A EASA publicou a Airworthiness Directive emergencial 2026-0037 em 11 de março de 2026, efetiva imediatamente, exigindo compliance antes do próximo voo para toda a família A320 (A318, A319, A320 e A321) equipada com unidades ELAC (Elevator Aileron Computer) de part numbers específicos. A diretriz responde a eventos de pitch-down não comandado com autopilot engajado, resultando em perda de altitude, cuja causa raiz foi rastreada a Single Event Upsets (SEU) — corrupção de dados nos computadores ELAC provocada por radiação solar de alta energia. A ação mandatória exige a substituição ou atualização das unidades ELAC afetadas, conforme Airbus Service Bulletin A320-25-1CML/CMM. Voos ferry para bases de manutenção são permitidos sob condições específicas. No Brasil, a AD impacta diretamente GOL, LATAM e Azul, cujas frotas A320 representam aproximadamente 60% da frota narrowbody do país.
Neste artigo
- O que determina a AD emergencial EASA 2026-0037?
- O que é o ELAC e qual seu papel no fly-by-wire do A320?
- O que é um Single Event Upset e como a radiação solar corrompe avionics?
- Como ocorre o pitch-down não comandado?
- Quais aeronaves e ELAC são afetados?
- Qual a ação corretiva exigida pela AD?
- Por que a redundância do fly-by-wire não impediu a falha?
- Qual o contexto de atividade solar em 2026?
- Como isso afeta pilotos e operadores brasileiros?
- O que o piloto deve verificar com seu operador?
- Perguntas frequentes
- Fontes e referências
O que determina a AD emergencial EASA 2026-0037?
A AD 2026-0037, classificada como Emergency Airworthiness Directive, é o nível mais urgente de ação regulatória disponível para a EASA. Diferentemente de ADs convencionais com prazos de compliance de semanas ou meses, esta diretriz exige que operadores completem a ação corretiva antes do próximo voo — o que na prática significa que aeronaves com ELAC afetado ficam em solo até a substituição ou atualização do componente.
A EASA identificou que unidades ELAC de determinados part numbers são suscetíveis a corrupção de dados por radiação ionizante (Single Event Upset), condição que pode resultar em comando espúrio de pitch-down pelo computador de voo enquanto o autopilot está engajado. A perda de altitude resultante — sem input da tripulação — constitui condição insegura que requer ação imediata.
Definição: Uma Emergency Airworthiness Directive é emitida pela autoridade de certificação quando uma condição insegura apresenta risco iminente à segurança de voo que não pode aguardar o processo regulatório padrão. A compliance é exigida antes do próximo voo, salvo disposição específica da própria AD.
Parâmetros regulatórios
| Parâmetro | Detalhe |
|---|---|
| Número da AD | 2026-0037 |
| Autoridade | EASA (European Union Aviation Safety Agency) |
| Publicação | 11 de março de 2026 |
| Data efetiva | 11 de março de 2026 (imediata) |
| Classificação | Emergency Airworthiness Directive |
| Classificação ATA | 27 — Flight Controls |
| Aeronaves | A318, A319, A320, A321 (todos os MSN com ELAC afetado) |
| Componente afetado | ELAC — Elevator Aileron Computer |
| Condição insegura | Pitch-down não comandado com AP engajado, perda de altitude |
| Causa raiz | Single Event Upset (SEU) por radiação solar/cósmica |
| Ação requerida | Substituir/atualizar unidades ELAC conforme SB A320-25-1CML/CMM |
| Compliance | Antes do próximo voo |
| Voo ferry | Permitido sob condições específicas para deslocamento a bases de manutenção |
| Service Bulletin | Airbus SB A320-25-1CML/CMM |
O texto da AD especifica que voos ferry — sem passageiros — são permitidos para deslocar aeronaves afetadas até estações de manutenção que disponham de unidades ELAC atualizadas. Essa exceção é prática operacional padrão em ADs emergenciais: permite que a compliance ocorra sem exigir deslocamento de peças para cada base onde a aeronave esteja estacionada. A tripulação do voo ferry deve estar ciente da condição e operar com procedimentos específicos de monitoramento, incluindo desengajamento do autopilot em condições definidas.
O que é o ELAC e qual seu papel no fly-by-wire do A320?
