O conglomerado naval alemão Hapag-Lloyd é mais famoso por operar uma das maiores linhas de navios de contêineres do mundo, mas entre 1972 e 2007, a enorme empresa de logística também operou uma empresa um tanto diferente: uma companhia aérea de passageiros.
Conhecida como Hapag-Lloyd Flug, a companhia aérea inicialmente ofereceu voos de conexão entre as cidades alemãs e os pontos de lançamento dos cruzeiros da Hapag-Lloyd, mas nas décadas subsequentes ela se expandiu para se tornar uma das maiores companhias aéreas charter da Alemanha, oferecendo serviços regulares e sob demanda para destinos de férias em toda a Europa. Muitos alemães podem ter voado com a Hapag-Lloyd Flug sem nem perceber: após uma fusão de 2007, a companhia aérea foi rebatizada como TUIfly Deutschland.
Um dos destinos servidos pela Hapag-Lloyd foi a cidade de Chania, na pitoresca ilha grega de Creta. O serviço regular regular da companhia aérea entre Chania e Hanover, voo designado 3378, era popular entre os turistas alemães e, no dia 12 de julho de 2000, 143 deles embarcaram em um Hapag-Lloyd Airbus A310 no Aeroporto Internacional de Chania para o voo de volta.
 |
| O Airbus A-310, D-AHLB, a aeronave envolvida no acidente |
No comando do jato de grande porte Airbus A310-304, prefixo D-AHLB, da Hapag-Lloyd, estavam dois pilotos: o capitão Wolfgang Arminger, de 56 anos, e um jovem primeiro oficial identificado apenas como Thorsten R. Embora o primeiro oficial fosse novo na empresa e tivesse apenas algumas centenas de horas no Airbus A310. O Capitão Arminger, era uma verdadeira lenda do voo: ele era piloto desde os 17 anos e, durante seus 30 anos como capitão de linha aérea, registrou mais de 23.000 horas de voo, o máximo de qualquer piloto da Hapag-Lloyd.
Com 143 passageiros e oito tripulantes a bordo, o voo 3378 partiu de Chania por volta das 9h UTC, com o Capitão Arminger nos controles. No entanto, segundos após a decolagem, a tripulação encontrou um problema: ao tentar retrair o trem de pouso, o trem principal permaneceu estendido e várias luzes de advertência de “marcha insegura” acenderam na cabine.
A tripulação tentou girar o equipamento várias vezes, mas seus esforços foram malsucedidos; era evidente que o trem de pouso não podia ser guardado. Essa não era, de forma alguma, uma situação de emergência.
Como todos os aviões comerciais, o Airbus A310 é capaz de voar normalmente com o trem de pouso estendido e, desde que se mantivessem abaixo do limite de velocidade estendido, eles poderiam continuar até seu destino.
Havia apenas uma advertência: combustível. Quando o trem de pouso principal é estendido, causa um arrasto significativo, que impacta negativamente a economia de combustível. Os pilotos precisariam determinar quanto combustível a mais do que o normal estava sendo consumido, calcular se conseguiriam chegar a Hanover e decidir onde pousariam se não pudessem.
O capitão Arminger instruiu o primeiro oficial a entrar em contato com o despachante da empresa, informá-lo da situação e pedir conselhos sobre o melhor curso de ação. No entanto, o primeiro oficial logo descobriu que o rádio de longa distância no escritório de despacho da Hapag-Lloyd não estava funcionando e a comunicação por rádio não pôde ser estabelecida.
Em vez disso, ele começou uma meticulosa conversa de ida e volta usando o Aircraft Communications Addressing and Reporting System, ou ACARS, que lhe permitiu trocar mensagens de texto com o despachante por meio da interface do sistema de gerenciamento de voo (FMS) do avião. Esse esforço incômodo consumiu a maior parte da atenção do primeiro oficial por quase uma hora.
Enquanto isso, o capitão Arminger começou a determinar a situação do combustível. Normalmente, os pilotos controlam seu combustível usando o FMS, que combina várias fontes de dados para dizer à tripulação quanto combustível está a bordo e quanto combustível eles terão restante quando chegarem ao seu destino.
Ao comparar a quantidade real de combustível a bordo com a quantidade esperada de combustível, conforme indicado no plano de voo, um piloto pode determinar se está queimando combustível na taxa esperada. Ele ou ela pode então usar o FMS para determinar se sua taxa de queima de combustível os deixará com uma quantidade suficiente de sobra após a chegada.
