Melhores práticas na elaboração de checklist por efeito das limitações por fatores humanos, pelo articulista de segurança operacional da mídia AIN Stuart “Kipp” Lau, em 06.03.23

O especialista em segurança operacional da mídia AIN Stuart “Kipp” Lau postou no dia 01 o artigo “Best Practices in Checklist Design Account for Human Limitations” (Melhores práticas na elaboração de checklist para considerar limitações humanas), em que, basicamente, aborda a a importância da adoção de práticas na elaboração de checklist, como um recurso para contornar limitações humanas para a eficácia da lista.

Lau inicia o artigo conceituando que as listas de verificação (checklists) de aeronaves são a base da padronização de piloto e da segurança da cabine de comando. Após uma série de acidentes aéreos no final da década de 1980, os profissionais de segurança começaram a reconhecer e a se preocupar com o fato de que o uso indevido, o não uso ou o design (padrão na elaboração) das listas de verificação inadequado poderiam contribuir para um acidente aeronáutico. Até este ponto, o design da lista de verificação e a filosofia de seu uso escaparam da contribuição ou análise dos profissionais de fatores humanos.

Em histórico, Lau cita que o NTSB reconheceu pela primeira vez a importância do uso da lista de verificação e seu papel crítico na segurança de vôo em 1969, após o acidente de decolagem sem flape de um Boeing 707-321C (Clipper Racer) da Pan American Airways da Base Aérea de Elmendorf, no Alasca, para um vôo puramente cargueiro com destino ao Vietnã do Sul, matando os três tripulantes.

O NTSB constatou que o item “Flaps” aparecia na lista de verificação antes do táxi (Before Taxi Checklist) utilizado pela Pan Am, mas que o item não estava incluído na lista de verificação antes da decolagem (Before Takeoff Checklist).

A investigação descobriu que o copiloto, seguindo a lista de verificação antes do táxi (Before Taxi Checklist), ajustou (baixou) os flapes para a decolagem antes do táxi do jato. Mas, para a preparação do jato para o serviço de degelo, o comandante do jato recolheu os flapes; e o copiloto comentou: “Tudo bem, não vamos esquecer disso”. A reconfiguração dos flapes após o serviço de degelo, entre o taxiamento e a decolagem, acabou não ocorrendo – em que pesando a falta do item “Flaps” na lista de verificação antes da decolagem (Before Takeoff Checklist).

Entre as prováveis causas do acidente, de acordo com o NTSB, estavam uma lista de verificação falha, o sistema de alerta de decolagem falho do B.707 e o estresse causado por um cronograma pré-vôo apressado. Em sua recomendação, o NTSB pediu: “A lista de verificação do cockpit da transportadora aérea deve ser revisada em um esforço para garantir que cada lista forneça um meio de lembrar a tripulação, imediatamente antes da decolagem, que todos os itens críticos para um vôo seguro foram cumpridos”.

Segundo Lau, infelizmente foram necessários 18 anos e três acidentes aéreos durante um período de 15 meses (01 e três meses) para que o NTSB e a indústria reconhecessem os problemas relacionados aos aspectos de fatores humanos do design (padrão da elaboração) e da disposição dos procedimentos da lista de verificação (checklist).

Nos três novos acidentes citados, Lau aponta a primeira ocorrência, em maio de 1987, do acidente logo após decolagem de Nova Orleans com um bimotor turboélice British Aerospace J-3101 (Jetstream) da Air New Orleans.

Durante a subida inicial, a tripulação do bimotor sentiu um forte movimento de guinada e flutuações no torque do motor. O cmte. tentou pousar em regresso e excursionou a pista cruzando uma rodovia, atingindo vários veículos.

