Boeing limita os alertas de cabine para que os pilotos confiem neles — menos de 10% dos voos emitem algum

Em um ensaio de 2015 sobre um paciente de 16 anos que sobreviveu a uma overdose de medicamentos 39 vezes acima da dose, o médico Bob Wachter perguntou o que os hospitais poderiam aprender com a aviação sobre a fadiga de alarmes — avisos eletrônicos que enganavam a equipe ou se perdiam em meio a uma cacofonia até que ninguém mais prestasse atenção. A resposta da aviação havia sido construída na base da experiência dolorosa: os primeiros avisos de "trem de pouso baixo" ligados ao manete disparavam falsamente toda vez que os pilotos reduziam a velocidade da aeronave, então as tripulações aprenderam a desligá-los — e depois ignoravam o alerta quando ele era real. Nos primeiros tempos do 727, os alarmes eram tão frequentes e errados que os pilotos arrancavam os disjuntores.

A solução da Boeing é organizacional antes de tudo. Uma única equipe é responsável pela integração de toda a cabine e avalia cada alerta proposto; quando o engenheiro de aquecimento de janelas traz 25 mensagens que quer implementar, os pilotos dizem "Não nos interessa!" — nenhuma chega à cabine de comando. Os avisos são racionados em uma hierarquia estrita: luz vermelha, texto vermelho, voz e shaker do manche (aviso de estol) apenas para catástrofe iminente; cerca de 40 avisos recebem vermelho e voz; aproximadamente 150 cautelas recebem âmbar e uma modalidade; as advertências recebem uma linha de texto recuada. O vermelho nunca é usado para nada além de avisos de nível superior, e cada alerta aciona a lista de verificação correspondente.

O resultado: o percentual de voos que disparam qualquer alerta — aviso, cautela ou advertência — fica bem abaixo de 10 por cento, em aeronaves que registram mais de 10.000 pontos de dados por voo. Diante da densidade de alarmes em uma unidade de terapia intensiva, o chefe de integração de cabine da Boeing só conseguiu dizer: "Oh, meu Deus."

Faça do silêncio o padrão: uma equipe central é responsável por cada alerta em toda a cabine, vermelho significa apenas "aja agora ou caia", e os desejos dos engenheiros de subsistemas perdem.

Falsos positivos são a pior coisa que se pode fazer a um sistema de avisos — eles treinam os humanos a ignorar, e a aviação aprendeu isso por meio de acidentes.

A responsabilidade centralizada vence o lobby dos subsistemas: apenas uma equipe responsável por toda a cabine pode dizer não às 25 mensagens que cada engenheiro de componente quer.

A escassez estrita preserva o sinal: com qualquer alerta em menos de 10 por cento dos voos, um alarme que soa realmente significa algo.

Uma gramática consistente — vermelho, âmbar, texto recuado, listas de verificação correspondentes — permite aos pilotos interpretar a gravidade de relance em vez de redecidir a cada vez.

Cada aviso extra gasta confiança: defina o orçamento de alertas de forma centralizada, classifique-os implacavelmente e trate os falsos positivos como veneno para o sistema.

A série de Wachter encerrou-se exortando os hospitais a importar a disciplina — alarmes priorizados, filtragem implacável, responsabilidade dedicada — que as tragédias da aviação a forçaram a construir; os engenheiros da Boeing, confrontados com a densidade de alarmes da medicina, ficaram espantados.