Erro do piloto ou erro do painel?

Esse é o primeiro de dois posts sobre ergonomia, um daqueles fundamentos que a gente estuda no começo da faculdade e depois usa sem lembrar de onde veio. Resolvi começar pela parte que eu acho mais subestimada: o que a gente faz quando alguém erra.

Um avião militar americano acabou de pousar, e alguém na cabine estica a mão para recolher os flaps (as abas na parte de trás da asa, que se abrem para o avião conseguir pousar mais devagar). Só que puxa o controle do trem de pouso. As rodas sobem com o avião ainda no chão.

Na Segunda Guerra isso acontecia com frequência no P-47, no B-17 e no B-25, numa época em que "erro do piloto" aparecia cada vez mais nos relatórios de acidente. Em 1943, quem desconfiou dessa conclusão foi o tenente Alphonse Chapanis, psicólogo e, até o fim da guerra, o único da área na base de Wright Field, em Ohio.

Ele reparou que os controles do trem de pouso e dos flaps ficavam lado a lado e, na maioria desses aviões, eram chaves idênticas ou alavancas quase idênticas. Quem conta é Stanley Roscoe, numa monografia de 1997 da Human Factors and Ergonomics Society, escrita em grande parte de memória e com anos de correspondência entre colegas da época.

O avião que não errava

E tinha um avião em que esse erro não acontecia: o C-47, versão militar do avião de passageiros DC-3, usada para levar tropa, carga e paraquedistas. Nele, os dois controles ficavam separados e funcionavam de jeitos diferentes, e Roscoe conta que os copilotos do C-47 nunca recolheram as rodas depois do pouso.

Como o C-47 tinha outra missão, a comparação tem limite. E o "nunca" vem da memória do Roscoe, que pilotou avião de transporte na guerra. Mesmo assim, é uma pista de que o problema estava no painel, e foi nessa pista que Chapanis apostou.

Para Chapanis, eram erros de desenho do cockpit. A correção de guerra foi quase artesanal: uma rodinha com pneu de borracha na ponta do controle do trem de pouso e uma peça em forma de cunha na ponta do controle dos flaps. Deu certo. Segundo Roscoe, os pilotos dos aviões modificados pararam de recolher as rodas depois do pouso.

No pós-guerra, ainda segundo ele, o código de formas virou padrão no mundo todo. A regra americana de certificação de aviões de transporte, o 14 CFR 25.781, traz o formato obrigatório do pomo de seis controles da cabine. O do trem de pouso é uma roda, como a do Chapanis, mais de oitenta anos depois.

O piloto mais perto da falha

Em 1947, no laboratório aeromédico da mesma Wright Field, Paul Fitts (o mesmo que em 1954 publicaria a lei de Fitts, sobre o tempo para acertar um alvo conforme a distância e o tamanho dele) e Richard Jones analisaram 460 relatos de "erro do piloto" na operação de controles.

O que eles mostraram, como resumem os pesquisadores David Woods e Richard Cook, é que dava para ligar os controles trocados a características do desenho do painel, principalmente nos momentos de maior pressão. Os erros tinham padrão e eram previsíveis.

Woods e Cook também explicam por que a culpa caía no piloto com tanta facilidade. A investigação via que o avião dava para pilotar, que outros pilotos pilotavam sem problema e que a informação certa estava no painel. Sobrava o piloto, a pessoa mais perto da falha, e daí para chamá-lo de causa era um passo curto demais.

Isso é ergonomia. A Associação Internacional de Ergonomia define a disciplina, desde 2000, como o estudo das interações entre as pessoas e os outros elementos de um sistema, e a profissão que usa esse conhecimento para projetar.

Reparem que a pessoa entra na definição como um dos elementos. Quando a interação falha, a pergunta de quem faz ergonomia é qual elemento precisa mudar, e a resposta raramente é trocar de gente.

O roteiro do Havaí

Sábado, 13 de janeiro de 2018, 8h07 da manhã. Os celulares e as TVs do Havaí recebem a mensagem "BALLISTIC MISSILE THREAT INBOUND TO HAWAII. SEEK IMMEDIATE SHELTER. THIS IS NOT A DRILL." Não tinha míssil nenhum. A agência desmentiu no Twitter às 8h20, mas a correção pelo mesmo sistema só saiu às 8h45, 38 minutos depois.

Nos primeiros dias, a explicação que circulou foi a de um funcionário que escolheu a opção errada num menu. A investigação da FCC, a agência americana de comunicações, contou outra história, em dois relatórios. Ele achou que o ataque era real. A FCC não entrevistou o funcionário, mas considerou suficiente o relato repassado pela agência de emergência do Havaí.

O exercício foi disparado sem aviso, na troca de turno, com uma gravação que dizia "exercise, exercise, exercise" no começo e no fim e trazia no meio a frase "this is not a drill", fora do procedimento. Ele diz que não ouviu o "exercise". Pelos depoimentos, os outros oficiais na sala ouviram a mesma gravação e entenderam que era exercício.

Esse é o C-47 do Havaí, e ele aponta para a pessoa. Segundo a investigação interna citada pela FCC, a equipe se preocupava com o desempenho desse funcionário havia mais de dez anos, e ele já tinha confundido exercício com evento real pelo menos duas vezes. Eu não vou fingir que isso não pesa.

Tem uma diferença aqui. No B-17, a intenção era certa e a mão errou o controle, o que Don Norman chama de deslize. No Havaí, pela conclusão da FCC, a ação saiu como ele queria e o erro estava na crença, o que Norman chama de engano.