O NTSB concluiu que “as manetes de rotação das hélices [RPM] foram avançadas para uma posição para trás (aquém) do batente totalmente à frente ou não foram toda avançadas antes da decolagem, indicando uma falta de disciplina da lista de verificação por parte da tripulação”. Um fator contribuinte, de acordo com o relatório da investigação, foi “o tipo de letra da lista de verificação da Air New Orleans era 57% menor do que os critérios de engenharia humana recomendados. Esse tipo de letra menor reduziu a legibilidade da impressão mesmo em condições ideais”. Nesta questão, o NTSB foi além da citação de fator contribuinte e recomendou formalmente que a FAA emitisse uma Circular Consultiva a operadores aéreoas comerciais recomendando o uso de uma lista de verificação de procedimentos que incorporasse critérios de projeto de engenharia humana para tamanho e estilo de impressão.

O NTSB também sugeriu que mudanças frequentes (resultando fadiga por alteração, ou mudança fadigante) na lista de verificação podem ter um efeito negativo na importância da lista de verificação para tripulação de vôo. A Air New Orleans tinha recém introduzido o Jetstream em sua frota, observou o relatório, e o NTSB apontou que “revisões freqüentes de listas de verificação para aeronaves recém-adquiridas são compreensíveis, mas o fato de que esta lista de verificação normal foi alterada sete vezes entre janeiro e maio de 1987 [apenas cinco meses] sugere ao Conselho de Segurança que seu projeto original (da fabricante) e aprovação (FAA) pode ter sido inadequado e pode ter causado confusão entre as tripulações de vôo”.

Lau aponta o segundo caso, somente três meses após o acidente com J-3101 (Jetstream) em Nova Orleans, do acidente de um McDonnell Douglas MD-82 da Northwest logo após decolagem de Detroit (Aeroporto Metro), sem configuração de flap-slat (no-flap/no-slat). O jato tinha 154 ocupantes (sendo 149 passageiros e seis tripulantes), e somente uma passageira criança sobreviveu; dois transeuntes (pessoal em solo) também foram mortos na colisão do jato com terreno. Na sua investigação, o NTSB concluiu que a causa provável do acidente foi a falha da tripulação em usar a lista de verificação de táxi para garantir que os flaps e slats estivessem estendidos para a decolagem.

Conforme Lau, o terceiro caso, um ano depois do acidente do McDonnell Douglas MD-82 da Northwest em Detroit, foi o acidente com um Boeing 727-200 da Delta Air Lines, logo após a decolagem (22 segundos após o despegue) de Dallas (Aeroporto Internacional Dallas Fort Worth), sem configuração de flap-slat (no-flap/no-slat). Dos 108 ocupantes, 76 se feriram e 17 faleceram. Na sua investigação, o NTSB concluiu que a “a tripulação não estendeu [configurou] os flaps ou slats do avião para a decolagem”.

Lau sustenta que erros de percepção humana foram prováveis neste acidente (Boeing 727-200 da Delta Air Lines, em Dallas) considerando que o gravador de voz da cabine capturou o copiloto lendo a lista de verificação, declarando “flapes” e o cmte. respondendo “quinze, quinze, luz verde” – uma resposta normal, alusiva à configuração da aeronave – presumivelmente, o cmte. teria feito referência visual aos indicadores de posição dos flaps/slats internos e externos (“quinze, quinze”) e a iluminação dos flaps de bordo de ataque e indicador de slats (“luzes verdes”). Nesse caso, porém, os indicadores de posição mostrariam “zero” e “sem luz” pela posição de flaps ou slats recolhidos (não estendidos). O monitoramento ativo exige que o piloto “procure por algo” em vez de “olhar para algo”.

Durante as audiências do NTSB do acidente do MD-82 da Northwest Airlines, o falecido Earl Wiener – um especialista em fatores humanos e cientista da NASA – testemunhou, na época, “que não sabia de nenhuma pesquisa de fatores humanos sobre como uma lista de verificação deveria ser projetada”.

Pesquisas adicionais da NASA concluíram que, em 1989, não havia essencialmente nenhuma pesquisa de fatores humanos disponível relacionada a listas de verificação de aeronaves – em qualquer lugar, nem no EUA, Europa Ocidental ou em outro lugar.

