Perda de Controle no Solo - Uma Análise do Fator Humano … · 2015-11-20 · Perda de Controle no Solo - Uma Análise do Fator Humano Usando o Programa SERA. Simone Figueira Sobreda

Perda de Controle no Solo - Uma Análise do Fator Humano Usando o Programa SERA

Simone Figueira Sobreda - Analista de Sistemas Paulo Afonso de Oliveira Soviero – Professor Instituto Tecnológico de Aeronáutica (ITA)

Palavras Chave: Abordagem Organizacional, SERA, Sistema de Classificação, Acidente Aeronáutico

Resumo A abordagem organizacional analisa o erro humano como consequência de uma série de eventos que envolvem toda a organização. Segundo esta abordagem, os acidentes são decorrentes de falhas, ao longo do sistema organizacional que surgem a partir de decisões gerenciais ou de supervisão e que podem levar um indivíduo a cometer um erro. Diferentemente de outras perspectivas, esta deixa de focar o homem ou a máquina como sendo o elemento causador do acidente. Ao invés disto, postula que o erro cometido pela tripulação de uma aeronave, por exemplo, foi resultado final na cadeia dos eventos que o antecederam e que este erro foi um fator contribuinte que, somado aos outros fatores levou ao acidente. Observa-se que atualmente existe uma tendência na utilização de modelos baseados na abordagem organizacional para análise e investigação de acidentes e incidentes aeronáuticos. O objetivo deste trabalho é fazer a análise de um acidente ocorrido no Brasil e classificado pelo órgão investigador como sendo do tipo “Perda de Controle no Solo”. Neste acidente não houve sobreviventes e a aeronave ficou totalmente destruída. O estudo do acidente escolhido é feito com base no relatório final do órgão investigador. As classificações são levantadas através do programa SERA (Systematic Error and Risk Analysis), este programa é utilizado pelas Forças Canadenses para análise e classificação de erros humanos em acidentes e incidentes aeronáuticos. Neste trabalho observa-se que o programa SERA, através de uma análise estruturada, conduz o analista à emersão de duas falhas ativas além das pré-condições nos diversos níveis da organização que levaram às falhas ativas. Lista de Abreviaturas e Siglas AP/FD Autopilot/Flight Director CBT Computer Based Training CENIPA Centro de Investigação e Prevenção de Acidentes Aeronáuticos CL Climb CVR Cockpit Voice Recorder DA Diretriz de Aeronavegabilidade ECAM Electronic Centralized Aircraft Monitoring EPR Engine Pressure Ratio

FDR Flight Data Recorder FWC Flight Warning Computer H2F3 Identificação do Fabricante H2 Hardware level 2 F3 Identificação do Software MEL Minimum Equipment List MMEL Master Minimum Equipment List PIC Pilot in Command REV Reverse SERA Systematic Error and Risk Analysis SIC Second in Command SOP Standard Operating Procedures WOW Weight on Wheels 1. Introdução 1.1 Advertência A análise realizada neste trabalho tem a finalidade única de servir como caso de estudo para um trabalho acadêmico. Tal análise não substitui, não contraria e não complementa o relatório oficial. Sobretudo, não deve ser utilizada para nenhum outro fim além daquele a que se destina, que é, o de servir como exemplo para uma aplicação dentro do contexto deste artigo. Os autores não tiveram acesso a outros dados referentes ao acidente que não tivessem sido integralmente divulgados ao público, pelo Centro de Investigação e Prevenção de Acidentes Aeronáuticos, através do relatório final (CENIPA, 2009). Finalmente, observa-se que a aplicação do programa SERA depende da interpretação do analista. 1.2 Descrição do Estudo Neste artigo é feita uma análise de um acidente aeronáutico, utilizando-se para tal uma ferramenta para análise e classificação do erro humano em acidentes e incidentes aeronáuticos, o programa SERA (HENDY, 2003). Esta análise tem o intuito de classificar as possíveis falhas humanas que desencadearam o acidente, bem como as pré-condições que levaram a estas falhas humanas. Estas pré-condições são as chamadas causas latentes descritas por Reason (1990). Para este trabalho foi escolhido o acidente aeronáutico ocorrido em Julho de 2007 com a aeronave PR-MBK, de modelo Airbus A-320. Este estudo é baseado no relatório final publicado pelo CENIPA (CENIPA, 2009). Este acidente é classificado por este Centro como sendo do tipo perda de controle no solo. O relatório emitido pelo órgão investigador indica duas hipóteses

- - - - - - - - - - Anais do 5º Simpósio de Segurança de Voo (SSV 2012) – Direitos Reservados - Página 1063 de 1112 - - - - - - - - - -

para o acidente ocorrido. Para este trabalho será observada apenas uma das hipóteses, a falha humana. Cabe observar ainda, que, este estudo tem a intenção primordial de apresentar esta análise por meio de um programa que permite identificar tanto as falhas ativas quando as pré-condições que levaram às falhas humanas que envolvem acidentes aeronáuticos. Assim sendo o objetivo do programa é de prevenir, através de uma classificação sistemática, futuras ocorrências que se assemelhem às condições que levaram a acidentes. Este acidente foi considerado o pior acidente aeronáutico da história da América Latina por 22 meses, até o acidente envolvendo uma aeronave Airbus A-330, ocorrido em 31 de maio de 2009, que partiu do Rio de Janeiro com destino a Paris. 2. Descrição Geral do Acidente No dia 17 de julho de 2007, terça-feira, às 17 horas e 19 minutos, horário local, a aeronave Airbus, modelo A-320, de matrícula PR-MBK, decolou do Aeroporto Internacional Salgado Filho, em Porto Alegre, RS, com destino ao Aeroporto Internacional de Congonhas, em São Paulo, SP. A aeronave transportava 187 pessoas, sendo que destas, seis eram tripulantes ativos e as outras 181, eram passageiros, incluindo cinco tripulantes extras e duas crianças de colo. As condições meteorológicas, encontradas pelos tripulantes, durante o percurso do voo e no seu destino, eram adversas, levando a tripulação a efetuar alguns desvios. Porém, até o momento do pouso, o voo transcorreu normalmente. A aeronave operava com o reversor do motor número 2 desativado, conforme previsto na lista de equipamentos mínimos (Minimum Equipment List, MEL). De acordo com informações prestadas à torre de controle por tripulações que haviam pousado anteriormente, a pista em uso em Congonhas, a 35L, encontrava-se molhada e escorregadia. Durante o pouso que, segundo o relatório do CENIPA (CENIPA, 2009), aconteceu às 18 horas e 54 minutos, horário local, a tripulação observou que não houve alteração no posicionamento dos ground spoilers, dispositivos que permitem uma frenagem mais eficiente. Com isso, a aeronave não desacelerou como era previsto. Esta fez um desvio para a esquerda, saindo da pista lateralmente e com isto, cruzou a Avenida Washington Luís, colidindo com um edifício e um posto de combustíveis. No edifício que sofreu a colisão funcionava um serviço expresso de cargas, pertencente ao próprio operador da aeronave. Em decorrência da colisão, todas as pessoas que estavam a bordo da aeronave faleceram. Além destas, outras doze pessoas que se encontravam no edifício também pereceram devido à colisão da aeronave com o mesmo. O avião ficou totalmente destruído como consequência do impacto e do grande incêndio, que perdurou por muitas horas. O posto de combustíveis sofreu danos severos na área de sua loja de conveniências e alguns veículos que lá estavam estacionados, também foram danificados. O edifício sofreu danos estruturais, levando-o à posterior demolição.

