O trágico acidente do voo AF447 mostra as consequências improváveis, mas catastróficas, da automação

O trágico acidente do Air France 447 (AF447) em 2009 provocou ondas de choque em todo o mundo. A perda foi difícil de entender, dado o notável histórico de segurança da aviação comercial. Como uma tripulação bem treinada, pilotando um avião moderno, poderia perder tão abruptamente o controle de sua aeronave durante um voo de rotina? O AF447 precipitou a crescente preocupação do setor de aviação com esses incidentes de "perda de controle" e com a possibilidade de eles estarem ligados a uma maior automação na cabine de comando. À medida que a tecnologia se torna mais sofisticada, ela assume cada vez mais funções que antes eram desempenhadas pelos pilotos, trazendo enormes melhorias para a segurança da aviação. Em 2016, a taxa de acidentes com os principais jatos foi de apenas um acidente grave para cada 2,56 milhões de voos. Mas, embora a segurança aérea geral esteja melhorando, os incidentes de perda de controle não estão. Na verdade, eles são a causa mais prevalente de fatalidades na aviação comercial atualmente, sendo responsáveis por 43% das fatalidades em 37 incidentes separados entre 2010 e 2014. A perda de controle geralmente ocorre quando os pilotos não conseguem reconhecer e corrigir uma situação potencialmente perigosa, fazendo com que a aeronave entre em uma condição instável. Esses incidentes geralmente são desencadeados por eventos inesperados e incomuns - geralmente compreendendo várias condições que raramente ocorrem juntas - que estão fora do repertório normal da experiência do piloto. Por exemplo, isso pode ser uma combinação de condições meteorológicas incomuns, leituras ou comportamentos ambíguos da tecnologia e inexperiência do piloto - qualquer uma ou duas dessas condições pode ser aceitável, mas juntas podem sobrecarregar a tripulação. Os cientistas de segurança descrevem isso como o modelo de falha do "queijo suíço", quando os buracos nas defesas organizacionais se alinham de maneiras que não haviam sido previstas. Esses incidentes exigem interpretação e respostas rápidas, e é aí que as coisas podem dar errado. Nossa pesquisa, publicada recentemente na revista Organization Science, examina como a automação pode limitar a capacidade dos pilotos de responder a esses incidentes, já que o aumento da dependência da tecnologia pode corroer as habilidades cognitivas básicas. Ao revisar as análises de especialistas sobre o desastre e analisar os dados da cabine de comando e dos gravadores de dados de voo do AF447, descobrimos que o AF447 e a aviação comercial em geral revelam como a automação pode ter consequências imprevistas e catastróficas que, embora improváveis, podem surgir em condições extremas. Automação na cabine de comando As aeronaves comerciais voam no piloto automático durante a maior parte do tempo. Para a maioria dos pilotos, a automação geralmente garante que as operações permaneçam dentro de limites seguros e previsíveis. Os pilotos passam a maior parte do tempo gerenciando e monitorando suas aeronaves, em vez de pilotá-las ativamente. A automação do cockpit, às vezes chamada de "glass cockpit", compreende um conjunto de tecnologias que executam várias funções. Elas coletam informações, processam-nas, integram-nas e apresentam-nas aos pilotos, geralmente de forma simplificada, estilizada e intuitiva. Por meio do "fly-by-wire", no qual as ações do piloto servem como entradas para um sistema de controle de voo que, por sua vez, determina os movimentos das superfícies de controle da aeronave, a tecnologia medeia a relação entre a ação do piloto e a resposta da aeronave. Isso reduz o risco de erros humanos devido à sobrecarga, à fadiga e à falibilidade, além de evitar manobras que possam sobrecarregar a estrutura e colocar a aeronave em perigo. A automação oferece uma enorme capacidade de processamento de dados e consistência de resposta. No entanto, ela também pode interferir no ciclo básico de planejamento, execução, verificação e ação dos pilotos, que é fundamental para o controle e o aprendizado. Se isso resultar em menos monitoramento ativo e envolvimento prático, a consciência situacional dos pilotos e a capacidade de improvisar quando confrontados com eventos