Vamos falar sobre um momento marcante para a aviação brasileira. No dia 29 de setembro, completou dezessete anos do inacreditável choque de dois aviões nos céus da Amazônia. O segundo maior acidente aéreo do Brasil, ceifando 154 vidas e desencadeando uma forte crise na aviação civil, porém deixando como legado diversas mudanças em procedimentos, controle de tráfego e outros.
Conhecido como “voo 1907” este episódio da história aeronáutica envolveu duas aeronaves novas: um Boeing 737-800EH com menos de dois meses e um Embraer Legacy 600 que acabava de sair da fábrica e faria seu translado para os Estados Unidos. A pergunta que fica no ar, “como foi possível dois aviões novos e tão modernos colidirem no ar?” Pois bem, um acidente nunca acontece por acaso, ele é fruto de uma sequência de erros e cada erro é um elo dessa corrente. Os relatórios dos brasileiros CENIPA (Centro de Investigação e Prevenção de Acidentes Aeronáuticos) e do americano NTSB (National Transportation Safety Board) apontam o controle de trafego aéreo como causador dos elos que fechariam a corrente levando o voo 1907 ao seu trágico fim.
As aeronaves e suas rotas:
O Boeing 737-8EH, operado pela Gol Linhas Aéreas Inteligentes, registrado PR-GTD, voou pela primeira vez em 22 de agosto de 2006 e foi entregue à companhia em 12 de setembro daquele mesmo ano – menos de três semanas antes do acidente. A aeronave, com capacidade para 186 passageiros, partiu do Aeroporto Internacional Eduardo Gomes, em Manaus, em 29 de setembro de 2006 às 15h35min (horário de Brasília) (18h35min UTC), com destino ao Aeroporto Internacional do Galeão, no Rio de Janeiro, com uma escala prevista no Aeroporto Internacional Juscelino Kubitschek, em Brasília.
Com 148 passageiros e seis tripulantes a bordo da aeronave, a tripulação era composta pelo comandante Décio Chaves Júnior, o primeiro oficial Thiago Jordão Cruso e quatro comissários de bordo. O comandante, que também era instrutor de voo do Boeing 737, tinha 15.498 horas de voo, sendo 13.521 horas em Boeing 737. O primeiro oficial tinha 3.981 horas de voo, sendo 3.081 horas em Boeing 737.
O Embraer Legacy 600, operado pela ExcelAire, registrado N600XL, recém-fabricado pela Embraer, estava em voo de inauguração, partindo da fábrica da Embraer no aeroporto de São José dos Campos para o Aeroporto Internacional de Miami. A aeronave decolou às 14h51min BRT (17h51min UTC) e estava a caminho de Manaus, onde faria uma escala para reabastecimento, antes de prosseguir para o destino final.
A tripulação do Legacy era formada pelo comandante Joseph Lepore e pelo primeiro oficial Jean Paul Paladino, ambos norte-americanos.
O comandante era piloto comercial há 20 anos e acumulava até então um total de 9.388 horas de voo, sendo cinco horas no Legacy 600. O primeiro oficial era piloto comercial há uma década e acumulava mais de 6.400 horas de voo, sendo 317 horas como capitão de Embraer ERJ-145 e ERJ-135 para a American Eagle. Ele também serviu como primeiro oficial para a American Airlines, pilotando aviões como MD-82 e Boeing 737-800 entre os Estados Unidos e o Canadá. Ambos os pilotos estavam legalmente habilitados para pilotar o Legacy.
Os cinco passageiros do Legacy eram dois representantes da Embraer, dois executivos da ExcelAire e um colunista de viagens do The New York Times, que estava escrevendo um relatório especial para a Business Jet Traveler.
A anatomia do desatre:
Por uma série de motivos, que seriam posteriormente averiguados, as aeronaves vinham de origens distintas e em sentidos opostos. Porém, ambas vinham na mesma altitude (FL370) que era a posição correta do Boeing, mas não a do Legacy, que deveria estar em (FL360) naquele trecho.
Por volta das 17h00min (horário de Brasília) (20h00min UTC), elas colidiram próximo à cidade de Matupá, a 750 quilômetros à sudeste de Manaus. O winglet esquerdo do Legacy cortou cerca de 7 metros (metade da asa esquerda do Boeing 737). Isso fez com que a aeronave perdesse sustentação, o que rapidamente levou a aeronave a cair e colidir com uma área de densa floresta tropical, a 200 quilômetros a leste do município de Peixoto de Azevedo. Todos os 148 passageiros e os 6 tripulantes a bordo morreram e a aeronave, que se desintegrou ainda no ar, espalhando os destroços ao redor de uma grande área na mata densa.