3. A Sequência de Eventos Dois acidentes ocorreram devidos ao posicionamento inadequado dos manetes de potência de aeronaves A-320. Um deles em Bacolod, Filipinas (1998) e outro em Taipei, Taiwan (2004). Nos dois acidentes, as aeronaves operavam com o reversor de um de seus motores desativado. Os pilotos deixaram de cumprir o procedimento previsto pelo fabricante, para o pouso com um reversor inoperante, tendo deixado o manete de potência relativo ao motor cujo reversor estava desabilitado, na posição Climb (CL). Nenhuma destas aeronaves dispunha de um dispositivo que alertasse o piloto, caso o posicionamento dos manetes estivesse conflitante com as condições necessárias para o pouso. De acordo com este procedimento, o piloto deveria reduzir ambos os manetes para a posição IDLE (sem tração), durante arredondamento para o pouso, a cerca de dez pés e, após o toque, ele deveria acionar somente o reversor disponível, mantendo o manete de potência do outro motor em IDLE. Tal procedimento, embora mais eficiente sob o ponto de vista da frenagem, acabava induzindo a tripulação a erros. Esta situação, que não havia sido prevista pelo fabricante durante a certificação, fez com que a Airbus tomasse duas ações corretivas para o caso de um posicionamento dos manetes em condições conflitantes com aquelas de pouso, a saber: 1. O desenvolvimento de uma rotina padrão denominada H2F3, para o Flight Warning Computer (FWC). Esta tem a função de garantir o desencadeamento de um aviso com uma mensagem de Electronic Centralized Aircraft Monitoring (ECAM) “ENG X THR LEVER ABV IDLE”. 2. Uma mudança operacional requerendo que a tripulação posicione os dois manetes na posição Reverse (REV). Este procedimento deveria impedir qualquer ação inadequada sobre os manetes de potência, porém, com este novo procedimento a tripulação necessita adicionar 55 metros ao comprimento de aterrissagem, em relação ao procedimento anterior. As autoridades responsáveis pela aeronavegabilidade continuada do A-320 não consideraram que a implementação da rotina H2F3 afetaria a segurança da operação, sendo assim, não foi emitida uma Diretriz de Aeronavegabilidade (DA) para sua instalação e, com isto, esta implementação se tornou opcional para aqueles que operavam este tipo de aeronave. Esta melhoria foi oferecida pelo fabricante, a todos os operadores de aeronaves A-320, por meio de um boletim de serviço, porém, coube a cada operador decidir pela sua implantação, ficando o operador então, responsável pelos custos desta implementação. A aeronave PR-MBK não dispunha da rotina H2F3 instalada para o FWC. A nova mudança operacional, do posicionamento dos manetes, sugerida pela Airbus, para operação de uma aeronave em que um dos reversores estivesse inoperante, estava vigente desde 16 de janeiro de 2007. Esta mudança consistia em que o piloto colocasse os dois manetes em IDLE durante o arredondamento e logo depois, que ele mudasse o posicionamento dos dois manetes para a posição REV, evitando assim, o posicionamento inadequado dos mesmos. No dia 13 de julho de 2007, o reversor do motor número 2 da aeronave PR-MBK foi desativado pela manutenção, devido a um vazamento no atuador interior, tendo sido então, a aeronave, liberada para operação, de acordo com a MEL ATA 78, SEQ 78-30, item Thrust Reverser.


No dia do acidente, a tripulação, que era formada por dois comandantes, deu início à sua jornada de trabalho, operando a aeronave PR-MBK, a qual realizaria o voo JJ3055. Este voo partia do aeroporto de Congonhas para o aeroporto de Porto Alegre. De acordo com os dados do Flight Data Recorder (FDR) da aeronave, o pouso em Porto Alegre, realizado às 16 horas e 34 minutos, ocorreu normalmente. O Pilot in Command (PIC) reduziu ambos os manetes inicialmente para a posição IDLE e, após o toque, ambos para a posição REV, conforme é previsto no procedimento contido na Master Minimum Equipment List (MMEL) e na MEL utilizadas pelo operador, o que indica que os pilotos tinham conhecimento, habilidade e seguiam os procedi-mentos padrões para operações seguras. Quando a aeronave se aproximava para o pouso em Congonhas, a vinte pés, soou o aviso sonoro de atenção para esta altitude, logo então, seguido de dois avisos sonoros de RETARD, indicando que a aeronave deveria reduzir a velocidade. O sistema de gravação do FDR registrou, então, a movimentação do manete de potência do motor número 1 para a posição IDLE, seguido de mais um sinal sonoro de RETARD, a aeronave então toca o trem de pouso principal no solo. Após o toque do trem de pouso dianteiro houve a movimentação do manete número 1 para a posição REV, tendo então parado de soar o alarme sonoro de RETARD. No tocante ao manete de potência do motor número 2, não foi registrada qualquer movimentação havendo simplesmente o registro na posição CL. Em seguida, o Second in Command (SIC) confirmou a ativação do reversor do motor número 1 e a não deflexão dos ground spoilers, o PIC então percebeu que uma situação anormal estava ocorrendo, o que o fez acionar o freio de maneira leve. Apesar deste acionamento de freio a aeronave não desacelerou o que fez com que os pilotos aplicassem a deflexão máxima nos pedais de freio. Este procedimento, porém, não foi suficiente para parar a aeronave. Esta se desviou do eixo da pista, saindo pela sua lateral esquerda, cruzou a Avenida Washington Luís, colidiu com um posto de abastecimento de combustíveis e com o edifício de cargas. Os registros do FDR referentes aos motores indicam que, após o pouso, o motor esquerdo desacelerou para 1.03 Engine Pressure Ratio (EPR), enquanto o motor direito acelerou para 1.18 EPR. Estes parâmetros são compatíveis com os registros acima descritos, referentes às posições de manete. Ficou registrada, também, a não deflexão dos ground spoilers, bem como a não atuação dos autobrakes. O sistema de anti-skid, por sua vez, funcionou normalmente, evitando o travamento das rodas do trem principal durante a frenagem. A aeronave tocou a pista com a velocidade de 142 nós, estando, no momento do impacto, com 96 nós, conforme o relatório final do CENIPA. O gravador de voz da cabine (Cockpit Voice Recorder, CVR) revelou que o aviso aural RETARD soou quando se registrou a movimentação do manete esquerdo para a posição IDLE, quando a aeronave cruzava 10 pés de rádio-altímetro na aproximação para pouso. Porém, quando um manete estava posicionado em REV e o outro em CL, o aviso RETARD foi desativado pelo sistema, ficando então, os tripulantes sem um sinal sonoro que os avisasse sobre o posicionamento inadequado de um dos manetes. De acordo com o projeto da aeronave A-320, a função do aviso aural RETARD é de lembrar aos pilotos, que estão pilotando com o sistema de autothrust engajado,

de que ambos os manetes devem ser posicionados na posição IDLE. (CENIPA, 2009) A partir de simulações feitas pelos investigadores deste acidente, na sede do fabricante, em Toulouse, constatou-se que, um pouso executado nas condições do voo JJ3054, não permite a parada dentro dos limites de uma pista similar à de Congonhas. Porém, uma aeronave, nesta mesma situação, equipada com a rotina H2F3 para o FWC, desenvolvida pelo fabricante, e que, avisa aos pilotos sobre o posicionamento inadequado dos manetes, permite à tripulação, corrigir o posicionamento dos manetes a tempo, e como consequência, ter um pouso seguro. 4. Análise e Classificação do Erro Humano para este Acidente A análise referente ao acidente da aeronave PR-MBK é feita a partir do preenchimento do software SERA, usando para isso, o relatório final do CENIPA. (CENIPA, 2009) 4.1 Identificação do Ato Inseguro O primeiro ponto a ser identificado é o ato ou a condição insegura que marca o momento em que houve o desvio da operação segura. Em todo acidente ou incidente, existe um momento em que este desvio ocorre. Um ato ou uma condição insegura é aquele que tenha a possibilidade de ser removido da trajetória do acidente, neste ponto da operação segura, e pode evitar que o acidente ocorra. Pela análise do acidente, o ato inseguro que marcou este ponto foi: O piloto deixou de seguir o procedimento preconizado na MMEL para pouso com um reversor inoperante. Nome do ato inseguro: Pouso fora dos procedimentos para aeronave com reversor inoperante. OBSERVAÇÕES ADICIONAIS: O piloto deixou de seguir o procedimento preconizado na MMEL para pouso com um reversor inoperante. Segundo o procedimento, os dois manetes deveriam estar na posição IDLE, quando do arredondamento, e, ao tocar no solo com o trem de pouso principal, para a posição REVERSE. Conforme os dados do FDR, o manete do motor que estava com o reversor inoperante permaneceu na posição CLIMB e o outro manete na posição IDLE, segundos antes do pouso. Pag. 74 e 75/122. A partir deste ponto, Pag. xx/122 se refere à página do relatório (CENIPA, 2009) onde se encontra a informação utilizada no preenchimento do programa SERA. O SERA conduz o investigador na análise de um comportamento humano particular, para fazer a avaliação da atitude que desencadeou o acidente, a partir de três perguntas, sobre o objetivo, a percepção e a ação do operador, onde, a partir destas questões, é possível traçar uma cadeia causal de um ato inseguro para os pontos de falhas ativas. Estes pontos de falhas podem ser encontrados em um destes ou em mais de um destes processos. Conforme Hendy (2003), as doze falhas ativas geradas pelos degraus de decisão no sistema de processamento de informação do ser humano podem ser enumeradas como se segue: 1) Falhas de intenção; 2) Falhas de atenção; 3) Falha sensorial; 4) Falha de conhecimento; 5) Falha de percepção; 6) Falha de comunicação ou de informação; 7) Falha no gerenciamento do tempo; 8) Falha de conhecimento durante a decisão; 9) Falha


