter sido emitida a clearance para o FL 360 depois de Brasília. Esta é a análise que deve ser feita, porque a clearance FL 360 não foi emitida. Este foi o erro do ATC e não o fato de não ter sido registrado no sistema a clearance FL 370 até Manaus. E a resposta só pode ser uma e sem a menor sombra de dúvida e é isto que determinou o acidente: quando a atenção do ATC se voltou para o Legacy (lembre-se que não havia tráfego na sua rota) e a clearance FL 360 iria ser emitida quando o controlador visse em seu console 370=360, cerca de 5 minutos depois da aeronave passar por Brasília, o transponder foi desligado. Ai surge a confusão provocada por este desligamento: a aeronave estava seguindo seu plano de vôo solicitado ou não? Ela já foi autorizada FL 360 ou não? Como o controlador vai saber? Ele teria que ter em sua cabeça todo o histórico do vôo, ele teria que saber que antes de Brasília a aeronave estava no FL 370 e manteve este nível após Brasília. Como saber se ela já não havia sido autorizada a proceder a descida para FL 360 anteriormente? Como não saber se entre Poços de Caldas e Brasília a aeronave não havia sido efetivamente autorizada por outro controlador FL 360? Esta seria uma análise possível? Sim, é claro, mas imaginem a complexidade desta análise. O controlador teria que analisar toda a strip do vôo, analisando todo o seu histórico. Mas o que seria esperado nesta situação? Obviamente que a aeronave já estivesse no nível adequado (lembre-se que não é esperado que a aeronave sofra mudanças de altitude sem que haja tráfego em sua rota). É claro que, analisando o acidente agora que sabemos que o transponder foi desligado, a recomendação do NTSB pode parecer a mais adequada para este evento, ou seja, informar como nível autorizado 370, mas quantos acidentes que foram evitados poderiam ter ocorrido por não alertar aos controladores que deveriam solicitar a alteração de níveis da aeronave? Ou seja a ausência do sinal do transponder em um plano de vôo completamente inadequado, descabido e com dificuldades desnecessárias para o ATC provoca esta tremenda confusão nestes momentos. Se o transponder estivesse ligado não haveria esta confusão porque o ATC veria claramente em sua tela 370=360 e solicitaria a descida do Legacy. Se ao contrário, como quer o NTSB e IFATCA, que o sistema tivesse registrado uma clearance FL 370 para depois de Brasília, como o controlador saberia que esta clearance estaria inadequada e deveria emitir uma nova clearance? Lembre-se que obrigatoriamente ele deveria emitir uma clearance para FL 360, porque FL 370 era contramão para este trecho. Ele deveria analisar a proa magnética do Legacy? Ele deveria ficar analisando voo a voo na sua rota, algo que não é necessário em sua rotina já que as regras da aerovia cuidam da separação vertical de aeronaves na mesma rota? Lembre-se que mantê-lo em FL 370, mesmo que sob o controle do ATC não faria o menor sentido. Vejam o absurdo desta análise e sugestão do NTSB e IFATCA. É claro que não se discute que no evento do desligamento do tranponder, a sugestão do NTSB e IFATCA são melhores para resolução de conflitos, mas são impensáveis se o transponder estivesse ligado. É claro que toda esta complexa análise é possível e é possivel melhores alternativas para que a detecção de conflitos seja facilitada, mas não pode ser questionado que a enorme dificuldade desta tarefa foi gerada pelo desligamento do transponder no momento mais crítico do vôo. Não se pode esquecer ainda, que o erro cometido, do ATC ter assumido que a aeronave seguia o plano de voo, se deu por um único controlador de voo. Foi o mesmo controlador que alguns minutos antes da aeronave passar por Brasília disse para manter FL 370, e foi o mesmo que após alguns minutos passou o posto para outro controlador acreditando que a aeronave estava no FL 360. Obviamente o controlador não iria ser induzido a este erro se o transponder estivesse ligado.
O mais irônico no comentário do NTSB é que a maioria dos consoles de radares pelo mundo não mostram o nível autorizado e somente o real! Ou seja as informações adicionais é que confundiram os controladores!
Estes são os eventos que eram esperados, seriam normais e rotineiros. O inesperado neste acidente é o plano de vôo solicitado pelo Legacy e no momento mais crítico deste plano o transponder ser desligado, equipamento fundamental para que a transição pudesse ter sido feita corretamente pelo ATC.
Nos primeiros momentos após o desligamento do transponder, o console do radar passa a mostrar níveis reais muito oscilante e em seguida mostra 360Z360. Ou seja, nível autorizado 360 (pela ausência do nível real) e repete o nível autorizado 360. O "Z" indica a ausência do sinal do transponder. O NTSB e IFATCA consideram que o nível autorizado foi 370, então dizem que na tela do radar deveria aparecer 370Z370, nível autorizado 370 (pela ausência do nível real) e repete o nível autorizado. Com isto o ATC, poderia perceber o conflito de níveis, ao ver uma aeronave em sentido contrário no mesmo nível e vendo que o último nível autorizado, na lógica do NTSB, foi 370. Entretanto, não levam em consideração que pela ausência do tranponder o Legacy desaparece das telas de radar logo em seguida. Sem o transponder, os radares não conseguem associar a aeronave a uma posição do radar e deste modo não conseguem detectar riscos de colisão. A aeronave pode até ter caído que eles não conseguem saber, como foi o caso do Gol. Ou seja, mesmo que adotada a infeliz alternativa do NTSB, o risco ainda da aeronave não ser associada no radar e haver uma colisão seria extremamente alto.
Diante da situação do transponder desligado, a recomendação do NTSB de apresentar na tela 370Z370 é melhor para saber o nível ocupado aeronave, entretanto, transponders desligados é uma situação absolutamente anormal. Adotada a sugestão do NTSB, a segurança de vôo em todas as situações que o transponder está ligado seria prejudicada! Portanto, que sistema vocês acham preferível? O que mostra claramente o conflito quando os transponders estão ligados e permitiriam o ATC executar melhor suas tarefas ou um que mostra melhor o conflito (por alguns minutos antes de desaparecer da tela do radar) quando o transponder estiver desligado como sugerem o NTSB e IFATCA? Deve-se projetar sistemas adequados para transponders ligados ou desligados? É obvio que entendemos a recomendação do NTSB quando observamos o seu pressuposto de análise que o erro é sempre do ATC em qualquer caso. O ATC deve ser capaz, na sua análise, corrigir os erros da tripulação (desligamento do transponder).
Está mais do que claro que se o transponder não fosse desligado logo após o Legacy ter passado por Brasília, o console do controlador passaria a mostrar 370=360 (real 370, autorizado 360), e tão logo o ATC voltasse sua atenção para o Legacy, e mesmo antes que surgisse uma aeronave em sentido contrário, solicitaria que o Legacy descesse para 360. Se o sistema incorporasse as recomendações do NTSB e IFATCA e o transponder não estivesse desligado, como se espera, o console mostraria 370=370, o que seria uma situação muito mais difícil de ser indentificada pelo controlador, criaria dificuldades desnecessárias de coordenação para o ATC, o que colocaria muito mais intensamente, em situações normais, as aeronaves em risco. Com o tranponder desligado, como ocorreu, a aeronave logo desapareceria dos radares e do mesmo modo exigiria um esforço grande de resolução dos conflitos do ATC.
Ou seja o erro do ATC foi não tomar medidas emergenciais diante da ausência do sinal do transponder, mas que na concepção de qualquer um tratava-se de um evento até mesmo trivial e comum. O ATC subestimou a possibilidade de colisão porque não se trata de um evento previsível uma aeronave ocupar um nível incompatível com as regras da aerovia. Não é o tipo de conflito que faça parte de seu dia-a-dia, pois já é resolvido no planejamento do vôo, tarefa das tripulações. Ao mesmo tempo, a ausência do sinal do transponder impossibilitou ao ATC a imediata detecção do conflito pelo ATC. As tarefas do ATC estão relacionadas diretamente com o disponibilização do sinal do transponder, e mesmo na sua ausência, dificilmente colocam as aeronaves em risco. Na sua ausência, tudo passa a depender de suposições e conjecturas que não podem ser esperadas em um ambiente crítico como o do ATC. O aprendizado deste acidente, é que pode ser esperado sim, por mais absurdo que possa parecer, que uma aeronave tente voar na contramão por mais de 2000km, e isto deve ser previsto. A recomendação do NTSB para um sistema que identificaria o conflito em uma situação de transponders desligado só pode estar relacionado ao seu pressuposto de análise enviesado de que tudo é decorrente de erros do ATC, e mesmo assim, é uma cômoda situação para uma análise ex-post de um acidente que nunca ocorreu em situações semelhantes antes na história da aviação. Antes deste acidente, o NTSB nunca apresentaria esta sugestão. Não posso comprovar, mas tenho sérias suspeitas que os sistemas americanos não incorporam as sugestões do NTSB para o nosso sistema e que mesmo mundialmete falando, outros sistemas não tenham o mesmo comportamento que o brasileiro. De qualquer forma, não houve qualquer falha do sistema do ATC.
Enfim, entre os inúmeros erros do NTSB destacam-se: (1) considerar que a tripulação não precisa conhecer a organização do espaço aéreo, sendo que foi isso que não os fez perceber o limite claro e óbvio que foi omitido na autorização inicial e isto se chama imprudência e fere normas técnicas; (2)desenvolver a análise fundamentando-se em uma efetiva e intencional autorização de nível 370 de Brasília a Manaus, que só existe por uma omissão do limite desta autorização; (3) afirmar que o ATC falhou em não comunicar futuras mudanças de altitude quando isto não é práticado nem é obrigação do ATC, e portanto, não pode ser considerada uma falha; (4) sugerir que um sistema de informações deva ser projetado para ser eficiente quando os tranponders estão desligados e prejudiciais para a segurança de voo para a situação normal de estarem ligados, sugestão esta extremamente controversa e sem capacitação para emitir este comentário e (5) e por fim, e mais grave de tudo, desconsiderar completamente que foi justamente o desligamento do transponder no momento mais crítico do vôo, a passagem sobre a vertical de Brasília, quando em situações normais o ATC iria conduzir a aeronave para o nível planejado e adequado para a aerovia, o evento que fez com que os controladores perdessem o controle da altitude efetiva da aeronave. O desligamento do transponder, por culpa única e exclusiva da tripulação, não só não impediu o acidente mas, antes disso, foi a principal causa de manter a aeronave em rota de colisão com o Boeing.
sexta-feira, 1 de maio de 2009
As diversas altitudes previstas para o vôo do Legacy
Se bem que muitos atrasados, há mais alguns detalhes sobre este acidente da Gol que não foram bem analisados pela imprensa nem tampouco pelos infelizes comentários da NTSB, que passaram longe das principais causas deste acidente.
Quem acompanhou este blog, sempre soube que as regras das aerovias são bastantes claras: aeronaves que voam com a proa Nordeste e Sudeste (eastbound) voam em níveis ímpares (FL 350, FL 370, FL 390,...) e aeronaves que voam para Noroeste e Sudoeste (westbound) voam níveis pares (FL 340, FL 360, FL 380,...). Um plano que muda de proa entre Leste e Oeste é bastante complexo e exige bastante atenção tanto da tripulação quanto do Controle de Tráfego Aéreo (ATC), pois haverá necessariamente mudanças de nível de cruzeiro. É claro que há muitas aerovias de mão única, quando qualquer nível pode ser utilizado, mas isto está claramente indicado nas cartas aeronáuticas.
Quando olhamos o mapa vemos que de S.José dos Campos, o ponto de partida do Legacy, até Manaus, toda a rota se dá na direção noroeste. Entretanto o plano de vôo do Legacy previa FL 370 até Brasília, FL 360 até Terez e FL 380 até Manaus. Por quê? Por que um plano tão complexo se ele poderia ir FL 360 ou FL 380, por exemplo, de S.José até Manaus?
Nunca ninguém explicou muito bem porque esta variação de altitudes, mas ficou claro agora na divulgação do relatório final e passou despercebido este tempo todo por mim, mas é algo que qualquer piloto sabe. Sempre se falou que de S.José a Brasília o Legacy estava em um nível impar (FL 370) porque ele estava em uma aerovia de mão-única, portanto ele poderia estar ocupando um nível impar. Mas porque toda esta montanha russa neste vôo e porque, indo para noroeste, escolheu um nível impar?
