Considerações gerais de segurança do sistema CPDLC

O sistema CPDLC é um sistema muito importante para melhorar a segurança do voo no quesito comunicação, mas com ele, surgem novos questões que devem ser analisados para que o uso incorreto do sistema CPDLC não se opunha ao seu propósito original, gerando risco ao voo.

A EUROCONTROL publicou um artigo no SKYbrary (2017), no qual levanta algumas possibilidades de conflito gerados pelo uso do CPDLC que podem ocasionar incidentes, questionando algumas definições e a utilização de mensagens complexas.

O CPDLC descongestiona os canais de áudio e contribui para o correto entendimento da tripulação e controlador, porém, como as mensagens via CPDLC são direcionadas individualmente a cada aeronave, isso pode diminuir a consciência situacional dos pilotos, pois eles não estão informados das demais autorizações e posições das aeronaves dividindo o mesmo espaço aéreo, por esse motivo, em caso de potenciais conflitos entre tráfegos, a melhor opção é utilizar o canal de áudio para passar as devidas instruções para as aeronaves envolvidas nesse potencial conflito.

Conforme o Dr. Mica Endsley conceitua:

A consciência situacional é caracterizada pela percepção dos elementos no ambiente de trabalho dentro de um volume de tempo e espaço, a compreensão do significado desses elementos e a projeção dessa situação em um futuro próximo (Endsley, 1988).

O MCA 63-15 mostra esse conceito e resume a consciência situacional como:

Consciência situacional significa ser capaz de perceber o que está acontecendo ao seu redor. No contexto de ambientes operacionais complexos, está relacionado à capacidade do controlador de tráfego aéreo em conhecer as posições atuais das aeronaves e seus planos de voo e prever seus estados futuros, de modo a detectar possíveis conflitos. Portanto, em termos operacionais, significa ter a compreensão do estado atual e da dinâmica de um sistema e ser capaz de antecipar as mudanças e os desenvolvimentos futuros. (BRASIL, 2012).

A OACI na conferência internacional de Implementação dos Sistemas CNS/ATM de 1998, definiu que o aspecto mais importante dos fatores humanos relacionado a interface homem-máquina é a capacidade do operador se manter consciente situacionalmente. (BRASIL, 2012).

A Interface Homem-Maquina (IHM), segundo o MCA 63-15, é composta pelos componentes físicos do sistema (hardwares) pelos programas desenvolvidos sob medida para a atividade de controle de tráfego aéreo (softwares) e pelos procedimentos operacionais padronizados (SOP - Standard Operating Procedures). Sendo que esse mesmo documento

trata sobre a importância dessa interação homem-máquina, inclusive elaborando recomendações para o design do IHM para o CPDLC.

Uma preocupação é que o grande número de etapas que compõem a mensagem faça com que os controladores, ao prestar atenção às tarefas geradas pelo sistema, se distraiam da sua verdadeira tarefa, que é manter os aviões separados. Outra preocupação é que o número de passos nos menus, sejam complexos e morosos (USA, 1997, p. 87).

Manter a consciência situacional enquanto realiza as comunicações é muito importante para evitar acidentes como os estudados e mencionados durante a coleta de dados.

O CPDLC permite o envio de mensagens longas e complexas, não sendo necessário que se decore a mensagem o que na comunicação convencional, via voz, pode gerar confusão. Porém ao dar ou receber uma autorização muito complexa, o cotejamento poderá ser parcial, ocasionando o não compreendimento total da mensagem e aumento da carga de trabalho, podendo gerar ambiguidade. Portando a EUROCONTROL recomenda que o uso de mensagens complexas, apesar de permitidas pelo sistema, seja evitada.

Ainda segundo a EUROCONTROL (2017), não existe uma definição clara de situação crítica, que ameaça a segurança de voo. Os manuais que definem como utilizar os sistemas de enlace de dados como o DOC 10037 (ICAO, 2016, p.27), define situação crítica como:

“Uma situação em que uma ação de controle imediata é necessária na prestação de serviços de tráfego aéreo.”

