Com.te Giuseppe Giovenzana
Un sincero ringraziamento al Com.te Giuseppe Giovenzana per la disponibilità e la professionalità. Comandante con oltre 50 anni di esperienza di volo — su velivoli militari (incluso il caccia F-104) e di linea — il suo contributo arricchisce questa analisi con la prospettiva insostituibile di chi ha passato una vita in cockpit, affrontando situazioni di emergenza reale. Le sue parole danno spessore a dinamiche che i soli dati numerici non possono restituire.
Skyward Dreams Channel — Analisi tecnica del Final Report CENIPA con Ing. De Leo e Com.te Giovenzana. Durata: ~58 minuti. Pubblicato il 23 agosto 2026. Apri su YouTube →
01 La Scheda dell'Incidente
Il volo VoePass 2Z-2283 era partito dall'aeroporto di Cascavel (SBCA), nello stato del Paraná, con destinazione São Paulo/Guarulhos (SBGR). A bordo si trovavano 58 passeggeri e 4 membri di equipaggio — comandante, primo ufficiale e due assistenti di volo — per un totale di 62 persone. Nessun sopravvissuto.
L'aeromobile, un ATR 72-212A (serie 500) con immatricolazione PS-VPB, è precipitato alle 13:22 ora locale (16:22 UTC) nelle vicinanze di Vinhedo, nello stato di São Paulo — a pochi minuti dal condominio Residencial Espaço Verde — durante la fase di crociera a FL170 (17.000 piedi). Il volo era iniziato alle 14:58 UTC da Cascavel.
ATR 72-500 VoePass Linhas Aéreas, immatricolazione PS-VPB, in avvicinamento finale a Cascavel. La livrea bianca con onde gialle e nere è la livrea caratteristica di VoePass. Questo è il velivolo protagonista dell'incidente del 9 agosto 2024.
| Data | 9 agosto 2024 |
| Numero rapporto | A-116/CENIPA/2024 |
| Tipo occorrenza | Acidente (ACCIDENT) |
| Volo | VoePass 2Z-2283 (Cascavel SBCA → São Paulo/Guarulhos SBGR) |
| Aeromobile | ATR 72-212A (500) — immatricolazione PS-VPB |
| Compagnia | VoePass Linhas Aéreas |
| Decollo | 14:58 UTC da Cascavel (SBCA) |
| Ora impatto | 16:22 UTC / 13:22 ora locale |
| Luogo impatto | Vinhedo, São Paulo, Brasile — vicino al condominio Residencial Espaço Verde |
| Fase del volo | Crociera a FL170 (17.000 piedi) |
| Persone a bordo | 62 (58 passeggeri + 4 membri equipaggio) |
| Vittime | 62 — nessun superstite |
| Danni al velivolo | Distruzione totale con incendio post-impatto |
| Autorità investigativa | CENIPA — Centro de Investigação e Prevenção de Acidentes Aeronáuticos |
| Item MEL aperti al decollo | 10 item registrati nel Technical Logbook |
02 La Timeline del Volo: dalla Partenza all'Impatto
La ricostruzione precisa della sequenza degli eventi è possibile grazie ai dati del Flight Data Recorder (FDR), del Cockpit Voice Recorder (CVR) e delle tracce ADS-B. I dati raccontano una storia in cui ogni opportunità di intervento è stata perduta — una dopo l'altra.