Primeiro, porque, embora de S.José a Brasília geograficamente seja noroeste, magneticamente ela é nordeste, ou seja, 006º! Quem já esteve envolvido com navegação aérea, terrestre ou marítima sabe que há uma variação conhecida como declinação magnética. Entre o norte geográfico e o norte magnético há uma variação significativa. Os pilotos ao se dirigirem para Brasília, para o noroeste geográfico, tinham o norte de sua bússola magnética apontada ligeiramente para a esquerda, 006º. E de Brasília a Manaus a proa magnética na aerovia UZ6 é 336º.
O plano de vôo do Legacy, feito pela empresa americana Universal Weather não levou em consideração que a aerovia UW2, de Poços de Caldas a Brasília, era de mão-única. O plano de vôo é feito por um programa de computador que possivelmente elaborou o plano segundo as regras “padrão”. O relatório do CENIPA também informa que o programa levou em conta ventos de altitude para elaborar o plano, mas é muito mais provável que o programa, a partir de um FL “ideal” de 370, ajustou-o para FL 360 após Brasília e FL 380 após Terez, quando a aeronave já estaria mais leve, algo comum em aviação. Ou seja, o programa poderia ser muito mais simples se levasse em conta que a aerovia UW2 é mão-única pois poderia escolher qualquer nível e isto teria simplificado a vida de todos.
Como vocês devem imaginar, é uma situação bastante complexa e incomum para um vôo, ter proas variando em torno do norte ou sul magnético, como neste vôo. Normalmente haverá mudanças de níveis, e todos devem ficar muito atentos. Os pilotos, em geral, sabem disto e estão preparados para estas mudanças.
Paladino, logo após a decolagem, comentou com Lepore que esperava uma clearance para FL 380. É claro, se estavam indo para noroeste, era natural que voassem em nível par. Não lhes chamou a atenção que a UW2 tem proa 006º e a UZ6 336º. Provavelmente um piloto ou companhia aérea brasileira utilizaria o fato da UW2 ser mão-única e faria um plano de vôo em um único nível.
Este plano do Legacy não é um plano usual. Não são usuais estas várias mudanças de altitude de cruzeiro. Em geral há uma altitude somente. As tripulações, nem o ATC enfrentam estas situações normalmente. Em geral há um único nível previsto para o vôo todo. Esta é uma situação muito rara. Mas o plano de vôo da Universal Weather, de uma forma muito complexa, otimizou o consumo de combustível. Lembre-se bem que a aeronave solicita os níveis de vôo em rota, e para o ATC tanto faz o nível escolhido. Níveis de cruzeiro é uma decisão da aeronave na maioria absoluta das vezes. Quando o ATC recebe um plano de vôo com diversos níveis, imaginam que as aeronaves devem ter suas razões, pois são elas que decidem a altitude, como foi este o caso, levando em conta o peso da aeronave, consumo de combustível e condições atmosféricas. O ATC quase sempre aprova o nível solicitado e a iniciativa de ir solicitando clearances para os níveis previstos são da tripulação e não do ATC.
É claro que um correto planejamento da tripulação teria todo o cenário previsto nas suas mentes e estariam atentos a isto tudo. Conhecendo as aerovias, até poderiam ajustar seu plano de vôo, não necessitando tantas mudanças. Seria muito atípico que os pilotos façam planos de vôos tão complexos e depois o ATC tenha que ir explicando e antecipando à tripulação aquilo que elas mesmas solicitaram, mas neste caso, desconheciam.
É isto que temos sempre insistido: que o planejamento do vôo pela tripulação, desconsiderado pelo NTSB como fator contribuinte, teria evitado este acidente. Bastaria a tripulação ter consciência do que determinou seu plano de vôo e não esperar que o ATC pilotasse o avião no seu lugar.
Quem acompanhou este blog, sempre soube que as regras das aerovias são bastantes claras: aeronaves que voam com a proa Nordeste e Sudeste (eastbound) voam em níveis ímpares (FL 350, FL 370, FL 390,...) e aeronaves que voam para Noroeste e Sudoeste (westbound) voam níveis pares (FL 340, FL 360, FL 380,...). Um plano que muda de proa entre Leste e Oeste é bastante complexo e exige bastante atenção tanto da tripulação quanto do Controle de Tráfego Aéreo (ATC), pois haverá necessariamente mudanças de nível de cruzeiro. É claro que há muitas aerovias de mão única, quando qualquer nível pode ser utilizado, mas isto está claramente indicado nas cartas aeronáuticas.
Quando olhamos o mapa vemos que de S.José dos Campos, o ponto de partida do Legacy, até Manaus, toda a rota se dá na direção noroeste. Entretanto o plano de vôo do Legacy previa FL 370 até Brasília, FL 360 até Terez e FL 380 até Manaus. Por quê? Por que um plano tão complexo se ele poderia ir FL 360 ou FL 380, por exemplo, de S.José até Manaus?
Nunca ninguém explicou muito bem porque esta variação de altitudes, mas ficou claro agora na divulgação do relatório final e passou despercebido este tempo todo por mim, mas é algo que qualquer piloto sabe. Sempre se falou que de S.José a Brasília o Legacy estava em um nível impar (FL 370) porque ele estava em uma aerovia de mão-única, portanto ele poderia estar ocupando um nível impar. Mas porque toda esta montanha russa neste vôo e porque, indo para noroeste, escolheu um nível impar?
Primeiro, porque, embora de S.José a Brasília geograficamente seja noroeste, magneticamente ela é nordeste, ou seja, 006º! Quem já esteve envolvido com navegação aérea, terrestre ou marítima sabe que há uma variação conhecida como declinação magnética. Entre o norte geográfico e o norte magnético há uma variação significativa. Os pilotos ao se dirigirem para Brasília, para o noroeste geográfico, tinham o norte de sua bússola magnética apontada ligeiramente para a esquerda, 006º. E de Brasília a Manaus a proa magnética na aerovia UZ6 é 336º.
O plano de vôo do Legacy, feito pela empresa americana Universal Weather não levou em consideração que a aerovia UW2, de Poços de Caldas a Brasília, era de mão-única. O plano de vôo é feito por um programa de computador que possivelmente elaborou o plano segundo as regras “padrão”. O relatório do CENIPA também informa que o programa levou em conta ventos de altitude para elaborar o plano, mas é muito mais provável que o programa, a partir de um FL “ideal” de 370, ajustou-o para FL 360 após Brasília e FL 380 após Terez, quando a aeronave já estaria mais leve, algo comum em aviação. Ou seja, o programa poderia ser muito mais simples se levasse em conta que a aerovia UW2 é mão-única pois poderia escolher qualquer nível e isto teria simplificado a vida de todos.
Como vocês devem imaginar, é uma situação bastante complexa e incomum para um vôo, ter proas variando em torno do norte ou sul magnético, como neste vôo. Normalmente haverá mudanças de níveis, e todos devem ficar muito atentos. Os pilotos, em geral, sabem disto e estão preparados para estas mudanças.
Paladino, logo após a decolagem, comentou com Lepore que esperava uma clearance para FL 380. É claro, se estavam indo para noroeste, era natural que voassem em nível par. Não lhes chamou a atenção que a UW2 tem proa 006º e a UZ6 336º. Provavelmente um piloto ou companhia aérea brasileira utilizaria o fato da UW2 ser mão-única e faria um plano de vôo em um único nível.
Este plano do Legacy não é um plano usual. Não são usuais estas várias mudanças de altitude de cruzeiro. Em geral há uma altitude somente. As tripulações, nem o ATC enfrentam estas situações normalmente. Em geral há um único nível previsto para o vôo todo. Esta é uma situação muito rara. Mas o plano de vôo da Universal Weather, de uma forma muito complexa, otimizou o consumo de combustível. Lembre-se bem que a aeronave solicita os níveis de vôo em rota, e para o ATC tanto faz o nível escolhido. Níveis de cruzeiro é uma decisão da aeronave na maioria absoluta das vezes. Quando o ATC recebe um plano de vôo com diversos níveis, imaginam que as aeronaves devem ter suas razões, pois são elas que decidem a altitude, como foi este o caso, levando em conta o peso da aeronave, consumo de combustível e condições atmosféricas. O ATC quase sempre aprova o nível solicitado e a iniciativa de ir solicitando clearances para os níveis previstos são da tripulação e não do ATC.
É claro que um correto planejamento da tripulação teria todo o cenário previsto nas suas mentes e estariam atentos a isto tudo. Conhecendo as aerovias, até poderiam ajustar seu plano de vôo, não necessitando tantas mudanças. Seria muito atípico que os pilotos façam planos de vôos tão complexos e depois o ATC tenha que ir explicando e antecipando à tripulação aquilo que elas mesmas solicitaram, mas neste caso, desconheciam.
É isto que temos sempre insistido: que o planejamento do vôo pela tripulação, desconsiderado pelo NTSB como fator contribuinte, teria evitado este acidente. Bastaria a tripulação ter consciência do que determinou seu plano de vôo e não esperar que o ATC pilotasse o avião no seu lugar.
quinta-feira, 22 de janeiro de 2009
IFATCA e NTSB têm muito que aprender sobre sistemas informatizados
É paradoxal como as organizações que representam os controladores de vôo ainda insistem em assumir a culpa no acidente da Gol, quando claramente a sua responsabilidade foi mínima. A ausência de uma atitude firme destas organizações, principalmente as internacionais, é o que tem contribuído para a imprensa em geral a eles imputar a responsabilidade pelos eventos. Não sei o que pode estar por trás desta atitude. O principal ponto em que se fundamentam é que as informações que são apresentadas nas telas dos consoles dos radares tenham confundido os controladores por apresentar a altitude requisitada (FL 360) e não aquela efetivamente autorizada (FL 370). Já mostrei em inúmeros posts aqui, que as informações apresentadas em seus consoles estavam corretas, como foi comprovado no relatório do CENIPA e que não foi isso que provocou a falta de iniciativas dos controladores em adotar procedimentos que pudessem ter evitado o acidente e sim o caráter insólito dos eventos. A partir de um jogo de palavras, a IFATCA, ABCTA e consequentemente o NTSB, querem fazer crer que a autorização verbal que foi emitida ao Legacy de um nível único é aquela que os sistemas de informação deveriam refletir. Ou seja, gostariam que os sistemas de informação utilizados pelos controladores apresentassem como plano autorizado aquele que foi fornecido por rádio e omitiu as altitudes após Brasília. A IFATCA diz em seu comunicado:
Isto está muito longe da verdade e estas palavras da IFATCA demonstram a falta de conhecimentos básicos de lógica de sistemas de informação, seus desenhos e interfaces, a começar pela infeliz frase “Esta alimentação do sistema é algumas vezes feita por escrito à mão, em papel, ...”. Alguém conhece alguma entrada de dados em sistema em papel? Só se for da loteria. Se o nível de vôo autorizado deve ser aquele que foi requisitado, não há necessidade de voltar a redigitá-lo. Alguém acredita que exista um sistema em algum lugar do mundo que alguém leia na tela do computador um plano de vôo autorizado para o piloto e tenha que redigitá-lo simplesmente para confirmar o que leu para o piloto? É claro que não é isto. Seria até uma forma de introduzir uma quantidade enorme de erros no sistema, ou seja, poder-se-ia ler corretamente e digitar errado. Como confiar na correta digitação do controlador? É claro que estaria muito mais sujeito a falhas. Os controladores precisam digitar uma nova altitude quando o nível autorizado é diferente do requisitado. O que deve ser verbalizado pelos controladores e transmitido aos pilotos é exatamente o que está registrado nos sistemas de informação e vê em sua tela, o plano completo que está sendo autorizado. Então, se o controlador ler o nível errado do vôo ou lê-lo de forma incompleta, não há nenhuma maneira que o sistema informatizado tenha a informação correta. A ordem dos eventos previstos para os controladores é: 1) introduzir o plano requisitado no sistema, digitando-o ou em geral feito eletronicamente; 2) analisar eventuais conflitos com outras aeronaves; 3) se necessário, alterar os níveis a serem autorizados e digitar os níveis que serão autorizados; 4) ler exatamente, precisamente e completamente o que está registrado no sistema para os pilotos. O erro do controlador foi ler a autorização parcialmente e não alertar aos pilotos que estavam sendo autorizados como requisitado e registrado no sistema (“as filed”). A sugestão apresentada pela IFATCA e NTSB, esta sim é muito mais sujeita a erros. Além disto, os sistemas estão evoluindo em muitos lugares do mundo, e muitos já implementaram para que todas as informações fluam eletronicamente do sistema em solo para as aeronaves através de links de dados, dispensando as autorizações verbais. Em alguns lugares há leituras através de vozes digitalizadas. Mas, em geral, os pilotos antes de iniciar o vôo, já introduzem no sistema gerenciador da aeronave o plano de vôo requisitado completo e aguardam receber a autorização por rádio como requisitada. Para eles, o plano de vôo autorizado não é uma surpresa, é uma confirmação. Isto como ficou claro, não foi feito pela tripulação do Legacy, que ficou conhecendo as altitudes quando já estavam taxiando na pista.
