Análise de barreiras e o modelo de ressonância funcional de acidentes de Erik Hollnagel

Barrier analysis and Hollnagel's functional resonance accident model

ARTIGOS

Análise de barreiras e o modelo de ressonância funcional de acidentes de Erik Hollnagel

Barrier analysis and Hollnagel's functional resonance accident model

Ildeberto Muniz de Almeida

Departamento de Saúde Pública da Faculdade de Medicina de Botucatu. Unesp. São Paulo

^{Correspondência}

RESUMO

Partindo de apresentação da proposta de análise de acidentes baseada no modelo sistêmico e não linear de acidentes, dito de ressonância funcional, desenvolvido por Erik Hollnagel, este texto discute críticas às concepções deterministas de acidente e aos modelos lineares de representação desses eventos. Aspectos do modelo de ressonância funcional são usados como eixo definidor de proposta de agenda de discussões a ser desenvolvida pelos interessados no tema da análise de acidentes, destacando-se: a) a defesa do abandono da idéia de causas de acidentes e sua substituição pela de explicação desses eventos; b) apresentação dos conceitos de variabilidade de desempenhos e adaptações locais e a proposta de sua utilização como bases para a identificação de perfis ou aspectos típicos de acidentes. Por fim, discute-se a necessidade de incorporação dos conceitos apresentados no debate sobre novos caminhos para as práticas de análises e de prevenção de acidentes em nosso país.

Palavras-chave: investigação de acidentes, modelos de acidentes, prevenção de acidentes, variabilidade de desempenhos, modelo de ressonância funcional de acidentes.

ABSTRACT

Starting from presentation of accident analysis proposals based on systemic and non-linear model of accidents called functional resonance, developed by Erik Hollnagel, this paper discusses criticism of deterministic accident conceptions and linear models representing these events. Aspects of Functional Resonance Accident Model are used as an axis to define an agenda for discussions to be developed by those interested in the accident analysis subject, specifically: a) the need to cease using the idea of accident causes in favor of explaining these events; b) presenting the concepts of performance variability and local adaptations and their utilization as bases to identify patterns of accidents. Finally, it discusses the need to include these concepts in the debate on new practices for accident analysis and prevention in Brazil.

Keywords: accident investigation, accident models, accident prevention, performance variability, functional resonance accident model.

Introdução

Na literatura de acidentes, vez por outra, ganha evidência o tema de como os modelos ou as concepções de acidentes adotados pelas equipes de análises direcionam a busca de fatores e a construção de explicações sobre como aconteceu o evento em questão. Em outras palavras, sobre como os pressupostos implícitos ou explícitos nos conceitos e técnicas usados pelas equipes de segurança influenciam nos resultados das práticas de análise de acidentes (ALMEIDA, 2006; DEKKER, 2005; HOLLNAGEL, 2003).

Esse tema foi recentemente explorado por Hollnagel (2004), que critica, em especial, o determinismo ou a causalidade linear assumido nas abordagens mais comuns em análises de acidentes e apresenta uma proposta de modelo não linear de acidente, denominado por ele de ressonância funcional.

Em livro, inicialmente disponibilizado na internet, Leveson (2002) também defendeu a ampliação do perímetro das análises de acidentes. Segundo ela, é preciso:

a) Expandir a análise, considerando outros fatores além de falhas de componentes e fatores humanos;

b) Considerar erros na concepção de sistemas e disfunções de interações;

c) Permitir avaliações de perigos e análises de risco que ultrapassem falhas de componentes e lidem com o complexo papel que softwares e seres humanos assumem em sistemas de alta tecnologia;

d) Mudar a ênfase dada a erros humanos em acidentes para mecanismos que modelem comportamentos humanos;

e) Encorajar mudança da ênfase em causas - enfoque limitado e de busca de culpados - para compreensão de razões dos acidentes;

f) Examinar os processos e não apenas eventos e condições envolvidos nos acidentes;

g) Estimular múltiplos pontos de vista e interpretações.

Uma das principais questões apontadas pelos críticos das abordagens deterministas refere-se ao fato de que as análises de acidentes revelam que as estratégias e os modos operatórios usados pelos operadores por ocasião do evento foram utilizados com sucesso no passado. Ou seja, diferentemente do pressuposto determinista, os mesmos fatores poderiam ensejar resultados diferentes.

Daí, a proposta de Hollnagel (2004) de abandono da noção de causa. Em seu lugar, deveria ser adotada a idéia de explicação de acidentes. Ver o acidente dessa forma não significa que não há o que fazer em termos de prevenção. Assim como Woods e Cook (1999, 2002), ele sugere explorar noções como as de situações acidentogênicas ou de fatores modeladores de riscos que, uma vez identificados, devem ser alvo de análises de barreiras, visando à prevenção de acidentes. Além disso, a prevenção poderia assumir novos caminhos elaborados com a ajuda do modelo de ressonância funcional (functional resonance accident model - FRAM) por ele desenvolvido.

Entre os objetivos deste texto, está a idéia de incentivar a abertura de debate sobre a análise de acidentes. A estratégia escolhida inclui a indicação de subtemas, com destaque para a noção de modelos ou concepções de acidentes adotados pelas equipes de Segurança e Saúde do Trabalhador. A proposta de Hollnagel é usada como fio condutor de discussão que visa explicitar pressupostos assumidos nesse modelo e, ao mesmo tempo, possibilitar inferências sobre os pressupostos dos modelos mais presentes nas práticas de investigação de acidentes adotadas em nosso país.

Causas versus explicações

Segundo Hollnagel (2004), não faz sentido utilizar a idéia de "causa(s)" de acidentes. É hora de trabalhar com a noção de explicação construída durante a análise desses eventos.

Para explicar a diferença entre causa e explicação, o autor afirma que podemos dizer que há um acidente quando determinado número de fatores acontece em conjunto ou se alinha em momento específico. Mas isso não permite afirmar que esse acidente foi causado por um desses elementos. Vistos em conjunto, esses fatores e condições constituem uma explicação, uma vez que nos permitem compreender como o acidente aconteceu: "A causa, se é que existe alguma, é a concorrência ou coincidência desses vários fatores" (HOLLNAGEL, 2004, p. 29).

A tendência de procurar mais causas do que explicações é bem exemplificada na prática corrente no campo da segurança de análise de causa raiz de um acidente. De acordo com essa idéia, seria possível encontrar uma causa que é a raiz ou origem dos problemas, especialmente dos incidentes e acidentes. Uma das regras adotadas na busca dessas "causas" afirma que a relação de "causa e efeito" entre o fato antecedente e sua conseqüência deve ser claramente demonstrada.

Hollnagel critica essa regra afirmando que ela embute pressupostos como as idéias de que: 1) nada acontece sem uma causa e 2) partindo do conhecimento do efeito, é possível encontrar essa causa. Também implica, embora mais sutilmente, que se a "causa" é encontrada e eliminada, o acidente não acontecerá novamente (HOLLNAGEL, 2004). Esses pressupostos estão fortemente enraizados nas abordagens que buscam identificar responsáveis ou definir culpados, de modo a embasar processos e decisões judiciais. O alcance da crítica de Hollnagel é enorme e precisa ser discutido entre nós.

