AVALIAÇÃO DO IMPACTO DO PARADIGMA CNS/ATM

Sitraer 7 (2008) 617-628 – Tr. 511
AVALIAÇÃO DO IMPACTO DO PARADIGMA CNS/ATM SOBRE A SEGURANÇA
DO SISTEMA CONTROLE DE TRÁFEGO AÉREO
Lúcio Flávio Vismari
João Batista Camargo Junior
Escola Politécnica da Universidade de São Paulo
Departamento de Engenharia de Computação e Sistemas Digitais
Grupo de Análise de Segurança (GAS)
RESUMO
Este trabalho apresenta uma avaliação quantitativa do impacto do paradigma CNS/ATM (Communication,
Navigation, Surveillance/Air Traffic Management), mais especificamente do conceito de Vigilância Dependente
Automática por Radiodifusão (ADS-B), sobre os níveis de segurança do sistema de Controle de Tráfego Aéreo
(ATC). Este estudo avaliou, de forma comparativa, quais são os níveis de exposição a eventos de perda de
separação (AIRPROX) que aeronaves estão sujeitas quando inseridas em dois ambientes ATC distintos: o
ambiente atual, cuja vigilância está baseada em Radares e em navegação por rádio-auxílios; e o ambiente
CNS/ATM, cuja vigilância estará baseada na ADS-B e em navegação por satélites. Como resultado principal,
pode-se concluir que a ADS-B, mesmo tornando interdependentes os elementos de navegação e vigilância, é
uma aplicação viável, do ponto de vista da segurança (safety), para o ATC sob o paradigma CNS/ATM.
ABSTRACT
This paper presents a quantitative assessment of the impact of paradigm CNS/ATM (Communication,
Navigation, Surveillance/Air Traffic Management), specifically the concept of Automatic Dependent
Surveillance - Broadcasting (ADS-B) on the safety levels of the Air Traffic Control system (ATC). It was
assessed, in a comparative way, what levels of exposure to events of loss of separation (AIRPROX) aircraft will
be submitted when inserted into two distinct ATC environments: the current environment, which is based on
Radar surveillance and navigation by radio-aids, and the environment CNS/ATM, whose surveillance will be
based on ADS-B and satellite navigation. As the main result, it was concluded that the ADS-B, even turning
interdependent the elements of navigation and surveillance, is a viable application, in terms of safety, for the
ATC under the paradigm CNS/ATM.
1. INTRODUÇÃO
Ao longo das últimas décadas, o paradigma de sistemas críticos em segurança vem sofrendo
transformações como forma de se adequar às novas necessidades demandadas, tais como
redução de custos e aumento da produtividade. Para o sistema de tráfego aéreo, esta
transformação de paradigma está preconizada pelo CNS/ATM (Communication, Navigation,
Surveillance / Air Traffic Management), baseado em tecnologias digitais aplicadas à
Comunicação, à Navegação, à Vigilância e ao Gerenciamento do Tráfego Aéreo (ICAO,
2000). Comparado ao paradigma atual de sistema de tráfego aéreo, o CNS/ATM busca as
seguintes melhorias para cada um dos elementos do tráfego aéreo (ICAO, 2000):
•
Comunicação: incremento na cobertura, acessibilidade, capacidade, integridade,
desempenho e segurança (security) dos sistemas de comunicação aeronáuticos, em
acordo com os requisitos do ATM;
•
Navegação: incremento na cobertura e na capacidade de operação em quaisquer
condições meteorológicas e tipos de espaço aéreo, incluindo aproximações e pousos,
enquanto mantém ou aumenta os níveis de integridade, acurácia e desempenho, em
acordo com os requisitos do ATM;
•
Vigilância: expansão na cobertura efetiva sobre oceanos e áreas remotas, e
incremento dos níveis de consciência situacional dos pilotos, em acordo com os
requisitos do ATM;
617
Sitraer 7 (2008) 617-628 – Tr. 511
Como forma de se obter estas melhorias desejadas para cada um dos elementos do sistema, a
Organização da Aviação Civil Internacional (OACI) elaborou o seguinte planejamento
evolutivo para as tecnologias aplicadas aos elementos de Comunicação, Navegação e
Vigilância do sistema de tráfego aéreo (Figura 1).
Figura 1 – Evolução Tecnológica dos elementos CNS
O uso deste arcabouço de tecnologias digitais proporcionará, de forma sistêmica, maiores
níveis de automação e de acurácia no sistema de tráfego aéreo e, a princípio, minimizará as
restrições existentes no sistema de tráfego aéreo atual. Com isso, corrobora-se com o
cumprimento da missão principal do CNS/ATM, que é o de desenvolver um sistema global e
uniformizado de serviços de tráfego aéreo (ATS – Air Traffic Services) que supra o
crescimento da demanda por este modal de transporte, acompanhado de melhorias nos níveis
de segurança, regularidade e eficiência do tráfego aéreo, disponibilizando o uso das rotas
desejadas pelos usuários e minimizando as diferenças quanto ao uso de equipamentos
atualmente observadas em função das regiões do planeta.
