FOD: o pequeno objeto que pode provocar grandes riscos à segurança de voo

 

Na aviação, uma simples porca, uma ferramenta esquecida, um pedaço de pavimento, uma embalagem plástica ou uma pequena peça metálica podem iniciar uma sequência de eventos capaz de danificar uma aeronave e comprometer seriamente uma operação.

Esses materiais são classificados como FOD — Foreign Object Debris, expressão utilizada para identificar objetos estranhos encontrados em pistas, pistas de táxi, pátios, hangares e outras áreas operacionais.

A ANAC define objeto estranho como um item inanimado localizado na área de movimento, sem função aeronáutica ou operacional, capaz de representar perigo para a operação de aeronaves.

O tamanho do objeto nem sempre corresponde à dimensão do risco. Na aviação, pequenas falhas podem produzir consequências desproporcionais quando atingem a aeronave durante fases críticas, especialmente na decolagem e no pouso.

FOD ou Foreign Object Damage?

A sigla FOD pode aparecer associada a dois conceitos:

• Foreign Object Debris: o objeto estranho presente no ambiente operacional;
• Foreign Object Damage: o dano provocado por esse objeto.

Uma porca solta no pátio é um debris. Se ela for ingerida por um motor ou atingir uma aeronave, poderá produzir um damage.

Essa distinção é importante porque a prevenção deve atuar antes que o objeto encontrado no solo se transforme em dano material ou risco operacional.

Onde o FOD pode ser encontrado?

Embora as pistas recebam maior atenção, o FOD pode estar presente em praticamente toda a área operacional de um aeródromo:

• pistas de pouso e decolagem;
• pistas de táxi;
• pátios de estacionamento;
• hangares e oficinas;
• áreas de abastecimento;
• locais de carga e descarga;
• áreas próximas a obras;
• interior das aeronaves;
• compartimentos de motores e sistemas.

Entre os objetos mais encontrados estão parafusos, porcas, arruelas, ferramentas, lacres, fragmentos de pneus, pedaços de concreto ou asfalto, fios, pedras, embalagens, pedaços de plástico, materiais de limpeza e componentes desprendidos de veículos ou aeronaves.

Obras e serviços de manutenção também merecem atenção especial. Fragmentos de pavimento, materiais de construção e peças esquecidas podem permanecer na área operacional depois da conclusão do trabalho.

Como um pequeno objeto pode danificar uma aeronave?

Ingestão pelos motores

Motores a reação movimentam grandes volumes de ar. Um objeto localizado próximo à entrada do motor pode ser aspirado e atingir fan, compressor ou outras partes internas.

Mesmo quando não ocorre uma falha imediata, o impacto pode causar deformações, vibrações, perda de eficiência e danos que exigem inspeção ou substituição de componentes.

A ingestão também pode acontecer durante o táxi, quando a aeronave está aparentemente em uma fase de baixa complexidade operacional.

Danos aos pneus

Peças metálicas, pedras e fragmentos de pavimento podem cortar ou perfurar pneus. Em alta velocidade, uma falha de pneu pode produzir perda de controle direcional e lançar fragmentos contra a fuselagem, asas, sistemas ou motores.

O risco aumenta durante a corrida de decolagem e o pouso, justamente quando a aeronave possui grande energia cinética e menor margem para interromper ou corrigir a operação.

Danos às hélices

Aeronaves convencionais também são vulneráveis. Pedras e pequenos objetos podem atingir as pás da hélice, causando marcas, erosão, deformações e desequilíbrio.

Uma pequena marca não deve ser tratada apenas como problema estético. Dependendo da localização e profundidade, poderá favorecer a concentração de tensões e a formação de trincas.

Travamento ou interferência em sistemas

O FOD também pode ficar preso em mecanismos do trem de pouso, superfícies de comando, flapes, portas, cabos, polias e compartimentos técnicos.

Dentro da cabine, ferramentas, canetas, parafusos e outros objetos soltos podem interferir nos pedais, comandos ou mecanismos dos assentos. Por isso, o conceito de FOD não se limita ao lado externo da aeronave.

O Concorde e a demonstração mais conhecida do risco

Um dos casos mais lembrados ocorreu em 25 de julho de 2000, com o voo Air France 4590. Segundo a investigação do Bureau d’Enquêtes et d’Analyses — BEA, o Concorde passou sobre uma tira metálica que havia se desprendido de outra aeronave.

O objeto provocou a ruptura de um pneu durante a corrida de decolagem. A sequência seguinte resultou em danos graves e perda da aeronave.

O caso demonstrou de maneira definitiva que um objeto relativamente pequeno, deixado sobre uma pista, pode romper sucessivas barreiras de segurança. A investigação também mostrou que o gerenciamento de FOD não é apenas uma questão de limpeza aeroportuária: é parte essencial da segurança de voo.

Por que o FOD aparece?

O FOD raramente surge de uma única origem. Ele pode ser consequência de:

• falhas de organização e limpeza;
• controle inadequado de ferramentas;
• manutenção deficiente de veículos e equipamentos;
• deterioração do pavimento;
• componentes desprendidos de aeronaves;
• ventos que transportam materiais leves;
• carga ou bagagem mal acondicionada;
• obras sem inspeção adequada;
• ausência de comunicação após a identificação de um objeto;
• cultura organizacional tolerante com pequenos desvios.

Um pátio sujo ou constantemente ocupado por objetos soltos revela mais do que um problema de conservação. Ele pode indicar fragilidade de supervisão, treinamento e disciplina operacional.

Prevenção: responsabilidade de todos

O gerenciamento de FOD não pertence exclusivamente ao operador aeroportuário. Pilotos, mecânicos, equipes de rampa, abastecedores, operadores de veículos, prestadores de serviço e demais profissionais que trabalham na área operacional participam dessa defesa.

Inspeções programadas

Pistas, pistas de táxi e pátios devem ser inspecionados de acordo com procedimentos definidos pelo operador do aeródromo. Inspeções adicionais podem ser necessárias após obras, manutenção, pousos ou decolagens com suspeita de desprendimento de componentes e condições meteorológicas adversas.

Em aeroportos maiores, radares, câmeras e sistemas eletro-ópticos podem auxiliar na detecção. A tecnologia, porém, não elimina a necessidade de inspeções físicas e de profissionais atentos.

Controle de ferramentas e materiais

Oficinas e equipes de manutenção devem manter inventários, painéis de ferramentas e conferências antes e depois dos serviços.

Uma ferramenta não localizada ao término da manutenção não pode ser tratada como mero problema administrativo. Ela pode ter permanecido dentro da aeronave ou na área operacional.

Inspeção de veículos e equipamentos

Veículos que circulam no pátio precisam ser verificados quanto a peças soltas, objetos transportados, estado dos pneus e fechamento dos compartimentos.

Equipamentos de solo também podem produzir FOD quando não recebem manutenção adequada.

Comunicação imediata

Ao identificar um objeto em uma área de risco, o profissional deve removê-lo quando isso puder ser feito com segurança e dentro dos procedimentos locais. Caso contrário, deverá comunicar imediatamente à administração aeroportuária ou ao órgão de controle correspondente.

O piloto que observar objeto, fragmento de pneu, parte de aeronave ou irregularidade na pista também deve reportar a situação. Uma comunicação rápida pode interromper a sequência antes que outra aeronave seja exposta.

A participação do piloto

Antes do acionamento, o piloto deve observar não apenas a aeronave, mas também a área ao redor. Calços, capas, ferramentas, cabos e objetos próximos precisam ser conferidos.

Durante o táxi, atenção especial deve ser dedicada às áreas com pavimento deteriorado, obras, acúmulo de pedras ou movimentação intensa de equipamentos.

Se houver dúvida sobre a presença de material na pista, a pressão para cumprir horário não deve superar a necessidade de verificação. Solicitar uma inspeção de pista é uma decisão de segurança, não um excesso de cautela.

