ERRO DO PILOTO - ARMADILHA PARA A SEGURANÇA DE VOO?

Ao longo da história da aviação, pilotos têm sido sumariamente responsabilizados pela maioria dos acidentes aéreos. Este veredito instantâneo, normalmente estampado na mídia jornalística nos dias seguintes a um desastre, pode ofuscar os verdadeiros fatores contribuintes, essenciais para a prevenção de novas tragédias.

Na visão do grande público, o termo “erro do piloto” é sinônimo de culpa do piloto, com todas as consequências que isto pode gerar. Declarar que um acidente ocorreu por erro do piloto atende às questões da sociedade sobre quem é o responsável e, muitas vezes, gera uma sensação de satisfação sobre as causas do evento. Mas esta é uma afirmação ingênua que não melhora em nada a segurança no transporte aéreo por um motivo bem simples. O piloto é, na verdade, o elo final de um complexo sistema de aviação que projeta, fabrica, testa, certifica, faz manutenção e que normatiza, regula e fiscaliza todas as inúmeras facetas de sua operação, incluindo treinamento e procedimentos. Por ser o último elo deste complexo sistema, as ações do piloto são as mais visíveis, induzindo à enganosa percepção que está nele a principal responsabilidade por um acidente. Quando uma empresa aérea decide, por exemplo, economizar no treinamento ou falha em supervisionar procedimentos, a consequência vai ser rotulada como “erro do piloto”, mas as ações gerenciais dificilmente aparecerão na mídia como causadoras da tragédia.

A focalização no desempenho individual permite que condições latentes prossigam sem serem corrigidas, como aconteceu com o caso do comandante Harry Foote, da empresa inglesa BOAC. Em outubro de 1952, ele partia do aeroporto de Roma sob uma noite chuvosa e escura, com um Comet I, o primeiro avião comercial a jato para transporte de passageiros. Durante a corrida de decolagem, assim que o trem de pouso de nariz saiu do solo, começou uma vibração característica de estol e a aeronave deixou de acelerar. O comandante decidiu interromper o procedimento, aplicou os freios mas não conseguiu parar dentro dos limites da pista, atingindo obstáculos no prolongamento da cabeceira oposta. Ninguém morreu, mas Foote atraiu considerável ódio da indústria de transporte aéreo por ter sido o primeiro piloto a danificar uma aeronave a jato de passageiros. A investigação, em um relatório de quatro páginas, apontou que o avião havia tocado a cauda na pista durante a corrida de decolagem, por ação incorreta do piloto, que levantara muito o nariz do aparelho. Depois do ocorrido, Foote foi informado pela companhia que não havia mais lugar para ele entre o seleto grupo de pilotos de Comet.

De Havilland DH.106 Comet acidentado em Roma, em 1952.

Investigações posteriores demonstraram que havia outros fatores presentes. Tendo sido o primeiro avião comercial a jato, o Comet estava em serviço há menos de seis meses e o comandante Foote tinha se defrontado com um problema que não ocorria na operação dos aviões a hélice com asas convencionais. Por causa das novas asas enflechadas, se o nariz da aeronave fosse levantado muito alto durante a corrida no solo, o excessivo arrasto aerodinâmico impediria que o avião atingisse a velocidade de subida. Decolando sob uma noite chuvosa, na proa de um terreno montanhoso e escuro, o comandante Foote não tinha um horizonte visível para orientá-lo sobre a atitude de arfagem correta e o horizonte artificial não tinha marcações de atitude como hoje. Além disso, como o Comet possuía comandos de voo atuados hidraulicamente, uma novidade na época, não transmitia ao piloto a mesma sensibilidade de controle comum aos aviões com acionamento convencional, levando-o a comandar uma atitude de nariz excessivamente alto.

Menos de cinco meses depois, outro Comet acidentou-se exatamente nas mesmas circunstâncias, sem deixar sobreviventes. Agora, a imprensa especializada começava a questionar a ocorrência de dois eventos tão parecidos em curto espaço de tempo. Desta vez, o fabricante iniciou uma série de testes sobre o desempenho do avião, identificando que havia uma margem ínfima acima do estol na decolagem. Isto resultou em modificação do desenho das asas, tornando a operação bem mais segura. Somente em 1959, sete anos depois da ocorrência em Roma, o fabricante admitiu que o desenho do avião poderia, de alguma forma, ter contribuído para o acidente do comandante Foote.

Este episódio clássico é representativo das implicações que podem atingir tanto um tripulante, como principalmente a própria segurança do transporte aéreo quando se emitem opiniões apressadas ou se produzem investigações superficiais sobre um evento. A insistente focalização no desempenho do piloto por parte de alguns países, fabricantes ou empresas de aviação é resultado da tendência natural de concentrar em uma única pessoa a responsabilidade por uma tragédia que tenha atraído atenção da opinião pública. Quando fazem isto, há, até involuntariamente, um certo conforto para todos da comunidade de aviação, que se mantêm imunes a outras consequências. A empresa aérea aceita o encargo de pagar indenização pelas perdas (cobertas pelo seguro), mas escapa da acusação de possuir um programa de treinamento inadequado ou não supervisionar a padronização de procedimentos de cabine, que poderiam significar alguma negligência e problemas bem maiores. Os fabricantes evitam as responsabilidades legais da eventual descoberta de inadequações dos projetos. Os órgãos reguladores do governo não são criticados por emitirem normas permissivas ou por falta de fiscalização. Apenas o piloto que cometeu o erro é imputado pelas deficiências do sistema. Pior do que tudo isso, os reais problemas de segurança de voo não são corrigidos e voltarão a se repetir.

A segurança do sistema de aviação busca, e deve sempre continuar buscando, uma abordagem sistêmica para a prevenção de acidentes. Todo o processo envolve seres humanos, desde a concepção até a operação da aeronave certificada.  Quando o objetivo é a prevenção de acidentes, o processo deve possuir ferramentas robustas para identificar os possiveis erros humanos e criar estratégias para que aqueles erros nao voltem a ocorrer no futuro. Isto sim é trabalhar no interesse público de construir um sistema de transporte aéreo com os mais altos índices de segurança. O ato de atribuir culpa pelo evento a um único elo do sistema simplesmente vai na contramão deste interesse e permite que as falhas do processo não sejam corrigidas e voltem a se repetir. 

