Na manhã de 30 de setembro de 2026, um Boeing 737 MAX 8 da flydubai que fazia o voo FZ1073, entre Dubai e Tel Aviv, saiu de 34 mil pés de altitude e mergulhou mais de 17 mil pés em menos de dois minutos. A causa, segundo a investigação conduzida pelos Emirados Árabes Unidos, foi uma agressão dentro da cabine de comando: o copiloto atacou o comandante com o machado de emergência da aeronave e tentou assumir os controles[4]. O avião, com cerca de 174 pessoas a bordo, acabou pousando em Tabuk, no noroeste da Arábia Saudita, conduzido por dois pilotos da própria companhia que viajavam como passageiros[5].
Além da dimensão de segurança, que será esclarecida pela investigação criminal, o caso virou um raro experimento involuntário de engenharia estrutural. Uma reconstrução publicada pelo The Wall Street Journal a partir de dados segundo a segundo do Flightradar24 mostra que o jato foi levado muito além dos limites para os quais é operado e, ainda assim, manteve a integridade suficiente para voar mais de uma hora até o pouso[1]. Entender por que isso foi possível ajuda a separar o que a tecnologia aeronáutica consegue garantir daquilo que ela simplesmente não alcança.
Dois minutos fora do envelope de voo
Todo avião comercial opera dentro de um "envelope": um conjunto de limites de velocidade, altitude e carga estrutural definidos na certificação. Os números estimados para o FZ1073 ficam fora dele em quase todas as dimensões. Segundo a análise do WSJ, o nariz chegou a apontar 39 graus para baixo, quando uma descida normal usa cerca de 3 graus, e a velocidade estimada atingiu Mach 0,96, bem acima da velocidade máxima de operação do modelo, de Mach 0,82[1].
A recuperação também cobrou seu preço. Quando alguém puxou o manche para tirar o avião do mergulho, a estrutura foi submetida a um pico estimado de 3,08 g, contra um limite operacional de 2,5 g para o 737 MAX. Em cerca de 45 segundos, a velocidade em relação ao solo caiu de quase 600 para 390 nós[1]. O site especializado The Aviationist, com base em dados do Flightradar24 e do AirNav Radar, também registrou que o jato excedeu sua velocidade máxima de operação durante a queda[2].
Há uma ressalva importante. Esses números vêm de dados de transmissão automática captados por receptores em solo e satélites, e não dos gravadores de bordo. A estimativa de velocidade, por exemplo, não incorpora densidade do ar nem vento, como o próprio WSJ observa[1]. O retrato definitivo dependerá das caixas-pretas, que registram centenas de parâmetros que nenhum rastreador público alcança.
Por que o avião não se desfez
A sobrevivência do FZ1073 não foi um milagre, e sim o funcionamento de uma margem projetada para situações raras. As normas de certificação de aviões de transporte da FAA, a autoridade de aviação dos Estados Unidos, trabalham com dois patamares de carga. A carga-limite é a maior força que a aeronave deve encontrar em serviço, e a estrutura precisa suportá-la sem deformação permanente. A carga-última é a carga-limite multiplicada por um fator de segurança de 1,5, e a estrutura deve suportá-la sem ruptura, ainda que se deforme[8].
Para um jato como o 737, o fator de carga-limite em manobra é de 2,5 g. Multiplicado por 1,5, isso leva a uma carga-última de 3,75 g. O pico estimado do FZ1073, de 3,08 g, fica exatamente na faixa intermediária: acima do ponto em que a estrutura pode ter sofrido deformações permanentes, mas abaixo do ponto em que se espera falha catastrófica.
A velocidade é outro capítulo. Perto de Mach 1, o escoamento de ar sobre as asas forma ondas de choque, e superfícies móveis como ailerons, profundores e leme passam a vibrar de forma violenta. O fenômeno mais temido nesse regime é o flutter, uma oscilação aeroelástica que se autoalimenta e pode arrancar uma superfície de controle em segundos. A certificação exige demonstrar que o avião está livre de flutter com margem além da sua velocidade de projeto em mergulho[8], mas a velocidade estimada no FZ1073 parece ter ido além do território testado.
O dano visível é coerente com esse cenário. Imagens divulgadas após o pouso mostram que parte expressiva do leme, a superfície vertical da cauda que controla o movimento lateral, se desprendeu[2]. Mesmo assim, a reconstrução do WSJ indica que ailerons e profundores continuaram respondendo na aproximação final, e que o voo até Tabuk, embora instável, com oscilações de altitude da ordem de 500 pés, foi controlável[1]. A redundância do projeto, que distribui o controle entre várias superfícies e sistemas, fez diferença.