FOD e cultura de segurança

Um programa eficiente não deve limitar-se a recolher objetos. É preciso registrar onde foram encontrados, identificar possíveis origens, observar recorrências e adotar medidas corretivas.

A orientação atual da FAA estrutura o gerenciamento de FOD em quatro áreas principais:

1. prevenção;
2. detecção;
3. remoção;
4. avaliação.

Essa última etapa é frequentemente esquecida. Retirar o objeto elimina o perigo imediato, mas investigar sua origem evita que o problema se repita.

Um parafuso encontrado no pátio pode ter se desprendido de uma aeronave, de um veículo ou de um equipamento. Simplesmente jogá-lo no lixo elimina uma informação relevante para o gerenciamento da segurança operacional.

Conclusão

FOD é um exemplo clássico de ameaça aparentemente pequena que pode romper várias barreiras de segurança. O objeto pode ser simples, mas sua interação com pneus, hélices, motores e sistemas ocorre em um ambiente de alta energia e pouca tolerância a falhas.

Uma área operacional limpa, inspecionada e organizada não é apenas uma demonstração de boa administração. É uma barreira concreta contra acidentes.

Na segurança de voo, abaixar-se para recolher um pequeno parafuso pode parecer um gesto banal. Em determinadas circunstâncias, porém, esse gesto pode impedir que uma sequência de eventos comece.

---

Marcuss Silva Reis
Piloto Comercial de asas fixas | Instrutor de escolas de aviação civil | Professor universitário de Ciências Aeronáuticas | Perito judicial em aviação | Economista | Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Fundador do Instituto do Ar

Fontes consultadas

• Manual de Gerenciamento do Risco de FOD — ANAC
• Definição de objeto estranho — ANACpédia
• RBAC nº 153, Emenda nº 08 — ANAC
• Airport Foreign Object Debris Management — FAA
• Relatório do acidente com o Concorde — BEA

ATRは着氷環境における航空機性能監視システムの改良を以前から進めていた

 

Voepass 2283便事故の最終報告書が公表されたことで、ターボプロップ機の運航における重要なリスクが改めて注目されている。

それは、着氷による航空機性能の低下と、安全余裕が失われる前に乗務員がその変化を認識し、状況を理解し、適切に対応できるかという問題である。

事故は2024年8月9日、機体記号PS-VPBのATR 72-500で発生した。ブラジル航空事故調査予防センターであるCENIPAは、2026年7月23日に最終報告書を公表した。

調査対象となったシステムの一つが、**Aircraft Performance Monitoring（APM：航空機性能監視システム）**である。

APMは、航空機の性能が通常の状態から異常に低下した場合に、その兆候を乗務員へ知らせることを目的としている。

調査報告書では、事故飛行中におけるAPMの作動だけでなく、警報ロジックや性能低下時の手順についても検討され、安全勧告が示された。

APMはVoepass事故後に開発されたシステムではない

まず、技術的に重要な点を明確にしておく必要がある。

APMは、Voepass 2283便事故を受けて新たに開発されたシステムではない。

ATRは以前からこの機能を開発しており、欧州航空安全機関EASAは2009年8月、複数のATR 42およびATR 72型機を対象にAPMの装備を求める耐空性改善命令を発行している。

EASAによれば、このシステムは着氷条件下における航空機性能の低下について、乗務員の状況認識を向上させるために開発された。

また、APM V2の開発計画そのものがVoepass事故を契機として始まったと考えるのも正確ではない。

ATRが以前に公表した安全向上に関する技術資料には、APM V2がすでに開発・認証計画の中に含まれており、2026年頃の導入が想定されていた。

したがって、改良型システムの開発は、Voepass事故の最終報告書が公表される以前から進められていたことになる。

ただし、この事故がシステム改善の重要性と緊急性をさらに高めたことは否定できない。

Aircraft Performance Monitoringの役割

APMは、航空機の実際の性能が、機体重量、出力設定、速度、形態、飛行条件などから予想される性能と一致しているかを監視する。

実際の性能に異常な低下が確認された場合、システムは乗務員に警報を提示する。

運航上、APMは追加的な安全防護層として機能する。

着氷による性能低下は、初期段階では徐々に進行することがあり、乗務員が直ちに認識できない場合もある。

APMは、そのような空力性能の悪化を数値的かつ客観的な情報として乗務員へ伝えることを目的としている。

着氷は次のような影響をもたらす可能性がある。

• 空気抵抗の増加
• 揚力の低下
• 空力特性の変化
• 失速速度の上昇
• 上昇性能の低下
• 高度や速度を維持するために必要な出力の増加
• 操縦性の低下

ただし、APMは操縦士の判断、標準運航手順、訓練、または機体の認証能力を超える気象条件から離脱する義務に代わるものではない。

APMは、あくまで状況認識を補強するための一つの安全手段である。

CENIPAによるAPM関連の安全勧告

Voepass 2283便事故の最終報告書では、EASAおよびブラジル民間航空庁ANACに対して、合計9件の安全勧告が発行された。

そのうちの一つは、EASAが製造者と協力し、APMの警報レベルを再評価するよう求めるものである。

目的は、性能低下の深刻度と、関連手順を速やかに実行する必要性について、乗務員の状況認識を向上させることである。

CENIPAは、「INCREASE SPEED」の警報について、現在のcautionから、より緊急度の高いwarningへ変更する可能性を検討するよう勧告した。

これは単なる用語の違いではない。

航空機の警報体系において、warningはcautionよりも緊急性が高く、乗務員に対してより迅速な対応を求める。

この勧告は、性能低下の重大性が、従来の警報表示では十分に強く伝わらなかった可能性を示唆している。

性能低下時の手順

もう一つ重要な勧告は、**Degraded Performance Procedure（性能低下時手順）**に関するものである。

CENIPAは、EASAおよび製造者に対し、乗務員が直ちに速度を回復し、Icing Bugプラス30ノットの速度余裕を確保するよう手順を改訂する可能性を検討するよう求めた。

目的は、航空機がVmLBO ICINGによって示される限界状態へ接近し続けることを防ぐことである。

着氷条件下では、指示対気速度を単独の数値として見るべきではない。

重要なのは、現在の速度と、航空機の空力特性が不安定になり得る限界速度との間に、どれだけの余裕が残されているかという点である。

航空機がまだ高度を維持していたとしても、安全余裕が徐々に失われている可能性がある。

性能低下がさらに進んでから対応しようとすれば、回復が困難になる場合がある。

警報は状況の緊急性を明確に伝えなければならない

警報システムが有効に機能するためには、少なくとも三つの役割を果たす必要がある。

1. 乗務員の注意を引くこと
2. 状況の深刻度を正しく伝えること
3. 緊急度に応じた対応を促すこと

警報が断続的に表示されたり、実際の危険度より低い優先度に分類されたり、一時的な表示だと受け取られたりすれば、乗務員の対応が遅れる可能性がある。

これはヒューマンファクター上の重要な問題である。

操縦士は、通信、航法、気象、オートメーション、システム管理、航空交通、運航管理など、多くの情報を同時に処理している。

技術的には正しい警報であっても、緊急性が十分に伝わらなければ、期待される対応を引き出せないことがある。

したがって、警報が表示されたかどうかだけを確認するのでは不十分である。

次の点も検討する必要がある。

• 警報がどのように表示されたか
• どの程度の時間表示されたか
• どの優先度が与えられていたか
• 乗務員がどのように解釈したか
• どの手順と結び付けられていたか
• 訓練で同様の状況が適切に再現されていたか