Nem heróis, nem vilões, pilotos são profissionais envolvidos em cenários pouco conhecidos do público geral, expostos algumas vezes a variáveis imprevisíveis que exigem decisões instantâneas, precisas e vitais, mas que cometem erros como qualquer ser humano. Não se está aqui querendo evitar o uso do rótulo erro do piloto, até porque ele está presente sim na maioria dos eventos. Mas as investigações de segurança de voo não podem perder a profundidade sistêmica, essencial para a prevenção, mesmo quando o erro individual for identificado.

O transporte aéreo público apresenta um alto índice de segurança e confiabilidade. Com mais de 30 milhões de decolagens anuais ao redor do mundo, menos de um milionésimo resultam em acidentes com vítimas, justamente como resultado de toda estrutura de suporte na concepção, fabricação, certificação, operação, manutenção e no gerenciamento da prevenção. 

Entretanto, assim como no caso dos Comet’s, anormalidades não previstas causadas por fatores diversos, como novas tecnologias, estarão a exigir um acompanhamento constante das agências reguladoras para rever requisitos de homologação e para adequar o treinamento às novas realidades. Cada vez mais é necessário entender que opiniões e palpites emanados nas poucas horas ou dias que sucedem a um acidente são falhos em sua maioria, possuem o poder de prejudicar reputações e carreiras sem que todos os fatos tenham sido pesquisados e, pior e mais importante, não expõem os verdadeiros problemas de segurança que, pelo interesse público, devem ser tratados como parte de um sistema com todas as suas interações. 

Referências:

Statistical Summary of Commercial Jet Airplanes Accidents - 1959-2017,
Boeing Aircraft Corporation

The Naked  Pilot, David Beaty

 Black Box, Nicholas Faith

www.airdisaster.com

https://www.baaa-acro.com/
https://www.flightsafetyaustralia.com/2019/10/reprise-night-of-the-comet/

REFÉNS DA AUTOMAÇÃO - FLY-BY-WIRE

Dezembro de 2014. Um Airbus A-320, código de chamada AirAsia 8501, cruzava estabilizado no FL320 em um voo noturno, quando o painel de alarmes alertou sobre uma falha do sistema limitador do leme direcional. Este dispositivo atua restringindo a deflexão total do leme em altas velocidades, a fim de evitar um excesso de carga estrutural na deriva.  Os procedimentos operacionais determinam que, nesta situação, os tripulantes devem efetuar um reset dos dois computadores de voo (FAC – Flight Augmented Computer) através de botões localizados no painel superior da cabine de pilotagem. Por três vezes, os pilotos realizaram esta ação e a falha sumiu. Mas a mensagem voltou a ocorrer uma quarta vez e, agora, os pilotos escolheram um procedimento que tinham visto ser feito pela equipe de manutenção no solo: reset dos disjuntores (CB’s – Circuit Breakers) dos Computadores de Voo.

O reset dos CB’s (não previsto pelo procedimento operacional) desativou os FAC de um modo diferente do reset pelo botão do sistema. Resultou no desengajamento do piloto automático (AP), do controle automático de empuxo (AT) e na reversão do sistema eletrônico de comandos de voo (FBW - fly-by-wire) do modo Normal da lei de controle para o modo Alternado. Por alguns segundos, os dois tripulantes concentraram sua atenção para a série de mudanças ocorridas durante o reset dos CB’s e deixaram de lado o controle da aeronave. Sem o piloto automático, o aparelho começou a se inclinar suavemente para a esquerda e um dos pilotos, quando percebeu, atuou decisivamente no manche lateral (sidestick), aumentando a atitude em arfagem até cerca de 45 graus cabrados. O A-320 subiu com elevada razão positiva, atingindo 38.000 ft de altitude, enquanto a velocidade reduzia até um mínimo de 55 KIAS. Agora, em condição de estol, a aeronave começou a perder altura rapidamente, com uma razão de descida de mais de 12.000 ft/min, enquanto o piloto mantinha o manche lateral puxado para tentar deter, sem sucesso, a queda vertiginosa. O aparelho com 162 ocupantes precipitou-se no mar sem deixar sobreviventes. O relatório de investigação aponta, entre outras causas, a “incapacidade da tripulação de controlar o avião em modo Alternado das leis de controle de voo, resultando em extrapolação do envelope normal de voo e uma condição de estol”.

Figura 1 - Air Asia 8501 chega a 45 graus cabrado e depois desce estolado desde 38.000ft até colidir com o mar, sem deixar sobreviventes

O acidente da AirAsia tem características operacionais muito semelhantes com outro caso ocorrido cerca de cinco anos antes, em 2009, com um A-330, voo Air France 447, onde uma falha do sistema de indicação de velocidade provocou respostas dos tripulantes nos comandos de voo que levaram ao estol e à perda de controle, vindo também a precipitar-se no oceano, resultando na morte de 228 pessoas. O que chama a atenção é que as conclusões do acidente com o AF447 já haviam sido divulgadas, mas não foram suficiente para impedir uma repetição das respostas inadequadas dos pilotos do AirAsia.

Figura 2 -  Air Asia 8501 e Air France 447: dois acidentes que evidenciaram a dificuldade de controle em modo degradado das leis de controle de voo

POR QUE AUTOMATIZAR

Sempre que acontece um acidente com aviões automatizados, surge a pergunta: por que tanta automação nos aviões modernos? Já que este fator aparece nos acidentes, não seria melhor remover a automação? Na verdade, não. A resposta tem duas fortes justificativas: segurança operacional e redução de custos. A automação está presente em vários sistemas de uma aeronave, como autobrake, autopilot, autothrottle, autolanding, etc, mas aqui vamos nos concentrar apenas em CONTROLES DE VOO.

No aspecto da segurança, um avião equipado com sistema de controle de voo Fly-by-Wire (FBW) pode incorporar proteções no envelope de voo que evitam, por exemplo, que o avião estole, que ultrapasse velocidade máxima ou o fator de carga limite. São características desejáveis para a segurança operacional.

No quesito custo, é conhecido o fato que, quanto mais recuado o centro de gravidade de uma aeronave, menor a força exercida para baixo pelo conjunto estabilizador horizontal/profundor e, consequentemente menor o arrasto e melhor o consumo.  Todas as companhias aéreas estão muito interessadas em aviões com consumo mais baixo. Acontece que o deslocamento do centro de gravidade para trás reduz a estabilidade em arfagem, eventualmente dificultando a pilotagem. Entretanto, atualmente é possivel projetar um avião com a desejada estabilidade diminuída (mais econômico) e que seja pilotável com facilidade, pois a perda de estabilidade pode ser compensada pelas leis de controle de um sistema FBW.

