Nível de Envolvimento – conceito de ADC

O Apêndice C da IS 21-001 introduz o conceito de ADC (Atividades e Dados de Certificação).

Por conveniência, o texto da IS é reproduzido abaixo:

ADC é o menor conjunto de atividades e dados para demonstrar cumprimento com um conjunto de requisitos, um único requisito ou parte de um requisito associados a um projeto ou modificação, descrevendo uma área, sistema e tecnologia relacionados identificado no plano de certificação, que pode ser considerado isoladamente para o propósito de realizar a avaliação de risco que permite à ANAC determinar seu nível de envolvimento.

C.9 A determinação dos ADC será feita pela ANAC. A fim de auxiliar a determinação de NDE pela ANAC, o requerente poderá sugerir uma divisão em ADC, pois um ADC adequado facilitará a análise do plano de certificação quanto aos critérios de novidade, complexidade e severidade. A ANAC poderá utilizar esta divisão sugerida pelo requerente na íntegra ou determinar sua própria divisão, não havendo, portanto, necessidade de novas ações do requerente no que tange aos ADC.

Notar que as palavras “menor” e “isoladamente” foram destacadas acima. O motivo disso ficará claro mais à frente, quando ilustrarmos o conceito por meio de um exemplo.

Exemplo de ADC

Neste exemplo, utilizaremos requisito RBAC 25.1419, que trata de proteção contra a formação de gelo. Não trataremos do requisito como um todo, mas apenas das alíneas (a), (b) e (c).

Abaixo, o texto do requisito.

25.1419 Ice protection.

If the applicant seeks certification for flight in icing conditions, the airplane must be able to safely operate in the continuous maximum and intermittent maximum icing conditions of appendix C. To establish this—

(a) An analysis must be performed to establish that the ice protection for the various components of the airplane is adequate, taking into account the various airplane operational configurations; and

(b) To verify the ice protection analysis, to check for icing anomalies, and to demonstrate that the ice protection system and its components are effective, the airplane or its components must be flight tested in the various operational configurations, in measured natural atmospheric icing conditions and, as found necessary, by one or more of the following means:

(1) Laboratory dry air or simulated icing tests, or a combination of both, of the components or models of the components.

(2) Flight dry air tests of the ice protection system as a whole, or of its individual components.

(3) Flight tests of the airplane or its components in measured simulated icing conditions.

(c) Caution information, such as an amber caution light or equivalent, must be provided to alert the flightcrew when the anti-ice or de-ice system is not functioning normally.

Em seu caput, esse requisito afirma que, se o requerente quiser certificar seu avião para voar em condições de formação de gelo, o avião deve ser capaz de operar de forma segura nas condições definidas no apêndice C do RBAC 25. Afirma ainda que, para demonstrar essa operação segura dentro do apêndice C, o requerente deve executar várias atividades, mencionadas nas alíneas do requisito.

É importante notar que este requisito, assim como muitos outros, é composto por várias alíneas, sendo que algumas são intrinsecamente ligadas, tais como as alíneas (a) e (b), e outras razoavelmente independentes das demais, como é o caso da alínea (c).

Vejamos as alíneas (a) e (b). Da leitura do próprio requisito, é possível listar quais atividades o requerente teria que executar para demonstrar cumprimento:

• Análise que demonstre a proteção adequada nas várias configurações de operação.
• Voo em condições naturais de formação de gelo.
• Uma ou mais das três seguintes: testes em laboratório, voo fora de condições de formação de gelo, voo em condições simuladas de formação de gelo.

Em termos dos dados a serem gerados para demonstrar cumprimento com essas alíneas, ou seja, relacionados às atividades acima, o requerente normalmente cria diversos relatórios, conforme sua conveniência. Um ensaio, por exemplo, costuma ter um documento onde se explica o que se pretende fazer (Proposta de Ensaio) e outro em que se registram os resultados obtidos (Resultados de Ensaio).