O Controle de Tráfego Aéreo (ATC) será um dos principais serviços impactados pelo
conceito CNS/ATM, dado que os elementos de comunicação, navegação e vigilância do
sistema de tráfego aéreo são utilizados pelos Controladores de Tráfego Aéreo (ATCo) para
realizar a missão do ATC, que é a de prevenir colisões, tanto entre aeronaves quanto entre
aeronaves e obstáculos na área de manobras, além de acelerar e manter ordenado o fluxo do
tráfego aéreo (ICAO, 1998a). Em espaços aéreos controlados, o ATC tem a função de
gerenciar as distâncias de separação entre aeronaves, pois atua no nível da garantia de
separação para o tráfego aéreo em execução. A Figura 2 representa uma arquitetura
simplificada do sistema de ATC, ilustrando o fluxo de informação entre seus elementos (CNS
e usuários “ATCo” e “Piloto”).
Figura 2 – Arquitetura do Controle de Tráfego Aéreo (Vismari, 2007)
618
Sitraer 7 (2008) 617-628 – Tr. 511
Os valores de separação praticados pelo ATC estão relacionados à qualidade das informações
disponíveis ao piloto e ao controlador de tráfego aéreo (desempenhos da comunicação e da
vigilância), e à acurácia com a qual o piloto consegue aderir a sua trajetória (desempenho da
navegação) (ICAO, 1998a). Com relação à comunicação e à vigilância, suas imprecisões e
limitações introduzem incertezas sobre a real situação do ambiente monitorado (as posições
das aeronaves, sobretudo), afetando a capacidade de detecção e de resolução de conflitos por
parte dos operadores do tráfego. Com relação à navegação, suas imprecisões e limitações
induzem ao aumento de potenciais conflitos, pois os pilotos tendem a ocupar, indevidamente,
regiões maiores do espaço aéreo.
Assim, estas limitações técnicas são fatores que restringem a redução dos tempos médios de
separação entre aeronaves, pois, para que se garanta a segurança das operações, devem-se
incorporar estas imprecisões, tanto temporais quanto espaciais, sobre os valores de separação
providos, de forma a minimizar a ocorrência de conflitos. Vale ressaltar que a redução dos
tempos médios de separação aplicados entre aeronaves é uma das formas diretas de aumentar
a capacidade do sistema de tráfego aéreo.
Com base nestes fatos, pode-se concluir que o paradigma CNS/ATM é a solução para
minimizar as restrições ao crescimento da oferta por tráfego aéreo, já que a evolução
tecnológica sobre os elementos CNS afeta diretamente as características do sistema de
controle de tráfego aéreo e, conseqüentemente, sua capacidade de gerenciar, de forma efetiva,
as distâncias de separação entre aeronaves, principalmente no que se refere ao aumento da
acurácia dos dados de vigilância, o aumento de sua área de cobertura e a redução do
congestionamento nos canais de comunicação, além da possibilidade de melhoria das técnicas
de detecção e resolução de conflitos devido à elevação dos níveis de automação do sistema.
Desta forma, o CNS/ATM introduz um novo conceito sobre o sistema de tráfego aéreo. E
como em todo sistema crítico em segurança, para que estas alterações propostas possam ser
introduzidas, é necessário avaliar se as mesmas serão capazes de satisfazer os níveis de
segurança desejados para o sistema em questão. No caso do CNS/ATM, deve-se garantir que
estas novas tecnologias possam promover o aumento da capacidade do sistema de tráfego sem
comprometer seu nível de segurança atual. Com este objetivo, este artigo apresenta as
principais etapas e resultados de uma avaliação quantitativa de segurança, contida na íntegra
em Vismari (2007), para um dos principais conceitos presentes no CNS/ATM: a Vigilância
Dependente Automática por Radiodifusão (ADS-B).
Este artigo está estruturado da seguinte forma: o item 3 apresenta, em linhas gerais, a
metodologia utilizada nesta avaliação, proposta em Vismari (2005) e desenvolvida na íntegra
em Vismari (2007). O item 4 apresenta as características principais dos sistemas analisados,
sobretudo o ADS-B e o GNSS, bem como os principais resultados obtidos pela análise. O
item 5 discute os resultados apresentados, e o item 6 faz algumas conclusões sobre o impacto
do CNS/ATM sobre o sistema de controle de tráfego aéreo.
