Primeira atividade

Benvindos srs e sras participantes da terceira edição do curso de Confiabilidade Humana para projeto da IHC de sistemas críticos! Seguem as instruções para o primeiro artigo, a ser entregue em formato digital - .doc ou .pdf - em 08/10/2008. O modelo para o artigo é o da ACM: http://www.acm.org/sigs/publications/pubform.doc

1. Introdução
- explique por que o ser humano é importante na sua pesquisa.
- caracterize o ser humano alvo do seu projeto de pesquisa, em termos de papel e de perfil (para saber a diferença, consulte a bibliografia de PCS5756 ou o artigo [Aquino Junior e Filgueiras, 2005] http://doi.acm.org/10.1145/1111360.1111388


2. <>
Resuma o capítulo do Wickens&Holland que lhe foi atribuído, destacando o fator humano mais relevante para o seu projeto de pesquisa. Estenda a pesquisa, lendo outros autores sobre esse fator. Esta seção do artigo deverá comunicar, aos colegas do curso e aos leitores em geral, o que é importante saber sobre esse fator humano.

3. na

- explique o seu projeto de pesquisa e mostre por que a participação desse ser humano é relevante no projeto.

- relacione o fator humano estudado ao seu projeto de pesquisa.

4. Conclusões

Referências

Os artigos serão avaliados em função da pesquisa realizada e distribuídos para os colegas terem conhecimento dos vários fatores humanos estudados. Os melhores trabalhos serão selecionados para apresentação no fim do curso.

Resumo/Capítulo 13 – Sistemas Complexos, Processo de Controle e Automação

Visão Geral
É mencionado nos tópicos do capítulo exemplos de processos complexos, sendo:
Fabricação de aço;

Produção de energia;
Fisiologia humana (anestesista);

Tráfego aéreo (controladores).
Alguns aspectos são tratados para as necessidades do controle de processo, em; requer a detecção, percepção, atenção no desenvolvimento, diagnóstico, comunicação, memória, formar decisão e escolha da ação.
Destacam-se quatro importantes diferenças para a discussão de tarefas:
Os processos são geralmente mais complexos, com um grande número de

variáveis de interações;
Os sistemas respondem muitas vezes como lento, do que um controle manual e mais

distinto em rotinas abertas e fechadas;
Como uma conseqüência deste controle ser muito vagaroso, esta em uma área que é

enos solicitada pela limitação do motor humano, mas que fazem a realização de decisão,

alocação da atenção, percepção e memória (caps. 2 até 7);
Finalmente, o controle de processo de tarefa é fechado preza na concepção de

automação (discutido no final do capítulo).
O processo de controle não é sinônimo de automação em sistemas complexos, porque está além da capacidade humana de operar, por exemplo, humanos não podem manipular processos industriais, isto é, tocar em combustível radioativo ou o contato com elementos de extrema temperatura. Mas, muitos componentes de controles de processos têem sido automatizados, e a crescente tecnologia da computação torna-a inevitável.
O envolvimento humano em processo de controle é evidentemente importante, assim que a automação é implementada passa a ser de forma apropriada e funcional.

Processo de Controle
A discussão sobre o complexo controle de processo pode ser focada; em operações normais, aspectos de conhecimento e fatores humanos.
Consideram-se alguns problemas:

Falha de diagnósticos (situações críticas);
Condições de perigos;
Operações anormais.
E, para a solução de alguns casos poderá ser resolvido pela aplicação do conhecimento de engenharia (por exemplo, alto risco das usinas nucleares).

Controle versus Diagnóstico
Aborda o controle versus detecção e diagnose, ambos integram aspectos de abranger processo de controle de tarefa, que deve ter procedimentos independentes em termos de habilidades do operador. Porque esta distinção é vista em um número de diferentes caminhos, os dois aspectos do processo do controlador de tarefas são considerados separadamente, com atenção especial de:

Engenharia psicologista;
Engenheiros de fatores humanos.

Processo planejado para Fatores Humanos
Verificam-se alguns procedimentos para melhores definições:
Falta de consistência;

Violações básicas de antropometria;

Violações de compatibilidades.

Estratégias de Desempenho
A responsabilidade primária ao operador durante um anormal controle de processo é monitorar os instrumentos do sistema e periodicamente ajustar o conjunto de controle para manter as quantidades de produção.
Quando a tarefa do controlador de processo é analisada cuidadosamente, há três importantes componentes:
Especificação clara e entendia do objetivo da produção;
Uma exata representação mental do estado do processo (existem as variáveis envolvidas);

Um exato modelo mental de dinamismo ao processo.
Torna-se, importante o aprimoramento do controlador para as operações de estados na mudança dos sinais de controle.

Operações Anormais
Quando discute operação anormal identifica-se: detecção de falha, diagnóstico de falha em controle de processo, o tratamento aplicado no processo de monitorar tarefas. Desta forma, em ambiente simulado que é mais frequentemente empregado dentro dos laboratórios de estado de alerta.

Diagnósticos de Falhas
As falhas ou anormalidades são detectadas e o operador com uma escolha de ações a torna na ordem de três critérios:
Ações que assegura o local ou o sistema de segurança;
Ações que não arrisca o sistema e a eficiência;
Ações de diagnostico que localizará a correta falha.
Existem alguns métodos que podem colaborar no diagnóstico de falhas em estados anormais, por exemplo: estudo de casos, análise de erro e diferenças do experiente e novato.
No entanto, um importante destaque para a solução de problemas de desempenho humano no processo de controle é o desenvolvimento contínuo do mais alto nível da automação da sala de controle. Porque o caso da automação está bem além do ambiente de processo de controle.

Automação
A automação no capítulo refere-se à parte mecânica e elétrica na realização de trabalho. Em muitos casos, envolve a substituição de componentes da automação para tarefas, assim, pessoas são capazes de desempenhar.
É possível a operação humana por computador ou maquinas para ajudar na sobrecarga do operador. As diferentes propostas de automação podem ser assinaladas de quatro categorias gerais:
Funções que pessoas não podem realizar devido às limitações;
Funções que pessoas podem fazer, mas o desempenho é fraco ou o custo é alto para a carga de trabalho;
Desempenho exigido em áreas que as pessoas apresentam limitações;
Motivo econômico.
As funções humanas trocada pela automação, podem ser vistas que antes eram normalmente praticadas e, hoje não há mais o hábito de praticá-las, com alcance de tecnologias.

Vantagens da Automação
Preocupação ao custo (produção);
Aprimoramento da eficiência (temporização);
Facilitar rotinas (ex. piloto automático);
Redução da carga de trabalho (colaboração);

Desvantagens da Automação

Complexidade (exige uma sofisticação);
Não confiável (quantidade de rotinas estabelecidas);
Comunicação (retorno da pessoa monitor do trabalho automatizado).

O conceito de automatização adaptável é uma concepção atrativa, aproxima homem-máquina do projetista de sistema, que auxilia na resistência do homem a máquina no dinâmico e forma cooperativa de trabalho. E, certamente permanece na vanguarda dos projetistas em elaborar demais complexos automatizados. O mais importante é depender do entendimento fundamental e fascinante de teorias de desempenho humano.

O acidente em Three Mile Island

O acidente em Three Mile Island

A abordagem tradicional de acidentes pressupõe que a obediência a procedimentos e normas protege o sistema contra acidentes e que esses eventos decorrem de comportamentos faltosos dos trabalhadores, originados, em parte, de aspectos de suas personalidades. A identificação desses comportamentos baseia-se em comparação com o padrão que toma por base o "jeito seguro de fazer", conhecido por antecipação pelos especialistas de segurança. Nas últimas décadas, surgem visões alternativas à abordagem tradicional, ampliando o perímetro das análises de acidentes e abrindo caminho para questionamentos de seus pressupostos relativos às concepções de ser humano e de trabalho. Os novos enfoques ajudam a evidenciar os resultados estéreis das práticas tradicionais: culpar e punir as vítimas, recomendar treinamentos e normas mantendo inalterados os sistemas em que ocorreram os acidentes. As novas abordagens sugerem o esgotamento do enfoque tradicional e ressaltam a importância da contribuição dos operadores para a segurança dos sistemas.
Como têm sido analisados os acidentes e desastres ao longo da história? Nesta revisão, expõe-se, de modo sumário, uma forma de pensar ou organizar diferentes enfoques surgidos a esse respeito.
Na origem deste trabalho está a constatação de que grande número de análises de acidentes, conduzidas no âmbito de empresas e, mesmo, de organismos oficiais, são concluídas de modo a atribuir responsabilidade e culpa pelo ocorrido às vítimas do acidente ou a seus colegas que atuavam nas proximidades (Vilela et al., 2004; Almeida, 2001; Reason, 1999). Na literatura, abordagens que culminam dessa forma vêm sendo denominadas de paradigma tradicional ou clássico da segurança (Cattino, 2002; Dwyer, 2000).
Esta revisão busca, entre outros, os seguintes objetivos: contribuir para a desconstrução do paradigma tradicional de segurança; fornecer subsídios para a sistematização de abordagens atualmente adotadas para a análise de acidentes; incentivar a explicitação de pressupostos adotados em práticas de análises de acidentes, em especial, daquelas embasadas no paradigma ou abordagem tradicional; contribuir para o esclarecimento de diferenças existentes entre posições de defensores do paradigma tradicional e da segurança sistêmica.
De modo complementar, pretende-se descrever características de diferentes princípios adotados em práticas usuais de análises de acidentes, de modo a mostrar que as práticas de atribuição de culpa também se associam à não-utilização, ou ao uso distorcido, de princípios que vêm sendo sugeridos na sistematização de análises de acidentes nos últimos trinta anos. Para concluir, o trabalho mostra que, mais recentemente, a exploração de aspectos da dimensão subjetiva de acidentes beneficia-se da incorporação de releitura dos aspectos identificados na coleta de dados com apoio de conceitos da Psicologia Cognitiva, Ergonomia Cognitiva, Antropologia, Engenharia de Sistemas, entre outros. Essa ampliação conceitual de análise revela outras facetas da insuficiência das abordagens tradicionais para explicar comportamentos humanos no trabalho.
De modo preliminar, parece importante lembrar que uma primeira compreensão sobre as origens e razões desses fenômenos tem raízes em crenças que os atribuíam a vontade divina, castigo ou outras formas de expressar ocorrências merecidas pelas vítimas. Essa visão enraizou-se em muitas culturas de diferentes sociedades e, até hoje, influencia percepções ou visões ditas ingênuas (Kouabenan, 1998).
Falhas de projetos imperdoáveis, monitoramento frouxo, instruções de operações erradas, falta de juízo sobre condições estressantes e, sem ser o menor dos fatores, a confiança ingênua em uma tecnologia sensível – todos esses são fatores bem conhecidos onde quer que as pessoas trabalhem, elas erram. Como fazer com que o ser humano não errar ou errar menos. E elas podem, às vezes, às vezes, ter a felicidade de ver uma seqüência de erro, sempre rotulada de inexplicável não produzir conseqüências tão graves.

O acidente em Three Mile Island

O vazamento de substancias tóxica ocasionada por uma falha na tecnologia da usina Three Mile Island, em 1979, foi considerada um dos grandes acidentes industriais das ultimas décadas nos Estados Unidas, Pensilvânia. Temendo um desastre ambiental e a morte de pessoas por radiação química, os oficias governamentais e até mesmo o então presidente norte americano Jimmy Carter se envolvera no caso com a tentativa de acalmar a população sobre o incidente, A dificuldade em acessar os responsáveis pela empresa e a difusão de informações incompletas e confusas tornaram o caso Three Mile Island um clássico exemplo da necessidade da existência de um plano de comunicação e gerenciamento de crise dentro das organizações.
Em 28 de março de 1979, a usina Three Miles Island, devido a uma pequena falha que passou despercebido pelos controladores dos equipamentos, quase sofreu um total derretimento de todo o seu sistema, acarretando na expulsão de elementos tóxico-radioativos à superfícies.
Quando uma válvula foi fechada por engano, o alarme foi acionado na sala de controle. No entanto, os operadores concluíram que se algum problema de fato tivesse acontecido, o sistema de emergência já estaria ativado.
A conseqüência dessa pequena falha foi o aumento da temperatura e pressão de água e, como a válvula permaneceu fechada, a substancia tóxica não foi transferida para outro tubo. Em condições normais, o mecanismo de injeção de água de emergência é acionado automaticamente, para manter a temperatura de água em um nível aceitável evitando a produção de vapor.
Somente 4 minutos depois da reação inicial é que um operário notou que o nível da temperatura de água continuava aumentando. A equipe de plantão voltou a acionar o mecanismo de injeção de água de emergências, mas já era tarde, a temperatura continuava subindo.
Duas horas depois da falha inicial, um funcionário de plantão descobriu que a válvula de liberação de pressão estava aberta o tempo todo. Tarde demais: mais de meio milha de litros de água e gases contaminados já haviam sido liberados. A radioatividade na água estava 350 vezes acima de seu nível normal.
O que evitou que o acidente em Three Mile Island fosse o maior e mais desastroso dos Estados Unidos foi o fato que as substancias tóxicas não atingiram o meio ambiente, já que a barreira de concreto que cerca a usina manteve a água radioativa e os vapores dentro da usina.
Depois desse grave acidente é que os dirigentes da Metropolitana Edison empresa responsável pela usina Three Mile, admitiram que não tivessem um plano de acidentes para lidar com situações como essas. Para começar, não foi à empresa que comunicou o acidente ao público. Um reporte de trânsitos da Pensilvânia, enquanto monitorava as transmissões da policia, ouviu pelo radio que os bombeiros e os policias estavam se dirigindo a Harrisburg pata controlar a emergência em Three Miles Island. O jornalista partiu então para tentar descobrir a dimensão do acidente.
A evidencia da inexperiência dos dirigentes da Three Mile Island em lidar com a comunicação e com a imprensa foi exposta nesse momento. Assim que o jornalista entrou em contato com o departamento de relações publicas da usina, ele foi logo transferido para a sala de controle, onde um dos operadores se recusou a conversar com ele, alegando um “pequeno problema” Não contente, o reportes tentou ainda falar com alguém responsável pela comunicação da Metropolitan Edison. A gerente de comunicação, por sua vez, afirmava somente que o público não corria perigo.
No dia seguinte. P jornal Harrisburg, Pensilvânia, publicou a historia completa, informando que a usina esteve prestes a um total derretimento de toda a tubulação devido à liberação de substancias radioativas.
Mesmo após essa publicação da matéria, os dirigentes da empresa não se preocuparam em dar declarações à imprensas. Diante disso – e para não alarmar ainda mais a opinião publica – oficias locais e estaduais tomaram a frente da comunicação no caso de se auto nomearam-se como os porta-vozes do acidente, apara aclamar a população, alegando-s que não tinha havido vazamento de substancias radioativas.
Dois dias depois, jornais de todo o pais relatavam que havia a expulsão de radioatividade no ar e o governador da Pensilvânia fez um anuncio informando toda a população que vivia até 30 quilômetros da usina que permanecesse em casa e que somente mulheres grávidas e crianças abandonassem do local. Ainda nesse momento, o vice-presidente da Metropolitan, Edisom John Herbein, discordava com as afirmações de perigo em potencia, negando a proporção dada pela mídia ao acidente.
Analise de estudiosos em gerenciamento de acidentes e comunicação empresarial afirma que o atraso do repasse de informação pela própria empresa e a falta de um porta-voz que estivesse por dentro de toda a falha gerada naquela noite acarretou na perda da imagem da empresa e queda da sua credibilidade perante o publico.
Trecho de uma matéria publicada pela BBC no Reino Unido evidencia este despreparo da empresa e das autoridades locais. Segundo o jornal “as autoridade declararam “emergência geral”, mas não informaram o publico até cinco horas após o vazamento do gás, ocorrido às 4 horas, hora´rio local”.
Apesar de o acidente não ter acarretado em mortes, com a avaliação de médicos especialista alegando que a radioatividade expelida pelo acidente não comprometeria a saúde humana ou o meio ambiente, vários forma os processos movidos contra a empresa. Mesmo após ganho de causa de todos os processos na Justiça norte-americana, a imagem da usina até hoje não conseguiu ser resgatada.

Tarefas para a aula de 27/10

Pessoal,
Na próxima aula, vamos discutir o erro humano em metade da aula; na outra metade, vamos conversar um pouco sobre análise de tarefas. Vou pedir para vocês lerem os seguintes artigos:

Handbook of Human Factors and Ergonomic Methods, Chapter 33: Hierarchical Task Analysis (HTA) - John Annett

http://www.useit.com/papers/goalcomposition.html
Neste ensaio sobre tarefas, Nielsen discute como pensar no que as pessoas podem fazer a partir do uso do sistema. É interessante para pensarmos como o usuário inova no uso das funções de um sistema.

http://giove.cnuce.cnr.it/CTTE/tse-published.pdf
Este artigo descreve a ferramenta que usaremos para documentar as tarefas.

Até lá!

Seção 17, partes 1, 3, 4 e 5. (Resumo/Motivação)

Livro: The Standard Handbook for Aeronautical and Astronautical Engineers

Autor: Gideon, Francis C

Editora: McGraw-Hill, 2004

Segurança (safety) de Aeronaves

Os programas de segurança (safety) das empresas, sejam elas de aviação ou não, existem por diversas razões. Alguns deles são requisitos exigidos por lei e determinam a forma como o avião será desenvolvido nas suas diversas fases (projeto, construção, manutenção e operação). Muitos desses programas foram instituídos em resposta aos acidentes e implementam lições aprendidas de suas investigações.

Os acidentes levam geralmente a custos extremamente altos. Primeiro, há o custo da perda da aeronave, que considerando o valor desses veículos é uma perda considerável independentemente do tamanho da organização. Existe também o custo da perda de vidas e danos à propriedade. Aumentando a lista, outros custos indiretos como admissão e treinamento para substituição de pessoal, limpeza de ambiente, perda de uso do equipamento, aumento do uso do equipamento restante, taxas legais e processos, prêmios de seguros de vida, custos de ações corretivas, dentre outros. Se a posição financeira da organização não estiver muito forte, a perda de negócios e prejuízo à reputação pode destruí-la.

Os acidentes na aviação têm uma característica bem particular, pois envolvem normalmente um grande número de mortes associados a uma única queda de aeronave. Eles ganham bastante atenção da mídia não importa a parte do mundo em que caiam.

Há também uma razão moral para proteger os trabalhadores, clientes e outros membros associados com a operação. Trabalhadores que percebem que seu trabalho não está exposto a riscos excessivos são mais produtivos. Clientes confiantes estão mais provavelmente satisfeitos e retornarão para fazer negócios.

Um programa de prevenção de acidentes é simplesmente uma prática inteligente para qualquer organização para conduzir seus negócios. Muitas das coisas que fazem uma aeronave segura (safe) para operar, também fazem-na mais confiável e lucrativa. Prevenir acidentes minimiza os custos e mantém a organização funcionando.

Contudo, safety não está em primeiro lugar nestas organizações. Se estivesse, as companhias aéreas teriam que estacionar suas aeronaves, porque voar envolve a aceitação de alguns riscos. A missão da organização vem em primeiro lugar, e seu programa de segurança (safety) suporta sua missão.

O propósito de um programa de safety é prevenir acidentes. Um programa efetivo identifica e elimina causas de acidentes em potencial antes que ele ocorra. Para que seja efetivo, o grupo de safety deve gerenciar as inspeções, danos e investigações de incidentes, a educação, treinamento e outros elementos do programa. Corrigindo problemas que levam às falhas e criando uma estrutura na organização que conduza a prevenção de acidentes é uma função que deve fazer parte em todos os níveis funcionais da empresa.

Uma vez que tenha acontecido, a investigação de um acidente ou incidente pode trazer uma oportunidade de descobrir e corrigir deficiências no sistema. É uma forma de prevenir que aconteçam acidentes similares ou outros novos tanto dentro da companhia aérea quanto nas suas concorrentes. A investigação deve não só indicar o que aconteceu e quando, mas também deve perguntar como e por que ocorreu. A conclusão não deve se ater somente a última pessoa que cometeu o erro, deve ir além do óbvio. Deve-se perceber que diversos fatores combinados conduzem ao acidente.

O gerenciamento de risco é essencialmente um enfoque de senso comum baseado nos modelos padrões de tomada de decisão. A idéia básica é gerenciar riscos relacionados a safety para alcançar-se um nível de risco aceitável. É importante reconhecer que o risco é inerente em toda operação, sistema e processo. Poucas são as coisas perfeitas, se é que existe alguma e igualmente não muitas são absolutamente seguras. Então quão suficiente segura alguma coisa é? A resposta é qual nível é aceitável dada uma situação particular. O gerenciamento de risco é o centro da metodologia de tomada de decisão que suporta a aquisição de balanço adequado entre risco e oportunidade. Diversos modelos de gerenciamento de risco são utilizados. Um desses modelos é baseado em seis passos:

1. Identificar danos
2. Estimar riscos
3. Considerar opções
4. Tomar decisões
5. Implementar controles
6. Avaliar efetividade

Após o sexto passo, pode existir a necessidade de refinamentos retornando ao primeiro.

Comentário

Os projetos com os veículos aéreos não tripulados (VANTs) precisam ter a mesma preocupação com acidentes e sua investigação, além de uma adequada análise de riscos. Os grupos de estudo dessas aeronaves não tripuladas não podem contribuir negativamente para o crescimento desses números. É preciso leis e uma política sólida que não torne os VANTs uma ameaça à segurança do espaço aéreo, pois caso isso aconteça os projetos de VANTs existentes ao redor do mundo estão condenados ao fracasso e ao esquecimento.

Erro Humano

The Need of HRA (Human Reliability Analysis) - Capítulo 2:

Contexto: sistemas complexos dependem da interação humano-máquina durante a operação, manutenção, e gerenciamento. As ações humanas existem durante o ciclo de vida completo de desenvolvimento de um sistema incluindo projeto e implementação bem como certificação e condicionamento.

Visões de Erro Humano:
· Engenheiro: o operador do sistema é um componente onde as ações de sucesso ou falha podem ser descritas da mesma forma como se descrevem sucessos ou falhas de equipamentos.
· Psicólogos: o comportamento humano somente pode ser totalmente entendido quando forem identificados seus objetivos e intenções.
· Sociólogos: as taxas de erros podem ser influenciadas pelo estilo de gerenciamento e a estrutura organizacional (sistema sócio-técnico).

Usos da palavra Erro:
· Causa de alguma ação;
· Evento ou ação, isto é, o processo da ação.
· Resultado ou conseqüência da ação.

Identificação de Situações Errôneas:
1. Critério ou padrão observado em comparação com a resposta esperada. Exemplo: a operação foi um sucesso, mas o paciente morreu. O resultado, isto é, a resposta esperada não foi satisfatória, apesar da operação ter sido um sucesso. Uma ação errônea neste caso pode ser definida como qualquer tipo de resposta que exceda o limite da aceitabilidade. Uma ação fora da tolerância onde os limites do desempenho estão definidos pelo sistema. Este conceito se refere à exteriorização do erro. No caso de interiorização do erro, existem duas possibilidades: a falta de intenção em cometer um erro com uma execução errônea, ou, execução correta e plano de ação errôneo. A ação errônea é chamada de slip, ou escorregada. A intenção incorreta é chamada de mistake ou engano, equívoco.
2. Desempenho da ação. Como o ambiente está em constante mudança, as ações errôneas podem ocorrer em pequenas ou grandes escalas quando as condições não estão de acordo com a habilidade das pessoas. Estas condições podem gerar erros em pequena escala (slips) ou em grande escala (mistakes ou falta de diagnóstico). A tomada de decisão passa por algumas etapas:
- Ideal: (1) Identificar alternativas; (2) Comparar alternativas; (3) Selecionar a melhor alternativa e (4) Verificar as conseqüências;
- Real: (1) Definir os objetivos principais; (2) Esboçar alternativas óbvias; (3) Selecionar compromissos aceitáveis; (4) Repetir em caso de resultado insatisfatório.
3. Oportunidade de agir de uma forma considerada apropriada. De acordo com a abordagem sócio-técnica o ser humano possui um compromisso de monitorar as demandas do processo e as demandas de recursos e do próprio ambiente. As demandas vindas do processo possuem implicação no ambiente organizacional. Os recursos e outras restrições são definidos pelo contexto organizacional em termos de procedimentos, regras, limites, ferramentas, etc. Os aspectos cognitivos das ações são caracterizados usando conhecimento, atenção e fatores estratégicos. A ação errônea pode ser resultado da deficiência de qualquer um dos fatores citados acima.

Stress and Human Error - Capítulo 12:

Stress: o stress influencia no processamento da informação e cognição. Os agentes causadores são: barulho, vibração, calor, luz embaçada, alta aceleração, e fatores psicológicos como: ansiedade, fadiga, frustração, raiva, pressão do tempo. Estas forças possuem três manifestações: (1) fenômeno lógico de fundo emocional ou afetivo; (2) mudanças fisiológicas; (3) diminuição do desempenho. Os principais pontos afetados pelo stress são:
· Alerta: barulho e ansiedade podem aumentar o nível de alerta, enquanto que o sono e a fadiga podem diminuir.
· Redução da Atenção Seletiva
· Distração
· Perda da Memória Atual: principalmente causada pela ansiedade e barulho.
· Lei de Yerkes Dodson: aumentar os níveis de alerta aumentam o desempenho, entretanto, dificultam a memória e conseqüentemente diminuem o desempenho.
· Perseverança: quanto maior o stress mais as pessoas querem continuar tentando encontrar uma solução para um problema.
· Controle Estratégico: quando maior a disparidade entre a necessidade e a disponibilidade de recursos, maior o stress.

Moderadores do Stress:
· Outros "stressores": componentes de stress isoladamente são prejudiciais e diminuem o desempenho, mas se combinados, podem ajudar. Exemplo: barulho e sono.
· Personalidade: controle das coisas que influenciam a vida (interno versus externo) e a diferença entre pessoas do tipo orientadas a ação (mais pró-ativas filtrando material menos relevante) e orientadas a estado (mais reativas).
· Treinamento e Habilidade: pessoas mais experientes são mais imunes aos efeitos negativos do stress e possuem mais estratégias para executar uma tarefa.

Remediando o Stress:
· Soluções ambientais: retirar os "stressores" externos (barulho, temperatura, vibração) é mais simples que retirar stressores internos como ansiedade, por exemplo.
· Soluções de projeto: as soluções de projeto podem utilizar monitores baseados em fatores humanos, como por exemplo: retirar informação desnecessária, utilizar gráficos, eliminar conversões feitas pelos operadores, utilizar procedimentos simples de emergência, evitar símbolos ou códigos, etc.
· Treinamento: treinamento em procedimentos de emergência e antecipação aos eventos de stress que podem ocorrer.

Erro Humano: uma grande variedade de taxonomias ou classificações foram propostas para caracterizar os erros humanos. Uma classificação simples pode ser feita entre erro de execução (fazer a coisa errada) e erro de omissão (não fazer nada quando alguma coisa deveria ser feita). Uma classificação mais elaborada, consistente com o modelo de processamento de informação, possui os seguintes passos:
· O operador confronta o estado do mundo através dos estímulos podendo ou não interpretar a informação corretamente;
· Dada uma interpretação, o operador pode ou não planejar a ação correta;
· O operador pode ou não executar a ação pretendida corretamente.
Existem cinco categorias de erros que podem ocorrer no processo apresentado nos itens acima:
· Mistakes (enganos): erro na interpretação ou na escolha da ação a ser executada. Existem dois tipos de enganos, os baseados no conhecimento causados pela falha no entendimento da situação, exemplo: falha de interpretação, sobrecarga, falha ao considerar todas as alternativas, conhecimento insuficiente, monitores com falta de informação ou formato inadequado. O outro tipo de engano é o baseado em regras causado pela certeza da situação e, por isso, são aplicadas regras ou um plano de ação para lidar com o problema.
· Slips (escorregada): a intenção da ação é errada por causa de um diagnóstico errado ou uma seleção errada de uma ação.
· Lapsos: estão relacionados às falhas de memória, esquecimento e omissão de passos de uma seqüência procedural.
· Erros de modo: estão intimamente relacionados aos slips, mas também possui características dos lapsos. Os erros de modo resultam de uma ação particular que é altamente apropriada em um determinado modo de operação, mas é praticada em uma situação com outro contexto. As causas dos erros de modo podem ocorrer, pois uma única ação pode ser apropriada e inapropriada dependendo das circunstâncias.

HRA (Human Reliability Analysis): é utilizada técnica do THERP (Technique for Human Error Rate Prediction) com três componentes importantes: (1) HEP (Human Error Probability), que é a taxa do número de erros ocorrido em uma determinada tarefa pelo número de oportunidades de erros; (2) Utilização de árvore de eventos ou árvore de falhas quando a análise é feita sob tarefas compostas por uma série de procedimentos; (3) o HEP pode ser modificado conforme o nível de habilidade ou stress em uma situação de emergência. As principais fraquezas do método são:
· Falta de banco de dados: quando não existem informações sobre o HEP, as pessoas mais experientes estimam os valores, que nestes casos, podem conter erros.
· Monitoramento do erro: é difícil associar uma probabilidade ao erro humano, pois o ser humano pode se corrigir dependendo da situação, antes que o problema ocorra.
· Falta de independência do erro humano: duas pessoas não possuem a mesma reação como equipamentos. Os seres humanos possuem questões como humor, disposição, ânimo, prudência, personalidade, etc.

