Erros, falhas e ocorrências

Importa inicialmente esclarecer a diferença entre erro e falha na medida em que, por vezes, parecem ser utilizadas com o mesmo intuito. Comece-se pela diferença existente no dicionário da Academia das Ciências de Lisboa (2001): erro é definido como “a ação de atuar de forma incorreta; ato ou efeito de errar. Resultado de uma atuação, de um procedimento erróneo, cometido por incúria, desleixo, distração, negligência”; e falha como “aquilo que constitui uma imperfeição, uma incorreção, um erro; o que resulta de um engano”. De certa forma poderão ser vistos como sinónimos.

Para Hofmann & Frese apud Frese & Keith (2015), as falhas traduzem-se em resultados organizacionais negativos, podendo ser, por exemplo, uma combinação de erros e violações. Já para Rivera et al. (2013, p. 2) as falhas ativas “are defined as unsafe acts committed by people in the form of slips, lapses, mistakes and violations”, ou seja, falhas ativas observadas como atos inseguros.

Considere-se, de forma genérica, atos inseguros como aqueles atos praticados por um indivíduo (p. ex. o mecânico) decorrentes de ações involuntárias (erros) ou de ações intencionais (violações). No caso particular das ações involuntárias, estas ainda se subdividem em descuidos (i.e. deslizes) ou lapsos (entende-se por descuido uma tarefa que não é executada de acordo com o previsto, enquanto o lapso deriva de uma ação incorreta provocada por uma falha de memória) e em enganos (também designados de

- 34 -

erros, resultando de falhas ao nível do planeamento ou da decisão). As ações intencionais são aquelas que deliberadamente não foram praticadas, de acordo com o preconizado nos procedimentos, conduzindo a situações potencialmente perigosas (Reason, 1997; International Civil Aviation Organization, 2013).

Também Ternov (2002) considera que os erros decorrentes do operador (erro humano), entram na categoria de falhas ativas. Estas abordagens remetem a falha para o ato em si. No entanto se considerarmos que falha é a incapacidade de um item, equipamento ou sistema operar da forma para qual foi projetado (Dhillon, 2009), então pode-se utilizar falha ativa quando se trata da consequência de um determinado ato inseguro (seja ele classificado como erro ou como violação). Esta será a abordagem que se terá ao longo do trabalho, ou seja, falha associada à consequência de um ato inseguro executado pelo ser humano. Frese & Keith (2015) alertam para o facto de que nem todos os erros originam falhas.

No modelo de Reason, conhecido por “queijo suíço” (Figura 1), as falhas podem ser de dois tipos, dependendo das consequências que resultam de determinado ato: falha ativa ou falha latente.

As falhas ativas são raras, com consequências imediatas, e são normalmente estudadas na investigação de acidentes.

As falhas latentes são originadas por uma ação ou decisão tomada antes do acidente

ocorrer e cujas consequências podem estar adormecidas por longos períodos (tornando-

se condições latentes). A título de exemplo refere-se o aperto inadequado a um parafuso

que pode só vir a ser notado com o passar das horas de voo, ou por nova inspeção, ou

- 35 -

As falhas latentes, ao interagirem em conjunção com outros fatores, podem provocar o incidente ou levar ao acidente (Reason, 1997; International Civil Aviation Organization, 2005). Reason (1997) reforça que essas falhas (ou condições) podem agravar as consequências dos atos inseguros, ou seja, contribuir para a ocorrência das falhas ativas.

Figura 1 - Modelo “Queijo Suíço” para causa do erro humano Fonte: adaptado de Reason (1990)

Os erros latentes referem-se a eventos ou atividades que se traduzem em desvios não intencionais, relativamente a tarefas pré-estabelecidas, que podem potencialmente levar a um resultado adverso com significância organizacional. Estes podem variar em frequência, severidade e variabilidade (Ramanujam & Goodman, 2010). As hipóteses básicas relativamente aos erros latentes são que eles podem causar efeitos adversos, mas não no imediato, e que ocorrem com frequência suficiente permitindo a utilização de amostras (Ramanujam & Goodman, 2010), podendo haver uma ligação entre estes erros latentes e os quase-acidentes (ou near-misses). Na opinião de Sorensen (2002), este é o tipo de erro cometido pelo pessoal da manutenção, do projeto e da construção. Em suma, poder-se-á dizer que são erros cujas consequências se mantém latentes por um

- 36 -

determinado período traduzindo-se em condições latentes. De facto Reason (1997) e Reason & Hobbs (2003) referem-se às falhas ativas e às condições latentes, dando menor relevância ao conceito de erro latente.