A prática tradicional de investigação de acidentes costuma basear-se no pressuposto de que as "causas" do ocorrido podem ser deduzidas no pós-acidente. Criticando essa visão, Hollnagel destaca, em primeiro lugar, que, nas análises de acidentes, é impossível ter acesso a todos os fatos. Sempre falta alguma coisa. Além disso, alguns "dados" podem não ser exatamente fatos, mas meros produtos de observações "espúrias", que não são relacionadas causalmente, embora se apresentem de formas contíguas no tempo. Outro aspecto destacado é que os fatos, tal como são, não são independentes do modelo de acidente adotado pela equipe. Fatos não são encontrados, mas sim procurados. Ou ainda: "A causa (do acidente) é mais construída do que encontrada" (p. 34). "A determinação de 'causa' é um processo mais relativo (pragmático) do que absoluto (científico)" (p. 35).

A Figura 1 foi elaborada por Hollnagel para mostrar a evolução das mudanças ocorridas na compreensão do que seriam as causas de acidentes. Por volta de 1970, as principais categorias de causas adotadas pela comunidade técnica eram falhas técnicas, erro humano e outras (Figura 1). A menor confiabilidade dos sistemas técnicos e o predomínio da visão determinista naquela época seriam, em parte, responsáveis por isso.

Com o passar dos anos, essas três categorias foram sendo exploradas. A Figura 1 tenta mostrar a idéia de movimento de acordo com o sentido das setas. No final dos anos 1970, ergonomistas e psicólogos desenvolveram grande número de contribuições à compreensão da natureza da ação humana no trabalho. No início, os estudos concentraram-se no trabalho de operadores "do chão de fábrica" e, rapidamente, incluíram trabalhadores de manutenção, gerentes e encarregados de conceber novos dispositivos (designers).

A categoria "falhas técnicas" teve desenvolvimento menor. Falhas de softwares costumam ser tratadas nesse item, embora também o sejam como falhas humanas ou organizacionais.

Nas últimas décadas, a categoria "outras" teve desenvolvimento notável. A partir dos anos 1980, surgem conceitos como o de condições latentes, de Reason (1999), cresce a importância de fatores organizacionais e a ênfase em noções como cultura de segurança, gestão de qualidade e suas contribuições para a segurança de sistemas.

O modelo dos dominós de Heinrich pode ser definido como protótipo de representação de acidentes como seqüência linear de eventos. Hollnagel inclui nos modelos lineares praticamente todas as técnicas que adotam esquemas gráficos, como formas de reconstrução de acidentes, ou seja, a espinha de peixe, as árvores de causas, de eventos e de falhas e a árvore do management oversight risk tree (MORT). Embora alguns desses esquemas representem acidentes como rede de fatores em interação e discutem as relações representadas em termos de probabilidade de ocorrências, são criticadas por não representarem feedbacks, relações indiretas ou dependências mútuas como apresentadas no modelo de ressonância funcional (HOLLNAGEL, 2004; LEVESON, 2004).

Barreiras e a prevenção de acidentes

Barreiras foram definidas por Taylor (1988 apud HOLLNAGEL, 2004, p. 81) como "equipamentos, construções, ou regras que interrompem o desenvolvimento de um acidente". Embora a falha de uma barreira possa contribuir para a ocorrência de um acidente, ela não deve ser considerada "em si" como "causa" desse evento. O uso desse conceito em análises de acidentes é discutido por autores como Hollnagel (2004), Almeida (2006), Hale et al. (2007).

Existem diferentes classificações de barreiras. Uma das mais simples, baseada em suas características estruturais, as divide em: físicas ou materiais, funcionais (ativas ou dinâmicas) e simbólicas. As físicas ou materiais incluem cercas, gaiolas etc. As funcionais impedem a realização de certas ações com intertravamentos lógicos ou temporais. Barreiras funcionais estabelecem pré-condições sem as quais determinada ação não pode ser realizada. Por fim, as simbólicas requerem interpretação para alcançarem seus propósitos. Os exemplos mais típicos são as placas de sinalização. Hollnagel (2004) diferencia funções (barrier function) e sistemas de barreiras (barrier system). A função descreve o objetivo da barreira ou a maneira específica pela qual ela alcança seu propósito.

A noção de barreiras, usada por Hollnagel, é alvo de críticas recentes por Hale et al. (2007), que a consideram ampla demais, ensejando confusão entre as noções de barreira e tarefas gerenciais necessárias à sua eficácia.

O Quadro 1 mostra exemplos de funções de barreiras correlacionando-as com a noção de sistema de barreiras. O sistema corresponde à estrutura física e/ou organizacional da barreira e permite que ela realize sua função.

A aplicação prática da noção de barreiras na análise e na prevenção de acidentes também requer o estudo dos modos de falhas de barreiras. Hollnagel descreve dez tipos de possíveis modos de falhas, também chamados por ele de "fenótipos". Os fenótipos são objetivos, ou seja, podem ser observados e até medidos. Os modos de falhas citados incluem antecipações ou atrasos, paradas precoces ou tardias, lentidão ou excesso de velocidade, erro de direção, falta ou excesso de força, falhas na seqüência de funções, falta ou excesso de peso ou volume etc. (p. 104-105).

Modelos de análises de acidentes

A crítica aos modelos lineares de acidentes é retomada quando Hollnagel discute como os "links de causa e efeito" são vistos em três modelos de análises de acidentes: o seqüencial, o epidemiológico e o sistêmico. Segundo ele, nos dois primeiros:

[...] acidentes são fenômenos resultantes, no sentido de que as conseqüências são previsíveis [...] do conhecimento sobre suas partes constituintes. Em contraste [...] o modelo sistêmico vê os acidentes como fenômenos emergentes, como alguma coisa que surge de complexo de condições, mas que não pode ser previsto de modo similar. (HOLLNAGEL, 2004, p. 66)

Na análise de acidentes, é necessário descrever como o evento se desenvolveu, ou seja, é preciso identificar as combinações específicas de eventos e condições que "modelaram" o acidente, inclusive as barreiras que falharam (p. 110-111). As técnicas mais conhecidas (árvore de falhas, árvore de causas) de representação desses processos adotam seqüências de passos ou diagramas, alguns dos quais mostram os "caminhos que podem levar ao resultado não pretendido" (HOLLNAGEL, 2004, p. 122).

Reconhecendo que os pontos dos esquemas mostram os caminhos de possíveis falhas e permitem a indicação de barreiras capazes de evitá-las, Hollnagel aponta limites das formas de representação gráfica existentes:

A essência de um modelo sistêmico não pode ser capturada por nenhuma representação baseada em árvores ou gráficos simples [...]. é que todas essas representações embutem a noção de desenvolvimento seqüencial, que é inadequada para mostrar a dependência funcional que é tão importante do ponto de vista sistêmico. A alternativa óbvia é o uso de gráficos complexos ("complex graph") tais como uma rede de trabalho ("network"). (HOLLNAGEL, 2004, p. 123)

Uma das alternativas sugeridas ao uso de abordagens seqüenciais é o uso da análise funcional estruturada, adotando como princípio básico a caracterização da função desenvolvida no sistema.