Resumo do Capítulo 2

Resumo do Capítulo 2

Detecção de Sinais, Teoria da Informação e Julgamento Absoluto

Overview
Detecção de algum evento proveniente do ambiente;
Problemas de processamento de informação;
Reconhecimento e diagnose;
Limiar da percepção;
Situação em que um observador classifica o mundo em dois estados: sinal presente ou sinal não-presente;
Desfecho quando a detecção falha;
Soluções corretivas;
Categorização em multinível leva ao julgamento absoluto;

Teoria de Detecção de Sinais
Difícil diferenciação entre sinal e ruído, para decidir se é detectado ou não;
Combinação dos dois estados (Sinal/Ruído) com a resposta (Sim/Não) gera uma matriz com quatro eventos (hits, misses, false alarms e correct rejections);
Observadores podem variar seu critério de julgamento, podendo arriscar mais ou menos;
Sensibilidade do observador = separação das distribuições do sinal/ruído;
Receiver Operating Characteritic (ROC) = equivalência entre a sensibilidade de acordo com a mudança de critério do julgamento;

Aplicações da Teoria de Detecção de Sinais
Psicologia Experimental (fatores humanos)
Permite comparar a sensibilidade e, portanto, a performance entre operadores com critérios de julgamento diferentes;
Possibilita que sejam tomadas ações corretivas (loss of sensitivity, shift in response bias);
Diagnóstico Médico;
Inspeção Industrial;

Vigilância
Detecção de sinais por um longo período;
Modelo free-response;
Modelo inspection;
Performance da vigilância (melhor descrever os fatores que podem decrementar a sensibilidade;
Técnicas para combater a perda de vigilância;

Teoria da Informação
Quantificação da informação incluenciada por (a)número de eventos possíveis, (b)probabilidade destes eventos e (c)limites seqüenciais, ou contexto;
Informação = redução da incerteza;

Julgamento Absoluto
Reação à dimensão sensória;
Unidimensional e Multidimensional;

Resumo do Capítulo 8 - Decision Making

Decision Making (Resumo do Capítulo 8)

Fonte: Wickens, C. D.; Hollands, J. G. Engineering Psychology and Human Performance. (3a. ed) Prentice-Hall, 1999.

Muitos acidentes sérios que envolveram erros humanos foram atribuídos à tomada de decisão dos operadores. As decisões são tipicamente representadas por um mapeamento de n-1 (informações-resposta), entretanto, a complexidade de uma escolha pode variar muito dependendo de fatores como:
· Incerteza: o grau de incerteza das conseqüências de uma decisão e seus riscos (exemplo: as decisões tomadas pela torre de controle no acidente de Tenerife).
· Familiaridade e Habilidade: as escolhas feitas por pessoas experientes podem ser feitas mais rapidamente e com menos esforço, entretanto, isto não garante que sejam as decisões mais precisas (exemplo: o excesso de confiança do piloto da Varig e dos fabricantes do Therac-25).
· Tempo: a pressão do tempo pode influenciar uma decisão (exemplo: a pressão para finalizar os testes de Chernobyl).

Modelo de Processamento de Informação para Tomada de Decisão:

1º Passo: Detecção da Situação

O responsável pela tomada de decisão precisa buscar sugestões ou informações sensoriais do ambiente. Estas sugestões são sempre confusas, incertas, ambíguas e podem ser interpretadas incorretamente. A atenção seletiva possui uma função muito importante na tomada de decisão e na seleção de sugestões através de um filtro. Esta seleção é baseada em experiências passadas (memória de longo prazo) e requer mais esforço. As sugestões são então selecionas e percebidas através do entendimento e verificação da situação levando ao diagnóstico. A combinação das operações de percepção, memória ativa e cognição que faz com que o tomador de decisão possa criar hipóteses sobre o estado atual e futuro do mundo, este processo chama-se verificação / conhecimento da situação.

2º Passo: Diagnóstico

O diagnóstico é baseado em duas fontes de informação: as sugestões externas filtradas pela atenção seletiva e a memória de longo prazo. A memória de longo prazo pode trazer ao tomador de decisões várias hipóteses do estado atual do mundo. Muitos diagnósticos são iterativos, isto é, a hipótese inicial pode disparar outras informações que podem confirmar ou rejeitar a hipótese inicial.

3º Passo: Escolha da Ação

A partir da memória de longo prazo, o tomador de decisão pode gerar um conjunto de ações ou opções de decisões; mas se o diagnóstico é incerto, as conseqüências das diferentes escolhas podem definir os riscos. A consideração a respeito dos riscos requer uma estimativa de valores. A decisão é verificada para fins de confirmação / rejeição, aprendizado, melhoria de decisões futuras. Este retorno é armazenado na memória de longo prazo a fim de que o tomador de decisão possa revisar as suas regras e estimar melhor os riscos. A meta-cognição é o conhecimento sobre as limitações do tomador de decisão a respeito de suas próprias decisões.

Características de uma Boa Decisão:

Existem três diferentes caracterizações para uma boa decisão:
· Valor Esperado: uma boa decisão deve produzir o máximo valor de retorno, entretanto, este valor depende dos valores universalmente aceitáveis, mas normalmente, estes valores são pessoais.
· Retorno: boas decisões produzem bons resultados e decisões ruins produzem resultados ruins.
· Habilidade: decisões tomadas por pessoas experientes trazem resultados excepcionais, entretanto, não existe confirmação de que pessoas experientes tomem melhores decisões que novatos.

Diagnóstico e Detecção da Situação:

O entendimento da situação é um dos componentes mais efetivos na tomada de decisão. Conforme a figura 1 existem componentes do processamento de informação que podem influenciar na qualidade do diagnóstico:
· A Percepção das Sugestões: as sugestões são probabilísticas e requerem alguma inferência para gerar uma situação real. Os humanos são relativamente eficientes para estimar valores médios, proporção, entretanto, com proporções extremas, tendem a ser conservadores. Para seres humanos a variabilidade quando se compara valores menores é melhor percebida (sugestão: converter valores muito altos). Com relação às tendências, os seres humanos, extrapolam tendências não lineares (sugestão: não apresentar gráficos não lineares para que seja analisada uma tendência).
· A Atenção para Seleção e Integração da Informação: este processo envolve múltiplas sugestões e integração de diversas informações. Quando existir falta de informação o melhor caminho é esperar por mais informações na tomada de decisão, neste caso, o filtro de informações não é utilizado. A maior quantidade de informação não leva a decisões mais precisas, as pessoas tendem a ignorar a maior parte das informações através do filtro dificultando a integração (sugestão: avaliar o excesso de informações nas telas a fim de evitar a utilização de filtros). Sugestões mais atrativas como sons altos, luzes brilhantes, informações grifadas, diferenças de intensidade ou movimento, posições espaciais e informações colocadas na parte superior das telas são melhor percebidas (sugestão: utilizar informações atrativas). Informações que requerem cálculos matemáticos são difíceis de interpretar, integrar e em alguns casos são ignorados (sugestão: utilizar valores de fácil interpretação).
· A Memória de Longo Prazo (experiência): as pessoas diagnosticam uma situação, escolhem uma hipótese, percebem uma evidência com base na experiência, isto é, na memória de longo prazo. Caso a evidência de uma determinada situação seja ambígua, o diagnóstico será feito com base na experiência. Quando maior a disponibilidade e mais recente for a informação na memória de longo prazo, maior a probabilidade de a informação ser considerada na tomada de decisão. O excesso de confiança, proveniente da memória de longo prazo, pode fazer com que a busca da informação correta não seja feita (exemplo: acidente de Lexington pela confiança na bússola e da Varig pela certeza da escolha da rota correta). Âncoras mentais levam em conta somente a primeira impressão, isto é, o primeiro registro de memória encontrado, o que pode levar a um erro na decisão pela na busca de confirmações da informação, mesmo estando errada. (exemplo: acidente do TMI em que os operadores diagnosticaram excesso de água no núcleo do reator ao invés da falta e acidente da Varig em que o piloto até o último momento acreditava estar na rota correta).

Escolha da Ação:

Todo o processamento de informações é necessário para sustentar a escolha da ação. A satisfação na escolha da ação está associada à melhor escolha com base em um conjunto de atributos por ordem de importância. A incerteza na escolha da ação pode ser resultado da falta de entendimento da situação atual do mundo. Outro fator importante na tomada de decisão é o gasto ou economia de esforço para executar uma tarefa, isto é, a decisão está associada à antecipação de esforço a ser despendido. A escolha por situações arriscadas (exemplo: não conformidade com processos de segurança e qualidade), está associada à certeza do "custo da conformidade", então, muitas pessoas preferem assumir o risco a adotar processos. Neste caso, o que se interpreta é que o custo e esforço a ser empregado para obter a conformidade é menor que o risco da não-conformidade. O conhecimento e entendimento sobre o problema, o esforço da ação e o resultado esperado antecipam a tomada de decisão e a implementação da ação. Outro aspecto importante é o monitoramento constante da decisão e escolha da ação.

Melhorando a Tomada de Decisão:

Alguns pontos que podem melhorar a tomada de decisão:
· Habilidade e experiência;
· Feedback sobre decisões e ações;
· Treinamento em processamento de múltiplas informações, fontes e pressão de tempo;
· Elaboração de procedimentos que devem ser seguidos para melhorar a qualidade da tomada de decisão;
· Automação (integração de informação, representações gráficas para melhorar a avaliação dos riscos e formato da informação para minimizar a quantidade de atenção).

Acidente de Chernobyl

Acidente de Chernobyl

1 - Resumo do Ocorrido:

• Chernobyl em ucraniano significa absinto, uma substância extremamente amarga;
• O acidente de Chernobyl ocorreu à 01h23 do dia 26/04/1986 na planta de energia nuclear de Chernobyl perto de Prypiat, Ucrânia (parte da União Soviética);
• É considerado o maior acidente da história da energia nuclear (500 vezes a explosão de Hiroshima);
• Partículas radiativas atingiram partes da União Soviética ocidental, a Europa oriental e ocidental, a Escandinávia, as Ilhas Britânicas, e América Norte oriental;
• Grandes áreas de Ucrânia, Bielorrúsia, e Rússia foram contaminadas resultando na evacuação de 336 mil pessoas;
• Chernobyl possuía 4 reatores do tipo RBMK-1000 (high-power channel reactor - reator com urânio enriquecido refrigerado à água fervente, moderado a grafite), e juntos, eram capazes de produzir 10% da energia da Ucrânia;
• O reator 4 sofreu uma explosão catastrófica;
• O sistema de circulação de água do sistema primário, responsável pelo resfriamento do núcleo do reator, foi interrompido, gerando assim um superaquecimento do reator, que criou uma verdadeira bola de fogo dentro do edifício da planta, resultando em uma explosão de destruiu sua cobertura.

2 - Linha do Tempo:

1977 - Construção do Reator 1.
1978 - Construção do Reator 2.
1981 - Construção do Reator 3.1983 - Construção do Reator 4.
01h00 de 25/04/1986 - Início da experiência para avaliar se o turbogerador, girando por inércia, com o reator desligado, proveria energia suficiente para manter as bombas de água de circulação em funcionamento, mantendo uma margem segura de refrigeração do reator, enquanto os geradores diesel de emergência não entrassem em serviço. O reator produzia 3.200 MW térmicos.
03h47 de 25/04/1986 - A potência do reator foi progressivamente reduzida, chegando a 1.600 MW de potência térmica. Os sistemas necessários para a operação do reator (4 bombas de circulação para resfriamento e 2 bombas auxiliares) foram transferidos para o barramento do gerador no qual a experiência deveria realizar-se.
14h00 de 25/04/1986 - O sistema de resfriamento de emergência foi desligado para evitar que entrasse em funcionamento durante a experiência, fato que desativaria automaticamente o reator. Houve um aumento de consumo por parte do sistema elétrico da região e o Despacho de Carga suspendeu a redução de potência na usina, mantendo-se desligado o sistema de resfriamento de emergência.
23h10 de 25/04/1986 - A redução da potência foi retomada.
24h00 de 25/04/1986 - Houve troca de turno. O turno da noite contava com 256 funcionários.
00h05 de 26/04/1986 - A potência caiu para 720 MW (t) e continuava sendo reduzida.
00h28 de 26/04/1986 - O nível de potência estava em 500 MW (t). O controle foi passado para automático. A experiência que se pretendia realizar não estava prevista pelo sistema automático de controle. Passou-se para o controle manual, mas o operador não conseguiu recuperar com suficiente rapidez o desequilíbrio do sistema e a potência do reator caiu rapidamente para 30 MW, insuficiente para a realização da experiência. No período em que o reator funcionou em baixa potência, ele foi envenenado pela formação de xenônio, produto de fissão, forte absorvente de nêutrons e dotado de vida média bastante longa. Para controlar esta situação, podia-se aguardar 24 horas até que o xenônio fosse dissipado ou elevar-se a potência rapidamente. Mas a pressão em se realizar o teste foi maior, pois se não fosse feito naquela ocasião só seria realizado dentro de um ano.
00h32 de 26/04/1986 - A potência começou a ser elevada.
01h00 de 26/04/1986 - A potência ficou em 200 MW (t). Ainda estava com veneno e difícil de controlar, assim retiraram mais barras de controle. Normalmente um mínimo de 30 barras são mantidas no reator, deixaram apenas 6 barras das 211. Optou-se pela remoção das barras de controle, aumentando a potência do reator entrando num regime de funcionamento instável, com risco de sofrer elevações incontroláveis de potência. Permitiram esta situação deliberadamente e desligaram o sistema de refrigeração do reator, os sistemas de reserva e também o gerador diesel, que permitiria inserir as barras de controles em emergência.
01h03 e 01h07 de 26/04/1986 - Foi aumentado o total de bombas de circulação para 8, reforçando o sistema de refrigeração e diminuindo o nível de água no separador de vapor.
01h15 de 26/04/1986 - O sistema de desarme para baixo nível no separador de vapor foi desligado.
01h18 de 26/04/1986 - Aumentou-se o fluxo de água no núcleo do reator para evitar problemas com sua refrigeração.
01h18 de 26/04/1986 - Aumentou-se a potência, algumas barras foram movidas, manualmente, para além da posição-limite prevista e elevando a pressão no separador de vapor.
01h21m40 de 26/04/1986 - A taxa de fluxo de água de circulação foi levada abaixo do normal pelo operador a fim de estabilizar o separador de vapor, diminuindo a remoção de calor do núcleo.
01h22m10 de 26/04/1986 - Começou a se formar vapor no núcleo.
01h22m45 de 26/04/1986 - A indicação para o operador dava a impressão de que o reator estava normal. A resistência hidráulica do sistema de refrigeração atingiu um ponto menor do que o previsto para o funcionamento seguro do reator. O operador tentava, sem êxito, por meio de controles manuais, manter os parâmetros para o reator poder funcionar com segurança. A pressão de vapor e o nível da água caíram abaixo do permitido, fazendo soar os alarmes que exigiam o desligamento do reator. O operador desligou o próprio sistema de alarme.
01h22m50 de 26/04/1986 - A potência tinha caído a um valor que exigia o imediato desligamento do reator, mas, apesar disso, a experiência continuou.
01h23m04 de 26/04/1986 - O teste começa, desligaram o turbogerador, fechando as válvulas de entrada da turbina. Com isto, a energia para as bombas d'água foi abaixando, reduzindo o fluxo de água para resfriamento e por sua vez, a água no núcleo começou a ferver. A água que atuava como absorvedora de nêutrons, limitando a potência, fervendo, aumentou a potência do reator e o aquecimento. Estava criada uma situação irregular, com 8 bombas funcionando à potência de 200 MW, e não de 500 MW, conforme o estabelecido. Mais tarde, verificou-se que o ideal era uma potência de 700 MW (t).
01h23m21 de 26/04/1986 - A geração de vapor aumenta, devido ao coeficiente positivo do reator, aumentando a potência.
01h23m35 de 26/04/1986 - O vapor aumenta incontrolavelmente.
01h23m40 de 26/04/1986 - A ordem de desarmar o reator foi dada. A água começou a ferver e diminuiu a densidade do meio refrigerante, por sua vez o número de nêutrons livres aumentou, aumentando a reação de fissão. Com a inserção das barras, houve o deslocamento da água que refrigera os elementos combustíveis para dar lugar ao encamisamento e no primeiro instante houve uma subida brusca na potência ao invés do efeito desejado que é reduzir a potência. Toda a reatividade ficou concentrada na parte de baixo do reator.
01h23m44 de 26/04/1986 - A potência atingiu um pico de 100 vezes maior do que o valor de projeto.
01h23m45 de 26/04/1986 - As pastilhas começam a reagir com a água de circulação produzindo alta pressão nos canais de combustível.
01h23m49 de 26/04/1986 - Os canais se rompem e ocorre uma explosão de vapor. O operador tenta desenergizar o sistema de barras de controle, mas isso não ocorreu. Já existiam danos irreparáveis no núcleo.
01h23m21 de 26/04/1986 - Houve uma segunda explosão, a tampa de cimento do reator, de 2.000t, foi violentamente levantada a 14 m de altura e seus destroços foram espalhados por cerca de 2 km, espalhando no ar pedaços de material incandescente. 3/4 do prédio foi destruído, a tampa caiu sobre a beira da boca do núcleo, ficando em equilíbrio precário, deixando parte em descoberto. A explosão permitiu a entrada do ar. O ar reagiu com o bloco do moderador que é feito de grafite formando monóxido de carbono, um gás inflamável e que provocou o incendiamento do reator. Das 140 t de combustível, 8 t continham plutônio e produtos de fissão que foram ejetados junto com o grafite radioativo. Iniciaram-se várias explosões e outros 30 incêndios nas imediações. O aquecimento da água de circulação produziu grande quantidade de vapor, que penetrou no edifício do reator. A estrutura de grafite incendiou-se. Houve uma reação química com o grafite da estrutura e o zircaloy, que reveste os elementos combustíveis e os tubos de pressão de vapor e de água, liberando hidrogênio e monóxido de carbono, gases que, em contato com o oxigênio do ar, formam uma mistura explosiva.
9h30 de 27/04/1986 - Monitores de radiação na Central Nuclear de Forsmark, perto de Uppsala, Suécia, detectaram níveis anormais de iodo e cobalto, motivando a evacuação dos funcionários da área devido a vazamento nuclear.Começou-se a jogar em cima do reator areia e argila, dolomita (bicarbonato de cálcio e magnésio), boro e chumbo para reduzir a temperatura do material e nitrogênio para diminuir a concentração de oxigênio.
9h02 de 28/04/1986 - Moscou negou por 2 dias qualquer anormalidade. Mas a presença de rutênio nas amostras analisadas na Suécia era emblemática, visto que o rutênio se funde a 2.255 °C, sugerindo uma explosão grave. Quase 12 horas depois, o jornal na TV apresentou uma breve declaração de quatro sentenças, que "uma explosão, incêndio e fusão do reator tinha ocorrido na Central Nuclear Vladímir Ilitch Lênin" em Pripyat.
28/04/1986 - Toda a população de Pripyat começou a ser evacuada "sair em 2 horas e ficar três dias fora". Os 45.000 habitantes não puderam levar nada. Tudo, inclusive eles mesmos, estava contaminado por radiação.
30/04/1986 -O Pravda jornal do Partido Comunista, tocou no assunto. Para dar uma idéia de normalidade, as comemorações do 1° de maio tiveram seus desfiles normalmente realizados em Kiev, a capital ucraniana, e em Minsk, na Bielorússia.
17h00 de 30/04/1986 - O incêndio foi apagado. O aumento da temperatura prosseguiu por causa do incêndio da estrutura de grafite, dos processos espontâneos de desintegração nuclear dos isótopos formados no reator e das reações químicas dentro do recipiente, como oxidação de grafite e de zircônio e queima de hidrogênio.
3/05/1986 - A nuvem estava sobre o Japão.
5/05/1986 - A nuvem chega aos EUA e Canadá.
14/05/1986 - Mikhail Gorbáchov demorou 18 dias para falar sobre o acidente.
1986 - A IAEA (International Atomic Energy Agengy) citou a ação dos operadores como a principal causa do acidente.
Out, Nov e Dez /1986 - Os reatores 1,2 e 3 voltaram a funcionar.
30/07/1987 - 6 russos foram levados a julgamento por violação das normas de segurança que levaram à explosão do reator. Três foram declarados culpados e sentenciados a 10 anos em campo de trabalhos forçados.
Jan/1993 - A IAEA emitiu uma análise revisada do acidente Chernobyl, atribuindo como causa raiz do acidente o projeto do reator e não a erros de operação.
1997 - A área restrita foi aumentada. As chuvas e inundações da primavera, quando a neve derrete, tem feito com que a radiação se espalhe e o perigo aumente. Estas águas em 50 anos contaminarão o rio Pripyat e a bacia do Dnieper, o que afetará a vida de 10 milhões de pessoas.
(Fonte: http://www.energiatomica.hpg.ig.com.br/)

3 – Fatores Humanos - SHELL:

• Software:
– O software mostrava que o reator possuía estado normal durante o acidente;
– Irregularidades dos procedimentos contribuíram para o acidente.
• Hardware:
– Os operadores não conheciam o reator e seu funcionamento.
• Environment:
– Os custos reduzidos para a construção dos reatores possibilitavam apenas a retenção parcial dos reatores, permitindo que contaminantes fossem expelidos na atmosfera após a primeira explosão.
• Liveware:
– O corpo gerencial da planta era composto de pessoas sem conhecimento em reatores do tipo RBMK. O diretor VP e o engenheiro chefe vieram de plantas de energia convencionais. O engenheiro chefe dos reatores 3 e 4 possuía pouca experiência em reatores nucleares;
– Falta de treinamento de todos os envolvidos;
– Os operadores eram negligentes e violavam os procedimentos operacionais da planta por falta de conhecimento, treinamento e experiência.

4 – Pós-Acidente:

• Dificuldade em computar o número de mortos e vítimas, sendo que 1000 trabalhadores receberam a maior dosagem de radioatividade;
• Países como Rússia, Ucrânia e Bielorrúsia até hoje mantêm ações de descontaminação, gerando custos elevados para tratar dos efeitos do acidente;
• Depois do acidente surgiram vários casos de câncer, principalmente na glândula tireóide de crianças;
• Aumento de doenças genéticas, de malformações congênitas, de abortos involuntários, e de bebês prematuros;
• Índice crescente de defeitos congênitos entre os animais criados nas fazendas: “bezerros sem cabeça, membros, costelas ou olhos, porcos com crânios anormais“;
• Os relatórios iniciais predisseram dezenas de milhares de mortes de câncer dentro de algum tempo em conseqüência da radiação. Até 2002, mais de 4000 casos de câncer de tiróide já constatados;
• A boa notícia é que o câncer de tireóide é quase sempre curável;
• Hoje em dia, as outras unidades da Central Nuclear de Chernobyl continuam em operação. Na unidade acidentada foi construído um "Sarcófago", ou seja, um verdadeiro caixão de cimento construído por trabalhadores russos logo após o acidente para evitar a maior liberação de radiação para o meio ambiente. Esse Sarcófago previa constantes ajustes e reparos, que não vem ocorrendo;
• Houve aumento de problemas psicológicos, devido pouca informação sobre os efeitos, além da depressão econômica que se seguiu;
• Incidência de Catarata é outra doença a ser observada. Não há indicações de efeitos na reprodução, ou efeitos na fertilidade da população;
• Decréscimo em nascimentos ocorreu devido a medo da população em se reproduzir e mudança dos jovens para outras regiões devido acidente;
• A população dos territórios sob os efeitos recebeu o rótulo de “vítimas de Chernobyl”, encorajando aos indivíduos se considerarem inválidos, ao invés de sobreviventes;
• O principal problema ambiental de longo prazo foi contaminação do leite e da carne, utilizáveis como alimentação;
• O futuro em longo prazo (próximos 100 anos) é recuperar a “zona de exclusão”, redefinindo-a para tornar as áreas menos afetadas disponíveis para uso limitado pelo público;
• Quanto ao aspecto econômico, o custo elevado envolvido gerou carga fiscal insustentável. Apesar da conclusão de alguns programas, altas somas continuam sendo pagas na forma de benefícios sociais para aproximadamente 7 milhões de pessoas nos países envolvidos;
• A população das regiões afetadas está sujeita a um alto risco de pobreza como nunca se viu.

5 – Como o acidente poderia ter sido evitado?

• Software e Hardware:
– Treinamento dos operadores no reator e seu funcionamento;
– A segurança deve ser mais importante que redução de custos;
– Os projetos devem considerar a segurança as limitações humanas;
– Projetar o equipamento para mostrar a situação real dos reatores.
• Environment:
– Introduzir cultura de cumprimento de procedimentos de segurança;
– Evitar a influência de ambiente político restritivo em tecnologias de interesse mundial;
– Tornar as informações transparentes inclusive para os operadores;
– Ter especial atenção à comunicação adequada entre a equipe de segurança e os operadores;
– Avaliar quanto desligamento de sistemas de segurança, somente com autorização da gerência técnica;
– Conduzir os experimentos em condições e horário adequado, pois não ficou claro se foi prudente a execução do experimento de madrugada, certamente com uma equipe mais limitada.
• Liveware:
– Corpo gerencial da planta composto de pessoas com conhecimento do tipo de reator e em segurança.
– Introduzir treinamento regular de todos os envolvidos;
– Evitar operadores negligentes que violem os procedimentos operacionais da planta.

6– Referências:

• Nuclear Tecnologia e Consultoria. Disponível em: http://www.nuctec.com.br/ . Acesso em 27 set. 2006.
• Monitor Nuclear. Disponível em: http://www.energiatomica.hpg.ig.com.br. Acesso em 27 set. 2006.
• Wikipédia – Enciclopédia Livre. Disponível em: http://en.wikipedia.org/wiki/Chernobyl_accident#The_accident. Acesso em 25 set. 2006.
• Chernobyl 20 Years Report. Disponível em: http://quickstart.clari.net/voa/art/gu/2005-09-05-voa28.html. Acesso em 26 set. 2006.

Capítulo 7 - Memory and Training (Resumo- rev02)

Livro: Engineering Psychology and Human Performance. (3a. ed)
Autor: Wickens, C. D.; Hollands, J. G.
Editora: Prentice-Hall, 1999

Neste capítulo os autores relatam sobre os fenômenos da divisão funcional da memória humana e a capacidade que temos para captar, armazenar e resgatar informações utilizando os códigos sensoriais, a memória de trabalho e a memória de longo prazo. Outro ponto amplamente discutido é a influência do treinamento, aprendizado e construção do conhecimento, na capacidade de memorização e resgate das informações em situações diversas.

TIPOS DE MEMÓRIA

Working Memory : A memória de trabalho, também chamada de memória curta, é a interface entre a percepção da realidade pelos sentidos e a formação ou evocação de memórias armazenadas. Para exemplificar a memória de trabalho poderíamos dizer que é a memória de um número telefônico que alguém nos diz e esquecemos logo depois de discar. A memória de trabalho não forma arquivos duradouros, nem deixa traços bioquímicos. É funcionalmente distinta dos outros tipos de memória, as quais formam arquivos por meio de uma seqüência de eventos bioquímicos. Segundo Brown (1959) e Peterson (1959) o tempo de armazenamento na memória de trabalho é de aproximadamente 20 segundos.

Long-term memory : A memória de longo prazo ou memória permanente recebe essa denominação pela capacidade de armazenar informações permanentes e para sempre. Também é conhecida como memória de longo prazo porque é uma memória de grande capacidade, aliás, capacidade até dita ilimitada segundo alguns especialistas. O que efetivamente ainda não se sabe é como são colocadas tamanhas quantidade de informações em tempo relativamente curto. um exemplo que mostra a validade desta afirmação é o caso de pessoas que se dedicam a estudar certos temas com profundidade de detalhes, sendo capazes até de dizer a página do livro que contém certa informação.

OPERAÇÕES BÁSICAS DA MEMÓRIA

Codificação : A codificação refere-se ao modo como o ser humano transforma input físico sensorial em uma espécie de representação que pode ser colocada na memória. O modo como as informações são codificadas terá um forte impacto sobre uma posterior recuperação destas informações. Baddeley (1995), apresenta três componente básicos da codificação, sendo : o verbal, subdivido em fonológico, responsável pela captação de sons e palavras e o articulátorio responsável pela captação dos gestos; o visuo-espacial responsável pela captação das imagens e o executivo central (coordenador de atividades) que é utilizado quando se lida com tarefas de maior demanda cognitiva, preenchendo diversas funções, entre elas, o controle do fluxo de informações , o processamento e armazenamento de informações e a alimentação da entrada de informações para a alça fonológica e para a alça visuo-espacial. Baddeley alerta para os conflitos existentes entre a memória de trabalho e a central executiva, principalmente na “sobreposição” de informações em situações críticas.

Armazenamento : O armazenamento refere-se à maneira como o ser humano mantém a informação codificada na memória de longo prazo.

Recuperação : A recuperação refere-se a lembrança ou acesso as informações armazenadas na memória. Um problema que surge quando se estuda a memória é o de entender porque, às vezes, algumas pessoas têm dificuldade em recuperar a informação.

Os psicólogos cognitivos encontram dificuldades para distinguir entre disponibilidade (informação armazenada permanentemente na memória de longo termo) e acessibilidade (grau que se tem acesso à informação disponível). O desempenho da memória depende da acessibilidade da informação a ser lembrada, considerando que esta esteja disponível.

A figura 01 representa as operações básicas da memória, É importante observar que o fluxo aprendizado e treinamento são fundamentais no processo de memorização. O aprendizado e treinamento representam a transferência das informações para a memória de trabalho e o armazenamento destas diretamente na memória de longo prazo (termo).

Figura 01 : Representação funcional da memória - adaptado por Oliveira, A. 2006

INTERFERÊNCIA DE CÓDIGO

Na memória de trabalho a captação simultânea dos sinais fonéticos-verbais e visuo-espaciais agem de forma cooperativa. No entanto, as tarefas não recebem a mesma atenção. O esquecimento ocorre porque a captação de uma nova informação interfere na antiga e finalmente a desloca.

INTERFERÊNCIA NA CENTRAL EXECUTIVA

Baddeley (1996) e demais pesquisadores, investigam o funcionamento do controle central da memória de trabalho, ou central executiva, subdividindo-os em quatro partes, sendo : 1ª) Coordenar a performance de múltiplas tarefas, 2ª) Manipular informações da memória de longo termo e 3ª) Recuperar informações da memória de longo temo e finalmente reagir de forma seletiva a estímulos externos.

