O golpe final na já dizimada confiança que o B737MAX inspirava foi dado pelo Donald Trump em pessoa, o que a FAA e própria Boeing replicaram de imediato. Bateu com o punho na mesa e disse “o Rei voa nú”. Na Europa, China, Canadá e Oceânia o novel avião estava já de “asas cortadas”.
Foi mesmo preciso a intervenção do, por vezes errático, presidente norte americano, para ultrapassar o estado de negação que se vivia na nação berço do 737. Antes disso, a FAA, órgão máximo da aviação civil americana, havia emitido uma Airworthiness Diretive que obrigava a Boeing a disponibilizar uma modificação do software Maneuvering Characteristics Augmentation System (MCAS). Esse software é o maior suspeito do acidente da Lion Air, uma funcionalidade desconhecida pelos pilotos, que atua pela calada quando a aeronave poderá estar em risco iminente de perda. Sem aviso prévio envia pequenos comandos ao compensador (“trim” em inglês), um sistema que move todo o estabilizador horizontal.
Isto faz mudar a atitude do avião, mesmo que os pilotos não estejam a puxar ou empurrar o “manche”, o comando que faz o avião levantar o nariz, ou picar, através do leme de profundidade (horizontal). Será difícil de explicar devidamente este cenário sem recorrer a diagramas complexos e eventual consulta de material de formação aeronáutica. Na Indonésia foi tal o caos que os pilotos acabaram à luta com o avião, tentando levantar o nariz manualmente, enquanto o mesmo a ajustava o compensador para que baixasse. Não se pode chamar bem luta, porque foi contra um inimigo desconhecido, que na realidade era um “anjo da guarda” com boas intenções.
Depois se concluiu que este software MCAS nem figurava nos manuais técnicos da própria Boeing, nem era abordado nos cursos de conversão de pilotos formados nas versões anteriores do Boeing 737, que tinham a duração de um dia em simulador. É prerrogativa de todas as construtoras manter ao máximo a comunalidade de “cockpit”, mantendo o “layout” dos instrumentos, comandos, e procedimentos operacionais, justamente para facilitar transições, reduzir custos de formação, e possibilitar que os mesmos pilotos voem vários tipos de aeronaves, sem risco de confusão.
O acidente com o B737-400 da BMI em Kegsworth deveu-se, em pequena parte, ao facto de que um indicador de potência dos motores tinha um aspeto visual parecido com o que equipava o B737-300, com os qual os pilotos eram familiares, mas havia uma ligeira diferença que contribuiu para uma leitura errada, que se provou fatal. Há que diferenciar entre atitude e ângulo de ataque. Atitude (ou “pitch”) é o ângulo entre o eixo longitudinal do avião e o plano horizontal.
Um avião a voar numa trajetória vertical com nariz a apontar para baixo, tem uma atitude aproximada de 90 graus. O horizonte artificial indica aos pilotos este parâmetro, e baseia a sua indicação num giroscópio. O ângulo de ataque, em inglês Angle of Attack (AoA) é a diferença entre a corda da asa e a massa de ar que atravessa. É um ângulo aerodinâmico.
Se estiver a voar na horizontal seria praticamente equivalente à atitude. Se estiver como no exemplo anterior, a cair à vertical com o nariz a apontar para o chão. O ângulo de ataque seria perto de zero, e não de 90º. A atitude e o Angle of Attack estão relacionados, mas não são a mesma coisa, nem se medem da mesma forma, e a interpretação dos valores serve diferentes mesmo propósitos. Por sua vez, um AoA excessivo é costuma ser provocado com o levantar do nariz (atitude excessiva) e deve ser corrigido com o baixar do nariz.
A importância de se saber o Angle of Attack é poder antecipar o risco de entrar em perda. Excedendo-se um dado ângulo, as asas deixam de voar, e o avião transforma-se numa folha seca. Em menos de quatro minutos um avião viria da altitude de cruzeiro ao chão. No exterior da fuselagem, na zona do nariz do avião existem umas aletas que parecem pontas de tacos de golfe, chamadas “AoA Vanes”.
Excedido um certo valor medido pelos “Vanes” os pilotos deverão ouvir um alarme sonoro, na forma de uma buzina. Os mais sofisticados têm um sistema que faz tremer o manche (“stick shaker”) para reforçar a urgência em tomar ações corretivas. Qualquer avião, desde a mais elementar “avioneta” ao A380, tem um sistema que mede o AoA e dá um aviso sonoro no cockpit. Esta é uma lei da aerodinâmica. A recuperação da perda faz parte da instrução básica da pilotagem, e é o exercício que requer mais capacidade de leitura da situação, tomada de decisão a tempo e sem mácula. A solução é simples e eficaz. Traços gerais implica: redução de potência do motor, nivelar asas (se necessário), nariz em baixo até velocidade aumentar, e voltar a dar potência ao motor e começar a subir. A hesitação, incapacidade de compreender a situação, interpretação errónea do que os instrumentos indicam, resultam quase sempre em catástrofe.
