Revista InterfacEHS edição completa Vol. 1 n. 2

1.202 visualizações

Publicada em

A InterfacEHS é uma Publicação Científica do Centro Universitário Senac que publica artigos científicos originais e inéditos, resenhas, relatos de estudos de caso, de experiências e de pesquisas em andamento na área de Gestão Integrada em Saúde do Trabalho e Meio Ambiente.

Acesse a revista na íntegra!

http://www3.sp.senac.br/hotsites/blogs/InterfacEHS/

Publicada em: Educação
0 comentários
0 gostaram
Estatísticas
Notas
  • Seja o primeiro a comentar

  • Seja a primeira pessoa a gostar disto

Sem downloads
Visualizações
Visualizações totais
1.202
No SlideShare
0
A partir de incorporações
0
Número de incorporações
1
Ações
Compartilhamentos
0
Downloads
12
Comentários
0
Gostaram
0
Incorporações 0
Nenhuma incorporação

Nenhuma nota no slide

Revista InterfacEHS edição completa Vol. 1 n. 2

  1. 1. ABORDAGEM SISTÊMICA DE ACIDENTES E SISTEMAS DE GESTÃO DE SAÚDE E SEGURANÇA DO TRABALHO Ildeberto Muniz de Almeida Professor Assistente Doutor, Departamento de Saúde Pública da Faculdade de Medicina de Botucatu – Unesp; ialmeida@fmb.unesp.br RESUMO Os principais objetivos deste texto são: difundir conceitos de abordagens sistêmicas de acidentes do trabalho e estimular reflexões sobre sua utilização em sistemas de gestão de saúde e segurança do trabalho – SGSST – em nosso país. Os conceitos mostrados sugerem novos caminhos para a interpretação de comportamentos humanos que participam nas origens proximais ou distais de acidentes. As análises de acidentes devem buscar condições latentes ou incubadas, pesquisar aspectos da complexidade interativa, modos de controle psíquico e situações, mecanismos modeladores de comportamentos dos operadores, migração de sistemas para acidentes ou outros aspectos. Responsáveis por SGSST são estimulados a saber reconhecer os conceitos ou abordagens mais úteis às organizações em que atuam. Palavras-chave: acidente de trabalho; concepções de acidentes; análise de acidentes do trabalho; sistemas de gestão de saúde e segurança do trabalho; migração do sistema para o acidente. www.interfacehs.sp.senac.br http://www.interfacehs.sp.senac.br/br/artigos.asp?ed=2&cod_artigo=32 ©Copyright, 2006. Todos os direitos são reservados.Será permitida a reprodução integral ou parcial dos artigos, ocasião em que deverá ser observada a obrigatoriedade de indicação da propriedade dos seus direitos autorais pela INTERFACEHS, com a citação completa da fonte. Em caso de dúvidas, consulte a secretaria: interfacehs@interfacehs.com.br 1
  2. 2. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br INTRODUÇÃO Tradicionalmente as análises de acidentes do trabalho concluem atribuindo culpa às próprias vítimas e negando a existência de problemas ou disfunções nos sistemas que dão origem a esses eventos. Nas últimas décadas, surgem visões que questionam esse desfecho e destacam a ocorrência de acidentes como avisos da existência de disfunções sistêmicas, sinais da ocorrência de problemas incubados que precisam ser ouvidos e adequadamente interpretados pelos sistemas de gestão de saúde e segurança do trabalho – SGSST. O enfoque sistêmico de acidentes não encontra facilidades em sua difusão. No Brasil, uma das poucas obras dedicadas ao enfoque sistêmico é Acidentes industriais: o custo do silêncio, de Michel Llory (1999a). No prefácio do livro Gerard Mendel discute a resistência a essa abordagem destacando que ela tem a ver como princípio a partir do qual se pôde fundar e desenvolver a ciência ... construiu-se a ciência fracionando-se cada vez mais a realidade, em campos disciplinares distintos e separados, mas apesar disso, a realidade só existe de forma global ... o espírito do cientista não está preparado para transitar nesses campos interdisciplinares. O objetivo deste texto é apresentar alguns dos conceitos dessa abordagem que vêm sendo utilizados nas últimas décadas em análises de acidentes e discutir implicações de sua incorporação por SGSST. A discussão será acompanhada de questões sugeridas como temas para a reflexão e não visa estabelecer “novas verdades”, mas cobra, no mínimo, a explicitação de razões que levam cada sistema a fazer as escolhas que faz. Enfim, o texto aponta a existência de caminhos para SGGST que são pouco conhecidos entre nós. O MODELO DE ACIDENTE ORGANIZACIONAL DE JAMES REASON A expressão acidente organizacional foi usada por Reason (1997) em contraposição à idéia de acidente individual. Segundo ele, neste último todos os acontecimentos relativos ao acidente, ou seja, suas causas e conseqüências, podem ser considerados como circunscritos ao indivíduo que realiza a atividade e que sofre o 2
  3. 3. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br acidente e a lesão. Acidentes organizacionais são “eventos comparativamente raros, mas freqüentemente catastróficos, que ocorrem dentro de uma tecnologia moderna complexa tais como plantas nucleares, aviação comercial, indústria petroquímica, plantas de processos químicos, transporte ferroviário e marítimo...” (p.1). Em pouco tempo essa idéia passa a ser usada na abordagem de acidentes ocorridos em outros tipos de sistemas e situações. O próprio Reason a utiliza em estudos de acidentes em manutenção, principalmente na aviação, e também em acidentes ocorridos em serviços de saúde. A Figura 1 mostra o modelo de acidente organizacional proposto por Reason. Nela, um triângulo e um retângulo são usados para representar o acidente. Na parte superior do esquema, o retângulo representa o desfecho do acidente. Em seu esquema o autor reproduz aqui a idéia de acidente como fenômeno que sempre inclui a liberação descontrolada de uma (ou mais) determinada forma de energia de modo a produzir perdas no sistema: danos materiais, ambientais, outras formas de prejuízos ou vítimas humanas. 3
  4. 4. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br A energia liberada estava presente no sistema, controlada por barreiras que não conseguiram impedir a liberação do seu fluxo por ocasião do acidente. No topo da figura, a seta representa essa idéia de fluxo de energia atravessando as barreiras. No modelo de Reason, o triângulo que forma a base da figura representa o processo ou as condições do sistema que originam a liberação do fluxo de energia. Nas proximidades imediatas do desfecho do acidente, ou do descontrole da energia em questão, com freqüência estariam comportamentos dos trabalhadores que operavam o sistema. Essas ações ou omissões estão representadas no vértice do triângulo e foram chamadas por ele de erros ativos, incluindo comportamentos involuntários (os “erros”) e voluntários. Os erros ativos correspondem aos atos inseguros da abordagem tradicional de acidentes. No meio do triângulo estão representados fatores do ambiente físico e técnico de trabalho. Eles estariam nas origens dos erros ativos e, por sua vez, têm origens em fatores gerenciais e da organização do trabalho que são representados na base do triângulo. Esses dois grupos de fatores são chamados de condições latentes que, segundo o esquema, podem originar o descontrole da energia liberada no acidente de modo direto, isto é, sem a presença de erros ativos. A seta de condições latentes, paralela ao triângulo, mostra a possibilidade de acidentes sem “erros” ativos, com origens diretas nessas condições. Segundo Reason os erros ativos são pouco importantes para a prevenção. Em particular, porque as diferentes combinações possíveis entre fatores das condições latentes criam constantemente novas condições facilitadoras do aparecimento de erros ativos. Em outras palavras, não é possível eliminar diretamente esses erros. Eles são conseqüências, e não causas. Por isso mesmo, os interessados na prevenção devem priorizar a eliminação ou minimização de condições latentes. Talvez a contribuição mais importante a ser destacada dos estudos de Reason seja a idéia de que para os interessados na prevenção de acidentes o caminho a seguir não é o do estudo dos “erros humanos”. Em especial, quando essa expressão é tomada no sentido de erros ativos, entendidos como resultados de falhas do indivíduo ou operador que os cometeu. As características do comportamento humano no trabalho 4
  5. 5. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br levam estudiosos do tema a reconhecer que “errar é humano”, ou seja, que o erro sempre vai existir e que, por isso, a prevenção ideal deve basear-se na abordagem de características do sistema que aumentam as chances de ocorrência desses erros. A contribuição de Reason influencia a abordagem de acidentes pelo mundo todo. Os interessados em conhecê-la em mais profundidade podem fazer busca direta com o nome do autor em sistemas de busca e bases de dados. Em livro recente, o interessado pode encontrar muitos exemplos de aplicação desses conceitos em estudos de acidentes na atividade de manutenção (REASON & HOBBS, 2003). O ACIDENTE PSICO-ORGANIZACIONAL DE LLORY Outros autores também utilizam a expressão acidente organizacional com sentido assemelhado ao empregado por Reason. Em 1997 foi lançada nova edição de Man-made disasters (TURNER & PIDGEON, 1997) que descreve estágios ou etapas do acidente na vida do sistema. Em 1999, na França, Llory resume a proposta de Turner e Pidgeon em três fases. A primeira, pré-acidental ou período de incubação, em que uma lenta e progressiva degradação do sistema leva à segunda, acidental propriamente dita, geralmente desencadeada por evento específico. A terceira fase é a pós-acidental, no curso da qual se manifestam as conseqüências sociais, políticas e institucionais do acidente, sob a forma de uma crise organizacional e social (LLORY, 1999b, p.114). O acidente é organizacional na medida em que é, antes de tudo, o produto de uma organização sociotécnica. Não mais somente como resultado de uma combinação ‘azarada’ de falhas passivas e latentes com falhas ativas e diretas, não mais somente como resultado de uma combinação específica de erros humanos e de falhas materiais. (p.113) O acidente está enraizado na história da organização: uma série de decisões, ou ausências de decisões; a evolução do contexto organizacional, institucional, cultural que interfere no futuro do sistema; a evolução (a degradação) progressiva de condições ou fatores internos à organização; alguns eventos particulares que têm um impacto notável sobre a vida e o funcionamento do sistema sociotécnico, criando uma situação 5