na habilidade para resposta; 10) Falha na seleção da ação; 11) Deslizes, lapsos ou erros e 12) Falhas de realimentação. O fluxograma completo do programa que conduz o investigador a estas falhas pode ser visto na Figura 1.

Figura 1 - Degraus de decisão do SERA Adaptado de Hendy (2003)

4.2 As Três Questões sobre a Percepção, o Objetivo e a Ação dos Tripulantes Questão 1: O que o operador ou a tripulação acreditou que era o estado do mundo no que dizia respeito aos objetivos? Aparentemente a tripulação acreditava que ambos os manetes estavam em IDLE. Após o pouso, e como o avião não desacelerava, supõe-se que os pilotos acreditaram que a aeronave estava hidroplanando. OBSERVAÇÕES ADICIONAIS: A ação inicialmente tímida do PIC no pedal esquerdo do freio, antes de aplicar a frenagem máxima, como que com receio de perder totalmente o controle da aeronave sobre a pista, demonstra que eles acreditavam que a aeronave estava hidroplanando e que provavelmente, ela poderia ser controlada. Pag. 80/122. Questão 2: O que o operador estava tentando realizar? Qual era a sua intenção?

Os pilotos estavam em procedimento de pouso, em uma pista molhada e em período noturno. Esta aeronave se encontrava com um reversor inoperante. OBSERVAÇÕES ADICIONAIS: Como a tripulação não percebeu que um dos manetes estava na posição CLIMB, a mesma manteve os procedimentos normais de pouso da aeronave. Questão 3: Como a tripulação estava tentando alcançar os objetivos? Os pilotos estavam executando os procedimentos para pouso com um dos manetes na posição IDLE e outro na posição CLIMB. Após o toque do trem de pouso dianteiro, o manete do motor número 1 foi levado para a posição REV. OBSERVAÇÕES ADICIONAIS: O fato do manete do motor número 2, que estava com o reversor desativado, ter sido registrado na posição CL determinou a variação dos parâmetros daquele motor no sentido de tentar manter a velocidade previamente selecionada. Isto porque, quando funcionando isoladamente, independentemente do Autopilot/Flight Director (AP/FD), a função autothrust sempre controla a velocidade. Isto trouxe como consequência também a não deflexão dos ground spoilers, pois, de acordo com a sua lógica de operação, é preciso que ambos os manetes estejam na posição IDLE, ou que um deles esteja na posição IDLE e o outro na posição REV, para que os ground spoilers sejam defletidos. A não deflexão dos ground spoilers degrada significativamente a capacidade de frenagem da aeronave, aumentando, por si só, a distância necessária para a parada total em cerca de 50%, segundo dados do fabricante. Como um efeito em cascata, a função autobrake, embora armada, não foi ativada, já que a abertura dos ground spoilers é uma pré-condição para tal ativação. Desta forma, após o pouso, não houve nem a deflexão dos ground spoilers, nem o acionamento do autobrake. Quando do toque do trem de pouso do nariz, cerca de dois e meio segundos depois do toque do trem principal esquerdo, o manete do motor número 1 foi levado para a posição REV. Com esta ação, a função autothrust da aeronave foi desconectada, conforme previsto no projeto da aeronave, tendo entrado em ação a função thrust lock, cuja finalidade é a de evitar que a aceleração chegue ao nível da potência de subida. Assim, esta função “congelou” a potência do motor número 2 no valor em que estava naquele instante (EPR2 = 1.18). Como a função thrust lock é desativada pela movimentação do manete e não houve registro desta movimentação pelos pilotos, o motor número 2 permaneceu com aquela potência até a colisão. Portanto, naquele momento, o FDR registrava atuação do reversor do motor número 1 e empuxo no motor número 2 coerente com o respectivo manete posicionado em CL. O FDR registrou também a não atuação dos ground spoilers e do autobrake. Aproximadamente seis segundos após o toque do trem principal, houve o primeiro acionamento dos freios por meio dos pedais, que atingiram a máxima deflexão, cerca de cinco segundos mais tarde. Registrou-se, ainda, o uso do leme e a frenagem diferencial pelos pedais à medida que a aeronave perdia a reta para a esquerda, provavelmente na tentativa de mantê-la na pista e pará-la. O sistema, tendo reconhecido um manete na posição CL e outro na posição REV, entendeu que a intenção dos pilotos era de continuar voando e não de pousar. Nesta situação, com a informação de um manete em CL, o ground spoiler não defletiu, o autobrake não atuou e as condições de frenagem deterioraram-se a ponto de não permitir a parada da aeronave na pista. Os pilotos só perceberam que a aeronave


não desacelerava poucos segundos antes do impacto, tempo insuficiente para que compreendessem o que se passava. Pags. 75 e 76/122 4.3 Análise da Falha de Percepção Neste passo são propostas cinco questões para identificar se a tripulação cometeu uma falha de percepção, e, é feita uma avaliação para identificar dentre as falhas ativas relacionadas à falha de percepção, qual foi àquela classificada como causa provável do acidente. Questão 1: A tripulação teve uma correta ou adequada avaliação da situação? A avaliação da situação pela tripulação corresponde à situação real? A avaliação da situação pelos tripulantes não correspondia à situação real. Breve descrição da avaliação dos tripulantes: A falta da desaceleração esperada após o pouso poderia ter sido atribuída pelos pilotos, inicialmente, às condições da pista. Sem a correta compreensão do comportamento da aeronave, eles podem ter sido levados a acreditar que a aeronave estivesse hidroplanando. Pag. 80/122 A pouca experiência do SIC naquele assento pode ter contribuído para a não percepção de um eventual lapso ou desvio na execução dos procedimentos previsto na MMEL e no Standard Operating Procedures (SOP). Pag. 81/122 Em momento algum do gerenciamento daquela situação de emergência, houve qualquer indício de que algum dos pilotos tivesse compreendido o que se passava com relação à aeronave e seus sistemas. Pag. 82/122 A partir desta resposta, pode-se concluir que houve uma falha de percepção. As próximas questões tem o objetivo de definir qual falha de percepção ocorreu. Questão 2 (Referente à capacidade da tripulação): A tripulação tinha os pré-requisitos, capacidade, conhecimento ou habilidades necessárias para sentir e perceber a situação? Sim. Portanto, não houve falha de capacidade dos tripulantes. Breve descrição da capacidade dos tripulantes: O FDR registrou que, na etapa anterior, com pouso em Porto Alegre, a tripulação realizou precisamente os procedimentos estabelecidos na MEL/MMEL para a operação com um reversor desativado. Pag. 44/122 O piloto acumulava mais de duas mil horas de voo no A-320. O copiloto tinha cerca de duzentas horas. Pág. 10/122 Questão 3 (Referente à pressão do tempo): A pressão do tempo percebida: (o tempo que a pessoa acha que vai levar para processar todas as informações, dividido pelo tempo que ela acha que está disponível antes que a mesma tenha que tomar a ação de decisão) não foi excessivo (mais de 100%, embora as pessoas comecem a ter problemas acima de 80%)? Isto é, se naquele ponto a tripulação tivesse percebido ter mais tempo disponível, o resultado teria sido diferente?