"Em muitos ACC do mundo, a informação crucial do nível de vôo autorizado é alimentado pelos controladores no sistema tão logo a autorização é transmitida por rádio para as aeronaves (e ela tenha sido corretamente cotejada pelo piloto). Esta ‘alimentação do sistema’ é algumas vezes feita por escrito à mão, em papel (sic), enquanto outros sistemas por via eletrônica segundo a qual a entrada é feita diretamente sobre a etiqueta do vôo, que aparece em tela do radar no CWP (Posição de Trabalho do Controlador). O que é muito importante, mesmo determinante, é que o sistema em terra do ATC e as cabinas dos aviões sempre disponham das mesmas informações. A IFATCA acredita que os operadores no ar (os pilotos) e os em solo (os controladores) não possam ser vitimas de armadilhas inadmissíveis de sistema decorrentes de sistemas de controles de tráfego ‘não tolerantes a erros’ e ‘mal desenhados' dos equipamentos de vôo em uso. Estamos seguros de que nossas declarações relativas a este equipamento são precisas, e o citado equipamento é responsável por iniciar a cadeia acontecimentos fatais de 29 de setembro de 2006 e, portanto, contribuiu para a colisão” (tradução do autor a partir do texto em inglês).
Isto está muito longe da verdade e estas palavras da IFATCA demonstram a falta de conhecimentos básicos de lógica de sistemas de informação, seus desenhos e interfaces, a começar pela infeliz frase “Esta alimentação do sistema é algumas vezes feita por escrito à mão, em papel, ...”. Alguém conhece alguma entrada de dados em sistema em papel? Só se for da loteria. Se o nível de vôo autorizado deve ser aquele que foi requisitado, não há necessidade de voltar a redigitá-lo. Alguém acredita que exista um sistema em algum lugar do mundo que alguém leia na tela do computador um plano de vôo autorizado para o piloto e tenha que redigitá-lo simplesmente para confirmar o que leu para o piloto? É claro que não é isto. Seria até uma forma de introduzir uma quantidade enorme de erros no sistema, ou seja, poder-se-ia ler corretamente e digitar errado. Como confiar na correta digitação do controlador? É claro que estaria muito mais sujeito a falhas. Os controladores precisam digitar uma nova altitude quando o nível autorizado é diferente do requisitado. O que deve ser verbalizado pelos controladores e transmitido aos pilotos é exatamente o que está registrado nos sistemas de informação e vê em sua tela, o plano completo que está sendo autorizado. Então, se o controlador ler o nível errado do vôo ou lê-lo de forma incompleta, não há nenhuma maneira que o sistema informatizado tenha a informação correta. A ordem dos eventos previstos para os controladores é: 1) introduzir o plano requisitado no sistema, digitando-o ou em geral feito eletronicamente; 2) analisar eventuais conflitos com outras aeronaves; 3) se necessário, alterar os níveis a serem autorizados e digitar os níveis que serão autorizados; 4) ler exatamente, precisamente e completamente o que está registrado no sistema para os pilotos. O erro do controlador foi ler a autorização parcialmente e não alertar aos pilotos que estavam sendo autorizados como requisitado e registrado no sistema (“as filed”). A sugestão apresentada pela IFATCA e NTSB, esta sim é muito mais sujeita a erros. Além disto, os sistemas estão evoluindo em muitos lugares do mundo, e muitos já implementaram para que todas as informações fluam eletronicamente do sistema em solo para as aeronaves através de links de dados, dispensando as autorizações verbais. Em alguns lugares há leituras através de vozes digitalizadas. Mas, em geral, os pilotos antes de iniciar o vôo, já introduzem no sistema gerenciador da aeronave o plano de vôo requisitado completo e aguardam receber a autorização por rádio como requisitada. Para eles, o plano de vôo autorizado não é uma surpresa, é uma confirmação. Isto como ficou claro, não foi feito pela tripulação do Legacy, que ficou conhecendo as altitudes quando já estavam taxiando na pista.
quinta-feira, 18 de dezembro de 2008
Cenipa erra na análise da passagem do Legacy sobre Brasília e NTSB se aproveita disto
É muito estranho o Cenipa não saber o que são os serviços de “Vigilância Radar” e “Vetoração Radar”. Aparentemente ele troca as bolas.
Diz o Cenipa:
Mas não é isto o que diz a ICA 100-12/2006 sobre vigilância radar:
Apenas quando o serviço é de vetoração radar, que não era o caso do vôo do Legacy, é que a responsabilidade pela navegação da aeronave recai sobre o controlador de vôo; tudo de acordo com ICA 100-12:
Deve ser observado que, nos termos da ICA 100-12, não se exige a notificação. Por isso não houve contato, via rádio, entre a aeronave e o Centro de Controle. Dizem as normas:
Às 18:51 (UTC) o Legacy entra em contrato por rádio já próximo à Brasília. O diálogo é breve:
O Cenipa comenta sobre este diálogo:
Em outro trecho o Cenipa comenta:
Como poderiam "relaxar" se a responsabilidade sobre a navegação era dos pilotos?
O item 14.21 mostra como deve ser a passagem para o controle radar e confirmação de identificação:
Portanto está claro que no único diálogo com Legacy e o Controle eles atenderam perfeitamente as normas técnicas e não tinham porque comunicar à tripulação, que ainda não haviam chegado à vertical de Brasília, que depois de Brasília deveriam alterar a altitude. Não tinham porque fazer isto porque estavam sob o regime de vigilância radar (radar surveillance) e não sob vertoração radar. O NTSB aproveitou-se disto para dizer que o ATC não teve a iniciativa de comunicar a alteração de nível do Legacy. Por que será que o NTSB não apontou o erro do Cenipa?
Diz o Cenipa:
"A última informação recebida pela tripulação do N600XL, em contato bilateral com o órgão ATC, foi às 18:51 UTC, quando foi informado que a aeronave estava sob Vigilância Radar, conforme o previsto no item 14.11 da ICA 100-12/2006.
Esta condição de vôo foi informada após os pilotos terem acionado a função “identificação” no Transponder, cujo código 4574 foi alocado pelo Centro Brasília, de acordo com o item 14.11.2 ,letra a, da ICA 100-12/2006.
Nessa condição, é responsabilidade do controlador de tráfego aéreo (ATCO) instruir a tripulação a mudar o nível de vôo, uma vez que esta não pode realizar nenhuma mudança de nível de vôo sem a autorização do órgão de controle".
Mas não é isto o que diz a ICA 100-12/2006 sobre vigilância radar:
14.11.4 Durante a prestação do serviço de vigilância radar, a responsabilidade da navegação é do piloto em comando da aeronave.
Apenas quando o serviço é de vetoração radar, que não era o caso do vôo do Legacy, é que a responsabilidade pela navegação da aeronave recai sobre o controlador de vôo; tudo de acordo com ICA 100-12:
"14.12.1 A vetoração radar é o mais completo serviço radar proporcionado. Sempre que uma aeronave estiver sob vetoração radar, será proporcionado o controle de tráfego aéreo e o controlador será responsável pela navegação da aeronave, devendo transmitir para a mesma as orientações de proa e mudança de nível que se tornarem necessárias".
Deve ser observado que, nos termos da ICA 100-12, não se exige a notificação. Por isso não houve contato, via rádio, entre a aeronave e o Centro de Controle. Dizem as normas:
14.19.1 Uma aeronave sob vetoração ou vigilância radar fica dispensada de reportar:
a) os pontos de notificação compulsória;
b) ao atingir ou abandonar um fixo de espera; e
c) ao entrar em nova fase ou perna de um procedimento de saída".
Às 18:51 (UTC) o Legacy entra em contrato por rádio já próximo à Brasília. O diálogo é breve:
Legacy: BRASÍLIA, NOVEMBER SIX HUNDRED X-RAY LIMA. LEVEL… FLIGHT LEVEL THREE SEVEN ZERO, GOOD AFTERNOON.
Brasília: NOVEMBER SIX ZERO ZERO X-RAY LIMA, SQUAWK IDENT, RADAR SUVEILLANCE.
Legacy: ROGER.
O Cenipa comenta sobre este diálogo:
"Assim, como os pilotos do N600XL não receberam nenhuma nova instrução, mantiveram o nível de vôo FL370, o qual era incorreto, naquele sentido de vôo, para a aerovia UZ6".
Em outro trecho o Cenipa comenta:
"Vale, contudo, ressaltar que o fato de estarem sob vigilância radar e ouvindo permanentemente outras conversas entre aeronaves, contribuiu para o relaxamento da tripulação".
Como poderiam "relaxar" se a responsabilidade sobre a navegação era dos pilotos?
O item 14.21 mostra como deve ser a passagem para o controle radar e confirmação de identificação:
"14.21 TRANSFERÊNCIA DE CONTROLE RADAR
14.21.1 A transferência de controle radar deve ser feita sempre que a aeronave passar da responsabilidade de um órgão ou setor para outro órgão ou setor de controle de tráfego aéreo que proporcione serviços radar.
(...)
14.25 CONFIRMAÇÃO DE IDENTIFICAÇÃO
Após o controlador ter aceito a transferência de controle radar de outro órgão ou setor deverá:
a) confirmar a identificação de um alvo primário, informando à aeronave a sua posição;
b) confirmar a identificação de um alvo secundário pela informação de uma mudança de código, por um acionamento “IDENT” ou por uma seleção “STANDBY”, a menos que um desses métodos tenha sido usado durante a transferência;
c) considerar identificada uma aeronave à qual tenha sido atribuído um código discreto; ou
d) considerar a identificação confirmada quando o alvo secundário, ou pista, estiver associado à etiqueta".
Portanto está claro que no único diálogo com Legacy e o Controle eles atenderam perfeitamente as normas técnicas e não tinham porque comunicar à tripulação, que ainda não haviam chegado à vertical de Brasília, que depois de Brasília deveriam alterar a altitude. Não tinham porque fazer isto porque estavam sob o regime de vigilância radar (radar surveillance) e não sob vertoração radar. O NTSB aproveitou-se disto para dizer que o ATC não teve a iniciativa de comunicar a alteração de nível do Legacy. Por que será que o NTSB não apontou o erro do Cenipa?
segunda-feira, 15 de dezembro de 2008
Três perguntas para o NTSB
1. Os pilotos deveriam saber, consultando a carta aeronáutica que estava em suas mãos, que a aerovia UZ6 (Brasilia-Manaus) tem duplo sentido?
( ) Sim ( ) Não
2. Os pilotos deveriam saber que em aerovias de duplo sentido as aeronaves que se dirigem para noroeste ocupam níveis pares e para sudeste ímpares?
( ) Sim ( ) Não
3. Os pilotos do Legacy desconheciam nosso espaço aéreo (alternativa A) ou tinham tendências suicidas (alternativa B)?
( ) Alternativa A ( ) Alternativa B
( ) Sim ( ) Não
2. Os pilotos deveriam saber que em aerovias de duplo sentido as aeronaves que se dirigem para noroeste ocupam níveis pares e para sudeste ímpares?
( ) Sim ( ) Não
3. Os pilotos do Legacy desconheciam nosso espaço aéreo (alternativa A) ou tinham tendências suicidas (alternativa B)?
( ) Alternativa A ( ) Alternativa B
domingo, 14 de dezembro de 2008
Comentários detalhados aos comentários detalhados do NTSB
NTSB Detailed Comments
NTSB:
ICAO document 4444 defines the purpose of ATC services as “preventing collisions … between aircraft, and … expediting and maintaining an orderly flow of air traffic.” (…) As both of the involved aircraft in this collision were operating under required positive control, and under all applicable directions, ATC services must be examined in detail to determine the factors that initially placed the aircraft into conflict and why ATC services did not resolve the conflict before the collision.
