Diretrizes para identificação e análise de fontes de resiliência e fragilidades: estudo de caso em duas empresas de táxi-aéreo

A framework for identifying and analyzing sources of resilience and brittleness: a case study of two air taxi carriers

Diretrizes para identificação e análise de fontes de resiliência e fragilidades: estudo de caso em duas empresas de táxi-aéreo

A framework for identifying and analyzing sources of resilience and brittleness: a case study of two air taxi carriers

Guido César Carim Junior^I,*; Tarcisio Abreu Saurin^II

^[e-mail], UFRGS, Brasil

^[e-mail], UFRGS, Brasil

RESUMO

O crescente interesse pela engenharia de resiliência (ER) como um paradigma para a gestão da segurança em sistemas sociotécnicos complexos tem demandado métodos para que sejam realizadas avaliações sob essa perspectiva. Nesse contexto, o presente artigo apresenta diretrizes para identificar e analisar fontes de resiliência (FR) e fontes de fragilidades (FF) com impacto na segurança das operações. Inicialmente deve ser realizada uma descrição do sistema sociotécnico, explicitando as práticas informais que garantem a manutenção da sua operação. Em seguida deve ser elaborado e aplicado um protocolo para avaliar o uso de quatro princípios da ER. Uma vez identificadas, as fontes devem ser analisadas segundo cinco categorias: FR ou FF oposta; risco da FF; eficácia da FR; origem interna ou externa; origem formal ou informal. Um estudo de caso em duas empresas de táxi-aéreo ilustra a aplicação das diretrizes, salientando suas limitações, benefícios teóricos e práticos.

Palavras-chave: Engenharia de resiliência. Fragilidades. Adaptações. Sistemas complexos. Táxi-aéreo.

ABSTRACT

The increasing interest in resilience engineering (RE) as a safety management paradigm for complex systems has demanded methods for undertaking safety assessments from its perspective. Thus, this article introduces a framework for identifying and analyzing sources of resilience (SR) and sources of brittleness (SB) that have an impact on safety. Firstly, a description of the socio-technical system should be performed, giving visibility to the informal practices that maintain the system operational. Next, a protocol to assess the use of four RE principles should be designed and applied. Based on the data generated in the previous stages, the sources might be identified and analyzed across five categories: the opposite SR or SB; the risk of the SB; the effectiveness of the SR; either originated from internal processes or external environment; either originated from formal or informal practices. A case study of two air taxi carriers illustrates the application of the framework, providing a basis on which one may discuss their drawbacks, practical and theoretical insights.

Keywords: Resilience engineering. Brittleness. Adaptations. Complex systems. Air taxi carriers.

1. Introdução

Sob o ponto de vista acadêmico, as inovações em relação às atuais práticas de gestão da segurança vêm sendo desenvolvidas em diversas comunidades de prática. Tais comunidades podem ser entendidas como grupos de pesquisadores, e por vezes práticos, que definem uma linguagem e uma agenda de pesquisa em comum, tratando um determinado assunto sob uma perspectiva que parcialmente difere e parcialmente se sobrepõe àquelas usadas por outras comunidades (HOFFMAN; MILITELLO, 2009). Este trabalho é alinhado com a comunidade de prática denominada engenharia de resiliência (ER), a qual tem relacionamentos com outras comunidades que em maior ou menor grau têm implicações sobre a segurança, tais como organizações de alta confiabilidade, engenharia de sistemas cognitivos, sistemas complexos e cultura de segurança.

A ER pode ser definida como um paradigma de gestão da segurança que tem como objetivo identificar, analisar e melhorar a resiliência de sistemas (NEMETH; HOLLNAGEL; DEKKER, 2009). A resiliência, por sua vez, é a capacidade do sistema de antecipar eventos indesejados (dimensão proativa), ajustar e recuperar o desempenho para manter as operações mesmo após a ocorrência de tais eventos (dimensão reativa) (HOLLNAGEL; NEMETH; DEKKER, 2008). Embora as aplicações do conceito de resiliência à segurança sejam recentes, o mesmo é utilizado há muitos anos em outros contextos, como na psicologia, na ecologia e em engenharia dos materiais. Em todas essas áreas, a investigação da resiliência tem o propósito de compreender a capacidade de sobrevivência, adaptação e recuperação de um sistema, seja ele um ecossistema, um material, a psique humana ou uma organização (HOLLNAGEL; WOODS; LEVESON, 2006).

O crescente interesse pela engenharia de resiliência (ER) tem demandado diretrizes para a identificação e análise sistemática das fontes de resiliência (FR) e de seu oposto, as fontes de fragilidades (FF) - neste artigo, a palavra "fragilidade" é utilizada como tradução de brittleness, termo que os estudos pioneiros da ER (HOLLNAGEL; WOODS; LEVESON, 2006) têm usado para designar o oposto da resiliência. Contudo, algumas avaliações da resiliência em organizações não usam nenhuma estrutura analítica explícita (GOMES et al., 2009; MOREL; AMALBERTI; CHAUVIN, 2009), dificultando a comparação dos resultados e replicação dos estudos por outros pesquisadores. Outros estudos, embora apresentem tais estruturas analíticas, usam-nas para investigar a resiliência em áreas pré-determinadas da organização, tais como o sistema de gestão da segurança (SAURIN; CARIM JÚNIOR, 2011; HALE; HEIJER, 2006).

O presente estudo apresenta diretrizes para identificar e analisar FR e FF, as quais não restringem, a priori, limites dentro dos quais as fontes devem ser identificadas. Assim, as diretrizes foram concebidas para que pudessem ser usadas em conjunto, na sua totalidade ou parcialmente, com outros métodos de avaliação da resiliência. A aplicação das diretrizes é ilustrada por meio de um estudo de caso em duas empresas de táxi-aéreo. Esse serviço é utilizado, principalmente, quando se necessita de transporte aéreo para localidades não atendidas pelo transporte aéreo regular ou para o conforto (SHEEHAN, 2003).

Esse cenário foi escolhido visto que tanto a atividade de operação de aeronaves quanto o setor da aviação como um todo são amplamente reconhecidos como sistemas que possuem fortes características de complexidade (PERROW, 1984), requerendo com maior necessidade a aplicação de princípios da ER. Além disso, no período de 1999 a 2008, as empresas de táxi-aéreo foram responsáveis por 23,2% do total de acidentes aéreos no Brasil, uma participação inferior apenas à aviação geral, segmento relativo à utilização das aeronaves para o transporte de carga ou pessoas sem fins comerciais (CENTRO..., 2010).

