A importância de milímetros: a história do voo 32 da Qantas
(medium.com/@admiralcloudberg)- Em 4 de novembro de 2010, o Airbus A380 do voo 32 da Qantas sofreu a ruptura do disco da turbina do motor nº 2 logo após decolar de Singapura, danificando ao mesmo tempo a asa, a fuselagem e os sistemas hidráulico, elétrico, de combustível e de freios, mas todos os 469 ocupantes sobreviveram
- O acidente começou no stub pipe de alimentação de óleo dentro de um Rolls-Royce Trent 900, e um defeito de fabricação em que o counter bore ficou deslocado cerca de 0,5 mm durante a produção afinou a espessura de uma das paredes até 0,35 mm, levando à fadiga do metal e ao vazamento de óleo
- O óleo de alta pressão que vazou entrou em ignição em um espaço de cerca de 365~375°C, e as chamas romperam o braço de acionamento do disco da turbina IP, fazendo o disco ultrapassar a velocidade crítica em 4 segundos e se romper em vários fragmentos
- Na cabine, 34 alertas chegaram em 20 segundos e o processamento dos procedimentos do ECAM levou 55 minutos, enquanto os pilotos pousaram com vazamento de combustível, perda de 65% do controle de rolagem, excesso de peso máximo de pouso e redução da frenagem, parando com 150 m restantes em uma pista de 4.000 m
- Depois disso vieram a inspeção completa dos stub pipes do Trent 900, a proteção contra overspeed da turbina IP, a remoção dos hubs de rolamento HP/IP, melhorias nos procedimentos de fabricação e qualidade da Rolls-Royce, e correções no software de desempenho de pouso da Airbus, enquanto o A380 manteve seu histórico operacional sem acidentes com ferimentos de passageiros
A falha composta que atingiu o A380 logo após a decolagem
- Em 4 de novembro de 2010, o voo 32 da Qantas era um Airbus A380 que, durante a rota Londres-Sydney, havia feito uma escala em Singapura e seguia então para Sydney
- O registro da aeronave era VH-OQA, apelidada de Nancy-Bird Walton
- Havia 440 passageiros e 29 tripulantes, totalizando 469 pessoas a bordo
- Na cabine estavam o comandante Richard Champion de Crespigny, o copiloto Matt Hicks, o Second Officer Mark Johnson, o Check Captain Harry Wubben e o Senior Check Captain David Evans, cinco pilotos ao todo
- A experiência combinada dessa tripulação de voo somava 140 anos e 71.000 horas de voo
- Após decolar de Singapura às 9h56 da manhã, cerca de 4 minutos depois, ao passar por 7.000 pés de altitude, ocorreu uma falha catastrófica no motor nº 2
- Pilotos e passageiros ouviram dois estrondos em curta sequência
- A aeronave guinou levemente para a esquerda e o autothrust foi desativado
- O comandante pressionou o altitude hold do autopilot para manter a aeronave em voo nivelado
- No ECAM apareceu primeiro o alerta ENG 2 TURBINE OVERHEAT, e depois mais 34 mensagens foram adicionadas ao longo de 20 segundos
- O motor danificado havia perdido o disco da turbina IP e a estrutura ao redor, mas continuava girando, então não foi mostrado imediatamente como uma falha completa
- Quando os pilotos reduziram a potência do motor nº 2, o alerta ENG 2 FIRE apareceu brevemente e depois sumiu
- Em seguida surgiu a mensagem ENG 2 FAIL, levando à decisão de desligar o motor
- Dos dois extintores do motor nº 2, apenas um realmente funcionou, e a luz de confirmação não acendeu
Como o vazamento de óleo dentro do Trent 900 evoluiu para a ruptura do disco
- O Rolls-Royce Trent 900 do Airbus A380 é um motor turbofan de alto bypass composto por fan, compressor, câmara de combustão e turbina
- O Trent 900 tem sistemas LP, IP e HP, e as turbinas HP e IP são formadas por discos de turbina de estágio único na parte traseira
- O hub de rolamento HP/IP sustenta o eixo rotativo, e a câmara interna dos rolamentos recebe óleo pressurizado para evitar desgaste
- A peça problemática era o oil feed stub pipe, que envia óleo para a câmara dos rolamentos
- Esse tubo é um curto trecho fixo que passa pelo buffer space entre a inner section e a outer section do hub de rolamento HP/IP
- No momento do acidente, surgiu uma trinca no tubo dentro do motor nº 2, e óleo de alta pressão foi pulverizado no buffer space
- A temperatura do buffer space foi estimada em cerca de 365~375°C, acima da temperatura de autoignição de 280°C do óleo do motor
- O óleo pulverizado entrou imediatamente em ignição
