automaÇÃo na cabine de comando e suas...
TRANSCRIPT
1
São Carlos
23/06/2015
Tecnologia em Manutenção de Aeronaves
AUTOMAÇÃO NA CABINE DE COMANDO E SUAS
CONSEQUÊNCIAS NA SEGURANÇA DE VOO
Rodolfo Romboli Narcizo
2
AUTOMAÇÃO NA CABINE DE COMANDO E SUAS CONSEQUÊNCIAS NA SEGURANÇA DE VOO
Rodolfo Romboli Narcizo
São Carlos - SP
2015
SERVIÇO PÚBLICO FEDERAL INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA
DE SÃO PAULO - CAMPUS SÃO CARLOS TECNOLOGIA EM MANUTENÇÃO DE AERONAVES
3
Rodolfo Romboli Narcizo
AUTOMAÇÃO NA CABINE DE COMANDO E SUAS CONSEQUÊNCIAS NA SEGURANÇA DE VOO
Trabalho de Conclusão de Curso apresentado ao Instituto Federal de Educação, Ciência e Tecnologia de São Paulo, campus São Carlos, visando à obtenção do grau de Tecnólogo em Manutenção de Aeronaves
Orientador: Prof. Ms. Wellington da Silva Mattos
São Carlos - SP 2015
4
i
"O avião moderno é o produto de um programa de
pesquisa, desenvolvimento e refinamento nos
detalhes que nenhuma outra estrutura ou mecanismo
já se igualou. Os resultados têm sido tão notáveis que
há sempre o perigo de esquecer que estas
extraordinárias máquinas ainda tem que ser operadas
por homens, e que o teste mais importante que elas
tem de passar ainda é a de ser operáveis sem impor
exigências exageradas ou tensão desnecessária
sobre o pessoal de voo"
"The modern airplane is the product of a program of
research, development and refinement in detail that
no other structure or mechanism has ever matched.
The results have been so remarkable that there is
always danger of forgetting that these extraordinary
craft still have to be operated by men, and that the
most important test they have to meet is still that of
being operable without imposing unreasonable
demands or unnecessary strains on the flight
personnel"
(Edward P. Warner apud Ross McFarland, 1946 apud
Billings, 1997)
ii
Dedico este trabalho à Deus,
à minha família, namorada,
amigos e professores, por toda
ajuda que me deram ao
longo de toda a pesquisa.
iii
AGRADECIMENTOS
Agradeço, primeiramente, à Deus,
por todas as oportunidades que me forneceu.
À minha família, base de toda minha educação
e por sempre me apoiar nos estudos.
À Mariana, por compreender e aceitar a minha ausência
durante esse trabalho e em muitos outros momentos da graduação.
Ao meu orientador Prof. Ms. Wellington da Silva Mattos,
por toda a instrução e incentivo que proporcionou ao longo da pesquisa.
À Prof. Dra. Daniela Terenzi,
pelo auxílio e paciência nas explicações de Metodologia de Pesquisa.
Aos meus amigos, pelo suporte
e disponibilidade em me ajudar com sugestões e críticas.
iv
RESUMO A evolução na cabine de comando é visível ao comparar as aeronaves comerciais
antigas com as mais atuais. Muitos dos antigos instrumentos analógicos, por
exemplo, que existiam nos aviões foram substituídos por telas de cristal líquido. Os
sistemas são hoje interconectados e automatizados ao máximo, o que faz com que
ocorra uma redução na carga de trabalho e um aumento na eficiência nas operações
aéreas. Apesar disso, existem também as consequências que essa automação
trouxe, sendo esse o aspecto questionado por essa pesquisa. Por meio da análise e
estudo de alguns acidentes aéreos, procurou-se compreender como a
automatização dos sistemas afetou de forma negativa a segurança de voo. Em
outras palavras, pode-se afirmar que no momento em que o voo passou a ser quase
que totalmente controlado pelo computador, o piloto adicionou as suas tarefas a de
gerenciar os sistemas. Tal fato tem gerado a degradação das suas habilidades em
manter um voo manual, diminuindo a consciência situacional em ocorrências
anormais e de emergência e dificultando a compreensão da lógica de funcionamento
dos próprios sistemas.
Palavras-chaves: Automação; Cabine de Comando; Segurança de Voo.
v
ABSTRACT The evolution in the cockpit is visible by comparing old and new aircrafts. Many of the
old gauges were replaced by new and modern displays. The aircraft systems are
now interconnected and maximized to the fullest, which reduced crew workload and
improved air operation's efficiency. However, there is also the consequences
inherent in these highly automated systems, which is the main subject of this
research. By analyzing the report of some airplane crash investigations, this work aim
at comprehending what flight safety costs automation are in airplanes today. It is
possible to say that once the flight has started to be controlled by the computer
almost all the time, the pilot also became a system manager. In that case,
automation caused a lack in pilot's control handling skills, loss of situational
conscience in emergency situations and miscomprehension of the automation
complex logic.
Key-words: Automation; Cockpit; Flight Safety.
vi
LISTA DE FIGURAS
Figura 1 - Consolidated NY-2 e o painel de instrumentos da cabine traseira, 1929 .... 7
Figura 2 - Cabine de comando do Boeing 747 com o painel de instrumentos em
formato "T", com ADI e HSI. ..................................................................................... 10
Figura 3 - Configuração inicial do PFD ..................................................................... 12
Figura 4 - Painel do Boeing 767 ............................................................................... 13
Figura 5 - DeHavilland Comet (à esquerda) e Boeing 777 (à direita) ....................... 14
Figura 6 - Sistemas Aviônicos .................................................................................. 17
Figura 7 - Diagrama Básico do Piloto Automático .................................................... 21
Figura 8 - Diagrama das Manetes de Potência dos aviões A320/330/340................ 23
Figura 9 - Boeing (Yoke) à esquerda e Airbus (Sidestick) à direita .......................... 26
Figura 10 - Display EFIS do comandante (PFD e ND à esquerda), do primeiro oficial
(PFD e ND à direita) e display EICAS (no centro). ................................................... 28
Figura 11 - Airbus A330 de matrícula F-GZCP anteriormente ao acidente ............... 31
Figura 12 - Airbus A320 de matrícula PR-MBK anteriormente ao acidente .............. 36
Figura 13 - Voo AF296 em passagem baixa (à esquerda) e local da queda (à direita)
................................................................................................................................. 40
Figura 14 - Boeing de matrícula HL7742 anteriormente ao acidente ........................ 43
Figura 15 - Imagens aéreas do local do acidente ..................................................... 44
vii
LISTA DE TABELAS
Tabela 1 - Evolução das aeronaves comerciais a jato ................................................................. 15
viii
LISTA DE ABREVIAÇÕES E SIGLAS
A/P Autopilot
A/THR Autothrust
A/T Autothrottle
ADI Attitude Director Indicator
ADIRU Air Data Inertial Reference Unit
AF Air France
AMLCD Active Matrix Liquid Crystal Display
ANAC Agência Nacional de Aviação Civil
ATC Air Traffic Controller
BEA Bureau d'Enquêtes et d'Analyses pour la sécutiré de l'aviation civile
CAA Civil Aviation Authority
CBA Código Brasileiro de Aeronáutica
CENIPA Centro de Investigação e Prevenção de Acidentes Aeronáuticos
CFRI Code of Federal Regulations
CL Climb
COMAER Comando da Aeronáutica
CRT Cathod Ray Tube
DC Douglas Company
EADI Electronic Attitude Director Indicator
EASA European Aviation Safety Agency
ECAM Electronic Centralized Aircraft Monitor
EFIS Electronic Flight Instrument System
EHSI Electronic Horizontal Situation Indicator
EICAS Engine Indicating and Crew Alerting System
ER Extended Range
FAA Federal Aviation Administration
FADEC Full Authority Digital Engine Computer
FBW Fly-by-wire
FMS Flight Management System
HSI Horizontal Situation Indicator
IATA International Air Transport Association
ICAO International Civil Aviation Organization
ix
IFALPA International Federation of Airline Pilots Association
ILS Instrument Landing System
IN Inertial Navigation System
LCD Liquid Crystal Display
ND Navigation Display
NTSB National Transportation Safety Board
NSCA Norma de Sistema do Comando da Aeronáutica
PF Pilot Flying
PFD Primary Flight Display
PIC Pilot In Command
PM Pilot Monitoring
PNF Pilot Not Flying
RPM Revoluções Por Minuto
SAFO Safety Alert for Operators
SAS Stability Augmentation System
SG Symbol Generator
SIC Second In Command
SIPAER Sistema de Investigação e Prevenção de Acidentes Aeronáuticos
x
SUMÁRIO
1 INTRODUÇÃO .................................................................................................................... 1
1.1 PROBLEMA ..................................................................................................................... 2
1.2 JUSTIFICATIVA............................................................................................................... 3
1.3 OBJETIVOS ..................................................................................................................... 4
1.3.1 Objetivo Geral .............................................................................................................. 4
1.1.1 Objetivos Específicos .................................................................................................. 4
1.4 ORGANIZAÇÃO DO TEXTO .......................................................................................... 4
2 METODOLOGIA .................................................................................................................. 5
3 FUNDAMENTAÇÃO TEÓRICA .......................................................................................... 6
3.1 EVOLUÇÃO DA CABINE DE COMANDO ...................................................................... 6
3.1.1 Era Mecânica ............................................................................................................... 6
3.1.2 Era Eletromecânica...................................................................................................... 7
3.1.3 Era Eletro-óptica ........................................................................................................ 11
3.1.4 Era do Jato ................................................................................................................. 14
3.2 SISTEMAS AUTOMÁTICOS ......................................................................................... 16
3.2.1 Autopilot (A/P) ............................................................................................................ 19
3.2.2 Sistema Autothrust / Autothrottle ............................................................................... 22
3.2.3 Fly-by-wire .................................................................................................................. 24
3.2.4 Glass Cockpit (EFIS / EICAS / ECAM) ...................................................................... 27
4 ESTUDOS DE CASO ........................................................................................................ 30
4.1 RELATÓRIOS DE INVESTIGAÇÃO ............................................................................. 30
4.1.1 Air France Voo AF447 ............................................................................................... 31
4.1.2 TAM Voo JJ3054 ....................................................................................................... 35
4.1.3 Air France Voo AF296 ............................................................................................... 39
4.1.4 Asiana Voo 214 .......................................................................................................... 42
4.2 OS EFEITOS DA AUTOMAÇÃO .................................................................................. 48
5 CONSIDERAÇÕES FINAIS .............................................................................................. 53
5.1 CONCLUSÃO ................................................................................................................ 53
5.2 RECOMENDAÇÕES ..................................................................................................... 54
5.3 SUGESTÕES PARA TRABALHOS FUTUROS ........................................................... 55
REFERÊNCIAS ........................................................................................................................ 56
ANEXO 1 .................................................................................................................................. 60
1
1 INTRODUÇÃO
São diversos os benefícios que a automação proporciona tanto para a
sociedade em geral quanto para o universo da aviação. A automatização de tarefas,
que antes eram realizadas pelos pilotos, navegadores e engenheiros de voo,
possibilitou, entre outras coisas, diminuição da carga de trabalho, otimização de
tarefas e melhora na eficiência das operações aéreas. Por outro lado, todos esses
benefícios vieram acompanhados de certas consequências, como por exemplo, um
aumento da carga cognitiva dos pilotos e sistemas mais complexos, que trabalham
interligados e que exigem um treinamento adicional da tripulação (BILLINGS, 1997).
Foi também devido à automação que cresceu ainda mais na cabine de
comando a tarefa de gerenciamento. Os pilotos, que antes dependiam
primordialmente das suas habilidades de voo, agora estão sujeitos às condições que
o computador impõe. Em outras palavras, uma vez que os sistemas de proteção da
aeronave têm a capacidade de sobrepor os comandos da tripulação para evitar
possíveis condições de perigo, pode-se afirmar que é o próprio sistema que toma a
decisão final (COMMISSION D'ENQUÊTE, 1990; BILLINGS, 1997).
Foi devido a questões como essa que a automação passou a ser questionada
quanto aos seus impactos na segurança de voo. A própria confiabilidade dos
sistemas tornou-se um problema a partir do momento em que isso gerou um
ambiente de complacência por parte dos pilotos (BRASIL, 2009).
A aeronave, que agora pode manter-se totalmente autônoma momentos após
a decolagem até pouco antes do pouso, ainda possui uma tripulação responsável
por qualquer situação que ocorra durante o voo (BILLINGS, 1997). Portanto, em um
ofício que demanda uma parceria entre homem e máquina, torna-se fundamental
que os sistemas e procedimentos sejam feitos e pensados levando-se em
consideração o aprimoramento da atividade aérea, a eficiência das operações, a
melhoria das condições de trabalho e a maximização da segurança de voo, sendo
esse último, o fator chave para o desenvolvimento dessa pesquisa.
2
1.1 PROBLEMA
No ano de 1944, em Chicago, foi acordada por diversos países, dentre eles o
Brasil, a criação da Organização da Aviação Civil Internacional (do inglês:
International Civil Aviation Organization - ICAO), que teve por objetivo criar padrões
e recomendações que vieram a proporcionar um desenvolvimento seguro e
ordenado da aviação internacional. Para que isso fosse possível, foram emitidos 18
documentos (conhecidos como anexos) que regulamentam e permitem o
estabelecimento de padrões internacionais (ICAO, 2015; ANAC, 2015)
Dentre eles, o Anexo XIII, mais especificamente, passou a dar diretrizes para
a investigação de acidentes e incidentes aeronáuticos, o que nos mostra que há
décadas já se pensa em investigação com o intuito também de prevenção.
Com essa mesma ideia de prevenção o órgão regulamentador da aviação nos
Estados Unidos, Federal Aviation Administration (FAA), emitiu em 2013 um Alerta de
Segurança para Operadores (SAFO), (Anexo 1 deste trabalho), que encoraja os
operadores de aeronaves a promover o voo manual. O alerta foi emitido após uma
análise de dados de operações aéreas identificar um aumento na quantidade de
erros relacionados à habilidade de controle manual da aeronave por parte dos
pilotos. No documento é aberta a discussão sobre a automatização dos sistemas.
Aeronaves modernas são comumente operadas usando-se sistemas automáticos. [...] Infelizmente, o uso contínuo desses sistemas não reforça o conhecimento do piloto e nem a habilidade em operações de voo manual. Os sistemas de voo automáticos são ferramentas úteis aos pilotos e tem melhorado a segurança e o gerenciamento da carga de trabalho. [...] Contudo, o uso contínuo dos sistemas automáticos pode conduzir à degradação da capacidade do piloto de rapidamente recuperar a aeronave de uma situação indesejada.1 (FAA, 2013, tradução nossa)
1 "Modern aircraft are commonly operated using autoflight system. [...] Unfortunately, continuous use
of those systems does not reinforce a pilot's knowledge and skills in manual flight operations. Autoflight systems are useful tools for pilots and have improved safety and workload management, and thus enable more precise operations. […] However, continuous use of autoflight systems could lead to degradation of the pilot's ability to quickly recover the aircraft from an undesired state."
3
Este documento do FAA foi a base de desenvolvimento para essa pesquisa,
visto que despertou o interesse em compreender quais foram os aspectos negativos
que a automação trouxe para a segurança de voo. Em outras palavras, surgiu a
indagação de como se deu a automação dos sistemas das aeronaves civis e como
isso afetou sua segurança.
