Ainda que este não seja um trabalho acadêmico, procuro fundamentar minhas afirmações com citações e pensamentos de autoridades no assunto, para que as revelações desses 30 anos de trabalho de campo não se percam em ilações e conclusões infundadas. Tive a oportunidade de analisar e acompanhar os efeitos que as transformações tecnológicas causaram no grupo ATC nas últimas décadas. Do ASR7 de 1975, passando pelo TA-10, Thomson CSF (Aircat 320) e finalmente o mais exigente “Tamagotchi” de todo esse período: o X-4000. Em nenhuma transição entre sistemas houve uma equipe de usuários ativos para a aceitação do produto. O que sempre houve foi a implementação de equipes de instrutores designadas a identificar as dificuldades técnicas e incongruências operacionais e agir como facilitadores na formação e habilitação dos operadores. Apesar desses sistemas terem sido desenvolvidos por encomenda, atendem como pacotes de “programas prontos” que obrigam seus usuários a adaptarem-se a ele e não o contrário.
O homem do serviço de tráfego aéreo no Brasil vem sendo atropelado por essa tecnologia e, ainda atordoado com o crescimento inesperado da aviação, cambaleia para manter-se de pé enquanto alimenta seu “Tamagotchi ATC”, um bicho virtual que cresceu tanto e ficou tão dependente e complexo, que não se pode dar ao luxo de deixá-lo morrer.
Muitos dos efeitos negativos desses novos sistemas, agregados ao tráfego aéreo, não estão sendo abordados nos estudos ergonômicos. Passam despercebidos aos desenvolvedores de sistemas justamente porque a linguagem operacional não se traduz para a área técnica com seu verdadeiro sentido, e o que é pior, porque a parte operacional, muitas vezes, nem imagina o que está realmente acontecendo.
“A percepção, pelo elemento humano, dos indicadores que precedem a falha do sistema, bem como o processo decisório que deve ser desencadeado a partir desta observação, dependem tanto do seu conhecimento sobre o sistema como das características cognitivas do indivíduo. Desta forma, o processo de percepção do risco pelo homem nem sempre é objetivo, ou quem sabe racional, mas fortemente influenciado por fatores diversos que variam de indivíduo para indivíduo, em função de sua estrutura mental e do seu background, adquirido principalmente pela sua experiência dentro do sistema”. (Menezes)
O ATC brasileiro passa por um período de severo questionamento causado por ocorrências. Sua capacidade técnica e operacional é discutida e colocada à prova pela sociedade, mas é muito difícil explicar controle de tráfego aéreo a leigos e isso dificulta a discussão coletiva na busca de soluções de interesse comum.
Na qualidade de controlador de tráfego aéreo, discursarei sobre uma pequena parcela dessa imensa estrutura que compõe o SISCEAB, a Visualização RADAR, que é objeto de discórdia no meio especializado, dividindo opiniões entre técnicos e operadores.
A polêmica sobre a qualidade da visualização RADAR no sistema X-4000
A versão inicial do X-4000 que ainda roda em algumas localidades, apesar de terem recebido algumas atualizações nestes últimos dez anos, continuam apresentando as mesmas características e bugs reportados pelos usuários desde o período de instalação, há mais de 10 anos.
“Em sistemas fortemente dependentes da ação humana, tais como plantas nucleares, aeronaves e outros sistemas de transporte e mais atualmente, também os sistemas médicos, a confiabilidade da operação humana é alvo de estudos cuidadosos que acompanham toda a vida do sistema. Esta preocupação decorre da certeza de que os erros humanos acontecem, por diversas causas, e que se não detectados, podem vir a causar grandes perdas.” (Sandhof e Filgueiras).
Para se abordar o assunto, torna-se necessário desligar-se por alguns instantes da aversão dos agentes de segurança de vôo pelo termo Erro Humano. Apesar deste encontro estar sendo proporcionado pelo CENIPA, onde essa visão do erro é tratada com eufemismos, ousarei encará-lo de frente ainda que o adágio popular declare que “
Em casa de enforcado não se deve falar em corda!”
