Modelos de causalidade de acidentes

Os incidentes e acidentes, “longe de serem aleatórios, tendem a cair em padrões recorrentes” (Reason, 2009, p. 113), sendo formados em grande parte por circunstâncias operacionais locais. Por outro lado, Pidgeon (1991) relembra que, segundo o modelo de incubação dos acidentes, a diferença entre um incidente e um acidente reside no evento final que desencadeia o desfecho trágico e, por vezes, na intervenção da sorte ou da Providência.

Sendo certo, que um acidente resulta de uma cadeia de acontecimentos que conflui para um resultado negativo, são vários os modelos explicativos para esta ocorrência. Um dos modelos inicialmente propostos foi o designado modelo dominó de Heinrich, um engenheiro de safety industrial, pioneiro no estudo do safety no local de trabalho, que desenvolveu em 1931 uma teoria, segundo a qual, os acidentes derivam de uma cadeia sequencial de eventos. Recorrendo a uma analogia com a queda sequencial das peças de dominó ilustra o desencadeamento de uma reação em cadeia pela ação de um evento inicial que ativa o seguinte, e assim sucessivamente. Apenas a eliminação de um fator chave (e.g. condição ou ato inseguro), seria impeditiva do desenvolvimento desta reação em cadeia.

Foi a partir do entendimento de Heinrich (1931), que se assumiu o facto de um acidente ser originado por uma determinada sequência de uma cadeia de eventos. Este autor propôs ainda, um modelo piramidal que estabelecia uma correspondência entre cada 300 atos perigosos que ocorressem, para 29 incidentes menores e um incidente grave. Fundamentou o rácio proposto com a convicção de que 88 porcento dos acidentes tinham origem em atos humanos perigosos. De acordo com a descrição de Anderson e Denkl (2010), Frank E. Bird Jr. expandiria este modelo em 1969, com base nas conclusões da sua investigação a 1 753 498 acidentes ocorridos em 297 companhias de 21 grupos industriais diferentes. A análise permitiu-lhe chegar ao rácio 1-10-30-600, ilustrado na Figura 15, que oferecia uma base ampliada para um controlo mais efetivo das perdas totais dos acidentes. Porém, apesar da representação piramidal adotada ilustrar a razão entre os vários tipos de acidentes e respetivos níveis de severidade, essa constatação não nos oferece informação sobre modos de falha, úteis para atitudes de prevenção proativa (Marx, 2009).

[112]

O estudo dos acidentes para a aprendizagem de safety é refutado por autores como Roughton (2008), devido à raridade da sua ocorrência e pela excessiva dependência que traria para a aprendizagem e desenvolvimento de ações. O autor defende que, o estudo de eventos menos graves e mais frequentes proporcionam mais oportunidades para a tomada de medidas preventivas da ocorrência de maiores danos, aumentando a sua eficiência quando direcionado a incidentes com maior potencial de perda.

Figura 15: Pirâmide de safety (expandida) de Heinrich

Fonte: Roughton (2008) e ICAO (2006b, p. 43)

Um modelo de análise de fatores humanos muito utilizado para auxiliar a compreensão da interação dos fatores humanos com o sistema no contexto da aviação e da navegação aérea e marítima, denomina-se, modelo SHELL (Software-Hardware-Environment-Liveware-Liveware). Desenvolvido por Edwards em 1972 e modificado posteriormente por Hawkins, em 1975, este modelo analisa a relação homem-máquina. A sua configuração (Figura 16), forma um puzzle de blocos em que o elemento central representa o elo humano (Liveware), considerado o componente mais crítico e flexível do sistema.

Conforme referido no Manual de Gestão de Safety da ICAO (ICAO SMM Doc 8589, 2006b), o modelo SHELL ajuda a visualizar o inter-relacionamento dos vários elementos no sistema da aviação, com especial utilidade para a observação dos seus interfaces. É composto por quatro componentes:

a) L-Liveware (humanos no sistema); b) H-Hardware (máquinas no sistema);

c) S-Software (procedimentos, treino, suporte);

d) E-Environment (circunstâncias operacionais onde os restantes componentes L-H-S funcionam).

