1                         OBJETIVO

Esta Instrução Suplementar (IS) visa estabelecer meios aceitáveis de cumprimento para a sistematização e envio das comunicações, de falhas, mau funcionamento e defeitos, requeridas pelos parágrafos 21.3(a) e 21.4 do RBAC nº 21, assim como apresentar orientações para a organização regulada determinar quando falhas,  mau funcionamento e defeitos resultem ou possam resultar em uma condição insegura.

2                         REVOGAÇÃO

Não aplicável.

3                         FUNDAMENTOS

3.1                                       Meio Aceitável de Cumprimento

3.1.1.1                  O art. 14 da Resolução nº 30, de 21 de maio de 2008, que instituiu o RBAC e a IS, e estabeleceu critérios para a sua elaboração, dispõe em seu § 1º, alterado pela Resolução nº 162, de 20 de julho de 2010, que o administrado que pretenda demonstrar o cumprimento com requisito previsto em RBAC/RBHA poderá adotar os meios e procedimentos especificados em IS ou apresentar meio ou procedimento alternativo devidamente justificado, exigindo-se a análise e concordância expressa do órgão competente da ANAC.

3.1.2                            Adicionalmente, o § 2º do art. 14 da Resolução nº 30, de 21 de maio de 2008, supracitado, dispõe que o meio ou procedimento alternativo mencionado no § 1º deste artigo deve garantir nível de segurança igual ou superior ao estabelecido pelo requisito aplicável ou concretizar o objetivo do procedimento normalizado em IS.

3.1.3                            Além disso, o § 3º do art. 14 da Resolução nº 30, de 21 de maio de 2008, supracitado, dispõe que a IS não pode criar requisitos ou contrariar requisitos estabelecidos em RBAC ou outro ato normativo.

4                         DEFINIÇÕES

4.1                                       As seguintes definições são aplicáveis no contexto desta IS:

4.2                                       Aeronavegabilidade Continuada: de acordo com o Manual de Aeronavegabilidade da International Civil Aviation Organization - ICAO, consiste no conjunto sistemático de ações que abrange os processos que requerem que todas as aeronaves cumpram com os requisitos de aeronavegabilidade estabelecidos em sua base de certificação de tipo e com os requisitos impostos pelo Estado de Registro destas aeronaves, visando à manutenibilidade da operação segura e continuada durante a vida operacional destas aeronaves.

4.3                                       Boletim de serviço - BS: documento emitido pelo detentor do projeto de tipo ou fabricante do produto aeronáutico (aeronave, motor, hélice, incluindo artigo aeronáutico como equipamento e componente), com o objetivo de corrigir falhas, mau funcionamento e defeitos deste produto ou nele introduzir modificações e/ou aperfeiçoamentos, ou ainda visando à implantação de ação de manutenção ou manutenção preventiva aditiva àquelas previstas no programa de manutenção do produto aeronáutico.

4.4                                       Condição de falha hazardous: condição de falha que pode reduzir a capacidade da aeronave ou a habilidade da tripulação de voo em lidar com condições operacionais adversas que possa resultar em uma grande redução nas capacidades funcionais ou nas margens de segurança; estresse físico ou carga de trabalho excessiva, de modo que a tripulação de voo  não consiga realizar suas tarefas de forma precisa ou completa; ou ferimentos graves ou fatais em um número relativamente pequeno de ocupantes que não seja a tripulação de voo.

4.5                                       Condição de falha hazardous (motores): condição de falha que pode resultar em um dos efeitos definidos na seção 33.75 do RBAC nº 33.

4.6                                       Condição de falha hazardous (hélices): condição de falha que pode resultar em um dos efeitos definidos na seção 35.15 do RBAC nº 35

4.7                                       Condição de falha catastrófica: condição de falha que pode resultar em múltiplas fatalidades, usualmente com a perda da aeronave.

4.8                                       Defeito: qualquer desvio de uma característica de um item em serviço em relação aos seus requisitos aplicáveis.

NOTA: Um defeito pode, ou não, afetar a capacidade de um item em desempenhar uma função requerida.

4.9                                       Defeito de projeto: Defeito relacionado aos requisitos aplicáveis de um produto em serviço, conforme seções 21.17, 21.101 e 21.115 do RBAC nº 21.

4.10                                Defeito de fabricação: Defeito de um produto em serviço devido à não-conformidade da fabricação com o projeto ou com os processos de fabricação especificados no sistema de qualidade, conforme determinado pela seção 21.137, 21.307 e 21.607 do RBAC nº 21.

4.11                                Diretriz de aeronavegabilidade - DA: documento emitido pela ANAC, visando eliminar uma condição insegura existente em um produto aeronáutico, com probabilidade de existir ou de se desenvolver em outros produtos do mesmo projeto de tipo. O seu cumprimento é obrigatório e frequentemente impõe o cumprimento de um BS de uma forma especificada. As DA emitidas pelas diversas Autoridades de Aviação Civil - AAC também são consideradas brasileiras e aqui aplicáveis se estas AAC são as responsáveis pelo projeto de tipo de produtos operando no Brasil (para maiores informações, vide IS nº 39-001).

