⚡ electrical engineering

A Choquet–Sugeno Framework for Non-Additive Variability Quantification in FRAM: An Aviation Safety Application

Este artigo propõe uma nova estrutura Choquet–Sugeno integrada com um protocolo AHP impulsionado por IA para quantificar a variabilidade não aditiva no Método de Análise de Ressonância Funcional (FRAM), demonstrando, por meio de um estudo de caso de segurança de aviação, que esta abordagem captura riscos sistêmicos invisíveis aos modelos aditivos tradicionais.

Autores originais: Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Publicado 2026-08-04

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Joao Guilherme Fowler, Moacyr Machado Cardoso Júnior

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está tentando entender por que uma máquina complexa, como uma nave espacial gigante ou um aeroporto movimentado, às vezes sofre acidentes. Por muito tempo, especialistas em segurança olharam para essas máquinas como uma fileira de dominós. Eles pensavam: "Se um dominó cair (um erro acontece), ele pode derrubar o próximo e, eventualmente, toda a linha cai". Isso é chamado de uma visão "aditiva": você apenas soma todos os pequenos erros para encontrar o perigo total. Mas, no mundo real, as coisas são mais bagunçadas. Às vezes, dois pequenos erros não apenas se somam; eles se multiplicam. É como misturar bicarbonato de sódio e vinagre: separadamente, são inofensivos, mas juntos, criam uma explosão gigante de espuma. Isso é chamado de risco "não aditivo" ou "ressonante".

O artigo que estamos analisando vem do campo da Engenharia de Resiliência, que estuda como sistemas complexos (como a aviação) lidam com surpresas. Ele utiliza uma ferramenta chamada FRAM (Método de Análise de Ressonância Funcional), que mapeia todos os diferentes trabalhos que um sistema deve realizar e como eles se comunicam. O grande problema do FRAM sempre foi que ele é ótimo para desenhar imagens de como as coisas poderiam dar errado, mas é péssimo em fornecer um número de o quão mal seria. É como ter o mapa de uma tempestade, mas sem nenhuma forma de medir a velocidade do vento. Este artigo tenta corrigir isso trazendo uma matemática sofisticada chamada integral de Choquet e medidas de Sugeno. Pense nisso como uma calculadora superinteligente que não apenas soma números; ela entende que alguns erros tornam outros erros muito piores, enquanto outros podem, na verdade, se cancelar. Os autores querem saber: podemos finalmente colocar um número preciso nesta confusão "explosiva" de erros para ajudar a manter os aviões seguros?

A Grande Ideia do Artigo: A Calculadora de "Explosões"

Os autores, João Guilherme Fowler e Moacyr Machado Cardoso Júnior, construíram um novo framework que mistura o mapa FRAM com esta matemática especial. Eles chamam o método de Framework Choquet–Sugeno. Em vez de apenas dizer "Erro A mais Erro B é igual a um dia ruim", seu novo método pergunta: "O quanto o Erro A e o Erro B amplificam um ao outro?".

Para testar isso, eles construíram um modelo digital de um trabalho de alto risco muito específico em um aeroporto: liberar uma pista para um veículo cruzar enquanto um avião está pousando ou decolando. Esta é uma dança perigosa onde um veículo terrestre e uma máquina voadora não devem se encontrar. Eles usaram sua nova matemática para analisar três desastres reais da aviação que ocorreram ao longo de 40 anos:

Aeroflot Voo 3352 (1984): Um avião colidiu com veículos de manutenção na pista na Rússia.
LATAM Airlines Peru Voo 2213 (2022): Um avião atingiu um caminhão de bombeiros durante a decolagem em Lima.
Jazz Aviation Voo 646 (2026): Um avião colidiu com um caminhão de bombeiros durante o pouso em Nova York (LaGuardia).

O Que Eles Descobriram: O Perigo Escondido do "Trabalho em Equipe"

A coisa mais emocionante que este artigo descobriu é que a matemática tradicional ignora uma enorme parte do perigo.