  6. 6. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br desfavorável: um terreno no qual o acidente (ou um incidente) poderá se inserir e se desenvolver ... o acidente incuba. O período de incubação pode ser longo... (p.113-4) Considerando as idéias de acidente organizacional aqui apresentadas, os primeiros questionamentos suscitados aos interessados em SGGST são: Qual a concepção de acidente adotada no sistema em que você atua? Suas análises de acidentes identificam condições latentes ou aspectos da história da incubação desses eventos? Adotam algum dos conceitos citados? Como você situa a afirmação de que a maioria dos acidentes deve-se a erros dos operadores e que o principal objetivo a ser adotado para a sua prevenção é a eliminação desses erros? A NOÇÃO DE ACIDENTE NORMAL OU SISTÊMICO DE CHARLES PERROW Uma das primeiras obras de divulgação do enfoque sistêmico foi publicada em 1984 pelo sociólogo americano Charles Perrow: Normal accidents: living with high-risk technologies. Nessa obra ele enfatiza o papel da estrutura de sistemas complexos nas origens do que denominou acidentes normais ou sistêmicos. Em seu livro Perrow (1999a) destaca uma idéia de risco que não costuma ser considerada como tal em abordagens técnicas tradicionais. Trata-se do risco decorrente da possibilidade de interações entre fatores, elementos ou componentes de sistemas sociotécnicos. Esse tipo de risco é descrito pelo autor como associado à complexidade sistêmica, ou seja, a uma propriedade de sistemas complexos. O autor classifica os sistemas em simples e complexos em função do tipo de interações existentes entre seus elementos. Nos sistemas simples predominam interações de tipo previsível, ditas simples, como aquelas presentes numa série de pedras de um dominó. A conseqüência da queda de uma delas, ou seja, a derrubada daquelas que estão à sua frente, é facilmente previsível. Nos sistemas complexos há maior freqüência de interações provenientes do acúmulo de aspectos ou fatores que, vistos isoladamente, não são considerados como risco e, mesmo em seu conjunto, não 6
  7. 7. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br permitem prever os desfechos a que se associam. Segundo Perrow, em sistemas complexos a emergência de interações complexas pode originar comportamentos sistêmicos não antecipados e de evolução tão rápida que impossibilitam aos operadores o restabelecimento da compreensão do que estaria acontecendo. Como conseqüência, essas situações evoluem para acidentes impossíveis de serem evitados. Os sistemas com mais chances de apresentar acidentes desse tipo são aqueles que incluem parte, unidade ou subsistema que desempenha, simultaneamente, múltiplas funções. Por exemplo, um aquecedor que é usado tanto para aquecer gases em um tanque “A”, como para trocar calor de modo a absorver seu excesso de um reator químico. Sua falha pode deixar o tanque “A” muito frio para a recombinação das moléculas do gás e, ao mesmo tempo, o reator químico superaquecido por causa da não absorção do excesso de calor. Segundo Perrow os acidentes sistêmicos tendem a apresentar acúmulos de conseqüências desse tipo de falhas, denominadas de falhas de modo comum (common- mode failures) que tendem a reagir com feedbacks não familiares aos integrantes do sistema. Além disso, os sistemas mais propensos a esse tipo de acidentes possuem “interatividade” caracterizada por “proximidade física” entre componentes, “informação de origem indireta ou inferencial, controle de muitos parâmetros com interações potenciais e compreensão limitada de alguns processos”. Resumindo a noção de “complexidade interativa”, Marais et al. (2004) afirmam que ela “refere-se à presença de seqüências de eventos não familiares, não planejados e inesperados em um sistema”, sendo também invisíveis e não imediatamente compreensíveis. Esse tipo de acidentes tende a ser disparado por falhas banais, aparentemente sem grande significado para a segurança. Por exemplo, um defeito numa máquina de café levando a um incêndio que culmina na queda de um avião. No acidente de Three Mile Island um aviso de manutenção cobria alarme luminoso importante. Nesses casos as situações podem parecer bizarras ao examinador externo, mas costumam ter explicação racional do operador. 7
  8. 8. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br A probabilidade desses acidentes associa-se tanto à complexidade interativa, citada até aqui, como a uma outra propriedade dessas interações: o fato de serem estreitamente ou fortemente interligadas (tightly coupling). Isso significa que o sistema é altamente interdependente, de modo que uma mudança numa parte pode rapidamente afetar o status de outras partes. Diferentemente das interações frouxas, essas se mostram estreitamente dependentes ou associadas. De acordo com Perrow, sistemas estreitamente interligados teriam as seguintes características: a) Possuem maior número de processos dependentes do tempo, ou seja, que não podem ser paralisados, por exemplo, à espera de uma intervenção corretiva; b) Possuem maior proporção de seqüências específicas e invariantes, de modo que a ocorrência de A sempre leva ao surgimento de B; c) Além das seqüências específicas invariantes o desenho global do processo permite apenas um caminho de obtenção da meta de produção, por exemplo, uma planta nuclear não pode produzir eletricidade a partir de outro combustível, ou seja, trata-se de sistema pouco flexível; e d) Possuem pequena margem de manobra ou “folga” (slack), ou seja, quantidades devem ser precisas, recursos não podem ser substituídos por outros, substituições temporárias de equipamentos não são possíveis etc. (PERROW, 1999a, p.93-4) A visão de Perrow leva-o a leitura considerada essencialmente pessimista quanto às possibilidades de prevenção de acidentes nesse tipo de sistemas. Neles, seria impossível antever e evitar todas as chances de interações complexas. E parte delas, sendo fortemente interligadas, acabaria levando a acidentes normais ou sistêmicos. Esse nome foi dado não porque fossem acidentes de grande freqüência, mas sim por decorrerem de características inerentes ao sistema. A alternativa a esses desastres estaria na decisão política de não aceitar a implantação desse tipo de sistemas no território. Posteriormente, a prevenção desse tipo de acidentes é discutida com base em idéias de redução da complexidade sistêmica (PERROW, 1999b; SAGAN, 1993) incluindo estratégias de pessimismo estruturado (PERROW, 1999b), ou seja, a exploração sistemática dos piores cenários como suporte à elaboração de práticas de prevenção. 8
  9. 9. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Embora criticada por seu pessimismo, a visão de Perrow exerce larga influência entre interessados na segurança e confiabilidade de sistemas. Os conceitos de interação complexa e interação estreitamente ou fortemente interligada passam a ser considerados na concepção e operação de sistemas, e a noção de origens de acidentes em características da estrutura de sistemas passa a ser usada em contraposição à de culpa dos operadores. Os interessados em outros exemplos de utilização dos conceitos de Perrow podem encontrá-los em sistemas de buscas e base de dados. O Journal of Contingencies and Crisis Management é fonte obrigatória para os interessados no tema. A ABORDAGEM SISTÊMICA E A ANÁLISE DE ACIDENTES A teoria de sistemas tem suas origens nas décadas de 1930 e 1940. O método científico tradicional adota divisão do sistema em partes, de modo a examiná-las separadamente. Esse processo de decomposição, chamado de redução analítica, possui entre outros os seguintes pressupostos: cada componente ou subsistema opera independentemente. Em outras palavras, esses componentes não estariam sujeitos a efeitos dos resultados de suas ações e nem dos demais componentes do sistema. Enfim, esse enfoque considera que o comportamento dos componentes (por exemplo, os pedais de uma bicicleta) é o mesmo quando examinado isoladamente (com a bicicleta desmontada) e quando exercendo seu papel no todo (na bicicleta montada) (LEVESON, 2002). O enfoque sistêmico centra-se no sistema tomado como totalidade, assumindo que algumas de suas propriedades só podem ser tratadas adequadamente na sua inteireza. Os fundamentos da teoria de sistemas estão em dois pares de idéias: 1) propriedades emergentes e hierarquia; e 2) comunicação e controle. Em outras palavras, sistemas complexos podem ser descritos como apresentando diferentes níveis organizados hierarquicamente. Cada nível caracteriza-se por ter propriedades emergentes, ou seja, que não existem nos níveis inferiores do sistema. Isso pode ser ilustrado com a idéia de componentes de uma bicicleta ou sistema técnico e a 9
  10. 10. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br função dessa bicicleta ou sistema. Isoladamente, o conjunto de peças da bicicleta não pode ser usado como meio de transporte. O trabalho dos operadores, montando a bicicleta, faz emergir essa propriedade que não existe no conjunto de peças isoladas. A noção de hierarquia visa explicar relações entre níveis diferentes. Os níveis hierárquicos superiores são responsáveis pelo controle daqueles inferiores. Para obter esse controle devem impor leis de comportamento, ou seja, constrangimentos ou limites aos graus de liberdade dos componentes do nível inferior. Por exemplo, o controle de trabalhadores de manutenção em termos de segurança do trabalho pode ser conseguido com constrangimentos emanados de gestores dos subsistemas de manutenção, de segurança e de produção. Esse controle deriva de propriedades emergentes dos níveis hierárquicos superiores. Além de definir os constrangimentos, por exemplo, informações que impõe ao nível hierárquico inferior, o nível superior também define formas de comunicação ascendente que informam sobre o funcionamento real do sistema, em especial, sobre como se dá, ou não, a efetiva imposição daqueles constrangimentos, completando a alça de controle entre os diferentes segmentos da hierarquia. A segurança é um típico exemplo de propriedade emergente de um sistema. É impossível avaliar se uma fábrica é segura examinando uma válvula dessa planta. Afirmações acerca da segurança da válvula sem informações acerca do contexto em que ela é usada, não fazem sentido. Pode-se até falar da confiabilidade dessa válvula, definindo confiabilidade como a probabilidade de seu comportamento satisfazer suas especificações ao longo do tempo sob determinadas condições. Um componente que seja perfeitamente “seguro” em um sistema pode não sê-lo em outro. Os conceitos de comunicação e controle da teoria de sistemas servem de fundamentos ao desenvolvimento de canais de fluxo de informações dentro das organizações. Os níveis hierárquicos superiores participam no desenho de constrangimentos (constraintes) destinados à implementação das “leis de comportamento” do sistema. Essas “leis” incluem normas, meios e práticas a serem utilizados visando à confiabilidade e à segurança do sistema, constituindo-se em instrumentos ou ações regulatórias ou de controle do sistema. 10
  11. 11. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Em organizações hierarquizadas como as empresas, indo do pessoal de chão de fábrica à alta hierarquia, esses processos de controle operam na interface entre diferentes níveis. Em sistemas abertos alças de informação e controle são consideradas fundamentais para a continuidade de suas operações em equilíbrio dinâmico nas suas trocas com o ambiente externo. A Figura 2, retirada de Leveson (2004), mostra os componentes de uma alça de controle típica na situação em que um supervisor humano controla determinado subsistema automático. O controlador sempre tem modelos mentais do processo e da automação em si. Por exemplo, operando uma máquina automática o trabalhador constrói suas representações sobre o que está produzindo com a máquina e sobre o próprio funcionamento da máquina. Se aciona um comando para fechar uma válvula e, na operação normal, isso tem como resposta o acendimento de luz verde no painel de comando, ele pode tender a interpretar a luz acesa como sinal de que a válvula está fechada. Por sua vez, a máquina embute o modelo dos seus criadores acerca do mesmo processo e das interfaces necessárias com os operadores. Ao discutir acidentes em sistemas complexos devem-se analisar os modelos mentais necessários para a gestão da integralidade do sistema. Quando o modelo do controlador ou gestor não corresponde à situação real, por exemplo, não incorpora informações relativas às repercussões que suas decisões podem ter fora do sistema, as decisões relativas à gestão da segurança e confiabilidade do sistema podem ser insuficientes para a sua manutenção. 11
