Erros humanos em situações de urgência: análise cognitiva do comportamento dos pilotos na catástrofe do voo Air France 447

Resumos

Resumo

No dia 1º junho de 2009, o Airbus 330 da Air France que saía do Rio de Janeiro com destino a Paris se choca com o Oceano Atlântico matando as 228 pessoas que estavam a bordo. As causas do acidente apontadas pelos órgãos oficiais foram os erros cometidos pelos pilotos, os quais, combinados às falhas técnicas, levaram à perda de controle do avião. O erro humano foi, mais uma vez, apontado como o último elo da cadeia de eventos que levaram ao acidente e, portanto, como sua causa imediata. Neste artigo, propomos uma explicação alternativa, que não se limita à identificação dos erros cometidos pela tripulação, mas propõe uma explicação dos próprios erros. Em uma análise cognitiva de acidentes fundamentada no conceito de ação e cognição situadas, o erro não é ponto de chegada do diagnóstico das causas de um acidente, mas seu ponto de partida. Assim, retomamos os resultados oficiais do acidente, no que se refere especificamente ao comportamento esperado dos pilotos em relação aos imprevistos surgidos e ao descumprimento das regras de aviação, durante os 4 minutos que antecederam a queda da aeronave no oceano. Essa análise crítica abre espaço para uma explicação mais compreensiva dos comportamentos dos pilotos, com base em outro quadro de referência – a análise cognitiva de acidentes – ainda não incorporado aos modelos oficiais de análise dos fatores humanos em segurança, e permite refletir sobre outras ações de prevenção.

Palavras-chave:
Comportamento humano nas organizações; Fatores humanos no trabalho; Psicologia cognitiva; Análise ergonômica do trabalho; Higiene e segurança do trabalho

Abstract

On June 1st 2009, the Airbus 330 of Air France that left from Rio de Janeiro to Paris, falls into the Atlantic Ocean killing 228 people on board. One of the causes of the accident mentioned by official agencies were the mistakes made by the pilots, which combined with technical failures led to the loss of control of the plane. Human error was again appointed as the last link in the chain of events leading to the accident and, therefore, as its immediate cause. In this paper it is proposed an alternative explanation, which is not limited to the identification of mistakes made by the crew but proposes an explanation of mistakes. In a cognitive analysis of accidents based on the concept of action and situated cognition, the error is not the point of arrival of the diagnosis of the causes of an accident, but it is its starting point. Like this, resumed the official results of the accident, the specific reference to the expected behavior of pilots in relation to evolving unforeseen and breach of aviation rules during the four minutes leading up to the fall of the aircraft in the ocean. This critical analysis makes room for a more comprehensive explanation of the pilots behavior, based on another frame of reference - the cognitive analysis of accidents - not yet incorporated in the official models of analysis of human factors in safety, and allows to speculate on other actions for prevention.

Keywords:
Human behavior in organizations; Human factors at work; Cognitive psychology; Ergonomic analysis of the work; Hygiene and safety

1 Introdução

No dia 1º de junho de 2009, às 2h14, o voo AF447, Rio de Janeiro/ Paris, com 216 passageiros e 12 tripulantes, caiu no oceano Atlântico sem deixar sobreviventes. Os primeiros destroços do avião, um Airbus 330, são encontrados em 6 de junho de 2009. Quase dois anos depois, as caixas-pretas foram recuperadas, uma delas contendo registros das conversas entre os pilotos e a outra com centenas de parâmetros técnicos.

Como de praxe após acidentes graves, um inquérito técnico foi aberto pelo BEA (Bureau d’Enquêtes et d’Analyses) – autoridade francesa responsável pelas análises dos acidentes da aviação civil – para esclarecer as causas e propor medidas preventivas. Esse inquérito gerou 4 relatórios oficiais, divulgados entre julho/2009 e julho/2012. No último deles, foi apresentado o resultado de uma análise realizada pelo grupo de Fatores Humanos (FH) do BEA, criado em julho/2011 com o propósito de complementar as análises realizadas até então. Como é frequente em análises de acidentes aéreos ou de outras atividades profissionais, as causas oficialmente divulgadas ressaltam os erros cometidos pelos pilotos, os quais, combinados às falhas técnicas, levaram à perda de controle do avião. O erro humano é apontado como o último elo da cadeia de eventos que levaram ao acidente e, portanto, como sua causa imediata.

Neste artigo, propomos uma explicação alternativa, que não se limita a identificar erros cometidos pela tripulação, mas propõe uma explicação dos próprios erros. Na análise cognitiva dos acidentes fundamentada nos conceitos de ação e cognição situadas, o erro humano não explica o acidente, mesmo quando ele se apresenta como sua causa imediata, ou o último elo em uma cadeia de eventos. Que este erro tenha acontecido é que exige explicação. No caso do voo 447, partindo dos mesmos dados dos relatórios oficiais, mas reconsiderados com a ajuda de outro quadro de análise, é possível explicar o acidente com mais profundidade, esclarecendo as falhas das representações cognitivas que os pilotos, naquelas circunstâncias, conseguiram elaborar. São estas falhas de representação que levaram às decisões e ações equivocadas dos pilotos.

Para fundamentar essa explicação alternativa, descrevemos brevemente os documentos elaborados pelo BEA, ressaltando suas principais conclusões (e também as inconclusões) em cada etapa da análise (item 2). Uma breve discussão sobre o erro humano nos sistemas de gestão de segurança (item 3) fornecerá um quadro de referência para estruturar a reflexão no restante do artigo. Com base nos documentos oficiais, reconstituímos a cronologia dos eventos que precederam o acidente (item 4). Desse material, enfatizamos mais detalhadamente as análises e conclusões do último relatório elaborado pelo grupo de Fatores Humanos do BEA, concluindo com uma avaliação crítica dos limites dessa abordagem (item 5). Com base em análises cognitivas de acidentes em situações de urgência, propomos uma linha de explicação alternativa (item 6), que permite mostrar as lacunas nas explicações oficiais sobre o comportamento dos pilotos, levando a ações de prevenção diferentes das recomendações oficiais.

2 A documentação resultante das investigações oficiais

Três anos separam o acidente do relatório final publicado pelo BEA. Nesse período, foram produzidas análises mais ou menos conclusivas ( Quadro 1 ) que, após a recuperação das caixas-pretas do avião, se cristalizaram em um diagnóstico.

Quadro 1
Ordem cronológica da análise do acidente.

Data	Evento
01/06/2009	Acidente do voo 447 da Air France
06/06/2009	Primeiros destroços do avião encontrados pelas marinhas nacionais francesa e brasileira
02/07/2009	Publicação do 1º relatório de etapa do BEA
	Objetivo	Principais conclusões
	Documentar os primeiros elementos do acidente a partir de uma descrição dos fatos conhecidos e de um exame visual dos primeiros destroços.	O avião não foi destruído durante o voo e “[…] parece ter atingido a superfície da água com uma forte aceleração vertical […]” ( BEA, 2009a , p. 40).
17/12/2009	Publicação do 2º relatório de etapa
	Objetivo	Principais conclusões
	Compreender o acidente através da recuperação dos destroços, das condições meteorológicas, das mensagens com o controle de tráfico aéreo e das certificações de navegabilidade das sondas de velocidade.	O “[…] avião estava inteiro quando atingiu a água, com o ângulo de incidência inclinado para cima e com uma velocidade vertical importante […]” ( BEA, 2009b , p. 34). Recomendações relacionadas aos registros de voo e aos processos de certificação de equipamentos.
01 e 02/05/2011	Recuperação das 2 caixas-pretas, uma delas contendo os registros dos parâmetros do voo e a outra com os diálogos e sons produzidos no cockpit
29/07/2011	Publicação do 3º relatório de etapa
	Objetivo	Principais conclusões
	Compreender o acidente a partir das gravações e dos parâmetros de voo registrados nas caixas-pretas da aeronave e propor outras medidas de segurança.	Incompreensão sobre os comportamentos dos pilotos durante a pane e levantamento de questionamentos pelas autoridades do BEA. Para respondê-los, o BEA cria um grupo de estudos em FH, formado por 7 especialistas, que trabalhou entre julho de 2011 e julho de 2012.
05/07/2012	Publicação do 4º (e último) relatório
	Objetivo	Principais conclusões
	Elucidar as razões do acidente a partir de pesquisas detalhadas dos destroços e corpos, das análises das caixas-pretas e do estudo do grupo de Fatores Humanos.	Os pilotos não compreenderam a pane e cometerem uma série de erros que levaram à queda da aeronave. São divulgadas 41 recomendações de segurança que portam sobre os registros de voo, a formação e o treinamento dos pilotos, a substituição do Comandante de voo, as buscas e o resgate, o controle de circulação aérea, os simuladores e a ergonomia dos postos de pilotagem.

