Swissair 111 transformou o isolamento de incêndio em voo e a certificação de materiais em um teste de responsabilidade na segurança da aviação

Resumo

• A perda ocorreu em cerca de 20 minutos, mas foi construída a partir de controles acumulados ao longo de anos.O voo 111 da Swissair partiu de Nova York com destino a Genebra em 2 de setembro de 1998, com 215 passageiros e 14 tripulantes. Às 01:10:38 UTC, os pilotos detectaram um odor incomum. Eles declararam “Pan Pan Pan” 3 minutos e 37 segundos depois, selecionaram Halifax após ser oferecida como desvio mais próximo e declararam emergência após o início de falhas nos sistemas da aeronave. Ambos os gravadores pararam às 01:25:41. O MD-11 atingiu o Atlântico às 01:31:18, matando todos a bordo. Orelatório final do TSB A98H0003é o relato de segurança controlador. Suas conclusões não são julgamentos civis ou criminais.

• As evidências apoiam a formação de arco elétrico como classe de ignição, não um único fio comprovado.Os investigadores localizaram a origem mais provável acima do teto da cabine perto da parede traseira na estação 383. Um segmento de cabo de alimentação IFEN, exhibit 1-3791, apresentava um arco para frente nessa área e durante o período provável de início do incêndio. O arco estava provavelmente associado ao início, mas os investigadores não puderam determinar se foi o evento principal ou se a fiação IFEN, a fiação original da aeronave ou uma combinação estava envolvida. Oresumo oficial da FAA das conclusões adotadas do acidentepreserva essa distinção. Atribuir todo o incêndio a um único fio identificado iria além das evidências.

• Um sistema suplementar de passageiros expôs uma falha de integração e controle de configuração.A rede de entretenimento a bordo foi descrita como não essencial, mas a maior parte de sua energia vinha do AC Bus 2, em vez de um barramento da cabine. Desligar o interruptor CABIN BUS, portanto, não removia a energia do IFEN como a tripulação razoavelmente esperaria. O pacote aprovado não definia completamente a rota em uma área crítica dianteira, e as instalações variavam. Essas foram conclusões graves de certificação e instalação. Elas não estabelecem que a falha de integração do IFEN iniciou ou propagou o incêndio; o TSB expressamente não encontrou tal ligação porque o incêndio já estava em andamento quando o barramento da cabine foi selecionado para desligar.

• A certificação de material permitiu que um isolante conforme se tornasse combustível principal do incêndio.O politereftalato de etileno metalizado, ou MPET, que cobria mantas de isolamento termoacústico atendia ao teste vertical de Bunsen aplicável. Em configurações instaladas e sob condições de ignição mais representativas, ele podia inflamar e propagar chamas. O TSB concluiu que foi provavelmente o primeiro material a inflamar e a maior parcela de material combustível alimentando o incêndio. Omódulo de lições da FAA sobre o Swissair 111mostra por que a certificação deve reproduzir ameaças instaladas críveis, em vez de recompensar um espécime por encolher diante de uma chama de laboratório.

• O sótão oculto não era observável nem defensável como zona de incêndio.Não havia detecção ou supressão de fumaça ou incêndio embutida onde o incêndio começou e se propagou, e a regulamentação não exigia. O olfato e a visão humanos produziram dicas tardias e ambíguas, enquanto um extintor manual não conseguia alcançar o fogo acima dos revestimentos e atrás da estrutura. Os disjuntores protegiam a fiação contra sobrecorrente sustentada, mas podiam perder arcos intermitentes abaixo do limite de disparo tempo-corrente. O resultado foi um sistema no qual a ignição podia permanecer energizada, o fogo podia permanecer oculto e a tripulação não podia localizá-lo nem combatê-lo.

• A evidência processual não deve ser transformada em um resultado alternativo garantido.Os pilotos tomaram uma decisão oportuna de desvio com base nas pistas limitadas que tinham, foram treinados para pousar com excesso de peso quando uma emergência exigisse e eventualmente disseram que precisavam pousar imediatamente. O descarregamento de combustível não havia começado antes da parada dos gravadores e não estava em andamento no impacto. O relatório final concluiu que, a partir de pontos ao longo da trajetória real após o primeiro odor, uma aproximação para Halifax teria levado mais tempo do que o cockpit permaneceu seguramente utilizável. Perfis simulados e teóricos iluminam o tempo e a carga de trabalho; eles não provam que uma escolha diferente de descarga, rota ou lista de verificação teria certamente salvo a aeronave.

• O reparo é uma cadeia de controles verificáveis, não o rótulo de encerramento em uma recomendação.A remoção do MPET, testes mais rigorosos de propagação de chamas, regras de fiação elétrica, orientação de isolamento de sistemas suplementares, alterações em listas de verificação, treinamento de tripulação e trabalho de endurecimento contra incêndio tudo se seguiu. Acompilação da FAA das recomendações e respostas do Swissairdocumenta ações substanciais. A responsabilidade em 2026 ainda exige evidências de que cada frota aplicável, alteração, programa de manutenção e procedimento de tripulação implementa o controle pretendido — e que um incêndio oculto é detectado, isolado e suprimido antes de destruir os sistemas necessários para pousar.

Vinte minutos transformaram uma suposição de espaço oculto em uma catástrofe pública

A ocorrência não se anunciou como um incêndio óbvio. O primeiro oficial mencionou um odor incomum às 01:10:38 UTC. Nenhum aviso ou parâmetro de dados de voo identificou uma falha técnica. Os pilotos investigaram, viram alguma indicação de fumaça, não receberam um relatório de fumaça da cabine e inicialmente associaram a condição ao ar condicionado. Essa interpretação importava porque os procedimentos e o treinamento de aeronaves de transporte distinguiam odores relacionados a incômodos ou sistemas de emergências, e porque o próprio incêndio estava acima do teto visível do cockpit.

Às 01:14:15, o capitão transmitiu o sinal internacional de urgência “Pan Pan Pan”, reportou fumaça no cockpit e pediu retorno imediato a um aeroporto conveniente. Ele primeiro nomeou Boston, um aeroporto com o qual estava familiarizado. A aeronave estava então a cerca de 66 milhas náuticas a sudoeste de Halifax e aproximadamente 300 milhas náuticas além de Boston. Quando o controlador ofereceu Halifax, a tripulação aceitou.

Eles colocaram máscaras de oxigênio, desceram e começaram a se preparar para um pouso que exigia gerenciar altitude, velocidade, peso da aeronave, prontidão da cabine, navegação, comunicações e uma condição anormal de fumaça à noite.

A tripulação pediu para permanecer a 8.000 pés até que a cabine estivesse pronta. Quando informados em um ponto de que a aeronave estava a 30 milhas náuticas da pista, eles disseram que precisavam de mais distância para descer. Às 01:20:48 discutiram o descarregamento de combustível porque a aeronave pesava cerca de 230 toneladas, acima de seu peso máximo normal de pouso. Esse número foi transmitido em resposta a uma solicitação de quantidade de combustível e era na verdade o peso bruto da aeronave. O controle de tráfego aéreo roteou o voo para o sul sobre a água, mantendo-o dentro de aproximadamente 35 a 40 milhas náuticas de Halifax.