Por esse motivo, segundo a EUROCONTROL, os tripulantes e controladores podem ter diferentes interpretações dessa definição, pois uma situação inesperada pode rapidamente evoluir para uma situação crítica.

Baseado nisso, EUROCONTROL disponibilizou um exemplo no seu artigo publicado no SKYbrary (2017), mostrando um potencial conflito de tráfego entre duas aeronaves. No exemplo utilizado, uma aeronave está mantendo o FL350 e deve descer ao FL250, enquanto outra aeronave que irá cruzar caminho com a primeira aeronave que irá descer, está mantendo FL300, ou seja, a aeronave descendo deve atingir o FL290 com separação horizontal mínima de 5NM (cinco milhas náuticas).

Ainda segundo o artigo publicado no SKYbrary, a autorização para a aeronave iniciar a descida para o FL250 será mais segura se transmitida utilizando a comunicação

convencional, através do rádio, pois apenas quatro minutos separam essas duas aeronaves, após 4 minutos essas duas aeronaves já estarão afastadas apenas 8NM, em trajetórias convergentes, aproximação essa que pode se tornar uma situação crítica.

Supondo que a autorização de descida seja passada via CPDLC e os pilotos a recebem a seguinte mensagem: “DESCEND FL250, DESCEND AT 2000ft/min MINIMUM” em português: “Desça para FL250 com razão de descida mínima de 2000 pés por minuto” e após receber a mensagem, imediatamente começam a descida, a separação horizontal e vertical seria respeitada e logo a segurança estaria garantida (EUROCONTROL, 2017).

De acordo com os cálculos apresentados no artigo, caso os pilotos recebessem a mesma autorização e demorassem dois minutos para responde-la, por exemplo, a razão de descida solicitada pelo controle, não seria suficiente para promover a separação vertical e horizontal necessária, sendo que nesse momento a situação se tornaria crítica.

De acordo om o DOC 10037 (ICAO, 2016) é possível que haja um atraso nas mensagens trocadas pelo CPDLC, portanto, no exemplo citado no artigo, se o piloto receber a mensagem atrasada, responde-la e iniciar a descida 2 minutos depois de passada a autorização, a razão de descida necessária para evitar conflito seria de aproximadamente 6000 pés por minuto, o que se faz inviável para uma aeronave comercial de passageiros

O artigo conclui que mensagem via CPDLC só seria segura, neste caso, considerando o atraso para a tripulação receber a mensagem, respondê-la e iniciar a manobra de descida, se fosse passada com pelo menos 6 minutos de antecedência do possível conflito, prevendo um possível atraso no recebimento da mensagem e antecipando a autorização de descida para a aeronave, como mostra a figura abaixo (EUROCONTROL, 2017):

Figura 6 – Conflito de tráfego

Com a utilização do CPDLC é muito mais fácil transmitir mensagens às aeronaves, se comparado ao sistema de rádio, porém existe a possibilidade de transmitir a mensagem errada para uma aeronave, ou transmitir a mensagem para a aeronave errada. Nesse caso, recomenda-se a utilização da correção da mensagem via voz, seguindo o padrão estabelecido pelo ICAO presente no seu Anexo 10 e apresentado no item 2.6.1 deste trabalho (EUROCONTROL, 2017).

A correção, caso aconteça via CPDLC poderá facilmente levar a um erro de entendimento ou ambiguidade, por esse motivo se recomenda utilizar a voz para corrigir possíveis erros de mensagens enviadas via CPDLC.

Uma aeronave que está utilizando o CPDLC ainda tem o equipamento rádio para eventuais comunicações com o controle, e isso pode gerar um conflito, pois a aeronave pode estar sintonizada em uma frequência de rádio, em contato com o controle e conectado ao mesmo tempo em uma frequência do CPDLC de outro controlador. Dois controladores conectados com a mesma aeronave, sem saber disso, podem emitir diferente e contraditórias autorizações, levando a mal-entendido e carga de trabalho elevada para solucionar separação de possíveis conflitos. Por esse motivo a tripulação deve estar ciente e certa de estar estabelecendo comunicação com apenas um controle (EUROCONTROL, 2017).