COMO FUNCIONA O CONTROLE DE VOO FLY-BY-WIRE

Em um avião convencional, o piloto atua nos controles e isto provoca diretamente uma deflexão nas superfícies de comando. Até aí, nenhuma novidade. 

Figura 3 - Arquitetura simplificada de controles de voo mecânicos (convencionais) e comandos eletrônicos (fly-by-wire)

Nos aviões com comandos de voo eletrônicos FBW, o piloto não atua nas superfícies de comando. Na verdade, a deflexão do manche envia uma ordem eletrônica para um computador de voo. Em arfagem, por exemplo, dependendo do fabricante, a instrução do movimento do manche pode ser modificar o fator de carga (g). Com o avião reto e nivelado, o fator de carga é de 1,0g. Quando o piloto deflete o manche a cabrar, isso envia uma instrução para aumentar o fator de carga de 1,0g para, digamos, 2,0g enquanto o comando estiver defletido. O sistema vai aplicar este fator de carga e a atitude da aeronave modificará, levantando o nariz. Quando o piloto solta o manche de volta para neutro, cessa a instrução de 2,0 g e a aeronave se estabiliza em uma nova atitude, digamos com 30 graus cabrados (figura 4). Depois que esta instrução é enviada e que o manche voltou para neutro, o próprio sistema vai sentir eventuais variações em torno daquela instrução inicial e vai se autocompensar. O profundor vai mudar sua deflexão para manter aquela atitude de 30 graus cabrados sem que o piloto precise tocar no manche.  Se a velocidade diminuir e o nariz pesar, o fator de carga tende a diminuir, e então o sistema aumentará a deflexão do profundor para manter 1,0g. Em alguns casos, o estabilizador horizontal também modifica sua posição automaticamente sem que o piloto interfira ou mesmo saiba. Durante todo o tempo, o sistema está se compensando para cumprir a última instrução recebida. Esta característica é muito desejável em aviões com estabilidade reduzida - aquela advinda do recuo do centro de gravidade e que resulta em menor arrasto e menor consumo. 

Figura 4 – Exemplo de leis de controle de voo FBW em arfagem – fonte: Airbus FTCM

Para comandar curvas em um avião com controles de voo eletrônicos, a deflexão lateral do manche não atua diretamente nos ailerons, mas envia instruções de “razão de rolamento” para o computador: “incline a aeronave na razão de 3 graus por segundo”. O avião começará a inclinar-se e continuará rolando lateralmente enquanto o manche estiver defletido. Quando o piloto soltar o manche de volta em neutro, a instrução de razão de rolamento vai para zero e a aeronave permanecerá com a inclinação que se encontra, indefinidamente, até receber um novo comando. Não é necessário, como nos aviões convencionais, compensar a queda de nariz quando se entra em curva, pois, como não houve uma instrução para baixar o nariz, o próprio sistema vai sentir a tendência e atuar no profundor para manter a altitude, sem interferência do piloto.  Outro exemplo: no caso de uma falha de motor em um multimotor, onde existirá uma assimetria de tração e uma tendência de guinada, o próprio sistema atuará no leme direcional para compensar a derrapagem, sem que o piloto precise nem mesmo atuar nos pedais.

A pilotagem de um avião com controles eletrônicos é muito mais fácil e segura do que de um aparelho convencional. Como é um sistema regido por software, o fabricante pode incorporar proteções para manter a aeronave dentro de certos limites que serão escolhidos no projeto. Por exemplo, o avião nunca deve chegar ao ângulo de ataque de estol. Por mais que o piloto mantenha o manche puxado para trás, o sistema detecta a proximidade do estol – por sensores de ângulo de ataque - e começa a diminuir a deflexão do profundor para que o ângulo de ataque de estol nunca seja atingido. É uma proteção muito bem vinda para a segurança operacional.

Outra vantagem do FBW é igualar comportamento de aviões diferentes. Como a resposta do avião é regulada por um software de controle de voo, é possível fazer com que aviões diferentes tenham o mesmo tipo de resposta, o que é extremamente desejável pelas companhias aéreas para diminuir o custo de treinamento das tripulações.

QUAL O PROBLEMA ATUAL DO FLY-BY-WIRE?

Não resta dúvida que os sistemas eletrônicos de controle de voo trazem um substancial incremento na segurança operacional, diminuindo o número de acidentes por erros humanos. Mas a automação também trás outros dois efeitos. Um deles é a degradação das habilidades de pilotagem em voo manual e, o segundo, a maior dificuldade de controlar o avião quando o FBW sai do modo NORMAL para um modo degradado.

No primeiro caso, o piloto não tem mais a oportunidade de perceber as respostas naturais da aeronave, como o nariz pesado ao entrar em curva ou a guinada quando um dos motores falha. O sistema compensa tudo. Pilota-se uma lei de controle, um software. Então as habilidades aprendidas na instrução básica são perdidas.

O segundo caso é a transição das leis de controle para um modo degradado. Para funcionamento integral e com proteções de envelope operacional, as leis de controle de voo necessitam de informação de vários sistemas do avião. Quando tudo está funcionando, o FBW está no chamado modo NORMAL das leis de controle, com todas as características de estabilidade e todas as proteções de envelope ativas, como proteção de estol, de fator de carga ou de excesso de velocidade. Quando algum sistema do avião deixa de funcionar, algumas das proteções são removidas por falta de informação e as leis de controle de voo revertem para modos degradados, com diferentes nomes conforme o fabricante. O nível mais baixo de degradação é o chamado modo DIRETO, onde quase ou nenhuma proteção está presente e o avião deve ser pilotado de forma convencional. No caso de ser um aparelho onde a reduzida estabilidade estava sendo compensada pelo FBW, agora no modo DIRETO pode haver uma dificuldade maior de controle.

Vejamos a manobra de puxar o nariz para escapar de colisão com o terreno (CFIT). Em um avião convencional, o piloto deve dosar continuamente a atuação no comando de profundor para evitar o estol. No avião protegido, o piloto pode trazer o manche no batente, pois o sistema vai controlar o ângulo de ataque máximo sem deixar o avião estolar ou exceder o fator de carga limite, obtendo um desempenho ótimo na maioria das vezes. 

Figura 5 - No avião protegido, o piloto pode atuar no limite dos comandos, pois o FBW vai proteger o envelope operacional e produzir o melhor desempenho. No avião com controles convencionais, o piloto deve dosar a aplicação dos comandos de voo.

