Existe um padrão silencioso por trás de muitos grandes acidentes industriais: um sinal de risco é identificado, classificado como "não obrigatório" e, anos depois, reaparece como tragédia. O voo AI171 da Air India é um estudo de caso quase didático de falhas sobrepostas de Gerenciamento de Mudanças (MoC).
O acidente
Em 12 de junho de 2025, o voo AI171 da Air India — um Boeing 787-8 Dreamliner — decolou do Aeroporto Internacional Sardar Vallabhbhai Patel, em Ahmedabad, com destino a Londres Gatwick. Momentos depois, a aeronave caiu sobre área residencial densa, atingindo o bloco de alojamento do B.J. Medical College.
O acidente matou 260 pessoas: 241 dos 242 ocupantes da aeronave e 19 pessoas no solo.
Os interruptores de controle de combustível de ambos os motores foram movidos da posição "RUN" para "CUTOFF" momentos antes do impacto, privando os dois motores de combustível. O relatório preliminar indicou que ambos os pilotos estavam confusos sobre a mudança no ajuste do interruptor, o que causou perda de tração logo após a decolagem.
A origem do alerta: o boletim da FAA de 2018
Há uma correlação documentada com um problema anterior, identificado em outro modelo de aeronave.
A FAA emitiu o Special Airworthiness Information Bulletin (SAIB) nº NM-18-33 em 17 de dezembro de 2018, alertando sobre o possível desengajamento do mecanismo de travamento dos interruptores de controle de combustível. O boletim foi baseado em relatórios de operadores do Boeing 737, nos quais os interruptores foram encontrados com o travamento desengajado.
Alguns operadores do 737 descobriram que o mecanismo de travamento — projetado para impedir o movimento acidental dos interruptores de corte de combustível — nem sempre havia sido instalado corretamente. O travamento deveria funcionar como um mecanismo de "levantar e girar", exigindo esforço deliberado antes de mover os interruptores. Porém, vários operadores constataram que ele não estava devidamente engajado — o que significava que o interruptor podia ser movido sem levantar o protetor.
A ponte entre o alerta de 2018 e o acidente de 2025
O texto original do SAIB NM-18-33 alertava que, se o mecanismo de travamento estivesse desengajado, o interruptor poderia ser movido entre as duas posições sem ser levantado durante a transição — e que a operação inadvertida do interruptor poderia resultar em uma consequência não intencional, como o desligamento de motor em voo.
O boletim aplicava-se especificamente aos interruptores com número de peça 4TL837-3D — o mesmo design instalado na aeronave da Air India envolvida no acidente. No entanto, a Air India informou aos investigadores que as inspeções recomendadas no boletim não foram realizadas, pois foram classificadas como "orientação não obrigatória", e não como uma diretiva de aeronavegabilidade.
Conexão com Gerenciamento de Mudanças: análise
Aqui está o núcleo da questão de Change Management. Cada etapa abaixo é um ponto onde uma barreira de MoC poderia ter interrompido a cadeia:
- Sinal de risco: a FAA identificou o problema em 2018 com base em relatos do 737.
- Classificação do risco: tratado como "advisory" (não obrigatório), não como "unsafe condition".
- Transferência do conhecimento: o alerta não migrou efetivamente do contexto do 737 para o 787.
- Ação da Air India: não realizou as inspeções recomendadas.
- Manutenção: o módulo de controle de aceleração foi substituído em 2019 e 2023, mas não por problemas no interruptor de combustível.
- Consequência: o risco latente persistiu por sete anos sem correção.
O relatório preliminar da AAIB observou que "todas as diretivas de aeronavegabilidade aplicáveis e boletins de serviço de alerta foram cumpridos na aeronave, bem como nos motores". Porém, a inspeção recomendada no SAIB não era uma diretiva mandatória — o que criou uma lacuna de conformidade.