Comentário:
Neste primeiro parágrafo do texto da NTSB já fica caracterizado alguns pressupostos incorretos para a análise de um acidente desta natureza. O propósito da existência de uma organização, ou a sua missão, é a função ou poder que se confere a ela para agir, uma direção, um objetivo. O propósito do Controle de Tráfego Aéreo (ATC) é organizar e disciplinar o tráfego aéreo, e em conseqüência, e não como propósito ou missão, previne as colisões de aeronaves. A principal forma de organizar o tráfego aéreo é muito mais pela regulação, através de normas e procedimentos, do que através de sua ação. O espaço aéreo é altamente regulado, principalmente pelas cartas aeronáuticas e regras de separação. A colisão de aeronaves não pode ser automaticamente imputado a um insucesso do ATC, ao contrário. A regulação do espaço aéreo é de tal forma eficiente que, obedecidas as suas regras, em muitas situações pode-se até mesmo prescindir de sua ação, executando meramente um papel de observador. O controle pode falhar ou pode em determinados momentos sofrer panes. Nestas situações, ou na falta de sua ação, as aeronaves não podem estar sujeitas a risco de colisão. De forma oposta ao que foi argumentado pela NTSB, é que se houve uma colisão no espaço aéreo, é que alguma de suas regras não foi obedecida e não porque houve ausência de ação. A causa do acidente sem dúvida alguma foi dos pilotos estarem trafegando no nível incompatível com a direção e sentido do vôo naquela aerovia. O que deve ser analisado é porque a aeronave agiu contra as regras da aerovia. Nenhuma organização existe para “prevenir” falhas, mas sim para que as ações sejam cumpridas como as normas e regulamentos estabelecem. Quando cumpridas as regras, não haverá falhas. Na sua maior parte do tempo, o ATC verifica, inspeciona se as aeronaves estão cumprindo as normas do espaço aéreo, mais do que posicioná-las ou dirigi-las, função que cabe aos pilotos. A começar pelos planos de vôos que são requisitados pelos pilotos ou por suas companhias em seu nome. O propósito do ATC é autorizar os planos de vôo e não construí-los e, muito eventualmente, resolver conflitos entre aeronaves quando executa ações de seqüenciando dos vôos. De forma muito rara, altera os planos requisitados, e desde que haja razões fortes para isto. O ATC não pode mudar um plano de vôo unilateralmente, sem que isto seja alertado ao piloto, já que o vôo teve sua preparação determinada para o plano requisitado. Muito menos os controladores podem mudar as regras das aerovias. Os primeiros parágrafos do documento da NTSB já demonstraram seus pressupostos equivocados do papel do ATC que segundo eles seriam separar as aeronaves, quando na realidade seu papel primordial é verificar se as aeronaves estão cumprindo as regras de separação regulamentas para as aerovias. Quando as aeronaves não as cumprem, são iniciadas as ações positivas de separação. Portanto, a partir deste ponto já fica extremamente prejudicada a análise do NTSB sobre os eventos que culminaram no acidente ao distorcerem o papel do ATC. Mais surpreendentemente ainda é este partido de análise vir de uma organização como a NTSB que deveria zelar para que normas e regulamentos sejam obedecidos.
NTSB:
The ATC computer automatic insertion of the “cleared altitude” field in the displayed datablock was one of the first chronological events that led to the collision. Sections 4.6 and 4.6.1 of the analysis discuss this feature; however, the only conclusion drawn is on page 219, which states that the controllers “have always operated the system in this manner.” The discussion in the report notes that the controllers did not react correctly to the information presented on the displays. However, a design in which two distinctly different pieces of information (that is, requested altitude and cleared altitude) appear identical on the display is clearly a latent error.
Comentário:
Outro erro grave do NTSB. A apresentação da altitude liberada no bloco de dados (“strip”) estava absolutamente correta e não foi isto que levou a colisão. O bloco de dados não apresenta as altitudes requisitadas e liberadas como afirma o NTSB. O bloco de dados apresenta a indicação do nível de vôo real, obtido pela leitura dos sinais transponder, e o nível autorizado (“cleared”) sempre e nunca o requisitado. Não sei de onde surgiu esta interpretação de “nível requisitado e autorizado” do bloco de dados. Por uma definição de construção, na interface de apresentação dos dados optou-se por indicar “[nível real]=[nível autorizado]”. Assim, se houvesse a presença do sinal do transponder, a indicação seria “370=360”, ou seja, lê-se esta mensagem como: nível real 370, nível autorizado 360. Na ausência do sinal do transponder, não é possível apresentar o nível real da aeronave, e nesta situação, a opção adotada pelos construtores da interface é apresentar a mensagem “360Z360” além da alteração do simbolo da posição da aeronave alterar-se de um círculo para uma cruz. A leitura da mensagem que deve ser feita é: presume-se que a aeronave esteja no nível autorizado para o trecho (360), mas não há certeza porque não há leitura do sinal do transponder, claramente indicado pela letra “Z”, e o nível autorizado para o trecho é 360 (lado direito da mensagem). Esta é a leitura que deve ser feita deste bloco de dados e é a leitura que todos controladores fizeram. O “Z” indicava que a primeira informação do lado esquerdo do bloco de dados (360) não pode ser confirmada. Portanto é surpreendente o comentário de uma organização como a NTSB que nem ao menos sabe fazer a leitura dos dados apresentados nas telas dos radares e é conduzida a comentários equivocados. Os controladores não reagiram apropriadamente, não por nenhuma das razões apresentadas pela NTSB, mas porque não supunham que os pilotos poderiam estar cometendo o erro gravíssimo de estar voando fora das regras da aerovia, ou seja, estar no nível 370, uma das normas mais elementares da navegação aérea. Isto ficou absolutamente claro em todos os depoimentos dos controladores. Ao subestimar a falha dos pilotos de não cumprir as normas do espaço aéreo, agiram como se a situação não exigisse uma ação mais pronta. A provável origem da mensagem (“Z”), para o ATC era uma simples perda de sinal do transponder, algo extremamente comum e ao qual estão habituados, já que se trata de uma comunicação por ondas de rádio e, portanto, sujeitas a constantes interrupções, especialmente por se tratar de um transmissor em movimento (uma aeronave). Portanto, um evento extremamente frequente em qualquer lugar do globo terrestre. A ausência de reação dos controladores, não se deveu à interface de apresentação dos dados como afirmado pelo NTSB, mas à improbabilidade do erro cometido pelos pilotos de trafegar fora das normas da aerovia. A NTSB comete um erro grave neste comentário ao não compreender os eventos que levaram ao acidente. A análise que se segue do NTSB fica completamente prejudicada, pois partiu desta interpretação da tela do radar, de que os controladores tivessem se confundido com elas. As frases que se seguem da NTSB sobre isto passam a ser completamente sem sentido. O comentário equivocado da NTSB apresenta frases como: “It is clear that the sector 7 ATCO believed that N600XL had been cleared to FL360, and that is how he briefed the controller who relieved him, thereby perpetuating the incorrect assumption”. O Legacy foi efetivamente autorizado para o nível 360 de Brasília a Terez e 380 de Terez a Manaus e não 370 e, portanto, a suposição do ATCO setor 7 estava absolutamente correta, e não incorreta como diz o NTSB. O erro do NTSB é assumir que a autorização do nível 370 de S.José a Manaus, por um erro de fraseologia utilizada pelos controladores, fosse efetivamente o nível autorizado, quando não foi. O plano autorizado (“cleared”) foi o plano requisitado. O nível autorizado 370 de S.José a Manaus só existiu na interpretação dos pilotos e, portanto uma análise baseada neste fictício plano autorizado, como a da análise da NTSB, fica completamente prejudicada (voltaremos a este tema). As telas dos radares estão corretas, não foram elas que levaram a falta de ação dos controladores, mas a subestimação do evento em si de uma aeronave voando fora de seu plano autorizado (veremos mais detalhes adiante) e ainda com o transponder desligado.
NTSB:
The automatic change to the “cleared altitude” field did not accurately reflect the status of N600XL’s clearance. There is no distinction between a “requested altitude” value that is serving as a reminder to the controller and a “cleared altitude” value that actually reflects the status of the aircraft’s clearance, as noted in section 4.6. (…) This feature has the undesirable effect of making the ATC automation “lead” the actual clearance issued to the flight crew.
Comentário:
Completamente errado o comentário do NTSB. A mudança automática para a “altitude autorizada” reflete sim o status da autorização para o Legacy. O erro de uma fraseologia não muda uma altitude autorizada. Se o controlador verbalizar uma altitude incorreta, isto não muda a altitude autorizada, especialmente quando estamos nos referindo a sistemas informatizados no qual o que vale é o que está efetivamente registrado nos sistemas. Se o controlador trocar um número na leitura da autorização, ele comete um erro grave, que pode ter graves conseqüências, mas isto não muda o plano que foi autorizado. Pode-se até compreender que a leitura que a tripulação fez da autorização leve a supor outra autorização, mas isto não muda a autorização. O controlador da torre omitiu duas palavras “as filed” porque desconhecia o plano completo, que por sua vez lhe foi fornecido por Brasília. Esta omissão dá margem a uma outra interpretação da autorização, mas não muda o plano autorizado nos sistemas de controle de tráfego aéreo. Os controladores erraram na transmissão do plano autorizado para a tripulação, mas não o alteraram. Considerar o plano de vôo de nível 370 até Manaus como o plano “autorizado” efetivo ("cleared altitude") e querer que os sistemas passem a informá-lo, é um jogo de palavras do NTSB para confundir os leitores. Os pilotos podem estar corretos em interpretá-la como a altitude autorizada, mas efetivamente não foram, nem foi esta a intensão do controle de tráfego.
NTSB:
We recommend modifying the software to make it clear to controllers whether this field of the datablock is displaying a requested altitude or a cleared altitude.
Comentário:
O comentário da NTSB é inconsistente. Os dados que são apresentados na tela dos controladores não é altitude requisitada ou liberada. O conceito da informação apresentada nas telas dos radares não tem a qualificação atribuída pelo NTSB, ou seja, é simplesmente altitude. Quando é introduzida no sistema é a altitude requisitada. Quando informada à tripulação é a altitude autorizada. Se por ventura for necessário autorizar uma altitude diferente da requisitada, é necessário alterar a informação. A altitude autorizada, desta forma, substitui a altitude requisitada. O histórico das altitudes autorizadas é mantido na forma do que se pode chamar de “logs” (registros de alterações de informação) e a altitude requisitada originalmente é preservada no registro do plano de vôo original. A partir daí o que o sistema apresenta nas telas dos controladores é sempre a altitude que foi autorizada e nunca a originalmente requisitada. Um exemplo destes eventos pode ser visto nos dados do Gol. Seu plano original requisitava nível 410. E isto o que apareceria na tela no início do vôo: “410=410”. Nível real 410, autorizado 410. O piloto antes da decolagem requisitou alteração para o nível 370, no que foi atendido. A tela passou a apresentar “370=370”, nível real 370, nível autorizado 370. O nível 410 não aparece mais nos consoles. Mesmo que o Gol tivesse perdido o sinal do transponder o console não apresentaria a mensagem "410Z370", mas sim "370Z370". Ou seja, sempre o que aparece no bloco de dados da tela é o nível autorizado e nunca o requisitado. Se na tela apareceu 360 para o Legacy é porque foi este o que foi autorizado. O autorizado 370 foi somente até Brasília. Fraseologias incorretas, como a do controlador da torre, não mudam sistemas. Se o controlador, ao invés de ler 370 tivesse lido 380, isto não altera o plano autorizado para 380. Ainda não chegamos ao ponto de através de reconhecimento de voz de controladores alterar automaticamente o plano de vôo autorizado. É surpreendente que a NTSB não saiba disto.
NTSB:
However, in the body of the report, it is correctly noted that the “Z” symbol appeared in the datablock as well as the loss of the circular target marker and that both indicated that mode C information had been lost. There is no reason to believe the controllers did not understand the datablock information; however, they either were not aware of it or did not attach the appropriate level of significance to it. This training and awareness issue will be discussed in the next section, but the fact that the 3D altitude values reinforced an incorrect assumption leads us to conclude that the automatic display of an altitude value that is invalid for ATC use contributed to the accident scenario.
