Especialistas já alertavam sobre riscos da automação de controle de voo há 15 anos

Os dois acidentes trágicos com os aviões 737 Max mais vendidos da Boeing parecem cada vez mais causados ​​por dois fatores. Um deles é um defeito no sistema automatizado projetado para evitar que a aeronave perdesse sustentação. O outro é a falta de treinamento dos pilotos para lidar com esse sistema. Os relatórios finais ainda não estão disponíveis, mas há semelhanças entre os acidentes na Indonésia e na Etiópia, que juntos mataram 346 pessoas, e o registro de reclamações de outros pilotos. Tudo aponta para problemas com o Sistema de Aumento de Características de Manobra, ou MCAS.

• Para liberar Boeing 737 Max no Brasil, Anac exigiu treinamento que EUA e Europa julgaram desnecessário
• Companhias aéreas suspendem voos com Boeing 737 Max 8 após queda de avião que matou 157 pessoas na Etiópia

Em suma, uma combinação de um sistema de automação não familiar e potencialmente defeituoso e uma tripulação que não foi adequadamente informada sobre como operar ou tomar o controle desse sistema pode ter levado a ambos os acidentes, segundo constatações preliminares. Uma coisa chama a atenção: esse é precisamente o cenário perigoso que um grupo de previsões para segurança da aviação avisou há mais de uma década.

A Equipe de Segurança da Aviação Futura (FAST) é um grupo que foi convocado pela primeira vez em 1999 por um consórcio de reguladores internacionais de voo. Ela é copresidida por Brian E. Smith, do Centro de Pesquisas Ames, da NASA. Em 2004, o grupo publicou um relatório chamado “Aumentando a confiança na automação de voo”, abordando uma tendência que já estava em curso. Segundo a FAST, o relatório tinha “duas principais conclusões”:

a) haverá problemas ao tentar manter o costume de “aprender na prática” devido a futuros avanços na automação da cabine de pilotagem;

b) o estresse e a fadiga aumentarão rapidamente quando a tripulação de voo não entender o que a automação está solicitando à aeronave.

O relatório chamou isso de “surpresa da automação”. O termo descreve com precisão o que parece ter acontecido com os pilotos ao tentarem tomar o controle das mãos do sistema MCAS para impedir que seus aviões Boeing Max caíssem (“surpresa de automação” é um termo tão potente e útil que pode ser aplicado de maneira mais ampla à forma como nos confundimos e nos sobrecarregamos com sistemas automatizados desconhecidos).

Basicamente, como os novos aviões 737 Max 8 têm motores que ficam mais avançados na asa do que os modelos anteriores, eles tendem a perder sustentação com mais facilidade, caso o nariz da aeronave se incline para cima excessivamente. O MCAS automaticamente entra em ação para abaixar o nariz.

No acidente da Indonésia, o piloto lutou contra um MCAS que estava respondendo a dados errôneos do sensor, elevando a inclinação do nariz manualmente 21 vezes. O sistema empurrava o nariz de volta para baixo após cada correção. Ao fim, parece que foi o MCAS quem derrubou o avião no Mar de Java. Até agora, os dados de voo do acidente na Etiópia indicam um padrão semelhante.

É possível tomar o controle das mãos do sistema de piloto automático MCAS, mas a Boeing aparentemente não revelou como a nova automação funciona para os pilotos, no que parece ter sido um esforço para manter a mesma “classificação de tipo” de avião — mesmo que isso significasse reter informações sobre os riscos que isso representava. Isso ajudou a empresa a evitar inúmeras horas de um treinamento financeiramente caro para os pilotos.

Assim, tanto na Indonésia quanto na Etiópia — e em voos que os pilotos registraram reclamações sobre o problema, mas que não caíram —, os pilotos foram submetidos à surpresa da automação. O sistema desconhecido entrou em ação (erroneamente, no caso do voo da Lion Air na Indonésia), e eles não tinham as ferramentas ou conhecimento para controlar a aeronave a tempo.

Por 20 anos, a FAST trabalhou na identificação de dezenas de Áreas de Mudança (AoCs, sigla em inglês para “Areas of Change”) no campo da aviação. Elas variam de “Novos sistemas de vigilância e registro de cockpit e cabine” a “Modelos organizacionais globais” a “Novas aeronaves hipersônicas” até “Confiança na capacidade de a automação suportar um complexo sistema de transporte aéreo”. O grupo se dedicou a pesquisá-los profundamente para entender como eles podem impactar a segurança dos passageiros e dos pilotos.