O ERRO é diferente de VIOLAÇÃO.
Você erra quando a sua ação não ocorre de acordo com a sua intenção, ou a sua intenção não é apropriada. O erro é de origem informacional.
Você comente uma violação quando intencionalmente não executa a ação prevista no regulamento. A violação é intencional e pode se transformar numa rotina. A violação é de ordem motivacional.
Diz ainda que:
ERRO ATIVO: é de efeito imediato geralmente cometido por operadores “linha de frente” do sistema (Pilotos, ATCOs e outros);
ERRO LATENTE: pode levar algum tempo para se manifestar dependendo das defesas do sistema. Está ligado a falhas cometidas por profissionais que não estão presentes nem no local nem na hora que o acidente ocorre (fabricante, companhia e manutenção). (Lacerda)
Fico apreensivo quando ouço um controlador-radar com menos de dez anos de carreira dizer que esses fenômenos de visualização, que põem em dúvida a confiabilidade do serviço, são normais. NÃO SÃO NORMAIS. Dizem isso porque nunca tiveram a oportunidade de trabalhar com um equipamento e sistema, sob a ótica do controlador, confiáveis. Foram introduzidos e forjados na profissão dentro desse mesmo ambiente, dentro desse cenário.
Um controlador neste momento está sendo apontado por crime doloso, justamente por utilizar-se de termos equivocados em sua justificativa. Foi indiciado pela complacência que o levou a permitir um grande acidente, produto de uma falsa consciência situacional no momento da ocorrência. Por sua vez, tanto o Ministério Público, quanto o Magistrado que recebeu a denúncia, assim como os analistas de sistemas responsáveis pelo X-4000, sem saber o que isso significa para um controlador, ouvem-no declarar em juízo: -“Isso é NORMAL!” e aplicam seu veredicto condenatório. Mas isso NÃO É NORMAL, isso verdadeiramente é COMUM!
No caso desses rapazes, a consciência situacional era perfeita, dentro daquilo que lhe foi oferecido e do que eles conhecem. Essa equivocada constatação de normalidade é que lhes atribui a real condição de complacente.
Quem nunca viu uma cena do tipo:
- Mamãe, por que esse morango é branco?
- Porque ele ainda é verde, meu filho!
Esse efeito mnemônico, etimológico duvidoso na cabecinha da criança age da mesma forma na cabeça do controlador-aprendiz se apresentada da seguinte forma:
- Por que essa etiqueta tem a cor âmbar?
- Tem cor âmbar para indicar que não está sob minha responsabilidade! Devo preocupar-me somente com as brancas!
Como o sistema diz que a cor âmbar serve para representar aquele avião que não está sob minha responsabilidade, quando um desses alvos dos setores adjacentes invade vertical ou lateralmente meu setor, muito provavelmente cruzará com os aviões de etiqueta branca, que estão sob minha responsabilidade, sem que eu venha a notar!
Será possível padronizar as emoções e reações de quem tem de decidir operacionalmente em tempo real? Parece não existirem dúvidas de que um excesso de automatização de tarefas e a introdução de sistemas de apoio à decisão, em tempo real, levarão a componente humana a abdicar progressivamente da iniciativa própria, deixando ao sistema automatizado a “responsabilidade” do processamento de toda a informação necessária ao conjunto de tarefas que devem ser desempenhadas: “Confiar apenas no elemento humano levará a um desequilíbrio crítico entre a capacidade e a procura, dentro de poucos anos” (Sampaio).
Em muitas investigações de tráfego aéreo, durante a revisualização do vídeo gravado, tornou-se comum ouvir de controladores envolvidos nas ocorrências a seguinte justificativa: - “Poxa! Passou perto sim, mas eu não vi porque pista âmbar não é minha!” - Isso porque o layout atribuído à visualização, com cores, status de cores, símbolos sutis e quase imperceptíveis, levam o controlador a tornar-se permissivo e a filtrar as informações que o sistema indica não serem importantes ou não estarem sob sua tutela. Podemos facilmente constatar essa verdade se observarmos os controladores antigos, do tempo do RADAR irradiado e das barras de controle. Neles, esses efeitos não foram notados, porque em sua formação, todo alvo é um avião e deve ser vigiado.