A pressão do tempo percebida não foi excessiva. Portanto, não houve falha de pressão do tempo excessiva. Breve descrição sobre a pressão do tempo: Não houve nenhum aumento da carga de trabalho no momento do pouso. O avião não forneceu nenhuma informação objetiva referente à posição dos manetes. Questão 4 (Referente à ambiguidade da informação): A informação foi ilusória ou ambígua? A informação não foi ilusória nem ambígua. Portanto, não houve falha de ambiguidade da informação. Breve descrição sobre a ambiguidade da informação: Não houve informação sobre a posição real dos manetes. Questão 5 (Referente à disponibilidade e precisão da informação): A informação estava disponível e correta? Isto significa que existe uma expectativa razoável de que a informação poderia ser percebida corretamente se existisse. A informação não estava disponível ou correta. Portanto, houve falha na disponibilidade e precisão da informação. Breve descrição da disponibilidade da informação: No caso deste acidente, os pilotos não sabiam de que forma o sistema estava atuando para evitar que a aeronave pousasse. O painel de instrumentos da aeronave acusou a não deflexão dos ground spoilers, mas não houve nenhuma outra indicação e o sistema não apresentou qualquer informação adicional que permitisse aos pilotos entender o que estava efetivamente ocorrendo, ou mesmo que associasse aquela não deflexão à posição dos manetes de potência. Pag. 71/122 Conclusão conforme o SERA: Falha de Comunicação: Neste caso a falha está na COMUNICAÇÃO: entre a máquina e o ser humano. A partir da análise da falha ativa, são analisadas então, as pré-condições que podem ter contribuído para que esta falha ocorresse. Estas pré-condições são aquelas situações que criam as possibilidades para o surgimento destas falhas. No caso das investigações de acidentes, é a partir destas pré-condições que os investigadores buscam as causas que levaram a tripulação a cometer o ato inseguro. Estas podem ser definidas como a condição do pessoal envolvido no ato inseguro; a condição da tarefa tanto no que se refere às pressões do tempo quanto aos objetivos; e as condições do trabalho no que se refere aos equipamentos, espaço de trabalho e ambiente. As falhas de comando, controle e supervisão são definidas em termos do estabelecimento de objetivos estratégicos, das comunicações destes objetivos, e das provisões em corrigir erros a partir dos feedbacks. As influências organizacionais são os fatores remotos que estabelecem os objetivos das atividades a serem desempenhadas, controlam os recursos, definem o clima dentro do qual as atividades são desempenhadas, estabelecem restrições que delimitam o comportamento através de procedimentos, normas e regulamentos e proveem a supervisão dos mesmos. 4.3.1 Pré-condições para a Falha Ativa Comunicação As seguintes pré-condições, fatores latentes tanto imediatos quanto remotos, para a falha ativa COMUNICAÇÃO, tiveram


como resposta a opção “SIM”, ou seja, foram consideradas como fatores que contribuíram para a ocorrência desta falha ativa. Conforme o programa SERA, este grupo de pré-condições é o mais provável para a contribuição da ocorrência do evento, porém, outros podem, ainda, serem também considerados como fatores contribuintes, como será observado mais abaixo. Categoria das pré-condições: Condições dos operadores PSICOLÓGICA: Membros de equipes podem ter percepções incorretas de uma situação, ou podem obter a informação errada, da memória. Tal fato pode resultar na informação incorreta sendo passada para a pessoa ou pessoas envolvidas no ato inseguro. OBSERVAÇÕES ADICIONAIS: O papel do SIC é justamente o de monitorar o voo - inclusive no tocante às ações do PIC e aos parâmetros de voo. A pouca experiência do SIC naquele assento pode ter contribuído para a não percepção de um eventual lapso ou desvio na execução dos procedimentos previsto na MMEL e no SOP. Pag. 81/122 Apesar de não existir um procedimento estabelecido para o caso da não abertura dos ground spoilers, a mera sugestão desse problema feita a diversos comandantes e copilotos, mostrou diferenças na interpretação e no gerenciamento da situação. Pag. 82/122 Embora tenham percebido que os ground spoilers não haviam defletido, os pilotos não foram capazes de associar esta não deflexão ao posicionamento dos manetes. Além disso, é grande a probabilidade de que os pilotos tenham sido levados a acreditar que a falta da desaceleração esperada logo após o pouso era decorrente das condições de operação da pista molhada, cuja influência, vista pelo ângulo do aspecto psicológico no âmbito das variáveis individuais, foi percebida ao longo da investigação. Pag. 100/122 SOCIAL: Alguns fatores irão influenciar a disposição dos membros da equipe para comunicarem-se livre e abertamente. Por exemplo: o compromisso com a equipe, o nível de confiança e respeito, além do gradiente de autoridade irão afetar a receptividade para receber informações (calibrar os modelos mentais) e a prontidão em comunicar a informação. OBSERVAÇÕES ADICIONAIS: Com relação aos aspectos psicossociais, a tripulação era composta por dois comandantes muito antigos, sendo o que atuava na função de copiloto ainda pouco experiente no equipamento - tendo cumprido apenas o programa de treinamento. O PIC foi descrito pelos colegas de trabalho como uma pessoa “inicialmente fechada” e, na ocasião, voava com um piloto que lhe era desconhecido, por ser novo na empresa, o que pode ter inibido, ainda mais, o processo de comunicação, tornando o ambiente na cabine excessivamente formal. Como pôde ser identificado, no registro do CVR, as eventuais apreensões com relação aos limites para a operação em Congonhas naquelas condições não foram compartilhadas ou discutidas num âmbito de tripulação.

Observou-se também que, durante a situação de emergência, não houve divisão de tarefas, configurando-se um cenário que foge daquele esperado, no qual o PIC seria o líder e o SIC, um assessor. O cenário encontrado denota a ideia de que existiam duas lideranças a bordo. De acordo com as informações obtidas, em uma situação para a qual não se foi treinado, é difícil para um comandante se desvencilhar de um papel para o qual foi condicionado. O comandante é o líder e isso faz parte da cultura do grupo. Pag. 70/122 Categoria das pré-condições: Condições do trabalho EQUIPAMENTO: A comunicação homem-máquina pode ser degradada por displays de informações inadequados (por falta de estímulos necessários), ou por displays que forneçam informações incorretas. OBSERVAÇÕES ADICIONAIS: Foi observado que o aviso aural RETARD soa, mesmo quando os manetes já estão em IDLE, quando a aeronave cruza 10 pés de altura na aproximação para pouso. Por outro lado, observou-se também que o aviso RETARD é desativado quando um manete está posicionado em REV e outro em CL. Pag. 61/122 De acordo com o projeto da aeronave A-320, a função do aviso aural RETARD é de lembrar aos pilotos, que estão pilotando com o sistema de autothrust engajado, de que ambos os manetes devem ser posicionados na posição IDLE. Pag. 44/122 No caso específico deste acidente, o sistema de controle de potência, mesmo com a aeronave no solo, Weight on Wheels (WOW), com o manete de potência do motor número 1 na posição REV, com os ground spoilers armados, com o autobrake selecionado e com aplicação de pressão máxima de frenagem nos pedais, deu prioridade à informação do posicionamento de um manete em CL, manete este que não possuía nenhum dispositivo de segurança quanto a um eventual posicionamento inadvertido. Pag. 103/122 Categoria das pré-condições: Supervisão MONITORAMENTO E SUPERVISÃO: Deficiências de trabalho em equipe, equipamento ou ambiente têm sido relatadas e as ações de acompanhamentos foram iniciadas? OBSERVAÇÕES ADICIONAIS: A inobservância das peculiaridades presentes no quadro de pilotos da operadora, com certa desproporção entre o número de comandantes e o de copilotos, bem como de certas características individuais presentes em determinados tripulantes, somada à falta de um acompanhamento quanto ao desempenho operacional destes desde a sua admissão na empresa, permitiam a composição de tripulações com perfil inadequado para certos tipos de voo, como foi o caso do JJ3054. Pag. 89/122 Categoria das pré-condições: Influências organizacionais PROCESSO ORGANIZACIONAL: Existência de um processo para entrega de relatórios de situações de perigo ou trabalho em equipe, equipamento ou ambientes insatisfatórios. OBSERVAÇÕES ADICIONAIS: O próprio fabricante desenvolveu uma melhoria para o FWC, por meio da rotina