4.12                                Dificuldades em Serviço: consiste em quaisquer falhas, mau funcionamento e defeitos em qualquer produto aeronáutico.

4.13                                Falha: Término da capacidade de um item desempenhar a função requerida.

4.14                                Mau funcionamento: Estado de um item caracterizado pela incapacidade, ainda que temporária, de desempenhar uma função requerida, excluindo a incapacidade durante a manutenção ou outras ações planejadas, ou pela falta de recursos externos.

4.15                                Ocorrências: para o objetivo desta IS o termo ocorrência se refere a qualquer falha, mau funcionamento, defeito, erros, perigos identificados, incidente, acidente ou outras ocorrências que devam ser reportadas à ANAC.

4.16                                Organização de Manutenção: organizações certificadas segundo os requisitos do RBAC nº 145.

4.17                                Produto Aeronáutico: aeronave, um motor ou uma hélice, assim como seus artigos aeronáuticos como componentes e partes. Inclui ainda outros artigos como qualquer instrumento, equipamento, mecanismo, componente, peça, dispositivo, pertence ou acessório, incluindo equipamentos de comunicações, utilizados, ou com intenção de uso, na operação ou no controle de uma aeronave em voo e instalados ou acoplados na aeronave e que não fazem parte da célula, do motor ou da hélice. Inclui, finalmente, materiais e processos usados na fabricação de todos os itens acima.

4.18                                PSE - Elemento Estrutural Principal (Principal Structural Element): elementos estruturais que contribuem significativamente para suportar as cargas previstas de voo, solo, pressurização e cuja falha pode resultar em um evento catastrófico para a aeronave.

4.19                                Sistema de Comunicação de Ocorrências: é um sistema responsável por assegurar que as informações relativas a falhas, mau funcionamento e defeitos em qualquer produto aeronáutico sejam apropriadamente coletadas, analisadas e processadas, independentemente de estarem ou não relacionadas a acidentes ou incidentes aeronáuticos.

5                         DESENVOLVIMENTO DO ASSUNTO

5.1                                       Aplicabilidade

Esta IS é aplicável às seguintes organizações:

a) Detentores de Certificado de Tipo (CT);

b) Detentores de Certificado Suplementar de Tipo (CST);

c) Detentores de Certificado de Produto Aeronáutico Aprovado (CPAA);

d) Detentores de licenciamento de Certificado de Tipo (CT); e

e) Detentores de Certificado de Organização de Produção (COP).

5.2                                       Relação entre a Resolução no 714, de 26 de abril de 2023 e os parágrafos RBAC 21.3(a) e RBAC 21.4 (a)(6)

5.2.1                            O parágrafo 21.3(a) do RBAC nº 21 estabelece requisitos para o reporte mandatório de eventos para a ANAC, permitindo que a ANAC estabeleça as ações necessárias para a garantia da aeronavegabilidade continuada do produto aeronáutico.

5.2.2                            O parágrafo 21.4 (a)(6) do RBAC nº 21 estabelece as ocorrências que devem ser comunicadas para detentores de Certificado de Tipo, Certificado Suplementar de Tipo ou outra aprovação de projeto que inclua aprovação da capacidade para Operações Estendidas (Extended Operations - ETOPS)

5.2.3                            A Resolução no 714, de 26 de abril de 2023, que estabelece requisitos para a comunicação de eventos de segurança operacional ligados a projeto e produção aeronáuticos, define que os critérios para os reportes mandatórios estabelecidos no parágrafo 21.3(a) e na seção 21.4 do RBAC nº 21 sejam considerados.

5.2.4                            O cumprimento com o parágrafo 21.3(a) e 21.4 (a)(6) do RBAC nº 21 não isenta as organizações de cumprirem com a Resolução no 714, de 26 de abril de 2023, e vice-versa. Entretanto, os requisitos são compatíveis e as obrigações para o reporte podem ser cumpridas por meio de um único canal, não sendo necessário 2 (dois) sistemas de reporte paralelos.

5.3                                       Sistema de Comunicação de Ocorrências

5.3.1                            Para atendimento ao preconizado no parágrafo 21.3(a) do RBAC nº 21, detentores de Certificado de Tipo, Certificado Suplementar de Tipo, Certificado de Produto Aeronáutico Aprovado, e o licenciado de Certificado de Tipo devem estabelecer e manter um sistema para coleta, investigação e análise que inclua funções como:

a)      Análise de ocorrências e informações disponíveis associadas,

b)      Identificação de  tendências adversas,

c)      Investigação de causa raiz associada, e

d)      Determinação de ação corretiva necessária.