O ELAC (Elevator Aileron Computer) é um dos computadores primários de voo do sistema fly-by-wire do A320. O A320 foi a primeira aeronave comercial a voar com controles de voo integralmente fly-by-wire — sem conexão mecânica direta entre o sidestick do piloto e as superfícies de controle. Toda a cadeia de comando passa por computadores que interpretam os inputs da tripulação e calculam as deflexões necessárias nas superfícies.
Definição: Fly-by-wire (FBW) é um sistema de controle de voo no qual os inputs do piloto são convertidos em sinais elétricos, processados por computadores de voo e transmitidos a atuadores que movimentam as superfícies de controle. No A320, não existe link mecânico entre sidestick e profundor/aileron — o ELAC é o intermediário computacional.
Arquitetura de computadores de voo do A320
O A320 possui três tipos de computador de voo primário, em configuração redundante:
| Computador | Quantidade | Função principal |
|---|---|---|
| ELAC (Elevator Aileron Computer) | 2 (ELAC 1 e ELAC 2) | Comanda profundor (pitch) e ailerons (roll). Computa leis de controle em Normal Law |
| SEC (Spoiler Elevator Computer) | 3 (SEC 1, 2 e 3) | Comanda spoilers e backup de profundor. Assume controle se ambos ELACs falham |
| FAC (Flight Augmentation Computer) | 2 (FAC 1 e 2) | Comanda leme (yaw), flight envelope protection, velocidade característica |
O ELAC opera como computador mestre para os eixos de pitch e roll em Normal Law — o modo de operação padrão e mais protegido do A320. Em Normal Law, o ELAC implementa:
- Load factor demand em pitch — o sidestick comanda fator de carga (g), não deflexão direta do profundor
- Flight envelope protection — proteções de α máximo, Vmo, bank angle, pitch attitude
- Auto-trim — o estabilizador horizontal é ajustado automaticamente, sem input do piloto
- Autopilot tracking — quando o AP está engajado, o ELAC executa os comandos do FMGC (Flight Management Guidance Computer) traduzindo targets de altitude, heading e velocidade em deflexões de superfície
O ELAC 1 é o computador ativo por padrão. Se falhar, o ELAC 2 assume automaticamente. Se ambos falharem, o controle de pitch é transferido para os SECs, e o sistema degrada de Normal Law para Alternate Law ou Direct Law — modos com menos proteções de envelope.
Por que uma corrupção no ELAC é tão crítica
O ELAC calcula deflexões de profundor dezenas de vezes por segundo. Cada ciclo de cálculo processa dados de sensores de atitude (ADIRU), inputs de sidestick, targets de autopilot e parâmetros de envelope para gerar o comando ao atuador do profundor. Se os dados internos do ELAC forem corrompidos — por exemplo, se um bit de memória que armazena a demanda de pitch flipar de 0 para 1 —, o computador pode gerar um comando espúrio: uma ordem de deflexão do profundor que não corresponde a nenhum input legítimo da tripulação ou do autopilot.
Com autopilot engajado, o sistema está em modo automático e a tripulação não está com as mãos no sidestick. Um comando espúrio de pitch-down move o profundor trailing edge up, gerando momento de nariz para baixo. A aeronave inicia descida não comandada. A detecção depende da atenção da tripulação aos instrumentos de voo ou dos alertas de desvio (altitude deviation) — não há proteção automática contra comando espúrio originado dentro do próprio ELAC, já que o sistema confia nas suas próprias saídas.
O que é um Single Event Upset e como a radiação solar corrompe avionics?
O Single Event Upset (SEU) é um fenômeno físico no qual uma partícula de alta energia — próton, nêutron, íon pesado ou partícula alfa — atravessa um circuito integrado e deposita carga elétrica suficiente para alterar o estado de um bit armazenado em memória. Um 0 se torna 1, ou um 1 se torna 0. A alteração é transitória (não danifica o hardware permanentemente), mas o dado corrompido permanece até ser sobrescrito ou corrigido.
Definição: Single Event Upset (SEU) é a inversão não destrutiva do estado lógico de um elemento de memória (flip-flop, SRAM, DRAM, registrador) causada por ionização provocada pela passagem de uma única partícula de alta energia através do semicondutor. O hardware não sofre dano permanente, mas o dado armazenado é corrompido.