2. METODOLOGIA
O método de avaliação utilizado neste trabalho, cuja idéia inicial foi proposta em Vismari
(2005) e desenvolvida na íntegra em Vismari (2007), é constituído pela união dos métodos
“absoluto” e “relativo” de avaliação de risco preconizados pela Organização de Aviação Civil
Internacional (ICAO, 1998b), pelo emprego do formalismo das redes de Petri Fluidas e
Estocásticas (RPFE) no processo de modelagem matemática contido no método absoluto, e
pela comparação entre os valores de métricas de segurança estimados para o sistema em
619
Sitraer 7 (2008) 617-628 – Tr. 511
avaliação (sistema proposto) e para um sistema legado, conhecido como seguro. Demonstrouse que este método potencializa as qualidades individuais dos métodos “absoluto” e “relativo”
da OACI, e maiores detalhes podem ser encontrados em Vismari (2007).
Em resumo, o método proposto é constituído das seguintes etapas:
A.
Definição dos elementos funcionais e dos parâmetros a serem considerados em
comum tanto na modelagem e na análise do sistema em avaliação (denominado como
“sistema proposto”) quanto do “sistema de referência” (um sistema legado
previamente definido como seguro);
B.
Definição dos critérios de avaliação, onde se definem quais as métricas de segurança
que serão utilizadas em comum entre os modelos desenvolvidos;
C.
Aplicação do processo de avaliação de risco absoluto para cada um dos sistemas
(proposto e referência), produzindo estimativas para as métricas de segurança
definidas na etapa B;
D.
Confrontam-se os valores obtidos para o sistema proposto com os valores obtidos para
o sistema de referência. O sistema proposto será considerado seguro caso seu risco
estimado seja menor ou igual ao risco estimado para o sistema de referência.
Em ambos os modelos de avaliação gerados no processo de análise (para o sistema proposto e
para o sistema legado), devem existir os mesmo macro-elementos funcionais do sistema de
tráfego aéreo, tal como os ilustrados na Figura 2. A partir da definição dos elementos do
sistema (etapa A), definem-se quais são os parâmetros funcionais relacionados aos mesmos,
comuns a cada sistema, e considerados importantes à análise. O item 4 (Estudo de Caso)
apresenta os parâmetros funcionais principais utilizados para os elementos em análise.
3. ESTUDO DE CASO
Os elementos-chave do paradigma CNS/ATM que virão a promover o aumento da capacidade
do tráfego aéreo estão baseados, sobretudo, na existência de dois elementos principais:
a. um sistema de global de navegação por satélites (Global Navigation Satellite System GNSS), que proverá tanto a funcionalidade de navegação às aeronaves quanto
informações de vigilância ao sistema de tráfego aéreo (ATCo) e,
b. na existência de uma rede de telecomunicações aeronáuticas (Aeronautical
Telecommunication Network – ATN) que seja capaz de trafegar, de forma segura e
eficiente, toda a informação aeronáutica, em formato digital, entre os diversos usuários
do sistema.
Um dos conceitos pertencentes à ATN é a Vigilância Dependente Automática por
Radiodifusão (ADS-B), definida pela OACI como um dos elementos da camada de aplicação
da rede de telecomunicações aeronáuticas (ATN) (ICAO, 1999). Esta aplicação permite a
distribuição por radiodifusão de informações de vigilância, de qualquer elemento
devidamente equipado, por meio de um enlace de dados, para qualquer elemento no raio de
cobertura do transmissor devidamente equipado. A ADS-B, além de ser considerada pela
própria OACI como “...an enabler of the global ATM operational concept bringing
substantial safety and capacity benefits ...” (ICAO, 2006), representa a fusão entre as
tecnologias de comunicação (o ATN) e navegação (o GNSS) e, juntamente com sistemas
automatizados em solo, permitirão grandes avanços para o gerenciamento de tráfego aéreo, tal
como a detecção e resolução automática de conflitos.
620
Sitraer 7 (2008) 617-628 – Tr. 511
O funcionamento pleno tanto da ADS-B quanto do GNSS serão cruciais para o cumprimento
da missão principal do CNS/ATM e, em conseqüência, para a evolução do sistema de tráfego
aéreo como um todo. Porém, a existência da ADS-B alterará, de forma significativa, os
conceitos de navegação e vigilância tal como conhecemos hoje. Além da ADS-B, por si só,
representar uma quebra significativa de paradigma devido à fusão entre os domínios da
comunicação e da navegação, ela também introduz uma forte interdependência entre os
domínios da navegação e da vigilância. No sistema de tráfego aéreo atual, existe um nítido
desacoplamento entre estes domínios, pois as tecnologias utilizadas para vigilância (Radares)
e para navegação (rádioauxílios, tais como o VOR, o DME e o NDB) são independentes entre
si. Já no caso do CNS/ATM, a vigilância estaria baseada na ADS-B, a qual será plenamente
depende das tecnologias utilizadas no domínio da navegação, tal como o GNSS.