5.3.2                            O licenciado de Certificado de Tipo ou Certificado Suplementar de Tipo deve reportar ocorrências que tenha deixado seu sistema da qualidade, com desvio em relação aos dados de projeto aplicáveis e que possa resultar em uma condição insegura. O licenciado deverá solicitar apoio ao detentor do Certificado de Tipo ou Certificado Suplementar de Tipo, para que este determine se o desvio aos dados de projeto pode resultar em uma condição insegura.  Para atendimento a esse requisito devem estabelecer e manter um sistema para investigação e análise que inclua funções como:

a)      Identificação do desvio aos dados de projeto,

b)      Identificação de tendências adversas,

c)      Investigação de causa raiz associada,

d)      Coordenação com detentor do Certificado de Tipo ou Certificado Suplementar de Tipo para identificar se o desvio pode resultar em uma condição insegura, e

e)      Comunicação com a ANAC.

5.3.3                            O sistema deve permitir a determinação das ocorrências que devem ser reportadas à ANAC, conforme requerido pelo parágrafo 21.3(a) do RBAC nº 21.

5.3.4                            Para falhas em artigos aeronáuticos que possam resultar em uma condição insegura, a função de análise deve garantir que os reportes e informações enviadas, ou disponibilizadas, sejam investigados para que a natureza do evento e seu efeito na aeronavegabilidade continuada do produto sejam entendidos. Esta análise pode resultar em mudanças no projeto, nas Instruções para Aeronavegabilidade Continuada ou estabelecimento de um plano de mitigações para evitar ou minimizar a possibilidade de tais ocorrências no futuro, por isso há a necessidade de ser coordenada entre o Detentor de Certificado de Produto Aeronáutico Aprovado e o Detentor de Certificado de Tipo, Certificado Suplementar de Tipo ou o licenciado de Certificado de Tipo para o produto em que o artigo aeronáutico é instalado.

5.3.5                            Detentores de Certificado de Tipo, Certificado Suplementar de Tipo ou outra aprovação de projeto que inclua um meio de reduzir a inflamabilidade no tanque de combustível (Flammability Reduction Means - FRM), deve continuamente verificar os efeitos de falhas de componente na confiabilidade do FRM e deve ser parte do sistema de coleta, investigação e análise das ocorrências, requerido pelo parágrafo 21.3(a) do RBAC nº 21. O requerente deve:

5.3.5.1                  Demonstrar a efetividade do meio de coleta de dados de confiabilidade do FRM. Este meio deve ser capaz de prover dados que afetem a confiabilidade do FRM, como falhas de componentes

5.3.5.2                  Exceto se um procedimento alternativo de reporte for aprovado pela ANAC, submeter um reporte para a ANAC a cada 6 (seis) meses durante 5 (cinco) anos a partir da instalação do FRM. Após esse período, o reporte semestral pode ser:

o   Substituído por outros métodos de acompanhamento da confiabilidade do FRM que sejam aceitos pela ANAC; ou

o   Eliminado se for estabelecido que a confiabilidade do FRM cumpre e continuará cumprindo com o especificado no Apêndice M do RBAC nº 25.

5.3.5.3                  Desenvolver instruções de serviço ou revisar manuais da aeronave, para corrigir qualquer falha do FRM que ocorra em serviço e que possa aumentar a inflamabilidade média do tanque de combustível na frota, além do que é especificado no Apêndice M do RBAC nº 25.

5.3.6                            Detentores de Certificado de Tipo, Certificado Suplementar de Tipo ou outra aprovação de projeto que inclua aprovação da capacidade para Operações Estendidas (Extended Operations - ETOPS), devem incluir um sistema específico para acompanhamento, reporte e resolução de ocorrências significantes para o ETOPS. Este sistema deve garantir o cumprimento inicial e ao longo da vida operacional da aeronave, com a confiabilidade requerida para ETOPS e precisa ser parte do sistema de coleta, investigação e análise, requerido pelo parágrafo 21.3(a) e 21.4 (a)(6) do RBAC nº 21.

5.4                                       Sistema de Coleta

5.4.1                            Para atendimento aos parágrafos 21.3(a) e 21.4(a)(6) do RBAC nº 21, o detentor de um certificado de tipo (incluindo emendas ou um certificado suplementar de tipo), de um certificado de produto aeronáutico aprovado (incluindo os emitidos sob uma ordem técnica padrão)  o licenciado de um certificado de tipo (incluindo outras aprovações de projeto) deve coletar e analisar ocorrências relevantes, quando estas forem identificadas, para comunicar à ANAC, quando determinar que resultou ou possa resultar em condição insegura.  Dessa forma, o estabelecimento de um sistema de coleta faz-se necessário.

5.4.2                            O sistema de coleta deve contemplar as fontes de informação internas à organização, assim como as que se originam fora da organização (operadores, organizações de manutenção, fornecedores etc.). É preciso que todas as fontes de informação conheçam os meios para introduzir os relatos no sistema de coleta. Algumas fontes de informação típicas são: ensaios de certificação e de engenharia, análises de engenharia complementares à certificação, remoções não programadas, falhas confirmadas, reportes de pilotos, resultados de inspeções ou de tarefas de manutenção, relatos de dificuldades em serviço, cancelamento de voos etc.