H2F3, que aciona um alarme específico com uma mensagem no ECAM, alertando os pilotos de que um manete estaria numa posição acima de IDLE durante o pouso. Entretanto, as autoridades responsáveis pela aeronave-gabilidade continuada do A-320 consideraram que a não implementação desta modificação não afetaria a segurança da operação, não tendo sido emitida uma DA para sua instalação. A emissão de uma DA tornaria o dispositivo mandatório e obrigaria o fabricante a instalá-lo em todos os A-320 em operação. Desta forma, a rotina H2F3 representou, unicamente, uma melhoria oferecida pelo fabricante, por meio de boletim de serviço, a todos os operadores de A-320, cabendo a cada um deles decidir pela sua implementação (arcando com os respectivos custos) ou não. No caso específico do PR-MBK, o FWC não dispunha da rotina H2F3 instalada. Pag. 84/122 CLIMA ORGANIZACIONAL: São as condições que tenham efeito nas operações seguras devidamente investigadas e corrigidas. OBSERVAÇÕES ADICIONAIS: A forma como era percebida pelos tripulantes a política da empresa com relação à arremetida, pode ter contribuído para inibir qualquer cogitação de prosseguir para a alternativa, mesmo diante da ansiedade quanto às condições de Congonhas. Pag. 83/122 VIGILÂNCIA: Problemas sistêmicos nos trabalhos em equipe, equipamento ou ambiente foram conhecidos e tomadas ações corretivas. OBSERVAÇÕES ADICIONAIS: O setor de Operações, por sua vez, não gerenciou de forma pró-ativa a necessidade de compatibilizar os diferentes níveis de capacitação profissional na composição das tripulações. Assim, era permitido que uma tripulação fosse composta por pilotos que, embora cumprissem, individualmente, com os requisitos mínimos estabelecidos pela regulamentação vigente, não contavam com a experiência desejável em A-320 nas funções de comandante e/ou copiloto. Existem diversos casos nos quais a composição inadequada de uma tripulação contribuiu para a consumação de um acidente, a despeito do atendimento aos requisitos impostos pela regulamentação. Também foi revelada uma preocupação dos tripulantes com relação a interferências em processos operacionais e, inclusive, nas decisões individuais de cada piloto, criando um ambiente desfavorável para a segurança. Como exemplo, foi mencionado que haveria uma pressão para evitar a arremetida para a alternativa, em vista do grande transtorno operacional para realocar os passageiros em conexão, além do gasto com combustível e do desgaste na imagem da empresa perante os passageiros. Esta pressão não era formal, mas era percebida pelos tripulantes quando do contato com a empresa, durante o voo, para a busca de orientações e a coordenação das ações nas situações de mau tempo. É importante notar que estes relatos emergiram das pesquisas de campo, ao passo que, nas entrevistas

formalmente conduzidas, os tripulantes enfatizaram a postura da empresa no sentido de respeitar a autonomia do comandante com relação às decisões operacionais durante o voo. Saliente-se, ainda, que a empresa dispunha de uma política de incentivo à arremetida como ferramenta de segurança e que não foram encontradas evidências de que os tripulantes tenham procurado o Safety para buscar orientações quanto a uma eventual inobservância daquela política por qualquer setor da empresa. Pag. 51/122 A falta de coordenação entre os diversos setores da empresa, especialmente entre o setor de operações e o de treinamento, determinou a falta de um adequado acompanhamento dos processos e da qualidade da formação dos pilotos. Pag. 100/122 Outras pré-condições, que não são consideradas pelo programa como prováveis, também foram assinaladas, pelo analista, como fatores que podem ter contribuído para a ocorrência da falha ativa COMUNICAÇÃO. Categoria das pré-condições: Condições dos operadores FISIOLÓGICO: Estados fisiológicos que estão associados ao comprometimento do desempenho. OBSERVAÇÕES ADICIONAIS: O piloto relatou estar com uma pequena dor de cabeça. Pag. 96/122 CAPACIDADE FÍSICA: Fatores que determinam a capacidade física para perceber a informação e implementar a ação ou o comportamento pretendido. Estes fatores correspondem à capacidade física e não à capacidade cognitiva. OBSERVAÇÕES ADICIONAIS: Em um determinado momento, durante a aproximação, o PIC relatou estar com uma pequena dor de cabeça. Embora não tenha sido possível aferir de que tipo de cefaleia se tratava, ou mesmo aquilatar sua intensidade, é possível que este incômodo tenha exercido alguma influência nas suas capacidades cognitiva e psicomotora durante os momentos finais do voo, quando a imprevisibilidade da situação exigiu uma maior efetividade do desempenho. Pag. 96/122 Categoria das pré-condições: Supervisão COMUNICAÇÃO DA INTENÇÃO: Os objetivos da tarefa e linhas de responsabilidades não foram claramente comunicados pelos gerentes e supervisores. OBSERVAÇÕES ADICIONAIS: Foi mencionado que haveria uma pressão para evitar a arremetida para a alternativa, em vista do grande transtorno operacional para realocar os passageiros em conexão, além do gasto com combustível e do desgaste na imagem da empresa perante os passageiros. Esta pressão não era formal, mas era percebida pelos tripulantes quando do contato com a empresa, durante o voo, para a busca de orientações e a coordenação das ações nas situações de mau tempo. Pag. 51/122 Categoria das pré-condições: Influências organizacionais PROVISÃO DE RECURSOS: Refere-se ao gerenciamento, alocação e manutenção dos recursos da organização. OBSERVAÇÕES ADICIONAIS:


1. Economia: Havia uma pressão para evitar a arremetida para a alternativa, em vista do grande transtorno operacional para realocar os passageiros em conexão, além do gasto com combustível e do desgaste na imagem da empresa perante os passageiros. Pag. 51/122 2. Recursos Humanos: No âmbito do operador, estava em curso uma transição de equipamentos, que passou a se concentrar na linha Airbus, deixando de operar o Fokker 100. Com isso, a demanda por pilotos de A-320 - comandantes e copilotos - que já era grande, ficou ainda maior. Pag. 50/122 3. Equipamento: Por não ter sido emitida uma Diretriz de Aeronavegabilidade, pelo órgão certificador, para a implementação da modificação da rotina H2F3, esta representou, unicamente, uma melhoria oferecida pelo fabricante, por meio de boletim de serviço, a todos os operadores de A-320, cabendo a cada um deles decidir pela sua implementação (arcando com os respectivos custos) ou não. No caso específico do PR-MBK, o FWC não dispunha da rotina H2F3 instalada. Pag. 84/122 NORMAS E REGULAMENTOS: Normas e regulamentos têm um lugar especial no âmbito dos processos de uma organização. Normas e regulamentos, que podem ser impostos por um organismo externo, definem as restrições e estabelecem os requisitos legais dentro dos quais a missão operacional tem que ser realizada, como por exemplo, normas de contratos de trabalho. OBSERVAÇÕES ADICIONAIS: O órgão regulador, embora já contemplasse a disponibilidade dos reversores como requisito para a operação em Congonhas, pelo menos, desde abril de 2006, normatizou tal exigência somente em maio de 2008. A regulamentação oportuna deste requisito teria impedido a operação da aeronave em Congonhas com a pista na condição molhada. Pag. 82/122 Na Figura 2 é possível observar, de maneira sintética, a falha ativa COMUNICAÇÃO e as diversas pré-condições que podem ter levado a esta falha.