Além da interdependência entre a navegação e a vigilância, criada pela ADS-B, outros
parâmetros sistêmicos sofrerão alterações conceituais significativas. Por exemplo, a vigilância
que, atualmente, é determinística e síncrona (dada às características dos sistemas radar),
passará a ter componentes de aleatoriedade e assincronismo, característicos nas redes de
comunicação digitais (neste caso, a ATN). O CNS/ATM trará, também, alterações na forma
de especificar e de lidar com os requisitos dos sistemas aeronáuticos. Por exemplo, com a
ADS-B como elemento de vigilância, as autoridades aeronáuticas deverão ter preocupações
tanto no domínio dos requisitos de vigilância (área de cobertura, tempo de atualização,
acurácia, entre outros) quanto nos requisitos de comunicação (tal como de manipulação das
mensagens, prioridade das mensagens e qualidade de serviço).
Portanto, e com base na metodologia exposta anteriormente, este trabalho avaliou dois
conceitos de sistemas de controle de tráfego aéreo (ATC), compostos pelos seguintes
elementos funcionais: Espaço Aéreo, Aeronave, Sistema de Navegação (incluindo as
características do Piloto), Sistema de Comunicação, Sistema de Vigilância, ATCo. As
diferenças adotadas entre o Sistema Proposto (paradigma CNS/ATM) e o Sistema de
Referência (ATC atual) estão nos elementos de Navegação e de Vigilância: no Sistema de
Referência, o elemento de Vigilância está baseado em Radares e a Navegação em
radioauxílios (VOR/DME); no Sistema Proposto (CNS/ATM), a vigilância estará baseada na
ADS-B e em navegação em satélites (GNSS). Em ambos os sistemas, os elementos Espaço
Aéreo, Aeronave, Sistema de Comunicação e ATCo possuem os mesmos parâmetros, para
critério de comparação. A Figura 3 ilustra, em alto nível, os sistemas considerados nesta
avaliação.
Figura 3 - Modelos dos Sistemas ATC de “Referência” e “Proposto” utilizados
3.1. Definição dos parâmetros dos elementos dos sistemas
621
Sitraer 7 (2008) 617-628 – Tr. 511
Foram definidos os seguintes parâmetros para os elementos comuns a ambos os sistemas:
Espaço Aéreo: foram consideradas pares de aeronaves, A1 e A2, trafegando em um mesmo
nível de vôo (altitude) e com mesmas velocidades (280kts) sobre duas rotas, A e B,
convergentes em 45º sobre um ponto de notificação Oz. Nesses vôos, as separações mínimas
planejadas entre aeronaves ocorrem quando a aeronave A1 atinge o ponto de notificação Oz.
Aeronaves: os parâmetros principais considerados para cada aeronave foram posição,
velocidade e proa. Então, o estado de cada aeronave “i” em um dado instante de tempo t é
definido como Ai(t) = (Pi(t), VTASi(t), ψi(t)). As aeronaves foram responsáveis por seguir
seus próprios planos de vôo, controlando ψi(t), utilizando sistemas de navegação a bordo
(piloto automático e Flight Management Computer (FMC)) e obedecendo as instruções dos
ATCo.
Controlador de Tráfego Aéreo (ATCo): foram consideradas sua disponibilidade para detectar
conflitos, o tempo gasto para tomar uma decisão e para comunicar as aeronaves envolvidas no
conflito. O processo de resolução dos conflitos inicia após o ATCo observar na sua tela de
vigilância um número sucessivo mínimo de pares de aeronaves tela com uma separação
menor do que o mínimo de separação adotado (5NM). O processo de resolução finaliza com a
comunicação da resolução do conflito aos pilotos.
Os parâmetros dos elementos de Navegação e Vigilância para o Sistema de Referência foram:
Navegação: considerou-se o elemento VOR/DME, cujo transmissor estava instalado no ponto de
notificação Oz. A acurácia do eixo radial foi representada por uma variável estatística, e o cone
de confusão considerada foi de 30º.
Vigilância: as posições das aeronaves fornecidas aos ATCo foram obtidas por meio de um Radar de
Vigilância Secundária (SSR) instalado à 200NM do ponto de notificação Oz. Os parâmetros
considerados para o SSR foram sua acurácia de posição (range e azimute), sua taxa de
atualização e a latência entre a obtenção da posição e sua apresentação ao ATCo. Os valores
dos parâmetros utilizados foram baseados em radares de vigilância de rota no Modo S (SSR
Mode S) (ICAO, 2004).
Os parâmetros dos elementos de Navegação e Vigilância para o Sistema Proposto
(CNS/ATM) foram:
Navegação: o posicionamento para navegação foi obtido por meio de receptores GNSS a bordo das
aeronaves. O parâmetro considerado foi a da acurácia das posições GNSS, cujos valores foram
definidos em Brooker (2004).