Nota: a fonte de informação pode ser originada pela ANAC devido à sua interação com outras Autoridades de Aviação Civil - AAC. Não é requerido que o sistema de coleta contemple esse tipo de informação.

5.5                                       Fontes de informação originadas em outras organizações

5.5.1                            A Resolução 714, de 26 de abril de 2023, nas alterações ao parágrafo 121.793(d) do RBAC nº 121, parágrafo 135.415(d) do RBAC nº 135 e seção 145.221 do RBAC nº 145  reafirmou a necessidade de que os Operadores Aéreos e as Organizações de Manutenção de Produto Aeronáutico comuniquem ocorrências ao detentor de um certificado de tipo (incluindo emendas ou um certificado suplementar de tipo), de um certificado de produto aeronáutico aprovado (incluindo os emitidos sob uma ordem técnica padrão) ou, ainda, o licenciado de um certificado de tipo (incluindo outras aprovações de projeto):

5.5.2                            Adicionalmente, o Detentor do Certificado de Organização de Produção deve reportar ao Detentor de Certificado de Tipo, Certificado Suplementar de Tipo ou Certificado de produto aeronáutico aprovado todos os casos em que o produto aeronáutico deixou a Organização de Produção com algum possível desvio aos dados de projeto aplicáveis, para que exista uma coordenação entre Organizações, com o objetivo de identificar desvios que possam resultar em uma condição insegura   

Nota: A forma como ocorre o fluxo de informações entre as organizações é definida na IS 00-001B "Sistema de Dificuldades em Serviço"

5.6                                       Determinação da condição insegura

5.6.1                            A organização responsável pela comunicação de falhas, mau funcionamento e defeitos deve determinar se a falhas, mau funcionamento e defeitos resultou ou pode resultar em uma condição insegura. O produto ou artigo deve estar em serviço e deve ter sido aprovado sob um certificado que esta organização seja detentora ou esteja licenciada. No caso de um defeito potencial, independentemente da fonte de informação que identificou o defeito, se houver possibilidade de ocorrer em um produto ou artigo em serviço, também deve ser avaliado quanto à existência de uma condição insegura.

5.6.2                            Condição insegura

Uma condição insegura existe se há evidência constatada da experiência em serviço, análises ou testes que mostrem que:

5.6.2.1                  Um evento pode ocorrer e resultar em fatalidades, geralmente com a perda da aeronave, ou redução da capacidade da aeronave ou na habilidade da tripulação em lidar em condições operacionais adversas, que incluem:

a)      Uma grande redução nas margens de segurança ou na capacidade funcional; ou

b)      Esforço físico ou carga de trabalho excessiva que dificulte a tripulação de voo em desempenhar suas funções adequadamente; ou

c)      Lesões sérias ou fatais a um ou mais ocupantes.

Nota: Não se configura uma condição insegura quando for demonstrado que a probabilidade da ocorrência deste evento está dentro dos limites definidos pelos requisitos de aeronavegabilidade aplicáveis.

5.6.2.2                  Há um risco inaceitável de lesão séria ou fatal a outras pessoas que não os passageiros ou tripulantes; ou

5.6.2.3                  As características de projeto destinadas a minimizar os efeitos de um acidente, em que há possibilidade de sobrevivência de ocupantes, não desempenhem adequadamente suas funções.

Nota 1: O não cumprimento com requisitos da base de certificação aplicável a um produto é presumido uma condição insegura, a menos que seja possível demonstrar que os possíveis efeitos resultantes deste não cumprimento não constituem uma condição insegura conforme definida nos parágrafos 5.6.2.1, 5.6.2.2 e 5.6.2.3 desta IS.

Nota 2: Uma condição insegura pode existir ainda que todos os requisitos da base de certificação aplicável sejam cumpridos.

Nota 3: As definições dos parágrafos 5.6.2.1, 5.6.2.2 e 5.6.2.3 desta IS cobrem a maioria dos casos que a ANAC considera como uma condição insegura. Pode haver casos em que considerações de segurança adicionais sobrepujem estas definições e levem a ANAC a emitir uma Diretriz de Aeronavegabilidade - DA.

Nota 4: Eventos podem ser considerados como condição insegura se eles ocorrerem muito frequentemente (significativamente além do objetivo de segurança aplicável) e puderem eventualmente resultar nas consequências listadas no parágrafo 5.6.2.1 (desta IS) em condições operacionais específicas. Mesmo havendo consequências imediatas menos severas que aquelas listadas no parágrafo 5.6.2.1 (desta IS), esses eventos podem reduzir a capacidade da aeronave ou a habilidade da tripulação em lidar com condições operacionais adversas a ponto de haver, por exemplo, uma redução significativa das margens de segurança ou na capacidade funcional, um aumento significativo da carga de trabalho da tripulação, um aumento de condições que afetam negativamente a capacidade da tripulação de desempenhar suas funções ou aumento de desconforto a ocupantes, incluindo possibilidade de lesões.