"A tecnologia só é tecnologia para quem nasceu antes dela ter sido inventada." (Alan Curtis Kay - Pensador e Cientista americano, conhecido por ter sido um dos inventores da linguagem de programação Smalltalk e um dos pais do conceito de programação orientada a objetos. Também concebeu o Laptop e a arquitetura das modernas interfaces gráficas dos computadores).
Cito três atividades paralelas ao ato de controlar, que apesar de serem operacionalmente nocivas, são incompreendidas pela área de desenvolvimento e suporte técnico:
1. A introdução do teclado à tarefa do ATCO.
O fato se justifica quando notamos que a tarefa de enviar ordens ao sistema, teclando para atualizar strips eletrônicas, não elimina a necessidade de manter um backup de strips de papel escritas à mão no velho e seguro modelo de escaninhos. Tal operação é cumulativa, diferente da redução na carga de trabalho dos pilotos na operação das modernas aeronaves.
O usuário do sistema de visualização radar X-4000 (e versões similares) não se sente seguro pela volatilidade da informação de vídeo, que, caso haja queda do sistema é totalmente perdida, tanto da apresentação radar, quanto dos dados do plano de vôo e registros de instrução e identificação das aeronaves sob seu controle. Além disso, apesar do sistema dispor de operações de transferências automáticas de controle, essas tarefas automatizadas são remontadas por ligações telefônicas nos moldes do antigo hand-off.
2. A não participação do controlador assistente no andamento do serviço de controle.
Da mesma forma a atualização das strips eletrônicas, por ocasião da aprovação de um FPL, não elimina a necessidade do controlador assistente realizar uma ligação telefônica entre órgãos para efetivá-la. Essa redundância justifica-se diante do histórico de mudanças aleatórias nos dados de planos de vôos.
Essa necessidade de profissionais da linha de frente estarem a dividir suas tarefas com a alimentação do sistema através do teclado, rouba tanto do controlador, quanto do controlador assistente, grande parte da atenção que deve ser destinada ao planejamento, coordenação e controle. O uso do teclado desvia sua visão para fora do cenário de sua responsabilidade, dinâmico e em constante transformação. Os menus, sub-menus e aplicativos que exigem essa interação, muitas vezes criam vícios paralelos que fomentam as dificuldades operacionais, aumentam a carga de trabalho e conspiram contra a qualidade final do serviço prestado. Qualquer mudança no sentido de tornar a área de visualização mais amigável, como funções “drop down” ou “clik/arrasta” que eliminem a necessidade do uso do teclado, já seria um avanço considerável.
3. A ausência de uma configuração default operacional após a recuperação da queda do sistema de visualização radar.
A queda do sistema (ocasionada por problemas de alimentação elétrica ou enlace de micro-ondas com os radares em síntese, ou saturação do concentrador), apaga todos os dados tanto de visualização como dos registros de PLN e, não contempla em sua arquitetura um ponto de recuperação rápido e sabido para que os controladores reorganizem-se na tarefa de controlar. Essa recuperação é morosa, e requer reconfiguração individualizada em cada estação de trabalho.
A setorização aplicada a cada posto de trabalho deve ser feita somente após o restabelecimento das demais, sob pena de saturar setores que estejam enviando todos os dados para um único endereço, ou seja, uma única Work Station com vários ou todos os setores agrupados nela. Esse procedimento além de dificultar e retardar o restabelecimento da normalidade causa insegurança diante da possibilidade de esconder tráfegos existentes em páginas de planos de vôo ocultas. O processador de textos WORD, por exemplo, disponibiliza uma cópia (recuperada) do documento que estiver sendo editado se abruptamente houver falta de energia ou travamento do micro.