Apesar de sofrer sérios danos no estabilizador horizontal e no winglet esquerdo, o Legacy continuou em voo, embora o seu piloto automático tenha sido desligado, o que exigiu uma quantidade incomum de força no manche para manter a estabilidade. Com a ajuda de retransmissão de rádio de um Boeing 747 da Polar Air Cargo que sobrevoava a área no momento, a tripulação do Legacy pousou o jato na Base Aérea do Cachimbo, parte do Campo de Provas Brigadeiro Velloso, um grande complexo militar da Força Aérea Brasileira, localizado a cerca de 160 quilômetros de distância do ponto onde ocorreu a colisão. Imediatamente após o pouso de emergência, a Força Aérea Brasileira e a Agência Nacional de Aviação Civil detiveram a tripulação do Legacy. Os agentes também removeram as duas caixas pretas e as enviaram para São José dos Campos e de lá para Ottawa, no Canadá, para análise.
Em depoimento inicial, a tripulação do Legacy confirmou que se encontravam no nível de voo FL370 e também que se encontravam neste nível no momento da colisão. Eles também afirmaram que haviam perdido contato com o CINDACTA I no momento da colisão e seu sistema anticolisão de tráfego (TCAS) não alertou para qualquer tipo de aeronave que se aproximava.
Em 2 de outubro de 2006, o Tribunal de Justiça de Mato Grosso ordenou que o capitão e o copiloto do Legacy entregassem seus passaportes enquanto aguardava uma investigação mais aprofundada. O pedido, feito pelo procurador de Peixoto de Azevedo, foi concedido pelo juiz regente, já que a possibilidade de erro dos pilotos do Legacy não poderia ser descartada. A tripulação permaneceu no Brasil até a liberação de seus passaportes no dia 5 de dezembro de 2006, mais de dois meses após o acidente, depois que o juiz federal regente determinou que não havia fundamento legal para restringir a liberdade de movimento dos estrangeiros.
Antes de sua partida para os Estados Unidos, a tripulação foi formalmente acusada pela Polícia Federal por colocar em perigo uma aeronave, o que acarreta uma pena de até doze anos de prisão. Os pilotos tiveram que explicar por que não ligaram o transponder e foram autorizados a deixar o país depois de assinar um documento prometendo voltar ao Brasil para seu julgamento ou quando exigido pelas autoridades brasileiras. Eles recuperaram os seus passaportes e então voltaram para os Estados Unidos.
Busca e resgate:
A Força Aérea Brasileira enviou cinco aeronaves e três helicópteros para a região, iniciando uma extensa operação de busca e salvamento. Com cerca de 200 militares convocados, inclusive um grupo de nativos familiarizados com a floresta, o local do acidente foi encontrado em 30 de setembro, a 200 quilômetros à leste de Peixoto de Azevedo, próximo a uma fazenda. Há relatos sobre a dificuldade para chegar ao local do acidente devido à densa floresta. A Infraero indicou a possibilidade de existirem cinco sobreviventes, mas uma declaração posterior da Força Aérea Brasileira, com base em dados coletados por seu pelotão no local do acidente, confirmou não haverem. A presidência da Republica declarou três dias de luto nacional.
O gravador de dados do Boeing 737 foi encontrado em 2 de outubro e entregue aos investigadores, que o enviaram para o TSB em Gatineau, Canadá, para análise. Em 25 de outubro, depois de quase quatro semanas de buscas intensivas na selva por cerca de 200 quilômetros equipados com detectores de metais, o módulo de memória do gravador de voz foi encontrado. Ele foi descoberto intacto, separado dos outros destroços e enterrado a cerca de 20 centímetros do solo, e também foi enviado para análise no NTSB.
Em 4 de outubro, as equipes de busca iniciaram o translado dos corpos para uma base temporária montada em uma fazenda nas proximidades. A FAB designou um C-115 Buffalo para transportar os corpos para Brasília, para identificação. As equipes de resgate trabalharam intensamente por quase sete semanas em um ambiente de selva densa, buscando e identificando os restos mortais das vítimas. A última vítima (Marcelo Paixão) foi resgatada e identificada por teste de DNA em 22 de novembro.
Investigação:
A investigação ocorreu de forma bilateral (CENIPA / BR – NTSB / EUA), em conformidade com as disposições do regulamento da ICAO, participaram no inquérito representando o país de registro, o país do operador do Legacy e o país onde foram fabricados os instrumentos da Honeywell em ambas as aeronaves.
