O CENIPA (Centro de Investigação e Prevenção de Acidentes Aeronáuticos) lançou recentemente o Relatório Final do incidente grave, como classifica o órgão, com o Boeing 777-300ER da LATAM Brasil de matrícula PT-MUG. 

Na ocasião a aeronave precisou fazer um pouso em emergência no Aeroporto de Confins, no dia 20 de dezembro de 2018, após uma falha no sistema elétrico da aeronave. O PT-MUG estava cumprindo o voo LA8084 de Guarulhos (São Paulo) para Londres, com 339 passageiros a bordo.

O relatório final aborda as panes que ocorreram durante o voo, e como a tripulação entrou em ação para tentar corrigir o problema, e alternar a aeronave com segurança. A investigação do incidente foi realizada com a colaboração de autoridades norte-americanas da FAA e NTSB

Abaixo vamos colocar os trechos divulgados pelo CENIPA, com aspas “” e em itálico, juntamente de um comentário sobre as ocorrências durante o voo, para maior entendimento do público.

“Durante o nivelamento para a altitude de cruzeiro (após 12 minutos de voo), a tripulação identificou a mensagem ELEC BACKUP SYS e, após consultar o Quick Reference Handbook (QRH), o sistema foi reiniciado, porém, a mensagem permaneceu.”

Essa mensagem indica que o sistema de energia reserva falhou, também pode indicar uma falha completa do sistema elétrico da aeronave.

“Aproximadamente onze minutos após a mensagem ELEC BACKUP SYS, tanto o Pilot
Flying (PF) quanto o Pilot Monitoring (PM) perderam as informações do Primary Flight
Display (PFD), do Navigational Display (ND) e dos dois Engine Indicating and Crew Alerting
Systems (EICASs). Houve também a perda simultânea da iluminação primária da cabine
de passageiros e da cabine da tripulação.”

Os pilotos conseguiram restaurar após alguns minutos as informações do PFD e do ND, possibilitando um voo por instrumentos. Na visualização do EICAS os pilotos notaram que os geradores do motor direito estavam inativos (com um X), enquanto o barramento não estava fornecendo energia, apesar da disponibilidade dos geradores do motor esquerdo, indicando uma falha no barramento de energia.

Deste ponto os pilotos seguiram as instruções do manual, para acionar a APU em caso de falha do sistema de energia, o componente é um motor auxiliar que funciona com o mesmo combustível dos motores principais, e pode gerar pressão hidráulica, pneumática e energia para a aeronave em voo ou em solo.

“A tripulação acionou a Auxiliary Power Unit (APU) e consultou a tela Synoptic do
sistema elétrico para verificar a configuração de energia da aeronave. O Synoptic do sistema elétrico indicava que os barramentos não forneciam energia de qualquer fonte disponível. A aeronave apresentou a mensagem RAT DEPLOYED e a geração de energia passou a ser provida pelo sistema de Standby.”

Importante notar a presença do RAT nesta ocasião, este é um pequeno gerador eólico, acionado sempre como último backup do sistema elétrico ou hidráulico. Neste caso, os pilotos utilizaram para obter energia para os sistemas vitais de controle do avião, lembrando que o glass cockpit do 777 depende de energia para manter os computadores e visores ativados.

“O sistema elétrico foi projetado para que, em caso de uma eventual falha de ambos os IDG, os barramentos principais fossem desenergizados enquanto os barramentos de transferência e de Standby fossem energizados pelos Backup Generators.

Falhas adicionais dos Backup Generators desenergizam os barramentos de transferência, levando à descida (deployment) da Ram Air Turbine (RAT)”

No momento posterior a mensagem de RAT DEPLOYED, a tripulação chegou a
pensar em uma falha de ambos os propulsores da aeronave, mas essa possibilidade foi
descartada rapidamente.

Pela deterioração do sistema elétrico, a tripulação decidiu prosseguir para um pouso de emergência no Aeroporto de Confins (SBCF), mesmo acima do peso máximo para pouso, estipulado pela fabricante da aeronave.

Sem o sistema elétrico completo, apenas com instrumentos e sistemas vitais funcionando, os pilotos não poderiam alijar combustível para seguir com um menor peso para a aproximação, que foi realizada rapidamente pelo PT-MUG.

Por este motivo, o avião teve danos nos pneus, rodas e freios, após o pouso devido ao superaquecimento do conjunto de frenagem do avião. O foco de fogo, que durou alguns minutos foi combatido pelos bombeiros que usaram uma espuma para abafar as chamas.