2. Princípios da ER

Há diversos estudos que têm proposto características e princípios de projeto de sistemas resilientes (NEMETH; HOLLNAGEL; DEKKER, 2009; HOLLNAGEL; WOODS; LEVESON, 2006; HOLLNAGEL; NEMETH; DEKKER, 2008). No presente artigo, são adotados os princípios propostos por Saurin e Carim Júnior (2011), visto que eles constituem uma compilação dos estudos anteriores. Tais princípios são apresentados a seguir:

a) Comprometimento da alta direção: implica em que a segurança seja um valor-chave da empresa ao invés de uma prioridade eventual. A adoção desse princípio constitui um obstáculo às pressões da produção sobre a segurança;

b) Aprendizagem: a ER enfatiza a aprendizagem a partir da análise do trabalho normal, em complemento à aprendizagem a partir de incidentes. Segundo esse princípio, o monitoramento dos procedimentos é tão ou mais importante do que o seu desenvolvimento, uma vez que isso contribui para reduzir a distância entre o trabalho como imaginado pelos gerentes e como realizado pelos operadores;

c) Flexibilidade: uma vez que a ER assume que os erros são inevitáveis, o sistema deve ser flexível para resistir a eles e reconhecer que a gestão da variabilidade é tão importante quanto a sua redução. A meta dos projetistas deve ser reforçar a variabilidade que leva a resultados positivos e eliminar a variabilidade que leva a eventos indesejados. Esse princípio também implica em que o pessoal operacional seja capaz e autônomo para tomar decisões importantes sem esperar por instruções dos gerentes; e

d) Consciência: todos os componentes do sistema devem estar conscientes do seu desempenho e do estado das barreiras contra acidentes em relação ao limite da perda de controle. A consciência permite antecipar mudanças nos riscos e avaliar os trade-offs entre segurança e produção.

3. Diretrizes para identificar e analisar FR e FF

3.1. Identificação das FR e FF

As FR podem ser interpretadas como todos os elementos do sistema sociotécnico que contribuem para a manifestação das dimensões proativas e reativas da resiliência. As FF correspondem aos elementos que prejudicam a resiliência. A identificação das fontes deve ter, como ponto de partida, uma descrição do sistema sociotécnico, compreendendo seus quatro subsistemas (HENDRICK; KLEINER, 2001): técnico, social, organização do trabalho e ambiente externo. Contudo, uma descrição dessa natureza é inevitavelmente incompleta, constituindo uma aproximação da realidade (CILLIERS, 2005).

Uma vez que a definição dos limites de um sistema sociotécnico depende dos objetivos do estudo (CILLIERS, 2005), ambas as questões (quais são os objetivos e quais são os limites) devem ser explicitamente respondidas antes de iniciar a coleta de dados. Cabe destacar que a amplitude desses limites pode ter grandes variações. Por exemplo, Henriqson et al. (2011) identificaram FR e FF, embora sem usar esses termos, na atividade de cálculo de velocidade de decolagem de jatos comerciais. Outros estudos definiram como escopo uma rotina gerencial (por exemplo, Costella, Saurin e Guimarães (2009), que limitaram a investigação ao sistema de gestão de segurança) ou simplesmente não definiram os limites (MOREL; AMALBERTI; CHAUVIN, 2009).

Em termos de conteúdo, a descrição deve dar visibilidade às diferenças entre as práticas prescritas e aquelas realmente usadas, bem como ser pautada pela identificação de condições contextuais que levam à adoção de práticas informais. De modo coerente com a natureza do assunto investigado, as estratégias de pesquisa e as técnicas de coleta de dados para subsidiar essa descrição devem ter ênfase qualitativa (por exemplo, estudos de caso, pesquisa-ação e etnografia). As diversas modalidades de entrevistas, observações e análises de documentos são fontes de dados pertinentes, visto que permitem obter diferentes perspectivas e compreender o contexto, requisitos essenciais para a investigação de sistemas complexos (PAGE, 2007; CRANDALL; KLEIN; HOFFMAN, 2006; SNOOK, 2000).

Além dos dados coletados para descrever o sistema sociotécnico, outros devem ser coletados explicitamente para avaliar o uso dos princípios da ER. Para viabilizar essa avaliação, um protocolo que desagregue cada princípio da ER em características com menor grau de abstração deve ser desenvolvido, com base na revisão bibliográfica e, para cada uma, estabelecidas as fontes de dados pertinentes para a avaliação. Idealmente, o protocolo deve ser adaptado para cada domínio investigado, usando a linguagem técnica e fontes de dados cuja disponibilidade é esperada.

Embora as diretrizes não tenham ênfase em nenhum elemento específico do sistema sociotécnico, cabe reconhecer que a definição das fontes de dados pode ter papel decisivo no escopo da investigação. Em função disso, é recomendável que o protocolo seja elaborado após a caracterização do sistema sociotécnico com base na qual podem ter sido identificados possíveis pontos de interesse para a investigação de FR e FF.

Com base nos dados coletados nas etapas anteriores, as FR e FF podem ser identificadas. É recomendado que as FF sejam identificadas e redigidas antes das FR, uma vez que as últimas frequentemente são respostas às primeiras. Tendo em vista a grande quantidade de dados que podem ter sido gerados, bem como as múltiplas perspectivas possíveis, é recomendável que mais de um pesquisador realize as codificações de fontes a partir das descrições do sistema e da avaliação dos princípios da ER (O'CONNOR et al., 2008). Para minimizar a influência das posições de um pesquisador sobre o outro, cada um pode inicialmente analisar as bases de dados separadamente e, em um segundo momento, obter um consenso acerca de quais são as fontes e como elas devem ser redigidas.

3.2. Análise das FR e das FF

Uma vez que as fontes tenham sido identificadas, elas devem ser analisadas e classificadas de acordo com um conjunto de categorias. As recomendações relativas ao uso de mais de um pesquisador para identificar as fontes também são aplicáveis para a classificação delas.

Em relação às FF, as categorias propostas são as seguintes:

a) As FR correspondentes: muitas vezes, as fragilidades levam a respostas adaptativas, seja em nível individual, de equipe ou organizacional. A inexistência de FR correspondentes às fragilidades é indesejável;

b) Risco associado à FF: a avaliação de riscos ajuda a priorizar as fontes, envolvendo a avaliação de sua probabilidade de manifestação e gravidade (Figura 1). Na estimativa desses dois parâmetros, deve ser assumido que eles são independentes das respostas adaptativas às FF, visto que os impactos dessas são analisados como uma categoria específica das FR. Os subsídios para a estimativa de risco podem ser obtidos a partir dos dados já coletados nas etapas anteriores, tais como as entrevistas e a análise de documentos (por exemplo, relatórios de investigação de incidentes). Em relação à probabilidade, deve ser considerada a regularidade com que a fonte se manifesta. Quanto à gravidade, devem ser consideradas condições ou eventos próximos, temporais ou espaciais, desencadeados pela fonte. Em última instância, todas as FF podem levar à queda de uma aeronave e, se isso for considerado como o impacto de referência, não é possível discernir a gravidade de cada uma; e

c) As origens das fontes, considerando duas dimensões. De um lado, deve ser avaliado se a fonte tem origem na organização formal ou informal do trabalho. Fragilidades com origem formal se referem tipicamente a falhas em rotinas gerenciais documentadas. Já as fragilidades informais são mais sutis, surgindo a partir de ações ou decisões de grupos ou indivíduos, além de não estarem claramente vinculadas a rotinas gerenciais e ainda não terem sido reconhecidas formalmente, por meios documentais, pela organização. Ambas as situações são igualmente indesejáveis, visto que muitas fragilidades vinculadas à organização formal indicam a sua ineficácia, enquanto muitas fragilidades de origem informal indicam interações difíceis de controlar e antecipar.

Figura 1.
Matriz para avaliação de risco das FF.