  12. 12. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Essa noção de alça de controle é usada por Leveson (2002; 2004) para criticar a amplitude da definição adotada por alguns estudiosos para a expressão erro humano. Na leitura ampliada, dificuldades surgidas na interação homem–máquina são interpretadas como falhas humanas. Para Leveson, essa forma de definir erro humano deixa de considerar as características da concepção do sistema, em particular daquelas que entram nas alças de controle entre homem e dispositivos técnicos e que contribuem para o enfraquecimento da confiabilidade e da segurança do sistema. Por exemplo, uma falha na operação de dispositivo que não forneceu adequado feedback do estado do sistema após ação anterior tende a ser atribuída ao operador, desconsiderando a falha de concepção desse dispositivo. IMPLICAÇÕES PARA A SEGURANÇA Esses conceitos reforçam a constatação do papel dos diversos níveis hierárquicos das organizações na implementação de mecanismos efetivos de controle suscitando questões, como as apresentadas a seguir, aos interessados em SGSST: 1. As análises de acidentes, ou o desenho do SGSST de sua organização, reconstroem o desenho e o funcionamento das alças de informação e controle adotadas entre os diversos níveis do sistema, com ênfase naquelas que se referem aos atores envolvidos no acidente? 2. As análises identificam claramente os constrangimentos definidos no sistema de modo a verificar se os esforços empreendidos pelos atores situados nos níveis hierárquicos superiores forçam ou impulsionam adequadamente o sistema no sentido da construção e consolidação da confiabilidade e segurança do sistema? 3. As análises incluem verificação do como a alta hierarquia acompanha a operação e o desempenho desse sistema, até mesmo se ela recebe informações do estado real do sistema? 4. O acompanhamento destaca ou enfatiza o monitoramento das constantes adaptações locais que ocorrem na base dos sistemas em respostas às pressões e à variabilidade de componentes do sistema em todos os tipos de atividades? 12
  13. 13. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Comentando esse último aspecto, Leveson (2002) destaca a idéia de que todo modelo de acidente que inclua a noção de sistema social e humano deve considerar a existência de adaptações. Segundo ela, nesse tipo de sistemas “a única constante é que nada permanece constante o tempo todo”. De modo semelhante ao que se observa em estudos de Ergonomia da Atividade, essa forma de compreender o trabalho tem reflexos diretos sobre a forma de entender os comportamentos humanos no trabalho que não atingem os objetivos pretendidos, os seja, os ditos “erros humanos”. Visto com esse arcabouço conceitual, o suposto erro humano não pode mais ser explicado como produto de características pessoais do operador a exemplo do que faz, invariavelmente, a abordagem tradicional de acidentes. O enfoque sistêmico passa a definir “erro” como desvio de procedimento racional e normalmente usado como efetivo para enfrentar aspectos da variabilidade do trabalho. E não mais como desvio de um procedimento ou norma teoricamente definido como jeito certo de fazer o trabalho. Isso suscita novas questões aos interessados em SGSST: 1. Qual é a definição de erro adotada em seu sistema? 2. Como o SGSST de sua organização explica e propõe abordar as origens desses eventos? Os interessados no uso do modelo de Leveson encontrarão grande número de exemplos disponíveis na íntegra na página citada. O acidente do veículo lançador de satélites VLS-1 V03, ocorrido na Base de Alcântara, no Brasil, foi analisado com esse modelo e com o modelo vertical de Rasmussen (JOHNSON & ALMEIDA, no prelo). ASPECTOS DA EXPLORAÇÃO DA NOÇÃO DE ERRO HUMANO EM ANÁLISES DE ACIDENTES Na atualidade parece haver consenso na idéia de que as situações de trabalho passam a demandar mais em termos de habilidades de raciocínio e cognitivas (cognitive- reasoning) do que das sensório-motoras. Com isso ganham importância estudos acerca 13
  14. 14. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br do papel do componente social (humano) desses sistemas. Estudos que buscam explorar aspectos cognitivos associados aos comportamentos humanos, com ênfase em situações de trabalho. Essa distinção também foi usada por Rasmussen (1982) para explicitar a idéia de que os trabalhadores usam modos diferentes de gestão psíquica de suas ações em função do tipo de situação que enfrentam. Ele mostra que existem ações controladas predominantemente de modo quase automático em situações rotineiras. Elas podem ser desenvolvidas sem a necessidade de pensar em seus componentes. Esses comportamentos são descritos por Rasmussen como baseados em habilidades (skill- based). No outro extremo estão ações controladas predominantemente com o uso da consciência e raciocínios. Elas são denominadas baseadas em conhecimentos (knowledge-based) e são mais típicas de situações novas ou pouco freqüentes. No nível intermediário localizam-se ações cuja execução é baseada em regras (rule-based) usadas em situações em que é possível antever a maioria das situações e treinar os operadores no seu desenvolvimento. A aprendizagem humana é descrita como processo em que ações inicialmente conscientes vão se tornando automáticas como decorrência do número de vezes que são repetidas. Com a familiarização, a habilidade do operador para sua execução aumenta e elas passam para um nível de regulação cognitiva de menor custo para o operador. Quando alguém está aprendendo a guiar automóveis, o processo de aprendizagem da retirada do pé do pedal de embreagem ilustra essa situação. No início, o motorista coloca sua atenção na velocidade de retirada do pé e a ação é executada sob controle da consciência. Quando o motorista aprende a guiar, a ação é executada “automaticamente”. O mesmo raciocínio se aplica a todas as situações de aprendizado. Vale destacar que quando o trabalho envolve o surgimento constante de situações novas, ou de incerteza, a regulação consciente estará mais presente. Aliás, é justamente a habilidade do operador na detecção e interpretação de sinais de mudanças na evolução da atividade que o leva a mudar o modo de gestão psíquica que está utilizando. Esses conhecimentos ensejam questões aos interessados em SGSST: 1. Na exploração de comportamentos humanos envolvidos em acidentes do 14
  15. 15. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br trabalho a equipe de análise de seu SGSST analisa os tipos de situação e o modo de gestão psíquica usado pelos operadores? 2. Nas análises de acidentes conduzidas em seu SGSST há identificação dos principais parâmetros utilizados e de características das formas com que se manifestam e são percebidos pelos operadores na gestão do sistema? Há exploração de possíveis fatores intervenientes? 3. Em casos envolvendo omissões há exploração da possibilidade de armadilhas cognitivas no sistema? Os interessados em exemplos de uso desses conceitos em análises de acidentes podem consultar Reason e Hobbs (2003), Almeida e Binder (2004), Rasmussen e Svedung (2000), entre outros. AMPLIANDO O PERÍMETRO DA ANÁLISE DE ACIDENTES COM A NOÇÃO DE MIGRAÇÃO DO SISTEMA PARA O ACIDENTE Na última década Rasmussen (1997), Rasmussen e Svedung (2000), Svedung e Rasmussen (2002) descrevem o que consideram como importante desafio da atualidade: a gestão de riscos na sociedade dinâmica. O desafio teria origens nas rápidas transformações pelas quais passa a sociedade atual, incluindo: a) O ritmo acelerado de mudanças tecnológicas nos níveis operativos da sociedade; b) O aumento da escala de instalações industriais com aumento do potencial de acidentes de grandes proporções; c) O rápido desenvolvimento de tecnologias de informação e comunicação, levando a sistemas com alto grau de interações estreitamente interligadas; e d) Os ambientes de grande agressividade e competitividade, que aumentam o número de conflitos potenciais a serem vividos pelos tomadores de decisão, levando-os a focalizarem os termos financeiros de curto prazo e critérios de sobrevivência dos sistemas em detrimento de sua segurança. 15
  16. 16. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br A velocidade de mudanças nas bases técnica e organizacional dos processos usados em sistemas de transportes, industriais, de prestação de serviços de saúde e outros, com elevada incorporação de novas tecnologias, é maior do que a de processos gerenciais, e muito maior do que a presente nos sistemas extra-empresa, encarregados do desenvolvimento de políticas e de legislação para o controle dos riscos desses processos. Essa defasagem de tempo (time lag) em prejuízo dos mecanismos de controles de risco desenvolvidos nos sistemas sociotécnicos torna-se mais evidente em face do ambiente agressivo e de exacerbada competitividade em que essas empresas normalmente estão inseridas. Nessas condições surgem pressões no sistema que, com muita freqüência, influenciam gerências levando-as à adoção de decisões imediatistas que vão empurrando o sistema para a proximidade das fronteiras de sua segurança. Esse processo, dinâmico por excelência, mostra que esses sistemas vivem em constante necessidade de adaptação a mudanças no ambiente em que estão inseridos, e também em seus próprios componentes. Nessas condições a forma tradicional de gestão de segurança, baseada em abordagens prescritivas e normativas, torna-se ultrapassada. Nesses sistemas os acidentes passam a envolver aspectos até então inexistentes ou de ocorrência menos freqüente. Os operadores não têm à mão uma regra ou procedimento operacional capaz de indicar-lhes como agir diante daquela perturbação. Nos sistemas que estudou, Rasmussen também evidencia que nas origens de acidentes participam decisões gerenciais tomadas fora dos muros da empresa-sistema propriamente dita. Esse tipo de situação é denominado decisão distribuída (distributed decision making) e foi exemplificado com análise do naufrágio de um ferry boat, em Zeebrugge, em março de 1987. Os autores mostram que esse acidente envolveu aspectos relativos à concepção do barco e do porto, características da gestão de cargas e da de passageiros, dos horários de tráfego e da operação do barco. Os gestores de cada uma das áreas citadas convivem com dificuldades e pressões próprias e não conseguem enxergar a floresta em torno da árvore em que estão. Suas decisões tendem a desconsiderar possíveis efeitos colaterais em outros subsistemas. O acúmulo de efeitos 16