Portanto, a proposta desta pesquisa é apresentar quais são as consequências
que a automação teve no que diz respeito à segurança de voo. Vale ressaltar,
contudo, que o foco desse trabalho é em relação aos aspectos negativos e não aos
benefícios alcançados com os novos sistemas.
1.2 JUSTIFICATIVA
A justificativa principal para essa pesquisa é a promoção da segurança de voo
tendo sua importância baseada no artigo 87º do Código Brasileiro de Aeronáutica
(CBA):
A prevenção de acidentes aeronáuticos é de responsabilidade de todas as pessoas, naturais ou jurídicas, envolvidas com a fabricação, manutenção, operação e circulação de aeronaves. (BRASIL, 1986, Art 87º, grifo nosso)
Além disso a Norma de Sistema do Comando da Aeronáutica (NSCA) 3-13
define segurança de voo como sendo "a Segurança Operacional aplicada
especificamente à atividade aérea e tendo por objetivo prevenir ocorrências
aeronáuticas" (BRASIL, 2014, p.12).
Nesse sentido, pode-se afirmar que compreender e analisar os fatores
negativos ligados à automação pode contribuir para a prevenção e divulgação de
conhecimento preventivo, ideais que também são propostos pelos Princípios da
Filosofia SIPAER2. Como um último interesse e justificativa para essa pesquisa,
2Os Princípios da Filosofia SIPAER são constituídos por oito ideais ligados à aviação que promovem
a investigação e prevenção de acidentes, incidentes aeronáuticos e ocorrências de solo visando à máxima segurança aérea. Tais princípios serão explorados posteriormente.
4
pode-se dizer que a conclusão desta também pode gerar recomendações para
aperfeiçoar a operação e o treinamento de tripulações de aeronaves automatizadas.
1.3 OBJETIVOS
1.3.1 Objetivo Geral
O objetivo geral do presente trabalho é identificar como a automação dos
sistemas e instrumentos dentro da cabine de comando afeta de maneira negativa a
segurança de voo.
1.1.1 Objetivos Específicos
Têm-se também objetivos específicos que são de grande importância para a
compreensão total do problema e requisitos para atingir o objetivo principal, como
descritos a seguir:
Identificar e explicar o processo evolutivo dentro da cabine de comando;
Identificar as consequências da automação no treinamento de pilotos;
Analisar as vantagens e desvantagens da automação dos sistemas das
aeronaves;
Analisar acidentes e incidentes aeronáuticos relacionados ao tema.
1.4 ORGANIZAÇÃO DO TEXTO
Este documento foi dividido, para melhor compreensão do leitor, em cinco
capítulos. O primeiro tem o intuito de situá-lo sobre a problemática, apresentando
quais as razões que justificam o estudo e com que objetivo esse foi feito. O segundo
capítulo especifica a metodologia de pesquisa utilizada, no qual é possível
compreender sob que forma de raciocínio e lógica este trabalho foi produzido.
Posteriormente, tem-se no terceiro capítulo uma contextualização teórica, a
qual auxiliará no entendimento de como os sistemas automáticos funcionam. A
5
compreensão deles é de grande importância para assimilar de que maneira a
automação pode interferir no julgamento e na consciência situacional dos pilotos,
principalmente em uma situação de emergência.
No quarto capítulo é apresentado um estudo dos relatórios e investigações de
alguns acidentes aeronáuticos. Nessas análises será possível ao leitor observar
diversos aspectos negativos que a automação trouxe, os quais foram contribuintes
para que os voos terminassem de forma catastrófica.
Por fim, no quinto e último capítulo, serão apresentadas as considerações
finais.
2 METODOLOGIA
O presente trabalho pode ser classificado como uma pesquisa descritiva,
objetivando a identificação das consequências negativas que a automação trouxe
para a aviação. Além disso, esta pesquisa também é bibliográfica, documental e um
estudo de caso, na qual foram analisados os relatórios de alguns acidentes
aeronáuticos que tiveram relação com a automação. Dessa maneira, pode-se
relacionar os tipos de documentos que foram utilizados:
Livros e publicações de cunho aeronáutico;
Regulamentações aeronáuticas vigentes;
Relatórios de investigação de acidentes e incidentes aeronáuticos;
Relatórios e documentos adicionais emitidos por órgãos reguladores3;
Manuais de operação de aeronaves e seus sistemas;
Publicações sobre a confiabilidade dos sistemas atuais;
Publicações sobre a perda de habilidade de voo dos pilotos.
3 Entende-se por órgãos reguladores da Aviação: Agência Nacional de Aviação Civil (ANAC) no
Brasil, Federal Aviation Administration (Administração da Aviação Federal - FAA) nos EUA e European Aviation Safety Agency (Agência de Segurança da Aviação Europeia - EASA) na União Europeia
6
3 FUNDAMENTAÇÃO TEÓRICA
3.1 EVOLUÇÃO DA CABINE DE COMANDO
A necessidade da representação visual de algumas informações referentes ao
voo é conhecida e utilizada desde os primórdios da aviação, inclusive na época em
que os irmãos Wright e Santos Dumont trabalhavam no projeto de suas aeronaves,
logo no começo do século XX, conforme explica Jukes (2004). O autor relata o
constante acréscimo de instrumentos com o passar dos anos, explicando que o
objetivo era que os dados referentes à aeronave e ao voo fossem cada vez mais
precisos e completos. Há a ressalva, porém, de que embora desde o início já
existissem indícios da utilização de dispositivos visuais para obtenção de
informações, foi somente após 1912 que os instrumentos passaram a ter sua
importância realmente reconhecida.
Ainda na mesma publicação, Jukes (2004) divide a história das aeronaves em
três eras tecnológicas, as quais serão brevemente descritas a seguir. São elas: Era
Mecânica, Era Eletromecânica e Era Eletro-óptica.
3.1.1 Era Mecânica
Na primeira Era, como o próprio nome já diz, o autor explica que se utilizavam
instrumentos e equipamentos puramente mecânicos, como cápsulas aneroides para
indicar a altitude e velocidade da aeronave, bússolas para navegação e giroscópios
para simular o horizonte. Outros instrumentos também eram necessários para o
monitoramento do motor e sistemas relacionados, como medidor de temperatura e
pressão do óleo, medidor de RPM e pressão de combustível.
Foi durante essa mesma Era que em 1929 o Tenente James Doolittle realizou
o primeiro voo por instrumentos. A cabine do seu Consolidated NY-2 (Figura 1) foi
coberta de forma que não fosse possível visualizar o chão e nem o horizonte. O
Tenente decolou, percorreu uma distância de 24 quilômetros e pousou a aeronave
após 15 minutos de voo. Todas as etapas foram realizadas somente com o auxílio
7
dos instrumentos à bordo e seguindo indicações de um sistema de orientação por
rádio (GRANT, 2010; JUKES, 2004).
Figura 1 - Consolidated NY-2 e o painel de instrumentos da cabine traseira, 1929
Fonte: SWOPES, 2014, adaptado
3.1.2 Era Eletromecânica
Pouco depois do feito de Doolittle, deu-se início ao que Jukes (2004)
classifica e explica como Era Eletromecânica. Ao longo desse período a aviação
passou por um momento de racionalização e padronização dos instrumentos no
painel da aeronave. Os aviões da época reduziram o tempo disponível para que os
pilotos realizassem a análise dos dados fornecidos pelos instrumentos, já que as
aeronaves estavam ficando mais rápidas, manobráveis e com sistemas mais
complexos. Isso fez com que no final da década de 1950 fosse desenvolvida a
famosa configuração de instrumentos e comandos da cabine em "T"4 que até hoje é
utilizada como base em muitos aviões. Realizou-se também uma análise de
questões ergonômicas, como por exemplo, para onde e como um ponteiro deveria
se mover para facilitar a leitura das informações pelos tripulantes.
Conforme explica Jukes (2004), a eletromecanização era mais engenhosa e
complexa do que a antiga mecânica, sendo necessárias habilidades de relojoeiro
para produzir e manter os instrumentos em funcionamento. O autor complementa
ainda, que "[...] alguns dados {referentes ao voo} eram processados de uma maneira 4 Refere-se a forma de organização dos instrumentos no painel da aeronave que assemelha-se a um
'T'. Os instrumentos que se enquadram nessa configuração estão dispostos de maneira a facilitar a visualização das principais referências durante o voo, tais quais altímetro, velocímetro, indicador de atitude, indicador direcional/bússola, dentre outros.
8
relativamente simples dentro das limitações impostas pelo processamento analógico
de sinais elétricos e de engrenagens mecânicas"5 (JUKES, 2004, p.9, tradução
nossa).
Nessa época voavam aeronaves como o Lockheed Electra, Douglas DC-3, o
Boeing B-17 e o Handley Page Hermes (GRANT, 2010). Uma das características
mais marcantes desse último avião era a necessidade de uma tripulação de cinco
pessoas devido a complexidade e a quantidade de instrumentos dispostos, sendo
elas: um comandante, um primeiro oficial, um navegador, um engenheiro de voo e
um operador de rádio (JUKES, 2004).
Ainda tendo como referência Hermes, mas com o olhar voltado à segurança,
é ressaltado que o avião possuía duas sondas pitot6. A primeira era conectada aos
instrumentos do comandante e a segunda aos instrumentos do primeiro oficial,
fornecendo, dessa maneira, independência e redundância, o que reduzia a chance
de falha. Isso possibilitava ainda a realização de checagens cruzadas7 com o intuito
de verificar e solucionar quaisquer discrepâncias (JUKES, 2004).
Apesar de ser comum nesse período aviões com grandes motores à pistão,
foi nessa mesma época que os motores à reação passaram a ser desenvolvidos.
Aviões como o Boeing 707, Boeing 727, DeHavilland Comet e Douglas DC-9
começaram a ter destaque devido à sua capacidade de atingir velocidades muito
superiores (GRANT, 2010). Conforme Mansfield (1966 apud Grant 2010, p.382,
tradução nossa) afirma: "Na velocidade {do avião} à jato você poderia circular o
globo em 40 horas. O mundo foi encolhido na metade do seu tamanho."8
Durante esse período, um dos aviões mais impactantes foi o impressionante Boeing
747 Jumbo. Jukes (2004) explica que não era somente pelo tamanho que o avião
chamava a atenção:
5 "[...] the data were processed in a relatively simple manner within the constrains imposed by
analogue processing of electrical signals and mechanical gear mechanisms." 6 Sondas pitot são utilizadas para a medição da pressão estática e dinâmica, sendo fundamental para
o correto funcionamento de diversos instrumentos, dentre eles altímetro e velocímetro. 7 Trata-se da comparação entre dados fornecidos por dois ou mais instrumentos de fontes distintas
com o intuito de verificar discrepâncias e garantir a confiabilidade das informações. 8 "At jet speed you could circle the globe in 40 hours. The world was shrinking to half the size"
9
[...] a cabine de comando do 747 tinha um conjunto de instrumentos eletromecânicos convencionais e era operado por uma tripulação de três pessoas, o comandante, o primeiro oficial e o engenheiro de voo. [...] a aeronave tinha alguns equipamentos de comunicação via satélite desenvolvidos recentemente, um sistema de pouso automático e um sistema de navegação inercial (IN) [...] e sua inclusão {IN} permitia que a aeronave fosse certificada a voar a qualquer local do mundo sem um especialista em navegação a bordo. 9 (JUKES, 2004 p20-21, tradução nossa)
Foi nessa aeronave que alguns instrumentos foram unificados com o objetivo
de transmitirem à tripulação a mesma quantidade de informação, porém em um
único local. Como exemplo disso, Jukes (2004) cita tanto o Indicador Direcional de
Atitude (ADI) que combinava as funções do Horizonte Artificial, Indicador Direcional
de ILS10 e Indicador de Curva e Derrapagem quanto o Indicador de Situação
Horizontal (HSI), que por sua vez combinava as funções da Bússola, Indicador de
Rádio Magnético e Medidor de Distância, conforme mostrado na Figura 2.
9 "[...] the flight deck of the 747 had a set of conventional electromechanical instruments and was
operated by three-man crew, the captain, the first officer, and the flight engineer. [...] the aircraft did have some early satellite communications equipment, an automatic landing system, and an Inertial Navigation (IN) system [...] and its inclusion allowed the aircraft to be certificated to fly anywhere in the world without a specialist navigator on-board." 10
Significa Instrument Landing System, ou Sistema de Pouso por Instrumentos. Trata-se de um sistema de transmissão de rádio que tem por objetivo auxiliar a aproximação e o pouso da aeronave em condições meteorológicas adversas, nas quais não se tem total visibilidade da pista.
10
Figura 2 - Cabine de comando do Boeing 747 com o painel de instrumentos em formato "T", com ADI e HSI.
Fonte: JUKES, 2004, p.21, adaptado
Vale lembrar que Jukes (2004) havia classificado essa Era como
Eletromecânica, o que é uma indicação clara de que havia também componentes
eletrônicos envolvidos no processo de indicação. Para exemplificar, o autor cita o
altímetro e o velocímetro da aeronave. Ambos os instrumentos continham um servo
mecanismo eletromecânico que era acionado por sinais provenientes de um
computador de dados, o qual retirava suas informações a partir das sondas pitot
externas da aeronave.
Como dito anteriormente, nesse período a ICAO já havia sido fundada e a
busca pela racionalização e padronização, com o objetivo de promover a aviação
com segurança, já tinha se iniciado. A prova disso é que mesmo nessa época existia
11
a ideia de instrumentos standby11, os quais possuíam a função de garantir que toda
informação crítica ao voo estivesse disponível mesmo com a falha de algum outro
componente. Para isso eles possuíam fontes de dados e de energia distintas das
utilizadas pelos instrumentos principais (JUKES, 2004).
3.1.3 Era Eletro-óptica
De acordo com a classificação de Jukes (2004), a aviação encontra-se hoje
na Era Eletro-óptica. Tal período teve início pouco depois dos anos 1970, momento
no qual o tráfego aéreo mundial já era consideravelmente maior e novas tecnologias
começavam a surgir.
A palavra "Aviônica", por exemplo, já tinha passado a ser muito utilizada em
referência aos instrumentos da cabine, sendo derivada da combinação entre as
palavras "Aviação" e "Eletrônica" (COLLINSON, 2011; EISMIN, 2002). Uma das
primeiras tecnologias desenvolvidas nessa Era foi a das telas de Tubo de Raios
Catódicos (CRT) que permitiam a exibição de dados de diferentes instrumentos em
um único local (JUKES, 2004). Posteriormente Displays de Cristal Líquido (LCD) e
Display de Cristal Líquido com Matriz Ativa (AMLCD) passaram a ser utilizados no
lugar dos monitores CRT.
Tal criação permitiu o aparecimento de alguns aviônicos como o Display
Primário de Voo (PFD), representado na Figura 3, e o Display de Navegação (ND).
Como já dito, ambos tinham a função de mostrar à tripulação diferentes informações
de maneira compacta e, apesar de inicialmente serem monocromáticas, com o
passar do tempo foram criadas telas coloridas, o que facilitava a leitura dos dados
(JUKES, 2004).
11 Palavra de origem inglesa que tem o sentido de estar em modo de espera, de sobreaviso, de
prontidão. Nesse caso, representam instrumentos reservas que por via de regra são utilizados quando há falha dos instrumentos principais.