De outro lado, deve-se avaliar se a fonte tem origem em processos internos ou no ambiente externo. A existência de origens externas é relativamente pior, visto que a organização tem pouco ou nenhum controle sobre elas.

Quanto às FR, as categorias propostas são:

a) A correspondente FF: a inexistência de correspondentes fragilidades significa que a fonte de resiliência não é uma resposta adaptativa a um problema, bem como que ela não teve impactos sistêmicos adversos. Contudo, uma vez que a avaliação reflete o status da organização em um dado momento, não deve ser assumido que as FR continuarão tendo essa natureza no futuro;

b) A eficácia da fonte: essa avaliação deve levar em conta as limitações da fonte e possíveis novos riscos que são criados, considerando três níveis (eficácia alta, moderada e baixa); e

c) As origens da fonte, conforme as mesmas categorias usadas para avaliar as origens das fragilidades. As fontes com origem na organização formal estão vinculadas a rotinas gerenciais, normalmente documentadas. As fontes informais surgem a partir de adaptações realizadas por grupos ou indivíduos, normalmente sem o conhecimento dos níveis hierárquicos mais elevados e sem a sua incorporação às rotinas gerenciais documentadas. A situação desejável é que a maior parcela possível das FR tenha origem na organização formal, o que indica a existência de recursos para a manutenção e melhoria delas. A existência de FR informais normalmente indica que a capacidade adaptativa está sendo usada para preencher lacunas no projeto do sistema ao invés de ser usada para melhorar bons projetos. Quanto à outra categoria para avaliar a origem da fonte (interna versus externa), a situação ideal é que existam poucas fontes originadas no ambiente externo.

Tanto para as FF quanto para as FR também pode ser realizada uma análise acerca de como têm impacto nos princípios da ER. Contudo, optou-se por não prescrever essa análise como obrigatória visto que, geralmente, o impacto das fontes é difuso entre os vários princípios, o que é coerente com a própria natureza sistêmica da ER.

4. Método de pesquisa

Para testar as diretrizes, foi definido que o objetivo seria identificar FR e FF em empresas de táxi-aéreo. Desse modo, foi considerando como ambiente externo tudo aquilo que, embora tenha impacto nas operações, não seja passível de controle pela empresa. Assim, o ambiente externo é mais amplo e complexo do que o sistema que foi delimitado, envolvendo, por exemplo, órgãos reguladores, legislação e infraestrutura dos aeroportos.

O estudo foi conduzido em duas empresas, uma sediada no estado do Rio Grande do Sul (empresa A) e outra no estado de São Paulo (empresa B). A escolha de duas empresas permitiu o teste das diretrizes em ambientes com diferenças marcantes, bem como propiciou a comparação dos resultados. Na empresa A, o estudo de campo ocorreu ao longo de quatro meses, durante os quais foram realizadas oito visitas, cada uma com duração média de três horas. Na empresa B, o estudo ocorreu ao longo de três meses, tendo sido realizadas três visitas, cada uma com duração aproximada de oito horas. Nas duas empresas, o estudo de campo foi precedido de uma reunião para apresentar os objetivos da pesquisa aos funcionários e diretores, bem como para definir quais pessoas seriam entrevistadas. Na empresa B, ao final do estudo, houve uma reunião de discussão dos resultados com seus funcionários. A empresa A não manifestou interesse na realização de evento similar.

Conforme preconizado pelas diretrizes, em ambas as empresas o estudo de campo iniciou pela compreensão do sistema sociotécnico. Em relação ao ambiente externo, foi realizada somente uma descrição sistemática, por meio de uma revisão bibliográfica, do ambiente legal comum a todas as empresas de transporte aéreo no Brasil (BRASIL, 1986). Essa revisão contribuiu para que fossem identificados os requisitos mínimos, técnicos e gerenciais, que uma empresa de táxi-aéreo deve atender. A caracterização dos demais elementos do ambiente externo (por exemplo, político, educacional, econômico, cultural) é difícil para empresas de transporte aéreo, pois elas estão sujeitas ao ambiente de todas as localidades nacionais e internacionais no qual elas operam.

Em relação ao subsistema social, procurou-se caracterizar os funcionários segundo estado civil, idade, sexo, cargo, regime salarial, tempo de trabalho na empresa, formação acadêmica e experiências profissionais anteriores. Quanto ao subsistema técnico, foi caracterizada a infraestrutura física e os principais equipamentos para realização dos voos. A infraestrutura diz respeito ao espaço alocado para as funções administrativas e para a guarda das aeronaves. Já os equipamentos enfatizados foram as aeronaves. A descrição incluiu a função, como e quando foi feito o processo de aquisição, tempo de uso diário, como é realizado o processo de manutenção, qual o custo de operação e os treinamentos necessários para a utilização.

O subsistema organização do trabalho foi caracterizado segundo três categorias: (a) departamentos e níveis hierárquicos; (b) processos de voo, de manutenção, administrativos e auxiliares; (c) atividades que cada funcionário desempenha. Nessas três categorias, a identificação das diferenças entre o prescrito e o real foi realizada com base na análise de documentos, observações e entrevistas. Essas últimas incluíram questões como: Quais são as suas atividades na empresa? Quais são os procedimentos que você deve seguir, mas que, na prática, são difíceis de cumprir? Quais são as adaptações que você tem de realizar para executar suas atividades? Você conhece e já interagiu com todos os outros setores da empresa? Você poderia descrever as atividades de cada colega? Como as suas atividades são influenciadas pelo trabalho de outros funcionários?

De acordo com as diretrizes, a segunda etapa do estudo de campo teve ênfase na avaliação do uso dos princípios da ER. Desse modo, foi desenvolvido um protocolo de coleta de dados, o qual, a partir do desdobramento de cada princípio da ER em características menos abstratas, definiu fontes de dados para sua avaliação. Conforme preconizado pelas diretrizes, as fontes de dados foram definidas com base em informações da caracterização do sistema sociotécnico que apontaram tanto áreas de interesse (por exemplo, procedimentos e treinamentos) quanto as fontes de dados que seriam acessíveis e relacionadas às áreas de interesse (por exemplo, observar reuniões de planejamento dos voos).

No Apêndice A é apresentada a seção do protocolo dedicada à avaliação do princípio da flexibilidade. Considerando todo o protocolo, as fontes de dados incluem 32 recomendações de observações, 60 questões a serem abordadas em entrevistas e 15 documentos a serem consultados. Apesar de diferenças na estrutura organizacional das duas empresas, a grande maioria das fontes de dados estava disponível em ambas, podendo-se dizer que o protocolo possui certa generalização para empresas de táxi-aéreo. Alguns dos funcionários entrevistados para caracterização do sistema sociotécnico foram novamente entrevistados para avaliação dos princípios da ER.

Todas as entrevistas foram transcritas e analisadas com base em técnicas de análise de conteúdo (BARDIN, 1977). Assim, foram identificadas palavras, expressões ou frases cujo significado fosse de interesse do objetivo da pesquisa. Para cada pergunta, as respostas dos diferentes entrevistados foram dispostas lado a lado, permitindo comparações. O pesquisador que coletou os dados é piloto comercial e instrutor de voo, o que facilitou a compreensão de aspectos técnicos inerentes ao setor. A lista de FR e FF estabelecida por esse pesquisador foi refinada a partir da revisão e intensa discussão dos dados com um segundo pesquisador. Embora as diretrizes não prescrevam a análise da relação das fontes com os princípios da ER, as fontes escolhidas para ilustrar a análise dos resultados (ver item 5) também foram analisadas segundo essa perspectiva, visando exemplificar as relações com os princípios.