現時点で確認済みの事実として扱えない情報

一部のSNS投稿では、APM V2がすでにEASAの認証を取得し、次の機能を備えていると報じられている。

• 全飛行フェーズにおける継続的な性能監視
• 着氷条件下のVmLBOに対する実際の速度余裕を基準とした警報ロジック
• 警報を最低60秒間表示する機能

これらの機能は技術的に妥当であり、事故後に議論された安全上の問題とも整合している可能性がある。

しかし、本稿で確認した公式資料では、これらすべての機能がすでに認証され、実運航に導入されていることを明確に示す技術文書は確認できなかった。

特定の警報を必ず60秒間表示するという点についても、公式な確認は得られていない。

したがって、ATRまたはEASAがAPM V2の最終仕様を示す正式文書を公表するまでは、これらの情報を確定した事実として扱うべきではない。

航空事故調査や設計変更について報じる場合、技術的な慎重さが求められる。

APM V2は事故の安全上の教訓を反映する可能性がある

APM V2の開発はPS-VPBの事故以前から始まっていたものの、事故調査で得られた教訓が最終的なシステム仕様に影響を与える可能性はある。

航空機システムは、次のような情報を基に進化する。

• 実運航データ
• 乗務員からの報告
• 過去の事故および重大インシデント
• 事故調査結果
• ヒューマンファクター研究
• 安全勧告
• 技術的進歩

改善計画が以前から存在していたとしても、事故調査が設計の優先順位、警報ロジック、導入時期に影響を及ぼすことは十分に考えられる。

その意味で、Voepass 2283便事故は、着氷環境における性能低下を乗務員がどのように認識し、対応するかという観点から、APMの最終的な改良に影響を与える可能性がある。

技術は訓練に代わるものではない

改良された監視システムであっても、それだけで将来の事故を防ぐことはできない。

飛行安全は、複数の防護層が適切に機能することで成立する。

• 航空機の設計と認証
• 適切な整備
• 質の高い訓練
• 標準運航手順
• 運航管理と飛行監視
• 正確な気象情報
• 会社による監督
• リスク管理
• 規制当局による監視
• 乗務員の適切な対応

APMは、航空機の性能が予想より低下していることを操縦士に知らせることができる。

しかし、最終的な結果は、乗務員が状況の重大性を認識し、警報の意味を理解し、遅滞なく手順を実行できるかに左右される。

また、逸脱、反復する技術的不具合、安全余裕の少ない運航を常態化させない組織文化も必要である。

単なるソフトウェア更新ではない

APMに関する議論を、ソフトウェアの更新や警報表示の色の変更だけに限定すべきではない。

問題の本質は、危険な状態が回復不能になる前に、航空システム全体がそれを認識できるかどうかにある。

そこには、製造者、運航者、型式証明当局、規制当局、訓練機関、乗務員が関係する。

事故調査が警報をcautionからwarningへ引き上げるよう勧告する場合、それは情報をより強く、より明確に乗務員へ伝える必要性を示している。

Icing Bugより30ノット高い速度余裕を直ちに回復するよう求める場合、それは対応の遅れが許容できないリスクとなり得ることを意味する。

これらの安全勧告は、真剣に検討される必要がある。

結論

Voepass 2283便事故によってAPMが新たに開発されたわけではなく、APM V2の開発計画が事故を契機に始まったわけでもない。

APMは以前から運用されており、その改良計画も事故調査終了前からATRの開発計画に含まれていた。

しかし、CENIPAの最終報告書は、性能低下警報の表示方法や、着氷条件下で必要とされる対応の緊急性について、具体的な問題を提起した。

したがって、この事故がAPMの最終的な改良に影響を与える可能性はある。

航空事故調査の重要な目的は、悲劇を安全勧告へ変え、同じ防護層が再び破られることを防ぐことにある。

将来のAPMは、より明確で、より早く、状況の重大性に見合った情報を乗務員へ提供する必要がある。

しかし、いかなる技術も、適切な訓練、運航規律、確実な整備、組織的監督、実効性のある規制監視に代わることはできない。

飛行安全において、警報は始まりにすぎない。

事故防止を左右するのは、その警報が表示された後に、乗務員と組織がどのように行動するかである。

---

参考資料

• ブラジル航空事故調査予防センター CENIPA
  最終報告書 A-116/CENIPA/2024、機体PS-VPB
• CENIPA
  A-116/CENIPA/2024に基づく安全勧告
• 欧州航空安全機関 EASA
  Airworthiness Directive 2009-0170
• ATR
  Aviation System Flight Safety Enhancements

---

Marcuss Silva Reis
固定翼事業用操縦士、一般航空パイロット、航空分野の司法鑑定人、エコノミスト、眼鏡技術者。航空科学、民間航空安全、高等教育学の大学院課程修了。元民間航空学校教官、大学教授、Instituto do Ar創設者・講師。

ATR Had Already Been Improving Its Aircraft Performance Monitoring System for Icing Conditions

 

The release of the Final Report on Voepass Flight 2283 has once again brought attention to one of the most complex hazards affecting turboprop operations: performance degradation caused by ice accretion and the crew’s ability to recognize, understand, and respond to that condition before safety margins are exhausted.

The accident occurred on August 9, 2024, involving the ATR 72-500 registered PS-VPB. Brazil’s Aeronautical Accident Investigation and Prevention Center — CENIPA — released its Final Report on July 23, 2026.

One of the systems examined during the investigation was the Aircraft Performance Monitoring — APM, designed to assist flight crews in identifying abnormal aircraft performance degradation.

The investigation not only examined how the system operated during the accident flight, but also issued recommendations concerning its alerting logic and the procedures associated with degraded performance.

The APM system was not created after the Voepass accident

An important technical distinction must be made from the outset: the Aircraft Performance Monitoring system was not developed as a consequence of the Voepass accident.

ATR had developed the function several years earlier. In August 2009, the European Union Aviation Safety Agency — EASA — issued an Airworthiness Directive requiring its installation on several ATR 42 and ATR 72 aircraft.

According to EASA, the system was designed to improve flight crew situational awareness when aircraft performance deteriorates under icing conditions.

It would also be inaccurate to state that the entire APM V2 project originated from the Flight 2283 investigation.

A technical safety presentation previously published by ATR had already included APM V2 within the manufacturer’s development and certification program, with implementation associated with the 2026 timeframe.

This confirms that development of the improved system had begun before the Voepass Final Report was issued.

The accident, however, increased the relevance and urgency of reviewing some of the system’s characteristics.

How Aircraft Performance Monitoring works

The APM monitors several flight parameters to determine whether the aircraft’s actual performance remains consistent with the performance expected for its configuration, weight, power setting, speed, and operating conditions.

When the system detects abnormal performance degradation, it provides alerts to the flight crew.

In practical terms, APM serves as an additional technological safety barrier. It seeks to transform an aerodynamic deterioration—which may initially be gradual and difficult to perceive—into objective information presented to the pilots.

This is particularly important in icing conditions.

Ice accretion can:

• significantly increase aerodynamic drag;

• reduce lift;

• alter the aircraft’s aerodynamic behavior;

• increase stall speed;

• reduce climb performance;

• require additional power to maintain speed and altitude;

• affect aircraft controllability.

The system does not replace pilot judgment, operating procedures, appropriate training, or the requirement to exit meteorological conditions that may exceed the aircraft’s certified capabilities.

It adds another layer of awareness and warning.

CENIPA recommendations concerning the APM

The Flight 2283 Final Report resulted in nine safety recommendations addressed to EASA and Brazil’s National Civil Aviation Agency — ANAC.

One of these recommendations called for EASA to work with the manufacturer to reassess the APM alert levels.

The objective is to improve crew situational awareness regarding the severity of performance degradation and the need to promptly carry out the applicable procedures.

CENIPA recommended evaluating whether the “INCREASE SPEED” alert should be upgraded from a caution to a warning.

This distinction is not merely a matter of terminology.

Within an aircraft alerting philosophy, a warning represents a condition requiring a more immediate response than a caution.

The recommendation suggests that the way in which performance degradation was presented might not have communicated the seriousness of the situation strongly enough to the flight crew.