12
Figura 3 - Configuração inicial do PFD
Fonte: JUKES, 2004, p.28, adaptado
Mais tarde essa tecnologia ficou conhecida por "glass cockpit", com referência
ao vidro das telas que deram uma nova aparência à cabine de comando. Jukes
(2004) cita o Boeing 757 e 767 dentre as primeiras aeronaves civis a entrarem em
operação com esse tipo de tecnologia. A cabine de comando do Boeing 767, por
exemplo, possuía um total de seis monitores no painel em uma disposição de três
colunas (Figura 4). No mesmo trecho, o autor explica que as telas à direita e à
esquerda substituíram os antigos instrumentos eletromecânicos e representam o
PFD e ND12 (de cima para baixo), enquanto que as duas telas centrais fazem parte
do Sistema de Alerta da Tripulação e Indicação do Motor (EICAS), o qual será
melhor explicado posteriormente.
12
No texto o autor utiliza a denominação EADI (Electronic Attitude Direction Indicator) para PFD e EHSI (Electronic Horizontal Situation Indicator) para ND. Ambos os nomes representam os mesmos instrumentos, mudando apenas a terminologia. Ressalta-se que o EADI e o EHSI são uma "eletronização", por assim dizer, do anteriormente explicado ADI e HSI, respectivamente.
13
Figura 4 - Painel do Boeing 767
Fonte: DOMANDL, 2014
O avanço dessa tecnologia ao longo dos anos fez com que ela ganhasse
destaque não somente na aviação de grande porte. Por vezes, cogitou-se que
aeronaves mais antigas e até de menor porte migrassem seus sistemas para esse
novo modelo, assim como retrata Jukes (2004):
O poder do glass cockpit foi demonstrado e agora novos procedimentos de tráfego aéreo foram introduzidos para obter vantagem da melhoria em planejamento de rotas [...] Há uma demanda para atualizar a cabine de comando de aeronaves mais antigas, que originalmente eram equipadas com instrumentos eletromecânicos, para uma "cabine de vidro", para que assim essas aeronaves também possam usufruir da maior eficiência na estruturação de rotas e procedimentos operacionais.13 (JUKES, 2004, p.35, tradução nossa)
Toda essa evolução dentro da cabine de comando e dos sistemas
automáticos das aeronaves tornou possível que a mesma passasse a operar de
maneira independente. Momentos após a decolagem até pouco antes do pouso, a
aeronave podia manter-se totalmente autônoma, explica Billings (1997). Da mesma
forma, esse autor comenta que: "A utilização das habilidades cognitivas e
13
"The power of the glass cockpit has been demonstrated, and now new air traffic procedures are being introduced to take advantage of the improved route planning [...] There is a demand to upgrade the flight deck of legacy (or classic) aircraft originally fitted with electromechanical instruments to a 'glass' flight deck so that these aircraft too can enjoy more efficient route structures and operating procedures."
14
psicomotoras dos pilotos é dificilmente cogitada, a menos que algum elemento da
automação falhe ou surjam circunstâncias ambientais imprevistas"14 (BILLINGS,
1997, p.4, tradução nossa).
Billings (1997) também comenta o fato de o piloto ficar no comando da
aeronave por pouco tempo e como isso se tornou um problema, já que dificulta a
manutenção de suas habilidades manuais de voo. É questionado ainda, se a
automação foi desenvolvida de maneira a facilitar a cooperação entre homem e
máquina, já que, na visão do autor, é devido à interação entre esses dois elementos
que ter-se-á um sistema automático de sucesso ou um sistema que seja suscetível à
falhas. Tal aspecto será mais explorado ao final do trabalho.
3.1.4 Era do Jato
Complementando a classificação feita por Jukes (2004), na obra de Billings
(1997) é utilizado também o termo "Era do Jato". Segundo o autor, "a introdução das
aeronaves a jato na aviação civil marcou o início de uma revolução tecnológica."15
(BILLINGS, 1997, p.69, tradução nossa). Dentro dessa Era, o autor divide os aviões
em quatro gerações, as quais contém desde o DeHavilland Comet (Figura 5),
inserido no mercado em 1954, até o moderno Boeing 777, conforme representa a
Tabela 1.
Figura 5 - DeHavilland Comet (à esquerda) e Boeing 777 (à direita)
Fonte: THALLON, 1979; KWIATKOWSI, 2015, adaptado
14
"The considerable psychomotor and cognitive skills of their human operators are hardly called on unless some element of the automation fails or unanticipated environmental circumstances arise." 15
"The introduction of jet aircraft into civil aviation marked the beginning of a technological revolution"
15
Tabela 1 - Evolução das aeronaves comerciais a jato
EVOLUÇÃO DAS AERONAVES A JATO Geração Aeronaves
Primeira Geração
Sistemas Simples
Muitas tarefas manuais
Navegação manual
DeHavilland Comet
Boeing 707
Douglas DC-8
Douglas DC-9 Segunda Geração
Redundância de sistemas
Navegação pelo piloto
Boeing 727
Boeing 737-100, 200
Boeing 747-100, 200, 300
Douglas DC-10
Lockheed L-1011
Airbus A-300 Terceira Geração
Sistemas digitais
Tripulação da cabine de duas pessoas
Telas gráficas (glass cockpit)
Sistema de gerenciamento de voo
Sistema de alertas e avisos
integrados
Boeing 767/757, 747-400
McDonnell-Douglas MD-80
Airbus A-310, 300-600
Fokker F-28-100
McDonnell-Douglas MD-11 (Transição para 4ª geração)
Quarta Geração
Fly-by-wire
Operação por sistemas integrados
Airbus A-319/320/321
Airbus A-330, A-340
Boeing 777
Fonte: BILLINGS, 1997, p.69, adaptado
Além dessa divisão em gerações dos aviões a jato, Billings (1997) descreve e
complementa a ideia de Fadden (1990) ao categorizar a automação nas aeronaves:
Fadden (1990) descreve a automação nas aeronaves em duas categorias; ele as chamou de automação do controle (automação
cujas funções são o controle e o direcionamento do avião) e automação da informação (automação dedicada à gestão e a representação de informações relevantes para os membros da tripulação; esta categoria inclui automação das comunicações). A essas categorias, eu {Billings, 1997} adicionei uma terceira, automação de gerenciamento [...]. Quando automação de gerenciamento está disponível, o piloto tem a opção de atuar como um controlador supervisor (Sheridan, 1987).
16
Nos aviões, a automação é direcionada pelo piloto para cumprir funções de controle necessárias para alcançar o objetivo {do voo}.16 (BILLINGS, 1997, p.70, tradução nossa, grifo nosso)
No presente trabalho, será descrito posteriormente, de forma sucinta, o
funcionamento de alguns dos sistemas que compõe as aeronaves atuais. Com base
nas explicações, tornar-se-á possível ao leitor a classificação de alguns dos
sistemas dentro dessas três categorias de automação que Fadden (1990) e Billings
(1997) criaram.
3.2 SISTEMAS AUTOMÁTICOS
Todo o sistema de aviônicos das aeronaves tem por objetivo permitir que a
tripulação conduza o avião ao seu destino de maneira segura e eficiente. Ao longo
dos anos, essa indústria multibilionária produziu dispositivos com o intuito não só de
aumentar a segurança de voo, mas também de permitir que uma tripulação mínima
fosse necessária para uma operação sem riscos (COLLINSON, 2011).
Collinson (2011) explica que isso só se tornou possível devido à grande
redução na carga de trabalho causada pela automatização de tarefas que antes
eram realizadas por um Navegador ou Engenheiro de Voo. Pode-se dizer, inclusive,
que a redução da tripulação é um fator bem visto por operadores de aeronaves, já
que isso significa economia em salários e custos com treinamento.
Apesar desses fatores, o desejo por aumentar a automação nas aeronaves ia
além de redução de custos: "De fato um dos fatores que motivou o aumento da
automação no transporte aéreo tem sido o desejo de fabricantes e operadores de
16
"Fadden (1990) described two categories of aircraft automation; he called them control automation (automation whose functions are the control and direction of an airplane) and information automation (automation devoted to the management and representation of relevant information to flight crew members; this category includes communications automation). To these categories, I have added a third, management automation [...]. When management automation is available, the pilot has the option of acting as a supervisory controller (Sheridan, 1987). In aircraft, automation is directed by the pilot to accomplish the tactical control functions necessary to accomplish the objective."
17
reduzir a frequência de erros humanos ao automatizar mais as tarefas {que antes
eram} do piloto"17 (BILLINGS, 1997, p.5, tradução nossa).
Collinson (2011) afirma em sua publicação que, em aeronaves civis, toda a
aviônica embarcada pode representar até 30% do seu custo total de compra. O
autor a divide, ainda, em 5 grupos que estão descritos na Figura 6.
Figura 6 - Sistemas Aviônicos
Fonte: COLLINSON, 2011, p.3, adaptado
17
"Indeed, one of the motives for increasing automation in the transport aircraft has been the desire by manufacturers and operators to decrease the frequency of human errors by automating more of the tasks of the pilot."
18
1. Sistema de interface homem-máquina: Tem referência aos
equipamentos que possuem relação direta com o piloto, tais como os
monitores na cabine de comando que repassam informações do voo aos
tripulantes; todo o sistema de comunicação (seja com pessoal em solo
ou em aeronaves no espaço aéreo ao redor); os sistemas de entrada de
dados, cuja função é permitir a interação do piloto com o sistema de
aviônicos do avião; e o sistema de controle de voo que tem relação
direta com o movimento das superfícies de comando e com o sistema
"fly-by-wire" que será mais explorado ainda nesse capítulo.
2. Sistema de sensores do estado da aeronave: Tem referência às
sondas e sensores dispostos ao longo da aeronave, tais como as
tomadas de ar, tubos de pitot, sensores de ângulo de ataque, de
temperatura e giroscópios.
3. Sistemas de navegação: Remete aos equipamentos de navegação,
sejam eles dos sistemas inerciais, de posicionamento global, ou via
rádio.
4. Sistemas de Sensores de Condições Externas: Compreende tanto
sensores infravermelho (mais frequente em aeronaves militares) quanto
radares meteorológicos, comuns em aeronaves civis.
5. Sistemas Automáticos: Referente aos sistemas de gerenciamento de
navegação, de piloto automático, de gerenciamento de voo e controle do
motor. Tais sistemas também serão mais explorados posteriormente
neste capítulo. Vale lembrar que aqui também se inclui o sistema de
gerenciamento da aeronave em si e seus suprimentos (pressurização da
cabine, fornecimento de energia elétrica e hidráulica e controle de
consumo de combustível). (COLLINSON, 2011)
Todos os grupos são ligados diretamente ao barramento central da aeronave,
permitindo assim que todas as informações sejam compartilhadas. Dessa forma, os
dados obtidos nos sensores de estado da aeronave, de navegação e de condições
externas são direcionados tanto aos monitores da cabine para informar os
tripulantes, quanto para os sistemas automáticos, que necessitam dessas
informações para conduzir a aeronave quando requisitado (COLLINSON, 2011).
19
Collinson (2011) complementa dizendo que todos esses equipamentos
embarcados não são iguais aos modelos similares que podem ser encontrados em
veículos terrestres. As razões para isso resumem-se a: peso, ambiente de operação
e confiabilidade.
Em uma indústria em que peso significa gastar mais e ter menor eficiência,
manter o peso no mínimo é fundamental para que o aviônico seja próprio para uso.
Os ambientes operacionais dos quais as aeronaves e seus equipamentos estão
sujeitos são muito mais exigentes, visto que podem sofrer grandes variações de
temperatura, pressão, umidade, nível de radiação solar e influências magnéticas.
Por fim, é necessário também que toda a eletrônica embarcada tenha confiabilidade
e segurança no seu funcionamento, já que não haveria possibilidade de reparo uma
vez que a aeronave estivesse em voo e uma falha traria não somente prejuízo
financeiro, mas um risco à segurança aérea (COLLINSON, 2011).
3.2.1 Autopilot (A/P)
Define-se automação como um sistema ou método no qual uma ou mais
tarefas são realizadas e/ou controladas automaticamente por máquinas ou
dispositivos eletrônicos autônomos (BILLINGS, 1997). O piloto automático (em
inglês: autopilot - A/P) foi desenvolvido também com o intuito de fornecer ao piloto
um descanso físico e mental em voos de longa duração, possibilitando ainda que o
mesmo concentre-se em outras tarefas necessárias, como por exemplo, na
comunicação com órgãos de Controle de Tráfego Aéreo (ATC), atenção à
meteorologia e verificação do cumprimento do planejamento feito para o voo.
(MAHER, 2001; COLLINSON, 2011; EISMIN, 2002).
Sistemas como esse permitem que exista um aumento na segurança, sem
que se deixe de respeitar os requisitos do controle de tráfego aéreo. Ocorre também
uma redução no consumo de combustível e um aumento na eficiência da aeronave,
mesmo sob condições meteorológicas adversas (COLLINSON, 2011).
Apesar de todos os benefícios, Maher (2001) faz a importante ressalva de que
a aeronave não deve ser deixada sob o comando do piloto automático sem
supervisão:
20
Mesmo os melhores pilotos automáticos estão sujeitos a falhas inesperadas. Esse cenário {de falha} retratado acima seria raro, mas não impossível. Se essas situações não existissem, não haveria a necessidade de um piloto18 (MAHER, 2001, p.261, tradução nossa, grifo nosso).
A função básica do piloto automático é guiar a aeronave pela trajetória
definida para o voo:
O sistema instalado {piloto automático} [...] detecta desvios na trajetória de voo e movimenta as superfícies de controle para manter a trajetória de voo selecionada.19 (EISMIN, 2002, p.392, tradução nossa).
Esse sistema pode ser simples e envolver apenas mecanismos que tenham a
função de manter o avião horizontalmente estável. Por outro lado, é possível
também se utilizar um sistema complexo que integre, inclusive, o Sistema de
Gerenciamento de Voo (FMS). O resultado dessa integração faz com que os
controles de voo do avião respondam de maneira mais rápida e que o caminho
mantido pela aeronave seja mais preciso e eficiente (MAHER, 2001; COLLINSON,
2011).
Uma vez que os acidentes abordados nesse trabalho são de aeronaves
modernas e de grande porte, tem-se maior atenção ao Sistema de Piloto Automático
mais completo. Este permite que não somente uma estabilidade horizontal seja
alcançada, mas também que seja possível manter a altitude, atitude e direção de
voo ao comandar todas as superfícies de controle em todos os eixos de movimento
da aeronave (EISMIN, 2002). A Figura 7 representa os princípios básicos de
funcionamento desse sistema.
18
"Even the best autopilots are subject to unforeseen failures. The scenario depicted above would be rare, but not impossible. If these situations didn't exist there wouldn't be the need for a pilot." 19
"A system installed in an airplane [...] senses deviations in the flight path and moves the control surfaces to maintain the selected flight path."
21
Figura 7 - Diagrama Básico do Piloto Automático
Fonte: COLLINSON, 2011, p.417, adaptado
Em sua publicação, Collinson (2011) explica a arquitetura básica de
funcionamento do piloto automático e a ideia pode ser resumida da maneira
apresentada a seguir.
O piloto da aeronave determina a trajetória de voo a ser seguida. O sistema
de processamento de dados do piloto automático reconhece a seleção dessa
trajetória e analisa as informações do voo para determinar quais as ações
necessárias para manter o curso desejado. Conforme as orientações do A/P, as
superfícies de controle são comandadas por atuadores - que nas grandes aeronaves
são hidráulicos - com o objetivo de modificar a cinemática do voo.
