A abordagem sociotécnica na investigação e na prevenção de acidentes aéreos: o caso do vôo RG-254

Sociotechnical approach to investigation and prevention of aircraft accidents: the case of flight RG-254

ARTIGOS

A abordagem sociotécnica na investigação e na prevenção de acidentes aéreos: o caso do vôo RG-254¹

Sociotechnical approach to investigation and prevention of aircraft accidents: the case of flight RG-254

Vitor Alexandre de Freitas Cardoso^I; Henrique Luiz Cukierman^II

^IUniversidade do Estado do Rio de Janeiro, Diretoria de Informática (Dinfo). Rio de Janeiro, Brasil

^IIUniversidade Federal do Rio de Janeiro, Coordenação dos Programas de Pós-Graduação de Engenharia (Coppe), Centro de Tecnologia. Rio de Janeiro, Brasil

RESUMO

Este artigo apresenta estudo de caso do acidente ocorrido com o vôo RG-254 da Varig, em setembro de 1989. Partindo de informações de investigações oficiais, publicações, material audiovisual, entrevistas com envolvidos no acidente e especialistas em segurança de vôo, os autores re-analisam o acidente com enfoque sociotécnico referenciado na teoria ator-rede e no conceito de acidente "normal". O texto apresenta novo entendimento para a investigação de acidentes na aviação criticando a tradicional repartição de causas entre os chamados fatores "humanos", "técnicos" e "operacionais" e sugere aplicação do conceito de multicausalidade que não se restringe à mera listagem de "fatores contribuintes", mas que analisa as relações entre atores-redes envolvidos no sistema de aviação em que ocorreu o acidente. O acidente do RG-254 é descrito como sintoma do rompimento de relações entre os atores que atuam no sistema.

Palavras-chaves: acidentes aeronáuticos, teoria ator-rede, acidente "normal".

ABSTRACT

This article presents a case study of the accident with Varig flight RG-254 in September 1989. Using as starting point the official investigation data, publications, audiovisual material and interviews with those involved in the accident as well as flight safety specialists, the authors re-analyze the accident through a sociotechnical focus, which is based on the actor-network theory and concepts of "normal" accident. The text presents a new understanding of aviation accident investigation and it reviews the traditional terms of investigation based on a rigid division between "human", "technical" and "operational" factors. It also suggests the application of the multi-causality concept, which is not restricted to a mere list of "contributing factors", but which analyzes the relationships among the actor-networks involved in the aviation system where the accident occurred. The RG-254 accident is described as a symptom of the rupture of relationship among those acting in the system.

Keywords: aviation accidents, actor-network theory, "normal" accidents.

Introdução: a investigação de acidentes aeronáuticos no Brasil

O objetivo deste artigo é rever as investigações do acidente ocorrido no dia 3 de setembro de 1989, no trecho entre Marabá e Belém, com o vôo RG-254 da Varig. Investigações prévias do evento são re-analisadas como fonte de possível aprendizado e, portanto, de novas contribuições para a prevenção de acidentes. De acordo com o Anexo 13 à Convenção de Aviação Civil Internacional de Chicago, intitulado "Investigação de Acidentes Aeronáuticos":

o único objetivo da investigação de um acidente ou incidente será a prevenção de acidentes e incidentes. Não é propósito desta atividade atribuir culpa ou responsabilidade.

O Serviço de Investigação e Prevenção de Acidentes Aeronáuticos (SIPAER) foi criado em 1951. Vinte anos depois, surgiu o CENIPA como seu órgão central. No Departamento de Aviação Civil (DAC), o elo com o CENIPA é a Divisão de Investigação e Prevenção de Acidentes Aeronáuticos (DIPAA), que tem a função de investigar os acidentes da aviação civil e emitir as recomendações de segurança aplicáveis, além de outras atividades que previnam os acidentes aeronáuticos. Por força do decreto nº 87.249, de 7 de junho de 1982, o CENIPA passou a ser uma organização autônoma. As autoridades da Aeronáutica substituíram o caráter policial dos trabalhos pelo objetivo de aprender com os acidentes:

(...) uma nova filosofia foi então criada e começou a ser difundida. Os acidentes passaram a ser vistos a partir de uma perspectiva mais global e dinâmica. A palavra inquérito foi incondicionalmente substituída. As investigações passaram a ser realizadas com um único objetivo: a 'prevenção de acidentes aeronáuticos'.²

Portanto, de acordo com sua missão declarada, a investigação do SIPAER busca apurar um acidente única e exclusivamente para prevenir futuras recorrências:

Todo procedimento judicial ou administrativo para determinar a culpa ou responsabilidade deve ser conduzido de forma independente das investigações do SIPAER. Esta natureza sui generis de investigação, que é conduzida pelo SIPAER, é conseqüência da aplicação e observância do estabelecido no Anexo 13 à Convenção de Chicago sobre Aviação Civil Internacional, recepcionada pelo ordenamento jurídico brasileiro e nas normas de sistema do Comando da Aeronáutica, bem como na Legislação que as precede e autoriza.³

De acordo com o Código de Ética do SIPAER, a separação de suas atividades das investigações jurídicas e criminais confere-lhe isenção e eficácia. Sua análise seria "técnica", desvinculada do juízo de valor que apura a culpa ou a responsabilidade. Por essa razão, o relatório final da investigação das causas do pouso forçado do PP-VMK foi remetido à Polícia Federal com o seguinte esclarecimento:

V - Pelo exposto, concluímos que os trabalhos desenvolvidos pelo CENIPA não se assemelham às diligências desenvolvidas pelos organismos de Segurança Pública, como também não possuem caráter judicial com vistas à apuração de responsabilidade civil ou criminal. É competência do CENIPA a orientação, a supervisão, o controle, o planejamento e a atualização do Sistema com a finalidade de incrementar e desenvolver os mecanismos de Prevenção de acidentes e de incidentes aeronáuticos, visando o aumento da Segurança de Vôo no País.

É importante dizer que, transcorridos quase vinte anos desde o acidente com o RG-254, o arcabouço das investigações permanece baseado em três grupos de fatores: técnicos, humanos e operacionais. Em 2006, foi concebido o novo Sistema de Gerenciamento Integrado da Prevenção de Acidentes Aeronáuticos (SIGIPAER) para atender:

a necessidade crescente de trabalhar com o maior número de informações possível e a oportunidade de se empregar toda a modernidade da TI em favor da segurança da atividade aérea.⁴

Dentre os documentos normativos que o consubstanciam, está a norma NSCA 3-6 - Investigação de Acidente Aeronáutico, Incidente Aeronáutico e Ocorrência de Solo, na qual não houve qualquer alteração, ou seja, o modo de investigar mantém-se baseado nas mesmas divisões em fatores pré-estabelecidos e com as mesmas restrições de abrangência que apontaremos adiante.

Em 2007, em seu sítio oficial⁵, o CENIPA continua afirmando que "o homem ainda é o grande 'vilão', responsável pelo sucesso ou insucesso da aviação". Diz, ainda, que os profissionais que desempenham as atividades inerentes ao sistema complexo do mundo aeronáutico "têm participado ativamente como um dos fatores contribuintes para a ocorrência de inúmeros acidentes aeronáuticos".

Entre os aspectos destacados neste artigo estão as críticas à maneira "fatorada" com que a investigação oficial lida com a noção de multicausalidade e à atribuição de culpa. A investigação oficial permanece estruturada em grupos de fatores técnicos, humanos e operacionais que acabam limitando o seu alcance. A abordagem sociotécnica adotada neste estudo introduz novos termos a serem considerados em investigações de acidentes.

No momento em que era concluída a revisão deste artigo, aconteceu outro acidente na mesma região do ocorrido com o RG-254, dessa vez, envolvendo o vôo 1907 da Gol. Essa não é a única coincidência. O leitor poderá perceber que, se a tragédia da queda do Boeing da Gol parece ter reiterado o insólito das circunstâncias do acidente com o Boeing da Varig (ambas as circunstâncias parecem "impossíveis" de ocorrer), as primeiras reações das autoridades aeronáuticas e da imprensa infelizmente coincidem nos mesmos erros. Só podemos nos lamentar de que, passados 17 anos do acidente da Varig, as explicações das altas autoridades requentem a mesma cantilena dos "fatores técnicos e humanos", enquanto a imprensa se repete na busca de um "vilão" a ser oferecido à execração pública.

Esse novo acidente mostra a atualidade de muitas das reflexões apresentadas neste texto e indica a necessidade de urgente ampliação do debate sobre esse tema.

Elementos metodológicos para a investigação sociotécnica de um acidente

Os autores desenvolveram estudo de caso de acidente com o vôo RG-254, em setembro de 1989 no Brasil. São múltiplas as razões que justificam a escolha do caso. Entre outras, vale destacar: a) a enorme repercussão do acidente, respaldada seja no número de aspectos envolvidos citados como inusitados, seja no número de vítimas fatais e de sobreviventes de pouso realizado em plena selva amazônica; b) a profusão de documentos e material informativo disponível sobre o acidente, c) as características adotadas na investigação oficial do acidente no setor aéreo, fragmentando a exploração da contribuição dos múltiplos fatores identificados como participantes do acidente.

Os materiais ou as fontes de informação explorados neste estudo incluem relatórios de investigação do acidente elaborados por organismos oficiais e profissionais da área, publicações e materiais audiovisuais divulgados na imprensa especializada e leiga, entrevistas com sobreviventes do acidente e especialistas em segurança de vôo, acesso a fontes de informações especializadas disponibilizadas em meio eletrônico. A lista detalhada de fontes consultadas e os respectivos endereços pode ser encontrada no texto completo da dissertação de mestrado (CARDOSO, 2004) que serve de base a este artigo. O estudo original inclui notas indicativas das fontes (declarações pessoais, publicações, relatórios oficiais, entrevistas etc.) de todas as afirmações apresentadas no relato do caso, assim como grande número de referências a documentos oficiais e páginas da internet dedicados à segurança na aviação.

