O voo 447

A noite caía sobre o aeroporto do Rio de Janeiro no último dia de maio de 2009. Os 216 passageiros que embarcariam num voo rumo a Paris jamais poderiam suspeitar que não voltariam a ver a luz do sol, ou que muitos continuariam presos a seus assentos por dois anos antes de serem encontrados mortos na escuridão abissal do Atlântico, 4 quilômetros abaixo da superfície das águas. Mas foi isso que aconteceu.

A tripulação do voo 447 da Air France era composta de nove comissários de bordo e três pilotos – um número maior que o habitual devido às limitações de jornada de trabalho legal numa viagem de 9 200 quilômetros que deveria durar por volta de onze horas. Eram pessoas muito bem treinadas, que voariam num Airbus A330 classificado na categoria wide body (fuselagem larga e dois corredores), por uma das mais prestigiosas linhas aéreas do mundo, uma empresa que é o orgulho de todos os franceses.

Ainda hoje – com as caixas-pretas recuperadas, relatórios técnicos franceses amplamente divulgados e abrangentes investigações em curso nos tribunais da França –, parece quase inimaginável que o avião tenha caído. Um pequeno defeito derrubou o voo 447, a breve perda de indicações de velocidade do avião – uma simples falha de entendimento de uma anormalidade, durante um voo estável, reto e nivelado. Os pilotos foram completamente atropelados pelas circunstâncias.

Como assim? Descartou-se a resposta mais fácil: não, aqueles três homens não eram de uma incompetência atroz. As demais respostas são necessariamente especulativas, pois os pilotos não podem mais se explicar e haviam mergulhado num frenético estado de confusão antes de morrer. No entanto, a confusão deles nos diz muito. Ela parece ter suas raízes no próprio progresso em matéria de pilotagem e engenharia aeronáutica que tanto contribuiu para melhorar a segurança aérea nos últimos quarenta anos. Em suma, a automação tornou cada vez mais improvável que pilotos de linhas aéreas tenham de se defrontar com graves crises durante o voo – mas também tornou cada vez mais improvável que sejam capazes de lidar com esse tipo de crise caso ela ocorra. Além do mais, não é evidente que exista um meio de resolver tal paradoxo. É por isso que, para muitos observadores, a perda do Air France 447 se afigura como o mais intrigante e significativo acidente aéreo dos tempos modernos.

A tripulação chegou ao Rio três dias antes da partida e se hospedou no hotel Sofitel, na praia de Copacabana. Na Air France, aquele pernoite era muito apreciado. O copiloto mais moço, Pierre-Cédric Bonin, de 32 anos, havia trazido a mulher, deixando em casa dois filhos ainda pequenos. O comandante, Marc Dubois, de 58 anos, viajava na companhia de uma comissária de bordo de folga, que também era cantora de ópera. No melhor estilo francês, o relatório sobre o acidente não mencionou a vida privada de Dubois.

Essa omissão, porém, acabou por induzir a conclusão de que o cansaço não havia desempenhado papel relevante no episódio, embora a atitude desatenta do comandante tenha claramente mostrado o contrário. Dubois atingira o topo da carreira trabalhando duro e pilotando muitos tipos de aeronaves antes de ser contratado pela Air Inter, uma linha aérea que só efetuava voos domésticos e foi absorvida pela Air France. Era um veterano, com quase 11 mil horas de voo, mais da metade como comandante. Mas, como se soube depois, ele só havia dormido uma hora na noite anterior. Havia passado o dia fazendo turismo com sua acompanhante.

O Air France 447 levantou voo como programado, às 19h29, com 228 pessoas a bordo. O Airbus A330 é um jato dócil, fácil de pilotar, com duas turbinas, uma cabine automatizada e um sistema de controle eletrônico baseado em computadores, que garante um voo extraordinariamente estável e, em situações extremas, pode intervir para evitar que os pilotos excedam certos limites aerodinâmicos e estruturais. A frota, lançada em 1994, não registrara desde então uma única queda de um A330 servindo em linhas aéreas.

Na cabine, Dubois ocupava o assento da esquerda, posição tradicional do comandante. Embora fosse o piloto em comando – em última análise, o responsável pelo voo –, naquela oportunidade estava servindo como piloto assistente, cuidando das comunicações, checklists e atividades de suporte à pilotagem. No assento à direita estava o copiloto mais novo na empresa, Bonin, a quem caberia pilotar o avião nas operações de decolagem e aterrissagem, além de controlar a automação durante o voo de cruzeiro. Bonin era uma cria da casa: fora treinado desde o início pela Air France e havia sido designado para tripular os aviões Airbus com apenas algumas centenas de horas de voo. Agora já acumulara 2 936 horas, mas isso não significava um upgrade em sua experiência, uma vez que só pilotara os Airbus com controle eletrônico e em regime de piloto automático.

Bonin acionou o piloto automático quatro minutos depois de levantar voo. Tratava-se de um procedimento rotineiro, bem como a prática de utilizar o piloto automático até pouco antes da aterrissagem. A rota do voo havia sido plotada pelos despachantes operacionais de voo na França e fora inserida no computador de bordo antes da partida: era uma rota direta, subindo a costa do Brasil até Natal e dali tomando a direção nordeste para atravessar o Atlântico. A altitude inicial de cruzeiro era de 10 700 metros. A única complicação meteorológica consistia numa linha de temporais com relâmpagos e trovões, associada à Zona de Convergência Intertropical, que cruzava o Atlântico pouco acima da linha do Equador. As imagens de satélite sugeriam a possibilidade de que se desenvolvesse uma situação climática talvez mais intensa do que o normal, com formações de nuvens tempestuosas altas demais para serem sobrevoadas, mas com aberturas passíveis de serem transpostas mediante desvios laterais.

Naquele momento, a noite era clara e tranquila. Trinta e um minutos após a decolagem, o piloto automático nivelou o avião a 10 700 metros, quase a altitude máxima que o Airbus pode voar, dada a temperatura externa e o peso do avião. Os aceleradores automáticos regularam a potência dos motores para atingir a velocidade selecionada de 0,82 Mach, o que no ar rarefeito representava, com as devidas correções de vento, temperatura e densidade, uma velocidade relativa ao solo de 870 quilômetros por hora. Durante a totalidade do voo, a caixa-preta gravou mais de mil parâmetros. Já o registro de voz da cabine tem um sistema que apaga automaticamente as gravações a cada período de pouco mais de duas horas, a fim de proteger a privacidade dos pilotos. Resultado: o registro de voz entrou em operação vinte minutos antes da decolagem, permanecendo até os momentos finais que culminaram no acidente.

Eram 21h09, hora do Rio. O comandante Dubois e o jovem Bonin haviam se acomodado e a cabine estava em silêncio, não fosse o ruído de alguns papéis sendo manuseados ou de um assento sendo ajustado. Às 21h24, Dubois mencionou que o jantar talvez ainda demorasse, e Bonin respondeu amistosamente que ele também estava ficando com fome. Embora não se conhecessem antes do voo, os dois se tratavam informalmente por “você”, como é praxe entre os pilotos da Air France. No entanto, como as trocas posteriores iriam demonstrar, Bonin se revelava quase respeitoso demais e talvez muito consciente da diferença hierárquica entre ambos.

Uma comissária de bordo entrou na cabine com as refeições e perguntou:

“Tudo bem?”

Animado, Bonin respondeu: “Tutto bene!”

Dubois não disse nada. Aparentemente estava com fones de ouvido, escutando ópera num aparelho portátil. Dirigindo-se a ele, a comissária perguntou:

“E você? Tudo bem?”

“Como?”, disse Dubois.

“Tudo bem? Quer café, chá?”

“Tudo bem”, ele respondeu.

Dubois passou o aparelho de som para Bonin, para que ele ouvisse a ópera. Bonin não disse: “Obrigado, agora não, estamos voando com o piloto automático, mas sou o responsável pelo comando”, ou: “Não, obrigado, não estou interessado na música da sua acompanhante.” Pôs os auriculares, ouviu por alguns minutos e exclamou: “Só falta mesmo o uísque!”

A ópera acabou ali. Dubois indicou uma linha no mapa eletrônico e disse: “Esse aqui é o Equador.”

“Sei.”

“Acho que você compreendeu.”

Bonin não disse: “Olhe, comandante Dubois. Já voei cinco vezes para a América do Sul.” Em vez disso: “Pensei…”

Dubois disse: “Gosto de saber para onde estamos indo.”

Bonin concordou, dizendo: “É isso aí.”

Chegou de Paris uma informação meteorológica dos operadores, acompanhada de imagens da linha de temporais que se desenvolvia à frente. Nenhum dos pilotos a mencionou, mas comentários posteriores sugerem que Bonin estava ficando nervoso. Dubois então semeou a confusão ao responder a um chamado dos controladores de tráfego aéreo dirigido a outro voo da Air France. Insistiu em retorquir, apesar das débeis tentativas de Bonin em lhe dizer que se enganara.

Depois de alguns minutos, o controlador simpaticamente desfez a confusão e deu ao voo 447 uma nova frequência. Problemas semelhantes surgiram mais adiante com relação aos pontos de notificação compulsórios de sobrevoo e frequências, porém Bonin não interveio. As conversas na cabine eram pouco relevantes, em geral sobre o plano de voo. O avião sobrevoou o porto de Natal e se dirigiu para o mar.

Dubois disse: “Não fomos incomodados pelos temporais, não é?” Essa poderia ter sido uma oportunidade para Bonin expressar sua incerteza acerca das condições climáticas à frente, mas nesse momento a porta se abriu e uma comissária de bordo entrou, pedindo que reduzissem a temperatura do porão de carga, pois ela trazia carne em sua bagagem. Bonin baixou a temperatura. Quinze minutos depois, uma comissária ligou para informar que os passageiros na parte traseira do avião estavam sentindo frio. Bonin mencionou a carne.

Às 22h30, o avião já havia se afastado bastante da costa, escapando ao alcance do radar do controle de tráfego aéreo. Dubois contatou o controle oceânico brasileiro, conhecido como “Atlântico”. Indicou sua posição e as estimativas de tempo de voo para atingir os dois pontos de referência mais adiante. O controlador agradeceu e o instruiu a manter a altitude de 10 700 metros. Bonin disse: “Muito bem, lá vamos nós.” Dubois falou: “Wilco”. [1]  O controlador respondeu: “Obrigado.” Foi a última troca de palavras com os operadores em terra.

