Em 29 de setembro de 2006, o voo GLO 1907 e um Legacy 600 colidiram em voo; as 154 pessoas no Boeing PR-GTD morreram. Vinte anos depois, o Relatório Final A-022/CENIPA/2008 continua útil para entender como informação, comunicação, controle de tráfego, equipamentos, treinamento e organização se relacionam. Esta análise estuda o método preventivo da investigação, com respeito às vítimas, sem transformar a última ação humana em explicação suficiente.
Vinte anos depois, por que voltar a este caso?
O acidente ocorreu em 29/09/2006 e completou vinte anos em 29/09/2026. O Boeing 737-8EH PR-GTD, no voo GLO 1907, colidiu com o Embraer Legacy 600 N600XL em uma aerovia sobre o Brasil. O Legacy pousou em emergência; as 154 pessoas no Boeing morreram. O respeito a elas exige que o caso seja estudado sem espetáculo e sem uma reconstituição feita para encontrar um personagem a culpar.
O Relatório Final A-022/CENIPA/2008 examina fatores operacionais, técnicos, humanos e organizacionais. Sua utilidade para quem trabalha com segurança do trabalho está no método: reunir evidências, reconstruir decisões e interfaces, verificar defesas e perguntar por que desvios não foram detectados ou recuperados. O acidente não cabe em uma frase sobre desatenção.
O que aconteceu, sem dramatização
O PR-GTD fazia a rota Manaus–Brasília–Rio de Janeiro com seis tripulantes e 148 passageiros. O N600XL era um voo de translado de São José dos Campos para Fort Lauderdale, com escala em Manaus, dois tripulantes e cinco passageiros. Às 19h56 UTC, ambos voavam em direções opostas na aerovia UZ6 e colidiram perto da posição NABOL, no FL370 — nível de voo nominal de 37 mil pés.
O Legacy permaneceu controlável e pousou no Campo de Provas Brigadeiro Veloso, no Pará; seus sete ocupantes saíram ilesos. O PR-GTD perdeu parte da asa esquerda, tornou-se incontrolável e sofreu separação estrutural durante a queda. As 154 pessoas a bordo morreram. A meteorologia não foi considerada contribuinte no relatório.
| Marco | Registro essencial |
|---|---|
| 29/09/2006 | Dois voos em sentidos opostos na UZ6. |
| 19h56 UTC | Colisão perto de NABOL, no FL370. |
| Depois da colisão | Pouso de emergência do N600XL; perda do PR-GTD e das 154 pessoas a bordo. |
O que a investigação de segurança procura
O Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA) integra o Sistema de Investigação e Prevenção de Acidentes Aeronáuticos (SIPAER). O relatório avisa que sua finalidade é preventiva e que ele não mede graus de culpa ou produz prova para estabelecer responsabilidade civil ou criminal. A lógica do Anexo 13 da Organização da Aviação Civil Internacional (ICAO/OACI) é aprender com as ocorrências para prevenir outras.
No Brasil, a Lei 12.970, de 08/05/2014, posteriormente explicitou no Código Brasileiro de Aeronáutica o objetivo único de prevenção da investigação SIPAER e a independência em relação a outras investigações. Essa lei é posterior ao acidente; não é correto afirmar, só com essa cronologia, que o caso a criou. Finalidades distintas podem coexistir: uma apuração técnica para aprender e processos administrativos, civis ou criminais em suas esferas próprias.
James Reason está no próprio relatório
A análise do aspecto psicológico do CENIPA declara expressamente que se apoiou no modelo de James Reason para acidentes organizacionais. Nesse modelo, falhas ativas são ações ou omissões próximas da operação com efeito imediato. Condições latentes vêm de decisões, processos e contextos que podem existir por muito tempo antes de se combinar com uma situação concreta.
O relatório organiza essas condições em trabalho local — tarefa, ambiente, tecnologia e estado das equipes — e influências organizacionais — recursos, processos e clima. Por isso, a imagem didática do ‘queijo suíço’ só ajuda quando voltamos aos mecanismos reais: que informação faltou, que indicação não atraiu atenção, que transferência não levou o contexto completo, que supervisão não detectou o desvio. Não há buracos genéricos nem uma pessoa que explique sozinha o sistema.
A investigação não identificou falhas ativas da tripulação do PR-GTD nem falhas latentes no sistema organizacional da empresa nessa análise. No N600XL, registrou preparo e planejamento insuficientes, ausência de briefing, mudança não intencional do modo do transponder, não percepção de sua condição e demora em reconhecer a falha de comunicação. Também examinou contribuições do controle de tráfego e seu ambiente organizacional.