Quando os autores calcularam o risco usando a matemática "aditiva" tradicional (apenas somando os erros), obtiveram um determinado número. Mas quando usaram sua nova matemática Choquet–Sugeno, o índice de risco saltou significativamente. Eles descobriram que o "trabalho em equipe" entre os erros — onde duas funções falham ao mesmo tempo e tornam uma à outra pior — responde por 10,9% a 16,5% do risco total.

Isso é algo grandioso. Significa que, se você olhar apenas para erros individuais, estará cego para quase um sexto do perigo real. O artigo argumenta que esse "risco invisível" é a razão pela qual alguns acidentes acontecem mesmo quando nenhuma pessoa cometeu um erro catastrófico. É a combinação de pequenos erros que cria o desastre.

A Estrela do Show: O Cérebro do Controlador

Em seu modelo, eles identificaram um trabalho específico como o "hub" mais importante de todo o sistema: Consciência Situacional do ATC (F1). Isso é, basicamente, a capacidade do Controlador de Tráfego Aéreo de saber exatamente onde cada avião e veículo está o tempo todo.

Usando uma ferramenta matemática chamada valor de Shapley (que mede o quanto cada parte contribz para o todo), descobriram que esta função específica é responsável por 36,7% do risco total. Isso é mais do que o dobro da contribuição do segundo trabalho mais importante!

A Lição: Se o controlador perde sua "visão ampla" (talvez por estar cansado, distraído ou devido a um rádio ruim), todo o sistema torna-se incrivelmente frágil. O artigo sugere que corrigir esta área específica — manter a atenção do controlador aguçada e suas informações claras — é a maneira mais eficaz de prevenir esses acidentes.

As "Barreiras" Que Não Funcionaram

O modelo também observou os sistemas de segurança, como o RIMCAS (um sistema de radar que avisa os controladores se um veículo estiver na pista). No acidente de 1984, esse sistema não existia. Nos acidentes de 2022 e 2026, ele existia, mas estava "degradado" (não estava funcionando perfeitamente, talvez porque os veículos não possuíam os transponders corretos).

A matemática mostrou que, quando a consciência do controlador (F1) e a travessia do veículo (F5) falharam, o sistema de segurança (F8) foi sobrecarregado. É como ter um único extintor de incêndio em uma sala onde dez incêndios começaram ao mesmo tempo. O artigo descobriu que as barreiras de segurança foram capazes de compensar apenas uma fração minúscula do risco porque o "trabalho em equipe" das falhas era muito forte. Os autores sugerem que simplesmente atualizar a tecnologia (como dar aos veículos melhores transponders) é a melhor maneira de corrigir isso, mas apenas se a consciência do controlador também for protegida.

A Armadilha do "Fluxo de Baixo" (Downstream)

Outra descoberta surpreendente foi sobre a Comunicação e Repetição (F7). Em muitos modelos de segurança, pensa-se que, se um piloto ou motorista repete uma mensagem, isso atua como uma rede de segurança para capturar erros. Mas o modelo deste artigo mostra que, neste sistema específico, a comunicação é apenas um mensageiro, não um guarda.

Se o controlador (F4) comete um erro e dá a permissão errada, a pessoa que a repete (F7) apenas transmite essa permissão errada adiante. Eles não podem corrigir o erro porque estão apenas repetindo o que lhes foi dito. O artigo argumenta que não devemos gastar dinheiro tentando tornar o "mensageiro" perfeito se o "chefe" (a decisão de autorização) estiver quebrado.

O Veredito

Os autores são muito claros: seu método é uma simulação baseada em opiniões de especialistas e dados históricos, não uma varinha máica que resolve todos os problemas de segurança. No entanto, eles estão confiantes de que sua matemática é sólida. Eles provaram que as interações não aditivas (a mistura explosiva de erros) são reais e mensuráveis.