Após os acidentes com o J-3101 (Jetstream) em Nova Orleans e com o McDonnell Douglas MD-82 em Detroit, o NTSB recomendou que a FAA convocasse um grupo de pesquisa de desempenho humano para determinar se haveria qualquer tipo de método de apresentação (formatação) de checklist (lista de verificação) que produzisse melhor performance do pessoal usuário. Adicionalmente, o NTSB também recomendou que a FAA especificasse critérios de tipografia de checklist (lista de verificação) para operadores aéreos comerciais.

Como resultado, a NASA iniciou jornada para investigar os muitos elementos de fatores humanos relacionados ao design e disposição de procedimentos de checklist (lista de verificação) de aeronaves. Os pesquisadores encontraram problemas relacionados não apenas ao design físico de checklist (lista de verificação), mas também às questões sociais-comportamentais que levaram os pilotos a usar checklist indevidamente ou a não usar checklist.

O resultado desta pesquisa da NASA incluiu dois documentos de pesquisa da agência:
[1] Human Factors of Flight-Deck Checklist: The Normal Checklist (Degani e Wiener, maio de 1990), ou “Fatores humanos em checklist de cabine de vôo: Checklist [operação] Normal”, e,
[2] On the Typography of Flight-Deck Documentation (Degani, dezembro de 1992), ou “A tipografia da documentação da cabine de vôo”.

Posteriormente, a autoridade de aviação civil (CAA) do Reino Unido produziu um documento (agora em sua terceira edição – 2006), o CAP 676: Guidance on the Design, Presentation and Use of Emergency and Abnormal Checklist (“Guia de design, apresentação e uso de checklist de operação anormal e de emergência”).

De acordo com Lau, a NASA define a principal função da lista de verificação como garantir que um atripulação configure adequadamente a aeronave para o vôo e mantenha esse nível de qualidade durante todo o vôo, em cada vôo e em todos os vôos.

Lau escreve que, geralmente, uma lista de verificação serve como um “auxílio de trabalho” para operações muito complexas: auxilia no repasse (de itens), verifica a configuração da aeronave (mesmo quando os pilotos estão fisicamente ou psicologicamente “degradados”), fornece uma sequência adequada de ações, fornece uma estrutura sequencial para itens-requisitos operacionais, permite a verificação cruzada, mantém todos os tripulantes “conscientes” – no “loop” de um processo -, facilita a coordenação e a carga de trabalho da tripulação idealmente e é uma ferramenta de gerenciamento de qualidade.

Lau segue apontando que um objetivo negligenciado, ou subestimado, no design de uma lista de verificação é o poder e capacidade de um checklist promover uma atitude positiva em relação ao uso da lista e de procedimentos. Para operador da linha de frente – no caso, piloto -, uma lista de verificação deve ser “bem fundamentada” no ambiente operacional atual com uma percepção sólida de sua importância e não ser considerada um incômodo. Na elaboração, por design, deve ser uma interface eficaz entre o homem e a máquina.

Lau indica que existem dois métodos, ou filosofias, na condução ou execução de uma checklist (lista de verificação) – o de “Desafio e resposta” (Challenge and response) ou o de “Lista de Fazer/executar” (Do-list). Cada método tem seu mérito.

O método (ou filosofia) no design de uma checklist “Desafio e resposta” (Challenge and response) é mais acuradamente designado “Desafio-verificação-resposta” (“Challenge-verification-response”).

O método (ou filosofia) no design de uma checklist “Lista de Fazer/executar” (Do-list) é mais acuradamente designado “Chamar-executar-responder” (“Call-do-response”).

Conforme o articulista, usando esses métodos, os pilotos configuram a aeronave para a fase de vôo apropriada usando um padrão de “fluxo”. Um padrão de fluxo é uma sequência arraigada de ações executadas a partir da memória. Após a conclusão do fluxo, os pilotos usam a lista de verificação para verificar se os itens críticos foram configurados corretamente; um piloto lê a parte “desafio” (item a ser executado) da lista de verificação – ambos verificam – e o outro piloto fornece a resposta apropriada.