Dentre esses resultados, discutiremos apenas aqueles referentes ao comportamento esperado dos pilotos em relação aos imprevistos do voo e ao descumprimento das regras de aviação durante os 4 minutos que antecederam a queda da aeronave. Essa análise crítica abre espaço para uma explicação mais compreensiva dos comportamentos dos pilotos, com base em outro quadro de referência – análise cognitiva de acidentes e ação situada – ainda não incorporado aos modelos oficiais de análise dos fatores humanos em segurança.

3 O erro humano na gestão da segurança: fatores humanos e cognição situada

Se erros são inevitáveis, a prevenção mais eficaz deve agir em suas consequências e não somente eliminar erros (item 3.1), exigindo a contribuição ativa dos próprios trabalhadores (item 3.2), cujas condições são esclarecidas por conceitos da ação situada (item 3.3.).

3.1 Evitar erros ou suas consequências?

O “erro humano” é omnipresente nas teorias e análises de acidentes, assim como no discurso de gerentes, dos próprios trabalhadores e do público em geral. Evidentemente erros acontecem, mas sua relação com os acidentes que os sucedem está longe de ser estabelecida de forma inequívoca.

O erro, quando não há intercorrência de algum evento inesperado, pode ser definido como uma falha involuntária das ações planejadas para se atingir um objetivo desejado ( Reason, 1990 ). Erros ocorrem com frequência em qualquer atividade humana, mas as taxas de detecção e recuperação desses erros pelo próprio ator são também altas, girando em torno de 80% ( Amalberti, 1996 ). O problema surge apenas quando o erro acarreta consequências não desejadas ( Amalberti, 2013 ). A literatura mostra de maneira convergente ( Allwood, 1984 ; Rasmussen, 1997 ; Reason, 1990 ; Rizzo et al., 1987 , etc.) que os operadores mais competentes não são aqueles que cometem menos erros, mas aqueles que mais detectam e recuperam os erros cometidos. Já que o homem não consegue trabalhar sem erros, os sistemas de gestão em segurança não devem buscar suprimi-los. É necessário, ao invés disso, procurar reduzir as consequências que o erro pode causar, pois trabalhar implica, além de produzir produtos e conhecimentos, também cometer alguns erros ( Amalberti, 2013 ).

3.2 Segurança Normatizada e Segurança em Ação: uma articulação necessária

O cotidiano do trabalho é uma confrontação entre o que é antecipado pela organização do trabalho, a partir de conhecimentos e modelos gerais, e a atividade, que trata de situações e eventos que não foram previstos em suas singularidades ( Lima, 2005 ). Nas empresas, a tentativa de antecipação de situações se dá, na maior parte das vezes, por meio de normas, regras e procedimentos elaborados por experts e membros da direção. Esse acúmulo de regras, entretanto, não garante que elas serão respeitadas pelos trabalhadores e não evita o aparecimento de incidentes ( Dekker, 2003 ). A superprocedimentalização ( Amalberti et al., 2004 ) pode até mesmo ser contraproducente: o excesso de regras de segurança pode gerar insegurança, impedindo que os trabalhadores criem novas regras adequadas a cada situação.

Neste sentido, Morel et al. (2008) distinguem duas formas de segurança: a Segurança Normatizada (ou Sécurité réglée), que é a segurança baseada nos procedimentos e no saber científico que permite a antecipação de situações não desejadas; e a Segurança em Ação (ou Sécurité gérée), baseada na capacidade de resposta pertinente e em tempo real dada pelo trabalhador em função da particularidade das situações vividas no campo. Um sistema de gestão da segurança integrada ( Daniellou et al., 2010 ) repousa, assim, sobre a capacidade dos trabalhadores de julgar a aplicabilidade dos procedimentos em função das situações reais, e de fazer as adaptações necessárias para manter a segurança durante a produção.

A segurança normatizada constitui um recurso efetivo para a ação na medida em que ela fornece referências ao “agir”, registrando as dificuldades encontradas no passado a fim de prevenir as situações futuras ( Rocha et al., 2015 ). Já a segurança em ação é a confrontação das regras em função do contexto e a maneira de desenvolver redes de cooperação para gerir as tensões encontradas na ação ( Terssac et al., 2009 ). A segurança normatizada não é suficiente, pois, como todo sistema de prescrição, ela comporta limites diante de imprevistos que devem ser geridos pelos próprios operadores, eventualmente infringindo algumas regras existentes de maneira a responder às características particulares da situação. Reason (1990) nomeia como “violações” as infrações às regras e as define como desvios voluntários de práticas consideradas necessárias. Um extensivo estudo em mais de 3500 segmentos de voo mostrou que o descumprimento intencional de regras representou 45% de todos os desvios (intencionais e não intencionais), mas somente 6% deles conduziram a um estado indesejado da aeronave (Helmreich, 2001 apud Amalberti et al., 2004 ). O mesmo estudo sublinha que, em situações nas quais as regras são percebidas pelos trabalhadores como contraditórias ou paradoxais, a maioria das infrações origina bons resultados do ponto de vista do desempenho e da segurança do sistema. Nesses casos, as infrações às regras são um ato legítimo e não podem ser vistas como uma forma de prejudicar o sistema, pois evitam consequências nefastas que poderiam ocorrer se os operadores as houvessem respeitado ( Amalberti, 1996 ).

3.3 Uma nova abordagem na análise de acidentes: a ação situada e a cognição distribuída

Nos anos que precedem a criação do modelo do queijo suíço ( Reason, 1990 ) e do modelo psico-organizacional ( Llory, 1999 ) de análise de acidentes, surgiram, também, alguns trabalhos que desenvolveram conceitos da antropologia cognitiva de situações modernas ( Lave, 1988 ; Scribner, 1986 ; Hutchins, 1995 ), mostrando a inadequação de modelos do homem como um sistema simbólico de tratamento de informação.

Suchman (1987) introduziu o conceito de cognição situada, dando primazia à ação em relação aos conceitos cognitivistas dominantes, ao mostrar como um operador interage com fotocopiadoras interativas e sofisticadas. A autora propõe, em contraposição à ação orientada por um plano, a noção de “ação situada”, evocando a necessidade de considerar o “julgamento vivo”, a todo instante, do significado das circunstâncias particulares e de explorar a relação dinâmica entre saber, ação e circunstâncias. Nessa linha, Theureau (2004) afirma que a cognição não se situa na cabeça do ator, mas entre ele e a situação da qual fazem parte os outros atores e instrumentos.

A cognição e a inteligência não são capacidades puramente individuais: há uma inteligência coletiva, distribuída entre os membros do grupo. Hutchins & Klausen (1996) dão, a esse conceito, o nome de “cognição distribuída” e propõem modelos de análise que permitem descrever e explicar as propriedades cognitivas do sistema como um todo e não a habilidade de um indivíduo isoladamente. O enfoque da cognição distribuída, assim como o da cognição situada, se opõe a um cognitivismo centrado no indivíduo, em que o cérebro seria o ponto central do sistema de tratamento da informação, culminando em representações mentais que dirigiriam a ação ( Hutchins, 2000 ).

Theureau (2004) aprofunda essas reflexões no âmbito da teoria do curso da ação, enfatizando as noções de “ação incorporada” e “consciência pré-reflexiva” como hipóteses suplementares para caracterizar a experiência vivida. Segundo o autor,

[...] a atividade humana é acompanhada, a todo instante, de uma consciência pré-reflexiva (ou experiência), que inclui o que conhecemos por consciência, mas também todo o implícito de atividade definido a cada instante [...]. Esta consciência pré-reflexiva é o efeito de superfície da dinâmica do encontro estrutural do ator com o seu meio, inclusive social ( Theureau, 2004 , p. 21).

Destarte, a possibilidade de uma descrição adequada da atividade prática não depende mais somente do pesquisador que observa e interpreta o comportamento dos atores, mas também, e primeiro, da implantação de métodos de explicitação da consciência pré-reflexiva dos atores que está presente a cada instante de suas atividades práticas.