5.6.3                            Diretrizes para determinação de uma condição insegura

5.6.3.1                  É importante observar que essas diretrizes não são exaustivas, devendo o requerente comunicar falhas, mau funcionamento e defeitos que tenham resultado ou que possam resultar em eventos que este requerente tenha determinado como sendo uma condição insegura não obstante ao descrito neste material. Contudo, estas recomendações têm por objetivo o fornecimento de orientações e exemplos que abranjam a maioria dos casos, levando em consideração os requisitos de certificação aplicáveis.

5.6.3.2                  A certificação ou a aprovação de um produto ou artigo consiste na demonstração de cumprimento com os requisitos que estabelecem o nível mínimo de segurança aceitável. Esta demonstração, no entanto, inclui certas premissas e previsões sobre o comportamento da aeronave, tais como:

a)      O comportamento do material quanto à fadiga é definido com base em análises suportadas por ensaios;

b)      Técnicas de modelagem são utilizadas nos cálculos de informações de desempenho utilizadas no Manual de Voo da aeronave;

c)      A análise de falha dos sistemas fornece previsões sobre os modos de falha destes sistemas, bem como sobre os efeitos e probabilidades destas falhas;

d)      A confiabilidade dos componentes do sistema é determinada a partir de valores derivados da experiência geral, ensaios ou análises;

e)      Espera-se que a tripulação possua a habilidade necessária para aplicar os procedimentos corretamente; e

f)       Presume-se que a aeronave seja mantida conforme prescrito pelas Instruções de Aeronavegabilidade Continuada (Instructions for Continued Airworthiness - ICA) (ou pelo programa de manutenção).

5.6.3.3                  A experiência em serviço, ensaios adicionais, análises posteriores etc., podem mostrar que certas premissas, inicialmente aceitas, não estejam corretas. Deste modo, certas condições que foram inicialmente demonstradas como seguras, são reveladas inseguras, por meio da experiência.

5.6.3.4                  Há a necessidade de que a identificação de uma condição insegura oriente os processos de comunicação à autoridade, de desenvolvimento de ações corretivas em prazo adequado, incluindo o estabelecimento de limitações provisórias, e de divulgação das ações corretivas aos operadores/proprietários dos produtos afetados.

5.6.3.5                  Para apoiar a determinação de uma condição insegura, a investigação pode incluir exames de parte com desgaste, danos ou com limite de tempo de vida expirado, além de análises, dados de demonstração de cumprimento com requisitos de certificação, ensaios, análises estatísticas e comparação com as premissas de certificação.

5.6.4                            Orientações para determinar a existência de uma condição insegura

5.6.4.1                  Os próximos parágrafos desta seção fornecem orientações gerais para analisar um evento e determinar se existe uma condição insegura no âmbito do parágrafo 21.3(a) do RBAC Nº 21 e para verificar se há a necessidade de comunicar à ANAC falhas, mau funcionamento e defeitos associados.

5.6.4.2                  Esta análise pode ser qualitativa ou quantitativa.  Análises de segurança formais e quantitativas podem não estar disponíveis para aeronaves antigas ou pequenas e, nesses casos, o nível da análise deve ser consistente com aquele determinado pelo requisito na base de certificação do produto e pode ter por base um julgamento de engenharia suportado pelos dados provenientes da experiência em serviço. 

5.6.5                            Método de análise para aeronaves

5.6.5.1                  A abordagem geral para a análise de eventos em serviço causados por falhas, mau funcionamento e defeitos será a análise dos seus reais efeitos com consideração dos modos de falha não previstos anteriormente e das condições de operação impróprias ou não previstas reveladas por meio da experiência em serviço.

5.6.5.2                  As deficiências podem ser identificadas a partir de um evento ocorrido em serviço, durante manutenções, a partir de resultado de ensaios e por meio de análises subsequentes ou de controle de qualidade.

5.6.5.3                  Estes eventos podem resultar de uma deficiência de projeto ou de produção (não conformidade com o projeto de tipo) ou de uma manutenção inadequada.

5.6.6                            Voo

5.6.6.1                  Uma condição insegura existe se:

a)      Houver uma redução significativa do desempenho real quando comparado ao desempenho aprovado (considerando-se a precisão do método de cálculo de desempenho); ou

b)      A experiência em serviço mostrar que a qualidade de voo (handling qualities)  não cumpre com os requisitos de certificação, ainda que tenha sido considerada, no momento da aprovação inicial, como cumprindo tais requisitos.