Geralmente, a maioria das aeronaves modernas utiliza um conceito de “escuro e silencio” (“dark, quiet”), de redundância de configuração, em que, se a aeronave estiver configurada corretamente, o painel superior (ou painel de sistema) não terá nenhuma luz acesa. Nesse caso, todos os itens no padrão de fluxo podem não estar incluídos na lista de verificação – um simples desafio de “painel superior” e uma resposta “definida” podem ser apropriados se cada tripulante verificar que nenhuma luz está acesa.

O método (ou filosofia) no design de uma checklist “Desafio e resposta” (Challenge and response) é muito eficiente; cada piloto pode pode cumprir seus padrões de fluxo atribuídos e, quando todos estiverem “conformes” (com a missão cumprida), a tripulação pode concluir coletivamente a lista de verificação.

Utilizando o método (ou filosofia) no design de uma checklist “Lista de Fazer/executar” (Do-list), a lista de verificação é concebida para levar um piloto para um procedimento passo-a-passo (step-by-step), como uma receita de bolo, no qual um piloto direciona outro piloto a configurar os controles de uma plataforma de vôo. Em teoria, cada controle da cabine de comando (interruptor, alavanca/manete ou outro) seria listado na lista de verificação e ambos os tripulantes teriam que estar “presentes” para cumprir a lista de verificação.

As vantagens da lista de tarefas pelo método/filosofia “Lista de Fazer/executar” (Do-list) são que ambos os tripulantes (numa tripulação composta) podem verificar a ativação apropriada de um comando da plataforma de vôo. As desvantagens são que as listas desse tipo elas são muito detalhadas e de execução demorada. Conforme planejado, cada piloto deve estar no seu assento durante todo o processo.

Lau escreve que, de acordo com a NASA, as filosofias para o design de checklist (lista de verificação) podem variar de acordo com o tipo de operação. Um operador de curta distância por vôo – mais de três segmentos por dia – pode optar por evitar uma longa lista de verificação meticulosa. Listas de verificação altamente repetitivas podem levar os pilotos a desenvolver “atalhos”, ou “soluções alternativas”, que incluem apenas os itens críticos ou pular uma lista de verificação completamente. Para um operador de longa distância por vôo – um a dois vôos por dia –, os pilotos podem ser menos resistentes a uma lista de verificação mais detalhada.

O CAP 676: Guidance on the Design, Presentation and Use of Emergency and Abnormal Checklist (“Guia de design, apresentação e uso de checklist de operação anormal e de emergência”), agora em sua terceira edição – 2006, da autoridade de aviação civil (CAA) do Reino Unido, incorpora uma ferramenta de auditoria de lista de verificação (CHAT – Checklist Audit Tool) para determinar se uma checklist (lista de verificação) está em conformidade com as melhores práticas em termos de fatores humanos, conforme definido no documento. A ferramenta CHAT é usada de forma mais eficaz como um recurso de análise de lacunas para identificar áreas onde uma lista de verificação pode ser melhorada. Com esse recurso, o operador pode avaliar uma checklist em aspectos como características físicas, conteúdo, layout e formato.

As características físicas analisam itens como o tamanho do documento real, contraste e cor e outros detalhes, como tipografia. Um dos erros mais comuns no design de uma checklist (lista de verificação) é a tipografia. Há dois fatores principais que precisam ser considerados, [1] legibilidade da impressão e [2] legibilidade da escrita/redação do texto, para levar em consideração condições de leitura abaixo do ideal na cabine de comando.

A legibilidade da impressão, ou discriminalidade, envolve a seleção adequada de caracteres alfanuméricos para permitir o usuário (leitor) identificá-los rápida e positivamente de outras letras ou caracteres.

A legibilidade da escrita/redação do texto refere-se à qualidade da palavra ou texto para permitir o rápido reconhecimento de uma única palavra, grupos de palavras, abreviaturas ou símbolos.

Esses fatores, de acordo com a pesquisa, são cruciais para os documentos da cabine de comando, como listas de verificação.