Essas mudanças fazem com que as sondas e sensores da aeronave
obtenham novas referências, que logo após completam o ciclo ao serem utilizadas
para um novo abastecimento de informações ao processador de dados. Dessa
maneira, enquanto houver um desvio entre a trajetória de voo selecionada pelo
piloto e a trajetória real da aeronave, o piloto automático fará modificações nas
superfícies de controle para corrigir essa diferença (COLLINSON, 2011). Todo esse
ciclo pode ser definido pelo que o autor chama de: "sistema de controle de circuito
fechado" (em inglês: closed-loop control system).
Para exemplificar esse sistema, pode-se utilizar da explicação de Eismin
(2002), com o uso de giroscópios pelo piloto automático. O autor parte do
pressuposto de que a aeronave esteja em uma condição do voo na qual é
22
necessário o nivelamento das asas. Além disso, sabe-se que um giroscópio mantém
uma posição constante no espaço, independentemente da estrutura de suporte do
giro estar em movimento. Tal fato produz uma diferença angular entre o giro e sua
estrutura, que por sua vez é utilizada na operação de pontos de contato, no
funcionamento de potenciômetros ou no reposicionamento de indicadores de
proximidade. Quaisquer que sejam os meios de funcionamento, sinais elétricos são
amplificados e enviados às unidades que comandam as superfícies de controle,
fazendo com que essas sejam movimentadas de forma a nivelar a aeronave. Para
finalizar o diagrama, há um retorno de sinal proveniente dessas superfícies, que tem
por objetivo informar ao sistema o quão rápido a posição da aeronave, no eixo de
movimento, está sendo modificada (EISMIN, 2002).
Apesar da arquitetura complexa, o piloto automático é simples de ser
operado. Uma vez que as condições de voo estejam determinadas, o sistema fará
todo o resto, podendo o piloto soltar os controles da aeronave e concentrar-se em
outras atividades. Torna-se, dessa forma, necessárias apenas verificações se a
aeronave está seguindo de acordo com o programado (JENIE, 2006).
3.2.2 Sistema Autothrust / Autothrottle
Para voar, os aviões necessitam que um grande fluxo de ar passe sobre e
sob suas asas. A melhor maneira de tornar esse fluxo constante é manter a
aeronave em movimento, sendo essa a tarefa dos motores à reação (HOMA, 2010a;
HOMA, 2010b).
Da mesma maneira que o piloto automático tornou-se necessário para o
descanso e/ou foco dos pilotos em outras tarefas, um controle automático da
potência gerada20 pelo motor fez-se preciso. Além de diminuir a carga de trabalho da
tripulação, esse sistema permite maior economia, uma vez que o fluxo de
combustível pode ser dosado conforme a fase de voo (COLLINSON, 2011;
BILLINGS, 1997).
20
Autothrust e autothrottle referem-se, em tradução livre, ao sistema de "empuxo automático" e "manete de potência automática", respectivamente. Ambos os termos têm como ideia o controle automático da potência a ser gerada pelo motor.
23
Sistemas de autothrust mais novos, geralmente são ativados no início da corrida de decolagem, limitam a potência do motor para a de máximo empuxo ou um valor mais baixo, dependendo do peso da aeronave, comprimento de pista, temperatura e outras variáveis. O objetivo dele {sistema} é minimizar o desgaste do motor e consumo de combustível. A potência de decolagem desejada é
selecionada através do sistema de gerenciamento de empuxo {manete de potência, ou throttle, em inglês, conforme representa a Figura 8}. [...] Em aeronaves mais antigas, os pilotos simplesmente empurravam suas manetes totalmente para frente e obtinham o máximo de empuxo. O superaquecimento do motor geralmente era o resultado [...]. Em alguns aviões atuais, não é possível para os pilotos obter mais do que o empuxo necessário dos motores. A manete à plena potência instrui aos computadores do motor para fornecer empuxo proporcional {ao solicitado}.21 (BILLINGS, 1997, p.40-41, tradução nossa, grifo nosso)
Figura 8 - Diagrama das Manetes de Potência dos aviões A320/330/340
Fonte: BILLINGS, 1997, p.81, adaptado
Sistemas como "autothrust / autothrottle" dependem do Controle Digital do
Motor com Autoridade Total (FADEC). Esse equipamento tem a função de gerir
todos os sistemas essenciais ao funcionamento do motor (BAE Systems, 2015). De
modo geral, o sistema FADEC controla o motor de maneira similar à forma com que
21
"Newer autothrust systems, usually activated early in the takeoff roll, limit engine power to maximum rated thrust or a lower value depending on aircraft weight, runway length, temperature, and other variables. The purpose of this is to minimize engine wear and fuel consumption. The desired takeoff thrust is selected through the thrust management system. [...] In older aircraft, pilots simply pushed their throttles fully forward to obtain maximum thrust. Engine overheating usually resulted [...] In some of today's aircraft, it is not possible for pilots to obtain more than rated thrust from the engines. Full throttle instructs engine computers to provide rated thrust."
24
o "fly-by-wire" (sistema que será explicado posteriormente) controla a aeronave
(KHAN et al, 2013).
KHAN et al (2013) explica que o FADEC também gerencia, dada uma
condição de voo, a quantidade de combustível a ser injetada e analisa outras tantas
variáveis como, por exemplo, densidade do ar, temperatura e pressão do motor. Há
a ressalva de que trata-se de um computador, portanto, não é possível sobrepô-lo
manualmente (KAHN et al, 2013). Uma das diferenças entre o sistema "autothrust"
para "autothrottle" é de que o primeiro não possui movimentação das manetes
conforme há variação de potência (BRASIL, 2009).
A ideia básica de operação "autothrust" (A/THR) no Airbus A320, por
exemplo, pode ser resumida e simplificada da seguinte maneira: ocorre a seleção do
posicionamento das manetes por parte do piloto. O computador do A/THR identifica
esse posicionamento e interage diretamente com o FADEC, enviando por sinais
elétricos quais são as metas a serem cumpridas pelo motor, sejam essas a de fazer
a aeronave alcançar uma velocidade específica ou a de operar conforme uma dada
condição de voo (AIRBUS, 2008; BRASIL, 2009). A partir desse ponto, o FADEC
analisa os dados e solicitações e envia comandos aos diversos sistemas que
compõe o motor, conforme explicado anteriormente.
3.2.3 Fly-by-wire
Os movimentos do avião correspondem aos do manche e dos pedais feitos
pela tripulação ou pelo piloto automático. Previamente ao "Fly-by-wire" (FBW), que
foi incorporado às aeronaves civis a partir de 1988 com o lançamento do Airbus
A320, os atuadores das superfícies de controles eram acionadas e comandadas por
cabos ou linhas hidráulicas (BILLINGS, 1997).
A inserção do FBW fez com que a solicitação dos comandos passassem a ser
realizadas por sinais elétricos (razão do nome "fly-by-wire", em tradução livre: "voo
por fios"). Esses são transmitidos a um computador que opera as superfícies de
controle de acordo com as solicitações do piloto e da situação na qual a aeronave se
encontra. Apesar disso, os movimentos das superfícies ainda são dependentes de
força hidráulica (BILLINGS, 1997; COLLINSON, 2011).
25
O piloto controla a aeronave através do computador de controle de voo, e o computador determina o movimento da superfície de controle para a aeronave responder da melhor forma aos comandos do piloto e obter uma resposta rápida, bem amortecida em todo o envelope de voo.22 (COLLINSON, 2011, p.187, tradução nossa)
Não obstante, uma vez que todos os comandos feitos pelo piloto passaram a
comunicar-se com o computador, fez-se possível a limitação do controle da
aeronave.
Esta arquitetura de controle {do sistema fly-by-wire} [...] pode agora limitar o envelope de voo, fazendo com que seja impossível para o piloto exceder certos limites [...] Isso é chamado de envelope de proteção.23 (BILLINGS, 1997, p.80, tradução nossa)
De forma similar ao "autothrottle / autothrust", esse sistema também não pode
ser sobreposto manualmente, devendo ter, portanto, alta confiabilidade. Collinson
(2011) relata em sua publicação que a probabilidade de uma falha catastrófica do
FBW ocorrer nas aeronaves civis é inferior a 1 em 109 por hora de voo. Em outras
palavras, pode-se afirmar que em uma frota de 3.000 aeronaves voando 3.000 horas
por ano, uma única falha poderia ocorrer em 100 anos.
Dentre outras vantagens do sistema "fly-by-wire", Collinson (2011) cita o
aumento no desempenho da aeronave; a habilidade de integrar controles adicionais
aos movimentos da aeronave, como, por exemplo, ao utilizar flaps para manobrar a
aeronave e não somente nas decolagens e pousos; e possibilitar ao piloto realizar
manobras despreocupadamente, devido ao envelope de proteção explicado por
Billings (1997).
Por outro lado, uma vez que os comandos estão conectados eletrônica e não
mecanicamente, é possível que um movimento seja feito nos controles do
22
"The pilot thus controls the aircraft through the flight control computer, and the computer determines the control surface movement for the aircraft to respond in the best way to the pilot's commands and achieve a fast, well damped response throughout the flight envelope." 23
" This control architecture [...] may now limit the flight envelope by making it impossible for the pilot to exceed certain boundaries [...] This is called envelope protection"
26
comandante e que não seja percebido pelo primeiro oficial, já que por vezes não há
retorno de movimento. Esse aspecto é mais comumente encontrado nas aeronaves
da fabricante europeia Airbus, que possuem como controles "sidestick", do que na
concorrente Boeing, que utilizam "yokes", mais conhecidos como manches
convencionais (Figura 9).
Figura 9 - Boeing (Yoke) à esquerda e Airbus (Sidestick) à direita
Fonte: BOLDMETHOD, 2014
O sistema de proteção constitui parte do que Collinson (2011) chama de leis
de controle. Aeronaves que utilizam o sistema "Fly-by-wire", como o Airbus A330,
possuem em sua lógica três leis principais que são automaticamente ativadas no
caso de falha de algum sistema. São elas:
1. Lei Normal (em inglês: Normal Law): Oferece total proteção ao envelope
de voo no que tange à atitude da aeronave (há limitação nos valores dos
ângulos que podem ser alcançados), fator de carga em altas velocidades
e altos ângulos de ataque. Essa lei permanece ativa mesmo no caso de
uma falha única de sensores, sistema elétrico ou sistema hidráulico.
27
2. Lei Alternada (em inglês: Alternate Law): Similar à lei normal, porém
com algumas proteções a menos. É dividida em Alternada 1 e 2. Na
primeira os comandos laterais feitos pelo piloto ainda possuem proteção
para serem limitados conforme uma razão da rolagem, já na segunda os
comandos são aplicados diretamente às superfícies de controle.
3. Lei Direta (em inglês: Direct Law): Todas as proteções ao voo (como o
envelope de proteção) são perdidas e existe uma relação direta entre a
deflexão feita pelo piloto nos comandos da aeronave e a deflexão das
superfícies de controle (BEA, 2012; COLLINSON, 2011).
Além dessas diretrizes de controle, existe o que Collinson (2011) chama de
Sistema de Aumento de Estabilidade (SAS) e que tem por finalidade amortecer e
aumentar a estabilidade nos três eixos de movimento da aeronave. Em sua
publicação, o autor explica que esse sistema complementa o "Fly-by-wire" e é
essencial em aeronaves civis, já que até mesmo curtos períodos com ele inativo
poderia causar um desconforto considerável aos passageiros devido ao excesso de
movimentos.
3.2.4 Glass Cockpit (EFIS / EICAS / ECAM)
É na cabine de comando que todas as decisões mais importantes em relação
ao voo são tomadas pela tripulação. Para o correto julgamento de todas as
situações, são disponibilizados, aos pilotos de aeronaves "glass cockpit", telas que
contêm instrumentos de três categorias: Instrumentos primários de voo, instrumentos
de navegação e instrumentos do motor e outros sistemas (JUKES, 2004).
As funções deles são, respectivamente: fornecer informações relativas à
aeronave e a sua capacidade de manter um voo seguro e controlado; fornecer
informações relativas ao posicionamento geográfico e dados relativos ao
deslocamento da mesma; e fornecer informações sobre os sistemas da aeronave,
inclusive os do motor, para garantir o correto funcionamento de todos os
equipamentos ao longo do voo (JUKES, 2004).
O sistema que provê dados aos PFD e ND da cabine (Figura 10) é conhecido,
em tradução livre, como Sistema Eletrônico de Instrumentos de Voo (Electronic
28
Flight Instrument System - EFIS). Cada monitor EFIS tem a vantagem de poder
substituir uma série de instrumentos eletromecânicos e sinais de aviso e alerta por
uma simples tela (JUKES, 2004; EISMIN, 2002; TOOLEY, 2007).
Figura 10 - Display EFIS do comandante (PFD e ND à esquerda), do primeiro oficial (PFD e ND à
direita) e display EICAS (no centro).
Fonte: NTSB, 2014, p.39, adaptado
Seu funcionamento tem como base geradores de símbolos (SG) que recebem
sinais provenientes de diversos sensores e sondas espalhadas ao longo da
aeronave e do motor. Esses sinais são processados e encaminhados à tela
apropriada (EISMIN, 2002; TOOLEY, 2007). Eismin (2002) descreve os seguintes
locais como fonte de dados para o SG: rádios de navegação, computadores de
controle de voo, computadores de gerenciamento de empuxo, sistema de referência
inercial e sistema de radar meteorológico.
29
Aeronaves que possuem o EFIS comumente apresentam três SG's, com o
objetivo de minimizar a chance de falha total do sistema. Com essa redundância, a
possibilidade dos pilotos ficarem sem indicação de altitude, velocidade e direção no
PFD devido à falha do sistema EFIS também é de 1 em 109 por hora, ou seja,
extremamente improvável (JUKES, 2004).
Há também o que é conhecido como Sistema de Alerta da Tripulação e
Indicação do Motor (EICAS), ou Monitor Eletrônico Central da Aeronave (ECAM) na
terminologia da Airbus (JUKES, 2004; EISMIN, 2002). Ambos são uma variante do
EFIS e também podem utilizar telas de CRT ou LCD digitalmente controladas, sendo
que têm como objetivo repassar aos pilotos informações referentes a diversos
fatores, como: razão de pressão do motor, RPM, temperatura dos gases de
exaustão, pressões dos sistemas hidráulicos, parâmetros dos sistemas elétricos,
entre outros (EISMIN, 2002; TOOLEY, 2007).
Eismin (2002) afirma que em operações de voo normais, são exibidas apenas
algumas poucas informações. Já no caso de falha, o EICAS/ECAM tem a função de
sinalizar à tripulação alertas de aviso ou cuidado, indicando automaticamente no
visor qualquer dado vital.
Uma vez que muitos parâmetros são monitorados tanto pelos computadores do EICAS quanto do ECAM, eles são valiosas ferramentas para a detecção de falhas {dos sistemas} para os técnicos das companhias aéreas. Uma conferência rápida no EICAS ou ECAM fornecerá a maior parte da informação preliminar necessária para encontrar a falha em sistemas com defeitos.24 (EISMIN, 2002, p.361, tradução nossa)
Como exemplo da importância desse sistema, Eismin (2002) cita em sua
publicação o Boeing 757. Os dois computadores do EICAS do avião monitoram mais
de 400 dados provenientes do motor e de diversos sistemas da aeronave, utilizando
para isso tanto sinais analógicos quanto digitais.
24
"Since so many parameters are monitored by both the EICAS and ECAM computers, they are valuable troubleshooting tools for airline technicians. A quick reference of EICAS or ECAM displays will provide much of the preliminary information needed for troubleshooting defective systems."