Essas teorias da atividade, ao considerarem outras dimensões como a organização do trabalho, ação situada, cognição distribuída, ação incorporada e a consciência pré-reflexiva, nos permitem escapar da visão reducionista inerente à abordagem comportamental em análise de acidentes. A unidade de análise não deve ser apenas o comportamento (behaviorismo) ou a representação mental (cognitivismo), mas a interação entre esses elementos da ação com o ambiente ( Theureau, 2004 ). Os comportamentos ou fatores humanos, portanto, não devem ser vistos como a causa de eventos não desejados, mas como a consequência de um processo de construção interativa, do qual fazem parte o homem (por suas ações e seu desenvolvimento cognitivo), a organização do trabalho e o ambiente técnico no qual ele está inserido.

Essas teorias nos ajudam a compreender melhor as reações humanas em situações de urgência. Ação, percepção e cognição estão entrelaçadas e se apoiam reciprocamente. A rapidez de detecção dos sinais de uma anomalia está associada às nossas capacidades de modificar a representação da situação em curso, estando muitas vezes fora do que era esperado conforme uma representação anterior. Desta forma, reações inesperadas ou surpreendentes podem surgir de acordo com o contexto ( Jouanneaux, 1999 ). Comumente, essas ações, quando se mostram inadequadas, são classificadas como “erro humano”, e estão presentes em cerca de 80% das análises de acidentes aéreos ( Foushee, 1984 ). Depois de reconstituir os eventos que precederam o acidente (item 4), veremos o potencial dessas análises da ação e cognição situadas para propor uma explicação alternativa às conclusões do BEA de que os pilotos cometeram erros banais.

4 Reconstituição do acidente do voo 447 da Air France

Para explicar como se produziu o acidente do voo 447, dividiremos a reconstituição em dois momentos: inicialmente, para se ter uma visão global, apresentamos a sequência cronológica do que se passou nos minutos anteriores ao choque; em seguida, para uma compreensão mais fina da situação, apresentamos detalhadamente os registros das caixas-pretas.

4.1 Cronologia do acidente

O voo 447 da Air France decolou do Rio de Janeiro às 21h29 do dia 31 de maio com destino à Paris, transportando 228 pessoas. A equipe de pilotagem era composta por dois copilotos, um deles com 6.000 horas de voo, denominado neste artigo de Copiloto 1 (Co1), o outro com 3.000 horas de voo, denominado de Copiloto 2 (Co2) e o Comandante de Bordo, com 11.000 horas de voo. Tão logo deixa a costa brasileira, o Airbus A330 entra numa área de turbulência, comum nesta região do Atlântico. A aeronave está com o piloto automático no comando. Pouco antes das 2 horas da manhã, o Comandante vai descansar, deixando os 2 copilotos no cockpit. Cerca de dez minutos após a sua saída, ocorre um incidente técnico: o congelamento dos 3 sensores externos de velocidade (ou sondas Pitot) da aeronave.

Em consequência do congelamento das sondas Pitot, o indicador de velocidade cai brutalmente, desativando o piloto automático, e o comando passa automaticamente ao modo manual. A operação do voo é doravante de inteira responsabilidade dos copilotos. Neste momento, o Co2 puxa a alavanca de comando (ou manche), aumentando o ângulo de atitude do avião ( Figure 1 ).

Figura 1
Ângulo de incidência e ângulo de atitude de uma aeronave.

Momentos após essa ação do Co2, o avião entra em perda de sustentação (ou estol), que pode ocorrer com o avião em diferentes configurações. No caso do voo 447, o avião sai do seu cone de domínio de voo ( Figura 2 ), perdendo força de avanço horizontal. Em outras palavras, a aeronave começa a cair. Cerca de 4 minutos após o início do estol, o avião se choca no mar, numa velocidade vertical de quase 200 km/h. Não houve mensagem de socorro enviada pela tripulação.

Figura 2
Esquema do cone de voo e do coffin corner (ou zona do caixão), região limítrofe a partir da qual a perda de sustentação da aeronave se torna próxima (Adaptado de IASA Program) ( IASA, 2006 ).

4.2 Registros das caixas-pretas em cada uma das fases do acidente

A partir dos dados das caixas-pretas, o BEA dividiu este acidente em três fases. Segue um resumo de cada uma delas, apresentando os acontecimentos em ordem cronológica e os diálogos no momento em que ocorreram. A legenda abaixo ( Figura 3 ) facilita a compreensão dos eventos.

Figura 3
Legenda dos símbolos para descrição das fases de voo da aeronave.

4.2.1 Fase 1: do início da gravação do CVR (Cockpit Voice Recorder) até o desligamento do piloto automático

Os primeiros registros do gravador de vozes (ou CVR) do cockpit se dão a partir de meia-noite. O piloto automático está ligado, a equipe de pilotagem está em contato com o centro de controle de Recife e o voo transcorre sem imprevistos. No cockpit do avião, encontram-se o Comandante e o Co2, enquanto o Co1 está em seu período de descanso, num local apropriado fora da cabine. Quando ele retorna, o Comandante assiste os copilotos realizarem o briefing – momento no qual o piloto que está no comando transmite as informações relevantes sobre o voo ao outro que acaba de chegar – e deixa o cockpit para fazer o seu descanso. O Co2 faz um alerta à tripulação sobre as possíveis turbulências que encontrarão nos próximos instantes. Pouco depois, o piloto automático para de funcionar e o indicador de velocidade mostra uma queda brusca deste parâmetro ( Quadro 2 ).

Quadro 2
Ordem cronológica dos eventos, verbalizações dos pilotos e posição do avião na fase 1 do acidente.

Hora	Eventos	Verbalizações associadas	Posição e direção da aeronave
1h55min	Comandante acorda o Co1 para a troca de turno.	Comandante: “Ele vai tomar o meu lugar”.
1h59min	Início do briefing entre os copilotos.	Co2: “As pequenas turbulências que você acabou de ver […] a gente deve encontrar algo parecido logo adiante”.
2h01min	Comandante deixa o cockpit para descansar.	Comandante: “Bom, é isso. Estou indo”.
2h06min	Co2 liga para a tripulação do voo, alertando-os sobre as próximas turbulências.	Co2: “Em dois minutos devemos entrar uma área onde provavelmente vamos balançar um pouco mais do que agora e é necessário ter atenção”.
2h08min	Desvio da rota devido às condições climáticas.	Co1: “Você pode, eventualmente, seguir um pouco para a esquerda”.
2h10min	Congelamento das sondas Pitot; piloto automático para de funcionar; alarme de estol soa 2 x seguidas; indicador de velocidade mostra uma “queda brutal de 275 kt para 60 kt” ( BEA, 2011 , p. 10).	Co2: “Eu estou com os comandos”.

4.2.2 Fase 2: do desligamento do piloto automático ao alarme de perda de sustentação

Logo após o desligamento do piloto automático, o Co2 puxa o manche, redirecionando a aeronave à esquerda e para “cabrar” (termo da aviação civil equivalente a “subir”, ou seja, movimento no qual o piloto puxa o manche e o avião direciona o nariz para cima). Em consequência, a aeronave ganha altitude e o seu ângulo de atitude ( Figura 1 ) aumenta. O Co1, por várias vezes, chama o Comandante. Durante esse período, o Co2 continua a puxar o manche, levando o avião a uma condição de perda de sustentação. Imediatamente após sair do seu domínio de voo, o alarme de estol volta a soar ( Quadro 3 ).

Quadro 3
Cronologia dos eventos, verbalizações dos pilotos e posição do avião na fase 2 do acidente.

Hora	Eventos	Verbalizações associadas	Posição e direção da aeronave
2h10m	Congelamento das sondas Pitot; piloto automático para de funcionar; alarme de estol soa 2 x seguidas; indicador de velocidade mostra uma “queda brutal de 275 kt para 60 kt” ( BEA, 2011 , p. 10).	Co2: “Eu estou com os comandos”.
A partir de 2h10m05s	Co2 puxa o manche, levantando o nariz da aeronave; horizonte artificial do ECAM (Eletronic Centralized Aircraft Monitoring) indica posição a cabrar; Co1 dá conselhos diversos ao Co2.	Co1: “Preste atenção à sua velocidade, preste atenção à sua velocidade, preste atenção à sua velocidade! Estabilize […]. Você tem que descer, você tem que descer, você está indo para cima, você tem que descer! […] devagar”.
2h10m16s	Incoerência entre velocidades registradas e aumento do ângulo de atitude da aeronave para pouco mais de 10º.	Co1: “Perdemos a velocidade”.
2h10m50s	Co1 envia sinal eletrônico ao Comandante, chamando-o com urgência; alarme de estol recomeça.	Co1: “Ele vem ou não vem?!”
2h10m51s	Perda de sustentação do avião; início da perda de altitude e do buffeting (turbulência ou vibração causada por movimentos das camadas de ar em torno da aeronave).	Co2: “Eu não tenho mais controle nenhum sobre o avião!”