Vigilância: as posições de vigilância foram obtidas a partir dos receptores GNSS a bordo das
aeronaves (o mesmo utilizado no sistema de navegação) e trafegadas pela ATN (sistema ADS-B). Os
parâmetros considerados para a ADS-B foram sua taxa de atualização e sua latência entre a
obtenção da posição e sua apresentação ao ATCo. Os valores dos parâmetros utilizados foram
baseados em Brooker (2004). Diferentemente do sistema de referência, cujos parâmetros de
taxa de atualização e de latência são determinísticos, estes mesmos parâmetros foram
considerados estocásticos no ADS-B (tal como esperado para redes digitais de comunicação).
Além de avaliar o CNS/ATM em suas condições normais de funcionamento (valores dos
parâmetros dentro das especificações), planejou-se avaliá-lo em situações degradadas, com o
objetivo de determinar quais as situações operacionais em que o sistema proposto poderia
manter os mesmos níveis de segurança observados no sistema de referência. Como exemplo,
as condições normais de funcionamento utilizadas nesta avaliação foram:
622
Sitraer 7 (2008) 617-628 – Tr. 511
Para o elemento Navegação:
VOR: Cone de Confusão de 30º de diâmetro e Acurácia da Radial VOR recebida de
1.4º@95%.
GNSS: acurácia de posição (bidimensional) de 107,94m@95%.
Para o elemento Vigilância:
SSR: Acurácia do Azimute de 0,15º, Acurácia do Range de 250m, Taxa de Atualização de
Radar de 12s (determinística) e Latência de 0,5s (determinística)
ADS-B: Taxa de Atualização de 14,0@95% s e Latência de 1,2@95% s
Para os parâmetros que sofreram degradação de seus valores, utilizou-se:
Acurácia da Posição obtida por GNSS, nos intervalos de [50;400]m, [800;1600]m e de
[2000;4000]m (considerando os demais parâmetros em condições normais de
funcionamento);
Taxa de Atualização do ADS-B de [2,0; 34,0]s, considerando os demais parâmetros tanto
em condições normais de funcionamento quanto considerando com a acurácia da posição
GNSS altamente degradada (1,5NM@95%)
Para os sistemas em condições normais de funcionamento, realizou-se uma análise de
sensibilidade para o parâmetro “Norma de Separação Mínima” de 4,4NM a 5,8NM. No caso
da análise em condições degradadas, utilizou-se a Norma de Separação Mínima de 5,0NM.
3.2. Métricas de segurança adotadas
Para o escopo deste trabalho, seria desejável que fossem utilizadas métricas de risco de
colisão para se avaliar a segurança do sistema proposto, dado que a escolha de métricas de
risco de colisão é suportada pela própria Organização de Aviação Civil Internacional (OACI),
que aceita a perspectiva do risco de acidente na análise de segurança dos sistemas (Blom,
1998). Além disto, o evento “colisão entre aeronaves” é considerado um fator determinante na
avaliação da segurança do tráfego aéreo devido ao impacto social que causa (Profit, 1995).
Porém, o método de análise aqui proposto faz uso de simulação e, segundo Campos, Marques
(2002), é “virtualmente impossível” obter-se métricas de risco de colisão, por meio de
simulação, que possuam nível de significância aceitável. Isto é explicado pela baixa
freqüência esperada para a ocorrência deste tipo de evento (eventos raros).
Como forma de aumentar a significância dos resultados obtidos, Campos, Marques (2002)
propõem o uso de métricas de segurança alternativas, e relacionadas ao evento “risco de
colisão entre aeronaves”, que possuam maior freqüência de ocorrência. Desta forma, os
sistemas modelados foram simulados com o objetivo de estimar métricas de avaliação de
segurança relativas aos eventos de proximidade entre aeronaves (AIRPROX) que, dependendo
da norma de separação aplicada, constituem eventos de perda de separação mínima entre
aeronaves.
Vale ressaltar que o ambiente simulado considerou a capacidade do sistema de tráfego aéreo
em manter e detectar a perda da separação entre aeronaves baseado nos elementos que possui,
principalmente na vigilância e na navegação. Cada ambiente possui 2 processos: o processo
real (estado real das aeronaves) e o processo monitorado (o estado observado por meio dos
sistemas de supervisão e controle). Os eventos de AIRPROX serão avaliados sobre o processo
real, verificando-se em quais situações estes eventos podem ocorrer devido à ineficiência do
processo de supervisão e controle (ATC). As imprecisões dos valores de supervisão e controle
623
Sitraer 7 (2008) 617-628 – Tr. 511
são introduzidas sobre as variáveis de estado reais.