Origem das partículas: radiação cósmica e solar
As partículas responsáveis por SEUs em altitude de cruzeiro têm duas origens principais:
Raios cósmicos galácticos (GCR) — partículas de altíssima energia originárias de fontes fora do sistema solar (supernovas, núcleos ativos de galáxias). Ao entrar na atmosfera terrestre, colidem com átomos de nitrogênio e oxigênio, gerando cascatas de partículas secundárias — especialmente nêutrons — que penetram nas fuselagens e atingem circuitos eletrônicos. O fluxo de nêutrons em FL350 é aproximadamente 300 vezes maior que ao nível do mar.
Eventos de partículas solares (SPE) — durante períodos de alta atividade solar (flares, ejeções de massa coronal), o Sol emite rajadas de prótons de alta energia que se propagam pelo sistema solar. Esses prótons, ao atingir a magnetosfera terrestre, geram fluxo adicional de nêutrons secundários na atmosfera. Em eventos solares severos, o fluxo pode aumentar de 10 a 100 vezes acima do nível basal de GCR.
Como nêutrons corrompem dados em avionics
O mecanismo físico é preciso:
- Um nêutron de alta energia (>10 MeV) penetra a fuselagem da aeronave sem interagir com a estrutura metálica (nêutrons são eletricamente neutros)
- O nêutron colide com um núcleo atômico de silício dentro do circuito integrado do ELAC
- A colisão nuclear gera fragmentos carregados (prótons, partículas alfa, íons de recuo) com alta taxa de deposição de energia
- Os fragmentos ionizam o material semicondutor ao longo de sua trajetória, gerando um pulso de corrente transitória
- Se o pulso ocorre em uma célula de memória (flip-flop SRAM, por exemplo), a carga depositada pode ser suficiente para inverter o estado lógico armazenado
- O bit flipado permanece no novo estado até ser sobrescrito por uma operação normal de escrita ou detectado por verificação de paridade/ECC
Taxa de SEU em altitude de cruzeiro
A taxa de SEU depende da tecnologia do circuito integrado, da altitude de voo e da atividade solar. Para circuitos integrados típicos de avionics (tecnologia de 180nm a 90nm), a literatura técnica reporta:
| Condição | Taxa estimada de SEU por dispositivo |
|---|---|
| Nível do mar | ~1 upset por 10⁹ horas por bit (desprezível) |
| FL350, atividade solar mínima | ~100x a taxa ao nível do mar |
| FL350, atividade solar moderada | ~300-500x a taxa ao nível do mar |
| FL410, evento solar severo (SPE) | ~1.000-10.000x a taxa ao nível do mar |
A miniaturização dos semicondutores agrava o problema: quanto menor a geometria do transistor, menor a carga necessária para flipar um bit. Circuitos em tecnologia 65nm ou inferior são significativamente mais suscetíveis do que os de 350nm usados nas gerações anteriores de avionics.
Como ocorre o pitch-down não comandado?
A cadeia causal identificada pela investigação técnica que fundamenta a AD segue uma sequência específica:
Sequência do evento
- Partícula de alta energia (nêutron secundário de raio cósmico ou SPE) atinge circuito integrado do ELAC ativo
- Bit flip ocorre em região de memória que armazena dados de demanda de pitch ou parâmetros de lei de controle
- O ELAC calcula comando de profundor com dado corrompido — gera deflexão de pitch-down sem correspondência a nenhum input legítimo
- Com autopilot engajado, a tripulação não está com mãos no sidestick; o comando é executado pelo atuador do profundor
- A aeronave inicia pitch-down não comandado — nariz desce, altitude diminui
- A tripulação percebe a anomalia por indicação no PFD (flight director deviation, altitude tape descendo) ou por sensação de g negativo
- O piloto desconecta o autopilot e assume controle manual
O tempo entre o comando espúrio e a percepção da tripulação é a janela de risco. Em condições normais de atenção (scan ativo dos instrumentos), a tripulação detecta desvios em 3 a 8 segundos. Em condições de vigilância reduzida (cruzeiro longo, operação noturna), o intervalo pode ser maior — e a perda de altitude, mais significativa.
Registros de eventos em serviço
A EASA baseia a AD em eventos reportados em serviço — ocorrências reais de pitch-down não comandado em frotas de A320 com ELAC de part numbers específicos. Os detalhes técnicos dos eventos individuais estão reservados na documentação de investigação, mas o padrão identificado é consistente: autopilot engajado em cruzeiro, pitch-down súbito sem input do piloto, desconexão do AP como ação corretiva, aeronave recuperada sem danos.