- Quando o incêndio danificou o triple seal dianteiro, o ar de alta pressão do annulus gas path foi sugado para dentro do buffer space
- Esse ar empurrou as chamas para trás, fazendo-as atingir diretamente o drive arm do disco da turbina IP
- O drive arm do disco da turbina IP já era uma peça submetida a grande tensão em operação normal, e não suportou o calor elevado, falhando em poucos segundos
- Do início do vazamento de óleo até a falha do drive arm passou muito menos de 1 minuto
- Quando o drive arm se rompeu, o disco da turbina IP continuou recebendo a energia do annulus gas path sem permanecer conectado ao eixo
- Em 4 segundos, o disco ultrapassou a velocidade crítica, e a força centrífuga excedeu o limite do disco de liga de níquel, fazendo-o se romper em vários fragmentos
- Os fragmentos do disco da turbina atravessaram a carcaça do motor e a cowling, danificando a aeronave em várias direções
- Um fragmento caiu para baixo e danificou a parede de um edifício na ilha de Batam, mas não houve feridos em solo
- Outro atravessou a parte inferior da fuselagem e um wire bundle
- Dois fragmentos passaram pelo interior da asa esquerda e saíram pela superfície superior da asa
- Fragmentos menores também deixaram danos adicionais em várias partes da asa e da fuselagem
A cabine calculando a possibilidade de pouso em meio à avalanche de alertas
- Os fragmentos do disco da turbina causaram danos secundários extensos aos principais sistemas da aeronave
- Houve vazamento no tanque de combustível da asa esquerda
- O mecanismo de acionamento do leading edge slat foi danificado
- Dois wire loom da wing leading edge e da belly area foram totalmente seccionados, afetando cerca de 650 fios
- Houve perda de controle da green hydraulic pump, degradação do yellow hydraulic system, perda da alimentação AC dos motores 1 e 2, perda total da função dos slats, e perda parcial das funções de spoiler e aileron
- Também foram danificados o freio do trem de pouso da asa esquerda e parte da função anti-skid do freio do wing gear direito
- O A380 usa dois sistemas hidráulicos, green e yellow, mas cada superfície de controle de voo possui atuadores hidráulicos de backup independentes, limitando a perda de controlabilidade
- Por causa dos danos diretos e da perda de pressão do green hydraulic system, a capacidade de controle de rolagem foi reduzida em cerca de 65%
- Mesmo assim, ainda era possível controlar a aeronave apenas com os spoiler e aileron restantes
- Os pilotos avaliaram que a aeronave continuava controlável tanto com o autopilot ligado quanto desligado
- Em vez de pousar imediatamente, a tripulação decidiu processar os procedimentos do ECAM e entender o estado da aeronave
- Solicitou ao ATC entrar em holding pattern e ficou orbitando sobre o mar a nordeste de Singapura
- A conclusão das ações do ECAM levou 55 minutos, muito além do que os pilotos esperavam
- O Second Officer Mark Johnson foi verificar a situação na cabine de passageiros e confirmou, pela tail camera e por observação visual, o vazamento de combustível na asa esquerda e um grande buraco na parte superior da asa
- Os pilotos decidiram manter a imagem da tail camera, por considerar que desligá-la poderia parecer ainda mais alarmante para os passageiros
- A situação do combustível dificultou ainda mais a decisão de pouso
- O combustível vazava do tanque da asa esquerda, aumentando o desequilíbrio entre os lados
- O ECAM instruía abrir a fuel transfer valve para equilibrar, mas os pilotos não seguiram essa orientação por causa do vazamento e do alerta de dano no fuel transfer system
- O fuel jettison system também não funcionava, então a aeronave estava mais de 40 toneladas acima do peso máximo de pouso
- A opção de voar por mais tempo para queimar combustível foi considerada inadequada devido ao desequilíbrio de combustível e à perda de 65% do controle de rolagem
- O software de desempenho de pouso da Airbus inicialmente retornou no result
- O software aplicava repetidamente um operational coefficient que refletia de forma conservadora as diferenças de técnica de pilotagem para cada falha, e com tantas falhas o coeficiente foi aplicado 9 vezes ao todo
- O Check Captain Evans inseriu manualmente o peso real de pouso, contornando a suposição de peso máximo de pouso