| 14:58 UTC | Decollo dall'aeroporto di Cascavel (SBCA), stato del Paraná. A bordo 58 passeggeri e 4 membri equipaggio. Il Technical Logbook riporta già 10 item MEL aperti. |
| 15:15–15:40 UTC | Salita verso FL170. PACK 1 spento per item MEL. L'aereo raggiunge la sua quota di crociera — esattamente al centro della banda di ghiacciamento severo segnalata dal SIGMET (FL120–FL210). |
| ~15:50 UTC | L'aereo entra in condizioni di ghiacciamento. Il sistema de-icing viene attivato, ma le anomalie sul sistema di sbrinamento — note ma non riportate — ne riducono l'efficacia. |
| ~16:00 UTC | L'APM (Aircraft Performance Monitoring) inizia a registrare un calo delle prestazioni aerodinamiche dovuto all'accumulo di ghiaccio. |
| 16:17:20 UTC | Primo avviso APM: "DEGRADED PERFORMANCE". L'equipaggio non esegue la procedura prevista (aumento velocità o discesa immediata). L'autopilota rimane inserito. |
| 16:18:41 UTC | Secondo avviso APM: "INCREASE SPEED / CRUISE SPEED LOW". La velocità continua a scendere. L'equipaggio non reagisce adeguatamente. |
| 16:21:09 UTC | L'ATC autorizza la virata verso il punto "SANPA". L'autopilota è ancora inserito e nasconde all'equipaggio la reale degradazione del handling dell'aereo. |
| 16:21:11–12 UTC | L'autopilota tenta di mantenere la quota con velocità sotto la minima di manovra in ghiaccio. Scatta lo Stick Shaker (vibratore di cloche): stallo imminente. Poi lo Stick Pusher. L'aereo stalla asimmetricamente. |
| 16:21:14 UTC | L'autopilota si disconnette. L'aereo entra in una rotazione non controllata attorno all'asse verticale: vite piatta. |
| 16:22 UTC | Impatto al suolo in zona residenziale di Vinhedo (São Paulo). Distruzione totale. Nessun superstite. |
Figure 1 — Vista aerea del velivolo dopo l'impatto con il suolo e l'incendio post-impatto a Vinhedo. La sezione anteriore della fusoliera è parzialmente riconoscibile; la sezione centrale è completamente distrutta. L'impennaggio di coda è relativamente intatto. (Fonte: Final Report CENIPA A-116/2024)
03 La MEL: 10 Item Aperti e il PACK 1 Critico
Uno degli aspetti più rilevanti emersi nell'indagine riguarda la Minimum Equipment List (MEL) del velivolo PS-VPB. La MEL è uno strumento normativo che definisce quali componenti possono essere inoperativi consentendo comunque l'operazione del volo, entro limiti e procedure specifiche stabiliti dal costruttore e dall'autorità di aviazione civile.
La MEL definisce i requisiti minimi di equipaggiamento per effettuare un volo con determinati sistemi inoperativi. Ogni item ha una categoria (A, B, C, D) che stabilisce il tempo massimo di tolleranza: Cat. A = intervento immediato; Cat. B = riparazione entro 3 giorni; Cat. C = entro 10 giorni; Cat. D = entro 120 giorni. Volare con item MEL aperti è legale e comune — ma ogni item aperto ha limitazioni operative reali che l'equipaggio deve conoscere e rispettare scrupolosamente.
Al momento del decollo da Cascavel, il velivolo PS-VPB aveva 10 item MEL aperti nel Technical Logbook. Il numero in sé non è necessariamente proibitivo — ma la combinazione e la tipologia di alcuni guasti si sono rivelati fatali. Il caso più critico: il PACK 1 del condizionamento aria, guasto dal 5 agosto, imponeva un limite massimo di quota di FL170 per garantire la pressurizzazione con un solo PACK funzionante.
| # | Sistema | Data Guasto | Scadenza | Limitazione Operativa |
|---|---|---|---|---|
| 1 | Air Conditioning PACK 1 | 05/08/2024 | 15/08/2024 | CRITICO Limite quota massima FL170 per garantire pressurizzazione. Scadeva il 15/08 — 6 giorni dopo l'incidente. |
| 2 | FO Windshield Wiper (tergicristallo lato co-pilota) | 30/07/2024 | — | CRITICO In presenza di pioggia severa o ghiaccio previsto, la MEL avrebbe dovuto impedire il decollo. Le condizioni meteo del giorno prevedevano entrambi. |
| 3 | Sedile co-pilota (Copilot Seat) | 19/07/2024 | 16/11/2024 | Limitazione ergonomica — non incide sull'operatività diretta. |
| 4 | Sedile passeggero 13C | — | — | Sedile non utilizzabile — redistribuzione passeggeri. |
| 5 | Sedili passeggeri 16B, 16A, 17A, 17C | — | — | 4 sedili non utilizzabili — redistribuzione passeggeri. |