Como entender a função do sistema? De modo prático, ela corresponde à tarefa realizada com os recursos em questão. Afinal, o que se busca ao reunir os recursos que compõem esse sistema onde ocorre o acidente? Pensando no suporte do modelo sistêmico de acidente, Hollnagel propõe ampliar a representação clássica da técnica de análise estruturada de quatro (input, output, controle e recursos) para seis conectores, representados com a respectiva função por meio de um hexágono (Figura 2).

Assim, cada função mostraria dependência ou relações com seis tipos de componentes ou conexões, que poderiam influenciar seu desenvolvimento. São elas: os inputs ou condições necessárias ao desenvolvimento da função; os outputs ou resultados produzidos pela função; os recursos (hardwares, softwares etc.) usados para lidar com os inputs e desenvolver a função consumindo massa, energia, informações etc.; os controles ou constrangimentos, que se referem às leis físicas, à organização do trabalho, aos sistemas existentes para supervisionar, restringir a função e ajustá-la, quando necessário; as pré-condições, das quais a mais importante costuma ser que o passo anterior tenha sido completado; e o tempo em que o processo transcorre.

A representação sistêmica facilita a demonstração de como as conexões de cada função e as funções entre si dependem umas das outras. Essa representação também facilita a identificação de variabilidades, como as conexões inesperadas. O quadro abaixo mostra exemplo ilustrando como o desenvolvimento da função "pegar o medicamento" pode ser afetado em casos de indisponibilidade do mesmo no estoque (variabilidade na conexão: Recursos) ou de retirada de medicamento errado (variabilidade na conexão: Controle).

Modelo sistêmico de acidente

Na sociedade moderna, sistemas sociotécnicos abertos tendem a se tornar cada vez mais complexos. Isso decorre, em parte, das tecnologias usadas e também da dependência cada vez maior do homem em relação aos sistemas que cria. Uma conseqüência inevitável é que os sistemas apresentam, como características estruturais, mais chances de interações não previstas entre seus componentes e, ao mesmo tempo, capacidade de evoluírem de forma descontrolada. Aumentam, também, as chances de interações caracterizadas por interligações fortes.

Isso levou Perrow (1999) a considerar acidentes em sistemas fortemente interligados como ocorrências sistêmicas ou normais. Enquanto Perrow baseia seu argumento na idéia de que os sistemas se tornaram tão complexos que os homens não podem mais controlá-los, Hollnagel adota um ponto de vista semelhante, mas com outra compreensão. Para ele, esses sistemas exigem desempenhos variados e, mais do que a complexidade, é a variabilidade desses desempenhos que se torna a principal razão para esses acidentes. No entanto, para o autor, essa variabilidade é condição necessária ao funcionamento desses sistemas (PERROW, 1999, p. 141). A explicação do acidente como produto da estrutura dos sistemas é criticada, principalmente, pelo pessimismo com que se vêem as possibilidades de prevenção em tempos de complexidade. A visão de Perrow é uma das primeiras críticas ao modelo linear de acidentes. A sua noção de interações não lineares pode ser descrita como equivalente à da dependência mútua apresentada por Hollnagel. No entanto, Perrow não propõe representação gráfica de sua idéia.

Os interessados no tema da análise de acidentes não podem ficar ao largo dessa discussão. No entanto, não se deve perder de vista que Hollnagel e Perrow fazem coro com seleto grupo de estudiosos (DEKKER, 2005; LLORY, 1999; RASMUSSEN, 1997; WOODS; COOK, 2002) da segurança que propõem ruptura radical com as abordagens que insistem na idéia de que as principais "causas" de acidentes são comportamentos de desrespeito a normas, prescrições ou outros equivalentes do jeito certo de fazer o trabalho. De modo distinto, eles afirmam que os comportamentos que fracassam surgem em tentativas desenvolvidas pelos operadores, visando controlar essa variabilidade que, por sua vez, é necessária ao desenvolvimento da atividade em curso. Além disso, boa parte das situações que emergem no funcionamento do sistema é nova, ou seja, não antecipada pelos responsáveis pela elaboração das normas e prescrições adotadas no sistema.

Ao lidar com essa questão, estudos que adotam o enfoque da Ergonomia da Atividade (AMALBERTI, 1996; DINIZ; ASSUNÇÃO; LIMA, 2005; LIMA; ASSUNÇÃO, 2000) ressaltam a importância do estudo do trabalho normal, por exemplo, com análises ergonômicas das atividades em questão como caminho para a identificação das variabilidades mais freqüentes no sistema e, principalmente, das estratégias e dos modos operatórios usados pelos trabalhadores para a solução dos problemas e a retomada do desenvolvimento normal da atividade. Os acidentes sinalizam a ocorrência de constrangimentos em situações de trabalho que impedem ou limitam o uso dessas estratégias. Como conseqüência, as estratégias de prevenção propostas, longe de acenarem com proibições do uso de modos operatórios que fracassaram, podem recomendar, justamente, a criação de condições que facilitem sua utilização pelos operadores e, ao mesmo tempo, aumentem sua eficácia.

Isso não significa a defesa pura e simples de toda e qualquer estratégia adotada pelos trabalhadores. Muitas delas podem ser percebidas como de alto de risco, no entanto, cabe o estudo de alternativas, considerando que as escolhas dos trabalhadores ocorrem em contexto de trabalho, ou seja, são limitadas por meios, objetivos prescritos e pessoais, aspectos do ambiente etc. em que aquele trabalho é realizado. Em outras palavras, a interferência das características pessoais desses operadores na escolha adotada é sempre mínima quando comparada com os determinantes da situação.

A variabilidade de desempenhos não decorre da variabilidade humana como tal, especialmente se esta última é compreendida como proveniente de limitações motoras, de percepção e cognitivas do controlador humano (embora tais limitações existam e estejam bem documentadas) (HOLLNAGEL, 2004, p. 141). Ela é induzida pela complexidade e pelas demandas do sistema. Dada a impossibilidade de redução dessa complexidade, a alternativa para a prevenção é tentar gerir essa variabilidade:

Gerenciar alguma coisa requer ser capaz de observá-la ou detectá-la, ser capaz de determinar quando ela está se tornando fora de controle, e ser efetivamente capaz de introduzir contra medidas ou ações de mitigação. Esse é o centro da questão para a prevenção de acidentes. (HOLLNAGEL, 2004, p. 142)

O princípio da negociação ou compromisso eficiência-qualidade

O trabalho humano é estritamente social. O desenvolvimento de toda atividade depende de materiais e ferramentas, enfim, de condições pré-existentes que podem interferir no andamento dessa atividade de modo nem sempre facilmente perceptível. Além disso, a realização desse trabalho exige constante monitoramento e eventuais ajustes visando à manutenção de condições desejadas. Na maioria das situações, o monitoramento é atribuído como tarefa adicional e invisível dentro das atribuições prescritas, embora seja claramente necessário.