O plano de voo do Legacy determinava que a aeronave deveria voar no nível de voo FL370 até Brasília, na aerovia UW2, onde faria uma descida prevista para o nível de voo FL360 e ingressaria na aerovia UZ6 no sentido nordeste em Teres, que é um waypoint localizado a 522 quilômetros à noroeste de Brasília, onde uma subida ao nível de voo FL380 era prevista.
De acordo com o plano de voo apresentado, o Legacy foi programado para estar no nível FL380, seguindo em direção a Manaus, ao passar o eventual ponto de colisão, que foi de cerca de 307 quilômetros à noroeste de Teres.
A tripulação do Legacy afirmou em seus depoimentos e entrevistas subsequentes que foi autorizada pelo controle de tráfego aéreo a voar no nível de voo FL370 até Manaus.
Nenhuma tentativa de contato foi feita pelo Legacy ou pelo controle de tráfego aéreo das 15h51min até às 16h26min, quando, 24 minutos após a perda de contato do radar, o controle chamou o Legacy, mas não recebeu resposta. O centro de Brasília tentou entrar em contato com o jato seis vezes, entre 16h30min e 16h34min. Às 16h30min, o contato de radar do Legacy tornou-se intermitente, desaparecendo completamente da tela de controle por oito minutos. O centro de Brasília tentou sem sucesso transferir o controle do Legacy para o centro da Amazônia às 16h53min.
O Legacy começou a chamar o centro de Brasília, também sem sucesso, a partir das 16h48min e continuou com doze tentativas mal sucedidas até às 16h50min. Alguns contatos limitados foram feitos, mas o Legacy não conseguiu copiar as frequências do centro da Amazônia. O Legacy, em seguida, prosseguiu as suas tentativas de chamar o centro de Brasília por sete vezes até o momento da colisão.
A colisão ocorreu às 16h56min (horário de Brasília) no nível de voo FL370 e foi confirmado que ambos TCAS não haviam alertado suas respectivas tripulações sobre a aproximação das aeronaves e nem qualquer tripulação iniciou um processo evasivo para evitar a colisão. Embora os aviões estivessem equipados com o sistema anticolisão de tráfego, a investigação mais tarde descobriu que o sistema do Legacy tinha deixado de operar às 15h02min, quase uma hora antes da colisão, tornando ambos os aviões incapazes de se detectar automaticamente.
Às 16h59min50s, cerca de três minutos após a colisão, o centro da Amazônia passou a receber o contato de radar do Legacy, com a sua altitude correta. Às 17h00min30s, o centro da Amazônia tentou em vão contatar o Legacy por rádio.
O Legacy começou a chamar na frequência de emergência, 121.5 MHz, imediatamente após a colisão, mas, como foi determinado no relatório do CENIPA, os transceptores de emergência não estavam operando na área e, portanto, a tripulação não conseguiu resposta nesta frequência.
Às 17h01min06s, o Legacy estabeleceu contato na frequência de emergência com um Boeing 747 da Polar Air Cargo, que tentou transmitir ao centro da Amazônia o seu pedido de pouso de emergência e continuou prestando assistência para o Legacy até o seu pouso. Às 17h18min03s, o Legacy entrou em contato com a torre de controle da base aérea de Cachimbo para coordenar seu pouso de emergência às 17h23min (Horário de Brasília).
O Boeing por sua vez decolou de Manaus às 15h35min voando na aerovia UZ6 ao sentido sudeste e alcançando o nível de voo FL370 às 15h58min, 23 minutos depois da decolagem, onde permaneceu até a colisão. Não houve problemas de rádio ou de contato com o radar até a sua transferência para o centro de Brasília. Não houve tentativas do controle de tráfego aéreo para advertir a tripulação do tráfego conflitante.
Recomendações do NTSB preliminares ao relatório oficial:
Preocupado com a segurança aérea o NTSB em 2 de maio de 2007, emitiu uma nota que incluía um resumo provisório do inquérito até a data, bem como algumas recomendações de segurança imediatas que deveriam ser implementadas pela FAA (Federal Aviation Administration). O NTSB informou que o Legacy aparentemente havia apresentado uma interrupção no funcionamento do TCAS, que era desconhecido para a sua tripulação de voo antes da colisão, de acordo com o gravador de voz do cockpit.
“Os resultados preliminares da investigação em andamento indicam que, por razões ainda a serem determinadas, o sistema TCAS no Legacy não estava funcionando no momento do acidente, impossibilitando a capacidade do sistema de detectar pelo tráfego conflitante. Além disso, os dados da caixa-preta indicam que a tripulação não tinha conhecimento de que o sistema TCAS não estava funcionando.