| 6 | Freno ruota n. 4 (Brake Wheel #4) | 08/08/2024 | 11/08/2024 | Ruota bloccata — limitazione di frenata. Scadeva il 11/08. |
| 7 | Illuminazione cockpit (Cockpit Lights) | 05/08/2024 | 12/08/2024 | Illuminazione interna parzialmente non funzionante. |
| 8 | Luce stroboscopica di coda (Tail Strobe Light) | 04/08/2024 | 02/12/2024 | Riduzione visibilità dell'aereo di notte — non critico per volo diurno. |
| 9 | ADF (Auto Direction Finding) | 05/08/2024 | 15/08/2024 | Radionavigazione ADF non disponibile — sistemi alternativi operativi. |
| 10 | EFIS / EADI 1 (strumenti primari comandante) | 08/08/2024 | 11/08/2024 | Guasto parziale agli strumenti elettronici primari lato comandante. Scadeva il 11/08. |
| — | Sistema di accensione motori (Ignition System) | 06/08/2024 | 09/08/2024 | SCADUTO La scadenza coincideva esattamente con il giorno dell'incidente. Il guasto avrebbe dovuto essere risolto entro quella data. |
Il CENIPA ha accertato che la prassi di non riportare i guasti nel Technical Logbook era sistematica in VoePass. Non si trattava di episodi isolati: era una cultura aziendale che subordinava la sicurezza alla continuità operativa. I piloti sapevano che riportare un guasto avrebbe fermato l'aereo — e questo veniva scoraggiato, esplicitamente o implicitamente, dalla cultura organizzativa. Il CENIPA ha definito questa pratica col termine tecnico "malpractice". L'ANAC, nel marzo 2025, ha revocato il certificato di operatore aeronautico a VoePass, portando alla cessazione delle attività della compagnia.
Figure 11 — Schema del sistema pneumatico dell'ATR 72-500. I flussi ad alta pressione dai motori alimentano PACK 1 e PACK 2 (condizionamento aria) e il sistema de-ice motori/ali (ENG/WING DE ICING) tramite bleed valves, HP valve e la valvola di cross-feed (X Valve). Con PACK 1 inoperativo, la quota massima è FL170. (Fonte: ATR Training & Flight Operations Services / Final Report CENIPA A-116/2024)
04 La Meteorologia: Ghiacciamento Severo e Briefing Disponibile
Il quadro meteorologico del 9 agosto 2024 non lasciava spazio a interpretazioni: la rotta del volo 2283 attraversava una zona interessata da ghiacciamento severo certificato. I documenti meteorologici erano disponibili all'equipaggio prima del decollo.
Un SIGMET è un avviso emesso dai centri meteorologici per segnalare condizioni atmosferiche significative e pericolose per la navigazione aerea. Il giorno dell'incidente era in vigore un SIGMET che indicava Severe Icing (ghiacciamento severo) tra FL120 e FL210 sull'area di rotta. Il ghiacciamento severo indica la presenza di acqua sopraffusa (supercooled water droplets) — gocce d'acqua liquida a temperature sotto zero — che ghiacciano istantaneamente al contatto con le superfici del velivolo.
La banda di ghiacciamento severo segnalata dal SIGMET si estendeva da FL120 a FL210. FL170 si trovava esattamente al centro di quella fascia — là dove la concentrazione di acqua sopraffusa era massima. Il volo 2283 era costretto a quella quota dalla MEL del PACK 1. Non era una scelta operativa: era una trappola imposta dalla manutenzione carente e dalla cultura del silenzio. L'ATR 72 ha volato per oltre 15 minuti nel cuore della zona di ghiacciamento più intensa della giornata.
Figure 44 — Carta SIGWX CIMAER-BRASIL, dalla superficie a FL250, valida alle 18:00 UTC del 9 agosto 2024. L'area evidenziata (Região de Interesse) mostra CB isolati ed incorporati (ISOL EMBD CB) con sommità fino a FL250, turbolenza moderata-severa, grandine e ghiacciamento. I CB "embedded" sono particolarmente insidiosi: nascosti nei strati stratiformi, non visibili dall'esterno. (Fonte: Final Report CENIPA A-116/2024)
Il ghiacciamento "inter-boot": il nemico invisibile
L'ATR 72-500 è dotato di un sistema di sbrinamento dei bordi d'attacco a boots pneumatici: camere che si gonfiano e sgonfiano ritmicamente per rompere il ghiaccio formato. Il sistema è efficace nelle condizioni per cui è certificato. Ma nelle condizioni di quel giorno si è verificato il fenomeno del ghiacciamento "inter-boot" (o ridge ice): il ghiaccio si forma oltre l'area protetta dai boots, creando una cresta continua che altera drasticamente il profilo alare senza che il sistema di sbrinamento possa rimuoverla.