A situação observável mudou abruptamente. Às 01:23:45, o capitão selecionou o interruptor CABIN BUS para desligar, o primeiro item da lista de verificação de fumaça/fumaça de origem desconhecida então em uso. Vinte e quatro segundos depois, o piloto automático desconectou. Uma rápida série de falhas se seguiu. Ambos os pilotos declararam emergência às 01:24:42. Às 01:24:53, eles informaram que estavam começando a descarregar combustível e precisavam pousar imediatamente, mas o registro mostra que o descarregamento não havia começado antes da parada dos gravadores e não estava em andamento no impacto.

A última transmissão inteligível da aeronave foi recebida às 01:25:02. A gravação do cockpit e dos dados de voo terminou às 01:25:41 após uma perda de energia elétrica.

O impacto ocorreu 5 minutos e 37 segundos após a parada do gravador e 20 minutos e 40 segundos após o primeiro odor. Radar primário, dados sísmicos, memória não volátil do motor e evidências de destroços preservam partes do período final. Eles não preservam as ações completas da tripulação, palavras, visibilidade, estado dos instrumentos ou processo de decisão. Essa ausência é um limite probatório, não um convite para escrever um final dramático.

A compressão do tempo é central para a responsabilidade. Uma decisão de projeto ou certificação tomada anos antes determinava se o isolamento se autopropagaria. Uma decisão de modificação tomada meses antes determinava por onde os cabos do sistema de entretenimento corriam e qual interruptor removia sua energia. Um projeto de disjuntor determinava quais assinaturas de arco seriam interrompidas. Uma lista de verificação determinava com que rapidez as cargas essenciais e não essenciais podiam ser isoladas. Uma definição de zona de incêndio determinava se o sótão continha detecção ou supressão.

Uma vez que o odor alcançou a tripulação, todas essas alocações prévias de controle já haviam moldado as opções restantes.

A evidência estabelece um sistema de incêndio, não um slogan de causa única

Uma narrativa de acidente se torna enganosa quando colapsa um sistema interagente em um objeto. Neste caso, “um fio do sistema de entretenimento causou o acidente” é muito certo e muito restrito.

A evidência física, em vez disso, suporta uma sequência ligada: um ou mais arcos elétricos forneceram uma fonte de ignição; o isolamento coberto com MPET próximo era prontamente inflamável nas condições; múltiplos outros materiais combustíveis sustentaram e intensificaram a propagação; a arquitetura de espaço oculto atrasou a detecção e limitou o ataque; o fluxo de ar e as falhas do sistema induzidas pelo fogo pioraram o incêndio; e a degradação dos sistemas do cockpit e do ambiente terminou em perda de controle.

O TSB localizou a origem mais provável no lado direito acima do teto do cockpit, perto do recorte no topo da parede traseira do cockpit na estação 383. Essa localização se encaixava na migração do primeiro odor, no atraso antes das anomalias dos sistemas, no padrão de calor observado, nos materiais combustíveis disponíveis e na maneira como a chama poderia viajar para trás e depois retornar mais intensamente em direção ao cockpit. Os investigadores rejeitaram outras regiões de origem quando seus sinais de fumaça previstos, tempo de danos ou caminhos de propagação não se encaixavam no registro.

Essa localização não revelou um condutor iniciador único. Centenas de fios cruzavam a região. Alguns fios recuperados mostravam formação de arco elétrico; muitos arcos eram claramente efeitos secundários após o fogo danificar o isolamento. A tarefa analítica era distinguir um arco que precedeu a ignição combustível de arcos produzidos pelo próprio fogo. A recuperação foi extraordinariamente extensa, mas não recuperou todos os fios nem preservou todas as mangas de identificação. O impacto e o fogo também alteraram as evidências.

A distinção entre “classe de causa” e “componente identificado” importa. O incêndio muito provavelmente começou com arco de fio porque nenhuma outra fonte de ignição plausível se encaixava na evidência localizada. O exhibit 1-3791 importava porque seu arco dianteiro foi colocado na região de origem e era inconsistente com um simples cenário de dano tardio por fogo. No entanto, as porções dianteiras de outro par de cabos IFEN e um fio de controle não foram identificadas, e fios originais da aeronave também estavam presentes.

O TSB concluiu que pelo menos um outro fio provavelmente participou do evento de arco principal, mas não pôde dizer a qual sistema pertencia.

Isso não é indecisão. É prova calibrada. A ação de segurança pode ser ampla mesmo quando o primeiro caminho de elétrons é desconhecido: proteger o fio contra danos, qualificar o comportamento de falha do isolamento, melhorar a detecção de arco, separar e documentar a fiação suplementar, remover material prontamente inflamável, detectar fumaça oculta, suprimir incêndios inacessíveis e tornar as cargas não essenciais diretamente isoláveis. Uma acusação legal contra um ator ou produto específico requer um mandato diferente e potencialmente evidências diferentes.

A investigação de segurança identifica quais defesas falharam; ela não decide danos ou culpa.

O fio 1-3791 é um limite de incerteza, não um rótulo de culpado

O exhibit 1-3791 era um segmento de um cabo de unidade de alimentação na instalação IFEN. Uma ressolidificação de cobre perto de sua extremidade dianteira era um local de arco elétrico. Uma segunda fusão cerca de 51 centímetros mais atrás mostrou que pelo menos um evento de arco não havia aberto o disjuntor associado. Os investigadores usaram trabalho metalúrgico, contas de arco exemplares, reconstrução de posição, padrões de danos por fogo e lógica do sistema elétrico para determinar se os locais de arco eram causais ou consequenciais.

O programa de teste ilustra por que a inspeção visual sozinha era inadequada. Em testes exemplares, alguns fios deliberadamente danificados formaram arco com alumínio ou com outros condutores sem disparar consistentemente seus disjuntores. Em uma série à pressão normal, os disjuntores abriram em 15 dos 30 testes. Em outra a uma pressão simulada de 8.000 pés, um dos quatro disjuntores abriu. Essas são observações de teste delimitadas, não uma probabilidade estatística para o acidente. Sua importância é conceitual: um arco pode criar calor localizado intenso enquanto atrai corrente que não persiste acima da curva de disparo do disjuntor.

Oregistro de suporte do TSB sobre técnicas, testes e trabalho de simuladortambém separa o arco primário do secundário. O fogo pode derreter ou carbonizar o isolamento, trazendo condutores energizados em contato e gerando muitos arcos tardios. Uma falha intermitente de “tique-taque” pode ocorrer repetidamente sem sobrecorrente integrada suficiente para abrir um disjuntor convencional. Algum isolamento de poliamida pode formar carvão condutivo sob calor, permitindo o rastreamento de arco ao longo de um fio e flashover através de um feixe. O ETFE se comporta de forma diferente, derretendo e queimando em vez de sustentar o mesmo trilho carbonizado. Um regime de proteção crível deve, portanto, testar o comportamento de falha sob tensão, altitude, danos, agrupamento e condições de material — não apenas a classificação nominal do fio intacto.