30
4 ESTUDOS DE CASO
4.1 RELATÓRIOS DE INVESTIGAÇÃO
Os relatos dos acidentes aéreos analisados neste trabalho foram baseados
nos respectivos relatórios de investigação feitos pelos órgãos competentes. Vale
ressaltar que o Centro de Investigação e Prevenção de Acidentes Aeronáuticos
(CENIPA), órgão do Comando da Aeronáutica (COMAER), que investiga os
acidentes ocorridos em território brasileiro, segue os oito princípios da filosofia
SIPAER, os quais afirmam, entre outras coisas:
a) todo acidente aeronáutico pode ser evitado; b) todo acidente aeronáutico resulta de vários eventos e nunca de uma causa isolada; c) todo acidente aeronáutico tem um precedente [...] e) o propósito da prevenção de acidentes não é restringir a atividade aérea, mas estimular o seu desenvolvimento com segurança; [...] g) na prevenção de acidentes não há segredos nem bandeiras; h) acusações e punições de erros humanos agem contra os interesses da prevenção de acidentes. (BRASIL, 2014, p.16, grifo nosso)
Partindo do princípio de que um acidente aeronáutico não é resultante de uma
única causa, ressalta-se que as análises feitas nesta pesquisa têm como foco
apenas os fatores humanos com relação à automação. Dessa forma, a leitura deste
trabalho não pode ser utilizada para afirmar as razões pelas quais os acidentes
ocorreram e não substitui a leitura dos relatórios oficiais, principalmente se o objetivo
do leitor for contemplar todas as análises, fatores contribuintes, conclusões e
recomendações. Tais acidentes foram selecionados por terem relação com a
automação e por possibilitarem que fosse feita uma análise de como os
sistemas automatizados podem interferir na segurança de voo.
31
4.1.1 Air France Voo AF447
O relatório final deste acidente foi publicado em Julho de 2012 pelo Bureau
d'Enquêtes et d'Analyses pour la sécutiré de l'aviation civile (BEA), autoridade
francesa de investigação de acidentes aéreos. Trata-se do ocorrido em 1º de junho
de 2009 com o avião Airbus A330-203 da operadora Air France. A aeronave, de
matrícula F-GZCP (Figura 11), havia decolado na noite anterior do aeroporto do
Galeão, no Rio de Janeiro, com destino ao aeroporto Charles de Gaulle em Paris,
França. A bordo estavam 3 tripulantes na cabine de comando, 9 comissários de
bordo e 216 passageiros (BEA, 2012).
Figura 11 - Airbus A330 de matrícula F-GZCP anteriormente ao acidente
Fonte: CORNELOUP, 2007
Conforme informações do relatório, a aeronave colidiu com o oceano
enquanto realizava a travessia do atlântico rumo à Europa, tendo seu último contato
sido feito aproximadamente uma hora após passar a cidade de Natal. O comandante
possuía 10.988 horas de voo, sendo 1.747 nesse modelo de aeronave. O primeiro
oficial continha um total de 6.547 horas de voo (4.479 horas nesse modelo) e o
segundo oficial 2.936 horas de voo das quais 807 horas nesse modelo.
Dentre as causas do acidente, ficou constatado que ocorreu uma obstrução
das sondas pitot por cristais de gelo de tal forma que, mesmo com o aquecimento
existente nas mesmas, não foi possível impedir o bloqueio da passagem de ar.
Devido a isso, houve uma carência de informações pelo computador da aeronave,
32
resultando no desligamento automático do "autopilot" e "autothrust" e na
reconfiguração para a Lei Alternada 2. O segundo oficial, que por estar no controle
da aeronave era o Pilot Flying (PF), aplicou comandos inapropriados à retomada de
controle da aeronave. Tal fato fez com que a mesma saísse das condições de voo
adequada e perdesse a sustentação necessária para manter o avião voando. Houve
também uma falta de identificação, por parte do primeiro oficial (que na situação era
o Pilot Not Flying - PNF), dos incorretos ajustes ou correções que estavam sendo
aplicadas pelo PF.
Informações do Apêndice 2 do relatório produzido pela BEA mostram que a
descida durou 3 minutos e 30 segundos, sendo que a última velocidade vertical
registrada foi de uma queda de 10.912 pés/minutos ou aproximadamente 200km/h
(BEA, 2012).
Para explicar a importância das sondas pitot, o relatório afirma que nesse
modelo de aeronave, a medição da velocidade é utilizada pelos sistemas "fly-by-
wire", de gerenciamento do motor, de gerenciamento de voo, de aviso de
proximidade com o solo, de controle dos flaps e slats e pelo transponder. Portanto,
uma vez que a Unidade de Referência Inercial de Dados de Ar (ADIRU - unidade
que faz o cálculo da velocidade) depende diretamente das sondas, a obstrução das
sondas resulta tanto no desligamento dos sistemas automáticos quanto na
modificação da lei de voo. A consequência é a desativação dos sistemas de
proteção da aeronave, visto que eles não podem agir corretamente sem a indicação
da velocidade.
Outra lógica dos sistemas do avião que é explorada no relatório refere-se ao
Computador de Envelope e Gerenciamento da Orientação de Voo (FMGEC). Tal
computador auxilia no correto funcionamento das funções "autopilot" e "autothrust"
ao comparar os valores fornecidos pelos ADIRU's25 em busca de discrepâncias entre
eles. Uma vez que os dados não sejam condizentes, há um desligamento
automático de ambas as funções.
25
Conforme informações do relatório, o Airbus A330 possui três unidades ADIRU e dois computadores FMGEC, sendo que cada ADIRU recebe dados provenientes de sondas pitot's independentes.
33
Mesmo em sistemas automatizados e computadorizados, dos quais se espera
ter grande confiabilidade, há ocasiões em que os pilotos encontram-se em uma
situação de anormalidade e que não possuem tais sistemas para os auxiliar, como
por exemplo o que foi vivenciado pela tripulação do AF447. O próprio relatório afirma
que em condições de emergência, espera-se que haja uma intervenção por parte
dos tripulantes para a detecção da anomalia, uma identificação da origem do
problema e a priorização das suas ações com o intuito de garantir a segurança do
voo.
[...] isso {uma situação de emergência} inclui um número específico de implicações referentes ao desempenho humano, que pode ser baseada no que se espera, razoavelmente, de qualquer operador humano {nesse contexto: piloto} (ao notar um sinal auditivo claramente audível, por exemplo), ou habilidades profissionais normalmente presente entre tripulações de cabine {habilidades de voo manual, por exemplo} [...] ou mesmo habilidades específicas que devem ser explicitamente desenvolvidas através de um curso e/ou práticas de formação específica.
Além disso, estas reações esperadas resultam de vários modos de atividade cognitiva. Operadores humanos notam e agem de acordo com sua representação mental da situação, e não com a situação "real". A probabilidade e velocidade da detecção de sinais da anomalia está ligado à sua "saliência", isto é, a sua capacidade de desestabilizar e modificar a representação da situação em progresso [...] Dependendo da frequência da exposição do operador para a anomalia durante seu treinamento ou em operações reais, a sua resposta pode ser automática, com a aplicação de regras, ou desenvolvidas com base no conhecimento profundo.26 (BEA, 2012, p.104, tradução nossa, grifo nosso)
Posto isso, é necessário um correto e eficiente treinamento para que a
representação da situação de emergência por parte dos pilotos seja a mais realista
possível e que suas respostas sejam condizentes com a ocorrência. A própria
26
"[...] this includes a specific number of implications concerning human performance, which may be based on what can reasonably be expected of any human operator (for example noticing a clearly audible aural signal), or generic professional abilities normally present in the pilot community (“basic airmanship”), or even specific abilities which must be explicitly developed through a specific training course and / or practice. In addition, these expected reactions result from various cognitive modes of activity. Human operators notice and act according to their mental representation of the situation, and not to the “real” situation. The probability and speed of detection of anomaly signals is connected to their salience, that is to say to their ability to destabilize and modify the representation of the situation in progress [...] Depending on the frequency of the operator’s exposure to the anomaly during his training or in real operations, his response may be automatic, applying rules, or developed on the basis of in-depth knowledge."
34
publicação afirma que "simuladores de voo são usados para treinar pilotos a
executar procedimentos normais, anormais e de emergência."27 (BEA, 2012, p.156,
tradução nossa)
As causas do acidente definidas no relatório de investigação indicam diversas
falhas por parte da tripulação, sejam elas relacionadas à incompreensão do que se
passava até mesmo à tomada de atitudes que culminaram na perda de sustentação
e queda da aeronave. Há ainda a afirmação de que houve uma falta de
entendimento pelos pilotos do que estava ocorrendo quando o piloto automático foi
desligado, o que acabou gerando uma sobrecarga emocional. Ao final, é citada
ainda "a dificuldade em reconhecer e compreender as implicações de uma
reconfiguração para Lei Alternada sem proteção de ângulo de ataques {envelope de
proteção}."28 (BEA, 2012, p.203, tradução nossa)
Visto que a investigação constatou que fatores humanos também foram
contribuintes ao acidente, algumas recomendações relacionadas a isso foram
emitidas. Dentre elas, destaca-se para esta pesquisa a de treinamento de controle
manual da aeronave.
O controle manual da aeronave não pode ser improvisado e exige precisão sobre os controles de voo. Há outras situações possíveis {além das que ocorreram nesse acidente} que levam à desconexão do piloto automático para o qual apenas a formação específica e regular pode fornecer as habilidades necessárias para garantir a segurança do voo. A observação dos registros dos últimos treinamentos e inspeções {dos tripulantes} deixou claro que os copilotos não tinham sido treinados para a operar manualmente o avião em aproximação {de uma situação} de estol e recuperação de estol em elevadas altitudes.29 (BEA, 2012, p.206, tradução nossa, grifo nosso)
27
"Flight simulators are used to train pilots to apply normal, abnormal and emergency procedures." 28
"The difficulty in recognizing and understanding the implications of a reconfiguration in alternate law with no angle of attack protection.." 29
"Manual aeroplane handling cannot be improvised and requires precision and measured inputs on the flight controls. There are other possible situations leading to autopilot disconnection for which only specific and regular training can provide the skills necessary to ensure the safety of the flight. Examination of their last training records and check rides made it clear that the copilots had not been trained for manual aeroplane handling of approach to stall and stall recovery at high altitude."
35
Uma vez que sistemas automáticos passaram a existir, pouco é requerido dos
pilotos quanto às suas habilidades manuais. Essa afirmação é corroborada pelo
SAFO 13002 emitido pela FAA em 2013 (Anexo 1), o qual promove o treinamento do
voo manual em condições operacionais que exigem baixa carga de trabalho na
cabine. Em adição, pode-se afirmar, ao exemplo do acidente com o AF447, que a
tripulação é solicitada nesse quesito principalmente em condições de emergência,
nas quais o computador não mais controla a aeronave. Ou seja, além de não estar
treinada e acostumada a operar manualmente o avião, é solicitada a realizar isso em
uma situação de atenção, a qual demanda alta carga de trabalho e controle
emocional.
Wickens (1980 apud BEA, 2013) afirma que existe uma grande dificuldade em
dar a atenção à uma tarefa que exige capacidade cognitiva quando essa mesma
capacidade já está sendo utilizado em outra tarefa. Em situações como essa, a
eficiência de uma das funções, se não das duas, possui grande chance de ser
afetada. Nesse acidente, por exemplo, apesar dos insistentes alertas na cabine, a
tripulação não conseguiu compreender o que estava ocorrendo, tão pouco controlar
a aeronave de forma a evitar a queda.
4.1.2 TAM Voo JJ3054
Em 17 de julho de 2007, o Airbus A320 do operador TAM Linhas Aéreas
colidiu com um edifício da mesma companhia depois de passar o final da pista do
aeroporto de Congonhas em São Paulo, no qual iria pousar. A aeronave, de
matrícula PR-MBK (Figura 12), realizava o voo JJ3054 de Porto Alegre a São Paulo.
A bordo da aeronave havia 2 pilotos, 4 comissários de bordo e 181 passageiros.
Todos no avião e mais 12 pessoas no solo faleceram no acidente. O comandante
(PIC) possuía um total de 13.654 horas de voo, sendo 2.236 horas nesse modelo de
aeronave e o primeiro oficial (SIC) 14.760 horas de voo (237 horas nesse modelo). A
investigação foi conduzida pelo CENIPA (BRASIL, 2009).
36
Figura 12 - Airbus A320 de matrícula PR-MBK anteriormente ao acidente
Fonte: BANDEIRA, 2007
Nessa data, a pista encontrava-se molhada e escorregadia devido às fortes
chuvas que estavam ocorrendo na região. Não obstante, o reverso30 do motor direito
da aeronave estava inoperante. Uma das hipóteses levantadas pelo CENIPA é de
que haveria ocorrido uma hidroplanagem que, somada ao posicionamento incorreto
das manetes de potência, tornou a parada da aeronave no espaço e tempo hábil
impraticável. Com isso, o resultado foi a ultrapassagem do final da pista de pouso e
a colisão do avião com prédios da região (BRASIL, 2009).
Alguns aspectos relativos ao treinamento da tripulação foram levantados
durante a investigação. Ficou constatado, por exemplo, que existia uma pressa em
colocar os pilotos em operação devido à necessidade de mão de obra que a
companhia aérea apresentava na época. Outro ponto é de que a instrução dada pelo
operador, apesar de possuir um cronograma de aulas teóricas mais completo, tinha
um treinamento prático de menor assimilação do que no programa da fabricante
AIRBUS, que era mais gradual e de maior duração. Vale ressaltar, contudo, que a
instrução oferecida pela companhia aérea respeitava os requisitos da legislação
vigente.
30
Trata-se de um sistema localizado nos motores da aeronave que modifica o fluxo de ar de forma a auxiliar a desaceleração da mesma.
37
Previamente à época do acidente, um procedimento padrão era aplicado no
posicionamento das manetes de potência no caso de pouso com um dos reversos
inoperante. Com o objetivo de garantir a segurança e minimizar a chance de erro, o
fabricante da aeronave modificou esse procedimento para outro, que embora fosse
menos eficiente em termos de distância de frenagem, tinha menor possibilidade da
tripulação aplicar um posicionamento errôneo (BRASIL, 2009). O relatório supõe que
no julgamento do PIC, o comprimento da pista poderia ser insuficiente para a parada
da aeronave, uma vez em que as condições climáticas não eram favoráveis e que a
capacidade de frenagem do avião estava reduzida. Essa suposição corrobora a
explicação da disposição equivocada em que as manetes estavam, o que gerou no
relatório um levantamento de aspectos relacionados à arquitetura de funcionamento
dos sistemas de frenagem.
No Airbus A320 existem, além dos reversos, outros dispositivos que auxiliam
na desaceleração e parada da aeronave, como os "ground spoilers" (freios
aerodinâmicos) e o "autobrake" (sistema automático de frenagem).
A função automática "ground spoiler" permite que a abertura do "spoiler" ocorra automaticamente, assim que os trens de pouso
principais tenham tocado o solo, desde que os manetes de potência estejam na posição "IDLE". A permanência de um manete na posição "CL" {subida}, durante o pouso desativa a atuação dos "ground spoilers", deteriorando significativamente a capacidade de frenagem
da aeronave (de 45% a 50%).
[...]
O A-320 também é equipado com um sistema automático de frenagem [...] {em que} uma progressiva pressão é enviada para os freios [...] após a abertura do "ground spoiler". Portanto, a ativação do sistema automático de frenagem requer a deflexão do "ground spoiler". (BRASIL, 2009, p.68)
Dessa forma, uma vez que as manetes não estavam na posição correta, o
"ground spoiler" não foi acionando, culminando assim, no não acionamento do
sistema automático de frenagem. Em outras palavras, pode-se dizer que devido ao
erro da tripulação, o avião não respondeu da forma com que os pilotos esperavam
que ele respondesse.