inesperados e desconhecidos podem diminuir. Essa erosão pode ficar oculta até que a intervenção humana seja necessária, por exemplo, quando a tecnologia apresenta mau funcionamento ou encontra condições que não reconhece e não consegue processar. Imagine que o senhor tenha de fazer uma aritmética moderadamente complexa. A maioria de nós conseguiria fazer isso de cabeça se fosse necessário, mas como normalmente dependemos de tecnologias como calculadoras e planilhas para fazer isso, pode levar algum tempo para chamar os processos mentais relevantes e fazer isso por conta própria. E se o senhor fosse solicitado, sem aviso, a fazer isso em condições estressantes e de tempo crítico? O risco de erro seria considerável. Esse foi o desafio que a tripulação do AF447 enfrentou. Mas eles também tiveram que lidar com certas "surpresas de automação", como a tecnologia se comportando de maneiras que eles não entendiam ou esperavam. Perda do AF447 O AF447 estava há três horas e meia em um voo noturno sobre o Atlântico. A formação transitória de gelo nos sensores de velocidade do Airbus A330 causou leituras inconsistentes da velocidade do ar, o que, por sua vez, levou o computador de voo a desconectar o piloto automático e retirar a proteção do envelope de voo, como estava programado para fazer quando confrontado com dados não confiáveis. Os pilotos, assustados, tiveram que pilotar o avião manualmente. Uma série de mensagens apareceu em uma tela na frente dos pilotos, fornecendo informações cruciais sobre o status da aeronave. Tudo o que era necessário era que um piloto (Pierre-Cédric Bonin) mantivesse a trajetória de voo manualmente enquanto o outro (David Robert) diagnosticava o problema. Mas as tentativas de Bonin de estabilizar a aeronave tiveram exatamente o efeito oposto. Isso provavelmente se deveu a uma combinação de susto e inexperiência em voar manualmente em altitude, além da redução da proteção automática. Em altitudes mais elevadas, o envelope de voo seguro é muito mais restrito do que em altitudes mais baixas, e é por isso que os pilotos raramente voam manualmente nessas altitudes. Ele tentou corrigir uma leve rolagem que ocorreu quando o piloto automático se desconectou, mas fez uma correção excessiva, fazendo com que o avião rolasse bruscamente para a esquerda e para a direita várias vezes enquanto ele movia o manche lateral de um lado para o outro. O senhor também puxou o manche para trás, fazendo com que o avião subisse acentuadamente até estolar e começar a descer rapidamente, quase em queda livre. Nem Bonin, nem Robert, nem o terceiro membro da tripulação (Marc Dubois, o capitão) que entrou na cabine de comando 90 segundos após o início do episódio, reconheceram que a aeronave havia estolado, apesar de várias indicações. Na confusão, Bonin interpretou erroneamente a situação como se o avião estivesse voando rápido demais e, na verdade, reduziu o empuxo e passou a aplicar os freios de velocidade - o oposto do que era necessário para se recuperar do estol. Robert o ignorou e tentou assumir o controle, mas Bonin continuou a tentar pilotar o avião. Ele e Robert fizeram comandos simultâneos e contraditórios, sem perceber que estavam fazendo isso. Quando a tripulação percebeu o que estava acontecendo, não havia mais altitude suficiente para se recuperar, e o AF447 caiu no oceano, com a perda de todos os 228 passageiros e tripulantes. A tragédia do AF447 revela claramente a interação entre a tecnologia sofisticada e suas contrapartes humanas. Isso começou com a entrega abrupta e inesperada do controle aos pilotos, um dos quais, não acostumado a voar manualmente em altitude, piorou muito uma situação desafiadora. Um exercício de simulação após o acidente demonstrou que, sem nenhuma intervenção do piloto, o AF447 teria permanecido em sua altitude de cruzeiro após a desconexão do piloto automático. Com o início do estol, havia muitas pistas disponíveis para os pilotos sobre o que estava acontecendo. Mas eles não conseguiram reunir esses indícios em uma interpretação válida, talvez por acreditarem que um estol era impossível (já que a tecnologia fly-by-wire normalmente evitaria que os pilotos causassem um estol), ou talvez porque a tecnologia normalmente fazia a maior parte da "reunião" dos