Le Bourget, 5 de julho 2012

www.bea.aero

Investigao de segurana sobre o acidente ocorrido

em 01 de junho de 2009
Resumo
1. O voo planejado

Os horrios esto
expressos em
tempo universal
coordenado. Devem
ser acrescentadas
2 horas para obter
o horrio de Paris
no dia do voo
esubtrair 3 horas
para obter o horrio
do Rio de Janeiro.
(1)

(2)
A tripulao
tcnica consiste
normalmente em
2pilotos, mas
aqui reforada
levando-se em conta
adurao do voo.

O Airbus A330-200, de matrcula F-GZCP, voo 447, partiu do aeroporto do Galeo,

no Rio de Janeiro, em 31 de maio de 2009 s 22h29min(1) com destino ao aeroporto
Charles de Gaulle, em Paris, onde deveria chegar aps 10 horas e 34 minutos de voo.
O avio transportava 216 passageiros de 32 nacionalidades, 9 comissrios de bordo
e trs pilotos, sendo um comandante e dois copilotos(2). O combustvel a bordo da
aeronave dava uma autonomia estimada superior a 11 horas e 30 minutos de voo.
Durante o voo, o avio deveria passar pelo espao areo controlado pelo Brasil,
Senegal, Cabo Verde, Espanha (Ilhas Canrias), Marrocos, Espanha (Madrid) e Frana.
Parte dos espaos controlados pelos centros ocenicos do Atlntico (Brasil) e de
Dakar (Senegal) est fora do alcance de comunicaes via rdio VHF.
As comunicaes com estes dois ltimos centros so feitas principalmente atravs de
rdio HF(3) que o meio de comunicao primrio.

(3)
As ligaes por HF
so frequentemente
perturbadas
por fenmenos
ionosfricos.

A aeronave deveria atravessar a Zona de Convergncia Intertropical fora da

costa do Brasil. Esta Zona apresenta, com frequncia, fenmenos tempestuosos
caracterizados por turbulncias e precipitaes. A situao meteorolgica nesta
Zona, no dia do acidente, no era incomum para o ms de junho.
2. A perda de contato com a aeronave e o acionamento dos servios de emergncia

O acidente ocorreu
s 02h14min28seg.

(4)

01h35min, a tripulao confirmou ao controlador do Centro de Controle de rea

Atlntico o recebimento de uma mensagem, tendo sido este o ltimo contato entre
o controle de voo e a aeronave. A tripulao deveria contatar o controle de Dakar
antes de entrar em seu espao areo, previsto para o ponto TASIL s 02h20min(4).

1/5

s 03h45min o centro seguinte ao de Dakar, o Centro Sal (Cabo Verde), no tendo

a visualizao do AF 447 no radar, chamou o controlador de Dakar. Em seguida,
comeou uma confusa troca de informaes entre os diferentes centros de controle
envolvidos na rota da aeronave, os centros de busca e salvamento associados e
ocentro operacional da Air France. s 05h23min, a fase inicial de busca, que consiste
em coletar informaes sobre o voo, foi iniciada pelo Centro Atlntico, mas o Centro
Brest no acionou a Fase de Perigo, que disparou as operaes de busca e salvamento,
apenas s 09h09min, mais de seis horas e meia aps o acidente.
O primeiro avio de busca brasileiro decolou s 11h04min. Ele foi seguido,
s12h14min, pela aeronave Brguet Atlantic lotado em Dakar e colocado disposio
das autoridades senegalesas pela Frana.
Os corpos das primeiras cinquenta pessoas e os destroos do avio foram encontrados
entre 6 e 18 de junho de 2009.
(5)
O histrico da
busca de superfcie
e submarinas
realizadas entre a
data do acidente
e maio de 2011 foi
objeto de relatrio
em separado.

3. A investigao at a leitura dos gravadores de voo(5)

Os nicos itens disponveis para os investigadores desde a descoberta dos destroos
no mar at a leitura dos gravadores de voo, em maio de 2011, vieram de:
Informaes sobre o avio e tripulao recolhidas na empresa;
Informaes contidas nas 24 mensagens de manuteno (ACARS) automaticamente

transmitidas pelo avio;

Uma mensagem dando a posio do avio s 02h10min;
Anlise dos destroos.
Estes elementos iniciais permitiram aos investigadores concluir que:
A aeronave estava inteira no momento do impacto;
A aeronave colidiu com a superfcie da gua em atitude de nariz elevado, pequena

inclinao lateral e elevada velocidade vertical;

No houve preparao para o pouso forado na gua;
No houve despressurizao;
Ocorreu uma inconsistncia nas velocidades medidas logo aps as 02h10min;
Esta inconsistncia havia provocado a perda de alguns sistemas automticos;
O acidente ocorreu entre 02h14min26seg e 02h15min14seg.