- Nesse caso, a lógica do software aplicou o operational coefficient apenas uma vez, e indicou que era possível pousar na pista de 4.000 m do aeroporto de Changi, em Singapura, com cerca de 100 m de margem
O fogo e o risco de evacuação que permaneceram depois do pouso
- O comandante alinhou a aeronave com a pista de uma distância maior do que o normal para reduzir a carga de pilotagem
- A sensação de controle era amortecida devido à redução do controle de rolagem
- Durante a aproximação, ele repetiu verificações de pilotagem manual para confirmar que as características de controle permaneciam após a extensão dos flaps
- Decidiu manter os motores 1 e 4 em empuxo constante e usar apenas o motor 3, menos afetado, para controlar a velocidade
- Devido à falha do green hydraulic system, o trem de pouso não baixou quando o landing gear lever foi acionado, e os pilotos usaram o sistema de backup por gravidade para estender o trem
- O sistema de backup funcionou com sucesso
- O comandante teve de manter a velocidade dentro de uma faixa extremamente estreita entre o risco de stall e o risco de ultrapassar a pista após o pouso
- De Crespigny relembrou que a faixa de velocidade segura era de cerca de 3~4 nós
- Em um momento ocorreu um low energy alert, mas o alerta desapareceu quando ele aumentou ligeiramente a potência do motor 3
- O voo 32 da Qantas pousou às 11h46 da manhã na runway 20C do aeroporto de Changi
- Pouco antes do toque, o stall warning soou brevemente
- Os pilotos usaram os freios restantes e o reverse thrust do motor 3, já que no A380 ele existe apenas nos inboard engine
- A aeronave parou com 150 m restantes da pista de 4.000 m
- Mesmo depois de parada, continuaram os problemas de incêndio e comunicação
- O freio do body gear esquerdo sofreu grande carga durante o pouso, superaqueceu e 4 pneus esvaziaram
- O combustível continuava vazando, e poderia haver incêndio se entrasse em contato com os freios quentes
- Quando os motores 3 e 4 foram desligados, a aeronave perdeu energia, e o APU não conseguiu ser conectado ao sistema elétrico devido aos danos na infraestrutura de distribuição
- Foi preciso encontrar um único VHF radio capaz de operar com energia de emergência para se comunicar com os bombeiros
- O motor nº 1 não parou pelo procedimento normal
- Devido aos danos nos sistemas da asa, a fuel shutoff valve do motor nº 1 não funcionou
- O fire extinguisher bottle do motor nº 1 também não funcionou, então nem o fire handle conseguiu pará-lo
- Os bombeiros evitaram a entrada e a saída do motor enquanto jogavam espuma nos freios para impedir um incêndio
- Depois, os engenheiros da Qantas decidiram sufocar o motor com espuma de combate a incêndio, e o motor nº 1 só parou às 14h53, mais de 3 horas após o pouso
- A evacuação dos passageiros não foi feita imediatamente pelos slides de emergência
- Havia estatísticas de que, em evacuações por slides de emergência, 5~10% dos passageiros sofrem ferimentos graves, e entre os ocupantes havia idosos e pessoas com deficiência
- Como o risco de incêndio havia diminuído, os pilotos julgaram que permanecer a bordo era mais seguro
- Com o ar-condicionado desligado devido à perda de energia, as escadas chegaram 50 minutos depois, e todos os passageiros desembarcaram por uma única saída ao longo de cerca de 1 hora
- Nenhum dos 440 passageiros ficou ferido
O defeito de fabricação de 0,5 mm e as mudanças após o acidente
- A causa direta do acidente foi o defeito em que uma das paredes do oil feed stub pipe estava fina demais
- O tubo do motor acidentado falhou por fadiga do metal após 677 voos
- Na parte inferior do tubo havia um counter bore para inserir um filtro, e esse counter bore estava deslocado cerca de 0,5 mm do centro
- A espessura da parede ficou desigual: 1,42 mm de um lado e 0,35 mm do outro
- A mudança no processo de fabricação destruiu a garantia de alinhamento
- No projeto original, o alinhamento entre o stub pipe e o counter bore usava como referência o datum AA, o centro do outer clearance hole, garantindo espessura suficiente da parede
- Na fabricação, depois da inserção do stub pipe, tornou-se difícil localizar o datum AA, então a referência do counter bore foi alterada para o datum M, o centro do inner hub counter bore
- A posição do próprio stub pipe continuava ligada ao datum AA, mas não havia garantia direta de que o datum M estivesse alinhado ao datum AA