4.2.3 Fase 3: do acionamento do alarme de perda de sustentação até o final do voo

Quase 1 minuto após o acionamento do alarme de perda de sustentação, o Comandante volta ao cockpit. O Co2 mantém os comandos para cabrar o avião. Nos segundos seguintes, todas as velocidades registradas se tornam inválidas (ou próximas de zero) e o alarme para. Em dado momento, o Co2 realiza ações para picar (sinônimo de “descer”; movimento no qual o piloto empurra o manche e direciona o nariz do avião para baixo), o que faz a aeronave diminuir o seu ângulo de incidência ( Figura 1 ). As velocidades, então, voltam a ser válidas e o alarme de perda de sustentação se reativa. O Co1 tenta assumir os comandos, e, a partir daí, ações simultâneas dos dois copilotos nas alavancas manche são registradas nas caixas-pretas. Os registros terminam em 2h14min28seg ( Quadro 4 ).

Quadro 4
Ordem cronológica dos eventos, verbalizações dos pilotos e posição do avião na fase 3 do acidente.

Hora	Eventos	Verbalizações associadas	Posição e direção da aeronave
2h10m51s	Perda de sustentação do avião. Início da perda de altitude e do buffeting.	Co2: “Eu não tenho mais controle nenhum sobre o avião!”
2h11m42s	Comandante volta ao cockpit.	Comandante: “O que está acontecendo aqui?”
A partir de 2h11m42s	Velocidades registradas se tornam inválidas e o alarme de estol para.	Co2: “Eu não tenho mais nenhuma indicação” . Co1: “Nós não temos nenhuma indicação que seja válida […] não estamos compreendendo nada. O que a gente deve fazer?” Com: “Eu não sei”.
2h12m17s	O Co2 realiza ações a picar o avião. Com isso, as velocidades voltam a ser válidas, o ângulo de incidência diminui e o alarme de perda de sustentação se reativa.	Co1: “Agora ficou bom. Ele está de volta ao plano zero […] não, não, ele não quer!”
2h13m32s	Referência da altitude atingida preocupa o Co2. Novamente, ações para cabrar a aeronave são registradas e o alarme de perda de sustentação para.	Co2: “Vamos chegar ao nível cem!”
2h13m47s	Co1 tenta assumir os comandos e os registros apontam ações simultâneas dos dois copilotos sobre as alavancas.	Co2: “Vai lá, você tem os comandos”.
Entre 2h13m48s e 2h14m28s (fim dos registros)	A aeronave apresenta uma velocidade vertical de quase 200 km/h e praticamente não avança horizontalmente. Ordens controversas são dadas nos últimos diálogos dentro do cockpit.	Co1: “Desça, você tem que voltar para baixo!” Comandante: “Não, você tem que subir” . Co2: “Eu estou subindo”. Comandante: “Ok, agora desça. Coloque as asas na horizontal” . Co2: “Mas o que é que eu estou tentando fazer? Eu estou fazendo isso no máximo possível”. Co1: “Eu tenho o controle?” Co2: “Porque é que nós continuamos a descer a fundo?” Co1: “Sobe, sobe, sobe!” Co2: “Eu estou ordenando a fundo a cabrar!” Comandante: “Não, não, não, não suba! Não, não, desce! […] tenha cuidado, você está a cabrar”. Co2: “Eu estou a cabrar! Estamos a menos de 4.000 pés!” Comandante: “Vai, sobe!” Co1: “Sobe, sobe, sobe! […] nós vamos bater! Isso não é verdade!” Co2: “O que está acontecendo?”

5 A investigação do acidente pelo BEA e os limites dessa abordagem

O diagnóstico final do BEA (2012) sugere que os pilotos não respeitaram algumas regras de segurança básicas na aviação civil. No A330, o ECAM propõe ações a serem realizadas na maioria dos casos de pane ou urgência durante o voo. A partir de informações disponibilizadas pelo monitor, “[...] a equipe deve analisar e confirmar a natureza da falha antes de iniciar qualquer ação de correção da pane [...]” ( BEA, 2012 , p. 110), ou, nos casos em que o monitor não identifique a anomalia, a “[...] reação adequada esperada da equipe supõe ações imediatas de memória visando estabilizar a situação [...]” ( BEA, 2012 , p. 108).

O avião começa a sair do seu domínio de voo, o alarme de estol dispara e soa 74 vezes em 54 segundos. O relatório do BEA (2011 , p. 79) evoca que, apesar disso, “nenhum dos pilotos fez referência ao alarme de perda de sustentação”. Havia, entretanto, outros sinais no cockpit, além deste alarme, que poderiam indicar que a aeronave havia estolado: a perda de altitude, um horizonte artificial indicando posição a cabrar e o buffeting. Segundo o BEA (2012) , esses sinais parecem não ter sido suficientemente claros para os pilotos, uma vez que nenhum anúncio padrão sobre as diferenças de ângulo de atitude e velocidade vertical foi feito. Assim, ainda segundo o BEA (2012) , os pilotos não compreenderam que a aeronave havia estolado e, como consequência, possíveis manobras de recuperação não foram aplicadas.

O grupo de Fatores Humanos do BEA buscou, então, “[...] examinar os subconjuntos dos dispositivos relacionados aos comportamentos e competências esperados das equipes de voo diante da situação encontrada [...]” ( BEA, 2012 , p. 107), procurando também elucidar as razões pelas quais as anomalias não foram identificadas. A equipe de FH do BEA evoca que a aparição de conflitos visual-auditivos em situação de forte carga de trabalho mobiliza a atenção seletiva, levando os pilotos a uma “[…] certa insensibilidade auditiva em relação à aparição de alarmes sonoros raros e contraditórios com as informações do cockpit […]” ( BEA, 2012 , p. 111), já que outros alarmes (por exemplo, de perda de altitude ou do desligamento do piloto automático) também soaram na cabine durante a queda da aeronave.

A não identificação do alarme de estol é associada, pelo grupo de FH do BEA, à ausência de treinamentos mais aprofundados sobre esta situação.

O reconhecimento do alarme de estol, mesmo associado ao buffeting, supõe que a equipe atribua ao alarme uma legitimidade mínima. Isso supõe, por outro lado, uma experiência prévia suficiente, um mínimo de disponibilidade cognitiva e de compreensão do contexto, conhecimento sobre o avião (e seus modos de proteção) e sobre a física do voo ( BEA, 2012 , p. 206).

Além da não identificação do alarme de estol, a ação do Co2 de puxar o manche ao invés de empurrá-lo também foi justificada pelo grupo FH:

[...] o caráter excessivo das ações do piloto (Co2) pode se explicar pela surpresa e pela carga emocional na desconexão do piloto automático, amplificados pela ausência de formação prática da equipe em voos de alta altitude [...] ( BEA, 2012 , p. 179).

A justificativa do BEA e do seu grupo de FH está, portanto, baseada nos limites sensoriais humanos, na carga emocional da situação e na falta de treinamento apropriado para identificação e gestão das anomalias ocorridas, sejam elas a não identificação do alarme de perda de sustentação, a não identificação da perda de sustentação em si, ao fato de o Co2 puxar a alavanca ao invés de empurrá-la e ao desvio de rota realizado. São essas razões, segundo o BEA, que levam os pilotos a cometerem erros de pilotagem considerados primários. Mas não é estranho que uma equipe com grande experiência os tenha cometido?

Classicamente, as pesquisas em laboratório em condições de “ double-tâche” ou sobrecarga mostraram a redução da performance quando a atenção deve ser dividida. Esses mecanismos de atenção seletiva estabelecem, até mesmo, pesos diferenciados entre os sentidos. Um estudo recente em eletrofisiologia sobre uma tarefa de pilotagem confirma que a aparição de tais conflitos visual-auditivos em situação de forte carga de trabalho se traduz por um mecanismo de atenção seletiva, que favorece as informações visuais, e conduz os pilotos a negligenciar alarmes sonoros críticos ( Scannella, 2011 ).

Da mesma maneira, os treinamentos têm um papel fundamental no reconhecimento e controle de situações de risco ou de forte carga de trabalho. A construção de uma resposta a partir de conhecimentos prévios supõe, no momento real em que o evento ocorre, uma incorporação da anomalia à representação mental da situação, que pode passar por uma construção ou reconstrução das representações anteriormente atribuídas. Assim, a percepção correta da situação por uma equipe, que pode melhorar a confiabilidade e a rapidez do diagnóstico e da decisão, é ligada não somente à maneira na qual esta situação é apresentada a esta equipe, mas também aos seus treinamentos e experiências anteriores ( Jouanneaux, 1999 ).