A obstruo das sondas Pitot por cristais de gelo foi identificada como o primeiro de
uma srie de eventos que levaram ao acidente. No entanto, nesta fase, as informaes
disponveis no permitiam determinar as circunstncias do acidente. A localizao
dos destroos e a recuperao dos gravadores foram essenciais para a continuao
da investigao.

(6)

Conforme relatrio
da etapa n 3.

Somente em 2 de abril de 2011 os destroos foram localizados, prximo da ltima

posio conhecida, a 3.900 m de profundidade, durante a quarta fase de buscas
submarinas. Os gravadores de voo foram recuperados em 01 e 03 de maio de 2011
e foram lidos em 12 e 13 de maio de 2011 nas instalaes do BEA. Suas leituras
permitiram conhecer as circunstncias exatas do acidente. A investigao se
concentrou nas ltimas duas horas de voo, que foram subdivididas em trs fases(6):
Fase 1: do incio da gravao de voz at a desconexo do piloto automtico;
Fase 2: da desconexo do piloto automtico at a ativao do alarme de estol;
Fase 3: da ativao do alarme de estol at o final do voo.

2/5

Atitude do avio nos ltimos segundos do voo

4. As causas do acidente
poca do acidente, a obstruo das sondas Pitot por cristais de gelo, emcruzeiro,
jera um fenmeno conhecido pela comunidade aeronutica, mas no era entendido
como possvel contribuinte para um acidente. Do ponto de vista operacional,
aconsequente perda de todas as informaes de velocidade era uma falha identificvel.
Havia a presuno de que, aps as reaes iniciais que envolvem habilidades bsicas
de pilotagem, a obstruo dos pitots pudesse ser corretamente diagnosticada pelos
pilotos, e gerenciada atravs de aes conservadoras no controle da atitude e da
potncia da aeronave, conforme previsto nos procedimentos de emergncia da
aeronave.
A tripulao do voo AF447 foi totalmente pega de surpresa pela ocorrncia da falha
em voo de cruzeiro. As dificuldades aparentes em manejar a aeronave em turbulncia
em elevadas altitudes resultou em comandos exagerados de rolagem e um repentino
comando de nariz para cima, pelo piloto que estava no controle da aeronave.
A desestabilizao, resultante da trajetria de subida, bem como da mudana
na atitude de arfagem e na velocidade vertical, somou-se indicao errnea de
velocidade e s mensagens do ECAM, no ajudando os tripulantes a desenvolver um
diagnstico da situao.
No minuto seguinte desconexo do piloto automtico, a falha nas tentativas de
entender a situao e a quebra na cooperao entre a tripulao exauriu cada um
dos tripulantes at a perda total de controle cognitivo da situao. As hipteses de
comportamento que levaram classificao da perda das informaes anemomtricas
como maior no foram verificadas no contexto do acidente. A confirmao desta
classificao, portanto, requer um trabalho adicional em termos de feedback
operacional de forma a modificar, quando necessrio, o treinamento da tripulao
e a ergonomia das informaes disponveis para eles, assim como a concepo dos
procedimentos.
A aeronave entrou em um estol pronunciado, alertado pelo alarme de estol e um forte
buffet. Apesar destes sintomas persistentes, a tripulao nunca compreendeu que a
aeronave estava em uma situao de estol e, por isso, nunca aplicou qualquer manobra
de recuperao. A combinao entre a ergonomia do sistema de alarme, ascondies
em que os pilotos so treinados e expostos condio de estol durante seu treinamento
profissional e o processo de manuteno das habilidades de pilotagem no resultou no
comportamento esperado em qualquer grau de confiabilidade.
Atualmente, o reconhecimento do alarme de estol, mesmo quando associado
ao buffet, pressupe que a tripulao atribua um mnimo grau de legitimidade
ao alarme. Isto, por sua vez, pressupe uma experincia anterior suficiente sobre

3/5

as condies de estol, ao menos algum preparo cognitivo e a compreenso

dasituao, alm doconhecimento da aeronave (seus modos de proteo) e da fsica
do voo. Uma reviso do treinamento de pilotos na empresa no apresentou uma
evidncia convincente de que as devidas habilidades tenham sido corretamente
desenvolvidas e mantidas.
Genericamente, a dupla falha dos procedimentos esperados mostram os limites
domodelo de segurana atual. Quando uma ao da tripulao esperada, sempre
se supe que ela ter a capacidade de inicialmente controlara trajetria de voo
e rapidamente diagnosticar e identificar a atitude correta a ser tomada na lista
de procedimentos. Uma tripulao pode encontrar uma situao imprevista que
cause uma momentnea, mas profunda, perda de compreenso. Se, nestes casos,
apresumida capacidade de inicialmente controlar e depois diagnosticar perdida,
o modelo de segurana passa a ser classificado como falha comum. Nesta
ocorrncia, a incapacidade de inicialmente controlar a trajetria de voo tambm
tornou impossvel compreender asituao e encontrar a soluo apropriada.
Portanto, o acidente resultou da seguinte srie de eventos:
A temporria Inconsistncia entre as velocidades medidas, presumivelmente