Apesar de o FBW ser mais fácil de pilotar e mais seguro, aqui surge um problema para o tripulante que passa ano após ano treinando defletir o manche no batente enquanto o sistema se protege: como ele irá reagir quando as proteções de envelope não estiverem mais ativas? Será que as respostas que vimos nos acidentes com o Air Asia 8501 e o Air France 447 nos dão alguma pista? Nos dois casos, os aviões perderam o modo NORMAL do FBW e, consequentemente, a proteção contra estol. E os pilotos de ambos reagiram como se as proteções estivessem presentes, provocando o estol, a perda de controle e o acidente fatal.

Pilotos de aviões com sistemas FBW têm sido treinados a reagir considerando as proteções no envelope de voo. Mas quando a situação se degrada e, por algum motivo, aquelas proteções deixam de funcionar, o tripulante passa a ter em mãos um avião com comportamento completamente diferente do que ele está acostumado. Ele não pode mais atuar nos comandos de voo da forma como foi treinado. E, o pior, as proteções muitas vezes se desativam por uma condição anormal de voo.  Ou seja, o avião automatizado conduz o voo em condições normais até o momento em que se depara com uma situação com a qual o sistema não pode lidar, e aí ele devolve para o piloto um avião com características de controle bastante distintas e, eventualmente, em condições de voo extremas: ou seja, receita para o desastre.

Em maio de 2019, um Sukhoi SuperJet 100, decolando de Moscou, foi atingido por um raio ao cruzar cerca de 8.000ft e sofreu danos no sistema elétrico. O FBW reverteu do modo NORMAL para o modo DIRETO. Os pilotos decidiram regressar para pouso no mesmo aeródromo. A aproximação ocorreu sem grandes problemas até o cruzamento da cabeceira da pista. Ao executar o arredondamento para pouso, com velocidade em torno de Vref + 16 kt, o relatório apontou que “o piloto trouxe as manetes de tração para IDLE e o sidestick para trás, mas com movimentos de amplitude exagerada, indo do batente a cabrar ao batente a picar,  mantendo o sidestick por um tempo relativamente longo nestas posições extremas”.

Neste evento, o primeiro contato com a pista ocorreu novecentos metros após cruzar a cabeceira, em atitude quase nivelada mas com o piloto comandando o sidestick no batente a cabrar. Menos de meio segundo após o toque, o sidestick foi levado para o batente a picar, mas a aeronave já estava subindo ao ar novamente. Agora, com o sidestick ainda totalmente a frente, a aeronave volta para o solo e bate com o trem de pouso de nariz primeiro. Mas o piloto já havia comandado outra vez para o limite a cabrar pouco antes do toque do trem dianteiro, causando um forte movimento para cima. Após a primeira quicada, e com o avião no ar, o piloto trouxe as manetes de tração para posição de “Maximum Reverse”, mas as conchas dos reversores não abriram porque não havia sinal positivo de que as rodas estavam no solo (WOW). Quando o avião tocou pela segunda vez, as conchas começaram a abrir e o ciclo foi completado após a segunda quicada para cima. Mas não houve aumento de tração dos reversores, pois não havia sinal de WOW. Nesta segunda quicada para o alto, o avião atingiu 18ft de altura e as manetes foram avançadas para modo TAKEOFF enquanto o sidestick era comandado para o batente a cabrar novamente. A ação foi interpretada pelos investigadores como uma tentativa de arremetida mas, como as conchas dos reversores estavam abertas, os motores simplesmente não aceleraram. Ao retornar para a pista com força uma terceira vez, o avião sofreu danos estruturais no trem de pouso e asa, que resultaram em vazamento de combustível e fogo na parte traseira da fuselagem enquanto a aeronave deslizava pela pista. Ao final, 41 pessoas sofreram lesões fatais por fogo e fumaça.

Figura 6 - Acidente com Sukhoi Superjet 100 com controle de voo em modo DIRETO: dúvidas sobre as habilidades do piloto para controlar o avião no pouso

Embora a investigação ainda esteja em curso, os dados do relatório preliminar de investigação apontam que “os movimentos do piloto no sidestick no controle de arfagem foram significativamente muito amplos e oscilatórios, o que causou mudanças significativas nos parâmetros de movimento longitudinal”.  Tudo indica que seria um pouso normal sem consequências, não fossem as ações exageradas do piloto nos controles de voo. Então perguntamos novamente: o piloto tinha sido treinado e estava qualificado para operar esta aeronave em modo DIRETO do FBW?

TREINAMENTO DAS TRIPULAÇÕES

Com alguns acidentes aéreos evidenciando a dificuldade de controle da aeronave quando o sistema eletrônico de controles de voo sai do modo NORMAL, naturalmente a atenção se direciona para o treinamento das tripulações. Nos últimos anos, empresas aéreas estão incorporando nos treinamentos em simulador a recuperação de estol e de atitudes anormais, mas ainda com os comandos de voo em modo NORMAL, ou seja, com as proteções de envelope ainda ativas. Contudo, em modo DIRETO as respostas podem ser bem diferentes. Que habilidade para voar manualmente e em modo degradado terá um piloto após anos voando aviões com proteção do envelope?

De maneira geral, quando se identifica comportamentos diferentes em uma aeronave por falha de sistema, isto é incorporado no treinamento. Por exemplo, um avião multimotor com falha de um dos motores tem características diferentes pela assimetria de tração e, por isso, a operação com um motor inoperante passa a fazer parte do treinamento.

Um avião com sistemas eletrônicos de controles de voo também pode ter comportamentos diferentes em modo NORMAL e em modo DIRETO. É notório que as habilidades dos pilotos em voo manual tem se degradado devido à excessiva dependência da automação, mesmo com todas as proteções ativas. O tempo gasto atualmente em pilotagem é muito baixo pois, quando um avião está operando com todos os sistemas, a tarefa dos pilotos é apenas de monitoramento. Quando algo errado acontece, é necessário um tempo para se transicionar da atividade de monitoramento para a de execução. Se a condição exigir respostas rápidas, estas respostas serão instintivas e podem ser erradas, como já vimos. Quando a anormalidade envolver a perda das proteções das leis de controle, a situação pode se complicar enormemente, pois a reação instintiva do piloto nos comandos será aquela que ele exercitou com o avião em modo NORMAL de controles de voo.

Os sistemas de controle de voo eletrônicos tem redundância tripla, às vezes quádrupla, para evitar uma falha completa do sistema. Entretanto, a probabilidade de falha, mesmo que baixa, ainda existe e o piloto continua sendo a última barreira para evitar – ou, às vezes, precipitar – o acidente.  Ao constatarmos uma incidência de falhas de sistema FBW que estão sendo mal administradas – e os acidentes estão apontando isso – então é hora de direcionarmos a questão aos fabricantes, operadores e, principalmente, às autoridades aeronáuticas: não está na hora de incorporarmos nos treinamentos dos tripulantes a operação de voo manual em modo DIRETO?