As informações coletadas foram organizadas e re-analisadas com o apoio de enfoques teóricos da teoria ator-rede e do conceito de acidente "normal" do sociólogo Charles Perrow (1999). Essas abordagens são apresentadas a seguir:

O foco nas relações: a teoria ator-rede

Segundo John Law (1992):

...os agentes sociais nunca estão localizados unicamente em corpos mas, ao contrário, um ator é uma rede moldada por relações heterogêneas, ou um efeito produzido por este tipo de rede. O argumento é que pensar, agir, escrever, amar, trabalhar por um salário - todos os atributos que normalmente atribuímos a seres humanos, são gerados em redes que atravessam e se ramificam, ao mesmo tempo, no corpo e além do corpo. Daí o termo ator-rede - um ator é também, e sempre, uma rede. (p. 384)

Portanto, a teoria considera reducionistas as versões segundo as quais as relações materiais determinam as relações humanas ou vice-versa. Supõe, ainda, que o humano e o técnico são inseparáveis e que não há uma diferença fundamental entre pessoas e objetos. John Law (1992) argumenta que pessoas são o que são por serem uma rede ordenada de materiais heterogêneos:

Se você levasse de mim meu computador, meus colegas, meu escritório, meus livros, minha mesa de trabalho e meu telefone, eu não seria um sociólogo que escreve artigos, ministra aulas e produz 'conhecimento'. Eu seria uma outra coisa, e o mesmo é verdade para todos nós. Portanto, a questão analítica é essa: um agente é primariamente um agente porque habita um corpo que carrega conhecimentos, habilidades, valores e tudo o mais? Ou porque habita um conjunto de elementos (incluindo, obviamente o corpo), mas que se estende por uma rede de materiais, somáticos ou não, que envolvem cada corpo? (p. 383-384)

Em uma rede, cada ator é diferente do que era antes de se associar a outros atores, ou seja, um ator é modificado por suas relações. Portanto, um piloto-sem-avião é diferente de um piloto-com-avião e, da mesma forma, um avião-sem-piloto é diferente de um avião-com-piloto. Essa atitude analítica que obriga a não considerar em separado o piloto (o campo das "falhas humanas") do avião (o campo das "falhas técnicas") ou, melhor ainda, que tem de apreender de um mesmo "golpe" esse "quase sujeito", o "piloto-avião", ou esse "quase objeto", o "avião-piloto", aplica-se a todos os atores da rede. Ao discutir a relação entre o humano e a arma de fogo, Bruno Latour (1999) esclarece com muita propriedade a respeito desses híbridos de humanos e não-humanos, desses "quase sujeitos" e "quase objetos":

...quem é o ator: a arma ou o cidadão? Outra criatura (uma arma-cidadão ou um cidadão-arma). Se tentarmos compreender as técnicas presumindo que a capacidade psicológica dos humanos está fixada para sempre, não conseguiremos perceber como as técnicas são criadas ou, sequer, de que modo são usadas. Você, com um revólver na mão é uma pessoa diferente. (...) essência é existência e existência é ação. Se eu definir você pelo que tem (um revólver) e pela série de associações a que passa a pertencer, então você é modificado pelo revólver - em maior ou menor grau, dependendo do peso das outras associações que carrega. (p. 206)

À luz da teoria ator-rede, o que tem de ser analisado são as relações entre os diversos atores humanos e não-humanos que, combinados, justapostos, associados e, principalmente, indissociáveis, se propunham a levar a cabo a missão de partir de Marabá e chegar a Belém com conforto, economia e segurança em aproximadamente quarenta e cinco minutos. Algumas dessas relações não se mantiveram estáveis, sofreram modificações, enfim, desfizeram-se, e a missão fracassou.

A pontualização

Se explicamos um vôo sem incidentes como o resultado da estabilidade de uma rede obtida pela associação entre humanos e não-humanos, que a mantêm e a expandem, a queda do avião deve ser explicada como conseqüência do enfraquecimento e da ruptura dessas associações e, portanto, da desestabilização e do colapso da rede. Mas que rede é essa? Afinal, o que as pessoas fazem é apenas "pegar um avião". O que mais há por trás disso? Para responder a essa pergunta, é preciso recorrer ao conceito de "pontualização". John Law (1992) explica:

Por que apenas de vez em quando tomamos consciência das redes que estão por trás dos atores, objetos e instituições? Por exemplo, para a maioria de nós, e na maior parte do tempo, a televisão é um objeto simples e coerente com relativamente poucas partes aparentes. No entanto quando ela deixa de funcionar, rapidamente, ela se torna para esse mesmo usuário - e mais ainda para o técnico de manutenção - uma rede de componentes eletrônicos e intervenções humanas (...). (p. 384)

...se uma rede age como um bloco único, então ela desaparece, para ser substituída pela própria ação e pelo autor aparentemente simples daquela ação. Ao mesmo tempo, o modo como o efeito é gerado também é apagado: para aquele momento, isso não é visível nem relevante. Ocorre então que algo muito mais simples - uma televisão funcionando, um banco bem gerenciado ou um corpo sadio - surge, por um tempo, para mascarar as redes que o produzem. Os estudiosos da teoria ator-rede falam de tais efeitos simplificadores precários como pontualizações (...) (p. 385, grifo nosso)

Alguns tipos de ordenamento de redes tornam-se mais abrangentes, mais robustos e são executados mais amplamente. Formam "pacotes" aos quais podem ser atribuídas, de maneira sempre precária, características que parecem "inerentes", todavia mais ou menos estáveis, constituídas por um processo de "engenharia heterogênea". A partir desse ponto, se esses ordenamentos podem tornar-se, por exemplo, "agentes, dispositivos, textos, conjuntos de relações organizacionais relativamente padronizados - qualquer um ou todos esses" (LAW, 1992, p. 385), igualmente podem ser desfeitos. Ao chamar a atenção para a precariedade desses efeitos ordenadores, John Law (1992) acaba por enunciar as condições de possibilidade de um acidente:

(...) a engenharia heterogênea não pode estar certa de que todos [os ordenamentos] funcionarão conforme previsto. A pontualização é sempre precária, enfrenta resistência e pode degenerar em uma rede falha. (p. 385)

Voltemos à pergunta: quem voa? Quais os atores (ou melhor ainda, os atores-redes) que se tornam "invisíveis" com a pontualização da rede? O avião é montado a partir de uma infinidade de componentes. Por sua vez, a empresa de aviação possui prédios, licenças, funcionários de vários tipos, passageiros, aviões, ferramentas de manutenção, fornecedores de refeições e uma lista interminável de outros "componentes", parceiros e relações. Os pilotos (piloto e co-piloto) foram capacitados, têm habilidades específicas, licenças para pilotar determinados tipos de aeronave, vínculos empregatícios e muitas outras relações. Latour (1999) explica:

A atribuição a um ator do papel de primeiro motor de modo algum cancela a necessidade de uma composição de forças para explicar a ação. É por engano ou impropriedade que nossas manchetes proclamam: 'Homem voa' ou 'Mulher vai ao espaço'. Voar é uma propriedade de toda a associação de entidades, que inclui aeroportos e aviões, rampas de lançamento e balcões de venda de passagens. O B-52 não voa, a Força Aérea Americana voa. A ação não é uma propriedade de humanos, mas de uma associação de actantes⁶. (p. 209-210)

Portanto, quem voava não era o Boeing 737, mas a Varig (evidencia-se sua recente quase falência). Por outro lado, este artigo não se refere ao fato genérico de essa organização manter aviões tripulados trafegando entre aeroportos, mas a uma instância específica da atividade de transporte de passageiros dessa operadora. Tudo é específico: o avião, o trajeto, a data (e, portanto, por exemplo, as condições climáticas), os operadores em terra, os tripulantes e todos os demais atores da rede. Até mesmo o fato de estar ocorrendo um jogo de futebol de interesse de boa parte da população brasileira naquela data pode ter tido sua parcela de contribuição para o desfecho do vôo.

Uma passagem de avião identifica a instância de "deslocar-se de A até B" pelo número do vôo e pela data. RG-254 era uma classe de vôos, isto é, de operações de transporte aéreo de passageiros, partindo de São Paulo e chegando a Belém, com escalas. A parte alfabética do código, RG, significa rio-grandense e identifica a operadora Varig (Viação Aérea Rio-Grandense). O vôo RG-254 de 3 de setembro de 1989 é a instância que estamos estudando, ou seja, é a pontualização escolhida. Não é um ator, é a própria rede. Ao mesmo tempo, afirmações de que o "piloto aterrissou", "o avião sobrevoou" ou "a Varig informou" são o resultado da necessidade do uso de metonímias com a finalidade de evitar repetições de palavras e, portanto, são pontualizações, pois quem aterrissa é o conjunto formado por piloto, co-piloto, avião com combustível, pontos fixos sinalizadores, operadores em terra, aeroporto etc.

Apenas para exemplificar, o CENIPA é um dos atores-redes que emergem da "invisibilidade" que gozava enquanto a rota aérea funcionava sem problemas. O fracasso de um vôo torna "visíveis" os atores-redes e as relações de uns com os outros. A Boeing, os operadores de vôo, o Sindicato Nacional dos Aeronautas e a própria Varig, dentre outros, surgem em cena e passam a ser percebidos somente após o acidente.

Crítica à "neutralidade" e à "objetividade" dos fatos

Após o acidente, são produzidas histórias, seja por parte dos órgãos oficiais relacionados à aviação civil, seja por instâncias da justiça ou pela imprensa, que visam contar / espelhar "a verdade". Por ora, para ilustrar a "objetividade" dos fatos, vamos nos ater ao relatório final oficial elaborado pelo órgão de investigação e prevenção de acidentes. O relatório é aguardado pelas partes envolvidas no acidente como o documento técnico-científico produzido por experts capaz de dirimir todas as dúvidas sobre o acidente e suas causas. Bruno Latour (1987), ao se referir a textos que constituem fatos científicos, oferece subsídios para avaliar suas certezas com mais cautela:

O objetivo de convencer o leitor não é atingido automaticamente, mesmo que o escritor goze de alto prestígio; as referências têm de ser bem arranjadas, e as evidências contrárias inteligentemente desqualificadas. Nem mesmo todo esse trabalho é suficiente, por uma boa razão: seja o que for que um artigo faça à literatura anterior, a posterior lhe fará o mesmo. (...) uma afirmação é fato ou ficção não por si mesma, mas apenas pelo que outras fazem delas posteriormente. (p. 38)

Por analogia, pode-se afirmar que o relatório final do CENIPA não é constituído, em si mesmo, de "fatos científicos". Ele é entendido como tal justamente porque os que o aguardam lhe atribuem essa característica. Assim, ao citá-lo fartamente em processos administrativos e judiciais, usando suas afirmações como sendo "verdades constatadas", as partes contenciosas as tornam ainda mais "constatadas".

Os objetivos declarados do órgão de investigação são a neutralidade e a busca da fidelidade ao ocorrido, mas os participantes de sua elaboração e os elementos de análise considerados relevantes são alistados por meio de negociações complexas, muitas vezes nem sequer percebidas como uma negociação. Por exemplo: quem é designado para a investigação? O conteú­do e as conclusões do relatório surgem do esclarecimento de opiniões contrárias umas às outras, de análises em laboratório e de sua interpretação por especialistas que informam os resultados obtidos. Enfim, o conteúdo do relatório oficial não é a óbvia realidade dos fatos. É o resultado do desfecho de uma série de controvérsias resolvidas ao longo da investigação, ou seja, é o resultado das forças de argumentação de humanos e não-humanos e, portanto, o relatório não é "naturalmente técnico" (nem "neutro"). A respeito do texto técnico, Latour (1987) esclarece:

A distinção entre literatura técnica e a restante não é obra de fronteiras naturais; trata-se de fronteiras criadas pela desproporcional quantidade de elos, recursos e aliados disponíveis. (p. 62)

O cyborg

Para alguns autores, uma nova ordenação social, científica e tecnológica emerge como uma nova condição, a condição "pós-humana",/ na qual o humano se constitui como um híbrido de organismo e máquina: o cyborg .