Os investigadores raciocinaram que o arco dianteiro do 1-3791 era improvável de ter sido causado apenas por um fogo tardio que seletivamente rompeu o isolamento necessário naquele local enquanto deixava o padrão de evidência adjacente. Estava provavelmente associado ao período de início do incêndio. Mas associação não prova primazia. O condutor pode ter formado arco com outro fio IFEN, com um fio original da aeronave, ou como colateral a outro arco iniciador. Os investigadores não puderam determinar como seu isolamento foi rompido pela primeira vez ou com o que entrou em contato.

A resposta de responsabilidade é, portanto, deliberadamente mais ampla do que “substitua este cabo”. Ela pergunta quem especificou o fio, quem avaliou os modos de falha, quem controlou o roteamento e a proteção de bordas, quem inspecionou a configuração instalada, quem capturou discrepâncias de serviço, quem selecionou a proteção do circuito e quem revisou o sistema combinado da aeronave. Se o controle só funciona depois que os investigadores identificam um condutor defeituoso único, é estreito demais para as evidências.

Esse limite também protege a legitimidade institucional. O público pode entender que uma investigação encontrou uma provável ignição por arco elétrico sem fingir que uma lacuna forense foi fechada. A precisão fortalece o caso para reforma porque mapeia controles para perigos demonstrados. Exagerar tornaria um registro de segurança de outra forma forte vulnerável a uma única objeção correta: o fio principal nunca foi exclusivamente provado.

A rede de entretenimento fez da “não essencial” uma questão de integração de sistemas

O IFEN da Swissair era uma instalação interativa de entretenimento para passageiros aprovada através do Certificado de Tipo Suplementar (STC) ST00236LA-D da FAA. O rótulo “não essencial, não requerido” descrevia sua criticidade operacional pretendida. Não tornava a instalação fisicamente separada da aeronave. Ela adicionou demanda de energia, disjuntores em um painel do cockpit, cabeamento através de áreas ocultas dianteiras, funções de resfriamento e controle, desenhos de instalação, suposições operacionais e consequências de isolamento para a tripulação.

O material de projeto inicial contemplava alimentar o sistema a partir de barramentos da cabine. Esses barramentos não podiam suportar a configuração planejada de 257 assentos, então a maior parte da energia do IFEN foi movida para o AC Bus 2 de 115 volts. A mudança de projeto alterou o significado do interruptor CABIN BUS do MD-11. Esse interruptor destinava-se a remover energia não essencial da cabine e era a primeira ação na lista de verificação de fumaça/fumaça, mas não desenergizava o AC Bus 2.

Nenhum relé removia automaticamente a energia do IFEN quando o barramento da cabine era desligado, e nenhum suplemento aprovado do manual de voo dava aos pilotos outra instrução direta de isolamento.

Orelato de suporte do TSB sobre as revisões do STC da FAAmostra como a interface de aprovação falhou. Uma revisão crítica de projeto inicial afirmou incorretamente que o IFEN estava em um barramento da cabine. Um briefing posterior corrigiu esse erro. A FAA então conduziu uma revisão especial de certificação examinando o projeto, a instalação, a prática de certificação do delegado e a supervisão da FAA. O TSB concluiu que a integração de energia certificada era incompatível com a filosofia de eliminação de carga de emergência do MD-11 e não estava em conformidade com o certificado de tipo. Era uma condição insegura latente.

O pacote de instalação também carecia de definição completa de rota entre o painel inferior de disjuntores da aviônica e aproximadamente a estação 515. Em vez de uma configuração completa, os documentos repetidamente faziam referência a orientações gerais de melhores práticas. Inspeções de outros MD-11s da Swissair encontraram diferenças de rota, envoltório espiral protetor inconsistente, contato do fio com uma borda de equipamento, discrepâncias de hardware e terminação, e nenhum aviso de alteração registrando variações em uma área que o pacote aprovado não havia definido.

Uma configuração que existe apenas no julgamento do instalador é difícil de inspecionar, reproduzir ou auditar.

A responsabilidade foi distribuída. O titular da aprovação do STC e seus contribuintes de projeto desenvolveram e fundamentaram a alteração. O delegado da FAA fez conclusões de conformidade em nome da agência. A FAA reteve a responsabilidade de supervisão do sistema de delegação. A Swissair era a operadora e cliente. A SR Technics forneceu suporte, realizou instalações através de contratados e garantia de qualidade sob suas obrigações de manutenção, mas o relatório distinguiu esse papel da aprovação do projeto e certificação. Cada ator controlava uma parte diferente da cadeia de evidências.

Oaviso pós-acidente da Transport Canada sobre integração de sistemas de entretenimentotorna a lógica de reparo explícita: equipamentos não requeridos devem ser removíveis da energia sem sacrificar sistemas necessários para voo e pouso seguros; as tripulações precisam de um interruptor prático em vez de depender de puxar disjuntores individuais; e os procedimentos operacionais devem ser revisados com a instalação. Essa é uma orientação posterior, não o padrão legal exato que rege cada decisão de 1996. É evidência da lição do sistema extraída do acidente.

O limite final é essencial. A falha de integração do IFEN não se tornou ativa através da seleção do CABIN BUS até 13 minutos e 7 segundos após o primeiro odor, quando o incêndio já estava se autopropagando. O TSB não encontrou ligação entre essa condição latente e o início ou propagação. Similarmente, os investigadores descartaram as próprias unidades de alimentação do IFEN como fonte de ignição. A questão grave de responsabilidade é que os controles de certificação e instalação permitiram um sistema suplementar incompletamente definido e incorretamente isolado — não que cada deficiência provou a origem física.

Material passou em seu teste e falhou em seu propósito instalado

As mantas de isolamento termoacústico não são revestimentos decorativos da cabine. Elas gerenciam temperatura, som e condensação em grandes áreas do vaso de pressão. Suas películas de cobertura, enchimento, fitas, fixadores e reparos formam um sistema instalado posicionado ao lado de fiação, dutos e estrutura. No HB-IWF, grande parte da cobertura da manta era MPET, uma fina película de poliéster metalizado.

O material da manta coberto com MPET atendia ao requisito de inflamabilidade aplicável quando o MD-11 foi certificado. O teste vertical de Bunsen suspendia um espécime estreito acima de uma chama por 12 segundos e julgava o tempo de pós-chama, comprimento de queima e gotejamento flamejante. A película de MPET podia encolher e evitar contato sustentado. Esse comportamento permitia que passasse. Em uma aeronave, no entanto, as superfícies da manta eram largas, curvas, em camadas, próximas a superfícies adjacentes e expostas a feedback radiante, pré-aquecimento, fluxo de ar, material de emenda e pequenos arcos elétricos.

Essas condições mudaram o resultado.

Os investigadores testaram arranjos mais representativos e descobriram que o MPET podia ser inflamado por uma pequena fonte e propagar chamas. Foi provavelmente o primeiro material a inflamar na região de origem e o maior componente da carga combustível que propagou e intensificou o incêndio. Outros materiais aprovados também contribuíram: cobertura de poli Fluoreto de vinil metalizado, tampas de extremidade elastoméricas de silicone, fechos de gancho e laço, espumas, adesivos e fitas de emenda. A questão não era um avião velho e sujo.