  17. 17. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br colaterais das decisões tomadas em cada um dos subsistemas só emerge no sistema visto em sua totalidade, não existe como propriedade de seus componentes isoladamente. Nesse tipo de situações, uma vez adotado o conjunto de decisões o sistema torna- se vulnerável, ou em outras palavras, torna-se intolerante a grande número de mudanças, seja de comportamentos, seja de outros de seus componentes. Em outras palavras, se o acidente não tivesse sido desencadeado pelo fator específico x1, poderia ser pelo x2 ou outro qualquer. Isso explica a crítica de Rasmussen (1997) à idéia de causa básica ou causa raiz de acidentes, tão difundida na área de segurança do trabalho. No pensar tradicional, eliminada a causa básica aquele tipo de acidente não mais ocorreria. Rasmussen vem mostrando que em sistemas dinâmicos acidentes com aspectos assemelhados podem ocorrer sem a presença daquela determinada “causa” pensada isoladamente porque, na situação de trabalho real, o cenário acidentogênico formado é produto da interação ou acúmulo de efeitos colaterais de decisões tomadas por atores diferentes em cenários que dificilmente permitem antever a possibilidade, seja do acúmulo, seja dos efeitos. E mais, isoladamente cada decisão não é capaz de produzir o efeito revelado pelo acidente. A formação desse cenário de vulnerabilidade, de diminuição da tolerância a mudanças ou da resiliência do sistema é descrita por Rasmussen como processo de migração do sistema para o acidente ou para as fronteiras aceitáveis de sua segurança. Uma vez ocorrida a migração, o acidente pode ser desencadeado por muitos tipos de pequenas mudanças cuja eliminação, em conformidade com o raciocínio causal do modelo tradicional de gestão da segurança, revela-se impotente para a efetiva melhoria da confiabilidade e segurança do sistema. A Figura 3 mostra o modelo proposto por Rasmussen (1997) para representar a migração do sistema em direção às suas fronteiras de segurança. Em todo sistema de trabalho o comportamento humano é modelado por objetivos e constrangimentos que devem ser respeitados pelos atores com vistas à obtenção de 17
  18. 18. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br sucesso nas suas intervenções. Assim é que o sistema impõe limites ou fronteiras que se ultrapassados podem ameaçar sua sobrevivência ou relativa estabilidade. Há fronteiras de natureza econômica, em especial relativas a custos, e também fronteiras impostas pela carga de trabalho a que os operadores são submetidos. O espaço de trabalho em que os atores navegam livremente também é limitado por constrangimentos administrativos, funcionais e de segurança. Eles delimitam fronteiras de desempenhos aceitável e percebido. No entanto, durante sua atividade os operadores sempre possuem determinados graus de liberdade que serão “fechados” com o uso de adaptações locais guiadas por critérios relativos ao processo em curso, tais como a carga de trabalho, a relação custo–benefício, o risco de falhas, o prazer da exploração etc. Esse modelo chama a atenção para a natureza dinâmica da atividade. “As mudanças normais encontradas nas condições locais de trabalho induzem freqüentes modificações de estratégias, e a atividade mostra grande variabilidade” (RASMUSSEN 1997, p.189). Tais variações locais, induzidas pela situação, são comparadas por Rasmussen ao “movimento Browniano” das moléculas gasosas. Durante essas tentativas de adaptação estabelecem-se gradientes de esforço e de custo cujo resultado tende a ser uma sistemática migração em direção às fronteiras do desempenho funcionalmente aceitável que, se cruzadas, resultam em erro ou acidente. Por isso, o autor afirma que a análise deve focar os mecanismos geradores de comportamentos nos contextos de trabalho reais e dinâmicos. E não os erros humanos ou violações. 18
  19. 19. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Segundo Rasmussen, a maioria dos grandes acidentes analisados nos últimos anos mostra, em suas origens, exatamente esse tipo de migração sistemática para as fronteiras de segurança do sistema, e não uma “coincidência de falhas e erros humanos independentes”. Por isso, a gestão da segurança nesse tipo de sistemas deveria ser pró- ativa, centrando-se no estudo das atividades normais dos atores que preparam esse cenário. Sistemas bem concebidos dispõem de numerosasbarreiras, controles ou linhas de precauções para evitar acidentes, de modo que a eventual violação de uma delas não leve de imediato a um evento adverso. A segurança de um subsistema ou sistema em particular também depende de efeitos colaterais de ações de atores situados em outros subsistemas ou sistemas. Nos sistemas em que as pressões no sentido do custo– efetividade são dominantes instala-se degeneração sistemática dessas proteções ao longo do tempo. O sociólogo alemão Ulrich Beck chamou esse processo de “incerteza produzida e irresponsabilidade organizada” (produced uncertainties and organised irresponsibility) e de “incerteza estratégica e vulnerabilidade estrutural” considerando-o 19
  20. 20. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br problema-chave para a pesquisa atual em gestão de risco (apud SVEDUNG & RASMUSSEN, 2002, p.399). O exemplo seguinte foi retirado de texto recente. Ele ilustra a estreita relação entre as noções de propriedade emergente e migração do sistema: Durante turno noturno de empresa com dois trituradores de madeira falta um operador de triturador e a máquina mais antiga e com menos recursos operacionais é deixada parada por falta de pessoal. Em seguida, quebra o pega- toras que fica sem conserto e seu operador é deixado temporariamente livre. Logo depois, chega ao pátio um novo caminhão carregado de madeira e não é descarregado por causa da quebra do pega-toras. Sabendo que o caminhão é pago em função do tempo de permanência no pátio, e consciente da existência de pressões da hierarquia para rapidez na descarga, o chefe de turno designa o operador de pega-toras para operar o triturador parado e solicita descarregamento do caminhão diretamente nas esteiras dessa máquina. As decisões tomadas criam segurança ou risco? (ALMEIDA, 2006, p.37) Os conceitos apresentados suscitam novas questões aos interessados em SGGST. Outras questões são apresentadas após o texto sobre modelos verticais de análises de acidentes. 1. Como a segurança formal aborda situações como a desse exemplo? 2. Considerando que a decisão do chefe de turno corresponde ao esperado na maioria dos sistemas, como classificar as conclusões de análisesdesse tipo de acidentes que os explicam como resultados do descumprimento de normas de segurança por parte do operador? 3. Como o SGSST de sua organização (a segurança formal) aborda a emergência de situações de perturbação e variabilidade do trabalho que exigem respostas dos trabalhadores equivalentes à noção de adaptações locais aqui citadas? 20
  21. 21. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br MODELOS VERTICAIS DE ANÁLISE DE ACIDENTES Essas idéias estão na base de proposta de gestão de risco e de análises de acidentes desenvolvida por Rasmussen (1997) e também do método Systems-Theoretic Accident Models and Processes – STAMP, desenvolvido por Leveson (2004). Os sistemas sociotécnicos envolvidos na gestão de riscos passam a ser considerados em sua totalidade, com todos os seus níveis hierárquicos, indo dos operadores no “chão de fábrica” aos legisladores e agências governamentais responsáveis pela formulação e implementação de políticas de controle. A Figura 4 mostra o sistema descrito por Rasmussen. Esse modelo de orientação “vertical” foi proposto para “capturar o processo causal de perdas como condição fronteiriça do trabalho sobre pressão e ... identificar parâmetros sensíveis para controle do comportamento de organizações e indivíduos” (SVEDUNG & RASMUSSEN, 2002, p.401). O modelo descreve as interações entre tomadores de decisões situados em todos os níveis da sociedade, em seus papéis de gestores de risco. A análise retoma a noção de alça de controle discutida anteriormente, explorando as possibilidades de falhas: a) na concepção de constrangimentos necessários para forçar a implementação de ações de controle; b) na execução dessas ações e; c) no feedback oferecido após a execução das ações. O modelo proposto por Leveson é parecido com o de Rasmussen, mas inicia-se com mapa de atores envolvidos no acidente, sem referências ao processo físico e às atividades citadas na base do esquema de Rasmussen. As análises incluem mapas com a representação das alças de controle e informação prescritas ou propostas entre os diferentes níveis hierárquicos do sistema e os mesmos mapas representando as adaptações locais que ao longo do tempo de existência do sistema foram sendo feitas nos componentes que visam impor as ações regulatórias ou informar ao nível superior os resultados das ações realizadas. O livro de Rasmussen e Svedung (2000) inclui apêndice com registros de análises de seis acidentes com a técnica 21
  22. 22. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br proposta pelos autores. O modelo de Leveson (2004) associa o Quadro 1, que mostra taxonomia de falhas possíveis no desenho, na execução ou nofeedback das diversas alças analisadas. A adoção desses modelos exige o abandono daabordagem tradicional adotada na gestão de segurança, que se baseia na decomposição estrutural do sistema, com análises de tarefas focadas em seqüência de ações e ocasionais desvios, tratados como erros humanos. Em seu lugar deve-se adotar modelo de mecanismos modeladores de comportamentos em termos de constrangimentos (constraintes) das situações de trabalho, fronteiras de desempenhos aceitáveis e critérios subjetivos guiando as adaptações às mudanças (RASMUSSEN, 1997). Como a variabilidade e as adaptações que exigem são contínuas, o “erro humano” passa a ser visto como uma tentativa de adaptação que não obteve o sucesso desejado, mas cujo resultado é imediatamente assumido como input ou sinal necessário ao diagnóstico do estado atual do sistema e às decisões que culminarão em nova tentativa de adaptação. Nas palavras de Amalberti (1996) o erro é parte da negociação ou 22
  23. 23. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br compromisso cognitivo desenvolvido durante a gestão das atividades. Um aspecto a ser destacado nessa abordagem de mecanismos modeladores de comportamentos é sua semelhança com o enfoque de comportamento situado adotado na Ergonomia da Atividade. As razões associadas às origens do insucesso de determinada tentativa de adaptação devem ser buscadas nas constraintes – ou na falta delas – que modelam os comportamentos dos indivíduos e das organizações considerando a existência de pressões que exigem adaptações locais por parte dos operadores. Além disso, o Quadro 1 orienta a sistematização de aspectos da análise. Os modelos verticais suscitam novos questionamentos aos interessados em SGSST: 23