5. Resultados

5.1. Empresa A

5.1.1. Principais características do sistema sociotécnico da empresa A

Essa empresa possui 40 anos de existência, tendo passado por diferentes proprietários. Suas instalações estão em um hangar com capacidade para abrigar as aeronaves e a estrutura administrativa, operacional e de manutenção. A frota é composta por três aeronaves bimotoras a pistão próprias, cada uma com capacidade para nove passageiros, fabricadas na década de 1970. A empresa possui autorização para voar em todo o Brasil e em alguns países da América do Sul, prestando serviços de transportes de passageiros, cargas e remoções aeromédicas. A manutenção e a guarda de aeronaves de terceiros são serviços secundários oferecidos pela empresa.

O quadro de funcionários tem idade média de 40 anos, sendo composto por 15 pessoas, incluindo sete pilotos. Desses, quatro também ocupam cargos administrativos exigidos pela legislação, tais como diretor de operações e responsável pela segurança de voo. Essa multifuncionalidade é permitida pela legislação e, em grande parte, decorre da sazonalidade das demandas de voo. Conforme recomendado pelas diretrizes, diferenças entre o sistema prescrito e o real foram identificadas. Por exemplo, foi identificado que a alocação de pilotos aos voos frequentemente difere da alocação planejada. Isso ocorre para garantir que todos tenham uma quantidade similar de horas de voo por mês, o que tem implicações no salário, visto que metade dele é composto pela remuneração variável, dependente do número de horas voadas.

A alta taxa de rotatividade dos pilotos também é uma característica da empresa, sendo que o período típico de permanência varia de seis meses a um ano. De acordo com os relatos obtidos, os pilotos buscam a empresa para acumular horas de voo e ter maiores possibilidades de contratação por uma empresa de transporte aéreo regular, nas quais as condições de trabalho são vistas como melhores do que no setor de táxi-aéreo.

5.1.2. FF na empresa A

Foram identificadas 13 FF nessa empresa (Quadro 1), sendo que duas delas foram escolhidas para ilustrar a aplicação das diretrizes. A FF1 diz respeito à defasagem tecnológica e baixa confiabilidade dos instrumentos de navegação das aeronaves. Esse problema é agravado quando os pilotos não possuem contato visual com o terreno e precisam seguir as cartas de voo por instrumentos. Nesses casos, os tripulantes dividem sua atenção entre os instrumentos de navegação da aeronave e um aparelho de GPS adicionado ao painel de controle. Em função disso, os pilotos relataram que, algumas vezes, esquecem de consultar o GPS e controlam a aeronave apenas com base nos instrumentos de navegação, gerando trajetórias diferentes da planejada.

Quadro 1. FF na empresa A.

Essa FF está associada a incidentes. De acordo com o relato de um dos pilotos, um desses eventos ocorreu quando, ao se aproximar do aeroporto de destino, o controle de tráfego aéreo solicitou que fosse iniciada uma curva para uma direção específica. O comandante iniciou a curva baseando-se apenas em informações do instrumento de navegação, porém o controlador de tráfego aéreo alertou os tripulantes por eles não terem seguido na direção solicitada, sendo então efetuada a correção. Após esse alerta, os tripulantes verificaram que as informações do GPS estavam diferentes daquelas dos instrumentos de navegação e corroboravam as instruções dos controladores. Nesse evento, os pilotos estavam em rota de colisão com outra aeronave. Segundo o relato de um dos copilotos "[...] situações desse tipo são frequentes e não exceções".

Essa FF é conhecida por todos os funcionários, incluindo a alta direção. Contudo, segundo o diretor geral, os instrumentos de navegação serão atualizados apenas quando houver renovação da frota, em função dos custos envolvidos. Por estes motivos, essa fonte pode ser classificada como de origem interna e formal, visto que os processos de aquisição e melhoria de equipamentos não estão atendendo às necessidades das operações.

Nenhum dos entrevistados relatou saber quando esses problemas começaram, mas todos afirmaram que ele existia nas três aeronaves, embora com variações de intensidade. Desse modo, a fonte foi classificada como de alta probabilidade e gravidade. Reiterando o alto risco associado a essa FF, ela tem relações com todos os princípios da ER. O comprometimento da alta direção não ocorre, na medida em que essa tem conhecimento de um problema grave e tolera conviver com o mesmo. A aprendizagem também não é demonstrada, na medida em que incidentes como o relatado não levam a melhorias, apenas a improvisos, como o uso do GPS. O princípio da flexibilidade é prejudicado, visto que a sobrecarga gerada pelo monitoramento simultâneo de GPS e instrumentos reduz a capacidade dos pilotos na execução das demais tarefas. O princípio da consciência também é prejudicado, visto que os pilotos não têm clareza acerca do real status das operações.

A segunda FF escolhida para ilustrar a aplicação das diretrizes se refere à falta de regras para orientar as decisões dos pilotos para realizar ou não o voo em função das condições meteorológicas. Há situações em que a falta de critérios contribui para decisões que, retrospectivamente, se revelam equivocadas. Houve o relato de um caso em que os tripulantes, logo após a partida, retornaram ao aeroporto devido às más condições meteorológicas. Essa situação gerou constrangimentos ao comandante, que foi solicitado a prestar esclarecimentos à alta direção, bem como prejuízo para a empresa, já que o voo não pôde ser cobrado do cliente. O cliente também teve desconfortos durante o voo e, segundo o coordenador de voo, contratou outra empresa para realizar a viagem e não voltou a contratar a empresa A para novos serviços. De outro lado, todos os comandantes foram enfáticos ao afirmar que já presenciaram ou foram pressionados a realizar voos mesmo quando as condições meteorológicas não eram favoráveis. Em muitas situações, eles se submeteram às pressões, mesmo contrariados.

Essa FF, assim como a anterior, tem relações com todos os princípios da ER. A recusa de tarefa por falta de segurança depende fortemente do encorajamento da alta direção e de procedimentos claros para sua realização. A falta de diretrizes formais impede a comparação das decisões tomadas com alguma referência padronizada, prejudicando o princípio da aprendizagem. O princípio da consciência é comprometido na medida em que os pilotos não têm clareza acerca de quais são as condições meteorológicas que normalmente justificariam a recusa de realizar um voo. A consciência acerca dos limites de segurança também é distorcida pelo fato de a empresa possuir poucos voos e a remuneração variável dos pilotos depender da quantidade de horas voadas. Ainda cabe salientar que as informações meteorológicas disponíveis são pouco confiáveis, além de não estarem disponíveis em algumas localidades operadas pela empresa.