O termo cyborg consagrou-se na área acadêmica graças ao artigo de Donna Haraway (1991), The Cyborg Manifesto , até hoje uma das mais influentes contribuições da área. Em 1963, pesquisando as maneiras de "engenheirar" o ser humano para o vôo espacial tripulado, a Nasa publicou um relatório no qual cunhou o termo cyborg a partir das sílabas iniciais de cybernetic organism . Donna Haraway (1991) aproveitou para conferir surpreendente dimensão política e conceitual ao termo. O cyborg , definido como um híbrido de máquina e organismo, constitui-se como uma criatura tão socialmente real quanto ficcional, a quem cabe habitar um mundo ambiguamente natural e construído. No mundo do terceiro milênio, no mundo da alta tecnologia, ainda segundo Donna Haraway (1991), somos todos quimeras, somos todos teorizados e fabricados como híbridos de máquina e organismo, somos todos cyborgs . Nossa cultura, a cultura das tecnologias da informação de uma forma mais ampla e a dos computadores em particular, é uma cultura cyborg , na qual não há diferenças práticas entre pessoas e objetos.

Por meio da ligação provida pela interface humano-máquina, entendemos que o piloto, o co-piloto e o avião são imbricados uns aos outros, conectados por meio de emissores e receptores de mensagens, provendo informações ou decodificando-as, reagindo ou não a elas. São botões, olhos, teclas, alavancas, ouvidos, pedais, telas, narizes, visores de cristal líquido, mãos, braços, pernas e todo o corpo, fones de ouvido, alto-falantes, microfones, sinais sonoros, vibrações, bocas, odores, temperaturas e diversos outros "conectores". A bordo, o piloto e o co-piloto são cyborgs , com capacidade de transportar, voando. O avião, por sua vez, tornou-se mais semelhante à Discovery "governada" por HAL, o computador do filme 2001 - Uma Odisséia no Espaço . Embora não seja uma "mente", o computador de bordo também tem "responsabilidade", pois toma decisões sobre o vôo - automaticamente - a partir da informação de uma direção, de uma distância e dos demais parâmetros necessários. O elemento "puramente" humano passou a interagir (e a confundir-se!) com um computador.

Acidente "normal"

As definições de sistema, na teoria geral de sistemas, utilizam expressões como "unidades inter-relacionáveis" "de partes e elementos interdependentes" e "inter-relação das partes"⁷.

Charles Perrow (1999) afirma que tecnologias de alta complexidade, como as plantas de energia nuclear, armas nucleares, produção de DNA recombinante ou navios transportando cargas altamente tóxicas ou explosivas, por exemplo, têm alto risco potencial para catástrofes. Segundo ele, esses sistemas têm o potencial de apresentar interações complexas, ou seja, aquelas em que um componente pode interagir com outros componentes em seqüência não esperada ou não planejada e, também, não visível ou não imediatamente compreensível. Por isso, acidentes nesses sistemas são inevitáveis ou "normais". Essa possibilidade é descrita como característica desses sistemas e não de uma peça ou de um operador em particular. Perrow a denomina "complexidade interativa" e a explica conforme se segue:

Se complexidade interativa e forte acoplamento - características dos sistemas - produzirão inevitavelmente um acidente, acredito que se justifica que o chamemos de acidente normal, ou acidente de sistema. A estranha denominação acidente normal tem a intenção de indicar que, dadas as características dos sistemas, múltiplas e inesperadas interações de falhas são inevitáveis. Esta é uma expressão de uma característica integral de um sistema, e não uma declaração de freqüência. Morrer é normal para nós, mas só morremos uma vez. Acidentes de sistemas são incomuns, até mesmo raros; mas, se eles podem produzir catástrofes, isso não é assim tão tranqüilizador. (Perrow, 1999, p. 5)

O reconhecimento da complexidade interativa dos sistemas permite uma melhor compreensão sobre acidentes:

É possível analisar essas características especiais e, ao fazê-lo, ganhar uma compreensão muito melhor do porquê dos acidentes nesses sistemas, e do porquê eles sempre acontecerão. Se sabemos disso, então ficamos em melhor posição para argumentar que certas tecnologias deveriam ser abandonadas, e que outras, as quais não podemos abandonar porque construímos muito de nossa sociedade em torno delas, deveriam ser modificadas. O risco nunca será eliminado de sistemas de alto risco e, na melhor das hipóteses, não eliminaremos mais do que alguns poucos desses sistemas. No entanto, deveríamos no mínimo parar de culpar as pessoas erradas e os fatores errados, bem como parar de tentar consertar os sistemas de uma maneira que só os torna ainda mais perigosos. (ibidem , p. 4)

Perrow (1999) chama a atenção para processos cujo desenrolar é rápido, que não podem ser desligados, e nos quais os componentes que falharam não podem ser isolados dos demais. É o que Perrow chama de "acoplamento forte", típico de sistemas em que os processos não podem esperar, pois seus resultados ou produtos sofrem alteração com o passar do tempo ou têm um tempo de transformação definido (como no caso de uma reação química, por exemplo) e a seqüência de operações a serem efetuadas é mais rígida (como no caso de uma instalação nuclear) do que em sistemas cujo acoplamento é mais fraco. Além disso, de forma geral, são processos cujo projeto permite apenas uma forma de atingir o objetivo (por exemplo, uma instalação nuclear não pode utilizar carvão nem óleo combustível).

Charles Perrow afirma que, a despeito de toda a segurança obtida com a alta qualidade dos equipamentos dos aviões, com a redundância⁸ e com os projetos razoavelmente sensíveis aos problemas dos "fatores humanos", os acidentes aéreos irão acontecer. Estudos tradicionais indicam que de 50 a 70 por cento dos acidentes originam-se de erro humano. Ao criticar um desses estudos, Perrow aponta seu ceticismo quanto à classificação das causas dos acidentes aéreos em "erro do piloto", pois reconhece que a expressão engloba convenientemente todos os percalços cuja verdadeira causa é incerta, complexa ou "embaraçosa" para o sistema. Afirma ainda que a incerteza e a complexidade são causas identificadas e que "embaraçosa" é uma forma alternativa de dizer "culpem a vítima" ao invés de culpar os donos do sistema:

Portanto, podemos concordar (...) que a atribuição de erro ao piloto é um conveniente 'saco-de-gatos'. Erros de pilotos ou de tripulantes com certeza existem. Pilotos não são mais infalíveis do que projetistas ou empreiteiros. Mas a complexidade e o acoplamento do sistema parecem responder por um significativo número de acidentes. (ibidem , p. 134)

Enfim, se o acidente é "normal", conforme preconiza Charles Perrow (1999), temos que aprender a conviver com ele. Como aprender a conviver com um artefato gigantesco que "por um bit" pode produzir uma catástrofe? A cada acidente ocorrido, é preciso que haja uma investigação que traga, efetivamente, os elementos de aprendizado. É importante não lançar mão do artifício simplório de se culpar a vítima. Além disso, para que esse aprendizado possa ser apropriado pelo maior número possível de pessoas às quais cabe contribuir para a prevenção de acidentes, é preciso que a investigação seja "aberta" e, portanto, não deve ser tratada como questão de segurança nacional.

Convivemos, num passado recente, com acidentes ambientais causados por vazamentos de óleo de dutos e terminais de derivados de petróleo, com "apagões" e, especificamente em relação aos artefatos que voam, com o acidente no lançamento do VLS-1 (Veículo Lançador de Satélites), ocorrido em Alcântara em 2003, de cuja investigação a sociedade civil pouco ou nada participou. A despeito de todo o avanço que se tenha alcançado, ainda temos muito a aprender sobre como aprender com os acidentes.

Resultados e discussão

O Acidente

O vôo RG-254 ia de São Paulo a Belém com escalas em Uberaba, Uberlândia, Goiâ­nia, Brasília, Imperatriz e Marabá. O piloto e o co-piloto assumiram a aeronave, de matrícula PP-VMK, em Brasília. No último trecho, Marabá-Belém, a operação da aeronave foi assumida pelo piloto, que leu o Rumo Magnético na Folha de Planejamento de Vôo: 0270. Ele ajustou o valor no equipamento do avião para 270, sentido leste-oeste. O co-piloto ajustou o equipamento no seu lado do painel do avião para o mesmo valor. O rumo correto a ser ajustado seria 027, sentido sudoeste-nordeste (se fosse zero, seria sul-norte).

A Varig havia mudado o sistema computadorizado (em terra) e a representação do rumo no documento usado pelos pilotos (impresso por esse sistema) incluía um zero a mais à direita do número, em verdade uma casa decimal usada sem a vírgula que lhe antecederia e que, portanto, deveria ser desprezada. Começava aí uma série de pequenos eventos que, justapostos, combinados e interagindo entre si de forma inesperada iriam resultar no acidente.

Donald Mackenzie (1996) se refere aos efeitos de pequenas diferenças desse tipo sobre "máquinas inteligentes" quando discute a introdução de computadores digitais ou, mais genericamente, de dispositivos eletrônicos programáveis em sistemas complexos:

Sistemas digitais são caracterizados pela descontinuidade de efeitos como função de suas causas. Há uma amplificação não usual dos efeitos de pequenas mudanças. A mudança de um bit de informação pode ter efeitos devastadores. (p. 209)

Algumas medidas de redução de custos por parte da Varig sobrecarregavam os pilotos, tais como fazer com que os aviões permanecessem em torno de apenas quinze minutos nos aeroportos, bem como reduzir o pessoal de apoio em terra. Como tinham que cuidar de várias tarefas, a recomendação da empresa para que os pilotos realizassem uma checagem do plano de vôo em relação a uma carta de navegação acabou não sendo cumprida naquele dia.

Às 17h35, hora local, o PP-VMK decolou. Nem o piloto nem o co-piloto verificaram a posição do sol naquela hora. Afinal, já havia muito tempo que não se usava esse tipo de referencial para navegação. Uma outra referência para a orientação do vôo teria sido o sinal emitido em Tucuruí com o propósito de orientar aviões. Localizado à esquerda na rota de Marabá a Belém, naquele fim de tarde, por conta do erro de navegação, postou-se à direita da aeronave. No entanto, o piloto não confirmou esse sinal porque Tucuruí não era um ponto marcado na navegação da Varig para aquele trecho. Também se costuma verificar o rumo a adotar em cartas de navegação existentes a bordo das aeronaves e que se classificam, quanto à altitude do vôo, em cartas de "baixa" ou de "alta". Para o vôo RG-254 estava estabelecida uma altitude que determinava o uso destas últimas. Todavia, o trecho Marabá-Belém, não constava das cartas de navegação de alta altitude (tais mapas eram confeccionados para atender os interesses da navegação aérea internacional, cujas rotas não abrangiam esse trecho, de interesse unicamente doméstico).