O NTSB acrescentou que, segundo o projeto de aviônicos do Legacy, o desligamento do TCAS é mostrado por uma pequena mensagem de texto branco estático, que pode não ser perceptível pela tripulação de voo.
“Utilizar apenas as mensagens de texto estático para indicar uma perda de funcionalidade do sistema TCAS não é um meio confiável para capturar a atenção dos pilotos, já que estes avisos visuais podem ser facilmente esquecidos se sua atenção é dirigida em outras partes do ambiente de voo.”
Com base em suas observações, o NTSB recomendou a FAA que as alterações de design devem ser implementadas para melhorar o aviso de TCAS inativo e que os pilotos deveriam treinar os detalhes deste acidente em simuladores, com falhas incluindo a perda potencial de transponder e TCAS.
Relatórios finais:
- CENIPA
Em 10 de dezembro de 2008, mais de dois anos após o acidente, o Centro de Investigação e Prevenção de Acidentes Aeronáuticos emitiu o seu relatório final, que descreve a investigação, resultados, conclusões e recomendações. O relatório do CENIPA inclui uma seção denominada “Conclusões”, que resume os fatos conhecidos e lista uma variedade de fatores relacionados com os controladores de tráfego aéreo e a tripulação do Legacy. De acordo com o CENIPA, os controladores de tráfego aéreo contribuíram para o acidente por conduzir o Legacy a uma altitude incorreta e não alertar ou corrigir o erro durante a transferência de centros. O CENIPA também encontrou erros na forma como os controladores lidaram com a perda de contato com o Legacy.
O CENIPA concluiu que os pilotos do Legacy também contribuíram para o acidente após não reconhecer que seu transponder foi inadvertidamente desligado, desativando assim o sistema anticolisão, bem como a sua formação e preparação insuficientes naquela aeronave.
- NTSB
O National Transportation Safety Board emitiu o seu próprio relatório sobre o acidente, que também foi anexado ao relatório do CENIPA, afirmando que o controle de tráfego aéreo foi culpado por autorizar que as aeronaves voassem na mesma aerovia e mesma altitude, sem perceber a falha. Ainda acrescentou que o acidente não foi causado apenas por um erro, mas sim uma combinação de erros do controle de tráfego aéreo. O NTSB ainda acrescentou que contribuíram para este acidente a perda de funcionalidade despercebida do TCAS, como resultado da inativação inadvertida do transponder a bordo do Legacy e a comunicação inadequada entre os controladores de tráfego aéreo e da tripulação de voo do Legacy.
- Conflitos entre os relatórios
Embora concordassem com a maioria das conclusões, o CENIPA e o NTSB, que colaboraram na investigação do acidente, discordaram em diversas interpretações e conclusões. O relatório do CENIPA concluiu que o acidente foi causado por erros cometidos pelos controladores de tráfego aéreo e pelos pilotos do Legacy, enquanto que o NTSB acusa apenas os controladores e o sistema de radares, concluindo que ambas as tripulações de voo agiram corretamente, mas foram colocadas em rota de colisão pelo controle de tráfego aéreo.
O acidente causou uma grave crise no sistema de aviação civil do Brasil, que incluiu atrasos e cancelamentos de voos, greves e lentidão no trabalho dos controladores de tráfego aéreo e preocupações da infraestrutura dos aeroportos brasileiros.
Historicamente, o Brasil foi governado por suas forças armadas de 1964 até 1985. Desde então, um governo civil assumiu, mas o espaço aéreo do país continuou sendo controlado e operado pela Força Aérea Brasileira e gerenciado por generais, supervisionados pelo ministro da defesa civil. A maioria dos controladores de tráfego aéreo do Brasil são militares oficiais e todos os centros de controle regional são operados pela FAB.
Em outubro de 2006, quando detalhes do acidente começaram a ser divulgados, a investigação foi focada em possíveis erros de controle de tráfego aéreo. Isso aumentou o ressentimento pelos controladores e exacerbou as suas relações de trabalho. Os controladores se queixaram, afirmando que estavam sendo sobrecarregados, mal pagos, e forçados a trabalhar com equipamentos obsoletos.
Muitos estavam limitados pelo conhecimento em outras línguas, como o inglês, utilizado pela aviação internacional, limitando a sua capacidade de se comunicar com os pilotos estrangeiros.