indícios em seu nome. A possibilidade de uma aeronave estar em estol sem que a tripulação percebesse também estava aparentemente além do que os projetistas do sistema da aeronave imaginavam. Os recursos criados para ajudar os pilotos em circunstâncias normais agora aumentavam seus problemas. Por exemplo, para evitar as distrações de alarmes falsos, o aviso de estol foi projetado para ser desligado quando a velocidade do ar à frente caísse abaixo de uma determinada velocidade, o que aconteceu quando o AF447 fez sua rápida descida. No entanto, quando os pilotos realizaram duas vezes as ações corretas de recuperação (colocando o nariz para baixo), a velocidade do ar à frente aumentou, fazendo com que o alarme de estol fosse reativado. Tudo isso contribuiu para que os pilotos tivessem dificuldade em compreender a natureza de sua situação. Segundos antes do impacto, Bonin pode ser ouvido dizendo: "Isso não pode ser verdade". Implicações para as organizações Essa ideia - de que a mesma tecnologia que permite que os sistemas sejam eficientes e praticamente livres de erros também cria vulnerabilidades sistêmicas que resultam em catástrofes ocasionais - é chamada de "o paradoxo dos sistemas quase totalmente seguros". Esse paradoxo tem implicações para a implementação de tecnologia em muitas organizações, não apenas nas críticas para a segurança. Uma delas é a importância de gerenciar as transferências de máquinas para humanos, algo que deu muito errado no AF447. Como a automação aumentou em complexidade e sofisticação, o mesmo aconteceu com as condições em que essas transferências provavelmente ocorrerão. É razoável esperar que humanos assustados e possivelmente fora de prática sejam capazes de diagnosticar e responder instantaneamente a problemas complexos o suficiente para enganar a tecnologia? Essa questão só se tornará mais pertinente à medida que a automação penetrar ainda mais em nossas vidas, por exemplo, quando veículos autônomos forem introduzidos em nossas estradas. Em segundo lugar, como podemos capitalizar os benefícios oferecidos pela tecnologia e, ao mesmo tempo, manter as capacidades cognitivas necessárias para lidar com situações excepcionais? Os pilotos passam por um treinamento intenso, com avaliações, exercícios e simulações regulares, mas a perda de controle continua sendo uma fonte de preocupação. Após o desastre do AF447, a FAA pediu às companhias aéreas que incentivassem mais voos manuais para evitar a erosão das habilidades básicas de pilotagem, e isso aponta para um caminho que outros poderiam seguir. O envolvimento e o controle regulares e práticos desenvolvem e mantêm o conhecimento do sistema, permitindo que operadores, gerentes e outros que supervisionam sistemas complexos identifiquem anomalias, diagnostiquem situações desconhecidas e respondam de forma rápida e adequada. Rotinas estruturadas de solução de problemas e aprimoramento que nos levam a interrogar constantemente nosso ambiente também podem ajudar nesse sentido. A aviação comercial oferece uma janela fascinante para a automação, pois os benefícios, bem como os riscos ocasionais, são tão visíveis e dramáticos. Mas todo mundo tem seu equivalente de piloto automático, e a ideia principal se estende a outros ambientes: quando a automação mantém as pessoas completamente seguras quase o tempo todo, é mais provável que elas tenham dificuldade para voltar a se envolver quando a automação retira abruptamente seus serviços. Agora, as organizações precisam considerar a interação de diferentes tipos de risco. O aumento da automação reduz o risco de erros humanos, na maioria das vezes, como mostra o excelente e crescente histórico de segurança da aviação. Mas a automação também leva à erosão sutil das habilidades cognitivas que podem se manifestar apenas em situações extremas e incomuns. Entretanto, seria míope simplesmente reverter a automação, por exemplo, insistindo em mais voos manuais, pois isso aumentaria novamente o risco de erro humano. Em vez disso, as organizações precisam estar cientes das vulnerabilidades que a automação pode criar e pensar de forma mais criativa em maneiras de corrigi-las.

O trágico acidente do voo AF447 mostra as consequências improváveis, mas catastróficas, da automação

Resumo.

Partner Center