5.6.7                            Estruturas ou sistemas mecânicos

5.6.7.1                  Uma condição insegura existe se houver uma deficiência que leve a uma falha estrutural ou mecânica que:

a)      Possa ocorrer em um Elemento Estrutural Principal que não tenha sido qualificado como tolerante ao dano. Elementos Estruturais Principais são aqueles que contribuem significativamente na resistência às cargas em voo, em solo e de pressurização e cuja falha pode resultar em uma falha catastrófica da aeronave.

b)      Possa ocorrer em um elemento estrutural principal que foi qualificado como tolerante ao dano, mas, para o qual, as inspeções estabelecidas ou outros procedimentos demonstraram ser, ou podem ser, inadequados para prevenção de falhas catastróficas.

c)      Possa reduzir a rigidez estrutural ao ponto em que as margens requeridas de flutter, de divergência e de reversão de comando, não sejam mais alcançadas.

d)      Possa resultar em uma perda de peça estrutural com potencial de danificar partes vitais da aeronave ou causar ferimentos graves ou fatais a pessoas que não os ocupantes.

e)      Possa, em condição de carga última (ultimate load), resultar na liberação de itens de massa com potencial de ferir os ocupantes da aeronave.

f)       Possa comprometer a operação apropriada de sistemas e levar a consequências hazardous ou catastróficas, se este efeito não tiver sido considerado adequadamente na avaliação de segurança durante a certificação inicial. 

5.6.8                            Sistemas

5.6.8.1                  As consequências de falhas, mau funcionamento e defeitos de componentes do sistema devem ser analisadas. Para estas análises, os dados de certificação podem ser utilizados como material de apoio, em particular, as análises de segurança de sistemas.

5.6.8.2                  A abordagem geral para a análise de eventos ocorridos em serviço, causados por falhas, mau funcionamento e defeitos de sistemas será analisar os efeitos reais das falhas.

5.6.8.3                  Como resultado destas análises, uma condição insegura será assumida se não for possível demonstrar que os objetivos de segurança para condições de falhas hazardous e catastróficas foram alcançados, levando-se em consideração os modos e taxas de falha reais e a de componentes afetados pela deficiência.

5.6.8.4                  A probabilidade de falha de um componente do sistema pode ser afetada por vários fatores, tais como:

a)      Uma deficiência no projeto (o projeto não atende as especificações de confiabilidade e desempenho);

b)      Uma deficiência de produção (não conformidade com o projeto de tipo certificado) que afete todos os componentes ou um determinado lote de componentes;

c)      Instalação inadequada (por exemplo, folga insuficiente de tubos para as estruturas adjacentes);

d)      Suscetibilidade à um meio adverso (corrosão, umidade, temperatura, vibração etc.);

e)      Efeitos do envelhecimento (taxa de falha aumenta com o envelhecimento do componente); e

f)       Manutenção inadequada.

5.6.8.5                  Quando a falha de um componente não é imediatamente detectável (falhas ocultas ou latentes), frequentemente é difícil ter uma estimativa razoavelmente precisa da taxa de falha do componente, uma vez que os únicos dados disponíveis são, usualmente, resultados de verificações de manutenção ou da tripulação de voo. Esta probabilidade de falha deve, portanto, ser avaliada de forma conservadora.

5.6.8.6                  Como é difícil justificar que os objetivos de segurança para os sistemas listados abaixo ainda estão sendo atendidos, uma deficiência que afete tais objetivos é normalmente considerada uma condição insegura. Neste contexto tem-se os sistemas de:

a)      Emergência de backup; ou

b)      Detecção e proteção contrafogo (incluindo meios de corte).

5.6.8.7                  As deficiências que afetem os sistemas utilizados durante uma evacuação de emergência (e.g. saídas de emergência, meios de assistência à evacuação, sistema de iluminação de emergência) e os sistemas utilizados para descobrir o local de um acidente (e.g. Emergency Locator Transmitter - ELT) também costumam indicar a existência de uma condição insegura.

5.6.9                            Outros

5.6.9.1                  Em adição aos itens acima, as seguintes condições são consideradas inseguras, quando há uma deficiência:

a)      em certos componentes que estejam envolvidos na proteção contrafogo ou que se destinem a minimizar/retardar os efeitos de fogo ou fumaça em um acidente com sobreviventes (survivable crash), impedindo-os de desempenhar a função pretendida (e.g. deficiência no material do revestimento (liner) do compartimento de carga ou da cabine de passageiros, levando a um não cumprimento com os requisitos de inflamabilidade aplicáveis).

b)      na proteção contra raios ou contra os efeitos de Campos irradiados de alta intensidade (High Intensity Radiated Field - HIRF) em um sistema que possa levar a condições de falha hazardous ou catastrófica.

c)      que possa levar a uma perda total de potência ou de tração em decorrência de um modo de falha comum.

d)      nos sistemas utilizados para auxiliar na investigação após um acidente ou incidente grave (e.g., Gravador de Voz da Cabine dos Pilotos, Gravador de Dados de Voo), impedindo-os de desempenhar suas funções pretendidas.