Degraded performance procedure

Another important recommendation concerns the Degraded Performance procedure.

CENIPA recommended that EASA and the manufacturer consider revising the procedure to require immediate crew action to restore a speed margin equivalent to the Icing Bug plus 30 knots.

The intention is to prevent the aircraft from continuing toward the limiting condition represented by VmLBO ICING.

This point deserves particular attention.

During icing operations, indicated airspeed should not be interpreted as an isolated number. What matters most is the remaining margin between the current speed and the operational boundary below which the aircraft’s aerodynamic behavior may become critical.

An aircraft may still be maintaining flight and altitude while progressively consuming its safety margin.

Waiting for a more severe degradation before taking action may make recovery considerably more difficult.

Alerts must communicate the urgency of the condition

An alerting system is effective only when it performs three essential functions:

1. attracts the crew’s attention;

2. correctly communicates the severity of the condition;

3. prompts a response consistent with the urgency involved.

When an alert appears intermittently, is assigned a lower priority than the actual threat, or can be interpreted as a momentary indication, the crew may not react as quickly as necessary.

This is a fundamental human factors issue.

Pilots operate in an environment involving a substantial flow of information: communications, navigation, weather, automation, system management, traffic, operational control, and decision-making.

A warning may be technically correct but still fail to produce the intended response if it does not communicate urgency effectively.

The discussion should therefore not be limited to whether an alert was generated.

It must also consider:

• how the alert was presented;

• how long it remained visible;

• what priority it received;

• how the crew interpreted it;

• which procedure was associated with it;

• whether training adequately reproduced the condition.

What cannot yet be presented as confirmed fact

Some social media reports have claimed that APM V2 has already been fully certified by EASA and includes three specific improvements:

• continuous performance monitoring throughout all phases of flight;

• a new alert logic based on the actual margin above VmLBO in icing conditions;

• a minimum alert display time of 60 seconds.

These features may be technically plausible and consistent with the safety issues raised after the accident.

However, the official sources examined for this article did not provide sufficiently clear technical documentation confirming that all these functions have already been certified and made available for operational use.

No conclusive official confirmation was identified regarding a mandatory 60-second display period for specific alerts.

These claims should therefore not be presented as definitively established facts without an official ATR or EASA document describing the final APM V2 configuration.

Caution is particularly important when discussing a recently completed investigation and design changes that remain subject to formal certification processes.

APM V2 may become part of the accident’s safety legacy

Although development of APM V2 began before the loss of PS-VPB, lessons from the investigation may still influence the system’s final configuration.

This is both normal and necessary in aviation.

Aircraft systems evolve based on:

• operational data;

• crew reports;

• previous incidents and accidents;

• investigation findings;

• human factors studies;

• safety recommendations;

• technological developments.

The fact that an improvement program already existed does not prevent an accident investigation from influencing its final design.

An investigation may change priorities, lead to revisions in alert logic, or accelerate the implementation of certain functions.

In this sense, the Flight 2283 accident may contribute to shaping the APM evolution around the way crews identify and respond to performance degradation in icing conditions.

Technology does not replace training

Even an improved monitoring system cannot, by itself, prevent future accidents.

Flight safety depends on the coordinated performance of several barriers:

• aircraft design and certification;

• proper system maintenance;

• quality of training;

• standard operating procedures;

• flight dispatch and operational monitoring;

• meteorological information;

• company supervision;

• risk management;

• regulatory oversight;

• appropriate crew response.

The APM can inform pilots that the aircraft is performing below expectations.

The outcome, however, will depend on whether the crew recognizes the seriousness of the condition, understands the alert, and applies the required procedures without delay.

It also depends on an organizational culture that does not normalize deviations, recurring technical failures, or operations conducted with reduced safety margins.

More than a software update

The discussion concerning APM should not be reduced to a software update or a change in the color of an alert.

What is at stake is the aviation system’s ability to identify a critical condition before it becomes irreversible.

This involves the manufacturer, the operator, the certification authority, the regulatory authority, training organizations, and flight crews.

When an investigation recommends upgrading an alert from a caution to a warning, it is indicating that the information may need to reach the pilots more forcefully.

When it recommends immediate action to recover the speed margin above the Icing Bug, it suggests that delay may represent an unacceptable risk.

These recommendations deserve serious consideration.

Conclusion

The Voepass Flight 2283 accident did not create the Aircraft Performance Monitoring system, nor did it originate the APM V2 development program.

The original system had been in service for years, and its evolution was already included in ATR’s development plans before the investigation was completed.

However, CENIPA’s Final Report raised specific questions about the presentation of performance degradation alerts and the urgency assigned to procedures related to flight in icing conditions.

The accident may therefore influence the system’s final improvement.

That is one of the main purposes of an aviation accident investigation: to transform tragedy into recommendations capable of preventing the same safety barriers from being breached again.

Future versions of the APM should provide information that is increasingly clear, timely, and proportionate to the seriousness of the condition.

Nevertheless, no technology can replace adequate training, operational discipline, effective maintenance, organizational oversight, and robust regulatory surveillance.

In flight safety, the alert is only the beginning.

Prevention depends on what the crew and the organization do after it appears.

---

Sources

• Brazilian Aeronautical Accident Investigation and Prevention Center — Final Report A-116/CENIPA/2024, aircraft PS-VPB;

• CENIPA — Safety Recommendations issued under Report A-116/CENIPA/2024;

• European Union Aviation Safety Agency — Airworthiness Directive 2009-0170;

• ATR — Aviation System Flight Safety Enhancements.

---

Marcuss Silva Reis
Fixed-wing Commercial Pilot, general aviation pilot, aviation expert witness, economist, and optical technician. Postgraduate in Aeronautical Sciences, Civil Aviation Safety, and Higher Education. Former civil aviation school flight instructor, university professor, founder and professor at Instituto do Ar.

ATR já vinha aprimorando sistema de monitoramento de desempenho em condições de gelo

 

O acidente com o voo Voepass 2283 colocou novamente no centro do debate uma questão conhecida na operação de aeronaves turboélices: a degradação de desempenho provocada pela formação de gelo e a capacidade da tripulação de perceber essa deterioração antes que a aeronave se aproxime de uma condição crítica.

Nesse contexto, a evolução do Aircraft Performance Monitoring — APM, sistema de monitoramento de desempenho utilizado nas aeronaves ATR, representa uma importante melhoria tecnológica. A nova versão, denominada APM 2.0, incorpora mudanças destinadas a ampliar a consciência situacional da tripulação, reduzir ambiguidades nos alertas e antecipar a identificação de perdas anormais de desempenho.

É importante observar que o APM não é uma tecnologia criada depois do acidente da Voepass. O sistema já vinha sendo desenvolvido e utilizado pela ATR havia vários anos. Em 2009, a EASA tornou obrigatória sua instalação em determinadas aeronaves ATR 42 e ATR 72, justamente para oferecer aos pilotos uma indicação objetiva de degradação aerodinâmica possivelmente associada ao acúmulo anormal de gelo.

Documentos anteriores da própria ATR também já apresentavam o APM V2 como parte do programa de aprimoramentos de segurança da fabricante, com desenvolvimento e certificação previstos para 2026. Portanto, tecnicamente, é mais correto afirmar que o acidente reforçou a urgência e a relevância dessas melhorias, e não necessariamente que todo o projeto nasceu exclusivamente como consequência da ocorrência.

Como funciona o APM

O Aircraft Performance Monitoring compara o desempenho real da aeronave com o desempenho teoricamente esperado para aquela condição de voo.

O sistema considera diferentes parâmetros e verifica, entre outros aspectos, se o arrasto aerodinâmico está aumentando de maneira incompatível com a configuração e a trajetória da aeronave. Quando identifica uma degradação acima dos limites estabelecidos, apresenta alertas à tripulação.