O capitão Arminger observou imediatamente que, de acordo com o FMS, eles não teriam combustível suficiente para chegar a Hanover. Portanto, o primeiro oficial e o despachante começaram a determinar um aeroporto alternativo adequado para usar como ponto de reabastecimento.
O despachante sugeriu Stuttgart, que foi rejeitado. Em vez disso, a tripulação concordou em parar em Munique, que estava mais perto do que Stuttgart. Via mensagem ACARS, o despachante acrescentou mais tarde que se a situação do combustível piorasse e eles não pudessem chegar a Munique, deveriam ir para Viena.
Para determinar o quão longe eles poderiam chegar, o primeiro oficial abriu o manual e o abriu na seção de voo estendido com o trem de pouso abaixado. Esta seção continha um gráfico que fornecia números de consumo de combustível para subida e cruzeiro com a marcha estendida em várias altitudes.
No entanto, a tabela incluía apenas figuras de até 27.000 pés de altura. Nesse ponto, eles já haviam alcançado sua altitude de cruzeiro de 31.000 pés, para a qual não foram fornecidos números de queima de combustível.
Arminger acreditava que isso acontecia porque a carta deveria ser usada apenas para planejamento de voo e não para cálculos durante o voo, e ele fez o primeiro oficial guardá-la. A inutilidade do gráfico não era grande coisa, ele pensou; afinal, o FMS poderia calcular tudo isso para eles de qualquer maneira.
Aqui ele fez uma suposição crítica: que o sistema de gerenciamento de voo era capaz de levar em consideração o trem de pouso estendido ao calcular o combustível esperado na chegada (referido a seguir como "combustível esperado a bordo" ou EFOB).
Não era absurdo acreditar que o FMS calculou o EFOB extrapolando a taxa atual de queima de combustível para o futuro, mas não era assim que o sistema realmente funcionava. Em vez de basear o EFOB na taxa instantânea de consumo de combustível, que pode variar significativamente de um momento para o outro, ele calculou esse valor usando um algoritmo que incorporou vários fatores que podem afetar a taxa de queima de longo prazo, incluindo altitude, velocidade do vento, e vários outros parâmetros.
Isso produziu uma figura bastante precisa que era imune a variações efêmeras no consumo de combustível devido a mudanças no nível de voo, rajadas de vento, ou outros fenômenos. No entanto, uma coisa que não levou em consideração foi a posição do trem de pouso, que está quase sempre retraído, exceto no último minuto ou dois de cada voo.
Portanto, o EFOB indicado pelo FMS na chegada em Munique foi baseado em sua quantidade de combustível atual alimentada por um algoritmo que não incluía o arrasto extra induzido pelo trem de pouso. Nenhum dos pilotos sabia que, com a taxa atual de consumo, não chegariam a Munique.
Durante a conversa com o despachante, os dois pilotos usaram seus próprios sistemas de gerenciamento de voo para confirmar de forma independente que teriam 3,3 toneladas métricas de combustível sobrando depois de chegar a Munique - bem acima do mínimo legal.
No entanto, quando o primeiro oficial realizou sua primeira verificação de rotina de queima de combustível às 9h57, ele observou que eles haviam consumido 60% a mais de combustível do que o esperado nesse ponto do voo.
Esta taxa de queima bastante extraordinária não parecia conflitar com a noção de que eles poderiam chegar a Munique, embora esta cidade estivesse a mais de 60% do caminho entre Chania e Hanover, porque os pilotos esperavam que a eficiência sofresse mais durante a escalada do que durante o cruzeiro e descida, resultando em maior ineficiência no início do voo e um aumento na eficiência posteriormente. Essa expectativa obscureceu a discrepância entre a ineficiência observada e o EFOB otimista.
Com o tempo, o EFOB para Munique diminuiu lentamente de 3,3 toneladas para cerca de 2,0. Isso foi um artefato do elevado consumo de combustível, fazendo com que quantidades reais de combustível progressivamente mais baixas do que o esperado fossem alimentadas no algoritmo EFOB.
Como o EFOB mínimo permitido pelos regulamentos era de 1,9 toneladas - o suficiente para 30 minutos de espera antes do pouso - o Capitão Arminger decidiu que um EFOB de 2,0 estava cortando muito perto e que eles deveriam ir então para Viena. Depois de entrar no novo destino no FMS, o sistema afirmou que eles poderiam esperar 2,6 toneladas de combustível restantes após a chegada a Viena.