3.3. Resultados obtidos
Após as simulações de ambos os sistemas, proposto e de referência, foram obtidas
estimativas para as métricas adotadas e relacionadas a eventos de perda de separação entre
aeronaves (AIRPROX). Entre as diversas métricas obtidas neste processo de avaliação (cuja
íntegra pode ser observada em Vismari (2007)), a considerada como métrica principal de
segurança foi a que avaliou o tempo de exposição a situações de perda de separação entre
pares de aeronaves para distâncias inferiores a 3,5NM (denominada como “TLmin”).
Os resultados obtidos para “TLmin” estão ilustrados nas Figuras 4, 5 e 6.
A Figura 4 apresenta os resultados obtidos para a exposição à perda de separação em
condições normais de funcionamento, onde se realizou uma análise de sensibilidade sobre a
Norma de Separação Mínima aplicada pelo ATCo. As curvas “SR” são para o Sistema de
Referência e as curvas “SP” são para o Sistema Proposto. Cada curva ilustra a porcentagem
de tempo no qual pares de aeronaves ficaram expostos à separações inferires às indicas sobre
as curvas (3,5NM, 3,0NM e 2,5NM).
A Figura 5 apresenta os resultados obtidos para a exposição à perda de separação quando a
Taxa de Atualização da ADS-B estava degradada (e com acurácia de posição GNSS em
condições normais de funcionamento). Pode-se notar que não houve exposição à perda de
separação com valores menores ou iguais a 3,0NM.
A Figura 6 apresenta os resultados obtidos para a exposição à perda de separação quando a
Taxa de Atualização da ADS-B estava degradada (e com acurácia de posição GNSS também
degradada).
Figura 4 – Exposição à Perda de Separação para Condições Normais de Funcionamento
624
Sitraer 7 (2008) 617-628 – Tr. 511
Figura 5 - TLmin_i para Degradação da Taxa de Atualização com Acurácia GNSS Normal
Figura 6- TLmin para Degradação da Taxa de Atualização com Acurácia GNSS Degradada
4. DISCUSSÃO
Pode-se observar, por meio da Figura 4, que o Sistema Proposto (curvas “SP”) permite que as
aeronaves se exponham menos aos eventos de AIRPROX, para o caso de condições normais
de funcionamento, em relação ao Sistema de Referência (curvas “SR”). No Sistema Proposto,
não houve aproximações menores que 3,0NM entre aeronaves, e houve apenas uma pequena
parcela de tempo (menor que 0,04%, o que equivaleu a 1,2s de exposição) no qual ocorreram
aproximações entre 3,0NM e 3,5NM, para regras de separação entre 4,8NM e 5,4NM
(considerando que a menor separação planejada foi de 5,0NM). Já no Sistema de Referência,
houve uma significativa parcela de aproximações (0,25% do tempo, o que equivale a 8s de
exposição) para distâncias menores que 2,5NM, e aproximadamente 18,5s de exposição para
distâncias de separação inferiores a 3,5NM.
No caso de condições degradadas da taxa de atualização ADS-B, tanto para as condições
normais de acurácia do GNSS quanto para as degradadas (Figuras 5 e 6), os tempos de
625
Sitraer 7 (2008) 617-628 – Tr. 511
exposição à AIRPROXes no Sistema Proposto são menores que os 0,25% obtidos do Sistema
de Referência (valor utilizado como nível-alvo de segurança – TLS – do processo de
avaliação).
Devido os resultados obtidos para o Sistema Proposto (SP) serem menores que os obtidos
para o Sistema de Referência (SR), pode-se observar que, caso se deseje obter o mesmo nível
de exposição obtido no Sistema Proposto em condições normais de funcionamento, deve-se
manter a Taxa de Atualização do ADS-B menor que 20s, no caso da acurácia do GNSS for
considerada normal, ou manter a Taxa de Atualização do ADS-B menor que 2s, no caso da
acurácia do GNSS for considerada altamente degradada (1,5NM@95%).
Desta forma, pode-se considerar o Sistema Proposto, para as condições apresentadas, seguro,
pois a taxa de atualização esperada para o ADS-B utilizando data link 1090ES (ICAO, 2003)
é de 1s, além dos níveis de degradação esperados para a Acurácia de posição do GNSS serem
menores que 600m. Outra constatação importante é que o valor de acurácia mínima obtido
neste estudo concorda com o valor de NACp (Navigation Accuracy Category for position)
maior ou igual a 6 apresentado por Brooker (2004), que define uma “acurácia” menor que
0,3NM (556 metros) para uso do ADS-B em serviços de vigilância ATC. Assim, reafirma-se
que é necessário uma acurácia de posição GNSS menor que 0,3NM para que o ADS-B possa
ser utilizado no Serviço de Controle de Tráfego Aéreo.
