Os dois acidentes trágicos com os aviões 737 Max mais vendidos da Boeing parecem cada vez mais causados por dois fatores. Um deles é um defeito no sistema automatizado projetado para evitar que a aeronave perdesse sustentação. O outro é a falta de treinamento dos pilotos para lidar com esse sistema. Os relatórios finais ainda não estão disponíveis, mas há semelhanças entre os acidentes na Indonésia e na Etiópia, que juntos mataram 346 pessoas, e o registro de reclamações de outros pilotos. Tudo aponta para problemas com o Sistema de Aumento de Características de Manobra, ou MCAS.
Em suma, uma combinação de um sistema de automação não familiar e potencialmente defeituoso e uma tripulação que não foi adequadamente informada sobre como operar ou tomar o controle desse sistema pode ter levado a ambos os acidentes, segundo constatações preliminares. Uma coisa chama a atenção: esse é precisamente o cenário perigoso que um grupo de previsões para segurança da aviação avisou há mais de uma década.
A Equipe de Segurança da Aviação Futura (FAST) é um grupo que foi convocado pela primeira vez em 1999 por um consórcio de reguladores internacionais de voo. Ela é copresidida por Brian E. Smith, do Centro de Pesquisas Ames, da NASA. Em 2004, o grupo publicou um relatório chamado “Aumentando a confiança na automação de voo”, abordando uma tendência que já estava em curso. Segundo a FAST, o relatório tinha “duas principais conclusões”:
a) haverá problemas ao tentar manter o costume de “aprender na prática” devido a futuros avanços na automação da cabine de pilotagem;
b) o estresse e a fadiga aumentarão rapidamente quando a tripulação de voo não entender o que a automação está solicitando à aeronave.
O relatório chamou isso de “surpresa da automação”. O termo descreve com precisão o que parece ter acontecido com os pilotos ao tentarem tomar o controle das mãos do sistema MCAS para impedir que seus aviões Boeing Max caíssem (“surpresa de automação” é um termo tão potente e útil que pode ser aplicado de maneira mais ampla à forma como nos confundimos e nos sobrecarregamos com sistemas automatizados desconhecidos).
Basicamente, como os novos aviões 737 Max 8 têm motores que ficam mais avançados na asa do que os modelos anteriores, eles tendem a perder sustentação com mais facilidade, caso o nariz da aeronave se incline para cima excessivamente. O MCAS automaticamente entra em ação para abaixar o nariz.
No acidente da Indonésia, o piloto lutou contra um MCAS que estava respondendo a dados errôneos do sensor, elevando a inclinação do nariz manualmente 21 vezes. O sistema empurrava o nariz de volta para baixo após cada correção. Ao fim, parece que foi o MCAS quem derrubou o avião no Mar de Java. Até agora, os dados de voo do acidente na Etiópia indicam um padrão semelhante.
É possível tomar o controle das mãos do sistema de piloto automático MCAS, mas a Boeing aparentemente não revelou como a nova automação funciona para os pilotos, no que parece ter sido um esforço para manter a mesma “classificação de tipo” de avião — mesmo que isso significasse reter informações sobre os riscos que isso representava. Isso ajudou a empresa a evitar inúmeras horas de um treinamento financeiramente caro para os pilotos.
Assim, tanto na Indonésia quanto na Etiópia — e em voos que os pilotos registraram reclamações sobre o problema, mas que não caíram —, os pilotos foram submetidos à surpresa da automação. O sistema desconhecido entrou em ação (erroneamente, no caso do voo da Lion Air na Indonésia), e eles não tinham as ferramentas ou conhecimento para controlar a aeronave a tempo.
Por 20 anos, a FAST trabalhou na identificação de dezenas de Áreas de Mudança (AoCs, sigla em inglês para “Areas of Change”) no campo da aviação. Elas variam de “Novos sistemas de vigilância e registro de cockpit e cabine” a “Modelos organizacionais globais” a “Novas aeronaves hipersônicas” até “Confiança na capacidade de a automação suportar um complexo sistema de transporte aéreo”. O grupo se dedicou a pesquisá-los profundamente para entender como eles podem impactar a segurança dos passageiros e dos pilotos.