Un accumulo di soli 2–3 cm sul bordo d'attacco può aumentare la velocità di stallo di 20–30 nodi e ridurre la portanza del 40%. La variazione del profilo alare modifica anche la distribuzione della pressione, rendendo lo stallo molto più brusco e asimmetrico — e quindi più difficile da gestire. Con l'autopilota inserito che compensava silenziosamente questi effetti, l'equipaggio non percepiva la progressiva degradazione del velivolo.
Figure 19 — Componenti del sistema Anti-Ice dell'ATR 72-500. Sbrinamento pneumatico (boots) sui bordi d'attacco di ali e piano di coda; anti-ice elettrico per eliche, parabrezza e sonde. Il sistema pneumatico è efficace solo nelle finestre di temperatura e accumulo per cui è certificato. (Fonte: Cold Weather Operations — ATR Training Centre / Final Report CENIPA A-116/2024)
05 Il Sistema APM: Gli Avvisi Ignorati
L'APM (Aircraft Performance Monitoring) è un sistema software di bordo che confronta le prestazioni attuali del velivolo con quelle teoriche attese nelle stesse condizioni di volo. Quando il degrado supera una soglia, il sistema genera avvisi. È uno strumento progettato esattamente per situazioni come quella del 9 agosto 2024.
L'APM monitora continuamente parametri come velocità, potenza motori, altitudine e assetto, confrontandoli con i valori attesi dal modello di performance dell'aereo. Un aumento della resistenza aerodinamica — tipico dell'accumulo di ghiaccio — si traduce in una crescente discrepanza tra le prestazioni attese e quelle misurate. Quando la discrepanza supera la soglia impostata, l'APM genera un messaggio di avviso sulla paginazione ECAM/CAS: prima "DEGRADED PERFORMANCE", poi "CRUISE SPEED LOW" / "INCREASE SPEED".
Nel volo 2283, l'APM ha generato due distinti avvisi nelle fasi critiche della crociera. Il primo avviso — "DEGRADED PERFORMANCE" — è arrivato alle 16:17:20 UTC, circa 5 minuti prima dell'impatto. La procedura prevista era chiara: aumentare la velocità o iniziare immediatamente una discesa a quota inferiore. Nessuna delle due azioni è stata eseguita.
Il secondo avviso — "INCREASE SPEED" — è arrivato alle 16:18:41 UTC. L'autopilota era ancora inserito e stava aumentando la coppia motori nel tentativo di mantenere la quota, nascondendo all'equipaggio la reale entità del degrado del volo.
Il CENIPA analizza questo aspetto con la nozione di "automation complacency": l'equipaggio, con l'autopilota inserito, aveva sviluppato un falso senso di controllo. Gli avvisi APM erano classificati come Caution (ambra) e non come Warning (rosso con segnale acustico continuo). Una delle raccomandazioni del CENIPA è esattamente quella di riclassificare questi avvisi APM come Warning, per aumentarne l'impatto immediato sull'equipaggio. Inoltre, il CENIPA documenta una "assuefazione" agli avvisi APM, considerati spesso troppo conservativi — un fenomeno noto come alarm fatigue.
06 L'Analisi: CRM, Cockpit Sterile e Fattore Umano
Il capitolo di analisi del Final Report CENIPA è il cuore dell'indagine. Qui gli investigatori non cercano un "colpevole" — cercano perché una serie di barriere di sicurezza, che avrebbero dovuto fermare la sequenza incidentale, hanno fallito una dopo l'altra.
6.1 — CRM e distrazione dell'equipaggio
Il CVR ha registrato quanto avveniva in cockpit durante la fase critica. I dati sono inequivocabili: durante la crociera in condizioni di ghiacciamento severo — mentre l'APM emetteva avvisi — i piloti stavano discutendo di questioni personali e turni di lavoro. Non stavano monitorando i parametri di volo. Non stavano eseguendo le procedure prescritte. La comunicazione dell'equipaggio è stata definita nel rapporto come "frammentata e priva di leadership".
