curiosos-do-ceu
Relatório do voo 2283 aponta gelo severo, falha no de-icing e cadeia de vulnerabilidades
**Documento final do CENIPA conclui que o ATR 72 da Voepass foi despachado com o sistema de degelo da estrutura inoperante e permaneceu em condições de gelo severo até perder desempenho, entrar em stall e perder o controle.
A investigação também identificou falhas de manutenção, planejamento, supervisão, cultura organizacional e fiscalização.**
O Centro de Investigação e Prevenção de Acidentes Aeronáuticos concluiu que o acidente com o voo 2283 da Voepass não resultou de um único erro ou de uma falha isolada.
O relatório final descreve uma sequência formada por condições meteorológicas adversas, indisponibilidade do sistema de degelo da estrutura, ausência de registros formais de manutenção, planejamento inadequado, perda progressiva de desempenho, alertas não processados pela tripulação e vulnerabilidades organizacionais e regulatórias.
O ATR 72-212A, matrícula PS-VPB, decolou de Cascavel, no Paraná, com destino ao Aeroporto Internacional de São Paulo, em Guarulhos, às 14h58 UTC 11h58 pelo horário de Brasília de 9 de agosto de 2024.
A bordo estavam 58 passageiros e quatro tripulantes. A aeronave caiu em uma área residencial de Vinhedo, no interior paulista, às 16h22 UTC, aproximadamente 13h22 no horário local. Todos os 62 ocupantes morreram.
O documento de 266 páginas classificou a ocorrência nas categorias formação de gelo, perda de controle em voo e falha ou mau funcionamento de sistema ou componente. A investigação do Sistema de Investigação e Prevenção de Acidentes Aeronáuticos, SIPAER, tem finalidade preventiva e não representa julgamento de responsabilidade civil, criminal ou administrativa.
O que o CENIPA concluiu sobre o acidente
Segundo a síntese oficial, o PS-VPB foi despachado com o sistema **Airframe De-Icing** inoperante.
Durante o cruzeiro, a aeronave encontrou condições de **severe icing**, expressão usada para definir formação de gelo severo, situação na qual o acúmulo pode superar a capacidade dos sistemas de proteção instalados.
O gelo acumulado em superfícies críticas aumentou significativamente o arrasto aerodinâmico, reduziu a velocidade e comprometeu a capacidade de manutenção do voo nivelado.
A aeronave entrou em **stall**, condição em que as asas deixam de produzir sustentação suficiente devido ao aumento excessivo do ângulo de ataque. Depois da perda de controle, o avião evoluiu para uma rotação em parafuso chato e colidiu contra o solo.
A conclusão não reduz o acidente à presença de gelo. O relatório demonstra que a meteorologia se tornou fatal porque encontrou uma operação na qual diferentes barreiras de segurança já estavam enfraquecidas.
A falha no sistema de degelo já havia aparecido antes
Um dos pontos centrais da investigação foi a constatação de que o sistema Airframe De-Icing havia apresentado falhas em voos anteriores, mas essas ocorrências não foram formalmente registradas no **Technical Logbook**, o diário técnico de bordo conhecido pela sigla TLB.
Sem o registro, os setores de manutenção e operações não tiveram uma informação formal que permitisse adotar medidas como retirada da aeronave de serviço, manutenção corretiva, substituição do avião, alteração da rota ou despacho com as limitações previstas na Lista de Equipamentos Mínimos, a MEL.
A aeronave, portanto, foi liberada sem que a falha estivesse registrada e sem as restrições operacionais que deveriam acompanhar a indisponibilidade do sistema.
O relatório também registrou que o limpador de para-brisa do lado direito estava inoperante, apesar das condições meteorológicas previstas.
O CENIPA classificou a manutenção da aeronave como fator contribuinte. A conclusão não significa que os mecânicos tenham provocado diretamente o acidente, mas que a cultura de reporte informal ou de ausência de registros impediu o funcionamento adequado das defesas técnicas e operacionais da empresa.
Para que serve o Airframe De-Icing
O ATR 72 utiliza estruturas infláveis, conhecidas como **boots**, instaladas nos bordos de ataque das asas e do estabilizador horizontal. Quando acionados, esses componentes recebem ar pressurizado, inflam e quebram mecanicamente a camada de gelo acumulada.
O sistema não impede que o gelo se forme. Ele é um sistema de remoção periódica.
Outros componentes, como hélices, sensores e determinadas superfícies, contam com sistemas elétricos de aquecimento.
A aeronave era certificada para voar em condições de formação de gelo desde que os equipamentos exigidos estivessem instalados, operacionais e fossem utilizados conforme os procedimentos.