Testes descobriram materiais relevantes inflamáveis em condição nova e não contaminada, então a contaminação foi descartada como necessária para iniciar este incêndio.

A certificação havia codificado uma geografia de risco. As superfícies ocupadas da cabine e as zonas de incêndio designadas receberam requisitos comparativamente severos. Áreas ocultas não designadas foram tratadas como relativamente benignas porque os projetistas presumiam que faltava a combinação de fonte de ignição e combustível. No entanto, esses espaços continham fiação energizada e grandes áreas de isolamento. O padrão havia separado os dois perigos administrativamente enquanto a instalação os colocava juntos fisicamente.

ARecomendação A99-08 do TSB sobre testes de fogo de material deficientespedia que os materiais de isolamento fossem validados como sistemas instalados contra critérios mais rigorosos e representativos. Os reguladores posteriormente adotaram um teste de propagação de chamas em painel radiante, e a página de recomendação registra uma avaliação Totalmente Satisfatória e fechamento em 2020 após ações com MPET e AN-26 e padrões mais fortes. Fechamento significa que o Conselho julgou a resposta suficiente para reduzir substancialmente a deficiência identificada. Não significa que todo material em todo reparo legado foi individualmente retestado ou que nenhum incêndio em espaço oculto pode se propagar.

ARecomendação A01-02 sobre inflamabilidade de materialfoi além das mantas de isolamento. Ela pedia que os materiais na parte pressurizada de uma aeronave fossem avaliados contra cenários realistas de ignição para que o fogo sustentável ou propagável não fosse aceito meramente devido à localização, tipo ou quantidade. O TSB posteriormente avaliou a resposta como Totalmente Satisfatória. Esse status reflete o trabalho de normas; não torna retroativamente o teste pré-acidente adequado nem prova conformidade em cada evento de manutenção.

A lição de projeto é sobre representatividade. Um coupon de certificação pode passar enquanto o conjunto instalado falha se o teste omitir orientação, superfícies adjacentes, fluxo de calor, envelhecimento, contaminação, reparos, fixadores, fluxo de ar ou a energia de ignição crível. A prova corretiva deve conectar o método de laboratório à configuração da aeronave. Deve identificar a pior instalação, amostrar todas as combinações de componentes, definir materiais de reparo, verificar a produção do fornecedor, inspecionar a instalação da frota e rastrear qualquer meio alternativo de conformidade aprovado.

A responsabilidade do material também não pode terminar na remoção do MPET. Uma película de substituição pode resistir melhor à ignição, mas ainda ser comprometida por fita, adesivo, patches de reparo ou contaminação. Um rótulo de “material conforme” é significativo apenas quando a configuração realmente instalada corresponde à configuração testada e permanece controlada através do serviço. Este é o mesmo problema de governança de configuração exposto pelos desenhos do IFEN: um projeto seguro no papel não é suficiente sem um registro conforme mantido.

O sótão oculto não tinha nem sensor nem limite de incêndio acessível

O espaço acima do cockpit e dos tetos da cabine dianteira não era uma zona de incêndio designada. Nenhum regulamento exigia detecção embutida de fumaça ou incêndio ali, nenhum sistema fixo de supressão o protegia, e nenhum caminho de acesso permitia que as tripulações descarregassem um extintor portátil de forma confiável na frente da chama. Esse projeto deixou a detecção para o odor e a fumaça que atingiam o espaço ocupado e deixou a supressão para uma pessoa que primeiro tinha que inferir onde um incêndio oculto estava queimando.

Os sentidos humanos eram um sensor fraco. O fluxo de ar podia mover produtos de combustão para longe da fonte, filtrá-los, diluí-los ou entregá-los através de uma saída de ar condicionado que sugeria a origem errada. Nesta ocorrência, o odor inicial e o sinal visível intermitente eram consistentes com a avaliação do ar condicionado pela tripulação. O fogo podia viajar sobre e entre superfícies de manta acima do revestimento enquanto a cabine de passageiros não mostrava sinal correspondente.

Os limites do sótão também não eram endurecidos contra fogo para esta tarefa. Uma barreira de fumaça dividia porções da região superior, mas as regras de aeronaves de passageiros não exigiam que ela atendesse a um padrão de bloqueio de fogo. Aberturas admitiam dutos, cabos e ligações das alavancas de manobra do motor. À medida que o calor danificava a barreira e o revestimento do teto, a fumaça e os gases quentes podiam entrar no cockpit. Quando os ventiladores de recirculação da cabine pararam com a seleção do CABIN BUS, o fluxo de ar acima do teto rebaixado dianteiro inverteu-se em direção ao cockpit.

Isso não iniciou o incêndio, mas afetou o ambiente de propagação tardia.

Arecomendação do TSB sobre metodologia de zona de incêndio designadapedia que reguladores e indústria reconsiderassem quais áreas pressurizadas precisam de detecção e supressão melhoradas. Sua avaliação mais recente exibida é Satisfatório em Parte e seu arquivo está fechado. Essa combinação é importante: um arquivo fechado pode preservar preocupação residual quando não se espera que mais ações produzam mais progresso. Não deve ser traduzida como uma afirmação de que toda área oculta agora tem detecção e extinção automáticas.

Arecomendação do TSB sobre normas de combate a incêndio em vooabordou procedimentos, treinamento, equipamentos e acesso a espaços como sótãos como um sistema. Foi posteriormente avaliada como Totalmente Satisfatória e fechada. O enquadramento de sistemas continua sendo o quadro de auditoria correto. Um novo sensor de fumaça sem localização pode gerar um alarme, mas não um caminho de ataque. Uma ferramenta de acesso sem equipamento de proteção respiratória, prática e coordenação da tripulação pode ser inutilizável. Material mais resistente ao fogo pode retardar a propagação, mas não elimina falhas de fiação.

A prova deve ser baseada em cenários. Um teste crível introduz uma pequena ignição elétrica oculta, mede a latência de detecção, confirma qual alerta chega à tripulação, verifica o isolamento automático ou manual, demonstra a liberação do agente ou acesso à fonte, e confirma que a navegação, comunicação e gravação essenciais permanecem disponíveis. Deve incluir estados realistas de fluxo de ar e falhas. Uma revisão de lista de verificação por si só não pode provar que o fogo é acessível.

Disjuntores convencionais protegiam condutores, mas nem toda assinatura de arco

O MD-11 usava disjuntores térmicos típicos de aeronaves de transporte. Seu principal trabalho era proteger a fiação contra corrente excessiva ao longo do tempo. Eles não tinham garantia de detectar todo arco intermitente metal-metal, caminho de rastreamento carbonizado ou falha de “tique-taque” de alta temperatura. Uma descarga local muito quente pode existir abaixo da combinação corrente-tempo necessária para aquecer e disparar o disjuntor.

Essa distinção explica por que “o disjuntor não disparou” não prova que “não houve falha elétrica”. Também explica por que superdimensionar um disjuntor ou confiar em um disjuntor como interruptor principal da tripulação pode comprometer a segurança. As evidências recuperadas e os testes exemplares mostraram que alguns arcos podiam continuar ou ocorrer novamente sem abrir a proteção. Outros arcos posteriores realmente dispararam disjuntores. A resposta depende da forma de onda da falha, material, geometria de contato, pressão, carga do circuito e tempo.

