Reflexos da Falha Humana na Aviação – o Impacto na ...ssv.ipev.cta.br/ssv-apresentacoes/2015/Artigos/SSV... · Figura 3 – Tampa de combustível com vestígios de contaminação

Reflexos da Falha Humana na Aviação – o Impacto na Operação de Abastecimento de

Combustível Aeronáutico

José Augusto de Almeida – MSc

Departamento de Ciência e Tecnologia Aeroespacial – DCTA

Izaias dos Anjos Souza – DSc

Universidade da Força Aérea – UNIFA

Palavras Chave: anticongelante, contaminação, falha humana, filtro combustível.

BIOGRAFIA José Augusto de Almeida é militar reformado do Comando da Aeronáutica (COMAER). Oficial Especialista em Controle de Tráfego Aéreo, formado pela Escola de Oficiais Especialista da Aeronáutica (EOEAer). Possui os Cursos de Segurança de Vôo e de Gestão da Segurança Operacional pelo CENIPA e pela ANAC, Aperfeiçoamento de Oficiais pela Escola de Aperfeiçoamento de Oficias da Aeronáutica (EAOAR), Especialização e Mestrado em Engenharia Aeronáutica pelo Instituto Tecnológico de Aeronáutica (ITA), ênfase em Segurança da Aviação e Aeronavegabilidade Continuada (PE Safety e MP Safety).

Izaias dos Anjos Souza é militar reformado do Comando da Aeronáutica (COMAER). Possui especialização em Metodologia do Ensino pela UFSCar. É engenheiro civil pela Fundação de Ensino Superior de Pernambuco - Escola Politécnica, Doutor em Ciências Aeroespaciais pela Universidade da Força Aérea (UNIFA), com pesquisas em prevenção de acidentes aeronáuticos, percepção de riscos e certificação aeronáutica.

RESUMO No segundo semestre de 2014, a aviação brasileira foi acometida de certa apreensão em função de contaminação do combustível oferecido/vendido no terminal executivo (Terminal 2) do aeroporto de Brasília-DF. Aeronaves executivas, e em seguida algumas da aviação comercial, de lá decoladas, apresentaram alerta de bypass, por entupimento do filtro de combustível e, em alguns casos, perda de potência de suas turbinas após a decolagem, obrigando o seu retorno compulsório ao local de partida. Em função do indiscutível risco, a extensão do prejuízo acarretado às empresas (cancelamento dos voos, descontaminação dos sistemas, indisponibilidade da aeronave etc.), os órgãos responsáveis pela prevenção de acidentes desenvolveram uma rápida e intensa investigação, resultando na descoberta de um fato fortuito e não intencional: os incidentes tiveram origem na troca “improvável”, por profissionais de reabastecimento, dos

aditivos utilizados para servir de anticongelante do combustível aeronáutico com o antifumígeno (aditivo líquido redutor de emissões de óxidos de nitrogênio), utilizado no combustível dos caminhões de abastecimento. As linhas preliminares de investigação chegaram a conferir até prováveis sabotagens, daí a gravidade do fato e a necessidade urgente de indicação dos fatores contribuintes. Este artigo tem por objetivo apresentar dados de como a descoberta serviu de reforço aos ensinamentos preconizados por James Reason e Sidney Dekker a respeito da falha humana, pois em que pese o estupendo desenvolvimento tecnológico, na atuação do ser humano, mesmo com o adequado treinamento, sempre há de se esperar a ocorrência de falhas. São apresentadas justificativas de ser função de todos os envolvidos nas lides da Aviação aprimorar os procedimentos de prevenção, para a não ocorrência dessas inevitáveis falhas. Conclui com a sugestão da adoção do termo “ato aeronáutico” aplicado ao abastecimento de combustível de aeronaves e, portanto, necessariamente objeto de preocupação por parte da Autoridade Aeronáutica, por intermédio do seu órgão regulador, a Agência Nacional de Aviação civil (ANAC). Recomenda visualizar o revendedor de combustível aeronáutico como um Provedor de Serviço da Aviação Civil (PSAC) e, portanto, deve estabelecer um Sistema de Gerenciamento da Segurança Operacional (SGSO) nos moldes estabelecidos pela Organização de Aviação Civil Internacional (OACI). Os dados utilizados neste artigo estão atualizados até o dia 30 de março de 2015.

INTRODUÇÃO Finalidade

A maior parte dos acidentes aeronáuticos tem como causa raiz fatores humanos. Um estudo feito pela Flight Safety Foundation (Figura 1) demonstra que mais de 60% dos acidentes da década de 1990 tiveram como origem o fator humano, considerado como contribuinte para a maioria dos eventos na aviação. Mesmo pessoas competentes cometem erros, a maioria das vezes de forma não intencional. Os erros

- - - - Anais do 8º Simpósio de Segurança de Voo (SSV 2015) - Direitos Reservados - Página 833 de 868 - - - -

devem ser aceitos como um componente normal em qualquer sistema onde os seres humanos interagem com a tecnologia.

Figura 1 – Primary Causes of Aircraft Accidents.

Fonte: DURWOOD (2007)

Os fatos e circunstâncias apresentados neste artigo têm a finalidade de discutir uma ocorrência aeronáutica, ocasionada por falha humana, que poderia ter acarretado graves consequências, caso não houvesse uma pronta resposta do Sistema de Investigação e Prevenção de Acidentes Aeronáuticos (SIPAER). Enfatiza a prevenção de acidentes aeronáuticos, estando alinhado com o que preconiza a “Filosofia SIPAER”. O público alvo é a comunidade aeronáutica em geral e, em particular, os usuários de abastecimento de combustível aeronáutico.

O fato

No dia 17 de outubro de 2014, o Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA), órgão central do Sistema de Investigação e Prevenção de Acidentes Aeronáuticos (SIPAER), publicou a DIVOP nº 09/2014 (Divulgação Operacional), com o seguinte teor:

No dia 09/10/2015 uma aeronave EMB-505, durante a ascensão para o FL450 (45.000 pés), ao cruzar o FL220 (22.000 pés), apresentou o acendimento de uma das luzes “FUEL IMP BYP” (Fuel Impeling Bypass). Após alguns instantes, ocorreu o acendimento da outra luz “FUEL IMP BYP”, referente à linha de combustível do segundo motor. Os pilotos cumpriram os procedimentos do check-list e efetuaram o pouso com segurança em SBBR (Brasília). (BRASIL, 2014a).

