Já aconteceu com você entrar numa situação de emergência convicto de que o problema era um quando na verdade era outro?

Finalizando esta nossa série sobre o acidente com o voo 402 da TAM, ocorrido no Dia das Bruxas, em 1996, vamos analisar as falhas apontadas pelo relatório final dos investigadores, após um ano de intenso trabalho. Um exemplo real e dramático de como podemos ser induzidos a erro se formos municiados com informações incorretas ou incompletas e, pior ainda, se não formos treinados para reagir a elas.

Se você não leu os posts anteriores, clique aqui para ler a 1ª parte e aqui para ler a 2ª.

Como tudo aconteceu

Apesar da impropabilidade da hipótese de abertura do reverso durante a decolagem, relatada pelo mecânico de aeronaves que estava num hangar do Aeroporto de Congonhas e foi testemunha ocular dos fatos, as investigações provaram que ele tinha razão.

O gravador de dados de uma das caixas pretas indicou que no voo anterior, depois do pouso, o relé do reverso da turbina direita não travou as conchas do sistema, que permaneceram na posição “em trânsito”, ou seja, não travadas, o que permitiria que elas se abrissem no ar.

O relé estava em curto (mal contato) e por isso não acionava o aviso de reverso aberto no painel dos pilotos…

Por outro lado, por uma fatídica combinação de fatores eletroeletrônicos, o sistema de controle do autothrottle acusava um problema que na verdade não existia, induzindo os pilotos ao erro.

A comunicação deste falso problema à tripulação que conduziria o voo 402 seria o paradigma ao qual se fixariam na hora da crise, como ficou registrado no gravador de voz, enquanto lutavam para dominar uma situação que não era a real situação.

Havia ainda um sistema mecânico mais simples, mas muito eficiente: o feedback cable. Este cabo ficava entre o reverso e a base dos manetes (aceleradores) do avião. Quando o reverso abria, esticava o feedback cable, que puxava o manete correspondente para a posição idle, ou seja, em marcha lenta, mantendo mecanicamente o motor nesta posição enquanto o reverso estivesse aberto, situação típica durante o pouso.

No entanto, como os pilotos estavam agindo como se o problema fosse no sistema de controle automático da aceleração – autothrottle, entenderam que era preciso reposicionar o manete e recuperar a potência, forçando-o para frente.

Ocupados e surpresos, sob forte pressão, nem chegaram a recolher o trem de pouso.

Na segunda vez que o reverso voltou à posição normal e o feedback cable liberou o manete direito, o copiloto o empurrou para frente com toda força, mantendo a mão agarrada aos manetes direito e esquerdo ao mesmo tempo.

Assim, quando o reverso voltou a abrir pela terceira e última vez, puxando fortemente o manete direito novamente para a posição idle, a mão do piloto acabou trazendo o manete esquerdo junto, reduzindo drasticamente sua potência.

O copiloto, ainda julgando tratar-se de um problema com o autothrottle, aplicou forte pressão sobre o manete direito, momento em que o feedback cable se rompeu e a aeronave passou a operar no pior dos cenários: motor esquerdo com potência insuficiente para manter a subida, motor direito a plena potência, porém com o reverso acionado, trabalhando na direção contrária à subida, o que tornou a queda inevitável.

A mais cruel ironia é que o acidente não teria acontecido se os pilotos não fizessem nada e apenas observassem o que estava acontecendo, deixando que os computadores de bordo completassem a subida utilizando apenas a potência da turbina esquerda, mantendo o motor direito em idle, para só depois de concluída a decolagem reassumir o comando dos controles e retornar ao aeroporto para as devidas providências.

wikipedia

Chegando às causas

Na verdade, doutrinariamente falando, esta era a recomendação: entre o momento em que a aeronave atingisse a velocidade de 80 nós na corrida da decolagem e até que chegasse a 1000 pés de altitude, os pilotos deveriam deixar que os sistemas computadorizados completassem a decolagem, não atuando sobre eles, salvo raríssimas exceções.

Durante este período, inclusive, alguns alarmes não soam na cabine, para evitar distrair os pilotos. E no Fokker 100, o alarme de aviso de reverso aberto era um deles, pois esta ocorrência era considerada praticamente impossível pela fabricante do avião.

Por este mesmo motivo, não havia exigência de treinamento em simulador para a situação de abertura do reverso durante a decolagem, o que inviabilizou que adotassem procedimentos mais adequados.

Estas foram, portanto, as três causas apontadas pelo relatório final, um ano depois:

– Falha no relé de controle do reverso
– Fragilidade na junção do feedback cable
– Falta de treinamento para situação envolvendo abertura do reverso durante a decolagem

Além do relé e do feedback cable, existia originalmente um sistema formado por uma linha de alta pressão hidráulica que atuava de forma permanente sobre os pistões que abriam e fechavam o reverso. Mas o gasto de energia era considerável e por isso a Fokker havia recomendado a sua desativação, declarando ser praticamente impossível a abertura do reverso com o avião fora do solo.

Além disso, a Fokker modificou o sistema elétrico de abertura do reverso tornando-o menos seguro. O objetivo era economizar bateria no caso de uma pane elétrica durante o voo, mas esta alteração aumentou exponencialmente a chance de ocorrer uma falha como a verificada neste caso.

Boas notícias

Desde então, não houve novo registro de acidente causado pela abertura do reverso durante o voo. Problemas do projeto foram corrigidos. Fabricantes e órgãos homologadores foram alertados para que aumentassem o nível de exigência em seus projetos e sobre eventuais modificações nos projetos originais. O treinamento em simuladores para abertura do reverso em voo foi incorporado imediatamente pela TAM. O triste episódio serviu de lição e referência para todas as demais companhias aéreas.

Quarta reflexão…

Um acidente de trabalho é ocorrência absolutamente indesejada e todos os esforços devem ser envidados em sua prevenção. No entanto, quando ocorrem, devem – no mínimo – servir de aprendizado para todos os envolvidos de maneira a eliminar ou reduzir ao nível próximo de zero a possibilidade de uma nova ocorrência. Para isso, os fatos e os responsáveis devem ser encarados de forma transparente, as causas devem ser devidamente identificadas e as correções necessárias prontamente adotadas e amplamente divulgadas aos agentes, impactando fortemente a Cultura de Segurança no Trabalho da organização. Segurança deve ser encarada como parte do negócio.

Até o nosso próximo voo e obrigado por escolher viajar conosco!