Quando uma situação de trabalho é planejada, diversos pressupostos são assumidos. A situação ideal considera que:

• Inputs são regulares e previsíveis;

• Outras pessoas se comportam como requerido e esperado;

• Demandas e recursos estão disponíveis e são compatíveis;

• Condições de trabalho situam-se dentro de limites de normalidade;

• Resultados (e ações) do sistema estarão de acordo com as normas.

Infelizmente, no cotidiano de trabalho, as coisas não se dão de modo assim tão simples. Com freqüência, a situação muda e o "trabalho como ele é na realidade" mostra:

• Inputs irregulares e não previsíveis;

• Comportamentos inesperados de outras pessoas;

• Variabilidade de demandas e recursos que podem ser inadequados ou inacessíveis;

• Condições de trabalho subótimas;

• Resultados do sistema que variam consideravelmente.

Na prática, as ações humanas têm sempre que atender múltiplos critérios de desempenho cambiantes e freqüentemente conflitantes (HOLLNAGEL, 2004, p. 147). Usualmente, as pessoas são capazes de lidar com essa complexidade imposta porque podem ajustar o que fazem e como fazem.

Os trabalhadores sempre buscam otimizar seus desempenhos, fazendo o que lhes cabe da melhor maneira possível com custo mínimo, ou seja, sem despender tempo ou esforços desnecessários. Isso pode ser visto como tentativa de conseguir equilíbrio ou compromisso aceitável entre recursos e demandas ou negociação entre eficiência e qualidade¹ (trade-off between thoroughness and efficiency - ETTO) de modo a alcançar as metas internalizadas pela pessoa (HOLLNAGEL, 2004, p. 147-148).

O compromisso eficiência-qualidade significa que:

[...] numa atividade em situação de trabalho, o operador não pode agir de maneira ótima do ponto de vista de todos os critérios de avaliação de seu trabalho. Ele é, portanto, levado a elaborar um compromisso que se traduz pelos pesos diferentes a atribuir a esses critérios (por exemplo, o peso relativo a dar à qualidade do trabalho e à carga física e mental representada por esse último). Este compromisso, pode ter conseqüências diretas para a segurança e deve ser considerado nas análises de segurança. (LEPLAT, 2006)

Essa negociação é ajudada pela existência de determinada regularidade ou estabilidade nos ambientes de trabalho e no mundo em geral. Essa regularidade leva à previsibilidade, que permite a otimização de desempenhos com a utilização de atalhos que "liberam capacidades e aumentam as chances de sobrevivência" (HOLLNAGEL, 2004, p. 148). Deixando de usar toda sua capacidade, fazendo algumas coisas sem usar toda sua atenção, os seres humanos tendem a economizar recursos que podem ser usados no monitoramento, na antecipação e no planejamento.

O desempenho humano é eficiente porque as pessoas aprendem rapidamente a desconsiderar aqueles aspectos ou condições que normalmente são insignificantes. Por outro lado, os ajustes atendem às necessidades do sistema e não apenas do indivíduo. Para ser efetivo, o resultado do ajuste sobre o sistema deve ser relativamente estável. Por outro lado, a eficiência do desempenho do sistema contribui para a regularidade do ambiente de trabalho e para a eficiência dos ajustes individuais.

A otimização local é mais norma do que exceção. O "desempenho normal não é o prescrito nas regras e regulamentos, é muito mais aquele que tem lugar como resultados dos ajustes" (HOLLNAGEL, 2004, p. 149). Na compreensão sistêmica, as falhas não devem ser procuradas em características de um dos componentes, como, por exemplo, dos indivíduos. Elas emergem do sistema:

A conclusão é que [...] desempenho normal e falhas são fenômenos emergentes, uma vez que nenhum deles pode ser atribuído a, ou explicado por componentes ou partes específicos. Ao invés, devemos procurar como dependências mútuas podem originar-se dentro do sistema. Para os seres humanos no sistema isso significa em particular que as razões pelas quais eles falham algumas vezes, no sentido de resultados de suas ações diferirem do que era pretendido ou requerido, deve ser visto como devido à variabilidade do contexto e condições, mais do que da variabilidade de suas ações. (HOLLNAGEL, 2004, p. 150)

O alcance dessa compreensão para o entendimento de comportamentos dos trabalhadores em análises de acidentes é enorme e precisa ser discutido entre nós.

No nível individual, a ETTO pode ser encontrada tanto nas características do funcionamento cognitivo, quanto no modo como as pessoas trabalham. Estudos sobre operações mentais usadas em julgamentos em situações de incerteza mostram que as pessoas confiam em pequeno número de heurísticas ou atalhos mentais que tendem a simplificar tarefas complexas. Assim, ao invés da avaliação de probabilidades são usadas operações baseadas em semelhanças entre o observado e lembranças prévias (pareamento por similaridade) ou escolhidas as opções encontradas com maior freqüência na vivência da pessoa (apostas de freqüência).

Decisões e adaptações que configuram exemplos do compromisso eficiência-qualidade (ETTO) e podem comprometer a segurança do sistema aparecem tanto no âmbito do trabalho individual, quanto no do coletivo ou organizacional. Assim é que, individualmente, um trabalhador pode fazer uma avaliação rápida ao invés de outra mais detalhada, elevar o limiar do desencadeamento de determinada ação, omitir checagem prescrita, considerar que a ação necessária foi feita por outra pessoa, adiar a tarefa não considerada essencial no momento, repetir a ação que funcionou anteriormente, estimular a falsa sensação de segurança.

Segundo Hollnagel (2004), as pessoas agem desse modo tentando ser eficientes e o fazem sendo tão cuidadosas quanto acreditam que seja necessário. Embora esse fato não esteja explicitado, esses comportamentos são produtos de negociações e dependem do contexto. Se as pressões externas ou internas para completar uma tarefa ou cumprir um prazo forem muito altas, as pessoas diminuirão suas demandas de "completude", de fazer do melhor modo que podem, e correrão mais riscos (p. 155).

O mesmo tipo de negociações também pode ocorrer no nível organizacional. Assim é que uma organização que registra apenas eventos negativos pode passar a acreditar que a falta de registros no passado significa que o sistema estará seguro no futuro. Outras podem eliminar checagens duplas e verificações independentes ou estabelecer discursos contraditórios com as políticas e as práticas que adotam, como aqueles que afirmam que a segurança é prioridade equivalente à produção.