No caso do estudo “Aumentando a confiança na automação da cabine de voo”, de 50 páginas, segundo a FAST, as “informações vieram de uma pesquisa piloto com mais de 190 entrevistados, com uma média de 10.000 horas de voos e 20 anos de experiência”.
Os cinco principais perigos identificados pela FAST com sistemas emergentes de voo autônomo foram:
- Tripulação de voo gastando tempo excessivo em um papel de monitoramento, potencialmente comprometendo sua capacidade de intervir quando necessário.
- Falha da tripulação de voo em permanecer ciente do modo de automação e do estado de energia da aeronave.
- Modos desconhecidos de automação de aeronaves podem resultar em aeronaves com condições de voo perfeitamente normais assumindo, de repente, características que o piloto raramente ou nunca encontrou anteriormente.
- Falhas latentes nos monitores ou no sistema primário de controle de voo podem passar despercebidas porque não foram realizados testes suficientes envolvendo interação humana.
- Os pilotos podem não ser adequadamente treinados para entender a filosofia do projeto de automação quando a funcionalidade está sendo automaticamente degradada em situações particulares por razões conhecidas apenas pelo software.
Cada um dos perigos que coloquei em negrito — isto é, todos menos o primeiro — parece ter acontecido aos dois voos da Boeing Max que terminaram em acidentes devastadores.
A FAST continuou a estudar a automação da área de mudança à medida que evoluía. No ano de 2016, em um relatório chamado “Preocupações sobre a segurança da aviação para o futuro”, os autores escreveram que, “embora a crescente dependência da automação da cabine de pilotagem tenha sido um fator importante no atual registro favorável na segurança da aviação comercial ocidental, o uso incorreto/a má compreensão da tecnologia tem estado envolvido em certos acidentes de grande importância”.
Eles analisaram pelo menos cinco voos em que acidentes foram atribuídos à surpresa da automação. Um exemplo é o voo 447 da Air France, que ia do Rio de Janeiro a Paris. A confusão com um controle automático e com um sistema de computador que interferiu em um momento crucial contribuiu para um acidente que matou todos 228 passageiros a bordo do avião Airbus A330-200.
Curiosamente, na época desse acidente, a Boeing era publicamente resistente a empregar muita automação. Enquanto a Airbus usava alavancas de controle que os pilotos podiam programar e liberar rapidamente — deixando-as no que poderia parecer uma posição neutra, que é uma das fontes de confusão no acidente do 447 —, a Boeing ainda usava alavancas “à moda antiga”, facilmente identificáveis, que se assemelhavam a suas antecessoras mecânicas, e se recusou a adotar a redução automática de potência em seus cockpits, como a Airbus fez.
Imagem: FAST. Tradução: Gizmodo Brasil.
“Em cada um dos acidentes listados na Tabela II, as surpresas de automação afastaram as equipes da ação apropriada”, explica o relatório da FAST. “Ainda não está claro se o treinamento revisado — por exemplo, treinamento de upset recovery, novos procedimentos ou mudanças de projeto — pode prevenir a ocorrência de tais casos no futuro, porque não entendemos completamente a tomada de decisão humana em situações incomuns.” Eles também pedem mais pesquisas sobre comportamento envolvendo sistemas automatizados.
Como a FAST ressalta, os sistemas automatizados melhoraram a segurança de várias maneiras e provavelmente evitaram muitos acidentes. Isso, porém, não é desculpa para ignorar os riscos que surgem ao trazer novos sistemas automatizados a bordo, especialmente quando perigos foram explicitamente apontados por grupos de segurança da aviação com grande presença pública há mais de uma década. No entanto, situações desse tipo continuam acontecendo — os aviões Max, da Boeing, são apenas o exemplo mais recente e talvez particularmente notório.
Em última análise, 346 pessoas perderam a vida aparentemente devido, em parte, à surpresa da automação. Mas se a Boeing tivesse feito o dever de casa e não tivesse feito cortes para manter os custos baixos, há uma boa chance de não ter havido tal choque. E, talvez, também não houvesse fatalidades.