Entretanto, é necessário esclarecer, para além desses mecanismos fisiológicos ou da falta de treinamento, como, no curso da ação, se opera a percepção seletiva. As conclusões do grupo de FH do BEA sobre o acidente muito pouco acrescentaram às explicações divulgadas nos relatórios anteriores, porque não levam em consideração a ação situada e a interação entre o conjunto de parâmetros que compõe o contexto.

Após a ocorrência do acidente, publicações diversas (por exemplo, BEA, 2011 , 2012 ; Otelli, 2011 ) consideraram a ação do Co2 de puxar o manche como inaceitável e afirmaram que algumas regras básicas de segurança não foram respeitadas.

As ações do Copiloto (Co2) podem ser qualificadas como bruscas e excessivas [...]. Elas são inadaptadas e não correspondem à pilotagem esperada numa fase de voo em alta altitude [...] ( BEA, 2012 , p. 179).

Otelli (2011) sublinha que, de acordo com as leis de aerodinâmica, em situações de perda de sustentação é necessário empurrar o manche (e não o contrário), exercendo ações a picar a aeronave, para recuperar a sua sustentação. Segundo o autor, são regras básicas de aerodinâmica válidas para todos os tipos de aeronaves.

Explicações como essas são cristalinas, mas apenas porque representam o ponto de vista de um observador externo, que ocupa uma posição privilegiada e assimétrica em relação aos copilotos dentro do cockpit: o analista pós-acidente sabe, com certeza, em que posição estava o avião naquele momento, portanto qual regra deveria ter sido aplicada para mantê-lo sob controle. Apenas retrospectivamente é que a situação parece ser simples e controlável a partir de uma “regra básica da aerodinâmica”. De nada adianta, todavia, reafirmar esta regra como explicação (e também reforçá-la como procedimento de segurança), pois pula-se uma etapa – a mais crucial – no curso das ações e eventos que levaram ao acidente: por que os copilotos não conseguem construir uma representação adequada da condição do avião. Do mesmo modo, recomendar que “a equipe deve analisar e confirmar a natureza da falha antes de iniciar qualquer ação de correção da pane” pressupõe uma situação ideal que raramente acontece na prática.

Análises baseadas nos comportamentos esperados em função das anomalias previstas são insuficientes, pois não levam em consideração a representação da situação em curso, apenas os dados do contexto conhecidos, com certeza, após muitas horas de análises e com o auxílio de vários especialistas. É o que Bergson denominou de “Ilusão Retrospectiva” ou “Movimento Retrógrado do Verdadeiro”, ou seja, a construção de um diagnóstico pelos pesquisadores no qual se crê ser verdadeiro um evento do passado utilizando-se dados do presente ( Bergson, 1934 ). Essa ilusão retrospectiva, típica das análises oficiais, continua resistindo às críticas de vários autores especialistas em acidentes ( Reason, 1990 ; Bourrier, 1996 ; Vaughan, 1996 ; Llory, 1999 ; Collins & Pinch, 2010 ; Amalberti, 2013 ).

Dessa maneira, o julgamento dos comportamentos dos pilotos nos instantes anteriores ao choque deve ser suspendido até que se compreendam os processos cognitivos de suas tomadas de decisões dentro do cockpit, pois eles não são totalmente pré-concebidos, mas se constroem à medida que o voo se desenvolve, em função das possibilidades oferecidas pela situação meteorológica e das relações com o controle de voo ( Jouanneaux & Clot, 2002 ). Como discutido anteriormente, o erro não deve ser a conclusão de uma investigação, mas seu ponto de partida ( Dekker, 2003 ). O item 6 deste artigo desenvolverá essas questões mais profundamente.

6 O acidente do voo AF447 sob a perspectiva da ação/cognição situadas

A conclusão final do BEA é que os pilotos cometeram uma sucessão de erros graves, por não compreenderem que a aeronave havia perdido a sustentação. Entretanto, a pergunta a ser respondida deveria ser por que, no momento em que estavam, os pilotos não compreenderam a situação e cometeram os erros primários apontados nas investigações? A incoerência entre as informações advindas do sistema automático e aquelas percebidas e interpretadas pelos pilotos é a chave para responder a essa pergunta e compreender os seus comportamentos, sendo necessário considerar a situação imediata entre equipe- cockpit-avião em voo e em suas inter-relações dinâmicas. Para compreender a situação, não basta apenas confrontar o estado do mundo em um dado momento (posição do avião, informações disponíveis no cockpit [...]) aos atos dos pilotos (comportamentos, falas e comandos). Os operadores humanos percebem e agem de acordo com as representações mentais e percepções que mediam a relação com a situação e não com base em uma cópia exaustiva da realidade exterior.

Baseados na abordagem da ação situada e da cognição distribuída, no item 6.1, buscar-se-á esclarecer os motivos, os diferentes momentos e níveis de incompreensão dos pilotos, ou melhor, de “falhas de representação” ( Daniellou, 1986 ), propondo outra explicação dos seus comportamentos, caracterizados como erros triviais, em relação aos sinais recebidos pela aeronave. Após essa análise compreensiva, no item 6.2, serão propostos elementos de ação preventiva diferenciados em relação àqueles divulgados pelo BEA, demonstrando o potencial prático da análise aqui proposta para a prevenção de acidentes.

6.1 A (in)compreensão da situação e os comportamentos dos pilotos

Por que os pilotos não compreenderam a condição real do avião? Por que não reconheceram os sinais emitidos pela aeronave durante a perda de sustentação, como o alarme e o buffeting? Por que o Co2 puxa o manche e piora a condição de perda de sustentação? Por que o Comandante não tem uma reação mais contundente e assume diretamente os comandos ao voltar ao cockpit ? Responder a essas perguntas somente a partir de nossas descrições do contexto ou mesmo de explicações das ações baseadas na teoria da ação situada pode nos levar a erros de interpretação e a uma análise não fidedigna do ponto de vista dos próprios pilotos. Dessa forma, para tentar suprir a ausência dos principais atores – os pilotos – confrontamos possíveis explicações apoiadas pela teoria da ação situada com explicações de pilotos e ex-pilotos, dadas em entrevistas oficiais sobre o acidente, em especial quanto ao significado que pode ter sido atribuído pela equipe, no calor da ação, aos sinais fornecidos pela aeronave durante a pane.

A sequência imediata de eventos que levou ao acidente se inicia com o congelamento das sondas Pitot. A partir desse fato, em função do contexto em que esta ocorrência estava inserida e das ações subsequentes dos pilotos, uma sequência de eventos gera diversos sinais no cockpit, nem todos percebidos ou devidamente interpretados pelos pilotos: o piloto automático se desconecta; o indicador de velocidade mostra sua brusca diminuição; alarmes diversos soam na cabine, simultaneamente em alguns momentos e separadamente em outros; o indicador de altitude mostra uma queda rápida e progressiva, enquanto o horizonte artificial apresenta uma posição a cabrar das asas da aeronave; o buffeting inicia-se e mantém-se até o choque com a água.

A incompreensão sobre o contexto não foi reduzida pelos sinais de alerta emitidos pelo ECAM, para a qual contribuíram os sinais não confiáveis, que perduraram do início da pane até o fim do voo. Diversas ordens contraditórias foram emitidas pelos pilotos nos instantes finais da tragédia: o Co1 ordena “Desça, você tem que voltar para baixo!”, mas logo em seguida o Comandante verbaliza “Não, você tem que subir”. Segundos depois, o próprio Comandante diz “ok, agora desça, coloque as asas na horizontal”, enquanto o Co1 verbaliza “Sobe, sobe, sobe!” O Comandante, enfim, ordena “Não, não, não, não, suba! Não, não, desce! [...] tenha cuidado, você está a cabrar” e, em seguida, ele mesmo diz: “Vai, sobe!” ( Quadro 3 ).

Muito se falou a respeito da não compreensão dos pilotos sobre a situação de estol da aeronave. É necessário, entretanto, considerar que existe um nível anterior de incompreensão, que é determinante na sequência dos eventos: o de que a velocidade da aeronave não havia se alterado, apesar de o indicador eletrônico mostrar o contrário. Quando o piloto automático deixa de funcionar, o sistema de informações do cockpit lhes fornece uma informação discrepante da situação real do avião.