As pressões por eficiência podem levar trabalhadores a desconsiderar procedimentos ou regras de segurança nos compromissos eficiência-qualidade. Em questionário aplicado a 286 engenheiros de manutenção de aeronaves, 34% afirmaram não seguir procedimentos oficiais em tarefas que completaram; 45% disseram que havia modo mais fácil; e 43% disseram que havia jeito mais rápido do que o oficial. Estudo com operadores de impressoras que não usavam luvas de borracha e limpavam máquinas ainda em movimento mostrou que a soma desses dois "desvios" reduzia o tempo da tarefa em 57%, ou 90 segundos. Para Hollnagel (2004), correr riscos tão significativos para economizar 90 segundos de tempo sugere quão importantes devem ser as pressões de produção e serve de exemplo de duplicidade de padrões de gestão acima citado (p. 157).

Ressonância² estocástica³ como modelo para acidentes

Hollnagel (2004) aponta limites de modelos que representam acidentes como seqüências de eventos. Para construir modelo sistêmico de acidente, ele utiliza o princípio da ressonância estocástica. Para entender o uso do conceito físico de ressonância num modelo teórico de acidente, vejamos primeiro os exemplos de acidentes explicados pela ressonância como fenômeno físico propriamente dito.

Ressonância é definida como resposta seletiva de um objeto ou sistema que vibra pela aplicação de uma força (empurrão) externa ou oscilação. É também descrita como o aumento na amplitude da oscilação de um sistema eletromagnético ou mecânico exposto a outra força periódica, cuja freqüência é igual ou muito próxima a de uma das freqüências naturais do sistema. O resultado obtido apresenta a mesma freqüência com aumento da amplitude das ondas. A ressonância requer três condições:

• Um objeto ou sistema que pulsa com sua freqüência própria, dita natural;

• Uma força que é aplicada na mesma freqüência da freqüência natural do objeto e que cria uma ressonância;

• Inexistência de perda ou diminuição de energia: se há perda de energia, especialmente maior do que a aplicada no sistema, é mais difícil que o sistema entre em ressonância. (p. 160-161).

Nos casos em que o aumento da amplitude não é pretendido, existe um efeito colateral que é a perda de controle do sistema. Na sociedade moderna, os melhores exemplos de situações em que a ressonância - fenômeno físico - levou a acidentes estão em desabamentos e alterações estruturais de pontes, como a de Tacoma Narrow, em novembro de 1940, e a de London Millennium, em Junho de 2000.

Nos dois casos citados, os efeitos da ressonância poderiam ter sido antecipados. No caso da ressonância estocástica, as relações entre as forças são um pouco mais enganosas, embora o princípio seja o mesmo.

Visando facilitar a compreensão da noção de ressonância estocástica, Hollnagel recorre ao ruído apresentado como alguma coisa que distorce ou perturba (2004), como algo que, de forma aleatória, se superpõe ao sinal fraco que é transmitido (na freqüência natural no sistema) e o distorce, por exemplo, aumentando a sua freqüência de modo não desejado.

A ressonância estocástica é um fenômeno em que um input não linear (ruído) é superimposto sobre um sinal periódico modulado tão fraco que, em condições normais, não é detectado, mas se torna detectável devido à ressonância entre o sinal determinístico fraco e esse ruído.

Um exemplo de ressonância estocástica é o seguinte: ao navegar ao longo da costa, você pode encalhar. Se o fundo é arenoso, o bote pode ficar preso. A solução é empurrá-lo ou puxá-lo. Isso é feito aplicando uma força sobre o bote e puxando-o com uma corda. Em muitos casos, a força do puxão é insuficiente para liberar o barco. Mas pode acontecer que venha uma onda e levante o bote de modo que isso, em combinação com o puxão, seja suficiente para liberá-lo. Esse é um caso de ressonância estocástica, no sentido de que a onda soma-se à força exercida pela pessoa que puxava a corda. Nesse caso, a onda é o ruído ou input estocástico (ou aleatório) (HOLLNAGEL, 2004, p. 167).

A ressonância estocástica pode ser usada para descrever como se restabelece a ordem num sistema desordenado. Acidentes representam o oposto disso. Como usar essa noção como analogia de acidentes? Hollnagel recorre à noção de variabilidade do desempenho para indicar a presença dos sinais fracos capazes de interagir com o ruído emergente e levar ao acidente.

Em sistemas complexos, os desempenhos variam em função da variabilidade de subsistemas, de componentes e da complexidade de suas interações. No caso de componentes tecnológicos, a variabilidade dos desempenhos é devida parcialmente a imperfeições de fabricação e operação e, em parte, a limitações de concepção no sentido de que existem condições de trabalho e combinações de inputs que não foram antecipadas. No caso de seres humanos e sistemas sociais, há muitas diferentes razões para a variabilidade de desempenhos, a principal delas sendo a tendência humana a ajustar o desempenho às condições atuais, como descrito em termos da ETTO, à falta de constância de funções cognitivas e de percepção etc.

Sistemas complexos têm grande número de subsistemas e componentes e a variabilidade de desempenhos de cada um deles pode ser vista como o sinal periódico fraco para constituir perigo ou ter efeitos detectáveis. Sistemas complexos na prática estão constantemente promovendo autocorreções por concepção ou por natureza. Portanto, as definições de sinal e de ruído são relativas ao foco de análise. O sinal fraco pode ser a variabilidade de qualquer parte ou componente do sistema e o ruído estocástico é a variabilidade agregada do restante do sistema que pode ter função de ressonância.

Tais considerações são condizentes com a visão do modelo sistêmico de acidentes, segundo a qual os acidentes geralmente são devidos à coincidência ou ao alinhamento de condições e ocorrências, cada uma das quais necessárias, mas nenhuma delas suficiente para levar ao acidente (HOLLNAGEL, 2004, p. 169).

Eis um exemplo: uma usina geradora de energia é temporariamente desativada para manutenção programada e não há antecedentes de problemas durante as paradas. Se a parada acontece em período de tempo muito quente, que leva ao aumento da demanda por energia de modo que exceda a capacidade habitual de produção de energia na área, isso pode levar a black-out na região. Nesse exemplo, o sinal fraco (originado em variabilidade do sistema) é a manutenção ou a reduzida capacidade de geração de energia dela resultante e o ruído aleatório é a variabilidade na temperatura ou as condições ambientais (originado em variabilidade do ambiente em que o sistema está inserido). Nesse exemplo, o autor usa o conceito de ressonância em sentido amplo, típico do modelo de acidente que propõe, ao invés da noção restrita da física.

Na ressonância estocástica, o ruído é um input aleatório que se superimpõe ao sinal. Nesse sentido, o sinal é uma propriedade do sistema enquanto o ruído é uma propriedade do ambiente. O ruído também é, em larga medida, determinado pela variabilidade das funções do sistema, e não totalmente aleatório. Uma vez que a ressonância resultante não depende de uma origem desconhecida, mas é conseqüência de interações funcionais no sistema, é mais correto chamá-la de ressonância funcional do que de ressonância estocástica.