Comentário:
Parece que o NTSB após todos estes meses ainda não compreendeu o acidente. A forma como os dados apareceram nas telas dos radares não teve nenhum, o mínimo, o mais insignificante papel para a contribuição do acidente. A tela do radar apresentava a clara informação de que o transponder não apresentava sinal, através da indicação “Z”. Mas os controladores subestimaram o problema, pois é inacreditável que alguém voasse em um nível impar na rota Brasília a Manaus e não imaginaram que a origem do problema estivesse relacionado a autorizações. Pilotos em geral, com exceção dos Kamikazes, não tem tendências suicidas. Portanto, voar por 3.490 km na contramão é algo que não passa pela cabeça de ninguém com um mínimo de juízo, e muito menos o supunham os controladores. Para eles, então, tratava-se de um problema insignificante de ausência temporária do sinal do transponder, como ocorre inúmeras vezes, eu diria que várias vezes ao dia. Lembre-se que o transponder funciona através de ondas de rádio, portanto, qualquer um que tenha um celular sabe que equipamentos desta natureza sofrem freqüentes interrupções de sinal. Portanto, para os controladores era mais um dos freqüentes problemas que ocorrem em todo o globo, centenas de vezes por dia, de ausência temporária do sinal do transponder. Especialmente freqüente quando estamos falando em distâncias continentais como a de Brasília a Manaus. Foi simplesmente isto, e nada mais do que isto. Não agiram, porque o risco de alguém voar na contramão de Brasília a Manaus era inimaginável. Todas as análises que se seguem do NTSB baseadas nas informações do radar ou dificuldades de comunicações não tiveram qualquer influência para justificar a falta de iniciativa dos controladores. Os controladores simplesmente não agiram porque subestimaram o risco por seu caráter insólito e não porque foram confundidos por informações erradas.
NTSB:
As noted in the report and related to the above findings, ATC continued to apply a projected vertical separation standard of 1,000 feet between N600XL and GLO1907, although there was no transponder return or two-way communications from N600XL.
Comentário:
Todos os comentários do NTSB que se seguem sobre a falta de iniciativa dos controladores perdem sentido já que não perceberam o risco de colisão. Foi o segundo erro dos controladores (o primeiro foi em S.José), superestimar a capacidade dos pilotos em lerem cartas aeronáuticas e assim perceber que voar de Brasília a Manaus em um nível impar era uma tentativa de suicídio, ou melhor, uma roleta russa. Se os controladores adotarem iniciativas extremas de emergência a cada caso de perda de sinal de transponder não farão outra coisa. Não se pode culpar alguém por não adotar todos os meios disponíveis quando o risco que corriam as aeronaves ultrapassava a imaginação de qualquer um que tivesse um mínimo de conhecimento do espaço aéreo brasileiro. Pode-se imaginar que aeronaves enfrentem pane ou dificuldades de comunicação ou qualquer outra dificuldade, mas não se imagina que pilotos trafeguem em trechos tão longos, como de Brasília a Manaus, com a proa para noroeste em um nível impar. Nem o mais sagaz controlador poderia supor que em nossos céus voassem pilotos que desrespeitam as regras das aerovias.
NTSB:
The controllers at sectors 5 and 7 were unaware of the status of N600XL’s altitude clearance and did not take positive action to provide a clearance, confirmation, or appropriate coordination.
Comentário:
O NTSB prossegue em seus comentários como se os controladores desconhecessem um plano autorizado no nível 370 até Manaus. Esta autorização nunca existiu, portanto não tinham porque tomar nenhuma ação positiva para fornecer uma autorização, confirmação ou coordenação apropriada. A autorização no nível 370 até Manaus foi assim compreendida pelos pilotos, mas nunca existiu (voltaremos ao assunto).
NTSB:
The report correctly notes that the initial clearance issued to N600XL before departure from São José dos Campos did not follow the correct format for an initial clearance. However, we believe that the ground controller’s statement “clearance to Eduardo Gomes,” could not realistically be interpreted as anything other than the “clearance limit” item of the clearance. Furthermore, numerous statements in the report imply that issuance of a clearance limit, whether for the intended destination or an intermediate navigational fix, correlates with the assigned altitude.
Comentário:
Estamos chegando às questões mais importantes. O NTSB deixa claro que a autorização emitida em S.Jose não seguia o formato correto para uma autorização inicial. Portanto, admitida a sua incorreção, isto abre espaço para interpretações. Tanto é verdade que na argumentação o NTSB utiliza as expressões: “we believe... could not realistically be interpreted...”. Sabemos que não é esta a interpretação que os controladores queriam que os pilotos dessem à autorização. Em nenhum momento foi feita qualquer modificação do plano de vôo solicitado pelos pilotos, que previam diversos níveis até Manaus. Em nenhum momento surgiu conflitos no espaço aéreo que os obrigassem a autorizar um plano de vôo diferente do requisitado. Mas o NTSB sabe que planos de vôo não devem ser interpretados, deve-se ter certeza sobre suas intenções. Além disto não é esta a interpretação dos pilotos que lêem o Flight Information Publication (FLIP) do Departamento de Defesa americano (DoD), que contém dados aeronáuticos para planejamento de vôos. Na seção sobre a América do Sul adverte: “NOTE: Many South American countries use the term “Cleared Direct” to a fix when they mean for the pilot to fly via the flight planned route to the final destination or fix cleared to. Use caution when accepting a direct route to a fix, or query the controller as to his/her true expectations (TFMWG-CSA)”. Ou seja, a interpretação lógica (“realistically”) do DoD é que siga o plano de vôo quando um controlador no Brasil disser: “ATC clearence to Eduardo Gomes, flight level three seven zero direct Poços de Caldas”. De qualquer forma, as normas aeronáuticas internacionais exigem que não haja dúvidas ou interpretações. O NTSB deveria ler as normas aeronáuticas que dizem: “A pilot in command shall, if any time in doubt, request a detailed description of the route from Air Traffic Services (ICAO 7030/4/SAM RAC 5.1)”. Mas assim como o NTSB, os pilotos não ficaram na dúvida alertada pelo DoD a pilotos que não estão habituados a voar na América do Sul e fizeram a única interpretação "lógica" que lhes ocorreu. Portanto fica claro que o plano autorizado no nível 370 até Manaus foi uma interpretação do plano realmente autorizado tanto pelos pilotos como pelo NTSB e não um plano real. Mas uma interpretação não muda um plano de vôo, só se os operadores o tivessem introduzido nos sistemas de controle de tráfego (vamos aprofundar esta discussão no comentário seguinte).
NTSB:
Beginning on page 92 and recurring throughout the report are numerous passages and citations of events that are associated with the flight crew of N600XL not being aware of the elements of the flight plan, an unusually short time elapsing between the obtainment of the printed flight plan and the departure, or the crew having an unusually short period of time to prepare for the flight. These items appear to be partly in support of paragraph (e) on page 264 of the report, which indicates, “Planning – a contributor.” We do not agree that the analysis is sufficient to support any deficiency in the conduct of the flight, which can be related to planning. The crew flew the route precisely as cleared and complied with all ATC instructions.
Comentário:
Argumenta que a falta de preparação dos pilotos não contribuiu para o acidente porque os pilotos seguiram exatamente a autorização emitida. Ora, o NTSB já reconheceu que a autorização era incompleta e omissa, portanto o que eles seguiram não foi a verdadeira autorização, mas, nas suas próprias palavras, uma interpretação lógica da autorização emitida. Esta interpretação foi a causa principal do acidente. As autoridades aeronáuticas americanas, através de seus regulamentos, discordam frontalmente do NTSB quanto à preparação para o vôo. A seção “5−1−1. Preflight Preparation” do Aeronautical Information Manual (AIM) da FAA diz: “Every pilot is urged to receive a preflight briefing and to file a flight plan. This briefing should consist of the latest or most current weather, airport, and en route NAVAID information.” e a seção “7−5−1. Accident Cause Factors” do AIM ainda diz com grande propriedade: “The 10 most frequent cause factors for general aviation accidents that involve the pilot-in-command are: 1. Inadequate preflight preparation and/or planning”. Ou seja, independente se isto foi um fator contribuinte ou não, a regulamentação destaca sua importância. Mas como veremos, foi sim um fator contribuinte mais forte do acidente. A preparação é justamente para que os pilotos tenham senso crítico sobre as ações do controle de tráfego e formar sua consciência situacional para prevenção de acidentes. O NTSB analisa a autorização para voar de Brasília a Manaus na contramão como se fosse uma autorização normal, corriqueira, trivial e aceitável e não uma sentença de morte. Basta qualquer um, piloto ou não, olhar a carta aeronáutica e ler sua legenda que se verá o absurdo que seria uma autorização para voar 3.490 km na contramão. Não há nenhuma razão possível, nenhuma hipótese, que faça o ATC emitir uma autorização em nível ímpar nesta rota. Qualquer piloto que conhecesse o espaço aéreo, veria que a autorização estaria incorreta. A certeza para todos que se envolveram com um olhar um pouco mais atento sobre este acidente é que não importa que erros tivessem cometido os controladores, não se admite voar pela aerovia UZ6 no nível 370. Nem o piloto mais inexperiente, nem um jovem em um simulador de vôos, cometeria este erro, somente aqueles que desconhecem o espaço aéreo. Ouvi isto de um piloto de jatos executivos nos primeiros dias que se seguiram o acidente. O NTSB desconsidera totalmente este fato ou o mascara através de uma “interpretação lógica” de uma autorização incompleta. A preparação dos pilotos, considerada desnecessária pelo NTSB porque seguiram a autorização, os faria rejeitá-la imediatamente. Mas ainda muito mais grave que tudo isto, é que é inaceitável uma autorização que fira normas e regulamentos, não só por prudência mas porque as normas aeronáuticas o exigem. Vejam como são claras as normas aeronáuticas e desconsideradas pelo NTSB: "It is the pilot's responsibility to request an amended clearance if the pilot decides that the clearance ATC issued would cause deviation from a rule or regulation or place the aircraft in jeopardy". Se os pilotos observassem sua carta aeronáutica teriam visto que a autorização que o controle emitiu, considerada a interpretação "lógica" dada pelos pilotos e NTSB, feria a norma mais elementar de regulação do tráfego aéreo, ou seja, trafegar em um nível apropriado para o trecho de Brasília a Manaus e que a autorização que lhes fora “ordenada” era uma certeza de colisão. É responsabilidade dos pilotos solicitar uma autorização corrigida se ela colocar em risco a segurança. Mas o despreparo dos pilotos nem mesmo os fez perceber que está autorização punha a aeronave em risco. Como pode o NTSB desconsiderar, eu diria até mascarar, este fato? O NTSB argumenta que o ATC pode autorizar qualquer nível quando estão sob o seu controle radar e portanto os pilotos não descumpriram qualquer regra. Esta é a mais absurda argumentação que poderiamos ouvir. Não é isto que se discute, mas a ausência da consciência situacional dos pilotos ao receberem uma autorização que indiscutivelmente colocava a aeronave em risco de colisão. não a rejeitaram. Como alguém pode interpretar uma autorização que confronta a mais elementar regra do espaço aéreo e os levaria à morte, sem a menor contestação? Portanto, seria obrigação dos pilotos que a rejeitassem, e mesmo que fosse confirmada, deveria ser rejeitada, até mesmo abortando a decolagem para esclarecimentos. Não há uma razão sequer para se aceitar uma sentença de morte sem contestação. Além disto, uma simples pesquisa pelos fóruns dos pilotos, veremos que é extremamente comum, no mundo todo, autorizações verbais incompletas, as vezes totalmente incorretas. São centenas de mensagens colocados sobre dúvidas dúvidas dos pilotos sobre as autorizações. Mas a consciência situacional dos pilotos, adquirida através do conhecimento das rotas aéreas, os fazem identificar os erros frequentes presentes em uma comunicação verbal.
NTSB:
Pages 69 and 74 of the report state that the flight crewmembers were not experienced in the operation of the avionics in N600XL. Although the transponder outage was likely because of an inadvertent action, no evidence in the factual record indicates that a lack of familiarity with the avionics is related to the outage.