Rivera et al. (2013) consideram que o erro latente pode derivar de uma não conformidade de projeto, ou situações relacionadas com a própria Organização, daqui resultando falhas ou condições latentes. Neste caso poder-se-á estar a associar não ao erro do indivíduo, mas ao erro organizacional (assunto que se abordará posteriormente). Para os mesmos autores a falha latente é o resultado de uma decisão ou medição realizada muito antes da ocorrência se dar, e acrescentam que normalmente têm a sua origem ao nível da gestão. As falhas latentes, para Ternov (2002), fazem parte do sistema e são independentes do indivíduo, pelo que a falta de treino ou o não se estar familiarizado com as tarefas não são consideradas falhas latentes. O autor observa também que as falhas latentes são fatores situacionais e, portanto, só podem ser resolvidos pela gestão e não pelo indivíduo.

Segundo a International Civil Aviation Organization (2001) os acidentes são ocorrências associadas à operação de aeronaves que acontecem entre o momento em que qualquer pessoa, com intenção de voar, embarca, até ao momento em que desembarca,

havendo morte ou danos humanos graves (categorias 3, 4 e 5)22_{, e onde a aeronave é}

totalmente perdida (quer seja por danos, quer seja por inacessibilidade). Tipicamente os

22 _{De acordo com o RFA 330-1 (Força Aérea Portuguesa, 1999), regulamento interno da FAP, as categorias} traduzem-se da seguinte forma: Categoria 0: Sem lesões ou por determinar; Categoria 1: Lesões das quais resultem hospitalização ou incapacidade para o serviço até 5 (cinco) dias; Categoria 2: Lesões das quais resultem hospitalização ou incapacidade para o serviço entre 5 (cinco) e 29 (vinte e nove) dias; Categoria 3: Lesões das quais resultem hospitalização ou incapacidade para o serviço superiores a 29 (vinte e nove) dias, mas não implicando a inaptidão para o voo; Categoria 4: Lesões das quais resultem hospitalização ou incapacidade para o serviço superiores a 90 (noventa) dias ou que impliquem a limitação para o voo; Categoria 5: Lesões ou complicações delas resultantes, das quais advenha a morte (até à data do envio do relatório do respetivo acidente); ou inaptidão definitiva para o voo. O desaparecimento inclui-se nesta categoria até se confirmar a sua sobrevivência.

- 37 -

acidentes resultam de uma combinação de fatores causais que transpõem várias defesas (Latorella et al., 2000). Entre esses fatores causais encontram-se, por exemplo, os já abordados fatores humanos (Chang & Wang, 2010).

Os incidentes são ocorrências menos graves e estão associados a situações da qual resultam danos materiais e/ou lesões em pessoas de grau correspondente às categorias 1 e 223_{. Para Spear (2002) os incidentes são eventos com potencial para causarem}

ferimentos ou danos, e são causados por atos inseguros e/ou condições inseguras. Considera-se ocorrência aeronáutica, independente da sua gravidade ou consequências, qualquer acontecimento indesejado e não planeado (Reason & Hobbs, 2003).

Para a FAP a ocorrência é uma situação resultante de atos, omissões, condições ou circunstâncias, que representa um risco elevado e da qual poderão resultar lesões ou danos materiais (Força Aérea Portuguesa, 1999). Segundo Weick & Sutcliffe (2007) as ocorrências podem refletir-se em situações em que se espera um determinado acontecimento e ele não acontece, em que acontece algo que não se espera mas que se conhece, ou em situações em que o inesperado acontece quando era impensável. Para estes autores, está-se, primariamente, a lidar com expectativas.

Em teoria, por cada acidente fatal, existiram cerca de 600 ocorrências (International Civil Aviation Organization, 2005) que podem ou não ter sido registadas (consoante a sua categoria). A ICAO ao reconhecer o potencial que os não acidentes têm, solicitou aos estados membros o registo voluntário das situações tidas como relevantes, mas que, por não serem graves, não são de reporte obrigatório para a autoridade aeronáutica. A título de exemplo, na FAP, em 2013, registaram-se cerca de 105

- 38 -

ocorrências, por 10 mil horas de voo, para zero acidentes fatais. No decorrer de 2014 esse número aumentou, não significando, necessariamente, que tenha aumentado o número de ocorrências. Tem havido por parte da Organização um incentivo ao reporte através de ações de sensibilização e através do exemplo da prática da “just culture” (a desenvolver noutro ponto).

Na prática, depois de existir um reporte de acidente ou incidente é importante obter dados sobre o que aconteceu durante ou em altura próxima da situação (causas diretas). Contudo, a reconstrução do que se passou deve considerar as condições latentes ou de longo prazo (por vezes difíceis de identificar). Também se devem considerar os eventos que despoletaram a situação (barreiras de defesa que falharam), e os que ajudaram a conter as consequências negativas (barreiras de contenção) (Johnsona & Holloway, 2003).