- Se o hub se movesse minimamente durante o re-clamping, a posição do timing pin memorizada pela máquina passava a divergir da posição real, e com isso o inner hub counter bore e o stub pipe counter bore também ficavam desalinhados
- Os procedimentos de inspeção e aprovação também não conseguiram barrar o defeito
- A espessura da parede do stub pipe não era especificada separadamente, e dependia de uma garantia indireta pelo alinhamento
- A inspeção OP 230 media o stub pipe counter bore apenas com base no datum M, sem detectar o desalinhamento em relação ao próprio tubo
- A inspeção OP 70 media o interference bore com base no datum M e poderia ter detectado anomalias, mas era difícil para o inspetor perceber a diferença entre o desenho de fabricação e a referência de medição CMM
- Como os registros CMM do hub acidentado não foram preservados, não foi possível confirmar se houve um alerta real
- Durante a mudança dos pontos de referência de fabricação em 2009, já havia sido confirmado algum desalinhamento de counter bore, mas foi aprovada uma retrospective concession para cerca de 100 peças
- Com base nas medições de 9 hubs, foi feita uma análise estatística e a non-conformance máxima foi estimada em Ø 0,7 mm
- Essa análise tinha grande incerteza, porque o volume de dados era pequeno e não havia garantia de que representasse a produção passada
- O relatório não transmitiu essa incerteza com clareza, e a Non-Conformance Authority aprovou entendendo que não havia impacto na segurança
- Pelos procedimentos internos da Rolls-Royce, uma retrospective concession também exigia assinatura do Business Quality Director e do Chief Engineer, mas essa aprovação não tinha essas assinaturas
- Depois do acidente vieram inspeções completas e mudanças no sistema
- A medição dos HP/IP bearing oil feed stub pipe em operação mostrou que muitos estavam fora da tolerância de Ø 0,20 mm, e alguns apresentavam desalinhamento ainda maior que o do tubo do acidente
- Em 2 tubos foi encontrada non-conformance de cerca de Ø 1,2 mm
- A Qantas suspendeu temporariamente a operação de sua frota de A380 de 4 a 27 de novembro de 2010
- A European Aviation Safety Agency tornou obrigatória a inspeção dos oil feed stub pipe do Trent 900
- A Rolls-Royce desenvolveu proteção contra overspeed da IP turbine, e a Airbus emitiu um mandatory service bulletin exigindo a instalação em todos os A380 dentro de 10 voos
- Todos os hubs HP/IP bearing de produção inicial e os hubs com stub pipe wall thickness inferior a 0,7 mm foram retirados de serviço
- A Rolls-Royce revisou os procedimentos de alinhamento do design intent entre engenheiros de fabricação e de projeto e encerrou a prática de retrospective concession
- A Airbus corrigiu o software de desempenho de pouso para prever com mais precisão o desempenho real em todos os pesos de pouso
- A aeronave foi reparada ao longo de 535 dias, com custo de US$ 139 milhões, e o VH-OQA Nancy-Bird Walton voltou a voar em 2012
- Foi um acidente que mostrou como um desvio de menos de 0,5 mm pode danificar gravemente o maior avião de passageiros do mundo
- Ao mesmo tempo, a combinação de fly-by-wire do A380, hidráulica de backup das superfícies de controle, ECAM, projeto redundante, julgamento da tripulação e trabalho em equipe permitiu encerrar o acidente sem ferimentos entre os ocupantes
1 comentários
Comentários no Hacker News
Sempre fico sorrindo ao ler a cadeia detalhada de eventos em análises pós-acidente na aviação
O fato de conseguirem ir afunilando até uma única peça defeituosa e rastrear o histórico e o ambiente até essa peça entrar em operação mostra a robustez da indústria aeronáutica
Erros são inevitáveis, e vejo a robustez mais ligada à forma de resposta do que ao número de erros
Como alguém que trabalha com confiabilidade como SRE em uma FAANG, a indústria aeronáutica sempre me causa admiração, e espero que um dia a indústria de software/tecnologia chegue a esse nível
Também tiro o chapéu para a autora Kyra Dempsey. É um conteúdo pesado do ponto de vista de engenharia, mas ela o escreveu de um jeito realmente fácil de ler
Os desastres de Fukushima e da Deepwater Horizon foram ambos falhas em zíper, e mostram que faltou pensar em “se X falhar, o que vem depois?”