Comentário:
Admirável a ausência de compreensão do NTSB das causas do acidente. Em nenhum momento foi dito que os pilotos operaram erradamente os instrumentos pela sua não familiaridade em seu manuseio. Ficou claro também que o desligamento do transponder foi involuntário. O que se afirmou é que a falta de familiaridade dos pilotos com os instrumentos levou-os a passar quase o tempo todo envolvidos com outras atividades relacionados ao novo avião em seu primeiro vôo ao invés de estarem atentos aos instrumentos. Espera-se que durante o vôo os pilotos estejam atentos à navegação aérea e ao monitoramento dos instrumentos e não dedicados a leitura de seus manuais. Eu gostaria que alguém nos dissesse como se sentiria se durante um vôo presenciassem os pilotos na cabina estudando os manuais da aeronave, hoje digitais, em seus notebooks? Eu pediria encarecidamente que deixassem isto para outra hora, e por favor, prestem atenção no painel de comando. A causa de não notarem que o painel primário apresentava a mensagem “TCAS OFF” é porque por quase uma hora estavam com um notebook à frente do painel. Não resta a menor dúvida de que os pilotos passaram horas envolvidos com cálculos de combustível, equilíbrio da aeronave, e outras características da aeronave em que faziam seu primeiro vôo. Que pilotos passam o vôo todo estudando a aviônica da aeronave? Somente aqueles que não têm nenhuma familiaridade com ela. Sem dúvida alguma a falta de familiariaridade com a aviônica da aeronave distraiu-os completamente, a ponto de não perceber o desligamento inadvertido do transponder, e isto foi sem dúvida o fato culminante para o evento trágico.
CONCLUSÕES SOBRE OS COMENTÁRIOS DO NTSB:
O NTSB tem um processo cognitivo dos eventos que culminaram com este acidente completamente equivocado e, de certa forma, pode ser compreendido pela sua explícita tendenciosidade. Sua introdução aos comentários, construída por meio de fragmentos de frases da ICAO, de que a missão do controle de tráfego seria “prevenir acidentes” deixa isto estampado. É claro que a missão do Controle de Tráfego Aéreo não é esta, e sim organizar e disciplinar o tráfego aéreo e faz isto através da vigilância e do seqüenciamento dos vôos. Prevenir acidentes é uma conseqüência natural da vigilância do espaço aéreo e não missão. Como o espaço aéreo é fortemente regulado, se houve uma colisão é porque alguém feriu alguma regra e não simplesmente porque o controle de tráfego falhou. Ao constatar-se que o Legacy estava em nível incompatível para a aerovia, a causa não pode ser mais óbvia. Sim, o erro foi induzido pelo controle de tráfego aéreo. Sim, os pilotos não violaram nenhuma regra aérea pois poderia-se admitir que estavam autorizados a voar nesta altitude, mas não há a menor dúvida que faltou completamente consciência situacional aos pilotos do Legacy e isto o fez aceitar uma autorização que os colocou em rota de colisão com outras aeronaves. Ao já se ter como pressuposto que foi uma falha do controle, o NTSB direcionou sua análise na busca das falhas do controle de tráfego aéreo em não previnir o acidente e relevou as dos pilotos em provocá-lo. Considerou a autorização emitida para o Legacy como uma autorização aceitável e inquestionável, quando era indiscutivelmente uma sentença de morte ao colocá-los na contramão por 3.490 km, ferindo a mais elementar das regulações do espaço aéreo que é a vinculação entre direções, sentidos e altitudes dos vôos. A não ser que a tripulação tivesse tendências suicidas, esta interpretação “lógica” da autorização deveria ser rejeitada de imediato por ferir a norma básica de que aeronaves nunca voam na aerovia UZ6 no sentido de Brasília a Manaus em um nível impar. Reitero a expressão "nunca". O NTSB, em completo desrespeito às proprias normas aeronáuticas internacionais, considera desnecessária a preparação para o vôo e que a falta de familiaridade dos pilotos com nosso espaço aéreo tenha contribuido para o acidente. Segundo o NTSB, basta seguir a autorização que lhes era informada, mesmo que esta autorização fosse contrária às regras do espaço aéreo. Desconsidera que ninguém é ordenado a colocar sua vida e de outros em risco por mais "lógica" que seja esta ordem. Ao contrário do que pensa o NTSB, a preparação dos pilotos, conhecendo seus diversos níveis de vôo, adequados às regras do espaço aéreo e ao consumo de combustível, os faria rejeitar, sem sombra de dúvida, a interpretação do plano de vôo em um único nível, se não para não ferir as normas de tráfego, mas pela razão básica de preservar a própria vida e de outros. A falta de familiaridade dos pilotos com a aviônica da nova aeronave também não foi um fator contribuinte segundo a NTSB, pois não fizeram nada errado na sua operação. Entretanto, o NTSB desconsidera que foi isto que fez os pilotos passarem todo o vôo estudando-a, concentrados nos novos manuais, conhecendo os novos instrumentos e desligar o transponder sem perceber através de algum gesto inadvertido. Sua falta de concentração nos instrumentos, e sim nos estudos da nova aviônica, fez passar-lhes despercebida a mensagem “TCAS OFF” em seu painel durante quase uma hora, algo também injustificável. Ao mesmo tempo que releva a falta de atenção dos pilotos em não observar o painel da aeronave que apresentava a gravíssima situação do desligamento do transponder, aponta a falta de iniciativa dos controladores em acionar procedimentos de emergência diante de um evento trivial que é a falta de comunicação. Não é capaz de compreender que nem o mais sagaz dos controladores poderia imaginar que os pilotos tinham tamanho desconhecimento das regras de navegação aérea a ponto de ter como uma interpretação “lógica” de uma autorização incompleta, voar na contramão em um trecho de extensão continental. Diante desta equivocada análise do NTSB, não é de se admirar que impute ao ATC a responsabilidade do acidente. Mas o que mais nos decepciona é a lição de insegurança de vôo que o NTSB passa a todos os pilotos ao desprezar a preparação que devem ter para os vôos, desprezar a necessidade de senso crítico dos pilotos ao interpretar uma autorização que fere a mais elementar das regras do espaço aéreo e o desprezo ao monitoramento dos instrumentos de navegação. O NTSB com seus comentários presta o maior deserviço que a segurança da aviação mundial poderia ter. A proteção a qualquer custo de seus conterrâneos terá um preço alto para a segurança da aviação mundial.
NTSB:
ICAO document 4444 defines the purpose of ATC services as “preventing collisions … between aircraft, and … expediting and maintaining an orderly flow of air traffic.” (…) As both of the involved aircraft in this collision were operating under required positive control, and under all applicable directions, ATC services must be examined in detail to determine the factors that initially placed the aircraft into conflict and why ATC services did not resolve the conflict before the collision.
Comentário:
Neste primeiro parágrafo do texto da NTSB já fica caracterizado alguns pressupostos incorretos para a análise de um acidente desta natureza. O propósito da existência de uma organização, ou a sua missão, é a função ou poder que se confere a ela para agir, uma direção, um objetivo. O propósito do Controle de Tráfego Aéreo (ATC) é organizar e disciplinar o tráfego aéreo, e em conseqüência, e não como propósito ou missão, previne as colisões de aeronaves. A principal forma de organizar o tráfego aéreo é muito mais pela regulação, através de normas e procedimentos, do que através de sua ação. O espaço aéreo é altamente regulado, principalmente pelas cartas aeronáuticas e regras de separação. A colisão de aeronaves não pode ser automaticamente imputado a um insucesso do ATC, ao contrário. A regulação do espaço aéreo é de tal forma eficiente que, obedecidas as suas regras, em muitas situações pode-se até mesmo prescindir de sua ação, executando meramente um papel de observador. O controle pode falhar ou pode em determinados momentos sofrer panes. Nestas situações, ou na falta de sua ação, as aeronaves não podem estar sujeitas a risco de colisão. De forma oposta ao que foi argumentado pela NTSB, é que se houve uma colisão no espaço aéreo, é que alguma de suas regras não foi obedecida e não porque houve ausência de ação. A causa do acidente sem dúvida alguma foi dos pilotos estarem trafegando no nível incompatível com a direção e sentido do vôo naquela aerovia. O que deve ser analisado é porque a aeronave agiu contra as regras da aerovia. Nenhuma organização existe para “prevenir” falhas, mas sim para que as ações sejam cumpridas como as normas e regulamentos estabelecem. Quando cumpridas as regras, não haverá falhas. Na sua maior parte do tempo, o ATC verifica, inspeciona se as aeronaves estão cumprindo as normas do espaço aéreo, mais do que posicioná-las ou dirigi-las, função que cabe aos pilotos. A começar pelos planos de vôos que são requisitados pelos pilotos ou por suas companhias em seu nome. O propósito do ATC é autorizar os planos de vôo e não construí-los e, muito eventualmente, resolver conflitos entre aeronaves quando executa ações de seqüenciando dos vôos. De forma muito rara, altera os planos requisitados, e desde que haja razões fortes para isto. O ATC não pode mudar um plano de vôo unilateralmente, sem que isto seja alertado ao piloto, já que o vôo teve sua preparação determinada para o plano requisitado. Muito menos os controladores podem mudar as regras das aerovias. Os primeiros parágrafos do documento da NTSB já demonstraram seus pressupostos equivocados do papel do ATC que segundo eles seriam separar as aeronaves, quando na realidade seu papel primordial é verificar se as aeronaves estão cumprindo as regras de separação regulamentas para as aerovias. Quando as aeronaves não as cumprem, são iniciadas as ações positivas de separação. Portanto, a partir deste ponto já fica extremamente prejudicada a análise do NTSB sobre os eventos que culminaram no acidente ao distorcerem o papel do ATC. Mais surpreendentemente ainda é este partido de análise vir de uma organização como a NTSB que deveria zelar para que normas e regulamentos sejam obedecidos.
NTSB:
The ATC computer automatic insertion of the “cleared altitude” field in the displayed datablock was one of the first chronological events that led to the collision. Sections 4.6 and 4.6.1 of the analysis discuss this feature; however, the only conclusion drawn is on page 219, which states that the controllers “have always operated the system in this manner.” The discussion in the report notes that the controllers did not react correctly to the information presented on the displays. However, a design in which two distinctly different pieces of information (that is, requested altitude and cleared altitude) appear identical on the display is clearly a latent error.
Comentário:
Outro erro grave do NTSB. A apresentação da altitude liberada no bloco de dados (“strip”) estava absolutamente correta e não foi isto que levou a colisão. O bloco de dados não apresenta as altitudes requisitadas e liberadas como afirma o NTSB. O bloco de dados apresenta a indicação do nível de vôo real, obtido pela leitura dos sinais transponder, e o nível autorizado (“cleared”) sempre e nunca o requisitado. Não sei de onde surgiu esta interpretação de “nível requisitado e autorizado” do bloco de dados. Por uma definição de construção, na interface de apresentação dos dados optou-se por indicar “[nível real]=[nível autorizado]”. Assim, se houvesse a presença do sinal do transponder, a indicação seria “370=360”, ou seja, lê-se esta mensagem como: nível real 370, nível autorizado 360. Na ausência do sinal do transponder, não é possível apresentar o nível real da aeronave, e nesta situação, a opção adotada pelos construtores da interface é apresentar a mensagem “360Z360” além da alteração do simbolo da posição da aeronave alterar-se de um círculo para uma cruz. A leitura da mensagem que deve ser feita é: presume-se que a aeronave esteja no nível autorizado para o trecho (360), mas não há certeza porque não há leitura do sinal do transponder, claramente indicado pela letra “Z”, e o nível autorizado para o trecho é 360 (lado direito da mensagem). Esta é a leitura que deve ser feita deste bloco de dados e é a leitura que todos controladores fizeram. O “Z” indicava que a primeira informação do lado esquerdo do bloco de dados (360) não pode ser confirmada. Portanto é surpreendente o comentário de uma organização como a NTSB que nem ao menos sabe fazer a leitura dos dados apresentados nas telas dos radares e é conduzida a comentários equivocados. Os controladores não reagiram apropriadamente, não por nenhuma das razões apresentadas pela NTSB, mas porque não supunham que os pilotos poderiam estar cometendo o erro gravíssimo de estar voando fora das regras da aerovia, ou seja, estar no nível 370, uma das normas mais elementares da navegação aérea. Isto ficou absolutamente claro em todos os depoimentos dos controladores. Ao subestimar a falha dos pilotos de não cumprir as normas do espaço aéreo, agiram como se a situação não exigisse uma ação mais pronta. A provável origem da mensagem (“Z”), para o ATC era uma simples perda de sinal do transponder, algo extremamente comum e ao qual estão habituados, já que se trata de uma comunicação por ondas de rádio e, portanto, sujeitas a constantes interrupções, especialmente por se tratar de um transmissor em movimento (uma aeronave). Portanto, um evento extremamente frequente em qualquer lugar do globo terrestre. A ausência de reação dos controladores, não se deveu à interface de apresentação dos dados como afirmado pelo NTSB, mas à improbabilidade do erro cometido pelos pilotos de trafegar fora das normas da aerovia. A NTSB comete um erro grave neste comentário ao não compreender os eventos que levaram ao acidente. A análise que se segue do NTSB fica completamente prejudicada, pois partiu desta interpretação da tela do radar, de que os controladores tivessem se confundido com elas. As frases que se seguem da NTSB sobre isto passam a ser completamente sem sentido. O comentário equivocado da NTSB apresenta frases como: “It is clear that the sector 7 ATCO believed that N600XL had been cleared to FL360, and that is how he briefed the controller who relieved him, thereby perpetuating the incorrect assumption”. O Legacy foi efetivamente autorizado para o nível 360 de Brasília a Terez e 380 de Terez a Manaus e não 370 e, portanto, a suposição do ATCO setor 7 estava absolutamente correta, e não incorreta como diz o NTSB. O erro do NTSB é assumir que a autorização do nível 370 de S.José a Manaus, por um erro de fraseologia utilizada pelos controladores, fosse efetivamente o nível autorizado, quando não foi. O plano autorizado (“cleared”) foi o plano requisitado. O nível autorizado 370 de S.José a Manaus só existiu na interpretação dos pilotos e, portanto uma análise baseada neste fictício plano autorizado, como a da análise da NTSB, fica completamente prejudicada (voltaremos a este tema). As telas dos radares estão corretas, não foram elas que levaram a falta de ação dos controladores, mas a subestimação do evento em si de uma aeronave voando fora de seu plano autorizado (veremos mais detalhes adiante) e ainda com o transponder desligado.