A partir dessa primeira ocorrência, começaram a surgir relatos de outras aeronaves com problemas semelhantes. Todos os eventos relacionavam-se a aeronaves abastecidas por caminhão tanque abastecedor (CTA), da empresa BR Aviation, no terminal da aviação executiva (Terminal 2) do aeroporto de Brasília, entre os dias 02 e 04 de outubro de 2014.

O material coletado das aeronaves envolvidas (amostras de combustível, filtros de combustível e tampas dos tanques) foi encaminhado, logo após, no dia 14 de outubro, para análise pelo Departamento de Ciência e Tecnologia Aeroespacial (DCTA), em São José dos Campos - SP (Figuras 1 e 2). Coletaram-se também amostras de combustível dos CTA da BR Aviation. Nas análises, sob coordenação da Divisão de Prevenção de Acidentes Aeronáuticos (DPAA) e execução pelo Instituto de Aeronáutica e Espaço (IAE), em seus laboratórios da Divisão de Química (Análise com infravermelho) e Divisão de Propulsão (verificação da conformidade com as especificações do combustível JET-A1), constatou-se a presença de material amínico, resultando a contaminação do combustível das aeronaves, que, por semelhança, sugeria a presença de um tipo de uréia. No combustível coletado nos CTA do fornecedor (BR Aviation) não houve

constatação de contaminação, conforme consta do Relatório Técnico emitido no dia 15 de outubro de 2014.

Encaminhadas também, posteriormente, amostras do material para análises diversificadas ao Centro de Pesquisas Leopoldo Américo de Mello (CENPES), órgão pertencente à Agência Nacional de Petróleo (ANP).

Figura 2 – Filtro de combustível contaminado.

Fonte: Foto dos autores (2014)

Figura 3 – Tampa de combustível com vestígios de contaminação.


Essas constatações iniciais culminaram com a emissão pelo CENIPA do já citado DIVOP nº 09/2014, com a seguinte Ação Recomendada a todos operadores de aeronaves abastecidas de QAV-1, no período de 2 a 4 de outubro de 2014, no Terminal 2 do aeroporto de Brasília-DF, pelo fornecedor BR Aviation:

Inspecionar os sistemas de combustível das aeronaves, em especial tanques e filtros, a existência de depósito de materiais semelhantes aos contidos nesta DIVOP, tomando as medidas pertinentes recomendadas pelos fabricantes das aeronaves e informando ao CENIPA sobre discrepâncias encontradas. (BRASIL, 2014a).

Informou-se também à Agência Nacional de Aviação Civil (ANAC) sobre a ocorrência, tendo a mesma realizado inspeção conjunta com a Agência Nacional de Petróleo (ANP), no dia 15 de outubro de 2014, No terminal da ocorrência. Essas novas análises corroboraram as constatações emitidas anteriormente no laudo do DCTA.


Destaca-se o fato de que os vestígios do material contaminante só são aparentes após a secagem/evaporação, uma vez que quando úmido os vestígios não podem ser visualizados, conforme apresentado na Figura 4.

Figura 4 – Material não visível quando úmido e visível após evaporação.

Fonte: (CENIPA 2014)

Avaliação dos Fatos

O SIPAER, a partir das primeiras notificações, apresentou uma rápida resposta. Efetuada a coleta de material, de imediato, o DCTA realizou as análises, conforme apresentado na Tabela 1, Cronologia dos Eventos.

A ANAC reproduziu na íntegra a DIVOP nº 09/2014, do CENIPA, de 17 de outubro de 2014, no seu Alerta de Vôo AV nº 18/2014, de 24 de outubro de 2014.

O assunto ganhou repercussão a partir de postagens em redes sociais (Twitter e Facebook), reprodução em sites noticiosos e veiculação pela imprensa.

A empresa abastecedora, BR Aviation, divulgou duas notas (Anexos A e B), informando:

Com base nas verificações efetuadas não identificamos no sistema de abastecimento da unidade, tanto no tanque fixo como no CTA, nenhum tipo de anomalia ou qualquer indício de combustível fora de especificação.

E ainda:

Outro ponto que devemos salientar é que a BR Aviation possui um rigoroso Sistema de Garantia de Qualidade em toda cadeia de suprimento, desde a refinaria até a aeronave. Toda essa movimentação é suportada por análises laboratoriais que garantem a qualidade do combustível entregue aos clientes.

Tabela 1 – Cronologia dos eventos.

DATA EVENTO LOCAL

09/10/2014 Primeira ocorrência “FUEL IMP BYP” Aeronave EMB-505

14/10/2014 Coleta de material SERIPA 4 e 6

15/10/2014 Recebimento material DPAA do DCTA

15/10/2014 Análise do material IAE

16/10/2014 Emissão relatório IAE

17/10/2014 Emissão DIVOP CENIPA

24/10/2014 Emissão AV ANAC

Na busca da elucidação do problema, apresentaram-se, de início, várias possibilidades. As principais desconfianças: atentado, sabotagem e erro humano, proposital ou não, foram consideradas.

Descartou-se a possibilidade de ato criminoso, com reforço para a hipótese de erro humano não intencional.

A situação gerou grande desassossego na comunidade aeronáutica dependente de abastecimento de suas aeronaves no aeroporto de Brasília. Diversas organizações emitiram alertas a seus tripulantes. O Grupo de Transporte Especial (GTE), sediado na Base Aérea de Brasília (BABR), emitiu alertas sobre o incidente, conforme partes a seguir expostas:

CONTAMINAÇÃO DE COMBUSTÍVEL EM BRASÍLIA Prezado tripulante, Informo a V.Sa. que houve problema recente quanto ao apagamento de motor de aeronaves abastecidas pela Prestadora BR em Brasília. O CENIPA emitirá o maior detalhamento desta informação através de uma DIVOP que será repassada ao efetivo de imediato. As primeiras informações constam que ocorreram cinco APAGAMENTOS DE MOTORES em aeronaves abastecidas por esse distribuidor NESSES DIAS. A pesquisa está em andamento uma vez que amostras foram recolhidas para o DCTA para análise, mas os indícios iniciais apontam para contaminação de combustível, provavelmente por fungo. Houve a constatação de um pó branco nos filtros de combustível dessas aeronaves em pane, sendo a maioria delas abastecidas no Terminal 2 e Pátio de Aviação Geral. ... A SSIPAA emite as seguintes orientações: 1) Alerta Situacional elevado com os parâmetros de motor, evitando-se, até conclusões posteriores, adentrar em formações chuvosas; e 2) Atentando para os limites operacionais como peso de decolagem e pouso e, sem que ocorra prejuízo nas missões planejadas, as tripulações deverão planejar para pousarem com combustível em Brasília maior do que o usual. Isso visa diminuir o abastecimento a ser realizado em Brasília. Saliento que o abastecimento em Brasília é permitido e tem ocorrido, mesmo diante dos problemas narrados. Essas orientações visam mitigar o risco face ao problema em pauta.