O ponto importante aqui é “se X falhar”, não “caso X falhe”. É uma mentalidade diferente
Mas no HN querem uma análise pós-incidente de uma falha na nuvem em poucas horas
Há uma cultura de melhorar, em vez de simplesmente procurar culpados
Dito isso, ouvi de alguém de dentro que a integridade da cadeia de suprimentos é um problema subestimado
Alguém foi pego vendendo peças aeronáuticas falsas com um esquema sofisticado, e há outros fornecedores suspeitos, o que é preocupante
“A Safran confirmou a documentação fraudulenta, iniciando uma investigação que descobriu que milhares de peças em pelo menos 126 motores CFM56 foram vendidas sem um certificado legítimo de aeronavegabilidade.”
https://www.businessinsider.com/scammer-fooled-us-airlines-b...
Para qualquer mecânico ou responsável por metrologia de fabricação minimamente competente, um erro de concentricidade de 0,5 mm em uma peça desse tamanho é, na prática, como 0,5 milha
É um erro enorme, visível a olho nu, e não algo que surgiria por variação normal; é um sinal claro de que havia um problema grave no setup
No desenho de projeto, a tolerância do furo era Ø 0,05 mm, mas no desenho de fabricação ela mudou sem explicação para Ø 0,5 mm; e a não conformidade do hub do acidente era Ø 0,90–0,98, ou seja, um offset de 0,45–0,49 mm, então o equipamento deveria ter indicado isso
Como os registros da CMM não foram preservados, os investigadores não conseguiram confirmar se o erro foi de fato registrado
Se você não conhece um chão de fábrica de usinagem, talvez o significado disso não seja tão óbvio, mas, para quem tem experiência, é claro. Muita gente naquela fábrica provavelmente sabia que estava entregando peças fora da especificação
Qualquer pessoa que tivesse manuseado a peça conseguiria ver de relance que o counterbore estava muito fora do centro; mas, em vez de refazer ou investigar a causa, fizeram apenas uma inspeção de qualidade burocrática, despacharam a peça, manipularam documentos e descartaram evidências
A análise é complexa, mas a causa raiz é muito simples: negligência descarada e o engano descarado usado para encobri-la
Então surge a pergunta: “por que fazer a usinagem de acabamento depois de soldar o tubo no lugar?”
Talvez fosse mais fácil ou mais rápido usinar com ele preso ao hub
E não deveria entrar um filtro de óleo ali? Se o counterbore estivesse deslocado, o filtro de óleo não teria sofrido interferência?
Eu achava que, ao fabricar turbinas, as pessoas tomassem mais cuidado
Há 30 anos, fiz um pouso de emergência por falha no motor
A tripulação nos fez tirar os sapatos, praticar a posição de impacto e reorganizou os passageiros; o que mais me marcou foi que todos seguiram as instruções
Ninguém ficou se achando especial, e todos entendiam por que a tripulação estava a bordo e o quanto ela era importante para a sobrevivência
A evacuação foi ordeira, mas o processo depois foi longo. Por exemplo, todos os passaportes tinham ficado dentro da aeronave
Recentemente vi fotos de pessoas escapando pelo escorregador levando bagagem, e isso pareceu extremamente perigoso, tanto pelo risco no próprio escorregador quanto por atrasar a evacuação
No nosso caso não havia fogo na cabine, mas fico pensando como teria sido se houvesse
E o clichê da imprensa enfiar câmeras na cara das pessoas para captar expressões de pânico: isso realmente acontece
Nem bagagem, nem sapatos; deve ir só com o corpo
Mas às vezes isso é ignorado, e é assim que as pessoas podem se machucar de verdade
Ainda assim, pensando em como as pessoas se comportam em outras situações, é até surpreendente que tanta gente siga as instruções
Ao sair de um avião, normalmente nosso comportamento é “pegar todos os meus pertences”
Por isso é importante prestar atenção ao briefing de segurança, mesmo que você já o tenha ouvido. A repetição ajuda a lembrar o que fazer quando o estresse entra em jogo
Você simplesmente fica sentado esperando a bagagem e os pertences pessoais serem retirados, e depois aguarda outro voo?