A fim de aumentar sua margem de segurança, Arminger começou a solicitar autorização do controle de tráfego aéreo para voar em rotas mais diretas entre cada um dos waypoints no caminho para Viena.
Cada vez que eles eram limpos diretamente, a distância total restante diminuía, causando um aumento correspondente no EFOB, que reverteu seu fluxo constante para baixo. O resultado foi um EFOB que pareceu permanecer estável em 2,6 toneladas. Na realidade, porém, seu consumo de combustível era tão alto que chegar a Viena com segurança já era quase impossível.
Neste ponto, o voo 3378 passou pelo lado de Zagreb, a apenas 10 minutos do aeroporto de Zagreb. Um desvio para Zagreb teria levado a situação a um fim rápido e sem intercorrências. Mas o capitão Arminger acreditava que eles ainda poderiam chegar a Viena, onde a Hapag-Lloyd estava presente; por contraste, Zagreb não era um destino normalmente servido pela companhia aérea.
O EFOB indicado logo começou a cair novamente e, às 10h34, caiu para menos de 1,9 toneladas, o mínimo permitido no pouso. A urgência da situação era agora um pouco mais aparente.
O capitão Arminger informou o controlador de tráfego aéreo de Viena de sua situação e solicitou uma aproximação direta na pista 34 do sul, que foi concedida. Ele seguiu com um pedido de pouso prioritário, e o voo 3378 começou sua descida de 31.000 pés a uma distância de 267 quilômetros do aeroporto.
O primeiro oficial observou que, de acordo com os procedimentos adequados, eles deveriam declarar uma emergência de combustível, porque esperavam pousar com menos combustível do que o mínimo legal. Mas o capitão Arminger recusou-se a fazê-lo, aparentemente sem vontade de balançar o barco proverbial. Ele parecia estar em negação sobre a seriedade de sua situação.
Às 11h01, a luz de combustível baixo acendeu, avisando os pilotos que eles precisavam pousar imediatamente. Foi só às 11h07 que Arminger finalmente declarou uma emergência de combustível. Em sua chamada pelo rádio, ele enfatizou ao controle de tráfego aéreo que eles chegariam a Viena com segurança e não solicitou o envio de veículos de emergência. Apesar de estarem em uma situação de emergência real, ele tratou a declaração como uma formalidade.
Naquele momento, Viena não era a pista mais próxima: na verdade, o aeroporto de Graz estava 55 quilômetros mais perto. O primeiro oficial trouxe o assunto às 11h09, sugerindo que mudassem de plano e voassem para Graz. O capitão Arminger rapidamente derrubou isso, observando que eles já estavam alinhados com a pista 34 em Viena, e mudar o curso para se alinhar com a pista de Graz poderia acabar adicionando distância à sua jornada.
Ao avaliar a possibilidade de desvio para lá, a tripulação descobriu que as cartas de aproximação para Graz estavam faltando. Hesitante em correr às cegas para um aeroporto que não conhecia, o capitão Arminger tomou a decisão fatídica de continuar em direção a Viena e, dadas as circunstâncias, o primeiro oficial concordou com relutância.
Como o voo 3378 agora estava alinhado com a pista, a tripulação não era mais capaz de solicitar atalhos em sua rota; como resultado, o EFOB indicado não era mais ajustado periodicamente para cima e sua verdadeira taxa de declínio tornou-se aparente.
Quando o EFOB caiu rapidamente para zero, o capitão Arminger ficou alarmado e confuso, perguntando-se em voz alta como e se o FMS estava realmente considerando a resistência do ar em seus cálculos.
O primeiro oficial afirmou corretamente que, de fato, não se deve levar em conta a resistência aérea causada pelo trem de pouso - uma explicação que o capitão Arminger rejeitou de imediato. O EFOB parecia estável até a descida, então ele sentiu que algo deve ter mudado nos últimos minutos. O primeiro oficial não estava convencido, mas o assunto logo caiu no esquecimento: eles estavam prestes a ter um problema muito maior em suas mãos.
Às 11h26, o motor direito ficou sem combustível, disparando uma cascata de luzes de advertência piscando e alarmes estridentes. Segundos depois, o motor esquerdo também engasgou e morreu, deixando o avião completamente sem potência - e eles ainda tinham 22 quilômetros pela frente até a pista.