Figura 2 - A falha ativa comunicação e as pré-condições que

podem ter levado a esta falha (SOBREDA, 2011)

4.4 Análise da Falha de Objetivo Neste passo são propostas questões para identificar se a tripulação cometeu uma falha de objetivo, e, é feita uma avaliação para identificar dentre as falhas ativas relacionadas à falha de objetivos qual foi àquela classificada como causa provável do acidente referente aos objetivos. Considerando-se o que a tripulação estava tentando fazer: Questão 1: (Referente às normas e regulamentos): O objetivo estava coerente com as normas, regulamentos e SOPs? Sim. O objetivo estava coerente com as normas, regulamentos e SOPs. Breve descrição dos regulamentos relevantes: Sem observações relevantes. Questão 2: (Referente ao gerenciamento do risco): O ato inseguro resultou do exercício de um objetivo que, embora consistente com as regras e regulamentos, não era consistente com os procedimentos operacionais estabelecidos ou o risco não foi gerenciado ou delimitado, ou seja, o comportamento inseguro observado não se originou de um objetivo arriscado ao invés de um objetivo conservador? Não. O objetivo a ser alcançado não foi arriscado. Breve descrição dos riscos: O objetivo a ser alcançado não foi arriscado.


Conclusão conforme o SERA: Nenhuma falha de objetivos, naquilo que se pretendia realizar. A partir das respostas acima, pode-se concluir que não houve uma falha de objetivo. 4.5 Análise da Falha de Ação Neste passo, o último do fluxograma do SERA, são propostas questões para identificar se a tripulação cometeu uma falha de ação, e, é feita uma análise para identificar dentre as falhas ativas relacionadas à falha de ação qual foi àquela classificada como causa provável do acidente no que diz respeito às ações dos pilotos. Questão 1 (Referente à implementação da ação): A ação que ocorreu era a ação pretendida ou não? As ações podem não ter tido os resultados pretendidos, mas os pilotos fizeram o que pretendiam fazer? Não, a ação que ocorreu não era a ação pretendida. Breve descrição das intenções: Os manetes estavam em posição IDLE e CLIMB durante o processo de arredondamento e depois em REVERSE e CLIMB quando deveriam estar IDLE e IDLE e, posteriormente em REVERSE e REVERSE para o pouso seguro da aeronave. Conclusão conforme o SERA: Deslizes, falhas e lapsos: Em todos os casos de deslizes, falhas e lapsos, a ação pretendida não foi implementada. Deslizes podem ocorrer quando a ação pretendida difere, levemente, da habitual e estão relacionados a ações relativamente automatizadas. A partir da resposta acima, pode-se concluir que houve uma falha na execução da ação por DESLIZE. OBSERVAÇÕES ADICIONAIS: Em termos de projeto, durante a operação da aeronave, sempre que o aviso aural RETARD cessa, significa que os dois manetes estão na posição IDLE. Para os pilotos, isto se repete dezenas de vezes por semana. Mesmo durante o treinamento em simulador, sempre que o aviso aural RETARD cessa, significa que os dois manetes estão na posição IDLE. Como este fenômeno se repete em todas as operações de pouso, é admissível que esta exposição acabe condicionando os pilotos a entenderem que o cessar do aviso aural RETARD signifique que ambos os manetes estejam em IDLE. Consequentemente, e diante de tal condicionamento, pode-se presumir, também, que o cancelamento do aviso aural RETARD quando um manete estiver em REV e outro em CL induziria os pilotos a acreditarem, equivocadamente, que ambos os manetes estariam em IDLE. Esta falsa percepção, por sua vez, desviaria a atenção dos pilotos para outros sistemas ou informações, dificultando o gerenciamento de cabine e levando a decisões erradas justamente num momento crítico para a segurança do voo. Pag. 87/122

4.5.1 Pré-condições para a Falha Ativa Deslize As seguintes pré-condições, fatores latentes tanto imediatos quanto remotos, para a falha ativa na execução da ação por DESLIZE, tiveram como resposta a opção “SIM”, ou seja, foram consideradas como fatores que contribuíram para a ocorrência desta falha ativa. Conforme o programa SERA, este grupo de pré-condições é o mais provável para a contribuição da ocorrência do evento, porém, outros podem, ainda, serem também considerados como fatores contribuintes, como será observado mais abaixo. Categoria das pré-condições: Condições dos operadores TREINAMENTO: muitos erros podem ser atribuídos a um entendimento incompleto (modelo mental) da função do sistema. OBSERVAÇÕES ADICIONAIS: O PIC conhecia o procedimento previsto para pouso com um reversor inoperante. Pag. 94/122 Porém, a formação do SIC contemplou, apenas, o Right Seat Certification, que se mostrou insuficiente para fazer face à situação crítica enfrentada após o pouso. Além disso, a formação teórica dos pilotos da empresa era fundamentada no uso exclusivo de cursos interativos em computador (Computer Based Training, CBT), o que permitia a formação massiva, mas não garantia a qualidade da instrução recebida. Por fim, havia uma percepção, entre os tripulantes ouvidos durante a investigação, de que o treinamento, ao longo dos anos e em virtude da grande demanda derivada do crescimento da empresa, vinha sendo abreviado. Pags. 96 e 97/122 Categoria das pré-condições: Condições de trabalho EQUIPAMENTO: Design pobre de equipamentos pode ter como resultado um cenário para a propagação destes erros. Por exemplo, proximidade dos controles de trem de pouso e flapes. Aparência e toque similares para os controles, layout diferente dos arranjos convencionais. OBSERVAÇÕES ADICIONAIS: O FWC do PR-MBK não dispunha da rotina H2F3, uma melhoria oferecida pelo fabricante por meio de boletim de serviço. Pag. 82/122 Categoria das pré-condições: Influências organizacionais PROCESSO ORGANIZACIONAL E PRÁTICAS: Os procedimentos podem ajudar a prevenir falhas devidas às limitações de memória (quadro de ferramentas, desligamentos independentes, métodos de desafio-resposta, como a exigência de um password, conferindo à última etapa realizada quando interrompida a sequência de tarefas, etc.). OBSERVAÇÕES ADICIONAIS: Dois acidentes em condições similares, ao do voo JJ3054, ou seja, pouso com reversor inoperante, ocorreram anteriormente com aeronaves A-320, em Bacolod (Filipinas - 1998) e Taipei (Taiwan - 2004). O fabricante reconheceu esta importância ao desenvolver uma melhoria para o FWC, por meio da rotina H2F3, que aciona um alarme específico com uma mensagem no ECAM, alertando os


pilotos de que um manete estaria numa posição acima de IDLE durante o pouso. No PR-MBK, o FWC não dispunha da rotina H2F3 instalada. Pags. 60 e 84/122 NORMAS E REGULAMENTOS: São normas e regulamentos que capturam tipos de erros, tais como, por exemplo, a existência e uso de checklists obrigatórios. OBSERVAÇÕES ADICIONAIS: O próprio fabricante reconheceu esta importância ao desenvolver uma melhoria para o FWC, por meio da rotina H2F3, que aciona um alarme específico com uma mensagem no ECAM, alertando os pilotos de que um manete estaria numa posição acima de IDLE durante o pouso. Entretanto, as autoridades responsáveis pela aeronave-gabilidade continuada do A-320 consideraram que a não implementação desta modificação não afetaria a segurança da operação, não tendo sido emitida uma DA para sua instalação. A emissão de uma DA tornaria o dispositivo mandatório e obrigaria o fabricante a instalá-lo em todos os A-320 em operação. Desta forma, a rotina H2F3 representou, unicamente, uma melhoria oferecida pelo fabricante, por meio de boletim de serviço, a todos os operadores de A-320, cabendo a cada um deles decidir pela sua implementação. Pag. 84/122 VIGILÂNCIA: Se nenhuma ação corretiva foi tomada, no caso de ser conhecida a existência de um número elevado de incidentes deste tipo OBSERVAÇÕES ADICIONAIS: A despeito das prescrições internacionais referentes ao projeto e à construção das aeronaves e seus sistemas, notadamente no que se refere à falibilidade do ser humano, há registros de vários acidentes, envolvendo diversos fabricantes, que tiveram, como fator contribuinte, o posicionamento inadvertido de manetes de potência, conforme se observa na tabela abaixo - da página 60/122, do relatório final do CENIPA.