38
Ressalta-se no relatório, porém, que nenhum sinal visual ou auditivo existente
na aeronave teria alertado sobre o incorreto procedimento que estava sendo
aplicado e que poderia resultar em uma situação potencialmente perigosa. É citado
o disposto no Anexo VIII da ICAO "que condicionam o projeto {de aeronaves} à
observância das limitações impostas pelo desempenho humano: habilidade, força,
atenção, operações inadvertidas, etc." (BRASIL, 2009, p.84).
Posto isso, é levantada a questão da complexidade dos sistemas do A320 ao
afirmar, por exemplo, a necessidade da existência de um sistema de alerta próprio
da aeronave para manutenção da consciência situacional da tripulação.
O sistema de automação do A-320 é complexo e leva o piloto a, inconscientemente, criar um modelo mental na tentativa de compreender a maneira como se processa a operação da aeronave e, assim, facilitar a sua interação com ela.
Ocorre que, como já foi visto, a mente humana só consegue formar modelos mentais simplificados, que podem até servir para compreensão das operações normais, mas que são insuficientes para situações mais complexas e não rotineiras.
[...] diante de uma situação anormal, cresce a importância dos sistemas de alerta da própria aeronave [...]. O próprio fabricante reconheceu esta importância ao desenvolver uma melhoria [...] que aciona um alarme específico com uma mensagem no ECAM, alertando os pilotos de que um manete estaria numa posição {errada} (BRASIL, 2009, p.84, grifo nosso)
É devido também à automação que existe uma relação entre piloto e
computador no qual o primeiro é condicionado a esperar por orientações quando há
situações que fogem da normalidade. Uma vez que essas orientações não
ocorreram, já que para o sistema não havia anormalidade (o mesmo funcionou como
fora projetado para operar, logo não havia falha e portanto nada a sugerir), é
afirmado que "existe uma inadequação na própria lógica de percepção e resposta da
automação da aeronave. Esta permite que a tripulação coloque a aeronave em uma
condição crítica e não oferece informações suficientes [...] para que a tripulação
retome a consciência situacional" (BRASIL, 2009, p.88).
39
Ao final do relatório diversas recomendações foram feitas. Dentre elas há
algumas sobre como melhorar a atuação dos sistemas de desaceleração da
aeronave. Sugeriu-se à Airbus a revisão dos procedimentos existentes e a busca por
melhorias na lógica de atuação dos dispositivos que auxiliam na frenagem. Quanto à
ANAC, houve o incentivo para a criação de uma Diretriz de Aeronavegabilidade que
solicite modificações no projeto do A320 a fim de garantir a segurança de voo e
evitar uma nova ocorrência desse tipo.
4.1.3 Air France Voo AF296
O acidente do voo AF296 teve muita repercussão não somente por ter
ocorrido logo após o lançamento da aeronave Airbus A320, mas sim pelos rumos
que a investigação tomou, conforme será relatado a seguir.
O relatório oficial foi publicado em abril de 1990 pela Comissão de
Investigação que havia sido formada para descobrir as causas do acidente.
Entretanto, após sua publicação, diversos documentos novos foram à público, como
o livro "Airbus - L'assassin habite à l'Élysée" de Norbert Jacquet em 1994 (ex-piloto
da Air France) e o relatório "The Airbus A320 crash at Habsheim, France 26 June
1988 - Why and how the flight recorder tapes were forged" feito por Christian Roger
(ex-presidente do sindicato francês dos pilotos de linha aérea - SNPL) em 1998.
Ambas as publicações questionavam a veracidade das informações contidas no
relatório oficial do acidente. Nota-se que essa pesquisa não visa a avaliação da
fidedignidade desses últimos dois documentos, sendo eles fontes não oficiais da
investigação, os quais foram citados apenas para o completo conhecimento do leitor
sobre o acidente.
Conforme consta na publicação da Comissão de Investigação, o caso ocorreu
com a aeronave Airbus A320, matrícula F-GFKC, em 26 de junho de 1988, no
aeroporto de Mulhouse-Habsheim, França. Esse modelo de avião havia sido lançado
pouco tempo antes. A aeronave tinha sido entregue dois dias prévios à data do
acidente e era a terceira a ser recebida pelo operador Air France. O voo AF296 teria
como ponto de partida o aeroporto de Paris, Roissy-Charles de Gaulle e como
destino Basel-Mulhouse (COMMISSION D'ENQUÊTE, 1990).
40
A aeronave havia sido selecionada para realizar uma passagem baixa no
aeroporto de Habsheim, onde estava sendo realizada uma feira. Após passar muito
baixo e muito devagar, o avião colidiu com árvores de uma floresta existente ao final
da pista, conforme mostra a Figura 13. Das 136 pessoas abordo, três faleceram na
ocasião (COMMISSION D'ENQUÊTE, 1990).
A comissão atribuiu as causas do acidente à passagem muito baixa, muito devagar e reduzindo a velocidade {ainda mais}, potência do motor em marcha lenta e aplicação tardia de potência de arremetida. Ela {a comissão} comenta preparação insuficiente para o voo, inadequada divisão de tarefas na cabine de comando e possível excesso de confiança por causa do envelope de proteção do A320.31 (BILLINGS, 1997, p.311, tradução nossa)
Figura 13 - Voo AF296 em passagem baixa (à esquerda) e local da queda (à direita)
Fonte: COMMISSION D'ENQUÊTE, 1990, p.72-73, adaptado
31
"The commission attributed the cause of the accident to the very low flyover height, very slow and reducing speed, engine power at flight idle, and a late application of go-around power. It commented on insufficient flight preparation, inadequate task sharing in the cockpit, and possible overconfidence because of the envelope protection features of the A320"
41
No relatório é afirmado ainda que os motores do A320 funcionaram em
perfeitas condições (da maneira que fora projetado para operar) e que a passagem
baixa havia sido feita em altura menor do que a planejada (de 100 pés ou 30 metros)
(COMMISSION D'ENQUÊTE, 1990). A grande repercussão do acidente se deu ao
fato de na época o comandante do voo Michel Asseline, afirmar que a comissão não
estava sendo imparcial e que não relatava a verdade no relatório (NATGEO, 2010).
Asseline afirmava durante a investigação que seus instrumentos indicavam
100 pés de altura durante a passagem, apesar de um vídeo feito por um cinegrafista
na feira mostrar que a aeronave estava abaixo do ideal, já que de outra maneira não
seria possível colidir com a copa das árvores que existiam ao fim da pista. Outra
questão levantada pelo comandante é de que os motores não responderam de
maneira apropriada quando fora solicitada potência de arremetida (NATGEO, 2010).
Ambas as questões poderiam ser explicadas pelos Boletins OEB 19/1 (May 1988):
"Engine Acceleration Deficiency at Low Altitude" e OEB 06/2 (May 1988): "Baro-
Setting Cross Check", que foram emitidos um mês antes do acidente, mas que
chegaram ao conhecimento da tripulação somente depois. O primeiro afirmava que
a baixa altitude os motores do A320 poderiam não responder corretamente aos
comandos da manete de potência e o segundo dizia que as indicações do sistema
barométrico nem sempre davam indicações corretas (IEFAP, 2015; NATGEO, 2010).
Outra questão abordada pelo comandante é que ao aplicar potência de
arremetida, ele também movimentou o "sidestick" com o intuito de fazer o nariz da
aeronave se elevar. Ficou constatado pela comissão, entretanto, que Asseline não
se abstinha da verdade ao dizer que o movimento do avião havia sido oposto ao que
solicitara no acidente. Em outras palavras, o nariz da aeronave se abaixara e essa
questão era devida ao sistema de proteção do envelope de voo que o "fly-by-wire"
do Airbus possuía (COMMISSION D'ENQUÊTE, 1990; NATGEO, 2010).
Após a publicação do relatório final o comandante do AF296 foi sentenciado
na corte francesa a alguns meses de detenção por homicídio culposo. Em 1998
Christian Roger publicou um relatório na defesa do comandante no qual ele afirma
que o gravador do avião havia sido forjado e que isso poderia indicar que de fato a
investigação não tinha sido completa devido aos segundos faltantes na gravação.
42
Em seu relatório, é afirmado que poderia ter ocorrido uma tentativa de encobrir
algum problema com o projeto da aeronave e/ou seus motores (IEFAP, 2015).
Independente da veracidade da afirmação de ter ou não havido incoerência
na investigação, fato é que o sistema de proteção do envelope de voo da aeronave
sobrepujou a solicitação do piloto para subir a aeronave e abaixou o nariz da
mesma. Uma vez que esse sistema foi criado para não permitir que o avião entre em
uma situação de estol e perca a sustentação, é possível afirmar que ele funcionou
como deveria funcionar e impediu a aeronave de entrar em uma situação de risco
(COMMISSION D'ENQUÊTE, 1990; NATGEO, 2010). Por outro lado, ao sobrepor a
solicitação do piloto, esse sistema permitiu que a aeronave voasse em direção às
árvores (NATGEO, 2010).
Por fim, destaca-se o que Billings (1997, p.39, tradução nossa) cita em sua
publicação. "Pilotos devem permanecer no comando de seus voos"32 e complementa
posteriormente:
Os primeiros princípios estabelecem que "os seres humanos devem ser capazes de monitorar a automação". Isso parece óbvio, mas tem-se observado que a automação avançada é frequentemente decidida e silenciosa (Sarter & Woods, 1994) sobre o seu trabalho, deixando os seres humanos a se perguntar o que ela {automação} está fazendo, e às vezes porquê.33 (BILLINGS, 1997, p.43, tradução nossa.)
4.1.4 Asiana Voo 214
O acidente do voo Asiana 214 ocorreu no aeroporto internacional de São
Francisco, na Califórnia, Estados Unidos, em 6 de julho de 2013. O Boeing 777-
200ER, de matrícula HL7742 (Figura 14), havia decolado de Seoul, Coréia do Sul,
com 291 passageiros, 12 comissários e 4 tripulantes de cabine. Na ocasião três
passageiros faleceram e muitos outros ficaram feridos (NTSB, 2014).
32
"Pilots must remain in command of their flights." 33
"The first principles state that "the humans must be able to monitor the automation." This sounds obvious, but it has been observed that advanced automation is often strong and silent (Sarter & Woods, 1994) about its work, leaving humans to wonder about what it is doing, and sometimes why."
43
Figura 14 - Boeing de matrícula HL7742 anteriormente ao acidente
Fonte: JEROMY, 2012
Conforme consta no relatório, dentre a tripulação de cabine havia um
aspirante à comandante (estava em adaptação à nova aeronave e era, na ocasião, o
Pilot Flying - PF), um piloto instrutor (Pilot Monitoring - PM), um segundo
comandante e um primeiro oficial. Uma vez que no momento do acidente, somente
o PF e o PM estava no controle da aeronave, dar-se-á nesse trabalho ênfase
apenas à experiência de ambos. O primeiro possuía um total de 9.684 horas de voo,
sendo 33 horas nesse modelo de aeronave e o segundo 12.307 horas de voo totais
(3.208 horas nesse modelo).
Após uma aproximação para pouso desestabilizada, a aeronave bateu com o
trem de pouso e com a parte traseira da fuselagem na parede quebra-mar existente
na cabeceira da pista. Na colisão, a aeronave teve a cauda separada no impacto,
que foi forte o suficiente para fazer a aeronave perder o controle, girar no ar e parar
2.400 pés de distância do ponto de impacto inicial (Figura 15). O relatório afirma que
as prováveis causas do acidente seriam:
[...] o não gerenciamento da decida do avião pela tripulação durante a aproximação visual, a desativação não intencional do controle automático de velocidade pelo PF, o inadequado monitoramento da
44
velocidade pela tripulação, e o atraso da tripulação em executar uma arremetida [...]. Contribuindo ao acidente estão (1) as complexidades do autothrottle e dos sistemas do piloto automático que estavam inadequadamente descritas na documentação do Boeing e treinamento de pilotos da Asiana [...] (3) treinamento inadequado do PF no planejamento e execução de aproximações visuais34 (NTSB, 2014, p.118, tradução nossa.)
Figura 15 - Imagens aéreas do local do acidente
Fonte: NBC News, 2013; NTSB, 2014, adaptado
A investigação revelou que o PF não compreendia a lógica de funcionamento
do autothrottle (A/T) e do sistema de proteção ao envelope de voo da aeronave. Tal
fato fez com que durante a aproximação, ele desativasse indesejada e
inconscientemente o controle automático da velocidade do avião. Uma vez que o
motor estava com a potência mínima, nem a velocidade e tão pouco a altitude pôde
ser mantida. Com isso, o avião aproximou-se para pouso muito baixo, chocando-se
com o quebra-mar alguns metros antes da cabeceira da pista. O PM, que também
não notou que o A/T não estava mais controlando automaticamente a velocidade do
avião, tomou consciência da baixa velocidade e altitude tarde de mais para iniciar
um procedimento de arremetida (NTSB, 2014).
É discutido no relatório que diversos pilotos da Asiana não compreendiam por
completo o funcionamento do A/T do Boeing 777. Em entrevista dada à equipe de
34
"the flight crew’s mismanagement of the airplane’s descent during the visual approach, the PF’s unintended deactivation of automatic airspeed control, the flight crew’s inadequate monitoring of airspeed, and the flight crew’s delayed execution of a go-around [...]. Contributing to the accident were (1) the complexities of the autothrottle and autopilot flight director systems that were inadequately described in Boeing’s documentation and Asiana’s pilot training, [...] (3) the PF’s inadequate training on the planning and execution of visual approaches"
45
investigação, tais tripulantes afirmaram que o modo de operação do A/T35, o qual
havia sido inadvertidamente colocado pelo PF e que não estava controlando a
velocidade, não era claro. Em outras palavras, o manual de operação da aeronave
não deixava explícita a forma com que o sistema funcionava.
Não obstante, foi constatada também uma falha no treinamento dos pilotos no
que tange a esse sistema. Durante as entrevistas, colocou-se em questão a lógica
de operação do A/T. Foi perguntado em qual modo o A/T estaria operando sob
determinadas condições de voo e após certos procedimentos terem sido aplicados.
O resultado foi que, embora essa situação tenha sido abordada no treinamento da
companhia aérea, nem todos os pilotos questionados responderam corretamente.
Um interessante aspecto levantado durante a investigação é de que essa
confusão não ocorria somente no Boeing 777. Durante os voos de teste do Boeing
787 em 2010, um piloto da FAA reportou um problema similar ao ocorrido no voo
Asiana 214. Ele afirmou que o A/T da aeronave não havia se comportado do jeito
que ele esperava e que isso poderia trazer confusão e dar espaço para situações de
perigo. O relatório da NTSB afirma que, de acordo com a Boeing, o sistema
autothrottle do 777 e do 787 possuem as mesmas características de operação, o
que poderia explicar a mesma situação encontrada em ambas as aeronaves.