Como as atividades acima têm forte interrelação entre si, não faz sentido considerá-las isoladamente. É o conjunto das atividades e dos dados gerados que permite demonstrar cumprimento com as alíneas (a) e (b). Desta forma, tais atividades e dados comporiam o primeiro ADC relacionado ao requisito 25.1419.

Um segundo ADC poderia estar relacionado à alínea (c), replicada abaixo por conveniência:  

Caution information, such as an amber caution light or equivalent, must be provided to alert the flightcrew when the anti-ice or de-ice system is not functioning normally.

Para um requisito simples como esse, o ADC poderia ser igualmente simples, se limitando a um ensaio de indicação e uma descrição do sistema de alerta, por exemplo.

É importante perceber a independência entre essa demonstração e a anterior, ligada às alíneas (a) e (b). É essa independência que permite a confecção de mais de um ADC, conforme a conveniência.

A seguir, esses dois ADCs são utilizados para ilustrar a aplicação dos critérios que a ANAC usa para definir o seu Nível de Envolvimento (NE).

Nível de Envolvimento – critérios

O Apêndice C da IS 21-001 lista os critérios utilizados pela ANAC na definição do Nível de Envolvimento.

Os critérios são:

- Novidade;

- Complexidade;

- Competência do requerente; e

- Severidade.

Cada ADC é avaliado pela ANAC conforme os critérios acima. Utilizando as Tabelas 1 e 2 abaixo, a ANAC chega a uma classe de risco, que baliza o nível de envolvimento da agência. A classe 1 é a de menor risco, e consequente menor envolvimento. Já a classe 4 é a de maior risco, onde o envolvimento da ANAC é substancialmente maior.

Aqui é importante mencionar que, independentemente da classe de risco, existem algumas atividades em que a ANAC tradicionalmente se envolve, como por exemplo a campanha de gelo natural.

A Tabela 1, mostrada abaixo, permite que a ANAC avalie, para um dado ADC, a probabilidade de falha na detecção de um não cumprimento a partir da avaliação da competência do requerente, da novidade e da complexidade envolvidas.

Tabela 1 – Probabilidade de falha na detecção de um não cumprimento

De posse da probabilidade de falha oriunda da Tabela 1, a ANAC utiliza a Tabela 2, onde a severidade associada ao não cumprimento é utilizada como informação final para determinar a classe de risco.

Tabela 2 – Classes de risco

A Figura 1, abaixo, apresenta de forma gráfica o aumento do envolvimento da ANAC em função da classe de risco.

Figura 1 – Envolvimento da ANAC em função da classe de risco

A fim de melhor ilustrar o conceito, utilizaremos um exemplo hipotético, em que o requerente pretende certificar, pela primeira vez, um sistema de proteção contra gelo baseado na tecnologia eletro-expulsiva (electro-expulsive).

Neste exemplo, assumiremos que o requerente em questão dispõe de PCPs (Profissionais Credenciados em Projeto), que se envolveriam nas atividades em que a ANAC decidir não se envolver, provendo pareceres relativos à demonstração de cumprimento com os requisitos.

A seguir, usando este exemplo como base, discutiremos como os critérios poderiam ser aplicados aos dois ADCs mencionados anteriormente.

Novidade

Apesar de já ter sido aplicada em algumas aeronaves certificadas, a tecnologia eletro-expulsiva ainda é relativamente nova na indústria como um todo.

Sendo a primeira vez que o requerente utiliza essa tecnologia, a demonstração de que o sistema protegerá adequadamente o avião nas condições de formação de gelo apresentará grandes desafios, aumentando consideravelmente a chance de erros na análise a ser feita. Em virtude disso, para o ADC #1, considerou-se que há novidade.

Já para o ADC #2, que trata dos alertas à tripulação, é possível considerar que não há novidade, pois se trata fundamentalmente de um teste de indicação, muito similar aos executados para os sistemas de proteção já consagrados.

Complexidade

O sistema não faz parte de uma aviônica integrada. Trata-se de um sistema tradicional em termos de interface com os demais sistemas, tais como o sistema elétrico e o sistema aviônico.