A preocupante situação gerou não só a movimentação das autoridades aeronáuticas, como também de outras organizações envolvidas. A primeira atuação efetiva foi a do CENIPA, o qual notificado pelos operadores das primeiras aeronaves que apresentaram problemas, imediatamente iniciou uma investigação com a finalidade de avaliar a ocorrência e chegar aos denominados Fatores Contribuintes. A tarefa de prevenção de acidentes aeronáuticos utiliza, entre outras ferramentas, o resultado dessas investigações para estabelecer ações corretivas, por meio das Recomendações de Segurança de Vôo (RSV).

Essa é uma das ferramentas utilizadas pelo CENIPA, organização do Comando da Aeronáutica (COMAER), prevista pelo Decreto nº 5.196, de 26 de agosto de 2004, a qual tem por atribuição planejar, gerenciar, controlar e executar as atividades relacionadas com a prevenção e investigação de acidentes aeronáuticos.

Outra autoridade aeronáutica envolvida na elucidação da ocorrência é a Agência Nacional de Aviação Civil (ANAC). Registra-se que, com a extinção do Departamento de Aviação Civil (DAC) e a criação da ANAC, em 2005, o Brasil apresenta uma interessante dualidade de autoridades aeronáuticas, cabendo à ANAC regular e fiscalizar as atividades de aviação civil e de infraestrutura aeronáutica e aeroportuária. Para tal, o órgão deve observar e implementar as orientações, diretrizes e políticas estabelecidas pelo governo federal, adotando as medidas necessárias ao atendimento do interesse público e ao desenvolvimento da aviação. A atividade


reguladora da ANAC pode ser dividida em duas vertentes: a regulação técnica e a regulação econômica.

Importante ressaltar que não está no campo de atuação da ANAC a atividade de investigação de acidentes aeronáuticos que fica a cargo do CENIPA. Porém, como integrante do Sistema de Aviação Civil Brasileiro (SAC), a ANAC deve participar da atividade de prevenção de acidentes aeronáuticos.

Diferentemente, a regulação da comercialização de combustíveis, incluindo os de uso aeronáutico, é atribuição inerente da Agência Nacional de Petróleo (ANP).

Desta forma, o agente distribuidor, no caso a BR Aviation, deve, necessariamente e de forma solidária, estabelecer seus procedimentos para a tarefa de prevenção de acidentes, de acordo com as orientações emanadas do seu órgão regulador (ANP).

Estabelecer as condições em que o evento ocorreu e a parcela de contribuição de cada agente é uma das tarefas da Investigação e Prevenção de Acidentes Aeronáuticos. Uma vez estabelecidas e analisadas essas condições, emitem-se as ações corretivas por intermédio de Recomendações de Segurança de Voo (RSV).

A origem

Ao buscar-se a origem do contaminante do combustível, por intermédio da investigação, verificou-se que algumas aeronaves, principalmente as do tipo Very Light Jet (VLJ) utilizam um anti-congelante no combustível denominado PRIST. À medida que o combustível esfria, ocorre que a água dissolvida no mesmo precipita na proporção de 1,8 ppm/ºC (1 ppm/F). Tal fenômeno se deve à precipitação da água dissolvida, tornando-se água livre com o resfriamento, com possibilidade de se transformar em cristal de gelo quando exposto a temperatura inferior a 0º C. Obviamente, com a formação de cristais de gelo, estes podem inibir o fluxo de combustível e resultar em falha de motor por insuficiência de combustível. Por este motivo, inúmeras aeronaves possuem sistemas de aquecimento para “derreter” os cristais formados a grandes altitudes (Fuel Heater), enquanto outras aeronaves requerem o inibidor de congelamento em sistema de combustível (Fuel System Icing Inhibitor - FSII) para lhe assegurar um voo seguro. Faz-se a opção pela utilização do aditivo no momento do abastecimento, sendo a dosagem efetuada pelo operador do caminhão abastecedor por intermédio de um comando específico.

Além disso, os caminhões abastecedores usam o ARLA 32, reagente usado juntamente com o sistema de Redução Catalítica Seletiva (SCR) para reduzir quimicamente as emissões de óxidos de nitrogênio presentes nos gases de escape dos veículos a diesel. Conforme informa o fornecedor:

O ARLA 32 é uma solução a 32,5% de uréia de alta pureza em água desmineralizada, transparente, não tóxica e de manuseio seguro. Ele não é explosivo, nem inflamável nem danoso ao meio ambiente. O ARLA 32 é classificado como produto de categoria de risco mínimo no transporte de fluidos. Não é um combustível, nem um aditivo de combustível e precisa ser utilizado em um tanque específico no veículo diesel equipado com SCR. O abastecimento é feito de forma semelhante ao diesel. (PETROBRAS, 2015).

O recipiente do ARLA 32 tem rótulo azul e formato cúbico. Enquanto o recipiente do PRIST tem o rótulo vermelho e formato cilíndrico, conforme a Figura 5.

Figura 5 – Recipientes de ARLA 32 (FLUA) e PRIST.


O caminhão tanque abastecedor possui um reservatório, na cor preta, para ser abastecido com o ARLA 32. Esse reservatório situa-se no lado direito do caminhão, próximo ao tanque de combustível (Figura 6). O operador do caminhão percebe o momento de reabastecer o ARLA 32 por uma indicação luminosa no painel, uma série de led’s violetas, que se apagam à medida que o aditivo é consumido (Figura 7). Efetua-se o reabastecimento de ARLA 32 diretamente do recipiente original para o reservatório do caminhão.

Figura 6 – Reservatório de ARLA 32 no Caminhão Tanque Abastecedor (CTA).


Figura 7 – Led´s indicadores de ARLA 32 no Caminhão Tanque Abastecedor (CTA).