Enquanto o primeiro oficial emitia um pedido de socorro frenético, o capitão implantou a turbina de ar ram (turbina eólica de emergência ou turbina de ar de impacto), uma pequena hélice que se estende da parte inferior da fuselagem e gera energia suficiente para operar as bombas hidráulicas.
 |
| A RAT (Ram Air Turbine) |
O primeiro oficial imediatamente começou a executar o processo de reacendimento do motor, na esperança de extrair apenas mais alguns momentos de voo motorizado dos resíduos de combustível deixados nos tanques. Suas tentativas iniciais foram bem-sucedidas, mas às 11h29 os motores apagaram novamente, desta vez para sempre.
Deslizando em direção ao aeroporto sem qualquer motor, pareceu por um momento que o A310 ainda poderia chegar à pista inteiro. Mas sua taxa de afundamento era um pouco alta demais, a distância um pouco longa.
O voo 3378 pousou com força em um campo a 660 metros da pista, atingindo a grama com a ponta da asa esquerda e o trem de pouso. O trem de pouso principal esquerdo cravou na terra e se soltou, fazendo o avião deslizar pela grama com o motor esquerdo se arrastando pelo solo.
O avião virou à esquerda, passou por uma fileira de luzes de aproximação e uma antena ILS, derrapou em uma pista de taxiamento e parou em um campo do outro lado, inclinando-se loucamente torto com o nariz no ar. O voo 3378 da Hapag-Lloyd havia chegado a Viena - mas por pouco.
Assim que o avião parou, o capitão Arminger ordenou que os passageiros evacuassem e os comissários de bordo se apressaram em abrir as saídas de emergência. No entanto, o ângulo do avião impedia os comissários de bordo de puxar a porta de saída frontal esquerda para fora de sua moldura, e o escorregador de escape frontal direito era inútil porque era muito íngreme.
O slide central esquerdo atingiu um pedaço destroçado da asa e desinflou, enquanto o vento soprou o slide central direito de escape contra a fuselagem, tornando-o inutilizável também.
Todas as 151 pessoas a bordo foram evacuadas pelas duas saídas mais recuadas, embora a urgência tenha se mostrado injustificada, pois a falta de combustível impediu a ignição de um incêndio. No final, todos sobreviveram praticamente ilesos, com apenas 26 ferimentos leves ocorridos durante a evacuação.
No início, o capitão Arminger foi saudado pela mídia como um herói por levar seu avião impotente ao aeroporto e aterrissar sem nenhuma perda.
Ninguém naquele momento entendeu o que havia acontecido com o combustível. Mas enquanto os investigadores austríacos examinavam o conteúdo das caixas pretas do avião, eles descobriram que a sequência de eventos era bem diferente do que todos esperavam.
Não houve perda repentina de combustível na aproximação final, conforme relatado pelo capitão - em vez disso, o combustível caiu continuamente durante o voo até acabar. Com sua taxa de consumo, eles simplesmente não tinham combustível suficiente a bordo para chegar a Viena.
Os pilotos pensaram que poderiam fazer isso porque o FMS mostrou a eles com bastante combustível restante após a chegada, e eles não entenderam que o FMS não inclui o arrasto extra induzido pelo trem de pouso em suas projeções de combustível.
Quanto ao que começou tudo - os investigadores descobriram que uma porca no atuador direito do trem de pouso principal havia sido instalada incorretamente. A porca se prendia periodicamente em um pedaço próximo da estrutura, fazendo com que se desenroscasse lentamente ao longo de milhares de horas de voo. Isso estendeu o comprimento do braço atuador até que se tornou geometricamente impossível para o trem de pouso retrair.
A investigação agora se voltou para os processos de pensamento dos pilotos durante o voo. Eles notaram que o capitão era incrivelmente experiente e sempre fora avaliado como satisfatório ou bom em seus testes de proficiência. O primeiro oficial, embora relativamente novo no A310, sempre fora classificado como bom ou excelente e era considerado um piloto exemplar. Como essa tripulação pode simplesmente ficar sem combustível?
A primeira coisa a considerar era por que a tripulação acreditava que poderia usar o FMS para calcular o combustível esperado na chegada. Os investigadores descobriram que, embora a lista de verificação oficial da Airbus para voo com o trem de pouso estendido incluísse uma etapa para determinar o consumo de combustível manualmente, essa etapa estava faltando na versão da lista de verificação fornecida pela companhia aérea.
 |
| Acima: a diferença entre a lista de verificação do fabricante e a lista de verificação da companhia aérea |
Também não havia documentação disponível para os pilotos que explicasse o algoritmo usado pelo FMS para determinar uma figura EFOB, e os pilotos não poderiam ter determinado com certeza quais fatores que afetam o consumo de combustível foram incluídos e quais não foram.