6.1.1 Explicação do 1º nível de incompreensão e as consequências sobre o comportamento dos pilotos

Nenhum dos alertas emitidos pela aeronave identificava a causa direta da anomalia ocorrida, ou seja, o congelamento das sondas Pitot. Somente a consequência imediata dessa anomalia (redução brusca da velocidade) é exibida pelo computador de bordo, mas não a sua causa. Assim que as sondas se congelam, os pilotos veem uma velocidade anormal no painel e agem de acordo com este sinal, acreditando ser ele verdadeiro. Entretanto, este sinal não é real, pois a velocidade do avião não havia sido alterada, somente sua indicação. A anomalia inicial está no sensor de velocidade e não na velocidade em si. Todas as ações a partir disso são realizadas em função desta situação interpretada e não pela situação real.

É assim que Gérard Arnoux, piloto da empresa Air France, evoca que se as sondas Pitot não tivessem dado falsas indicações de velocidade, o acidente não haveria ocorrido. Segundo ele, o Co2 puxa o manche e leva o avião à perda de sustentação porque “ele tem uma velocidade muito baixa sob os olhos” (France 3, 2012).

Os pilotos não sabem a velocidade real em que se encontram. Durante uma viagem até então sem incidentes, o primeiro sinal de anormalidade disponível é o indicador de velocidade. Entretanto, eles desconhecem a anomalia nas sondas Pitot. A velocidade inconstante apresentada pelo painel não quer dizer necessariamente que havia alguma anomalia nas sondas de velocidade, pois tal anomalia poderia estar em qualquer outro componente do sistema. A falha das sondas Pitot somente é óbvia após o acidente ocorrido. Neste sentido, uma hipótese formulada pelo Co2 pode ter sido uma real alteração da velocidade da aeronave, e não somente a alteração no indicador eletrônico. Sem obter informações da velocidade real e sem conhecer o incidente técnico, puxar o manche pode ter sido uma tentativa do Co2 de retomar a velocidade, cujas indicações se apresentavam inferiores à velocidade normal.

6.1.2. Explicação do 2º nível de incompreensão e as consequências sobre os comportamentos dos pilotos

O Co2, então, puxa o manche para ganhar velocidade, e coloca a aeronave em uma condição que leva à perda de sustentação. A aeronave começa a cair e alguns sinais são por ela emitidos: inicia-se o buffeting e o ECAM passa a indicar uma velocidade nula, uma altitude em diminuição progressiva e um horizonte artificial fora da posição de estabilidade, quando as asas não se encontram no eixo horizontal. Para os pilotos, esses sinais são incompreensíveis e essa situação perdura até o choque com a água.

O buffeting, segundo Gérard Arnoux, se percebe em um céu claro e calmo, mas quando estamos numa turbulência, perceber a diferença física entre o estol e tal turbulência é extremamente difícil, ou impossível, sobretudo atravessando uma zona geográfica reconhecidamente de grandes turbulências e sob forte tempestade (France 3, 2012). Dessa maneira, por si só, a sensação de turbulência não era um indicador de anormalidade e poderia ser considerada como resultante das condições externas.

A partir do momento em que o avião entra em perda de sustentação, o indicador de altitude mostra uma perda progressiva e os pilotos fazem constantemente referência a isso. “Vamos chegar ao nível cem ”, diz o Co2, se referindo à proximidade com o nível do mar. Ao mesmo tempo, o horizonte artificial indica que as asas não se encontram na posição horizontal, o que demonstra uma instabilidade da aeronave. “Coloque as asas na horizontal”, verbaliza o Comandante, no intuito de estabilizar a aeronave.

Nesse momento (e até o final do voo), os pilotos não têm dúvidas de que o avião está caindo. A incompreensão gira em torno do motivo da queda e não da queda em si: um mesmo estado pode ser causado por diferentes circunstâncias do mundo e dos subsistemas do complexo sistema que é um avião.

Dois pontos principais parecem, assim, ser prioridade para pilotos: ganhar altitude e estabilizar as asas do avião. Com vários alarmes soando ao mesmo tempo, um indicador mostrando que a altitude cai continuamente, e outro exibindo a instabilidade da aeronave, a preocupação maior dos pilotos não era analisar todos os alarmes, identificando quais eram reais para eliminar as ambiguidades do sistema de informações, mas, antes disso, era compreender por que o avião estava descontrolado e o porquê de a altitude estar em diminuição progressiva. Portanto, não é fundamental entender os alarmes que soam se esses sinais não fazem sentido para compreender ou orientar as ações de retomada de controle da altitude.

A prioridade, então, é recuperar a altitude e controlar as asas da aeronave. É por esse motivo que o Co2 continua a puxar o manche. Essa ação é normalmente eficaz no ganho de altitude, mas não em situações de perda de sustentação. Nesse momento, é necessário fazer o contrário, ou seja, empurrar o manche para recuperar a sustentação e, a partir disso, ganhar velocidade e recuperar altitude. Pierre Henri Gourjeant, Diretor geral executivo da Air France no momento do acidente e antigo piloto de caça, afirma que a incompreensão maior está exatamente neste ponto. Segundo ele, os pilotos não entenderem porque eles estavam em posição de subida (com o manche puxado e o horizonte artificial mostrando a posição a cabrar) e, apesar disso, eles desciam (France 3, 2012).

O desconhecimento sobre a situação, portanto, era generalizado. Desconhece-se a origem das anomalias (congelamento das sondas Pitot) e igualmente desconhece-se a perda de sustentação da aeronave. Dentro do cockpit, as informações recebidas são de uma velocidade incoerente, uma altitude em diminuição progressiva e as asas da aeronave em posição de instabilidade. Sem compreender que o avião se encontra sem sustentação, vendo no painel indicações inconsistentes de velocidade e que a altitude diminui progressivamente, continuar puxando as alavancas manche parece ter sido a solução mais razoável a ser tomada para recuperar a altitude da aeronave.

Em determinado momento, o Co1 tenta assumir os comandos, mas os registros da caixa-preta mostram ações simultâneas dos 2 pilotos nas alavancas ( Quadro 3 ). Um detalhe importante deve, aqui, ser esclarecido: o campo de visão do Airbus não permite que um piloto visualize as ações do outro. O Airbus, diferentemente de outras aeronaves como o Boeing, possui as alavancas manche nas laterais exteriores de ambos os pilotos, de forma que o piloto posicionado à direita do cockpit manipula o manche com sua mão direita, enquanto o piloto situado à esquerda manipula a alavanca manche com sua mão esquerda. Com o campo de visão dos pilotos limitado em relação à ação do colega sobre o manche do Airbus, ações aplicadas por um piloto são dificilmente observáveis pelo piloto ao lado ( Amédéo, 2010 ).

6.1.3 Os comportamentos do Comandante na ação situada

Além das ações e comportamentos adotados pelo Co2, diversos foram os questionamentos levantados sobre o comportamento do Comandante durante a pane: por que ele deixou o cockpit num momento considerado delicado do voo e por que não voltou tão logo foi chamado pelo Co1? E por que, ao chegar, não assumiu imediatamente o comando? A discussão a seguir refletirá sobre essas questões.

O BEA (2011) deixa claro que, quando ocorre a desconexão do piloto automático, o Comandante estava repousando fora do cockpit. Mas o avião está caindo há mais de 1 minuto, ele foi chamado pelo Co1 por 4 vezes em caráter de emergência e continua ausente do cockpit. Somente cerca de 1’30” após o desligamento do piloto automático, ele retorna. Hervé Labarthe, ex-comandante de bordo da Air France, afirma que o Comandante não é obrigado a permanecer no local destinado ao descanso durante todo o período a que tem direito. Ele pode, por exemplo, ir ao banheiro, beber água ou conversar com alguém da tripulação e, assim, se ausentar do local de descanso (France 3, 2012), o que pode explicar o tempo relativamente longo para ele retornar.

Quando chega ao cockpit e percebe que a situação não está normal, o Comandante “[...] deveria ter questionado os Copilotos, procedimento necessário devido à urgência e ao estresse transmitido pelo tom de voz do piloto não funcional (Co2) [...]” ( BEA, 2012 , p. 186). Entretanto, segundo Hervé Labarthe, as informações são extremamente confusas para o Comandante quando ele se depara com a situação. Ele não tem a “situação” na cabeça e, por isso, necessita de um tempo para “entrar” no contexto. Todavia, ambos os pilotos não lhe dão qualquer informação confiável, o que explica a falta de uma atitude mais objetiva por parte do Comandante para assumir o controle. Nessas condições, sem ter vivido o histórico completo da sequência dos eventos, era extremamente difícil para o Comandante estabelecer um diagnóstico e tomar o controle do avião (France 3, 2012). Na verdade, mais do que ter a “situação na cabeça”, para agir em consonância com uma situação, um ator precisa estar em situação de “corpo e alma” ( Dreyfus, 2012 ).