Em gelo severo, entretanto, a orientação operacional não é permanecer indefinidamente na área e confiar apenas nos boots. A tripulação deve abandonar aquelas condições, alterando altitude ou trajetória.
No voo 2283, a falha estava relacionada aos boots da asa direita. O relatório afirma que os procedimentos previstos para a mensagem **DE ICING AIRFRAME FAULT** não foram executados.
O sistema foi ligado e desligado diversas vezes durante o voo.
A meteorologia indicava gelo severo na rota
A documentação entregue à tripulação antes da decolagem continha uma mensagem SIGMET com previsão de gelo severo na região que abrangia a rota.
SIGMET é um aviso meteorológico emitido para fenômenos capazes de afetar significativamente a segurança das aeronaves.
O nível de cruzeiro planejado era o FL170, equivalente a 17 mil pés, cerca de 5,2 quilômetros de altitude.
Esse também era o teto operacional disponível naquele voo devido à indisponibilidade de uma das unidades de ar-condicionado e pressurização da aeronave.
O relatório concluiu que as condições no nível planejado formavam um ambiente propício a gelo severo e estavam abaixo das condições mínimas aceitáveis para aquela operação.
Mesmo assim, o planejamento foi mantido.
A investigação considerou que o Centro de Controle Operacional, o despachante operacional de voo e o comandante não avaliaram adequadamente todas as restrições meteorológicas e técnicas antes da partida.
O combustível extra solicitado pelo despachante aumentava a autonomia, mas não eliminava o risco de permanecer em uma altitude com formação intensa de gelo.
A sequência de alertas durante o voo
Durante a subida, às 15h12 UTC, a tripulação acionou os sistemas elétricos de proteção das hélices e dos comandos. Pouco depois, ao cruzar aproximadamente o FL130, equivalente a 13 mil pés, o detector eletrônico identificou acúmulo de gelo.
Sete segundos após a detecção, o Airframe De-Icing foi ligado. Na sequência, o sistema registrou falha relacionada aos boots da asa direita.
O procedimento previsto determinava sair e evitar condições de gelo, além de desligar o sistema defeituoso após a repetição da falha. Essas ações não foram executadas conforme estabelecido no manual.
Depois de nivelar no FL170, o detector eletrônico voltou a indicar gelo em diversas oportunidades e permaneceu ativo durante grande parte do voo. A velocidade começou a cair à medida que o arrasto aumentava.
O sistema de monitoramento de desempenho da aeronave, chamado **Aircraft Performance Monitoring**, ou APM, emitiu oito avisos **CRUISE SPEED LOW**, indicando que a velocidade de cruzeiro estava abaixo do valor esperado. A investigação não identificou a execução dos procedimentos relacionados a esses avisos.
Às 16h19min28s UTC, com velocidade indicada de 185 nós, cerca de 343 km/h, e arrasto calculado 27% acima do previsto, foi ativado o alerta **DEGRADED PERFORMANCE**. Ele ocorreu 1 minuto e 42 segundos antes do aviso de stall.
O procedimento previa monitorar velocidade e razão de subida ou descida, alterar a trajetória, verificar os sistemas de proteção contra gelo e acelerar para uma margem segura. Caso a velocidade não pudesse ser recuperada, o piloto automático deveria ser desconectado e o modo de baixa inclinação lateral, LOW BANK, selecionado.
Às 16h20min04s, o copiloto comentou sobre a presença de grande quantidade de gelo. O sistema de degelo foi ligado novamente, enquanto a velocidade continuava diminuindo.
A curva para SANPA e os segundos finais do voo controlado
Às 16h20min33s UTC, o controle de aproximação autorizou o voo a seguir diretamente para a posição SANPA, ainda no FL170.
A descida estava temporariamente limitada por outros tráfegos que voavam em níveis inferiores.
A aeronave começou uma curva à direita com aproximadamente 171 nós, cerca de 317 km/h.
O piloto automático estava comandando a curva no modo HIGH BANK, que permite inclinações maiores.
Durante uma curva, a aeronave precisa produzir mais sustentação para manter a altitude. Para isso, aumenta o ângulo de ataque.
Em um avião com velocidade já reduzida e superfícies contaminadas por gelo, esse aumento pode aproximar rapidamente a asa do stall.
Às 16h20min57s, quando o avião alcançava 18 graus de inclinação, foi ativado o alerta **INCREASE SPEED**.
O APM calculava naquele momento um arrasto 44% superior ao valor teórico. O alerta ocorreu apenas 13 segundos antes do sistema de proteção contra stall ser acionado.
Não foram identificadas ações que demonstrassem o reconhecimento ou o processamento dos alertas do APM. O Airframe De-Icing foi desligado quatro segundos depois do INCREASE SPEED.