NTSB:
The automatic change to the “cleared altitude” field did not accurately reflect the status of N600XL’s clearance. There is no distinction between a “requested altitude” value that is serving as a reminder to the controller and a “cleared altitude” value that actually reflects the status of the aircraft’s clearance, as noted in section 4.6. (…) This feature has the undesirable effect of making the ATC automation “lead” the actual clearance issued to the flight crew.
Comentário:
Completamente errado o comentário do NTSB. A mudança automática para a “altitude autorizada” reflete sim o status da autorização para o Legacy. O erro de uma fraseologia não muda uma altitude autorizada. Se o controlador verbalizar uma altitude incorreta, isto não muda a altitude autorizada, especialmente quando estamos nos referindo a sistemas informatizados no qual o que vale é o que está efetivamente registrado nos sistemas. Se o controlador trocar um número na leitura da autorização, ele comete um erro grave, que pode ter graves conseqüências, mas isto não muda o plano que foi autorizado. Pode-se até compreender que a leitura que a tripulação fez da autorização leve a supor outra autorização, mas isto não muda a autorização. O controlador da torre omitiu duas palavras “as filed” porque desconhecia o plano completo, que por sua vez lhe foi fornecido por Brasília. Esta omissão dá margem a uma outra interpretação da autorização, mas não muda o plano autorizado nos sistemas de controle de tráfego aéreo. Os controladores erraram na transmissão do plano autorizado para a tripulação, mas não o alteraram. Considerar o plano de vôo de nível 370 até Manaus como o plano “autorizado” efetivo ("cleared altitude") e querer que os sistemas passem a informá-lo, é um jogo de palavras do NTSB para confundir os leitores. Os pilotos podem estar corretos em interpretá-la como a altitude autorizada, mas efetivamente não foram, nem foi esta a intensão do controle de tráfego.
NTSB:
We recommend modifying the software to make it clear to controllers whether this field of the datablock is displaying a requested altitude or a cleared altitude.
Comentário:
O comentário da NTSB é inconsistente. Os dados que são apresentados na tela dos controladores não é altitude requisitada ou liberada. O conceito da informação apresentada nas telas dos radares não tem a qualificação atribuída pelo NTSB, ou seja, é simplesmente altitude. Quando é introduzida no sistema é a altitude requisitada. Quando informada à tripulação é a altitude autorizada. Se por ventura for necessário autorizar uma altitude diferente da requisitada, é necessário alterar a informação. A altitude autorizada, desta forma, substitui a altitude requisitada. O histórico das altitudes autorizadas é mantido na forma do que se pode chamar de “logs” (registros de alterações de informação) e a altitude requisitada originalmente é preservada no registro do plano de vôo original. A partir daí o que o sistema apresenta nas telas dos controladores é sempre a altitude que foi autorizada e nunca a originalmente requisitada. Um exemplo destes eventos pode ser visto nos dados do Gol. Seu plano original requisitava nível 410. E isto o que apareceria na tela no início do vôo: “410=410”. Nível real 410, autorizado 410. O piloto antes da decolagem requisitou alteração para o nível 370, no que foi atendido. A tela passou a apresentar “370=370”, nível real 370, nível autorizado 370. O nível 410 não aparece mais nos consoles. Mesmo que o Gol tivesse perdido o sinal do transponder o console não apresentaria a mensagem "410Z370", mas sim "370Z370". Ou seja, sempre o que aparece no bloco de dados da tela é o nível autorizado e nunca o requisitado. Se na tela apareceu 360 para o Legacy é porque foi este o que foi autorizado. O autorizado 370 foi somente até Brasília. Fraseologias incorretas, como a do controlador da torre, não mudam sistemas. Se o controlador, ao invés de ler 370 tivesse lido 380, isto não altera o plano autorizado para 380. Ainda não chegamos ao ponto de através de reconhecimento de voz de controladores alterar automaticamente o plano de vôo autorizado. É surpreendente que a NTSB não saiba disto.
NTSB:
However, in the body of the report, it is correctly noted that the “Z” symbol appeared in the datablock as well as the loss of the circular target marker and that both indicated that mode C information had been lost. There is no reason to believe the controllers did not understand the datablock information; however, they either were not aware of it or did not attach the appropriate level of significance to it. This training and awareness issue will be discussed in the next section, but the fact that the 3D altitude values reinforced an incorrect assumption leads us to conclude that the automatic display of an altitude value that is invalid for ATC use contributed to the accident scenario.
Comentário:
Parece que o NTSB após todos estes meses ainda não compreendeu o acidente. A forma como os dados apareceram nas telas dos radares não teve nenhum, o mínimo, o mais insignificante papel para a contribuição do acidente. A tela do radar apresentava a clara informação de que o transponder não apresentava sinal, através da indicação “Z”. Mas os controladores subestimaram o problema, pois é inacreditável que alguém voasse em um nível impar na rota Brasília a Manaus e não imaginaram que a origem do problema estivesse relacionado a autorizações. Pilotos em geral, com exceção dos Kamikazes, não tem tendências suicidas. Portanto, voar por 3.490 km na contramão é algo que não passa pela cabeça de ninguém com um mínimo de juízo, e muito menos o supunham os controladores. Para eles, então, tratava-se de um problema insignificante de ausência temporária do sinal do transponder, como ocorre inúmeras vezes, eu diria que várias vezes ao dia. Lembre-se que o transponder funciona através de ondas de rádio, portanto, qualquer um que tenha um celular sabe que equipamentos desta natureza sofrem freqüentes interrupções de sinal. Portanto, para os controladores era mais um dos freqüentes problemas que ocorrem em todo o globo, centenas de vezes por dia, de ausência temporária do sinal do transponder. Especialmente freqüente quando estamos falando em distâncias continentais como a de Brasília a Manaus. Foi simplesmente isto, e nada mais do que isto. Não agiram, porque o risco de alguém voar na contramão de Brasília a Manaus era inimaginável. Todas as análises que se seguem do NTSB baseadas nas informações do radar ou dificuldades de comunicações não tiveram qualquer influência para justificar a falta de iniciativa dos controladores. Os controladores simplesmente não agiram porque subestimaram o risco por seu caráter insólito e não porque foram confundidos por informações erradas.
NTSB:
As noted in the report and related to the above findings, ATC continued to apply a projected vertical separation standard of 1,000 feet between N600XL and GLO1907, although there was no transponder return or two-way communications from N600XL.
Comentário:
Todos os comentários do NTSB que se seguem sobre a falta de iniciativa dos controladores perdem sentido já que não perceberam o risco de colisão. Foi o segundo erro dos controladores (o primeiro foi em S.José), superestimar a capacidade dos pilotos em lerem cartas aeronáuticas e assim perceber que voar de Brasília a Manaus em um nível impar era uma tentativa de suicídio, ou melhor, uma roleta russa. Se os controladores adotarem iniciativas extremas de emergência a cada caso de perda de sinal de transponder não farão outra coisa. Não se pode culpar alguém por não adotar todos os meios disponíveis quando o risco que corriam as aeronaves ultrapassava a imaginação de qualquer um que tivesse um mínimo de conhecimento do espaço aéreo brasileiro. Pode-se imaginar que aeronaves enfrentem pane ou dificuldades de comunicação ou qualquer outra dificuldade, mas não se imagina que pilotos trafeguem em trechos tão longos, como de Brasília a Manaus, com a proa para noroeste em um nível impar. Nem o mais sagaz controlador poderia supor que em nossos céus voassem pilotos que desrespeitam as regras das aerovias.
NTSB:
The controllers at sectors 5 and 7 were unaware of the status of N600XL’s altitude clearance and did not take positive action to provide a clearance, confirmation, or appropriate coordination.
Comentário:
O NTSB prossegue em seus comentários como se os controladores desconhecessem um plano autorizado no nível 370 até Manaus. Esta autorização nunca existiu, portanto não tinham porque tomar nenhuma ação positiva para fornecer uma autorização, confirmação ou coordenação apropriada. A autorização no nível 370 até Manaus foi assim compreendida pelos pilotos, mas nunca existiu (voltaremos ao assunto).
NTSB:
The report correctly notes that the initial clearance issued to N600XL before departure from São José dos Campos did not follow the correct format for an initial clearance. However, we believe that the ground controller’s statement “clearance to Eduardo Gomes,” could not realistically be interpreted as anything other than the “clearance limit” item of the clearance. Furthermore, numerous statements in the report imply that issuance of a clearance limit, whether for the intended destination or an intermediate navigational fix, correlates with the assigned altitude.
Comentário:
Estamos chegando às questões mais importantes. O NTSB deixa claro que a autorização emitida em S.Jose não seguia o formato correto para uma autorização inicial. Portanto, admitida a sua incorreção, isto abre espaço para interpretações. Tanto é verdade que na argumentação o NTSB utiliza as expressões: “we believe... could not realistically be interpreted...”. Sabemos que não é esta a interpretação que os controladores queriam que os pilotos dessem à autorização. Em nenhum momento foi feita qualquer modificação do plano de vôo solicitado pelos pilotos, que previam diversos níveis até Manaus. Em nenhum momento surgiu conflitos no espaço aéreo que os obrigassem a autorizar um plano de vôo diferente do requisitado. Mas o NTSB sabe que planos de vôo não devem ser interpretados, deve-se ter certeza sobre suas intenções. Além disto não é esta a interpretação dos pilotos que lêem o Flight Information Publication (FLIP) do Departamento de Defesa americano (DoD), que contém dados aeronáuticos para planejamento de vôos. Na seção sobre a América do Sul adverte: “NOTE: Many South American countries use the term “Cleared Direct” to a fix when they mean for the pilot to fly via the flight planned route to the final destination or fix cleared to. Use caution when accepting a direct route to a fix, or query the controller as to his/her true expectations (TFMWG-CSA)”. Ou seja, a interpretação lógica (“realistically”) do DoD é que siga o plano de vôo quando um controlador no Brasil disser: “ATC clearence to Eduardo Gomes, flight level three seven zero direct Poços de Caldas”. De qualquer forma, as normas aeronáuticas internacionais exigem que não haja dúvidas ou interpretações. O NTSB deveria ler as normas aeronáuticas que dizem: “A pilot in command shall, if any time in doubt, request a detailed description of the route from Air Traffic Services (ICAO 7030/4/SAM RAC 5.1)”. Mas assim como o NTSB, os pilotos não ficaram na dúvida alertada pelo DoD a pilotos que não estão habituados a voar na América do Sul e fizeram a única interpretação "lógica" que lhes ocorreu. Portanto fica claro que o plano autorizado no nível 370 até Manaus foi uma interpretação do plano realmente autorizado tanto pelos pilotos como pelo NTSB e não um plano real. Mas uma interpretação não muda um plano de vôo, só se os operadores o tivessem introduzido nos sistemas de controle de tráfego (vamos aprofundar esta discussão no comentário seguinte).