5.6.10                     Motores

5.6.10.1          As consequências e probabilidades de falhas do motor devem ser avaliadas ao nível da aeronave, de acordo com o parágrafo 5.6.3.1 desta IS, e ao nível do motor para as falhas consideradas como hazardous nos requisitos de aeronavegabilidade aplicáveis ao motor.

5.6.10.2          Esta última será considerada uma condição insegura, a menos que possa ser demonstrado que as consequências, ao nível da aeronave, não constituem uma condição insegura para a instalação em uma aeronave em particular.

5.6.11                     Hélices

5.6.11.1          As consequências e probabilidades de falhas em hélices devem ser avaliadas ao nível da aeronave, de acordo com o parágrafo 5.6.3.1 desta IS, e ao nível da hélice para falhas consideradas como hazardous nos requisitos de aeronavegabilidade aplicáveis à hélice.

5.6.11.2          Esta última será considerada uma condição insegura, a menos que possa ser demonstrado que as consequências, ao nível da aeronave, não constituem uma condição insegura para a instalação em uma aeronave em particular.

5.6.12                     Artigos

5.6.12.1          As consequências e probabilidades de falhas de artigos devem ser avaliadas ao nível da aeronave, de acordo com o parágrafo 5.6.3.1 desta IS.

Nota: para fins deste documento o termo artigo refere-se à definição prevista na seção 21.1 do RBAC nº 21.

5.7                                       Comunicação de falhas, mau funcionamento e defeitos por detentores de um certificado de tipo de uma aeronave, associado a produtos ou artigos instalados na aeronave

5.7.1                            Falhas,  mau funcionamento e defeitos em produtos aeronáuticos com certificado de tipo próprio (aeronaves, motores e hélices) ou em artigos aeronáuticos com certificado de produto aeronáutico aprovado (incluindo ordem técnica padrão) instalados em uma aeronave deve ser comunicado à autoridade de aviação civil primária, conforme  estabelecido por meio do RBAC nº21.

5.7.2                            Entretanto, é orientado que exista a comunicação entre organizações e um evento ocorrido em um produto ou artigo, mesmo que instalado em outra aeronave, pode ser compartilhado com os detentores aprovação de projeto de tipo de aeronaves que podem ser afetados por eventos similares.

5.7.3                            Para esses casos, em que o detentor da aprovação de projeto de tipo da aeronave receber, por meio de seu sistema de coleta, independentemente da fonte, informações sobre falhas,  mau funcionamento e defeitos em um produto com certificado de tipo ou artigo com certificado de produto aeronáutico aprovado, instalado na aeronave, este detentor deve analisar, conforme a seção 5.6 desta IS, os possíveis efeitos na aeronave e, se alguma condição insegura for identificada, deve comunicar à ANAC.  

5.8                                       Correção de defeitos

5.8.1                            O parágrafo 21.3(f)-I do RBAC nº 21 , estabelece que a comunicação de falhas, mau funcionamento e defeitos, realizada de acordo com o parágrafo 21.3(a) RBAC nº 21, deve ser investigada e registrada pelo detentor ou licenciado da aprovação de projeto. Adicionalmente, o parágrafo 21.3(f)-I (2) do RBAC nº 21 estabelece que, quando a ocorrência reportada resultar de um defeito de produção ou de projeto, a organização deve comunicar o resultado das investigações e qualquer ação tomada ou proposta, desde que solicitado pela ANAC.

5.8.2                            O parágrafo 21.3(f)-II do RBAC nº 21estabelece que, no caso de uma investigação de acidente em andamento envolvendo sigilo conforme previsto no Anexo 13, o fornecimento das informações requeridas por este requisito fica condicionado à obtenção de autorização junto à autoridade responsável pela investigação.

5.8.3                            A investigação de falhas,  mau funcionamento e defeitos deve incluir ao menos:

a)      Falhas,  mau funcionamento e defeitos comunicados de acordo com o parágrafo 21.3(a) do RBAC nº 21;

b)      Investigação da causa raiz; e

c)      Características do projeto que contribuam para mitigar os efeitos do defeito de projeto ou de produção identificado.

d)      Proposta de ação corretiva como, por exemplo, uma mudança no projeto, modificações em manuais ou processos de fabricação e inspeções. Deve haver também a indicação de sua efetividade para contemplar a causa raiz identificada.

e)      Proposta de tempo de implementação da ação corretiva.