Quanto ao princípio da flexibilidade, uma dimensão-chave dele é prejudicada, já que o pessoal de linha de frente (no caso, os pilotos) não tem real autonomia para tomar uma decisão fundamental para a segurança. Em relação a esse último aspecto, houve várias evidências de que as pressões por produção são muito fortes, induzindo os pilotos a tomar decisões de decolagem em situações perigosas. Conforme relatado pelos tripulantes e diretor geral, já houve situações em que o comandante foi substituído por decidir não realizar o voo. A simples substituição de tripulantes é uma importante evidência de que a segurança é associada ao desempenho individual, não havendo ênfase em compreender as razões que levaram o piloto a recusar-se a voar. Também houve indícios de que o setor de coordenação de voo é especialmente pressionado. De fato, o coordenador desse setor é o responsável pela venda dos voos, sentindo-se pressionado a vendê-los, principalmente em épocas de baixa demanda. Isso pode induzir à venda de voos para localidades nas quais as aeronaves não têm plena capacidade para operar.

Essa FF ainda foi classificada como de origem interna e formal, visto que o desenvolvimento de procedimentos para recusas de voo poderia ser uma atribuição do diretor de operações, o mesmo que desenvolve procedimentos operacionais. Essa fonte também foi classificada como de gravidade moderada e de alta probabilidade, uma vez que a falta de diretrizes para recusar voos ocorre em todos os voos e períodos do ano.

5.1.3. FR na empresa A

Com base na Quadro 2, nesse item são discutidas as FR associadas às duas FF usadas como exemplos no item anterior. A FR associada ao uso de GPS, conforme já comentado, é uma adaptação para compensar a defasagem dos instrumentos de navegação. Contudo, essa adaptação possui fortes limitações que justificam a sua classificação como de baixa eficácia, tais como: (a) o painel de instrumentos não foi projetado para receber um GPS, de modo que esse equipamento foi incorporado em um local que, embora não permitisse perfeita visualização, tinha tamanho compatível; (b) o GPS não apresenta todas as informações que constam nos instrumentos, ainda obrigando os pilotos a consulta-los. Contudo, como um atenuante para a sobrecarga gerada por monitorar dois instrumentos, a relativa baixa velocidade das aeronaves reduz a pressão de tempo para a tomada de decisão.

Quadro 2. FR na empresa A.

Essa FR operacionaliza dois princípios da ER. O princípio da flexibilidade é colocado em prática, visto que a estratégia de usar o GPS constitui um exemplo de gestão da variabilidade, ao invés de sua eliminação. Similarmente, a adaptação realizada contribui para implantar o princípio da consciência, visto que, comparativamente à situação sem GPS, o uso desse equipamento reduz, na opinião dos pilotos, a incerteza quanto à posição da aeronave. Quanto à origem, essa fonte foi classificada como interna e formal, visto que a iniciativa de usar o GPS foi resultado de um consenso entre todos os níveis hierárquicos.

A segunda FR discutida neste item é uma resposta à inexistência de diretrizes para decidir quando um voo não deve ser realizado em função das condições meteorológicas. Nesse caso, a adaptação consiste no estabelecimento, pelos tripulantes, de regras informais para orientar a decisão de voar ou não. Essas regras levam em conta, principalmente, as limitações tecnológicas das aeronaves, as condições das pistas operadas e o conforto dos passageiros. Antes dos voos, os pilotos com maior tempo de experiência costumam enfatizar, junto aos copilotos, quais são os indícios de degradação das condições meteorológicas. Por exemplo, conforme o relato de um comandante, se há um voo na direção sul e há indícios de chegada de uma frente fria, os pilotos devem recusar o voo. Já se o destino for norte e a aeronave não precisar retornar à base em curto espaço de tempo, o voo pode ser realizado mesmo com a frente fria vindo do sul.

Essa FR está associada a dois princípios da ER. A aprendizagem é demonstrada na medida em que as diretrizes decorrem das experiências dos tripulantes, tanto aquelas em que houve a decisão correta ou incorreta. O princípio da consciência é usado visto que as diretrizes contribuem para que a tripulação tenha uma ideia mais clara acerca dos riscos envolvidos na decisão tomada. Essa FR pode ser considerada interna e informal, pois decorre de iniciativas dos operadores, sem respaldo da direção. Quanto à eficácia, foi adotada a classificação na faixa moderada, visto que, embora sejam baseadas em experiências dos tripulantes, as diretrizes não são necessariamente usadas como única base para tomada de decisão, estando sujeitas a outros fatores que podem reduzir a sua importância, tais como pressões de clientes e da direção.

5.2. Empresa B

5.2.1. Principais características do sistema sociotécnico da empresa B

Essa empresa foi fundada em 2005, com o principal objetivo de prestar serviços de transporte aéreo aos seus proprietários. Esses, por sua vez, também são os diretores da holding que a controla. Contudo, quando não há demanda dos proprietários, as aeronaves são disponibilizadas para prestação de serviços a clientes externos.

O fato de, na prática, a empresa não visar o lucro, é reconhecido pelos funcionários como o fator primordial para a segurança. Esse aspecto fica claro a partir de um relato do chefe de manutenção: "[...] não priorizar o lucro facilita a priorização da segurança. Nosso objetivo mesmo é transportar os diretores com segurança". Uma vez que a alta direção é o principal cliente, os recursos para a segurança costumam ser disponibilizados sem maiores dificuldades.

A empresa possui duas aeronaves a jato com pouco tempo de uso. O controle das aeronaves é, na maior parte do voo, mantido pelo piloto automático e por um computador de gerenciamento de voo. Uma das aeronaves, com capacidade para nove passageiros e dois tripulantes, é utilizada para destinos dentro do território nacional. Já a outra, com capacidade para dez passageiros e dois tripulantes, é utilizada para voos internacionais ou para longas distâncias dentro do território nacional.

O quadro de funcionários conta com 11 pessoas, sendo seis pilotos. Similarmente à empresa A, a média de idade dos funcionários é de 40 anos. Dois pilotos possuem formação em engenharia (aeronáutica e elétrica) e já trabalharam nessa função em uma fábrica de aeronaves. Todos os tripulantes também possuem cargos administrativos, como chefe de manutenção e de operação.

Os tripulantes recebem salário fixo, sem remuneração variável em função de horas de voo. De acordo com os relatos obtidos, essa forma de remuneração reduz as pressões para que os voos ocorram em condições inseguras. Segundo um comandante, "o piloto deve ganhar para esperar e não para voar. Aqui acontece o oposto do que acontece na maioria das empresas de táxi-aéreo que eu conheço e em que trabalhei". O alto salário, comparado a outras empresas de táxi-aéreo, é um atrativo da empresa. Essa característica faz com que os funcionários não necessitem de outras fontes para complementar a renda e se dediquem integralmente à empresa.

Embora o organograma indique a existência de um diretor geral (um dos proprietários), o mesmo encontra-se distante fisicamente da sede, fazendo com que os chefes de manutenção e de operações sejam considerados pelos funcionários como o nível hierárquico mais alto no dia a dia da empresa. De fato, ficou claro que ambos possuem autoridade e constituem o canal de comunicação entre os demais funcionários e a alta direção.