[113]

Figura 16: Modelo SHELL de análise de fatores humanos

Fonte: ICAO (2006b, p. 47)

Pese embora, o componente humano exiba uma notável adaptabilidade, encontra-se sujeito a variações no seu desempenho. O facto da sua atuação não ser padronizada, contrariamente aos restantes componentes E-H-S, e os inerentes interfaces não serem perfeitos, apresentando pontuais irregularidades, torna este interface um potencial gerador de “tensões que podem comprometer o desempenho humano” (ICAO, 2006b, p. 47). É por isso importante, compreender os efeitos das suas irregularidades, transpostas por fatores físicos, fisiológicos, psicológicos e psicossociais, que afetam a ligação entre o elemento humano e restantes interfaces. É no interface L-L que se observam as interações humanas e inerentes questões de comunicação.

Contudo, o modelo explicativo de causalidade de acidentes organizacionais mais divulgado e aceite no domínio da aviação é o modelo desenvolvido por James Reason (1997, 1998). A sua fundamentação decorre da sua constatação sobre a não aleatoriedade dos acidentes organizacionais, devido à tendência de se verificarem “padrões recorrentes” (1998, p. 300), construídos, maioritariamente, por circunstâncias locais da operação.

Elementos patogénicos (i.e. condições latentes residentes no sistema), e atos inseguros (i.e. falhas ativas), são os dois tipos de fatores contributivos, tanto humanos como organizacionais, que Reason (2009) aponta para a falha dos sistemas complexos. O autor diferencia as falhas ativas, de curta duração, das condições latentes que podem incubar durante anos até serem detetadas por auditorias ou reveladas no decurso da investigação de incidentes e acidentes.

A maior distinção entre os acidentes organizacionais e individuais reside, de acordo com Reason (1998), na “quantidade, qualidade e variedade de defesas, barreiras e proteções que protegem as pessoas e ativos dos perigos operacionais locais” (p. 295). Baseando-se nesta constatação,

[114]

Reason (1997, 1998) criou o Swiss cheese model, um modelo representativo da interação entre os sistemas de defesas e barreiras com as falhas no sistema operacional.

No seu modelo que, “clarifica ainda porque os acidentes organizacionais são eventos raros” (Reason, 1998, p. 296), fatias de queijo suíço representam pictoricamente os vários níveis de defesa, onde os buracos de dimensão e posicionamento variáveis no tempo representam, tanto as falhas ativas (i.e. erros ou violações de normas), como as condições latentes (i.e. falhas de projeto, instalação, manutenção ou ações da gestão). A ocorrência de um acidente exige que uma combinação improvável de diversos fatores penetre nas inúmeras camadas protetoras, criando uma trajetória oportuna para o perigo fluir até gerar o acidente (Reason, 2009). De acordo com Mauriño et al. (2002), para além destas falhas se distinguirem pelo “tempo que levam a revelar os seus efeitos na integridade do sistema” (p. 13), também os seus originadores são diferentes. As falhas ativas são cometidas por pessoas em contacto direto com o sistema (e.g. pilotos, controladores, pessoal da manutenção), mas as latentes têm origem nas decisões da gestão e na esfera organizacional (p. 14).

É provável que uma fraca cultura de safety incremente as falhas ativas que enfraquecem as barreiras defensivas. Reason (1998), refere como possíveis fatores contributivos para estas falhas uma “formação e treino inadequados, fraca comunicação, procedimentos deficientes e problemas com o desenho do interface homem-máquina” (p. 297) (sublinhado nosso).

A aplicação deste modelo de causalidade aos acidentes aéreos (Figura 17), permite exemplificar de que forma a progressão em cascata das várias condições latentes e manifestas constroem uma trajetória de oportunidade para o perigo fluir.

As falhas manifestas ou ativas estão ligadas a atos que se desviam de um nível de desempenho seguro (Reason, 2009). Menos expostas, as falhas latentes só são descobertas aquando da falha de uma barreira defensiva e por esse facto revelam-se retrospetivamente (Mauriño et al., 2002). As falhas latentes quando combinadas com falhas ativas (i.e. atos inseguros), por força de gatilhos locais e fraquezas nas barreiras defensivas, penetram nestas, criando um caminho de oportunidade para o perigo causar danos.

O aperfeiçoamento do modelo inicial (Reason, 2009), passou a distinguir os fatores contributivos ligados à cultura organizacional das falhas ativas, diferenciando erros intencionais de outras categorias. Passou a considerar-se que, decisões falíveis da gestão sénior, no processo construtivo ou de projeto, quando propagadas pelo circuito produtivo, constituem condições latentes percursoras de atos inseguros.

[115]

Figura 17: Aplicação do modelo de causalidade de Reason à navegação aérea

Fonte: Elaboração própria baseada em (Reason, 1997)