O piloto automático continuou tentando manter simultaneamente a altitude e a curva. Para sustentar o avião, comandou aumento progressivo do ângulo de ataque. A velocidade caiu ainda mais.
Às 16h21min09s, o ângulo de ataque chegou ao limite do stall warning em condições de gelo. O sistema acionou o **stick shaker**, que faz os manches vibrarem para alertar os pilotos, e o piloto automático foi desconectado.
A recuperação de stall não foi executada conforme o procedimento
O procedimento de recuperação previa empurrar o manche, aumentar a potência, nivelar as asas e, com os flaps recolhidos, comandar flaps 15. O objetivo principal era reduzir imediatamente o ângulo de ataque e recuperar a sustentação.
Os dados mostraram que, após a queda da asa esquerda, os dois pilotos aplicaram força nos comandos no sentido de levantar o nariz. Essa atuação foi contrária ao procedimento de recuperação e aumentou novamente o ângulo de ataque.
O **stick pusher**, sistema que empurra automaticamente os comandos para baixar o nariz quando o stall se torna iminente, foi ativado. Houve aplicação de força contrária ao movimento do sistema, o que contribuiu para a ativação do mecanismo de desacoplamento dos comandos de arfagem.
O CENIPA classificou a aplicação dos comandos como fator contribuinte. O documento, contudo, insere essa reação em um contexto mais amplo: degradação prolongada do desempenho, alertas sucessivos, perda de consciência situacional, coordenação de cabine deficiente e uma situação crítica que evoluiu rapidamente.
A aeronave entrou em parafuso chato, completou cinco voltas para a esquerda em 68 segundos e apresentou razão de descida próxima de 14 mil pés por minuto, aproximadamente 4.267 metros por minuto, até a colisão contra o solo.
Os pilotos eram habilitados e haviam recebido treinamento
O comandante e o copiloto estavam com licenças, habilitações e certificados médicos válidos. O comandante acumulava 5.248 horas de voo, das quais aproximadamente 666 no ATR. O copiloto tinha 5.143 horas totais e cerca de 3.544 no modelo.
Ambos haviam realizado treinamento em simulador sobre formação de gelo severo, procedimentos para abandonar essas condições e recuperação de atitudes anormais. Os dois receberam avaliações satisfatórias.
A investigação não encontrou indícios de intoxicação, incapacitação médica ou fadiga como fatores contribuintes. O peso e o balanceamento calculados estavam dentro dos limites, sem considerar a quantidade de gelo acumulada. Os motores e as hélices estavam aprovados para operação e não foram apontados como origem da perda de controle.
O CENIPA classificou “capacitação e treinamento” como fator indeterminado. Embora o treinamento exigido tivesse sido realizado, as respostas observadas no voo não corresponderam à proficiência esperada, especialmente no reconhecimento do gelo severo e na recuperação do stall.
O APM alertava, mas sua arquitetura também será revista
O APM compara o desempenho real com o desempenho teórico da aeronave. Ele procura identificar aumentos de arrasto e perdas de velocidade que podem ocorrer quando há gelo acumulado.
No ATR 72-500, o sistema apresentava três mensagens principais:
CRUISE SPEED LOW
Indicava uma redução relevante da velocidade de cruzeiro em relação ao desempenho esperado. Era uma informação visual azul.
DEGRADED PERFORMANCE
Representava degradação significativa, associada a aumento expressivo do arrasto. Era classificada como CAUTION, com luz âmbar e alarme sonoro.
INCREASE SPEED
Indicava que a velocidade estava próxima da referência mínima estabelecida para condições severas de gelo. Apesar de exigir resposta imediata, também era classificada como CAUTION.
A investigação considerou indeterminado o papel do projeto do sistema. O CENIPA avaliou que a classificação do INCREASE SPEED como CAUTION poderia favorecer a subestimação de uma condição que, operacionalmente, já exigia ação imediata. O relatório também apontou que dois alertas de diferentes graus de gravidade poderiam aparecer simultaneamente, sem que o manual estabelecesse claramente qual procedimento deveria ter prioridade.
Por isso, uma das recomendações propõe avaliar a elevação do INCREASE SPEED de CAUTION para **WARNING**, nível reservado a situações de emergência que exigem resposta imediata.
O acidente foi resultado de uma cadeia, não de um único ponto
O CENIPA classificou como fatores que contribuíram para o acidente:
• aplicação dos comandos;
• atenção;
• atitude;
• condições meteorológicas adversas;
• coordenação de cabine;
• cultura do grupo de trabalho;
• cultura organizacional;
• julgamento de pilotagem;
• manutenção da aeronave;
• percepção;
• planejamento de voo;
• processo decisório;
• processos organizacionais;
• supervisão gerencial;
• atuação da ANAC.