Às 17h58, o piloto pediu permissão para pousar em Belém e a obteve⁹, mas permaneceu sem contato pela freqüência de longo alcance (HF) durante aproximadamente 20 minutos. Às 18h20, informou que continuava sem contato pela freqüência de menor alcance (VHF) e solicitou permissão para prosseguir descendo, sendo novamente autorizado. Às 19h06, o RG-254 informou estar com 01h40 de autonomia e o Centro de Controle de Área (ACC)¹⁰ quis saber se a aeronave estava recebendo marcações (sinais emitidos para orientação) de Belém. A resposta foi que somente as radiodifusoras locais estavam sendo recebidas. O Centro Belém autorizou a descida para 2000 pés (aproximadamente 600 metros). Embora não houvesse sequer um sinal da aproximação do avião, a autorização foi concedida porque:

quando o piloto solicita autorização de início de descida, a aeronave ainda está a uma distância tal que os tripulantes não podem ver as luzes da cidade.¹¹

Perguntado se havia algum problema técnico com a aeronave¹², o piloto respondia apenas "aguarde".

O relatório final do Centro Nacional de Prevenção de Acidentes Aeronáuticos (CENIPA), órgão do governo responsável pela investigação, não se refere a nenhum contato entre Belém e o avião entre 19h06 e 19h42. Foram aproximadamente 40 minutos sem contato direto com um avião autorizado a voar a 600 metros de altitude, que deveria ter pousado havia 25 minutos! Durante o tempo em que ficou sem travar contato, o piloto tentou localizar-se por mapas de navegação, pelo radar na função mapeamento, e pela sintonia com as estações comerciais de rádio de Belém. Não conseguiu. Passou, então, a tentar identificar alguma pane nos instrumentos de rádio-navegação. Às 19h42, um Coordenador de Busca e Salvamento assumiu a posição no Centro Belém e estabeleceu contato com o RG-254.

Como o PP-VMK havia decolado às 17h35 e o tempo de vôo estimado era de aproximadamente 45 minutos, deveria ter chegado às imediações do aeroporto por volta das 18h20. Como não chegou nos trinta minutos subseqüentes à hora prevista, foi declarado pelo ACC de Belém em situação de "Incerteza". Por mais que o piloto quisesse esconder que estava perdido, já estava claro para todos os que haviam estabelecido contato que havia algo muito estranho com aquele vôo. Somente quatro horas após a decolagem, foi declarada a fase de "Perigo".

O Centro de Belém não conseguiu contato por VHF. Soube que a aeronave não estava recebendo marcações dos auxílios de Belém e não obteve resposta a várias chamadas para a aeronave. Então, acionou o Sistema de Chamada Seletiva (SELCAL¹³) com sucesso e se satisfez com a informação do comandante de que o vôo prosseguia para Santarém, muito distante da rota original, inexplicavelmente.

Por sua vez, a Varig também acompanhava sua programação de vôos através de um setor então conhecido por "Coordenação", que, eventualmente, acionava as aeronaves, via sistema de comunicação de longo alcance conhecido pela sigla HF. Entretanto, naquele dia, a aeronave ultrapassou o tempo de vôo estimado pelo piloto no seu contato inicial sem que o setor responsável efetuasse qualquer chamada para alertar, informar ou auxiliar a tripulação.

Naquele mesmo domingo, com início marcado para as 17h, a seleção brasileira de futebol jogava uma partida decisiva em sua classificação para a Copa do Mundo de 1990, contra a seleção do Chile, no estádio do Maracanã. No domingo seguinte ao do acidente, em 10 de setembro de 1989, liam-se no jornal O Globo as palavras de um piloto a respeito do que podia ser relevante em relação ao futebol:

Todo mundo estava escutando o jogo, inclusive eu. Cheguei a comentar com o co-piloto que a aviação naquele dia estava um perigo. Até o controlador de vôo estava ouvindo o jogo . (grifo no original)

Além disso, um pouco depois das 18h, o Brasil marcou um gol e, em torno de 18h30, uma torcedora lançou um foguete sinalizador que explodiu próximo ao goleiro chileno, o que causou a interrupção do jogo. A seguir, a seleção chilena deixou o campo e, próximo às 19h, o juiz deu o jogo por encerrado. Na época, as emissoras de rádio comerciais eram obrigadas, por lei, a informar, em intervalos regulares de tempo, seu prefixo, a freqüência em que transmitiam e sua localização, justamente para poderem ser utilizadas como auxílios na orientação de navegantes. E, de fato, essa foi uma das formas pelas quais o piloto e o co-piloto tentaram localizar-se. Sintonizaram o equipamento do avião na freqüência de determinadas emissoras, mas, em função de um fenômeno chamado "propagação ionosférica", receberam sinais de outras, que transmitiam na mesma freqüência das que eram procuradas, mas a partir de municípios muito mais distantes do que aqueles dos quais deveriam ter recebido as transmissões. Além disso, essa mesma reflexão de ondas, provocada pelas condições meteorológicas, fazia crer que o sinal vinha de uma direção (e sentido), quando, na verdade, vinha de outra. E, como se não bastasse, muitas das rádios estavam transmitindo o jogo de futebol e, no calor da emoção causada pelo incidente em campo, seus locutores esqueceram-se de informar seu prefixo e todas as demais informações. Por causa disso, a tripulação não pode se assegurar de que havia conseguido localizar o sinal esperado. Finalmente, depois de longa busca por dados que pudessem melhor orientá-los, o co-piloto consultou uma carta de navegação e verificou que o rumo de chegada em Belém era 027 e não 270, o que confirmou com um segundo mapa.

Durante seus últimos trinta minutos de vôo, o RG-254 recebeu diversas marcações de rádio emitidas continuamente por equipamentos em terra, chamados NDB's (Non-Directional Beacon), com o objetivo específico de orientar aeronaves. Esses emissores geram também um sinal de identificação em código Morse que consiste em duas ou três letras, repetidas três vezes a cada 30 segundos. Os pilotos do PP-VMK, esperando receber o sinal de Carajás, captaram o sinal emitido em Barra do Garças, no Mato Grosso. Procuraram também sinais emitidos de Marabá, mas os receberam de Goiânia, que emitia na mesma freqüência e cuja identificação em código Morse não era recebida de forma contínua. Por mais de uma vez, a freqüência procurada com vistas à localização foi encontrada, mas, em todos os casos, a origem do sinal era diferente da suposta e, portanto, se considerada, só poderia levar a conclusões erradas. Coincidências!

Em entrevista ao jornal O Globo , em 10 de setembro de 1989, o comandante do RG-254 revelou que duas semanas antes havia se envolvido em pequeno acidente, em Paramaribo, no Suriname. Naquela ocasião, de acordo com suas palavras, à noite, no pátio dentro da área de manobra, a ponta da asa da aeronave que conduzia raspou uma escada que seria utilizada pelos ocupantes de uma outra aeronave que estava pousando. Afirmou também que, em conseqüência das pressões que a Varig vinha exercendo sobre os pilotos, ficou receoso quanto à possibilidade de a companhia vir a demiti-lo caso revelasse novo problema, dessa vez, o de um avião perdido entre Marabá e Belém. Teria sido esta a razão pela qual havia tentado a todo o custo resolver o problema sozinho. Porém, o que ele não sabia é que vários eventos, os quais individualmente poderiam ser considerados insignificantes, se combinariam de tal maneira que ele e seu co-piloto, sem alternativa, acabariam sendo obrigados a efetuar manobra inusitada para um Boeing 727. Para aquele gigante automatizado, não existiam instruções a respeito de procedimento tão excepcional quanto uma tentativa de pouso controlado sobre as copas das imensas árvores amazônicas.

O pouso forçado na floresta amazônica ocorreu em São José do Xingu, estado do Mato Grosso, a 1.100 quilômetros do destino pretendido. O desconhecimento sobre sua rota era tal que o avião só foi localizado cerca de 44 horas após o acidente. Dentre os 54 ocupantes, 12 faleceram, 17 ficaram gravemente feridos e 25 tiveram ferimentos leves.

Os diálogos registrados na caixa-preta revelam a dramaticidade dos últimos momentos antes do impacto do pouso forçado. Ao comunicar aos passageiros que havia ocorrido uma pane dos sistemas de bússola, o piloto dava a entender que o(s) problema(s) era(m) técnico(s). Mas, ao responder a um colega de profissão da mesma companhia, foi evasivo, afirmando que a bússola indicava uma proa diferente da de Belém, e omitiu que, embora tardiamente, já havia descoberto que ele e o co-piloto haviam introduzido um valor errado para esse parâmetro de vôo. A bússola simplesmente mostrava que o avião seguia em direção e sentido ajustados pelos tripulantes¹⁴.

As conclusões da investigação oficial e a "neutralidade" técnica

O relatório final da análise do acidente do vôo RG-254 apresenta os "fatores contribuintes", divididos em "humano", "material" e "operacional". Na primeira das três classificações, foram identificados nove fatores concernentes a erros cometidos pelos pilotos, todos de ordem psicológica. A pesquisa concluiu pela não existência de "fatores materiais" e, por fim, na terceira categoria, com sete itens, cinco foram atribuídos aos pilotos, um ao plano de vôo computadorizado e outro à falta de um contato por rádio por parte da coordenação de vôo da Varig. Em suma, de um total de dezesseis "fatores contribuintes", concluiu-se que quatorze correspondiam à forma de pensar ou de agir dos pilotos. Os outros dois foram atribuídos à Varig, um pela má representação do rumo magnético (com quatro dígitos em vez de três) e outro pela falta de contato com os pilotos mesmo após o significativo atraso do pouso em Belém. Todos os "fatores contribuintes" são apresentados associados a quem os originou, isto é, aos pilotos ou à Varig. Dessa forma, o CENIPA expede o certificado de posse das obras (causas) a seus obreiros (culpados).

É digno de nota mencionar que um exemplar do relatório encontra-se integralmente anexado ao processo iniciado pelo Ministério Público Federal contra o piloto e o co-piloto¹⁵. Portanto, como se vê, apesar do esforço para ser apenas "técnico", leia-se "neutro", o conteúdo do relatório é apropriado até mesmo pelos tribunais, sendo traduzido (ou traído!) de acordo com os objetivos de quem o cita. Suas conclusões foram utilizadas como argumentos tanto pela defesa quanto pela acusação no processo judicial movido contra o piloto e co-piloto. Foi também utilizado pelos próprios juízes em suas decisões.

Apesar da insistência do CENIPA na "neutralidade" de seu relatório final, a teoria ator-rede nos fornece subsídios para afirmar que ela não é possível. Primeiramente, porque a neutralidade faria supor uma separação apriorística entre o técnico e o social. Mais ainda, a suposta "neutralidade" também fica em xeque pelo fato de que o órgão não tem controle sobre as apropriações do seu texto por advogados, promotores e juízes. E estes últimos são produtores de textos jurídicos que têm efeito social, isto é, sobre a vida das pessoas. O CENIPA não tem como separar o "técnico" do policial e do jurídico. Ironia, neste caso, é que as autoridades aeronáuticas insistem em informar que existe uma clara divisão entre seus órgãos ou procedimentos. Há os que podem punir (Inquérito Administrativo) e os que não o fazem em hipótese alguma (CENIPA). Mas é com base no que conclui o segundo que a justiça criminal condena.