5.2.2. FF na empresa B

As FF identificadas na empresa B estão listadas na Quadro 3. A FF1 foi escolhida para ilustrar a aplicação das diretrizes, se referindo às pressões dos proprietários. De acordo com o relato de um piloto, ilustrando essas pressões, recentemente, durante um voo, um dos proprietários solicitou o pouso em outro aeroporto que não o previamente solicitado. A razão da solicitação era que o custo da aterrissagem nesse outro aeroporto seria menor, apesar de ele oferecer piores condições de segurança. Nesse caso, o comandante não seguiu a orientação do diretor, e pousou no aeroporto que considerava mais seguro. Vale salientar que, pouco tempo após a conclusão desse estudo, houve um acidente grave com uma aeronave privada no aeroporto em que os proprietários preferiam descer, o qual é conhecido no meio aeronáutico brasileiro por dificuldades de aterrissagem, principalmente à noite. Além da escolha de aeroportos de destino, houve indícios de pressões que influenciavam a decisão de decolar ou não. Conforme alguns relatos, houve situações nas quais os pilotos não consideravam segura a realização do voo, mas, em função de demanda dos proprietários ou de familiares deles, as decisões foram reavaliadas.

Quadro 3. FF na empresa B.

Cabe salientar que as decisões de escolha dos aeroportos bem como de realizar o voo ou não costumam ser comunicadas pelos pilotos aos chefes de manutenção e operação, que então as comunicam aos proprietários. Essa estratégia reduz as pressões sobre os pilotos, na medida em que suas decisões são respaldadas por níveis hierárquicos mais altos, tendo maior impacto perante os proprietários.

Essa fonte prejudica dois princípios da ER: a flexibilidade, pois as pressões da alta direção constituem uma ameaça à autonomia dos pilotos; o comprometimento da alta direção, considerando a origem das pressões. A probabilidade de manifestação da fonte é baixa, visto que, segundo relatos dos pilotos, ela ocorre em ocasiões relativamente raras, tais como quando os proprietários viajam para assinar acordos comerciais ou para destinos turísticos em que há aeroportos de infraestrutura precária. A gravidade é alta, na medida em que pode levar à realização de um voo sob condições precárias de segurança. A fonte foi classificada como de origem interna e informal, pois está associada a comportamentos dos proprietários, não possuindo vínculos com nenhuma rotina organizacional formal.

5.2.3. FR na empresa B

Nessa empresa foram identificadas cinco FR sem FF correspondentes (Quadro 4). As FR1, 2 e 3 representam um contraponto às FF1, 2 e 3, listadas na Quadro 3. De fato, embora pressões por parte dos proprietários por vezes ocorram, os funcionários tem um nível de autonomia provavelmente superior ao existente em outras empresas de táxi-aéreo, como a empresa A. Em parte, tal autonomia se deve ao fato de os proprietários (alta direção) não estarem presentes fisicamente no dia a dia da empresa mas realizarem um monitoramento à distância, na sede da holding.

Quadro 4. FR na empresa B.

O chefe de operação e o chefe de manutenção relataram que dependem pouco da alta direção para a realização de suas atividades. Esses funcionários, em função da grande experiência, são vistos como referência pelos colegas e proprietários, os quais delegam a eles as principais decisões do dia a dia. Nas palavras de um dos comandantes, "o chefe de manutenção e o de operações conduzem a empresa e a gente realiza nosso trabalho com auxílio deles. Eles são muito abertos para sugestões". "Para mim, a alta direção são os chefes de manutenção e de operações", resume um dos copilotos.

Assim, fica claro que os chefes citados são os principais interlocutores com a alta direção, atuando tanto na solicitação de recursos quanto na absorção das pressões provenientes da alta direção. Também houve indícios de que tais chefes procuram tomar decisões por meio de consenso com os demais funcionários. Um exemplo de recusa de voo ilustra a autonomia e a descentralização da tomada de decisão. Ao ser consultado sobre um possível voo de fretamento, o coordenador de voo, antes mesmo de enviar um orçamento ao cliente, consultou os pilotos acerca da viabilidade da operação das aeronaves no aeroporto visado. Os pilotos concluíram que, nas proximidades da pista, havia árvores e elevações que dificultavam a operação, principalmente à noite e em dias de chuva. A decisão final foi recusar o voo, pois dadas as circunstâncias, o risco não era aceitável. Esse tipo de postura é valorizado pelo grupo, conforme ilustra o relato de um dos comandantes acerca do episódio citado: "eu achei isso superbacana, porque eu já vi muito piloto fazer as coisas [erradas] pra manter o emprego. Aqui o pessoal joga aberto: se dá, dá; se não dá, não deu".

A FR1 operacionaliza dois princípios da ER: (a) a flexibilidade, na medida em que funcionários de linha de frente tomam decisões importantes sem depender da direção; (b) a consciência, uma vez que a tomada de decisão descentralizada requer que todos os funcionários compreendam os limites de segurança, não se limitando a cumprir ordens de níveis superiores que, em outras empresas, poderiam deter informações importantes que não seriam acessíveis aos níveis operacionais.

Quanto à origem, a fonte foi classificada como interna e informal, uma vez que a autonomia concedida aos chefes de operações e manutenção não decorre de responsabilidades documentadas, mas surgiu naturalmente como decorrência do distanciamento físico da alta direção. Essa FR foi classificada como de eficácia moderada, visto que ainda foram detectados exemplos em que a pressão dos proprietários se sobrepõe à autonomia das tripulações.

6. Discussão

A Figuras 2 e 3 resumem os resultados da avaliação em cada empresa. Nessas figuras, as fontes identificadas apenas pela inicial F se referem àquelas associadas tanto à resiliência quanto a fragilidades. Na Figura 2, as setas em vermelho no canto inferior direito representam as FF que não possuem FR correspondentes. Tais FF exercem uma força prejudicial a todas as demais fontes, empurrando as mesmas para a zona de maior risco e menor eficácia. Na Figura 3, as setas em verde no canto superior esquerdo representam as FR sem FF correspondentes. Nesse caso, essas FR empurram todas as demais fontes para a zona de risco baixo e eficácia alta. Os diferentes tamanhos das setas têm o objetivo de relativizar a intensidade dos riscos e eficácias. Assim, na Figura 2, a FF11 tem um risco menor que as FF12 e FF13. Na Figura 3, a FR8 tem eficácia menor que as FR7, FR9, FR10 e FR11.

Figura 2.
Resumo da avaliação na empresa A.

Figura 3.
Resumo da avaliação na empresa B.

Considerando os dados das duas empresas, há indícios de que a segurança das operações na empresa A está mais deteriorada do que na empresa B: (a) maior percentual de FF de risco alto na empresa A (54% contra 17% na empresa B); (b) maior percentual de FR com baixa eficácia na empresa A (60% contra 18% na empresa B); (c) o fato de que, diferentemente da empresa A, a empresa B possui cinco FR sem que existam FF correspondentes, o que caracteriza o caráter pró-ativo dessas FR.