Embora essa questão não tenha sido levantada durante a certificação do Boeing 777
em 1995, foi publicado durante os processos de certificação do 787, tanto pela FAA
quanto pela EASA, documentos que demonstraram preocupação à essa lógica que
poderia induzir ao erro (NTSB, 2014)
O relatório comenta, ainda, um estudo conduzido pela Boeing, pela
International Air Transport Association (IATA) e pela International Federation of
Airline Pilots Association (IFALPA), o qual afirmava existir uma deficiência no
treinamento de pilotos que estavam em transição de uma aeronave para um novo
modelo. Dentre os dados obtidos estão:
42% consideraram que o treinamento dos sistemas automáticos eram
mínimos ou inadequados;
35
O Boeing 777 possui autothrottle com mais de um modo de operação, tendo cada qual uma característica e lógica de funcionamento. O modo colocado inadvertidamente pelo PF do voo Asiana 214 era o HOLD, no qual o sistema de proteção de estol não está ativo, razão essa pela qual o avião desacelerou sem que ocorresse a intervenção do A/T.
46
23% se sentiram confortáveis com a operação dos sistemas automáticos da
nova aeronave durante o inicio dos voo;
62% não se sentiram confortáveis até completarem 3 meses de operação ou
mais; e
os entrevistados estimaram que 42% da aprendizagem do funcionamento dos
sistemas automáticos ocorreram durante os voos em linha (NTSB, 2014)
A complexidade dos sistemas de piloto automático pode contribuir para modelos mentais defeituosos de lógica de automação. Os sistemas instalados em aviões como o 777, por exemplo, contém vários subsistemas. Cada um destes subsistemas tem vários modos de operação, e esses subsistemas são interconectados de várias maneiras. Pesquisa de fatores humanos envolvendo pilotos sugere que eles têm dificuldade em compreender as sutilezas das interligações entre os vários subsistemas do piloto automático (Billings, 1999). Estas dificuldades levam à lacunas nos modelos mentais dos pilotos que podem ser particularmente problemáticas em situações altamente dinâmicas e/ou não rotineiras (Sarter e Woods 1997, 553-569). O problema dos modelos mentais defeituosos dos pilotos {relativo aos} complexos sistemas de piloto automático pode ser aliviados por melhorias no treinamento dos sistemas e redução na complexidade do projeto36 (NTSB, 2014, p.111, tradução nossa.)
Outro ponto abordado pelo relatório do NTSB é que, durante uma
aproximação comandada pelo piloto automático, faz-se necessário uma
programação prévia das configurações para que o computador da aeronave execute
os procedimentos correta e acertadamente. Contudo, uma vez que ocorra uma
alteração em um dos fatores referentes ao pouso, é preciso que todo um novo ajuste
seja realizado, dificultando e aumentando as tarefas dos pilotos.
As manobras necessárias para colocar um avião no curso de aproximação final e estabilizado em altitudes apropriadas [...] são
36
"The complexity of autoflight systems can contribute to faulty mental models of automation logic. The systems installed on airplanes like the 777, for example, contain multiple subsystems. Each of these subsystems has various modes of operation, and these subsystems are intercoupled in various ways. Human factors research involving pilots suggests that they have difficulty comprehending the subtleties of the interconnections between various autoflight subsystems (Billings 1999). These difficulties lead to gaps in pilots’ mental models that can be particularly problematic in highly dynamic and/or nonroutine situations (Sarter and Woods 1997, 553-569). The problem of faulty pilot mental models of complex autoflight systems can be alleviated by improving systems training and reducing design complexity."
47
altamente variáveis e dependem de uma série de fatores, incluindo topologia, tráfego, e da interação da tripulação de voo com ATC {órgão de controle de tráfego}. Sistemas de piloto automático são muito úteis para minimizar a carga de trabalho da tripulação durante estas manobras, mas funcionam melhor quando pré-programadas [...] Uma volta para o aeroporto mais cedo do que o previsto, por exemplo, pode deixar o voo mais alto e mais rápido do que o previsto, o que requer um ajuste na velocidade, na taxa de descida, e no arrasto necessário. Tais ajustes muitas vezes podem ser feitos mais facilmente ao voar o avião manualmente. Correções manuais dos controles de voo podem ser feitas mais rapidamente do que as entradas {de dados no} A/P, e o movimento manual das manetes de potência podem ser feitos diretamente e sem entrada do controle automático, simplificando as tarefas do piloto.37 (NTSB, 2014, p.81, tradução nossa.)
Por outro lado, para solicitar que a tripulação voe o avião manualmente é
necessário que a mesma esteja devidamente treinada e se sinta confortável em
fazê-lo. De outro modo, comandos equivocados podem ser aplicados nos controles
e a segurança de voo estaria comprometida. Ficou constatado na investigação,
porém, que a companhia enfatizava o completo uso da automação e não encorajava
o voo manual durante os voos. O manual de operação dos pilotos, por exemplo,
afirmava que os pilotos "deveriam fazer total uso do A/P e A/T, e que o A/T deveria
ser utilizado mesmo em voo manual"38 (NTSB, 2014, p.120, tradução nossa).
Além dessas informações, ficou constatado também por entrevistas que os
pilotos da operadora do Boeing praticavam o voo manual somente nos momentos
finais do voo. Era um consenso na empresa desligar o piloto automático apenas
quando o avião estava a 1.000 pés acima do solo. Na investigação foi afirmado por
um instrutor contratado pela Asiana:
37
"The maneuvering needed to place an airplane on the final approach course and stabilized at the appropriate altitudes [...] is highly variable and depends on a number of factors, including terrain, traffic, and flight crew interaction with ATC. Autoflight systems are very useful in minimizing crew workload during this maneuvering but function best when preprogrammed [...] A turn toward the airport sooner than anticipated, for example, can make the flight higher and faster than planned, requiring an adjustment in speed, descent rate, and drag required. Such an adjustment can often be made most easily by manually flying the airplane. Manual corrections to flight controls can be made more quickly than A/P inputs, and manual movement of the thrust levers can be made directly and without automatic control input, simplifying the pilot’s tasks." 38
"should make full use of the A/P and the A/T, and the A/T should be used even in manual flight"
48
[...] que o voo manual era 'um grande susto para todos', e ele acreditava que os pilotos evitavam voar manualmente pela preocupação de fazer algo errado e de que a companhia culpasse-os se eles realizassem uma arremetida ou tivessem um pouso duro e que esse fosse capturado pelos dispositivos a bordo de monitoramento de dados do voo.39 (NTSB, 2014, p.120, tradução nossa).
Em suas análises, o relatório cita o SAFO 13002, documento já discutido
nessa pesquisa e que se encontra no Anexo 1. Dentre as discussões, é relatado as
modificações no regulamento de treinamento dos pilotos de linha aérea que
ocorreram após a publicação desse SAFO. Mais especificamente, foi adicionado ao
14 CFR Part 12140 uma nova seção (Seção 121.423), a qual solicita que até 2019,
as companhias acrescentem em seu programa de treinamento a execução de
procedimentos que integrem: voo em baixa velocidade controlado manualmente,
perda da leitura de velocidade controlada manualmente, chegada e saída de
aeroportos por instrumentos controlada manualmente e manobras de recuperação
(NTSB, 2014; FAA, 2014).
Dentre as recomendações feitas pela NTSB à Boeing e à Asiana Airlines
estão: revisão do manual de operação do Boeing 777 para incluir declarações
específicas ao funcionamento dos sistemas automáticos, em especial à aspectos
relacionados ao ocorrido nesse acidente; modificação da política da companhia para
possibilitar maior quantidade de horas manuais, tanto em voos de treinamento
quanto em operação; e reforçar o modo de operação dos sistemas automáticos
dessa aeronave no programa de treinamento.
4.2 OS EFEITOS DA AUTOMAÇÃO
O processo de automação nas aeronaves descrito por Jukes (2004) e Billings
(1997) trouxe diversas melhorias à segurança de voo. Conforme já explicado e
39
"that manual flying was a “big scare for everybody,” and he believed that pilots avoided flying manually because of concern that they might do something wrong and the company would blame them if they performed a go-around or had a hard landing that was captured by onboard flight data monitoring devices" 40
Tal documento é uma parte do Federal Aviation Regulations, que é produzido pela FAA. Especificamente, o Part 121 é o capítulo que regulamenta, dentre outras coisas os requisitos operacionais das companhias aéreas.
49
afirma BRASIL (2009, p.86), a automação foi "criada como um recurso para diminuir
a carga de trabalho e minimizar a incidência de erros humanos diante da
complexidade crescente dos sistemas que integram a aeronave". Tanto é verdade
essa afirmação que, como já discutido, Billings (1997) logo no começo de sua
publicação, relembra que a automação foi uma das soluções que fabricantes e
operadores encontraram para diminuir a frequência de erros humanos. Por outro
lado, as análises feitas dos quatro acidentes mostram que também existem pontos
negativos no que concerne à automatização dos sistemas e que há, ainda, a
possibilidade de que esses aspectos comprometam a segurança de voo.
No relatório do acidente TAM JJ3054, por exemplo, é afirmado que:
Como se sabe, a introdução de sistemas automatizados favorece a formação de um estado de complacência por parte dos pilotos, em função da gradativa mudança no papel que desempenham a bordo, passando, cada vez mais, a supervisionar as tarefas executadas pelo computador.
Em vista da reconhecida eficiência do computador, a confiança depositada pelo piloto na sua infalibilidade o leva a se acomodar no acompanhamento das condições de voo, acreditando que tudo esteja sob o mais absoluto controle.
Essa falsa impressão acaba reduzindo a consciência situacional e pondo em risco a segurança de voo, especialmente numa condição não rotineira. (BRASIL, 2009, p.86)
Em publicação produzida pela britânica Civil Aviation Authority (CAA) é dito
que um sistema com confiabilidade elevada, já abre a possibilidade para falhas:
{Quando os pilotos} realizavam várias tarefas relacionadas simultaneamente, com uma das tarefas sendo automatizada, a consistência e a confiabilidade na automação afetava a sua habilidade {do piloto} em monitorar as falhas da automação. A detecção de falhas na automação era pobre sob uma automação {que fosse} constantemente confiável, mesmo após uma falha catastrófica. No entanto, o monitoramento {da automação} era eficiente sob uma automação {que tivesse} confiabilidade variável. Portanto, uma automação considerada ineficiente em monitoramento
50
é, em parte, em função da confiabilidade e consistência da própria automação41 (CAA, 2004, p.36, tradução nossa)
Posto isso, fica clara a benevolência por parte dos pilotos, uma vez que os
sistemas automáticos mostraram-se confiáveis e eficientes. Em outras palavras, o
piloto não é levado a crer que os sistemas da aeronave podem falhar ou que podem
não responder da forma como ele espera. Como exemplo disso, tem-se o acidente
com o voo AF447, no qual, após o desligamento do A/P e do A/THR, a tripulação
não conseguiu manualmente controlar a aeronave. Ou então, o AF296 e o Asiana
214, em que o sistema não operava da maneira com que os pilotos acreditavam.
Nesse contexto, vale enfatizar a citação já abordada:
O sistema de automação do A-320 {modelo do voo TAM JJ3054 e AF296} é complexo e leva o piloto a, inconscientemente, criar um modelo mental na tentativa de compreender a maneira como se processa a operação da aeronave e, assim, facilitar a sua interação com ela.
Ocorre que, como já foi visto, a mente humana só consegue formar modelos mentais simplificados, que podem até servir para compreensão das operações normais, mas que são insuficientes para situações mais complexas e não rotineiras.
Como consequência, diante de uma situação anormal, cresce a importância dos sistemas de alerta da própria aeronave [...] O próprio fabricante reconheceu esta importância ao desenvolver uma melhoria [...] que aciona um alarme específico com uma mensagem no ECAM, alertando os pilotos de que um manete estaria numa posição {errada} (BRASIL, 2009, p.84, grifo nosso)
Pode-se afirmar, inclusive, que essa necessidade de alertas próprios da
aeronave é reforçada pelos relatórios dos quatro acidentes citados nessa pesquisa.
Em todas as ocasiões, a tripulação não estava ciente do que se passava e/ou de
que maneira os sistemas automáticos estavam operando, tornando-se importante
para a eficiência e segurança da operação aérea a existência de um meio de alerta
41
"performed multiple flight related tasks simultaneously, with one of the tasks being automated, the consistency and reliability of the automation affected their ability to monitor for automation failure. Detection of automation failures was poor under constant-reliability automation, even following a catastrophic failure. However, monitoring was efficiency under variable reliability automation. Therefore, automation related inefficiency in monitoring is in part a function of the reliability and consistency of the automation itself"
51
da tripulação. Deste modo, a grande confiabilidade depositada nos computadores da
aeronave somada com a ausência de informes à tripulação propiciou, em todos
esses casos, um ambiente de complacência na cabine de comando que trouxe
riscos à segurança de voo.
Outro aspecto relacionado à automação levantado ao longo dessa pesquisa,
em especial durante a análise do relatório da Asiana 214, é o receio que as
tripulações tem em intervir ou de realizar procedimentos manualmente. Esse
aspecto, que foi revelado pelos tripulantes e instrutores da Asiana Airlines no
relatório da NTSB, coloca em risco, por exemplo, a habilidade manual necessária
para pilotar a aeronave.
Como discutido na fundamentação teórica, a precisão do piloto automático é
muito maior do que a de qualquer piloto, o que permite uma operação com mais
eficiência e maior economia de combustível. Por outro lado, existe a necessidade de
programar o computador da aeronave, o que demanda tempo e aumenta a carga de
trabalho.
Independente dos benefícios e malefícios da automação, mesmo em
momentos do voo em que não há uma grande quantidade de tarefas, permanece
entre as tripulações a questão do "porquê interferir se a possibilidade de eu, como
piloto, errar é maior?" (NTSB, 2014). Essa falta de controle direto do piloto com a
aeronave deteriora suas habilidades e coloca em risco a segurança de voo quando
é necessária uma intervenção de uma tripulação que não está devidamente
preparada, como ocorreu com o AF447. Billings (1997) exemplifica o fato: "um
decréscimo de habilidades psicomotoras foi observado por pilotos {que estavam em}
transição da posição de copiloto do DC-10, um avião bastante automatizado {para a
época}, para a posição de comandante em aeronaves menos automatizada, como o
727."42 (BILLINGS, 1997, p.195, tradução nossa)
Além dessa questão de diminuir a capacidade de controle da aeronave, nota-
se uma deficiência no treinamento para compreender e gerenciar os sistemas
automatizados.
42
"Psychomotor skill decrements were observed by pilots transitioning from copilot positions in the DC-10, a fairly automated airplane, to command positions in less automated aircraft such as the 727."
52
O treinamento atual não prepara adequadamente as tripulações para monitorar apropriadamente as funções automatizadas da aeronave em todas as situações previsíveis ou quando {deve-se} intervir em um processo automatizado. Também não prepara as tripulações para realizar uma gama adequada de tarefas usando a automação.43 (CAA, 2004, p.23, tradução nossa)
Em complemento à essa afirmação e também à ideia anterior de que o piloto
nem sempre tem consciência operacional dos sistemas automáticos, tem-se no
relatório do CENIPA (BRASIL, 2009):
A introdução de sistemas complexos de proteção nos equipamentos traz, como risco agregado, uma dificuldade na sua compreensão, originando diferentes falhas que demoram a ser percebidas, devido ao grande número de controles e à multiplicidade de suas interações.
