Nos dias seguintes ao primeiro desastre de um Boeing 737 Max, engenheiros da Administração Federal da Aviação (FAA, o órgão que regulamenta a aviação civil nos EUA) se deram conta de algo perturbador: eles não compreendiam plenamente o funcionamento do sistema automatizado que ajudou a levar o avião a mergulhar verticalmente, matando todos que estavam a bordo.
Engenheiros da agência vasculharam seus arquivos à procura de informações sobre o sistema projetado para ajudar a evitar estolagens. Não encontraram muita coisa. Quando aprovaram o avião, em 2017, os reguladores não chegaram a fazer uma avaliação independente dos riscos do software perigoso conhecido como MCAS.
Mais de uma dúzia de antigos e atuais funcionários da FAA e da Boeing que conversaram com o NYT descreveram um sistema regulatório falho que, na prática, neutralizou a autoridade fiscalizadora da agência.
A agência reguladora vinha repassando tarefas rotineiras aos fabricantes havia anos, visando liberar seus especialistas para que pudessem se concentrar sobre as questões de segurança mais importantes. Mas no caso do Max, a reguladora entregou o controle quase completo à Boeing, levando alguns funcionários chaves da agência a desconhecer sistemas importantes como o MCAS, segundo os antigos e atuais funcionários.
As falhas de fiscalização do Boeing 737 Max vêm atraindo muita atenção desde o primeiro desastre com uma dessas aeronaves, em outubro, e o segundo, em março, mas uma investigação do New York Times trouxe à tona detalhes até agora não divulgados sobre pontos fracos no processo regulatório que comprometeram a segurança do aparelho.
A empresa realizou suas próprias avaliações do sistema, que não chegou a ser submetido a testes de estresse pela FAA. Devido à rotatividade de profissionais na agência, dois engenheiros relativamente inexperientes acabaram responsáveis pela supervisão do trabalho inicial da Boeing com o sistema.
A FAA acabou entregando a responsabilidade pela aprovação do MCAS ao fabricante. A partir desse momento a Boeing deixou de ser obrigada a compartilhar os detalhes do sistema com os dois engenheiros da reguladora.
Numa fase posterior do desenvolvimento do Max, a Boeing decidiu ampliar a utilização do MCAS. A versão nova e mais arriscada do sistema era dependente de um único sensor e era capaz de empurrar o nariz da aeronave muito mais para baixo.
Depois da modificação, a Boeing não submeteu uma revisão formal do MCAS à FAA, já que as regras da reguladora não exigiam que o fizesse.
A FAA acabou certificando o jato como sendo seguro. Ela exigiu pouco treinamento dos pilotos e autorizou a aeronave a continuar voando até um segundo desastre fatal, menos de cinco meses após o primeiro.
A FAA e a Boeing defenderam a certificação do avião, dizendo que seguiram os procedimentos corretos e se ativeram aos mais altos padrões.
“O programa de certificação do 737 Max envolveu 110 mil horas de trabalho da parte de funcionários da FAA, incluindo pilotagem e apoio a 297 voos de teste”, disse a reguladora.
A Boeing declarou que “o 737 Max se adequou aos padrões e exigências rígidos da FAA, sendo certificado por meio dos processos da FAA”.
A Boeing precisava que o processo de aprovação do Max fosse agilizado. Meses depois de sua rival Airbus, a empresa tinha pressa de aprontar o avião.
A abordagem não intervencionista da FAA foi fundamental para isso. Em momentos cruciais do desenvolvimento do Max, a agência atuou no segundo plano, principalmente monitorando o progresso da Boeing e checando a documentação. Maior empresa aeroespacial do país, a Boeing foi tratada como cliente; funcionários da FAA tomavam decisões baseadas no orçamento e nos prazos de completação da empresa.
Em alguns momentos do processo de certificação do Max, dirigentes da FAA chegaram a passar por cima das recomendações de seu próprio pessoal, depois de a Boeing ter apresentado resistência a elas.
Após a queda do 737 Max da Lion Air, em outubro, engenheiros da FAA ficaram chocados ao descobrir que não tinham uma análise completa do MCAS. A revisão de segurança que constava de seus arquivos não mencionava que o sistema podia empurrar o nariz do avião para baixo e ser ativado repetidas vezes, de modo que os pilotos teriam dificuldade em recuperar o controle da aeronave.
Apesar de sua compreensão apenas vaga do sistema, dirigentes da FAA optaram por não suspender o uso do 737 Max. Em vez disso, publicaram um aviso lembrando os pilotos sobre os procedimentos de emergência existentes.