Na verdade, os pilotos nem sabiam que ele usava um algoritmo em vez de uma projeção direta com base no consumo atual de combustível. Eles foram apenas ensinados a usar o FMS como uma caixa preta, realizando o “procedimento X para obter o resultado Y”, como os investigadores colocaram, sem nenhum conhecimento de como o sistema realmente funcionava.
Ao explicar isso à imprensa, o Capitão Arminger disse: “Presumi que o FMS funcionasse como um computador de bordo em um carro, o que também mostra o alcance corretamente, mesmo se você tiver um rack de teto com você.”
Sem qualquer indicação de que essa suposição era falsa, ela se cimentou na mente do capitão Arminger no início do voo. Os resultados das verificações de queima de combustível não abalaram essa crença porque era possível reconciliar mentalmente a alta taxa de queima com o EFOB errôneo fornecido pelo FMS.
Os pilotos também não foram treinados em nenhum procedimento especial para usar o FMS com o trem de pouso estendido. Eles receberam cenários de treinamento onde tiveram que reprogramar o FMS para calcular corretamente o consumo de combustível após uma falha do motor, mas não para uma falha do trem de pouso.
O fato de que o FMS imediatamente lhes disse que eles não poderiam chegar a Hanover também reforçou a crença equivocada dos pilotos de que estava projetando sua taxa de queima de combustível no futuro; na realidade, entretanto, isso aconteceu porque eles já haviam queimado combustível suficiente para que Hanover ficasse inalcançável, mesmo com a taxa de queima errônea usada pelo FMS.
E, finalmente, a tabela de taxas de queima de combustível no manual não se destinava obviamente ao uso durante o voo, e não antes do voo, e não indicava que os valores fornecidos deveriam ser usados no lugar do FMS.
Agora estava claro como os pilotos conseguiram manter sua interpretação equivocada por tanto tempo. Conforme o voo prosseguia em direção a Viena, o valor EFOB produzido pelo FMS não diminuiu a uma taxa perceptível para os pilotos porque eles continuaram tomando atalhos que adicionaram combustível de volta ao cálculo. Isso os convenceu de que poderiam continuar para Viena durante a maior parte da parte intermediária do voo.
No entanto, quando estavam mais ou menos no travessão de Zagreb, o EFOB havia começado a diminuir visivelmente. Na verdade, o EFOB para Viena caiu abaixo do mínimo legal de 1,9 toneladas momentos antes de o avião passar pela cidade. Por que eles não decidiram desviar para lá? Por que continuar para Viena, sabendo que seriam obrigados a declarar uma emergência de combustível?
Para racionalizar a decisão do capitão de não desviar, os investigadores notaram que Arminger era conhecido por ser muito leal à companhia aérea e certamente temia criar uma dor de cabeça para a administração ao pousar em Zagreb, um aeroporto no qual a Hapag-Lloyd não tinha presença da empresa.
Os investigadores descreveram esta decisão em termos de "utilidade esperada subjetivamente." Este é o produto da probabilidade de sucesso percebida e dos benefícios percebidos de atingir a meta, vis-à-vis um curso de ação alternativo e menos desejável. Ficou evidente que a essa altura o comandante considerava a probabilidade de sucesso (chegar a Viena) em quase 100%, o que pesava a equação inconsciente a favor da continuação do voo.
Se ele tinha certeza de que poderia chegar a qualquer um dos aeroportos, fazia sentido escolher aquele em que a Hapag-Lloyd pudesse preparar mais facilmente outro avião para pegar os passageiros e continuar para Hanover. Uma análise objetiva da situação teria mostrado que o perigo de continuar para Viena era considerável, mas nada foi feito.
Seis meses após o acidente, o capitão pediu demissão da Hapag-Lloyd Flug, para nunca mais voar. Mas sua provação não acabou. Quando os detalhes do voo foram tornados públicos, os promotores na Alemanha acusaram Wolfgang Arminger de operar uma aeronave por negligência, uma acusação que pode resultar em consequências que variam de multa a prisão.
 |
| O Capitão Wolfgang Arminger e seu advogado no tribunal |
Arminger manteve sua inocência à força, contratando um advogado que defendeu com sucesso os pilotos envolvidos no acidente da Lufthansa em 1974 contra acusações semelhantes. O julgamento foi controverso desde o início. Os especialistas em direito e segurança da aviação são extremamente cautelosos em perseguir processos criminais contra pilotos que cometem erros que resultam em acidentes, tanto porque a ameaça de prisão impede os pilotos de admitir erros aos investigadores, quanto porque a prática é eticamente questionável.
