O acidente do Citation N610ED mostra como meteorologia, falhas de equipamentos e elevada carga de trabalho podem eliminar rapidamente as margens de segurança de uma operação com apenas um piloto.
A operação single-pilot em jatos executivos é perfeitamente possível quando prevista pela certificação ou por autorização regulatória aplicável e quando todos os requisitos operacionais são atendidos.
Mas existe uma diferença fundamental entre perguntar se um piloto pode operar determinada aeronave e perguntar se, diante das condições existentes naquele voo específico, é prudente fazê-lo sozinho.
O acidente envolvendo o Cessna 500 Citation N610ED, ocorrido próximo a Derby, Kansas, em 18 de outubro de 2013, oferece um exemplo particularmente importante dessa diferença.
O caso foi investigado pelo National Transportation Safety Board (NTSB) e apresenta uma combinação de fatores que merece atenção: operação single-pilot, voo IFR, instrumentos com problemas, autopilot inoperante, formação severa de gelo, aumento repentino da carga de trabalho e desorientação do piloto.
Um Citation, um piloto e um passageiro
O N610ED era um Cessna 500 Citation, jato executivo bimotor equipado com motores Pratt & Whitney Canada JT15D-1A.
Em 18 de outubro de 2013, a aeronave decolou do Wichita Mid-Continent Airport, no Kansas, com destino ao New Braunfels Regional Airport, no Texas.
A bordo estavam apenas o piloto e um passageiro.
O voo era realizado sob FAR Part 91, com plano IFR. Embora houvesse condições meteorológicas visuais na superfície, o NTSB considerou provável a existência de condições IMC em altitude.
Aproximadamente dez minutos depois da decolagem, o Citation estava perdido.
O piloto tinha experiência no Citation
Esse detalhe é importante.
Não estamos falando simplesmente de um piloto com pouca familiaridade com aquele tipo de aeronave.
Segundo o NTSB, ele possuía aproximadamente 2.605 horas totais, sendo cerca de 2.366 horas em aeronaves multimotoras e aproximadamente 1.172 horas em Cessna 500 e 550.
Desde novembro de 2012, havia acumulado aproximadamente 206 horas em Citation registradas como single-pilot, sem outro piloto no cockpit.
Portanto, o acidente apresenta uma importante lição de fatores humanos:
experiência não torna um piloto imune à saturação de tarefas.
O Citation originalmente exigia dois pilotos
Aqui encontramos um dos aspectos mais interessantes do acidente.
O certificado de tipo daquela aeronave estabelecia uma tripulação mínima composta por piloto e copiloto.
Entretanto, o Citation poderia ser operado por somente um piloto quando esse profissional estivesse abrangido por uma isenção da FAA, incluindo treinamento específico aprovado para single-pilot.
O comandante do N610ED possuía essa autorização.
Mas havia uma condição fundamental.
Para exercer a operação single-pilot, determinados equipamentos precisavam estar funcionando adequadamente, incluindo autopilot, flight director e instrumentos giroscópicos de voo.
E justamente aí começa a construção do acidente.
Havia problemas conhecidos antes da decolagem
Depois do voo anterior, o piloto relatou problemas em diversos instrumentos, incluindo o autopilot, o Horizontal Situation Indicator — HSI — e os horizontes artificiais.
Um horizonte artificial do lado direito foi substituído.
Segundo a investigação, entretanto, outros problemas permaneceram sem correção antes do voo do acidente.
O NTSB não encontrou evidências de que os problemas restantes no autopilot e em determinados instrumentos do piloto tivessem sido solucionados.
Mesmo assim, a aeronave decolou para um voo IFR.
Esse ponto é essencial.
O problema não era simplesmente voar sozinho.
O problema era a progressiva retirada das barreiras que tornavam aquela operação single-pilot administrável.
Então entrou a meteorologia
Na região havia condições favoráveis à formação de gelo.
O NTSB encontrou AIRMETs válidos prevendo condições IFR e gelo moderado entre o nível de congelamento e o FL180.