HABILIDADE DA MEMÓRIA

Quando recebemos um grande volume de informações, como quando lemos um livro por exemplo, temos a capacidade de compreender temporariamente um parágrafo e ao término do capítulo compreender todo seu contexto. Considerando que a memória de trabalho retém informações por pouco tempo, Ericsson e Kintsch (1995) propõem que existem mecanismos na memória de trabalho capazes de resgatar informações na memória de longo prazo e “reorganizá-la” na memória de trabalho.

Jogadores profissionais de Xadrez tem mais habilidade do que os novatos para reconstruirem posições, após uma rápida visão do jogo. A experiência e a prática em determinadas tarefas influenciam diretamente nas atividades da memória.

CIÊNCIA COGNITIVA

A Ciência Cognitiva nos explica o princípio básico da inteligência: a percepção. Nossa capacidade perceptiva evolui de acordo com o que recebemos do mundo e como nosso cérebro se "otimiza" para reconhecer padrões importantes e recorrentes.

Figura 02 – Arquitetura cognitiva genérica (adaptado de WICKENS, 1992, p.17)

* Figura extra , não pertence ao capítulo 7.

APRENDIZADO E TREINAMENTO

Diversos pesquisadores estão empenhados em desenvolver técnicas voltadas para o aperfeiçoamento da memorização, bem como, para o resgate das informações armazenadas na memória de longo prazo. Com a mesma intensidade, pesquisadores estudam os modelos mentais para compreender a relação entre o treinamento, a prática de trabalho, o conhecimento adquirido ao longo da vida e a concepção da memória.

O processo de cognição envolve uma variedade de funções que objetivam transformar as informações vinda da memória em aprendizado, tomada de decisão, planejamento, etc.

CONSCIÊNCIA

Mudanças em determinados ambientes podem afetar pessoas que já construíram determinados valores deste ambiente. Por exemplo, se ocorrer um mudança brusca em determinado circuito de corrida, é provável que pilotos com mais experiência sejam afetados.

RACIOCÍNIO INTUITIVO

É a capacidade de recuperar e processar princípios qualitativos com menor sensibilidade à interferência pela resposta esquecimento & aprendizagem. Com o desenvolvimento, o indivíduo vai tender cada vez mais ao processamento intuitivo.

PERCEPÇÃO/COGNIÇÃO - O PODER DA EXPERIÊNCIA

Considerando diferentes sujeitos envolvidos com uma mesma planta, a interpretação de um display de controle varia em função da experiência do sujeito.

CONHECIMENTO E A MEMÓRIA DE LONGO TERMO.

A informação é codificada na memória de longo prazo através da educação e treinamento e pode ser representada por duas variadas formas, sendo : o conhecimento declarativo e o conhecimento procedural. O conhecimento declarativo se refere à informação factual, imutável, cuja organização tem a forma de fatos conectados e passíveis de descrição. Já o conhecimento procedural, em contraste, refere-se ao conhecimento básico, fundamental de ações de grande habilidade, e sua natureza tende a ser dinâmica e modificável. Este conhecimento não se mostra claramente para nós, sendo mais fácil mostra-lo do que falar sobre ele. Ele resiste à descrição verbal, não pode ser tão controlado como o declarativo.

CONSIDERAÇÕES FINAIS

As ações e reações humanas são dependentes da construção do conhecimento em nossa memória. O capítulo discutiu aspectos relevantes da composição da memória de trabalho e memória de longo prazo. As diferentes propriedades de cada uma e ainda suas características na codificação, armazenamento e recuperação da informação. As técnicas de treinamento para condicionar a memória também foram discutidas.

Capítulo 3 – Attention in Perception and Display Space (Resumo - versão extendida)

Livro: Engineering Psychology and Human Performance. (3a. ed)
Autor: Wickens, C. D.; Hollands, J. G.
Editora: Prentice-Hall, 1999

Visão geral

O capítulo descreve diversas características da percepção humana do mundo em que vivemos, reconhecendo que este seja um dos grandes gargalos durante nosso processamento de informações. Basicamente nossas falhas de atenção podem ser descritas formalmente em três categorias:

Atenção Seletiva: em algumas situações nós selecionamos aspectos não apropriados do ambiente. Pelo fato de estarmos preocupados com um determinado problema, desconsideramos outros aspectos críticos ou outras referências que estão ao nosso redor. O caso do Vôo 254 da Varig é um exemplo disto, pois os pilotos estavam tão preocupados com o fato de encontrarem Belém que não perceberam que estavam ficando sem gasolina. Por terem se perdido, poderiam ter procurado o pouso o mais rápido possível tentando se localizar em terra.

Atenção Focada: Muitas vezes somos incapazes de nos concentrarmos em uma única fonte de informação no ambiente. Apesar de até querermos isso, nós temos a tendência de nos distrairmos. A diferença entre falhas de atenção seletiva e focada é que na primeira há uma escolha intencional apesar de desapropriada para processar fontes não ótimas, e na segunda este processamento de fontes não ótimas ou ideais é dirigido pelo ambiente externo, apesar dos esforços em manter-se a atenção.

Atenção Dividida: Quando problemas de atenção focada são encontrados, alguma parte de nossa atenção é direcionada para estímulos ou eventos que não desejamos processar. Quando problemas de atenção dividida são encontrados, nós somos incapazes de dividir nossa atenção entre estímulos ou tarefas, nós desejamos processar todas elas. Na verdade, os limites da atenção dividida descrevem nossa habilidade em desempenhar tarefas concorrentes e integrar diferentes fontes de informação.


Atenção Seletiva – Amostra visual

Somente uma pequena região do nosso campo visual percebe detalhes. Esta região, chamada de fóvea, tem cerca de 2 graus de ângulo visual. Para manter os objetos nesta região, o globo ocular tem dois diferentes tipos de movimentos. Movimentos de perseguição que ocorrem quando o olho segue um alvo que esteja cruzando seu campo de visão (movimento contínuo. Ex: a trajetória de uma bola ou um pássaro). Movimentos sacádicos são discretos, eles saltam de um ponto estacionário para outro, dentro de nosso campo visual.

O comportamento sacádico utilizado em amostras visuais tem dois componentes: o salto e a fixação. Durante o salto, o sistema visual suprime a entrada visual e mostra a informação que pode ser processada somente durante a fixação. Esta é caracterizada pela localização (o centro da fixação), um campo útil de visão determinado pelo diâmetro ao redor da localização central da qual a informação é extraída e pelo tempo de permanência naquele ponto.

O comportamento da amostra visual tem sido estudado em dois contextos diferentes, o controle supervisionado e a busca do objetivo. No primeiro, o operador rastreia a tela de um sistema complexo sob supervisão. Em uma aeronave, por exemplo, com fixações em vários instrumentos que representam fontes de informação. No segundo, o operador rastreia uma região do mundo visual, procurando por algo em uma localização desconhecida, como uma missão de busca e resgate de uma queda de avião.


Otimização da atenção seletiva

Psicólogos dividem os estímulos do ambiente em canais, ao longo dos quais eventos críticos podem ocorrer periodicamente. Assumem que a amostra ambiente é guiada pelo custo esperado que resulta quando um evento é perdido. A probabilidade de perda do evento, por sua vez, está diretamente relacionada à freqüência do evento e sua incerteza.

Seis conclusões gerais deste estudo estão descritas abaixo:

1. Modelo mental guia as amostras: as pessoas parecem formar um modelo mental das propriedades estatísticas dos eventos no ambiente e usam isto para guiar sua amostra visual. O modelo mental consiste de um conjunto de expectativas sobre a freqüência dos eventos e quando ocorrerão em cada canal, e ainda a correlação entre os eventos em pares de canais. Com o modelo mental do operador, os padrões de fixação deveria ajudar o projetista no arranjo das informações no display resultando em um ótimo desempenho.
2. Ajuste da taxa do evento: qual a freqüência com que um evento ocorre.
3. Amostragem afetada pelo arranjo: a disposição dos instrumentos em um painel importa para o desempenho da monitoração humana.
4. Memória imperfeita, amostra imperfeita: as pessoas tendem a repassar as informações mais freqüentemente do que elas realmente precisam pois possuem uma memória imperfeita.
5. Auxilio das previsões: quando as pessoas tem uma previsão dos eventos que são mais prováveis de ocorrer no futuro, as amostras e chaveamentos tornam-se otimizados. Isso pode ajudar a antecipar demandas de diferentes recursos, porém quando o número de canais aumenta, as pessoas falham na obtenção de vantagens da previsão, aparentemente por causa do peso da carga no trabalho de memorização.
6. Estratégias de processamento: Quando um sistema sob supervisão falha, os operadores param de examinar o status de outros sistemas até ter um diagnóstico do sistema que falhou. O operador mantém sua atenção no indicador de falha, o que representa uma enorme perda da atenção visual se o tempo for longo.

Movimento dos olhos na busca por referências

Expectativas do ambiente: a busca de um alvo é dirigida em parte por fatores cognitivos relacionados a expectativa de onde ele é mais provável de ser encontrado. As pessoas tendem a fixar mais nas áreas que contém o maior número de informações.

Fatores de tela e saliência: a atenção visual será dada para aqueles itens do display que forem maiores, coloridos, brilhantes e que sofreram mudanças. Esta característica pode ser explorada para a localização de avisos e chamar a atenção especialmente em uma visão periférica.

Display dirigido e processamento dirigido conceitualmente: importante para prevenir um evento inesperado. É um conjunto de sinais que indicam um caminho, basicamente orienta o operador a seguir os passos corretamente.

Cobertura de pesquisa e o campo útil de visão: uma área circular onde o ponto de fixação da informação necessária para a tarefa pode ser extraído.

Tempo de fixação: esse tempo está associado com a dificuldade da extração de informação do equipamento ou display.


Modelos de busca visual

A disposição física das fontes é importante no processo de busca das informações. Dependendo da forma como as variáveis estiverem dispostas, o tempo para se alcançar o objeto de pesquisa sofrerá enorme influência. A forma e a disposição devem propiciar uma busca serial ou paralela, dependendo da facilidade da identificação dos elementos.

Vários itens de um campo podem ser processados em paralelo. Na leitura, por exemplo, quando fixamos em uma palavra, todas as letras que estão dentro dela são processadas simultaneamente.

Embora a atenção dividida e o processamento paralelo sejam características boas para o desempenho humano, particularmente em ambientes de alta demanda, como um controle de tráfego aéreo, é às vezes impossível direcionar o foco da atenção. Esta falha ocorre quando a atenção dividida torna-se obrigatória, ao invés de opcional.

As visões sobrepostas podem facilitar a atenção dividida entre dois canais. O head-up display utilizado em aviões facilita o processamento paralelo da cena e simbologia.

Embora a proximidade no espaço possa algumas vezes permitir uma atenção dividida com sucesso, o que parece é que esta aproximação aumenta a confusão entre aqueles itens que são momentaneamente o foco de atenção e aqueles que não são, ocasionando falhas. A primeira evidência que suporta esta afirmação é que a densidade espacial dos objetos tem pouco efeito no tempo de busca visual. Segundo que a variável mais crítica na predição de desempenho é o grau de separação espacial entre os itens relevantes e irrelevantes, não a separação entre os itens relevantes entre si.

Diferentes tarefas são servidas diferentemente por displays mais ou menos integrados representando explicitamente o princípio da compatibilidade da proximidade. Para entender este princípio, devemos distinguir entre proximidade de display e proximidade de processamento. A primeira define quão perto dois componentes de display estão. A distância entre os componentes pode ser definida em termos espaciais (ex: os componentes estão a 1 cm de distância) ou em termos de propriedades baseadas em objeto (ex: os componentes são exibidos como parte do mesmo objeto). A proximidade de display pode ser acrescida de outros fatores, tais como o uso de cores comuns ou a codificação de cada variável utilizando uma dimensão comum. A segunda forma de proximidade define a extensão pelo qual duas fontes de informação são usadas dentro da mesma tarefa. Se uma tarefa requer uma alta proximidade de processamento, deveria haver uma alta proximidade de display. Caso contrário, se a tarefa requer uma baixa proximidade de processamento, deveria existir uma baixa proximidade de display.


Codificação por cor

Aspectos positivos:

1. Objetos codificados por cor são rapidamente percebidos;
2. Certas cores tem um significado simbólico bem definido na população;
3. A codificação por cor ajuda a separar elementos espacialmente em um display (ex: a codificação de cores em diferentes regiões em um mapa, de acordo com a temperatura);
4. Características de tamanho, forma e localização podem ser combinadas com a codificação por cores.


Alguns cuidados:

1. A cor está sujeita aos limites do julgamento absoluto. Para garantir que o valor e o significado de uma cor não seja confundido, o projetista não deveria usar mais que cinco ou seis cores no display. A percepção das cores é também prejudicada pela luz ambiente.
2. Cores não definem naturalmente uma ordem. Não é muito efetivo, por exemplo, utilizar código de cores para representar variáveis de velocidade e densidade.
3. Estereótipos da população podem produzir um projeto ruim se um esquema de codificação associar uma cor com significados conflitantes. Por exemplo, suponha que um esquema de codificação de temperatura é projetado com o verde representando baixa temperatura, mas no sistema, temperaturas muito baixas sinalizam uma condição de operação insegura. Neste caso, o estereótipo da população da cor verde associada com segurança não é o que deverá ser inferido pelo operador.
4. Codificação de cores irrelevantes podem causar distração. Quando cores diferentes são usadas para destacar diferentes áreas ou itens, é importante que a distinção feita pelas cores seja compatível com as distinções cognitivas relevantes que devem ser interpretadas pelo operador.

Audição

A audição é diferente da visão em dois aspectos relevantes. Primeiro, o senso auditivo pode receber informações de qualquer direção. Segundo, a maioria das entradas auditivas são transientes, ou seja, uma palavra ou tom é ouvido e então termina, contrastando com a maioria das entradas visuais, que tendem a estar continuamente disponíveis.

As mensagens auditivas diferem umas das outras em dimensões como localização, tom, volume e conteúdo semântico.

Um experimento conduzido por Darwin, Turvey e Crowder sugere que três canais espaciais podem ser processados sem distração se um é apresentado a cada ouvido e um terceiro é apresentado com igual intensidade para ambos os ouvidos. Pode ser que o piloto de um avião, por exemplo, não consiga processar as três entradas em paralelo, uma vez que elas podem exigir uma análise semântica mais apurada, mas ao menos ele poderá focar em uma com um pequeno grau de intrusão das demais mensagens.

Avanços em tecnologia multimedia tem tornado possível a visão de textos ou imagens e o áudio de informações simultaneamente quando nós visitamos uma página web. Alguns experimentos sugerem que dividir a atenção entre modalidades diferentes (exemplo, visão e audição) pode ser melhor que dividir a atenção dentro de objetos de uma mesma modalidade. Normalmente se diz que quando entradas referentes ao sentido da visão conflitam com entradas de outras modalidades, o aspecto visual acaba se tornando dominante.

O domínio visual pode ser moderado em alguns casos. Quando a referência visual conflita com a referência auditiva, a primeira é dominante se o objeto destino for visual, mas a segunda é dominante se o objeto destino for auditivo. Em suma, quando um estímulo auditivo entra abruptamente no ambiente de atividade visual, ele provavelmente chamará atenção para si e alertar o operador. Como conseqüência, dispositivos sonoros são geralmente preferidos como avisos, quando comparados com sinais visuais. No entanto, se o estímulo visual aparecer na mesma freqüência e fornecer informação do mesmo tipo ou importância que o estímulo auditivo, haverá uma tendência dominante em direção a fonte visual, principalmente se a atividade tiver esta natureza.

Considerações Finais

Durante vários momentos, os comandantes do vôo 254 da Varig tiveram sinais visuais importantes indicando problemas com a rota. A interface com o HSI, instrumento indicador da posição horizontal, trouxe confusão quanto ao ângulo correto na saída da aeronave, pois apesar de toda a experiência do piloto ele não soube interpretar corretamente seus dados de entrada.

O PMS (Performance Management System), próximo à região que o piloto supunha ser Belém, indicava uma distância negativa, um sinal de que alguma coisa não estava indo bem. Depois várias referências geográficas passaram despercebidas diante dos pilotos, como a posição do sol na decolagem, não ter encontrado os landmarks esperados na chegada a Belém e ter seguido o curso do Rio Xingu ao invés do Amazonas. A confusão com as freqüências de rádio, a falta de radar em Belém e as consultas equivocadas às cartas de navegação, mapas e planos de vôo mostram que a confusão mental, talvez por excesso de confiança, atrapalhou a captação e interpretação dos diversos sinais visuais recebidos durante todo o vôo. Talvez se outros órgãos do sentido tivessem sido estimulados neste período, este estado de desatenção pudesse ter sido desfeito. Um alarme (warning) vindo do PMS, talvez mexesse mais com o estado de vigilância dos comandantes que apenas o retorno da distância com o sinal negativo.

Particularmente o excesso de confiança do co-piloto em relação ao piloto (ele não discutiu os valores de entrada do início do vôo, apenas copiou), e o excesso de confiança do piloto em relação a si mesmo, trouxeram problemas de interpretação equivocada e, principalmente, desconsideração aos sinais explícitos e implícitos dados pela aeronave (fenômeno da atenção seletiva).

Vôo 254 da Varig

O vôo

No dia 3 de setembro de 1989, o vôo 254 da Varig saindo de São Paulo com destino a Belém do Pará não consegue completar o seu objetivo. Às 21:06h (GMT-3), o avião teve que fazer um pouso forçado em plena floresta amazônica, ao norte de Mato Grosso.

Detalhes do vôo

O vôo 254 foi planejado para partir de São Paulo a Belém, com escalas nas cidades de Uberaba, Uberlândia, Goiânia, Brasília, Imperatriz, Marabá e finalmente Belém. A rota tem uma duração aproximada de 8 horas e 20 minutos.

Às 9:43h, o vôo deixou o aeroporto internacional de Guarulhos, seguindo para Belém, cumprindo todas as suas escalas. Numa delas, em Brasília, houve troca de tripulação. Às 17:20, realizava-se os preparativos finais para seguir até Marabá, seu último destino.

O desastre

Enquanto o co-piloto fazia uma inspeção externa da aeronave, o piloto, capitão Garcez, consultava o plano de vôo para direcionar o HI (Heading Indicator que é o instrumento indicador de situação horizontal) até Belém. Havia no plano a indicação do número 0270, que para o capitão Garcez significava 270 graus, mas na realidade, deveria ter sido lido como 027.0 graus. A notação não especificava claramente a posição do ponto decimal, que implicitamente ficaria a esquerda do dígito mais à direita. A confusão feita pelo piloto, somada a outras negligências menores, foi a primeira causa desse desastre.

O capitão definiu o HSI (Horizontal Situation Indicator) do avião para 270 graus, que correspondia seguir pelo curso oeste, completamente inconsistente com um vôo Marabá-Belém. Na consulta ao mapa isto estaria claro.

Depois do HSI, Garcez programou o PMS (Performance Management System) para a distância de 187 milhas náuticas (346 km) até Belém. O plano indicava uma altitude de 29000 pés (nível de vôo 29), e a duração de 48 minutos.

Na chegada do co-piloto a seu posto, ao invés dele checar seu próprio plano de vôo e ajustar seu HSI, ele se limitou a checar o indicador do capitão e definir seus equipamentos com os mesmos parâmetros.



Horizontal Situation Indicator [1]


Às 17:45h, o avião decola de Marabá, e o piloto automático inicia uma curva de 158 graus ao invés dos 41 graus esperados em um vôo regular até Belém. Quando Garcez acreditava estar próximo a seu destino, ele tentou usar o rádio para se comunicar com a torre de Belém, mas falhou em fazer contato diretamente. Ele só conseguiu por intermédio de outra aeronave, do vôo 266. No contato com Belém, ele solicitou permissão para a aterrissagem, e recebeu. Ao iniciar a descida, ele não reconheceu algumas das características geográficas da área de Belém, como a ilha de Marajó e o estuário do Rio Amazonas. Ele chegou a perguntar pra torre se a cidade estava sem energia elétrica. Em 1989, o aeroporto de Belém, não possuía radar, e limitou-se a informar que o vôo 254 era o único no espaço aéreo e que poderia aterrissar.

Depois que o PMS começou a indicar uma distância negativa a seu destino, o capitão Garcez resolveu realizar uma volta de 180 graus para visualizar Belém. Também baixou o nível de vôo para 4 (4000 pés) e reduziu a velocidade para 200 nós. Relutante em utilizar o rádio para pedir ajuda, decidiu tomar uma referência visual do rio que se localizava abaixo da aeronave, acreditando ser o rio Amazonas, mas na verdade era o rio Xingú (que corre predominantemente de Norte a Sul, enquanto que o Amazonas corre de Oeste a Leste).

Rota aproximada do vôo 254 até sua queda [2]

Neste instante, o vôo já estava atrasado em 30 minutos, e os passageiros começavam a ficar ansiosos. Foi quando finalmente o co-piloto percebeu seu erro inicial, e após checar suas cartas náuticas, decidiram fazer contato com o aeroporto de Santarém, que acreditavam ser o aeroporto mais próximo. Realizaram uma volta de quase 180 graus, estabelecendo um novo curso. Entretanto, depois de alguns cálculos, o capitão Garcez percebeu que o avião não tinha combustível necessário para chegar a Santarém, e direcionou para o sul novamente. Finalmente, ele decidiu contactar o aeroporto de Marabá, para descobrir sua localização. Mas a freqüência do localizador de Goiânia era a mesma de Marabá, e o capitão faz o ajuste pra cidade errada novamente, sem perceber que o identificador não era compatível com Marabá.

Às 20:05h, a central em Belém chama o vôo 254 solicitando um relatório. O capitão informou que ele seguia a Marabá (mas na verdade era Goiânia) e que ele estava recebendo suporte da estação de Carajás (porém era Barra do Garça). Garcez assustou-se ao ser informado que o localizador (radiofarol) de Belém estava fora do ar desde as 19:30h. Percebendo que não teria combustível suficiente para chegar a Belém, o capitão decidiu direcionar-se para Carajás. Como mais um azar, o avião havia passado cerca de 100 milhas náuticas da base aérea da Serra dos Cachimbos, que serviria perfeitamente para a aterrissagem do 737, com o combustível de reserva.

Depois de tudo isso, era inevitável que o avião tivesse que fazer um pouso forçado no meio da floresta, ao norte de Mato Grosso (naquele tempo, não haviam procedimentos para tais situações de emergência). Os pilotos decidiram voar a 8000 pés até que acabasse todo o combustível, evitando uma possível explosão no momento da colisão com o solo. Durante a descida, eles viram poucas luzes através da floresta, que deveriam ser algumas casas de fazendas com geradores elétricos.

Às 20:40h, Garcez informou Belém que ele faria um pouso forçado na floresta, e quando eles estavam com 15 minutos para acabar o combustível, o piloto informou aos passageiros da situação:

"Senhoras e senhores passageiros, é o comandante quem vos fala. Tivemos uma pane de desorientação dos nossos sistemas de bússola. Estamos com nosso combustível já no final ainda com 15 minutos. Pedimos a todos que mantenham a calma porque... uma situação como esta realmente é muito difícil de acontecer. Deixamos a todos com a esperança de que isso não passe de apenas um...um susto para todos nós... Pela atenção muito obrigado e... que tenham todos um bom final"

Quando havia 100 quilos de combustível restante, o motor 1 parou. Dois minutos depois, o segundo motor também parou. As hélices ainda giravam através da ação do vento, que dava um controle hidráulico não confiável e rudimentar, porém melhor que nada. O piloto comandava a descida dos flaps, mas estes se moviam apenas até a posição 2 (cerca de 10 graus). Com as baterias descarregadas, não havia energia elétrica e somente os instrumentos de horizonte artificial, o altímetro, o indicador de velocidade e o indicador de velocidade vertical funcionavam no interior do cockpit.




Indicador de altitude (horizonte artificial) [1]


A única coisa que a tripulação podia ver no horizonte eram alguns pontos de luz devido a distantes queimadas.

Às 21:06h, o avião colide contra o solo por cima de topos de árvores que alcançavam 50 metros do chão. A desaceleração provocada pela batida foi tão intensa que os passageiros sem o cinto de segurança voaram até a frente do avião, e algumas cadeiras desgrudaram do chão. Quando o avião passou através das folhagens, duas árvores arrancaram as asas e causaram uma forte torção da fuselagem, que contribuiu para que mais assentos se despregassem do chão. Depois de reduzir sua velocidade para 35 nós, o avião andou mais 30 metros e parou, deitando para seu lado direito.




Foto do Boeing 737 após o acidente, na localidade de São José do Xingú [3]


Conseqüências

Dois dias depois, quatro dos sobreviventes decidiram tentar caminhar e procurar por ajuda. Depois de três horas e 40 Km de caminhada na floresta, eles encontraram a casa da fazenda Curunaré, em São José do Xingu. A fazenda não tinha rádio, então seguiram de carro a outra fazenda, Serrão da Prata, às 12:30h de terça-feira. Com o auxílio do operador de rádio João Capanema Jr., eles contactaram o aeroporto de Franca em São Paulo, e às 16:27 daquela terça, um avião Bandeirante da Força Aérea Brasileira (FAB) jogou pacotes de comida sobre os destroços. Às 12:00h de quarta-feira, todos os sobreviventes haviam sido resgatados pela FAB.

Linha do Tempo


09:43 O RG-254 sai de São Paulo em direção a Belém

17:20 Preparativos finais da tripulação no aeroporto de Marabá. Definição da direção no HSI

17:45 Decolagem do aeroporto de Marabá

18:00 Por do sol, não observado pelos comandantes da aeronave

18:23 O avião deveria estar chegando a Belém

20:05 Belém chama o vôo 254 solicitando um relatório devido a demora

20:10 Garcez comunicou que tinha proa 170 de Marabá (na verdade Goiânia)

20:30 A aeronave passa pela base aérea da Serra dos Cachimbos (sua última chance de pouso controlado)

20:40 Garcez informa Belém que ele teria que fazer um pouso forçado

20:57 Parada do motor número 1

21:06 O avião colide contra o topo das árvores no meio da floresta [4]



Causas oficiais

Após investigação, conclui-se que a queda teve sua causa principalmente devido a negligência por parte da população do Boeing 737. Em muitas ocasiões o capitão poderia ter percebido e corrigido seu erro. Outras investigações mostraram também que o avião estava em perfeitas condições para voar, e que as inspeções periódicas obrigatórias haviam sido realizadas corretamente.

Pode ser notado ainda outro fato interessante que poderia ter ajudado a tripulação a perceber seu erro logo no início. A aeronave iniciou sua decolagem apontando direto para a direção oeste, por volta das 18:00h. Neste horário, o sol estava se pondo, e estava visível em frente da cabine. Se eles tivessem feito a rota correta, o sol deveria estar a esquerda do avião, indicando a direção correta seguindo para o norte. A tripulação deixou passar mais uma referência importante.

Teorias

Diz-se que a principal razão de tais distrações da tripulação foi devido ao fato de Garcez e Zille estarem supostamente ouvindo um jogo entre a seleção brasileira e a chilena em uma partida valendo pelas eliminatórias da copa do mundo de 90. Alguns relatórios mais extremistas mencionaram que o capitão estava praticando atos sexuais com uma das comissárias. Nenhum desses relatórios foi confirmado ou aceito oficialmente como verdadeiros.


Seqüência dos Erros via abordagem SHELL

A seguir constam os fatos ocorridos, onde procurou-se destacar palavras ou conjunto de palavras que pudessem contribuir à análise do elemento humano.

O rumo incorreto de saída foi inicialmente ajustado pelo comandante e posteriormente imitado pelo co-piloto, quando retornou da inspeção externa da aeronave.