Reducionismo para culpar versus desvanecimento de fronteiras para aprender

Ao longo dos processos tradicionais de identificação de causas e da conseqüente atribuição de culpas, os atores da rede que mantinha o vôo funcionando tornam-se partes estanques umas em relação às outras e se envolvem em controvérsias, em um esforço de se livrarem da imputação de penas. Nos casos em que houve falha na interação entre o humano e a máquina, esses contraditórios procuram estabelecer fronteira entre "fatores técnicos" e "fatores humanos", procuram estabelecer traçado que exclua cada um dos oponentes da "área de culpa". Essa preocupação leva cada parte a excluir algumas das causas ou a lhes atribuir gradações de importância, dando ênfase às que lhes convêm, o que pode fazer com que se deixe de identificar algumas delas. Por outro lado, as causas eleitas pelos contenciosos são minuciosamente analisadas e discutidas.

O acidente brasileiro de 1989 com o Boeing 737-200 tem semelhanças extraordinárias com o acidente ocorrido em 1992, na França, envolvendo um A320 da Airbus, no qual parece também ter havido problema de interação entre o homem e a máquina e não de mau funcionamento de algum equipamento. No caso francês, o jato chocou-se contra uma montanha quando efetuava os procedimentos de aproximação do aeroporto à noite. A provável causa foi a introdução de um valor errado pelos pilotos nos sistemas computadorizados do avião. A descrição de Mackenzie (1996, p. 204) evidencia as semelhanças com o acidente do RG-254:

Incidentes aéreos também são casos em que tipicamente não há evidência de mau funcionamento técnico, mas onde os problemas parecem advir da interação do humano com um sistema automatizado. O mais recente desses acidentes foi foco de intenso e minucioso exame porque envolveu o primeiro da nova geração do altamente computadorizado avião 'fly-by-wire', o Airbus A320, um dos quais se chocou contra um terreno montanhoso após uma descida rápida demais, à noite, com mau tempo, no Aeroporto de Strasbourg-Entzheim. (...) a hipótese central dos investigadores é de que o piloto e o co-piloto, ambos mortos no acidente, podem ter tentado instruir o sistema de controle-de-vôo para que efetuasse a descida a um ângulo suave de 3,3º mas, por engano, instruíram-no a descer à taxa extremamente elevada de 3300 pés por minuto.

As causas de acidentes são pesquisadas na busca de explicação linear, seqüencial, com fronteiras bem definidas. Os investigadores usam sistematicamente forma assimétrica de analisar fatores, atribuindo diferentes graus de influência a cada um deles, dividindo-os em humanos e técnicos. Mackenzie (1996, p. 202) acrescenta de forma esclarecedora:

Essas disputas de atribuição de culpa turvam aquele que é tipicamente o ponto chave. Muitos dos sistemas envolvendo computadores, que sejam críticos quanto à sua segurança, baseiam seu funcionamento seguro na correção do comportamento tanto de seus componentes técnicos quanto de seus componentes humanos. Assim como a falha de componentes técnicos é tipicamente esperada como uma contingência previsível (contra a qual se criam defesas duplicando ou triplicando suas partes chave), a falha humana também deveria ser esperada e, tanto quanto possível, permitida.

Em um vôo estão associados os passageiros, a empresa de aviação e o Estado (por meio de regulação e infra-estrutura). O avião e os tripulantes são parte da empresa de aviação. A empresa construtora da aeronave está associada à aeronave até pela forma como a denomina: um Boeing, um Airbus etc. Assim, um passageiro voa num Boeing da Varig, uma empresa que "prima pela segurança, tem ótimos pilotos, e efetua serviços de manutenção em aeronaves estrangeiras em solo brasileiro"¹⁶. E se um piloto da Varig falhar? Afinal, quem voa? Latour (1999, p. 221-222) surpreende a este respeito ao afirmar que:

os artefatos reais são sempre partes de instituições, hesitantes em sua condição mista de mediadores, a mobilizar terras e povos remotos, prontos a transformar-se em pessoas ou coisas, sem saber se são compostos de um ou de muitos, de uma caixa-preta equivalente a uma unidade ou de um labirinto que oculta multiplicidades (MACKENZIE, 1990). Os Boeings 747 não voam, são as linhas aéreas que voam.

O fato de haver uma rede sustentando a execução do vôo não implica na diluição da responsabilidade e, portanto, que não se deva punir ninguém por princípio. Ao contrário, todos devem assumir sua responsabilidade perante a sociedade e responder por seus erros. As diversas causas devem ser entendidas de forma sistêmica, com enfoque na interdependência entre os componentes do sistema e na interação entre as falhas. Em suas conclusões do capítulo sobre morte acidental relacionada a computador, Mackenzie (1996, p. 210) afirma que:

Mortes acidentais relacionadas com computador parecem ser causadas mais por interações de fatores técnicos e cognitivos/organizacionais do que apenas por fatores técnicos; acidentes relacionados com computador podem, portanto, freqüentemente ser melhor entendidos como acidentes de sistema.

Vale a pena apontar uma aparente contradição na lógica corrente do alcance das investigações. Se, por exemplo, um piloto arremessa propositalmente um avião contra um edifício, parece não haver o que discutir. Não é óbvio que a culpa é do piloto? Pouco há que se investigar, além do fato de seus problemas psicológicos não terem sido identificados a tempo. No entanto, no caso da tragédia do World Trade Center, parte da complexidade do sistema de aviação foi claramente apontada. Os aeroportos, por exemplo, foram destacados como parte do sistema e as falhas em sua segurança emergiram na discussão com conseqüências em todo o mundo. Pouco se falou dos pilotos que tomaram as aeronaves de assalto e as conduziram contra os prédios. Por outro lado, nesse caso emblemático, as relações "institucionais" da organização terrorista com seus "pilotos" (clandestinos) foram amplamente explicitadas. E as investigações tiveram abrangência suficiente para alcançar outro continente, onde possivelmente estava a pessoa apontada como responsável pelo evento.

Enquanto o aprendizado coletiviza, a acusação individualiza. O estabelecimento de fronteiras bem definidas entre "fatores humanos" e "fatores materiais (ou técnicos)" e a atribuição de culpa exclusivamente ao(s) piloto(s) constituem uma forte ameaça à oportunidade de aprendizado, isto é, de obtenção de condições de maior segurança na aviação. Com base nessa divisão, se o piloto foi "o culpado" e morreu no acidente, "nada há a fazer". Se sobreviveu e foi eliminado da aviação, o "mal foi sanado" e, de novo, nada mais há a fazer ou aprender. Especificamente sobre o piloto, na semana do acidente, o jornalista Franklin Martins afirmou, em tom de repreensão, pelo Sistema Brasileiro de Televisão (SBT):

O Ministério da Aeronáutica podia adotar uma providência, mandar incluir no currículo das escolas que formam pilotos, uma nova matéria: humildade. Quando um piloto se sentir perdido lá em cima com um avião de passageiros, o melhor é reconhecer o erro, dar a mão à palmatória e pedir socorro. Afinal, modéstia e água-benta nunca fizeram mal a ninguém.

O CENIPA declara que "é da análise técnico-científica de um acidente ou incidente aeronáutico que se retiram valiosos ensinamentos" e que "esse aprendizado, transformado em linguagem apropriada, é traduzido em Recomendações de Segurança". Porém, vale a pena abordar sociotecnicamente como se constitui a absoluta confiabilidade da análise técnico-científica na medida em que seus resultados são tidos como "neutros" e "objetivos". Bruno Latour (1987) esclarece-o quando, ao referir-se ao trabalho de cientistas e engenheiros, mostra que "Natureza" e "Ciência" só podem ser compreendidas como construções, como resultados de longos embates ocorridos em meio a inúmeras controvérsias. Somente quando elas se encerram, graças à mobilização de inúmeros aliados na formação de uma rede cujas relações sejam fortes o suficiente para consolidarem-na e manterem-na estável, é que a "verdade científica" se estabelece. Mais especificamente, Latour (1987, p. 258) propõe duas regras metodológicas a respeito de Natureza e Sociedade:

Como a solução de uma controvérsia é a causa da representação da Natureza, e não sua conseqüência, nunca podemos utilizar essa conseqüência para explicar como e por que uma controvérsia foi resolvida. Como a solução de uma controvérsia é a causa da estabilidade da sociedade, não podemos usar a sociedade para explicar como e por que uma controvérsia foi dirimida. Devemos considerar simetricamente os esforços para alistar recursos humanos e não-humanos.

Ao refletirmos sobre essas regras, apercebemo-nos de que, ao contrário do que Latour adverte e de acordo com nossa formação tradicional, tem-se a impressão de que a natureza é a causa óbvia da conclusão a que chegam os cientistas. Dessa forma, não notamos que suas representações, que nos vão sendo transmitidas ao longo da vida, uma vez assimiladas, passam a ser percebidas como uma "essência", algo que sempre existiu, mas que apenas ainda não havia sido descoberto ou inventado pelo cientista/engenheiro. É assim que funciona o senso comum: entendemos que há uma natureza e que ela é aquilo que os cientistas conseguem exprimir. A Ciência, por sua vez, baseia-se nas leis dessa natureza. E, se é a Ciência que vai explicar quais foram as causas de um acidente, então, aos cientistas - no caso, técnicos e engenheiros especialistas - é concedido todo o poder.

Mas não é difícil compreender o que diz Latour quando se acompanha a marcha das investigações, ao longo das quais surgem várias controvérsias. Para superá-las, são construídos argumentos baseados em "fatos científicos" e em representações produzidas por instrumentos. Esse processo se desenvolve até que não haja mais nenhum ataque a uma determinada formulação sobre as causas do acidente que, por isso mesmo, se torna sua explicação formal. Essa descrição oficial é elaborada por meio de um esforço monumental, mas, ao final, ela própria é assimilada como a causa do término das controvérsias. Por que hoje não se questionam as causas da queda do PP-VMK? Porque, acredita-se, a causa fez terminarem as discussões.

Este texto não pretende "reabrir" o caso, mas quer, sim, questionar o modo de pensar e de interpretar convenções internacionais e, a partir daí, mostrar a necessidade de se discutir e avaliar o arcabouço teórico, o enfoque utilizado, os métodos e a estruturação organizacional da rede incumbida de investigar cada caso. Quer instigar especialistas a identificarem a necessidade de adoção de mudanças na sistematização das investigações de acidentes aéreos (e outros envolvendo sistemas complexos) e a implementarem processos mais sociotécnicos, inclusive analisando e pesquisando um recorte da rede que mantém o sistema em funcionamento tão amplo quanto a viabilidade e a objetividade o permitam.