Outras pré-condições, que não são consideradas pelo programa como prováveis, também foram assinaladas, pelo analista, como fatores que podem ter contribuído para a ocorrência da falha ativa DESLIZE. Categoria das pré-condições: Condições dos operadores FISIOLÓGICO: Estados fisiológicos que estão associados ao comprometimento do desempenho.

OBSERVAÇÕES ADICIONAIS: O piloto relatou estar com uma pequena dor de cabeça. Pag. 96/122 PSICOLÓGICO: Estados psicológicos, atitudes, traços, e tendências de processamento moldam os objetivos que estabelecemos, o modo como interpretamos ou percebemos a informação, e as ações que nós formamos. OBSERVAÇÕES ADICIONAIS: Em vista de todo o cenário da operação - os 55 metros acrescidos pelo procedimento do reverso, as 2,4 toneladas de peso acrescidas em função do abastecimento econômico, a lotação máxima da aeronave, a pressão para prosseguir para Congonhas, a condição fisiológica (dor de cabeça) do PIC, um SIC sem vivência como copiloto e com pouca experiência no A-320 e seu sistema autothrust, a pista molhada e escorregadia e as ocorrências registradas nos dias anteriores - é grande a probabilidade de que o PIC tenha tentado, deliberadamente, realizar o procedimento antigo para a operação com um reverso inoperante, de modo a aumentar a eficiência da frenagem, tendo deixado, inadvertidamente, o manete de potência do motor número 2 na posição CL. Pag. 98/122 SOCIAL: Fatores que determinam a eficácia de como grupos e equipes interagem. OBSERVAÇÕES ADICIONAIS: Havia dois comandantes na cabine de comando. Um deles, o SIC, estava na função de copiloto. O SIC havia sido contratado recentemente pelo operador para o cargo de comandante, contando, à época do acidente, com pouco mais de 200 horas de voo no A-320. Sua grande experiência pregressa se consolidou também na condição de comandante, porém em aeronaves da linha Boeing, que possuem sistema autothrottle. O PIC foi descrito pelos colegas de trabalho como uma pessoa “inicialmente fechada” e, na ocasião, voava com um piloto que lhe era desconhecido, por ser novo na empresa, o que pode ter inibido, ainda mais, o processo de comunicação, tornando o ambiente na cabine excessivamente formal. Como pode ser identificado no registro do CVR, as eventuais apreensões com relação às limitações para a operação em Congonhas naquelas condições não foram compartilhadas ou discutidas num âmbito de tripulação. Observou-se também que, durante a situação de emergência, não houve divisão de tarefas, configurando um cenário que foge daquele esperado, no qual o PIC seria o líder e o SIC, um assessor. O cenário encontrado denota a ideia de que existiam duas lideranças a bordo. De acordo com as informações obtidas, em uma situação para a qual não se foi treinado, é difícil para um comandante se desvencilhar de um papel para o qual foi condicionado. O comandante é o líder e isso faz parte da cultura do grupo. Pag. 69 e 70/122 Como o papel do SIC é justamente o de monitorar o voo - inclusive no tocante às ações do PIC e aos parâmetros de voo - a pouca experiência do SIC naquele assento pode ter contribuído para a não percepção de um eventual lapso ou desvio na execução dos procedimentos previsto na MMEL e no SOP. Pag. 81/122


Categoria das pré-condições: Supervisão COMUNICAÇÃO DA INTENÇÃO: Os objetivos da tarefa e linhas de responsabilidade não foram claramente comunicadas pelos gerentes e supervisores. OBSERVAÇÕES ADICIONAIS: A forma como era percebida pelos tripulantes a política da empresa com relação à arremetida, pode ter contribuído para inibir qualquer cogitação de prosseguir para a alternativa, mesmo diante da ansiedade quanto às condições de Congonhas. Pag. 83/122 No âmbito dos tripulantes da empresa, foi identificada pela investigação a percepção de tripulantes no sentido de que havia uma pressão, por parte da administração, no sentido de se evitar a arremetida, por conta dos transtornos gerados aos passageiros e à própria empresa. Caso os pilotos do JJ3054 compartilhassem daquela percepção, é possível que ela tenha exercido alguma influência na decisão do piloto em prosseguir para o pouso em Congonhas, a despeito de sua preocupação com as condições de operação da pista. Pags. 51/122; 101 e 102/122 MONITORAMENTO E SUPERVISÃO: Faltam as atividades de monitoramento ou supervisão, ou estas estão atrasadas ou foram insuficientes para fornecer feedback para correção de erros garantindo que a tarefa fosse bem sucedida ou que a missão fosse concluída. OBSERVAÇÕES ADICIONAIS: As comunicações do Safety com os tripulantes da organização eram feitas apenas através de e-mail corporativo, sem que houvesse um instrumento de controle que permitisse atestar que as informações transmitidas eram efetivamente lidas, prescindindo de um importante elemento da comunicação: o feedback. As próprias informações relacionadas à segurança de aviação nem sempre tinham uma divulgação adequada (como exemplo, os acidentes ocorridos com as aeronaves de mesmo modelo que as operadas pela empresa não eram informados aos tripulantes). A mudança no procedimento de operação com o reversor desativado previsto na MEL, ocorrida em janeiro de 2007, não havia sido comunicada pela empresa aos pilotos. Só se tomava conhecimento do procedimento ao voar num equipamento nesta situação, ocasião na qual o tripulante deveria consultar a MEL. Desta forma, ainda que os procedimentos internos determinassem que as mudanças operacionais fossem passadas para o Treinamento - visando à padronização nos treinamentos iniciais ou nas reciclagens - pode-se dizer que os pilotos nem sempre eram convencidos a adotá-las. Vale salientar que, de acordo com os dados registrados pelo FDR, das últimas vinte e oito operações de pouso realizadas, incluindo a do acidente, foram registrados cinco procedimentos distintos de pouso com um reversor desativado, quatro dos quais, não previstos pelo fabricante. Por sua vez, embora estivesse formalmente estabelecido, observou-se que o procedimento de consulta à MEL não assegurava a devida aderência aos dispositivos nela estabelecidos e nem sempre era rigidamente observado.