De modo consistente com a conclusão sobre o desempenho relativo das empresas, houve um acidente grave com uma das aeronaves da empresa A no período final de coleta de dados. A aeronave ficou inutilizada, além de um passageiro ter se ferido. Os pesquisadores tiveram acesso a relatos escritos e orais dos tripulantes acerca desse evento, embora a investigação conduzida pelas agências governamentais ainda não tenha sido concluída. Com base nesses dados foi possível perceber que as FF5, FF6, FF7 e FR6 interagiram nesse acidente. De fato, um evento-chave na ocorrência do acidente foi a decisão do piloto e diretor geral, durante uma escala do voo de não reabastecer a aeronave em função do alto preço do combustível naquela localidade (FF5, pressões da alta direção por produção). Em função disso, no trecho seguinte do voo, um dos motores parou por falta de combustível. Nesse momento, a falta de procedimentos documentados (FF6) impediu que fossem verificadas as recomendações a serem adotadas nessa situação. Durante os minutos finais do voo ainda houve um conflito entre o copiloto e o piloto acerca de qual seria o procedimento de emergência adequado. Aparentemente, o piloto não conhecia os procedimentos corretos, uma vez que, por dificuldades de relacionamento com seus colegas (FF7), não participava das reuniões informais de troca de informações acerca dos procedimentos (FR6). Vale salientar ainda que poucos meses após esse acidente a empresa A encerrou suas operações.

Considerando ambas as empresas, apenas quatro (todas na empresa B), dentre 21 FR, foram classificadas como de alta eficácia. Isso significa que as respostas adaptativas também podem ser frágeis e trazer novos riscos para as operações. Na medida em que as FR ineficazes são incorporadas à rotina, a tendência é, com o passar do tempo, elas tornarem-se invisíveis para os funcionários e passarem a ser tratadas como o modo normal de conduzir a organização. Assim, fica claro que a resiliência não é intrinsecamente positiva e não deve necessariamente ser celebrada. Ao contrário de conviver passivamente com as adaptações (por exemplo, o uso de GPS na empresa A e as pressões dos proprietários na empresa B), o objetivo deveria ser explicitar e controlar os fatores que levam às adaptações frágeis. Nesse sentido vale salientar a importância da identificação da origem interna ou externa das fontes. No caso das fontes com origem externa (por exemplo, falta de slots no principal aeroporto da empresa B), a convivência com adaptações frágeis pode ser mais tolerável, visto a dificuldade de intervenção.

Uma característica em comum ao desempenho das empresas é fato de que a maioria das FF tinha origem formal (61,5% na empresa A e 83,3% na empresa B), enquanto a maioria das FR tinha origem informal (80% na empresa A e 81,8% na empresa B). Esse resultado confirma estudos anteriores (HOLLNAGEL; WOODS, 2005), que destacam as ações informais dos operadores como as principais responsáveis pela manutenção de um sistema mal projetado em operação. De outro lado, a grande incidência de FF com origem formal indica que existem rotinas gerenciais vinculadas a elas, com recursos disponíveis para a implantação de melhorias.

Os percentuais obtidos apresentam diferenças em relação aos encontrados por Saurin e Carim Junior (2011) ao analisarem FR e FF em uma distribuidora de energia elétrica. Naquele estudo, os autores identificaram que 70,6% das FR e 87,2% das FF tinham origem formal. A maior proporção de fontes formais no trabalho citado, principalmente entre as FR, possivelmente deve-se ao fato de que a busca pelas mesmas teve ênfase no sistema formal de gestão da segurança e saúde no trabalho, embora, como ilustrado pelos percentuais, estivesse aberta a possibilidade de identificar fontes informais.

7. Conclusões

As diretrizes propostas neste estudo têm como principal distinção a identificação de oportunidades de melhoria da segurança de sistemas sociotécnicos complexos a partir da análise do trabalho normal, explicitando práticas informais que se incorporaram à rotina e que são, em função de garantirem a operação do sistema, tratadas como meritórias ou de modo resignado pelos seus integrantes. Os impactos dessas práticas evudenciam-se por meio das categorias de análise propostas. Além disso, as diretrizes permitem representar graficamente as diferentes forças a favor e contra a segurança.

As classificações atribuídas a cada fonte nas categorias propostas (FF, FR, risco, eficácia e origem) devem ser interpretadas como resultado da aparência momentânea das fontes no período da avaliação. Em função da característica dinâmica das fontes, bem como pela própria natureza dos sistemas complexos, é mais apropriado dizer que as fontes estão em determinada categoria em vez de dizer que elas são de determinada categoria. Essa perspectiva é especialmente importante para analisar as FR que não tiveram correspondentes FF. Por exemplo, a contratação de comandantes experientes, que muitas vezes voam em conjunto, foi considerada uma FR na empresa B. Contudo, com a contratação de novos comandantes também experientes, mas com perfil mais autoritário, essa FR poderia se transformar em uma FF.

Algumas limitações das diretrizes também ficaram evidentes ao longo dos estudos de caso. Inicialmente, conforme já comentado, elas retratam a organização no período da avaliação, não incorporando meios para monitorar a dinamicidade das fontes. Contudo, as diretrizes apontam quais fontes (as FF de alto risco e as FR de baixa eficácia) poderiam, prioritariamente, serem objeto de monitoramento. Por exemplo, em ambas as empresas os resultados indicam que seria pertinente o uso de mecanismos para monitorar as pressões organizacionais, especialmente aquelas originadas na alta direção.

Além disso, na medida em que as fontes são identificadas de modo discreto e classificadas em categorias, cria-se a necessidade de identificar as relações entre elas, antecipando interações desejadas e indesejadas. Em função da grande quantidade possível de combinações e tipos de interações entre as fontes, a medida de natureza prática mais imediata deveria ser dar visibilidade, tanto por meios formais (por exemplo, alertas escritos e quadros com resultados de indicadores) quanto informais (reuniões não planejadas entre os tripulantes), às fontes individualmente identificadas nesse estudo.

Em particular, as interações são mais prováveis e visíveis quando há a ocorrência simultânea de várias FF e FR ineficazes em um mesmo voo ou atividade da empresa. Por exemplo, no caso da empresa A, a simultaneidade poderia significar a realização de um voo com o GPS improvisado, com o piloto automático fora de operação, para um dos aeroportos em piores condições e cuja decisão de decolagem foi tomada por pilotos inexperientes, que não conheciam as regras tácitas para antecipar condições climáticas desfavoráveis. Embora cada uma dessas FF normalmente não esteja interagindo com as demais, parecendo independente, a dinamicidade do sistema pode criar interações indesejadas e imprevistas, transformando rapidamente interações fracamente acopladas em interações rigidamente acopladas, como ocorreu durante o já citado acidente na empresa A. O pequeno porte das empresas, com poucos funcionários e equipamentos, também tende a favorecer acoplamentos rígidos, embora esses possivelmente se tornem mais visíveis em função dessa característica.

A definição do nível de abstração das fontes também surgiu, a partir do estudo de caso, como uma questão relevante para a concepção das diretrizes. Embora tenha sido usada a palavra fonte, não foram rastreadas as origens organizacionais mais profundas da resiliência e das fragilidades, embora os dados disponíveis permitam fazer inferências nesse sentido. Contudo, o nível de abstração utilizado foi aquele percebido pelos funcionários das empresas e, logo, é aquele que tende a ser mais facilmente identificado e monitorado no dia a dia das organizações, tendo, assim, maior utilidade prática. Sob outra perspectiva, pode-se interpretar que o nível de abstração usado representa o status de cada fonte no momento da avaliação, que, por sua vez, é resultado da contínua evolução e transformação das mesmas. Por exemplo, em relação às FF, os resultados apontam como elas se encontravam no processo de deslizamento em direção ao colapso organizacional. Isso significa que se a avaliação fosse repetida após algum tempo, muitas fontes seriam percebidas e enunciadas em outro nível de abstração. De fato, cada uma das FF e FR identificadas resulta de outras fontes anteriores às mesmas e provavelmente darão origem a novas fontes no futuro.