Enquanto os sistemas informatizados revolucionaram a aviônica nas aeronaves, reduzindo infinitamente a carga de trabalho dos pilotos, sistemas informatizados no ATC causaram uma impiedosa sobrecarga aos controladores nas posições operacionais, tanto na posição de controle, quanto na posição do assistente que passa a ser responsável pelo gerenciamento das comunicações móveis e fixas aeronáutica, pelo tratamento de visualização radar e pelo tratamento de planos de vôo.
Muitos puderam testemunhar o “intenso tráfego de porta-strips” deslizando com destreza pelo amplo piso da sala do APP São Paulo, numa demonstração clara de que naquele item, a operação mecânica do ato de jogar a strip, sobrepujava a solução automatizada.
Torna-se, pois necessário evoluir para um novo conceito de IHM - Interacção Homem Máquina, significando que a questão não se resume agora ao desenvolvimento de interfaces, adaptando da melhor forma possível a componente humana à componente tecnológica. Trata-se de perceber que a transição para um novo conceito de relacionamento Homem/Máquina necessita de uma aproximação que respeite ambas as realidades. Supermáquinas implicarão sempre a existência de Sub-Homens (Kaufman ET al, 1978) e uma sociedade de sub-homens estará inevitavelmente condenada ao fracasso. (Sampaio).
Meu eterno desafio resume-se em motivar ou fortalecer uma frente de estudos de causas e efeitos na relação ATCO X Sistema, com a participação de controladores de tráfego aéreo, traduzindo as características humanas em necessidades informatizadas. Isso possibilitaria aos criadores e analistas suprirem os sistemas correlatos com defesas contra as deficiências humanas e não ao contrário, como tem sido a tônica do progresso tecnológico nos serviços de tráfego aéreo brasileiro.
Sistema de Gerenciamento das Comunicações Aeronáuticas - Fixas e Móveis.
Outro inadequado sistema do controle de tráfego aéreo é o destinado a gerenciar comunicações do serviço fixo e móvel aeronáutico. Apresentado como uma ferramenta extremamente versátil, a Central de Áudio SITTI, capaz de gerenciar uma gama imensa de possibilidades combinatórias, e cujo slogan é “Tutti per tutti”, mostrou-se volátil diante de comutações mal sucedidas e instabilidades de enlace. Um sistema superdimensionado, mas que não é eficaz na manutenção da segurança, pois quando cai impede o controlador de coordenar ações emergenciais com órgãos adjacentes. Muito se tem falado sobre o assunto nos eventos que foram tratados pela imprensa como “Apagão Aéreo”, mas pouco se tem feito para evitar que voltem a ocorrer em outras partes do país, pois continuam a ser instalados, em todos os órgãos ATC brasileiros nos mesmos moldes, com as mesmas configurações. Para contornar esse inconveniente eletrônico, foram criados a partir de 2001, por minha modesta sugestão, linhas telefônicas convencionais “bypassando” o sistema, e, equipamentos de VHF variáveis alimentados à bateria, mas de curto alcance. Podemos afirmar que, esse recurso primitivo atende às necessidades de um controlador, na mesma proporção que um “porrete atenderia a um caçador de leões, para o caso de seu rifle falhar”. Mas Comunicação ATC merece um capítulo à parte, pois requer tempo e muita dedicação para ser discutido e entendido.
Levando-se em consideração que os novos conceitos de gerenciamento do tráfego aéreo só estarão sendo implantados no final da próxima década, considero fundamental um estudo dessa magnitude, tanto para garantir a fase de transição, como para preparar terreno antes de qualquer migração.
É ingenuidade acreditar que o atual ATC é moribundo e que não se pode perder tempo com ele em detrimento do futuro ATM. Com toda a formação acadêmica que não tenho; mestrado que não tenho; doutorado que não tenho; ouso fazer a seguinte afirmação:
- “A instalação desse novo conceito não se fará completamente e em segurança em dez anos!”