Na prática, o APM funciona como uma barreira tecnológica adicional. Ele não substitui a observação dos pilotos, os procedimentos previstos no manual de voo, o treinamento para operações em gelo ou a decisão de abandonar rapidamente uma região meteorológica adversa.

Sua função é complementar essas barreiras por meio de uma indicação mensurável e objetiva de que a aeronave pode não estar apresentando o desempenho esperado.

Monitoramento contínuo em todas as fases do voo

Uma das principais mudanças anunciadas para o APM 2.0 é o monitoramento contínuo do desempenho.

Na versão anterior, a lógica do sistema estava fortemente vinculada à identificação de condições de formação de gelo. Na nova configuração, o acompanhamento passa a ocorrer durante todas as fases do voo, independentemente de uma condição de gelo já ter sido reconhecida ou sinalizada.

Essa mudança é relevante porque a deterioração do desempenho nem sempre se apresenta de maneira abrupta. Em muitos casos, ela pode evoluir progressivamente, enquanto a tripulação administra navegação, comunicações, meteorologia, automação e demais tarefas operacionais.

O monitoramento permanente permite que o sistema identifique mais cedo uma diferença entre o desempenho esperado e o desempenho real da aeronave.

A palavra central, nesse caso, é antecipação.

Quanto mais cedo a tripulação for informada de que a aeronave está perdendo margem de desempenho, maior será a possibilidade de adotar uma resposta organizada: aumentar a potência, corrigir a velocidade, revisar a configuração, desligar a automação quando necessário e, principalmente, sair da condição meteorológica adversa.

Nova lógica para os alertas de velocidade

Outra mudança importante está na lógica utilizada para o acionamento dos avisos relacionados à velocidade.

O novo sistema considera a margem real existente acima da VmLBO em condições de gelo, normalmente representada no indicador de velocidade pelo chamado Icing Bug.

Essa referência é fundamental porque, sob formação de gelo, o comportamento aerodinâmico da aeronave pode se alterar significativamente. O acúmulo de gelo aumenta o arrasto, reduz a sustentação, compromete a eficiência das superfícies aerodinâmicas e pode elevar a velocidade mínima necessária para que a aeronave permaneça dentro de uma margem operacional segura.

Na prática, não basta observar apenas um número teórico de velocidade indicada. É necessário compreender quanto de margem ainda existe entre a velocidade atual e a região em que o desempenho aerodinâmico pode se tornar crítico.

Com a nova lógica, os alertas passam a refletir mais diretamente essa margem operacional.

Isso torna o aviso mais coerente com aquilo que realmente interessa à tripulação: não apenas qual é a velocidade indicada naquele momento, mas quão próxima a aeronave está de perder uma margem segura de operação.

Alertas permanecerão visíveis por pelo menos 60 segundos

O APM 2.0 também prevê que determinadas mensagens permaneçam apresentadas por um período mínimo de 60 segundos, mesmo que a condição responsável pelo acionamento desapareça momentaneamente.

À primeira vista, pode parecer uma alteração simples. Entretanto, ela está diretamente relacionada aos fatores humanos.

Um alerta que aparece e desaparece repetidamente pode ser interpretado como instabilidade do sistema, indicação momentânea ou até falso aviso. Esse comportamento favorece a chamada habituação, situação em que os pilotos passam a atribuir menor importância a mensagens que se repetem sem permanecer ativas.

A manutenção do alerta por pelo menos 60 segundos reduz esse efeito e oferece à tripulação tempo para:

• perceber a mensagem;
• confirmar os instrumentos;
• compartilhar a informação entre os pilotos;
• avaliar a tendência da velocidade e do desempenho;
• consultar ou executar os procedimentos aplicáveis;
• tomar uma decisão operacional.

Uma mensagem como “CRUISE SPEED LOW”, por exemplo, não deve ser tratada apenas como um aviso isolado. Ela precisa ser inserida no contexto geral da operação: potência aplicada, atitude, velocidade, razão de subida ou descida, funcionamento do sistema antigelo, condições meteorológicas e eventual degradação aerodinâmica.

Tecnologia não substitui treinamento e disciplina operacional

Embora as melhorias sejam relevantes, nenhum sistema isolado é capaz de impedir um acidente.

A segurança depende de um conjunto de barreiras: projeto da aeronave, certificação, manutenção, treinamento, procedimentos operacionais, despacho, meteorologia, supervisão da empresa, fiscalização e capacidade da tripulação de reconhecer e administrar uma situação anormal.

O APM pode indicar que a aeronave está apresentando uma deterioração de desempenho. Mas a resposta continuará dependendo da compreensão dos pilotos sobre o significado do alerta e da execução tempestiva dos procedimentos.

A própria EASA, ao tratar do sistema original, deixou claro que o APM não elimina a necessidade de aplicação dos procedimentos previstos no manual de voo para condições severas de gelo. O equipamento acrescenta informações objetivas à consciência situacional, mas não concede qualquer alívio operacional à tripulação.

Por essa razão, uma atualização tecnológica precisa ser acompanhada por revisão de manuais, treinamento em simulador, padronização de procedimentos e demonstração clara das diferenças entre as versões do sistema.

Uma melhoria que também provoca questionamentos

Toda modificação introduzida depois de um acidente relevante desperta uma pergunta inevitável: se essa tecnologia é capaz de oferecer alertas mais precoces e mais consistentes, por que ela não estava disponível anteriormente?

A resposta raramente é simples.

Sistemas aeronáuticos passam por longos processos de desenvolvimento, ensaios, certificação e incorporação às frotas. Além disso, nem toda melhoria demonstra uma deficiência de projeto anterior. Muitas vezes, ela representa uma evolução construída a partir da experiência operacional acumulada.

No entanto, acidentes precisam produzir aprendizado.

Quando uma investigação identifica limitações na forma como informações são apresentadas à tripulação, nos procedimentos utilizados ou na capacidade de reconhecer uma degradação de desempenho, fabricantes, operadores e autoridades devem agir.

Não basta atribuir toda a responsabilidade ao último elo da cadeia, normalmente representado pelos pilotos. É necessário avaliar também a qualidade dos alertas, o desenho das interfaces, o treinamento oferecido, a supervisão operacional e as condições organizacionais em que o voo foi realizado.

O legado de segurança do voo Voepass 2283

O aperfeiçoamento do APM poderá se tornar parte do legado de segurança deixado pelo acidente com o voo Voepass 2283.

A tragédia demonstrou que a formação de gelo continua sendo uma ameaça operacional relevante, mesmo em aeronaves certificadas para voar em condições conhecidas de gelo e equipadas com sistemas de proteção.

Certificação não significa invulnerabilidade.

O sistema antigelo possui limites. A aeronave possui limites. A automação possui limites. O ser humano também.

A verdadeira segurança surge quando essas limitações são reconhecidas e compensadas por diferentes barreiras, capazes de identificar uma deterioração antes que ela se transforme em perda de controle.

O APM 2.0 representa uma dessas barreiras.

Seu monitoramento contínuo, a nova lógica baseada na margem real de velocidade e a permanência dos alertas por 60 segundos podem oferecer às tripulações informações mais claras e mais úteis.

Mas a tecnologia somente cumprirá sua função se estiver inserida em uma estrutura operacional que valorize treinamento, padronização, supervisão, manutenção, fiscalização e uma cultura de segurança efetivamente comprometida com a prevenção.

O aprendizado mais importante não é apenas instalar um sistema melhor.

É garantir que o sistema, a tripulação, a empresa e a autoridade reguladora atuem conjuntamente antes que as margens de segurança sejam completamente consumidas.

---

Marcuss Silva Reis
Piloto Comercial de asas fixas, piloto da aviação geral, perito judicial em aviação, economista e técnico em óptica. Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior. Ex-instrutor de escolas de aviação civil, professor universitário, fundador e professor do Instituto do Ar.