Capacitação e treinamento, estado emocional, influências externas e aspectos do projeto foram classificados como indeterminados. Essa classificação significa que os elementos podem ter exercido influência, mas as evidências não permitiram confirmar sua contribuição com o mesmo grau atribuído aos demais fatores.
A normalização dos desvios dentro da empresa
Uma das conclusões mais relevantes ultrapassa o cockpit.
O relatório descreve uma organização marcada por informalidade nas relações entre diferentes áreas e níveis hierárquicos.
Embora essa proximidade pudesse produzir um ambiente amistoso, o CENIPA avaliou que ela também abriu espaço para improvisações, permissividade e flexibilização de procedimentos. Práticas informais passaram a coexistir com as regras oficiais.
O aparecimento frequente de alertas do APM sem consequências em voos anteriores teria contribuído para uma falsa sensação de segurança. As mensagens passaram a ser percebidas como repetitivas ou pouco relevantes, fenômeno conhecido como complacência.
Esse processo é chamado de **normalização do desvio**.
Uma prática inadequada é repetida, aparentemente sem consequências, até começar a ser tratada como aceitável. O fato de voos anteriores terminarem normalmente não comprova que o procedimento era seguro; apenas significa que as condições ainda não haviam atravessado todas as barreiras de proteção.
O relatório concluiu que a supervisão gerencial não foi eficaz para detectar e interromper essas práticas, tanto nas operações de voo quanto na manutenção.
Dados de voo existiam, mas não foram plenamente transformados em prevenção
A empresa possuía infraestrutura e dados de monitoramento de voo capazes de identificar tendências como perda de desempenho por acúmulo de gelo. Segundo o relatório, porém, não houve evidências de que essas informações tenham sido convertidas sistematicamente em mudanças corretivas, doutrinárias ou procedimentais.
O programa de análise de dados deveria permitir que alertas repetitivos deixassem de ser vistos apenas como eventos isolados. A repetição poderia indicar uma fragilidade operacional, uma limitação de procedimento ou um comportamento que precisava ser corrigido.
O CENIPA considerou que o subaproveitamento desses dados, somado à ausência de assessoria meteorológica em tempo real do centro operacional para a tripulação, enfraqueceu os processos de gerenciamento de risco.
O relatório também aponta contribuição da fiscalização da ANAC
Antes do acidente, auditorias e inspeções da Agência Nacional de Aviação Civil haviam identificado não conformidades relacionadas à manutenção, rastreabilidade de componentes, cumprimento da MEL e reporte informal ou ausência de reporte de falhas.
Para o CENIPA, esses sinais não foram processados pelo gerenciamento de risco da Agência de forma suficiente para sustentar decisões estratégicas capazes de controlar a degradação da segurança operacional.
O relatório afirma que os mecanismos de registro, tratamento e monitoramento de perigos ainda estavam em amadurecimento, permitindo a continuidade das operações apesar dos sinais de deterioração.
Essa conclusão não significa que a ANAC tenha causado diretamente o acidente. Significa que a vigilância regulatória, uma das barreiras externas do sistema, não conseguiu interromper a progressão das vulnerabilidades identificadas na empresa.
Recomendações para EASA, ATR e ANAC
O CENIPA emitiu nove recomendações de segurança: quatro destinadas à Agência Europeia para a Segurança da Aviação, autoridade responsável pela certificação primária do ATR, e cinco à ANAC.
Entre as recomendações dirigidas à EASA estão a revisão do procedimento DEGRADED PERFORMANCE, a adoção mais clara do modo LOW BANK em condições de perda de desempenho, a ampliação dos parâmetros registrados pelo gravador de dados e a reavaliação da classificação do alerta INCREASE SPEED.
O relatório propõe que futuros gravadores registrem informações como falha do Airframe De-Icing, ativação do stick pusher, posição dos comandos de cada piloto, desacoplamento dos comandos de arfagem e modos HIGH BANK ou LOW BANK selecionados.
À ANAC, o CENIPA recomendou revisar checklists utilizados por operadores de ATR, reavaliar as regras de comunicação entre centros operacionais e aeronaves, fortalecer seu gerenciamento de risco, divulgar as lições do acidente às empresas do RBAC 121 e acompanhar o cumprimento das recomendações destinadas à EASA.
Mudanças já adotadas após o acidente
A ATR desenvolveu a versão 2.0 do software do APM.
O novo algoritmo passou a monitorar o desempenho durante todo o voo, reduziu a intermitência das mensagens e adotou como referência principal a margem em relação à velocidade mínima em condições de gelo.