Além disso, o controle completo dos militares da aviação do país foi criticado por sua falta de responsabilidade pública.
Em meio a crescentes tensões, os controladores de tráfego aéreo começaram a encenar uma série de ações de trabalho, incluindo lentidão, greves e até mesmo uma greve de fome. Isto levou a um caos na aviação do Brasil, ocasionando grandes atrasos e interrupções no serviço aéreo doméstico e internacional. Os passageiros ficavam em terra, voos eram cancelados e ocorriam manifestações públicas.
Em 26 de julho de 2007, após o acidente com o voo TAM 3054, que vitimou 199 pessoas, o presidente Luiz Inácio Lula da Silva demitiu seu ministro da defesa, Waldir Pires, que fora encarregado da infraestrutura e segurança aérea do país desde março de 2006 e amplamente criticado por seus fracassos. No mesmo dia, Lula nomeou o ex-presidente do Supremo Tribunal Federal Nelson Jobim para assumir o cargo, que prometeu melhorar o sistema de controle de tráfego aéreo do Brasil.
- Mudanças no sistema de trafego aéreo brasileiro
Na época do acidente o Brasil contava com um sistema (X4000) que era operado desde a década de 1990. O sistema marcou a história dos equipamentos de controle de tráfego aéreo no mundo, pois foi pioneiro no uso de monitores de alta resolução, de processamento gráfico de alto desempenho, estações de trabalho como processadores e arquitetura distribuída. Mesmo se destacando no cenário mundial de controle de tráfego aéreo, o sistema já mostrava defasagem alem de estar associado a conjuntos de radares ineficientes para cobrir o espaço aéreo nacional o X4000 carecia de modernização ou até mesmo uma substituição.
Após anos de estudo junto aos usuários do sistema, para aderência aos mais recentes padrões internacionais, foi desenvolvido um sistema chamado SAGITARIO (Sistema Avançado de Gerenciamento de Informações de Tráfego Aéreo e Relatórios de Interesse Operacional), que vem substituindo, desde 2009, o X-4000 em todo o território nacional. O novo sistema gerou maior autonomia ao operador, assegurando maiores facilidades operacionais e recursos avançados para a tomada de decisões. Isso é possível porque a tecnologia SAGITARIO foi desenvolvida com a participação dos profissionais que atuam na linha de frente do monitoramento aéreo, os controladores, e seguindo as melhores práticas e recomendações existentes no mercado internacional, como as adotadas nos sistemas especificados pela EUROCONTROL (Organização Europeia para a Segurança da Navegação Aérea).
Entre os avanços presentes, destacam-se: maior agilidade nas ações rotineiras dos controladores, identificando e alertando sobre as situações de conflitos ou riscos; flexibilidade na configuração de parâmetros de software; redução da carga de trabalho do controlador e outras facilidades e inovações técnicas que permitem uma administração centralizada, incremento da confiabilidade e mecanismos de redundância, recursos para manutenção à distância, além de facilidades voltadas para reconfiguração, evolução do sistema, treinamento e homologação de novas versões. O sistema também foi configurado para receber os aplicativos necessários para evolução da navegação aérea. O SAGITARIO antecipou-se a uma tendência mundial de integração de sistemas de controle de tráfego aéreo, abrangendo inúmeras funcionalidades do CNS/ATM (Comunicação, Navegação e Vigilância em Gerenciamento de Tráfego Aéreo) e mostra-se, até hoje, como uma solução avançada na fusão de dados dos sensores de vigilância (radares, ADS-B e outros) e nos sistemas de tratamento de planos de voos.
E, pensando sempre em manter o sistema atual e na vanguarda, seu fabricante tornou-se uma das empresas mais qualificadas em todo o mundo no desenvolvimento de novas tecnologias de gerenciamento do tráfego aéreo. Além do SAGITARIO, a empresa desenvolveu uma solução avançada para gestão de fluxo do tráfego aéreo, o SIGMA (Sistema Integrado de Gestão de Movimentos Aéreos), com o objetivo de maximizar a eficiência da navegação aérea. O SIGMA é um moderno sistema de ATFM (Air Traffic Flow Management), cuja função principal é balancear a capacidade de atendimento dos aeroportos e do espaço aéreo com a demanda projetada de movimentos aéreos. Esse sistema foi um importante aliado da FAB (Força Aérea Brasileira) durante a Copa do Mundo 2014 e os Jogos Olímpicos Rio 2016, na manutenção da rotina viária, evitando atrasos nos voos.
E desde então, o mundo passou a viajar mais tranquilo e seguro, sem registros de episódios como este.