6.2 — Il Swiss Cheese Model
Il modello di James Reason — il Swiss Cheese Model — descrive gli incidenti come il risultato dell'allineamento di "buchi" in più barriere di sicurezza sovrapposte. Ogni strato protettivo normalmente blocca il percorso dell'incidente; ma quando tutti i buchi si allineano, la traiettoria è libera.
Nel caso di VoePass 2283, i layer del Swiss Cheese erano:
- Layer 1 — Manutenzione: 10 item MEL aperti, cultura del non-reporting, PACK 1 guasto da 4 giorni
- Layer 2 — Pianificazione del volo: Nessuna valutazione critica della combinazione MEL + meteo + quota obbligata
- Layer 3 — Meteorologia: SIGMET severo disponibile, ma FL170 era l'unica quota possibile
- Layer 4 — Tecnologia: Avvisi APM classificati come Caution invece che Warning — impatto ridotto
- Layer 5 — CRM: Cockpit sterile violato, comunicazione frammentata, nessuna leadership decisionale
- Layer 6 — UPRT: Addestramento al recupero da stallo inadeguato per condizioni di ghiaccio reale
- Layer 7 — Supervisione ANAC: Controlli insufficienti sulle pratiche di VoePass
6.3 — UPRT: la formazione che non c'era
Il CENIPA ha rilevato che la formazione UPRT (Upset Prevention and Recovery Training) ricevuta dai piloti era troppo teorica e condotta su simulatori che non replicavano fedelmente il comportamento dell'ATR 72 in condizioni di ghiaccio severo. Questo ha portato a un tentativo istintivo e sbagliato di recupero dallo stallo: tirare la cloche verso l'alto, che aggrava ulteriormente lo stallo invece di risolvere la situazione. La manovra corretta — abbassare il muso e aumentare velocità prima di ridurre l'incidenza — richiede un addestramento specifico e controintuitivo che i piloti non avevano ricevuto adeguatamente.
07 I Fattori Contribuenti: 8 Categorie, 19 Fattori
Il Final Report CENIPA identifica 19 fattori contribuenti raggruppati in 8 categorie. Nella metodologia investigativa ICAO/CENIPA, questi fattori non implicano una catena lineare causa-effetto, ma rappresentano la costellazione di elementi — umani, tecnici, operativi e organizzativi — che insieme hanno reso l'incidente possibile e poi inevitabile.
- 1 Cultura Organizzativa (VoePass): Prassi sistematica di non riportare i guasti nel Technical Logbook per non fermare l'operatività. Il CENIPA definisce questa pratica "malpractice". Non era un singolo pilota che "dimenticava" di riportare — era una cultura aziendale. Documentata su più aeromobili della flotta.
- 2 Manutenzione: Sistema di sbrinamento pneumatico con problemi noti e non risolti. 10 item MEL aperti al decollo, inclusi item scaduti (ignition system). Gestione carente dei tempi di scadenza degli item MEL.
- 3 Processo Decisionale dell'equipaggio: Mancata decisione di scendere di quota nonostante il progressivo degrado delle prestazioni segnalato dall'APM. Assenza di un piano di risposta agli avvisi ricevuti. Nessuna comunicazione all'ATC della situazione.
- 4 Gestione delle Risorse dell'Equipaggio — CRM: Comunicazione inefficace e frammentata in cockpit. Violazione della regola del Cockpit Sterile durante la fase critica. Discussioni di argomenti non operativi mentre l'APM emetteva avvisi. Assenza di leadership decisionale del comandante.
- 5 Percezione e Consapevolezza Situazionale: Incapacità di riconoscere la gravità dell'accumulo di ghiaccio. L'autopilota inserito mascherava la reale degradazione del handling. Assuefazione agli avvisi APM considerati troppo conservativi (alarm fatigue).
- 6 Addestramento — UPRT (Upset Prevention and Recovery Training): Formazione specifica insufficiente sul recupero da stallo in condizioni di ghiaccio. Simulatori non adeguati a replicare il comportamento dell'ATR 72 in icing severo. Manovre di recupero eseguite in modo controintuitivo e aggravante.
- 7 Progettazione — Interfaccia Uomo-Macchina (HMI): Gli avvisi APM classificati come Caution (ambra) invece che Warning (rosso + segnale acustico continuo). Questa classificazione ha ridotto la percezione di urgenza da parte dell'equipaggio. Il livello di priorità non rifletteva la reale gravità della situazione.
