Mais de 2.000 voos foram atrasados, cancelados ou desviados após uma falha de software de um milissegundo ter corrompido dados no sistema de controlo de tráfego aéreo britânico, de acordo com um relatório da NATS divulgado na sexta-feira. A interrupção, ocorrida a 8 de setembro, impôs restrições de tráfego em todo o país durante cerca de seis horas, embora o software defeituoso tenha afetado principalmente o centro de controlo da área de Londres, e tenha prejudicado centenas de milhares de viajantes durante mais de dois dias.
As conclusões preliminares fornecem o primeiro relato detalhado de como uma falha obscura num sistema que atribui códigos de identificação de aeronaves se transformou numa das maiores disrupções recentes na aviação britânica. A NATS afirmou que o incidente não foi causado por erro humano, atividade militar ou um ataque cibernético. A operadora instalou medidas de segurança temporárias enquanto uma correção permanente do software é submetida a testes, mas o governo ordenou uma revisão regulamentar independente das conclusões e do investimento da NATS na resiliência.
Uma solicitação de rotina encontrou uma falha oculta
A falha começou quando o Sistema Nacional de Espaço Aéreo (National Airspace System), uma plataforma essencial de dados de voo, processou um pedido manual válido de um código "squawk" utilizado para comparar a trajetória de radar de uma aeronave com o seu plano de voo. Uma tarefa de maior prioridade interrompeu este pedido durante um intervalo de exposição estimado em cerca de um milissegundo. Quando o processamento foi retomado, um defeito até então desconhecido fez com que o sistema atualizasse os dados de forma incorreta, segundo o relatório.
O registo corrompido não desligou a rede imediatamente. Às 10h02, a ligação entre o sistema nacional e o Centro de Controlo da Área de Londres caiu durante 45 segundos e foi depois restabelecida. Os engenheiros iniciaram uma investigação de rotina após não terem encontrado qualquer falha de hardware. Às 12h32, as repetidas tentativas de processar os dados corrompidos voltaram a destabilizar a ligação, obrigando os controladores a assumirem algumas tarefas de coordenação manualmente. O NATS declarou então um incidente grave e começou a restringir o trânsito.
Uma falha local produziu limites em todo o país
O Centro de Controlo de Área de Londres gere o tráfego aéreo a altitudes mais elevadas sobre a Inglaterra e o País de Gales e normalmente lida com cerca de 6.500 voos num dia de setembro. Quando a automatização deixou de estar disponível, os controladores tiveram de coordenar manualmente a transferência de aeronaves com os centros vizinhos. Como estes procedimentos são mais demorados, o NATS limitou as entradas nos setores, suspendeu as partidas dos aeroportos britânicos e restringiu alguns voos internacionais com destino à Grã-Bretanha.
A operadora afirmou que esperava lidar com cerca de 8.000 voos nesse dia, mas registou 6.094. Em comunicado público , informou que todas as restrições foram necessárias para preservar a segurança enquanto os engenheiros reiniciavam o sistema nacional e recarregavam os dados de voo. Os controladores permaneceram em contacto via rádio e radar com as aeronaves, e a NATS informou que a separação necessária foi mantida durante todo o incidente.
Os engenheiros reiniciaram o sistema entre as 15h17 e as 16h09 e, em seguida, passaram quase três horas a conciliar planos de voo duplicados, indicativos de chamada incompatíveis e anomalias nos códigos de identificação em todos os sistemas ligados. A sincronização completa dos dados foi restabelecida às 18h50 e as restrições finais do espaço aéreo foram levantadas às 19h30. A acumulação de trabalho continuou nos dias seguintes, à medida que as companhias aéreas reposicionavam as aeronaves e as tripulações.
A explicação não encerra a análise
A NATS afirma que o defeito não estava relacionado com uma falha no planeamento de voo de 2023 nem com um problema no radar em julho de 2025. Afirma ainda que um fornecedor já realizou a reparação definitiva e que novos procedimentos de escalonamento deverão permitir uma recuperação mais rápida caso ocorra outra falha de ligação. Estas afirmações são ainda preliminares: a investigação completa da operadora, prevista para ocorrer até 60 dias após o incidente, examinará a monitorização, os registos de defeitos, a gestão de ativos e se as lições aprendidas com as falhas anteriores foram aplicadas.
A Secretária dos Transportes, Heidi Alexander, considerou a interrupção inaceitável e solicitou à Autoridade de Aviação Civil que testasse de forma independente as contas da NATS e examinasse os seus planos de investimento futuros. Segundo a Reuters, a paralisação da NATS em 2023 custou às companhias aéreas cerca de 100 milhões de libras, enquanto a falha no radar em 2025 causou cerca de 150 cancelamentos. As companhias aéreas estão novamente a pressionar por indemnizações e responsabilização da gestão, o que levanta uma questão mais ampla sobre se a infra-estrutura crítica para a segurança possui redundância suficiente para evitar que uma falha técnica pontual se transforme numa crise de capacidade nacional.
O governo detém 49% da NATS e tem poder de veto sobre decisões importantes, enquanto as companhias aéreas, os aeroportos, os funcionários e os investidores privados detêm as restantes ações, noticiou a Associated Press . Esta estrutura coloca a próxima revisão na intersecção entre a supervisão pública, os custos do sector e a protecção dos passageiros, em vez de tratar o episódio apenas como um problema de software.
Os passageiros mantêm o direito de solicitar cuidados e alterar o percurso
Para os viajantes afetados, a causa técnica é importante porque determina quais as soluções disponíveis. A CAA afirmou que a interrupção foi provavelmente uma “circunstância extraordinária”, o que significa que os passageiros geralmente não receberão a compensação fixa em dinheiro que pode ser aplicada quando uma companhia aérea é responsável por um cancelamento ou atraso prolongado. O órgão regulador enfatizou que cada caso é específico e que os tribunais podem, em última instância, decidir sobre as reivindicações contestadas.
As companhias aéreas devem continuar a prestar assistência independentemente da causa. De acordo com as diretrizes de cancelamento, os passageiros abrangidos têm direito a alimentação e bebidas razoáveis, comunicações, alojamento em hotel e transporte quando for necessária uma pernoita. Podem optar por um reembolso da viagem não utilizada ou de uma alteração de rota e podem solicitar o reembolso de despesas razoáveis quando a companhia aérea não puder providenciar assistência diretamente.
O que as próximas revisões devem estabelecer
O relatório preliminar explica o gatilho imediato e demonstra que os procedimentos de contingência protegeram as aeronaves. Ainda não esclarece por que razão os testes e a monitorização não detetaram o defeito antes de uma rara sequência de temporização atingir as operações reais, nem se a arquitetura poderia ter isolado os dados corrompidos sem impor restrições nacionais. Estas são as questões centrais para o relatório final da NATS e para a revisão independente da CAA.
Para os viajantes e companhias aéreas, a importância duradoura não reside numa corrida invulgar de software, mas sim no facto de um erro em milissegundos ter reduzido a capacidade num centro de aviação internacional durante horas e ter provocado interrupções que duraram dias. A solução definitiva pode eliminar esta falha específica. O desafio seguinte é demonstrar que o sistema como um todo é suficientemente resiliente para impedir que outra falha isolada se propague pela rede de aviação britânica.