como resultado da obstruo das sondas Pitot por cristais de gelo, o que, entre
outras coisas, resultou na desconexo do piloto automtico e na reconfigurao
para Alternate Law;
Os inapropriados comandos aplicados nos controles, o que desestabilizou a

trajetria de voo;
A falta de qualquer ligao estabelecida, pela tripulao, entre a perda das

informaes de velocidade indicada e o procedimento previsto;

A identificao tardia, pelo PNF, do desvio da trajetria de voo e a correo

insuficiente comandada pelo PF;

A falha da tripulao em identificar a aproximao do estol, a falta de resposta

imediata e a sada do envelope de voo;

A falha da tripulao em identificar a situao de estol e, por consequncia, a

ausncia de comandos que permitissem a recuperao da aeronave.

Estes eventos podem ser explicados pela combinao dos seguintes fatores:
Os mecanismos de feedback de todos os envolvidos que tornaram impossvel:
Detectar e remediar a recorrente falta de aplicao do procedimento previsto

em panes de indicao de velocidade,

Garantir que o modelo de risco para tripulaes em voo de cruzeiro inclusse
ocongelamento dos tubos de Pitot e suas consequncias;
Falta de treinamento prtico de pilotagem manual em altitude elevada, e no

procedimento previsto para falhas de indicao de velocidade;

Trabalho em equipe da tripulao enfraquecido por:
Incompreenso da situao quando do desligamento do Piloto Automtico,
Mau gerenciamento do efeito surpresa, que resultou em alto nvel de estresse

dos dois copilotos;

A falta de uma indicao clara, na cabine de pilotagem, da inconsistncia na

indicao de velocidades, identificada pelos computadores;

4/5

 A falha da tripulao em levar em considerao o alarme de estol, que pode ter

sido devido:
falha na identificao do alarme sonoro,
Ao surgimento, no incio da ocorrncia, de alarmes acionados transitoriamente,

que poderiam ser considerados como esprios,

falta de informao visual que permitisse confirmar a aproximao do estol

aps a perda de indicao de velocidade,

confuso possvel com uma condio de sobre velocidade, na qual o buffet
tambm considerado como sintoma,
s indicaes dos diretores de voo que podem ter confirmado tripulao que
seus comandos estavam corretos, apesar de inapropriados,
dificuldade em identificar e compreender as implicaes da reconfigurao
em alternate law, sem nenhuma proteo do ngulo de ataque.
5. reas de aprimoramento recomendadas pelo BEA
Alm das 16 recomendaes j feitas nos relatrios preliminares n 2 e n 3, 25 novas
recomendaes de segurana de voo foram agora emitidas pelo BEA.
Elas incluem:
Formao e treinamento das tripulaes:
Para aprimorar os conhecimentos das tripulaes sobre os sistemas da aeronave

e a modificao de suas caractersticas em situaes degradadas ou incomuns,

Para completar a formao prtica e aprimorar a assimilao dos fundamentos

tericos bsicos da tripulao, inclusive sobre desempenho e mecnica do voo,

Para desenvolver e manter uma capacidade de gerenciamento de recursos da
tripulao (CRM),
Para aprimorar a fidelidade dos simuladores, a fim de reproduzir cenrios
realistas de situaes anormais;
Ergonomia da aeronave, para fornecer um guia s tripulaes, a fim de ajud-

los a reconhecer e gerenciar situaes inusitadas;

Mecanismos de feedback, para melhor analisar os riscos operacionais

relacionados aos fatores humanos e aprimorar os procedimentos e o contedo

dos treinamentos;
Monitoramento do operador para aprimorar a eficcia de sua organizao;
Acionamento dos servios de emergncia e localizao dos destroos:
Para acelerar a implantao de meios de comunicao confiveis, inclusive em

reas inspitas,
Para rever a organizao das operaes de busca e salvamento em caso de
acidente ocorrido sobre o mar.
As investigaes do BEA so realizadas em conformidade com as disposies do regulamento 996/2010
do Parlamento Europeu e do Conselho de 20 de outubro de 2010 sobre as investigaes e a preveno de
acidentes e incidentes na aviao civil.
O BEA a autoridade francesa de investigao de acidentes da aviao civil. Suas investigaes destinam-se
apenas a aprimorar a segurana da aviao e no se destina a atribuir culpa ou responsabilidade. Suas
investigaes so independentes, distintas e sem prejuzo de quaisquer processos judiciais ou administrativos
que visem determinar as culpas ou responsabilidades.

5/5