Para o abastecimento do PRIST, o caminhão possui um suporte no lado esquerdo, onde é encaixado o recipiente cilíndrico, de forma invertida (bocal para baixo), conforme a Figura 8. Quando o operador da aeronave solicita o combustível BR Jet Plus, composto pelo querosene de aviação de uso geral, acrescido de aditivo anticongelante (dietileno glicol monoetil


http://brasil.air1.info/pt/all-about-adblue/scr-technology/default.aspx

http://brasil.air1.info/pt/all-about-adblue/scr-technology/default.aspx

http://brasil.air1.info/pt/all-about-adblue/urea-in-adblue/default.aspx

http://brasil.air1.info/pt/all-about-adblue/urea-in-adblue/default.aspx

éter), o abastecedor programa a dosagem automática por meio de uma chave seletora.

Figura 8 – Reservatório de PRIST no Caminhão Tanque Abastecedor (CTA).


Normalmente, torna-se impossível o encaixe do recipiente de ARLA 32 (embalagem cúbica) no local destinado ao PRIST (embalagem cilíndrica).

A partir desses dados, levantados em investigação levada a efeito pelo SERIPA VI, em Brasília, e corroborada por uma Vistoria de Segurança de Voo (VSV), realizada pela Divisão de Prevenção de Acidentes Aeronáuticos (DPAA) do Departamento de Ciência e Tecnologia Aeroespacial (DCTA), e levada a efeito por um dos autores, na empresa abastecedora BR Aviation, no aeroporto de São José dos Campos. Deduziu-se que acontecera uma provável troca dos dois produtos (ARLA 32 e PRIST), provavelmente no depósito onde os produtos são estocados. Em consequência, o caminhão tanque abastecedor recebeu um recipiente de PRIST misturado com o produto ARLA 32, Ao prestar atendimento no Terminal 2 do aeroporto de Brasília, entre os dias 2 e 4 de outubro de 2014, abasteceu as aeronaves com o combustível contaminado.

Confirmou-se essa hipótese na continuidade da investigação, concluindo-se que a troca efetivamente acontecera no depósito da BR Aviation, em Brasília, onde os recipientes de ambos os produtos eram estocados, lado a lado, na mesma prateleira. Isso possibilitou que um operador vertesse, inadvertidamente, o resíduo de um recipiente de ARLA no recipiente de PRIST, aplicado no Caminhão Tanque Abastecedor (CTA).

FALHA HUMANA - MÉTODOS PREVENTIVOS O ato concepcional humano, depois de Adão e Eva, por si só, caracteriza-se por uma quantificação de falhas infinitamente desproporcionais. Quase sempre, apenas um espermatozoide obtém o sucesso na árdua trajetória da concepção da vida, em confronto com outros 350 milhões que falham em seus objetivos. O ser humano, a partir daí, por livre arbítrio, não consegue se livrar da saga da falha. Dormindo, viajando, trabalhando, descansando e em todas as atividades imagináveis, o ser humano comete atos inseguros que podem desencadear as falhas. Mas o que levam os argumentos para o tema deste artigo? A resposta inicial remete a uma definição de falha. O que é uma falha? Na Aviação, a palavra correlaciona-se, de maneira negativa, para a ocorrência de inevitáveis catástrofes, com repercussão mundial, quase sempre associada a uma comoção, devido à perda de vidas humanas.

O estudo da gênese da falha humana e a compreensão de como ela acontece, aplicam-se em todos os atos humanos, em especial no ramo aeronáutico.

Fatos similares e de repercussão sobre falhas humanas são facilmente encontrados por uma simples pesquisa. Casos característicos, como por exemplo, do encaixe de dispositivo USB em equipamentos eletrônicos, no qual o agente insiste na forma errada, sem perceber.

Na área de medicina divulgam-se inúmeros casos de grande repercussão, como o da enfermeira que inadvertidamente trocou o frasco de soro fisiológico por um de vaselina líquida, ocasionando a morte da paciente. Essa falha, ocasionada por inúmeros fatores, como distração, outras tarefas executadas concomitantemente, armazenamento dos produtos no mesmo local, frascos semelhantes e com identificação sem destaque etc. Em outro caso semelhante, uma auxiliar de enfermagem diluiu, por engano, um medicamento em cloreto de potássio, uma das substâncias da injeção letal para executar condenados à pena de morte, ocasionando a parada cardíaca imediata.

DOUTRINADORES SOBRE FALHA HUMANA O caso relatado neste artigo, qual seja a troca de anticongelante aeronáutico PRIST pelo aditivo automotivo ARLA, situa-se justamente no aspecto de falha humana.

Contudo, qual enquadramento deve-se dar a essa ocorrência? Abastecimento de combustível de aeronave é um “ato aeronáutico” e nesse caso deve ser regulado pela Autoridade Aeronáutica? Ou pode ser simplesmente uma relação entre fornecedor e consumidor, este regulado por outro Código (de Defesa do Consumidor) e não o Aeronáutico?

O termo “ato aeronáutico”, citado neste artigo não é usual na terminologia oficial. Trata-se de um neologismo dos autores para reforçar que intervenções e atuações no ambiente aeronáutico só podem acontecer por pessoas devidamente qualificadas e treinadas e mais ainda, com noções da Doutrina de Segurança de Vôo.

A resposta pode ser simples: existe uma responsabilidade compartilhada e solidária entre todos os agentes. Mas essa simples resposta não resolve o estabelecimento das atitudes de prevenção padronizadas pela Autoridade Aeronáutica.

Pode-se citar outro caso semelhante, em 2 de março de 2008, com uma aeronave Cirrus SR-22, exemplificada na Figura 9. Na decolagem do aeródromo de Jacarepaguá, na cidade do Rio de Janeiro – RJ, aproximadamente dez segundos após sair do solo, observou-se a presença de fumaça, ocasionando perda de potência e, a seguir, colisão com o solo e falecimento de seus quatro ocupantes. Na investigação, constatou-se que “o modelo da aeronave, movido por motor convencional, era certificado para operar com gasolina de aviação (AVGAS) e foi abastecido com 265 litros de querosene de aviação (JET A-1)”. (CENIPA, 2010).

Nesse acidente, contribuíram, entre outras, falhas do piloto e do operador do Caminhão Tanque Abastecedores (CTA), apesar da existência de defesas adequadas (identificação no bocal de abastecimento, no CTA etc.).