A análise meteorológica também indicava elevada probabilidade de formação de gelo na altitude em que o Citation voava, além da possibilidade de Supercooled Large Droplets — SLD, gotas grandes de água super-resfriada.
O NTSB determinou que, no momento da perda de controle, a aeronave havia entrado em uma região com gelo severo.
A situação agora era muito diferente daquela existente durante o planejamento da partida.
O piloto estava sozinho.
Voando IFR.
Com instrumentos apresentando problemas.
Sem autopilot funcional.
E enfrentando rápida formação de gelo estrutural.
E o ATC continuava funcionando normalmente
Há um aspecto desse acidente que demonstra perfeitamente como ocorre a saturação de um piloto.
O controlador não precisava saber exatamente o que estava acontecendo dentro daquele cockpit.
Durante aquele período crítico, o ATC transmitiu ao piloto uma mudança de frequência, alteração de altitude e pequena modificação da rota.
São tarefas perfeitamente normais em uma operação IFR.
Mas não eram mais tarefas isoladas.
Precisavam ser processadas enquanto o piloto também tentava controlar uma aeronave acumulando gelo e enfrentando problemas instrumentais.
O próprio NTSB considerou provável que essas instruções tenham aumentado a carga de trabalho justamente quando o Citation começava a acumular gelo estrutural rapidamente.
Essa talvez seja uma das maiores lições do acidente.
Uma tarefa normal pode se tornar crítica quando adicionada a várias outras tarefas simultâneas.
Task overload
O NTSB registrou entre os achados da investigação:
Task overload — Pilot.
Ou seja, sobrecarga de tarefas.
Também aparecem entre os achados desorientação espacial, problemas de julgamento e tomada de decisão, instrumentos defeituosos e autopilot inoperante.
É exatamente nesse ponto que precisamos compreender a verdadeira complexidade da operação single-pilot.
Quando existem dois pilotos, teoricamente é possível distribuir tarefas.
Um permanece como Pilot Flying — PF.
O outro atua como Pilot Monitoring — PM.
Enquanto um mantém atitude, velocidade, potência e trajetória, o outro pode administrar comunicações, frequências, navegação, checklists e sistemas.
Quando existe somente um piloto, essa divisão desaparece.
O mesmo cérebro precisa fazer tudo.
O que aconteceu depois?
Depois de atingir aproximadamente 15.000 pés, o comportamento da aeronave começou a se deteriorar.
Os dados de radar mostraram mudanças de trajetória e altitude.
Às 10h14min49s, o piloto informou que estava nivelando a 15.000 pés.
Poucos segundos depois, recebeu autorização para subir para o FL230 e prosseguir direto para o VORTAC Millsap.
Ele respondeu à autorização.
Essa foi a última comunicação recebida do N610ED.
Às 10h16min19s, o radar mostrava a aeronave a aproximadamente 15.200 pés iniciando uma curva descendente.
Às 10h16min51s, o último contato radar registrava aproximadamente 10.100 pés.
Testemunhas observaram o Citation descendo praticamente na vertical.
A aeronave atingiu o terreno e foi destruída.
Piloto e passageiro morreram.
O que concluiu o NTSB?
A conclusão do NTSB merece especial atenção porque estabelece diretamente a relação entre meteorologia, carga de trabalho, instrumentos e operação single-pilot.
A agência determinou como causa provável o encontro da aeronave com condições severas de formação de gelo, produzindo gelo estrutural, combinado ao aumento da carga de trabalho e subsequente desorientação do piloto enquanto manobrava em IFR com instrumentos apresentando mau funcionamento.
Isso levou à perda de controle.
Mas o NTSB foi além.
Como fator contribuinte, apontou a decisão do piloto de decolar em condições IFR e realizar uma operação single-pilot sem autopilot funcionando e com instrumentos de voo defeituosos.
Aqui não estamos fazendo uma interpretação editorial sobre a conduta do piloto.