ARecomendação A01-03 do TSB sobre certificação de falha de fiobuscava testes de condições operacionais realistas e critérios de desempenho especificados para a maneira como o isolamento do fio falha. A recomendação foi avaliada como Totalmente Satisfatória e fechada em março de 2023, após os reguladores descreverem a regulamentação do sistema de fiação, padrões de qualificação e ações de aeronavegabilidade continuada. Essa é uma resposta institucional significativa. Não é prova de que disjuntores convencionais se tornaram detectores universais de falhas de arco ou de que toda instalação envelhecida foi inspecionada.

O isolamento elétrico também tem dois propósitos diferentes. A proteção automática do circuito deve parar uma falha elétrica perigosa sem diagnóstico da tripulação. A eliminação de carga operacional deve permitir que a tripulação remova equipamentos não essenciais rapidamente, preservando os sistemas necessários para voar e pousar. O IFEN cruzou esses propósitos gravemente: disjuntores individuais protegiam seus circuitos, mas o controle esperado de energia da cabine não os desenergizava.

Uma tripulação enfrentando fumaça não deveria precisar de um diagrama de fiação e uma busca disjuntor por disjuntor para alcançar o isolamento assumido pelo procedimento.

Um sistema elétrico responsável, portanto, precisa de prova em camadas: roteamento e separação resistentes a danos; isolamento e braçadeiras compatíveis; qualificação de falha de arco; proteção ajustada a falhas críveis; uma desconexão direta e claramente rotulada de carga não essencial; energia essencial independente; registros de configuração; limiares de inspeção; e dados de dificuldade de serviço que tornem os danos recorrentes de fiação visíveis em todas as frotas. Cada camada cobre a incerteza deixada pelas outras.

Uma lista de verificação não pode recuperar o tempo que a arquitetura já gastou

A tripulação da Swissair tinha dois caminhos processuais relacionados a fumaça. Eles inicialmente acreditavam que a condição vinha do ar condicionado e discutiram a lista de verificação correspondente. O procedimento mais amplo de fumaça/fumaça de origem desconhecida usava isolamento elétrico e pneumático sequencial para localizar a fonte. Completá-lo podia levar de 20 a 30 minutos, dependendo de quanto tempo a tripulação esperava em cada configuração para observar se a fumaça mudava. Não havia regulamentação limitando o tempo que essa solução de problemas podia exigir.

Essa duração era mal combinada com um incêndio oculto autopropagável. Quando a fumaça visível chegou ao cockpit, os investigadores acreditavam que o incêndio já estava se sustentando. Mesmo a eliminação imediata de carga elétrica naquele ponto provavelmente não teria mudado a propagação deste incêndio, embora a desenergização rápida pudesse prevenir a ignição em outro evento onde um componente superaquecido ainda não tivesse inflamado o material circundante. A lição correta não é “listas de verificação nunca importam”; é que o isolamento deve ser rápido o suficiente para o estágio do perigo que se destina a controlar.

Arecomendação do TSB sobre o tempo da lista de verificação de fumaçapedia procedimentos que minimizassem a chance de que uma anomalia elétrica pudesse se tornar ou sustentar um incêndio enquanto as tripulações solucionam problemas. Foi avaliada como Totalmente Satisfatória e fechada em 2023, após uma longa história de respostas e revisão. Uma auditoria processual ainda deve perguntar quantas ações ocorrem antes da preparação para o pouso, quais ações desenergizam fontes prováveis, quais sistemas essenciais são perdidos, quanto tempo de espera diagnóstica leva e o que acontece quando a fonte não pode ser identificada.

A filosofia de pouso é um controle separado. Arecomendação do TSB sobre preparação expedita para pousoinstava as normas da indústria a tratar odor ou fumaça de origem desconhecida como motivo para se preparar para o pouso adequado mais próximo sem demora. Foi avaliada como Totalmente Satisfatória e fechada. A recomendação não diz que todo odor exige um mergulho descontrolado ou que as tripulações devem ignorar terreno, clima, energia da aeronave, adequação da pista e estado do sistema. Ela move o padrão de diagnóstico primeiro para preparação para pouso enquanto o diagnóstico prossegue.

As decisões reais dos pilotos do SR 111 devem ser julgadas por suas pistas, não pelo conhecimento posterior dos investigadores de um incêndio acima do teto. O TSB considerou seu desvio para Halifax oportuno. Eles foram treinados para pousar com excesso de peso se uma emergência exigisse e para descarregar sem restrições quando apropriado. Eles inicialmente viram uma condição tratada na indústria como não necessariamente imediata e catastrófica. Precisavam de distância de trajeto para descer e reduzir a velocidade da altitude de cruzeiro. A cabine precisava ser preparada. As cartas de aproximação não estavam ao alcance direto.

O clima significava que porções da descida estavam em nuvens.

Oestudo de desempenho do TSB dos minutos finais não registradosrotula cuidadosamente sua descida de emergência como teórica. Ele usa radar e suposições de desempenho para criar uma linha de base acadêmica, não uma recriação do que pilotos com fumaça, falhas e informações incompletas poderiam certamente executar. O relatório final concluiu que, a partir de pontos ao longo da trajetória real após o primeiro odor, completar uma aproximação para Halifax teria levado mais tempo do que o cockpit permaneceu seguro para pouso. Isso apoia a gravidade e o déficit de tempo do evento.

Não autoriza a afirmação inversa de que uma alternativa certamente teria funcionado. Um pouso direto com excesso de peso ainda exigiria descida, desaceleração, alinhamento, navegação e um cockpit utilizável. Virar em um momento diferente muda altitude e distância, mas também muda o gerenciamento de energia. Omitir o descarregamento de combustível economiza tempo, mas a tripulação já havia começado a se posicionar antes que a situação se declarasse catastrófica, e o descarregamento não estava em andamento no impacto.

Simulações começam com falhas conhecidas, uma tripulação preparada e um simulador utilizável; elas não podem reproduzir toda incerteza, sinal sensorial ou perda de sistema em cascata.

A disciplina contrafactual é uma forma de responsabilidade. Ela impede que debates processuais escondam a cadeia de falhas físicas. A perda não foi simplesmente o número de minutos gastos discutindo combustível. Foi uma aeronave na qual um pequeno arco oculto podia inflamar material conforme, crescer sem detecção ou supressão, derrotar sistemas e destruir o cockpit mais rápido do que um desvio normal podia ser completado. Procedimentos melhores são necessários, mas não substituem a prevenção e contenção do incêndio.

Perda e recuperação do gravador definem o que ainda pode ser conhecido

O gravador de voz do cockpit capturou apenas 30 minutos, o mínimo regulatório na época. Seu conteúdo mais antigo começou cerca de 17 minutos antes do primeiro odor. O gravador de dados de voo e o gravador de voz do cockpit eram alimentados pelo mesmo sistema de barramento do gerador. Ambos pararam dentro de um intervalo de um segundo às 01:25:41, muito provavelmente porque danos relacionados ao fogo removeram a energia; evidências indicaram que o seletor de fumaça estava provavelmente em sua posição normal então. A perda simultânea apagou a evidência mais rica dos últimos 5 minutos e 37 segundos.