O MCAS só entra em funcionamento após os flaps terem sido recolhidos, e em função do AoA da altitude e do “mach” number (velocidade do avião em relação à velocidade do som, cujo valor depende da temperatura naquele momento), poderá atuar de madeira lenta comandando o estabilizador horizontal para cima (ação de “trim”, a 0,27 graus por segundo durante 10 segundos, o que torna a sua ação pouco percetível aos pilotos. Só se desativa se o AoA estiver num intervalo de segurança, ou os pilotos tentarem fazer “trim” manualmente. Se estiverem a usar o leme para modificar a atitude, acabam a lutar contra a máquina. Se o computador estiver a tomar a ação correta, mas baseada em pressupostos errados (leituras advindas de sistemas em falha), o avião pode tornar-se num “robot” suicida.
Não há dois acidentes iguais, ou melhor não deveria haver. Busquemos o caso do voo AF447, o Airbus A330 da Air France que se despenhou há 10 anos no mar, após atravessar uma tempestade tropical. Tendo descolado do Rio de Janeiro, encontrou uma tempestade que gelou os sensores de pressão (que medem a velocidade), o que baralhou por completo os sistemas do avião. Os Airbus têm uma diferença fundamental para os Boeing. O sistema de Flight Control tem uma função chamada “Alpha Protection”, que intervém no caso de o avião estar em risco de entrar em perda. Ou seja, automaticamente mete o nariz em baixo, contrariando o “input” dos pilotos até o avião estar em segurança. Funciona bem, se não houver avarias, como é evidente.
No caso do AF447 os sensores entupidos pelo gelo foram os tubos de “pitot”, indicadores de velocidade, em aparência semelhantes aos “AoA Vanes”, situados no exterior do avião. Gelados, começaram a dar leituras estapafúrdias. O avião ficou “baralhado”, incapaz de perceber a que velocidade ia, e quando é assim entra em “Alternate Law”. Simplificando, desliga os sistemas de proteção de ângulo de ataque, e entrega o avião ao piloto para que se desenrasque sozinho. A queda ocorreu pela incapacidade da tripulação em avaliar a situação, e ter tomado ações que provaram só agravar o problema. A polémica instalou-se, havendo um crítico escrutínio de uma situação generalizada em que os pilotos estão tão habituados em confiar nas proteções automaticas, comprovadamente fiáveis mesmo que impopulares, mas saiem das escolas desprovidos das capacidades de piloto. No AF447, verificou-se que, em presença de um problema que a máquina não está lá para os ajudar, não tiveram a destreza para gerir algo que é básico na instrução de qualquer piloto. Severas críticas à política de formar pilotos rapidamente, especializando-os em automatismos em detrimento dos fundamentos básicos de “aviador”, poderão ter justificação.
O ponto a reter é que o 737MAX atuava pelas sombras, mesmo em presença de leituras erradas dos sensores, sem que os pilotos sequer soubessem da existência do MCAS. Por oposição, o Airbus 330 descartou-se da situação, avisando-os desse facto, deixando inteiramente a gestão da falha na mão dos pilotos, formatados para contar com o apoio do sistema, embora nos simuladores se recriem situações com falhas de todos os tipos. Não cabe ao autor deste artigo transformar este assunto numa disputa Airbus x Boeing, apenas pretende elucidar um pouco o leitor acerca de como funcionam os aviões modernos, e mostrar que os pilotos têm um papel mais ativo do que o mito de beber café, e apertar botões. Ser piloto é uma profissão séria, cuja proficiência transcende a apreensão de conhecimentos técnicos ou a intensificação da prática. Requer perfeição de julgamento a todo o minuto, a toda a hora.
Sabendo-se que este MCAS teve um papel negativo no acidente de outubro, e que era uma função auxiliar, a primeira pergunta seria: “porque não se desliga se não era essencial?”. Se não era necessário nos milhares de 737 fabricados desde os anos 60, porque é que passou a ser agora? O avião não é o mesmo com motores mais potentes, e mais seguro?