A consistência do padrão — mesmos modelos de ELAC, mesma falha funcional, eventos distribuídos em rotas e operadores diferentes — permitiu a correlação com o mecanismo de SEU e a emissão da AD com caráter emergencial.
Quais aeronaves e ELAC são afetados?
A AD 2026-0037 abrange toda a família A320ceo e A320neo — A318, A319, A320 e A321, em todas as variantes — mas apenas aeronaves equipadas com unidades ELAC de part numbers específicos listados no Airbus Service Bulletin A320-25-1CML/CMM.
Modelos cobertos
| Modelo | Designações de tipo incluídas |
|---|---|
| A318 | A318-111, A318-112, A318-121, A318-122 |
| A319 | A319-111, A319-112, A319-113, A319-114, A319-115, A319-131, A319-132, A319-133, A319-171N, A319-173N |
| A320 | A320-211, A320-212, A320-214, A320-216, A320-232, A320-233, A320-251N, A320-271N, A320-272N, A320-273N |
| A321 | A321-111, A321-112, A321-131, A321-211, A321-212, A321-213, A321-231, A321-232, A321-251N, A321-271N, A321-271NX, A321-272N, A321-272NX |
A abrangência é significativa: a família A320 é a aeronave comercial com maior número de unidades em operação no mundo, com mais de 10.000 aeronaves entregues desde 1988. Nem todas estão afetadas — somente aquelas com ELAC dos part numbers listados no SB. A identificação depende da verificação do part number da unidade instalada versus a lista do Service Bulletin.
O critério de suscetibilidade: versão do hardware ELAC
O fator determinante é a geração do hardware do ELAC instalado. Unidades mais antigas, fabricadas com circuitos integrados de geometrias maiores e com proteção contra SEU (hardening) mais robusta, não apresentaram o padrão de falha. Unidades de gerações mais recentes — com circuitos de menor geometria e, portanto, maior suscetibilidade a SEU — são o alvo da AD.
O Airbus SB A320-25-1CML/CMM lista explicitamente:
- Part numbers afetados — unidades ELAC que devem ser substituídas ou atualizadas
- Part numbers aceitáveis — unidades ELAC que já incorporam proteção adequada contra SEU (hardware hardened ou com algoritmos de detecção/correção de erros aprimorados)
Operadores devem consultar os registros de configuração de cada aeronave (Aircraft Configuration Report) para identificar quais unidades estão instaladas e se o part number consta da lista afetada.
Qual a ação corretiva exigida pela AD?
A AD 2026-0037 exige uma ação binária: substituir ou atualizar as unidades ELAC de part numbers afetados por unidades de part numbers aceitáveis, conforme definido no Airbus SB A320-25-1CML/CMM. A compliance deve ocorrer antes do próximo voo com passageiros.
Opções de compliance
| Opção | Descrição | Requisito |
|---|---|---|
| Substituição | Remover ELAC afetado e instalar unidade de part number aceitável | Disponibilidade de unidade em estoque ou pool de componentes |
| Atualização (mod) | Atualizar software/hardware da unidade ELAC instalada conforme procedimento do SB | Estação de manutenção com capacidade de mod no componente |
| Voo ferry | Deslocar aeronave sem passageiros até base com peça/capacidade disponível | Condições operacionais específicas (AP desengajado, tripulação ciente, procedimentos definidos) |
A opção de voo ferry é concessão operacional crítica. Sem ela, aeronaves que estivessem em outstation (bases sem estoque de ELAC ou capacidade de manutenção avançada) ficariam imobilizadas por tempo indeterminado. O voo ferry permite que a aeronave se desloque — vazia, sem passageiros — para uma estação onde a substituição possa ser realizada.
Definição: Voo ferry (ferry flight) é um voo sem passageiros ou carga comercial, autorizado sob condições específicas, para deslocar uma aeronave que não cumpre integralmente os requisitos de aeronavegabilidade para operação comercial. No contexto de ADs emergenciais, o voo ferry permite posicionar a aeronave em base de manutenção para cumprimento da diretriz.