Com base nos conceitos apresentados, Hollnagel (2004) propõe modelo de acidente sistêmico com os seguintes componentes principais (Figura 3):

• Variabilidade do desempenho humano - incluindo os níveis individual e social (organizacional), tendo como principais origens o princípio da ETTO e a incapacidade temporária (relacionada à demanda);

• Disfunções tecnológicas menores ou falência completa - seja de modo abrupto, seja como degradação gradual dos desempenhos. As principais fontes de origens desses problemas são manutenções inadequadas, falhas de concepção e de supervisão;

• Condições latentes em geral - que podem ter origens diversas, tais como falhas ou deficiências na cultura de segurança e falta de clareza nas indicações de que alguma coisa vai mal;

• Falhas ou inexistência de barreiras (p. 170-171).

A figura tenta mostrar que essas quatro "forças" principais não levam a acidente ou incidente por simples combinação linear. Ela sugere que sua influência é mediada ou transportada pela ressonância funcional. Vista isoladamente, cada fonte de variabilidade (humana, tecnológica, condições latentes, barreiras) é um sinal fraco e as outras fontes são o ruído aleatório:

O princípio da ressonância funcional nos diz que em algum momento e local eles irão combinar-se de modo tal que o sinal fraco irá aumentar e levar a um resultado detectável e não pretendido. (HOLLNAGEL, 2004, p. 171)

Embora o modelo seja representado com essas quatro forças, ele pode ser estendido sempre que necessário. O modelo apresentado tem várias conseqüências para aqueles que lidam com acidentes:

• As tentativas de identificação de causas específicas de um acidente são normalmente de valor limitado: para cada acidente ocorrido sempre haverá uma constelação de fatores e condições em interação. Essa constelação é resultado de processo não linear e, por isso, basear a prevenção em elementos isolados, escolhidos como "causas", provavelmente não levará ao sucesso. Em casos de acidentes graves, é praticamente garantido que a mesma constelação não se apresente novamente, embora isso não exclua a possibilidade de que outro evento leve às mesmas conseqüências. Por isso, Hollnagel defende que a prevenção seja feita com base em perfis de acidentes, ou seja, naquilo que é típico de um acidente e não "no que é único" (HOLLNAGEL, 2004, p. 172. Grifo meu);

• Não se pode prever exatamente quando os acidentes irão ocorrer nem de que tipo eles serão. É possível antever situações em que os acidentes sejam mais prováveis;

• Considerando que os acidentes são devidos à agregação de variabilidade imprevisível, sua prevenção pode ser de dois tipos: barreiras e gestão da variabilidade de desempenhos. O uso de barreiras na prevenção já foi comentado. A prevenção com base na gestão da variabilidade de desempenhos é discutida mais adiante.

Modelo de acidentes de ressonância funcional ("FRAM" ou MARF)

O uso das seis categorias do modelo de acidente é útil para mostrar como se dá a ressonância funcional. Com o modelo, é possível discutir como a variabilidade de cada função (input, output, pré-condições, recursos, tempo, controles) pode ser afetada pela variabilidade das demais (HOLLNAGEL, 2004, p. 173).

Do ponto de vista prático, o uso desse modelo deve identificar condições que podem conduzir aos acidentes. No modelo sistêmico de acidente, a "predição" desses eventos é "incerta". Em termos práticos, essa nova "predição incerta" de acidentes requer abordagem em quatro etapas:

• Identificar e caracterizar as funções essenciais do sistema, por exemplo, com base nos seis conectores descritos;

• Caracterizar o potencial de variabilidade desses conectores;

• Definir a ressonância funcional com base nas dependências identificadas entre funções;

• Identificar barreiras para a variabilidade (fatores de redução) e especificar o monitoramento de desempenho requerido (HOLLNAGEL, 2004, p. 186).

A primeira etapa, de identificação das funções essenciais do sistema, remete à definição de sistema como conjunto ordenado de componentes e funções com propósito específico. As funções de um sistema não são absolutas e podem ser definidas em termos de seus propósitos ou metas. Uma das formas de identificá-las é através do uso de análise de cima para baixo (top-down) de metas e meios, ou de análise hierárquica de tarefas. Isso equivale à seqüência de tarefas ou coisas a fazer para alcançar os propósitos do sistema.

Discutindo a segunda etapa, de avaliação da variabilidade potencial, inicialmente, destaca-se que:

O aspecto fundamental da ressonância funcional é que a variabilidade de qualquer função é afetada pela variabilidade do resto do sistema. [...] uma parte importante do método FRAM é caracterizar o potencial para variabilidade de cada função assim como do sistema como um todo. (HOLLNAGEL, 2004, p. 189)

Embora o número de funções a serem consideradas dependa de cada situação prática, elas podem ser classificadas como pertencendo a três categorias, chamadas: humanas ("M"); tecnológicas (T); e organizacionais (O). As siglas usadas vêm da tradição escandinava de uso da "análise MTO". Função tipo-M é aquela que, primariamente, envolve a atividade de um indivíduo, em geral alguma coisa que ocorre na extremidade proximal (sharp end) do sistema. Função tipo-T é a que envolve, primariamente, o funcionamento de um sistema tecnológico. Função tipo-O é a que envolve, primariamente, uma função organizacional, em geral alguma coisa que ocorre na extremidade distal, tardia ou remota (blunt end) do sistema.

As três principais categorias de funções M, T, e O se diferenciam em relação ao quanto dependem do contexto e à velocidade ou taxa de mudança, sempre na dependência da duração do evento considerado. Ou seja, as reações de pessoas ao contexto tendem a ser rápidas, diferentemente do que ocorre com funções tecnológicas, que tendem a ser mais estáveis no tempo.

O papel do contexto na determinação dos desempenhos humanos, individuais e coletivos, é largamente reconhecido. O mesmo reconhecimento se dá hoje em relação às funções tecnológicas, embora estas possam ser menos suscetíveis. Hollnagel comenta que, inicialmente, aspectos do contexto foram chamados por Swain e Gutman (1983; apud HOLLNAGEL, 2004, p. 191) de fatores modeladores do desempenho (performance shaping factors) e que, posteriormente, tiveram esse nome mudado para determinantes reais de desempenhos.

O modelo FRAM não endossa o pressuposto da causalidade linear de acordo com o qual as condições de desempenho levariam diretamente a falhas ou "erros humanos". Ao invés disso, ele simplesmente propõe que o contexto afeta a variabilidade das funções, reconhecendo que essa variabilidade pode ter conseqüências negativas e positivas.