De acordo com o apurado nas pesquisas de campo, o Safety era percebido pelos tripulantes como um setor pouco atuante, que não dava a devida importância às informações a ele reportadas. Esta impressão decorria principalmente da falta de feedback das soluções dadas aos reportes relacionados à segurança de aviação recebidos pelo setor, desestimulando a sua prática. Por sua vez, esta falta de feedback poderia ter como explicação o número insuficiente de profissionais qualificados no setor, diante da envergadura da empresa, gerando um ciclo. Os funcionários da empresa não se sentiam incentivados para o relato dos problemas que afetassem à segurança de aviação, ou sensibilizados quanto à importância da utilização dos instrumentos de prevenção disponíveis. Além disso, a empresa dispunha de uma ferramenta de reporte através da rede corporativa de computadores, na qual o campo referente à identificação do relator era um requisito (obrigatório) para o envio do reporte. Apesar de o uso da rede corporativa não ser a única opção para a veiculação de reportes para o Safety, a imposição da identificação do autor do reporte por ela veiculado acabava sendo um fator de inibição ao uso da ferramenta. Excetuando o relatório de perigo, que atualmente é chamado de relatório de prevenção, não existia na organização nenhum mecanismo pró-ativo de busca efetivo de falhas com a possibilidade de relato de problemas, incidentes, lapsos, deslizes ou ameaças que fosse tratado de forma sistemática e com análises de tendências. E mesmo o relatório de perigo tinha sua credibilidade comprometida pela falta de feedback, o que acabava contribuindo para sua pouca utilização. Como paliativo, alguns tripulantes mais antigos - e com maior influência política na empresa - levavam eventualmente os problemas para a associação de tripulantes da empresa. Pags. 53 e 54/122 Categoria das pré-condições: Influências organizacionais PROVISÃO DE RECURSOS: Refere-se ao gerenciamento, alocação e manutenção dos recursos organizacionais. OBSERVAÇÕES ADICIONAIS: 1. Economia: havia pressão da empresa para que os pilotos evitassem arremetidas. Pag 51/122 2. Recursos Humanos: no operador estava em curso uma transição de equipamentos, que passou a se concentrar na linha Airbus, deixando de operar o Fokker 100. Com isso, a demanda por pilotos de A-320 - comandantes e copilotos - que já era grande, ficou ainda maior. Pag. 50/122 3. Equipamento: por não ter sido emitida uma Diretriz de Aeronavegabilidade para a implementação da modificação da rotina H2F3, esta, representou, unicamente, uma melhoria oferecida pelo fabricante, por meio de boletim de serviço, a todos os operadores de A-320, cabendo a cada um deles decidir pela sua implementação (arcando com os respectivos custos) ou não. No caso específico do PR-MBK, o FWC não dispunha da rotina H2F3 instalada. Pag. 84/122 CLIMA ORGANIZACIONAL: Refere-se às variáveis que moldam as atitudes do trabalhador e faz com que certos comportamentos tenham a probabilidade de surgir.


OBSERVAÇÕES ADICIONAIS: Foi identificada pela investigação a percepção de tripulantes no sentido de que havia uma pressão, por parte da administração, no sentido de se evitar a arremetida, por conta dos transtornos gerados aos passageiros e à própria empresa. Pag. 101/122 Na Figura 3 é possível observar, de maneira sintética, a falha ativa DESLIZE e as diversas pré-condições que podem ter levado a esta falha.

Figura 3 - A falha ativa deslize e as pré-condições que

podem ter levado a esta falha (SOBREDA, 2011)

5. Conclusão Como pôde ser observado neste trabalho, o programa SERA demonstra ser aplicável ao estudo do erro humano em investigações de acidentes e incidentes aeronáuticos, trazendo à tona as possíveis falhas e pré-condições que levaram a estes. Isto se dá, através do preenchimento do programa durante a investigação, ou, o resultado pode emergir ainda, como no exemplo estudado neste trabalho, a partir de um relatório de acidente já investigado e concluído. O ponto de partida para a aplicação do SERA é a definição do sistema a ser analisado. Este sistema será definido conforme o acidente e as organizações envolvidas. No caso do presente trabalho o sistema em análise coincide com a estrutura organizacional do transportador. O próximo passo então é a definição do ato ou condição insegura, este passo é comum em todo processo de investigação e não é um passo específico do SERA. É gerado um relatório para cada ato ou condição insegura. Para cada relatório o programa faz três perguntas, a saber, a

percepção, os objetivos e a ação. A partir deste ponto, o SERA leva a uma série de perguntas para que, inicialmente, sejam classificadas as falhas ativas, posteriormente então, relacionando, através de perguntas, às pré-condições para cada falha ativa. As questões são respondidas com “SIM” ou “NÃO” e todas elas possuem um campo para justificativa das respostas, o que preencherá, posteriormente o relatório apresentado pelo SERA. O programa tem como classificação, vinte e uma pré-condições que estão relacionadas a cada falha ativa e, portanto, a descrição de cada pré-condição difere conforme a falha ativa identificada durante a análise do acidente. O SERA trouxe à luz, no acidente analisado, duas falhas ativas. Uma delas é clara, a falha na comunicação homem-máquina. Esta falha emergiu da leitura do relatório final do órgão investigador, assim como através da análise do programa SERA. Pode ser observado que, se para aquela tripulação, houvesse, dentro da cabine, um alerta claro com respeito ao posicionamento dos manetes, o mesmo poderia ter sido corrigido a tempo de se evitar o acidente. A outra falha, apontada pela aplicação do programa SERA, a falha na execução da ação por deslize, quer tenha sido pela tentativa do pouso com reversor inoperante, utilizando-se um procedimento antigo, quer tenha sido pelo esquecimento no posicionamento correto do manete, esta nunca poderá ser comprovada, pois, finalmente, não se pode ter certeza do que realmente aconteceu nos minutos finais daquela tripulação. Pode-se afirmar que jamais será possível conhecer os reais motivos, sejam estes de ordem humana ou material, que levaram o manete em questão a permanecer na posição CLIMB. Embora a falha mecânica seja muitíssimo pouco provável, a tripulação não está mais presente para auxiliar na procura dos motivos que teriam levado a uma falha na execução da ação. Além destas falhas, diversas condições latentes e deficiências foram observadas, revelando então, uma quebra sistêmica do gerenciamento da segurança em diversos níveis do ambiente da aviação, partindo do fabricante, agências reguladoras, a infraestrutura aeroportuária e os diversos níveis da operadora até, finalmente, atingir o último nível desta cadeia, que é, a tripulação. Como facilmente constata-se, a partir do exemplo estudado neste trabalho, as verdadeiras causas que levam a um acidente desta natureza podem, raramente, se nunca, serem estabelecidas com absoluta certeza. Segundo Reason, a psicologia cognitiva pode ajudar a entender a propensão de um indivíduo para o erro, porém tem pouco a dizer sobre como esta tendência individual interage dentro de grupos de pessoas trabalhando em sistemas complexos. E estas falhas coletivas são as que representam os principais riscos e desafiam a nossa compreensão. Muito já foi feito até hoje, com respeito ao estudo do erro humano, na tentativa de redução dos índices de acidentes sob esta ótica, porém estes índices ainda se mantêm muito elevados. O caminho para a classificação e redução dos chamados “erros do piloto” ainda é muito longo e longa também é a distância a percorrer para que se tenha um sistema que englobe todos, ou talvez, a maioria dos aspectos do erro humano. Apesar desta visão aparentemente pessimista sobre a análise do erro humano e sua classificação para sistemas


complexos, a aviação está em constante evolução. As organizações que compõem o sistema de transporte aéreo continuam com os olhos voltados para os altos índices do fator humano envolvendo acidentes, quer seja por motivos políticos, econômicos, de mercado, ou ainda em respeito pelas vidas dos seus usuários e tripulantes. Muito há, ainda, para ser estudado e aprendido na busca de um sistema cada vez mais seguro. A psicologia cognitiva e a engenharia aeronáutica podem e devem caminhar juntas, nesta jornada, para o constante aprendizado a respeito do erro humano e a criação de barreiras cada vez mais eficientes para estas falhas. REFERÊNCIAS CENIPA (Centro de Investigação e Prevenção de Acidentes Aeronáuticos), Relatório Final, A-67/CENIPA/2009. Brasília, DF, 2009. HENDY, K.C., A tool for human factors accident investigation, classification and risk management. Toronto, Canada: DRDC, 2003. (TR 2002-057). REASON, J., Human error. Cambridge: Cambridge University Press, 1990. 302 p. SOBREDA, S.F., SERA - Uma Ferramenta para análise e classificação do erro humano em acidentes e incidentes aeronáuticos. Dissertação (Mestrado Profissional) - ITA - São José dos Campos, SP, 2011.


Documents

Perda de Controle no Solo - Uma Análise do Fator Humano … · 2015-11-20 · Perda de Controle no Solo - Uma Análise do Fator Humano Usando o Programa SERA. Simone Figueira Sobreda