Nota: o detentor de um Certificado de Tipo de uma Aeronave, Motor ou Hélice; Certificado Suplementar de Tipo; ou de um Certificado de Produto Aeronáutico Aprovado; deve estabelecer em seu procedimento da investigação os seus critérios para determinar o período para a ação corretiva ser adotada, com base na avaliação de risco, por meio de julgamento de engenharia ou análises quantitativas

5.8.4                            Atenção especial deve ser dada nos aspectos envolvendo fatores humanos no estabelecimento de ações corretivas associadas a condições inseguras ocasionadas por erros de manutenção ou de tripulação de voo, observados em serviço. Estes erros devem ser analisados com o objetivo de identificar se o evento pode ser considerado um caso isolado, que não requeira ação, ou se existem características no produto que possam facilitar a ocorrência destes erros. Essa avaliação pode requerer o envolvimento de um time multidisciplinar e deve incluir ao menos:

a)      Características do projeto que tenha o objetivo de evitar a montagem ou a operação incorreta;

b)      Características do projeto que permitam ou facilitem a operação incorreta;

c)      Características únicas de um projeto que difira de práticas de projeto já bem estabelecidas;

d)      A presença de indicações que alertem operadores de uma condição errônea;

e)      A existência de eventos anteriores similares, e se resultaram ou não em condições inseguras;

f)       Complexidade do sistema, procedimentos associados e treinamento;

g)      Clareza, precisão, disponibilidade e aplicação prática dos manuais e procedimentos; e

h)      Quaisquer preocupações originadas de interações entre funcionários, como troca de turno, inspeções duplas, operações em equipe, supervisão (ou falta dela) ou fadiga dos funcionários.

5.9                                       Conteúdo dos reportes e período para seu envio

5.9.1                            Os eventos reportáveis segundo os parágrafos 21.3(a) e 21.4 do RBAC nº 21 devem ser enviados à ANAC no prazo máximo de um dia útil após o detentor de um Certificado de Tipo; Certificado Suplementar de Tipo; ou de um Certificado de Produto Aeronáutico Aprovado ter determinado que ocorreram falhas,  mau funcionamento e defeitos que tenham resultado ou que possam resultar em condição insegura.

5.9.2                            Para licenciados de um Certificado de Tipo ou Certificado Suplementar de Tipo, a comunicação à Anac deverá ser feita no prazo máximo de um dia útil, após o detentor do Certificado de Tipo ou Certificado Suplementar de Tipo ter determinado que o desvio pode resultar em uma condição insegura, exceto quando tiver ciência de que outra pessoa será responsável por esta comunicação.

5.9.3                            Quando a Organização julgar que uma ocorrência pode  resultar em um perigo iminente, a ANAC deverá ser comunicada imediatamente e pelo método mais rápido possível (telefone, e-mail etc.) com todas as informações disponíveis naquele momento.

5.9.4                            A Portaria nº 11.401/ASSOP, de 22 de maio de 2023 torna pública as datas para adoção pela ANAC do Portal único de Notificação como ferramenta unificada para envio de reportes mandatórios de segurança operacional. A partir de 1º de junho de 2024, detentores de um Certificado de Tipo; Certificado Suplementar de Tipo; de um Certificado de Produto Aeronáutico Aprovado; e o licenciado de um certificado de tipo devem enviar os reportes requeridos pelos parágrafos 21.3(a) e 21.4 por meio desse sistema.

5.9.5                            O Portal Único de Notificação pode ser acessado por meio do endereço eletrônico https://santosdumont.anac.gov.br/menu/r/api/portal_unico_notificacao/cadastro-tipo-reporte . Uma vez cadastrado, a empresa, por meio de seus representantes devidamente designados, poderá fazer as inserções dos reportes de falhas,  mau funcionamento e defeitos requeridos pelos parágrafos 21.3(a) e 21.4. Cada reporte deve conter, no mínimo, as seguintes informações:

a)      Nome da organização;

b)      Informações necessária para identificar a aeronave e partes afetadas;

c)      Data e horário da ocorrência;

d)      Uma descrição resumida da ocorrência, incluindo a condição insegura, determinada pelo detentor, associada a falhas, mau funcionamento e defeitos objeto da comunicação;

e)      Informações, quando aplicável, de erros que envolvem fatores humanos como erros de manutenção ou da tripulação de voo e que foram fatores contribuintes para a ocorrência; e

f)       Qualquer outra informação que seja considerada relevante por quem a submete.

6                         DISPOSIÇÕES FINAIS

Esta IS entra em vigor na data de sua publicação.

A.1. SIGLAS

a)             AAC - Autoridade de Aviação Civil

b)            ANAC - Agência Nacional de Aviação Civil

c)             ASSOP - Assessoria de Segurança Operacional

d)            BS - Boletim de serviço

e)             CPAA - Certificado de Produto Aeronáutico Aprovado

f)               COP - Certificado Organização de Produção

g)            CST - Certificado Suplementar de Tipo

h)            CT - Certificado de Tipo

i)                ETOPS - Extended Operations

j)                FRM - Flammability Reduction Means

k)            ICA - Instruções para Aeronavegabilidade Continuada - Instructions for Continued Airworthiness

l)             ICAO - Organização da Aviação Civil Internacional ? International Civil Aviation Organization

m)        IS - Instrução Suplementar

n)            OTP - Ordem Técnica Padrão

o)            RBAC - Regulamento Brasileiro da Aviação Civil

p)            SAR - Superintendência de Aeronavegabilidade