5. CONCLUSÕES
Os conceitos introduzidos pelo paradigma CNS/ATM, tais como navegação por satélites e o
uso de tecnologias digitais de comunicação, visam possibilitar uma melhoria significativa na
qualidade das informações disponíveis aos usuários do Sistema de Tráfego Aéreo, com
conseqüente aumento da consciência situacional por parte dos operadores do sistema
(controladores de tráfego aéreo – ATCo – e pilotos), permitindo a redução das separações
aplicadas e, conseqüentemente, o aumento da eficiência no uso do espaço aéreo e o aumento
da capacidade de tráfego como um todo. Porém, devido à segurança (safety) ser um dos
requisitos primários a serem respeitados pelo sistema de tráfego aéreo, a redução nos valores
de separação entre aeronaves age contra os esforços para o aumento de sua capacidade, pois,
como efeito adverso, a redução nos valores de separação aplicados aumenta a exposição das
aeronaves a possíveis colisões.
Desta forma, esforços devem ser aplicados com a finalidade de garantir que o CNS/ATM
cumpra o objetivo de aumentar a capacidade do Sistema de Tráfego Aéreo e ao mesmo tempo
garanta (ou mesmo melhore) seus níveis de segurança. Neste sentido, e conforme as
definições do Programa de Transição do SISCEAB para os Sistemas CNS/ATM do
Departamento de Controle do Espaço Aéreo (DECEA, 2003), é necessário determinar o “...
impacto dos novos conceitos nos diversos serviços (de tráfego aéreo) prestados” por meio de
atividades focadas na “... determinação dos parâmetros associados ao modelo utilizado para
determinação do risco de colisão em espaços aéreos onde se aplica a redução da separação
...”, na “... determinação dos riscos de colisão associados às operações no espaço aéreo ...” e
na “... realização de comparações dos riscos obtidos com os limites de riscos aceitos ...”,
entre outras atividades (DECEA, 2003).
Portanto, este trabalho propôs avaliar qual o impacto que o uso do conceito de Vigilância
Dependente Automática, mais especificamente sua forma por Radiodifusão (ADS-B),
causaria sobre os níveis de segurança do Sistema de Controle de Tráfego Aéreo. O estudo
centrou-se na relação entre os paradigmas de vigilância “atual” (baseado em Radares, com
626
Sitraer 7 (2008) 617-628 – Tr. 511
fortes características de independência, determinismo e sincronismo) e “futuro” (baseado na
ADS-B, com fortes características de interdependência, aleatoriedade e assincronismo) e o
nível de exposição das aeronaves a eventos de perda de separação (AIRPROX). Para realizar
esta avaliação, utilizou-se do método proposto em Vismari (2007), que, em resumo, é uma
evolução das metodologias de avaliação de risco “Absoluta” e “Relativa” preconizados pela
Organização de Aviação Civil Internacional (ICAO, 1998b).
Nesta avaliação de segurança realizada para o CNS/ATM, vale frizar que foram considerados
para o Sistema Proposto modelado (ambiente CNS/ATM), e como valores em condições
normais de funcionamento, os piores valores especificados para a ADS-B na bibliografia, a
saber:
Acurácia da navegação por satélites (GPS) de 86,44m com probabilidade de 95%
(86,44m@95%) por dimensão do espaço aéreo;
Taxa de Atualização das mensagens ADS-B de 14s@95%; e
Latência na recepção das mensagens ADS-B de 1,2s@95% .
Mesmo considerando estes valores para o sistema ATC baseado em ADS-B, verificou-se que
o risco de exposição de pares de aeronaves a separações menores que 3,5 milhas náuticas
(NM), dado que a norma de separação aplicada foi de 5NM, foi reduzido em
aproximadamente 93%, comparado ao Sistema de Referência (ATC atual). A melhoria na
aderência aos planos de vôo e na qualidade das informações de vigilância providas ao ATCo
fez com que se reduzisse, significativamente, a exposição das aeronaves a incidentes de perda
de separação (AIRPROXes).
Portanto, segundo os resultados obtidos para o cenário considerado nesta avaliação, pode-se
concluir que, mesmo tornando interdependentes os elementos de Navegação e Vigilância do
sistema de controle de tráfego aéreo e influenciando a obtenção dos dados de vigilância de
forma assíncrona e estocástica, a Vigilância Dependente Automática por Radiodifusão (ADSB) é uma aplicação viável, do ponto de vista da segurança, para os sistemas de vigilância
aplicados no Sistema de Controle de Tráfego Aéreo (ATC). Além disto, devido à
interdependência entre os elementos de vigilância e navegação, observou-se que é possível
compensar a presença de degradação do parâmetro de acurácia de posição do GNSS causada,
por exemplo, por fenômenos atmosféricos, com o aumento da taxa (freqüência) de atualização
das informações de vigilância.
