Boeing 737 MAX — Como um avião passou a contrariar os pilotos?

Foram trezentas e quarenta e seis vidas perdidas em dois acidentes com o Boeing sete três sete MAX. O número é conhecido. A pergunta mais difícil está dentro da cabine: como um avião podia receber uma informação errada e reagir de um jeito que aumentava o problema dos pilotos? Essa história não começa com uma explosão cinematográfica, nem com uma máquina que ganhou vontade própria. Começa com uma cadeia de decisões, sensores e expectativas sobre a reação humana. E existe um detalhe essencial: o sistema no centro da investigação podia atuar enquanto os pilotos estavam voando manualmente. Para entender o que aconteceu, precisamos separar três coisas: o que o avião media, o que ele fazia com essa informação e o que as pessoas conseguiam perceber naquele momento. Em vinte e nove de outubro de dois mil e dezoito, o voo seiscentos e dez da Lion Air caiu no Mar de Java, pouco depois de decolar de Jacarta, na Indonésia. Todas as cento e oitenta e nove pessoas a bordo morreram. Segundo o registro do órgão americano de investigação, a tripulação havia informado dificuldades relacionadas ao controle de voo e à altitude. Esse dado importa porque impede uma simplificação: não estamos falando de pilotos que simplesmente deixaram de perceber que havia um problema. Eles estavam diante de uma situação anormal. A investigação precisava descobrir de onde vinham os comandos e por que os sinais disponíveis não levaram a uma recuperação segura. O caminho até a resposta passava por uma sigla pouco conhecida fora da aviação: MCAS. O MAX era uma nova versão de uma família de aviões já conhecida. Na documentação da FAA, a autoridade americana de aviação, os motores maiores e sua posição aparecem ligados a mudanças no comportamento do avião em determinadas condições de voo. A solução adotada pela Boeing incluiu uma função de software para ajustar características de pilotagem. Era o MCAS. Não era um piloto automático encarregado de conduzir a viagem inteira. Seu funcionamento estava associado a condições específicas, incluindo voo manual e flapes recolhidos. Uma tecnologia de assistência pode parecer um detalhe escondido atrás do painel. Mas, quando ela atua sobre uma superfície capaz de alterar a inclinação do avião, deixa de ser apenas uma informação na tela. Ela produz movimento. E movimento precisa de limites confiáveis. O avião usa sensores para estimar o ângulo de ataque: de maneira simplificada, a relação entre a asa e o fluxo de ar que chega até ela. Esse conceito não é a mesma coisa que altitude. Na configuração original descrita pela própria Boeing, o MCAS utilizava a informação de um único sensor por vez. Nos dois acidentes, uma informação incorreta de ângulo de ataque participou da ativação indevida do sistema. O ponto crítico não era o sensor ter opinião sobre o voo. Era um valor errado entrar na lógica de controle como se representasse a condição real. O sistema podia então comandar o estabilizador horizontal em uma direção que favorecia baixar o nariz. O erro deixava de ser apenas uma leitura: passava a interferir fisicamente no avião. E havia outra camada. Na lógica original analisada pelos investigadores, a atuação do piloto nos comandos elétricos de compensação podia interromper ou contrariar o movimento. Mas, se a condição de ângulo de ataque elevado continuasse sendo indicada, o sistema podia voltar a atuar. Por isso, não basta imaginar uma disputa com um único comando e uma única resposta. A repetição era parte importante do problema investigado. Enquanto isso, a mesma falha podia produzir outros avisos e indicações na cabine. Pense na diferença entre receber uma mensagem clara e tentar interpretar vários sinais ao mesmo tempo. Essa comparação não reproduz a experiência daqueles pilotos. Ela ajuda a entender a pergunta que os investigadores fizeram: as avaliações de segurança representavam toda a situação ou apenas uma parte dela? Em setembro de dois mil e dezenove, o NTSB, órgão americano que participou das investigações, emitiu sete recomendações à FAA. Um dos pontos centrais era a distância entre as reações humanas presumidas na avaliação de segurança e o que ocorreu nos acidentes. O órgão destacou o efeito de vários alertas simultâneos. Recomendou métodos mais robustos para validar expectativas sobre o reconhecimento de falhas e a resposta dos pilotos, além de informações mais claras para ajudar no diagnóstico. Isso muda o foco da conversa. Segurança não pode ser avaliada somente perguntando se existe um procedimento correto. Também é preciso perguntar se o problema pode ser reconhecido, quais sinais competem pela atenção e se o projeto tolera uma resposta diferente da prevista. Essa é a diferença entre uma instrução existir e uma proteção funcionar. Em dez de março de dois mil e dezenove, o voo trezentos e dois da Ethiopian Airlines caiu pouco depois de sair de Adis Abeba, na Etiópia. As cento e cinquenta e sete pessoas a bordo morreram. Menos de cinco meses separavam os dois acidentes. Após o primeiro, já haviam sido emitidas orientações e uma diretriz emergencial sobre determinadas condições de falha. A existência dessa resposta anterior não impediu a segunda tragédia. Em treze de março, a FAA determinou a suspensão das operações do MAX sob sua autoridade. A pergunta deixou de ser apenas o que havia acontecido em um voo. Era preciso reexaminar o sistema e as condições que permitiram aquela sequência. A investigação técnica também precisava evitar uma armadilha: assumir que dois acidentes parecidos tinham todos os detalhes idênticos. Os investigadores não concordaram em todos os pontos. O NTSB publicou críticas ao relatório etíope, incluindo a atenção dada aos fatores humanos. Em comentários posteriores, concordou com o papel geral do MCAS e dos sistemas relacionados, mas contestou determinadas conclusões e sua sustentação nas evidências. Essa divergência não apaga o mecanismo investigado. Mostra por que um documentário precisa diferenciar uma conclusão compartilhada de uma explicação contestada. Também impede frases fáceis, como afirmar que ninguém havia recebido qualquer informação antes do segundo acidente. Nossa equipe não vai transformar essa história em uma disputa entre heróis perfeitos e um único vilão. Responsabilidade exige precisão: identificar falhas de projeto, de informação e de proteção sem inventar intenções nem eliminar a complexidade do trabalho humano. O retorno do MAX ao serviço não foi apresentado como uma simples troca de nome. A documentação da FAA descreve exigências que incluíram novo software de controle de voo, atualização dos avisos, procedimentos revisados e mudanças na instalação de determinados fios. Também foram exigidos testes antes do retorno de cada aeronave. A Boeing descreve proteções acrescentadas ao MCAS, incluindo comparação entre os dois sensores e limites de atuação. Essas mudanças devem ser entendidas no contexto da configuração revisada, não projetadas retroativamente sobre os aviões dos acidentes. Da mesma forma, narrar uma falha histórica não autoriza afirmar que todo avião da marca carrega hoje o mesmo problema. O aprendizado é mais específico e mais importante: corrigir a cadeia que transformava uma indicação incorreta em uma situação difícil de controlar. No começo, perguntamos como uma informação errada podia produzir uma consequência tão grande. Agora a cadeia aparece: leitura, lógica de controle, repetição, avisos e expectativas sobre a reação humana. O tamanho do desastre não exige que cada elemento pareça gigantesco. Às vezes, o perigo está justamente na confiança de que outra pessoa, outro componente ou outra etapa vai resolver o que a anterior deixou passar. Para você, qual proteção nunca poderia faltar: conferir a informação antes de agir ou limitar o que um sistema pode fazer quando essa informação está errada? Conte nos comentários. Aqui no Código Oculto, continuamos investigando decisões e suas consequências.