Transponder e TCAS: duas funções, uma interface decisiva
O transponder responde à vigilância por radar secundário e transmite informações como código de identificação e altitude, conforme o modo. O TCAS, integrante da família ACAS, é embarcado e funciona independentemente do controle de tráfego aéreo (ATC) em solo: detecta aeronaves equipadas com transponder, pode emitir aviso de tráfego (TA) e, nas versões adequadas, orientação vertical de resolução (RA). Independência do ATC não significa independência dos sinais das outras aeronaves.
O relatório registrou que o transponder do N600XL deixou de transmitir a altitude e que o TCAS deixou de operar naquele período; sem aquela transmissão, as tripulações não receberam avisos TCAS da aproximação. Testes dos sistemas do Legacy não detectaram falha técnica dos componentes nem erro de projeto/integração. A hipótese de desligamento intencional foi descartada. O relatório classifica a mudança do modo como involuntária, mas o gesto exato que a provocou permaneceu em hipóteses. Escrever ‘o TCAS quebrou’ ou atribuir intenção distorceria a evidência.
Comunicação, separação e consciência situacional
Separação segura depende de autorização coerente, níveis corretos, vigilância, transferência entre setores e comunicação de mão dupla. No caso, o CENIPA examinou uma autorização incompleta, perda de informação de altitude, sinais e alertas não percebidos, transferência que não comunicou plenamente a falta de contato e dificuldades de frequências. Esses pontos não têm a mesma natureza, mas se encontraram em uma operação que exigia recuperar a separação.
Consciência situacional significa perceber o estado da operação, compreender o que ele indica e antecipar o que pode acontecer. Não é um traço moral de alguém ‘atento’ ou ‘distraído’. É influenciada por telas, alarmes, procedimentos, carga de trabalho, treinamento, divisão de tarefas, comunicação e supervisão. Investigar a perda dessa consciência pede observar as condições em que as equipes trabalhavam e a informação que realmente recebiam.
O acidente não cabe em ‘foi erro humano’
‘Erro humano’ pode descrever provisoriamente um ato, mas não explica por que ele ocorreu nem por que as demais defesas não impediram o resultado. Se uma indicação discreta não chama atenção, se a autorização é ambígua ou se uma transferência não carrega uma anomalia, a pergunta útil alcança desenho de interface, rotina, preparo, supervisão e capacidade de recuperação.
A síntese editorial abaixo organiza seis camadas conceituais: planejamento e briefing; separação e monitoramento ATC; transponder e dados de altitude; comunicação e transferência; TCAS e avisos embarcados; detecção, supervisão e recuperação. O relatório não diz que todas ‘falharam’ igualmente. Algumas se degradaram, outras estavam indisponíveis, passaram despercebidas ou não conseguiram recuperar o desvio. O mapa não substitui a cronologia nem o juízo técnico do CENIPA.
| Fato do relatório | Fator e barreira examinados | Aprendizado editorial |
|---|---|---|
| O N600XL deixou de transmitir altitude | Mudança involuntária de modo; indicação e monitoramento | Uma anomalia precisa ser perceptível e acionável. |
| A perda de contato persistiu | Comunicação, frequências, transferência e supervisão | Um sinal ausente deve iniciar recuperação, não virar normalidade. |
| Não houve aviso TCAS às tripulações | Dependência de transmissão do transponder | Barreiras tecnicamente distintas podem compartilhar uma dependência. |
O que as recomendações de segurança revelam
As recomendações do CENIPA saem do diagnóstico e se espalham por treinamento, padrões, informação, interfaces e vigilância. As sete seleções a seguir são exemplos do próprio relatório, com seus códigos; são recomendações emitidas, não prova de que cada medida já havia sido implementada em 2026.
Recomendações no relatório, páginas 14–20 →
- RSV 261/A/06: orientar controladores para cumprir os procedimentos de autorização de tráfego.
- RSV 262/A/06: assegurar proficiência em inglês e meios para alcançá-la.
- RSV 263/A/06: cumprir a transferência entre unidades e setores de controle.
- RSV 100/A/07: desenvolver programas de gestão da qualidade dos serviços ATC.
- RSV 108/A/07 e 122/A/07: configurar corretamente e ampliar a cobertura da frequência de emergência 121,500 MHz.
- RSV 118/A/07: registrar automaticamente violações dos mínimos de separação e gerar relato preventivo.
- RSV 202/A/08: monitorar aderência entre nível autorizado e real e alertar discrepâncias.
O que SST, construção e indústria podem aplicar
Em uma queda de altura, uma intervenção em máquina ou uma perda de contenção, o primeiro passo é proteger pessoas e preservar evidências. Reconstrua a linha do tempo com registros, entrevistas, condições de campo e lacunas declaradas. Separe o que foi observado do que é hipótese; depois compare cada barreira prevista com a que existia e funcionava no trabalho real.