Questiona-se então se o operador do Caminhão Tanque Abastecedor possuía qualificação adequada para atuar em um “ato aeronáutico” e, por extensão, noções de Doutrina de Segurança de Vôo. Essa preocupação deve ser uma das prioridades da Autoridade Aeronáutica.


Figura 9 – Aeronave Cirrus (SR22).

Fonte: Cirrus Aircraft (2014)

Segundo o CENIPA, a falha humana está entre os fatores que mais contribuíram para acidentes aéreos nos últimos 10 anos no Brasil, revelando que fatores humanos são 15 das 23 causas que contribuíram para 95% dos desastres aéreos registrados no país.

Entre 2004 e 2013, os dados do Sistema de Investigação e Prevenção de Acidentes Aeronáuticos (SIPAER) mostram que ocorreram 1.574 ocorrências aéreas em território nacional. Desses, 438 foram classificados como acidentes (com maior grau de gravidade) e 1.136 incidentes. Erros de julgamento dos pilotos (15,64%) são enquadrados como principal problema. Na prática, significa erros operacionais dos pilotos em momentos críticos do voo. (BRASIL, 2014b)

De acordo com a Norma do Sistema do Comando da Aeronáutica, NSCA 3-1 - Conceituação de vocábulos, expressões e símbolos de uso no SIPAER, erro humano é um “termo genérico que compreende toda ocasião nas qual a sequência mental planejada de atividades mentais ou físicas falha em alcançar seu resultado pretendido”. (BRASIL, 2008)

O método desenvolvido pelo psicólogo e professor britânico James T. Reason, a partir de 1986, conhecido como Modelo Reason, é baseado no conceito de causalidade, com premissas de que todos os sistemas complexos devem dispor de barreiras tecnológicas e operacionais que contribuam para reduzir os erros humanos.

Com a orientação da Organização de Aviação Civil Internacional (OACI), esse método também empregado na prevenção de acidentes e em qualquer outro sistema de produção, foi adotado de maneira abrangente pela Aviação.

Os conceitos desenvolvidos por Reason apresentam uma ampla aplicação no emprego de máquinas inventadas pelo homem e delineiam importantes considerações para a seqüência dos erros humanos e sua aplicabilidade na prevenção de acidentes. Uma das principais premissas desse modelo é o que se verifica na consideração de que acidentes devem ser analisados com o ponto de vista organizacional em contraposição ao que se enquadra como erro individual (REASON, 2009).

Esse modelo, de comum emprego nos sistemas de prevenção de acidentes, estabelece basicamente uma concepção simbólica, tornada corriqueira, de que o modelo preventivo de acidente obedece a uma similaridade com a transposição de feixes de raios de luz por placas esburacadas (existem associações dessas placas com um queijo suíço). Constata-se que só a conjunção de alinhamento dos buracos permite que um feixe vença todos

os obstáculos e atinja o extremo oposto, ponto caracterizado como resultante de um indesejado acidente e esquematizado na Figura 10.

Figura 10 – Esquema figurativo do modelo Reason.

Fonte: Adaptado de Reason (2000).

Estabelece assim, por analogia, que as partes não esburacadas (impeditivas à passagem dos feixes) barreiras ou salvaguardas, colocadas no projeto, só poderão ser transpostas com o acontecimento, intencional ou não, de uma falha humana, ocasionada por condições ativas ou latentes, envolvidas no processo.

A principal conotação do modelo Reason está na consideração de que a ocorrência de um evento adverso deve ser analisada não com base em quem cometeu a falha, mas como e por que as barreiras (salvaguardas) falharam (REASON, 2009).

O modelo Reason enfatiza que, ao se deparar com um evento adverso (falha, engano, erro, deslize), deve-se dar importância não a quem cometeu o erro, mas decididamente qual o motivo que o levou a cometer o erro.

Segundo Reason (2009), a comprovação prática do método encontra respaldo na consideração de que para a ocorrência de um acidente, devam existir anteriormente falhas ativas e falhas latentes. As falhas ativas ocorrem, normalmente, com os operadores de linha de frente. São ocasionadas por decisões, ações ou omissões daqueles que diretamente controlam os sistemas. São de efeito imediato.

As falhas latentes, “hibernadas” em nível de maior posição hierárquica (autoridades de regulação e gerentes), são condições adormecidas, providas por agentes isolados da operação diária.

Para a OACI, em perfeita sintonia com o método Reason, todo acidente inclui a combinação de falhas ativas e latentes. Ao mesmo tempo em que se deve esforçar para aprimorar as condições de trabalho, para conter as falhas ativas, a descoberta e eliminação das condições latentes oferecem a melhor oportunidade para melhoria da segurança.

A constante busca e eliminação da possibilidade de ocorrência dessas falhas é o papel preponderante das instituições (organizacionais ou individuais) que tratam da prevenção de acidentes aeronáuticos.

Para Reason (2009, p. 206), os erros humanos são decorrentes de atos inseguros que podem ser por ações intencionais ou não intencionais. Nos atos inseguros por ações não intencionais estão os deslizes (slips) e os lapsos (lapses). Nos atos inseguros por ações intencionais estão enquadrados os enganos (mistakes) e as violações (violations).

Esses atos determinam os tipos básicos de erros, com gradação de sofisticação de sistemas de prevenção, desde a indicação do uso de simples equipamentos pessoais, até complexos sistemas


preventivos, como nas usinas nucleares, com sala de controle operacional e de crise e redundância de diversos sistemas (REASON, 2009, p. 207).

Uma das mais recentes teorias (difundida a partir de 2002), reforço da sustentação teórica deste artigo, é a desenvolvida pelo professor sueco Sidney Dekker, com a denominação de Nova Visão, baseada na suscetibilidade dos sistemas complexos perante os erros humanos. Ressalta aquele autor que não basta apenas descobrir as causas dos acidentes, sendo necessárias buscas mais aprofundadas de como o problema aconteceu. (DEKKER, 2002).

Ao ser estabelecido por Dekker (2006, p. 15) que o erro humano não seja a causa da falha, mas sim o seu efeito, essa nova teoria indica, para os casos de prevenção de acidentes, um amplo leque de surpreendentes enquadramentos, permitindo diferentes versões com os quais se pretende reavaliar cada resultado das investigações realizadas.