Referências:

https://www.mak-iac.org/upload/iblock/c01/report_ra-89098_pr_en.pdf

REFÉNS DA AUTOMAÇÃO - PILOTAGEM BÁSICA

Os aviões de transporte estão cada vez mais automatizados. Um moderno jato de passageiros possui sistemas de pilotagem automática, controle automático das manetes dos motores e sistemas computadorizados de gerenciamento de voo. Em um perfil de voo convencional, o piloto atua diretamente nos controles por cerca de 5 minutos, metade na decolagem e metade no pouso. Às vezes, até por menos tempo se a aeronave estiver equipada com sistema de pouso automático. Consequentemente, existe uma preocupação crescente de que os pilotos estejam perdendo as habilidades para reagir manualmente quando há falha dos sistemas automatizados ou erro na programação dos computadores de bordo. Vários eventos têm sugerido esta dependência da automação, como aconteceu com um Boeing 757[1] em 2003.

A aeronave iniciou a descida, preparando-se para uma aproximação de pouso por instrumentos (ILS – Instrument Landing System). O Boeing foi vetorado pelo controle para interceptar o curso do localizador. O avião desacelerou para 220 KIAS e o comandante selecionou o modo de “Aproximação” no Painel de Controle de Modo (MCP – Mode Control Panel) do piloto automático. Na sequência, a aeronave foi liberada para descer até 2.500 ft e o comandante inseriu esta altitude no MCP. Quando o avião interceptou o curso do localizador, estava acima da rampa do ILS. O comandante, entendendo que o piloto automático (AP-Auto Pilot) não teria condição de interceptar a rampa de aproximação, desconectou o sistema e assumiu a pilotagem manual para apressar a descida. Um pouco depois, já abaixo dos 2500 ft de altitude, ele perdeu as indicações de ILS nos instrumentos do seu lado. Com a aeronave acima da rampa, os flaps fora da configuração de pouso e a perda de sinal do ILS sob condição de voo por instrumentos (IMC), a arremetida era o procedimento recomendado. O comandante apertou o botão de arremetida (Go Around), puxou o manche até ajustar a atitude em 20 graus acima do horizonte. O controle automático das manetes (AT-Auto Throttle) engajou, ajustando as manetes para empuxo máximo, e a aeronave começou a subir. 

Sequência de ações do Boeing 757 em arremetida sob IMC

Entretanto, como o procedimento de arremetida fora iniciado muito próximo da altitude que estava selecionada no MCP, o sistema mudou para o modo de captura de altitude e o Diretor de Vôo (FD–Flight Director) indicou uma guiagem para nivelar a 2500 ft. Estando em pilotagem manual, o avião em subida ultrapassou aquela altitude e o FD começou a dar indicação de descida, para voltar à altitude selecionada. Subindo agora com 25 graus cabrados, em configuração de pouso, a velocidade caiu rapidamente. Quando o Boeing atingiu 137 knots, o comandante levou o manche até o batente a picar e reduziu os motores para marcha lenta. O enorme jato assumiu 49 graus de nariz embaixo. A velocidade aumentou rapidamente na descida e, com a proximidade do solo, o alarme do GPWS começou a soar. O co-piloto interferiu e ambos os tripulantes atuaram com força nos comandos a cabrar. Com um fator de carga de 3,6g, o Boeing evitou a colisão no solo por apenas 320ft de altura.

O evento durou menos de 90 segundos desde a perda de controle até a recuperação. Na hora, ninguém entendeu exatamente o que aconteceu ou o porquê, mas os 75 passageiros e sete tripulantes ficaram apavorados com a experiência que, por pouco, não resultou em catástrofe. As análises posteriores mostraram um piloto conflitado entre a atitude que deveria manter e as indicações de guiagem do Flight Director. O comandante declarou que olhava para as telas a sua frente e não reconhecia a condição da aeronave. Inicialmente, no topo da manobra, deduziu que o avião estivesse estolando. Depois, na picada, disse nunca ter visto um indicador de atitude mostrando só “terra” e teve dificuldade em reagir. Ao que tudo indica, o piloto perdera suas habilidades de fazer manualmente um procedimento simples como a arremetida em IMC. Ele não controlou a atitude, a potência nem a configuração da aeronave. Não comandou o recolhimento dos flaps ou do trem de pouso. Seu cheque cruzado dos instrumentos foi lento e suas respostas nos comandos estiveram sempre cerca de 10 segundos atrasadas em relação ao avião. Seu desempenho foi insuficiente, apesar de ser um piloto qualificado e que havia cumprido o treinamento exigido aos pilotos de linha aérea. Entretanto, o mais significativo é que este não foi um caso isolado e nem se restringe a apenas esta tripulação.

Três anos antes, no Golfo Pérsico, um Airbus A-320[2] perdeu o controle durante uma arremetida noturna, também por falta de habilidade do piloto em vôo manual, causando a morte dos 143 ocupantes e a perda total da aeronave. E, em maio de 2006, um outro Airbus 320[3], durante arremetida manual em IMC na Rússia, teve uma perda de controle atribuída a falha de pilotagem e colidiu com o solo, vitimando todos os 113 ocupantes.

Estes eventos juntam-se a vários outros acidentes ocorridos mundo afora, onde a degradação das habilidades de pilotagem na operação de aeronaves automatizadas aparece como fator contribuinte. De fato, as companhias aéreas enfatizam o uso da automação o maior tempo possível, pois o automatismo voa melhor que o ser humano em precisão de manobras e economia de combustível. O lado negativo desta política é produzir um piloto que só sabe voar seguindo o diretor de voo e que raramente olha para as informações sobre atitude e desempenho fornecidas pelos demais instrumentos, perdendo sua habilidade de cheque cruzado. Tudo vai bem se o voo procede normalmente e se os dados que alimentam o piloto automático estão corretos. Infelizmente, a programação no MCP e no FMS são os primeiros itens a serem afetados em situações de elevada carga de trabalho, de distração, de estresse e confusão. 