Os investigadores compensaram sem fingir que a lacuna desapareceu. O radar primário continuou quase até o impacto. A memória do controle eletrônico do motor reteve falhas e uma indicação de desligamento do motor. Registros sísmicos fixaram o horário do impacto. Posições dos destroços, marcas de testemunha de instrumentos, assinaturas de calor e padrões de fuligem apoiaram porções da reconstrução física. Nenhum registrou a conversa final do cockpit, a visibilidade exata, cada ação de interruptor ou a localização do capitão em cada instante.

A recuperação foi imensa. Orelato do TSB sobre busca, recuperação e participação na investigaçãodescreve recursos navais, da guarda costeira, policiais, militares, locais e técnicos trabalhando em água com cerca de 55 metros de profundidade. Quase 98% do peso estrutural da aeronave foi recuperado. A fuselagem dianteira foi reconstruída para que os investigadores pudessem mapear evidências de calor, fios e material. Todas as pessoas a bordo foram identificadas, e a operação foi concluída sem ferimentos graves ao pessoal de recuperação, apesar de perigos significativos.

A cronologia pública também importa. Acronologia abreviada da investigação do TSBregistra a recuperação precoce do gravador, operações de içamento pesado, milhares de participantes, desativação voluntária do IFEN e o longo caminho até o relatório final de 2003. Mostra que a continuidade probatória era uma função institucional: os destroços tiveram que ser localizados, catalogados, classificados, reconstruídos, testados e comparados antes que uma conclusão responsável fosse possível.

A resiliência do gravador é, portanto, parte da responsabilidade de prevenção. Fontes de energia separadas, maior duração e energia independente protegida podem preservar evidências através de uma emergência elétrica. Elas não ajudam a tripulação a suprimir o incêndio, mas melhoram a capacidade do sistema público de aprender.

A continuidade do setor público após uma catástrofe depende dessa capacidade: as organizações de resposta devem recuperar pessoas e evidências, os investigadores devem preservar a cadeia de custódia, os reguladores devem agir sobre perigos interinos e as famílias devem receber conclusões limitadas pelo que o registro pode sustentar.

A responsabilidade segue os direitos de controle ao longo do ciclo de vida da aeronave

A Swissair controlava a adoção operacional do serviço de entretenimento, os procedimentos da tripulação, as ações da frota e seu relacionamento com organizações de manutenção e modificação. Desativou o IFEN após o acidente, revisou a apresentação de listas de verificação e procedimentos de fumaça, introduziu treinamento e inspeções de fiação através da SR Technics, substituiu mantas de MPET em resposta a ações regulatórias e buscou modificações na aeronave. Essas ações importam porque um operador pode reduzir a exposição antes que um relatório final seja emitido.

O operador não controlava todos os padrões de projeto ou delegação de certificação. O fabricante da aeronave controlava o projeto base do MD-11, a filosofia elétrica, as informações de serviço e muitas modificações pós-acidente. As organizações de projeto do IFEN e STC controlavam os dados de alteração e a fundamentação de conformidade dentro de suas funções atribuídas. Os instaladores e a SR Technics controlavam o acabamento, a conformidade, a garantia de qualidade e o registro conforme instalado. A FAA controlava a estrutura de certificação e delegação dos EUA para o STC.

As autoridades de aeronavegabilidade suíças e outras controlavam a validação e a aplicabilidade obrigatória aos seus registros.

Os fornecedores de materiais e autoridades de métodos de teste controlavam evidências diferentes. Um fornecedor podia demonstrar propriedades da película sob um método especificado; os reguladores decidiam se esse método representava o perigo. Fabricantes de aeronaves e modificadores decidiam como materiais, fios e dutos eram reunidos. Organizações de manutenção decidiam quais fitas de reparo e patches entravam em serviço. Nenhuma camada podia assumir com segurança que outra havia testado a combinação instalada.

As tripulações de voo controlavam a aeronave apenas depois que o perigo produzia uma pista. Sua autoridade incluía desvio, declaração de emergência, pouso com excesso de peso, descarregamento de combustível e execução de listas de verificação. Mas seu controle era limitado pelo que podiam detectar, quais interruptores existiam, qual equipamento permanecia energizado, a altitude e energia da aeronave, a localização das cartas, o clima e a velocidade de propagação. Atribuir às tripulações a responsabilidade por um incêndio oculto que não podiam localizar ou alcançar confunde agência operacional com controle de projeto.

O controle de tráfego aéreo moldou o roteamento e o suporte de emergência, mas não viu o cockpit. O relatório final concluiu que as interações piloto-controlador não afetaram o resultado. Equipes de emergência e comunidades costeiras se mobilizaram rapidamente após a perda do contato de radar; eles controlaram a busca e recuperação, não a prevenção do incêndio em voo. Os investigadores controlaram a reconstrução de segurança, não a responsabilidade legal. Tribunais e autoridades de execução competentes, quando envolvidos, controlam conclusões legais.

Essa alocação previne dois erros comuns. O primeiro é a culpa corporativa totalizante: dizer “Swissair” como se uma companhia aérea sozinha tivesse autoria de testes federais de material, cada conclusão de STC, cada característica de disjuntor e cada cabo instalado. A segunda é a fragmentação: dizer que cada componente cumpriu separadamente, então nenhuma instituição possuía o perigo combinado. A responsabilidade fica entre eles. Cada ator deve responder pelos controles e interfaces que realmente detinha, enquanto os proprietários do sistema e reguladores devem garantir que as interfaces somem uma aeronave segura.

Um reparo verificável precisa de dez defesas conectadas

Primeiro, a configuração do sistema suplementar deve ser completa.Cada fio adicionado deve ter origem, destino, rota, separação, suporte, proteção de borda, disjuntor, conector, cálculo de carga e método de remoção controlados. O desenho aprovado deve corresponder à aeronave instalada. Desvios exigem disposição de engenharia registrada, não discrição não documentada do instalador. Ferramentas digitais de configuração e automação de fluxo de trabalho empresarial podem melhorar a rastreabilidade, mas apenas se as inspeções de conformidade física fecharem o ciclo.

Segundo, a energia não essencial deve ser diretamente isolável.Uma ação da tripulação descrita como remoção de cargas da cabine ou não essenciais deve fazer exatamente isso em todos os equipamentos de fábrica e suplementares. O isolamento deve preservar as funções mínimas de navegação, comunicação, controle de voo, iluminação, oxigênio e gravação necessárias para voo e pouso seguros continuados. Os testes de certificação devem verificar o interruptor na arquitetura elétrica real modificada.

Terceiro, a proteção do circuito deve abordar a física de falhas.A proteção convencional contra sobrecorrente continua necessária, mas assinaturas críveis de arco intermitente e rastreamento precisam de detecção ou prevenção apropriada para seus circuitos. A qualificação deve incluir isolamento danificado, altitude, tipos de fio mistos, feixes, vibração, umidade e contato com estrutura. Um disjuntor não deve ser usado como interruptor de rotina, a menos que especificamente projetado e aprovado para essa função.