Para Dekker (2006, p. 15), o erro humano não deve ser a conclusão de uma investigação, mas seu ponto de partida. Dekker apresenta nos seus livros “Ten Questions about Human Error: A new view of Human Factors and System Safety” e “The field guide to understanding human error” o intrigante desafio da comprovação de que o aumento da capacidade de um projeto implica novas complexidades, atreladas a um significativo aumento de possibilidade de novas falhas.

A Figura 11 demonstra que o desenvolvimento de novas soluções para os problemas apresentados, principalmente sobre o comportamento humano, mediante as falhas que surgem de sua atuação, tornam-se necessários novos procedimentos de prevenção, com segura avaliação de sua aplicabilidade, pois os projetos tendem a exigir uma atuação também mais complexa de seus responsáveis, pois os novos processos de certificação estarão sujeitos a toda a sorte de incidentes e acidentes (recursividade tecnológica).

Figura 11 – Recursividade tecnológica.

Fonte: Sidney Dekker (2014)

Para Dekker, uma investigação deve ser iniciada a partir das causas encontradas. As premissas básicas, por ele colocadas, entre tantas, em seu novo método são:

Sydney Dekker (2006) nos apresenta dez premissas da visão sistêmica do erro humano:

O erro humano não é randômico. Sua organização não é inerentemente segura. O erro humano não é a causa da falha, mas sim o seu

efeito.

Toda causa de um erro ou acidente é sempre perspectivada.

Atribuir ou explicar um erro pelo apontamento de outro, como supervisão inadequada, deficiente gerenciamento, projeto inadequado, não gera explicação alguma do erro humano. Isso apenas julga pessoas ou sistemas por não fazer o que o avaliador conclui o que devia ser feito.

O erro humano é um produto inevitável da busca do sucesso.

Ninguém vem para a empresa para realizar um trabalho ruim.

O erro humano nunca é a causa raiz dos seus problemas de segurança.

As prioridades e preferências que as pessoas expressam através de suas práticas pode ser uma representação lógica do que a organização inteira faz ou pensa.

Para entender o que se passou na mente de alguém em uma determinada situação é necessário compreender a racionalidade local desse alguém naquele contexto e nunca baseado nas retrospectivas.

Teoricamente, estabelece-se que os sistemas sejam seguros, sendo a falha humana a maior porcentagem dos problemas ocorridos. A mudança principal é aceitar que basicamente nenhum sistema é seguro.

Em função de todas as dificuldades de implantação de novos sistemas, onde as barreiras de toda ordem comprometem o benefício coletivo, entende-se que apenas uma linha de mudança política, com adoção de novos dispositivos legais, poderá levar a contento essas intenções, no tempo considerado adequado para a implantação.

A experiência com a natureza humana demonstra uma eventual perversidade universal, pois apesar das recomendações de cautela no proceder, as pessoas não conseguem ultrapassar suas limitações e incorrem no erro.

As pessoas e organizações tendem a pensar que as ameaças à segurança não existem ou não são tão ruins. Cabem no momento considerar que Segurança (safety em inglês) representa a condição de estar protegido ou suscetível a risco ou lesão.

Segundo definição apresentada no Doc 9859 – Safety Management Manual (OACI, 2013), safety é a situação ou condição na qual o risco de lesões às pessoas ou danos materiais (consequências) é reduzido e mantido em, ou abaixo de, um nível aceitável, mediante um processo contínuo de identificação de perigos e gerenciamento de riscos.

Embora possa parecer um estereótipo, a denominada Lei de Murphy bem exemplifica essa denominada perversidade universal: “O que pode dar errado... dá errado”. Porém, não é adequado o conformismo. Por intermédio de melhorias no sistema, o paradigma deve ser modificado para: “O que pode dar errado... geralmente dá certo!”.

SISTEMA DE GERENCIAMENTO DA SEGURANÇA OPERACIONAL (SGSO)

A Organização de Aviação Civil Internacional (OACI) adotou, a partir de 2006, a metodologia denominada Safety Management System (SMS) a qual, no Brasil, adotada pelas autoridades aeronáuticas (ANAC e COMAER) sob a denominação de Sistema de Gerenciamento da Segurança Operacional (SGSO).


Segundo a ANAC, o Sistema de Gerenciamento da Segurança Operacional está consolidado como um padrão em toda aviação mundial, estendendo, inclusive, a gestão da segurança além do ambiente da aviação. Sistemas semelhantes são usados na gestão de áreas críticas nas organizações que utilizam sistemas complexos nas suas atividades cotidianas, requerendo um alto nível de qualidade em áreas que envolvem segurança, saúde ocupacional, meio ambiente etc.

Tal sistema está preconizado pela OACI por intermédio do Doc 9859 – Safety Management Manual (OACI, 2013), e estabelecido no Brasil pelo Programa de Segurança Operacional do Estado Brasileiro (PSO BR). O PSO BR na realidade é composto por dois documentos denominados Programa de Segurança Operacional Específico (PSOE), um elaborado no âmbito do Comando da Aeronáutica (PSOE COMAER) e outro no âmbito da ANAC (PSOE ANAC). O documento é aplicado aos denominados Provedores de Serviço da Aviação Civil (PSAC). No caso do COMAER, os provedores de serviço são o Departamento de Controle do Espaço Aéreo (DECEA), responsável pelos Serviços de Tráfego Aéreo e o Centro de Investigação e Prevenção de Acidentes Aeronáuticos (CENIPA), responsável pela investigação e prevenção de acidentes aeronáuticos. Na ANAC, os provedores de serviços, além da própria agência, são as empresas de transporte aéreo regular, as empresas de transporte aéreo não regular, as empresas de táxi aéreo, as empresas de serviços aéreos especializados, as empresas de manutenção aeronáutica (oficinas especializadas), os operadores aeroportuários e os centros de treinamento (escolas de aviação e aeroclubes).

O SGSO para os provedores de serviços da aviação civil e o Programa de Segurança Operacional Brasileiro - PSO-BR irão integrar o gerenciamento de risco dentro dos modernos conceitos de gestão, de maneira a garantir a segurança operacional de forma pró-ativa. O SGSO enfatiza a gestão da segurança como um processo de negócio fundamental a ser considerado de forma equivalente a outros aspectos da gestão empresarial.