Implicações logísticas
A compliance "antes do próximo voo" cria um desafio logístico imediato: todas as aeronaves com ELAC afetado ficam em solo simultaneamente até que a peça seja substituída. Para operadores com dezenas ou centenas de A320, isso significa:
- Verificação massiva de configuração — identificar rapidamente quais aeronaves da frota possuem ELAC afetado
- Disponibilidade de peças — unidades ELAC de part number aceitável precisam estar em estoque. Pools de componentes (rotables) dos operadores e de terceiros (como Airbus Spares, HAECO, Lufthansa Technik) são acionados
- Capacidade de manutenção — a troca do ELAC é procedimento de linha (line maintenance), mas exige pessoal qualificado e tempo de ground
- Gestão de malha — aeronaves em solo impactam a programação de voos. O operador precisa redistribuir a malha aérea entre aeronaves disponíveis
Por que a redundância do fly-by-wire não impediu a falha?
Esta é a questão técnica central que a AD levanta — e que merece análise detalhada. O sistema fly-by-wire do A320 foi projetado com redundância tripla (dois ELACs + três SECs) e arquitetura de dissimilaridade (computadores de fornecedores diferentes, software desenvolvido por equipes independentes). Como, então, um SEU em um ELAC pode gerar um pitch-down que não é capturado automaticamente?
Arquitetura de redundância do A320
O sistema fly-by-wire do A320 opera em configuração command/monitor:
| Função | ELAC 1 | ELAC 2 |
|---|---|---|
| Canal Command | Ativo (gera comandos) | Standby |
| Canal Monitor | Monitora a si próprio | Monitora a si próprio |
| Crosscheck | Compara saídas de Command vs Monitor internamente | Compara saídas de Command vs Monitor internamente |
Cada ELAC possui dois canais internos: Command (que gera os comandos de deflexão) e Monitor (que verifica se os comandos são coerentes). Se o canal Monitor detecta discrepância com o canal Command, o ELAC se declara falhado e transfere controle ao ELAC 2.
A vulnerabilidade: SEU no canal correto
O problema identificado nesta AD envolve cenários onde o SEU corrompe dados de forma que não é detectada pelo mecanismo de crosscheck interno. Isso pode ocorrer em múltiplos cenários:
Corrupção em área de memória compartilhada — se o SEU atinge uma área de memória acessada por ambos os canais (Command e Monitor), ambos operam com o mesmo dado corrompido. O crosscheck não detecta discrepância porque ambos os canais concordam — concordam com base em dado errado.
Corrupção dentro da margem de tolerância — o crosscheck Command/Monitor possui margens de tolerância (thresholds) para acomodar diferenças normais de cálculo entre os dois canais. Se a corrupção gera um desvio dentro dessa margem, o Monitor aceita o comando como válido.
Corrupção transitória rápida — se o SEU causa um pulso de comando que dura poucos ciclos de processamento (milissegundos), o atuador responde ao pulso antes que o sistema de monitoramento complete o ciclo de verificação. O resultado é uma deflexão momentânea do profundor — suficiente para causar perturbação de pitch perceptível.
Por que o ELAC 2 não corrigiu?
O ELAC 2 está em standby enquanto o ELAC 1 opera normalmente. O ELAC 2 não verifica as saídas do ELAC 1 em tempo real — ele assume controle somente quando o ELAC 1 se declara falhado ou é removido do circuito. Se o ELAC 1 não detecta internamente que falhou (porque o SEU não aciona o crosscheck), o ELAC 2 permanece em standby e a saída corrompida do ELAC 1 é executada.
Esse é um princípio fundamental de segurança de sistemas: redundância protege contra falhas detectadas, não contra falhas não detectadas. Um componente que falha silenciosamente — produzindo saída errada sem se declarar falhado — derrota a redundância. A AD ataca exatamente este ponto: as unidades ELAC de part numbers aceitáveis incorporam proteções aprimoradas (ECC em memória, checksums em dados internos, thresholds de monitoramento revisados) que aumentam a probabilidade de detecção do SEU antes que ele se manifeste como comando espúrio.
Definição: ECC (Error-Correcting Code) é uma técnica de proteção de memória que armazena bits adicionais de verificação junto com cada palavra de dados. O circuito de ECC pode detectar e corrigir automaticamente erros de bit único (como os causados por SEU), eliminando o dado corrompido antes que ele seja utilizado em cálculos.
Qual o contexto de atividade solar em 2026?
A emissão desta AD não ocorre em vácuo. O ciclo solar 25 — iniciado em dezembro de 2019 — atingiu seu pico entre 2024 e 2025, e os modelos solares indicam atividade elevada persistindo ao longo de 2026. Esse contexto é diretamente relevante para a compreensão da AD.
