Boeing 737 MAX: o sensor era só o começo do problema

Os acidentes dos voos Lion Air JT610, em 29 de outubro de 2018, e Ethiopian Airlines ET302, em 10 de março de 2019, mataram 346 pessoas. Ambos envolveram o Boeing 737 MAX e a atuação do MCAS. Compreender esse sistema é necessário, mas insuficiente para explicar toda a sequência. Fontes 2 e 5

Esta investigação trata do projeto original e das mudanças exigidas para o retorno em 2020. Não descreve todas as configurações posteriores da frota.

Dois sensores não garantiam duas verificações

O MCAS ajustava características de controle da aeronave em determinadas condições de voo manual. Não era inteligência artificial nem piloto automático. Sua atuação movimentava o estabilizador horizontal, alterando a tendência de movimento do nariz do avião. Fonte 1

O ângulo de ataque relaciona a asa ao ar que chega até ela; não é simplesmente a inclinação do avião em relação ao horizonte. Havia dois sensores instalados, mas a lógica original usava o sinal de apenas um deles por voo para o MCAS. Um valor incorreto podia, portanto, provocar uma atuação indevida. Fontes 1 e 2

A distinção é decisiva: a redundância estava presente nos equipamentos, mas não produzia uma comparação capaz de bloquear aquele comando.

Uma atuação que podia se repetir

Sob as condições previstas pela lógica original, o MCAS podia voltar a comandar o estabilizador. O uso e a liberação da compensação elétrica pelos pilotos podiam permitir um novo acionamento. A compensação acumulada podia tornar insuficiente apenas puxar o manche para contrariar o movimento. Fonte 1

Isso não significa que inexistissem procedimentos ou meios de interrupção. A questão envolve quanto tempo e capacidade de diagnóstico se esperava de uma tripulação submetida a indicações conflitantes e elevada carga de trabalho. As recomendações do NTSB questionaram premissas de avaliação que não representavam adequadamente o efeito de múltiplos alertas. Fonte 4

O Lion Air revela outras barreiras

No JT610, o KNKT identificou um sensor de substituição com calibração incorreta no reparo. Não foi possível determinar se o teste de instalação havia sido executado adequadamente. Registros incompletos do voo anterior prejudicaram a informação disponível, e o alerta AOA DISAGREE não estava habilitado como deveria. Fonte 2

O relatório também inclui fatores ligados ao desempenho da tripulação e à carga de trabalho. Eles fazem parte da investigação; não substituem a análise das condições técnicas e operacionais em que as decisões foram tomadas.

Não é correto transportar automaticamente a origem do defeito do sensor da Lion Air para o ET302. O relatório etíope recebeu contestações do NTSB, inclusive sobre essa origem. O papel do MCAS não elimina as divergências entre os investigadores. Fontes 5 e 6

Certificar as partes e compreender o conjunto

A revisão conjunta JATR apontou que o MCAS não havia sido avaliado como função integrada nos documentos apresentados. Recomendou uma abordagem no nível da aeronave e maior integração dos fatores humanos. Isso é diferente de afirmar que não existiram testes ou certificação. Fonte 3

O retorno autorizado pela FAA em 2020 foi condicionado a mudanças de software, uso dos dois sinais, limites de atuação, alertas, manutenção e treinamento. Não foi uma autorização mundial simultânea nem uma garantia de risco zero. Fonte 1

Nossa leitura editorial é que o sensor foi uma entrada errada em uma cadeia maior. A consequência dependeu do poder concedido ao sistema, da forma como esse poder era limitado e do que se esperava das pessoas diante da falha. O mesmo contraste entre redundância física e causa comum aparece no voo 501 do Ariane 5.