PORTUGUÊS ENGLISH
Flight Safety Fundation Edição Junho 2008
"Q.59. Do you feel that aircraft designers' logic differs from pilot-users' logic?"
88.0% of the respondents answered either 'yes, absolutely' or 'yes, on the whole', 4.8% answered 'No, not at all' or 'No, on the whole not', and 7.2% answered 'Neither yes nor no' or gave no response.
"Questão 59. Você sente que a lógica de projetistas de aeronaves diferem da lógica de pilotos usuários?"
88.0% dos entrevistados responderam ou 'sim, absolutamente' ou 'sim, de modo geral', 4.8% respoderam 'Não, não ao todo' ou 'Não, de modo geral não', e 7.2% responderam 'Nem sim nem não' ou não deram resposta.
Modo Consciência/Confusão
Este modo tem sido descrito como situações nas quais " a tripulação de vôo acredita que eles estão em um modo diferente (sistema de diretriz de vôo) daquele que eles estão realmente empregando e conseqeuntemente fazem solicitações e respostas inapropriadas à automação" ou nas quais "a tripulação de vôo não entende totalmente o comportamentto da automação em certos modos, por exemplo, quando o tripulante tem um 'modelo mental' pobre de automação. Às vezes, isto é simplesmente chamado - perda da rotina de automação. (veja NOTA 1 na imagem 1).
Um transporte típico pode ter aproximadamente 25 modos como, potência, lateral e vertical.
"As regras complexas atrás da navegação vertical e outros modos, às vezes torna dificil para pilotos anteciparem o comportamento da aeronave na rota de vôo".
Pesquisas da Boeing mostram que alguns pilotos incorretamente assumem que todos modos de navegação vertical sempre tomam alvos de altitude do plano de vôo ( programado no FMS ).
Apesar de que o FMA - Flight Mode Annunciation no PFD - Primary Flight Display enfatiza mudanças com uma caixa verde trasitória, pesquisa da boeing indica que 30 a 40 porcento destas mudanças prosseguem não detectadas. (veja NOTA 2 na imagem 1).
Últimos Relatórios de PilotosO comandante de um Boeing 757, num relatório de Fevereiro de 2007 para NASA - Sistema de Relatório de Segurança na Aviação (ASRS), disse:
"ao receber autorização de aproximação a 10000 pés sob vetoração radar, o primeiro oficial, como Pilot-Flying, selecionou 6100 pés no painel de controle de modo [ fabricantes usam diferentes terminologia, inclusive Flight Control Panel ( veja na imagem 2 ), e mudança de nível de vôo como o modo de descida.
O modo de mudança de nível de vôo NÃO fornece proteção para subsequente restrições de altitude na aproximação. Eu estava verificando a programação do FMS e averiguando a posição da aeronave em relação à interseção ARTENE ( altitude mínima de cruzamento 10000 pés MSL = Nível Médio do Mar) quando nós começamos nossa descida. A aeronave estava aproximadamente a 9400 pés ligeiramente do lado de fora de ATENE quando eu orientei o primeiro oficial a subir.
O comandante de um McDonnell Douglas DC-9 em Fevereiro de 2007, relatou:
"Após nivelar no Nível de Vôo 340 ( aproximadamente 34000 pés ), meu primeiro oficial ( o Pilot-Flying ) limpou os dedos deles, as manetes e o painel de modo do Piloto Automático com um guardanapo molhado e inadvertidamente bateu no modo de de manter a altitude no Piloto Automático e no modo de subida. Nós não notamos imediatamente a lenta subida por causa da contínua leve turbulência. Quando o alerta de altitude ativou a 34250 pés, o primeiro oficial desconectou o Piloto Automático e desceu de volta para o Nível de Vôo 340. O desvio de altitude foi provavelmente cerca de 300 pés, dentro da área RVSM, quando o Controle de Tráfego Aéreo acionou a tripulação".
O comandante de um Boeing 737-300 em Dezembro de 2007 relatou:
"Como Pilot-Flying, eu tinha a aeronave nos modos de velocidade vertical - V/S e proa selecionada - HDG. Numa curva para 325 graus, passando através de aproximadamente 340 graus, nós encontramos esteira de turbulência moderada de outra aeronave. Nós não reconhecemos na hora que o modo do diretor de vôo mudou para o modo de controle do leme, do modo HDG após encontrar a turbulência.
Nenhum de nós reconheceu que a aeronave passou da proa derminada no modo de controle do leme até que o Controle de Tráfego Aéreo emitiu uma proa corretiva e avisou "não demore" na nossa subida até o Nível de Vôo 260 por causa de outro tráfego aéreo. O desvio total do rumo
foi cerca de 70 graus".
O site www.flightdeckautomation.com
fundado pelo FAA e operado por uma empreiteira de pesquisa de segurança pelo público, acumulou evidência de modo de Consciência/Confusão enquanto rastreou 94 triagens de fatores humanos em automação de vôo.Dois das mais relevantes triagens rastreadas, considerando mudanças de modo, a lógica de sistemas de vôo automatzados deve ser planejada para ser erro tolerante ou, num mínimum, fornecer um alerta quando o modo desejado estver em conflito com o estado de energia da aeronave.
A recomendação da ATA foi, que pilotos deliberadamente façam varredura do FMA para determinar se o Piloto Automático e/ou Potência Automática estão engajados e em quaias modos - NÃO meramente confirmar o resultado da seleção de cada modo automático de vôo considerando que numerosas mudanças de modo são planejadas acontecer sem ação do piloto.