NTSB:
Beginning on page 92 and recurring throughout the report are numerous passages and citations of events that are associated with the flight crew of N600XL not being aware of the elements of the flight plan, an unusually short time elapsing between the obtainment of the printed flight plan and the departure, or the crew having an unusually short period of time to prepare for the flight. These items appear to be partly in support of paragraph (e) on page 264 of the report, which indicates, “Planning – a contributor.” We do not agree that the analysis is sufficient to support any deficiency in the conduct of the flight, which can be related to planning. The crew flew the route precisely as cleared and complied with all ATC instructions.
Comentário:
Argumenta que a falta de preparação dos pilotos não contribuiu para o acidente porque os pilotos seguiram exatamente a autorização emitida. Ora, o NTSB já reconheceu que a autorização era incompleta e omissa, portanto o que eles seguiram não foi a verdadeira autorização, mas, nas suas próprias palavras, uma interpretação lógica da autorização emitida. Esta interpretação foi a causa principal do acidente. As autoridades aeronáuticas americanas, através de seus regulamentos, discordam frontalmente do NTSB quanto à preparação para o vôo. A seção “5−1−1. Preflight Preparation” do Aeronautical Information Manual (AIM) da FAA diz: “Every pilot is urged to receive a preflight briefing and to file a flight plan. This briefing should consist of the latest or most current weather, airport, and en route NAVAID information.” e a seção “7−5−1. Accident Cause Factors” do AIM ainda diz com grande propriedade: “The 10 most frequent cause factors for general aviation accidents that involve the pilot-in-command are: 1. Inadequate preflight preparation and/or planning”. Ou seja, independente se isto foi um fator contribuinte ou não, a regulamentação destaca sua importância. Mas como veremos, foi sim um fator contribuinte mais forte do acidente. A preparação é justamente para que os pilotos tenham senso crítico sobre as ações do controle de tráfego e formar sua consciência situacional para prevenção de acidentes. O NTSB analisa a autorização para voar de Brasília a Manaus na contramão como se fosse uma autorização normal, corriqueira, trivial e aceitável e não uma sentença de morte. Basta qualquer um, piloto ou não, olhar a carta aeronáutica e ler sua legenda que se verá o absurdo que seria uma autorização para voar 3.490 km na contramão. Não há nenhuma razão possível, nenhuma hipótese, que faça o ATC emitir uma autorização em nível ímpar nesta rota. Qualquer piloto que conhecesse o espaço aéreo, veria que a autorização estaria incorreta. A certeza para todos que se envolveram com um olhar um pouco mais atento sobre este acidente é que não importa que erros tivessem cometido os controladores, não se admite voar pela aerovia UZ6 no nível 370. Nem o piloto mais inexperiente, nem um jovem em um simulador de vôos, cometeria este erro, somente aqueles que desconhecem o espaço aéreo. Ouvi isto de um piloto de jatos executivos nos primeiros dias que se seguiram o acidente. O NTSB desconsidera totalmente este fato ou o mascara através de uma “interpretação lógica” de uma autorização incompleta. A preparação dos pilotos, considerada desnecessária pelo NTSB porque seguiram a autorização, os faria rejeitá-la imediatamente. Mas ainda muito mais grave que tudo isto, é que é inaceitável uma autorização que fira normas e regulamentos, não só por prudência mas porque as normas aeronáuticas o exigem. Vejam como são claras as normas aeronáuticas e desconsideradas pelo NTSB: "It is the pilot's responsibility to request an amended clearance if the pilot decides that the clearance ATC issued would cause deviation from a rule or regulation or place the aircraft in jeopardy". Se os pilotos observassem sua carta aeronáutica teriam visto que a autorização que o controle emitiu, considerada a interpretação "lógica" dada pelos pilotos e NTSB, feria a norma mais elementar de regulação do tráfego aéreo, ou seja, trafegar em um nível apropriado para o trecho de Brasília a Manaus e que a autorização que lhes fora “ordenada” era uma certeza de colisão. É responsabilidade dos pilotos solicitar uma autorização corrigida se ela colocar em risco a segurança. Mas o despreparo dos pilotos nem mesmo os fez perceber que está autorização punha a aeronave em risco. Como pode o NTSB desconsiderar, eu diria até mascarar, este fato? O NTSB argumenta que o ATC pode autorizar qualquer nível quando estão sob o seu controle radar e portanto os pilotos não descumpriram qualquer regra. Esta é a mais absurda argumentação que poderiamos ouvir. Não é isto que se discute, mas a ausência da consciência situacional dos pilotos ao receberem uma autorização que indiscutivelmente colocava a aeronave em risco de colisão. não a rejeitaram. Como alguém pode interpretar uma autorização que confronta a mais elementar regra do espaço aéreo e os levaria à morte, sem a menor contestação? Portanto, seria obrigação dos pilotos que a rejeitassem, e mesmo que fosse confirmada, deveria ser rejeitada, até mesmo abortando a decolagem para esclarecimentos. Não há uma razão sequer para se aceitar uma sentença de morte sem contestação. Além disto, uma simples pesquisa pelos fóruns dos pilotos, veremos que é extremamente comum, no mundo todo, autorizações verbais incompletas, as vezes totalmente incorretas. São centenas de mensagens colocados sobre dúvidas dúvidas dos pilotos sobre as autorizações. Mas a consciência situacional dos pilotos, adquirida através do conhecimento das rotas aéreas, os fazem identificar os erros frequentes presentes em uma comunicação verbal.
NTSB:
Pages 69 and 74 of the report state that the flight crewmembers were not experienced in the operation of the avionics in N600XL. Although the transponder outage was likely because of an inadvertent action, no evidence in the factual record indicates that a lack of familiarity with the avionics is related to the outage.
Comentário:
Admirável a ausência de compreensão do NTSB das causas do acidente. Em nenhum momento foi dito que os pilotos operaram erradamente os instrumentos pela sua não familiaridade em seu manuseio. Ficou claro também que o desligamento do transponder foi involuntário. O que se afirmou é que a falta de familiaridade dos pilotos com os instrumentos levou-os a passar quase o tempo todo envolvidos com outras atividades relacionados ao novo avião em seu primeiro vôo ao invés de estarem atentos aos instrumentos. Espera-se que durante o vôo os pilotos estejam atentos à navegação aérea e ao monitoramento dos instrumentos e não dedicados a leitura de seus manuais. Eu gostaria que alguém nos dissesse como se sentiria se durante um vôo presenciassem os pilotos na cabina estudando os manuais da aeronave, hoje digitais, em seus notebooks? Eu pediria encarecidamente que deixassem isto para outra hora, e por favor, prestem atenção no painel de comando. A causa de não notarem que o painel primário apresentava a mensagem “TCAS OFF” é porque por quase uma hora estavam com um notebook à frente do painel. Não resta a menor dúvida de que os pilotos passaram horas envolvidos com cálculos de combustível, equilíbrio da aeronave, e outras características da aeronave em que faziam seu primeiro vôo. Que pilotos passam o vôo todo estudando a aviônica da aeronave? Somente aqueles que não têm nenhuma familiaridade com ela. Sem dúvida alguma a falta de familiariaridade com a aviônica da aeronave distraiu-os completamente, a ponto de não perceber o desligamento inadvertido do transponder, e isto foi sem dúvida o fato culminante para o evento trágico.
CONCLUSÕES SOBRE OS COMENTÁRIOS DO NTSB:
O NTSB tem um processo cognitivo dos eventos que culminaram com este acidente completamente equivocado e, de certa forma, pode ser compreendido pela sua explícita tendenciosidade. Sua introdução aos comentários, construída por meio de fragmentos de frases da ICAO, de que a missão do controle de tráfego seria “prevenir acidentes” deixa isto estampado. É claro que a missão do Controle de Tráfego Aéreo não é esta, e sim organizar e disciplinar o tráfego aéreo e faz isto através da vigilância e do seqüenciamento dos vôos. Prevenir acidentes é uma conseqüência natural da vigilância do espaço aéreo e não missão. Como o espaço aéreo é fortemente regulado, se houve uma colisão é porque alguém feriu alguma regra e não simplesmente porque o controle de tráfego falhou. Ao constatar-se que o Legacy estava em nível incompatível para a aerovia, a causa não pode ser mais óbvia. Sim, o erro foi induzido pelo controle de tráfego aéreo. Sim, os pilotos não violaram nenhuma regra aérea pois poderia-se admitir que estavam autorizados a voar nesta altitude, mas não há a menor dúvida que faltou completamente consciência situacional aos pilotos do Legacy e isto o fez aceitar uma autorização que os colocou em rota de colisão com outras aeronaves. Ao já se ter como pressuposto que foi uma falha do controle, o NTSB direcionou sua análise na busca das falhas do controle de tráfego aéreo em não previnir o acidente e relevou as dos pilotos em provocá-lo. Considerou a autorização emitida para o Legacy como uma autorização aceitável e inquestionável, quando era indiscutivelmente uma sentença de morte ao colocá-los na contramão por 3.490 km, ferindo a mais elementar das regulações do espaço aéreo que é a vinculação entre direções, sentidos e altitudes dos vôos. A não ser que a tripulação tivesse tendências suicidas, esta interpretação “lógica” da autorização deveria ser rejeitada de imediato por ferir a norma básica de que aeronaves nunca voam na aerovia UZ6 no sentido de Brasília a Manaus em um nível impar. Reitero a expressão "nunca". O NTSB, em completo desrespeito às proprias normas aeronáuticas internacionais, considera desnecessária a preparação para o vôo e que a falta de familiaridade dos pilotos com nosso espaço aéreo tenha contribuido para o acidente. Segundo o NTSB, basta seguir a autorização que lhes era informada, mesmo que esta autorização fosse contrária às regras do espaço aéreo. Desconsidera que ninguém é ordenado a colocar sua vida e de outros em risco por mais "lógica" que seja esta ordem. Ao contrário do que pensa o NTSB, a preparação dos pilotos, conhecendo seus diversos níveis de vôo, adequados às regras do espaço aéreo e ao consumo de combustível, os faria rejeitar, sem sombra de dúvida, a interpretação do plano de vôo em um único nível, se não para não ferir as normas de tráfego, mas pela razão básica de preservar a própria vida e de outros. A falta de familiaridade dos pilotos com a aviônica da nova aeronave também não foi um fator contribuinte segundo a NTSB, pois não fizeram nada errado na sua operação. Entretanto, o NTSB desconsidera que foi isto que fez os pilotos passarem todo o vôo estudando-a, concentrados nos novos manuais, conhecendo os novos instrumentos e desligar o transponder sem perceber através de algum gesto inadvertido. Sua falta de concentração nos instrumentos, e sim nos estudos da nova aviônica, fez passar-lhes despercebida a mensagem “TCAS OFF” em seu painel durante quase uma hora, algo também injustificável. Ao mesmo tempo que releva a falta de atenção dos pilotos em não observar o painel da aeronave que apresentava a gravíssima situação do desligamento do transponder, aponta a falta de iniciativa dos controladores em acionar procedimentos de emergência diante de um evento trivial que é a falta de comunicação. Não é capaz de compreender que nem o mais sagaz dos controladores poderia imaginar que os pilotos tinham tamanho desconhecimento das regras de navegação aérea a ponto de ter como uma interpretação “lógica” de uma autorização incompleta, voar na contramão em um trecho de extensão continental. Diante desta equivocada análise do NTSB, não é de se admirar que impute ao ATC a responsabilidade do acidente. Mas o que mais nos decepciona é a lição de insegurança de vôo que o NTSB passa a todos os pilotos ao desprezar a preparação que devem ter para os vôos, desprezar a necessidade de senso crítico dos pilotos ao interpretar uma autorização que fere a mais elementar das regras do espaço aéreo e o desprezo ao monitoramento dos instrumentos de navegação. O NTSB com seus comentários presta o maior deserviço que a segurança da aviação mundial poderia ter. A proteção a qualquer custo de seus conterrâneos terá um preço alto para a segurança da aviação mundial.
Assinar:
Postagens (Atom)