Bonin estava ansioso para atravessar a Zona de Convergência Intertropical numa altitude mais elevada, se possível acima das nuvens, a fim de se manter a salvo das turbulências. Preocupou-o que Dubois aceitasse a altitude recomendada. Ele disse: “Mas não devemos demorar para pedir que nos deixem subir mais.” Dubois respondeu: “Está bem”, porém não fez o pedido.

A seu juízo, não havia nada de excepcional na Zona de Convergência naquela noite: talvez encontrassem alguma turbulência durante a travessia, mas os sistemas mais violentos poderiam ser evitados com o uso do radar meteorológico do avião, que lhes permitiria, como sempre, ziguezaguear entre as tempestades mais intensas. Além disso, não havia nenhuma razão para crer que, voando um pouco mais alto, eles encontrariam condições substancialmente diferentes. Por fim, cumpria notar que a próxima altitude padrão na rota que seguiam correspondia a 11 300 metros, o “máximo recomendado” (ou REC MAX), conforme o mostrador de navegação.

Tratava-se de uma altitude em que, nas condições da época, as margens de desempenho seriam estreitas porque o avião estaria voando numa velocidade relativamente baixa e prestes a sofrer uma perda de sustentação aerodinâmica (estol). O procedimento de praxe na Air France consistia em preservar maiores margens, evitando que se voasse na altitude máxima. Ambos os pilotos sabiam disso. Um dos mistérios insondáveis do voo 447 é por que Bonin continuava a querer subir mais.

Do lado de fora, a escuridão era total. Bonin viu a primeira tempestade no radar, talvez uns 320 quilômetros adiante, e disse: “Tem um troço bem na nossa frente.” Dubois limitou-se a responder: “É, eu também vi.” E deixou o assunto morrer. Um minuto depois ele comentou sobre a temperatura externa, que era bastante fria naquela altitude, ainda que 12 graus Celsius mais alta do que o normal. Bonin disse: “É, isso mesmo, de outro modo teríamos… estaríamos numa altitude de cruzeiro bem mais alta.” Dubois disse: “Ah, é…”

Dubois estava lendo uma revista. Desviou a conversa para um artigo sobre paraísos fiscais. Bonin tentou se mostrar igualmente despreocupado. Às 22h45, disse: “Estamos cruzando o Equador. Sentiu o solavanco?”

“O quê?”

“Sentiu o solavanco?”

“Ah. Porra, não.”

“Bem, cá estamos.”

Não havia solavancos, a noite continuava calma à medida que o avião se aproximava da zona turbulenta. Dubois disse: “Bem, simplesmente vamos tomar as medidas necessárias.” Foi o comentário mais próximo de uma ordem que ele chegou a dar a Bonin. O piloto baixou a luz da cabine e ligou as luzes de aterrissagem para iluminar o lado de fora. Penetraram uma camada de nuvens. Dubois respondeu à chamada de uma comissária de bordo que lhe disse estar assumindo o turno da noite, caso ele precisasse de alguma coisa. Ele retrucou com uma frase carinhosa: “Tudo bem, querida”, e encerrou a chamada.

Embora o radar houvesse registrado tempestades à frente, não se via nenhum relâmpago. Eles atravessavam uma área de turbulência discreta, ainda sem necessidade de se desviar da rota direta. Bonin disse: “Seria bom subir, não?” Dubois respondeu: “Se houver turbulência.” Ele tinha em mente uma forte turbulência, que registros posteriores revelaram não ter sido nunca encontrada. Referindo-se às regras relativas a aeroportos passíveis de serem usados numa emergência, ele disse: “Estamos entrando na zona Etops, ^[2] a zona da morte.” E Bonin respondeu: “É isso mesmo.”

O avião estava acumulando carga estática, causando estalidos nos rádios. Bonin teve a impressão de que estavam voando perto do topo das nuvens. Mais uma vez sugeriu que subissem. “Será que podemos pedir um 3-6 (36 mil pés) fora dos padrões? Estamos mesmo no topo. Até essa altitude seria boa.” Dubois, de forma pouco usual, respondeu sem qualquer ambiguidade: “Vamos esperar um pouco, ver se isso passa.” As luzes espectrais do fogo de santelmo dançavam diante das janelas da cabine.

Com mau tempo à frente e um jovem copiloto ansioso no comando, Dubois decidiu que era hora de tirar uma soneca. O principal investigador francês, Alain Bouillard, mais tarde me disse: “Com sua experiência, se o capitão tivesse adiado seu sono por quinze minutinhos e permanecesse em seu posto durante a travessia da Zona de Convergência Intertropical, talvez a história tivesse terminado de outra forma. Mas não acredito que tenha se afastado por cansaço. Foi mais um comportamento rotineiro, parte da cultura da Air France. E o fato de haver saído da cabine não contrariou as regras. Mesmo assim, foi inusual. Se você é o responsável pelo resultado final, não tira férias durante o evento principal.”

Pouco antes das 23h, hora do Rio, Dubois aumentou a iluminação da cabine, limitando sua visão do exterior, e tocou a campainha do compartimento de repouso da tripulação, um pequeno espaço na parte posterior da cabine onde havia dois leitos. O segundo copiloto, que cochilava, bateu na parede divisória em resposta. Era David Robert, de 37 anos, outra cria da casa, porém com mais do dobro da experiência de voo de Bonin – dos dois, era o mais experiente e mais antigo na empresa. Robert se formara na École Nationale de l’Aviation Civile (Enac), uma das instituições de elite conhecidas como as “Grandes Écoles”, e recentemente migrara para os níveis executivos da companhia, onde agora tinha um cargo de gerência no centro de operações. Optara por fazer aquela viagem a fim de manter sua qualificação como piloto. Aquele voo era sua primeira missão em três meses. Após ser chamado, chegou à cabine em dois minutos.

Na curta história da segurança das linhas aéreas, as transformações mais importantes ocorreram nos anos 50, com os aviões a jato, bem mais confiáveis e fáceis de pilotar que os gigantescos e complexos aviões com motores a pistão que os precederam. Nas duas décadas seguintes, à medida que crescia a frota mundial de jatos, avanços na área de engenharia praticamente eliminaram vários tipos de acidentes associados a falhas mecânicas e fenômenos meteorológicos. Os aperfeiçoamentos em matéria de segurança foram impressionantes, abrindo caminho para as viagens aéreas como as conhecemos hoje.

Mas na década de 70 surgiu uma nova realidade. Embora a taxa de acidentes houvesse caído, os desastres que ainda ocorriam eram causados quase exclusivamente pelos pilotos – aquelas pessoas, muitas ainda em posição de comando, que haviam adquirido uma reputação quase heroica por, no passado, terem superado tanto as falhas mecânicas como as causadas pelo mau tempo. Os erros de pilotagem eram um problema reconhecido havia muito, mas, depois dos jatos, foi como se uma cebola houvesse sido descascada para revelar um núcleo inesperadamente imperfeito. O problema era de caráter global.

Na Europa e nos Estados Unidos, um pequeno número de especialistas passou a se ocupar da questão – pesquisadores, funcionários das agências reguladoras, investigadores de acidentes, pilotos de prova e engenheiros. Foi um momento nefasto para os pilotos de companhias aéreas, que então começavam uma vã batalha defensiva, ainda em curso, contra a inexorável redução dos salários e do prestígio de que gozavam – consequência dos próprios avanços tecnológicos que haviam tornado os voos mais seguros. Em termos simples, os dias de glória dos pilotos estavam chegando ao fim e, por mais que isso fosse um infortúnio para eles, para os passageiros se comprovou uma coisa boa.

No final da década de 70, um pequeno grupo de pesquisadores de uma unidade da National Aeronautics and Space Administration (Nasa), Administração Nacional da Aeronáutica e do Espaço, em Mountain View, Califórnia, deu início a uma avaliação sistemática do desempenho dos pilotos de companhias aéreas. Um deles era John Lauber, um jovem pesquisador na área de psicologia e piloto privado, que mais tarde serviu por dez anos como membro da National Transportation Safety Board e depois chefiou a divisão de segurança da Airbus na França. Como parte de seu trabalho na Nasa, Lauber passou muitos anos viajando nas cabines de aviões das companhias aéreas, observando as operações e tomando notas.

Naquela época, a maioria das tripulações incluía um engenheiro de voo, que se sentava atrás dos pilotos e operava os sistemas elétricos e mecânicos da aeronave. Lauber descobriu uma cultura dominada por comandantes autoritários, muitos deles reacionários ríspidos que não admitiam a interferência de seus subordinados mais moços. Naquelas cabines, os copilotos tinham sorte se vez por outra lhes era dada a oportunidade de pilotar. Certa ocasião, Lauber entrou na cabine de um Boeing 727 antes que o comandante chegasse, e o engenheiro de voo lhe disse: “Você já deve ter estado numa cabine de comando.”

“Sim, claro.”

“Mas talvez não saiba que eu sou o consultor sexual do comandante.”

“Como assim?”

“É, porque sempre que falo alguma coisa, ele diz: ‘Se eu quiser a porra do seu conselho, eu peço.’”

Na Pan American World Airways, outrora a principal companhia aérea norte-americana, tais comandantes eram conhecidos como “Clipper Skippers”, uma referência aos capitães dos hidroplanos da década de 30. A Nasa convenceu a empresa a lhe emprestar um simulador com todos os movimentos, no aeroporto de São Francisco, a fim de conduzir uma experiência com vinte tripulações do Boeing 747 que se ofereceram voluntariamente. Cenário: um voo transatlântico rotineiro sai do Aeroporto Internacional John F. Kennedy, em Nova York; surgem várias dificuldades e o avião precisa retornar ao aeroporto de origem. Tudo havia sido planejado pelo médico e piloto inglês Hugh Patrick Ruffell Smith, um sujeito de jeitão reservado que morreu alguns anos depois e é ainda reverenciado por haver reformado as operações das linhas aéreas em todo o mundo, salvando incontáveis vidas. John Lauber participava ativamente da experiência. Os testes no simulador procuravam ser tão realistas quanto possível, incluindo café de má qualidade e interrupções de comissários de bordo.

Lauber me contou que, na Pan Am, alguns gerentes de operação acreditavam que a simulação fosse fácil demais. “Eles disseram: ‘Olha, esses caras foram treinados. Vocês não vão descobrir nada de interessante.’ Pois bem, observamos um bocado de coisas interessantes. Que não tinham tanto a ver com a capacidade física dos pilotos – a habilidade ‘de pé e mão’ no jargão aeronáutico – ou o domínio dos procedimentos de emergência. Pelo contrário, tudo tinha a ver com o gerenciamento da carga de trabalho e as comunicações internas. A certeza de que o engenheiro de voo estava fazendo o que um engenheiro de voo precisa fazer, que o copiloto estava operando os rádios, que o comandante estava delegando tais tarefas para tomar as decisões certas.”