ENQUADRAMENTO – AVALIAÇÃO DOS FATOS No caso relatado de contaminação de combustível ocorrido no aeroporto de Brasília, existiam barreiras que não deveriam permitir a falha do sistema: os operadores de abastecimento são adequadamente capacitados por intermédio de cursos, os recipientes de ARLA 32 e PRIST têm formatos diversos (um cúbico e outro cilíndrico) e têm rótulos de cores diferentes. O ARLA 32 deve ser vertido em um tanque no lado direito do caminhão abastecedor, enquanto o recipiente de PRIST é encaixado diretamente em um suporte do lado esquerdo do caminhão. Todo esse cenário demonstra que existiam barreiras destinadas a prevenir a falha no momento do abastecimento.

Porém, a falha ocorreu antes desse momento, no local onde estavam estocados os recipientes de ARLA 32 e PRIST. Nesse local, o operador por descuido, engano, distração, lapso ou outra circunstância qualquer, reaproveitou um resíduo de ARLA 32, vertendo-o para um recipiente de PRIST, a seguir utilizado no caminhão tanque abastecedor.

Verifica-se que não era esperado que tal falha viesse a acontecer e, portanto, não foram previstas barreiras. A

estocagem de aditivo de uso aeronáutico e de uso automotivo, lado a lado no depósito, ocasionou a ocorrência de contaminação do combustível aeronáutico com elevado potencial de risco, atingindo várias aeronaves, com elevado custo para descontaminação do sistema de combustível das mesmas.

ENSINAMENTOS OBTIDOS Retornando à momentosa questão anteriormente formulada, se abastecimento de aeronaves é um “ato aeronáutico” a resposta parece óbvia. Abastecimento de aeronaves é um ato aeronáutico e deve ser regulado pela autoridade aeronáutica.

Verifica-se que o assunto abastecimento de aeronaves é tratado pela ANAC em seus Regulamentos Brasileiros da Aviação Civil, RBAC 91 – Regras Gerais de Operação de Aeronaves Civis e RBAC 156 – Segurança Operacional de Aeroportos. Porém, essas regulamentações abordam aspectos de segurança da aeronave e passageiros durante o reabastecimento e de circulação das viaturas nos pátios de aeroportos. Não foi localizada nenhuma norma que se refira à segurança da operação de abastecimento no sentido de prevenir ou mitigar riscos como os relatados no caso da contaminação de combustível aeronáutico no aeroporto de Brasília.

QUESTIONAMENTOS A partir das situações relatadas, sugerindo a ocorrência de erro humano, surgem os inevitáveis questionamentos e a sua decorrente solução. Dá-se ênfase tão-somente aos aspectos relacionados à operação de abastecimento de combustível aeronáutico e nos dois casos aqui relatados. Primeiro, a contaminação de combustível cuja investigação concluiu que a origem foi mistura de produto automotivo no querosene de aviação em um dos caminhões tanque abastecedores do aeroporto de Brasília. Segundo, a troca de gasolina de aviação por querosene de aviação na aeronave Cirrus SR22, ocasionando o acidente aeronáutico com fatalidades.

Surge então o primeiro questionamento: o sistema apresenta vulnerabilidades nas operações de abastecimento de combustíveis que possam propiciar o erro humano? A resposta óbvia é sim. Então, quais as barreiras devem ser estabelecidas para eliminar ou mitigar esse risco?

Outro necessário questionamento refere-se não só à capacitação profissional dos operadores dos caminhões tanques abastecedores, mas também de todas outras pessoas que de uma forma ou outra intervém nessas operações. Quem deve ter acesso ao depósito dos aditivos? Quem pode manusear esses produtos? Qual a supervisão necessária nestes procedimentos? Como fazer a reciclagem dos operadores já treinados? Que nível de treinamento deve ser estabelecido e com qual periodicidade?

O universo de questionamentos é muito amplo e essas ocorrências servem para aumentar a percepção dos riscos criados pela atividade de abastecimento de aeronaves. A partir desse aumento de percepção poderão ser adotadas ações corretivas e mitigadoras.

LINHAS DE AÇÃO SUGERIDAS Os dois casos relatados, a troca do produto PRIST por ARLA 32 e o abastecimento da aeronave Cirrus SR22 com querosene quando deveria ser gasolina de aviação, situam-se na ocorrência do erro humano não intencional enquadrado como


deslize (slip). Esse deslize ocasionou, no primeiro caso, um risco inaceitável para o sistema, envolvendo vultosos recursos para a descontaminação dos sistemas de combustível das aeronaves envolvidas. No segundo caso, ocasionou um acidente aeronáutico com fatalidades.

Os questionamentos apresentados sugerem linhas de ação que, necessariamente estabeleçam filtros adequados. Deve-se levar em consideração a recursividade tecnológica (Dekker) e as barreiras adequadas (Reason). Para se evitar a inevitável falha humana, são válidas todas as medidas preventivas.

Conforme já se confirmou há muito tempo, um evento dessa natureza não é ocasionado por um único ato falho. Antes de o derradeiro ato falho acontecer (falha ativa), ocorreram vários outros que, em uma sequência determinada e aleatória, levaram ao desfecho indesejado (falhas latentes).

As ocorrências relatadas devem, necessariamente, gerar ações de prevenção. A partir da análise dos fatores contribuintes presentes ações corretivas devem ser adotadas.

A atividade de revenda de combustíveis de aviação é regulada pela Agência Nacional de Petróleo (ANP) por intermédio da Resolução ANP Nº 18, de 26 de julho de 2006 (BRASIL, 2006).

Entre outros dispositivos, a referida resolução estabelece as seguintes obrigações do revendedor:

Art. 15. Os revendedores vinculados e independentes de combustíveis de aviação obrigam-se a: ... XV – treinar seus empregados ou terceiros contratados quanto ao correto transporte, manuseio e comercialização de combustíveis de aviação, em conformidade com a legislação pertinente, bem como manter plano de ação implementado para situações de emergência e de mitigação de acidentes (grifo nosso); XVI – fornecer à Autoridade Aeronáutica, à administração aeroportuária local e ao Departamento de Polícia Federal, sempre que solicitado e pelos meios indicados, os dados relativos aos abastecimentos realizados;...

A citada resolução ainda estabelece outras relações necessárias, quais sejam licenciamentos de órgãos ambientais, laudos de vistorias do Corpo de Bombeiros e do Instituto Nacional de Metrologia (INMETRO).