Em uma simulação do voo 2283, a nova versão teria produzido um alerta adicional de desempenho degradado aproximadamente 27 minutos antes do alerta equivalente registrado no voo real. O último DEGRADED PERFORMANCE também teria aparecido 31 segundos antes.
A atualização foi certificada para o ATR 72-600, mas não era compatível com o ATR 72-500 envolvido no acidente. O relatório ressalta que a mudança representa uma evolução do sistema e não uma declaração de que o projeto original estivesse fora dos requisitos de certificação.
A ANAC também iniciou estudos sobre treinamento de recuperação de atitudes anormais, com atenção ao **startle effect**, reação de surpresa intensa que pode prejudicar temporariamente a tomada de decisão.
Em agosto de 2025, a Agência ampliou a obrigatoriedade dos programas de monitoramento de dados de voo para aeronaves com peso máximo de decolagem superior a 15 toneladas, passando a abranger os ATR utilizados pelas companhias brasileiras.
Após o acidente, a ANAC colocou a empresa em regime de operação assistida e intensificou a fiscalização. Em março de 2025, suspendeu cautelarmente os certificados de operador aéreo e de organização de manutenção. Em junho do mesmo ano, determinou a cassação dos certificados após processo administrativo.
O que muda para a aviação regional
O ATR 72 é utilizado em rotas regionais por combinar capacidade para dezenas de passageiros, eficiência de combustível e operação em aeroportos menores.
O relatório não conclui que o modelo seja inseguro ou incapaz de operar em gelo.
A principal lição é que a certificação de uma aeronave para determinadas condições depende do funcionamento de seus equipamentos, do cumprimento dos procedimentos, da qualidade do planejamento e da capacidade da organização de reconhecer sinais de degradação.
Na prática, o acidente reforça cinco necessidades: registrar formalmente todas as falhas técnicas, aplicar a MEL sem flexibilizações informais, tratar alertas repetitivos como informações de segurança, utilizar efetivamente os dados de monitoramento de voo e abandonar imediatamente condições de gelo severo quando os procedimentos assim determinarem.
Próximos passos
A implementação das recomendações dependerá da EASA, da ATR, da ANAC e dos operadores. Algumas medidas exigem alterações de software ou de certificação; outras dependem de revisão de manuais, checklists, treinamento, fiscalização e cultura interna.
A ANAC deverá acompanhar as decisões da autoridade europeia e avaliar medidas alternativas para o Brasil caso alguma recomendação não seja adotada, seja implementada apenas parcialmente ou receba solução diferente.
Para os operadores, o relatório deve ser transformado em treinamento, revisão de processos e análise de dados. O aprendizado preventivo somente se completa quando as conclusões deixam o documento e passam a modificar o cotidiano das operações.
Conclusão
O acidente do voo 2283 não começou nos segundos anteriores à perda de controle. A cadeia descrita pelo CENIPA teve início antes da decolagem, com uma falha técnica sem registro formal, prosseguiu com um planejamento incompatível com as restrições existentes e se aprofundou durante a exposição prolongada ao gelo severo.
No cockpit, a degradação foi acompanhada por detecções de gelo, falhas do sistema de degelo, oito avisos de baixa velocidade, um alerta de desempenho degradado e um alerta para aumento imediato da velocidade. As respostas previstas não foram executadas em tempo suficiente.
Ao redor da tripulação, outras defesas também falharam: manutenção, despacho, supervisão, análise de dados, cultura organizacional e fiscalização. É essa combinação que torna o relatório especialmente relevante. Ele demonstra que a segurança aérea não depende de uma única pessoa, equipamento ou procedimento, mas de um sistema inteiro capaz de reconhecer riscos, registrar desvios e agir antes que as margens desapareçam.
O documento não encerra a memória das 62 pessoas que morreram em Vinhedo nem substitui eventuais apurações em outras esferas.
Sua finalidade é impedir que a mesma combinação de vulnerabilidades volte a se formar.
O escrutínio dos voos anteriores revelou que os sinais de risco já estavam presentes
A investigação do voo 2283 não se limitou aos minutos finais da aeronave nem à leitura isolada dos gravadores de voo. Para compreender como o ATR 72 matrícula PS-VPB chegou ao dia do acidente com uma falha conhecida no sistema de degelo da estrutura, a Comissão de Investigação SIPAER reconstruiu o histórico técnico e operacional da aeronave, examinou seus voos imediatamente anteriores e ampliou a análise para milhares de operações realizadas pela frota da companhia.
Esse escrutínio foi decisivo porque mostrou que o acidente não surgiu de uma anormalidade inédita. A falha do **Airframe De-Icing**, a degradação de desempenho em ambiente de gelo, os alertas emitidos pelo sistema APM e a prática de desligar e religar equipamentos defeituosos já haviam aparecido anteriormente. O problema central não foi apenas a repetição das falhas, mas a ausência de um processo organizacional capaz de registrá-las, tratá-las e interromper a operação antes que as margens de segurança desaparecessem.