1. 
   O rumo incorreto de saída foi inicialmente ajustado pelo comandante e posteriormente imitado pelo co-piloto, quando retornou da inspeção externa da aeronave.
2. 
   a proa fora lida no plano de vôo IADS, visto não haver, na carta de alta, esta indicação. O rumo correto para aquela rota deveria ser 027 e o planejamento fornecia esta informação como sendo 0270. Os pilotos identificaram-na como sendo 270 graus.
3. 
   A contigüidade de apresentações do campo visual, somada à combinação numérica, redundou numa proa exeqüível (270 graus), culminando por induzir os pilotos a uma falha de percepção, logo no início das atividades. É de se notar que, se o rumo sugerido exibisse valores superiores a 36 graus, por exemplo, 0380 graus, o erro não se apresentaria, por exorbitar dos limites de proa magnética.
4. 
   Assim, o comandante, ao consultar o plano computadorizado, passou por um processo de falha perceptual (percepção falha) na leitura dos dados. O fato da atenção estar, no momento da consulta, distribuída a outros estímulos (distribuição da atenção), facilitou a falha na percepção das informações.
5. 
   Da decolagem até o inicio da descida para o destino pretendido, a tripulação acabou por envolver-se num processo de automatismo, porquanto, em que pese, neste trecho, não estarem recebendo qualquer auxílio de rádio-navegação de Belém, acreditaram, por predisposição, estarem no rumo correto.
6. 
   Com dificuldades de comunicação em VHF com o Centro Belém, efetuaram contato com outra aeronave que, voando para o mesmo destino, informou estar recebendo normalmente os auxílios daquela localidade. Devido à atenção marginal, não despertou aos pilotos a necessidade de uma reavaliação na sua navegação, preferindo aceitar a hipótese de falha nos instrumentos de bordo. E assim prosseguiram o vôo por simples manutenção de proa.
7. 
   Tal a confiança em chegar ao destino, que levou o comandante a solicitar autorização para iniciar a descida. A crença de que estava próximo a Belém foi reforçada pela liberação da descida para o nível 200.
8. 
   Após ultrapassada a vertical do "destino", apenas evidenciada pelas indicações negativas no PMS, o comandante decidiu retornar, na proa oposta, motivado pela predisposição e reforço da posição "Vertical Belém". Estava influenciado pelas marcações do PMS, que indicavam já haver ultrapassado em trinta milhas a estação pretendida.
9. 
   Não localizando o destino proposto, o comandante buscou, debalde, atingir o objetivo. Sintonizou a freqüência de duas emissoras de Belém e, autorizado, desceu para o FL 040. Passou a acompanhar as curvas de um rio (Xingú), perseguindo as marcações do equipamento ADF. Estes estavam sintonizados nas freqüências das Rádios Liberal e Guajará que, apesar da recepção auditiva, não forneciam os prefixos, tornando, por conseguinte, não confiáveis suas marcações.
10. 
    O piloto concentrou-se em um grupo de estímulos visuais, buscando contato visual com Belém, e mantendo-se na proa indicada pelas emissoras que supunha serem do destino, esqueceu-se de outros estímulos que exigiriam sua atenção, como a necessidade de subir para localizar-se, economizar combustível, etc. Acabou por envolver-se em um processo de fixação de atenção e ansiedade, que fizeram-no acreditar e esperar o contato visual com Belém.
11. 
    O co-piloto, sentindo-se incomodado com a demora da chegada, lembrou-se de que as proas de chegada a Belém correspondiam a uma numeração baixa. Além disso, divisou a constelação do Cruzeiro do Sul, reforçando a concepção de que algo saíra incorreto. Estes estímulos vão provocar uma mudança do foco de atenção, obrigando os pilotos a reverem a navegação e a posição da aeronave. Surpreenderam-se por não portarem régua ou plotador de bordo.
12. 
    Decidiram por consultar a carta de rádio-navegação de baixa altitude, e, ao fazerem-no, perceberam o erro da proa adotada na saída de Marabá. Diante da situação, o comandante decidiu subir para o FL 085, a fim de localizar um aeródromo para um pouso alternativo. Eram decorridas 02:10 horas de vôo.
13. 
    Com a confirmação da desorientação, um estado de comoção abateu-se sobre o comandante. A certeza de haver rumado corretamente, ter ultrapassado, voltado, procurado mapear-se com o uso do radar, perseguido auxílios de emissoras comerciais, buscado referências visuais, enfim, fizeram crer ao comandante que agira corretamente.
14. 
    A força de estimulação "achar Belém" causou um tipo de bloqueio, a nível emocional/perceptual, agravando a multiplicidade de predisposições e a fascinação da atenção, fazendo inclusive a tripulação ignorar o tempo voado à baixa altitude, bastante significativo para o tipo da aeronave.
15. 
    Os pilotos reconheceram a gravidade da situação, todavia, não notificaram ao Centro de Controle, tampouco a Coordenação da empresa, do estado emergencial em que se encontravam. Por duas vezes o CVR registra diálogos em que a tripulação acreditava ter havido uma pane de bússola. Entretanto, a Comissão não encontrou quaisquer evidências de mau funcionamento da bússola, ou dos equipamentos de rádio-navegação.
16. 
    Uma vez cientes da falha cometida, presume-se que o diálogo registrado fora desenvolvido num clima de autodefesa, pautado no receio de repercussões negativas que poderiam ser infligidas à tripulação. Mesmo com dúvidas, surge agora uma segunda e diferente predisposição: atingir Marabá ou Carajás. Os pilotos sintonizaram nos ADF as freqüências 370 KHz (Marabá) e 320 KHz (Carajás) e, obtida desta sintonia uma proa geral sul, para lá rumaram.
17. 
    Envolvidos pelo erro de posição geográfica, pois julgaram ter voado próximo a Belém, a proa sul se mostrava viável. Ocorre que os sinais de rádio recebidos não provinham das estações pretendidas, e sim, de Goiânia e Barra do Garças - Mato Grosso. Chegaram a ouvir um indicativo em código morse e, sob pressão emocional e ansiedade, consideraram-no como sendo o indicativo de Marabá.
18. 
    Predispostos a crerem estar no rumo de Marabá, os pilotos seguiram as marcações do ADF. A predisposição é salientada ao escutarem os dois únicos indicativos do NDB de Goiânia. Todos os estímulos são ajustados de forma a corroborar a predisposição de atingir Marabá. A atenção estava fascinada com tal hipótese, de forma que a tripulação manteve-se em vôo nivelado, até que, frustrada, verificou que a alternativa seria o pouso forçado.
19. 
    a fascinação da atenção foi observada em pleno processo de ansiedade. A gravação enfatiza: -(...) "que isto não passe de um sonho"... " Que isto não passe de um sonho para todos nós"...
20. 
    Verifica-se então, sob o enfoque psicológico, que o excesso de confiança do comandante na sua navegação, do co-piloto no comandante da aeronave, de ambos no plano computadorizado, agravado pelos diversos aspectos psicológicos já mencionados, máxime para aqueles voltados a falha perceptual, fixação de atenção e à predisposição a acreditar estarem num rumo correto, redundaram na situação emergencial, tornando irreversível o acidente [5][6].
    
    Depois do desastre
    
    O departamento de aviação civil (DAC) recomendou que a Varig modificasse sua notação de plano de vôo, de forma a evitar a confusão com o ponto decimal, fato este que levou a causa do acidente.
    
    Referências
    
    [1] http://en.wikipedia.org/wiki/Varig_Flight_254, último acesso em 26/09/2006
    
    [2] http://www.aerovirtual.org/forum/lofiversion/index.php/t55856.html, último acesso em 27/09/2006
    
    [3] http://www.airdisaster.com/photos/varig254/photo.shtml, último acesso em 26/09/2006
    
    [4] http://www.aeronauticasc.eng.br/modules/eNoticias/article.php?articleID=1, último acesso em 28/09/2006
    
    [5] http://www.andrewcram.com/SHELLmodel.pdf#search=%22shell%20liveware%22, último acesso em 28/09/2006
    
    [6] http://www.unicamp.br/fef/espec/hotsite/gqve/publicacoes/miolo_fadiga.pdf, último acesso em 28/09/2006
    
    

Capítulo 6 - Language and Communications (Resumo)
Livro: Engineering Psychology and Human Performance. (3a. ed) Autor: Wickens, C. D.; Hollands, J. G. Editora: Prentice-Hall, 1999

Linguagem e Comunicação
Introdução
Linguagem e comunicação são formas importantes de trocar informações, o que pode ser realizado através de gestos e meios não-verbais, símbolos e ícones. Deve-se ter cuidado com alguns termos ou abreviações que às vezes são usados de forma não clara.
Percepção de Impressos
Estágios em percepção de palavras
A percepção de material impresso é realizada de forma hierárquica. Quando lemos e entendemos o significado de uma sentença, devemos primeiro analisar suas palavras. Cada palavra depende da percepção de letras, e cada letra é uma combinação de linhas, ângulos e curvas.
Características como uma unidade: Pesquisa visual
Pesquisadores demonstraram como a procura por uma letra especifica numa lista de letras diferentes tinha sua velocidade diminuída quando na lista existiam letras com características similares.
Letra como uma unidade: Processamento automático
Automaticidade: processamento que não requer recursos de atenção, obtida através de familiaridade e extensiva experiência de percepção, mas pesquisadores sumarizados por Schneider e Shiffrin (1977) e Schneider, Dumais e Shiffrin (1984) sugerem que experiência não é suficiente. Os símbolos devem também ser consistentemente mapeados para a mesma resposta. Respostas inconsistentes, quando uma letra (ou símbolo) é às vezes relevante e às vezes não, são menos prováveis de desenvolver automaticidade.
Palavra como unidade: Formato da palavra
Corcoran e Weening (1967) observaram que para palavras que eram mais compridas e menos freqüentes fatores acústicos ou fonéticos são mais importantes que fatores visuais em correção de erros. Nesse caso, erros de grafia são escondidos se as letras críticas não são pronunciadas na articulação da palavra.
Aplicações de processamento de unidade e top-down
Displays são desenhados para apresentar informação para que ela possa ser lida rapidamente, corretamente, e sem alta carga cognitiva.Também, alguns itens críticos de informação deveriam ser reconhecidos automaticamente, com requerimento mínimo de investir em processamento consciente.
Processamento Top-Down e Bottom-up
Muito de nossa percepção segue o processamento Top-down direcionado ao contexto (Lindsay & Norman, 1972). Mais especificamente, no caso de leitura, hipóteses são formadas de acordo com o que uma palavra em particular deveria ser, dado o contexto do que já apareceu antes, e esse contexto permite ao nosso mecanismo percepção adivinhar a natureza de uma letra especifica dentro da palavra, mesmo antes que a análise bottom-up letra-para-palavra tenha sido completada.
De forma correspondente, processamento top-down pode trabalhar em reconhecimento de letras, utilizando o conhecimento de letras ao redor que pode guiar a interpretação de características ambíguas.
Processamento top-down de fato é somente possível (ou efetivo) devido às regras de contexto em uma linguagem que permitem determinadas letras ou palavras que devem ser adivinhadas através de letras, palavras ou sentenças ao redor.
Em adição a redundância há uma segunda forma de processamento top-down ou baseado em aprendizado, na qual letras dentro de uma palavra mutuamente facilitam analise de modo que a letra que aparece em uma palavra pode às vezes ser processada mais rapidamente que a letra sozinha (efeito da superioridade da palavra, Reicher, 1969). Em situações com constrangimentos temporais as letras em uma palavra são processadas mais exatamente que um número similar de letras sem relacionamento.
Processamento top-down pode ser ajudado apenas restringindo o vocabulário da mensagem.
No reconhecimento de objetos, Biederman (1987) propôs que humanos reconhecem objetos em termos de combinações de pequenos números de peças básicas, que consistiam em sólidos geométricos simples. A teoria de Biederman sugere que designers de gráficos tri-dimensionais podem se utilizar dessas figuras básicas, criando objetos que podem ser reconhecidos sem necessidade de incorporar muitos detalhes. Potter e Faulconer (1975) descobriram que figuras simples de objetos podem ser entendidas tão rapidamente quanto palavras.
No reconhecimento da fala, uma pessoa não pode reavaliar palavras faladas anteriormente tão facilmente quanto alguém pode olhar uma porção de texto anterior. Esta restrição, portanto, força uma grande confiança em processamento top-down.
Processamento de unidade
Treinamento e repetição levam ao processamento automático. Quando uma tarefa é analisada, é importante identificar sinais críticos que deveriam sempre receber prioridade se estiverem presentes.
Existe uma vantagem bem definida em chamar atenção para informação critica através do desenvolvimento de processamento automático em detrimento de aumentar a intensidade do estímulo, pois quando eles são altos e brilhantes podem causar distração e irritação e não podem garantir a resposta, estímulos físicos são intensos para todos que os encontram, estímulos que são intensos subjetivamente através de processamento automático podem ser “personalizados” para alertar apenas aqueles para os quais o estimulo é relevante.
Processamento através da unidade pode identificar uma palavra borrada através de somente o formato da palavra, mesmo quando características, letras e contexto não estão disponíveis (Broadbent & Broadbent, 1980). Processamento através da unidade não necessariamente substitui ou descarta a cadeia seqüencial bottom-up, mas sim opera em paralelo.
No processamento através da unidade, palavras são percebidas mais rapidamente e entendidas melhor que abreviações e acrônimos, isso ocorre pela variedade de formas que as pessoas acreditam que uma palavra deveria ser abreviada (Landaur, 1995).
Norman (1981) sugere que um mínimo de regras de abreviação deve ser empregado, e o termo abreviado deve ser tão lógico e significativo para o usuário quanto possível.
Moses & Ehrenreich (1981) descobriram que abreviações truncadas, nas quais a primeira letra da palavra é apresentada, são entendidas melhor que contrações nas quais letras dentro da palavra são removidas.
Contexto
Em testes foi descoberto que sujeitos que recebiam o contexto para entender sentenças antes de lê-las possuíam maiores taxas de compreensão e recordação. O contexto era em forma de figuras que descreviam as cenas, ou simplesmente titulo da atividade. Mas o contexto deve ser disponibilizado antes da apresentação do material verbal, para que ele ajude a compreensão e a recordação, e não após (Bower, Clark, Lesgold & Winzenz, 1969).
Trocas entre Contexto-Dados
É importante que o designer do sistema esteja atento para os fatores que influenciam a troca entre processamentos direcionados aos dados e processamentos direcionados ao contexto.
Se há mais redundância no texto, texto de tamanho de fonte menor é indicado. Entretanto, se o display contém conjunto de caracteres randômicos de texto alfa-numérico, não há oportunidade de processamento top-down e apresentação de poucos caracteres maiores é recomendável. Se o display ou a visibilidade é ruim, tamanhos maiores são novamente sugeridos.
Design de Código: Economia x Segurança
A troca entre processamento top-down e bottom-up é demonstrada pelo fato de que mensagens de grande possibilidade devem ser transmitidas com menos evidencia sensória.
Princípio Shannon-Fano (Sheridan &Ferrell, 1974): ao desenhar qualquer tipo de código ou mensagem de sistema nas quais pequenos conjuntos de caracteres alfa-numéricos ou símbolos devem levar a idéias mais compridas, o princípio Shannon-Fano dita que o código mais eficiente, ou mais econômico será gerado quando o tamanho físico da mensagem for proporcional a informação contida na mensagem. O principio é violado quando todas as mensagens possuem o mesmo tamanho. Assim, mensagens de alta probabilidade devem ser curtas e mensagens de baixa probabilidade devem ser compridas.
Reconhecimento de Objetos
Figuras e ícones
De modo similar, ícones se tornaram objetos comuns em displays de computadores, onde o valor deles sobre palavras em permitir processamento rápido foi demonstrado (Camacho, Steiner, & Berson, 1990). Apesar da rapidez de processamento de figuras que pode ser demonstrada em circunstâncias ideais (Potter & Faulconer,1975) e o status delas como linguagem internacional, cuidado é recomendado contra o uso de ícones por duas razões: legibilidade e interpretação.
A legibilidade relaciona-se com o fato de que nem sempre ícones e símbolos são vistos em condições ideais. É importante que os símbolos possam ser discriminados um dos outros e a chave para a descriminação não é o detalhamento das características, mas sim diferentes formatos (Broadbent & Broadbent, 1980).
Interpretação relaciona-se com identificar o que o símbolo quer dizer. Um símbolo pode claramente mostrar um objeto reconhecível, mas pode continuar ambíguo em relação ao significado do objeto no contexto.
Esta é a razão do cuidado que Brems e Whitten (1987) possuem contra o alto uso de ícones que não possuem texto explicativo.
“Earcons” são ícones visuais que têm uma analogia auditiva em sons de objetos familiares e eventos. Um pequeno vocabulário de sons pode prover feedback para eventos. Estes “earcons” devem ter valor característico quando o processamento visual está engajado em outros aspectos da tarefa.
Fatores lingüísticos
Compreensão
Em instruções escritas ou procedimentos que devem ser fáceis de entender, é normalmente suficiente seguir um conjunto de princípios similares aos levantados por Bailey (1989; veja também Dumas & Redish, 1986):
1. Coloque diretamente o desejado, sem adicionar palavras em excesso;
2. Utilize vocabulário conhecido;
3. Assegure que toda a informação está colocada explicitamente;
4. Numere e separe fisicamente os diferentes pontos a serem feitos;
5. Destaque palavras-chaves;
Apesar de úteis e necessários estes guias não consideram algumas importantes características de compreensão que são diretamente relacionadas com princípios em psicologia cognitiva e processamento de informação.
Comando x Estado
Um problema em entrega de instruções do tipo tempo-crítico é relacionado com a distinção entre informação de estado e informação de comando.
Quando a informação é completamente confiável em uma tarefa de ajuda a decisão, não há diferenças em desempenho, mas quando a informação não é totalmente confiável, a performance cai mais quando comandos não confiáveis são mostrados do que quando relatórios de estado são fornecidos.
Em condições de alto stress e constrangimento de tempo, uma mensagem de comando é superior à mensagem de estado, já que o último requer o passo cognitivo que permite sair do que é e como está, para então chegar no que deve ser feito. Resultados de Crocoll e Coury (1990) sugerem que essas guias podem ser modificadas se a pressão de tempo é diminuída ou a fonte de estado ou comando não é totalmente confiável.
Uma boa idéia para contornar problemas é a redundância, apresentando tanto estado quanto comando, ela porém, somente deve ser feita se for possível evitar confusão entre o que é estado e o que é comando.
Reversão lógica, Negativas e Falsificações
Quando um leitor ou ouvinte é solicitado para reverter logicamente o significado de uma sentença, para traduzir de uma seqüência física de palavras até um entendimento do que é requisitado, a compreensão é feita mais dificilmente. Um exemplo é o uso de negativas, outro é falsificação.
Experimentos feitos por Clark e Chase (1972) e por Carpenter e Just (1975) sugerem que as diferenças na velocidade de compreensão resultam de dificuldades cognitivas em processá-las.
Após experimentos foi concluído que:
ü Sentenças que contém negativa sempre demoram mais para serem entendidas que aquelas que não têm. Portanto, quando possível, instruções devem conter apenas asserções positivas. Outro motivo para evitar negativa é que o “não” pode não ser visto, ou esquecido, se instruções são dadas em situações degradadas.
ü O fato de uma sentença ser verificada como verdadeira ou falsa influencia o tempo de verificação de forma complexa. Se a declaração não contém negativa, então declarações positivas são verificadas mais rapidamente que falsas. Entretanto, se declarações contém negativa, as falsas são verificadas mais rapidamente. A razão para essa reversão é o principio de congruência.
ü Clark e Chase (1972) e Carpenter e Just (1975) encontraram diferenças previsíveis no tempo de resposta entre quatro tipos de relacionamento entre imagem e sentença. Em resposta a essa regularidade, eles modelaram os processos envolvidos como uma série de “constituent comparisons” (Carpenter & Just, 1975) de duração constante, cada uma realizada em seqüência e cada uma levando um tempo constante. Isso é realizado em séries até que a verdade da relação é verificada. Comparações são realizadas com relação à igualdade, ou congruência de forma proposital entre figura e sentença, sem levar em consideração negativas.
A resposta mais demorada para as sentenças verdadeiras negativas ocorre por que é sozinha incongruente e contém negativa. Quando este modelo é utilizado para prever tempo de resposta, deve ser levado levemente em consideração o significado de verdadeiro e falso.
Verdadeiro deve portanto, ser definido como estado mais provável de um sistema.
Enquanto negativas são evitadas, o principio sempre será que afirmações são processadas mais rapidamente que falsificações.
Falta de sinais
Pessoas são mais propensas a notar que algo inesperado está presente que algo esperado está faltando. Fowler argumenta que é mais lógico chamar atenção para a falta de uma informação através da presença de um símbolo visível que indicar a existência da informação pela presença de um símbolo.
Carga de memória de trabalho
Características de instruções pobres geralmente refletem uma estrutura que impõe cargas na memória de trabalho desnecessariamente, até que a informação seja utilizada ou incorporada no desenvolvimento do significado do texto.
A análise da demanda de memória de trabalho de compreensão de texto chama a atenção para os perigos da ambigüidade, nesse caso, a memória de trabalho é desafiada para descobrir o significado.
Instruções Multimídia
O meio-termo ideal
Imagens e gráficos podem ajudar a compreender relações espaciais e padrões espaciais complexos. Material verbal pode ajudar a compreender informações abstratas. Se a informação verbal é comprida, é melhor que seja visual (texto) que auditiva (fala), devido à alta permanência de informações visuais e a maior demanda de memória de trabalho para o entendimento da fala. Enquanto que existe uma evidencia de vantagens de prover meios diferentes para indivíduos com características cognitivas diferentes, esse efeito não parece ser grande (Yallow, 1980; Landaur, 1995), e é melhor então optar pelo meio-termo em função do material e da tarefa do que em função do aprendiz.
Ganho de Redundância
Ao invés de considerar cada meio isoladamente, guias de design sugerem que pares de meios devem ser usados em combinação, para aumentar a redundância e ganhar nos pontos fortes de cada um (Mayer, 1997, 1999).
Guias provenientes da teoria de carga cognitiva em instruções, desenvolvida por Sweller e seus colegas (Sweller & Chandler, 1994; Sweller, Chandler, Tiernei &Cooper 1990; Tindall-Ford, Chandler & Sweller, 1997), sugerem a importância de integrar texto com imagens o mais próximo possível, a fim de reduzir a demanda na memória de trabalho, a qual reteria a informação textual até que a imagem fosse encontrada, ou que reteria o gráfico até que o texto fosse encontrado. Demoras de um segundo ou dois podem romper a qualidade da informação contida na memória de trabalho e pode impor uma alta carga cognitiva que pode interferir com a compreensão.
As vantagens de dividir a instrução entre visual e auditiva se baseia no fato de que o canal de recepção aparentemente é suportado por recursos de atenção e de cognição diferentes (Tindall-Ford, Chandler, & Sweller, 1997).
Realismo de imagens
Desenhos simples aparentemente são tão bons quanto trabalhos mais elaborados que captam detalhes que não são necessários para o entendimento (Dwyer, 1967).
Aviso de produtos
Da perspectiva de fatores humanos, o objetivo de aviso de produtos é fazer que o usuário conheça os avisos, e assim use o produto de maneira segura, ou evite o comportamento inseguro. Para isso existem algumas regras importantes:
O aviso deve ser notado. Avisos auditivos são mais notados que visuais (Wogalter, 1987). Os avisos visuais devem ser localizados de forma que sejam encontrados enquanto o usuário realiza ações normais de sua tarefa.
Os avisos devem ser lidos. Com a finalidade de combater o problema de legibilidade, busca-se priorizar os avisos, garantindo que o mais importante esteja visível.
Avisos devem ser entendidos. Avisos eficazes contêm quatro componentes: uma palavra, descrição do perigo, conseqüências associadas com o perigo e descrição do comportamento necessário para evitar, ou lidar com as conseqüências, se encontradas. O uso efetivo de texto legível, e imagens integradas, pode ser importante para transmitir informações sobre a seriedade das conseqüências, o que pode influenciar na conformidade com o aviso (Zeitlin, 1994), e também no comportamento para evitar ou lidar com o perigo.
Infelizmente, a compreensão de um aviso não garantirá a obediência (Zeitlin, 1994), obedecer ou decidir agir de maneira não segura, pode frequentemente ser analisado como uma decisão baseada em pesar os riscos de agir de forma não segura e o preço de obedecer, o possível desconforto de obedecer e em particular a perda de produtividade antecipada, que pode ocorrer no caso de obedecer. O desenho de avisos efetivos deve ser casado com a preocupação em minimizar tanto o esforço cognitivo quanto o físico e o custo de performance, de obedecer ao aviso.
Percepção da fala
Unidades de percepção da fala
Fonemas Unidade básica da fala, porque alterar um fonema em uma palavra irá alterar ou retirar seu significado.
Silabas Dois ou mais fonemas podem ser combinados para criar silabas, que são a unidade básica de percepção da fala (Massaro, 19745).
Palavras Se a fala é contínua, é virtualmente impossível, para o sistema de reconhecimento, saber os limites que separam as palavras com o objetivo de realizar a analise semântica, sem saber o que as palavras são.
Aplicações da pesquisa de reconhecimento de voz
Pesquisas de percepção humana de fala têm contribuído para duas grandes aplicações:
O entendimento de como humanos percebem a fala e empregam o processamento top-down dirigido a contexto em reconhecimento tem ajudado esforços para desenhar sistemas de reconhecimento de fala.
Possibilidade de medir e predizer os efeitos de vários tipos de distorções sobre a compreensão da fala. Tal distorção pode ser exterior ao sinal de fala ou pode ser intrínseca.
Importante ressaltar que ouvir não é o mesmo que compreender. Um vocabulário restrito produz maior inteligibilidade que um não restrito. Restrições na qualidade de sinal podem ser compensadas aumentando o processamento top-down, criando a habilidade de adivinhar a mensagem sem realmente ouvi-la completamente.
Comunicações
A possibilidade de ver a face do falante melhora bastante a comunicação, particularmente se a qualidade de sinal é ruim.
Comunicações não verbais
Visualizar a boca – Ver o movimento labial quando o falante está formando as palavras é uma dica útil.
Dicas não verbais – apontar, gesticular e expressões faciais.
Sem ambigüidade – dicas extras e não verbais podem resolver mensagens ambíguas por permitir que o falante perceba que o ouvinte não esta compreendendo (através de suas expressões faciais).
Conhecimento compartilhado de ação – uma grande quantia de informação é trocada e compartilhada simplesmente vendo ações que um membro tomou (ou não)
Comunicações mediadas por vídeo
Enquanto canais de vídeo parecem ser melhores que apenas áudio (Olson, Olson & Meador,1995), investigadores descobriram que eles não possuem a mesma qualidade que comunicação face a face (Doherty-Sneddon et al., 1997; Olson, Olson & Meader, 1995). Parte da deficiência de vídeo remoto é devido à baixa qualidade tanto de vídeo quanto de informação visual, assim como problemas de sincronização dos dois (O’Connaill, Whittker, &amp;amp;amp; Wilbur, 1993; O’Malley et al., 1996)
Gerenciamento de recurso do grupo
A comunidade de fatores humanos tem se preocupado com a importância de comunicações eficazes em ambientes mutli-operadores, de forma a suportar a performance da equipe. Também há a descoberta de que o clima social entre participantes de um diálogo pode melhorar ou piorar padrões de comunicação e portanto tem uma forte influência na eficiência da performance do sistema.
Desenvolver sistemas eficazes para mostrar e controlar informações com apenas um operador é necessário, porém não é condição suficiente para performance humana eficaz.
Transição: Percepção e Memória
Categorizações de percepção são guiadas pela expectativa, como mostrado no processamento top-down. Expectativa é baseada em experiência recente (conteúdos da memória de trabalho) e conteúdos de memória permanente ou de longo prazo.
Em várias tarefas quando a percepção não é automática, tais como as relacionadas com navegação e compreensão, a categorização de percepção deve operar em conjunto com atividades na memória de trabalho.
O dicionário que distingue códigos de percepção espacial e verbal tem analogia direta em termos de dois códigos de memória de trabalho.
Percepção, compreensão e entendimento são necessariamente precursores para a nova informação ser permanentemente armazenada na memória de longo prazo.

Cap. 11 - ATTENTION, TIME-SHARING and WORKLOAD

Livro: Engineering Psychology and Human Performance. (3a. ed)
Autor: Wickens, C. D.; Hollands, J. G.
Editora: Prentice-Hall, 1999

Suponha o COMAIR 5191, do acidente de Lexington relatado mais abaixo, para Atlanta, GA, partindo de Lexington, KY.
Em primeiro lugar, analisando o capítulo pelo seu título, há a questão da falta de atenção da tripulação para o desempenho da tarefa de encontrar a aeronave correta que, como foi visto numa breve transcrição do acidente, não era a que eles deveriam voar. Não tenho aqui como verificar ainda o número de aeronaves que estavam no pátio naquele começo de manhã do dia 27 de agosto passado, pois isso seria um elemento a mais no cumprimento desta tarefa. Podemos conectar o termo "atenção" também às tarefas de check-list pré-vôo ou taxiamento até a cabeceira mantendo a aeronave orientada na linha central da taxiway. Para a explicação do "time-sharing",
poderíamos supor que duas tarefas concorrentes estavam acontecendo simultaneamente: a de taxiar mantendo a orientação das linhas centrais da pista de táxi e fazer o check-list pré-vôo e, assim, por causa da divisão de tarefa, o comandante da aeronave posicionou-a na cabeceira errada. Aqui cabe uma explicação técnica, pois, conforme está expresso no capítulo (p. 440), alguns pesquisadores tendem a definir o conceito de "atenção" como indivisível e, portanto, "dividir atenção" com outra tarefa tornaria-se uma contradição. Desta forma, o autor propõe a idéia de "tempo compartilhado", tradução não oficial para "time-sharing". É importante esclarecer, penso, que a "multi-tarefa" dos sistemas operacionais baseados no POSIX, por exemplo, apenas dão a impressão de atividades, processos ou serviços "rodando" simultaneamente (devido a alocação de prioridades de execução, e suas decorrências, desses serviços, grosso modo expondo, processada pela CPU na casa dos nano-segundos e aí a impressão de simultaneidade) e não servem como metáfora para entendimento do que é proposto na idéia de time-sharing. Nos dois casos citados como exemplo, a performanca no cumprimento da tarefa pretendida está diretamente ligada aos recursos disponíveis para seu cumprimento. É fácil imaginar que, ao alocar todo recurso disponível numa única tarefa, a performance alcançada será potencialmente a máxima possível. Verifica-se, entretanto, que há um instante cuja alocação de recurso não mais interfere na performance. O exemplo a seguir é singelo, porém, pense que ao se fazer café, a partir de certo ponto não adianta mais colocar pó de café no coador para deixá-lo mais forte, por causa de seu ponto de saturação. Já no compartilhamento de tempo entre duas ou mais tarefas, pode-se considerar que a alocação de maior recurso disponível em uma das tarefas pode acarretar em perda de performance na(s) outra(s). Um nivelamento de alocação de recursos, por outro lado, pode não ser a melhor técnica para cumprimento das tarefas concorrentes entre si. Se houver, por exemplo, um comportamento automatizado que pode ser empregado em uma das tarefas, fica mais fácil empregar um maior nível de recurso para cumprimento da(s) outra(s) tarefas. A questão do "esforço dispendido" e "dificuldade" são também variáveis a serem consideradas nesta análise do compartilhamento de tempo no cumprimento de múltiplas tarefas simultâneas (dirigir automóvel e falar ao celular, fazer um check-list pré-vôo enquanto taxia a aeronave, ler um texto enquanto se ouve música com letra ou música instrumental etc). Considerando-se os vários registros que podem ser computados em termos de alocação de recursos disponíveis e performances obtidas chega-se, então, à ferramenta de trabalho que o autor chamou de Performance Resource Function (PRF) (p.447), apresentada num gráfico que espero poder mostrar aqui.