No entanto, o abastecimento de combustível aeronáutico deve ser considerado um “ato aeronáutico” como sugerem os autores. Assim sendo, merece uma atenção mais aprimorada por parte da autoridade reguladora (ANAC), emitindo requisitos adequados para o exercício dessa atividade. Embora não exerça atividade aérea, as empresas abastecedoras devem ser vistas como um serviço especializado, ou seja: um Provedor de Serviço da Aviação Civil (PSAC).

O cenário sugere não só a aplicabilidade dos métodos consagrados, mas também a avaliação e estabelecimento de novos métodos.

Entre as linhas de ações sugeridas pelos autores está a Aplicação do Sistema de Gerenciamento da Segurança Operacional (SGSO) às empresas de abastecimento de combustíveis aeronáuticos. A simples exigência deste requisito irá propiciar o estabelecimento de uma

aprimorada atuação destas empresas, pois deverão apresentar no seu Manual de Gerenciamento da Segurança Operacional (MGSO), entre outros, os seguintes tópicos:

Política e objetivos estratégicos da segurança operacional;

Gerenciamento dos riscos à segurança operacional; Garantia da segurança operacional; e Promoção da segurança operacional.

Considerar a empresa abastecedora como provedor de Serviço da Aviação Civil (PSAC) significa também a necessidade da mesma desenvolver seu Sistema de Gerenciamento da Segurança Operacional (SGSO) nos moldes preconizados no Documento 9859 da Organização de Aviação Civil Internacional (OACI, 2013).

Figura 12 – Safety Management Manual.

Fonte: OACI (2006)

CONCLUSÃO Há de se adotar medidas de efetiva redução, para níveis aceitáveis, das possibilidades de acidentes no mundo aeronáutico. Metodologias de prevenção, como a de James Reason, recomendadas pela Organização de Aviação Civil Internacional (OACI) aos países signatários, não se mostram suficientes para a redução de acidentes aeronáuticos. Isso habilita os autores a sugerir que novos métodos, com excessiva supervisão do treinamento, contemplada com novos aprimoramentos, em função dos significativos riscos inerentes, como o emprego da recente teoria do erro humano de Sidney Dekker.

Uma das tarefas de todos os envolvidos nas lides da Aviação é aprimorar os procedimentos de prevenção, para a não ocorrência dessas inevitáveis falhas.

Neste artigo, os autores recomendam a adoção de um neologismo, qual seja o termo “ato aeronáutico” aplicado ao abastecimento de combustível em aeronaves e, portanto, necessariamente objeto de preocupação por parte da Autoridade Aeronáutica, por intermédio de seu órgão regulador ANAC. Ou seja, o abastecimento de combustível em aeronaves deve ser visto como um serviço especializado e o revendedor como um Provedor de Serviço da Aviação Civil (PSAC). Significará também a necessidade do mesmo desenvolver seu Sistema de Gerenciamento da Segurança Operacional (SGSO) nos moldes preconizados pela OACI.


MENSAGEM FINAL

Um sistema balanceado de vigilância da segurança operacional é aquele em que tanto o Estado quanto a comunidade da aviação compartilham as responsabilidades pela condução das atividades de maneira segura, regular e efetiva. (OACI, 2006).

Na Aviação, pensar sem agir, não leva a nada, agir sem pensar leva ao desastre.


REFERÊNCIAS

BRASIL. Agência Nacional de Petróleo. Resolução ANP nº 18, de 26 de julho de 2007. Regula o exercício da atividade de revenda de combustível de aviação. Diário Oficial da República Federativa do Brasil, Brasília, DF, 27 jul. 2006. Seção 1, p. 76.

BRASIL. Comando da Aeronáutica. DIVOP n.º 09/2014, de 17 de outubro de 2014. Divulgação Operacional Possível Contaminação de Combustível. CENIPA. Brasília, 17 mar. 2014a.

BRASIL. Comando da Aeronáutica. FCA 58-1 Panorama Estatístico da Aviação Civil Brasileira. CENIPA. Brasília, 2014b.

BRASIL. Comando da Aeronáutica. Portaria n.º 3/SC2, de 30 de janeiro de 2001. Aprova a reedição do manual que dispõe sobre a padronização do uso de termos, palavras, vocábulos e expressões de uso corrente no âmbito do COMAER. Brasília, DF, 30 jan. 2001. MCA10-4. Glossário.

BRASIL. Comando da Aeronáutica. Portaria n.º 16/CEN, de 17 de março de 2009. Dispõe sobre conceituações de vocábulos, expressões e símbolos de uso no SIPAER. Brasília, DF, 17 mar. 2009. NSCA 3-1. REVOGADA

BRASIL. Comando da Aeronáutica. Relatório Final A-nº 013/CENIPA/2010. Acidente Aeronáutico PR-IAO. CENIPA. Brasília, DF, 6 abr. 2010.

DEKKER, S.W.A. Ten questions about human errors: a new view of factors human and system safety. New York: CRC Press, 2005.

______. The field guide to understanding human error. Hampshire, UK: Ashgate Publishing, 2006.

DURWOOD H. Threat and Error Management for Business Aviation, Flight Safety Foundation CAC Workshop Presentation, Flight Safety Foundation. 17 out. 2007.

FERREIRA, A. B. H. Novo dicionário da língua portuguesa. 2. ed. Rio de Janeiro: Nova Fronteira, 1986.

OACI. Doc 9735 Oversight Audit Manual. 2006.

OACI. Doc 9859 Safety Management Manual – SMM. 2013, 3 ed.

PETROBRAS. Tire suas dúvidas sobre o FLUA, o ARLA32 da Petrobrás. Disponível em: <http://www.br.com.br/wps/wcm/connect/6d340a804031b9838cd6af342bd5f783/faq-flua-petrobras-arla32.pdf?MOD=AJPERES>. Acesso em: 30 mar. 2015

REASON, J. Human error. 20th ed. Cambridge, UK: Cambridge University Press, 2009.


http://flightsafety.org/files/tem_ba_10-07.ppt




http://www.br.com.br/wps/wcm/connect/6d340a804031b9838cd6af342bd5f783/faq-flua-petrobras-arla32.pdf?MOD=AJPERES



Anexo A

Primeira Nota da BR Aviation


Anexo B

Segunda Nota da BR Aviation


Documents

Reflexos da Falha Humana na Aviação – o Impacto na ...ssv.ipev.cta.br/ssv-apresentacoes/2015/Artigos/SSV... · Figura 3 – Tampa de combustível com vestígios de contaminação