Uma revisão matizada dos eventos do voo revela como a documentação inadequada, gráficos ausentes e conhecimento insuficiente de sistemas complexos levaram o Capitão Arminger a voar para um destino que estava além do alcance de seu avião. Onde estava o crime? A maioria dos especialistas concorda que não houve nenhum.
No entanto, em 2004, um juiz condenou Arminger a uma pena de prisão suspensa de seis meses, no processo acusando-o publicamente de ser “arrogante” e não querer admitir seus erros. A sentença foi proferida apesar do relatório final do acidente ainda não ter sido divulgado.
Em um artigo para o Der Spiegel, Gisela Friedrichsen criticou duramente a decisão do juiz, escrevendo: “Um piloto voa para um destino embora tenha muito pouco combustível no tanque. Um juiz sentencia, embora as provas ainda estejam pendentes. Alguém age de forma negligente e grosseira em violação do dever. E o outro?"
Ele também observou que o primeiro oficial não cometeu nenhum erro; na verdade, ele foi além do seu dever, realizando tarefas críticas sem qualquer orientação do capitão. Além disso, ele descobriu a causa real do problema por conta própria, e o capitão não acreditou nele. Apesar de seus erros evidentes, ninguém que lê o relatório poderia ir embora acreditando que Arminger merecia ir para a prisão.
Paralelamente ao relatório, os investigadores austríacos emitiram 14 recomendações de segurança, incluindo que a Airbus e a companhia aérea revisassem a documentação do FMS e os procedimentos de voo com o equipamento estendido, a fim de garantir que não houvesse ambiguidade sobre as capacidades do FMS em circunstâncias envolvendo aumento do consumo de combustível.
Eles também recomendaram que a capacidade dos slides de fuga de resistir ao vento fosse examinada; que os pilotos sejam treinados nos limites do FMS em cenários de combustível incomuns; e que a Hapag-Lloyd fixe sua lista de verificação do trem de pouso e garanta que sua documentação esteja completa.
A queda do voo 3378 da Hapag-Lloyd contém lições cruciais para pilotos e fabricantes. Durante a maior parte do voo, o Capitão Arminger sentiu uma sensação de invulnerabilidade - que tudo ia ficar bem, que resultados negativos só acontecem com outras pessoas.
Essa suposição é falsa; o pior pode acontecer a qualquer pessoa, a qualquer momento. Um piloto deve sempre permanecer ciente da presença do perigo e reter autoconsciência suficiente para levá-lo a sério, mesmo que as chances de um resultado negativo pareçam pequenas. Você nunca sabe quando fez a matemática errada.
Os projetistas de sistemas tanto na aviação quanto em outros lugares também podem aprender algo com este acidente. Havia uma desconexão crítica entre os objetivos para os quais o FMS foi projetado e os objetivos para os quais os pilotos o usaram, devido à falta generalizada de informações sobre como o sistema funcionava.
É muito fácil presumir que o usuário final compreenderá intuitivamente as limitações do sistema. Nesse caso, a documentação oficial da Airbus incluía uma série de pistas que levariam o leitor à conclusão de que o FMS não poderia ser usado para esse objetivo específico.
Mas a existência de tal série de instruções não é suficiente por si só. Um projeto de sistema holístico deve considerar pistas que competem com o caso de uso pretendido, conduzindo o usuário a um curso de ação diferente.
No entanto, às vezes surgem cenários que os projetistas de sistemas são incapazes de prever com antecedência - mas a resposta deve ser melhorar o sistema, não condenar um piloto no tribunal por ter sido enganado por um computador.
Com Admiral Cloudberg, ASN, Wikipedia - Imagens: baaa-acro, Marcus Weigand, Hapag-Lloyd, Pedro Aragão, Luc Verkuringen, Google, o Conselho Austríaco de Investigação de Acidentes Aéreos, FlightGlobal, Austrian Wings, Departamento de Imprensa do Aeroporto de Viena, Thomas Ramgraber, e Der Spiegel.