Tudo dependia dos comandantes. Alguns eram líderes por natureza – e suas tripulações se saíram bem. A maioria, contudo, era composta de Clipper Skippers, cujas tripulações se desorganizaram sob pressão e cometeram graves erros. Ruffell Smith publicou os resultados em janeiro de 1979, num ensaio que exerceu grande influência, o “Nasa Technical Memorandum 78482”. Em resumo, afirmava que o trabalho de equipe é mais importante que a competência individual dos pilotos. Isso ia de encontro a uma longa tradição nos meios aeronáuticos, porém correspondia de perto aos achados de outro grupo da Nasa, que realizara um estudo cuidadoso de acidentes recentes e chegara à conclusão de que, em quase todos os casos, a culpa era da falta de comunicação na cabine de comando.

As companhias aéreas se mostraram receptivas às conclusões da pesquisa. Em 1979, a Nasa realizou um seminário sobre o assunto em São Francisco, ao qual compareceram os chefes dos departamentos de treinamento do mundo inteiro. Para descrever a nova abordagem, Lauber inventou uma expressão que pegou: Gerenciamento dos Recursos da Cabine de Comando – Cockpit Resource Management ou CRM, uma abreviação cujo sentido foi mais tarde ampliado para Crew Resource Management, ou Gerenciamento de Recursos da Tripulação.

A ideia consistia em criar uma cultura menos autoritária na cabine, preservando a hierarquia, mas encorajando o espírito de colaboração durante o voo – os copilotos (agora denominados “primeiros oficiais”) passariam a controlar o aparelho e poderiam expressar suas opiniões, questionando os capitães caso entendessem que estava sendo cometido algum erro. Por seu lado, esperava-se que os comandantes admitissem sua falibilidade, buscassem aconselhamento, delegassem funções e comunicassem seus planos e reflexões.

Como parte do esquema, modificou-se o uso dos simuladores – menos esforço seria gasto no aprimoramento das habilidades de pilotagem, e maior ênfase seria dada ao trabalho de equipe. Isso ficou conhecido como Line-Oriented Flight Training (Loft), ou Treinamento de Voo em Linha. Como era de esperar, as novas ideias encontraram resistência por parte dos pilotos veteranos, muitos dos quais comentavam com desdém as conclusões da Nasa – não passavam de baboseira psicológica, com seus seminários que mais pareciam cursos para debutantes. Como nos velhos tempos, eles insistiam que era a competência e a autoridade deles que asseguravam a vida dos passageiros. Entretanto, pouco a pouco muitos desses pilotos se aposentaram ou foram obrigados a mudar, de modo que, na década de 90, tanto o CRM quanto o Loft haviam se transformado no padrão aplicado globalmente, ainda que de forma imperfeita.

Conquanto seja difícil quantificar o efeito sobre a segurança, uma vez que tais inovações estão intimamente associadas a outras que contribuíram para melhorar os resultados, o êxito do CRM foi tão evidente que o método migrou para outras áreas, inclusive a medicina: os cirurgiões, como os pilotos, já não são mais os pequenos deuses que um dia foram.

Na aviação, a alteração foi profunda. O treinamento mudou, os copilotos ganharam poder e a importância da capacidade individual dos aviadores foi implicitamente reduzida. Todavia, o ponto mais importante que se aplica ao caso do Air France 447 reside no próprio desenho da cabine do Airbus, como no de todos os Boeings modernos, que pressupõe uma comunicação clara e um bom trabalho de equipe. Quando esses elementos não estão presentes, uma crise pode se transformar rapidamente em catástrofe.

Os princípios do CRM, oriundos dos Estados Unidos, adaptam-se facilmente à cultura de países anglo-saxões. Mais problemática foi sua aceitação em certas nações asiáticas, onde ele fere as tradições de hierarquia e respeito pelos mais idosos. Um caso notório ocorreu em 1997, quando o Boeing 747 da Korean Air se chocou contra um morro numa noite escura ao se aproximar da ilha de Guam. Um respeitadíssimo comandante resolveu descer antes do tempo, e nem o copiloto nem o engenheiro de voo manifestaram com a devida ênfase suas preocupações, embora soubessem que ele estava cometendo um erro. Em consequência do impacto, 228 pessoas morreram. Comportamentos semelhantes estiveram presentes em outros acidentes na Ásia.

E na Air France? A julgar pela dinâmica da cabine antes da queda do voo 447, a disciplina igualitária da Nasa havia se deteriorado, dando origem a um estilo complacente em que copilotos não só se dirigem ao capitão dispensando o tratamento de “senhor”, como alguns comandantes se sentem autorizados a fazer o que bem entendem. Esse sentimento não surge do nada, faz parte do contexto cultural de um país orgulhoso que se tornou crescentemente inseguro.

Um alto executivo da Airbus mencionou que, na Grã-Bretanha e nos Estados Unidos, membros da elite não escolhem ser pilotos de linhas aéreas, enquanto na França, como em países menos desenvolvidos, isso ainda acontece. Essa circunstância faz com que seja difícil administrá-los. Bernard Ziegler, o visionário piloto de provas e engenheiro francês que está por trás do desenho do Airbus, certa vez me disse que “primeiro é preciso entender a mentalidade”.

“Você realmente acha que eles são tão arrogantes?”, perguntei.

“Alguns, sim. E têm o defeito de serem muito bem pagos”, ele respondeu.

“Então não deve haver problema nos Estados Unidos!”

Mas Ziegler não estava para brincadeiras. “Em segundo lugar, a posição do sindicato é de que os pilotos são sempre perfeitos. Pilotos em atividade e também pilotos mortos.”

No caso do Air France 447, o sindicato chegou a sugerir que era imoral acusar os pilotos porque eles não teriam condições de se defender. Por incrível que pareça, essa opinião é tão enraizada que até mesmo algumas famílias de vítimas do desastre se alinharam a ela.

Em 1953, quando uma tripulação da Air France atirou um Constellation em perfeito estado contra uma montanha durante uma descida rotineira em Nice, o pai de Ziegler, que era gerente geral da companhia, acompanhou o chefe dos pilotos numa audiência com o primeiro-ministro francês. O primeiro-ministro abriu a conversa perguntando: “O que o seu piloto fez de errado?” Ao que o chefe dos pilotos retrucou: “Monsieur, o piloto nunca está errado.”

Ziegler sorriu ironicamente. Ele é tão franco que durante algum tempo necessitou de proteção policial. Estava construindo aviões tão dóceis, declarou certa vez, que até mesmo o concierge de seu prédio era capaz de pilotá-los. Conversamos logo depois da queda do Air France 447, antes da recuperação das caixas-pretas. A França é um grande país no campo da aviação. E Ziegler é um patriota. Mas de visão moderna. Desenhou as mais avançadas aeronaves construídas até hoje. Sustentava que, na Air France, a cultura dos pilotos não evoluíra.

Na noite de 31 de maio de 2009, os pilotos do voo 447 certamente não prestaram um bom serviço a seus passageiros. Depois que o capitão Dubois deixou a cabine para tirar uma soneca, Robert, o copiloto mais graduado, sentou-se à esquerda, servindo como piloto assistente. Bonin, à direita, continuava encarregado das tarefas básicas. Em regime de piloto automático, o avião mantinha a velocidade de 0,82 Mach e seguia rumo a Paris a 10 700 metros de altitude, encontrando vento de proa enquanto o nariz exibia uma elevação de 2 graus e as asas um ângulo positivo de 3 graus – o importantíssimo ângulo de ataque que garante a sustentação da aeronave.

À medida que aumenta o ângulo de ataque, aumenta também a eficiência da sustentação – porém até o ponto em que o ângulo se torna muito íngreme e o ar que vem de encontro ao avião não consegue mais fluir suavemente por cima das asas. Nesse ponto, o aparelho estola. O fenômeno ocorre com todo e qualquer avião, não tem nada a ver com os motores. Quando estola, a aeronave perde sustentação e suas asas passam a cortar o céu com uma enorme resistência ao avanço, impossível de ser superada pelo impulso dos motores. O avião inicia uma forte queda com o nariz para cima, frequentemente acompanhada da dificuldade em controlar os movimentos laterais. A única solução consiste em reduzir o ângulo de ataque baixando o nariz e mergulhando. Essa é uma manobra que, embora conflitante com a intuição, é essencial para quem pilota. A recuperação exige a disponibilidade de altitude suficiente, mas em regime de cruzeiro isso é coisa que não falta.

Como é comum com aviões em altitudes elevadas, o Air France 447 estava voando bem perto de um ângulo de ataque problemático. Se estivessem 3 graus mais inclinados, a 5 graus teria soado um alarme na cabine; com um ângulo de ataque de 10 graus, teoricamente, o aparelho estolaria. O último parâmetro é teórico, porque no A330, sujeito ao abrangente regime de automação conhecido como Normal Law, o sistema de controle de voo intervém a fim de evitar o estol: ele baixa o nariz e aumenta a potência dos motores independentemente da ação dos pilotos. Tais intervenções automáticas são extremamente raras. A maioria dos pilotos passa a vida sem tomar conhecimento delas – a menos que algo muito grave afete sua capacidade de julgamento.

Algo de muito grave ocorreu naquela ocasião, mas por enquanto estava tudo bem. Diante de cada piloto havia duas telas planas alimentadas por fontes independentes. Para um observador leigo, o mais fácil de compreender eram os monitores dos computadores de navegação – mapas em constante atualização que indicam a direção do voo, a rota, pontos de referência e velocidade com relação ao solo, além das informações do radar meteorológico.

Mas o mais importante eram as telas com os dados básicos do voo, cada qual contendo uma representação simbólica da aeronave em relação à linha do horizonte – mostrando a inclinação longitudinal (nariz para cima ou para baixo) e a inclinação lateral (asas horizontais ou não), além da direção do voo, altitude, velocidade aerodinâmica e razões de subida ou descida. Uma terceira tela, de reserva, reportava as mesmas informações, mas em menor escala. É com base nessas maravilhas de apresentação gráfica de dados que os pilotos mantêm o controle enquanto pilotam à noite ou em meio a nuvens, ocasiões em que o verdadeiro horizonte não pode ser vislumbrado.