Parece estarmos esquecendo que, independente do nível de automação de uma aeronave, a pilotagem envolve dois parâmetros básicos: ATITUDE e TRAÇÃO. Estes dois fatores definem qualquer regime de voo. Tem sido assim desde o primeiro vôo do mais pesado que o ar. O fato de estarmos voando aviões eletrônicos em nada muda a mecânica básica do voo e a necessidade de controlar atitude e tração. Quando surge um conflito sobre o que o avião esta fazendo em modo automático, só há uma resposta: reverter para a pilotagem básica, fazendo referência a atitude e tração. 

Este conceito poderia ter salvo um outro Boeing 757[4], em 1996. O avião acabara de sair de uma lavagem e o pessoal de terra tinha colocado fitas adesivas sobre as tomadas estáticas como proteção durante o serviço. Na inspeção pré-voo, a tripulação não viu as fitas e, quando o jato decolou naquela noite, com 61 passageiros, os pilotos perceberam uma grave incorreção nos instrumentos de altitude e velocidade. Embora fosse viável controlar o avião manualmente, os computadores do piloto automático e de empuxo dos motores não tinham dados para funcionar corretamente. Voando sobre o mar, a noite, a tripulação recebia informações conflitantes, como a ativação do aviso de estol (stick-shaker) simultaneamente com o alarme aural de excesso de velocidade. Não podiam precisar sua velocidade nem altitude, embora o horizonte artificial e os instrumentos dos motores estivessem operacionais. Depois de 28 minutos de intensa confusão na cabine, o Boeing colidiu no mar, a 300 knots, sem deixar sobreviventes. O avião poderia ter sido controlado se os conceitos de atitude e tração fossem postos em prática. Talvez, todos os pilotos devessem memorizar algumas combinações de atitude e tração que garantissem o voo em caso de anormalidade.

Assim como nas falhas de controle de atitude, a falha no controle de tração foi fator crítico em outros eventos. Existe, por exemplo, uma prática de planejar a decolagem inserindo nos computadores de vôo uma informação de temperatura ambiente mais alta que a real. Isto provoca uma redução de empuxo dos motores durante a decolagem, poupa a vida do motor e economiza dinheiro. É um procedimento comum e aprovado na aviação comercial, observados certos parâmetros. Mas os três casos abaixo chamaram a atenção sobre o desempenho dos tripulantes. Em janeiro de 2000, um Airbus A-310[5] decolando com empuxo reduzido teve um alarme de estol logo ao sair do solo. Em março de 2003, devido a um erro no cálculo de peso, o comandante de um Boeing 747[6] executou a rotação cerca de 33 knots abaixo da velocidade prevista, arrastou a cauda no solo e decolou com o stick-shaker ativado. Mais grave ainda, em outubro de 2004, outro Boeing 747[7] não acelerou o suficiente durante a corrida de decolagem, ultrapassou o final da pista e ficou totalmente destruído. Estas três decolagens foram planejadas com empuxo reduzido, os aviões não tiveram o desempenho esperado e, em nenhum dos casos, os pilotos avançaram as manetes para obter empuxo máximo. Nos três casos, embora o ajuste inicial fosse inadequado, havia potência disponível para os aviões voarem. Por que, então, os pilotos não avançaram as manetes? Seria o caso de submissão extrema aos manuais ou simplesmente uma falha na aplicação de conceitos básicos de pilotagem.

     Outro exemplo típico de perda das habilidades básicas envolveu um Boeing 777 [8] em procedimento de arremetida no solo. A aeronave realizava uma aproximação que resultou em uma longa flutuação no arredondamento para o pouso. Logo após o toque no solo, ao receber o aviso sonoro de "Long Landing", a tripulação optou pela arremetida. O relatório preliminar de investigação não foi claro sobre os procedimentos na cabine, mas supostamente o piloto apertou o botão que ativa o perfil de arremetida, o Diretor de Voo iniciou a guiagem para cima e o piloto manualmente comandou a atitude de subida. Assim que o avião deixou o solo, os flaps e trem de pouso foram recolhidos. Mas aparentemente as manetes não foram avançadas para potência máxima, que é uma tarefa básica de qualquer arremetida, e a aeronave, sem velocidade ou tração suficiente, retornou ao solo sofrendo danos graves. O detalhe é que, neste tipo de aparelho, o sistema de controle de manetes é desativado automaticamente depois que se toca o solo. Acostumado à atuação sempre presente do Auto-Throttle, é provavel que não tenha havido ação dos tripulantes em avançar as manetes para completar a arremetida.

Uma das hipótese para este acidente com um Boeing 777 seria o piloto ter iniciado a arremetida no solo sem avançar as manetes de empuxo dos motores.

O que deve ficar claro neste universo de eventos é que o ser humano desenvolve destreza naquilo que exercita, mas também esquece o que não pratica. O cenário de operação de aeronaves automatizadas está induzindo à degradação das habilidades de pilotagem manual, que serão requeridas, muitas vezes, em situação de emergência. As soluções passam pelo treinamento, pelas políticas das companhias e pela fiscalização das autoridades aeronáuticas. O treinamento hoje tem forte ênfase na automação, talvez por assumir que a pilotagem básica é garantida pela experiência anterior do tripulante. Errado. O treinamento em linha aérea deve passar obrigatoriamente pelo voo manual e falhas induzidas pela automação. Os acidentes estão constantemente nos mostrando esta necessidade. Como solução adicional, algumas empresas orientam para que os pilotos exercitem aproximações em três diferentes níveis de automação. Na maior parte do tempo, devem utilizar os sistemas automatizados por questões de economia e precisão, mas uma pequena porcentagem das aproximações deve ser feita em pilotagem manual, com e sem a guiagem do Diretor de Voo. Mas vale lembrar que voo manual seguindo o FD e com o AT engajado não exercita o controle de Atitude, nem o de Tração e muito menos o Cheque Cruzado, habilidades primordiais à pilotagem básica

Estudo após estudo, conclui-se sobre a necessidade de praticarmos o básico, pois os mesmos fatores causais tem emergido a cada investigação de acidente. Precisamos incentivar a manutenção das habilidades de voo que dominávamos quando tiramos nossas licenças de pilotos. A automação é uma realidade sem volta e com inestimáveis avanços para a segurança e eficiência da aviação, mas que também pode gerar confusão pela sua complexidade. Quando isto acontecer, a recomendação é baixar o nivel de automação ou reverter para a pilotagem manual e retomar controle da aeronave. E esta solução passa necessariamente pelas habilidades de pilotagem básica.