O interesse do modelo está em como descrever as condições que podem afetar a variabilidade de desempenho. Para fazer isso, Hollnagel recorre à proposta que desenvolveu anteriormente em seu método de análise de erros e da confiabilidade cognitiva (CREAM), denominada conjunto de condições comuns de desempenho, que, de certa forma, podem ser entendidas como as condições em que se dá o trabalho normal ou cotidiano daqueles trabalhadores (HOLLNAGEL, 2004, p. 191). Segundo Hollnagel, a análise de acidentes deve incluir o estudo de 11 dessas condições, listadas abaixo com indicação da função a que se aplicam: Humana (M), Tecnológica (T) ou Organizacional (O):

1. Disponibilidade de recursos humanos e técnicos (M, T);

2. Treinamento e experiência (M);

3. Qualidade de comunicações (M, T);

4. Interações homens-máquinas, incluindo concepção de interfaces e formas de suporte operacional (T);

5. Acesso a procedimentos e métodos (M);

6. Condições de trabalho físicas e organizacionais (T, O);

7. Números de metas e regras ou princípios (critérios) para resolução de conflitos (M, O);

8. Tempo disponível (pressão de tempo) (M);

9. Ritmo circadiano - privação de sono e assincronias que podem comprometer desempenhos (M);

10. Qualidade de colaboração da equipe / tripulação (M);

11. Qualidade e suporte da organização (O) (HOLLNAGEL, 2004, p. 192-93).

Pensando na determinação da possibilidade da ressonância funcional, cada uma dessas condições comuns de desempenho pode ser ranqueada em relação ao quanto dependem do contexto e de sua taxa de mudança.

Outra descrição dessas condições para um dado cenário pode incluir categorias como: 1) estável ou variável, mas adequada; 2) estável ou variável, mas inadequada; e 3) imprevisível (p. 193). A mera exploração dessas condições já amplia o perímetro das análises, no entanto, a principal mudança introduzida pelo FRAM é melhor compreendida com a exploração das dependências entre funções.

Na terceira etapa, tendo identificado as funções e determinado sua variabilidade potencial, a equipe explora as dependências entre funções. Uma vez que as dependências podem ocorrer para conexões corretas e incorretas entre funções, não basta confiar no procedimento ou tarefa normal. Um dos principais objetivos é a busca de conexões que podem ocorrer sob determinadas condições, mesmo que elas não devam existir.

Encontrar possíveis dependências no sistema exige verificar se a variabilidade de uma função A pode afetar outra função B. Isso requer que a função B esteja conectada à função A no sentido de que outputs da função A fornecem ou constituem um ou mais dos inputs para a função B (inputs, precondições, recursos, controles, tempo).

O processo exige identificar conexões esperadas e inesperadas. Esperadas são aquelas que se referem ao funcionamento normal do sistema levando à obtenção dos resultados esperados nas condições desejadas. As Figuras 4 e 5 mostram exemplos de representações não lineares de redes de conexões esperadas e inesperadas para a distribuição de medicamentos, mediante apresentação de receita médica, em uma farmácia. As conexões inesperadas, ou seja, os pontos em que alguma coisa pode dar errado (a prescrição não ser registrada, o nome do medicamento ou droga não ser verificado etc.) estão marcados com X na figura. A análise exige considerar como se manifestam e as razões que explicam seus surgimentos.

A quarta etapa é a de decisões sobre contramedidas de prevenção ou proteção identificadas via análises de acidentes e análises de riscos. Considerando que todo sistema tem uma base física e que as barreiras precisam ser implementadas de modo concreto, Hollnagel enfatiza a importância de determinar onde elas devem ser colocadas. Outro aspecto a ser considerado é qual tipo de função barreira utilizar. Obviamente, as escolhas efetuadas têm implicações econômicas, de tempo necessário para sua implementação, de requisitos para sua manutenção e suporte etc. (p. 199).

Gestão da variabilidade de desempenhos como estratégia de prevenção

"O modo que pensamos sobre sistemas tem conseqüências no como respondemos a eles, tanto na interação direta como no desenvolvimento de respostas mais elaboradas" (HOLLNAGEL, 2004, p. 200). Em outras palavras, a concepção de acidentes do analista influencia a forma como se conduz a investigação e sugere caminhos para a prevenção. A questão a que se chega nessa altura do texto é como considerar essa variabilidade de desempenhos na formulação de estratégias de prevenção.

A gestão da variabilidade de desempenhos reconhece desfechos não desejados no sistema como resultados da ressonância funcional que emerge da variabilidade de sistemas estreitamente interligados. A prevenção passa a exigir que seja considerada a existência de perfis ou assinaturas de variabilidade que possam ser monitorados. A inovação trazida por Hollnagel no campo da segurança está justamente na idéia desse monitoramento como fundamento para a elaboração de estratégias de prevenção, em complemento à noção clássica de barreiras. O monitoramento serve de base à supressão das variabilidades que levem a resultados não pretendidos e ao fortalecimento ou ampliação das que levem a resultados desejados (p. 201).

A Figura 6 ilustra as funções da gestão da variabilidade de desempenhos, destacando a necessidade de monitoramento constante do funcionamento normal do sistema e visando identificar funções críticas e observar as variabilidades do sistema. Essa gestão pode envolver funções como observação, confirmação, gestão, registros e observações do estado e tendências do sistema. No período pré-acidente, enfatiza-se a necessidade de detecção de variações maiores ou não usuais no desempenho de funções ou do sistema. Os dois estágios citados são chamados de "prevenção". O imediato pós-acidente torna-se mais importante de acordo com sua duração. Seu primeiro momento é de redução ou dispersão das conseqüências imediatas. Por fim, instala-se a etapa de correção ou recuperação durante a fase pós-acidente, completando a fase dita de "proteção".

Considerações finais

Este texto destaca e discute aspectos do modelo de ressonância funcional de acidentes e sugere sua inclusão em agenda nacional dos interessados na prevenção de acidentes.

O modelo de análise apresentado por Hollnagel é uma das primeiras tentativas de desenvolvimento de formas de registro gráfico e qualitativo de um acidente em que as relações entre fatores e aspectos incluídos fogem à representação linear.

Entre esses aspectos, um dos que mais chama a atenção é a crítica que ele apresenta à visão da causalidade direta e linear embutida nos métodos e técnicas de análises de acidentes mais difundidos em nosso meio. Talvez também por esse mesmo motivo, sua leitura cause estranheza, incompreensões e suscite resistências entre profissionais habituados ao uso do raciocínio linear em análises de acidentes e análises de risco, afinal, a noção de ressonância funcional desafia o olhar tradicional. O desafio surge exatamente da possibilidade de pequenas mudanças de algumas variáveis (externas e internas ao sistema) poderem levar a resultados não desejados e com amplitude suficiente para provocar acidentes. Essa noção de ressonância funcional que explica essa possibilidade é outro aspecto que, na opinião do autor deste texto, deve ser incluído na agenda nacional de segurança do trabalho.

O uso de conceito não adotado nas práticas de análises de acidentes não deve levar o leitor a olhá-lo como distanciado de preocupações práticas e das vivências de "chão de fábrica". As preocupações de Hollnagel com aspectos da abordagem de desafios práticos da condução de análises e da elaboração de propostas de prevenção estão bem ilustradas ao longo do livro, inclusive com o recurso de exemplos de uso do modelo proposto.

Além dos exemplos, a preocupação de Hollnagel com o tema da prevenção é destacada: a) no título do livro e na extensa abordagem que dedica à noção de barreiras; b) na apresentação da noção de gestão da variabilidade de desempenho com ênfase no monitoramento de condições que influenciam essa variabilidade e na busca de estratégias capazes de identificar e reduzir aspectos capazes de afetar desempenhos, provocar variabilidade e participar nas origens de acidentes. A proposta apresentada indica caminhos que ampliam o perímetro de análises de acidentes e rompem com práticas tradicionais.