O aviso não descrevia o modo de funcionamento do MCAS. Segundo documentos internos da FAA e duas pessoas com conhecimento do assunto, no último instante um gerente da FAA instruiu engenheiros da agência a eliminar a única menção ao MCAS feita no documento.
O departamento da FAA que supervisionou o desenvolvimento do Max focava tão exclusivamente a Boeing que recebeu o nome de Gabinete de Supervisão de Segurança de Aviação da Boeing.
Muitos veteranos da FAA acabaram enxergando o departamento como símbolo do relacionamento estreito entre a FAA e a Boeing. O funcionário chefe em Seattle na época, Ali Bahrami, tinha dificuldade em persuadir funcionários a entrar para o departamento, segundo três antigos e atuais funcionários.
Alguns engenheiros pensavam que Bahrami tinha instalado gerentes no departamento que agiriam conforme a vontade da Boeing. “Ele não incluiu freios e verificações suficientes no sistema”, disse um ex-engenheiro da FAA, Mike McRae, aludindo a Bahrami. “O que ele queria realmente era que abdicássemos de nosso poder de inspeção. Não queria delegar poderes.”
A FAA disse em comunicado à imprensa que Bahrami “dedicou sua carreira à promoção da segurança de aviões nos setores privado e público”.
Durante década a FAA recorreu a engenheiros atuando dentro da Boeing para ajudar a certificar aeronaves. Mas em 2005, após um trabalho intenso de lobby por parte das empresas de aviação, a agência adotou regras dando ainda mais controle a fabricantes como a Boeing. Em 2018, segundo um funcionário da FAA, a agência já estava deixando a própria Boeing certificar 96% de seu trabalho.
Em meio ao desenvolvimento do Max, dois dos engenheiros mais experientes do departamento da Boeing na FAA deixaram a agência. Os dois, que juntos somavam 50 anos de experiência profissional, ficaram frustrados com seu trabalho, que para eles se tornara sobretudo burocrático, segundo duas pessoas informadas sobre as mudanças de pessoal.
No lugar deles a FAA nomeou um engenheiro que tinha pouca experiência com controles de voo e um profissional recém-contratado que fizera seu mestrado três anos antes. Pessoas que trabalhara com os dois engenheiros disseram que eles pareciam pouco preparados para identificar quaisquer problemas em um sistema complexo como o MCAS.
Desde o início a Boeing minimizou a importância do MCAS. Uma revisão inicial pela empresa não caracterizou o sistema como sendo arriscado e, segundo dois funcionários da FAA, não suscitou atenção adicional por parte dos engenheiros da FAA. A revisão descreveu um sistema que só seria ativado em situações muito raras.
Os engenheiros da FAA que vinham supervisionando o MCAS não chegaram a receber nenhuma outra avaliação de segurança. Em 2016, quando a Boeing estava apressada para terminar o Max, gerentes da FAA autorizaram a empresa a aprovar uma leva de avaliações de segurança. Eles pensavam que as questões envolvidas nas avaliações eram de baixo risco.
A Boeing estava no meio de uma revisão do MCAS. Para ajudar pilotos a controlar o avião e evitar uma estolagem, a empresa deixou o MCAS ser acionado em velocidades baixas, não apenas em altas velocidades. A versão revista moveria o estabilizador até 2,5 graus cada vez que era acionada, empurrando o nariz do avião fortemente para baixo. A versão anterior movia o estabilizador em apenas 0,6 grau.
Quando engenheiros da empresa analisaram a modificação, calcularam que o sistema não se tornara mais arriscado, segundo duas pessoas familiarizadas com as discussões da Boeing sobre o assunto. Eles presumiram que os pilotos reagiriam rapidamente a um erro de função, puxando o nariz do avião para cima outra vez. Para eles, quaisquer problemas que ocorressem seriam menos perigosos em baixas velocidades.
Crendo que o sistema era insignificante, os funcionários da FAA não obrigaram a Boeing a informar os pilotos sobre o MCAS. Quando a empresa pediu para tirar uma menção do MCAS do manual dos pilotos, a agência concordou. A FAA tampouco mencionou o software em 30 páginas de descrições detalhadas das diferenças entre o Max e a versão anterior do 737.
Dias após a queda do 737 Max da Lion Air, a agência convidou executivos da Boeing para comparecer à sede da FAA em Seattle, segundo duas pessoas informadas sobre o assunto. Os funcionários da FAA ouviram, incrédulos, os executivos da Boeing explicando detalhes sobre um sistema que eles desconheciam.
No meio da discussão, segundo uma das pessoas, um funcionário da FAA interrompeu para fazer a pergunta que estava na cabeça de vários engenheiros da agência: por que a Boeing não atualizara a análise de segurança de um sistema que se tornara tão perigoso? |