Sugiro consultar:

EASA — Airworthiness Directive 2009-0170
Diretriz de aeronavegabilidade referente à instalação da função Aircraft Performance Monitoring — APM nos modelos ATR 42 e ATR 72. O documento explica que o sistema foi desenvolvido para melhorar a consciência situacional da tripulação diante da degradação de desempenho em condições de gelo.

ATR — Aviation System Flight Safety Enhancements
Apresentação técnica da fabricante sobre melhorias de segurança de voo. O documento já colocava o APM V2 no planejamento de desenvolvimento e certificação para 2026, demonstrando que o projeto existia antes da divulgação do relatório final do acidente. 

Aircraft Cabin Pressurization: How It Works and What Happens During a Rapid or Gradual Depressurization

 

Flying at high altitude offers significant operational advantages. Aircraft can avoid much of the lower-level weather, achieve better fuel efficiency and operate in thinner air, where aerodynamic drag is reduced.

The human body, however, cannot safely tolerate the atmospheric conditions found at typical airline cruising altitudes. As an aircraft climbs, atmospheric pressure and the partial pressure of oxygen decrease. Without cabin pressurization or supplemental oxygen, pilots and passengers may develop hypoxia, a condition that can impair judgment, vision, coordination and consciousness.

Cabin pressurization is therefore not merely a comfort system. At high altitude, it is essential for human survival and safe flight operations.

What Does Cabin Pressurization Mean?

A pressurized cabin is maintained at a pressure higher than the atmospheric pressure outside the aircraft.

This does not necessarily mean that the cabin remains at sea-level pressure. An aircraft may be cruising at 35,000 feet while the pressure inside the cabin corresponds to an altitude of approximately 6,000 to 8,000 feet.

This equivalent atmospheric condition is known as cabin altitude.

Three concepts must be distinguished:

• Aircraft altitude: the actual altitude at which the aircraft is flying;
• Cabin altitude: the altitude equivalent to the pressure maintained inside the cabin;
• Differential pressure: the difference between cabin pressure and outside atmospheric pressure.

Every pressurized aircraft has a certified maximum differential pressure. Exceeding that limit could place excessive stress on the fuselage.

How Does the Pressurization System Work?

In simple terms, the system supplies compressed air to the cabin while controlling how much air is allowed to leave the aircraft.

On many turbine-powered aircraft, pressurization air is obtained from the engine compressor sections through the bleed-air system. Before entering the cabin, this hot compressed air passes through the environmental control system, where its pressure and temperature are adjusted.

Some newer aircraft use electrically driven compressors instead of conventional engine bleed air.

The cabin is not completely sealed. Fresh conditioned air continuously enters the aircraft, while another portion is released overboard. Cabin pressure is controlled primarily by regulating this airflow out of the fuselage.

The Outflow Valve

The principal component responsible for regulating cabin pressure is the outflow valve.

• When the valve moves toward the closed position, less air leaves the aircraft and cabin pressure increases;
• When the valve opens, more air is released and cabin pressure decreases.

An automatic cabin pressure controller commands the valve to produce smooth changes in cabin altitude. The system normally includes pressure-relief and negative-pressure-relief valves to prevent unsafe pressure differences.

Pressurization During a Normal Flight

During the climb, the aircraft may gain altitude quickly, but the pressurization system allows cabin altitude to increase at a slower and more comfortable rate.

At cruise altitude, cabin pressure is stabilized according to the aircraft’s operating and certification limits.

During descent, cabin pressure is gradually adjusted to match the atmospheric pressure at the destination airport. By the time the aircraft lands, the pressure difference should be minimal, allowing the doors to be opened normally.

What Is Cabin Depressurization?

Cabin depressurization is a partial or complete loss of the pressure maintained inside the aircraft.

Possible causes include:

• Loss of pressurization airflow;
• Cabin pressure controller malfunction;
• Incorrect outflow valve operation;
• Leaking doors, windows or seals;
• Structural damage;
• Window or fuselage failure;
• Incorrect system configuration.

Depressurization events are generally classified according to how quickly cabin pressure is lost.

Explosive Depressurization

An explosive depressurization occurs when cabin pressure equalizes with outside atmospheric pressure almost instantaneously.

The pressurized air expands and escapes rapidly through an opening. A temporary cloud or fog may form inside the cabin because the sudden pressure and temperature drop causes moisture in the air to condense. This fog should not automatically be interpreted as smoke.

Other possible effects include:

• A very loud noise;
• Sudden temperature reduction;
• Movement of unsecured objects;
• Difficulty communicating;
• Automatic deployment of passenger oxygen masks;
• Immediate risk of hypoxia;
• Possible additional structural damage.

The severity of the event depends on aircraft altitude, differential pressure, cabin volume and the size of the opening.

Rapid Depressurization

A rapid depressurization takes place over several seconds. It is not as instantaneous as an explosive event, but it can still produce severe physiological and operational consequences.

At high altitude, the crew must immediately use oxygen, maintain control of the aircraft and descend to an altitude where atmospheric pressure supports normal breathing.

Gradual Depressurization

A gradual or slow depressurization may result from a small leak, reduced airflow, an outflow valve problem or an incorrect system configuration.

This type can be especially dangerous because there may be no loud noise, sudden temperature change or obvious physical indication. The first warnings may appear on the instruments or through changes in human performance.

Possible indications include:

• Increasing cabin altitude;
• Cabin-altitude warning;
• Ear discomfort;
• Headache;
• Rapid breathing;
• Drowsiness;
• Difficulty concentrating;
• Impaired judgment;
• Reduced coordination.

Hypoxia itself may prevent pilots and passengers from recognizing that their performance is deteriorating. A person may feel relatively normal while already losing the ability to make sound decisions.

Time of Useful Consciousness

Time of useful consciousness, also known as effective performance time, is the approximate period during which a person can still perform purposeful tasks after being exposed to inadequate oxygen.

It is not the time until complete unconsciousness.

As altitude increases, the available time decreases sharply. Following a rapid depressurization at very high altitude, pilots may have only seconds to put on their oxygen masks and take effective action.

The general order of priorities is:

1. Put on and secure the oxygen masks;
2. Establish flight crew communication;
3. Maintain aircraft control;
4. Begin an emergency descent when required;
5. Complete the applicable aircraft checklist;
6. Notify air traffic control;
7. Continue toward a safe altitude and suitable airport.

Exact procedures vary by aircraft and must always follow the approved flight manual and checklist.

Ryanair 2026: Rapid Cabin Depressurization After a Window Failure

A recent example occurred on July 10, 2026, during a flight from Thessaloniki, Greece, to Memmingen, Germany.

The Boeing 737-800 was operated by Malta Air, a member of the Ryanair Group. The aircraft returned to Thessaloniki after a passenger window became dislodged in flight, causing the cabin to depressurize. Passenger oxygen masks deployed, and one occupant seated near the affected window required medical assistance. The aircraft landed safely at its departure airport. Reuters

What Caused the Window Failure?

The investigation remains in progress.

The US National Transportation Safety Board initially reported being notified of a right-engine issue accompanied by cabin depressurization. Some preliminary accounts indicated that an object or engine-related fragment may have struck the aircraft and damaged the window.

On July 20, Ryanair Group CEO Michael O’Leary said the initial evidence suggested possible foreign-object damage. This statement should not be treated as an official determination of cause. Reuters — July 20 update

Until investigators publish their findings, it would be premature to conclude that the event resulted from a maintenance problem, a defective window or an uncontained engine failure.

Was It an Explosive Depressurization?

The event clearly involved a sudden opening in the pressure vessel and rapid loss of cabin pressure. However, classifying it definitively as an explosive depressurization requires verified technical data, including:

• Aircraft and cabin altitude;
• Differential pressure at the time of failure;
• Effective size of the opening;
• Time required for pressure equalization;
• Flight recorder data;
• Examination of the window, fuselage and engine.