Depois que Dubois aumentou a intensidade das luzes da cabine, não se enxergava nada do lado de fora. O avião penetrou em outra camada de nuvens e balançou devido a uma leve turbulência. Na cabine de passageiros, os sinais de afivelar os cintos de segurança estavam acesos. Bonin chamou a comissária que ficava na parte da frente e disse: “Sim, Maryline, é Pierre aqui da cabine de comando. Escute, dentro de dois minutos devemos entrar numa área onde vai começar a balançar mais do que até agora.” Ele aconselhou a tripulação a se acomodar em seus assentos e terminou dizendo: “Vou te avisar quando sairmos.” Na verdade, não chegou a ter tempo.

A turbulência aumentou ligeiramente. Bonin continuou a lamentar a impossibilidade de subir mais. Mencionou de novo a temperatura extraordinariamente alta do lado de fora: “Treze graus, acima do normal.” E depois: “Putain la vache. Putain!”, que pode ser traduzido por: “Puta que pariu. Que merda!” Não havia nenhuma razão especial para esse desabafo. Ele estava ansioso. Prosseguiu: “Estamos realmente no topo da camada de nuvens. É muito ruim. Tenho certeza de que com 36 mil pés fora dos padrões seria melhor…”

Robert não respondeu. Ele estava observando a tela de navegação, que mostrava uma tempestade bem à frente. “Você não quer ir um pouco para a esquerda?”, ele sugeriu. Bonin disse: “Como assim?” Robert disse: “Talvez você pudesse se desviar um pouco para a esquerda.” A frase já soava mais como uma ordem. Bonin selecionou uma direção 20 graus à esquerda e o avião obedientemente tomou o novo rumo. A troca de palavras foi o primeiro passo para uma confusa troca de poder, graças à qual Bonin começou a aceitar a autoridade de Robert, embora sem fazê-lo de modo completo.

Ao penetrarem uma área em que as condições meteorológicas eram piores, a cabine foi tomada pelo martelar surdo dos cristais de gelo contra os vidros. Bonin reduziu a velocidade do avião selecionando a marca de 0,80 Mach. Robert aprovou com um: “Não custa nada”, equivalente a um sacudir de ombros verbal. Os aceleradores automáticos reagiram reduzindo a potência. O ângulo de ataque aumentou ligeiramente. A turbulência variava de leve a ocasionalmente moderada. O ruído dos cristais de gelo prosseguiu.

Sem que os pilotos soubessem, os cristais de gelo começavam a se acumular dentro das três sondas de pressão atmosférica do aparelho – conhecidas como tubos de Pitot –, montadas sob o nariz. Sabia-se que ocorria o entupimento daquele tipo específico de tubo em certos modelos do Airbus e, embora tivesse sucedido raras vezes em altitudes elevadas, isso nunca havia provocado um acidente. Mas o problema fora considerado suficientemente sério a ponto de a Air France ter decidido substituí-los por tubos com um desenho aperfeiçoado, além de ter alertado os pilotos. A primeira leva de sondas a serem trocadas havia acabado de desembarcar em Paris e se encontrava num depósito esperando a instalação.

Para o voo 447, chegavam tarde demais: os tubos entupiram rapidamente. E, por isso, pouco depois das 23h10 todos os três indicadores de velocidade aerodinâmica da cabine falharam, atingindo valores impossivelmente baixos. Também por conta do entupimento, embora sem maior importância, as indicações de altitude caíram, mostrando erroneamente 110 metros. Nenhum dos pilotos teve tempo de prestar atenção a esses indicadores antes que o piloto automático, reagindo à perda de informações válidas sobre a velocidade aerodinâmica, se desligasse do sistema de controle e fizesse soar o primeiro de muitos alarmes – uma verdadeira “carga de cavalaria” eletrônica.

Por razões similares, os aceleradores automáticos mudaram de regime, fixando-se no empuxo atual, enquanto o sistema de controle eletrônico, que necessita dos dados sobre a velocidade a fim de funcionar à plena capacidade, se reconfigurou, passando da Normal Law para um regime de menor nível de proteção chamado Alternative Law. Com isso, eliminou-se a proteção contra o estol e se alterou a natureza do controle sobre os movimentos de rotação, de modo que, nesse aspecto, o A330 passava agora a ser comandado como uma aeronave convencional. Tudo isso, além de necessário, constituía uma reação mínima e lógica do equipamento.

Assim, a situação naquele momento era a seguinte: o avião prosseguia em regime de cruzeiro, avançando em linha reta sem subir ou descer, com a potência das turbinas fixa e sem automatismo a fim de garantir uma velocidade tranquila de 0,80 Mach. A turbulência era tão leve que se podia caminhar nos corredores, embora com certa instabilidade. Exceto pela pequena redução no indicador de altitude, a única falha substancial residia nos indicadores de velocidade aerodinâmica – e mesmo assim a velocidade real da aeronave não havia sido realmente afetada. Não havia nenhuma crise. O episódio era irrelevante e não duraria muito tempo. O avião estava sob o controle manual dos pilotos e, caso eles não tivessem feito nada, isso seria tudo que precisavam fazer.

Naturalmente, eles ficaram surpresos. De início, entenderam apenas que o piloto automático fora desligado. Uma leve turbulência fez o avião se inclinar um pouco. Bonin pegou, à direita, a alavanca denominada side-stick, que tem como função a pilotagem manual, parecida com a usada em jogos eletrônicos. Ele disse: “Assumi os controles!” E Robert respondeu: “O.k.” Soou um alerta, que consistia num acorde em dó, porque as indicações de altitude haviam se desviado da marca selecionada no painel, de 10 700 metros.

É provável que Bonin estivesse apertando demais o side-stick: a caixa-preta, que registra seus movimentos, mostrou mais tarde que desde o início ele estava fazendo movimentos exagerados, tentando nivelar as asas, mas utilizando gestos bruscos como um motorista em pânico que busca controlar o carro numa derrapagem. Isso fez com que o avião oscilasse para a esquerda e para a direita, possivelmente devido à pouca familiaridade de Bonin em manobrar o Airbus sob o regime da Alternative Law, sobretudo numa altitude elevada em que as características normais dos movimentos de rolagem se alteram. Fosse ele mais experiente, poderia ter aliviado a pressão no stick usando apenas as pontas dos dedos, com o que a aeronave se estabilizaria. Os registros revelam que ele nunca fez isso.

Mas o pior – muito pior – foi o que Bonin fez no sentido vertical: ele puxou o stick para trás. No começo, essa pode ter sido uma reação impulsiva diante da falsa indicação da pequena queda de altitude. Porém, Bonin não apenas o moveu para trás, mas lhe deu um puxão que o fez recuar três quartos da deflexão possível, continuando ainda a puxá-lo depois. Alain Bouillard, o investigador francês, equiparou sua reação ao gesto instintivo de quem assume a posição fetal. A aeronave reagiu com uma subida insustentável, provocando a redução da velocidade e o aumento do ângulo de ataque.

Seis segundos depois que Bonin assumiu os controles, com o alerta de altitude em dó maior soando na cabine, ouviu-se um breve aviso de perda de sustentação: uma voz mecânica de homem disse uma vez ESTOL, em alto e bom som. O alerta em dó maior recomeçou. Robert perguntou: “O que foi isso?” O avião respondeu: ESTOL, ESTOL, ESTOL, e o alerta em dó maior voltou a soar. Nenhum dos pilotos compreendeu a mensagem. O ângulo de ataque subira para 5 graus e as asas ainda se comportavam bem, embora houvesse chegado a hora de fazer algo com relação aos alertas. Bonin disse: “Não temos uma boa indicação de… velocidade!” E Robert concordou, dizendo: “Perdemos as velocidades!”

Ao se darem conta de que as indicações de velocidade aerodinâmica haviam deixado de operar, o problema deveria estar resolvido. Conquanto Bonin houvesse manipulado freneticamente os controles, os dois tinham avaliado de modo correto a falha onze segundos depois que ela ocorreu, tão rápido quanto seria de esperar. O nariz estava elevado em 11 graus, uma inclinação excessiva em grande altitude, mas não necessariamente extrema.

A solução era simples e fundamental para quem pilotava o aparelho. Bonin só precisava baixar o nariz até reposicioná-lo na inclinação normal de cruzeiro – próxima da linha do horizonte – e não alterar a potência. O avião retomaria o voo de cruzeiro na mesma velocidade em que voara até então, mesmo se, no momento, aquela velocidade não pudesse ser conhecida.

Mas Bonin continuou a puxar a alavanca para trás, empinando nervosamente o nariz ainda mais. Será que ele ansiava pelo céu limpo que acreditava estar logo acima? Será que estaria pensando no procedimento de emergência “velocidade aerodinâmica não confiável” que só é recomendado para baixas altitudes, onde há grande disponibilidade de potência nas turbinas e a maior preocupação consiste em evitar o choque com o solo? Terá suposto que o avião voava rápido demais? Os indícios encontrados posteriormente indicariam que ele talvez tivesse pensado isso, mas, nesse caso, por quê?

Mesmo que ele não tivesse ouvido o anúncio de estol, ele estava mantendo o nariz apontado para cima – a potência disponível era insuficiente e, com ou sem indicações válidas, o voo em alta velocidade naquelas condições era fisicamente impossível. Um conceituado projetista de cabine da Boeing – ele próprio piloto – certa vez me disse: “Não existem maus pilotos. Existem pilotos medianos que têm maus dias.” Afirmou que esse princípio está na base do desenho das cabines dos Boeings. Mas, se Bonin era um piloto mediano, o que dizer dessa média?

Ao menos uma resposta é dada pelo homem à sua esquerda. Depois que concordou que as indicações de velocidade aerodinâmica tinham sido perdidas, Robert desviou a vista das principais telas que exibiam as informações sobre o voo, abandonando assim seu papel fundamental como piloto assistente – que, segundo as normas do CRM, consistia em monitorar as ações de Bonin. Em vez disso, começou a ler em voz alta os dizeres de uma tela de mensagens que lista certas condições do sistema e, em alguns casos, oferece conselhos sumários acerca dos procedimentos.

Naquele momento, o conselho era irrelevante para a situação, mas levou Bonin a anular a instrução anterior para que a potência fosse mantida inalterada, com o que as turbinas automaticamente aceleraram para alcançar o empuxo máximo. Foi a primeira de uma série de alterações para mais e para menos na potência das turbinas, complicando o quadro para os pilotos e certamente despertando a atenção de alguns passageiros.