  24. 24. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br a) Como os gerentes e chefias intermediárias responsáveis por decisões estratégicas e do cotidiano e que contribuem direta ou indiretamente nas origens de acidentes são abordados, se são, nos processos de análises desses acidentes? b) Como a eventual contribuição de atores situados fora dos muros do sistema- empresa em questão é abordada em análises de acidentes de sua organização? CONSIDERAÇÕES FINAIS No Reino Unido, relatórios recentes de análises de acidentes com escorregões e quedas, acidentes no trabalho em manutenção, acidentes de trânsito, acidentes de trabalhadores do setor de saúde e outros, conduzidas por equipes de técnicos do Health and Safety Executive – HSE, organismo equivalente ao nosso Ministério do Trabalho e Emprego, mostram que o uso de conceitos como os apresentados neste texto não está restrito a pesquisadores de universidades e equipes de segurança de grandes empresas de setores mais dinâmicos e pujantes da economia. Análises de acidentes começam a ser reconhecidas como práticas profissionais que credenciam aqueles que as conduzem como interlocutores válidos de todos os demais atores do sistema. Passam a revelar caminhos pelos quais aspectos da organização e funcionamento do sistema tornam-se potencialmente acidentogênicos. Este texto procura mostrar que esses aspectos não podem mais ser confundidos com exemplos de práticas estranhas, desenvolvidas por uns poucos pesquisadores que se dedicam ao estudo de acidentes como “fenômenos de laboratório”. Pelo contrário, mostra que é crescente a incorporação de conceitos como os aqui apresentados em práticas de empresas e instituições públicas. Esse movimento está associado à percepção de que os interessados na prevenção de acidentes do trabalho têm muito a aprender com a experiência desenvolvida em sistemas que conquistaram desempenhos de segurança reconhecidos como bons, de “alta confiabilidade” ou “ultra-seguros” à luz dos conhecimentos atuais. Em outras palavras: os interessados na prevenção de eventos adversos em hospitais, por exemplo, precisam aprender com a experiência da aviação comercial de vários países do mundo. E assim, sucessivamente. 24
  25. 25. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br No entanto, a percepção dessa mudança não permite desconhecer que esse não parece ser o caminho seguido na maioria dos sistemas. A abordagem tradicional resiste. A idéia de que a maioria dos acidentes decorre de falhas humanas persiste, e a resposta atual da abordagem tradicional a essa velha questão assume a forma de propostas de “segurança comportamental” (HOPKINS, 2006). As duras críticas apresentadas por autores aqui citados à idéia de que os acidentes do trabalho decorrem de erros humanos não devem ser entendidas como negação do reconhecimento da existência de uma dimensão humana ou subjetiva nesses eventos. Muito pelo contrário, como o próprio texto mostra esses autores propõem abordagens ainda pouco difundidas no Brasil para os interessados no estudo dos comportamentos humanos em situação de trabalho. E revelam que a mera identificação de ações ou omissões humanas que contrariam preceitos de normas ou regras vigentes não passa de efeitos, de conseqüências, de fenômenos aparentes cuja essência, especialmente em termos de origens, precisa ser pesquisada. E que nem de longe deve ser reduzida à idéia de produto da consciência do operador que teve aquele comportamento. Os objetivos deste texto são ambiciosos. Em primeiro lugar, revelar parte da história dessa forma diferente, alternativa, de conceber os acidentes do trabalho e sua análise. Em segundo lugar, incentivar interessados no tema da gestão de saúde e segurança do trabalho a refletirem sobre até que ponto os caminhos aqui indicados podem ser úteis às organizações em que atuam. 25
  26. 26. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br REFERÊNCIAS ALMEIDA, I. M. Análise de acidentes do trabalho como ferramenta de prevenção. Revista Cipa, ano XXVII, n.320, p.22-49, 2006. ALMEIDA, I. M.; BINDER, M. C. P. Armadilhas cognitivas: o caso das omissões na gênese dos acidentes de trabalho. Cadernos Saúde Pública, v.20, n.5, p.1373-8, 2004. AMALBERTI, R. La conduite des sistèmes à risques. Paris: Presses Universitaires de France, 1996. (Collection Le Travail Humain) HOPKINS, A. What are we to make of safe behaviour programs? Safety Science, 2006 (in press). Disponível em www.sciencedirect.com/science/journal. Acesso em: 10 jul. 2006. JOHNSON, C. W.; ALMEIDA, I. M. An investigation into the loss of the Brazilian Space Programme’s Launch Vehicle VLS-1 V03. No prelo (Aceito para publicação em Safety Science). LEVESON, N. G. A new approach to System Safety Engineering. 2002. Disponível em sunnyday.mit.edu. Acesso em: 25 jan. 2005. LEVESON, N. G. A new accident model for Engineering Safer Systems. Safety Science, v.42, p.237-70, 2004. Disponível em sunnyday.mit.edu. Acesso em: 25 jan. 2005. LLORY, M. Acidentes industriais: o custo do silêncio. Rio de Janeiro: Multimais, 1999a. LLORY, M. L’accident de la centrale nucléaire de Three Mile Island. Paris: L’Harmattan, 1999b. MARAIS, K.; DULAC, N.; LEVESON, N. Beyond normal accidents and high reliability organizations: the need for an alternative approach to safety in complex systems. MIT ESD Symposium, March 2004. Disponível em sunnyday.mit.edu. Acesso em: 20 abr. 2006. PERROW, C. Normal accidents. Living with high-risk technologies. 2.ed. New Jersey: Princeton University Press, 1999a. PERROW, C. Organizing to reduce the vulnerabilities of complexity. Journal of Contingencies and Crisis Management, v.7, n.3, p.150-5, 1999b. RASMUSSEN, J. Human errors: a taxonomy for describing human malfunctions in industrial installations. Journal of Occupational Accidents, v.4, p.311-35, 1982. RASMUSSEN, J. Risk management in a dynamic society: a modelling problem. Safety 26
  27. 27. Abordagem Sistêmica De Acidentes E Sistemas De Gestão De Saúde E Segurança Do Trabalho Ildeberto Muniz de Almeida INTERFACEHS ©INTERFACEHS – Revista de Gestão Integrada em Saúde do Trabalho e Meio Ambiente - v.1, n.2, Artigo 1, dez 2006 www.interfacehs.sp.senac.br Science, v.27, n.2/3, p.183-213, 1997. RASMUSSEN, J.; SVEDUNG, J. Proactive risk management in a dynamic society. Karlstad: Räddningsverket/Swedish Rescue Services Agency, 2000. REASON, J. Managing the risks of organizational accidents. Aldershot: Ashgate, 1997. REASON, J.; HOBBS, A. Managing maintenance error. A practical guide. Hampshire: Ashgate, 2003. SAGAN, S. D. The limits of safety. Organizations, accidents, and nuclear weapons. New Jersey: Princeton University Press, 1993. p.250-79. SVEDUNG, J.; RASMUSSEN, J. Graphic representation of accident scenarios: mapping system structure and the causation of accidents.Safety Science, v.40, p.397-417, 2002. TURNER, B. A.; PIDGEON, N. F. Man-made disasters. Oxford: Butterworth Heinemann, 1997. Artigo recebido em 24.08.2006. Aprovado em 02.10.2006. 27
  28. 28. SYSTEMIC APPROACH TO ACCIDENTS AND OCCUPATIONAL HEALTH AND SAFETY MANAGEMENT Ildeberto Muniz de Almeida¹ ¹Department of Public Health of the Botucatu Faculty of Medicine – Unesp ABSTRACT The principal objectives of this text are: to propagate concepts of systemic approaches to work accidents and to stimulate reflections on their utilization in Occupational Health and Safety Management Systems (OHSMS) in Brazil. The concepts presented suggest new ways to interpret human behaviors that participate in the proximal or remote causes of accidents. Accident analysis must investigate latent or incubated conditions, and research aspects of interactive complexity, control modes and situations, behavioral modeling mechanisms, system migration to accidents or other aspects. Parties responsible for OHSMS are encouraged to know how to recognize the concepts or approaches most useful to organizations in which they act. Key words: Workplace accidents, Accident theories, Accident analysis, Occupational Health and Safety Management Systems, System migration. www.interfacehs.sp.senac.br http://www.interfacehs.sp.senac.br/en/articles.asp?ed=2&cod_artigo=44 ©Copyright, 2006. All rights reserved. Reproduction of the articles, either in full or in part, is allowed, provided the obligation to indicate INTERFACEHS` ownership of the copyright of the same is observed, with full mention of the source of such articles. If in doubt, contact the secretarial department: interfacehs@interfacehs.com.br 1
  29. 29. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br INTRODUCTION The analyses of work-place accidents traditionally conclude by attributing blame the victims themselves and denying the existence of problems or malfunction in the systems that give rise to these events. Over the last few decades questions have been raised regarding this conclusion and opinions have highlighted the occurrence of accidents as a warning as to the existence of systemic malfunction, signs of the occurrence of latent problems that need to be heeded and appropriately interpreted by the occupational health and safety management systems (OHSMS). It is not easy to spread the word about the systemic focus of accidents. In Brazil one of the few works dedicated to systemic focus is “Acidentes industriais. O custo do silêncio” [Industrial Accidents. The cost of silence] by Michel Llory (1999a). In the book’s preface, Gerard Mendel discusses the resistance to this approach, pointing out that it has to do “with [...] the principle from which science can be founded and developed. [...] science is constructed by increasingly breaking down the reality into distinct and separate disciplinary fields, but despite this reality only exists in a global form. [...] the spirit of the scientist is not prepared to move in these inter-disciplinary fields.” The aim of this text is to present some of the concepts of this approach that have been used over the last few decades when analyzing accidents and to discuss the implications of incorporating them into OHSMS. The discussion will be accompanied by questions, suggested as topics for reflection. It does not aim to establish “new truths”, but it demands at least an explanation of the reasons that lead each system to make the choices they do. In short, the text points to the existence of OHSMS paths that are little known among us. JAMES REASON’S ORGANIZATIONAL ACCIDENT MODEL The expression organizational accident was used by Reason (1997) as a contrast to the idea of the individual accident. According to Reason, in the latter all happenings relative to the accident, in other words, its causes and consequences, can be considered as limited to the individual who carries out the activity and who suffers the accident and the injury. Organizational accidents are “comparatively rare events, but frequently 2
  30. 30. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br catastrophic, that occur within a complex modern technology, such as nuclear power stations, commercial aviation, the petrochemical industry, chemical process plants and railroad and marine transport systems, [...]”(p. 1). In no time at all, this idea begins to be used in the approach to accidents occurring in other types of systems and situations. Reason himself uses it when studying maintenance accidents, particularly in aviation, and also in accidents that occur in health services. Figure 1 shows the accident model suggested by Reason; a triangle and a rectangle are used to represent the accident. In the upper part of the Figure the rectangle represents the outcome of the accident. In his scheme the author here reproduces the idea of accident as a phenomenon that always includes the uncontrolled liberation of one (or more) particular type of energy in such a way as to produce losses in the system: material and environmental damage, other forms of loss or human victims. The energy liberated was present in the system controlled by barriers that are unable to prevent the liberation of its flow at the time of the accident. At the top of the figure the arrow represents this idea of energy flow crossing the barriers. 3