A carga de trabalho, simplificadamente, mas numa versão extremamente aplicável, pode ser definida pela razão entre o tempo ocupado no desempenho das tarefas pretendidas pelo tempo total disponível para isso (p.457). Por outro lado e a partir do desdobramento do PRF, pode-se dizer que a carga de trabalho é definida pela relação entre a fonte de recursos disponíveis e a demanda de tarefas existentes para esses recursos apresentados (p.459). A carga de trabalho, de acordo com o autor, tem uma importância distinta para os projetistas, contrapondo-se com a busca de uma boa performance através do design do projeto, de forma que se deve considerar o quanto de demanda de recursos alocados uma determinada tarefa exige do operador e prevê-la antes de concluir o projeto. Assim, um desafio que se apresenta ao projetista na medição da carga de trabalho está nas ações que não estão à vista e que são necessárias para o cumprimento da(s) tarefa(s) pretendidas. Não há -- até onde entendi e seguindo nossa linha de exemplos -- meios seguros de quantificar a carga cognitiva empregada durante a execução das tarefas, porém sabe-se que elas competem com outras tarefas de percepção e cognição de uma tal maneira que podem ser previstas (predicted) (p.458).

Voltando ao nosso COMAIR 5191, é lícito aplicar, como foi exposto inclusive nas reportagens, ao controlador de tráfego aéreo da Torre de Controle do Aeroporto de Blue Grass, que, a despeito da legislação vigente da FAA, cumpria sozinho as tarefas simultâneas de efetivo controle de tráfego aéreo, de monitoração do radar de vigilância e de atribuições administrativas, no mínimo, com recursos cognitivos negativamente alterados pelas duas horas de sono dentro das nove de descanso que tirou entre um turno e outro.

Lexington Crash, Aug. 27th, 2006.

O acidente no Aeroporto de Blue Grass, em Lexington, KY, é uma sucessão de eventos que não combina com o que conhecemos ser a prática de segurança corrente nos Estados Unidos. À parte os julgamentos, que nesta etapa são necessariamente prematuros, a lista das incongruências é sintomática:

1. após ter sido transportada do hotel até o aeroporto, no amanhacer do dia 27 de agosto, sem que fosse observado qualquer comportamento anormal por parte do motorista de táxi, a tripulação da COMAIR, Capt. Jeffrey Clay, co-piloto James Polehinke e a comissária de bordo Kelly Heyer entrou na aeronave errada;

2. tendo sido autorizada para alinhamento e decolagem na pista ativa, RWY22, o comandante taxiou a aeronave para o alinhamento da pista errada, RWY26;

3. a pista menor, num aeródromo -- um aeroporto sem as facilidades usuais, tais como sala de embarque, check-in etc -- com uma pista cruzada homologada para aeronaves comerciais tem que ter, segundo os padrões da FAA mencionados em uma reportagem sobre o assunto (http://www.aeroblue.org/files/AeroBlue_Lex_200608029.pdf), no mínimo 80% do comprimento da pista principal. No caso de Blue Grass, a RWY26 tinha 50% do comprimento da RWY22;

4. a pista principal, RWY22, segundo uma das reportagens (http://www.cnn.com/2006/US/08/30/plane.crash/index.html), é mais alta no meio de seu cumprimento e faz com que se tenha a impressão que as duas pistas são do mesmo tamanho;

5. a pista de táxi para acesso às cabeceiras 22 ou 26 foi reformada na semana anterior ao acidente e o acesso à cabeceira 22 se fazia por um outro trajeto. Embora a tripulação conhecesse o aeródromo, não estiveram lá durante a ocorrência das modificações. As publicações cartográficas às quais deveriam constar as mudanças não tinham sido ainda publicadas e, duas semanas após o acidente, o que foi publicado não representou ainda todas as modificações efetuadas. A informação aos pilotos era feita por NOTAM - Notice to Airmen, isto é, boletins com duração variável que avisam aos aeronautas as particularidades recentes do aeroporto que não constam de publicações definitivas ou são temporárias o suficiente para não fazerem parte delas (www.cnn.com/2006/US/09/12/comair.crash.ap/index.html);

6. a RWY26 não possuía iluminação alguma e a iluminação de centro de pista também não estava operacional naquela hora. Esta última, caso em funcionamento, poderia ser uma dica para chamar atenção da tripulação;

7. uma olhada mais atenta da tripulação à bússola no painel da cabine da aeronave indicaria estarem voltados para o rumo magnético 260° ao invés dos 220° corretos;

8. do ponto de vista da instrução emAnada do controle de tráfego aéreo ainda não há questionamentos. Mas a FAA, segundo as reportagens, reconhece que o órgão operacional deveria funcionar, segundo suas próprias regras, com dois operadores e os representantes do Sindicato Nacional dos Controladores de Tráfego Aéreo - NATCA - já haviam reclamado dessas condições oficialmente (www.cnn.com/2006/US/09/12/comair.crash.ap/index.html). Não é mandatório, pelo padrão FAA, o controlador de tráffego aéreo acompanhar visualmente a aeronave após tê-la instruído para a decolagem. O controlador do turno estava operacionalmente apto, segundo o NTSB - National transportation Safety Board -, e teve descanso de nove horas entre turnos, quando o exigido são oito horas. Não obstante isso, o controlador dormiu apenas duas horas nesse período de descanso. Reputo que uma queda no seu ritmo circadiano tenha obstruído um estado de vigilância maior que proporcionaria movimentação suficiente para observar a aeronave na pista errada, mesmo não sendo obrigado a tal.

9. aparentemente as condições da aeronave estavam em ordem, segundo a NTSB.

Aplicando o Modelo SHELL - interações entre Software, Hardware, Environment e Liveware (este consigo próprio, por isso aparece duplicado) - à lista de fatores contribuintes acima apresentada, eu descartaria problemas que não fossem Liveware e Enviroment, caso se possa considerar para este último que o meio-ambiente criado para o funcionamento normal do sistema de taxiamento, pouso e decolagem foi alterado.

Resumo Capítulo 4 Spatial Displays

Resumo do Capítulo 4 - Spatial Displays
Livro: Engineering Psychology and Human Performance. (3ªed) Autor: Wickens, C. D.; Hollands, J. G.
Por: Moacyr Machado Cardoso Junior


Resumo

Este Capítulo descreve os tópicos relacionados ao projeto de mostradores analógicos e espaciais. Inicialmente são abordados tópicos referentes aos gráficos, de modo a torná-los mais eficientes.
O desempenho humano depende freqüentemente do julgamento preciso da distância, extensão e profundidade, que chamamos de “percepção analógica”.
A compatibilidade entre os mostradores analógicos, tais como medidores e dials e o domínio cognitivo do Homem são discutidos.
Finalmente são discutidos também aspectos da percepção humana no que se refere à profundidade e de que forma os mostradores 3-D podem ser otimizados no seu projeto de forma que a informação 3-D seja transmitida da forma mais conveniente.

Percepção Gráfica

Os gráficos constituem um método efetivo para transmitir informações quantitativas analógicas, principalmente em situações de constrangimento de tempo. Embora não tenham a mesma precisão de uma tabela, dão ao usuário uma clara visão do “processo” (tendência).

Princípios para construção de gráficos

São listados cinco (5) princípios gerais para a construção de gráficos:
1- Usar dimensões físicas que não gerem falsa interpretação.
Ex. caso do Volume e Área, que na maioria dos casos podem ser subestimados pelo usuário em relação ao valor real, ao passo que extensão não apresenta este problema.
2- Considerar a tarefa a ser executada
3- Minimizar o número de operações mentais. As pessoas quando examinam um gráfico para realizar uma tarefa, executam uma seqüência de operações de percepção-atenção-cognição.
4- Dar visibilidade Alta para os dados de interesse
5- Codificação de gráficos múltiplos de forma consistente.

Erros na Leitura de Gráficos

- Tendência de superestimar ou subestimar quantidades em relação aos valores reais;
- Dificuldade para comparação de duas linhas com diferentes inclinações;
- Dificuldade para interpretar e lembrar relações lineares nos dados. (superestima a curva em relação à regressão estatística);
- De forma geral os gráficos são melhor compreendidos e portanto sujeitos a menores erros quando utilizamos pela ordem: linhas com base comum, linhas sem base, comparação de extensão ao longo de um eixo simples, comparação de ângulos, áreas, volumes e cores.

“Lei de Stevens”: “A relação entre a magnitude física e a percebida pode ser expressa como uma função exponencial.”
Os expoentes representam a quantidade de compressão (<1>1 – superestimar) ou neutralidade (=1)

Área e Volume têm expoente < 1, assim subestimam o valor real.

Dependência da Tarefa e o Princípio da Compatibilidade-Proximidade

As pessoas realizam um grande número de tarefas com gráficos e podem ser resumidas em três categorias:
- Leitura pontual;
- Comparação Global; e
- Julgamento-síntese.


“Tarefas que requeiram a integração de informações são melhor servidas por mostradores mais integrativos”

Minimização do Nº de operações Mentais

Quanto maior o número de ciclos percepção-cognição, maior a probabilidade de erro.

Razão dados-tinta

O princípio diz que a quantidade da tinta que não contribui para a extração da informação devem ser minimizados.
Ex. Figura no fundo de um gráfico

Gráficos Múltiplos

A apresentação de gráficos múltiplos cujos dados tenham relação entre si, devem seguir as recomendações:
- Codificação das variáveis;
- Consistência (padronização);
- Dar foco nas diferenças (legenda);
- Legendas claras.

Dials, medidores e indicadores: Compatibilidade

Existe necessidade de se compatibilizar o “modelo mental” com a realidade dinâmica dos sistemas físicos (também chamada compatibilidade ecológica)

Compatibilidade Estática e Dinâmica

Estática: Realismo pictórico[1]

“A representação do mostrador deve “parecer” uma representação pictórica da entidade que representa.”

Ex. Altímetro de aeronaves: Altitude é uma quantidade analógica, portanto o mostrador deve ser analógico.
Compatibilidade do movimento do mostrador

No caso de movimento no sistema físico é melhor representar pelo movimento do mostrador, para a compatibilização com o modelo mental.

3-D e Profundidade

Existem situações nas quais a 3ª dimensão no mostrador é representada pela profundidade ou pela distância do observador ao longo do eixo perpendicular ao plano do mostrador.

Julgamento da Profundidade

A percepção acurada de profundidade e distância é obtida com a utilização de vários sinais. Alguns são característicos do objeto ou do universo que está sendo observado e outros são propriedade do nosso sistema visual, que chamamos de Sinais centrados no objeto ou sinais centrados no observador.

Sinais centrados no objeto

Algumas vezes descritos como sinais pictóricos porque são sinais que os artistas utilizam para transmitir a sensação de profundidade. Alguns exemplos são:
- Perspectiva linear;
- Interposição;
- Altura no plano;
- Luz e sombra;
- Tamanho (familiar) relativo;
- Covariância proximidade-luminância;
- Perspectiva aérea; e
- Paralaxe.

Sinais Centrados no Observador

- Disparidade binocular;
- Convergência; e
- Acomodação.

Efeito da distância na efetividade dos sinais

Nem todos os sinais são igualmente efetivos para as diferentes escalas de distância, por exemplo, a disparidade binocular no caso da distância objeto-observador ser muito grande não produz efeito. Dessa forma os sinais foram divididos em 3 categorias: espaço pessoal, espaço de ação e visão espacial, onde cada categoria demonstra a melhor utilização de cada sinal.

Hipótese da Percepção e Ambigüidade

As hipóteses feitas pelo observador influenciam na avaliação, por exemplo, da distância que o observador se encontra de um objeto. Ao observarmos dois caminhões na rua o observador assume que eles são do mesmo tamanho, assim o fato do caminhão parecer menor, proporciona um julgamento de que o mesmo está a uma distância maior. Este processo é automático e inconsciente. As pessoas estão o tempo todo construindo estas hipóteses.

No entanto quando as hipóteses não correspondem com a realidade (devido ao pequeno número de sinais), as premissas estão incorretas ou os sinais são ambíguos.

Ex. Sobrevôo em cima de uma floresta. O piloto faz uma hipótese da distância baseado na altura das árvores, mas não considera a topografia, o que pode colocá-lo perigosamente perto do solo.

Mostradores 3-D e Espaço 3-D

Os problemas que podem surgir quando realizando julgamentos precisos da distância em três dimensões sugerem que não é efetivo usar a profundidade para representar dimensões que não seja de distância. Existem situações que o uso de mostradores 3-D para representar universos 3-D, tais como produtos desenhados no CAD, mapas de contornos estudados pelos geólogos, mapa de forças magnéticas em volta do cérebro, os mostradores de tráfego aéreo ou a rota de vôo. Neste caso os mostradores são compatíveis com o modelo mental que se tem do mundo real. Dessa forma os resultados estão compatíveis com o principio da proximidade, ou seja, quando as informações estão integradas em 3-D, o desempenho no cumprimento das tarefas será melhorado.

Atenção focada e Sistemas artificiais

A vantagem de mostradores 3-D para controle de vôo e consciência espacial, entretanto, esses mostradores apresentam limitações: Os mostradores 3-D não são bons para tarefas que exijam foco na atenção e podem gerar falsas hipóteses.

Resolução de ambigüidades

Uma limitação séria dos mostradores 3-D aparece quando ambigüidade pode gerar hipóteses falsas sobre profundidade e distância, pois os sinais necessários não foram incluídos no projeto do mostrador.

Mostradores Estereoscópicos

O uso de mostradores que utilizam este princípio pode melhorar muito o desempenho, diminuindo a ambigüidade para profundidade, no entanto mostradores estereoscópicos requerem hardware especializado incluindo óculos polarizados (que podem produzir instabilidade no mostrador), principalmente devido a vibração e condições visuais ruins, além de serem ruins na resolução espacial.

[1] pic.tó.ri.co adj (lat pictore+ico2) Relativo à pintura. Fonte: http://www2.uol.com.br/michaelis/

Capítulo 5 - Navigation and Interaction in Real and Virtual Environments (Resumo)

Capítulo 5 (Resumo)
Navigation and Interaction in Real and Virtual Environments
Livro: Engineering Psychology and Human Performance. (3a. ed)
Autor: Wickens, C. D.; Hollands, J. G.
Editora: Prentice-Hall, 1999


NAVEGAÇÃO E COGNIÇÃO ESPACIAL
Como as pessoas compreendem sua movimentação através do espaço, e como os displays podem ser usados para facilitar este trabalho.

Julgamentos sobre EGOMOTION[1]:
Problemas:
Nosso julgamento sobre EGOMOTION é fortemente baseado em nossa visão, tanto frontal quanto periférica. Por esta razão, existem proposições que afirmam que a percepção de pilotos pode ser aumentada com a utilização de displays periféricos.
- A informação necessária para o julgamento sobre a EGOMOTION em aeronaves é disponibilizada por cerca de 4 instrumentos (indicador da direção de altitude, altímetro, bússola e velocidade do ar[2]) que devem ser integrados mentalmente.

Solução:
- Desenvolvimento de displays 3D integrados (capitulo 4)
- Design de displays ecológicos: baseados nas seguintes pistas visuais (como as pistas são mais naturais, acredita-se que são processadas de forma automática pelo piloto):

Compressão e splay: gradiente de separação das linhas horizontais e ângulo de duas linhas verticais. Pista: Controle de altitude

Optical Flow: velocidade relativa de pontos no campo visual, conforme nos movimentamos. Pista: Direção momentânea (diferença de magnitude entre os objetos em movimentação), Ponto de expansão (pondo onde nasce o fluxo à abaixo do horizonte = descendo).

Time-to-contact (Tau): tempo que falta para alcançar um objeto. Nossa estimativa de Tau varia com o tamanho do objeto e a velocidade de movimentação do objeto/observador.

Edge Rate: número de bordas, ou descontinuidades que passam pelo campo visual por unidade de tempo. Pista: velocidade atual.



Navegação e Compreensão de espaços 3D
Representação mental de espaços 3D
- As pessoas tendem a distorcer a representação do espaço, imaginando que este é mais ortogonal do que a realidade, por exemplo, o ângulo de uma curva costuma ser memorizado como sendo um ângulo reto.
- Preferência de Orientação. Quando uma pessoa estuda um mapa antes de conhecer um ambiente, ela prefere se orientar pelo norte. Quando uma pessoa conhece o ambiente pessoalmente, ela utiliza outros pontos de referencia (visíveis).

Tipos de Conhecimento:

Landmark Knowledge (conhecimento de terreno): é Egocêntrico, baseado no conhecimento pessoal sobre o ambiente. A representação visual ocorre através dos pontos de referencia mais destacados no ambiente.

Route Knowledge (conhecimento de rota): é Egocêntrico, procedimento verbal que descreve como partir de um lugar e chegar em outro.

Survey Knowledge (conhecimento por exame): Exocentrico[3]: permite a representação precisa e detalhada do ambiente (mapa). Mais abstrato.

Auxiliares para Navegação Verbal e Espacial:

As palavras podem ser usadas para expressar conhecimento egocêntrico (direita, esquerda...) ou exocêntrico (norte, sul...).

Quando oferecida como um auxiliar de navegação são chamadas normalmente de Route Lists (RL), contendo informação egocêntrica, já que o ato de movimentação é tipicamente Egocêntrico (é mais fácil compreender vire a esquerda do que vire ao leste). Por outro lado, em situações envolvendo múltiplos participantes, como no caso de uma torre de controle, uma visão exocentrica fornece uma referencia neutra e sem ambigüidade para o operador.

Route lists[4] (RL) x Mapas
- RL são bons guias desde que o indivíduo permaneça na rota.
- RL são intrinsecamente temporais, categóricas, seqüências e não são boas para representar informações espaciais, analógicas e distribuídas em múltiplas dimensões.
- É mais fácil transformar RL em fala, do que mapas. (reduz erros, reduz tempo de decisão, reduz o esforço mental...)

Referência Espacial de Quadros
Devido às dificuldades encontradas com o uso de palavras, os mapas são os meios preferidos para representar o espaço (Mapas devem apresentar apenas o necessário para evitar distrações).
Categorias de mapas:

A – visão em primeira pessoa (mais egocentrica)
B – visão externa – câmera acompanha o indivíduo
C – visão externa – câmera fixa
D – visão de cima – câmera acompanha o individuo
E – visão de cima – câmera fixa (mais exocentrica)

Dependência entre tarefa e Tipo de Apresentação
Tarefa envolvendo navegação (melhor suportada em ambientes egocêntricos):
- É mais natural
- Permite uma visualização melhor dos objetos à frente
- Permite uma orientação em termos egocêntricos, com a câmera acompanhando o indivíduo.
Tarefas envolvendo compreensão (melhor suportadas por ambientes exocentricos)
- Disponibiliza uma visão limitada do ambiente
- Apresentação fixa disponibiliza uma representação consistente do espaço
- Visões imersas influenciam na noção de profundidade (menor precisão)


AMBIENTES VIRTUAIS (VE)

Um ambiente virtual pode ser definido como uma experiência multi-sensorial sobre um lugar ou conjunto de lugares através de meios eletrônicos artificiais. O conceito chave é que o ambiente pode ser percebido e manipulado interativamente pelo observador. Características de VEs:
- Visualização 3D (mais realista).
- É Dinâmico (acompanha nossa percepção linear de tempo).
- Closed-loop interactions (atraso muito pequeno).
- Ego-centered.
- Interação multimídia (sons, sensações, etc. também fazem parte do ambiente).
- Head-Mounted Display and tracking.

Benefícios
- Potencial para tarefas de controle remoto (controle de veiculo remotamente).
- Treinamento, simulando ambiente real.
- Auxilio a compreensão, criando ambientes virtuais (ex.: estrutura da molécula).

Problemas
- Tecnologia extremamente cara.
- Recursos computacionais para render 3D podem prejudicar a interatividade.
- Possibilidade de falhas e distorções no ambiente virtual.
- Ambientes grandes podem causar desorientação nos usuários.
- Motion sickness (como náusea, tontura e desorientação).


VISUALIZAÇÃO DE INFORMAÇÕES

A utilização de uma metáfora espacial é muito utilizada na interação homem computador (HCI), como na organização de sistemas de arquivos, planilhas eletrônicas, e até no agrupamento de informações por similaridade.

Esta metáfora possui impacto prático, com uma má configuração sendo responsável por lentidão e dificuldade de operação. Em ambientes complexos pode, inclusive, levar o usuário a um estado de desorientação. Frequentemente defende-se a idéia de que a organização espacial de uma base de dados (ou ambiente) deve ser compatível com o modelo mental do usuário.

O problema de desorientação ocorre tipicamente quando o usuário tem que interagir em um ambiente com grande quantidade de informação, segundo uma visão egocêntrica. Neste caso uma visão exocentrica, ou uma combinação ego/exo centrica possibilitaria uma maneira mais eficiente de apresentar as informações.

The World Wide Web
A WEB oferece acesso a uma grande quantidade de informações. Entretanto ela apresenta alguns problemas:
- Busca de informações relevantes: um critério importante de usabilidade é a capacidade de encontrar informações relevantes a uma tarefa em um tempo aceitável: uso de Search Engines...
- Desorientação gerada pela navegação em múltiplos sites: como as páginas são acessadas uma a uma e nem sempre apresentam uma consistência no modo de apresentação, torna-se quase impossível que o usuário não perca a referência de onde está ao navegar por muitos sites.

Visual Momentum (VM)

Um dos objetivos dos sistemas de computadores com orientação espacial é criar um ambiente conhecido que possibilite que se navegue pelos dados sem causar desorientação. O conceito de VM representa uma solução de design para o problema da desorientação. Ele se baseia nas seguintes boas práticas (guidelines):
- Uso de representações consistentes: Apresentar dos dados da mesma forma a menos que exista uma explicação racional para mudança. Entretanto, estas mudanças devem ser evidenciadas.
- Usar transições graciosas: não criar mudanças abruptas do padrão de interface. Ex.: ao fazer um zoom em um mapa, incluir estágios intermediários.
- Evidenciar Ancoras: Uma ancora pode ser descrita como um item importante invariante que permita que o usuário se oriente. Ex.: display de altitude de uma aeronave.
- Apresentação contínua de mapas globais (world maps): apresentação continua de um mapa de referencia, sempre a partir de uma perspectiva fixa.

Legendas
[1] Egomotion: auto-percepção da movimentação em um ambiente 3D; julgamentos sobre a sua própria direção/velocidade de movimentação.
[2] Possivelmente deveríamos incluir o indicador de velocidade vertical.
[3] Centrado no mundo
[4] Listas de direção

Referências

Wickens, C. D.; Hollands, J. G. Engineering Psychology and Human Performance. (3a. ed) Prentice-Hall, 1999

Therac-25

O Therac-25, máquina criada pela empresa AECL (Atomic Energy of Canada Limited) para produzir radiação a ser utilizada no tratamento Radioterápico, foi desenvolvida utilizando uma tecnologia diferente da usada nas máquinas anteriores, o que fez que a máquina fosse mais compacta, versátil, e deveria também ser mais fácil de usar.
Os predecessores do Therac-25 foram o Therac-6 (que produzia raio-x apenas) e Therac-20 (que produzia feixes de eletrons e raio-x). Nessas máquinas, a funcionalidade de software era limitada, o PDP 11 (minicomputador),era apenas uma interface mais cômoda para a máquina que poderia funcionar sem ele, sendo as travas de segurança implementadas no Hardware. Já no Therac-25 as funções de segurança foram colocadas no software, a AECL utiliza as características do computador de controlar e monitorar o Hardware e decidiu não duplicar os mecanismos de segurança, desde o início o Therac-25 foi desenhado para utilizar das vantagens do computador.
Apesar desse investimento em Software, o projeto do Therac-25 teve partes inter-relacionadas e reutilizadas do Software das máquinas antigas. Porém os testes realizados aparentemente não tiveram uma grande preocupação com o Software.
A máquina trabalhava com dois tipos de tratamento: A radioterapia de feixe de Elétrons direto, que aplicava desde doses fracas 5 MeV (milhões de elétrons-volts) até doses elevadas de 25 MeV, durante um curto período de tempo;
Terapia com Raios X, que usava o feixe de 25 MeV passando por uma chapa que o convertia em Raios X.

Os acidentes aconteciam quando o feixe de alta intensidade era ativado sem o target ter sido rotacionado para seu lugar O software da maquina não detectava que isto havia acontecido e não podia detectar que o paciente estava recebendo uma dose letal de radiação, ou evitar que isso ocorresse. O feixe de alta intensidade atingindo diretamente os pacientes causava a sensação de um forte choque elétrico e a ocorrêcia de queimadura.

Entre as principais causas dos acidentes investigados pelos pesquisadores, têm-se :

• Ausência de procedimentos de análise, projeto e verificação (teste);
• Ausência de gerenciamento de projeto e planejamento de manutenção;
• Negligência no projeto de interface;
• Tratamento falho de comunicação com hardware (race condition);
• A documentação começou a ser feita quando os acidentes foram reportados;
• Apenas hardware foi testado inicialmente;
• Após os acidentes, hardware e software foram testados em separado e sem nenhum planejamento a cada modificação. Apenas a modificação do software foi considerada.
• O software do THERAC-25 era similar ao do seu predecessor, o THERAC-20. Esse software tinha erros que podiam se manifestar em certas circunstâncias. Porém, no THERAC-25, o software também foi projetado para assumir maior responsabilidade pela segurança e alguns mecanismos de proteção por hardware, usados no THERAC-20, foram removidos do novo projeto. Como resultado, em determinadas situações em que o THERAC-20 queimaria alguns fusíveis, o THERAC-25 irradiou, fatalmente, alguns pacientes;
• O software considerava que os sensores sempre funcionavam corretamente, e não havia como verificar isto;
• O sistema de controle não operava sincronizado com a interface usada pelo operador da máquina, e caso o operador mudasse a configuração da máquina muito rapidamente, o sistema não atribuia os valores digitados para os controles (o que levava a aplicação das doses letais). Não suportava intruções concorrentes;
• Overflows* podiam fazer o software não executar procedimentos de segurança;
• O dispositivo responsável por sincronizar o hardware é removido, mas o software não possui sincronismo e o software falha na tarefa de manter invariantes essenciais: o feixe de elétrons ou o feixe mais forte de radiação e a chapa se interferem na geração de raios X;

As overdoses ocorreram entre 1985 e 1987, a máquina estava em funcionamento desde 1983.

Serão citados alguns acidentes:
No primeiro, a AECL foi notificada e respondeu que nenhum problema poderia ter ocorrido. A paciente, apesar de ter desenvolvido uma vermelhidão e inchaço em volta da área do tratamento, continuou a ser submetida ao tratamento com o Therac-25, a reação foi tida como normal conseqüente do tratamento, ou de sua doença.

Outro acidente ocorreu quando a máquina se desligou após mostrar a mensagem “H-tilt”, a mensagem de “no dose” e “Treatment pause” ao operador ativá-la. Após isso o operador tentou reativá-la, mais 5 vezes, após o operador da máquina chamou um técnico que não encontrou problemas na máquina.

Com a descrição destes acidentes pode-se observar que houve falha no projeto de Software, que deveria ter sido realizado com mais cuidado, já que foi escolhido utilizar o Software para realizar os controles de segurança. No caso de optar por reuso do sistema anterior, deveriam ser realizados testes mais cuidadosos. Não houve preocupação com a usabilidade do sistema, como podemos observar pelas mensagens de erro passadas do sistema, além das mensagens supracitadas, outras mensagens de erro, como “MALFUNCTION 1 ... 64” eram demonstradas ao usuário, sem que nem ao menos no manual, houvesse maiores explicações sobre elas. Falhas do lado dos operadores e médicos também ocorreram, por desconsiderar as reclamações dos pacientes e continuar com o tratamento. A AECL deveria ter levado em consideração os contatos feitos pelos médicos e hospitais dos pacientes acidentados, realizando novos testes no Therac-25, assim que o primeiro acidente ocorreu.

Em 1987, após o 6º acidente, a FDA declara que o Therac-25 não está de acordo com a lei dos Estados Unidos da América e pede que a AECL avise seus clientes que o aparelho não deve ser utilizado para tratamento de rotina.

Referências:

http://sunnyday.mit.edu/therac-25.html
Medical Devices: The Therac-25 por Nancy Leveson

http://en.wikipedia.org/wiki/Therac_25

http://pt.wikipedia.org/wiki/Therac-25

http://www.cs.washington.edu/people/faculty/leveson.html

http://neptune.netcomp.monash.edu.au/cpe9001/assets/readings/www_uguelph_ca_~tgallagh_~tgallagh.html THERAC-25 Computerized Radiation Therapy Report by: TROY GALLAGHER

http://courses.cs.vt.edu/~cs3604/lib/Therac_25/Therac_1.html
THERAC-25 An Investigation of the Therac-25 Accidents por Clark S. Turner e Nancy Leveson

Acidente Tenerife...complemento

4 principais causas do Acidente de Tenerife segundo o Psicólogo Karl Weick

1. Interrupção de rotinas importantes entre sistemas interdependentes

Ex. Las Palmas -> Los Rodeos
Neblina intensa


2. Perda de eficiência cognitiva devido ao automatismo

Capitão KLM - Muito tempo no simulador - Não existe torre - O capitão resolve a liberação - Estresse “retorno as lições iniciais”


3. Interdependências dificultadas
O sistema ficou mais complexo: tráfego intenso, s/radar de pista, s/ luz de pista, neblina

4. Perda de precisão na comunicação devido a distorção de hierarquia

Capitão KLM – “Top” - Co-piloto e Engº ->estresse hierarquia

Fonte: Systems Intelligence in Preventing Organizational Crises por Isto Nuorkivi

Acidente de Tenerife

Tenerife

– A mais larga das Ilhas Canárias (2.057 Km2)
– População de quase 750.000.
– Situa-se a 200 milhas da costa da África Noroeste a cerca de 28 graus de latitude e 16.5 graus de longitude.

Tenerife é a única ilha em Canárias com dois aeroportos. Até 1977 tinha apenas um: o aeroporto de Los Rodeos que se situa no norte da ilha, perto de La Laguna. O segundo aeroporto - o Reina Sofia (com o nome da esposa do rei de Espanha) - foi construído no sul, perto da Costa del Silêncio, a poucos kms de Las Américas/Los Cristianos

Hoje em dia, o Reina Sofia é um aeroporto moderno que suporta praticamente todo o tráfego internacional de Tenerife o que, às Sextas feiras (o dia mais movimentado da semana), implica um vôo em aproximadamente cada seis minutos

O acidente de Tenerife

No dia 27 de março de 1977, um Domingo, duas aeronaves Boeing 747 se envolveram no que veio a ser o maior acidente aéreo em solo da história da aviação.