________________________________________________

Riscos da Automação envolvendo sistemas de controle de voo Fly-by-Wire serão abordados em um próximo artigo específico.
_____________________________________________

---

[1] Relatório Incidente IcelandAir Boeing 757-200,  22 JAN 2003;

[2] Relatório Acidente Gulf Air Airbus A-320, 23AGO2000;

[3] Aviation Safety Network, Armavia Airbus A-320, 03 MAI 2006;

[4] Relatório AeroPeru Boeing 757, 02 OUT 1996

[5] Relatório Kenya Airways, Airbus A-310, 30 JAN 2000

[6] Relatório Singapore Airlines Boeing 747-400, 12 MAR 2003

[7] Relatório  MK Airlines, Boeing 747, 14 OUT 2004
[8] Relatório Preliminar Emirates Airlines, Boeing 777, 03AGO2016

O ACIDENTE PODE COMEÇAR DENTRO DE VOCÊ

Um pequeno avião bimotor decolou de Florianópolis com plano IFR para Lages (SC) com dois pilotos e dois passageiros. O aeródromo de destino estava abaixo dos mínimos meteorológicos, com nevoeiro e visibilidade muito reduzida. A tripulação cancelou o plano IFR, iniciou a descida e tentou o pouso mesmo naquelas condições, mas colidiram com o solo. A aeronave pegou fogo e os quatro a bordo faleceram.

Muitos diriam que o acidente teria sido causado pelas condições meteorológicas adversas mas esta conclusão seria precipitada e superficial. Se analisarmos com foco na prevenção, veremos que o mau tempo não pegou o piloto de surpresa nem jogou a aeronave contra o solo. Na verdade, coube ao piloto a decisão de continuar o voo e tentar o pouso abaixo dos mínimos. Como não houve sobreviventes, ninguém nunca vai saber exatamente o porquê da sua decisão. Mas os testemunhos colhidos na investigação dão conta que os passageiros deste aviao iriam de Florianópolis para o aeroporto de Guarulhos, mas precisavam antes pousar em Lages para apanhar seus passaportes, pois embarcariam em um voo internacional logo em seguida. Será que a necessidade dos passageiros afetou de alguma forma a capacidade de julgamento do piloto a ponto de ele tentar o pouso em condições de alto risco? É provável que sim. Será que ele percebeu a influência disto? É provável que não.

Outro caso: um helicóptero decolou do Campo de Marte com destino à Salto (SP). Próximo ao local de pouso, o piloto efetuou um voo rasante sobre uma rodovia, colidindo o rotor principal com um barranco na beira da estrada. Três dos sete ocupantes faleceram e a aeronave ficou irrecuperável. “Um caso típico de indisciplina”, diriam alguns. Sim, sem dúvida. Entretanto, sob a ótica da prevenção de acidentes, este rótulo em nada ajuda a melhorar a segurança das operações. Que tal buscar a origem do acidente nos motivos que levaram o comandante a decidir fazer um voo a baixa altura desnecessariamente. O ponto chave para toda PREVENÇÃO de acidentes não é descobrir o QUÊ aconteceu, mas sim identificar o POR QUÊ.

Nos últimos dez anos, o Julgamento de Pilotagem e o Processo Decisório na cabine somados foram fatores contribuintes em mais de 50% dos acidentes aéreos no Brasil. Fonte: CENIPA, 2018

Uma análise dos acidentes aeronáuticos ocorridos no Brasil nos últimos dez anos revela que grande parte dos eventos não teve nenhuma relação com sistemas mecânicos da aeronave ou com a meteorologia, mas sim com decisões incorretas tomadas pelos pilotos durante o voo. Na  sua maioria, a aeronave estava em condições normais de operação e não havia nenhum fator externo determinante para o acidente. Aqueles dois exemplos são casos clássicos onde o acidente começou dentro da cabeça do piloto, consequência das decisões que ele tomou.

Para escapar das armadilhas tradicionais que vitimam dezenas de tripulantes e passageiros, ano após ano na aviação, um dos passos é se educar sobre situações que podem influenciar a sua capacidade de julgamento e de tomada de decisão.

FATORES INTERNOS

O comportamento de um piloto - na verdade o comportamento de qualquer ser humano - pode ser motivado por fatores externos e internos. Entre os fatores internos observados com maior frequência nas investigações de acidentes aéreos estão: a ansiedade, a pressa, o excesso de autoconfiança, a vaidade, o exibicionismo e o sentimento de invulnerabilidade.

Já percebeu a frequência de tragédias durante festividades relacionadas com a aviação envolvendo pilotos não qualificados para exibições? Aniversários de aeroclubes, semana da asa e feiras aéreas são eventos que contribuem para engordar as estatísticas de acidentes. O exibicionismo, uma característica que se exacerba durante estas festividades, altera a capacidade de julgamento de um piloto e o coloca em situação onde ele acaba excedendo seus limites se não estiver preparado. Mas isto não acontece apenas em festividades. Quantos e quantos já morreram na frente de pais, esposas, namoradas, filhos e amigos, realizando manobras que em muito excediam a sua capacidade pessoal ou a da aeronave que pilotavam? Será que eles acreditavam que teriam um comportamento absolutamente normal mesmo quando voando nestas circunstâncias? Um piloto que se ache imune, provavelmente não está conseguindo identificar como estas situações lhe influenciam e isto aumenta a chance de se tornar mais um número na estatística de acidentes. Por outro lado, ao conseguir perceber os fatores que influenciam seu julgamento, estará caminhando no sentido de conhecer melhor as suas limitações individuais, comuns a qualquer ser humano.

Excesso de autoconfiança é outro fator presente em decisões incorretas tomadas no ambiente de aviação. Quanto mais você conhece uma operação, quanto mais repeti-la, mais confiante estará quanto ao seu sucesso. Mas isto também vale quando você estende os limites ou se desvia das regras. Um resultado positivo reforça na sua mente a suposta correção daquela decisão. E você repete o comportamento mais e mais vezes, cada vez mais confiante de que continuará dando certo, embora esteja, na verdade, aumentando sua exposição ao risco. Até um dia em que algum pequeno fator fora do seu controle vai pegá-lo desprevenido. E ouviremos aquela famosa frase: "mas eu sempre fiz assim". Foi a sua autoconfiança excessiva que gerou complacência - um rebaixamento do seu nível de alerta - e te deixou mais vulnerável.

 De novo, o primeiro passo para tomar melhores decisões é reconhecer as situações que alteram a sua capacidade de julgamento.