For this reason, rapid cabin depressurization is the more prudent description while the investigation remains underway.

Other Important Cabin Depressurization Accidents

Aloha Airlines Flight 243

On April 28, 1988, an Aloha Airlines Boeing 737-200 suffered an explosive depressurization and extensive structural failure at 24,000 feet.

A large section of the upper fuselage separated, but the crew retained control and landed the aircraft. The investigation identified fatigue damage and corrosion as important factors and influenced aircraft structural inspection programs worldwide. NTSB final report

Helios Airways Flight 522

On August 14, 2005, a Helios Airways Boeing 737-300 failed to pressurize properly after departure from Cyprus.

The pressurization mode selector had remained in the manual position following maintenance activity. The crew did not correctly identify the developing pressurization problem and eventually became incapacitated by hypoxia. The aircraft continued under autopilot until fuel exhaustion and crashed near Athens, killing all 121 people aboard.

The accident demonstrated the danger of a gradual and initially unnoticed loss of pressurization. Official investigation report

Southwest Airlines Flight 1380

On April 17, 2018, a Southwest Airlines Boeing 737-700 experienced a left-engine failure while climbing through Flight Level 320.

Parts of the engine inlet and fan cowling struck the fuselage and damaged a passenger window, causing cabin depressurization. The crew conducted an emergency descent and diverted to Philadelphia. The occurrence has technical similarities to some of the preliminary accounts surrounding the Ryanair event, but the causes must not be assumed to be identical. NTSB final report

The Main Safety Lesson

Cabin pressurization is a critical aircraft system, not merely a comfort feature. An explosive or rapid depressurization is immediately noticeable, while a gradual loss of pressure can be more deceptive because hypoxia may develop silently.

The Ryanair event also reinforces the value of remaining seated with the seat belt fastened whenever possible, even when the seat-belt sign is off.

When a pressurization warning occurs at altitude, oxygen and aircraft control take priority over troubleshooting. The crew must protect its ability to think and act before attempting to determine what caused the failure.

Editorial note: The investigation into the Ryanair Group occurrence of July 10, 2026, remains underway. Preliminary information may change as technical evidence is examined.

About the Author

Marcuss Silva Reis
Economist | Fixed-Wing Commercial Pilot | Aviation Expert Witness | Former Civil Aviation Flight School Instructor | Former University Professor of Aeronautical Sciences
Postgraduate qualifications in Aeronautical Sciences, Civil Aviation Safety and Higher Education Teaching | Optical Technician
Founder and Professor of Instituto do Ar.

Caso Ryanair em 2026: uma descompressão rápida após a perda de uma janela

 Um exemplo recente ocorreu em 10 de julho de 2026, durante um voo do grupo Ryanair entre Tessalônica, na Grécia, e Memmingen, na Alemanha.

O Boeing 737-800, operado pela Malta Air, regressou ao aeroporto de origem depois que uma janela da cabine se desprendeu durante o voo. A abertura provocou uma descompressão rápida, seguida pelo acionamento das máscaras de oxigênio. Um passageiro sentado próximo à janela foi parcialmente projetado em direção à abertura, mas recebeu auxílio de outros ocupantes e sobreviveu. A aeronave retornou e pousou com segurança em Tessalônica. Reuters

O que pode ter provocado a descompressão?

As informações disponíveis ainda são preliminares. O NTSB informou inicialmente ter sido notificado sobre um problema no motor direito acompanhado de descompressão da cabine. Existem relatos de que um fragmento teria atingido a fuselagem e danificado a janela, mas essa sequência ainda precisa ser confirmada pela investigação.

Em 20 de julho de 2026, o diretor-executivo da Ryanair, Michael O’Leary, declarou que os elementos iniciais apontavam para possível dano causado por objeto estranho. Essa manifestação empresarial não equivale, porém, a uma conclusão da autoridade investigadora. Reuters — atualização de 20 de julho

Até a publicação do relatório oficial, não é tecnicamente correto afirmar que houve falha de manutenção, defeito da janela ou falha não contida do motor como causa definitivamente estabelecida.

Foi uma descompressão explosiva?

A ocorrência apresenta características de uma descompressão rápida, possivelmente explosiva, porque houve abertura súbita da cabine pressurizada para a atmosfera externa.

A classificação definitiva dependerá de dados como:

• Altitude e pressão diferencial no momento da abertura;
• Dimensão efetiva da área despressurizada;
• Tempo necessário para a equalização das pressões;
• Dados dos gravadores de voo;
• Exame da janela, fuselagem e motor;
• Origem do objeto ou fragmento que teria causado o dano.

Não é o avião inteiro que se transforma em uma espécie de “aspirador”. O fenômeno resulta da expansão e da saída muito rápida do ar pressurizado da cabine pela abertura, levando consigo objetos ou pessoas que estejam próximos e sem contenção adequada.

O que esse caso ensina?

A ocorrência demonstra por que o cinto deve permanecer afivelado durante todo o voo, mesmo quando o aviso luminoso estiver apagado. Também evidencia a importância de três defesas essenciais:

1. Acionamento imediato do sistema de oxigênio;
2. Descida para uma altitude respirável;
3. Retorno ou desvio para um aeroporto adequado.

A tripulação conseguiu manter o controle da aeronave e realizar um pouso seguro. Sob a perspectiva da segurança operacional, o caso mostra que uma descompressão rápida é uma emergência grave, mas pode ser administrada quando a estrutura mantém sua integridade essencial, os sistemas funcionam e os procedimentos são executados corretamente.

Nota editorial: a investigação da ocorrência de 10 de julho de 2026 ainda está em andamento. Informações sobre a origem do dano devem ser tratadas como preliminares, e não como causa oficialmente determinada.

 Marcuss Silva Reis

Economista, piloto comercial de asas fixas e perito judicial em aviaçãoIinstrutor de escolas de aviação civil e professor universitário de Ciências Aeronáuticas. Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior. Técnico em Óptica. Fundador e professor do Instituto do Ar.

Sistema de pressurização de aeronaves: função, funcionamento e tipos de descompressão

Voar em grandes altitudes oferece vantagens importantes: menor consumo de combustível, possibilidade de sobrevoar parte das formações meteorológicas e melhor desempenho aerodinâmico. O problema é que, à medida que a aeronave sobe, a pressão atmosférica e a pressão parcial de oxigênio diminuem.

Sem pressurização ou oxigênio suplementar, o organismo pode entrar em hipóxia — uma deficiência de oxigênio capaz de comprometer o raciocínio, a visão, a coordenação motora e, em situações mais graves, provocar perda de consciência.

O sistema de pressurização existe para manter dentro da cabine uma pressão compatível com a permanência humana, mesmo quando a aeronave está voando muito acima da altitude que o corpo toleraria normalmente.

O que significa pressurizar uma aeronave?

Pressurizar não significa manter a cabine exatamente nas mesmas condições existentes ao nível do mar. O sistema estabelece artificialmente uma pressão interna superior à pressão atmosférica externa.

Por exemplo, uma aeronave pode estar voando a 35 mil pés, enquanto a pressão dentro da cabine corresponde aproximadamente à encontrada entre 6 mil e 8 mil pés. Essa condição é chamada de altitude de cabine.

Portanto, é necessário distinguir:

• Altitude da aeronave: altitude real em que o avião está voando;
• Altitude de cabine: altitude atmosférica equivalente à pressão existente dentro da cabine;
• Pressão diferencial: diferença entre a pressão interna da cabine e a pressão externa.

Quanto maior a altitude de voo, maior tende a ser a diferença de pressão entre o interior e o exterior da aeronave. A estrutura possui um limite de pressão diferencial que não pode ser ultrapassado.

Como funciona o sistema de pressurização?

De maneira simplificada, o sistema introduz ar comprimido na cabine e controla a quantidade de ar que sai da aeronave.