Quarto, os testes de material devem representar sistemas instalados.Película de isolamento, enchimento, fitas, fixadores, adesivos e reparos devem ser avaliados juntos nas piores orientações, fluxo de calor e fluxo de ar. Os materiais de produção e reparo devem permanecer equivalentes ao espécime de teste. Envelhecimento, contaminação e danos de manutenção devem ser abordados onde alteram materialmente o desempenho.

Quinto, o incêndio oculto deve produzir um alerta precoce e localizável.A colocação de sensores e algoritmos devem cobrir sótãos, aviônica e outros espaços não designados onde ignição e combustível coexistem. Os testes devem medir o tempo de detecção antes que a fumaça atinja o espaço ocupado, a resistência a alarmes incômodos e a capacidade da tripulação de identificar a zona afetada. Um alerta que chega apenas após múltiplas falhas do sistema não é uma defesa eficaz.

Sexto, a supressão deve alcançar a fonte.Um sistema fixo, um ponto de acesso projetado ou outro método validado deve controlar o fogo onde um extintor portátil não pode ser apontado. A distribuição do agente deve ser demonstrada sob estados de ventilação realistas. O equipamento de proteção da tripulação, ferramentas de acesso e treinamento devem ser compatíveis com o tempo disponível e não exigir desmontagem insegura em voo.

Sétimo, a análise de segurança do sistema deve incluir o incêndio em andamento.Arecomendação do TSB sobre falhas de sistema induzidas por fogoabordou oxigênio, ar condicionado, hidráulica e outros sistemas cuja violação pode alimentar um incêndio ou alterar o fluxo de ar. Foi avaliada como Totalmente Satisfatória e fechada em 2023, após as autoridades identificarem ações de inflamabilidade e sistema de fiação. A prova contínua é que cada sistema é avaliado não apenas por mau funcionamento interno, mas também por como seus materiais e conexões se comportam quando um incêndio adjacente os ataca.

Oitavo, os procedimentos devem priorizar o pouso enquanto o isolamento prossegue.Fumaça desconhecida deve desencadear preparação imediata para o aeroporto adequado mais próximo, divisão explícita de tarefas da tripulação e eliminação rápida de carga não essencial. A solução de problemas deve ter tempos de permanência limitados e uma condição de parada clara. O treinamento deve incluir odores ambíguos, fontes ocultas, cascatas de sistemas, visibilidade prejudicada pela fumaça, instrumentos de reserva e coordenação entre tripulações de cockpit e cabine.

Nono, os gravadores e instrumentos essenciais precisam de energia resiliente.A voz e os dados de voo não devem desaparecer juntos porque um único barramento danificado pelo fogo falha. Fonte de alimentação independente ou alternativa, duração adequada e roteamento protegido devem ser verificados em configurações de isolamento de fumaça. A capacidade de voo, comunicação e navegação de reserva deve permanecer utilizável a partir das posições da tripulação em visibilidade reduzida.

Décimo, o reparo da frota deve ser auditável.Autoridades e operadores devem publicar ou reter listas de aplicabilidade, registros de conclusão, métodos alternativos aprovados, conclusões de inspeção e tendências recorrentes de defeitos. A amostragem deve confirmar que desenhos, boletins de serviço e diretivas de aeronavegabilidade alcançaram a aeronave física. O fechamento de recomendação é evidência de governança; a conformidade ao nível da aeronave é evidência operacional.

As dez defesas são intencionalmente ligadas. Melhor material ganha tempo para detecção. A detecção desencadeia isolamento e supressão. O isolamento não deve remover os instrumentos necessários para pousar. A supressão depende de acesso e treinamento. Os registros de configuração dizem aos inspetores onde as adições realmente correm. A resiliência do gravador mostra o que aconteceu quando uma defesa falha. Um caso de segurança que prova apenas um elemento deixa o mesmo problema de interface que caracterizou a ocorrência.

A ação regulatória foi substancial, mas o status não é o mesmo que prova universal

A primeira grande ação material visou o MPET. Apágina do TSB para a Recomendação A99-07registra diretivas de aeronavegabilidade da FAA exigindo remoção em aeronaves afetadas registradas nos EUA, respostas da Transport Canada e da indústria, e uma avaliação Totalmente Satisfatória com o arquivo fechado em 2018. A Swissair começou a substituição seletiva antes do mandato e depois iniciou um programa completo sob o quadro da diretiva; o relatório final disse que a diretiva havia sido cumprida em 11 MD-11s anteriormente de propriedade da Swissair até janeiro de 2003. Este é um remédio concreto: um material identificado foi localizado e removido em aeronaves afetadas documentadas.

O reparo mais profundo mudou testes e regras de projeto. Critérios de painel radiante abordaram a propagação de chamas no isolamento termoacústico. Programas de fiação expandiram inspeção, manutenção, separação e qualificação. Instalações suplementares de entretenimento foram revisadas, condições inseguras produziram diretivas de aeronavegabilidade e a orientação enfatizou uma função dedicada de remoção de energia. Listas de verificação e treinamento trataram cada vez mais a fumaça desconhecida como um evento de pouso crítico em tempo. Os fabricantes endureceram contra fogo conexões específicas de oxigênio e outros componentes vulneráveis.

O registro de recomendações deve ser lido com precisão. A99-07, A99-08, A00-18, A00-19, A00-20, A01-02, A01-03 e A01-04 exibem avaliações finais Totalmente Satisfatórias e arquivos fechados. A00-17 exibe Satisfatório em Parte e fechado. Esses rótulos refletem a avaliação do TSB das respostas às deficiências de segurança, muitas vezes após anos de regulamentação e revisão. Eles não significam todos a mesma coisa, e um status fechado não significa necessariamente que os reguladores implementaram a recomendação exatamente como escrita.

A ação regulatória posterior também não pode ser projetada para trás como o dever legal exato em 2 de setembro de 1998. Uma regra pós-acidente pode demonstrar que as autoridades reconheceram um controle melhor; ela não decide, por si só, se um ator pré-acidente violou a lei então aplicável. Por outro lado, a prova de que um material ou instalação passou no antigo padrão não responde se o padrão controlava adequadamente o risco de segurança. A responsabilidade de segurança avalia tanto a conformidade quanto a adequação do padrão, preservando sua diferença legal.

A auditoria prática em 2026 é específica da configuração. Para cada aeronave e modificação, o operador pode identificar a película de isolamento e fita agora instalados? Pode mostrar que o IFEN ou outras cargas não requeridas caem quando o controle designado é usado? Os registros de manutenção podem identificar discrepâncias de fiação oculta e arcos recorrentes? Uma tripulação pode alcançar ou suprimir um incêndio acima do teto? O gravador permanece energizado durante o isolamento? O regulador pode amostrar a evidência em vez de confiar em uma declaração de conclusão?

A confiança pública depende de respostas visíveis. O acidente envolveu passageiros de muitos países, uma aeronave registrada e operada através de instituições europeias, uma alteração aprovada pelos EUA, espaço aéreo canadense e uma investigação canadense. Nenhuma jurisdição sozinha detinha toda a cadeia de segurança. A legitimidade institucional, portanto, vem de padrões harmonizados mais aplicação local, não de assumir que a aprovação de outra autoridade cobre toda interface.