Hoje existem milhares de tipos ou fontes (de letra) disponíveis. Dois grupos principais de fontes são aplicáveis aos documentos da cabine de comando: Roman e Sans-serif.

A fonte Roman é o estilo de fonte normalmente usado em jornais. A fonte Sans-serif inclui fontes contemporâneas (Calibri ou Arial, por exemplo) que não incluem os pequenos traços que se projetam horizontalmente da parte superior ou inferior de um traço principal (as serifas – na tipografia, os pequenos traços e prolongamentos que ocorrem no fim das hastes das letras). A pesquisa mostrou que a fonte Sans-serif é mais legível do que a fonte Roman. A ausência de serifas apresenta uma tipografia mais simples e limpa. As fontes Arial ou Helvetic são as preferidos.
  Obs. [EL]: a fonte deste texto é Arial, tamanho 12

Muitas listas de verificação são publicadas usando somente letras maiúsculas (“caixa-alta”), isse sendo geralmente um recurso de tentiva de destacar ou adicionar ênfase.

O consenso dos pesquisadores é que letras minúsculas são preferíveis e recomendadas em vez de letras maiúsculas. As letras minúsculas são mais legíveis porque o padrão de uma palavra é armazenado na memória humana (pense nas “palavras visuais” que são ensinadas às crianças). As palavras minúsculas têm ascendentes (o traço vertical de um “b” ou “d’) e descendentes (“p” ou “q”) que contribuem para o padrão único de uma palavra. As palavras minúsculas aparecem como “características”, enquanto as palavras maiúsculas aparecem como uma “caixa retangular”. O uso de palavras maiúsculas para títulos de lista de verificação é permitido, mas o estilo de letra com traços ascendentes e descendentes (para cima e para baixo) é o preferido.
O tamanho da fonte é importante para facilitar a leitura, especialmente para pilotos mais velhos. Por volta dos 50 anos, há uma redução de 50% na iluminação da retina em comparação com uma pessoa de 20 anos. Em geral, um tamanho de fonte entre 14 e 20 é recomendado. O guia da autoridade britânica CAP 676 e Instrução da FAA/Order 8900.1 recomendam que os cabeçalhos sejam impressos em tamanho de fonte 14 (12, o mínimo) e o corpo normal de uma lista de verificação em tamanho 12 (10, o mínimo). Qualquer tamanho de fonte inferior a 10 não é recomendado. As listas de verificação relacionadas com uma condição de fumaça na cabine devem usar uma fonte maior para melhorar a facilidade da leitura.

Para contraste, texto preto sobre fundo branco é o arranjo preferível (segundo as autoridades britânica/CAA e americana/FAA), com arranjo de texto preto sobre fundo amarelo sendo aceitável (CAA).

Na parte final do artigo, Lau discorre numa reflexão crítica da evolução de conhecimento: “Projetar uma lista de verificação deve ser fácil, certo?”. Trinta anos atrás, os pesquisadores frequentemente se deparavam com a seguinte afirmação: “As listas de verificação são simples e diretas, então o que há para estudar sobre elas?”.

Lau então registra que, para as transportadoras aéreas (operadoras aéreas regidas pelo regulamento PART-121, do EUA), o design de uma checklist (lista de verificação) que incorpora considerações de fatores humanos não era uma prioridade até o início dos anos 2000.

Lau finaliza apontando que, já na aviação executiva, apenas recentemente as fabricantes adotaram pesquisas sérias de fatores humanos para renovar o design e as filosofias de checklists (listas de verificação) e manuais de referência rápida (os QRH – de Quick Reference Handbook) para criar ferramentas de cabine de comando úteis para o usuário final (piloto). A Bombardier foi uma das primeiras a adotar esses conceitos com a introdução do jato cabine larga de ultralongo alcance Global 7500. A ideia era fazer uma checklist (lista de verificação) útil para o piloto de linha do dia-a-dia, em oposição a um piloto de teste de vôo. [EL] – c/ fonte