O desastre ocorreu às 17h06, horário local, quando o vôo 4805 da empresa KLM Royal Dutch Airlines, sob o comando do Capitão Jacob Veldhuyzen van Zanten – um dos melhores e mais experientes pilotos da empresa, colide violentamente com o vôo 1736 do da empresa Pan Am, comandado pelo capitão Victor Grubbs, durante os procedimentos de decolagem.

Las Palmas fechado

Ambas as aeronaves foram forçadas a aterrissar no aeroporto de Los Rodeos, junto à outros três aviões de grande porte, devido a um atentado terrorista em Las Palmas (destino).

A aeronave da Pan Am, estava abastecida, os passageiros não desembarcaram e estava pronta para nova decolagem, porém foi instruida a se posicionar quatro posições atrás do Boeing da KLM.
A aeronave da KLM, desembarcou os passageiros que foram transportados para o terminal de ônibus, e decidiu reabastecer em Los Rodeos para poupar tempo em Las Palmas.

Aeroporto de Los Rodeos

• O aeroporto estava saturado pelo trafego das repentino de aeronaves de grande porte.
• As diversas aeronaves encontravam-se estacionadas ao longo da taxiway, exigindo que as aeronaves utilizassem a própria pista para táxi e posterior decolagem (take off).

Image:Map Tenerife Disaster EN.svg
From Wikipedia, the free encyclopedia

Reabertura de Las Palmas

Às 14h30, o aeroporto de Las Palmas foi reaberto e teve início o êxodo das aeronaves represadas.

A aeronave da Pan Am estava pronta para decolagem, mas a aeronave da KLM estava obstruindo a pista, reabastecimento. O controlador de vôo oferece ao capitão da Pan Am a possibilidade de se posicionar logo após do KLM na sequência de decolagem, e o capitão aceita.

Liberação para taxi

• Às 16h45 a KLM estava pronta, e ambas as aeronaves iniciaram o procedimento para liberação.
• Após alguma confusão sobre a rota de taxiamento, KLM foi liberada para backtaxi, se posicionando para decolagem, e o Pan Am foi liberada para seguir pela pista principal e sair na terceira saída, liberando a pista para o KLM.

Condições Climáticas

Neste momento as condições climáticas estavam ruins, com neblina e uma chuva fraca. (visibilidade de cerca de 300 metros)

Posicionamento

A aeronave KLM terminou o “backtaxi” e estava se posicionando para a decolagem

A aeronave da Pan Am, estava confusa sobre a terceira saída. Um Boeing 747 teria que fazer uma conversão à esquerda de 135º e outra à direita de 135º ? ? ? . Não existia placa da saída C3. A tripulação entendeu que deveria seguir para a próxima saída e fazer uma curva de 45º

A aeronave da KLM termina o posicionamento para a decolagem e após receber liberação de uma Rota para seguir após a decolagem. O capitão do KLM entendeu que se tratava de liberação para decolagem

1705:53 – Torre: KLM 4805, você está liberado para Papa beacon, levante e mantenha nível 90, vire a direita após decolagem, proceda o alinhamento 040 até interceptar o 325 radial de Las Palmas VOR (1706:08)

1706:09 – KLM: Roger. ....repetiu o procedimento e ao final... We are now [uh-takin´off] ou [at takeoff] com um forte sotaque Holandês


Problema de comunicação

O capitão do KLM aumenta a aceleração.

17 :06 :13 (Captain) : We gaan. (We're going)

17 :06 :19 (Ténérife control tower) : OK

Ao mesmo tempo, o primeiro oficial da Panam fala:

17 :06 :19 (PanAm first officer) : No .. eh...

A torre de controle encontra-se confusa e relembra o Capitão do KLM que ele não tem permissão para decolar.

17 :06 :20 (Ténérife control tower) : Stand by for take-off, I will call you.

O primeiro oficial da Panam causa uma sobre-modulação impedindo a compreensão da ambas as frases

17 :06 :20 (PanAm first officer) : And we're still taxiing down the runway, the clipper one seven three six

A velocidade do KLM aumenta.

17 :06 :25 (Ténérife control tower to the PanAm 747) - Roger alpha one seven three six report when runway clear

17 :06 :29 (PanAm first officer) - OK, we'll report when we're clear

17 :06 :30 (Ténérife control tower) - Thank you

O capitão do KLM não reage as últimas comunicações

O primeiro oficial da KLM expressa sua preocupação sobre a localização do Panam, porém obtém uma confirmação entusiasmada do capitão, e decide não confrontar o Capitão.

17 :06 :32 (KLM first officer) – Is hij er niet af dan? {Is he not clear then?}

17 :06 :34 (KLM captain) – Wat zeg je? {What do you say?}

17 :06 :35 (KLM first officer) – EstIs hij er niet af, die Pan American? {Is he not clear that Pan American?}

17 :06 :36 (Angry KLM captain) – Jawel. {Oh yes. - emphatic}


A Colisão

• Próximo da quarta saída, o Pan Am vê as luzes do Boeing da KLM
• O Pan Am acelera ao máximo, virando a esquerda, procurando deixar a pista.
• O acelera, a mais de 270 Km/h, tenta levantar vôo antes da colisão.
• As aeronaves colidem.

A Tragédia

Fonte: http://www.planecrashinfo.com/w770327.htm

583 pessoas morreram. Apenas 64 pessoas do Pan Am sobreviveram, incluindo os 5 tripulantes da cabine (Fonte: http://www.planecrashinfo.com/w770327.htm)

Linha do Tempo

7h42 Pan Am decola de New York com destino a Las Palmas
9h00 KLM 4805 decola de Amsterdan, também com destino a Las Palmas
12h30 Aeroporto de Las Palmas fechado devido atentado terrorista
13h38 KLM 4805 pousa em Los Rodeos
14h15 Pan Am pousa em Los Rodeos
14h30 Aeroporto de Las Palmas reaberto
16h45 KLM 4805 termina reabastecimento e aguarda liberação
16h58 KLM 4805 liberada
17h02 Pan Am liberada para taxiar
17h02m51 Torre entra em contato e pergunta quantas saídas a KLM havia passado e a resposta foi C4
17h03m29 Pan Am solicita confirmação para sair na terceira saída
17h04m24 Discussão no cockpit da Pan Am tripulação identificou saída 1
17h04m58 Torre avisa que a iluminação de centro da pista está fora
17h05m22 Pan Am saída 2
17h05m44 KLM pronta para decolagem, aguardando liberação
17h05m53 Torre: Liberação de rota
17h06m09 Confirmação de entendimento da mensagem
17h06m12 KLM iniciou procedimento de decolagem
17h06m18 Torre: “Okay. Stand by for takeoff;. I will call you
17h06m18 Pan Am “We are still taxiing down runway
17h06m25 Torre: pede confirmação de liberação da Pan Am
17h06m32 Pan Am: Retorno quando terminar (capitão do KLM entende que a pista está livre)
17h06m32 KLM: Engenheiro de bordo questiona: a pista não está livre?
17h06m48 Som de aproximação dos motores
17h06m50 Colisão


Identificação dos fatores humanos (Shell)

Interface: Liveware-Liveware

1) Capitão — tripulação (KLM): Autoritarismo impediu que a decisão fosse questionada
2) Tripulação — Tripulação: Desgaste, stress, pressa...
3) Cockpit – Torre
Protocolo de comunicação inadequado
(frases não padronizadas e ambíguas)
Okay...
Roger...
Take off...

Interface: Environment-Liveware

1) Clima – neblina – visibilidade
2) Sinalização inadequada

Interface: Hardware-Liveware

1) Decisão de um 747 fazer uma curva de 135º
2) Falta de radar de solo no aeroporto
3) Problema de comunicação no rádio

Outros fatores determinantes:

- Regulamento Holandês sobre tempo de permanência da tripulação em atividade. (Pressão por tempo)
- Preparo do aeroporto de Los Rodeos para lidar com situação de “emergência”
- Procedimentos inadequados: sem visibilidade e sem radar, a torre tinha autorização para trabalhar segundo os relatos das aeronaves
- Controlador (concorrência de canal de comunicação) Jogo de futebol por TV ou rádio (Bruggink, sd)

Mudanças de segurança

• Construção de um novo aeroporto em Tenerife para tráfego internacional
• Utilização de frases padronizadas, em inglês (ex.: “line up and wait”)
• Confirmação com repetição da mensagem (no lugar de OK, Roger...)
• A frase “tafe-off” só deve ser utilizada para autorizar a decolagem (usar departure durante o posicionamento)
• Ênfase ao acordo mutuo no lugar da hierarquia rígida.

Referências

[1] Wikipedia, the free encyclopedia
http://en.wikipedia.org/wiki/Tenerife_disaster

[2] 1001 Crash
http://www.1001crash.com/index-page-tenerife-lg-2-numpage-1.html

[3] PAN AM air.org
http://www.panamair.org/accidents/victor.htm

[4] Aviation Safety Network
http://aviation-safety.net/investigation/cvr/transcripts/cvr_kl4805.php

Definições e características do desempenho humano

Na aula de 06/10, vamos discutir algumas definições essenciais para criarmos uma linguagem comum. Para isso, peço que todos leiam o seguinte artigo:

Avizienis, A. et al. ;Basic Concepts and Taxonomy of Dependable and Secure Computing. IEEE TRANSACTIONS ON DEPENDABLE AND SECURE COMPUTING, VOL. 1, NO. 1, JANUARY-MARCH 2004

Começaremos a aula por uma definição destes termos na área de confiabilidade humana. Em seguida, faremos uma discussão sobre algumas características do desempenho humano, usando para isso o seguinte livro:

Wickens, C. D.; Hollands, J. G. Engineering Psychology and Human Performance. (3a. ed) Prentice-Hall, 1999

A seguir, capítulos e seus respectivos responsáveis:

Rafael Gasparetti - Signal Detection, Information Theory and Absolute Judgement
Victor Furtado - Attention in Perception and Display Space
Moacyr Cardoso - Spatial Displays
Eduardo Giannoto - Navigation and Interaction in Real and Virtual Environments
Olivia Korehisa - Language and Communications
Adilson Oliveira - Memory and Training
Denise Gastaldo - Decision Making
Leôncio Barros - Selection of Action
Maria Cristina Toledo - Manual Control
Paulo Roberto - Complex Systems, Process Control and Automation
Bemildo Ferreira - Attention, Time-Sharing and Workload

Por favor, resumam as principais idéias de cada capítulo e identifiquem, nos acidentes estudados na aula anterior, as circunstâncias que evidenciam as características humanas estudadas.

Até breve!
Lucia

Pesquisa de acidentes para dia 29/09

Prezados,
Peço que vocês estudem com cuidado os seguintes acidentes e façam:
1. um resumo do ocorrido, com ilustrações, etc.
2. uma linha do tempo que evidencie a seqüência de acontecimentos. Ela deve conter a indicação de todos os eventos que vocês acharem relevantes para a compreensão do acidente.
3. a identificação dos fatores humanos que contribuíram para o acidente. Identifiquem problemas nas interfaces entre o ser humano e seu ambiente (modelo SHELL).
4. destacar o evento do acidente na linha do tempo
5. ações pós-acidente são opcionais mas muito bem-vindas.

O material deve ser uma apresentação para ser mostrada aos colegas e discutida na aula. Cada grupo terá 20 minutos para apresentar.

Sorteei os acidentes e os grupos para esta primeira aula. A referência enviada por email é um material base, mas vocês devem buscar mais informações para completar a tarefa.


Rafael Gasparetti e Victor Furtado – RG254
Moacyr Cardoso e Eduardo Giannoto – KLM/PANAM, Tenerife
Olivia Korehisa e Adilson Oliveira – Therac 25
Denise Gastaldo e Leôncio Barros – Chernobyl
Maria Cristina Toledo e Paulo Roberto – TMI

Nosso convidado Bemildo deve trazer o acidente de Lexington.
Obrigada!
Lucia

Boas vindas

Em primeiro lugar, sejam bem-vindos os novos alunos da disciplina PCS5006 ao grupo de estudo de confiabilidade humana. Este é um grupo que se reúne há um ano nas sextas à tarde, alguns dias com mais interessados, outros com menos, mas sempre ativo.

Retomando um post antigo:

o foco do grupo de estudo é a Confiabilidade Humana como parâmetro de projeto da interação homem-computador (IHC) de sistemas críticos, dando subsídio para as fases de concepção, desenvolvimento e avaliação destes sistemas.

Pretendemos estabelecer os conceitos e pesquisas técnicas para melhorar o acoplamento dos sistemas à estrutura social da operação. As reuniões serão usadas para apresentação e discussão dos resultados das pesquisas.

Regras de participação

Este é um grupo de estudo, em primeiro lugar. É uma oportunidade de troca de idéias sobre um tema de interesse comum. Fora do período letivo, que vai de setembro a dezembro de cada ano, interessados podem se vincular ao grupo, contribuindo para os estudos através de leituras, pesquisas específicas, produção bibliográfica e principalmente, com a presença nas discussões.

A participação é formalizada em uma disciplina de pós-graduação (PCS5006). Os alunos regularmente matriculados receberão créditos pela participação se não faltarem a mais que três aulas (nota C na terceira falta) e se cumprirem as tarefas atribuídas. Espera-se, no entanto, que a participação seja continuada, mesmo fora do período de oferecimento da disciplina!

Nossos tópicos de 2006

O conjunto de temas é grande. Já há alguns temas tratados em postagens anteriores neste blog. Neste ano, pretendo fazer um estudo mais detalhado de algumas técnicas de análise de confiabilidade humana, ensaiando o que tem sido proposto na literatura em uma situação real, já que este ano contamos com um especialista em controle de tráfego aéreo.

Postagens

Todos os trabalhos apresentados em aula devem ser postados neste blog!


Até sexta,
Lucia

Livros Digitais - Human Factors

Durante a pesquisa bibliográfica para escrever o capítulo sobre percepção de cores e formas, encontrei alguns livros digitais (completos), atualizados e muito interessantes.
* HANDBOOK OF HUMAN FACTORS IN WEB DESIGN (2005): vários autores escrevem sobre Fatores Humanos e Ergonomia, Preparação de Conteúdo para a Web, Mecanismos de pesquisa, Usabilidade Universal, Engenharia de Usabilidade para a Web, Tecnologias e Aplicações Emergentes (como Educação a Distância, Comunicação sem fio, e Saúde), ROI em Usabilidade, entre outro assuntos.

* TEN QUESTIONS ABOUT HUMAN ERROR - A New View of Human Factors and System Safety (2005).

* Modern Information Retrievel (1999): traz um capítulo sobre fatores humanos na apresentação de informações.

Vídeos da NASA - Confiabilidade Humana - Fatores Humanos

Este site contém uma série de vídeos, onde um cientista da NASA comenta sobre a importância de se estudar Human Factors e Human Reliability.

Assisti alguns e são bastante interessantes.

Abraços,

Galba

CREAM - Cognitive Reliability and Error Analysis

Estou postando um resumo sobre o CREAM. Tentei exemplificar, da melhor forma que encontrei, um exempo real de aplicação. Dos poucos artigos que achei, nenhum apresentou uma aplicação deste método, apenas comentários e comparações. Quando acreditei ter achado algo, este era o mesmo do livro do Hollnagel.

CREAM
Cognitive Reliability and Error Analysis Method

Método apresentado por Erik Hollnagel, professor da Linkping University, Suécia, em livro de mesmo nome do método, pela editora Elsevier Science Ltd., em 1998.

Como segunda referência para este resumo, foi utilizado um trabalho realizado por pesquisadores do Departamento de Ciência da Computação da Universidade de Paderborn. Este trabalho, no início de da discussão, apresenta o livro de Erik Hollnagel como referência principal.

-> Introdução
Uma das premissas para o desenvolvimento de trabalhos na área da human reliability analysis (HRA) é a tentativa de responder perguntas como: “Why to investigate human reliability?”. Análises realizadas pelo Instituto de Operações em Energia Nuclear, em 180 eventos ocorridos nos anos de 1984 e 1985, mostraram que 51% de todos os incidentes podem ser relacionados a problemas de desempenho humano. Os outros 39% principais eventos também podem ser classificadas como “instâncias” do erro humano, levando à, praticamente, 90% dos incidentes sendo direta ou indiretamente relacionados a este último.

Uma outra análise, agora elaborada pela NASA, em 612 incidentes entre 1990 e 1993, mostrou que 66% deles foram causados por erro humano. Outras categorias que também ocasionaram estes incidentes são: procedimentos falhos (5%), disfunção em equipamentos (8%) e pouco treinamento ou quebras na comunicação (21%). Contudo, estes últimos foram considerados como havendo uma relação com o erro humano, totalizando assim uma faixa de 80-85%, ao invés dos 66%.

O CREAM é apresentado como um método capaz de fazer dois tipos de análises: retrospectiva (onde se quer descobrir quais foram as causas iniciais do erro) e predição de desempenho (a partir de uma ação inicial definir seus efeitos). Dois termos para a aplicação do método são definidos: causa deve ser conhecida como genótipo e efeito como fenótipo, estes definem os pontos iniciais e finais. As causas e efeitos entre estes pontos são definidos como antecedentes e conseqüências, respectivamente.

-> Classificação
Quando uma cadeia de evento precisa ser analisada, é necessário levantar uma seqüência abstrata o suficiente para que não haja muitos detalhes, evitando que a análise se torne complexa, contudo, este é um dos principais problemas apontado por Hollnagel.
São usados quatro grupos, um referindo-se aos fenótipos e os outros três ao genótipo. Cada grupo se separa em categorias mais detalhadas, onde são distinguidas as conseqüências gerais e as específicas.

-> Modos de Erro
Este modo descreve como uma ação incorreta pode se manifestar. Pode ser separados em quatro grupos:
- Ação de tempo errado
- Ação de tipo errado
- Ação de objeto errado
- Ação de lugar errado

-> Genótipos relacionados ao humano
Este categoria é sobre funções específicas da cognição. Hollnagel separa estes entre análises e sínteses. A primeira é responsável por identificar a situação corrente (observação, reconhecimento) e a segunda de determinar o que fazer e como (opções, planejamento, programação). Neste modelo, esta análise é descrita como observação e interpretação e a síntese como planejamento e execução.

-> Genótipos relacionados com tecnologia
Possui sub-grupos ligados ao sistema sob análise e avalia mal funcionamento técnico, operação inadequada e questões ligadas às interfaces:
- Disfunção nos equipamentos
- Procedimentos
- Problemas de interface temporários
- Problemas de interface permanentes

-> Genótipos relacionados á organização
Relacionados aos genótipos não ligados ao tecnológico e/ou humano:
- Comunicação
- Organização
- Treinamento
- Condições ambientais
- Condições de trabalho

-> Relacionamento
Hollnegel comenta que o método não possui característica hierárquica entre os grupos, ou seja, existe um relacionamento livre entre eles que será definido na análise do evento em questão. Para tal, cada conseqüência descrita em um grupo precisa corresponder a um, ou mais, antecedente em outros grupos.

Para cada conseqüência, uma lista de antecedentes prováveis (possíveis explicações) deve existir. Cada um desses antecedentes são, também, conseqüências em outro grupo, ou para a causa raiz. Tal procedimento apresenta a extensão que o método pode obter até se alcançar uma explicação ou enquanto ainda fizer sentido.

-> Um exemplo teórico
Assuma que uma análise começa sobre uma conseqüência de um determinado grupo B. A descrição deste grupo fornece alguns antecedentes para este evento e assuma que, de acordo com as circunstâncias dadas, o antecedente mais provável é o B2, o qual é uma conseqüência do grupo A. Continuando a análise deste ponto, deve-se determinar qual o antecedente mais provável para B2 dentro do grupo A. Aceite a antecedente A3 para este exemplo. Pode ser que este último, seja a conseqüência de um grupo C.

-> Análise retrospectiva
Seu objetivo é achar as respostas para questões do porque algo aconteceu e como. Para tal é necessário seguir os seguintes passos:
- Determinar o contexto
- Descrever os possíveis modos de erro
- Descrever as causas prováveis
- Realizar uma análise mais detalhada dos passos principais (traçar possíveis links conseqüência-antecedente para os modos de erro selecionados)

Como já apontado, determinar o contexto de um evento sem ser muito detalhista e nem deixar de lado importantes informações é complexo e, portanto, não recomendado que se faça. CREAM usa CPC (Common Performance Conditions), que é um grupo de nove condições. Para cada contexto, uma condição geral deve ser descrita como aquela corrente e, com esta informação, ser pontuada a partir de níveis dados pelo método.

Para efeito de elucidação, citarei aqui as nove condições do CPC: adequação à organização; condições de trabalho; adequação da MMI (modelo proposto por Sheridan e Hennessy, 1984. Relacionado com a devida apresentação das informações em interfaces e indicadores) e suporte operacional; procedimentos disponíveis; número de objetivos a serem alcançados simultaneamente; tempo disponível; treinamento e experiência; eficiência na colaboração dos envolvidos.

No próximo passo, devem ser determinados quais modos de erro são prováveis e quais são suas possíveis causas, ou seja, quais genótipos são mais prováveis. Tendo em vista que as causas podem ter ligações entre elas, níveis de relacionamento entre causas (CPC) e os genótipos devem ser definidos, objetivando a orientação do analista para dar seqüência à aplicação do método.

-> Analisado os passos
O primeiro evento deve ser descrito e combinado com um modo de erro predefinido, e.g., ação de tempo errado. Para este modo de erro, um(ns) antecedente(s) deve(m) ser determinado(s), isto é feito usando tabelas de relacionamento fornecidas pelo método. Cada antecedente também é uma conseqüência, e a busca por seus antecedentes deve ser feita. O autor apresenta três formas de o analista descobrir que o processo foi finalizado:
- um antecedente específico é encontrado
- nenhum antecedente foi encontrado para uma conseqüência
- o antecedente não pode ser qualificado como conseqüência

-> Um exemplo real
“Even there are only few examples were CREAM was applied for analysis or prediction (what might be due to the little age of the method and its complexity), it seems that, once understood and with the appropriate amount of detailed information, it is nevertheless a very powerful method.”

Este texto acima fecha a conclusão do trabalho apresentado sobre o CREAM pela University of Paderborn. Atesto que realmente é difícil encontrar um exemplo publicado da aplicação do método em algum evento, somente comentários e pequenas comparações com outros. Nesta parte apresento um resumo do exemplo existente no livro do Hollnagel e, consequentemente, no trabalho da University or Paderborn.

O evento real considerado para apresentação ocorreu em 25 de Janeiro de 1982, na R. E. Ginna Nuclear plant, onde houve a ruptura de um tubo de vapor oriundo do gerador B. Um seqüência de eventos é apresentada pelo autor para definição do cenário, acompanhada do texto:
“As the first three steps are strongly context dependent and the official documentation of the incident is not avaliable, only the results of the original analysis are provided here.”

Primeiramente, cada CPC foi descrita para este evento e verificado em qual nível ela atendia ao requerido. Por exemplo, a CPC condição de trabalho foi nivelada como incompatível, já que havia muitas pessoas na sala de controle, trazendo distúrbios nas tarefas do operador.

Na determinação dos modos de erro possíveis, estes são listados de acordo com a tabela fornecida pelos métodos, cada um é esclarecido e pontuado de acordo com sua pertinência ao evento (impossível, possível e provável).

No terceiro passo, as prováveis causas são determinadas, ou seja, a tabela de CPC vs genótipos é usada. As CPC’s que não trazem problemas para esta análise são marcadas e se algum genótipo não tem ligação com as CPC’s, este grupo não é considerado como uma provável causa. Contudo, este caso não ocorre neste evento, há pelo menos uma ligação e os três grupos são analisados.

Continuando, deve-se agora descrever o evento inicial, considerado aqui como um atraso no fechamento da válvula de isolação do vapor principal (MSIV). O modo de erro mais provável, neste caso, é o tempo. O antecedente específico é o atraso e nenhum outro modo de erro foi aplicado aqui.

Usando tabelas fornecias pelo método, um processo de “linkagem” é iniciado. Da tabela dos modos de erro, o tempo (considerado o mais provável) apresenta seis antecedentes gerais e dois específicos. Dos gerais, dois foram escolhidos: procedimento inadequado e planejamento inadequado. Tomando o primeiro como uma conseqüência agora, deve-se ir até o grupo dos procedimentos para encontrar um antecedente. Neste grupo, problema de projeto e controle inadequado da qualidade parecem relevantes. De acordo com a categoria organizacional, o controle inadequado da qualidade é claramente relevante e tem como antecedente procedimento inadequado. Já o problema de projeto não parece conveniente.

Um antecedente, procedimento inadequado, tornou-se conseqüência e foi encontrado como antecedente novamente, finalizando a análise para ele.

Com o término dessa, dá-se seqüência para planejamento inadequado, repetindo-se todo o processo.

Cada passo desse é realizado para cada modo de erro, até que as prováveis causas possam ser encontradas.

Acidente em Three Miles Islands

Introdução

* Aconteceu em 28 de março de 1979;

* É considerado o segundo maior acidente nuclear mundial (em primeiro está Chernobyl);

* Segundo diversos relatórios oficiais, não foram detectados problemas de saúde como câncer ou questões relacionadas à genética, somente o estresse mental ao qual foi submetida a população. Nem em animais e plantas foram encontrados efeitos do acidente.

Seqüência de eventos

* A unidade 2 da Planta Nuclear Three Miles Island (TMI-2) operava normalmente com 97% (de 2.772 megawatts) de potência, totalmente no automático;

* (04:00) Ocorreu um problema numa bomba do sistema de resfriamento do reator;

* A pressão e a temperatura dentro do reator começaram a subir, o que ocasionou (como esperado) a abertura da válvula de liberação (ou alívio) de pressão;

* Com o nível de pressão voltando ao normal, a válvula de liberação de pressão deveria ter sido fechada, o que não ocorreu. Os operadores não sabiam que a válvula estava emperrada, pois o sistema indicava que havia enviado um sinal de “fechar” para a válvula. Todavia o sistema não informava o estado corrente da válvula;

* Durante duas horas, com a válvula de liberação de pressão aberta, a água que resfria o núcleo evaporou para a atmosfera;

* Os operadores não interpretaram corretamente as indicações do sistema do reator (pensavam que a alta temperatura seria temporária) e pararam o fluxo de emergência de água para o resfriamento do núcleo do reator;

* Em resposta à falta de água, bombas de injeção de alta pressão automaticamente são acionada e começam a adicionar água e vapor no sistema de resfriamento – que continua vazando pela válvula de liberação de pressão (que permanece aberta);

* Os operadores imaginam então que o núcleo está com água em excesso (no treinamento, eles foram ensinados que somente água em acesso aumenta a pressão no núcleo) e diminuem o fluxo de água para o resfriamento;

* Graças à falta de água, as bombas começam a bombardear uma mistura de água e vapor. Essa mistura fazia com que as bombas (e toda a planta) vibrassem o que poderia causar um dano maior à planta;

* Como pensavam que o reator tinha água em abundância, os operadores resolveram desligar todo o sistema (inclusive o resfriamento);

* Sem água, a temperatura subiu no núcleo do reator a ponto de fazer o urânio derreter no recipiente do reator (o maior dano do acidente) e emitir material radioativo dentro da água de resfriamento;

* (06:22) Os operadores conseguem fechar uma válvula entre o bomba de liberação de pressão e o reator. Isso fez com parasse o vazamento de água;

* (19:50) Os operadores restauram a normalidade a partir da injeção em alta pressão de água no sistema de resfriamento.



Impacto do Acidente em TMI a longo prazo

* Vários estudos de saúdo foram feitos para medir as conseqüências do acidente na população que vivia ao redor da Planta;

* As lições aprendidas no acidente ajudaram e continuam ajudando a melhoria constante do desempenho, de procedimentos de emergência e comunicação com o público de Plantas Nucleares em todo o mundo;

* Conscientizou os responsáveis por Plantas Nucleares da importância de treinamento e melhor interação entre sistemas críticos e operadores.

Referência

* Report of the President's Commission on the Accident at Three Mile Island
http://stellar-one.com/nuclear/index.htm

* How Nuclear Power Works
http://science.howstuffworks.com/nuclear-power3.htm

* The Response by the Department of Environmental Resources to the Accident at Three Mile Island
http://www.dep.state.pa.us/dep/PA_Env-Her/tmi/tmi_der.htm

Capítulo 5 – Um projeto para máquina falível - Livro: Human Error - James Reason

Resumo do livro de James Reason, Human Error
Um projeto para uma máquina falível (A design for a fallible machine)

Este capítulo vem esboçar uma resposta para a seguinte pergunta: "Que tipo de dispositivo que trabalha baseado em informações poderia operar corretamente na maioria das vezes, mas também produzir respostas ocasionalmente erradas como no comportamento humano? A idéia é "fazer coisas que são feitas pela mente humana" (Boden, 1987, p. 48). De acordo com Bolden (1987, p. 48), há duas vantagens nesta tentativa:

"First, it enables one to express richly structured psychological theories in a rigorous fashion (for everything in the program has to be precisely specified, an all its operation have to be made explicity); and secondly, it forces one to suggest specific hypotheses about precisely how a psychological change can come about."

-> Componentes estruturais da "máquina"
A máquina possui dois componentes principais: working memory (WM) e knowledge base (KB). A primeira é subdividida também em duas partes: focal (FWM) e periférica (PWM). Se imaginarmos dois círculos, um sendo a FWM e o outro sendo a PWM, o primeiro estaria circunscrito no segundo. Como entrada e saída de informações, são necessários alguns sensores e atuadores, estes são definidos aqui, respectivamente, como input function (IF) e output function (OF). O primeiro alimenta a PWM e a KB, o segundo é uma combinação de efeitos oriundos de KB, havendo uma realimentação destes como IF da máquina.

-> Funções de cada parte da máquina

- FWM
Recebe informações constantemente da KB e do IF.