Examine ações próximas do evento e condições anteriores: projeto, recursos, manutenção, alarmes, permissão de trabalho, interface entre equipes, pressão de prazo, mudanças, supervisão e aprendizagem de quase acidentes. Pergunte por que o sistema não detectou ou não recuperou o desvio. A ação corretiva precisa apontar o mecanismo de risco, ter responsável e prazo e ser testada em campo; ‘reciclar o trabalhador’ isoladamente raramente resolve uma barreira técnica ausente.
O caso aeronáutico não transfere automaticamente regras de voo a um canteiro ou fábrica. Transfere um hábito investigativo: evidência antes de conclusão, contexto antes de culpa e verificação de eficácia depois da medida.
Acidentes de trabalho: causas, prevenção e responsabilidades →
Oito perguntas para qualquer investigação
Use o quadro como pauta de entrevista e revisão técnica. Cada resposta deve apontar uma evidência ou reconhecer uma lacuna.
- O que deveria ter acontecido?
- O que realmente aconteceu?
- Que evidências sustentam a linha do tempo?
- Qual barreira deveria evitar, detectar ou limitar o evento?
- A barreira existia, estava disponível e era compreendida?
- Que condições tornaram o desvio mais provável?
- O que permitiu que ele avançasse sem recuperação?
- Como provar que a ação corretiva reduziu o risco?
Investigação técnica e responsabilização têm finalidades distintas
O relatório do CENIPA é uma peça técnica de prevenção e não uma sentença. Processos administrativos, civis e criminais têm outras perguntas, regras de prova e competências. Confundi-los pode reduzir a disposição de relatar e a capacidade de aprender. Separá-los não significa impedir outras apurações ou afastar responsabilidade onde a lei a prevê.
A Lei 12.970/2014 explicita que a investigação SIPAER ocorre de modo independente das demais. Para SST, o princípio prático é proteger a qualidade das evidências e não trocar a análise de barreiras por uma conclusão pessoal precipitada.
A lição que permanece
Sistemas seguros não presumem pessoas perfeitas. Eles tornam os sinais relevantes visíveis, toleram desvios previsíveis, detectam mudanças perigosas e permitem agir antes que várias defesas percam eficácia ao mesmo tempo. A investigação precisa alcançar as decisões e condições que deram forma ao trabalho, não apenas sua última ação.
Vinte anos depois, estudar o GLO 1907 com respeito significa transformar o relatório em perguntas melhores e medidas verificáveis. A memória das 154 pessoas deve servir à prevenção, sem espetáculo e sem simplificar a complexidade documentada.
Perguntas frequentes
O que aconteceu com o voo GOL 1907?
Em 29/09/2006, o Boeing PR-GTD e o Legacy N600XL colidiram em voo perto de NABOL, no FL370. O Legacy pousou em emergência; as 154 pessoas no Boeing morreram.
O que o CENIPA concluiu sobre transponder e TCAS do Legacy?
O transponder deixou de transmitir altitude e o TCAS ficou inoperante no período. Testes não detectaram falha técnica dos componentes. O relatório descartou desligamento intencional e tratou a mudança de modo como involuntária, sem fixar o gesto exato.
O que é TCAS?
É um sistema embarcado de prevenção de colisão da família ACAS, independente do ATC em solo, que usa sinais de transponders para avisos de tráfego e, conforme versão, orientações de resolução.
O que são falhas ativas e condições latentes?
Falhas ativas ocorrem na execução próxima ao evento. Condições latentes derivam de decisões, processos, desenho e contexto que podem permanecer ocultos até se combinar com a operação.
O relatório usou James Reason?
Sim. A análise do aspecto psicológico declara que usou o modelo de acidentes organizacionais de James Reason para relacionar falhas ativas e latentes.
Investigação de segurança é investigação criminal?
Não. A investigação SIPAER procura prevenir novos acidentes; apurações criminais, civis e administrativas seguem suas próprias finalidades e regras.
O que SST pode aprender com o caso?
Preservar evidências, separar fato de hipótese, reconstruir interfaces e testar barreiras e ações corretivas, sem encerrar a análise em desatenção ou treinamento genérico.
Por que ‘erro humano’ não encerra a investigação?
Porque nomear uma ação não explica as condições que a favoreceram nem por que outras defesas deixaram o desvio avançar.
Referências desta atualização
Informação conferida em 6 fontes em 02/10/2026.
- Relatório Final A-022/CENIPA/2008 — PR-GTD e N600XL (cópia oficial hospedada pelo NTSB)CENIPA / NTSB · publicado em 08/12/2008
- Lei 12.970, de 8 de maio de 2014Presidência da República · publicado em 08/05/2014
- Annex 13 — Aircraft Accident and Incident InvestigationICAO
- Airborne Collision Avoidance System (ACAS)FAA
- PR-GTD Aircraft — fotografia de arquivo e permissãoWikimedia Commons
- GNU Free Documentation License 1.2 — cópia da licença da fotografiaFree Software Foundation / Andrade Safe