  31. 31. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br In Reason’s model the triangle that forms the base of the figure represents the system process or conditions from which the liberation of the energy flow originates. The behavior of the workers who were operating the system would be frequently found to be present in the immediate vicinity of the outcome of the accident, or the uncontrolled energy. These actions, or omissions, are represented at the top of the triangle and were called by Reason, active errors, including both voluntary and involuntary behaviors (or “errors”). Active errors correspond to the unsafe acts of the traditional approach to accidents. In the middle of the triangle the physical and technical working environment factors are represented. They are the origin of the active errors, and in turn have their origins in managerial factors and those relating to the organization of work, which are represented at the base of the triangle. These two groups of factors are called latent conditions, which according to the scheme, may give rise to the uncontrolled energy, released in the accident in a direct way, in other words, without active errors being present. The ‘latent conditions’ arrow, which is parallel to the triangle, shows the possibility of accidents without active “errors” that have their direct origins in these conditions. According to Reason, active errors are unimportant when it comes to prevention, in particular, because the different possible combinations of latent condition factors constantly create new conditions that facilitate the appearance of active errors. In other words, it is not possible to directly eliminate these errors; they are consequences and not causes. For this very reason, those who are interested in prevention should prioritize the elimination or minimization of latent conditions. Perhaps the most important contribution to be highlighted in the studies of Reason is the idea that for those who are interested in accident prevention the path to follow is not in the study of “human errors”, especially when this expression is taken in the sense of active errors, understood as being the result of the failure of the individual or operator who committed them. The characteristics of human behavior in the work-place lead those who study the topic to recognize that “to err is human”, in other words, that errors are always going to exist and that for this reason ideal prevention must be based on an approach to those characteristics of the system that increase the chances of the occurrence of these errors. 4
  32. 32. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br Reason’s contribution has an influence on everyone’s approach to accidents. Those interested in finding out about it in more depth may look for it directly under the author’s name in search engines and databases. Many examples of the application of these concepts in the study of maintenance-related accidents may be found in a recent book_(REASON;_HOBBS,_2003). LLORY’S PSYCHO-ORGANIZATIONAL ACCIDENT Other authors also use the expression “organizational accident” in a similar sense to that used by Reason. In 1997, a new edition of “Man made disasters” (TURNER; PIDGEON, 1997), was launched, which describes the stages or steps of the accident in the life of the system. In 1999, in France, Llory summarized the proposal of Turner & Pidgeon in three phases. The first, the pre-accident, or incubation period, in which a slow and progressive deterioration of the system leads to the second, properly called, accident phase, generally set off by a specific event. The third is the post-accident phase, in the course of which the social and institutional consequences of the accident manifest themselves, in the shape of an organizational and social crisis (LLORY, 1999b, p. 114). “The accident is organizational to the extent that it is, primarily, the product of a socio-technical organization. It is no longer only the result of an ‘unfortunate’ combination of passive and latent failures with active and direct failures, no longer only the result of a specific combination of human errors and material failures” (p. 113). The accident is “[...] rooted in the history of the organization: a series of decisions, or the absence of decisions; the evolution of the organizational, institutional and cultural context that interferes in the future of the system; the progressive evolution (deterioration) of conditions or factors that are inside the organization; some particular events that have a notable impact on the life and functioning of the socio-technical system, creating an unfavorable situation: territory into which the accident (or incident) may intrude and develop. [...] the accident incubates. The incubation period may be long [...].” (p. 113-4). Considering the above ideas of organizational accident the first questions suggested to those who are interested in OHSMS are: What concept of accident is used in the system in which you operate? 5
  33. 33. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br Do your accident analyses identify latent conditions or aspects of the history of the incubation of these events? Do you adopt any of the concepts mentioned? How do you consider the statement that the majority of accidents are due to operator error and that the main objective to be adopted for preventing them is the elimination of these errors? CHARLES PERROW’S NOTION OF NORMAL OR SYSTEMIC ACCIDENT One of the first works on the systemic focus was published in 1984 by the American sociologist, Charles Perrow: “Normal Accidents. Living with high-risk technologies”. In this work he emphasizes the role of the structure of complex systems in the origins of what he called, normal or systemic accidents. In his book Perrow (1999a) highlights an idea of risk that is not normally considered as such in traditional technical approaches. This is the risk arising from the possibility of interaction between factors, elements or components of socio-technical systems. This type of risk is described by the author as associated with systemic complexity, in other words, with a property of complex systems. The author classifies systems into simple and complex as a function of the type of interaction that exists between their elements. In simple systems interactions of the type that are foreseeable, called simple, predominate, such as those present in a set of dominoes. The consequence of one of them falling, i.e. knocking down those that are in front of it, is easily foreseeable. In complex systems there is a greater frequency of interactions coming from the accumulation of aspects or factors that, seen in isolation, are not considered as risk, and even when considered as a whole, do not allow one to foresee the outcomes with which they are associated. According to Perrow, in complex systems the emergence of complex interactions may give rise to unforeseen systemic behaviors that evolve so quickly that they make it impossible for the operators to re-establish their understanding of what is happening. As a consequence these situations evolve into accidents that are impossible to avoid. 6
  34. 34. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br The systems that present the most chances of being involved in accidents of this type are those that include a part, unit or sub-system that performs multiple functions simultaneously. For example, a heater that is used both for heating gases in a tank “A”, as well as for exchanging heat in such a way as to absorb any excess from a chemical reactor Its failure may mean that tank “A” is too cold for recombining the gas molecules and that the chemical reactor is over-heating at the same time, due to the non-absorption of the excess heat. According to Perrow, systemic accidents tend to present accumulations of consequences of this type of failure, called common-mode failures, which tend to react with unfamiliar feedback to members of the system. Furthermore, the systems most susceptible to this type of accident may possess interactivity, characterized by the physical proximity between components, information of an indirect or inferential nature, control of many parameters with potential interactions and limited understanding of some processes. Summarizing the notion of interactive complexity, MARAIS et al., (2004) state that it “refers to the presence in a system of sequences of unfamiliar, unplanned and unexpected events”; they are also invisible and not immediately understandable. This type of accident tends to be set off by common failures, apparently without any great significance as far as safety is concerned.For example, a defect in a coffee machine leading to a fire that ends with an airplane crashing. In the Three Mile Island accident a maintenance warning sign was covering an important luminous warning. In these cases the situations may seem bizarre to those examining them from outside, but they normally have a rational explanation from the operator. The probability of these accidents is associated both to their interactive complexity, mentioned above, as well as by another property of these interactions: the fact that they are tightly coupled. This means that the system is highly interdependent in such a way that a change in one part of it may rapidly affect the status of other parts. Unlike loose interactions these prove to be strictly dependent, or associated. According to Perrow, tightly coupled systems have the following characteristics: a) They have a greater number of processes that are time dependent, i.e. they cannot be shut down, for example, awaiting corrective interaction; 7