O Exmo. Senhor Chefe do DECEA afirmou no XV Seminário Regional de Segurança de Vôo do Recife, em setembro p.p, que ainda não tem sequer o perfil do profissional que atuará no gerenciamento. Sem alarmismo posso garantir aos senhores que o período de transição desses sistemas é a parte mais delicada e desconhecida de todos, doutores ou não. Será também a fase mais perigosa a ser trilhada por controladores e gerentes. O DECEA se propõe a manter por algum tempo a estrutura antiga (funcionando em paralelo) para assumir a responsabilidade diante de qualquer imprevisto. Difícil é imaginar como a Organização irá suprir o sistema com os novos profissionais sem descartar os antigos.
A lição principal do paradigma antropotecnológico é, portanto, de que a determinação da atividade de trabalho tem ligação evidenciável com elementos estruturais de controle social do risco. Daí, a necessidade de uma construção social do projeto de engenharia, voltada para a prevenção de acidentes em estágios bastante precoces do projetar. Essa é a verdadeira pedra-de-toque de toda a discussão. Os acidentes ocorrem por falhas na concepção da tecnologia, na concepção da organização do trabalho e na formação das pessoas. (Moreira e Vidal)
O SISCEAB deveria nos próximos dez anos, resgatar os princípios que lhes deram origem e cultivar, pelo menos nesse período de transformações, o fundamental propósito de “proteger vôos” antes de adotar procedimentos cuja finalidade capital diga respeito à sobrevivência econômica do setor aéreo.
Em todas as etapas citadas dos últimos 30 anos, durante a renovação de sistemas e equipamentos, o controlador participou somente do processo de aceitação, sendo que foram comprados ou desenvolvidos à revelia de suas aspirações e necessidades. Desse processo, uma grande quantidade de procedimentos e recomendações surgiu exclusivamente para proteger e garantir o funcionamento dos sistemas, colocando o ATCO servo da máquina.
O maior desafio dos profissionais envolvidos hoje é evitar que a imperfeição humana continue sendo colocada à prova, exatamente nesse serviço que nunca pode falhar, mas que um dia, desgraçadamente falhou.
Mário Celso Rodrigues
Controlador de Tráfego Aéreo
SRPV São Paulo – 1976/2001
SIVAM Manaus – 2002/ 2006
REFERÊNCIAS DE PESQUISA
• Sandhof, Karen
• Filgueiras, Lucia Vilela Leite
II Workshop - Um Olhar Sociotécnico sobre a Engenharia de Software – WOSES
“Defeitos de Software como Erros Humanos”
Departamento de Engenharia de Computação e Sistemas Digitais
Escola Politécnica da Universidade de São Paulo
http://www.cos.ufrj.br/~handrade/woses/woses2006/pdfs/07-Artigo07WOSES-2006.pdf
• Sampaio, José João Martins
Doutor em Sociologia Económica e das Organizações - Portugal
"A Tomada de Decisão Operacional em Sistemas Complexos de Trabalho e a Emergência de Novas Competências Profissionais. O Caso dos Serviços de Controlo de Tráfego Aéreo"(ISEG/UTL- 2006)
Universidade Técnica de Lisboa - Instituto Superior de Economia e Gestão
http://mpra.ub.uni-muenchen.de/9814/1/MPRA_paper_9814.pdf
• Lacerda, Eliseth
“CRM na Identificação de Erros Humanos sobre Automação em Aeronaves Comerciais”
Grupo de Análise de Segurança (GAS)
Departamento de Engenharia da Computação e Sistemas Digitais
Escola Politécnica da Universidade de São Paulo
http://www.gas.pcs.poli.usp.br/seminario/seg_seminario/Elizeth.pdf
• Menezes, Célia
“Erro Humano”
Doutora em Psicologia, Administradora, Consultora nas áreas de RH, Qualidade, Treinamento e Gestão.
http://www.viaseg.com.br/artigo/129-erro_humano.html
• Moreira, Sérgio Bastos
• Vidal, Mario Cesar Rodriguez
O Controle de Tráfego Aéreo: um sistema complexo, seus riscos e a realidade brasileira.
COPPE - UFRJ