Robert continuou a ler o que aparecia na tela de mensagens e disse em voz alta: “Alternative Law. Alternative. Proteções desligadas.” Isso pelo menos era relevante. Significava que as asas poderiam perder sustentação e que os alertas precisavam ser obedecidos. No entanto, não é claro que Robert tenha processado suas próprias palavras ou que Bonin as tenha ouvido.

Robert disse: “Espere, estamos perdendo…” Parou. Vinte segundos haviam se passado desde a perda das indicações de velocidade. Estavam subindo através do ar rarefeito a 11 mil metros de altitude e vinham perdendo velocidade. O nariz estava elevado num ângulo de 12 graus.

Robert olhou de novo para os principais indicadores de voo e comentou: “Preste atenção na sua velocidade! Preste atenção na sua velocidade!” Com isso talvez desejasse se referir ao ângulo de subida, pois as indicações de velocidade continuavam obviamente inválidas. Bonin deve ter entendido assim, porque respondeu: “O.k., estou descendo!” Baixou o nariz, mas apenas em meio grau. O avião continuou a subir.

Robert disse: “Estabilize!”

Bonin disse: “Está bem!”

“Desça!”, continuou Robert apontando para um medidor da taxa de subida ou de altitude. “Pelo que aparece aqui, estamos subindo! De acordo com todos os três, você está subindo! Desça!”

“Está bem!”

“Você está… Desça!”

Não cabe aqui uma longa explanação sobre o sistema de controle do Airbus, que é criticado pela Boeing. No entanto, se ele contém um erro de projeto, o problema está em que as alavancas de controle do piloto e do copiloto não são mecanicamente interligadas e não se movem de modo simultâneo. Isso quer dizer que, quando o piloto no comando move sua alavanca, a outra permanece estacionária na posição neutra. Caso ambos movimentem seus sticks ao mesmo tempo, soa um aviso de DUPLA ENTRADA, e o avião reage somando os valores de ambos os comandos efetuados pelos pilotos.

A fim de evitar que isso cause algum problema na hipótese de que uma alavanca fique emperrada, cada uma delas possui um botão de prioridade que torna a outra inoperante e permite o controle total. Esse arranjo depende de uma comunicação eficaz e de um bom trabalho de equipe para funcionar como previsto. Na verdade, representa um caso extremo de fortalecimento do poder do copiloto e de aceitação dos princípios do CRM no desenho da cabine. Naquele momento, essa falta de interligação não permitiu que Robert sentisse os movimentos descoordenados de Bonin.

Bonin empurrou a alavanca para a frente e o nariz baixou, mas um pouco rápido demais para o gosto de Robert, reduzindo o fator de carga para a constante gravitacional 0,7 G, que é um terço da aceleração vertical que os faria deixar de sentir o efeito da gravidade. Robert disse: “Devagar!” Aparentemente, só então ele se deu conta de que as turbinas haviam acelerado. “O que é isso?”, perguntou.

Bonin respondeu: “Estamos subindo!” Tudo indica que, nesse momento, um deles pôs os aceleradores na potência mínima, mas seis segundos depois o outro os acionou mais uma vez. Não é claro quem fez o quê, porém é provável que Bonin tivesse optado pela marcha lenta e Robert pela aceleração. Bonin a essa altura havia baixado o nariz para uma inclinação de 6 graus, reduzindo a razão de subida.

Embora estivessem numa situação insustentável, só precisavam baixar o nariz mais alguns graus a fim de voltar à situação inicial. No entanto, por alguma razão Bonin não fez isso e Robert parecia ter esgotado suas ideias. Continuou tentando acordar o comandante Dubois, apertando sem parar o botão que permitia a comunicação com o compartimento de descanso da tripulação situado atrás da cabine. Dizia: “Porra, onde é que ele está?”

Bonin recomeçou a puxar a alavanca para trás, erguendo o nariz 13 graus acima do horizonte. O ângulo de ataque aumentou e, três segundos depois, o avião pôs-se a tremer violentamente devido ao início do estol. Isso ocorre quando o fluxo de ar se modifica para uma situação de turbulência ao passar por cima das asas. À medida que prossegue a perda de sustentação, fica difícil até mesmo ler os indicadores na cabine de comando devido à violenta oscilação.

Levado pela inércia, o avião continuou a subir. Uma comissária de bordo chamou no intercom, aparentemente em resposta a Robert, que talvez a tenha acionado por engano ao tentar acordar o comandante. Ela disse: “Sim?” Como se o violento tremor não fosse suficiente, voltou a soar o alarme, alternando os avisos de ESTOL, ESTOL, ESTOL com um trinado. Os alertas soaram continuamente pelos 54 segundos que se seguiram.

A comissária insistiu: “Sim?”

Robert a ignorou. Talvez tenha se dado conta de que haviam perdido sustentação, porém não afirmou: “Estolamos.” Para Bonin, disse: “Procure manusear o menos possível os controles laterais.” Esse é um detalhe sem importância para a recuperação de um ESTOL, praticamente nada se comparado à necessidade de baixar o nariz.

A comissária disse: “Alô?”

Lutando com os controles, e encontrando uma dificuldade crescente para manter as asas na horizontal, Bonin disse: “Estou em Toga, não?” Toga é o acrônimo para Take Off/Go Around, que se usa para indicar potência máxima. Trata-se de outra manobra menos importante para a recuperação de um estol, especialmente em grande altitude e próximo ao teto operacional de uma aeronave, em que a potência máxima significa na realidade uma pequena capacidade de impulsão. Bonin continuou a levantar o nariz, agora atingindo a elevada marca de 18 graus.

“Porra”, disse Robert, “ele vem ou não vem?”

A comissária disse: “Não responde”, e a chamada foi encerrada com um clique.

A essa altura, os tubos de Pitot haviam descongelado e os indicadores de velocidade tinham voltado a funcionar de modo normal – ainda que Bonin ou Robert não tenham se dado conta disso, em parte por ignorar a velocidade que os mostradores deveriam exibir naquele momento, mas também por aparentemente não terem tido a presença de espírito de compará-la com a velocidade fornecida pelo GPS que constara todo o tempo na tela de navegação.

Durante os doze segundos seguintes nenhum dos dois abriu a boca. Em meio a reiterados alarmes de estol, o avião perdeu a capacidade inercial de subida, atingiu o topo de um arco parabólico a 11 600 metros de altitude e começou a descer com o nariz para cima e as asas num ângulo de ataque de extraordinários 23 graus. Um minuto e dezessete segundos haviam transcorrido desde o começo do problema, o que é um tempo muito longo. A razão de descida cresceu rapidamente para cerca de 1 200 metros por minuto, resultando num aumento ainda maior do ângulo de ataque. A vibração aumentou intensamente.

Dubois por fim bateu na parede da cabine avisando que estava a caminho. Robert continuava a apertar o botão de chamada. Ele disse: “Mas as turbinas continuam a funcionar! Que diabo está acontecendo?” ESTOL. ESTOL. ESTOL. Perguntou: “Você compreende o que está acontecendo ou não?”

Bonin respondeu: “Merda, não controlo mais o avião! Não tenho nenhum controle do avião!” Como a asa direita estava perdendo mais sustentação que a esquerda, a aeronave estava se inclinando naquela direção.

Robert disse: “Controles para a esquerda!” Acionando o botão de prioridade em sua alavanca, ele assumiu o controle do aparelho. Porém, só o manteve por um segundo antes que Bonin, lançando mão de seu próprio botão de prioridade e sem pronunciar uma única palavra, retomasse o controle. Isso fez Robert imaginar que sua alavanca tivesse falhado. Ele disse: “Porra, o que está acontecendo?”

Bonin disse: “Acho que estamos voando incrivelmente rápido.” Com o nariz levantado e pouca potência disponível? Como era possível que ele estivesse tão confuso?

A porta da cabine se abriu e Dubois entrou. Reinava um estado de comoção. Com bastante calma, ele perguntou: “O que está acontecendo?” ESTOL. ESTOL. ESTOL. A cabine balançava fortemente.

Robert não disse: “Perdemos as indicações de velocidade aerodinâmica e esse cara fez o avião subir. Estamos no regime da Alternative Law. Subimos para 11 600 metros e agora estamos descendo.” O que ele disse foi: “Não sei o que está acontecendo.”

Bonin completou: “Estamos perdendo o controle do avião!”

O Airbus passava pela altitude inicial de 10 700 metros. O nariz estava num ângulo de 15 graus e a velocidade de descida era de cerca de 3 mil metros por minuto – e crescia. O ângulo de ataque, embora não indicado nos mostradores da cabine, era de incríveis 41 graus. A asa direita estava irreversivelmente inclinada num ângulo de 32 graus, e o avião se desviava de seu curso, numa trajetória em arco, sobre as trevas do oceano Atlântico.

Robert disse a Dubois: “Perdemos totalmente o controle do avião e não estamos entendendo nada! Tentamos de tudo!”

A confusão de Robert refletiu-se mais tarde na frustração de engenheiros e especialistas em segurança aérea de todo o mundo. O A330 é uma obra-prima em matéria de projeto e um dos aparelhos mais à prova de acidentes construídos até hoje. Como poderia uma breve falha na indicação de velocidade aerodinâmica, em momento não crítico do voo, ter levado aqueles pilotos da Air France a se meterem em tamanha enrascada? E como poderiam não ter compreendido que o avião havia estolado? Paradoxalmente, as raízes do problema parecem residir nos próprios desenhos de cabine que tanto contribuíram para fazer com que as últimas gerações de aviões de carreira sejam tão seguras e fáceis de pilotar.

Isso é tanto verdade para o Boeing quanto para o Airbus, porque, malgrado suas rivalidades e diferenças, ambos os fabricantes desenvolveram soluções similares para as cabines de comando. A primeira foi a eliminação do posto de engenheiro de voo, a despeito das veementes objeções dos sindicatos de pilotos, que alegavam que a segurança estaria comprometida. Isso ocorreu no final da década de 70, no momento em que John Lauber e os pesquisadores da Nasa realizavam seus estudos sistemáticos sobre o desempenho das tripulações aéreas e concebiam a ideia do Gerenciamento dos Recursos da Cabine de Comando (CRM). Nessa época, os diversos sistemas individuais de uma aeronave – motores, combustível, componentes eletrônicos, pressurização, equipamentos hidráulicos etc. – tinham se tornado tão capazes de autorregulação que já não havia necessidade de um terceiro membro da tripulação que cuidasse de controlá-los manualmente.