Ao usar este novo framework, os gestores de segurança podem parar de adivinhar e começar a ver exatamente onde a "ressonância" acontece. Eles podem ver que o LATAM Voo 2213 foi o caso mais perigoso (com um índice de risco de 0,710) porque cada uma das partes do sistema teve um problema ao mesmo tempo, criando a maior explosão possível de risco. Em contraste, o acidente de 1984 foi profundo, mas estreito; apenas algumas partes falharam, então a "ressonância" total foi menor.

Em resumo, este artigo nos dá uma nova lente para olhar a segurança. Ele nos diz que, em sistemas complexos, 1 + 1 não é igual a 2; às vezes, é igual a 10. E se quisermos manter os céus seguros, precisamos parar de contar os dominós e começar a medir as explosões.

Resumo Técnico: Uma Estrutura de Choquet–Sugeno para Quantificação de Variabilidade Não Aditiva em FRAM

Problema
O Método de Análise de Ressonância Funcional (FRAM) é um método qualitativo amplamente adotado para modelar o surgimento de riscos em sistemas sociotécnicos complexos, postulando que acidentes surgem da "ressonância funcional" não linear de variabilidades em funções de sistemas acoplados. No entanto, a natureza predominantemente qualitativa do método limita sua utilidade em contextos que exigem índices de risco quantitativos para conformidade regulatória e suporte à decisão. As extensões quantitativas existentes do FRAM (ex: simulações de Monte Carlo, Redes Bayesianas ou representações probabilísticas formais) sofrem de uma limitação estrutural crítica: elas pressupõem que as contribuições de aspectos dentro de uma função, ou de funções em si, agregam-se de forma independente ou aditiva. Essa premissa contradiz o princípio fundamental do FRAM, que se baseia em interações não lineares e sinérgicas onde o todo excede a soma das partes. Consequentemente, os métodos atuais falham em capturar formalmente o "ganho de ressonância" produzido por degradações simultâneas e não aditivas, tornando uma parte significativa do risco sistêmico invisível para modelos lineares.

Metodologia
Este artigo propõe uma integração formal da integral de Choquet em relação a uma medida de Sugeno ao framework FRAM para abordar a lacuna da não aditividade. A metodologia opera através de um processo de seis etapas:

Construção do Modelo FRAM: O sistema é definido como um conjunto de funções com seis aspectos (Entrada, Saída, Precondições, Recursos, Controles, Tempo). Coeficientes representando a proporção de variabilidade transmitida são atribuídos aos acoplamentos direcionados entre as funções.
Elicitação de Densidades de Aspectos por Especialistas: Um protocolo estruturado de cinco fases, implementado via um agente de IA customizado, é utilizado para elicitar densidades de Sugeno ( $g_i$ ). Este processo utiliza o Processo de Hierarquia Analítica (AHP) em uma escala Saaty de 1–9 para determinar pesos relativos, impõe uma Razão de Consistência (CR < 0,10) em tempo real e determina o regime de interação (superaditivo, aditivo ou subaditivo) para computar o parâmetro de Sugeno $\lambda$ .
Acumulação de Variabilidade Intra-Função: Para cada função, um Índice de Acumulação de Variabilidade (VAI) é computado usando a integral de Choquet discreta. Isso agrega as variabilidades dos aspectos enquanto considera suas interações sinérgicas ou redundantes definidas pela capacidade $\mu$ .
Propagação Inter-Função: Os VAIs de nível de função são propagados através da rede usando um operador probabilístico OR, modelando como a variabilidade flui de funções a montante (upstream) para funções a jusante (downstream).
Agregação ao Nível do Sistema: Uma integral de Choquet de segunda ordem agrega os VAIs propagados no nível do sistema. Esta etapa utiliza densidades de nível de sistema e coeficientes de interação para capturar a ressonância não aditiva entre funções.
Interpretação e Intervenção: O framework emprega valores de Shapley para decompor o risco total do sistema, identificando funções dominantes e quantificando o "ganho de ressonância" — o risco adicional atribuível exclusivamente às interações não aditivas.