Estamos reproduzindo, em essência, uma conclusão formal da investigação.
Single-pilot não foi a única causa
É igualmente importante não simplificar o acidente.
Seria tecnicamente incorreto dizer:
“O Citation caiu porque havia apenas um piloto.”
Não foi essa a conclusão do NTSB.
Havia uma combinação de fatores.
Gelo severo.
Instrumentos apresentando mau funcionamento.
Autopilot inoperante.
Condições IFR.
Aumento de workload.
Desorientação.
Decisão operacional.
E operação single-pilot.
O que interessa para a prevenção é observar como essas condições foram se acumulando até que as margens disponíveis praticamente desapareceram.
A retirada sucessiva das barreiras
Podemos imaginar a segurança operacional como uma sequência de barreiras.
Autopilot funcionando: uma barreira.
Instrumentos confiáveis: outra barreira.
Meteorologia adequada: outra.
Segundo piloto: outra.
Planejamento e decisão operacional: outra.
Nenhuma delas, isoladamente, garante que um acidente não acontecerá.
Mas retirar várias simultaneamente altera completamente o risco.
No N610ED, o piloto começou o voo sem algumas das barreiras que deveriam sustentar aquela operação single-pilot.
Quando o gelo severo apareceu, a margem restante tornou-se muito pequena.
O autopilot no single-pilot não é apenas conforto
Pilotos acostumados a aeronaves menores podem interpretar o piloto automático principalmente como um recurso de conforto.
Em operações single-pilot IFR de alta performance, ele pode assumir importância muito maior.
Enquanto o autopilot mantém a trajetória, o piloto ganha capacidade cognitiva para:
interpretar meteorologia;
programar navegação;
realizar comunicações;
executar checklists;
diagnosticar panes;
analisar alternativas;
e tomar decisões.
Retire o autopilot e todas essas tarefas continuam existindo.
Mas agora o piloto também precisa controlar manualmente o avião.
Em IMC.
Nesse Citation específico, a importância era ainda maior porque o autopilot plenamente funcional fazia parte das condições para aquela operação single-pilot.
O verdadeiro significado do Single-Pilot Resource Management
É justamente por isso que devemos falar de SRM — Single-Pilot Resource Management.
SRM não significa ensinar alguém a “fazer tudo sozinho”.
Significa exatamente o contrário.
O piloto precisa aprender a utilizar todos os recursos disponíveis para impedir que sua capacidade cognitiva seja ultrapassada.
Automação.
ATC.
Planejamento antecipado.
Checklists.
Meteorologia.
Equipamentos.
Procedimentos.
E principalmente:
decisão.
Existe um momento em que o melhor gerenciamento de recursos consiste simplesmente em não iniciar o voo.
A pergunta errada: “eu consigo?”
Pilotos de aeronaves de alto desempenho frequentemente possuem treinamento, experiência e confiança elevados.
Isso é necessário.
Mas existe uma pergunta perigosa:
“Eu consigo fazer?”
Provavelmente consegue.
A pergunta operacionalmente mais adequada é:
“Quantas margens de segurança permanecem disponíveis se alguma coisa der errado?”
Essa pequena mudança de raciocínio transforma completamente a análise do risco.
A relação com acidentes como Canela
É aqui que esse acidente norte-americano se torna particularmente interessante para nossa discussão anterior sobre o acidente do PR-NDN em Canela/Gramado.
Os dois acidentes não devem ser tratados como equivalentes e tampouco se deve transportar conclusões do NTSB sobre o N610ED para o caso brasileiro.
Cada ocorrência possui circunstâncias próprias e precisa ser analisada pela investigação correspondente.
Mas existe uma pergunta comum extremamente relevante:
como a operação single-pilot se comporta quando meteorologia, ambiente operacional e carga de trabalho começam a consumir rapidamente as margens disponíveis?
No caso N610ED temos uma resposta documentada.