Fico muito irritado ao ver cenas assim
Meu primeiro emprego foi em uma MRO que fazia overhaul de motores um pouco menores que o Trent 900, e os princípios eram os mesmos.
Criei um software de garantia da qualidade que digitalizava formulários e procedimentos de assinatura semelhantes aos que o texto diz que não foram devidamente assinados.
Os engenheiros de reparo com quem eu almoçava tinham um poço profundo de conhecimento sobre motores, e às vezes um único assunto ocupava o almoço e a conversa continuava por semanas.
Um parágrafo deste texto toca em pontos muito sutis, como assinaturas ausentes e engenheiros que não conhecem o procedimento. Acho que, aqui, a crítica à Rolls-Royce é válida.
O gerente de garantia da qualidade da MRO onde eu trabalhava era uma espécie de desastre natural: alguém temido e intransigente.
Ao mesmo tempo, também era uma pessoa cuja assinatura podia provocar a parada de um motor em voo, e ainda hoje a respeito.
Em todos os modelos de motores do mundo, pequenos problemas assim acontecem todos os dias. Ainda há milhares de motores em voo com pequenos defeitos capazes de causar uma parada.
Alguns problemas são identificados e aprovados como de baixo risco, ficando para serem verificados no próximo overhaul.
Quando um engenheiro que viu repetidamente o mesmo defeito, uma tubulação com trinca precoce, acúmulo de carbono ou corrosão anormal envia a documentação, esse documento sobe na hierarquia e fica parado lá.
Ele pode ser ignorado, usado como referência para o próximo projeto, classificado como algo que precisa ser corrigido, colocado sob monitoramento ou ter a frequência de monitoramento aumentada.
A vida útil da peça pode ser reduzida, ou pode ser imposta uma inspeção não destrutiva a cada overhaul.
Esses sistemas são tão complexos que sempre há pequenos problemas aqui e ali, então o modelo do queijo suíço se encaixa muito bem.
Sobre a Qantas, no fim do texto é dito que eles consertaram a aeronave a um custo enorme; a Qantas tem como motivo de orgulho corporativo nunca ter perdido uma aeronave.
Eles consertam até aeronaves que passaram do limite econômico de reparo para preservar esse histórico.
Lembro claramente que, quando o QF32 aconteceu, todos ficaram completamente chocados. Porque se achava que uma coisa dessas “nunca” aconteceria com a Qantas.
[1] https://www.forbes.com/sites/laurabegleybloom/2023/01/03/ran...
Se faltassem assinaturas nesse nível, teríamos sido esfolados vivos, e é bem provável que o auditor tivesse virado a empresa do avesso tentando encontrar mais problemas.
Isso poderia resultar em uma falha grave na auditoria ou até no cancelamento da certificação de qualidade.
Depois viriam auditorias do cliente — neste caso, da Rolls-Royce — fazendo perguntas desconfortáveis à direção, verificando se o procedimento de concession entre as empresas tinha sido seguido e, internamente, reavaliando “essas pessoas deveriam poder fabricar esta peça?”.
Pelo que li aqui, a Rolls-Royce não pressionou seus subcontratados com força suficiente do ponto de vista da qualidade, e foi surpreendentemente leniente.
Pelo que vi, fiquei me perguntando como a inovação consegue acontecer ali dentro, por que não há muito mais “fuck-you-shima” todo ano e como é possível que motores de avião não explodam todos os dias.
Se minha memória estiver certa, o controlador de motor do B777 ainda é m68k. Foi descontinuado em 1995.
Eu estava naquele avião e tirei a foto citada no texto como “foto tirada por um passageiro durante o voo, mostrando o buraco de saída de fragmentos da turbina na superfície superior da asa. (ATSB)”.
Pouco tempo depois, embarquei de propósito em outro A380, para não perder a confiança na segurança da engenharia.
Psicologicamente, talvez a escolha mais sábia tivesse sido voltar a voar imediatamente.