Resgatando e desenvolvendo a noção de análise de barreiras, Hollnagel não rompe totalmente com a herança da Engenharia de Segurança, embora defenda o uso de conceito pouco difundido na literatura nacional. No entanto, ao introduzir as noções de variabilidade de desempenhos, de princípio da negociação ou de otimização local, ele dialoga diretamente com conceitos da Engenharia de Produção e da Ergonomia, colocando em evidência a importância do estudo do trabalho normal para a melhoria da segurança e da confiabilidade de sistemas. Os interessados na prevenção de acidentes não podem continuar ignorando a importância desses conceitos nas políticas e práticas que implementam.

O desafio de construir representações não lineares do acidente não está superado. Propostas como as de Hollnagel somam-se a outras iniciativas em curso, como, por exemplo, a de Leveson (2002). Da mesma forma, também é importante apontar a existência de dimensões não exploradas por Hollnagel, como, por exemplo, a do papel a ser desempenhado pelos trabalhadores nesse processo. Afinal, como resgatar o conhecimento relativo às variabilidades de desempenhos, às negociações adotadas, visando à otimização local, sem metodologias que promovam a participação dos trabalhadores e o resgate de sua subjetividade na situação de trabalho?

Hollnagel reconhece parte desses aspectos e recomenda que a compreensão de acidentes deva sempre permanecer aberta a reinterpretações, seja em razão da ocorrência de novos fatos, seja pela melhoria de nossos conhecimentos. É um bom conselho.

Por fim, cabe registrar que a adoção de explicação não linear de acidente, particularmente no âmbito de serviços públicos com atribuições de vigilância em saúde e/ou auditoria fiscal, abre interrogação sobre as possibilidades de uso de seus relatórios como peças de suporte a ações judiciais de responsabilização civil e criminal em casos de AT. Esse caminho que parece assumir proporções crescentes no Brasil e que é alvo de defesa candente em livro recentemente publicado na Itália (ROVELLI, 2008) não é discutido pelos autores que criticam os modelos lineares de acidentes, mas certamente precisará ser trazido para a nossa agenda.

Recebido: 12/02/2008

Revisado: 05/06/2008

Aprovado: 07/07/2008

• ALMEIDA, I. M. Trajetória da análise de acidentes: o paradigma tradicional e os primórdios da ampliação da análise. Interface (Botucatu), Botucatu, v. 9, n. 18, p. 185-202, jan./jun. 2006.
• AMALBERTI, R. La conduite des systèmes à risque Paris: Press Universitaires de France, 1996.
• DEKKER, S. W. A. Ten questions about human error: a new view of human error and sistem safety. Mahwah: Lawrence Erlbaum Associates, 2005.
• DINIZ, E. P. H.; ASSUNÇÃO, A. A.; LIMA, F. P. A. Prevenção de acidentes: o reconhecimento das estratégias operatórias dos motociclistas profissionais como base para a negociação de acordo coletivo. Ciência & Saúde Coletiva, Rio de Janeiro, v. 10, n. 4, p. 905-916, dez. 2005.
• LEPLAT, J. Pistes à suivre: Hollnagel, E. (2004). Barriers and accident prevention Montréal, PISTES, v. 8, n. 2, 2006. Disponível em: <http://www.pistes.uqam.ca/>. Acesso em: 05 fev. 2007.
• HALE, A. R. et al. Modeling accidents for prioritizing prevention. Reliability Engineering & System Safety Cambrige, v. 92, n. 12, p. 1701-1715, Dec. 2007.
• HOLLNAGEL, E. Modelos de acidentes e análises de acidentes. In: ALMEIDA, I. M. Caminhos da análise de acidentes Brasília: Ministério do Trabalho e Emprego, 2003. p. 99-105.
• ______. Barriers and accident prevention Aldershot: Ashgate, 2004. 226 p.
• LEVESON, N. G. A new accident model for engineering safer systems. Safety Science, Groningen, v. 42, n. 4, p. 237-270, Apr. 2004.
• LEVESON, N. G. Extensions needed to traditional models. In: LEVESSON, N. G. A new approach to system safety engineering 2002. p. 25-42. Disponível em: <http://ocw.mit.edu/NR/rdonlyres/Aeronautics-and-Astronautics/16-358JSpring-2005/7A17C38C-F622-4244-ABF0-5BD2B768661C/0/book2.pdf>. Acesso em: 29 jan. 2005.
• LIMA, F. P. A.; ASSUNÇÃO, A. A. Para uma nova abordagem da segurança do trabalho. In: LIMA, F. P. A.; ASSUNÇÃO, A. A. Análise dos acidentes: Cia de Aços Especiais Itabira. Belo Horizonte: Laboratório de Ergonomia DEP; UFMG, 2000.
• LLORY, M. L'accident de la centrale nucléaire de Three Mile Island Paris: L'Harmattan, 1999.
• PERROW, C. Normal accidents: living with high risk technologies. Princeton: Princeton University Press, 1999. 451 p.
• RASMUSSEN, J. Risk management in a dynamic society: a modeling problem. Safety Science, Groningen, v. 27, n. 2-3, p. 183-213, Nov./Dec. 1997.
• REASON, J. Human error 2. ed. Cambridge: Cambridge University Press, 1999.
• ROVELLI, M. Lavorare uccide Milano: Biblioteca Universale Rizzoli; Futuro Passato, 2008. 250 p.
• WOODS, D. D.; COOK, R. I. Perspectives on human error: hindsight biases and local rationality. In: DURSO, R. S. et al. (Ed.). Handbook of Applied Cognition, New York: Wiley, 1999. p. 141-171.
• WOODS, D.; COOK, R. I. Nine steps to move forward from error. Cognition, Technology & Work London, v. 4, n. 2, p. 137-144, June 2002.

1

Na tradução, adota-se o termo usado por Leplat (2006) para a palavra inglesa

thoroughness. O termo tem o sentido de completude, de meticulosidade e de feito com atenção aos detalhes. Assim, uma alternativa seria "cuidado", que teria a desvantagem de suscitar interpretações como a de falta de cuidado que foge completamente ao sentido com que Hollnagel utiliza

thoroughness no original.

2

O dicionário Aurélio define ressonância como "vibração energética que se provoca num sistema oscilante quando atingido por uma onda mecânica igual a uma de suas freqüências próprias; reforço da intensidade de uma onda pela vibração de um sistema que tem uma freqüência própria igual à freqüência da onda".

3

O dicionário Aurélio define estocástica como "formar estoques com fatores probabilísticos, aleatórios".

Datas de Publicação

• Publicação nesta coleção
  11 Set 2012
• Data do Fascículo
  Dez 2008

Histórico

• Recebido
  12 Fev 2008
• Revisado
  05 Jun 2008
• Aceito
  07 Jul 2008