O NTSB identificou expressamente task overload e considerou a decisão de realizar a operação single-pilot naquelas condições como fator contribuinte.
Isso transforma o acidente em um importante estudo de caso para treinamento de pilotos de aviação executiva.
Certificado para single-pilot não significa adequado para qualquer cenário
Talvez essa seja a principal reflexão deixada pelo N610ED.
Uma autorização regulatória responde:
“Esta operação pode ser realizada por um piloto, desde que determinadas condições sejam cumpridas.”
Ela não responde:
“Todo voo deve ser realizado com apenas um piloto.”
Existe uma diferença enorme entre as duas afirmações.
Um operador pode estabelecer critérios mais conservadores.
O comandante também pode fazê-lo.
Meteorologia marginal?
Segundo piloto.
Operação noturna complexa?
Segundo piloto.
Aeroporto desconhecido?
Segundo piloto.
Sequência intensa de etapas?
Segundo piloto.
Falha de equipamento que aumente workload?
Talvez seja simplesmente hora de não decolar.
Essa é gestão de risco.
A tecnologia não aumenta a capacidade humana indefinidamente
Os jatos executivos modernos oferecem níveis extraordinários de automação.
Glass cockpit.
Flight director.
Autopilot.
FMS.
TAWS.
TCAS.
Datalink meteorológico.
Synthetic vision.
Tudo isso reduz workload e aumenta consciência situacional.
Mas existe uma consequência importante:
quanto mais dependemos da automação para tornar uma operação single-pilot administrável, mais precisamos considerar o que acontece quando essa automação deixa de estar disponível.
O N610ED demonstra isso de maneira dramática.
A última barreira
Em segurança de voo existe uma diferença enorme entre habilidade e julgamento.
Habilidade responde:
“Consigo controlar este avião?”
Julgamento responde:
“Devo colocar este avião nessa situação?”
O piloto do Citation tinha experiência significativa no modelo.
Mesmo assim, encontrou uma sequência de condições que ultrapassou sua capacidade de administrar o voo.
O acidente de Derby permanece, portanto, como uma importante advertência para a aviação executiva:
single-pilot não significa simplesmente retirar uma pessoa do cockpit.
Significa concentrar navegação, comunicação, gerenciamento de sistemas, monitoramento, decisão e pilotagem em um único ser humano.
Quando tudo funciona, essa operação pode ser eficiente.
Quando várias barreiras desaparecem simultaneamente, a mesma eficiência pode transformar-se rapidamente em vulnerabilidade.
E talvez seja essa a pergunta que deveria preceder toda operação single-pilot em uma aeronave de alta performance:
Se alguma coisa der errado nos próximos cinco minutos, ainda haverá capacidade — e margem — para administrar o problema sozinho?
Nota editorial
Este artigo tem finalidade exclusivamente técnica, educacional e de prevenção de acidentes. As informações referentes ao N610ED são baseadas na investigação oficial do National Transportation Safety Board. A discussão sobre operação single-pilot não pretende estabelecer que esse modelo operacional, isoladamente, constitua condição insegura.
Referências
National Transportation Safety Board — NTSB. Aviation Investigation Final Report CEN14FA009, Cessna 500 Citation, N610ED, Derby, Kansas, 18 de outubro de 2013.
NTSB. Docket CEN14FA009 — documentação técnica da investigação do N610ED.
NTSB. Safety Alert SA-097 — Flying in Icing Conditions? A agência destaca os efeitos da formação de gelo sobre performance, velocidade de estol e capacidade de manutenção da trajetória.
Marcuss Silva Reis — Piloto Comercial de asas fixas, piloto da aviação geral, perito judicial em aviação, economista e técnico em óptica. Pós-graduado em Ciências Aeronáuticas, Segurança da Aviação Civil e Docência do Ensino Superior. Ex-instrutor de escolas de aviação civil, professor universitário.
Nenhum comentário:
Postar um comentário
Obrigado pelo seu comentário!!!!
Marcuss Silva Reis