Tecnicamente, o relatório não identifica uma “política oficial de normalização de panes”.
A conclusão é mais precisa e, ao mesmo tempo, mais profunda: formou-se um ambiente organizacional no qual **desvios operacionais e falhas técnicas recorrentes passaram a ser tratados informalmente, tolerados ou percebidos como parte da rotina**. É esse processo que a segurança de voo denomina **normalização do desvio**.
Computadores preservaram o histórico dos nove últimos voos
Apesar da destruição provocada pelo impacto e pelo incêndio, três dos quatro módulos de memória dos computadores multifuncionais da aeronave foram recuperados, decodificados e lidos com sucesso. Esses equipamentos registravam falhas detectadas nos últimos nove voos, classificados pela investigação como “voo 0”, correspondente ao acidente, e “voos -1” a “-8”.
A leitura revelou que a falha **Right Wing Boot B Fault**, relacionada ao funcionamento das câmaras dos boots externos da asa direita, apareceu no voo do acidente e nos três voos imediatamente anteriores. No “voo -3”, também foi registrada uma falha equivalente nos boots da asa esquerda. Portanto, a anormalidade encontrada no voo 2283 não havia surgido pela primeira vez durante a subida entre Cascavel e Guarulhos.
Os investigadores cruzaram essas informações com os dados do gravador de voo, registros do computador multiuso, mensagens automáticas de manutenção, comunicações da cabine, documentos operacionais e lançamentos feitos ou não realizados no diário técnico da aeronave. A combinação dessas fontes permitiu reconstruir não apenas a existência da falha, mas a forma como diferentes tripulações reagiram a ela.
Três voos, a mesma falha e nenhum registro formal
Voo -3: falha comunicada verbalmente, mas não lançada no diário técnico
Na noite anterior ao acidente, o PS-VPB voou de Guarulhos para Ribeirão Preto com uma tripulação diferente. Durante o trajeto, o detector eletrônico identificou formação de gelo e o sistema Airframe De-Icing foi acionado.
Cerca de dois minutos depois, o sistema registrou falhas nos boots das asas direita e esquerda. O Airframe De-Icing foi então desligado e religado três vezes. O fabricante permitia uma tentativa de **reset**, procedimento em que o sistema é desligado por alguns segundos e novamente acionado. Se a falha retornasse, entretanto, os pilotos deveriam aplicar o procedimento anormal do manual, abandonar as condições de gelo e registrar a ocorrência no diário técnico.
Nada disso foi formalmente lançado no **Technical Logbook**, o TLB, documento que funciona como fonte primária para que a manutenção tome conhecimento das anormalidades e adote a correção necessária.
Durante entrevistas, integrantes da manutenção noturna disseram ter recebido dos pilotos uma comunicação verbal sobre a falha. A informação, porém, não foi convertida em registro técnico. Sem o lançamento no TLB, não houve abertura formal da discrepância, aplicação das restrições da MEL ou execução de uma manutenção corretiva direcionada.
A aeronave passou por uma inspeção diária em Ribeirão Preto. Como essa inspeção previa apenas a verificação visual externa dos boots, e não um teste funcional do sistema, a falha permaneceu sem ser identificada e corrigida.
A MEL permitia que a aeronave fosse despachada com aqueles componentes inoperantes, mas estabelecia uma condição objetiva: o avião não poderia operar em condições conhecidas ou previstas de formação de gelo. Sem o registro formal, essa limitação não foi incorporada ao planejamento dos voos seguintes.
Voo -2: queda de velocidade, alerta do APM e nova falha
Na manhã de 9 de agosto, o primeiro voo do PS-VPB ocorreu de Ribeirão Preto para Guarulhos, novamente com outra tripulação. Durante o cruzeiro no FL150, equivalente a 15 mil pés, aproximadamente 4,6 quilômetros de altitude, houve duas detecções de gelo.
Na primeira ocorrência, a velocidade indicada deixou uma condição estável, passou a oscilar e caiu mais de 20 nós, cerca de 37 km/h. O APM emitiu o aviso **CRUISE SPEED LOW**, indicando desempenho inferior ao calculado para aquele momento do voo.
Após a segunda detecção de gelo, o sistema Airframe De-Icing foi ligado. Cerca de 50 segundos depois, surgiu novamente o alerta de falha. Houve uma tentativa de reset, mas o episódio também não foi registrado no diário técnico.