Curiosamente o CENIPA também citou uma falha no conversor de corrente do backup, que comandou uma desconexão dos barramentos principais ao barramento de transferência (R Main e L Main).

As únicas unidades de energia que ficam fora do barramento principal são: o RAT e o conjunto de Baterias, que sustentaram o avião enquanto ele alternava para o Aeroporto de Confins.

Devido ao sistema de baterias ter autonomia limitada, o pouso precisa ser realizado de maneira imediata. Vale ressaltar que o barramento principal foi desconectado, desligando os computadores que suportam os comandos de voo, e logo após entrou em ação o barramento auxiliar, com energia DC da RAT e da bateria.

Os tripulantes relataram que não tinham vivenciado nada parecido antes, nem mesmo
em simulador de voo. Consideraram que o gerenciamento da carga de trabalho, em virtude
das panes vivenciadas, foi tranquilo e adequado.

Causas do problema no 777-300ER

É raro um problema deste tipo, com a deterioração total do sistema elétrico. O barramento elétrico defeituoso pode inutilizar toda a redundância de geradores do avião, que também conta com outros sistemas, como a APU, e fora do barramento, as baterias e a RAT.

O Backup Converter foi substituído no dia 18 de dezembro de 2018, dois dias antes do incidente, por mecânicos da companhia, após uma sequência de falhas no sistema nos meses anteriores.

A aeronave realizou dois voos entre as cidades de São Paulo e Miami, totalizando, aproximadamente, 15 horas e 2 ciclos. Durante o terceiro voo após a substituição do Backup Converter, ocorreram as falhas.

No relatório preliminar, divulgado em 2019, o CENIPA já indicava evidências de um curto-circuito no conector D7232, que interliga o gerador de backup do lado direito ao conversor de corrente do lado direito da aeronave. A cablagem W8821 também estava com danos na análise dos investigadores.

Isso explica também a primeira falha notada pelos pilotos nos sistemas de backup. Minutos depois o curto-circuito levou a uma deterioração total dos sistemas de energia do avião.

O CENIPA investigou o cabeamento e os barramentos Backup Converter, para identificar possíveis falhas que levaram ao curto-circuito. O primeiro, de numeração 2238 estava instalado anteriormente na aeronave, antes de diversas falhas que levaram a sua substituição pelo componente 2246, que não apresentava problemas na avaliação do Cenipa.

Após reparos para consertar os problemas identificados anteriormente, o Backup Converter de numeração 2238 voltou para o PT-MUG em 18 de dezembro de 2018, falhando novamente após dois dias na aeronave.

Os investigadores não encontraram possíveis detritos que levaram ao curto-circuito, ao contrário, alguns pinos do conector entraram em contato, após uma falha no Backup Converter que estava instalado na aeronave. 

Além da interação da energia entre os pinos, também havia uma fuga de corrente nos circuitos internos de monitoramento remoto do nível do óleo no Backup Converter. O CENIPA lista que uma falha sistema de conversão pode ter resultado em um curto-circuito no cabeamento e conectores.

Recomendações com base neste incidente

O CENIPA recomendou à ANAC a necessidade de “avaliar a necessidade e a pertinência de ajustes regulatórios que determinem a obrigatoriedade de que equipes de salvamento e contra incêndio possuam comunicação VHF direta com as aeronaves envolvidas em emergências no aeródromo.”

Para o DECEA, o CENIPA reforçou a mensagem direcionada à ANAC, solicitando que “os controladores tenham o correto entendimento sobre a diferença entre um procedimento de desembarque e uma evacuação de aeronaves.”

A FAA concordou em “atuar em parceria com a Boeing Company para certificar-se de que, considerando os eventos observados no incidente grave em tela e o nível de risco avaliado como Classe II, a probabilidade de ocorrência dessa falha tenha se mantido menor que 1×10-7 (uma falha em 10 milhões de horas de voo).”

O CENIPA não emitiu recomendações de correções na aeronave, apesar do problema encontrado no sistema elétrico. O órgão apenas indicou que neste ponto (do barramento), há uma fragilidade no sistema da aeronave, indicando que o próprio barramento precisa ter independência dos sistemas assessórios e a falta de redundância.

A avaliação do CENIPA mostrou que a falha do Backup Converter poderia gerar uma falha em outro barramento, da RAT, causando a desconexão da mesma no momento que fornecia energia para os sistemas essenciais do avião.