No caso do estudo “Aumentando a confiança na automação da cabine de voo”, de 50 páginas, segundo a FAST, as “informações vieram de uma pesquisa piloto com mais de 190 entrevistados, com uma média de 10.000 horas de voos e 20 anos de experiência”.

Os cinco principais perigos identificados pela FAST com sistemas emergentes de voo autônomo foram:

1. Tripulação de voo gastando tempo excessivo em um papel de monitoramento, potencialmente comprometendo sua capacidade de intervir quando necessário.
2. Falha da tripulação de voo em permanecer ciente do modo de automação e do estado de energia da aeronave.
3. Modos desconhecidos de automação de aeronaves podem resultar em aeronaves com condições de voo perfeitamente normais assumindo, de repente, características que o piloto raramente ou nunca encontrou anteriormente.
4. Falhas latentes nos monitores ou no sistema primário de controle de voo podem passar despercebidas porque não foram realizados testes suficientes envolvendo interação humana.
5. Os pilotos podem não ser adequadamente treinados para entender a filosofia do projeto de automação quando a funcionalidade está sendo automaticamente degradada em situações particulares por razões conhecidas apenas pelo software.

Cada um dos perigos que coloquei em negrito — isto é, todos menos o primeiro — parece ter acontecido aos dois voos da Boeing Max que terminaram em acidentes devastadores.

A FAST continuou a estudar a automação da área de mudança à medida que evoluía. No ano de 2016, em um relatório chamado “Preocupações sobre a segurança da aviação para o futuro”, os autores escreveram que, “embora a crescente dependência da automação da cabine de pilotagem tenha sido um fator importante no atual registro favorável na segurança da aviação comercial ocidental, o uso incorreto/a má compreensão da tecnologia tem estado envolvido em certos acidentes de grande importância”.

Eles analisaram pelo menos cinco voos em que acidentes foram atribuídos à surpresa da automação. Um exemplo é o voo 447 da Air France, que ia do Rio de Janeiro a Paris. A confusão com um controle automático e com um sistema de computador que interferiu em um momento crucial contribuiu para um acidente que matou todos 228 passageiros a bordo do avião Airbus A330-200.

Curiosamente, na época desse acidente, a Boeing era publicamente resistente a empregar muita automação. Enquanto a Airbus usava alavancas de controle que os pilotos podiam programar e liberar rapidamente — deixando-as no que poderia parecer uma posição neutra, que é uma das fontes de confusão no acidente do 447 —, a Boeing ainda usava alavancas “à moda antiga”, facilmente identificáveis, ​​que se assemelhavam a suas antecessoras ​​mecânicas, e se recusou a adotar a redução automática de potência em seus cockpits, como a Airbus fez.

Imagem: FAST. Tradução: Gizmodo Brasil.

“Em cada um dos acidentes listados na Tabela II, as surpresas de automação afastaram as equipes da ação apropriada”, explica o relatório da FAST. “Ainda não está claro se o treinamento revisado — por exemplo, treinamento de upset recovery, novos procedimentos ou mudanças de projeto — pode prevenir a ocorrência de tais casos no futuro, porque não entendemos completamente a tomada de decisão humana em situações incomuns.” Eles também pedem mais pesquisas sobre comportamento envolvendo sistemas automatizados.

Como a FAST ressalta, os sistemas automatizados melhoraram a segurança de várias maneiras e provavelmente evitaram muitos acidentes. Isso, porém, não é desculpa para ignorar os riscos que surgem ao trazer novos sistemas automatizados a bordo, especialmente quando perigos foram explicitamente apontados por grupos de segurança da aviação com grande presença pública há mais de uma década. No entanto, situações desse tipo continuam acontecendo — os aviões Max, da Boeing, são apenas o exemplo mais recente e talvez particularmente notório.

Em última análise, 346 pessoas perderam a vida aparentemente devido, em parte, à surpresa da automação. Mas se a Boeing tivesse feito o dever de casa e não tivesse feito cortes para manter os custos baixos, há uma boa chance de não ter havido tal choque. E, talvez, também não houvesse fatalidades.