Por fim, insiste em reafirmar que o conceito de "multicausalidade" não pode e não deve ser usado como um "saco-de-gatos", um "termo coringa" que fundamenta todo o processo de investigação. Todos os elementos metodológicos aqui apresentados e sugeridos se relacionam com o conceito de "mais do que um e menos do que muitos". Envolvem hibridismo, relações (e não apenas actantes), forma de pensar (atitude) diante da assunção de que os sistemas, inevitavelmente, sofrerão acidentes em decorrência de interações inesperadas entre seus componentes, desconstrução de fronteiras, relativização da "certeza obtida cientificamente", impossibilidade de neutralidade (a despeito da busca da imparcialidade). São um chamado à adoção de visão muito mais ampla do que a preconizada pelas normas de investigação. Nesse sentido, parece-nos que os clamores de aproximadamente vinte anos atrás de pouco ou nada adiantaram.

Em depoimento no inquérito administrativo, outro piloto da Varig, enumerou "fatores causais" relacionados com questões administrativas da Varig como a prevalência da Diretoria de Tráfego sobre a Diretoria de Operações, exercendo pressão para que o piloto cumprisse o horário "a qualquer preço". Um de seus colegas reforçou esses alertas declarando também ao DAC que considerava um dos "fatores principais" o modo como a empresa vinha estabelecendo a jornada de trabalho de seus pilotos. Em carta do SNA ao CENIPA, um comandante, Diretor de Segurança de Vôo do sindicato à época do acidente, esclarece que o comportamento individual dos pilotos ocorre "dentro de um contexto organizacional", em um clima criado e afetado pelas ações e decisões de outros indivíduos. O missivista refere-se ainda à necessidade e, muitas vezes, à dificuldade de se investigar os procedimentos adotados pela administração de uma companhia aérea envolvida em um acidente de avião. Questiona se o que está escrito corresponde ao que é executado e, por fim, chama a atenção para o fato de que, nos meses que antecederam o acidente, alguns pilotos cometeram o mesmo engano, o de interpretar erroneamente o Rumo Magnético tendo, porém, corrigido o erro, e conclui:

Como se pode observar das questões aqui levantadas, a investigação se limitou até o momento em delinear basicamente as causas do acidente sem, contudo, fazer uma análise mais profunda dos fatores contribuintes que já estavam presentes em uma forma latente.

Esse comandante, especializado em segurança de vôo, problematizava não só as fronteiras da Varig, mas também os limites temporais, pois as investigações iniciavam-se a partir da decolagem de Marabá quando, para investigar riscos latentes, seria necessário recuar no tempo. É certo que a verificação da manutenção da aeronave e da aptidão dos pilotos também faz parte da investigação, mas, para isso, basta consultar certificados no presente.

A questão vai ainda mais longe do que perguntar se, na prática, "fatores contribuintes" múltiplos são perseguidos: como deve ser feito o recorte da rede? Na medida em que cada "fator contribuinte" identificado pode ter diversas causas para sua ocorrência, até que nível de detalhe a investigação deve descer? Obviamente, não propomos buscas de razões numa cadeia interminável de relações, uma "hemorragia" interminável. A Associação de Pilotos da Varig (APVAR) reivindicava que se aprofundasse a análise da cadeia causal até o nível do funcionamento interno da companhia aérea e que os resultados da investigação pudessem tornar a fiscalização sobre a Varig mais efetiva de modo a evitar que fossem criadas condições que, em conjunto com suas conseqüências, pudessem resultar em acidentes. Se a pesquisa do que ocorreu entre o momento em que os tripulantes assumiram a aeronave e o momento em que o acidente ocorreu permite extrair ensinamentos, é importante, ao mesmo tempo, verificar outras possibilidades de aprendizado através dos eventos dessa cadeia causal (e que por vezes antecedem, e muito, o episódio do acidente), como, por exemplo, a de encontrar evidências de problemas nas relações da companhia que realiza o vôo.

Por sua vez, o fabricante do avião, a Boeing, em seu sítio sobre segurança de jatos comerciais, explica que é necessário um enfoque mais pró-ativo, pois os dados sobre "eventos operacionais" são limitados, o que restringe o aprendizado quanto à melhoria das operações de vôo. Ainda segundo a empresa, é difícil obter dados criteriosos em um sistema de aviação caso se esteja focado apenas em atribuição de responsabilidades. Tripulantes de vôo e pessoal de manutenção - prossegue a Boeing - são freqüentemente responsabilizados de forma indevida porque são a última linha de defesa quando surgem condições de insegurança. Por fim, a multinacional conclui que é preciso superar a cultura da "culpa" e encorajar todos os envolvidos em operações de vôo a relatar qualquer incidente, além de encorajar a comunidade de aviação para que continue a promover e a implementar programas de relato não punitivos voltados à coleta e à análise de informação sobre segurança na aviação.

A interface humano-máquina

Os computadores dos aviões dotados de sistemas de navegação automatizados são alimentados com os parâmetros necessários à realização do vôo. A introdução desses dados cabe aos pilotos e, por isso, eles costumam dizer que "voam números". Por serem profissionais altamente qualificados - quiçá não será demasiado considerá-los gerenciadores de sistemas -, recai sobre eles a responsabilidade de garantir a qualidade da "conexão" entre o computador que gera os dados da viagem, localizado na sede da companhia aérea, e o computador de bordo. Podemos ir mais longe e afirmar que os pilotos são essa conexão e, por isso, não se admite que errem. Mas, eventualmente, eles erram.

A automação do vôo introduziu os pilotos na era da informação. O vôo é comandado por computador e o piloto não mais se insere heroicamente no meio em que o avião se desloca, de forma que, ao contrário dos pioneiros da aviação, não precisa mais usar casaco de couro nem gorro, não sente cheiro de óleo lubrificante nem de combustível queimado. O comandante e o co-piloto realizam poucos (ou nenhum) movimentos com manches e manetes e, em algumas aeronaves - produzidas pela Airbus, por exemplo -, esses ingredientes de trabalho "braçal" sequer existem, substituídos que foram por pequenas alavancas semelhantes aos joysticks para jogos de computador.

Em seu livro Knowing Machines , Donald Mackenzie (1996) problematiza a esse respeito:

a informatização traz benefícios inegáveis, mas certamente há riscos também. Que evidências existem sobre esses riscos? Qual é sua natureza? (p. 4)

Em um dos capítulos desse livro, seu objetivo é indicar o que pode estar envolvido numa investigação empírica de acidentes fatais envolvendo sistemas de computador partindo do princípio de que muitos dos riscos associados ao computador têm a ver com a relação homem-máquina. Por isso mesmo, Mackenzie (1996) desconfia do excessivo tecnicismo de boa parte da investigação de acidentes.

Em seus estudos, além do interesse no comportamento errado e não desejado de sistemas de computador, estão incluídos casos em que:

(...) Não há erro técnico evidente, mas houve um enguiço ou erro na interação do homem com a máquina. (p. 188)

No caso do piloto e dos co-pilotos do Vôo 254, se utilizado o critério de Mackenzie (1996), ocorreu um problema típico de interação com a máquina. O autor inclui, dentre os acidentes relacionados com computador, aqueles nos quais a:

(...) Falsa confiança em sistemas de computador ou entendimentos equivocados sobre eles parecem ter sido os fatores dominantes dentre os que levaram operadores a adotar ou persistir em cursos de ação que, se não fosse por esses fatores, teriam abandonado ou evitado. (p. 188)

A convicção do comandante de que estava no rumo certo foi manifestada por seu pedido de permissão para pousar em Belém, quando estava a centenas de quilômetros do Val-de-Cans, o aeroporto internacional daquela cidade. O fato de não terem sido efetuados procedimentos de verificação da rota com base em mapas de navegação caracteriza a confiança excessiva no sistema de computador do avião. Acrescente-se ainda o fato de que foi a representação inadequada do rumo magnético no plano de vôo impresso pelos computadores da Varig que ocasionou um engano sobre o valor a ser ajustado no sistema de navegação do avião, por sinal "um sistema ou dispositivo eletrônico programável" (MACKENZIE, 1996, p. 187).

O excesso de confiança dos pilotos nos sistemas automatizados pode fazer com que deixem de executar procedimentos obrigatórios de verificação. Diante da repetição de operações bem-sucedidas controladas pelo computador, pode-se acabar reduzindo ou negligenciando os procedimentos de verificação. Mackenzie (1996, p. 211) exemplifica:

(...) À medida que a informatização se torna mais intensa, sistemas altamente automatizados tornam-se cada vez mais básicos. O controle humano, na condição de último passo de uma cadeia - tal como a decisão humana de ativar o disparo de um sistema automatizado de armas -, está atualmente sob a responsabilidade, na maioria dos casos, de sistemas desse tipo. Mas os seres humanos responsáveis por esses sistemas podem ter perdido os benefícios cognitivos intangíveis que advêm de terem que constantemente integrar e entender os dados que recebem. Em tal situação, o perigo pode vir tanto do estresse quanto da rotina. (...) Nem deveríamos nos surpreender se, após centenas ou milhares de horas de experiência pessoal de funcionamento sem falhas no equipamento automatizado de vôo, pilotos começarem a acreditar demais nesse equipamento e depois falharem na verificação de outras informações que lhes estejam disponíveis.

Diversos sistemas integrados foram propostos ou projetados para situações em que um humano precisa ser considerado como parte necessária da operação. Nesses casos, a interface humano-máquina é um componente crítico do sistema. Esses sistemas tipicamente geram mais dados do que um humano é capaz de assimilar numa situação de tempo crítico. Portanto, os principais requisitos da interface referem-se à apresentação de dados de forma a serem facilmente entendidos e providos através da interação com o sistema.

Aprender com os acidentes

Qual foi a causa "primária" desse acidente? A redução de custos da empresa e a pressão que estava exercendo sobre seus pilotos? O plano de vôo? O ajuste errado do rumo magnético pelos pilotos? O jogo de futebol? O incidente no jogo? A falta de providências dos operadores de Belém? A omissão do pessoal de apoio da Varig? O não cumprimento da legislação pelas emissoras comerciais de rádio? A propagação ionosférica que fez com que ondas transmitidas por essas rádios comerciais, a grande distância, fossem recebidas? A coincidência de freqüências entre os pontos referenciais fixos, no solo, procurados na rota e outros muito distantes? A não existência do trecho Marabá-Belém nas cartas de navegação de alta altitude?

A forma como o conceito de multicausalidade continua sendo entendido poderia fazer parecer óbvia a resposta de que todos esses foram "fatores contribuintes" para a ocorrência do acidente. Mas, de acordo com Charles Perrow (1999), a melhor resposta a essas perguntas não é "tudo isso". É menos uma soma, ou uma seqüência lógica de causas, e muito mais uma justaposição imprevista e indeterminada de incidentes. A possibilidade de ocorrência de interações complexas entre as falhas e a forte interdependência dos componentes do sistema de aviação apontam para a existência de respostas que permitem um aprendizado mais abrangente e eficaz. As interações imprevistas são, também, uma característica dos sistemas complexos e ocorrem tanto entre humanos e não-humanos quanto entre elementos de cada um desses conjuntos.