7 Conclusão: o retorno de experiência de situações cotidianas como forma de prevenção

A análise cognitiva que serviu de base para reanalisar o acidente do voo AF447 leva a ações de prevenção diferentes, que buscam desenvolver a capacidade da equipe para compreender e agir adequadamente em situações incidentais semelhantes, atuando tanto na formação quanto na configuração das informações no cockpit. A análise do BEA chega a conclusões que evidenciam falhas dos equipamentos e da equipe de pilotos, cujas correções levam às medidas clássicas para reforçar tanto a confiabilidade técnica das aeronaves, por meio de recomendações sobre os registros de voo e sobre os processos de certificação de equipamentos, quanto a confiabilidade humana, via treinamentos para adotar atitudes e certos comportamentos em situações de urgência. Retomamos, aqui, uma das recomendações que é significativa de como a abordagem dos fatores humanos lida com a cognição. O BEA reafirma que, “[...] a partir de informações disponíveis pelo ECAM, a equipe deve analisar e confirmar a natureza da falha antes de iniciar qualquer ação de correção da pane [...]” ( BEA, 2012 , p. 110). Como mostrado neste artigo, o monitor da aeronave não identificou a origem da pane, ou seja, o congelamento das sondas Pitot. Nos casos em que o monitor não identifique a anomalia, a reação esperada da equipe “[...] supõe ações imediatas de memória visando estabilizar a situação [...]” ( BEA, 2012 , p. 108). O BEA, entretanto, não explica como fazer isso, deixando visível o pressuposto da memória como estoque, adquirida e acumulada durante treinamentos em simuladores. O interesse prático da análise cognitiva aqui utilizada é que, ao compreendermos de modo diferente o que se passou no cockpit, podemos também propor medidas preventivas diferenciadas das recomendações dos relatórios oficiais.

Para avançarmos na gestão da segurança dos sistemas, torna-se necessário conhecer as representações dos trabalhadores e a maneira com a qual eles lidam com as variabilidades do meio. É inegável a contribuição da técnica na evolução dos níveis de segurança, mas as escolhas técnicas são ambivalentes: contribuem para reduzir a frequência dos acidentes, mas, ao mesmo tempo, geram outros acidentes, ao criar obstáculos às atividades cognitivas dos operadores. A pergunta que vem à tona é: como podemos avançar de maneira concreta nas questões de segurança quando a automação complexifica a tecnologia, tornando mais obscuras as causas das falhas técnicas com as quais se deparam os pilotos e situações de voo?

A introdução de tecnologias de automação traz alguns paradoxos que criam dificuldades para o desenvolvimento das atividades humanas ainda necessárias ao controle dos equipamentos. É o que Bainbridge (1982) denomina de “ironias da automação”: a lógica de projeto adotada pelos engenheiros, que acreditam serem os operadores o elo frágil do sistema homem-máquina, induz os erros dos pilotos, ao lhes reduzir as margens de decisão e autonomia. Os sistemas técnicos automatizados se tornaram cada vez mais sofisticados e são constituídos de diferentes subsistemas ainda não integrados, cujas interfaces informacionais podem induzir dificuldades durante a pilotagem. A introdução de aviões informatizados, ao adotar a lógica da automação substitutiva do operador humano, constituiu uma ruptura na cultura profissional dos pilotos, levando a uma formalização de todos os segmentos do voo na linguagem da máquina em detrimento do próprio pensamento dos pilotos ( Jouanneaux & Clot, 2002 ).

Em termos práticos, trata-se, inicialmente, de inverter a lógica do processo de automação, passando a adotar os princípios da teoria instrumental: a automação deve servir como instrumento inserido em uma atividade, e seu desenvolvimento deve favorecer e não substituir o operador, muitas vezes considerado pouco confiável. Atualmente, automatiza-se o que é possível e, ao trabalhador, é dada a responsabilidade de gerenciar o que não pode ainda ser automatizado, como exemplificado nas situações de pane ou quando o piloto automático deixa de funcionar. Entretanto, todas as informações processadas automaticamente podem, em determinadas situações, fazer falta na construção das representações do estado do processo, principalmente em situações de pane ou urgência. A partir da análise do curso da ação, alguns desses elementos podem ser evidenciados, revelando o acoplamento necessário entre a experiência e o curso dos eventos, adequadamente mediado pelo sistema de informações.

Hoje, quando a confiabilidade técnica se aperfeiçoa continuamente, mas acidentes continuam acontecendo em consequência de pequenas falhas que se propagam de forma imprevisível em um sistema complexo, a prevenção se torna ainda mais dependente de percepções subjetivas não formalizadas e não formalizáveis. O arrepio ou o “frio na barriga” ( Dreyfus, 2012 ) é que anunciam as possibilidades de melhorar a segurança: situações-limite que são percebidas pelo corpo em ação, pela inteligência prática, antes de poderem ser compreendidas conscientemente ou verbalizadas, o que exige abordagens baseadas na teoria da ação situada para serem evidenciadas. No caso do voo AF447, as falhas por congelamento no tubo de Pitot já eram conhecidas: o que não sabemos é como as equipes de pilotos “se viram” para fazer este diagnóstico nas mais diversas configurações em que isso ocorreu, e continua acontecendo, sem ter gerado acidentes. Certamente, em algumas delas, compreender o que se passa e retomar o controle do avião é fácil e, em outras, mais complicado. Mas a abordagem para reconhecer situações críticas não necessita somente estar focada na falha de um componente (o tubo de Pitot) que define um caso específico. A falha do sensor é difícil de ser diagnosticada por outra dificuldade de segunda ordem: como eliminar incoerências entre informações apresentadas no ECAM? Nesse grau de generalidade, várias outras situações de instabilidade e falhas momentâneas de componentes poderiam ser identificadas, a partir das situações vividas pelos pilotos, como situações críticas a serem usadas nos simuladores. Dessa forma, o treinamento em simuladores pode ser mais diversificado e realista.

Um sistema de gestão baseado somente em situações passadas que geraram acidentes ou incidentes visíveis pode tornar-se ineficaz por não oferecer condições de antecipar todas as situações de risco. A segurança cotidiana, em ação, é um componente fundamental da segurança sistêmica e, para desenvolvê-la, é necessário conhecer as representações dos trabalhadores não somente sobre as situações de risco passadas, como também sobre as situações cotidianas de trabalho ( Hollnagel et al., 2006 ) que apresentaram algum tipo de dificuldade, mas que não necessariamente tiveram consequências graves. Nesse sentido, não basta desenvolver capacidades de reação a partir de treinamentos em simuladores, mas é necessário também reconhecer e socializar a experiência coletiva difusa que as equipes acumulam em situações reais de voo. Para isso, os procedimentos de retorno de experiência (REX) existentes devem ser revitalizados a partir do que já se conhece sobre o funcionamento da memória em situação ( Hutchins, 1991 ). Rocha et al. (2015) mostram que o desenvolvimento de uma abordagem prática baseada no retorno de experiência de situações cotidianas traz benefícios não somente no campo da segurança, como também na produtividade e no potencial de inovação da organização.

Assim, uma das chaves para avançar na segurança dos sistemas aéreos é a organização de um retorno de experiência capaz de alimentar de forma eficaz a elaboração de simulações de urgências aéreas e os treinamentos. Isso somente será possível se este retorno de experiência for baseado em situações reais, ou seja, a partir de situações vividas cotidianamente e controladas na prática, mas nas quais o piloto ou a equipe se deparou com alguma dificuldade. Esta prática pode ajudar a reprojetar os automatismos e as interfaces (alarmes, forma e saliência dos dados...) e também a redefinir as informações necessárias e relevantes para alimentar as simulações. Essa seria uma forma de tornar visível a segurança em ação dos trabalhadores e fazer a organização progredir em função do aprendizado inerente à atividade real e de seu desenvolvimento permanente.

• Suporte financeiro: Nenhum.