As diretrizes também têm limitações de completude, sendo que as fontes identificadas devem ser interpretadas como uma parcela de todas as FF e FR existentes. Em parte, essa limitação decorre do relativo pouco dispêndio de tempo na coleta de dados (um pesquisador, que permaneceu 24 horas em cada empresa). De outro lado, como ocorre na análise de qualquer sistema complexo, é impossível conhecer todo o sistema.

Cada uma das fontes também possui sua própria dificuldade de análise, podendo ser explorada em maior profundidade, seja com base em novos dados que poderiam ser coletados, seja com apoio da literatura. Um desses exemplos se refere à inversão de níveis hierárquicos que ocorre na empresa A, onde um diretor por vezes atua como copiloto, sendo chefiado por colegas que são seus subordinados no dia a dia. As implicações desse tipo de inversão são pouco conhecidas, porém há indícios de que isso já contribuiu para acidentes em sistemas complexos, tal como um evento de fogo amigo durante a guerra do Golfo relatado por Snook (2000).

Dentre as oportunidades para trabalhos futuros, decorrentes das limitações deste estudo, salientam-se as seguintes: (a) investigar como as diretrizes podem ser integradas a métodos existentes de avaliação da segurança em sistemas complexos; (b) desenvolver sistemas de monitoramento das FR e FF; (c) desenvolver meios para antecipar as relações entre as FF, entre as FR e entre as FF e as FR, incorporando a previsão da evolução temporal dessas relações.

Recebido 21/02/2011

Aceito 27/09/2012

^{Apêndice A-Clique para ampliar}

• BARDIN, L. Análise de Conteúdo Paris: PUF, 1977.
• BRASIL. Presidência da República. Lei nº 7.565, de 19 de dezembro de 1986. Dispõe sobre o Código Brasileiro de Aeronáutica. Diário Oficial da República Federativa do Brasil, Brasília, DF, 23 dez. 1986. Disponível em: <http://www.planalto.gov.br/ccivil_03/LEIS/L7565.htm>. Acesso em: 15 nov. 2008.
• CENTRO DE PREVENÇÃO E INVESTIGAÇÃO DE ACIDENTES AERONÁUTICOS - CENIPA. Panorama estatístico dos dados referentes às investigações de acidentes na aviação civil no período de 1999 a 2008 Brasília: CENIPA, 2010. Disponível em: <http://www.cenipa.aer.mil.br/cenipa/paginas/normas/Panorama19992008.pdf>. Acesso em: 20 abr. 2010.
• CILLIERS, P. Complexity, deconstruction and relativism. Theory, Culture Society, v. 22, n. 5, p. 255-267, 2005. http://dx.doi.org/10.1177/0263276405058052
• COSTELLA, M. F.; SAURIN, T. A.; GUIMARÃES, L. B. M. A method for assessing health and safety management systems from the resilience engineering perspective. Safety Science, v. 47, n. 8, p. 1056-1067, 2009. http://dx.doi.org/10.1016/j.ssci.2008.11.006
• CRANDALL, B.; KLEIN, G.; HOFFMAN, R. Working Minds: a practicioner´s guide to cognitive task analysis. Cambridge: The MIT Press, 2006.
• GOMES, J. O. et al. IResilience and brittleness in the offshore helicopter transportation system: the identification of constraints and sacrifice decisions in pilots work. Reliability Engineering and Systems Safety, v. 94, p. 311-319, 2009. http://dx.doi.org/10.1016/j.ress.2008.03.026
• HALE, A. R.; HEIJER, T. Is resilience really necessary? The case of railways. In: HOLLNAGEL, E.; WOODS, D. D.; LEVESON, N. G. (Eds.). Resilience Engineering: concepts and precepts. London: Ashgate, 2006. p. 115-137.
• HENDRICK, H. W.; KLEINER, B., M. Macroergonomics: an introduction to work system design. Santa Monica: Human Factors and Ergonomics Society, 2001.
• HENRIQSON, E. et al. How a cockpit calculates its speeds and why errors while doing this are so hard to detect. Cognition, Technology, and Work, v. 13, p. 217-231, 2011. http://dx.doi.org/10.1007/s10111-010-0161-4
• HOFFMAN, R.; MILITELLO, L. Perspectives on Cognitive Task Analysis: historical origins and modern communities of practice. New York: Taylor and Francis, 2009.
• HOLLNAGEL, E.; NEMETH, C. P.; DEKKER, S. Resilience Engineering Perspectives: remaining sensitive to the possibility of failure. Burlington: Ashgate, 2008. v. 1.
• HOLLNAGEL, E.; WOODS, D. D.; LEVESON, N. Resilience Engineering: concepts and precepts. London: Taylor Francis, 2006.
• HOLLNAGEL, E.; WOODS, D. Joint Cognitive Systems: foundations of cognitive systems engineering. Boca Raton: Taylor Francis, 2005. http://dx.doi.org/10.1201/9781420038194
• MOREL, G.; AMALBERTI, R; CHAUVIN, C. How good micro/macro ergonomics may improve resilience, but not necessarily safety. Safety Science, v. 47, n. 2, p. 285-294, 2009. http://dx.doi.org/10.1016/j.ssci.2008.03.002
• NEMETH, C.; HOLLNAGEL, E.; DEKKER, S. Resilience Engineering Perspectives: preparation and restoration. Burlington: Ashgate, 2009. v. 2. PMid:19132120.
• O'CONNOR, P. et al. Identifying the team skills required by nuclear power plant operations personnel. International Journal of Industrial Ergonomics, v. 38, p. 1028-1037, 2008. http://dx.doi.org/10.1016/j.ergon.2008.01.014
• PAGE, S. The Difference: how the power of diversity creates better groups, firms, schools and societies. Princeton: Princeton University Press, 2007.
• PERROW, C. Normal Accidents: living with high-risk technologies. Princeton: Princeton University Press, 1984.
• SAURIN, T. A.; CARIM JUNIOR, G. Evaluation and improvement of a method for assessing HSMS from the resilience engineering perspective: a case study of an electricity distributor. Safety Science, v. 49, n. 2, p. 355-368, 2011. http://dx.doi.org/10.1016/j.ssci.2010.09.017
• SHEEHAN, J. J. Business and Corporate Aviation Management: on demand air transportation. New York: McGraw-Hill, 2003.
• SNOOK, S. Friendly Fire: the accidental shootdown of U.S. Black Hawks over Northern Iraq. Princeton: Princeton University Press, 2000. PMCid:1461085.

Apêndice A-Clique para ampliar

Apêndice A. Extrato do protocolo para avaliação do princípio da flexibilidade. Características do princípio Fontes de dados

*

UFRGS, Porto Alegre, RS, Brasil

Datas de Publicação

• Publicação nesta coleção
  19 Mar 2013
• Data do Fascículo
  Dez 2013

Histórico

• Recebido
  21 Fev 2011
• Aceito
  27 Set 2012