Um defeito de software com uma janela de exposição de cerca de um milissegundo corrompeu os dados que sustentam o controlo de tráfego aéreo britânico a 8 de setembro. O relatório preliminar da NATS, divulgado a 18 de setembro, atribui a esse momento a paralisação que atrasou, cancelou ou desviou mais de 2 000 voos.
O documento de 18 páginas foi entregue à ministra dos Transportes, Heidi Alexander, e à autoridade da aviação civil britânica. A NATS garante que não há indícios de ciberataque e que este caso não está relacionado com as duas falhas anteriores do sistema.
Um milissegundo, num momento exacto
Às 10h00 de 8 de setembro, um controlador pediu a atribuição de um código de identificação — um squawk — a um plano de voo válido. O pedido estava correcto e o plano não tinha nada de anormal, escreve a NATS. Dois minutos depois, controladores e engenheiros receberam um alerta de erro no sistema.
Enquanto o pedido era processado, o sistema recebeu uma mensagem de prioridade superior e colocou a tarefa em pausa. Alternar entre tarefas é uma função normal do programa. Ao retomar, já não retomou bem: o resultado saiu corrompido, e os dados de voo seguintes com ele.
A falha do nosso sistema de dados de voo, na terça-feira, 8 de setembro, causou perturbações significativas às companhias aéreas, aos aeroportos e ao público que viaja. Quero pedir desculpa pelos problemas que causou a todo o sistema da aviação, a quem viu os planos de viagem afectados e a quem trabalhou sem descanso para recuperar a normalidade.
— Martin Rolfe, director-executivo da NATS, no relatório preliminar (tradução)
A NATS tratou 6 094 voos nesse dia, quando esperava cerca de 8 000. Mais de 2 000 foram atrasados, cancelados ou desviados. O sistema só ficou estável às 18h50, quase nove horas depois do primeiro sinal de erro, e as restrições ao espaço aéreo foram levantadas às 19h30.
Como uma falha de dados parou o espaço aéreo
O software em causa é o National Airspace System, que processa planos de voo, alterações introduzidas pelos controladores e a atribuição dos códigos squawk — os códigos que permitem associar cada avião à sua rota. Quando os dados corromperam, o centro de controlo de Londres perdeu acesso a informação de voo em tempo real.
Os controladores passaram a coordenar à mão a transferência de aviões entre centros vizinhos, uma tarefa que é normalmente automática. Com mais carga por controlador, a NATS reduziu o número de aviões por sector e limitou ou parou partidas. Em nenhum momento os aviões deixaram de falar com os controladores ou de aparecer no radar.
Uma controladora de tráfego aéreo a acompanhar uma consola de radar de aproximação, em 2010, a bordo de um navio da Marinha dos Estados Unidos. A imagem ilustra o tipo de ecrã usado por controladores; não é o sistema da NATS nem o incidente de 8 de setembro.
Crédito: Fotografia: Greg Johnson, Marinha dos Estados Unidos — Wikimedia Commons (domínio público)
Nove voos cancelados entre Lisboa, Faro e Londres
O impacto chegou a Portugal no dia seguinte. Segundo a agência Lusa, nove ligações entre Londres e aeroportos nacionais, entre eles Lisboa e Faro, foram canceladas, num dia em que o Reino Unido somava pelo menos 250 voos afectados.
O relatório não fecha a conta aos passageiros: diz que a escala total da perturbação só será confirmada com a investigação completa, a entregar dentro de 60 dias, que vai também avaliar a resposta da empresa e as lições a retirar.
Não foi um ciberataque, e não é a primeira vez
A NATS afirma que não há, nesta fase, qualquer evidência de que o incidente tenha sido causado por um actor malicioso, e diz que nem militares nem civis cometeram erros. Vale a pena notar a origem do documento: é um auto-retrato, escrito pela empresa que falhou e entregue ao regulador.
A empresa separa este caso de dois episódios anteriores — a falha do sistema FPRSA, em 2023, e um problema de radar em julho do ano passado. A correcção definitiva do software já foi desenvolvida e entregue pela empresa que o fornece, mas ainda está a ser testada e certificada antes de ser instalada.
O que ainda não está respondido
Fica por saber porque é que um defeito antigo e até agora desconhecido nunca se tinha manifestado, e se havia outras condições no sistema a aumentar a probabilidade de ser accionado. A própria NATS diz que a investigação continua e que só o relatório final detalhará o momento exacto do milissegundo.
Até lá, o que existe é uma mitigação temporária em vigor, uma correcção por instalar e uma data: o relatório final chega dentro de 60 dias, ou seja, até meados de novembro.
💬 Comentários
Nenhum comentário ainda. Sê o primeiro a comentar!