Só que o desenho aparece de novo, num lugar menos óbvio. O roteiro padrão de exercício já usava a mesma linguagem do alerta de verdade, e a FCC escreveu que isso podia confundir quem recebesse o chamado sem aviso.

Naquela manhã, o supervisor que puxou o exercício ainda enfiou o "not a drill" no roteiro, mais um erro humano em cima de um procedimento que deixava teste e ataque parecidos demais.

E, depois do engano, pouca coisa segurava a mão dele. Uma pessoa sozinha disparava o alerta para o estado inteiro, sem segunda confirmação, e a última barreira era uma janela de "Are you sure that you want to send this Alert?" igual para teste e para alerta real.

A conclusão da FCC é que nem o alerta falso nem os 38 minutos de atraso teriam acontecido se o Havaí tivesse salvaguardas razoáveis antes daquele dia. Para mim, o histórico do funcionário deixa a tese mais forte.

Se a equipe já desconfiava do desempenho dele, o sistema tinha que ser desenhado justamente para essa pessoa, com alguém do lado no botão e um roteiro de teste que não soasse como ataque. O erro foi dele. O caminho livre até o celular de todo mundo foi do sistema.

E no design digital?

Daqui para baixo é leitura minha, a partir desses dois casos. Aquela janela de "Tem certeza?" igual para tudo é a versão digital dos controles idênticos. Quando ela aparece com o mesmo texto e o mesmo botão para apagar um rascunho e para apagar a conta inteira, a minha aposta é que a pessoa aprende a clicar sem ler.

E o Havaí lembra de um parente dela: o ambiente de teste com a mesma cara do de produção. Em design system isso pesa mais, porque o componente genérico, reaproveitado em cem telas, espalha o problema. A solução do Chapanis cabe bem no nosso vocabulário: o que é irreversível pede outra forma, outro peso e, às vezes, uma segunda pessoa.

Fica uma dica para a próxima vez que alguém disser "o usuário errou", ou quando isso passar pela sua cabeça. Antes de fechar o diagnóstico, pergunte se o certo e o errado tinham a mesma cara, se o teste parecia o real, se a confirmação mudava conforme o tamanho do estrago e se uma pessoa sozinha conseguia fazer o irreversível.

E, se der, procure o seu C-47, e encare o que ele mostrar, mesmo quando apontar para a pessoa. Erro humano é onde a investigação começa. No próximo post eu abro o mapa inteiro da ergonomia, da origem da palavra até as áreas que ela cobre. Beijos e até lá!

---

Pra quem quiser ir na fonte:

• Roscoe, S. N. (1997). The Adolescence of Engineering Psychology. Human Factors History Monograph Series, vol. 1. Human Factors and Ergonomics Society (link). A história do Chapanis em 1943: os aviões afetados, os controles iguais lado a lado, o C-47, a roda e a cunha e a padronização no pós-guerra. É um relato de memória, escrito mais de cinquenta anos depois.
• Fitts, P. M., & Jones, R. E. (1947). Analysis of factors contributing to 460 "pilot-error" experiences in operating aircraft controls. Memorandum Report TSEAA-694-12, Aero Medical Laboratory, Wright Field. O estudo dos 460 relatos (não li o original, que não está aberto; a referência e o resumo vêm de Woods e Cook).
• Curatola, J. (2024). Douglas C-47 Skytrain. The National WWII Museum (link). O C-47 como versão militar do DC-3 e as missões dele.
• FAA. Pilot's Handbook of Aeronautical Knowledge, cap. 6, Flight Controls (link). O que são flaps e para que servem no pouso.
• Fitts, P. M. (1954). The information capacity of the human motor system in controlling the amplitude of movement. Journal of Experimental Psychology, 47(6), 381–391 (link). O artigo da lei de Fitts.
• Woods, D. D., & Cook, R. I. (1999). Perspectives on Human Error: Hindsight Biases and Local Rationality. Em Durso, F. T. (Ed.), Handbook of Applied Cognition. Wiley (link, versão do capítulo hospedada por terceiros). O resumo do que Fitts e Jones encontraram e a explicação de por que a culpa caía na pessoa mais perto da falha.
• Estados Unidos. 14 CFR § 25.781, Cockpit control knob shape (link). A regra atual com o formato obrigatório do pomo de seis controles, incluindo a roda do trem de pouso.
• International Ergonomics Association. What Is Ergonomics? (link). A definição de 2000.
• Norman, D. (2013). The Design of Everyday Things: Revised and Expanded Edition. Basic Books. A distinção entre deslize e engano, no capítulo "Human Error? No, Bad Design".
• FCC, Public Safety and Homeland Security Bureau (2018). Report and Recommendations: Hawaii Emergency Management Agency January 13, 2018 False Alert (link). O texto do alerta, a linha do tempo, a gravação do exercício, os outros oficiais que entenderam o exercício, a decisão de não entrevistar o funcionário, o desmentido no Twitter às 8h20, o histórico do funcionário, o roteiro com a mesma linguagem do alerta real, o desvio do supervisor naquela manhã, a janela de confirmação, a falta de segunda confirmação e a conclusão sobre salvaguardas.
• Wamsley, L. (2018). False Hawaii Missile Alert Sent After Drill Recording Said "This Is Not A Drill". NPR, republicado pela WAMC (link). O relatório preliminar de janeiro desmentindo a versão do clique errado no menu.