Ciclo solar 25 e taxa de SEU
| Período | Atividade solar | Impacto em SEU |
|---|---|---|
| 2019-2021 | Mínimo solar | Taxa basal de SEU (dominada por GCR) |
| 2022-2023 | Rampa de subida | Aumento progressivo de SPE |
| 2024-2025 | Máximo solar | Pico de flares e SPE. Maior taxa de SEU induzido por prótons solares |
| 2026 | Declínio inicial, ainda elevado | SPE frequentes, taxa de SEU significativamente acima do mínimo |
Durante o máximo solar, a frequência de flares solares classe M e X aumenta drasticamente. Cada flare pode liberar rajadas de prótons que, ao atingir a magnetosfera terrestre, potencializam o fluxo de nêutrons na atmosfera em latitudes elevadas e altitudes de cruzeiro.
Latitude magnética e rotas brasileiras
A intensidade do fluxo de partículas em altitude de cruzeiro varia com a latitude geomagnética. A magnetosfera terrestre deflecta partículas carregadas com mais eficiência nas regiões equatoriais do que nas polares. Rotas sobre o equador magnético recebem menos radiação do que rotas sobre latitudes altas.
Para pilotos que operam nas FIR Brasília, Curitiba, Recife e Amazônica, a proteção geomagnética é maior do que para operadores europeus ou norte-americanos. No entanto, essa proteção não é absoluta — eventos solares severos podem aumentar o fluxo de partículas mesmo em latitudes equatoriais. Rotas internacionais para a Europa (SBGR–LPPT, por exemplo) cruzam latitudes médias onde a proteção geomagnética é menor.
A Anomalia Magnética do Atlântico Sul (SAA) adiciona complexidade: sobre o sudeste do Brasil e o Atlântico Sul adjacente, a magnetosfera é mais fraca devido a uma anomalia no campo magnético terrestre. Aeronaves voando nessa região recebem fluxo de partículas ligeiramente maior do que o esperado para a latitude. A SAA cobre área que inclui rotas entre Guarulhos, Galeão, Brasília e Porto Alegre.
Definição: A Anomalia Magnética do Atlântico Sul (South Atlantic Anomaly — SAA) é uma região sobre o Brasil e o Atlântico Sul onde o cinturão de radiação de Van Allen se aproxima da superfície terrestre devido a uma depressão local no campo magnético. Satélites e aeronaves em altitude nesta região experimentam fluxo de partículas energéticas acima da média para a latitude.
Como isso afeta pilotos e operadores brasileiros?
A família A320 é a espinha dorsal da aviação comercial doméstica brasileira. Os três grandes operadores — GOL, LATAM e Azul — operam centenas de A320 (incluindo variantes CEO e NEO) em rotas que cobrem todo o território nacional. A proporção de A320 na frota narrowbody brasileira é estimada em aproximadamente 60%, tornando qualquer AD que afete este tipo uma questão de impacto sistêmico.
Frota A320 dos operadores brasileiros
| Operador | Modelos A320 operados | Frota estimada A320 family | Uso principal |
|---|---|---|---|
| GOL | A320neo, A321neo (LEAP-1A) | ~65 aeronaves | Doméstico, regional internacional |
| LATAM Brasil | A319, A320, A320neo, A321neo | ~80 aeronaves | Doméstico, regional internacional, ponte aérea |
| Azul | A320neo, A321neo (PW1100G, LEAP-1A) | ~50 aeronaves | Doméstico, hub Campinas/Confins |
Nem todas essas aeronaves estão necessariamente afetadas — depende do part number do ELAC instalado. Cada operador precisa verificar individualmente a configuração de cada aeronave da frota contra a lista do SB A320-25-1CML/CMM.
Cenários de impacto operacional
Cenário mínimo — poucos A320 da frota brasileira possuem o ELAC afetado (unidades já substituídas em manutenções anteriores). Impacto limitado, poucas aeronaves em solo por curto período.
Cenário moderado — parcela significativa da frota (20-30%) possui ELAC afetado. Cancelamentos e substituições de aeronave por 3-7 dias enquanto a substituição é realizada progressivamente. Impacto na malha, especialmente em aeroportos com alta frequência de A320 (Congonhas, Guarulhos, Brasília, Confins).