Em aviões equipados com motores a reação, esse ar pode ser obtido dos compressores dos motores, por meio do sistema de sangria de ar, conhecido como bleed air. Aeronaves mais modernas também podem utilizar compressores elétricos independentes.

Antes de entrar na cabine, o ar passa pelo sistema de condicionamento, no qual sua temperatura e pressão são ajustadas.

É importante compreender um ponto: a cabine não é completamente vedada. O ar entra continuamente e também precisa sair. A pressurização é controlada principalmente pela regulagem dessa saída.

Válvula de saída de ar

A principal responsável por esse controle é a válvula de saída, ou outflow valve.

• Quando a válvula fecha parcialmente, menos ar consegue sair e a pressão interna aumenta;
• Quando ela abre, uma quantidade maior de ar é liberada e a pressão da cabine diminui.

O controlador de pressurização movimenta essa válvula para produzir uma subida ou descida de cabine suave, evitando variações desconfortáveis para passageiros e tripulantes.

O sistema também possui válvulas de segurança destinadas a evitar pressão diferencial excessiva e, em algumas aeronaves, impedir que a pressão externa fique perigosamente maior que a interna.

O ciclo da pressurização durante o voo

Durante a decolagem e a subida, a aeronave ganha altitude rapidamente, mas o sistema faz a altitude de cabine aumentar de forma mais lenta e controlada.

No cruzeiro, a cabine permanece estabilizada em uma altitude equivalente previamente determinada pelo sistema.

Durante a descida, a pressão interna é gradualmente igualada à pressão do aeródromo de destino. Quando o avião pousa, a diferença de pressão deve estar praticamente eliminada, permitindo a abertura normal das portas.

O que é descompressão?

Descompressão é a perda total ou parcial da pressão mantida dentro da cabine. Ela pode decorrer de diferentes situações, como:

• Falha no fornecimento de ar;
• Funcionamento inadequado da válvula de saída;
• Defeito no controlador de pressurização;
• Vazamento em portas, janelas ou vedações;
• Danos estruturais;
• Ruptura de uma janela ou de parte da fuselagem;
• Erro de configuração ou operação do sistema.

A classificação depende principalmente da velocidade com que a pressão da cabine é perdida.

Descompressão explosiva

A descompressão explosiva ocorre quando a pressão interna se iguala à externa em uma fração de segundo ou em um intervalo extremamente curto.

O ar pressurizado expande-se e escapa rapidamente pela abertura existente. Pode ocorrer a formação momentânea de uma névoa dentro da cabine. Ela resulta da queda brusca de temperatura e da condensação da umidade presente no ar — não significa necessariamente presença de fumaça.

Outros efeitos possíveis incluem:

• Forte ruído;
• Queda repentina da temperatura;
• Deslocamento de objetos soltos;
• Dificuldade de comunicação;
• Acionamento das máscaras de oxigênio;
• Possibilidade de danos adicionais à estrutura;
• Risco imediato de hipóxia.

A gravidade depende da altitude, da pressão diferencial, do tamanho da abertura e do volume da cabine. Aeronaves pequenas, por possuírem menor volume interno, podem perder a pressão muito rapidamente.

Descompressão rápida

Algumas classificações também reconhecem a descompressão rápida, situada entre a explosiva e a lenta. A pressão é perdida em poucos segundos, mas não de maneira praticamente instantânea.

Mesmo assim, os efeitos fisiológicos e operacionais podem ser graves, especialmente em grandes altitudes. A tripulação precisa reconhecer imediatamente o problema, utilizar oxigênio e conduzir a aeronave para uma altitude segura.

Descompressão não explosiva

A expressão “descompressão não explosiva” normalmente abrange a perda rápida ou lenta da pressurização sem os efeitos instantâneos característicos da explosiva.

Descompressão lenta

Na descompressão lenta, a pressão é perdida gradualmente. Ela pode ser provocada por um pequeno vazamento, falha no fornecimento de ar ou posição inadequada da válvula de saída.

Esse tipo pode ser especialmente traiçoeiro porque não apresenta necessariamente ruído intenso, névoa ou mudança abrupta de temperatura. Os primeiros sinais podem aparecer nos instrumentos ou no comportamento das pessoas.

Entre os indícios estão:

• Aumento da altitude de cabine;
• Alarme de altitude de cabine;
• Desconforto ou pressão nos ouvidos;
• Respiração mais acelerada;
• Dor de cabeça;
• Sonolência;
• Dificuldade de concentração;
• Alteração de julgamento;
• Coloração azulada dos lábios ou extremidades em casos mais graves.

O perigo está no fato de que a própria hipóxia reduz a capacidade de perceber o problema. Uma pessoa pode sentir-se relativamente bem enquanto seu julgamento e sua coordenação já estão comprometidos.

Por que o tempo de consciência útil é tão importante?

O tempo de consciência útil é o período aproximado durante o qual uma pessoa ainda consegue realizar ações eficazes depois de sofrer privação de oxigênio.

Esse tempo diminui drasticamente com o aumento da altitude. Em altitudes muito elevadas, a tripulação pode dispor de apenas alguns segundos para colocar a máscara e iniciar as ações previstas.

Por isso, em uma descompressão, a prioridade não é investigar imediatamente a origem da falha. A sequência geral de segurança é:

1. Colocar e assegurar as máscaras de oxigênio;
2. Estabelecer comunicação entre os pilotos;
3. Controlar a aeronave;
4. Iniciar a descida de emergência quando necessária;
5. Executar o checklist aplicável ao modelo;
6. Informar o controle de tráfego aéreo;
7. Prosseguir para uma altitude em que a respiração seja segura.

Os procedimentos exatos dependem do tipo de aeronave e devem seguir seu manual e checklist.

Descompressão explosiva e lenta: principais diferenças

Característica	Explosiva	Não explosiva ou lenta
Velocidade	Praticamente instantânea	Progressiva ou em alguns segundos
Ruído	Geralmente muito intenso	Pode ser discreto ou inexistente
Névoa	Pode surgir momentaneamente	Menos provável
Temperatura	Queda brusca	Variação mais gradual
Percepção	Normalmente imediata	Pode passar despercebida
Principal risco	Efeitos instantâneos, hipóxia e possíveis danos estruturais	Hipóxia silenciosa e perda gradual da capacidade de julgamento
Resposta inicial	Oxigênio e controle da aeronave	Oxigênio e controle da aeronave

Considerações finais

A pressurização não serve apenas para proporcionar conforto. Ela é um sistema essencial para a sobrevivência e para a capacidade operacional da tripulação em grandes altitudes.

A descompressão explosiva chama atenção pelo ruído, pela névoa e pela rapidez. A descompressão lenta, embora menos dramática, pode ser igualmente perigosa porque permite que a hipóxia se instale de maneira silenciosa.

O treinamento precisa enfatizar uma regra fundamental: diante de qualquer indicação de perda de pressurização em altitude, primeiro garante-se o suprimento de oxigênio e o controle da aeronave. Somente depois se investiga a falha. Em grandes altitudes, poucos segundos de hesitação podem comprometer a capacidade de tomar de tomar decisões.

• FAA — Advisory Circular AC 61-107B: Aircraft Operations at Altitudes Above 25,000 Feet — treinamento para operações em grandes altitudes, descompressão e uso de oxigênio.
• FAA — Introduction to Aviation Physiology — efeitos fisiológicos da altitude e das descompressões rápida e lenta.
• FAA — Aeronautical Information Manual, Capítulo 8: Medical Facts for Pilots — prevenção da hipóxia e emprego de oxigênio suplementar.

Assinatura

Marcuss Silva Reis
Economista | Piloto Comercial de Asas Fixas | Perito Judicial em Aviação | Ex-instrutor de escolas de aviação civil | Ex-professor universitário de Ciências Aeronáuticas
Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior | Técnico em Óptica
Mmbro fundador e professor do Instituto do Ar