  35. 35. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br b) They have a greater proportion of specific and unvarying sequences, in such a way that the occurrence of A always leads to B happening; c) In addition to specific sequences that do not vary the global design of the process allows for only one path for obtaining the production goal, for example, a nuclear plant cannot produce electricity from any other fuel, in other words, this is a system with little flexibility; d) They have little room for maneuver, or slack, i.e. quantities must be accurate, resources cannot be substituted for others, temporary substitutions of equipment are not possible, etc. (PERROW, 1999a, p. 93 –4). Perrow’s view leads to a reading of the situation that is essentially pessimistic as far as the possibilities of preventing accidents in this type of system are concerned. It is not possible to foresee and avoid all the chances of complex interactions and some of them, because they are strongly coupled, would end up leading to normal or systemic accidents. This name was given, not because they are accidents that happen frequently, but because they arise from characteristics that are inherent to the system. The alternative to these disasters lies in the political decision not to accept the introduction of this type of system in the area. Subsequently, prevention of this type of accident is discussed based on the idea of reducing systemic complexity (PERROW, 1999b; SAGAN 1993), including strategies of structured pessimism (PERROW, 1999b), i.e., the systematic exploration of worst-case scenarios as support for the preparation of prevention practices. Although he was criticized for his pessimism Perrow’s view has a large influence on those interested in the safety and reliability of systems. The concepts of complex interaction and tightly coupled interaction start to be considered in the design and operation of systems and the notion of the origins of accidents in the characteristics of the structure of systems starts to be used, as opposed to blaming the operators. Those interested in other examples of the use of Perrow’s concepts can find them in search engines and databases. The “Journal of Contingencies and Crisis Management” is compulsory reading for those interested in this topic. 8
  36. 36. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br THE SYSTEMIC APPROACH AND ACCIDENT ANALYSIS The theory of systems has its origins in the 1930s and 1940s. The traditional scientific method adopts the division of the system into parts in such a way as to examine them separately. This process of decomposition, called analytical reduction, works with the following assumptions, among others: each component or subsystem operates independently, in other words, these components would not be subject neither to the effects of the results of their actions, nor to those of other system components. In short, this focus considers that the behavior of the components (for example, the pedals of a bicycle) is the same when examined in isolation (with the bicycle dismantled), as when exercising their role within the whole (in the assembled bicycle) (LEVESON, 2002). The systemic focus is centered on the system taken as a whole, assuming that some of its properties can only be dealt with adequately in their entirety. The foundations of the theory of systems are to be found in two pairs of ideas: 1) emerging properties and hierarchy, and 2) communication and control. In other words, complex systems may be described as presenting different levels organized hierarchically. Each level is characterized as having emerging properties, i.e., that do not exist at lower levels in the system. This can be illustrated with the idea of the components of a bicycle, or a technical system, and the function of this bicycle, or system. In isolation the pieces of the bicycle cannot be used as a means of transport. The work of the operators in assembling the bicycle makes this property, which does not exist in the set of isolated parts, emerge. The notion of hierarchy aims to explain relationships between different levels. The upper hierarchical levels are responsible for controlling those lower down. To obtain this control they must impose behavioral laws, in other words, constraints or limits on the degrees of freedom of the components at the lower level. For example, the control of maintenance workers in terms of workplace safety, may be achieved by using constraints that come from the managers of the maintenance, safety and production sub-systems. This control derives from the emerging properties of the upper hierarchical levels. Besides defining the constraints, for example, information that it imposes upon the lower hierarchical level, the upper level also defines forms of ascending communication that provide information about the real functioning of the system, especially how the 9
  37. 37. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br effective imposition of those constraints is working - or not, as the case may be - and completing the control loop between the different segments of hierarchy. Safety is a typical example of a system’s emerging property. It is impossible to assess whether a plant is safe by examining a valve in this plant. Statements about the safety of the valve without any information about the context in which it is being used make no sense. One might even talk about the reliability of this valve, defining reliability as the probability that its behavior will satisfy its specifications over time and under certain conditions. A component that is perfectly “safe” in one system may not be in another. The concepts of communication and control of the theory of systems serve as the basis for developing information flow channels within organizations.The upper hierarchical levels take part in the design of constraints destined for the implementation of the system’s “laws of behavior”. These “laws” include the norms, means and practices to be used and that are aimed at ensuring the system’s reliability and safety, thereby constituting the instruments or regulatory or control actions of the system. In hierarchical organizations like companies, these control processes operate at the interface between the different levels, ranging from those who work on the factory floor to top management. In open systems information and control loops are considered fundamental when it comes to the continuity of their operation in dynamic equilibrium in their exchanges with the external environment. Figure 2, taken from Leveson (2004), shows the components of a typical control loop in the situation in which a human supervisor controls a particular automatic sub-system. 10
  38. 38. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br The controller always has mental models of the process and of automation as they stand. For example, operating an automatic machine the worker constructs his own mental picture of what he is producing with the machine and on the very functioning of the machine. If he actions a command to close a valve and if in normal operation the response to this is the lighting up of a green light on the command panel, he may tend to interpret the light being on as a sign that the vale is closed. In turn, the machine incorporates the model of its creators regarding the same process and the necessary interfaces with the operators. In discussing accidents in complex systems the necessary mental models for managing the whole of the system must be analyzed. When the controller’s or manager’s model does not correspond to the real situation, for example, it does not include information about the repercussions that his decisions might have outside the system, decisions relating to the management of the safety and reliability of the system may be insufficient for maintaining it. This notion of control loop is used by Leveson (2002, 2004) to criticize the breadth of the definition adopted by some academics for the expression “human error”. Taken in a broad sense, difficulties arising in the man-machine interaction are interpreted as human failings. For Leveson, this way of defining human error fails to consider the characteristics of the design of the system, in particular those that come into the control loops between man and technical devices and that contribute to weakening the reliability and safety of the system. For example, a failure in the operation of the device that did not supply adequate 11
  39. 39. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br feedback regarding the state of the system after a previous action, tends to be attributed to the operator, thereby ignoring the designfailure in this device. IMPLICATIONS FOR SAFETY These concepts reinforce the role of the various hierarchical levels in organizations when it comes to implementing effective control mechanisms, suggesting questions such as the following for those interested in OHSMS: 1. Do the accident analyses or the design of your organization’s OHSMS, reconstruct the design and functioning of theinformation and control loops used between the various levels in the system, with an emphasis on those that refer to the actors involved in the accident? 2. Do the analyses clearly identify the constraints defined in the system in such a way as to check if the efforts made by the actors in the upper hierarchical levels force or encourage the system sufficiently, in the sense of constructing and consolidating the reliability and safety of the system? 3. Do the analyses include checking how top management monitors the operation and the performance of this system, including whether it receives information of the true state of the system? 4. Does the accompaniment highlight or emphasize the monitoring of the constant local adaptations that occur in the basic design of the systems as a response to the pressures and variability of system components in all types of activity? Commenting on this last aspect, Leveson (2002) emphasizes the idea that every accident model that includes the notion of social and human systems must consider the existence of adaptations. According to her, in this type of system “the only constant is that nothing remains constant the whole time”. In similar fashion to what one sees in studies of the Ergonomics of an Activity, this way of understanding work reflects directly on the way of understanding human behavior in the work-place when the intended objectives are not achieved, in other words, the so- 12
  40. 40. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br called “human errors”. Seen from this conceptual framework the supposed human error can no longer be explained as the product of the personal characteristics of the operator, as the traditional approach to accidents invariably does. The systemic focus starts to define “error” as deviation from rational and normally used procedure as an effective way of facing up to the variability aspects of work, and no longer as a deviation from a procedure or norm theoretically defined as the right way of doing the work. This raises new questions for those interested in OHSMS: 1. What definition of error is used in your system? 2. How does the OHSMS in your organization explain and propose approaching the origins of these events? Those interested in examples of the use of Leveson’s model will find a large number of examples available in full on the webpage mentioned. The accident with the VLS-1 VO3 satellite launch vehicle, which happened at the Alcântara Base in Brazil, was analyzed using this model and Rasmussen’s vertical model (JOHNSON; ALMEIDA, no prelo). ASPECTS OF THE EXPLORATION OF THE NOTION OF HUMAN ERROR IN ACCIDENT ANALYSES Currently there seems to be agreement regarding the idea that work situations are starting to demand more in terms of cognitive reasoning skills than of sensory motor skills. Therefore, studies about the role of the social (human) component of these systems are beginning to grow in importance. Studies seek to explore the cognitive aspects associated with human behaviors with an emphasis on work-related situations. The above distinction was also used by Rasmussen (1982) to explain the idea that workers use different types of psychic management of their actions because of the types of situation they face. He shows that there are actions that are controlled predominantly in an almost automatic way in routine situations. They may be developed without the need to think about their components. These behaviors are described by Rasmussen as skill- based. At the other extreme are actions controlled predominantly by the use of awareness 13