As conclusões de segurança devem permanecer separadas da responsabilidade legal

A declaração de mandato do TSB é inequívoca: investigou para avançar a segurança do transporte e não atribui culpa ou determina responsabilidade civil ou criminal. Seu relatório usa linguagem causal e contribuinte para identificar atos, condições e deficiências inseguras. Essa linguagem é vital para a prevenção. Não é um veredito contra a Swissair, um fornecedor, um modificador, um funcionário ou um regulador.

Os tipos de evidência têm autoridade diferente. O relatório final contém as conclusões adotadas pelo Conselho. Páginas técnicas de suporte mostram métodos, testes, registros e evidências intermediárias. O material de lições da FAA é uma síntese educacional retrospectiva. As páginas de recomendação documentam uma preocupação de segurança, respostas das partes interessadas, avaliações do Conselho e status. Um aviso consultivo fornece orientação; não é automaticamente uma regra vinculativa em cada jurisdição e período de tempo.

Um boletim de serviço pode tornar-se obrigatório quando incorporado por uma diretiva de aeronavegabilidade, mas os dois não são intercambiáveis.

Este artigo, portanto, não infere intenção, negligência, criminalidade ou danos a partir de uma conclusão técnica. Não diz que um fio IFEN foi definitivamente a única fonte de ignição. Não afirma que a tripulação causou a perda ao planejar descarregar combustível. Não afirma que a falha de integração do STC propagou o incêndio quando o TSB não encontrou ligação. Não trata os padrões pós-acidente como a linha de base legal exata de 1998.

A responsabilidade permanece possível dentro desses limites. As instituições podem ser solicitadas a explicar por que uma modificação foi incompletamente definida, por que a energia não essencial não foi removida pelo interruptor esperado, por que o isolamento conforme propagou chamas, por que o sótão não foi detectado nem suprimido, por que os disjuntores podiam perder arcos, por que os gravadores compartilhavam uma fonte de energia vulnerável e como esses perigos foram reparados. Essas são questões de governança baseadas em evidências, mesmo quando um conselho de segurança não julga responsabilidade.

O que permanece não resolvido

O evento de arco principal único permanece não resolvido. O exhibit 1-3791 tinha forte significado temporal e espacial, mas o TSB não pôde determinar se foi o primeiro arco ou identificar todos os outros fios envolvidos. Nem todos os fios foram recuperados ou identificáveis. Discussões futuras devem preservar “provavelmente associado ao início” e rejeitar “fonte única comprovada”.

A sequência precisa do cockpit após 01:25:41 permanece não resolvida. Radar e dados do motor restringem a trajetória de voo e alguns estados do sistema, mas os gravadores pararam. Não se sabe exatamente quais itens da lista de verificação foram concluídos, quais instrumentos permaneceram visíveis, se houve combate a incêndio, por que o Motor 2 foi desligado, se o capitão estava sentado no impacto ou quais alternativas a tripulação considerou nos últimos minutos.

O resultado contrafactual do pouso permanece não resolvido na única forma que importa: uma afirmação de certeza. A investigação estabeleceu um déficit de tempo severo na trajetória real e considerou o desvio da tripulação oportuno dadas suas pistas. Um perfil teórico ou de simulador pode mostrar viabilidade sob suposições especificadas. Não pode provar que uma rota diferente, aproximação imediata com excesso de peso, plano de descarga omitido ou ação anterior da lista de verificação teria certamente produzido um pouso seguro em meio a incêndio e falhas em evolução.

A eficácia exata em toda a frota de cada reforma não está contida em um conjunto de dados público. As avaliações de recomendação registram progresso substancial. Elas não fornecem evidência atual, no nível de cauda, para cada aeronave legada, cada alteração suplementar, cada reparo de isolamento ou cada ciclo de treinamento de tripulação em todo o mundo. A ausência de tal registro público consolidado não é prova de não conformidade; é um limite sobre o que esta revisão pode verificar.

O desempenho futuro da detecção e supressão de espaço oculto também permanece uma questão de sistema viva. Algumas aeronaves e operadores adotaram melhorias, mas a lição mais ampla do acidente é específica da arquitetura. Novas cargas elétricas, conectividade de cabine, sistemas de bateria, reparos e materiais continuam mudando os interiores das aeronaves. Cada alteração deve ser avaliada contra detecção, isolamento e supressão de incêndio, em vez de confiar no fechamento histórico de uma recomendação.

O teste de responsabilidade

O Swissair 111 demonstra como um sistema pode atender regras de componente e ainda assim montar um perigo intolerável. O fio podia ser certificado. A manta podia passar em seu teste de queimador. O sistema de entretenimento podia ser chamado de não essencial. O disjuntor podia cumprir seu propósito de sobrecorrente. O sótão podia ficar fora dos requisitos de zona de incêndio designada. A lista de verificação podia ser aprovada. Os gravadores podiam atender sua regra de duração. Nenhuma dessas proposições garantia que um arco oculto seria detectado, isolado e suprimido antes que o cockpit se tornasse inutilizável.

O padrão corretivo é uma prova de ponta a ponta. Começa com a rota instalada de cada fio suplementar e o comportamento realista de falha de seu isolamento. Segue a energia de ignição disponível para o conjunto completo de materiais. Mede o tempo de detecção e supressão no espaço oculto. Verifica o interruptor de isolamento da tripulação, a continuidade da energia essencial, a carga de trabalho da lista de verificação, a preparação para o pouso e a resistência do gravador. Termina com registros de conformidade ao nível da aeronave e amostragem do regulador.

A responsabilidade deve seguir o direito de controlar cada elo. Operadores controlam a configuração da frota e procedimentos. Organizações de projeto e modificação controlam a fundamentação. Organizações de manutenção controlam o acabamento e a aeronavegabilidade continuada. Fabricantes controlam a integração do sistema base e informações de serviço. Reguladores controlam normas, delegação, ação mandatória e vigilância. Tripulações controlam a resposta possível com as pistas e ferramentas que recebem. Investigadores controlam o registro público calibrado de segurança.

A disciplina final é a contenção. Uma relação provável de ignição não é um fio exclusivamente comprovado. Uma conclusão sobre uma condição latente de STC não é prova de que alimentou este incêndio. Um pouso simulador não é uma história alternativa garantida. Uma recomendação de segurança fechada não é prova universal ao nível da aeronave. E uma conclusão do TSB não é um julgamento legal. Preservar esses limites fortalece o caso de responsabilidade, porque cada afirmação então aponta para um controle que pode ser inspecionado, testado e melhorado.

Notas de fontes

Este artigo dá peso controlador ao relatório final do TSB para cronologia, análise e conclusões adotadas. Registros de suporte do TSB são usados para detalhes técnicos, de desempenho e de recuperação delimitados; o material da FAA é usado para síntese retrospectiva oficial e documentação de resposta. As avaliações de recomendação descrevem o status das deficiências de segurança, não a implementação universal ou responsabilidade legal. Padrões e orientações posteriores são datados e não são projetados para trás como a regra legal exata de 1998.

Acesso, graus de evidência, usos pretendidos e limites não resolvidos são registrados no livro-razão de fontes acompanhante.