Principais Contribuições

Primeira Integração Formal: Este trabalho apresenta a primeira integração da integral de Choquet dentro dos aspectos de função do FRAM, fornecendo um mecanismo matematicamente rigoroso para quantificar interações não aditivas.
Protocolo de Elicitação Estruturado: O desenvolvimento de um protocolo baseado em AHP de cinco fases, executado por um agente de IA, permite a elicitação consistente e em tempo real de capacidades de Sugeno, garantindo coerência matemática e validação de especialistas.
Quantificação do Risco Invisível: O framework quantifica explicitamente o componente de risco que é "estruturalmente invisível" para modelos aditivos, distinguindo entre a profundidade de falhas individuais e a amplitude da ressonância sistêmica.
Análise Topológica: A aplicação de valores de Shapley e índices de interação de Murofushi–Soneda no contexto do FRAM permite a identificação de hubs topológicos e a reavaliação de papéis funcionais (ex: distinguindo entre barreiras e nós de transmissão).

Resultados: Estudo de Caso de Travessia de Veículo em Pista de Pouso
O framework foi validado utilizando um modelo FRAM de nove funções do processo de travessia de veículo em pista, analisado contra três incidentes históricos da aviação: Aeroflot Flight 3352 (1984), LATAM Airlines Peru Flight 2213 (2022) e Jazz Aviation Flight 646 (2026).

Driver de Risco Dominante: A análise de Shapley identificou a "Consciência Situacional do ATC" (F1) como o hub topológico e o principal driver de risco ( $\phi_1 = 0,367$ ), com um grau de acoplamento de 11. A degradação desta função foi o principal facilitador de falhas a jusante em todos os três incidentes.
Quantificação de Risco Não Aditivo: Interações não aditivas entre pares de funções simultaneamente degradadas representaram de 10,9% a 16,5% do índice de risco de Choquet total para cada incidente. Este "ganho de ressonância" é inteiramente ausente em modelos aditivos.
Classificação de Incidentes: O framework classificou o LATAM 2213 como o incidente de maior risco ( $C_\mu = 0,710$ ), impulsionado pela variabilidade simultaneamente não nula em todas as nove funções, criando a mais ampla resência sistêmica. O Aeroflot 3352 ( $C_\mu = 0,644$ ) demonstrou que uma falha individual profunda, sem ampla acoplagem sistêmica, resulta em menor risco de ressonância agregada comparado ao LATAM.
Insights Estruturais: O modelo revelou que a "Comunicação e Confirmação" (F7) atua como um nó de transmissão a jusante, em vez de uma barreira de verificação a montante, pois recebe autorização da função de liberação (F4) como seu principal input. Adicionalmente, descobriu-se que a capacidade protetiva do sistema RIMCAS (F8) foi insuficiente para compensar a amplificação sinérgica de dez acoplamentos ativos quando o próprio F8 estava degradado.

Significância e Alegações
O artigo afirma que este framework aborda uma lacuna metodológica crítica na literatura quantitativa de FRAM ao fornecer uma ferramenta tratável e teoricamente fundamentada para a quantificação de resiliência que preserva a lógica de ressonância não linear do método original. Os autores sustentam que a integral de Choquet, elicitada através de seu protocolo estruturado, permite a derivação de um índice de resiliência sistêmica quantitativo que modelos aditivos não conseguem recuperar.

A significância do trabalho reside em sua capacidade de:

Formalizar a Ressonância: Ir além de descrições qualitativas para modelar matematicamente a amplificação de variabilidades.
Priorizar Intervenções: Utilizar a decomposição de Shapley para fornecer uma base quantitativa ranqueada para intervenções de segurança que reflete a estrutura sinérgica do risco, em vez de tratar as funções como contribuintes independentes.
Unir Teoria e Prática: Oferecer um framework implementável em código de código aberto (base R) que escala para modelos complexos (até 12 funções) dentro de um único dia de trabalho de elicitação estruturada, tornando a análise de risco não aditivo acessível aos profissionais.

Os autores concluem que a integração da integral de Choquet com o FRAM não é meramente um refinamento teórico, mas uma evolução necessária para sistemas críticos de segurança onde a interação de variabilidades, e não sua soma, determina a segurança do sistema.