Como comentário geral sobre a aplicação prática da ADS-B, observou-se que diversos países,
com destaque para Austrália e Estados Unidos, estão com cronogramas avançados quanto ao
desenvolvimento e implantação de seus sistemas de vigilância ADS-B. Guardando
características de similaridade em relação às dimensões territoriais continentais, a não
homogeneidade da distribuição populacional e, principalmente, às faixas de latitudes em que
se encontra (com influências semelhantes sobre acurácia e integridade de sinais de GNSS),
seria recomendável que o Brasil seguisse o exemplo da Austrália quanto ao uso da ADS-B
sobre seu território. Os baixos custos de implementação da ADS-B em comparação à
implementação de Radares (AU$6M para SSR contra AU$ 380K para a ADS-B em rota,
segundo Dunstone (2007)), associados à boa cobertura de torres de comunicação já existente
em território nacional e ao estado de normalização atual dos enlaces de comunicação digitais
(data link) padrão 1090ES permitem que Brasil possa caminhar no sentido da plena
implementação do paradigma CNS/ATM.
627
Sitraer 7 (2008) 617-628 – Tr. 511
Agradecimentos
Nossos agradecimentos ao LCCA (Laboratório de Computação Científica Avançada) da Universidade de São
Paulo por nos disponibilizar a infra-estrutura computacional (Cluster Linux Alcateia) utilizada na simulação do
estudo de caso apresentado neste trabalho.
REFERÊNCIAS BIBLIOGRÁFICAS
Bloom, H.A.P et al. (1998) Accident Risk Assessment for Advanced ATM. 2th USA/EUROPE AIR TRAFFIC
MANAGEMENT R&D SEMINAR, Orlando.
Brooker, P. et al (2004) Separations Standards in an ADS-B Environment – Final Report. Helios Technology
Inc. and Eurocontrol.
Campos, L.M.B.C., Marques, J.M.G. (2002) On Safety Metrics related to Aircraft Separation. The Journal of
Navigation, 55, 39-63.
DECEA (2003) Programa de Transição do SISCEAB para os Sistemas CNS/ATM. Comando da Aeronáutica –
Departamento de Controle do Espaço Aéreo, Brasil.
Dunstone, G., Owusu, K., Hewitt, K. (2007) Comparison of Surveillance Technologies – Information Paper 8.
ADS-B IMPLEMENTATION TEAM (ABIT), 10TH MEETING, Camberra, Australia.
ICAO (1998a) Air Traffic Services Planning Manual (Doc 9426). Internacional Civil Aviation Organization,
Montreal.
ICAO (1998b) Manual on Airspace Planning Methodology for the Determination of Separation Minima (Doc
9689). Internacional Civil Aviation Organization, Montreal.
ICAO (1999) Manual of Technical Provisions for the Aeronautical Telecommunication Network
(Doc.9705/AN956). Internacional Civil Aviation Organization, Montreal.
ICAO (2000) Global Air Navigation Plan for CNS/ATM Systems (Doc. 9750). 1a edição. Internacional Civil
Aviation Organization, Montreal.
ICAO (2003) Comparative Analysis of ADS-B Data links – Information Paper 12. 11TH AIR NAVIGATION
CONFERENCE . Internacional Civil Aviation Organization, Montreal.
ICAO (2004) Manual on the Secondary Surveillance Radar (SSR) Systems (Doc 9684). 3a edição. Internacional
Civil Aviation Organization, Montreal.
ICAO (2006) A Regional Approach to Accelerate ADS-B Implementation – Information Paper 10. 5TH
MEETING ALLPIRG / ADVISORY GROUP. Internacional Civil Aviation Organization, Montreal.
Profit, R. (1995) Systematic Safety Management in the Air Traffic Services. Euromoney Publications, London.
Vismari, L.F., Camargo Jr, J.B. (2005) Evaluation of the impact of new technologies on aeronautical safety: an
approach through modelling, simulation and comparison with legacy systems. Journal of Brazilian Air
Transportation Research Society, n.1, 19-30.
Vismari, L.F. (2007) Vigilância Dependente Automática no Controle de Tráfego Aéreo: avaliação de risco
baseada em Redes de Petri Fluidas e Estocásticas. Dissertação (Mestrado). Escola Politécnica,
Universidade de São Paulo. São Paulo.
CONTATO DOS AUTORES (CONTACT AUTHORS)
Correio Regular (regular mail):
Prof. Dr. João Batista Camargo Junior.
Departamento de Engenharia da Computação e Sistemas Digitais. Avenida Prof. Luciano Gualberto,
Trav.3, n.158. Prédio da Engenharia de Eletricidade. São Paulo, Brasil. CEP: 05508-900.
Telefone e Fax (phone and fax):
Fone: +55 11 3091-5401, +55 11 3091-5734.
Fax: +55 11 3091-5294, +55 11 3813-7415.
Email: [email protected], [email protected]
628