A complexidade desses sistemas, por vezes, torna difícil para o piloto elaborar, por meio de um modelo mental, uma representação precisa da lógica de sua automação. Como agravante, a sofisticação dos equipamentos dispostos no "cockpit" pode significar um óbice a mais para o entendimento das ações ditadas pelo sistema automatizado, especialmente nas situações críticas ou não rotineiras, dificultando também a antecipação do que vai acontecer em seguida, gerando uma inadequação cognitiva (Philippe Polet et al)
Como as informações são muito complexas, a concepção da automação nem sempre permite que o piloto saiba exatamente como as operações estão sendo realizadas pelo sistema. É como se fosse dado ao piloto, apenas, uma noção parcial do funcionamento da aeronave, que a engenharia julga ser a necessária para que ele a opere. Por outro lado, também é dada uma proteção à aeronave quanto aos possíveis erros de operação capazes de gerar situações de descontrole (situações estas que, neste contexto automatizado estariam além da capacidade de compreensão do piloto). (CENIPA, 2009, p.71)
Segundo afirma a FAA, "O piloto em comando de uma aeronave é
diretamente responsável por, e é a autoridade final sobre a operação dessa
43
"The current training does not adequately prepare crews to properly monitor the automated functions of the aircraft in all foreseeable situations or when to intervene in an automated process. Neither does it prepare crews to conduct an adequate range of tasks using the automation."
53
aeronave."44 (FAA, 2014, Part 91.3a, tradução nossa). Portanto, uma vez que o
piloto não tem conhecimento total do funcionamento da aeronave e pode ter suas
decisões sobrepostas pelo computador, torna-se questionável a responsabilidade e
autoridade que lhe é conferida. Pode-se citar como exemplo disso, para finalizar, o
acidente do AF296, em que o sistema de proteção da aeronave sobrepujou a
solicitação do piloto para subir, conforme discutido em análise da ocorrência.
5 CONSIDERAÇÕES FINAIS
5.1 CONCLUSÃO
Finalizando o que já foi amplamente discutido, pode-se dizer que a
automação dentro da cabine de comando possibilitou melhoras em diversos
aspectos, como economia de combustível, operações mais eficientes e a redução da
carga de trabalho da tripulação ao diminuir a quantidade de tarefas. Entretanto, há
as consequências desses benefícios, como a diminuição da habilidade para realizar
voo manual, fator que já foi ponderado pela FAA no SAFO 13002 e teve uma medida
corretiva com o acréscimo de requisitos no Part 121.
Dentre os outros fatores que podem trazer riscos à segurança aérea, está, por
exemplo, o excesso de confiabilidade dos e nos sistemas. Esse fator faz com que o
monitoramento das operações seja feito de forma inadequada, pois a tripulação não
espera que ocorra a falha. De forma conclusiva, pode-se afirmar que essa
característica leva à complacência da tripulação.
A complicada lógica de funcionamento dos sistemas deixa os pilotos com uma
consciência situacional defasada, uma vez que esses não possuem capacidade
cognitiva suficiente para compreender modelos mentais complexos. Devido à isso,
foi observado que em alguns acidentes chegou-se ao extremo da tripulação não
entender o que estava ocorrendo e não conseguir intervir de maneira apropriada.
Vale lembrar que essa intervenção por vezes é realizada de maneira receosa devido
ao medo de tomar atitudes erradas. Em outras palavras, essa interferência realizada
pela tripulação é seguida de perto tanto pelo receio de tirar o controle de um sistema
44
"The pilot in command of an aircraft is directly responsible for, and is the final authority as to, the operation of that aircraft"
54
automático que possui baixa probabilidade de falha, quanto pela preocupação de ser
punido ao realizar procedimentos de maneira equivocada.
Ressalta-se, ainda, a importância de uma arquitetura de operação que
diminua ao máximo a chance de erro e confusão das tripulações. Nas disposições
finais do relatório do acidente TAM JJ3054, por exemplo, ficou constatado que
existiam, na visão do órgão investigador, falhas de projeto que foram, inclusive,
consideradas como contribuintes ao acidente.
Para Billings (1997), o que diferencia um sistema de sucesso e seguro de um
sistema de falha e que induz ao erro é a forma com que os elementos homem e
automação se relacionam. Portanto, para medir a eficiência da operação aérea,
deve-se considerar ambos os fatores juntos, e não como eles se comportam de
maneira isolada.
Como conclusão, resume-se as consequências da automação na segurança
de voo a: diminuição da consciência situacional das tripulações, a complexidade dos
sistemas, a falta de compreensão dos mesmos pelos pilotos, o comprometimento da
capacidade de manter voo manual e a produção de um ambiente de complacência.
5.2 RECOMENDAÇÕES
Ao longo da pesquisa e, principalmente durante a análise dos relatórios dos
acidentes, algumas recomendações de segurança fornecidas pelos próprios
investigadores puderam ser notadas, como as descritas a seguir:
Revisão do conteúdo dos programas de treinamento e implantação de
exercícios específicos e regulares dedicados à pilotagem manual, à
abordagem e à recuperação do estol, inclusive em alta altitude (BEA, 2012;
BRASIL, 2009; NTSB, 2014);
"Unificar a gestão dos treinamentos teóricos e práticos dos tripulantes, com a
finalidade de proporcionar maior controle da qualidade na formação e nas
reciclagens" (BRASIL, 2009, p.112);
Revisão dos manuais de operação das aeronaves com o objetivo de
esclarecer a lógica de funcionamento dos sistemas (NTSB, 2014).
55
5.3 SUGESTÕES PARA TRABALHOS FUTUROS
a. Avaliação operacional dos sistemas "Fly-by-wire" com relação à segurança de
voo;
b. Estudo sobre a implantação da filosofia "Glass Cockpit" com foco na avaliação
do piloto;
c. Análise comparativa entre a operação aérea com instrumentos convencionais
e operações em aeronaves "Glass Cockpit";
d. Estudo sobre treinamento de pilotos com base na transição dos instrumentos
convencionais para "Glass Cockpit";
e. Avaliação do custo financeiro da adaptação de aeronaves originalmente com
instrumentos convencionais para filosofia "Glass Cockpit";
f. Estudo qualitativo e quantitativo sobre os tipos de acidentes aeronáuticos
ocorridos antes e após a automação dos sistemas e inserção da filosofia "Glass
Cockpit".
56
REFERÊNCIAS
AGÊNCIA NACIONAL DE AVIAÇÃO CIVIL (ANAC). A Segurança de Voo no Sistema de Aviação Civil. 2015. Disponível em: <http://www2.anac.gov.br/segVoo/historico.asp> Acesso em: 12 mar. 2015. AIRBUS INDUSTRIE. Flight Crew Training Manual - A318/319/320/321. Toulouse: EADS Company, 08 Jul. 2008. BANDEIRA, S. TAM Linhas Aéreas - Airbus A320-233. Jetphotos.net, Porto Alegre, 2007. Disponível em: <http://jetphotos.net/viewphoto.php?id=6101820&nseq=2> Acesso em: 08 mai. 2015. BILLINGS, C. E. Aviation automation: The Search for a Human-Centered Approach. New Jersey: Lawrence Erlbaum Associates, 1997. BOLDMETHOD. Would you rather fly a yoke or a side-stick?. 2014. Disponível em: <http://www.boldmethod.com/blog/vote/2014/10/yoke-or-side-stick/> Acesso em: 07 mai. 2015. BRASIL. Lei n. 7.565, de 19 de dezembro de 1986. Art. 87º. Código brasileiro de aeronáutica. ________. Ministério da Aeronáutica. Norma do sistema do Comando da Aeronáutica: NSCA 3-13 - Protocolos de Investigação de Ocorrências Aeronáuticas da Aviação Civil conduzidas pelo estado Brasileiro, Brasília: Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA), 2014. Normas do Sistema (SIPAER) emitidas pelo Centro de Investigação e Prevenção de Acidentes Aeronáuticos - CENIPA, [s.d.]. ________. Ministério da Aeronáutica. Relatório final A-nº67/CENIPA/2009 – Acidente Aeronáutico Airbus A320 PR-MBK, Brasília: Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA), 2009. Normas do Sistema (SIPAER) emitidas pelo Centro de Investigação e Prevenção de Acidentes Aeronáuticos - CENIPA, [s.d.]. BRITISH AIRSPACE SYSTEMS (BAE). Full Authority Digital Engine Control (FADEC). Disponível em: <http://www.baesystems-ps.com/fadec.php> Acesso em: 25 abr. 2015. BUREAU D'ENQUÊTES ET D'ANALYSES POUR LA SÉCUTIRÉ DE L'AVIATION CIVILE (BEA). Final Report Flight AF447 Rio de Janeiro - Paris. Paris: BEA. Jul. 2012. CIVIL AVIATION AUTHORITY (CAA). CAA Paper 2004/10 - Flight Crew Reliance on Automation. Simon Wood, Cranfield University, 22 Dec. 2004. COLLINSON, R. P. G. Introduction to Avionics Systems. 3ª Ed. London: Springer, 2011.
57
COMMISSION D'ENQUÊTE. Rapport final: sur l'accident survenu le 26 juin 1988 à Mulhouse-Habsheim (68) à l'Airbus A 320, immatriculé F-GFKC. Paris: Direction des journaux officiels, n.28, Abr. 1990. CORNELOUP, O. Air France - Airbus A330-203. Jetphotos.net, Paris, 2007. Disponível em: <http://jetphotos.net/viewphoto.php?id=6521385> Acesso em: 08 mai. 2015. DOMANDL, R. Picture of the Boeing 767-375/ER aircraft. Airliners.net, Buenos Aires, 2014. Disponível em: <http://www.airliners.net/photo/Air-Canada/Boeing-767-375-ER/2525825/L/&sid=3678b451c521d5322be6af7c5208d09c> Acesso em: 04 mai. 2015. EISMIN, T. K. Aircraft Electricity & Electronics. Glencoe Aviation Technology Series. 5ª Ed. New York: Glencoe/McGraw-Hill, 2002. FEDERAL AVIATION ADMINISTRATION (FAA). Safaty Alert for Operators 13002. Manual flight operations. Washington D.C.: United States Government, 01 abr. 2013 GRANT, R. G. Flight: the complete history. Londres: Dorling Kindersley, 2010. HOMA, J. Aerodinâmica e teoria de voo: noções básicas. 29ª Ed. São Paulo: Editora Asa, 2010a. ________. Aeronaves e motores: conhecimentos técnicos. 30ª Ed. São Paulo: Editora Asa, 2010b. INSTITUTO DE ENSINO, FORMAÇÃO E APERFEIÇOAMENTO EM PÓS-GRADUAÇÃO (IEFAP). O controvertido acidente do Air France 296. Disponível em: <http://www.iefap.com.br/noticia/o-controvertido-acidente-do-air-france-296> Acesso em: 07 mai. 2015. INSTITUTO FEDERAL DE EDUCAÇÃO, CIÊNCIA E TECNOLOGIA DE SÃO PAULO (IFSP) - Campus São Carlos. Manual para elaboração e apresentação de trabalho de conclusão de curso (TCC). Curso Superior de Tecnologia em Manutenção de Aeronaves. São Carlos: 2014. Disponível em: <http://www.ifspsaocarlos.edu.br/portal/arquivos/publicacoes/2015/02_04.manual_do_TCC_vers%C3%A3o_TPG_2014.2_revAbr2015.pdf> Acesso em: 01 jun. 2015. INTERNATIONAL CIVIL AVIATION ORGANIZATION (ICAO). Convention on International Civil Aviation - Doc 7300. 2015. Disponível em: <http://www.icao.int/publications/Pages/doc7300.aspx> Acesso em: 12 mar. 2015. JENIE, S. D; BUDIYONO, A. Automatic flight control system: classical approach and modern control perpective. Department of Aeronautics and Astronautics, ITB, Indonésia, 2006. Disponível em: <http://www.academia.edu/174298/Automatic_Flight_Control_System_Classical_approach_and_modern_control_perspective> Acesso em: 23 abr. 2015.
58
JEREMY, M. Asiana Airliners - Boeing 777-28E(ER). Jetphotos.net, Paris, 2012. Disponível em: <http://www.jetphotos.net/viewphoto.php?id=7360353> Acesso em: 11 mai. 2015. JUKES, M. Aircraft display systems. Virginia: AIAA, 2004. Volume 204. KHAN, A; et al. Experimental Study of Full Authority Digital Engine Control (FADEC) System on Lycoming Engine. International Journal of Modern Engineering Research (IJMER), Vol. 3, n. 6, Nov. 2013. KWIATKOWSI, M. Picture of the Boeing 777-312/ER aircraft. Airliners.net, Londres, 2015. Disponível em: <http://www.airliners.net/photo/Singapore-Airlines/Boeing-777-312-ER/2635685/L/&sid=6810198eba645526c4faf7b6b91cdba2> Acesso em: 11 mai. 2015. MAHER, E. R. Avionics Troubleshooting and Repair. For Pilots and Technicians. New York: McGraw-Hill, 2001. MANSFIELD, H. Vision, The Story of Boeing, 1966. In: GRANT, R. G. Flight: the complete history. Londres: Dorling Kindersley, 2010. NATIONAL BROADCASTING COMPANY (NBC News). Asiana flight 214 crashes in San Francisco international airport. 2013. Disponível em: <http://www.nbcnews.com/slideshow/news/asiana-flight-214-crashes-at-san-francisco-international-airport-52409712> Acesso em: 09 mai. 2015. NATIONAL GEOGRAPHIC CHANNEL (NATGEO). Air crash investigation. Pilot vs Plane. S09E03, 2010. Disponível em: <http://www.dailymotion.com/video/x18uqai_mayday-s09e03-pilot-vs-plane_shortfilms> Acesso em: 06 mai. 2015. NATIONAL TRANSPORTATION SAFETY BOARD (NTSB). Accident report: Descent below visual glidepath and impact with seawall, Asiana Airlines flight 214, Boeing 777-200ER, HL7742, San Francisco, California, July 6, 2013. Washington D.C.:
NTSB/AAR-14/01 PB2014-105984, United States Government, 2014. POLET, P.; et al. Modelling border-line tolerated conditions of use (BTCU) and associated risks. 2002. In: BRASIL. Ministério da Aeronáutica. Relatório final A-nº67/CENIPA/2009 – Acidente Aeronáutico Airbus A320 PR-MBK, Brasília: Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA), 2009. Normas do Sistema (SIPAER) emitidas pelo Centro de Investigação e Prevenção de Acidentes Aeronáuticos - CENIPA, [s.d.]. SEVERINO, A. J. Metodologia do trabalho científico. 22ª Ed. São Paulo: Cortez Editora, 2003. SWOPES, B. R. Tag archives: Consolidated NY-2. This Day in Aviation: Important Dates in Aviation History. 2014. Disponível em: <http://www.thisdayinaviation.com/tag/consolidated-ny-2/> Acesso em: 19 mar. 2015.
59
THALLON, P. Picture of the DeHavilland DH-106 Comet 4C aircraft. Airliners.net, Glasgow, 1979. Disponível em: <http://www.airliners.net/photo/Dan-Air-London/De-Havilland-DH-106/1853968/L/> Acesso em: 11 mai. 2015. TOOLEY, M. Aircraft digital electronic and computer systems: principles, operations and maintenance. 1ª Ed. Oxford: Elsevier, 2007. UNITED STATES GOVERNMENT PUBLISHING OFFICE (EUA). 14 CFR 121.423 - Pilot: extended envelope training. Washington D.C.: United States Government, 01 jan. 2014. ________. 14 CFR 91.3 - Responsibility and authority of the pilot in command. Washington D.C.: United States Government, 01 jan. 2011. WICKENS, C. D. The structure of attentional resourses. Attention and performance VIII, 8. In: BUREAU D'ENQUÊTES ET D'ANALYSES POUR LA SÉCUTIRÉ DE L'AVIATION CIVILE (BEA). Final Report Flight AF447 Rio de Janeiro - Paris. Paris: BEA. Jul. 2012.
60
ANEXO 1