Referências

• Allwood, C. M. (1984). Error detection processes in statistical problem solving. Cognitive Science, 8(4), 413-437. http://dx.doi.org/10.1207/s15516709cog0804_5.
  » http://dx.doi.org/10.1207/s15516709cog0804_5
• Amalberti, R. (1996). La conduite de systèmes à risques . Paris: Press Universitaires de France.
• Amalberti, R. (2013). Piloter la sécurité (141 p.). Paris: Springer-Verlag France. http://dx.doi.org/10.1007/978-2-8178-0369-2.
  » http://dx.doi.org/10.1007/978-2-8178-0369-2
• Amalberti, R., Auroy, Y., & Aslanides, M. (2004, octobre). Understanding violations and boundaries. In: The Canadian Healthcare Safety Symposium (pp. 14-16). Edmonton: Alberta editora.
• Amédéo, F. (2010). La face cachée d’Air France . Paris: Flammarion.
• Bainbridge, L. (1982). Ironies of automations. In Duncan K. & et Leplat J. New technology and human error (pp. 271-286). Chichester: Willey & Sons. http://dx.doi.org/10.1016/S1474-6670(17)62897-0.
  » http://dx.doi.org/10.1016/S1474-6670(17)62897-0
• Bergson, H. (1934). La pensée et le mouvant Paris: PUF.
• Bourrier, M. (1996). Organizing maintenance work at two american power plants. Journal of Contingencies and Crisis Management, 2(4), 104-112.
• Bureau d'Enquêtes et d'Analyses – BEA. (2009a). Accident survenu le 1er juin 2009 à l’Airbus A330-203 immatriculé F-GZCP exploité par Air France (127 p., Rapport d’étape). Paris: BEA.
• Bureau d'Enquêtes et d'Analyses – BEA. (2009b). Accident survenu le 1er juin 2009 à l’Airbus A330-203 immatriculé F-GZCP exploité par Air France (105 p., Rapport d’étape 2). Paris: BEA.
• Bureau d'Enquêtes et d'Analyses – BEA. (2011). Accident survenu le 1er juin 2009 à l’Airbus A330-203 immatriculé F-GZCP exploité par Air France (117 p., Rapport d’étape 3). Paris: BEA.
• Bureau d'Enquêtes et d'Analyses – BEA. (2012). Accident survenu le 1er juin 2009 à l’Airbus A330-203 immatriculé F-GZCP exploité par Air France (230 p., Rapport final). Paris: BEA.
• Collins, H., & Pinch, T. (2010). O golem à solta Belo Horizonte: Fabrefactum.
• Daniellou, F. (1986). L'opérateur, la vanne et l'écran, l'ergonomie des salles de contrôle Paris: Editions de l'ANACT.
• Daniellou, F., Simard, M., & Boissières, I. (2010). Fatores humanos e organizacionais da segurança industrial (Traduzido do original Facteurs humains et organisationnels de la sécurité industrielle por R. Rocha, F. Duarte, F. Lima). Toulouse: ICSI. Recuperado em 5 de novembro de 2013, de http://www.FonCSI.org/fr/cahiers/
  » http://www.FonCSI.org/fr/cahiers/
• Dekker, S. W. A. (2003). Failure to adapt or adaptations that fail: contrasting models on procedures and safety. Applied Ergonomics, 34(3), 233-238. http://dx.doi.org/10.1016/S0003-6870(03)00031-0. PMid:12737923.
  » http://dx.doi.org/10.1016/S0003-6870(03)00031-0
• Dreyfus, H. L. (2012). A internet: uma crítica filosófica à educação a distância e ao mundo virtual Belo Horizonte: Fabrefactum Editora.
• Foushee, M. C. (1984). Dyads at 35,000 feet: factors affecting group processes and aircraft performance. The American Psychologist, 39(8), 885-893. http://dx.doi.org/10.1037/0003-066X.39.8.885.
  » http://dx.doi.org/10.1037/0003-066X.39.8.885
• France 3. (2012). Pièces à conviction Recuperado em 5 de novembro de 2013, de http://www.youtube.com/watch?v=kXMsmPQKaps
  » http://www.youtube.com/watch?v=kXMsmPQKaps
• Hollnagel, E., Woods, D. D., & Leveson, N. (2006). Resilience engineering. Aldershot: Ashgate.
• Hutchins, E. (1991). How a cockpit remembers its speed La Jolla: University of California.
• Hutchins, E. (1995). Cognition in the wild Massachussets: Institute of Technology.
• Hutchins, E. (2000). Distributed cognition San Diego: IESBS, University of California.
• Hutchins, E., & Klausen, T. (1996). Distributed cognition in an airline cockpit . In Y. Engeström, D. Middleton (Eds.), Cognition and communication at work Cambridge: University Press. http://dx.doi.org/10.1017/CBO9781139174077.002.
  » http://dx.doi.org/10.1017/CBO9781139174077.002
• International Aviation Safety Association Program – IASA. (2006). Stroking the Razor’s Edge – a possible explanation for Air France Flt 447? USA: Federal Aviation Administration. Recuperado em 6 de novembro de 2013, de http://www.iasa-intl.com/folders/belfast/AF447.htm
  » http://www.iasa-intl.com/folders/belfast/AF447.htm
• Jouanneaux, M. (1999). Le pilote est toujours devant. Reconnaissance de l’activité du pilote de ligne Toulouse, Octarès Editions.
• Jouanneaux, M., & Clot, Y. (2002). Pilotes de ligne: deux accidents et une question de métier. Cliniques Méditerranéennes, 66(2), 55-63. http://dx.doi.org/10.3917/cm.066.0055.
  » http://dx.doi.org/10.3917/cm.066.0055
• Lave, J. (1988). Cognition in practice Cambridge: Cambridge University Press. http://dx.doi.org/10.1017/CBO9780511609268.
  » http://dx.doi.org/10.1017/CBO9780511609268
• Lima, F. (2005). Norma e atividade humana: modelos dinâmicos da prescrição e historicidade das situações de trabalho. In Departamento Intersindical de Estatística e Estudos Socioeconômicos – DIEESE, Centro de Estudos Sindicais e Economia do Trabalho – CESIT (Org.), Trabalho e abordagem pluridisciplinar: estudos Brasil, França e Argentina (pp. 51-68). São Paulo: DIEESE.
• Llory, M. (1999). Acidentes industriais: o custo do silêncio. Rio de Janeiro: Multimais.
• Morel, G., Amalberti, R., & Chauvin, C. (2008). Articulating the differences between safety and resilience: the decision-making process of professional sea-fishing skippers. Human Factors, 2008(1), 1-16. http://dx.doi.org/10.1518/001872008X250683. PMid:18354967.
  » http://dx.doi.org/10.1518/001872008X250683
• Otelli, J. P. (2011). Erreurs de pilotagem (No. 5, Crash Rio-Paris, 285 p.). Levallois-Perret: Editions Altipresse.
• Rasmussen, J. (1997). Merging paradigms: decision making, management, and cognitive control. In R. Flin, E. Salas, M. E. Strub & L. Marting. Decision making under stress: emerging paradigms and applications Aldershot: Ashgate.
• Reason, J. (1990). Human error Cambridge: Cambridge University Press.
• Rizzo, A., Bagnara, S., & Visciola, M. (1987). Human error detection processes. International Journal of Man-Machine Studies, 27, 555-570.
• Rocha, R., Mollo, V., & Daniellou, F. (2015). Work debate spaces: a tool for developing a participatory safety management. Applied Ergonomics, 46(Pt A), 107-114. PMid:25109248.
• Scannella, S. (2011). Bases cérébrales du conflit visuo-auditif spatial et sémantique: études en IRM fonctionnelle et EEG (Thèse). Université de Toulouse, Toulouse, França.
• Scribner, S. (1986). Thinking in action: some characteristics of practical thought. In R. J. Sternberg & R. K. Wagner. Practical intelligence (pp. 13-30). Cambridge: Cambridge University Press.
• Suchman, L. (1987). Plans and situated actions: the problem of human/machine communication. Cambridge: Cambridge University Press.
• Terssac, G., Boissieres, I., & Gaillard, I. (2009). La sécurité en action Toulouse: Octarès, Coll MSH-T.
• Theureau, J. (2004). L’hypothèse de la cognition (ou action) située et la tradition d’analyse du travail de l’ergonomie de langue française. Activités (Vitry-sur-Seine), 1(2), 11-25. http://dx.doi.org/10.4000/activites.1219.
  » http://dx.doi.org/10.4000/activites.1219
• Vaughan, D. (1996). The challenger launch decision: risky technology, culture and deviance at NASA Chicago: Chicago UP.

Datas de Publicação

• Publicação nesta coleção
  21 Jun 2018
• Data do Fascículo
  Jul-Sep 2018

Histórico

• Recebido
  23 Nov 2016
• Aceito
  01 Maio 2017