 Para qualquer um daqueles fatores internos, como a pressa, a ansiedade, o excesso de autoconfiança ou a vaidade, é importante reconhecer que existe uma condição alterando o seu desempenho pessoal e a sua capacidade de avaliação. Quantos pilotos, por exemplo, pressionam a continuação de um voo sob mau tempo com o pretexto de “preciso chegar hoje..., o passageiro tem uma reunião importante..., este doente tem que estar no hospital logo..., se eu não chegar à cidade o patrão vai ficar chateado”. As estatísticas estão repletas de aviões que nunca chegaram. A decisão final é do piloto, do comandante da aeronave. Ficamos tão preocupados em chegar, que aceitamos esticar os limites além dos regulamentos e das nossas capacidades. Às vezes, supomos uma pressão externa que talvez nem exista. Da próxima vez que se sentir pressionado, experimente explicar as condições ao seu passageiro, se for o caso, e descubra se é tão importante assim para ele chegar na hora marcada considerando as condições. Provavelmente, ele vai optar pela decisão mais segura. Experimente perguntar a si mesmo se não é a sua vaidade profissional que te impede de curvar 180 graus e voltar para o aeroporto de origem. Quanto mais cedo, no planejamento ou durante o voo, você conseguir perceber isto, mais perto estará de tomar uma decisão melhor. Por outro lado, quanto mais próximo do seu destino, quanto mais retardar sua decisão, mais pressionado se sentirá para continuar no caminho arriscado.

Um helicóptero executivo decolou da cidade de São Paulo para uma praia em Maresias, tentou uma aproximação noturna  sob condições meteorológicas adversas e terminou colidindo com o mar a 3 km da costa. A aeronave submergiu e dois dos ocupantes faleceram.

          Um aspecto muito importante do comportameno humano em aviação é o controle da vaidade. Todos nós cometemos erros.  Mas o orgulho profissional conjugado com a tentativa de não deixar o erro aparecer pode ser trágico. Existem inúmeros casos de pilotos que cometeram um erro no planejamento do voo e se viram, por exemplo, com pouco combustível para chegar ao destino com segurança. Mas a eventual decisão de pousar em um campo alternativo mais próximo suscitaria perguntas embaraçosas de serem respondidas. Então, mesmo sabendo do risco, ele prossegue para o destino original. Algumas vezes isso não dá certo e temos aviões pousando forçado a poucas milhas do destino, sofrendo danos graves, provocando sérias lesões nos ocupantes, tudo porque o piloto tentava apenas esconder o seu erro. Vaidade.  

        Outra armadilha sutil vem do fato do homem usar sua capacidade lógica e de argumentação para se justificar e fazer as coisas que ele deseja, ao invés de optar pelo que é sabidamente o melhor a ser feito. A maioria de nós, quando confrontado com um conflito entre o que sabemos que é o correto e aquilo que gostaríamos de fazer, tende a procurar uma forma de satisfazer os desejos, enquanto se convence de que é a coisa certa a fazer. E isto vale para a nossa vida em geral, não só para a aviação. Você já deve ter passado por uma situação parecida. Aceitou fazer um voo planejando retornar no mesmo dia, pois já tinha compromissos assumidos para o dia seguinte, quaisquer que fossem. Mas, ao tentar voltar, se depara com uma previsão de tempo ruim pela frente. Inicialmente, você pensa: “Eu queria voltar para participar do torneio de tênis neste fim de semana, mas a meteorologia agora está ruim e com formação de gelo na rota, além do que já está escurecendo”. Até aqui, você está listando fatos e está tudo sob controle. O problema é quando você continua com o seguinte raciocínio: “Mas qual o problema? Estou mesmo precisando fazer algumas horas de voo por instrumentos e, se eu for no nível certo, não devo ter problema com gelo. Além do mais, eu nem trouxe roupa para o pernoite”. Isto se chama RACIONALIZAÇÃO. Você gostaria de voltar para casa, sabe que o tempo está ruim, que está cansado e que o melhor seria ficar. Mas... você precisa treinar o voo IFR. Vem bem a calhar. Afinal, você nem está tão cansado assim. Então, "preparem as raquetes porque estou a caminho".

         Normalmente, este processo de racionalização acontece sem que o piloto se aperceba. Ele simplesmente tem certeza que analisou todos os pontos e tomou a melhor decisão. Se um dia você se pegar procurando muitos argumentos para justificar uma decisão, não quer dizer que esteja necessariamente à beira de um acidente, mas talvez esteja querendo justificar uma vontade pessoal e tomar uma decisão que não seria a mais indicada para aquele contexto. O grande problema é que, à medida que o tempo passa, você vai ter mais dificuldade para identificar estas decisões inadequadas, pois elas terão se tornado comuns, e você começará e estender os seus próprios limites. Aí, sua capacidade de avaliar e decidir já estará distorcida e você estará mais vulnerável a decisões inadequadas.

          É importante que todos nós tripulantes estejamos atentos. Quando a natureza básica do homem, seus impulsos e desejos o levarem a uma direção, e seu conhecimento e sua razão o inclinarem para outra, muitas vezes ele vai optar por aquela que atende seus impulsos, a não ser que ele consiga perceber isto e responda adequadamente. Isto se chama MATURIDADE. Nos dois acidentes comentados no início, os pilotos não perceberam e se tornaram vítimas, respectivamente, da pressão autoimposta e do exibicionismo.

            A primeira e mais importante barreira para falhas de decisão é a DISCIPLINA no exercício da atividade. Disciplina pode ser entendida apenas como cumprimento das normas e regulamentos. Mas também pode ser vista como sua força de vontade para tomar decisões sensatas quando existirem tentações e pressões para fazer o contrário. A disciplina é algo a ser exercitado em todo voo. Não adianta andar à margem dos regulamentos e do bom senso e pensar que nas situações críticas você será tomado por um arroubo de disciplina e vai tomar a melhor decisão do mundo. Não vai, pois você condicionou o seu cérebro a pensar de uma certa forma e ele vai continuar seguindo aquele padrão inseguro. Você mesmo se treinou assim.

Disciplina é fazer o que precisa ser feito, mesmo que voce não tenha vontade de fazê-lo

 A aviação é uma atividade muito segura mas que, por vezes, torna-se perigosa pelas posturas do próprio piloto. Tente controlar seus desejos e esteja atento às armadilhas que a natureza humana põe à sua frente. Seja um piloto melhor do que aqueles que não conseguiram perceber estes fatores e tomaram decisões tragicamente erradas. Na próxima vez que entrar na sua aeronave, lembre-se: as condições para um acidente podem começar dentro da sua própria mente. Ter esta percepção pode salvar a sua vida.

Referência:
Relatório Final de Acidente PT-OQH, 28MAI1995