"Não tenho certeza de que ele poderá voltar a ser usado."Tony Farina, aerodinamicista da Embry-Riddle Aeronautical University, ao The Wall Street Journal
Resistir ao evento, porém, não significa sair ileso. A aeronave segue parada em Tabuk para inspeções que vão determinar se as cargas deixaram danos irreparáveis[1]. Deformações permanentes em longarinas, fixações e na fuselagem podem ser invisíveis a olho nu e, ainda assim, tornar o reparo economicamente inviável.
Dados públicos contaram a história antes das caixas-pretas
Um aspecto pouco discutido do caso é a velocidade com que o mergulho foi reconstruído pelo público. Isso só foi possível porque aeronaves modernas transmitem continuamente posição, altitude e velocidade pelo sistema ADS-B, captado por redes colaborativas de receptores como as que alimentam o Flightradar24. Poucas horas após o pouso, perfis de altitude já circulavam em redes sociais e veículos especializados[2].
Essa transparência tem dois lados. Ela permite verificação independente e reduz o espaço para versões oficiais incompletas. Mas também produz números divergentes: diferentes fontes falaram em quedas de 14 mil, 15 mil e mais de 18 mil pés, medidas em janelas de tempo distintas. Não por acaso, a Autoridade Geral de Aviação Civil dos Emirados (GCAA) pediu que o público evitasse circular informações não oficiais e antecipar conclusões da investigação[3]. Até os horários exigem cuidado: o pouso foi registrado às 9h45 no horário saudita[6], o que corresponde a 10h45 em Dubai, onde o relógio está uma hora adiantado.
A ameaça que a engenharia não alcança
Depois dos atentados de 11 de setembro de 2001, a resposta da aviação concentrou-se em impedir que alguém de fora entrasse na cabine de comando. Portas blindadas e acesso restrito viraram padrão internacional. O acidente da Germanwings, em 2015, expôs o limite dessa lógica: o copiloto trancou-se sozinho na cabine e jogou um Airbus A320 contra os Alpes franceses, matando 150 pessoas[7]. A queda de um avião da Air India no ano passado, entre Ahmedabad e Londres, também é investigada como possível interferência de piloto, embora o relatório final ainda esteja pendente[7].
O FZ1073 adiciona uma ironia a esse histórico. Segundo relatos citados pela imprensa internacional, foi o comandante, ferido e caído no chão da cabine, quem conseguiu num último esforço abrir a porta, permitindo que passageiros e tripulantes contivessem o agressor[4]. A barreira desenhada para manter a ameaça do lado de fora poderia ter mantido a salvação do lado de fora também.
Há quem pergunte se a automação poderia ter evitado o mergulho. A resposta honesta é: apenas em parte. Aeronaves com comandos eletrônicos e proteções rígidas de envelope, filosofia associada à Airbus, limitam o fator de carga e a inclinação que o piloto consegue comandar. A Boeing tradicionalmente dá ao piloto a palavra final, com proteções mais flexíveis. Mas nenhuma das duas abordagens impede uma descida deliberada dentro dos limites estruturais, como mostrou a própria Germanwings. Em entrevista ao WSJ, o engenheiro aeroespacial Joel Sercel resumiu o dilema: aviões modernos são feitos de engenharia notável, mas não se salvam se um tripulante qualificado comanda um mergulho e ninguém consegue detê-lo a tempo[1].
As respostas em discussão, portanto, são mais organizacionais do que mecânicas: regras para que nunca haja uma só pessoa na cabine, avaliação contínua de saúde mental das tripulações, verificação de antecedentes e barreiras físicas adicionais. Nos Estados Unidos, a FAA passou a exigir uma porta secundária em aeronaves comerciais novas, para proteger o acesso à cabine quando um piloto precisa sair[11]. Nenhuma dessas medidas, porém, resolve sozinha o cenário em que a ameaça já está sentada no assento da direita.
Logo após o incidente, o presidente dos Estados Unidos, Donald Trump, felicitou publicamente a Boeing, afirmando que o 737 MAX suportou forças muito além daquilo para que foi projetado[1]. A leitura técnica é mais contida. Pelo fator de carga estimado, o avião operou dentro da margem de ruptura que a certificação exige de qualquer jato comercial: o resultado mostra o sistema de certificação funcionando, não um desempenho excepcional exclusivo do modelo.
Também convém não estender a conclusão. Uma estrutura robusta não diz nada sobre os problemas que marcaram a história recente do 737 MAX, como o software MCAS envolvido nos dois acidentes de 2018 e 2019, que mataram 346 pessoas, ou as críticas à qualidade de produção nas fábricas da empresa. Por outro lado, é legítimo reconhecer que o episódio oferece uma evidência real, e rara, de que as margens estruturais do modelo se comportaram como previsto em condições extremas. As duas coisas podem ser verdadeiras ao mesmo tempo.