Se a causa do desvio do rumo fosse uma "pane geral do sistema de navegação", como alegou inicialmente o piloto em sua conversa com o comandante que estava a bordo de outro vôo da Varig, o RG-231, pousado no aeroporto de Santarém, então estaria caracterizada uma "falha técnica". Porém, eis a questão, a divisão entre "falha humana" e "falha técnica" emerge de uma separação extraordinariamente problemática entre ciência e sociedade, que a antecede e é mais abrangente. Em verdade, trata-se de uma separação que, sob as mais diversas formas, já se encontra arraigada no senso comum, tanto que, ao desembarcar no Rio de Janeiro, após o resgate dos sobreviventes, uma das comissárias de bordo declarou a um repórter da emissora de televisão do Sistema Brasileiro de Televisão (SBT):

Se não foi falha humana, que eu acredito que não tenha sido, só pode ter sido falha técnica e eu não sei que tipo de falha foi. Não gostaria de comentar isso. Eu só sei dizer que o comandante fez o que ele tinha de melhor para fazer.

Em entrevista apresentada no mesmo noticiário, o Chefe do Estado Maior da Aeronáutica, à época do acidente, reiterou a mesma divisão de mundo ao declarar, convicta e peremptoriamente:

Falha material ou falha humana. Esses são os dois fatores que contribuem para o acidente aeronáutico. Às vezes os dois simultaneamente.

Dessa forma, o Estado, por meio de sua autoridade máxima no assunto, afirmou a existência de uma rígida e bem definida fronteira entre o humano e o maquinal.

O que se aprendeu com o acidente? Que necessidades de mudanças ficaram caracterizadas após o acidente com o PP-VMK da Varig? Algumas das respostas poderiam ser encontradas a partir de mudanças da legislação, das políticas públicas, dos processos organizacionais das empresas de aviação e das formas de organização das vítimas. Analisam-se as cadeias causais porque um dos aspectos do aprendizado consiste em se poder evitar que ao menos o encadeamento identificado se repita em uma outra situação (embora, como já vimos, a "normalidade" dos acidentes preveja o permanente surgimento de novas e imprevistas cadeias causais em sistemas complexos e de forte acoplamento). Com base no aprendizado, devem ser promovidas mudanças nas condições que propiciaram a ocorrência do acidente. É preciso produzir conhecimento a partir do acidente de forma a otimizar as medidas preventivas e compensatórias existentes, assim como desenvolver novas e melhores medidas quando necessário. Procuramos analisar os processos de investigação de causas e os de atribuição de culpa com o objetivo de mostrar quão difíceis são a separação em "fatores" e o empenho em encontrar "culpados". Seguimos aqui as lições de Sheila Jasanoff (1994, p. xi):

(...) para romper com hábitos retrospectivos de pensamento que acidentes e infortúnios tão freqüentemente produzem: parar de perguntar o que causou a tragédia ou a quem culpar, e considerar, ao invés disso, como seres humanos e suas instituições com pré-disposição a falhas podem aprender a fazer melhor. Mirar à frente, segundo esta orientação, demanda obviamente que se tenha primeiramente olhado para trás; eventos passados têm que ser dotados de significado e receber estruturas causais antes que se possam tirar deles lições persuasivas sobre o futuro (...). O propósito desses relatos, contudo, não é fixar responsabilidade pela conjunção de falhas (...)

Esse aprendizado não é apenas individual, é coletivo. Não é apenas técnico, é sociotécnico. Podem aprender as instituições, as pessoas e as técnicas. Pode-se igualmente aprender sobre as relações que se estabelecem entre instituições, entre pessoas, entre técnicas e entre instituições, pessoas e técnicas - antes e depois dos acidentes. Como exemplo, tome-se o acidente em que os pilotos deixaram de efetuar um procedimento necessário e um dispositivo de segurança do avião deixou de atuar. Em 31 de agosto de 1988, em Dallas, no Fort Worth International Airport (DWF), um 727-232 da Delta caiu ao decolar porque os flapes não foram devidamente posicionados. O sistema de alarme na decolagem não se ativou provavelmente por causa de alguma chave defeituosa. Onze passageiros e duas comissárias morreram e a aeronave sofreu perda total. O National Transportation Safety Board (NTSB), o órgão governamental norte-americano de investigação de acidentes, afirmou:

Contribuíram para o acidente a lenta implementação pela Delta das modificações necessárias em seus procedimentos operacionais, manuais, checklists, programas de treinamento e verificação de tripulantes, exigidos por mudanças significativas naquela companhia aérea...¹⁷

Contribuíram para o acidente a falta de ação suficientemente agressiva da FAA¹⁸ para fazer com que deficiências conhecidas fossem corrigidas pela Delta e a insuficiência de transparência no âmbito do processo de inspeção de empresas aéreas pela FAA.¹⁹

Retornando ao acidente do RG-254, como explicar - e não justificar - o comportamento do piloto (considerado bastante atípico e causador de reações hostis como a de parte expressiva da imprensa)? Se estivéssemos diante de um caso caracterizado como "falha técnica", talvez a tarefa se mostrasse menos complexa e delicada. Mas, ao contrário, a investigação de acidentes tende cada vez mais a superestimar o funcionamento adequado das máquinas, ou seja, a desconsiderar "fatores técnicos" e, portanto, a classificar acidentes como casos típicos de "falha humana".

Sheila Jasanoff (1994, p. 2) apresentou crítica contundente a este respeito. O texto abaixo da autora foi refeito substituindo-se as palavras originais pelas palavras em destaque de forma a melhor discutir o caso do vôo RG-254 (enquadrado como caso de "falha humana"):

As políticas corretivas têm que ser endereçadas não apenas à formação e ao treinamento do piloto , mas também (na verdade, talvez ainda mais) às práticas humanas e pressuposições que determinam seu gerenciamento e condições de trabalho . Visto dessa perspectiva, um grave erro humano deixa de ser meramente acidental, uma vez que abre janelas sobre fraquezas anteriormente insuspeitas na rede a que o piloto pertence e que mantém o vôo RG-254. Esforços para explicar o que saiu errado e, mais especialmente, para encontrar medidas de prevenção conduzem a uma crítica social mais ampla; ao buscarmos entender os erros de nossos pilotos , simultaneamente aprofundamos nosso entendimento das sociedades que habitamos (e da Varig ).

Portanto, para se aprender com o comportamento do piloto, as investigações deveriam se aprofundar na análise das relações do piloto com a Varig, com os demais tripulantes, com a diretoria de vôo, com a diretoria de operações, enfim, com tudo e todos que trabalhavam para manter o vôo RG-254 funcionando.

O CRM (Crew Resource Management) e o modelo SHELL

Criado na década de 70, quando então a sigla representava Cockpit Resources Management, o CRM foi apresentado como um programa que "veio preencher uma lacuna nos esforços para a prevenção de acidentes aeronáuticos".

A Organização de Aviação Civil Internacional (OACI) define CRM como:

o uso efetivo de todos os recursos disponíveis, isto é, equipamento, procedimentos e pessoas, para atingir operações do vôo seguras e eficientes.

A Federal Aviation Administration (FAA) acrescenta:

O treinamento de CRM foi concebido para prevenir acidentes por meio da melhora do desempenho da tripulação, por meio de sua melhor coordenação.

O CRM foi criado por especialistas em "Fatores Humanos", dentre os quais John Lauber, Bob Helmreich e Clay Foushee. Reinhert (1994) afirma que, de acordo com a OACI, fatores humanos são:

(...) essencialmente um campo multidisciplinar, que inclui, dentre outros: engenharia, psicologia, fisiologia, medicina, sociologia e antropometria (...). Isso inclui comportamento e desempenho humano, tomada de decisão e outros processos cognitivos, o projeto de controles e displays (...)

A OACI adotou o modelo SHELL para explicar o relacionamento entre essas diversas disciplinas. Esse modelo explicita o trinômio mente-máquina-meio, clássico na aviação. A sigla é composta das iniciais de: Software (procedimentos, simbologia etc.), Hardware (maquinário, equipamento etc.), Environment (ambiente interno e externo) e Liveware (elemento humano). As relações consideradas no modelo se referem às interfaces LH (Liveware-Hardware ), LS (Liveware-Software ), LL (Liveware-Liveware ), e LE (Liveware-Environment ). Segundo Reinhart (1994): "todos os elementos de fatores humanos e CRM podem ser expressos considerando-se essas interações" (Figura 1). O Liveware representa os operadores humanos no sistema de aviação. Qualquer pessoa desempenhando um papel na execução de um vôo é considerada Liveware . O anel externo é composto por todas as pessoas com as quais um indivíduo dentro do sistema interage. Para um piloto, poderia incluir os controladores de tráfego aéreo, despachantes, outros membros da tripulação, pilotos de outras aeronaves e até passageiros. O anel interno representa um piloto individual no sistema de aviação. Esta é a parte mais importante do modelo e, por isso, é o centro focal de todos os outros aspectos do SHELL. Algumas das variáveis dessa categoria são: saúdes física e mental, educação, nível de treinamento e processos de tomada de decisão.

Por sua vez, se levada em conta a abordagem sociotécnica, a rede de relações entre os atores (e não "fatores") heterogêneos é entendida como um "tecido sem costura", não se considerando nenhum deles mais importante ou mais determinante do que os demais e mostrando que são as relações entre esses atores, tornadas estáveis, que constroem um fato científico ou um artefato tecnológico. Nesse sentido, o olhar sociotécnico contrapõe-se à assimetria do conceito do CRM, no qual o Liveware exerce um papel privilegiado em relação aos demais atores, uma vez que o modelo SHELL considera central o papel do piloto comandando a aeronave (Figura 1).

O modelo SHELL define fronteiras e privilegia o comandante e suas relações. Introduz mais complexidades do que a divisão em "fatores humanos" e "fatores técnicos", mas continua separando o humano da máquina, embora essa fronteira seja imprecisa, caso se pense a questão a partir do conceito de cyborg . Uma desvantagem do modelo SHELL reside no fato de não contemplar as transformações ocorridas em cada um dos atores em função de suas relações; parte da preexistência de cada um deles, atribuindo-lhes uma essência intrínseca. Na contramão desse modelo, a abordagem sociotécnica ressalta que, na sala de treinamento, o piloto é um ator, diferente daqueles que é no simulador e na situação real de vôo. Essa diferença decorre da natureza distinta das relações que estabelece em cada local. Outros actantes - o instrutor, o simulador e a aeronave - pertencem a redes diferentes e, portanto, transformam o piloto quando com ele se associam. Da mesma forma, cada um deles é igualmente modificado por suas relações. Dito de outra forma, ninguém/nada escapa "íntegro" de uma relação.