Pois é justamente aqui que o enredo se revela. O mais que seguro 737-800, que visita a Madeira todos os dias, mede 39,5 de cumprimento por 34,3m de envergadura, e 12,5 m de altura. O 737MAX8 tem os mesmos 39,5 de comprimento, cada asa apresenta-se um metro mais comprida, e a altura pouco difere. A diferença está nos motores, muito maiores que os anteriores CFM56. O B737-100 voou pela primeira vez em 1967, com motores Pratt & Wthitney que pareciam um charutinho, muito fininhos. A TAP teve vários da similar versão -200, tal como a Air Sul. Para estes P&W bastava um trem de aterragem curto. Nos anos 80 evoluiu-se para os “classic” -300/400/500, com a introdução do motor CFM56, mais largo. O espaço para recolha do trem é tão exíguo que não tem tampas. Observando um 737 após a descolagem, as rodas estão destapadas, e sempre visíveis.
Arranjar mais espaço para o trem não é tão fácil como parece. Além do diâmetro das rodas, existe o eixo, e toda a motorização que o permite estender e recolher. No final dos anos 90 saíram os Next-Generation. Olhando de frente para os motores dos 737-600/700/800/900/900ER vê-se logo que são meios achatados e não redondos. Alguns sistemas foram metidos lateralmente para mitigar risco de impacto com o solo. Até aqui tudo bem, apesar de já se ver o B737-900ER a necessitar uma vara instalada debaixo da cauda para impedir o embate no solo, ao desembarcar.
Um belo dia a Airbus anuncia o lançamento do A320NEO, que fará uso dos novos motores CFM Leap. O A320-100, que entrou ao serviço em 1988, foi desenhado de raiz para o motor CFM56, o mesmo que equipava o supramencionado 737-300/400/500. Portanto, tinha já um trem alto o suficiente para acomodar motores maiores, que recolhe por completo para dentro da fuselagem. Perante milhares de encomendas do A320NEO, a Boeing não teve hipótese senão de igualar a parada, anunciado o 737MAX, caso contrário seria arredada do médio curso. Para acomodar o novo CFM Leap, foi preciso encostar o motor à asa.
De reparar que a maior parte dos motores que estão debaixo das asas, ficam pendurados num “pylon” e não na superfície inferior da asa. No 737, o motor além de ficar mais alto, significa mais peso, mais à frente que o centro de gravidade. Quando o avião mete motor e começa a subir, a tendência de levantar o nariz é muito mais sentida, aumenta o AoA, e há maior risco de perda. Como isto é uma caraterística estrutural da aeronave, o remédio foi o tal MCAS, absolutamente necessário. Já se percebe que não é um preciosismo técnico, e a razão pela qual não pode ser desligado.
A única maneira de o desligar por completo é desligar todo o sistema elétrico de “trim”, e obrigar os pilotos a rodar manualmente uma roda no quadrante central dos instrumentos (“trim wheel”). Isso seria voltar à Idade da Pedra na aviação comercial.
Perguntará o leitor como é possível que se tenha chegado a este ponto. Tudo começa com os “direitos do avôzinho”. O 737 faz uso dos “grandfather rights” na certificação da aeronave. Ou seja, certifica o 737MAX como evolução do 737 dos anos 60, e não como uma aeronave nova. Isto faz com seja legal, mais rápido e mais barato, pegar num avião com segurança comprovada e ir adicionando melhoramentos, e testar as mudanças. É a diferença entre um orçamento base zero e um com alterações percentuais, em termos filosóficos. Em si, não é reprovável esta maneira de fazer engenharia, o mesmo acontece com modelos de outros construtores.
O aperfeiçoamento de modelos com sucesso, versus a disrupção, pode contribuir para maior segurança. Existe, contudo, um limite para o que se pode espremer de um desenho. As regras de 1960 eram outras, e o uso dos “grandfather rights” torna-se um empecilho à fácil implementação de alterações significativas, como a expressão dá a entender. A certificação das aeronaves é na realidade feita pelo construtor e não pela FAA, que atribui o certificado. Seria impossível à FAA ter gente em número e com especialização suficiente para cobrir todas as facetas do desenvolvimento de uma aeronave. A Boeing apresenta documentação dos testes que fez, e se cumprirem com as regras estabelecidas, a FAA assina.
Antes de demonizar a Boeing, esperemos pelo relatório do acidente da Ethiopian que deverá ser publicado em meados de abril. As “caixas negras” foram abertas pela BEA, entidade francesa responsável por investigação de acidentes aéreos, e os dados transcritos e entregues à congénere etíope. Foi por decisão da Etiópia que estes elementos foram extraídos em “território Airbus”, quando certamente alguns preferiam ter sido escolhido o NTSB americano. Porém, assim se defende a Boeing e a FAA contra teorias da conspiração de adulteração de dados.