A arquitetura também é tradicional, contendo um controlador central conectado a sensores e atuadores. Esse controlador se comunica com o restante da aeronave por meio de barramentos digitais e sinais discretos.

Assim, em termos de complexidade, a conclusão é que tanto o ADC#1 quanto o ADC #2 não são complexos.

Competência do requerente

Neste exemplo, o requerente possui alta competência na demonstração do correto funcionamento das indicações ao piloto. Assim, para o ADC#2, a competência considerada será alta.

Já com relação à análise de adequabilidade do sistema de proteção, o requerente teve dificuldades em certificações passadas, inclusive levando à necessidade de reprojeto e emissão de Diretrizes de Aeronavegabilidade.

Para este projeto em particular, o requerente, em virtude da escolha de uma tecnologia nova (eletro expulsiva), contratou vários engenheiros experientes. Assim, levando em conta o corpo técnico atual e o histórico, a ANAC considerou a competência como média para o ADC #1.

Severidade

Com relação à severidade, ambos os ADCs são considerados críticos pois seus requisitos estão ligados ao funcionamento adequado do sistema de proteção contra a formação de gelo e às indicações em caso de falha de funcionamento. Portanto, um não cumprimento com tais requisitos pode pôr em risco a segurança de voo.

Definição da classe de risco

Recapitulando a avaliação para cada ADC:

Com base na avaliação acima, e utilizando as tabelas 1 e 2, as classes de risco para cada ADC ficariam como abaixo:

ADC #1: Classe 3

ADC #2: Classe 2

E o envolvimento da ANAC, para cada ADC, ficaria da seguinte forma:

ADC #1:

Relatório de análise: ANAC avaliaria esse relatório.

Campanha de gelo natural: ANAC avaliaria a proposta de ensaio, executaria sua própria inspeção de conformidade e voaria a aeronave com piloto próprio durante toda a campanha.

Campanha de dry air (ar seco): sem envolvimento da ANAC.

Ensaio em túnel de gelo: ANAC avaliaria a proposta de ensaio, testemunharia a execução do ensaio e avaliaria o relatório de resultados.

ADC#2:

Relatório de descrição do sistema de alerta: sem envolvimento da ANAC.

Ensaio de teste do sistema de alerta: ANAC executaria sua própria inspeção de conformidade e testemunharia o ensaio.

É importante lembrar que o caso tratado aqui é apenas um exemplo hipotético, com o objetivo de ilustrar o conceito fundamental que rege o NDE da agência, que é o de se envolver mais quanto maior forem a probabilidade de falha na detecção de um não cumprimento e a severidade associada. Cada projeto tem suas particularidades, que devem sempre ser avaliadas caso a caso.

Como consta na própria IS, é recomendado que o requerente sugira uma divisão em ADCs, a fim de auxiliar a ANAC na determinação do NDE, o que se traduz em maior agilidade.

Além de sugerir os ADCs a serem considerados, o requerente pode também propor o NDE para cada ADC, baseado nos critérios acima. Inclusive, para requisitos muito simples, o requerente pode até propor que não haja avaliação nem da ANAC e nem de um PCP, sendo suficiente a demonstração de cumprimento. Um exemplo de requisito que cairia nessa categoria é o RBAC 25.817, que diz que “Em aviões que possuem apenas um corredor para os passageiros, não mais do que três assentos por fileira podem ser colocados em cada lado do corredor”.

Caso o requerente tenha interesse em propor o NDE, é recomendado que entre em contato com a ANAC, para que receba orientações adicionais a respeito (incluindo detalhes sobre os critérios utilizados pela Agência).

Nota: o conteúdo desta página visa a complementar a IS 21-001, ilustrando os conceitos ali apresentados. Diferentemente da Instrução Suplementar, este conteúdo não passou por um processo normativo formal e, portanto, deve ser utilizado para fins de melhor entendimento dos assuntos tratados na IS.