- PWM
Sua função primária é gerenciar o acesso das informações à FWM. Têm suas informações de entradas vindas diretamente da KB e do IF, segura tais informações brevemente enquanto realiza uma seleção daquela pequena porção que irá alcançar a FWM. Qual informação deve acessar a FWM e qual não deve é realizado de acordo com uma variedade de prioridades.

- Knownledge base (KB)
Repositório de unidade de conhecimento. Ilimitado em capacidade e tempo no qual o conhecimento fica armazenado. Contudo, não é considerado uma biblioteca, mas um conjunto de pistas. Como nossa memória, essas pistas podem aumentar na forma de informações mais elaboradas, à medida que são usadas pela WM.

-> Mecanismos de recuperação
A máquina possui alguns mecanismos para recuperar a informação existente na KB para a FWM. Dois deles: similarity-matching e frequency-gambling, ambos constituem as premissas computacionais do sistema. O terceiro mecanismo chama-se directed serch (ou serial search), oriundo do sofisticado processo da FWM.

- Similarity-matching
Para evitar extensas buscas dentro da KB, este mecanismo tenta encontrar recentes e similares ocorrências (OF) da FWM. Caso nada seja encontrado, buscas mais profundas são realizadas.

- Frequency-gambling
Em algumas situações, encontrar a ocorrência que seja similar ao requisitado não é suficiente, uma grande quantidade de respostas pode ser obtida da KB. Nesses casos, uma grande quantidade de possíveis candidatos pode ser encontrada na PWM, partindo então para a busca através do mecanismo de frequency-gambling. Entre os candidatos, aquele que já foi empregado com maior freqüência será o escolhido.

- Directed search
FWM não tem acesso direto à KB, somente aos resultados de suas buscas. O que a FWM pode fazer é recusar algum resultado de frequency-gambling oferecido pela última. Sendo assim, se um resultado não é satisfatório para a FWM, esta pode reiniciar a busca com algumas alterações em suas informações de filtro.

-> Analisando um processo
Analisando a máquina falível em um processo, a seguinte seqüência de fatos pode ser cogitada:
O problema é encaminhado, através das IF, para a KB e WM. Em um primeiro passo, a KB entrega uma seqüência de resultado através da similarity-matching e frequency-gambling para a WM. Um resultado é avaliado por esta última e considerado inadequado, o problema é analisado novamente e novas pistas são enviadas à KB. Após uma busca mais profunda, um novo grupo de resultados é entregue à WM. Novamente, esta pode considerá-lo inadequado, reformulando novas pistas enviando-as para a KB. Nova busca, desta vez ainda mais profunda, é realizada e novos resultados são novamente entregues. A WM os considera adequados e uma solução é apresentada.

Na tentativa de modelar os fundamentos da cognição humana, duas questões importantes precisam ser abordadas: (a) as propriedades da KB e seus modos de representação e (b) um conjunto de regras, ou heurísticas, para selecionar qual estrutura de conhecimento armazenada será ativada em certa situação. Segundo o autor, esse mecanismo de “response-selecting” descrito acima não somente provê o modelo de gerenciamento de informações do ser humano, como também cria e define formas de reconhecimento do erro humano.

Em um mundo real, cada problema teria uma única solução, contudo, a realidade está muito longe disto: (a) a busca para solucionar problemas pode resultar em várias respostas ou em nenhuma, (b) as estruturas de conhecimento podem estar incompletas, erradas ou perdidas entre elas. Essas premissas são formas de apresentar uma preocupação na tentativa de modelar a cognição humana.

-> Modelando resultados sobre conhecimentos incompletos
Nesta parte o autor apresenta dois exemplos, para efeito de ilustração das idéias até então apresentadas, resumirei apenas um deles: reconhecimento a partir de pistas limitadas.

Foi realizada uma simulação (implementada em Prolog, por Philip Marsden) sobre os meios pelos quais pessoas com conhecimento variado sobre os presidentes dos Estados Unidos respondem à tarefa de identificar, entre 20 nomes, aquele que corresponde a uma (ou até três) determinada pista selecionada de fatos biográficos da vida deste.

Para este modelo, uma KB normativa foi preenchida com um específico número de fatos verdadeiros sobre cada presidente. Após esse passo, uma KB descritiva é criada como uma versão incompleta da KB normativa, com o objetivo de modelar a cognição humana. Como já comentado, após algumas buscas, os dados armazenados na KB vão sendo alimentados com novas informações e tornando-se mais completos, ou seja, após várias execuções a KB descritiva torna-se muito parecida com a KB normativa.

WM não tem acesso direto à KB descritiva (DKB). Suas interações ocorrem através dos processos: similarity-matching e frequency-gambling. A busca é acionada pela WM através da apresentação de uma séria de pistas e termina com a aceitação do produto da busca por parte da mesma WM.

A partir do momento que um candidato veio como resposta para a WM, um processo comparativo é iniciado acumulando, assim, duas informações: (a) evidências de confirmação de similaridades entre o pedido de busca e o resultado, (b) evidência de contradições entre as mesmas entidades.Em uma fase seguinte de decisão, um certo peso é dado para as evidências e é definido a estratégia mais apropriada para este problema em particular.

Através de uma pesquisa realizada com estudantes dos Estados Unidos e da Inglaterra, dois grupos foram divididos de acordo com seu conhecimento dos presidentes dos Estados Unidos. O resultado das simulações e da pesquisa com os jovens resultou em uma relação entre os resultados de 0,85 para um grupo e 0,87 para o outro.

Referências:
REASON, James. Human Error. Cambridge: Cambridge University Press, 1990. 302 p.

Atualizando: Acidente Challenger

Posto aqui o resumo e conclusão sobre o acidente da Challenger. Qualquer nova definição de falha/erro/disfunção é muito bem vinda (questionamento sobre as minhas e aquelas comentadas em sala também são).

Challenger (51-L) (28/01/1985)

Tripulação:
Francis R. Scobbe – Comandante.
Michael J. Smith – Piloto.
Judith A. Resnick – Especialista da Missão 1.
Ellison S. Onizuka – Especialista da Missão 2.
Ronald E. McNair – Especialista da Missão 3.
Gregory B. Jarvis – Especialista do Satélite 1.
Sharon Christa McAuliffe – Especialista do Satélite 2.

-> Objetivos da missão (Missions Highlights)
Os planos para a Challenger, quando em órbita , seriam:
1 - Primeiro dia: após chegar a órbita, a tripulação teria duas tarefas agendadas. Primeiramente eles checariam a disponibilidade do satélite TDRS-B antes de planejar seu lançamento. Após o almoço, eles lançariam o satélite e realizariam uma série de manobras de separação. O primeiro período de sono estava programado para durar 8 horas, começando aproximadamente 18 horas após a equipe ter acordado na manhã do lançamento.
2 - Segundo dia: o experimento chamado Comet Halley Active Monitoring Program (CHAMP) foi iniciado. Também estava programado a apresentação de uma fita de vídeo (TISP – teacher in space) e manobras para colocar a Challenger a 152 milhas de altitude orbital de onde o Spartan seria lançado.
3 - Terceiro dia: a tripulação iniciou a preparação para o pré-lançamento do Spartan. O satélite foi posicionado usando um sistema de manipulação remota (RMS) para um braço robótico. A nave seria lentamente afastada do Spartan até 90 milhas de distância.
4 - Quarto dia: a Challenger se aproximaria do Spartan, enquanto Gregory B. Jarvis continuaria realizando seus experimentos sobre dinâmica dos fluídos iniciados no segundo dia. Transmissões ao vivo também estavam programadas e seriam conduzidas por Christa McAuliffe.
5 - Quinto dia: a tripulação aproximou-se do Spartan e usou o braço robótico para capturar o satélite e colocá-lo no compartimento da Challenger.
6 - Sexto dia: iniciou-se a preparação para re-entrada. Isto inclui checagem no controle de vôo, teste nos jatos de manobra e no compartimento de armazenamento. Uma nova conferência, por parte da tripulação, estava programada para após o almoço.
7 - Sétimo dia: o dia teria sido todo reservado com intuito de preparar a nave para sair de órbita e entrar na atmosfera. A Challenger foi programada para aterrisar no Kennedy Space Center, 144 horas e 34 minutos após seu lançamento.

-> Acidente
Após seu lançamento, o contato visual com a Challenger durou, aproximadamente, 73,137 segundos (1 minuto e 13 segundos). Uma série de eventos ocasionou seu fracasso, quando esta foi envolvida por uma bola de fogo.
Através de sistema de computadores e mecanismos de melhorias nas imagens, as câmeras de vídeo mostraram que fortes jatos de uma fumaça cinza vinham das proximidades da junta do foguete direito e eram oriundos de uma área em frente ao tanque externo. Esta foi a primeira evidência de que a junta não estava completamente vedada.
Após 2,5 segundos, outros 8 jatos de fumaça foram registrados. Um fato interessante: os jatos ocorriam com uma freqüência de 4 por segundo, aproximadamente a mesma da dinâmica estrutural da nave. A cor preta e a densidade da fumaça indicava que o anel de vedação havia sofrido erosão pelos gases quentes propelidos.
A aproximadamente 37 segundos, a Challenger começou a deparar-se com situações extremas devido a alta altitude. Todas elas foram reconhecidas pelo sistema de navegação e ações foram automaticamente tomadas, contudo, tais forças aumentaram os níveis de pressão sobre a nave. O aumento no força de propulsão, necessária para vencer os eventos, foram suficientes para que a primeira pequena chama no foguete direito fosse visualizada (através das câmeras) aos 58,788 segundos do lançamento. No quadro seguinte, da mesma câmera, esta mesma chama já podia ser vista sem nenhum mecanismos de melhoria na imagem. No mesmo momento (aproximadamente 60 segundos) o sistema de telemetria mostrou uma diferença de pressão entre os foguetes direito e esquerdo.
Algumas manobras fizeram com que a chama fosse direto para o tanque externo. A primeira confirmação visual deste evento deu-se aos 64.660 segundos, quando uma mudança abrupta de cor e formato aconteceu na chama. Tal mudança indicou que em sua composição havia hidrogênio, presente apenas no tanque externo.
Aos aproximados 72 segundos, uma série de eventos ocorreu muito rapidamente. Aos 73,124 um vapor branco, que obedecia um padrão, foi observado oriundo do tanque externo. Esta era a indicação de que a estrutura do tanque de hidrogênio começava a falhar. Aos 73.137 segundos, a Challenger e toda sua tripulação foram consumidas pela explosão.

-> Análise de falha, erro e disfunção
Conclusão apresentada pela Comissão responsável pelo caso:

“In view of the findings, the Commission concluded that the cause of the Challenger accident was the failure of the pressure seals in the aft field joint of the right Solid Rocket Motor. The failure was due to a faulty design unacceptably sensitive to a number of factors. These factors were the effects of temperature, physical dimensions, the character of materials, the effects of reusability, processing and the reaction of the joint to dynamic loading.”

Do ponto de vista do sistema, a falha principal pode ser apontada como sendo o uso de uma peça (anel de vedação da junta) irregular ou avariada como é citado na conclusão da Comissão acima. O estado de erro é alcançado com a presença desta peça na estrutura da nave. A disfunção foi gerada quando o anel de vedação avariado não respondeu flexivelmente como era esperado.
Os eventos aconteceram de forma rápida, o contato visual com a disfunção apresentada pela vedação ocorreu poucos segundos antes da explosão e o sistema de telemetria apresentou a primeira irregularidade após 60 segundos do lançamento (frisando que a explosão ocorreu aos 73 segundos). Tais fatos tornam inadequado apontar falha/erro/disfunção do ponto de vista humano nos segundos que antecederão o fracasso da missão.
A relação que deve ser feita é: a falha apresentada pelo sistema caracteriza a disfunção do ponto de vista humano. Deste último pode-se dizer: a falha é fundamentada no uso de procedimentos de testes e ensaios não acordados com os requisitos da peça e o projeto de operação inadequado da mesma. O erro fica aqui definido como a aprovação de uma determinada peça (aqui o foco é o anel de vedação) que pode não atender as necessidades. Através deste estado de erro, peças que não atendam as especificações podem juntar-se àquelas que atendam, podendo levar à disfunção quando a usada é a primeira.

Referência:
Site da NASA acessado em 28 de setembro de 2005: http://www-pao.ksc.nasa.gov/kscpao/shuttle/missions/51-l/mission-51-l.html

History's Worst Software Bugs

Caros,

Encontrei esse texto e lembrei de alguns tópicos que temos levantado na nossa disciplina. Além to título apelativo (!!!), esse relato apresenta vários casos em que a falha (seguindo a classificação acordada) foi inserida no Projeto e as conseqüências foram as mais variadas.
Embora a maioria dos casos seja de ordem matemática (cálculos), algumas ocorrências se deram na área médica (a Bárbara particularmente vai gostar).
Boa leitura.

ps: basta clicar no título desta mensagem.

Análise de Confiabilidade Humana

Análise de Confiabilidade Humana
Um método de Engenharia de Sistemas e sua aplicação em Plantas Nucleares



Human Reliability Analysis
E. M. Dougherty, Jr
J. R. Fragola




Introdução

O livro surgiu a partir da experiência de oito anos dos autores em trabalhar com o desenvolvimento de técnicas de confiabilidade humana. O ponto de partida foi quando os autores detectaram alguns problemas no tratamento de falhas humanas no Reactor Safety Study (1975), a primeira Avaliação de Risco Probabilístico (em inglês, Probabilistic Risk Assessments - PRA) para Plantas Nucleares.
Estes problemas já tinham sido apontados e criticados pelo Lewis Report (1976). Todavia, o envolvimento dos autores nesta área só ocorreu após os esforços pioneiros de Swain, com a publicação da metodologia THERP, em 1983. Para Dougherty e Fragola, esta metodologia não mapeava de maneira correta as principais falhas humanas de risco significante. O acidente em Three Mile Island pareceu confirmar tais convicções.
Ao longo do livro, é apresentado o que é e como a Análise de Confiabilidade Humana é aplicada. Também, é explicado como incorporar falhas humanas em modelos PRA, e como separar sistematicamente as falhas humanas da magnitude dos seus riscos.
Os autores apresentam vários casos tomados da experiência na indústria nuclear.




Capítulo 1

As tecnologias atuais ganharam riscos que afetam e são afetados pelas ações realizadas por pessoas em situações normais (de operação corriqueira), de manutenção, e obviamente, de emergência. Os autores estimam a taxa de risco devido à ação humana em algumas indústrias:
o Indústria Nuclear: entre 50 e 70%;
o Indústria Petrolífera: 70%;
o Indústria da Aviação: 50%.

Embora pareça que o ser humano seja o culpado por toda a falha, já que foi o último envolvido na ação, esta falha começa mesmo no projeto de construção de um sistema tecnológico. O problema é que estas falhas de projeto e construção são numerosas e geralmente erroneamente entendidos como falhas do usuário. O fato é que certos componentes do sistema – como complexidade e perigos – podem colocar o usuário em situações em que não é possível realizar com sucesso algumas ações, como foi projeto. Os erros dos operadores em algumas tecnologias são forçados pela própria tecnologia e suas condições.
Assim, os autores concluem que o risco sempre terá um fator humano. Ademais, esta contribuição humana para o risco pode ser entendida, avaliada e quantificada aplicando-se técnicas da Análise de Confiabilidade Humana (Human Reliability Analysis – HRA). HRA é definida, então, como a probabilidade de que um conjunto de ações humanas sejam executadas com sucesso num tempo estabelecido ou numa determinada oportunidade.




Capítulo 2

Evolução Histórica
Para traçar uma evolução histórica, os autores apontam alguns acontecimentos importantes para o fortalecimento da HRA:
o Revolução Industrial (1760): raízes da HRA;
o A partir de 1950: a HRA como a ser encarada como disciplina. A engenharia industrial e a psicologia comportamental empreendem esforços para investigar as influências do ser humano na execução de tarefas;
o Entre 1961 e 1969: uma série de pesquisas, trabalhos e publicações trazem maturidade à engenharia de confiabilidade através da combinação de ferramentas organizacionais (da engenharia de sistemas) e ferramentas teóricas (da análise probabilística);
o 1964: Berliner desenvolve um trabalho no qual as tarefas são decompostas em elementos numa perspectiva comportamental, tornando possível a aplicação de análise de tarefas - embora não apresentasse melhorias na coleta de dados;
o 1964: Swain aperfeiçoa sua THERP (Technique for Human Error Rate Prediction – Técnica para Predição de Taxa de Erro Humano);
o 1979: o acidente em Three Miles Island chama a atenção para a energia nuclear, forçando esta indústria a reconhecer explicitamente a deficiência humana (fallibility - no sentido de fraqueza). O relatório da Presidente da Comissão diz que houve “ação inapropriada do operador”, resultantes de treianmento deficiente, falha no aprendizado em incidentes anteriores, e projeto da sala de controle inadequado (os autores informam que outros autores alegam ser injusto atribuir culpa aos operadores neste acidente);
o 1981: Rasmussen propõe um modelo que soluciona o problema da classificação do desempenho humano.
O acidente em Three Miles Island mostrou que as ações dos operadores podem propagar os efeitos de uma seqüência de acidentes. Sendo assim, deve-se dividir as considerações da HRA em PRA.
Os autores apontam que a HRA é uma disciplina em franco desenvolvimento, sendo aplicada em análise de riscos, análise de perigos, desenvolvimento de bancos de dados de experiências, e desenvolvimento de sistemas computacionais em geral. Na medida que a automação de processos de controle aumenta, crescem também os problemas relacionados ao erro humano.




Capítulo 3 – Questões Teóricas

Um dos principais empecilhos para a comunidade ligada à HRA é que não existe uma teoria do comportamento humano largamente aceita nas diversas ciências humanas e completa o suficiente para ser usada como base para a teoria da confiabilidade humana (devido ao fato de que o ser humano é uma entidade extremamente complexa por si só).
Todavia - conforme Rasmusse, Duncan e Leplat - a análise da confiabilidade humana é edificada sobre a idéia de que “a maior parte dos erros humanos constatados refletem muito mais a complexidade do ambiente do que a complexidade dos mecanismos psicológicos envolvidos”. Os erros previsíveis e a execução correta de atividades são dois lados da mesma moeda.
O cenário ideal para a HRA consiste em validar uma teoria para o comportamento humano que pudesse ser traduzida em um modelo de desempenho humano/sistema que então pudesse ser quantificado de maneira probabilística.Uma alternativa seria detectar teoricamente padrões significantes de falhas humanas e quantificar estes padrões com forte embasamento estatístico.
Em seguida, com vista a formar uma teoria da confiabilidade humana, os autores discorrem sobre alguns tópicos que devem ser levados em consideração, como:
o A natureza do cérebro/mente (a dicotomia desses dois termos);
o Lógica e arquitetura do comportamento;
o Relação com o mundo (“as pessoas vêem o que elas antecipam - ou adiantam - que verão”);
o Fenômeno “escolha” (“o comportamento humano é guiado por escolhas – a escolha de agir”);
o Tipos de comportamento (“segundo Rasmussen, existem dois tipos: habilidades e baseado em conhecimento”):
o Fenômeno emotivo (“as pessoas não tomam decisões rotineiramente, mas, sim, sob pressão”, “o stress do desempenho humano é mais interno do que externo”);
o Complexidade do mundo (“o mundo é dinâmico, guiado por eventos, formados por muitas partes integrantes, onde a evidência é incerta e as ações envolvem riscos como conseqüência”);
o Interações sociais (“as pessoas não agem e pensam de maneira harmoniosa”)


Um framework conceitual
Os autores apresentam um framework que apresenta o ser humano formado por vários módulos que conduzem a seleção de atividades: os módulos que percebem os vários aspectos do mundo (recognizers), os mecanismos de controle da ação (controllers), alguns especialistas (interpreters, choosers e planners), e o monitor (executive monitor), para controlar toda essa atividade cerebral.
Dessa forma, há que se considerar os tipos de comportamento de Rasmussen dentro do framework conceitual. Por exemplo, na indústria nuclear, as atividades de manutenção são baseadas em habilidades (know-how) enquanto que as atividades de diagnóstico de emergência são baseadas em conhecimento (know-why). As características de confiabilidade desses tipos diferentes de comportamentos também são diferentes.

Influências na confiabilidade humana
O desempenho dos equipamentos é influenciado pro fatores do ambiente, como temperatura. Os autores citam que a tripulação do Titanic, por acreditarem que não afundariam nunca, não tomaram as devidas precauções quanto à quantidade de botes salva-vidas, o procedimento normal.

Probabilidade
Desde que a confiabilidade está preocupada com eventos (sucesso e falhas), pode-se afirmar que é um conceito probabilístico. Dessa forma, os sucessos e falhas podem ser contabilizados pelo menos os efeitos observáveis.

Os autores concluem o capítulo justificando que as falhas são o preço pago pelos seres humanos pela diversidade e complexidade do seu comportamento. As pessoas são seres finitos, e os erros são a indicação disto. Os profissionais da HRA não pretendem eliminar a falha humana, mas entender as conseqüências e as causas de tais falhas e estimar as probabilidades de ocorrência.




Capítulo 4 – HRA como análise de confiabilidade

Neste capítulo, os autores discutem aspectos matemáticos e gerais dos dados utilizados em análises de confiabilidade humana. Inicialmente, são apresentadas semelhanças e diferenças entre análise de confiabilidade humana e análise de confiabilidade de equipamentos.
No desempenho de determinadas atividades, os equipamentos podem sofrer stress (a degradação causada supera a capacidade estrutural do equipamento) e shock (stresses que ocorrem de maneira muito rápida) devido à influência do ambiente hostil em que se encontram inseridos. Estes fenômenos ser inferidos e podem indicar a origem da falha, o que leva à possibilidade de mensurar o grau de confiabilidade matematicamente.
Os seres humanos também sofrem strees e shock ocasionados pelo ambiente. Sendo assim, algumas das atividades humanas podem ser simuladas, gerando um conjunto de dados para a HRA.
Em seguida, os autores apresentam várias fórmulas e mecanismos para modelar a ocorrência de falhas humanas ao longo do tempo (de maneira probabilística).




Capítulo 5 – Dados para HRA

As atividade de HRA são baseadas em conjuntos de dados em registros de falhas, que serão compilados, gerando dados maduros, que darão origem aos parâmetros estatísticos.. Este resultado é chamado de dados interpretados.
Uma ordem sugerida para modelar uma seqüência de acidentes é a seguinte:
o Identificar a seqüência a ser modelada;
o Escolher a equipe que executará a tarefa;
o Executar a tarefa, registrando tempos e ações;
o Realizar atividades pós-execução (para capturar alguma informação que tenha sido omitida durante a execução);
o Analisar dados.




Capítulo 6 – THERP

Os pensadores do THERP o conceberam a partir da análise de confiabilidade de equipamentos. Uma tarefa é um conjunto mínimo de ações humanas para atingir determinada meta. As ações são discretas. As ações em uma tarefa podem ser executadas por um indivíduo ou uma equipe (nesse caso, algumas ações podem ser executadas em paralelo). Algumas ações devem ser executadas numa ordem pré-estabelecida.






Capítulo 7 – HRA como parte da análise de risco

Um certo grau de incerteza pode ser associado a avaliações de risco. Esta incerteza surge da falta de conhecimento do fenômeno que está sendo investigado, da freqüência de ocorrência de alguns eventos, e do desempenho das pessoas e equipamentos envolvidos. A execução de uma análise de risco diminui este grau de incerteza de alguns elementos de risco, dessa forma, pode-se preocupar com outras áreas cujo risco exige maior atenção.
Sendo assim, a execução de uma análise de risco pode diminuir o risco, sem alterações no projeto, uma vez que pode-se identificar, caracterizar e (algumas vezes) quantificar o risco que de uma tecnologia ou de um fenômeno natural.
Uma análise de risco é composta por:
o Modelos de eventos;
o Modelos de conseqüências e efeitos dos eventos; e
o Técnicas e dados usados para entender e quantificar o risco em termos probabilísticos.




Capítulo 8– Procedimento de HRA

Pode-se identificar os seguintes passos para a execução de uma HRA:
o Integração de atividades;
o Atividades que realizam os quantificadores inicias;
o Atividades que realizam as análises detalhadas do evento.




Capítulo 9 – Análise qualitativa

Embora seja muito controversa, uma análise qualitativa de uma HRA numa PRA consiste em quatro tarefas:
o Familiarizar com a planta, seus procedimentos, políticas, operadores, instrumentação e controle, sistemas e modelos de PRA;
o Identificar os eventos de falha humana de risco significante;
o Incorporar os eventos dentro do modelo de PRA;
o Caracterizar os eventos.

Por sua vez, um evento de falha humana pode ser visto como um vetor de três conjuntos de informações:
o Caracterização mecânica do evento (tipo de falha, causas potenciais, etc);
o Especificação de interface do evento;
o Identificação das maiores influências na ocorrência do evento e avaliação da importância de cada influência.

Capítulo 10 – TRC – Time Reliability Correlation

O acidente em TMI deixou claro que em algumas situações os operadores não as falhas nem suas conseqüências a ponto de utilizar os procedimentos existentes. Foi reconhecido que se os operadores tivessem utilizado estes procedimentos eles teriam resolvido o problema sem perder a planta. A questão que surge é se um comportamento de risco significante ocorre fora do procedimento, e se pode ser considerado um método de HRA orientado a procedimento suficiente robusto para PRA.
A solução adotada pelo fundador do THERP e dos praticantes da HRA foi melhorar o método HRA baseado em análise de tarefas, que assim, passaria a incluir também os erros de tomada de decisão e diagnóstico (isto é, mistakes e slips – predominantes em atividades práticas ou altamente procedurais). Essa preocupação motivou o desenvolvimento de uma resposta quantitativa, a TRC (Time Reliability Correlation). Por sua vez, a indústria reagiu de maneira prática implementado uma nova filosofia para procedimentos de emergência.
A premissa básica de um método TRC se apóia na natureza fora do padrão de um evento e da exigência em cima do operador que precisa responder ao evento. A ocorrência de um evento fora do padrão:
o Força o operador da planta a responder reagir a condições fora do seu propósito ou intenção;
o Força o operador a diagnosticar um evento iminente;
o Força o operador a ter sucesso em suas ações, desde que o risco de falha gera perda de equipamentos, propriedades e até vidas.




Conclusão

Os autores admitem que o método apresentado no livro é especulativo. Todavia, enfatizam a importância das conclusões lógicas demonstradas no desenvolvimento de tecnologia para um programa de confiabilidade humana. Destacam ainda:
o A diferença entre erro humano e falha humana deve ser reconhecida e levada em consideração na avaliação de risco;;
o Os simuladores são os melhores recursos para gerar dados de acidente e eventos raros;
o A análise de eventos de falha humana (em seus modos, mecanismos e fatores causais) já é madura o bastante para guiar as atividades de gerenciamento de risco e programas de redução de erros.

Trabalho sobre THERP - Technique for Human Error Prediction

Considerações

Human Reliability Analysis (HRA) é um método para estimar a confiabilidade humana. Para realizar um HRA, é necessário que se identifiquem as ações humanas que podem ter um efeito na confiabilidade ou disponibilidade do sistema (ref 1 pg 2-4).
A pessoa pode falhar em fazer o que deveria fazer; fazer de forma errada; ou fazer alguma coisa alheia/estranha ao sistema. Este último problema é considerado o elo fraco do HRA devido à dificuldade em prever tudo o que seria possível acontecer.
O HRA é usado dentro do contexto do Probabilistic Risk Assessment (PRA).

Detalhamento do Handbook (ref 1)

Cap. 1 – Introdução: Apresentação dos objetivos do Handbook: métodos, modelos e estimativas de Probabilidades de Erro Humano. Pretende fornecer informação necessária para elaboração de um HRA.
Cap. 2 – Explicação de alguns termos básicos: Definições básicas de termos, incluindo tipos de erros em plantas nucleares.
Cap. 3 – Alguns PSF que afetam a confiabilidade humana: Apresenta PSF, que são entendidos como qualquer fator que influencia o desempenho humano. Apresenta o homem como componente do sistema e um modelo genérico e simplificado da função do homem em um sistema.
Cap. 4 – Análise de sistemas homem-máquina: Descrição dos métodos analíticos básicos usados na comunidade de fatores humanos para identificar e avaliar problemas no sistema.
Possui uma tabela (4-3) que apresenta conseqüências de erros, probabilidade de acidente e atratividade da ação corretiva ($$).
Cap. 5 - Uma técnica para HRA: Descrição do THERP.
Cap. 6 – Fontes de estimativas de desempenho humano: Descreve como os HEP estimados foram determinados.
Cap. 7 – Distribuição de desempenho humano e limites de incerteza: Descreve distribuições estatísticas e níveis de incerteza das medidas.
Cap. 8 – Uso de opinião de especialistas no PRA: Descreve aplicação da opinião de especialistas, requisitos para uso, descrição geral e avaliação geral dos procedimentos, e recomendações são apresentadas.
Cap. 9 – Indisponibilidade: Apresenta equações matemáticas para cálculo da indisponibilidade das plantas devido a erro humano.
Cap. 10 – Dependência: Dependência pode ocorrer entre pessoas e com a mesma pessoa em tarefas diferentes.
Cap. 11 – Mostradores: Apresenta suporte e suposições para estimar erros de omissão e comissão na leitura de vários tipos de mostradores.
Cap. 12 – Diagnósticos de eventos anormais: Descreve os tipos de eventos anormais para os quais erros humanos que são normalmente verificados em um PRA.
Cap. 13 – Controles manuais: Descreve os controles mais comuns nas plantas, alguns dos PSF afetando sua operação, tipos de erros e HEP associadas com os erros.
Cap. 14 – Válvulas operadas localmente: Suposições e PSF associados à manipulação de válvulas.
Cap. 15 – Instruções verbais e procedimentos escritos: Lista estimativas de HEP e níveis de incerteza para alguns erros de omissão e comissão associados a instruções verbais e procedimentos escritos.
Cap. 16 – Controle administrativo e administração: Políticas da planta e como são seguidas e monitoradas. Foco nas áreas onde mudanças podem causar mudanças no HEP.
Cap. 17 – Stress: Apresenta HEP associado aos vários níveis de stress.
Cap. 18 – Preenchimento de vagas e níveis de experiência: Apresenta suposições que devem ser usadas in PRA em relação ao pessoal para estimar HEP.
Cap. 19 – Fatores de recuperação: Trata de elementos que permitem que a prevenção uma condição de desvio.
Cap. 20 – Tabelas de estimativas de HEP: Apresenta um sumário dos HEP e seus níveis de incerteza.
Cap. 21 – Exemplos e estudos de caso: Exemplos de aplicação.
Cap. 22 – Comentários finais: Apresenta status do HRA; usos e limitações do Handbook.