- 8 Supervisione — ANAC (Autorità Brasiliana): Mancanza di controlli stringenti sulle pratiche di gestione del Technical Logbook di VoePass. Assenza di audit efficaci sulla cultura della sicurezza dell'operatore. Le irregolarità sistematiche non erano state rilevate prima dell'incidente.
08 Raccomandazioni di Sicurezza CENIPA
Il Final Report emette 9 Safety Recommendations ufficiali — 4 all'EASA e 5 all'ANAC. In conformità alla Legge Brasiliana n. 7.565/1986 e alla normativa NSCA 3-13, le raccomandazioni sono emesse esclusivamente nell'interesse della sicurezza aerea e non implicano alcuna attribuzione di responsabilità. I destinatari sono tenuti a rispondere comunicando le azioni intraprese entro 90 giorni — è attraverso questo ciclo che l'aviazione civile migliora strutturalmente.
Interagire con il costruttore dell'aeromobile con l'obiettivo di valutare la possibilità di rivedere e potenziare la procedura DEGRADED PERFORMANCE, richiedendo un'azione immediata dell'equipaggio per ripristinare le prestazioni del velivolo (ICING BUG + 30 kt), così da prevenire l'avvicinamento alla condizione limite definita da VmLB0Icing.
Interagire con il costruttore dell'aeromobile con l'obiettivo di valutare la possibilità di potenziare le procedure relative al volo in condizioni di ghiaccio, in particolare riguardo all'uso del LOW BANK mode, con lo scopo di prevenire l'aumento della velocità di stallo dovuto all'angolo di bank del velivolo in condizioni di degrado delle prestazioni.
Interagire con il costruttore dell'aeromobile con l'obiettivo di valutare la fattibilità di includere nella registrazione FDR i seguenti parametri per tutti gli ATR in esercizio, con lo scopo di prevenire la possibile perdita di dati rilevanti:
- Guasto al sistema di de-icing della cellula (Airframe De-Icing system failure)
- Attivazione del sistema stick pusher
- Posizione dell'elevatore destro
- Posizione dei pedali del timone e della barra di controllo di ciascun pilota
- Attivazione del meccanismo di disaccoppiamento del pitch
- Modi laterali AFCS attivi (LOW BANK o HIGH BANK)
- Indicazioni dei messaggi CAUTION attivati dal CCAS
Interagire con il costruttore dell'aeromobile con l'obiettivo di rivalutare i livelli di allerta del sistema APM, con lo scopo di migliorare la situational awareness dell'equipaggio riguardo alla gravità della condizione incontrata e alla necessità di eseguire le procedure prescritte in modo tempestivo, considerando la possibilità di elevare il livello dell'allerta INCREASE SPEED del sistema APM da CAUTION a WARNING.
Nota: Al momento della pubblicazione del Final Report, ATR aveva già rilasciato APM Version 2.0 (SB ATR-72-31-1137, 26/06/2025), con significativi miglioramenti all'algoritmo. Tuttavia, l'upgrade dell'allerta INCREASE SPEED da CAUTION a WARNING non era ancora stato implementato.
Interagire con gli operatori di aeromobili ATR con l'obiettivo di verificare se le checklist effettivamente utilizzate dai loro piloti, analogamente alla Normal Checklist utilizzata da Passaredo Linhas Aéreas S.A., includano la procedura di regolazione degli SPEED BUGS per la fase di crociera del volo, come prescritto dall'FCOM.
Rivedere il processo relativo al Tema 18 dell'Agenda Regolamentare 2023-2024, concernente le comunicazioni bilaterali aria-terra nelle operazioni regolate da RBAC 121, affinché le lezioni acquisite in questa investigazione — insieme ai contributi delle compagnie aeree — possano supportare la decisione in merito alla modifica del requisito stabilito nel paragrafo (c) della sezione 121.601.
Rivedere e aggiornare i propri processi interni di gestione del rischio previsti nel PSOE-ANAC, in particolare quelli derivanti dalle attività di sorveglianza continua, affinché siano in grado di supportare il processo decisionale strategico necessario per la mitigazione e il controllo dei rischi nell'ambiente operativo regolato e vigilato dall'Agenzia.