  41. 41. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br and reasoning. They are called knowledge-based and are more typical of new situations, or those that are infrequent. At the intermediary level are actions whose execution is rule- based, used in situations in which it is possible to foresee the majority of situations and train operators in developing them. Human apprenticeship is described as a process in which, initially, conscious actions become automatic the more they are repeated. With familiarization, the operator’s skill in their execution increases and they move to a level of cognitive regulation that demands less of the operator. When someone is learning to drive an automobile the learning process relating to taking the foot off the clutch pedal illustrates this situation. At the beginning the driver pays full attention to the speed with which he removes his foot and the action is consciously controlled. When the driver learns to drive the action is performed “automatically”. The same reasoning applies to all learning situations. It is worth pointing out that when the work involves the occurrence of constantly new, or uncertain situations, conscious regulation will be more present. In fact, it is precisely the operator’s skill in detecting and interpreting signs of change in the evolution of the activity that leads him to change the psychic management way he is using. This knowledge raises questions for those who are interested in OHSMS: 1. In exploring human behaviors involved with work-related accidents does your OHSMS analysis team analyze the types of situation and the type of psychic management used by the operators? 2. In the accident analyses conducted by your OHSMS are the main parameters used and the characteristics of the ways with which they manifest themselves identified and are they perceived by the operators in managing the system?Are possible intervening factors explored? 3. In cases involving omissions is the possibility of there being cognitive traps in the system explored? Those interested in examples of the use of these concepts in accident analyses can consult Reason; Hobbs (2003), Almeida; Binder (2004), Rasmussen; Svedung (2000), and others. 14
  42. 42. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br Broadening the accident analysis perimeter with the notion of migration from the system to the accident Over the last decade Rasmussen (1997), Rasmussen; Svedung (2000), Svedung; Rasmussen (2002) have described what they consider to be the important challenge of today: risk management in a dynamic society. The challenge has its origins in the rapid transformations through which society is currently passing, including: The accelerated rhythm of technological change at the operative levels in society; The increase in the scale of industrial installations with an increase in the potential for accidents of major proportions; The rapid development of information technology and communication, leading to systems with a high degree of tightly coupled interactions; and Environments that are highly aggressive and competitive that increase the number of potential conflicts to be experienced by the decision-makers, leading them to focus on short term financial gains and the survival criteria of systems in detriment to their safety. The speed of change in the technical and organizational bases of the processes used in transport, industrial, health service provider and other systems that incorporate a large amount of new technology, is faster than that in management processes and very much faster than that found in extra-company systems, used for developing policies and legislation for controlling the risks of these processes This time lag, which prejudices the risk control mechanisms developed in socio-technical systems, becomes more evident in the face of the aggressive environment and exacerbated competitiveness in which these companies normally find themselves. Under these conditions pressures in the system arise which, frequently, influence managements, leading them to adopt decisions of an immediatist nature that push the system close to the boundaries of its safety. This dynamic process, par excellence, shows that these systems live in constant need of adaptation and changes in the environment in which they are inserted and also in 15
  43. 43. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br their own components. Under these conditions the traditional way of managing safety, based on prescriptive and normative approaches, becomes outdated. In these systems accidents start involving aspects up until then non-existent, or that occur less frequently. Operators do not have to hand a rule or operational procedure that is capable of indicating how they should act when faced with such a disturbance. In the systems he studied Rasmussen also shows that management decisions taken outside the walls of the company-system properly called, play their part in the origins of accidents. This type of situation is called distributed decision making and was exemplified by analysis of the capsize of the ferry in Zeebrugge in March, 1987. The authors show that this accident involved aspects relating to the design of the boat and the port, characteristics of cargo and passenger management, traffic timetables and the operation of the boat. The managers from each of the areas mentioned have to live with their own particular difficulties and pressures and cannot see the wood for the trees. Their decisions tend to ignore possible collateral effects in other sub-systems. The accumulation of the collateral effects of the decisions taken in each of the sub-systems only emerges in the system seen as a whole; it does not exist as a property of the components in isolation. In this type of situation once a set of decisions has been adopted the system becomes vulnerable, or in other words, it becomes intolerant to a great number of changes, whether they be behavioral or from another of its components. In other words, if the accident had not been caused by specific factor x1, it could have been caused by x2, or any other. This explains the criticism of Rasmussen (1997) of the idea of the “basic cause” or “root cause” of accidents, so widely divulged in the area of work-place safety. In traditional thinking, if the basic cause is eliminated this type of accident no longer occurs. Rasmussen has been showing that in dynamic systems accidents with similar aspects may occur without the presence of that particular cause thought of in isolation, because in the real work situation, the ‘accidentogenic’ scenario that is formed is the product of the interaction or accumulation of the collateral effects of decisions taken by different actors in scenarios where it is difficult to foresee the possibility, either of the accumulation, or of the effects. Furthermore, each decision in isolation is not capable of producing the effect revealed by the accident. 16
  44. 44. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br This scenario of vulnerability, of a reduction in the tolerance to change, or in the resilience of the system, is described by Rasmussen as a process of system migration to the accident or to the acceptable boundaries of its safety. Once the migration has occurred the accident may be set off by many types of small changes, whose elimination, in accordance with the causal rationale of the traditional model of safety management, reveals itself to be powerless to bring about an effective improvement in the reliability and safety of the system. Figure 3 shows the model suggested by Rasmussen (1997) to represent the migration of the system in the direction of its safety boundaries. In every working system, human behavior is modeled by objectives and constraints that must be respected by the actors with a view to their achieving success in their interventions. Therefore, it is the system that imposes limits or boundaries, which if exceeded may threaten its survival or relative stability. There are frontiers of an economic nature, especially relating to cost, and there are also boundaries imposed by the work load to which the operators are submitted. The working space in which the actors freely move is also limited by administrative, functional and safety constraints. They set the boundaries of acceptable and perceived performance. However, during their activities operators always have certain degrees of freedom that will be “closed” by the use of local adaptations, guided by criteria relative to the process in question, such as work-load, the cost benefit relationship, the risk of failure, the pleasure of exploring, etc. This model calls our attention to the dynamic nature of the activity. “The normal changes found in local working conditions induce frequent strategy modifications and the activity shows great variability” (RASMUSSEN 1997, p. 189). Such local variations, induced by the situation, are compared by Rasmussen to the “Brownian motion” of gas molecules. During these attempts at adaptation, effort and cost gradients are established, the result of which tends to be a systematic migration towards the boundaries of functionally acceptable performance, which if crossed, result in error or accident. Because of this the author states that analysis must focus on the mechanisms that generate the behaviors within the true and dynamic contexts of work, and not human errors or violations. 17
  45. 45. Systemic Approach To Accidents And Occupational Health And Safety Management Ildeberto Muniz de Almeida INTERFACEHS INTERFACEHS - A Journal on Integrated Management of Occupational Health and the Environment - v.1, n.2, Art 1, dez 2006 www.interfacehs.sp.senac.com.br According to Rasmussen, the majority of major accidents analyzed over the last few years show, in their origins, exactly this type of systematic migration to the safety boundaries of the system and not a “coincidence of independent failures and human errors”. Because of this, safety management in these types of system should be pro- active, centering on the study of the normal activities of the actors who prepared this scenario. Well conceived systems have countless barriers, controls or lines of precautions to avoid accidents, so that the eventual violation of one of them does not lead immediately to an adverse event. The safety of a sub-system, or system in particular, also depends on the collateral effects of the actions of actors situated in other sub-systems, or systems. In systems in which the pressures for cost effectiveness dominate, the systematic degeneration of these protections is installed over time. The German sociologist, Ulrich Beck, called this process “produced uncertainty and organized irresponsibility” and “strategic uncertainty and structural vulnerability”, considering it to be the key problem for current research into risk management (apud SVEDUNG; RASMUSSEN, 2002, p. 399). 18

×