A Comissão concluiu que esse voo reuniu cinco elementos relevantes: detecção de gelo, perda de desempenho, alerta de baixa velocidade, falha do sistema de degelo e tentativa de reset. A ausência de lançamento no TLB impediu, mais uma vez, que a manutenção e as operações recebessem formalmente a informação antes dos voos seguintes.
Voo -1: a tripulação do acidente já havia enfrentado a falha
O segundo voo do dia partiu de Guarulhos para Cascavel e foi realizado pelos mesmos pilotos que, posteriormente, operariam o voo 2283 no sentido inverso.
Durante a subida, entre o FL130 e o FL140, o detector eletrônico identificou gelo e o Airframe De-Icing foi acionado. Poucos segundos depois, o sistema emitiu novamente o alerta **AIRFRAME FAULT**.
Apesar da falha, o sistema permaneceu ligado, em desacordo com o procedimento previsto no manual de referência rápida. Enquanto o avião se mantinha no FL140, o APM apresentou o aviso CRUISE SPEED LOW.
A tripulação prosseguiu para o FL160. Durante essa nova subida, a velocidade diminuiu de aproximadamente 200 para 170 nós. Ao se aproximar do nível planejado, foram acionados simultaneamente os alertas **DEGRADED PERFORMANCE** e **INCREASE SPEED**, indicando perda significativa de desempenho e velocidade próxima do limite mínimo estabelecido para condições de gelo.
Foi realizado um reset do Airframe De-Icing, mas a falha voltou a aparecer. Mesmo diante dessa sequência, não houve lançamento formal da discrepância no diário técnico antes do voo seguinte.
A tripulação sabia que o sistema apresentava mau funcionamento
No voo do acidente, o sistema voltou a falhar 39 segundos após ser acionado durante a subida. Logo depois do alerta, o comandante comentou que o Airframe De-Icing havia falhado e que o equipamento “já estava em pane”.
O copiloto observou que a falha não estava registrada no diário técnico e afirmou que, para evitar gelo, seria necessário permanecer no FL110. A investigação interpretou essa conversa como evidência de que os dois pilotos tinham conhecimento prévio do mau funcionamento.
Esse trecho é particularmente importante porque conecta o voo anterior ao voo do acidente. A falha não estava formalmente disponível aos setores de manutenção, despacho e controle operacional, mas já fazia parte do conhecimento informal da tripulação.
Na prática, criou-se uma divisão perigosa entre o que a organização sabia documentalmente e o que algumas pessoas sabiam por experiência ou conversa. Sistemas de segurança dependem de registros formais justamente para que uma informação crítica não permaneça restrita à memória ou à percepção de indivíduos.
A investigação ampliou a análise para 15.365 voos da companhia
Para verificar se a situação estava limitada ao PS-VPB, o CENIPA examinou **15.365 voos realizados pela frota ATR da empresa entre agosto de 2023 e agosto de 2024**. Em seguida, comparou esses resultados com uma base superior a **120 mil voos** realizados por outras companhias que operavam o mesmo modelo de aeronave.
O resultado mostrou que a empresa apresentava o maior percentual de ocorrências relacionadas ao sistema APM. Em 10,9% dos voos analisados, houve algum aviso ou alerta de desempenho:
• 8,5% apresentaram CRUISE SPEED LOW;
• 1,8% registraram DEGRADED PERFORMANCE;
• 0,6% tiveram INCREASE SPEED.
Ao todo, foram identificados **1.674 voos** da companhia nos quais o APM gerou algum aviso ou alerta. As taxas estavam acima das observadas entre os demais operadores usados na comparação.
A recorrência do CRUISE SPEED LOW indicava que as aeronaves da empresa voavam em cruzeiro com velocidades, em média, entre 5 e 10 nós abaixo do valor teórico calculado. Isoladamente, um aviso não significava que o avião estivesse prestes a perder o controle. Em conjunto, porém, a repetição demonstrava maior exposição a condições de degradação de desempenho, especialmente em ambiente favorável à formação de gelo.
A investigação identificou na frota outros eventos semelhantes aos que antecederam o acidente: perda de desempenho em gelo, falhas acompanhadas de múltiplos resets do Airframe De-Icing e ativação dos alertas do APM durante o cruzeiro. Segundo o relatório, a quantidade desses eventos já era suficiente para exigir medidas internas de mitigação, revisão de procedimentos e treinamento.
Os 1.206 voos do próprio PS-VPB também foram examinados
O CENIPA analisou ainda 1.206 voos realizados especificamente pela aeronave acidentada. Foram encontrados três voos com reduções significativas de velocidade indicada.
Em um deles, a velocidade caiu abaixo da referência mínima de manobra em condições de gelo. Ao mesmo tempo, houve aumento progressivo do ângulo de ataque, aproximando a aeronave de uma condição de stall.