Safety Action intrapresa: A seguito dell'incidente, ANAC ha intensificato le proprie attività di sorveglianza e implementato un regime di operazione assistita con supervisione continua. Nel marzo 2025, ha sospeso cautelativamente il COA e il COM di VoePass; il 24 giugno 2025 ha disposto la revoca definitiva del certificato di operatore.
Diffondere le lezioni apprese dalla presente investigazione alle compagnie aeree regolate da RBAC 121, evidenziando i fattori contribuenti presenti in questo incidente, con lo scopo di aumentare il livello di situational awareness degli equipaggi di volo.
Monitorare, in coordinamento con l'autorità di certificazione primaria del velivolo, il processo di implementazione delle raccomandazioni di sicurezza emesse in questo Final Report all'EASA, con lo scopo di adottare le azioni mitigative ritenute appropriate — nell'ambito della propria sfera regolamentare — in relazione alle raccomandazioni che non siano state recepite, siano state parzialmente adottate, o siano state adottate in modo alternativo.
Il Final Report documenta le azioni correttive e preventive già attuate — spontaneamente o a seguito delle interazioni con la Commissione Investigativa SIPAER — da parte del costruttore ATR e dell'autorità di supervisione ANAC, prima ancora della pubblicazione ufficiale del rapporto.
1. Introduzione della Versione 2.0 (V2) del software APM
I risultati ottenuti durante l'investigazione in merito ai modi operativi dell'algoritmo APM furono comunicati ad ATR fin dall'inizio delle analisi. A seguito di numerose interazioni tra la Commissione Investigativa SIPAER e il team di ingegneria ATR, alla data di pubblicazione del Final Report era già stata certificata da EASA la nuova versione V2 del software APM, incorporata nelle flotte tramite il Service Bulletin SB ATR-72-31-1137 del 26/06/2025 (applicabile agli ATR-72-212A).
Le principali modifiche incorporate nella V2 includono:
- Estensione dell'inviluppo di monitoraggio: APM V2 effettua monitoraggio continuo e genera allerte durante tutto il volo, indipendentemente dal rilevamento di condizioni di ghiaccio.
- Revisione delle soglie di velocità: I criteri di attivazione delle allerte in V2 si basano esclusivamente sui margini di velocità rispetto a VmLB0icing (ICING BUG), eliminando i valori di velocità teorici (IAS_TH) usati in V1.
- Ritardo di 60 secondi prima della cancellazione degli avvisi: Riduce le apparizioni intermittenti ("flickering") e garantisce tempo sufficiente all'equipaggio per eseguire le procedure prescritte.
2. Aggiornamento dell'Aircraft Maintenance Manual (AMM) — sensore di posizione dell'elevatore sinistro
Sebbene l'installazione errata del sensore sinchro trasmettitore non abbia influenzato la catena degli eventi, questa inadeguatezza ha portato ATR a procedere con la revisione dell'AMM o all'emissione di un Service Bulletin, per allertare tutti gli operatori sulla possibilità di installazione errata del trasmettitore.
1. Studio sull'UPRT (Upset Prevention and Recovery Training) — effetto startle
A partire dal 2024, ANAC ha avviato la partecipazione e la promozione di eventi tecnici con costruttori, altre autorità, specialisti e operatori, con l'obiettivo di discutere le vulnerabilità ricorrenti e migliorare l'efficacia dell'addestramento UPRT. In gennaio 2026 è stato emesso un Bollettino di Sicurezza Operativa nell'ambito del BCAST (Brazilian Commercial Aviation Operational Safety Group), con raccomandazioni agli operatori RBAC 121 per rafforzare l'applicazione dei concetti UPRT, incluse pratiche mirate alla mitigazione dello startle effect.
2. Studio sull'implementazione obbligatoria del FDM per tutti gli operatori RBAC 121
In agosto 2025, ANAC ha approvato l'Emendamento n. 22 all'RBAC 121, che ha esteso l'applicabilità del PAADV (programma FDM) a tutti gli aeromobili con MTOW superiore a 15.000 kg, rendendo il FDM obbligatorio per l'intera flotta ATR operante in Brasile (il precedente limite era 27.000 kg).