O texto é complexo e bem escrito, mas o tom triunfante e os elogios intermináveis à segurança causam certa estranheza
Ninguém está vendendo nada, mas há partes que parecem uma apresentação comercial
Se você leu como eu, deve ter pensado “hmm...” em alguns trechos. Afinal, eram coisas que não funcionaram direito
Exemplos disso são o software de cálculo que nunca tinha sido testado com dados anormais, o computador que continuou mantendo o motor danificado em funcionamento, a sorte de não ter havido explosão porque os tanques de combustível estavam quase cheios, e a ausência de um kill switch físico para desligar o motor
Houve “bastante” 1 hora para passar por todos os checklists, enquanto passageiros e tripulação ficaram torcendo para que nada se inflamasse em cima de uma poça de combustível
Por fim, a direção em que os fragmentos voaram também foi puro acaso
Isto não parece uma história de camadas de segurança sobrepostas, mas sim de camadas de aleatoriedade sobrepostas
Eu realmente gostaria de ver a distribuição dos resultados para todas as trajetórias possíveis dos fragmentos — ou seja, o quanto realmente houve de sorte ou azar
Empresas não divulgariam esse tipo de modelo, claro
Também não gosto muito da estrutura em que uma câmara especial para o filtro de óleo exige perfurar com precisão um tubo perfeitamente bom
Pelo que entendi, não dá para fazer manutenção sem reinstalar tudo de qualquer forma; então por que não fizeram como uma peça única?
Porque havia uma cultura de olhar para acidentes anteriores, como o UA232, em que todas as funções de controle foram perdidas junto com um motor, o sistema de controle do A380 foi projetado para suportar danos ainda maiores, e de fato funcionou
Ainda assim, concordo que o texto não deu foco suficiente aos pontos a melhorar
Um motor controlado por computador que continua girando por 60 segundos enquanto está em chamas, fazendo componentes perigosos girarem rápido demais, parece algo que deveria ter sido tratado antes
O processo de fabricação do motor parece tão complexo que é quase impossível de verificar
Também é problemático o sistema de gerenciamento de falhas mostrar apenas 1 ou 2 alertas por vez quando há 40 avisos
Não se deve deixar a automação tomar uma decisão crítica como desligar um motor; essa decisão deve ser dos pilotos
Quanto à ausência de um kill switch físico, na prática há um modo de cortar o fluxo de combustível com uma válvula. O problema é que esse “kill switch” estava danificado
Se havia tempo para passar por todos os checklists, não é mais seguro que os pilotos decidam fazer isso?
A direção dos fragmentos ser aleatória é natural, dada a natureza da falha. É parecido com reclamar que, em um datacenter, é aleatório qual HDD vai falhar
Os dados sobre todas as trajetórias possíveis dos fragmentos não são públicos, mas trajetórias favoráveis são analisadas na fase de projeto, e componentes estruturais e de sistemas são separados de acordo com isso
Em acidentes aéreos antigos, era comum uma única falha ou a quebra de um único componente resultar em dezenas de mortes
O mesmo vale para o processo que levou ao surgimento do sterile flight deck em resposta a acidentes em que os pilotos se distraíram com conversas
Em acidentes aéreos modernos, isso parece acontecer com muito menos frequência
Mesmo com o motor explodindo e os fragmentos rasgando metade dos cabos, a asa, o armazenamento de combustível e a hidráulica, o avião ainda era quase totalmente controlável e conseguiu pousar
Tente fazer o mesmo com um carro sem redundância e veja quanto tempo ele aguenta
A beleza da aviação é que todos tentam aprender com os erros e construir em cima deles
Mesmo sem mortes, este incidente também gerou medidas que tornaram os voos futuros mais seguros
Houve um esforço sistemático e deliberado para melhorar a segurança da aviação apesar das pressões comerciais
O modelo do queijo suíço significa que há muito mais camadas aleatórias que precisam se alinhar
Muitas dessas camadas vieram de acidentes anteriores e não são nada aleatórias. Claro, também não existe camada sem buracos
Se aquele disco tivesse se desintegrado de outro modo, outras camadas poderiam ter entrado em ação
Teria havido mortes? Possivelmente. O avião teria explodido imediatamente? Não dá para saber
Mas é bastante claro que, sem essas camadas, a probabilidade de um resultado muito mais terrível teria sido bem maior
[0] https://upload.wikimedia.org/wikipedia/commons/e/ef/Fataliti...