Também foram identificadas operações em que a detecção de gelo não foi acompanhada pelo acionamento adequado dos sistemas de proteção e episódios de múltiplos resets do Airframe De-Icing, contrariando os procedimentos previstos pelo fabricante.
Mesmo sendo tecnicamente identificáveis nos dados de voo, esses desvios não resultaram em evidências documentais de tratamento estruturado pelo programa interno de acompanhamento e análise de dados da empresa.
Os dados existiam, mas não foram transformados em prevenção
A companhia possuía um Programa de Acompanhamento e Análise de Dados de Voo, o PAADV, destinado a detectar tendências, comportamentos recorrentes e riscos antes que produzissem um acidente.
A investigação, entretanto, não encontrou respostas estruturadas para os eventos relacionados à degradação de desempenho por gelo. Os alertas do APM não eram classificados na categoria mais elevada de risco do programa e, por isso, não recebiam tratamento prioritário compatível com consequências potenciais como a perda de controle em voo.
O relatório também identificou outras práticas recorrentes, como aproximações não estabilizadas, emprego antecipado dos reversores após o toque e ausência de determinados testes entre o último voo de um dia e o primeiro do dia seguinte. Esses achados reforçaram a percepção de que o problema não estava limitado a um componente defeituoso, mas envolvia a efetividade dos mecanismos internos de controle.
Como o CENIPA chegou à normalização do desvio
A normalização do desvio ocorre quando uma prática incorreta, inicialmente percebida como exceção, é repetida sem consequência aparente. Com o tempo, ela deixa de provocar estranhamento e passa a ser tratada informalmente como aceitável.
No caso analisado, a sequência observada foi formada por elementos concretos:
1. alertas e falhas apareciam durante os voos;
2. sistemas eram desligados e religados para tentar eliminar os avisos;
3. os voos terminavam sem acidente;
4. parte das informações era transmitida verbalmente;
5. falhas não eram formalmente registradas no TLB;
6. os dados disponíveis não geravam ações corretivas estruturadas;
7. a repetição reduzia a percepção da gravidade dos alertas.
O sucesso aparente dos voos anteriores produzia uma falsa confirmação de que aquela forma de operação era tolerável. Cada pouso realizado sem consequências reforçava a confiança na repetição do comportamento, embora o risco permanecesse presente.
O relatório explica que a ausência de supervisão ativa permite que pequenos desvios deixem de ser corrigidos, criando a impressão de que não trazem consequências. Ao se tornarem rotineiros, esses comportamentos enfraquecem as barreiras de segurança e acumulam vulnerabilidades que podem permanecer ocultas até uma combinação crítica de fatores.
Por essa razão, a Comissão concluiu que as decisões tomadas no voo do acidente estavam inseridas em um contexto organizacional no qual a aceitação do desvio havia se normalizado e os alertas da aeronave passaram a ser menosprezados, reduzindo a percepção do risco.
Não foi uma falha isolada, mas uma barreira que deixou de funcionar
O elemento mais revelador da análise dos voos passados não é apenas o fato de que o Airframe De-Icing falhou quatro vezes consecutivas. É a constatação de que a organização recebeu sucessivos sinais técnicos, operacionais e estatísticos sem convertê-los em uma interrupção efetiva da cadeia de risco.
O diário técnico deveria comunicar a falha à manutenção. A MEL deveria impor limitações ao despacho. O planejamento deveria impedir a operação em gelo conhecido ou previsto. O programa de dados deveria detectar recorrências. A supervisão deveria corrigir desvios. O treinamento deveria assegurar respostas padronizadas aos alertas.
Essas barreiras existiam formalmente, mas não funcionaram de maneira integrada. A falha permaneceu conhecida informalmente, não registrada documentalmente e não tratada antes do voo seguinte.
É nesse ponto que o escrutínio investigativo dos voos anteriores se torna fundamental para compreender o acidente.
O relatório não descreve apenas a queda de uma aeronave após encontrar gelo severo.
Ele documenta como sinais anteriores foram repetidamente absorvidos pela rotina até que uma condição já conhecida encontrou meteorologia adversa, perda progressiva de desempenho e uma margem operacional insuficiente para evitar a perda de controle.
---
**Meta description:** Relatório do CENIPA detalha como gelo severo, falha no de-icing, alertas não processados e vulnerabilidades sistêmicas levaram ao voo 2283.
**Slug sugerido:** `relatorio-voo-2283-voepass-cenipa`
**Tags:** Voo 2283, Voepass, CENIPA, ATR 72, acidente aéreo, formação de gelo, segurança de voo, ANAC, aviação regional, Airframe De-Icing