3. Intensificazione delle attività di sorveglianza continua e revoca del COA VoePass
ANAC ha implementato un regime di operazione assistita con supervisione continua su VoePass. Dopo due fasi di ispezione (agosto/settembre 2024 e febbraio 2025), che hanno rivelato un progressivo deterioramento delle capacità operative e di manutenzione, l'11 marzo 2025 l'Agenzia ha cautelativamente sospeso il COA e il COM della compagnia (RBAC 121 e 145). Il 24 giugno 2025 ha disposto la revoca definitiva e l'irrogazione di sanzioni pecuniarie.
Una safety recommendation è una proposta emessa dall'autorità investigativa con il solo obiettivo di prevenire futuri incidenti. Non crea presunzione di colpa. In base alla normativa ICAO (Annex 13) e alla legislazione brasiliana, i destinatari sono tenuti a rispondere entro 90 giorni comunicando le azioni intraprese o le ragioni di un eventuale non recepimento. È attraverso questo ciclo di analisi → raccomandazione → azione correttiva che l'aviazione commerciale ha costruito il suo straordinario record di sicurezza.
09 Conclusioni: Cosa Rimane
L'incidente del volo VoePass 2283 è una tragedia che ha portato via 62 vite il 9 agosto 2024. Il Final Report CENIPA A-116/2024 è un documento che fa male da leggere, perché mostra come ogni opportunità di evitare la catastrofe sia stata perduta — una dopo l'altra, silenziosamente, nelle settimane e nei minuti che hanno preceduto l'impatto.
Le lezioni che emergono sono molteplici e si applicano ben oltre il caso specifico di VoePass:
- La MEL non è una lista di "cose che si possono ignorare": è un sistema di gestione del rischio. Ogni item aperto sposta il margine di sicurezza. La combinazione di più item — specialmente se correlati alle condizioni operative attese — può rendere un volo non sicuro anche se formalmente legale.
- La cultura organizzativa è un fattore di sicurezza primario. Una compagnia che scoraggia il reporting dei guasti non è meno sicura per un problema tecnico occasionale — è sistematicamente meno sicura, perché i problemi si accumulano invisibili fino al momento in cui si allineano tutti insieme.
- Il CRM e il Cockpit Sterile non sono burocrazia: sono barriere di sicurezza. Quando cedono, le conseguenze possono essere irreversibili in pochi secondi.
- I sistemi automatici non sostituiscono il pilotaggio attivo: l'autopilota inserito può nascondere il deterioramento della situazione fino al punto di non ritorno.
- Il UPRT deve essere specifico e realistico: addestrare i piloti sul recupero dallo stallo in condizioni di icing normale non li prepara alle condizioni di icing severo. La differenza può essere letale.
Alle 62 vittime del volo VoePass 2283 va il nostro rispetto e il nostro ricordo. La loro memoria vive nel lavoro degli investigatori del CENIPA, nelle raccomandazioni di sicurezza che ne derivano, e nella comunità aeronautica che si impegna ogni giorno — in manutenzione, in addestramento, in operazioni — a fare in modo che questo non accada mai più.
10 Fonti e Riferimenti
- CENIPA — Final Report A-116/CENIPA/2024, volo VoePass 2283, 9 agosto 2024 (documento ufficiale)
- ANAC — Agência Nacional de Aviação Civil, Brasile — revoca certificato VoePass (marzo 2025)
- ATR Aircraft — ATR 72-212A (500) FCOM, Systems Manual, Cold Weather Operations Guide
- CIMAER-BRASIL — Cartas SIGWX del 9 agosto 2024, SIGMET Severe Icing FL120–FL210
- ICAO Annex 13 — Aircraft Accident and Incident Investigation
- ICAO Doc 9683 — Human Factors Training Manual (Swiss Cheese Model, CRM)
- Aviation Safety Network — Scheda incidente PS-VPB, 9 agosto 2024
- Flightradar24 — Dati ADS-B volo 2Z-2283
- Skyward Dreams Channel — Video analisi Final Report CENIPA con Ing. Corrado De Leo e Com.te Giuseppe Giovenzana (23/08/2026): youtu.be/msixTFqgKSU
Guarda l'Analisi Completa su YouTube
58 minuti di analisi tecnica con Ing. De Leo e Com.te Giovenzana: MEL, ghiacciamento, APM, CRM, vite piatta e raccomandazioni CENIPA. Iscriviti al canale per non perderti i prossimi approfondimenti.
Guarda il Video Completo