Um ponto também importante quando se analisam as causas dos acidentes é, para além da identificação das causas primárias, o nível de detalhe. O detalhe deverá ser tal que permita revelar, não só as causas diretas, mas também as causas subjacentes, ou seja, as condições latentes e os fatores situacionais. Estes últimos revelam mais sobre as fraquezas das organizações e dos seus processos e equipamentos, do que as causas diretas (Jacobsson et al., 2011). Por norma procura-se a causa imediata e não os fatores que contribuíram para essa causa. O programa de televisão “Air Crash Investigation” do National Geographic (episódios de 2003 a 2018 de vários autores e produtores) reflete esta tendência de pesquisa, dando a conhecer a causa do acidente e o que é feito para prevenir situações idênticas. Contudo poder-se-ão encontrar estudos de acidentes que se preocupam com a raiz da causa, nomeadamente o caso do Space Shuttle Challenger da

- 39 -

NASA cujas conclusões da investigação apontaram para problemas ao nível da cultura organizacional (Antonsen, 2009).

Um exemplo que reflete problemas organizacionais é dado por Hobbs (2008) referindo-se à situação em que se utiliza a ferramenta errada numa ação de manutenção. A causa pode estar na inexistência da ferramenta correta por essa não ter sido adquirida devido às políticas da empresa, ou aos constrangimentos orçamentais. A própria pressão para o cumprimento de prazos pode estar associada a um planeamento inadequado (fator de nível organizacional). Num estudo realizado por McDonald (2001) o autor identificava como a raiz da causa de erros de manutenção condições organizacionais (i.e. os regulamentos inadequados, a falta de uma abordagem pragmática, a falta de planeamento, falhas na implementação das atividades, na monitorização e na verificação das ações). Para Zafiharimalala et al. (2014) os erros de manutenção estão fortemente ligados à documentação, tanto no seu conteúdo como na sua não utilização, por razões que podem ter a ver com o facto dos recursos humanos acharem que estão a realizar tarefas que conhecem. Kletz (1991) dedica um capítulo do seu livro à prevenção de acidentes através de melhor manutenção, identificando alguns acidentes resultantes de erros de manutenção. Este autor alega que por vezes os mecânicos não têm treino suficiente, ou não cumprem todos os passos de uma tarefa, ou então chegam mesmo a enganar-se num momento que ele designa de aberração. O autor ainda que não trate de erros na manutenção aeronáutica, mas sim na indústria química e do petróleo, partilha informação que merece ser pensada em termos de aplicabilidade no contexto em estudo. A abrangência da análise que se realiza no pós incidente/acidente é relevante porque permite identificar as barreiras que podem proteger do acidente em situações

- 40 -

futuras. Depois de se saber o que aconteceu, pode-se procurar o porquê (Johnsona & Holloway, 2003) e tomar medidas de prevenção.

A questão é que os relatórios de investigação surgem depois dos acidentes e são o produto da pesquisa realizada depois desse tipo de ocorrência (processo reativo). Neste tipo de relatórios verifica-se ainda uma preocupação em clarificar o que aconteceu e quem foi o responsável, ficando para trás o como e o porquê (International Civil Aviation Organization, 1993). A procura do porquê é relevante porque ajuda a identificar as deficiências que podem causar outras ocorrências (International Civil Aviation Organization, 1993), ou seja, concorre para o processo de aprendizagem (consequência positiva resultante do erro).

Ainda que na prática sejam os acidentes o foco de um estudo mais detalhado, alguns investigadores (Phimister et al., 2003) sustentam que para diminuir a probabilidade dos acidentes é preciso observar os quase-acidentes (que são os mais frequentes) e utilizar essas ocorrências para identificar e eliminar as condições latentes. Para Phimister et al. (2003, p. 449) os quase-acidentes são: “An opportunity to improve environmental, health and safety practice based on a condition, or an incident with potential for more serious consequence.”

Primeiro a dificuldade está em reconhecer essas situações; segundo, registar esses eventos e, posteriormente, ter condições para os estudar. Um quase-acidente pode não produzir uma situação anómala, mas pode ser apenas um desvio (p. ex. à norma), sem consequências negativas evidentes (catastróficas), ou seja, sem se fazer notar. Investigadores apontam para que estas situações acabem por ser vistas como sucessos e não como falhas, dado o resultado final, ou seja, uma certa normalidade associada à segurança. Para Edmondson (2005), citado por Homsma, van Dyck et al. (2009), os

- 41 -

pequenos desvios associados a resultados expectáveis são por vezes desprezados porque aparentam ser insignificantes para o processo de aprendizagem. Estes eventos, se analisados, podem revelar fraquezas na Organização, nos processos e nos equipamentos (Jacobsson et al., 2012). Visto de outra forma, quem reporta uma ocorrência deste tipo fá-lo de forma voluntária, poderá ter alguma garantia de que está protegido e que não será punido (Dekker, 2012).

Na pirâmide da segurança (Figura 2), os quase-acidentes estão presentes em quatro das cinco camadas e, ainda que tendo potencial para se tornarem num acidente, tal não sucede. Ao não ocorrerem, são portanto menos óbvios, com menor impacto nos indivíduos, nos processos e no ambiente operacional, conforme Phimister et al. (2003).

Figura 2 – Pirâmide da Segurança Fonte: Phimister et al. (2003, p. 446)