A posição contraditória da FAA e Boeing
A FAA declarou formalmente que os interruptores de controle de combustível usados nas aeronaves Boeing, incluindo o 787 Dreamliner, não representam risco de segurança. Em aviso enviado às autoridades de aviação civil estrangeiras em 11 de julho de 2025, a FAA afirmou que o design dos interruptores — incluindo seus mecanismos de travamento — não é considerado uma "condição insegura" e, portanto, não justifica uma diretiva de aeronavegabilidade.
Apesar disso, o acidente gerou ação regulatória imediata na Índia. O regulador de aviação ordenou que companhias operando diversos modelos Boeing examinassem os interruptores de controle de combustível, dias após o relatório de investigação. A diretiva aplicava-se aos Boeing 787 Dreamliners e a variantes selecionadas do Boeing 737, com prazo até 21 de julho para conclusão das inspeções.
Nova evidência em 2026 — o caso que pode mudar tudo
Em fevereiro de 2026, um Boeing 787-8 da Air India (matrícula VT-ANX) teve o interruptor de combustível do motor esquerdo movendo-se espontaneamente de "RUN" para "CUTOFF" duas vezes no solo, antes de um voo entre Londres Heathrow e Bangalore. Como resposta, a Air India imobilizou a aeronave para investigação.
A apuração focou no painel do interruptor de controle de combustível após pilotos da Air India observarem que os interruptores não permaneciam consistentemente travados na posição RUN durante os procedimentos de pré-voo. O DGCA da Índia exigiu supervisão direta dos testes realizados nas instalações da Boeing em Seattle.
A Federação de Pilotos Indianos (FIP) submeteu formalmente ao Ministério da Aviação Civil uma hipótese técnica de que uma perturbação elétrica antes da decolagem — e não qualquer ação deliberada de cockpit — pode ter desencadeado o corte duplo de combustível no voo AI171. Com o prazo de 12 de junho de 2026 se aproximando, o relatório final ainda não foi divulgado.
Gerenciamento de Mudanças (MoC) em síntese
O caso AI171 é um exemplo clássico de múltiplas falhas sistêmicas de Change Management sobrepostas:
Gestão de conhecimento entre frotas
O sinal de risco foi identificado numa frota (737), mas não foi adequadamente transposto para outra com o mesmo componente (787). A homogeneidade do componente — a mesma peça 4TL837-3D — não gerou homogeneidade na resposta ao risco.
Classificação inadequada do risco
A transformação de um "advisory" em um "não é problema nosso" é uma das falhas mais documentadas na gestão de segurança. O caráter não mandatório da recomendação funcionou como gatilho de inação organizacional.
Ausência de rastreabilidade em substituições
Os registros de manutenção mostraram que o módulo de controle de aceleração — que inclui os interruptores de combustível — foi substituído em 2019 e 2023 na aeronave envolvida, mas não por problemas nos interruptores. A troca do módulo não garantiu a verificação do mecanismo de travamento.
Normalização do desvio
Sete anos de operação sem incidente registrado com o defeito conhecido criaram uma falsa sensação de segurança — fenômeno descrito por Diane Vaughan como "normalization of deviance", o mesmo padrão identificado no desastre do Challenger.
Como a PSM Expert pode ajudar
O Gerenciamento de Mudanças (MoC) é um dos elementos mais críticos e também dos mais negligenciados da gestão de segurança de processos. A PSM Expert estrutura, audita e implementa procedimentos de MoC alinhados ao OSHA 1910.119, ao CCPS RBPS e às melhores práticas internacionais, garantindo que sinais de risco sejam avaliados, rastreados e encerrados em vez de arquivados.
Se sua organização precisa fechar lacunas de conformidade, estruturar a avaliação de riscos em mudanças ou auditar a rastreabilidade das suas barreiras de segurança, fale com a PSM Expert.
Como dito no início, esta investigação segue em andamento e é de extrema complexidade — certamente trará inúmeros aprendizados, não só para a aviação, como para diversos outros setores.
Fontes: FAA SAIB NM-18-33 (2018); relatório preliminar da AAIB (2025); airlineratings.com (fev/2026). Investigação em andamento.