Naqueles tempos a companhia Airbus era o cavalo azarão, responsável por uma hemorragia de recursos públicos e produzindo aviões que não eram vendidos. A empresa decidiu então fazer uma aposta decisiva com vistas a fabricar os aparelhos mais avançados que pudessem ser projetados. Ignorando o clamor dos sindicatos, começou a impor uma tripulação de duas pessoas no comando de seus modelos, dando origem a uma discussão sobre o valor dos pilotos, retomada sempre que um Airbus sofre algum desastre.

A Boeing, que desenvolvia ao mesmo tempo o 757 e o 767, assumiu uma postura mais branda, mas o desfecho estava praticamente anunciado. O Boeing 737 e o Douglas DC-9 já tinham obtido o certificado para operar com dois pilotos, dispensando o engenheiro de voo. Os sindicatos reconheceram a derrota depois que uma força-tarefa convocada pelo presidente dos Estados Unidos estudou o assunto e concluiu que um terceiro membro da tripulação na cabine de comando, na melhor das hipóteses, não passaria de uma distração.

O problema consistia em desenhar cabines para dois pilotos levando em conta sobretudo os progressos na potência dos microcomputadores, sensores digitais, mostradores de alta visibilidade e novas possibilidades de navegação que podiam se valer de mapas eletrônicos móveis. Os fabricantes se livraram dos painéis eletromecânicos do passado e, com base nas conclusões do trabalho da Nasa, equipararam seus novos aviões com cabines de comando construídas em função dos mostradores de tela plana. Esses novos mostradores ofereciam muitas vantagens, inclusive a capacidade de aliviar o atravancamento da cabine ao consolidar as informações básicas sobre o voo em algumas poucas telas, empregando símbolos aperfeiçoados e ocultando a maior parte das informações remanescentes, que contudo poderiam ser facilmente acessadas. Assim como o CRM, o objetivo consistia em garantir um desempenho melhor e mais consistente dos pilotos – e isso foi alcançado.

A automação faz parte do esquema. Os pilotos automáticos são conhecidos praticamente desde o início da era da aviação e os sistemas de componentes foram introduzidos na década de 60. Todavia, nos atuais desenhos das cabines a automação é centralizada e permite que os sistemas se comuniquem entre si a fim de atuarem como partes de um todo integrado, podendo até mesmo decidir quais informações devem ou não ser prestadas aos pilotos, e quando.

No âmago do sistema estão os computadores gerenciadores de voo, com teclados montados em pedestais centrais. Quase inteiramente pré-programados em terra de acordo com otimizações decididas pelos operadores das companhias, eles controlam os pilotos automáticos ao longo de todas as complexas etapas de cada voo. Em meados da década de 80, muitos aparelhos assim equipados, tanto da Airbus quanto da Boeing, haviam passado a integrar a frota mundial, fazendo com que aos pilotos só coubesse, a maior parte do tempo, a observação do funcionamento dos sistemas.

Em 1987, a Airbus deu novo passo ao introduzir os primeiros aviões pilotados sem ligações mecânicas (fly-by-wire airliners), os relativamente pequenos A320, nos quais os computadores interpretam os movimentos das alavancas dos pilotos antes de alterar as superfícies de controle das asas e da cauda. Todas as aeronaves da Airbus desde então contêm tais sistemas, e a Boeing seguiu o mesmo caminho com seus próprios equipamentos.

Esses aviões são conhecidos como de “quarta geração”, constituindo quase metade da frota global. Desde que foram introduzidos, a taxa de acidentes caiu de modo tão drástico que alguns investigadores do National Transportation Safety Board recentemente se aposentaram por falta de atividade no setor. É de todo impossível questionar o êxito da automação. Os projetistas que a desenvolveram são alguns dos maiores heróis não homenageados de nosso tempo.

Não obstante, os acidentes continuam a ocorrer, e muitos deles agora são causados pela confusão na interface entre o piloto e uma máquina semirrobótica. Especialistas têm alertado sobre isso há anos: a complexidade da automação acarreta efeitos secundários muitas vezes indesejados. Uma das vozes que recomendavam cautela foi a do prestigiado engenheiro Earl Wiener, falecido há pouco, que ensinou na Universidade de Miami. Ele é conhecido por suas “Leis de Wiener”, uma breve lista que elaborou na década de 80. Alguns dos preceitos:

* Todos os dispositivos criam suas próprias oportunidades de erro humano.

* Dispositivos exóticos criam problemas exóticos.

* Dispositivos digitais eliminam pequenos erros, mas criam oportunidades para grandes erros.

* A invenção é a mãe da necessidade.

* Alguns problemas não têm solução.

* Um avião suscita o que há de pior num piloto.

* Sempre que se resolve um problema, em geral cria-se outro: a única esperança é de que o problema criado seja menos crítico do que aquele eliminado.

* Nunca se é rico o bastante ou magro o bastante (duquesa de Windsor), ou cuidadoso o bastante com o que se programa num sistema digital de controle de voo (Wiener).

Wiener destacou o fato de que a automação reduz a carga de trabalho na cabine de comando quando ela já é leve, mas a aumenta quando ela já está alta. Nadine Sarter, engenheira industrial que dá aulas na Universidade de Michigan e é uma das mais renomadas pesquisadoras na área, afirmou o mesmo de forma diferente: “À medida que o nível de automação aumenta, a ajuda prestada também cresce, a carga de trabalho diminui e todos os benefícios esperados são alcançados. No entanto, se por algum motivo a automação falha, paga-se um preço alto. Precisamos pensar se existe um nível em que os consideráveis benefícios da automação podem ser obtidos, mas, caso ocorra algo de errado, o piloto ainda seja capaz de lidar com o problema.”

Sarter vem defendendo essa tese há anos e recentemente participou de um amplo estudo sobre o emprego da automação, conduzido pela Federal Aviation Administration e divulgado no segundo semestre de 2013 – e que chegou às mesmas conclusões. A questão é que, por trás da aparente simplicidade das cabines de comando modernas e da facilidade oferecida pelo controle eletrônico, os esquemas são de fato incrivelmente complexos – tanto mais porque a maior parte das funções permanece oculta. Os pilotos podem experimentar um grau de confusão que jamais seria atingido numa aeronave mais simples.

Quando mencionei a Delmar Fadden – ex-chefe de tecnologia de cabine de comando na Boeing – essa complexidade inerente, ele negou enfaticamente que isso representasse um problema. O mesmo sustentaram os engenheiros com quem falei na Airbus. É fato que os fabricantes de aviões não podem admitir problemas sérios que envolvam seus produtos, dadas as responsabilidades legais que daí decorrem, porém não duvido da sinceridade deles.

Fadden na verdade disse que, uma vez acrescentadas novas capacitações ao sistema da aeronave, em particular ao computador que gerencia o voo, as exigências de certificação tornam incrivelmente onerosas quaisquer tentativas de eliminá-las. E, contudo, caso não sejam eliminadas nem usadas, continuam invisíveis nas profundezas do equipamento. Mas ele só foi até aí.

Sarter tem escrito sobre as “surpresas da automação”, com frequência relacionadas a modos de controle que o piloto não compreende de todo ou que foram acionados automaticamente, talvez com um aviso, mas sem que o piloto dele estivesse consciente. Tais surpresas sem dúvida aumentaram a confusão a bordo do Air France 447. Atualmente, uma das perguntas mais comuns numa cabine é: “O que é que está acontecendo agora?” A frase de Robert – “Não estamos entendendo nada!” – foi uma versão extrema disso. Sarter afirmou: “Temos hoje esse problema sistêmico com a complexidade, e isso não envolve apenas um fabricante. Posso listar dez ou mais incidentes – envolvendo cada fabricante – em que o problema se relacionou com a automação e a confusão. A complexidade significa que temos um grande número de subcomponentes e às vezes eles interagem de modo inesperado. Os pilotos não sabem disso porque não foram confrontados com as condições marginais que estão incorporadas ao sistema.”

E continuou: “Certa vez, numa sala com cinco engenheiros que haviam participado da construção de determinada aeronave, comecei a perguntar: ‘Como é que isso funciona?’ E eles foram incapazes de dar as mesmas respostas. Fiquei pensando que, se aqueles cinco engenheiros não podiam se pôr de acordo, o pobre piloto, caso algum dia se encontrasse naquela situação particular… Bem, boa sorte.”

Nos incidentes simples de automação que preocupam Sarter, os pilotos superestimam seu conhecimento dos sistemas do aparelho e então fazem alguma coisa esperando certo resultado – e logo descobrem que o avião reage de forma diferente e parece ter assumido o controle. Isso é muito mais comum do que os registros indicam, já que são raras as vezes em que tais surpresas provocam acidentes. E apenas os casos mais sérios de falhas de altitude ou transtornos no voo necessitam ser reportados. No Air France 447 houve um componente adicional. O entupimento dos tubos de Pitot sinalizou uma falha que nada tinha de moderna, e a resultante desconexão do piloto automático induziu uma reação também ultrapassada: confie, pois os pilotos irão resolver o problema.

Certamente houve complicações de automação no que se seguiu, e a esse imbróglio podemos acrescentar a decisão de não interligar as alavancas de controle, prevista no desenho do equipamento. Mas, no Air France 447, o problema de automação foi ainda mais sério. Bonin e Robert pilotavam uma aeronave de quarta geração com cabine de telas planas e, ao contrário dos pilotos que pensam saber mais do que sabem, aqueles dois pareciam temer suas complexidades. O Airbus estava reagindo de modo convencional, mas os pilotos, uma vez deparados com uma situação diversa da de um simples e banal voo de cruzeiro, não confiaram na natureza do aparelho. É difícil crer que isso pudesse acontecer com os velhos Clipper Skippers, a turma que leva o avião no pé e na mão. Mas com Bonin e Robert? Foi como se o progresso houvesse obliterado a compreensão elementar da arte de pilotagem que eles possuíam.

O capitão Dubois entrou na cabine de comando um minuto e 38 segundos depois da falha dos tubos de Pitot. Não se sabe se ficou ajoelhado ou de pé atrás de Bonin e Robert, ou mesmo se sentou no assento dobrável. As condições na cabine de passageiros também não são conhecidas. Embora os movimentos incomuns devam ter sido notados por alguns, e aqueles sentados na frente possam ter ouvido os alarmes, não há indícios de que tenha se instalado um clima de pânico, tampouco se registraram gritos.