Fiquei chocado ao ler essa parte
Claro que também houve pura sorte. Os discos poderiam ter cortado o avião ao meio e poderiam ter ferido fatalmente alguém em seu caminho, mas passaram longe da maior parte da fuselagem
Devemos ser gratos por cada uma dessas sortes
É difícil não ver de forma positiva um incidente que terminou com 0 mortos e 0 feridos
Chamar alguém de “tesouro nacional” pode ser clichê, mas Admiral Cloudberg vai um passo além: é um tesouro mundial
Kyra escreveu muitos textos excelentes sob esse nom de cloud
Escolha qualquer um e você vai aprender alguma coisa
https://news.ycombinator.com/from?site=admiralcloudberg.medi...
Deveriam colocar isso no lugar daquele lixo exagerado que passa na TV hoje
Há pilotos extraordinários que conseguem atuar sob uma pressão enorme
O United Flight 232 é um caso ainda mais extremo do que este artigo
https://en.wikipedia.org/wiki/United_Airlines_Flight_232
“Apesar de ter havido mortes, este acidente é considerado um bom exemplo de gerenciamento bem-sucedido de recursos da tripulação. A maioria das pessoas a bordo sobreviveu, e nem mesmo pilotos de teste experientes em simuladores conseguiram reproduzir um pouso com sobreviventes. É considerado um dos pousos mais impressionantes da história da aviação, tendo sido chamado de ‘pouso impossível’”
O avião perdeu todo o sistema hidráulico e precisou fazer um pouso forçado sendo controlado apenas pelos motores
Um dos pilotos olha diretamente para a câmera e conta a história
https://www.youtube.com/watch?v=nf33RDu_D6M
“As equipes de resgate só identificaram os destroços da cabine de comando e os quatro tripulantes que ainda estavam vivos lá dentro 35 minutos após a queda”
É difícil imaginar ficar 30 minutos esperando resgate sem saber se os passageiros sobreviveram
https://admiralcloudberg.medium.com/fields-of-fortune-the-cr...
https://en.m.wikipedia.org/wiki/2003_Baghdad_DHL_attempted_s...
Estou quase obcecado, a ponto de ser um defeito, pelas análises de acidentes aéreos do Mentour Pilot
Ele também aprofunda mais aqui
https://www.youtube.com/watch?v=JSMe1wAdMdg
Os textos da Admiral Cloudberg são mais próximos de Columbo. Primeiro dizem o que aconteceu e depois voltam no tempo para encontrar e explicar os pequenos detalhes que levaram àquilo
De certa forma, isso é muito mais lógico
O Mentour Pilot precisa ficar dizendo “guarde isso, será importante depois”
Mas, como você não sabe por que é importante, não consegue lembrar, e no fim a narrativa fica menos clara
Descobri esse canal no último ano e gosto especialmente do conteúdo abordado do ponto de vista de um piloto
Se você gostou deste texto, provavelmente também vai gostar de Air Disasters
Dependendo da região, também é conhecido como Air Crash Investigations ou Mayday
Ele se baseia nos relatórios de acidente e trata os casos com bastante detalhe, sem sensacionalizar, embora não vá tão fundo quanto este texto
Chamou minha atenção o fato de que a faixa de velocidade segura na aproximação para pouso era muito estreita
Entre a velocidade de estol e a velocidade máxima para não ultrapassar a pista havia apenas 3 a 4 nós
Considerando todo o resto que a tripulação precisava fazer, pousar a aeronave em segurança foi realmente uma pilotagem excelente
Na prática, o alerta de estol soou pouco antes do toque, então foi quase isso mesmo
Pelo texto, os cálculos parecem ter sido combinados de forma um tanto improvisada, com vários overrides, e por isso eles aparentemente abordaram a situação com cautela, já que algumas premissas poderiam precisar de margem para erro
É um texto incrível, muito bem escrito
Parabéns à equipe operacional da Qantas, especialmente aos pilotos. Claramente são pessoas que sabem o que fazem
Parabéns também à equipe de engenharia da Airbus. Foi uma vitória enorme dos sistemas redundantes
Também foi interessante ver que os cálculos de parada foram aprimorados como parte da análise posterior