Apêndice A – Métodos para propagação de limites de incerteza em um HRA e para determinar limites de incerteza para atividades humanas dependentes
Apêndice B – Um método alternativo par a estimar os efeitos da dependência
Apêndice C – Cálculos da média e mediana dos números de teste para detecção apresentada na Tabela 11-9
Apêndice D – Cálculos para inspeções tipo walk-around básicas como função do tempo entre sucessivos walk-arounds
Apêndice E – Revisão do rascunho do Handbook
Apêndice F – Comparação das versões do Handbook de outubro de 1980 e o atual
Apêndice G – Índices de erro humano do WASH-1400

O método THERP

O método THERP é descrito no capítulo 5 da referência 1.
Human Reliability (Confiabilidade Humana) é definida como a probabilidade de sucesso em uma atividade exclusivamente humana necessária para manter a confiabilidade ou disponibilidade de um sistema (ref 1 pg 5-1).
O método THERP tem suas origens em estudos realizados no Sandia National Laboratories (SNL), nos anos 50. O desenvolvimento e a aplicação em usinas nucleares levou ao método. A primeira indicação com o termo THERP foi em 1962.

Definição de THERP (ref 1 pg 5-3):

“é um método para prever probabilidade de erro humano e avaliar a degradação de um sistema homem-máquina provável de ser causado somente por erro humano, ou em conexão com funcionamento de equipamentos, procedimentos e práticas operacionais, ou outros sistemas e características humanas que influenciam o comportamento do sistema.”

As etapas do THERP são:

• Defina as falhas dos sistema de interesse;
• Liste e analise as operações humanas relacionadas;
• Estime as probabilidades de erro relevantes;
• Estime os efeito dos erros humanos nos eventos de falhas do sistema – isto envolve integrar o HRA no análise do sistema;
• Recomende mudanças no sistema e recalcule as probabilidades de falhas do sistema.

O interesse primário do HRA é estimar o seguinte:

• Confiabilidade da tarefa: valor = (1-falha);
• Fatores de recuperação: probabilidade de detectar e corrigir desempenho incorreto antes da falha, para evitar as conseqüências desagradáveis;
• Efeito das tarefas: é a probabilidade de que erros não recuperados vão resultar em efeitos indesejáveis;
• Importância dos efeitos.
  

Para o cálculo da HEP (Human Error Probability), o THERP possui os seguintes elementos (ref 4, pg 5):

• Decomposição das tarefas em elementos;
• Atribuição de um valor de HEP para cada elemento (tabelas no capítulo 20 da ref 1);
• Determinação dos PSF (Performance Shaping Factors) para cada elemento;
• Cálculo dos efeitos de dependência entre cada elemento;
• Modelagem de uma Árvore de Eventos de HRA: divisão binária entre desempenho correto ou incorreto;
• Quantificação do HEP total da tarefa.

O procedimento para realizar uma HRA usando THERP:

Phase 1: Familiarization

Plant Visit
Review Information from System Analysts

Phase 2: Qualitative Assessment

Talk- or Walk-Through
Task Analysis
Develop HRA Event Tress

Phase 3: Quantitative Assessment

Assign Nominal HEPs
Estimate the Relative Effects of PSF
Assess Dependence
Determine Success and Failure Probabilities
Determine the Effects of Recovery Factors


Phase 4: Incorporation

Perform a Sensitivity Analysis, if warranted

Supply Information to Systems Analysts

Comentários sobre THERP (ref 7, pg 37)

• Uma das técnicas de HRA mais conhecidas e utilizadas;
• Metodologia cobre Analise da Tarefa, Identificação de Erro Humano, Modelagem de Erro Humano e Quantificação do Erro Humano;
• Possui tabelas para quantificação de HEP e PSF;
• Possui modelo de dependência para modelar o relacionamento de dependência entre erros;
• É uma técnica que exige muitos recursos devido ao nível de detalhes necessários para utilizá-la corretamente;
• Vantagens para sua utilização:
  Boa ferramenta para comparação relativa de riscos;
  Pode ser utilizada para verificar a participação do erro humano em termos de magnitude de risco, e não necessariamente em termos de probabilidades ou freqüências;
  Pode ser utilizada com as árvores de falha comuns em safety assessment;
  É uma técnica transparente e bem documentada;
  O seu banco de dados pode ser utilizado sistematicamente, ou inseridos dados externos de erro (quando disponíveis).
  

Referências:

1. SWAIN, A. D.; GUTTMAN, H. E. Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Applications. Albuquerque: Sandia National Laboratories, August 1983.

2. BELL, B. J.; SWAIN, A. D. A Procedure for Conducting a Human Reliability Analysis for Nuclear Power Plants. Albuquerque: Sandia National Laboratories, August 1983.

3. BROWN, A.M.; GOLAY, M. A Probabilistic Analysis of Tanker Groundings. In: 7th International Offshore and Polar Engineering Conference, May 1997, Honolulu, Hawaii. Disponível em http://www.aoe.vt.edu/~brown/Papers/ISOPE97aPaper.pdf. Acesso em 23 out. 2005.

4. KIRWAN, B. The validation of three Human Reliability Quantification techniques – THERP, HEART and JHEDI: Part 1 – Technique descriptions and validation issues. Applied Ergonomics, Vol 27, no 6, páginas 359-373, 1996.

5. Health and Safety Briefing no 26b. Quantified Risk Assessment Techniques – Part 2. Institution of Electrical Engineers. Disponível em http://www.iee.org/Policy/Areas/Health/hsb26b.pdf. Acesso em 28 out. 2005.

6. Organization for Economic Co-operation and Development. Critical Operator Actions: Human Reliability Modeling and Data Issues. Principal Working Group no 5 – Task 94-1. Issy-les-Moulineaux, France, March1998. Disponível em http://www.nea.fr/html/nsd/docs/1998/csni-r98-1.pdf. Acesso em 28 out. 2005.

7. International Maritime Organization. Guidelines for formal safety assessment for use in the IMO Rule-Makink Process. London, April 2002. Disponível em http://www.imo.org/includes/blastDataOnly.asp/data_id%3D5111/1023-MEPC392.pdf. Acesso em 28 out. 2005.

Capítulo 4 do livro Human Error - James Reason

Capítulo 4 – Especificação insuficiente e formas de erros
(Cognitive underspecifications and error forms)

O capítulo começa com a definição (recapitulação) de tipos de erros e formas de erros.
Os erros são diferenciados em tipos de acordo com o nível de desempenho em que eles ocorrem.
As formas de erros são variedades de falhas que penetram e são evidentes em todos os níveis de desempenho.

A idéia básica do livro é que as formas de erro são configurados primariamente por dois fatores:
· Combinação de semelhanças, e
· Jogo de freqüências (ou apenas freqüência de ocorrência).
Estes dois fatores se combinam para permitir que as estruturas de conhecimento sejam localizadas e seus produtos disponibilizados para a consciência (pensamentos, imagens, palavras) ou para o mundo externo.
Um aspecto decorrente desta proposta é que quanto mais não especificadas as operações cognitivas, mais provável é que formas de erro sejam condicionadas pela heurística de freqüência.
A frase chave do livro é (Reason, 1990):
“When cognitive operations are underspecified, they tend to default to contextually appropriate, high frequency responses.”

Uma vez feita esta introdução, o autor passa a elaborar e substanciar a proposta, usando vários ítens:
1. Especificação de operações mentais: aqui o autor propõe que o desempenho adequado em qualquer esfera de atividade é obtido quando os esquemas corretos são acionados na ordem correta e no momento correto.
2. Similaridade e freqüência - primitivos cognitivos: alguns conceitos fundamentais como similaridades entre objetos e freqüência de ocorrência são apresentados como conceitos intuitivos.
3. Demonstração de especificação insuficiente: neste trecho, o autor apresenta vários exemplos de como uma especificação pode ser incompleta. Os exemplos são associados a pesquisas com palavras, falhas de memória prospectiva, planejamento de futuro incerto e aspectos patológicos.
4. o sistema cognitivo tende a gerar respostas que sejam (a) mais familiares, esperadas ou mais encontradas, e (b) sejam ligadas ao contexto físico ou de significado.
5. Procura de memória convergente ou divergente: convergente significa que dicas são apresentadas para uma estrutura de conhecimento (4 patas, late, caça o rabo, bom olfato, melhor amigo do homem – cão); divergente significa que apenas uma dica genérica é apresentada (animais com 4 patas). Neste contexto mais genérico, a resposta é mais associada á freqüência de ocorrência.
6. A recuperação de conhecimento incompleto: o mecanismo de recuperação envolve 4 tipos de atividade cognitiva: (1) uma avaliação cognitiva de alto nível, onde se busca saber se o ítem procurado está disponível; (2) a combinação dos atributos obtidos com os observados; (3) a resolução de conflitos entre as opções obtidas; (4) trabalho de dedução (inferência: estabelecer conexões entre as propostas disponíveis na questão e tapar os pedaços abertos na memória).

Referências
REASON, James. Human Error. Cambridge: Cambridge University Press, 1990. 302 p.

Modelo SHELL

O papel do ser humano no modelo SHELL

S – Software – corresponde a regras e procedimentos (manuais, ordens,...).
H – Hardware – corresponde a máquinas e equipamentos.
E – Environment – Ambiente.
L – Liveware – ser humano. Está no centro do modelo (operador) e na lateral, com o homem com quem o operador interage.

O modelo considera o homem como integrado no sistema, e não isoladamente. Desta forma, todos os processos devem ser analisados pela combinação dos elementos SHEL. Erro humano seria então o resultado de algum desarranjo nas interações entre os elementos.

Neste modelo as interfaces devem ser analisadas deforma a verificar os problemas associados à interação L – SHEL.

O modelo não trata especificamente de desempenho, apenas procura organizar o tratamento das análises a serem feitas.

O modelo não trata também de aspectos organizacionais. Para isto, as referências se apoiam normalmente no modelo de Reason.

O modelo é bastante genérico. Não observei caracterizações/particularizações nos vários textos observados. Talvez ao usar o modelo o pesquisador seja incentivado a entrar em detalhes de cada um dos elementos components SHEL.

O modelo SHEL é utilizado no campo da aviação (artigo 1-2) e marítmo (artigo 4), como uma ferramenta de auxílio e orientação na coleta de dados.

Referências
AYEKO, Marcel. Integrated Safety Investigation Methodology - ISIM - Investigating for Risk Mitigation. Disponível em http://www.itsasafety.org/data/2002/Glasgow_Paper_RichText.pdf. Acesso em 30 set. 2005.
PEZZOPANE, A. C. A Systematic Approach to a systematic analysis of an aviation accident. Airmanshiponline.com, march 2003. Disponível em http://www.airmanshiponline.com/marzo2003/01-Systemic analysis.pdf. Acesso em 30 set. 2005.
MARIGGIÒ, Paolo. Overrun accident. A Bangkok, Thailand, 23 settembre 1999 Boeing 747-438, VH-OJH, Qantas One. Disponível em http://www.airmanshiponline.com/marzo_2005/01-Qantas never crashed-1.pdf. Acesso em 30 set. 2005.
ITOH, HIROKO, et al. An Extension of m-SHEL Model for Analysis of Human Facotrs at Ship Operations. In: 3rd International Conference on Collision and Grounding of Ships (ICCGS 2004). Proceedings. Japan, Ovtober 25-27, 2004. p 118-122.

Acidente TAM

Avaliação de aspectos humanos em acidente aeronáutico

1. Definições (conforme aula[1]):
· Disfunção: é quando o sistema entrega um serviço diferente do esperado
· Erro: parte do estado do sistema que pode levar a uma disfunção;
· Falha: causa atribuída ao erro;

2. Acidente analisado: Vôo TAM 402.

3. Fonte: Relatório de investigação do acidente – CENIPA (CENIPA, 2005)

4. Considerações iniciais:

5. Aeronave: Fokker F-100, operado pela empresa TAM

6. Data: 31 de outubro de 1996, 10:27 UTC (08:26 local).

7. Local: aeroporto de Congonhas, São Paulo (SBSP).

8. Histórico (CENIPA, 2005):
“A aeronave realizava um vôo de transporte regular de passageiros, sob o designativo TAM 402, partindo de São Paulo (Congonhas - SBSP ) com destino ao Rio de Janeiro (Santos Dumont - SBRJ ).
Por volta das 08:26P, durante a decolagem e logo após sair do solo, a tripulação foi surpreendida por uma circunstância que interpretou como sendo uma indicação de falha do sistema “auto throttle“ (Auto- Throttle System ou ATS), procurando executar imediatamente uma ação corretiva.
Foi observado por testemunhas no solo que o reversor do motor direito (motor nº 2) abriu e fechou algumas vezes, tendo sido ouvido o ruído característico a esta situação. Durante os vinte e quatro segundos totais de vôo, a aeronave derivou à direita, mantendo-se a baixa altura e velocidade, chegando a uma atitude de acentuada inclinação à direita, vindo a colidir com edificações, projetando-se ao solo e incendiando-se em seguida, sofrendo perda total.
No acidente, todos os oitenta e nove passageiros e os seis tripulantes faleceram, além de quatro outras fatalidades de terceiros”.

9. Da análise realizada no relatório citado, temos os vários aspectos contribuintes no acidente. A seguir, alguns deles, são considerados dentro do conceito falha → erro → disfunção.
Não havia condição de visualização de “Secondary Lock” aberto durante a inspeção externa – falha que causou um erro: equipe de manutenção e tripulação não viram o problema com o sistema;
Falha de componentes elétricos do sistema de reverso – aqui posso observar uma disfunção, onde componentes elétricos deixaram de entregar um produto ao sistema;
Falha elétrica e mecânica na desconexão do cabo de segurança do reverso – falha que levou à disfunção posterior do sistema;
Ocorreu uma falha de auto-throttle na própria corrida de decolagem (a 80 kias) – disfunção que poderia ter sido completamente inócua, não fosse pela influência (aparente) nas reações da tripulação, quando da ocorrência da falha do reverso;
Não ocorreram alarmes associados à falha (aparentemente não existiam ou estavam inibidos, o texto não é claro quanto a isso) – aqui é descrita uma disfunção, já que os alarmes não cumpriram sua função;
Problemas de treinamento, já que não havia instrução escrita ou prática que considerasse o evento – disfunção. A causa original (falha) foi a perspectiva de que a pane nunca ocorreria. Isto levou ao erro de se ter uma tripulação que não havia sido treinada no simulador para tal falha. Em conseqüência, o sistema (tripulação) não pode reagir adequadamente;
O co-piloto tinha pouca experiência na aeronave específica e em aeronaves tipo glass-cockpit, automatizada e com auto-throttle – difícil caracterizar isto como uma disfunção/erro/falha. O próprio relatório cita o fato, mas não apresenta nenhuma recomendação sobre o assunto;
Ocorreram repetidas tentativas de atuar no motor em pane. Devido aos movimentos nas manetes, o motor bom não permaneceu na potência de decolagem – disfunção da tripulação, que não manteve os procedimentos básicos. O erro pode ter sido o estado de susto devido ao inusitado da situação, que não foi identificada pela tripulação durante o evento. A Falha está associada ao treinamento (vide item acima);
A tripulação abandonou os procedimentos normais de emergência (recolher trem de pouso, uso do piloto automático, ...) – disfunção da tripulação, que não manteve os procedimentos básicos. O erro pode ter sido o estado de susto devido ao inusitado da situação, que não foi identificada pela tripulação durante o evento. A Falha está associada ao treinamento (vide item anterior);
Foram feitas ações antes de 400ft, contrariamente à doutrina prevista – disfunção da tripulação, que não manteve os procedimentos básicos. O erro pode ter sido o estado de susto devido ao inusitado da situação, que não foi identificada pela tripulação durante o evento. A Falha está associada ao treinamento (vide item acima).

10. O relatório apresenta uma série de recomendações a todos os órgãos envolvidos no processo: do fabricante ao certificador, do operador ao fiscalizador, e para o próprio órgão de investigação aeronáutica.

11. Importante frisar a preocupação legal: uma das recomendações trata de apresentar resalvas a serem analisadas à luz da justiça (CENIPA, 2005): “A Divisão de Homologação do IFI/CTA deverá estudar e emitir uma Notificação de Proposta de Regra (NPR) no intuito de analisar e implementar um sistema de Cockpit Video Recorder, inicialmente com o intuito de auxiliar no campo da Investigação de Acidentes Aeronáuticos e futuramente, contornados os possíveis obstáculos de ordem jurídica, para auxílio também na Prevenção”.

Bibliografia:
Centro de Investigação e Prevenção de Acidentes Aeronáuticos – CENIPA. Acidentes Aeronáuticos Brasil Década 90. Disponível em http://www.cenipa.aer.mil.br. Acesso em 24 set. 2005.

[1] Informação discutida em aula da disciplina PCS 5006, dia 23 set. 2005.

Modelos

Nosso próximo tema são os modelos da atividade/desempenho humano. Há diversos pontos de vista sobre a ação humana em sistemas complexos e em conseqüência, muitos diferentes modelos. Vamos começar por alguns modelos clássicos:

1. O modelo de Rasmussen, que estabelece os níveis de comportamento skill-based, rule-based e knowledge based, sobre o qual se assenta a teoria de erro humano do Reason, que veremos em seguida, é o tema da Bárbara.
2. O modelo do Processador Humano de Informações, que deu origem ao modelo GOMS do Card, Moran e Newell, em que os elementos da memória, percepção e atuação humana são listados junto com princípios básicos de funcionamento, é o tema do João.
3. O modelo SHELL, em que o ser humano é confrontado com o seu contexto, formado pelo software, hardware, ambiente e outros seres humanos, é o tema do Daniel.
4. Coube ao Galba identificar o modelo do ser humano em tarefas contínuas, com base no trabalho de Thomas Sheridan.

O objetivo: definir sob qual papel o ser humano é visto em cada um destes modelos; quais os aspectos da performance humana o modelo procura destacar; quais as principais contribuições de cada modelo e seu uso. Um pequeno resumo a ser postado no blog, com referências bibliográficas no padrão é o produto esperado da atividade.

Até lá!
Lucia

Sobre responsabilidade civil e criminal no projeto visando confiabilidade humana

Na sexta passada, em que discutimos os acidentes, ficou evidente que grande parte dos erros cometidos pelos operadores foi provocada por deficiências no projeto. Como projetistas de sistemas, precisamos ficar atentos às nossas responsabilidades e às possíveis imputações legais decorrentes das decisões de projeto.

Ações judiciais de responsabilidade civil e criminal são um prejuízo à cultura de segurança das empresas e podem representar um atraso às pesquisas na área de confiabilidade humana; por outro lado, elas despertam nos projetistas a consciência da importância da confiabilidade humana nos projetos de engenharia.

O texto a seguir foi publicado na lista do AirSafetyGroup e fala sobre responsabilidade no acidente do Concorde.

A good example of how many people and of how large a range may get involved after an air accident 5 years after the accident that costed all the lives of the CONCORDE disaster on take-off , the french judge accuses the top engineer. As it was revealed , the weak point of the CONCORDE wing structure was too well known years ago : the soft wing cover would not stand the impact of pieces of blown up tyres and therefore the fuel tanks found at this point were not protected. The solution was a KEVLAR shield and/or tyres that will not explode .
To no surprise of course (!) it was considered on those days that a possible grounding at large scale for the CONCORDE would affect badly its reputation and 'eventually' the decision makers relied on the showlders of 'statistics' : it was a rare thing to happen . True , you may say a 0,1 % . However , for a thing that will be repeated so often , the possibility of 1 becomes a certainty , and so the disaster did happen .
The judge makes the point that despite the time intervened from the day the problem became known , eversince , NOTHING has been modified !
This proves that one can not really have a tranquil sleep years after some safety details have been 'neglected'. Not all judges everywhere will be proven equally sensitive of course ( I bet you ) but once the first example appeared there is a tendency for others to immitate them
That reminds me that some local ATC procedures found for a long time in the 'grey area' and where no one ( traditionally ) wants to bring some clarification , may challenge the statistics as well. Can you imagine , say , some retired supervisors be called in front of the judge for having not reacted on something 'abnormal' some ...20 years ago in their carreer ?
Interesting , eh ?

Tarefas da semana - análise de acidentes representativos

Pessoal,
com base nas definições de falha, erro e disfunção, combinamos avaliar na próxima sexta alguns acidentes.
1. (Bárbara) O acidente com o equipamento Therac-25.
2. (Daniel) O acidente com o vôo da TAM
3. (João) O acidente de Three-Mile Island
4. (Galba) O acidente da Challenger

Cada um deverá providenciar documentação descritiva do acidente e estudá-la para relatar com detalhes para os demais. A idéia é identificar falhas, erros e disfunções do sistema, em componentes de hardware, software e humanos.

Até sexta!
Lucia

O acidente de Atenas

De: "Fragoso"
Data: Sex Set 9, 2005 1:10 pm
Assunto: Crew confusion found in Athens plane crash The crew members of a Cypriot airliner that crashed Aug. 14 near
Athens became confused by a series of alarms as the plane climbed,
failing to recognize that the cabin was not pressurizing until they
grew mentally disoriented because of lack of oxygen and passed out,
according to several people connected with the investigation.

Complicating the cockpit confusion, neither the German pilot nor the
young, inexperienced Cypriot co-pilot could speak the same language
fluently, and each had difficulty understanding how the other spoke
English, the worldwide language of air traffic control.

A total of 121 people were killed in the crash after the plane
climbed and flew on autopilot, circling near Athens as it was
programmed to do until one engine stopped running because of a lack
of fuel. The sudden imbalance of power, with only one engine
operating, caused the autopilot to disengage and the plane to begin
its final descent.

The Greek authorities have made cryptic statements hinting at oxygen
problems but have so far not announced the full findings of
investigators.

The people interviewed for this article agreed to do so on condition
that they not be identified because none are official spokesmen for
the investigation and because of political sensitivities arising from
a Cypriot plane crashing in Greece.

Investigators pieced together the story of the crash from numerous
sources. In the wreckage, they found the first solid clues - the
pressurization valve and an air outflow valve set incorrectly. Air
traffic control tapes provided information on the confusion in the
cockpit.

The plane had a sophisticated new flight data recorder that provided
a wealth of information. There were maintenance records from the
night before, and investigators interviewed the mechanics who worked
on the plane.

Among other things, the investigators determined that the pilot was
not in his seat because he was up trying to solve a problem that
turned out to be not the greatest threat facing him.

The plane that crashed, a Boeing 737, underwent maintenance the night
before. The maintenance crew apparently left a pressurization
controller rotary knob out of place, according to the officials
connected to the investigation, and the crew did not catch the
mistake during preflight checks the next day. This meant that the
plane could not pressurize.

At 10,000 feet, or 3,000 meters, as designed, an alarm went off to
warn the crew that the plane would not pressurize. However, the crew
members mistakenly thought that the alarm horn was a warning to tell
them that their controls were not set properly for takeoff, the
officials said.

The same horn is used for both conditions, although it will sound for
takeoff configuration only while the plane is still on the ground.

The crew continued the climb on autopilot. At 14,000 feet, oxygen
masks deployed as designed and a master caution light illuminated in
the cockpit. Another alarm sounded at about the same time on an
unrelated matter, warning that there was insufficient cooling air in
the compartment housing avionics equipment.

The radio tapes showed that this created tremendous confusion in the
cockpit. Normally an aircraft cabin is held at 8,000 feet pressure,
so the crew at over 14,000 feet would already be experiencing some
disorientation because of a lack of oxygen.

During this time, the German captain and the Cypriot co-pilot
discovered they had no common language and that their English, while
good enough for normal air traffic control purposes, was not good
enough for complicated technical conversation in fixing the problem.

The crew members called the maintenance base in Cyprus and were told
that the circuit breaker to turn off the loud new alarm was in a
cabinet behind the captain. The captain got up from his seat to look
for the circuit breaker, apparently ignoring the confused co-pilot.

As the plane continued to climb on autopilot, the air grew so thin
that the crew became seriously impaired. The captain passed out first
on the floor of the cockpit, followed by the co-pilot, who remained
in his seat, according to the officials.

The autopilot did as it was programmed to do, flying the plane at
34,000 feet to Athens and entering a holding pattern. It remained in
a long circling pattern, shadowed by Greek military jets, until fuel
ran low and one engine quit.

Boeing, the maker of the plane, is-sued a notice shortly after the
crash to airlines that it would revise flight crew training manuals
to stress to crews that they must understand how the various warning
systems work and what to do about them.

The notice stresses that the takeoff configuration warning horn will
not sound under any circumstances after the plane has left the
ground.

The same horn will then be used only for a cabin altitude warning.
The company notice said there had been other instances of confusion
over the horn by pilots.

"Confusion between the cabin altitude warning horn and the takeoff
configuration warning horn can be re-solved if the crew remembers
that the takeoff configuration warning horn is only armed when the
airplane is on the ground," the notice said. "If this horn is
activated in flight, it indicates that the cabin altitude has reached
10,000 feet."

Escolha dos temas - Galba

Oi a todos,

Antes de qualquer coisa, vou me apresentar, rapidamente, aos demais: meu nome é Galba Falce de Almeida, engenheiro eletricista (ênfase em computadores) e mestre em sistemas integráveis, trabalho com pesquisa/aulas no Centro Universitário da FEI. O resto vai sendo apresentado durante as aulas e no convívio do grupo de pesquisa.

Bom, em virtude dos objetivos levantados para a minha tese, os temas de maior interesse pra mim são:

7. Processo de projeto para desempenho humano confiável.
Human-centred design.
Normas aplicáveis ao projeto da IHC de sistemas críticos.
Análise de tarefas mediadas por computador.
Descrição de tarefas de interação.

3. Modelos da interação e do desempenho humano
O modelo de Rasmussen: comportamento baseado em habilidade, regras e conhecimento.
Características do desempenho humano no controle de sistemas: limitações de percepção, memória e tempo de resposta.
Modelos de previsão de desempenho na operação de computadores. GOMS.
Arquiteturas cognitivas - ACT-R

Um abraço....

Galba

Quem vai fazer o quê?

Peço comentar este post durante a semana com os 2 temas de interesse que vc mais se identifica, da lista de temas sugeridos. Vou separar o material de leitura para distribuição na primeira aula.

Objetivos do nosso grupo de estudo

O foco do grupo de estudo é a Confiabilidade Humana como parâmetro de projeto da interação homem-computador (IHC) de sistemas críticos, dando subsídio para as fases de concepção, desenvolvimento e avaliação destes sistemas.

Pretendemos estabelecer os conceitos e pesquisas técnicas para melhorar o acoplamento dos sistemas à estrutura social da operação.

As reuniões serão usadas para apresentação e discussão dos resultados das pesquisas.

Regras de participação

Este é um grupo de estudo, em primeiro lugar. É uma oportunidade de troca de idéias sobre um tema de interesse comum. Os interessados podem se vincular ao grupo, contribuindo para os estudos através de leituras, pesquisas específicas, produção bibliográfica e principal e obrigatoriamente, com a presença nas discussões.

A participação é formalizada em uma disciplina de pós-graduação (PCS5006). Os alunos regularmente matriculados receberão créditos pela participação em % das aulas e cumprimento das tarefas atribuídas. Espera-se, no entanto, que a participação seja continuada, mesmo fora do período de oferecimento da disciplina!

Nossos tópicos

O conjunto de temas é grande, vamos ter que selecionar alguns de interesse comum. Na lista original, temos os seguintes tópicos e as sugestões de abordagem:

1. Conceitos
Conceito de sistema crítico.
Conceito de erro, confiabilidade, segurança, risco e perigo.

2. Sistemas críticos
Exemplos de sistemas críticos.
A operação humana de sistemas críticos.
Componentes dos sistemas críticos: homem, máquina, sistema e tarefas.
Interfaces de sistemas críticos.
Exemplos de interfaces de operação na área aeronáutica, nuclear e química.

3. Modelos da interação e do desempenho humano
O modelo de Rasmussen: comportamento baseado em habilidade, regras e conhecimento.
Características do desempenho humano no controle de sistemas: limitações de percepção, memória e tempo de resposta.
Modelos de previsão de desempenho na operação de computadores. GOMS.
Arquiteturas cognitivas - ACT-R

4. Erro humano.
Origem e manifestações.
Deslizes (slips), lapsos e enganos (mistakes).
Performance Shaping Factors.
Caracterização dos erros humanos relacionados à interação homem-computador. Análise de erros humanos em grandes acidentes.
Modelo de Reason - GEMS

5.Conceito de confiabilidade humana.
Probabilidade do erro humano.
Evolução histórica do conceito.
Análise e redução do erro humano.
Aplicações da confiabilidade humana nas análises de segurança e de risco

6. Técnicas
Técnica HERA-JANUS para registro e análise do erro.
Métodos qualitativos:H-HAZOP, FMEA, etc.
Métodos quantitativos:THERP, HEART, SLIM, CREAM.
Novas abordagens aos métodos de Análise da Confiabilidade Humana

7. Processo de projeto para desempenho humano confiável.
Human-centred design.
Normas aplicáveis ao projeto da IHC de sistemas críticos.
Análise de tarefas mediadas por computador.
Descrição de tarefas de interação.

8.Verificação e validação das interfaces homem-computador de sistemas críticos.
Avaliação da carga mental de trabalho.
Sense-making.
Heurísticas para interfaces de sistemas críticos.
Padrões para recuperabilidade do erro humano nas interfaces.

9. Aspectos da gestão da confiabilidade operacional
Impacto do erro humano no treinamento e manutenção.
Usabilidade de procedimentos operacionais