Cenário severo — maioria da frota com ELAC afetado e disponibilidade limitada de peças no pool brasileiro. Impacto de 1-2 semanas com cancelamentos extensivos e redistribuição de passageiros. Operadores acionam AOG (Aircraft on Ground) para expedição de peças da Europa.
Posição esperada da ANAC
A ANAC valida ADs da EASA para aeronaves com certificado de tipo europeu operadas no Brasil. O processo formal envolve publicação de uma DAAN (Diretriz de Aeronavegabilidade) correspondente. No caso de ADs emergenciais, a ANAC tipicamente adota a diretriz de forma acelerada, muitas vezes antes da publicação formal da DAAN — comunicando operadores diretamente.
Operadores brasileiros responsáveis não esperam a formalização da DAAN. A AD emergencial da EASA é reconhecida pelo fabricante (Airbus) e pelo sistema regulatório global como mandatória. Cumprir antes da DAAN não é antecipação — é prática padrão de segurança.
O que o piloto deve verificar com seu operador?
A AD 2026-0037 gera ações práticas que o piloto de A320 deve acompanhar. Esta seção lista verificações concretas que a tripulação pode fazer.
Checklist de verificação
Status de compliance da aeronave — antes de aceitar a aeronave para voo, verificar se a aeronave possui registro de compliance com a AD 2026-0037 na documentação técnica (Technical Log / Journey Log). Se a aeronave não está compliant, ela não pode voar com passageiros.
Part number do ELAC instalado — a página de status do CFDS (Centralized Fault Display System) no cockpit exibe informações sobre os computadores de voo instalados, incluindo part number e software standard. Confirmar que o ELAC instalado não consta da lista de part numbers afetados.
Operational Engineering Bulletin (OEB) — verificar se o operador emitiu OEB ou equivalente (Fleet Technical Letter, NOTAM operacional) comunicando a AD e procedimentos associados. O OEB deve incluir procedimentos para tripulação caso ocorra pitch-down não comandado durante a transição (aeronaves aguardando compliance).
Procedimento de pitch-down não comandado — independentemente da AD, a tripulação deve ter fluência no procedimento de resposta: desconectar AP, assumir controle manual, aplicar pitch-up conforme necessário, reportar ao ATC. O procedimento está documentado nos FCOM Abnormal Procedures.
Status de atualização do simulador — para pilotos em treinamento recorrente, verificar se o cenário de pitch-down por SEU foi incorporado ao programa de LOFT/LOE. Operadores proativos incluem cenários de falhas de ELAC em sessões de simulador.
Para pilotos que operam na FIR Brasília e Curitiba
A combinação de Anomalia Magnética do Atlântico Sul e atividade solar elevada em 2026 torna a vigilância adicional relevante para voos domésticos sobre o sudeste brasileiro. Embora a AD resolva a vulnerabilidade do hardware, a consciência situacional sobre o fenômeno de SEU é conhecimento profissional valioso:
- Monitorar a atitude de pitch durante cruzeiro, especialmente com AP engajado em FL350+
- Manter familiaridade com a desconexão rápida do AP e transição para manual
- Estar ciente de que a proteção geomagnética na região da SAA é menor — o fluxo de partículas em altitude é mensurável sobre SBGR, SBBR e SBGL
Perguntas frequentes
O pitch-down pode ocorrer em qualquer fase de voo?
Os eventos reportados ocorreram em cruzeiro com autopilot engajado. Essa fase combina os dois fatores de risco: altitude elevada (maior fluxo de partículas) e modo automático (tripulação sem mãos no sidestick). Em teoria, um SEU pode ocorrer em qualquer fase, mas a probabilidade é maior em FL350+ e a consequência é mais crítica com AP engajado. A proteção de envelope do Normal Law limita o pitch-down a -15° — mas mesmo uma excursão de -5° em cruzeiro pode gerar perda de centenas de pés antes da reação da tripulação.
A AD afeta o A320ceo (motor CFM56/V2500) ou apenas o A320neo?
A AD afeta ambas as gerações — CEO e NEO. O critério não é a motorização ou a geração da célula, mas o part number do ELAC instalado. Unidades ELAC de determinadas gerações de hardware foram usadas tanto em A320ceo quanto em A320neo. A verificação deve ser feita por aeronave individual, consultando o part number instalado contra a lista do SB A320-25-1CML/CMM.
Após a substituição do ELAC, a aeronave está protegida contra futuros SEU?