Uma apresentação da Boeing no seminário de segurança da Flight Safety Fundation em Outubro de 2007 enfatizou esta ajuda de treinamento e citou vários pilotos induzidos a erros envolvendo
manobras em alta altitude num modo que não protegia contra margens de potência e buffet.
"Quando usando o modo LNAV (navegação lateral) durante vôo de cruzeiro, o modo fornece funções em tempo real do limite do ângulo de Inclinação e evitará o ângulo de inclinação comandado, de exceder o atual limite de potência disponível", disse a Boeing.
"Esta proteção NÃO está disponível quando o modo LNAV está ativado.
O modo HDG NÃO protege contra inclinação muito grande.
E frequentmente quando manobrando ao redor de tempestades, tripulantes têm deixado o ângulo de inclinação ajustado em algo usado durante operações em baixa altitude. Uma técnica comum em ameça e gerenciamento de erro é ajustar modo do seletor do ângulo de inclinação no painel de controle para 10 graus quando em vôo de cruzeiro".
Na prancheta de programação
O foco de uma equipe da NASA do Centro de Pesquisa Langley e Rockwell Collins refletiu uma das maiores orientações de pesquisa:
resposta humana em profundidade para discernimento qualitativo combinado com exaustiva provação matemática de modelos de sistemas de orientação de vôo por outro software para validações quantitativas do comportamento e lógica do modo.
A segunda estratégia deles aplicou engenharia de software, especificamente dois métodos fromais de análise, nos quais 'saídas' de fórmulas matemáticas mudam em respostas a 'entradas' de diferentes variáveis, chamadas checagem de modelo e comprovação de teorema.
Esta estratégia capacitou 'exploração' baseada em software de todos possíveis cenáriose combinações de modos - como, por exemplo, algumas 'entradas' (ações) dos pilotos são ignoradas como irrelevantes pela lógica do modo ativo.
Estes pesquisadores disseram em 2003, " Mesmo se nosso ( análise formal de um modelo simplificado de um sistema de diretriz de vôo de um jato regional) método fosse somente parcial, nós seriamos capazes de encontrar modos escondidos, entradas ignoradas do operador, efeitos colaterais não identificados, perda de resposta considerando os modos de uso comum e surpresas em como modos fora do normal podem ser introduzidos e tirados na nossa especificação exemplo.
Evidence Type:
Excerpt from Incident Study
Evidence:
"4.1.2.2 FMS Algorithmic 'Behavior' ... In many of the reports, an altitude excursion was the result of the FMS not performing as expected, or the flight crew not recognizing that the FMS was not working properly or was misprogrammed. It is likely that these incidents occur because the FMS algorithms are designed to level off the aircraft at the last minute. If the flight crew missed the 900-foot and 300-foot cues that signal approaching the selected altitude, this leveling off is the major cue to the crew that the desired altitude will be acquired. The last-minute nature of the leveling-off process, coupled with missing the altitude alert cues, means that the crew knows a problem has occurred only when the airplane does not [emphasized] level off, at which time it is probably too late to perform any actions that can prevent the altitude deviation. One pilot described the experience this way: [ASRS Report #125410] ... 'On departure, we were cleared to climb to 12,000 feet, but we had an altitude deviation and climbed to 12,450 before returning to our assigned altitude of 12,000. At 11,000, I called 1,000 to go and then looked back outside to clear for traffic in the turn. I looked back inside and saw that we were at 11,800 climbing at 4,000 feet per minute (fpm). I pushed forward the yoke the same time I said '12,000' ... This aircraft is a popular modern transport with an excellent thrust to weight ratio, glass cockpit, autothrottles, FMC's, the works. With this aircraft's power it has quite a good climb rate and the automated systems fly the aircraft exceptionally well, but they do not climb or descend the aircraft according to the Airman's Information Manual (AIM). It is not at all unusual to approach within 300-400 feet of an altitude at 4,000 fpm. The computer will capture the altitude with about a 1.25 G pull or a .75 G pushover so that the passengers don't really feel it... I feel that if the AIM descent and climb rates were programmed into the computer that would be a better system. That way, high vertical speed in the last 1,000 feet would be the exception and not the rule and much more likely to result in a timely level off instead of an altitude bust. After all, it would take more that [in sic] 30 seconds to overfly/underfly an altitude by the magic 300 feet at 500 fpm as opposed to only slight more that [in sic] 4 seconds it would take at 4,000 fpm.' This type of algorithm can encourage the occurrence of altitude excursion since it does not leave much room for error compensation." (page 4.7-4.8)
"56 pilots provided comments on Automation Surprises. These responses were coded into categories based on the primary thrust of the pilot’s response. Five categories were created with ten of the responses not fitting into one of the five categories. The categories, numbers of responses in each category, and a brief summary of the comments are provided below:...Speed (18) -- The plane slows too early. FMS Speed mode causes surprises. This plane places a priority on airspeed over altitude, which is a problem when you have speed and altitude-constrained waypoints." (page 437)
Automation strategies in managed vertical navigation: 6 cases... The automation is designed to improve fuel efficiency by minimizing thrust variations. It therefore compensates for any deviations from its target airspeed by allowing the airplane to deviate to some extent from the target altitude. This is not the way pilots manually fly the airplane, and therefore the automation behavior surprises them and sometimes leads to unnecessary pilot interventions. (page 560)
"It is also important to realize that the performance benefits of the NAV condition were achieved without noticeably altering the 'style' in which the aircraft flew the circuit. The tracks produced by the FMS appeared 'normal', i.e., not unlike the intended track or the tracks produced when the pilots flew in the STANDARD condition. There was no apparent cause for concern that flight tracks flown with the FMS in command would differ materially from those flown by aircraft not equipped with an [in sic] FMS." (page 11.14)