Considerações finais

Diante do conhecimento das complexidades e interações de sistemas de alta sofisticação sociotécnica, da "normalidade" dos acidentes e dos enredamentos que configuram um vôo, um acidente de avião poderia ser mais propriamente investigado como um sintoma do rompimento de relações. Dessa forma, deveriam identificar-se as relações que se romperam e não os atores que falharam. Ao invés de se iniciar uma luta para salvaguardar as "partes" de culpa, iria se providenciar uma nova configuração das relações para recompor a rede, substituindo as relações fracas por outras, mais fortes, mais estáveis.

À época do acidente com o vôo RG-254, já havia a declaração de intenção de não se investigar para punir, mas ainda se lutava, no Brasil, para que não se pesquisasse a (principal) causa do acidente. Há anos, o conceito da existência de "múltiplos fatores contribuintes" foi adotado pelo CENIPA. Na prática, recentemente, as declarações das autoridades brasileiras relativas ao acidente mais grave ocorrido no Brasil, o acidente da Gol, em nada mudaram.

O caso estudado desvela aspectos do reducionismo embutido na elaboração de lista de causas associadas a algumas poucas pessoas, sem a aplicação de mecanismos que forcem mudanças visando à otimização das relações entre os actantes do sistema estudado. Essa redução parte de conceitos estanques, fatorados.

Na teoria ator-rede, cada ator é moldado por suas relações na rede e, portanto, as divisões, a priori, mantidas até hoje, em fatores humanos, materiais, operacionais e ambientais perdem em compreensão do acidente e constituem, também, reduções de complexidade. Por isso mesmo, deixam de ser consideradas as interações complexas do acidente "normal". No caso estudado, cada uma das falhas, por si só, foi trivial, de tal forma que sua eventual ocorrência seria até mesmo esperada. Todavia, ocorreram interações completamente inesperadas entre elas.

Falhas imprevistas e inesperadas ensejam acidentes inevitáveis. Essa é a chave para que se evite tratar pilotos/operadores como criminosos.

Este estudo critica a suposta "neutralidade" do CENIPA e de instituições ou organismos encarregados da condução das análises de acidentes, assim como a pretensa "objetividade" de suas descrições e das conclusões do relatório final da investigação. A ciência não é neutra, os fatos científicos também são construções sociotécnicas. É importante investigar de modo menos tecnicista.

Cabe às autoridades brasileiras, especialmente ao CENIPA e às demais instâncias do SIPAER, refletir a respeito da "internacionalização" da investigação e das dificuldades decorrentes para estabelecer um conhecimento local acerca da investigação de acidentes aeronáuticos. As caixas-pretas são levadas diretamente a laboratórios internacionais, nos quais são examinadas à revelia dos investigadores brasileiros, fazendo desta parte da investigação também uma caixa-preta.

Em favor da cidadania, as fronteiras entre deveres e direitos devem ser mais claramente definidas. Referimo-nos aos deveres das empresas aéreas e dos órgãos do Estado responsáveis pelo apoio à aviação. Quanto aos direitos, são aqueles que dizem respeito aos cidadãos vitimados direta ou indiretamente por acidentes aéreos, inclusive os que possam fazer parte da sua cadeia causal. Acima de tudo, é preciso respeitar os direitos dos cidadãos, sejam eles vítimas entre os passageiros ou entre os funcionários da empresa de aviação. Quando houver entre essas vítimas uma ou mais pessoas que tenham feito parte da cadeia causal que levou ao colapso da rede, então, que se lhes atribuam as conseqüências de suas responsabilidades, mas não se perca de vista que elas também estão entre as vítimas do acidente. É necessário, de acordo com Sheila Jasanoff (1994), aprender a respeito de reparação com base também no que acontece após o acidente, isto é, nos anos posteriores.

As investigações devem ser estendidas, no mínimo, até às empresas aéreas envolvidas, posto que existe uma rede, um complexo organizacional, no qual os tripulantes estão imbricados. É a companhia aérea que sofre o acidente e não apenas sua aeronave. Portanto, parece no mínimo estranho que as investigações não se aprofundem na verificação das condições na empresa capazes de propiciar a ocorrência de eventos que, associados a outros, numa cadeia imprevista, produzem o acidente. Os órgãos de investigação aprendem com o que ocorreu durante a realização do vôo, mas Sheila Jasanoff apresenta a proposta de se aprender com o que acontece após o acidente. A APVAR sugeriu que a prevenção devesse estudar o que acontece antes dos acidentes, por meio do aprendizado sobre o que ocorre nas companhias aéreas.

Não se defende que, no limite, configure-se situação paralisante, na qual, em meio a tantas responsabilidades, resvala-se na pusilanimidade, prostração e perplexidade diante da inimputabilidade do que quer que seja. Lembrando John Law (1992) em sua recorrência a metáforas matemáticas, as responsabilidades são mais que uma, porém menos que muitas. Pugnamos aqui não pela complacência, mas pela busca de melhor enfrentamento das causas de um acidente. Por melhor enfrentamento compreendemos um melhor entendimento das diversas falhas e da interação entre elas, incluindo-se aí as falhas organizacionais; enfim, que se procure distribuir responsabilidades entre as diversas entidades, humanas e não-humanas, possibilitando uma contribuição para o melhor aprendizado e, portanto, tornando mais responsável o relacionamento entre humanos e máquinas.

Mudanças precisam e devem ser providenciadas. É chegada a hora de o CENIPA repensar sua posição em relação aos termos do Anexo 13 da convenção de Chicago (convenção de Navegação Aérea Internacional, em novembro de 1944). Seu relatório não é neutro. As partes com representação nos trabalhos do CENIPA estarão envolvidas em contendas judiciais e, portanto, também não são neutras.

Apontados os erros, o que fazer? Qual é a solução? Apontamos subsídios para investigação mais adequada à complexidade de um acidente aéreo. Temos consciência de que deixamos mais perguntas do que respostas, mas entendemos que atingimos o objetivo de apresentar uma tentativa de enriquecer essa discussão no meio acadêmico e, quiçá, no próprio meio da aviação civil.

• CARDOSO, V. A. F. O estudo sociotécnico da interface "ser humano-máquina" envolvendo computadores:
• HARAWAY, D. J. Simians, cyborgs and women
• JASANOFF S. Learning from disaster
• LATOUR, B. Science in action
• ________ . A esperança de pandora : ensaios sobre a realidade dos estudos científicos. Bauru: Edusc, 1999.
• LAW, J. Notes on the theory of the actor-network: ordering, strategy, and heterogeneity. Systems Practice
• MACKENZIE, D. Inventing accuracy
• ________ . Knowing machines : essays on technical change. Cambridge: Mit Press, 1996.
• PERROW, C. Normal accidents
• REINHART, R. O. Business & commercial aviation magazine

1

Artigo baseado na Dissertação de Mestrado de Vitor Cardoso, orientada por Henrique Cukierman, intitulada

O estudo sociotécnico da interface "ser humano-máquina" envolvendo computadores : o caso de um acidente aéreo, apresentada à Coordenação dos Programas de Pós-Graduação de Engenharia da Universidade Federal do Rio de Janeiro em 2004.

2

Em

http://www.cenipa.aer.mil.br/ paginas/historico.htm (revisitado em julho de 2007). Obs.: Em 2007, os endereços de páginas do CENIPA voltaram a ser como eram em 2003: "

www.cenipa.aer.mil.br/...". Ao menos em setembro de 2006, porém, eram: "

www.cenipa. aer.mil.br/port/...", (língua portuguesa), indicando que poderiam vir a existir versões em outras línguas. Caso essa iniciativa venha a ser retomada, os endereços poderão vir a ser alterados novamente.

3

Norma NSCA 3-12 - Código de Ética do SIPAER, 3 de junho de 2002.

4

Em

http://www.cenipa.aer.mil.br/sigipaer/sigipaer.htm (revisitado em julho de 2007).

5

Em

http://www.cenipa.aer.mil.br/paginas/trm.htm (revisitado em julho de 2007).

6

Bruno Latour (1987) utiliza a noção de ator no sentido semiótico - e por isso mesmo algumas vezes ele fala em actantes: um ator ou actante se define como qualquer pessoa, instituição ou coisa que tenha agência, isto é, que produza efeitos no mundo. Na acepção de Latour, um actante é caracterizado pela heterogeneidade de sua composição: ele é uma dupla articulação entre humanos e nãohumanos e sua construção se faz em rede.

7

Dicionário Eletrônico Houaiss.

8

Como é sabido pelos conhecedores do assunto, diversos equipamentos de interação humana com a máquina são duplicados. Dessa forma, piloto e co-piloto têm a oportunidade de confirmar (ou não) as interações um do outro.

Além disso, sistemas que, em caso de falha, impossibilitariam a navegabilidade são também duplicados para que o sistema de reserva possa entar em funcionamento em qualquer momento que se faça necessário.

9

Depoimento registrado no mesmo processo.

10

"Area Control Center"(ACC): tem sob sua jurisdição o espaço aéreo controlado a partir de um limite inferior sobre o solo. O de Belém é localizado no aeroporto internacional Val-de-Cans.

11

Depoimento no mesmo processo.

12

Depoimento no mesmo processo.

13

Selective Calling: sistema de comunicação de rádio de aeronaves comerciais alocado a uma aeronave em particular, usando abreviatura de quatro dígitos: por exemplo, o Boeing 777-200 da Saudi Arabian, de prefixo HZ-AKA, tem o SELCAL PS-BF (Disponível em:

http://www.jetsite.com.br/2006/busca_terminologia.asp?termo=todos. Acesso em: jul. 2006).

14

A despeito de toda a oposição dos pilotos à divulgação do conteúdo do gravador de voz, nesse caso, assim como em outros, ocorreu um "vazamento", pois um trecho foi ao ar no programa Fantástico da TV Globo em 1997.

Esse mesmo trecho e mais outros dois podem ser encontrados na Internet. A semelhança da voz em meio digital com a da televisão e o fato de não haver nenhuma contestação nos permitem concluir pela veracidade das gravações.

15

O Ministério Público Federal (MPF) de São Paulo apresentou denúncia contra os pilotos. O juiz federal de São Paulo que recebeu a denúncia declarou a incompetência de sua Seção para julgar o caso e o encaminhou a seu colega do Mato Grosso, que a acatou. O processo é o de nº 91.1227-0, da Justiça Federal, Seção Judiciária de Mato Grosso.

16

Entrevista pessoal concedida em 19 de setembro de 2003.

17

Disponível em:

http://www.airlinesafety.com/editorials/editorial3.htm. Acesso em: ago. 2003.

18

Federal Aviation Administration: a FAA tem por objetivo prover um sistema aeroespacial global seguro e eficiente que contribua com a defesa nacional e a promoção da segurança aeroespacial dos EUA. Disponível em:

http://www1.faa.gov/aboutfaa/Mission.cfm. Acesso em: ago. 2003.

19

Disponível em:

http://www.airlinesafety.com/editorials/editorial3.htm. Acesso em: ago. 2003.

Datas de Publicação

• Publicação nesta coleção
  29 Nov 2012
• Data do Fascículo
  Jun 2007