Na cabine de comando, a situação havia ultrapassado os limites dos testes de voo. Depois que Dubois chegou, o aviso de estol cessou por um tempo, basicamente porque o ângulo de ataque era tão extremo que o sistema rejeitou a informação, considerando-a inválida. Isso conduziu a uma reversão nefasta que durou até quase o momento do impacto: a cada vez que Bonin baixava o nariz, tornando o ângulo de ataque marginalmente menos severo, o alarme de estol voltava a soar – um reforço negativo que pode tê-lo congelado no propósito de forçar a subida (supondo que ao menos estivesse ouvindo o alarme de estol).

Dubois apontou uma indicação no instrumento primário de voo e disse: “Olha aí, usa isso, usa isso.”

Robert repetiu a ordem com maior urgência: “Usa isso, usa isso! Tente usar isso!”

O alarme de estol soou de novo. Bonin disse: “Estou com um problema, não tenho mais um indicador de velocidade vertical!” Dubois apenas grunhiu em resposta. Bonin disse: “Não tenho mais nenhum indicador!” Não procedia. Ele tinha indicações, mas não acreditava nelas. A taxa de descida era agora de 4 600 metros por minuto.

Robert compartilhava a mesma descrença. Ele disse: “Não temos um só indicador válido!”

Bonin disse: “Tenho a impressão de que estamos voando incrivelmente rápido! Não? O que vocês acham?” Alcançou a alavanca dos freios aerodinâmicos, conhecidos como speed-brakes, e a puxou.

Robert disse: “Não. Não! Não acione os freios de modo algum!”

“Não? Está bem!” Os freios foram recolhidos.

Os dois continuavam a manipular suas alavancas, se revezando nos controles, um anulando as ações do outro. Bonin disse: “Então ainda estamos descendo!”

Robert respondeu: “Vamos subir!”

Durante 23 segundos, o capitão Dubois não havia pronunciado uma só palavra. Robert por fim o provocou: “O que você acha? O que você acha? Está vendo o quê?”

Dubois respondeu: “Não sei. Está descendo.”

Em sua defesa, pode-se dizer que o comandante estava diante de uma cena indecifrável. Chegara depois da perda de controle, ainda que sua posição como observador constituísse de fato uma vantagem. Nada sabia sobre a falha original da indicação de velocidade aerodinâmica. Tinha agora um mostrador funcional, exibindo baixas velocidades aerodinâmicas, uma baixa velocidade em relação ao solo, um posicionamento de nariz alto e uma grande descida em curso. Acrescentem-se os reiterados avisos de estol, a vibração significativa e a dificuldade de controlar os movimentos de inclinação lateral. Teria sido útil contar com um indicador do ângulo de ataque – algum que fosse capaz de indicar tais extremos –, mas o que poderia estar acontecendo se não um estol?

Bonin conseguiu reverter a persistente inclinação para a esquerda. Ele disse: “Aqui estamos! Olha… Está bem. Voltamos a nivelar as asas… Não, não quer ficar…” A aeronave estava balançando para a direita e para a esquerda em ângulos de 17 graus.

Dubois disse: “Nivele as asas. O horizonte artificial.”

Então as coisas ficaram mais confusas. Robert disse: “Sua velocidade! Você está subindo!” Ele provavelmente queria dizer que Bonin estava levantando o nariz, porque com certeza o avião não estava subindo. Ele disse: “Desce! Desce, desce, desce!”, mais uma vez aparentemente se referindo ao ângulo de inclinação longitudinal.

Bonin disse: “Estou descendo!”

Dubois retrucou: “Não, você está subindo.”

Bonin talvez tenha se dado conta de que a referência era à inclinação longitudinal. Perguntou: “Estou subindo? O.k., então vamos descer.”

A comunicação na cabine de comando estava se deteriorando. Robert disse: “O.k., estamos em Toga.”

Bonin perguntou: “Qual a situação agora? Em altitude, o que temos?” Aparentemente ele estava ocupado demais para verificar por si próprio.

Dubois disse: “Porra, não é possível.”

“Em altitude, o que temos?”

Robert disse: “O que você quer dizer com ‘altitude’?”

“Isso mesmo, estou descendo, não?”

“Sim, está descendo.”

Bonin nunca teve a resposta que desejava, mas o avião estava passando pela marca dos 6 100 metros. Inclinou-se fortemente para a direta, num ângulo de 41 graus. Dubois disse: “Ei, você, você está em… Nivele as asas!”

Robert repetiu: “Nivele as asas!”

“É o que eu estou tentando fazer!”

Dubois não estava satisfeito. Repetiu: “Nivele as asas!”

“A alavanca está puxada toda para a esquerda!”

Robert movimentou sua própria alavanca. Uma voz artificial disse: DUPLA ENTRADA.

Dubois disse: “O leme de direção.” Isso resolveu o problema, o avião se equilibrou. Dubois disse: “As asas estão niveladas. Vai de leve, de leve.”

Confuso, Robert disse: “Perdemos tudo na asa esquerda! Não tenho nada lá!”

Dubois respondeu: “O que você tem?”. E então: “Não, espera!”

Embora nunca se tenha conseguido estabelecer o que de fato ocorreu, os investigadores mais tarde estimaram que, quando o avião baixou de 4 mil metros, esse foi o último momento em que a recuperação teria sido teoricamente possível. A manobra exigiria um piloto perfeito para baixar o nariz pelo menos em 30 graus abaixo da linha do horizonte e mergulhar, aceitando uma grande perda de altitude a fim de acelerar e encontrar uma velocidade e um ângulo de ataque que permitissem ao avião voltar a voar, saindo do mergulho pouco acima das ondas e subindo com força suficiente para não exceder o limite de velocidade do aparelho, de forma suave para evitar uma falha estrutural.

Talvez haja um punhado de pilotos no mundo capazes de realizar tal feito, mas aquela tripulação da Air France não contava com nenhum deles. Segundo um velho ditado na aviação, as razões pelas quais você se mete numa encrenca se transformam nas razões pelas quais você não escapa dela.

Bonin disse: “Estamos… estamos lá, estamos chegando ao nível 100!” Nível 100 corresponde a 10 mil pés, ou aproximadamente 3 mil metros. É uma referência comum em operações normais. Costumava-se dizer que, abaixo dessa altitude, você está “em terra de índios”. Agora se diz que a cabine de comando precisa estar completamente silenciosa, significando que não pode haver a menor distração; diálogos, só os estritamente necessários.

Robert disse: “Espera! Eu… eu tenho os… eu estou no controle, eu!” Ele não acionou seu botão de prioridade e Bonin não largou sua alavanca. A voz artificial disse: DUPLA ENTRADA. O ângulo de ataque do avião continuou em 41 graus.

Bonin disse: “Como é que pode? Como é que continuamos a descer tão rápido?”

Robert indicou ao comandante Dubois o painel de controles no teto, dizendo: “Tente ver o que você consegue fazer com os controles aí em cima! Os primários, todo o resto.”

Dubois disse: “Não dá para fazer nada, nada.”

Bonin disse: “Estamos chegando ao nível 100!” E quatro segundos depois: “Dois mil e 700 metros!” Ele estava lutando para manter as asas niveladas.

Dubois disse: “Suave com os lemes.”

Robert disse: “Sobe, sobe, sobe, sobe!” Queria dizer: “Nariz para cima!”

Bonin disse: “Mas já estou puxando a alavanca até o limite faz um tempão!” DUPLA ENTRADA.

Dubois disse: “Não, não, não! Não sobe!” Queria dizer: “Não levante o nariz!”

Robert disse: “Então baixa!” DUPLA ENTRADA.

Bonin disse: “Vai em frente… você tem os controles. Ainda estamos em Toga.” Alguém disse: “Senhores…” Fora disso, durante os treze segundos que se seguiram ninguém falou nada. Treze segundos, veja em seu relógio o que isso representa. Robert estava pilotando. Os alarmes automáticos ressoavam na cabine.

Dubois disse: “Cuidado… você está empinando o nariz.”

Robert disse: “Estou empinando o nariz?”

“Está empinando.”

Bonin disse: “Bem, precisamos fazer isso! Estamos a 1 200 metros!” Mas empinar o nariz é o que desde o começo havia criado o problema para eles. O sistema de alarme que anunciava a aproximação do solo começou a soar. Uma voz artificial disse: RAZÃO DE AFUNDAMENTO, ARREMETA.

Dubois disse: “Vamos, sobe.” Com isso, parece, ele aceitou a ideia de que ia morrer.

Bonin era mais moço. Tinha a mulher lá atrás e duas crianças em casa. Assumiu o controle, dizendo: “Vamos! Sobe, sobe, sobe!”

Robert disse: “Porra, vamos cair! Não pode ser! Mas o que é que está acontecendo?”

Os alarmes soavam GANHE ALTITUDE, alarme de altitude, ESTOL, alarme de altitude, GANHE ALTITUDE, PRIORIDADE À DIREITA. Ao mesmo tempo, Robert e Bonin disseram: “Puta que pariu, vamos morrer.”

Dubois disse calmamente: “Inclinação de 10 graus.”

Mil e um, 1 002. O voo 447 então se espatifou de barriga no Atlântico equatorial. Eram 23h14 da noite no Rio, quatro horas e quinze minutos após a decolagem, quatro minutos e vinte segundos desde que surgira o problema. Dois anos depois, quando foi recuperada a caixa-preta, os registros mostraram que o avião se afastara 225 graus de sua rota e estava voando diretamente rumo ao oeste com o nariz erguido num ângulo de 16 graus e as asas quase niveladas; totalmente estolado, avançava a apenas 107 nós, mas com uma velocidade vertical, apesar da potência máxima nas turbinas, de cerca de 3 400 metros por minuto. O impacto foi devastador. Todos a bordo morreram instantaneamente e os escombros mergulharam nas profundezas do oceano. Em meio aos destroços encontrados pouco tempo depois boiando na superfície, estavam cinquenta corpos, inclusive o do capitão Marc Dubois.

Para os projetistas de jatos comerciais, há alguns fatos da vida imutáveis. É crucial que suas aeronaves voem com tanta segurança e de forma tão barata quanto possível dentro dos limites impostos pelo vento e pelas condições atmosféricas. Uma vez resolvidas as questões de desempenho e confiabilidade, eles precisam confrontar o mais difícil, que são as ações dos pilotos. Há mais de 300 mil pilotos de companhias aéreas no mundo, de todas as culturas. Eles trabalham para centenas de linhas aéreas na privacidade das cabines de comando, onde não é fácil monitorar seu comportamento. Alguns dos pilotos são soberbos, mas a maioria tem uma capacitação mediana e alguns poucos são simplesmente ruins. Para piorar, com exceção dos melhores, todos se creem mais competentes do que são.