O que o caso significa para o Brasil
O 737 MAX é uma aeronave familiar para o passageiro brasileiro. Quando o modelo foi proibido no mundo, em 2019, a Agência Nacional de Aviação Civil (ANAC) suspendeu suas operações no país e informou que a Gol era a única empresa brasileira a utilizá-lo. Na ocasião, a agência lembrou que, ao avaliar o modelo em 2018, já havia identificado diferenças em relação às versões anteriores do 737 e exigido treinamento específico sobre o MCAS[10]. O avião voltou a voar no Brasil após a recertificação e hoje integra a rotina da aviação doméstica.
No tema da cabine, o histórico brasileiro também é relevante. Em março de 2015, poucos dias após a Germanwings, a ANAC recomendou às empresas regidas pelo RBAC 121, o regulamento do transporte aéreo regular, que garantissem a presença de pelo menos duas pessoas autorizadas na cabine de comando durante todo o voo, sendo uma delas sempre um piloto[9]. Foi uma recomendação, em linha com outras autoridades internacionais, e não uma regra com o mesmo peso de uma exigência regulatória. O FZ1073 recoloca uma pergunta prática: como essas salvaguardas são aplicadas hoje e de que forma o acompanhamento de saúde mental dos tripulantes evoluiu desde então.
Há ainda uma lição institucional. O Brasil tem tradição técnica forte em investigação aeronáutica, por meio do Cenipa, e em certificação, pelo peso da indústria nacional. Casos como este costumam gerar recomendações de segurança que atravessam fronteiras, e acompanhar o relatório da investigação será importante para reguladores, fabricantes e companhias brasileiras.
O que observar daqui em diante
Três frentes devem concentrar a atenção nas próximas semanas. A primeira é a leitura do gravador de dados de voo, que dirá com precisão quais velocidades, ângulos e cargas a estrutura enfrentou. A segunda é a inspeção estrutural da aeronave, que pode resultar em sua perda total e, eventualmente, em orientações da Boeing ou de autoridades sobre o comportamento de componentes como o leme em velocidades extremas. A terceira é a investigação de segurança e criminal, liderada pelos Emirados com participação de vários países, que deve esclarecer motivação, histórico do copiloto e o funcionamento dos protocolos de acesso à cabine[4][5]. Enquanto isso, a flydubai suspendeu seus voos para Israel[3].
A síntese possível, por ora, é desconfortável. A engenharia fez o que prometeu: deu margem suficiente para que pessoas corajosas, dentro da cabine, recuperassem o controle. O que ela não consegue fazer é decidir quem merece estar nos controles. Essa pergunta continua sendo humana, institucional e regulatória.
Perguntas frequentes
O que aconteceu no voo FZ1073 da flydubai?
Em 30 de setembro de 2026, durante o voo entre Dubai e Tel Aviv, o copiloto atacou o comandante dentro da cabine e o Boeing 737 MAX 8 iniciou um mergulho de mais de 17 mil pés. Passageiros e tripulantes contiveram o agressor, e dois pilotos da companhia que viajavam como passageiros pousaram o avião em Tabuk, na Arábia Saudita. As autoridades dos Emirados classificaram o caso como tentativa de ato terrorista.
A que velocidade o 737 MAX chegou durante o mergulho?
Estimativas baseadas em dados de rastreamento indicam cerca de Mach 0,96, ou 96% da velocidade do som, contra uma velocidade máxima de operação de Mach 0,82. O valor ainda será confirmado pelos gravadores de voo.
Por que o avião não se partiu no ar?
Porque aviões comerciais são certificados para suportar uma carga 50% superior ao limite máximo esperado em serviço. No 737, o limite é de 2,5 g e a margem de ruptura chega a 3,75 g. O pico estimado no FZ1073 foi de 3,08 g, acima do limite operacional mas abaixo do ponto de falha estrutural esperado.
Quais danos o avião sofreu?
Parte do leme, na cauda, se desprendeu, provavelmente pelas vibrações em velocidade extrema. A aeronave passa por inspeções em Tabuk, e especialistas avaliam que ela pode não voltar a voar.
No Brasil existe regra de duas pessoas na cabine de comando?
Em 2015, após o acidente da Germanwings, a ANAC recomendou às companhias aéreas regulares que mantivessem ao menos duas pessoas autorizadas na cabine durante todo o voo, sendo uma delas sempre um piloto. Tratou-se de uma recomendação às empresas regidas pelo RBAC 121.