As unidades ELAC de part number aceitável incorporam proteções aprimoradas contra SEU: ECC (Error-Correcting Code) em memória, checksums em barramentos de dados internos, e thresholds de monitoramento Command/Monitor revisados para detectar excursões menores. Essas proteções reduzem drasticamente a probabilidade de um SEU se manifestar como comando espúrio. Nenhuma proteção elimina 100% do risco — SEU é fenômeno físico inevitável em semicondutores — mas a combinação de hardening de hardware e detecção de software torna a probabilidade de falha residual aceitável dentro dos padrões de certificação (melhor que 10⁻⁹ por hora de voo).
Os operadores brasileiros já estão cumprindo a AD?
A AD foi publicada em 11 de março de 2026 com compliance imediata. GOL, LATAM e Azul possuem processos internos de monitoramento de ADs — departamentos de engenharia de frota e continuing airworthiness que rastreiam diretivas da EASA e FAA em tempo real. O esperado é que a verificação de configuração tenha sido iniciada nas primeiras horas após a publicação da AD, com aeronaves afetadas retiradas de serviço comercial e programadas para substituição de ELAC.
Pilotos de outras frotas (737, E-Jet, ATR) devem se preocupar com SEU?
O fenômeno de SEU afeta qualquer aeronave com avionics digital. O 737 MAX (fly-by-wire), os E-Jets da Embraer e o ATR 72-600 utilizam computadores de voo com circuitos integrados suscetíveis a SEU. Cada tipo possui suas próprias proteções — e cada fabricante certifica seus sistemas para taxas de falha aceitáveis. A AD do A320 não indica que o fenômeno seja exclusivo da Airbus. Indica que uma combinação específica de hardware ELAC + atividade solar elevada expôs uma vulnerabilidade que exige correção nesta plataforma específica.
Fontes e referências
- EASA AD 2026-0037 — Emergency Airworthiness Directive — Airbus A318/A319/A320/A321 — European Union Aviation Safety Agency, 11 de março de 2026
- Airbus Service Bulletin A320-25-1CML/CMM — ELAC Replacement/Update — Airbus SAS, referência técnica para compliance
- EASA Airworthiness Directives — Portal de consulta — European Union Aviation Safety Agency
- NOAA Space Weather Prediction Center — Solar Cycle 25 Progression — National Oceanic and Atmospheric Administration
- Single Event Effects in Avionics — NASA Technical Reports — National Aeronautics and Space Administration
O que observar nas próximas semanas
Seis desdobramentos merecem acompanhamento direto:
Publicação da DAAN pela ANAC — a formalização da diretriz brasileira equivalente deve ocorrer em dias. Monitorar o portal de Diretrizes de Aeronavegabilidade da ANAC para confirmação oficial e eventuais condições adicionais específicas para operadores brasileiros.
Disponibilidade de peças ELAC no pool brasileiro — a velocidade de compliance depende do estoque de unidades de part number aceitável disponíveis no Brasil. Se o pool local for insuficiente, peças precisarão ser expedidas da Europa via AOG logistics, adicionando 48-72 horas ao tempo de reposição.
Comunicados oficiais de GOL, LATAM e Azul — os três operadores devem emitir comunicações internas (e possivelmente públicas) sobre o status de compliance da frota, impacto na malha aérea e previsão de normalização. Pilotos devem consultar os canais internos de comunicação operacional.
Atividade solar nos próximos meses — o ciclo solar 25 permanece em fase ativa. Monitorar alertas de SPE (Solar Proton Events) do NOAA Space Weather Prediction Center pode antecipar períodos de risco elevado de SEU, informando decisões operacionais mesmo após a compliance com a AD.
Posição da FAA — a FAA tipicamente emite AD equivalente para aeronaves de registro norte-americano quando a EASA publica AD emergencial para tipo Airbus. Acompanhar se a FAA adota o mesmo escopo ou implementa variações.
Airbus follow-up — acompanhar se a Airbus emite Service Information Letter (SIL) ou All Operators Telex (AOT) adicional com informações complementares sobre o mecanismo de SEU e recomendações operacionais de longo prazo para conscientização da tripulação.
O AeroCopilot monitora diretivas de aeronavegabilidade que afetam a frota brasileira e publicará atualizações conforme novas informações forem divulgadas pela EASA, ANAC e operadores nacionais.