A Airbus efetuou amplos estudos que mostram ser isso verdade. O problema no mundo real é que os pilotos que derrubam seus aviões ou apenas queimam combustível excessivamente são difíceis de serem identificados em meio aos demais. Um engenheiro da Boeing comentou: “Os pilotos são como qualquer outra pessoa. Alguns se revelam heróis sob pressão, outros tremem e fogem. Em qualquer caso, é difícil prever. Você quase precisa de uma guerra para saber.” Mas, naturalmente, não se pode ter uma guerra para saber. Em vez disso, o que se pode fazer é tentar imaginar o que ocorre dentro da cabine de comando.

Primeiro, você descarta o Clipper Skipper, pois ele detém o poder unilateral de provocar um problema, e o substitui pelo conceito do trabalho de equipe – o assim chamado Gerenciamento de Recursos da Tripulação –, que encoraja o sistema de pesos e contrapesos e exige que todos os pilotos se revezem no controle do aparelho. Com isso, já seriam necessários dois para causar uma encrenca. Em seguida, você automatiza os sistemas de componentes a tal ponto que eles exijam um mínimo de intervenção humana, e os integra num todo robótico capaz de se automonitorar. Depois, cria um monte de redundâncias. Acrescenta computadores de gerenciamento de voo nos quais as rotas possam ser programadas em terra, ligando-os a pilotos automáticos capazes de pilotar o avião da decolagem até o momento de taxiar, após a aterrissagem.

Depois de profundas reflexões, projeta cabines de comando minimalistas que estimulem o trabalho em equipe por sua própria natureza, ofereçam excelentes padrões ergonômicos e sejam construídas em torno de mostradores que evitam exibir informações impertinentes, mas fornecem alarmes e indicadores de situação quando os sistemas sentem que são necessários. Por fim, acrescenta o controle eletrônico (fly-by-wire). Nesse ponto, após anos de trabalho e bilhões de dólares de custos de desenvolvimento, você chegou ao tempo atual. Tal como projetado, a autonomia dos pilotos foi severamente restringida, mas os novos aparelhos garantem voos mais suaves, mais precisos e mais eficientes – além de serem também mais seguros.

É natural que alguns pilotos se oponham, mas isso parece estar vinculado a diferenças de culturas e gerações. Na China, por exemplo, as tripulações não se importam. Na verdade, gostam da automação e dependem dela com gosto. Em contraste, um empregado da Airbus me contou sobre um encontro entre um piloto britânico e seu superior numa companhia aérea no Oriente Médio, no qual o primeiro reclamou que a automação havia tirado toda a graça de sua vida, e o superior respondeu algo assim: “Olha, seu babaca, se você quer se divertir, trata de ir velejar num barco. Ou você pilota usando a automação ou vai arranjar outro emprego.”

Ele continuou no emprego. Ocorreu uma transformação histórica na profissão de piloto. Na privacidade da cabine de comando e fora das vistas do público, os pilotos foram relegados ao papel prosaico de gerentes de sistemas, de quem se espera que monitorem os computadores e vez por outra os alimentem usando os teclados, mas sempre mantendo as mãos longe dos controles e só intervindo no raro caso de uma falha. Em consequência, o desempenho normal dos pilotos medíocres se equiparou ao dos pilotos medianos, e os pilotos medianos não têm grande importância. Se você está fabricando um avião de carreira e procura vendê-lo em todo o mundo, isso é bom. Desde a década de 80, quando a mudança começou, os dados sobre a segurança são hoje cinco vezes melhores, atingindo a marca atual de um acidente fatal para cada 5 milhões de partidas. Ninguém pode racionalmente advogar um retorno aos tempos glamorosos de outrora.

Não obstante, há preocupações até mesmo entre as pessoas que inventaram o futuro. Delmar Fadden, da Boeing, explicou: “Dizemos: ‘Muito bem. Vou cuidar de 98% das situações que posso predizer, e os pilotos terão de cuidar dos 2% que sou incapaz de prever.’ Isso coloca um problema importante. Vou obrigá-los a fazer alguma coisa apenas 2% do tempo. Veja bem o ônus que imponho a eles. Primeiro, têm de reconhecer que está na hora de intervir, quando em 98% do tempo não estão intervindo. Então, espera-se que eles lidem com os 2% que nós fomos incapazes de prever. Quais são as informações? Como vamos oferecer algum treinamento? Como vamos suprir os dados suplementares que os ajudarão a tomar as decisões? Não há uma resposta fácil. Do ponto de vista do projeto, nós nos preocupamos de verdade com as tarefas que lhes pedimos para executar apenas ocasionalmente.”

“Tal como pilotar o avião?”, perguntei.

Sim, isso também. Uma vez que você submete os pilotos à automação, suas habilidades manuais se deterioram e a sensibilidade com relação ao comportamento do aparelho se esvai: a pilotagem se transforma numa tarefa de monitoramento, uma abstração numa tela, uma espera pouco estimulante, como a expectativa pelo próximo hotel. Nadine Sarter disse que o processo é conhecido como “desabilitação”. Ele é particularmente agudo nos círculos dos pilotos de longo alcance e mais graduados, em especial aqueles que se revezam no controle com tripulações duplicadas. No Air France 447, por exemplo, o capitão Dubois havia voado uma cifra respeitável de 346 horas nos seis meses anteriores, porém só fizera quinze decolagens e dezoito aterrissagens. Calculando generosos quatro minutos para cada decolagem e aterrissagem, isso significa que Dubois havia controlado efetivamente seu side-stick por, no máximo, cerca de quatro horas num ano. Os números para Bonin eram parecidos, e menores para Robert. A maior parte da experiência dos três consistia em se sentar numa cabine de comando e observar o funcionamento do equipamento.

A solução pode parecer óbvia. John Lauber me disse que, com a introdução do CRM e da automação integrada na década de 80, Earl Wiener saiu pregando a necessidade de “treinamento com tudo desligado”. Segundo Lauber, “de tempos em tempos, é preciso desligar todos aqueles troços. Controle total do piloto. Pilotar como se se tratasse de um avião”.

“O que aconteceu com essa ideia?”

“Todo mundo disse: ‘Sim, sim, precisamos fazer isso.’ E acho que, durante algum tempo, talvez tenham feito.”

Nadine Sarter continua a refletir sobre esse tema, e vem tentando desenvolver interfaces melhores entre o piloto e o equipamento. Nesse ínterim, ela diz, cumpre no mínimo baixar os níveis de automação (ou ignorá-la) quando ela surpreende o piloto.

Em outras palavras, numa crise, não se deve se limitar a ler os alarmes automáticos. Os melhores pilotos descartam naturalmente a automação quando ela se torna um estorvo, mas aqui também parecem influir características culturais. Os estudos de simuladores mostram que os pilotos irlandeses, por exemplo, jogam fora com prazer suas muletas, enquanto os asiáticos se apegam fortemente a elas. É evidente que os irlandeses estão certos, mas no mundo real o conselho de Nadine Sarter não é fácil de ser aceito. A automação é simplesmente persuasiva demais. Os benefícios operacionais superam os custos. A tendência é no sentido de mais automação, não de menos. E, depois de abandonar suas muletas, muitos pilotos hoje não teriam condições de andar.

Esta é outra consequência não proposital de projetar aeronaves que qualquer um é capaz de pilotar: todo mundo se candidata a uma oferta de emprego. Além da deterioração das capacitações básicas de gente que no passado poderia ser um piloto competente, os jatos de quarta geração abriram espaço para pessoas que, para começo de conversa, talvez nunca tenham tido tais capacitações e jamais deveriam ter entrado numa cabine de comando. Como resultado, o aparato mental dos pilotos de companhias aéreas mudou. Sobre isso há quase uma unanimidade universal na Boeing e na Airbus, assim como nos círculos de investigadores de acidentes, funcionários de agências reguladoras, gerentes de operações aéreas, instrutores e acadêmicos: hoje, as pessoas que pilotam são diferentes das que pilotavam no passado e, conquanto ainda haja excelentes profissionais na ativa, a base de conhecimento se tornou em média muito tênue.

Parece que estamos presos numa espiral em que o desempenho humano medíocre gera automação, que prejudica o desempenho humano, que gera mais automação. Esse padrão é comum na vida moderna, porém bastante agudo no campo da aviação. O Air France 447 foi um caso notável. Na esteira do acidente, os tubos de Pitot foram substituídos em vários modelos da Airbus. A Air France contratou uma revisão independente dos procedimentos de segurança que revelou a arrogância de alguns dos pilotos da empresa e sugeriu reformas; numerosos peritos recomendaram a instalação de indicadores de ângulo de ataque nas aeronaves, enquanto outros advogaram o treinamento de estol a grandes altitudes, recuperação de imprevistos, atitudes incomuns, voo sob a Alternative Law e bom senso aeronáutico.

Tudo isso é muito bom, mas nada fará grande diferença. Numa época em que os acidentes são extremamente raros, cada um se torna um evento único e improvável de ser repetido em moldes idênticos. Na próxima vez será outra companhia aérea, alguma outra cultura e algum outro defeito – mas certamente envolverá a automação e nos deixará perplexos quando ocorrer. No futuro, a automação se expandirá até lidar com falhas e emergências durante o voo. E, à medida que as estatísticas de segurança forem melhorando, os pilotos serão pouco a pouco expulsos da cabine de comando. Tal dinâmica se tornou inevitável.

Ainda ocorrerão acidentes, mas chegará o dia em que só poderemos culpar as máquinas.

^[1] Nas conversações conduzidas por rádio, o termo “Wilco” é uma abreviação de will comply, ou seja, “assim farei”. (N.T.)

^[2] Etops é o acrônimo de Extended Range Twin Operations (Operações de Alcance Ampliado para Jatos de Duas Turbinas). São regras da Federal Aviation Administration (FAA), Administração Federal de Aviação dos Estados Unidos, que permitem a aeronaves como o Airbus A330 o percurso de rotas antes proibidas, dada a distância dos aeroportos onde possam aterrissar, em caso de emergência com uma única turbina funcionando. Na linguagem coloquial dos pilotos, o acrônimo significa Engines Turning Or Passengers Swimming (Turbinas Funcionando ou Passageiros Nadando), referência ao pouso forçado no mar se as duas turbinas entrarem em pane.