Ildeberto Muniz de Almeida1

Anlise de barreiras e o modelo de ressonncia funcional de acidentes de Erik Hollnagel

Barrier analysis and Hollnagels functional resonance
accident model

Departamento de Sade Pblica da

Faculdade de Medicina de Botucatu.
Unesp. So Paulo.
1

Contato:
Campus de Rubio Jr, S/N
Caixa Postal: 549 Botucatu-SP
CEP: 18618-000
E-mail:
ialmeida@fmb.unesp.br

Resumo
Partindo de apresentao da proposta de anlise de acidentes baseada no modelo sistmico e no linear de acidentes, dito de ressonncia funcional, desenvolvido por Erik Hollnagel, este texto discute crticas s concepes deterministas
de acidente e aos modelos lineares de representao desses eventos. Aspectos
do modelo de ressonncia funcional so usados como eixo definidor de proposta de agenda de discusses a ser desenvolvida pelos interessados no tema da
anlise de acidentes, destacando-se: a) a defesa do abandono da idia de causas
de acidentes e sua substituio pela de explicao desses eventos; b) apresentao dos conceitos de variabilidade de desempenhos e adaptaes locais e a
proposta de sua utilizao como bases para a identificao de perfis ou aspectos tpicos de acidentes. Por fim, discute-se a necessidade de incorporao dos
conceitos apresentados no debate sobre novos caminhos para as prticas de
anlises e de preveno de acidentes em nosso pas.
Palavras-chave: investigao de acidentes, modelos de acidentes, preveno
de acidentes, variabilidade de desempenhos, modelo de ressonncia funcional
de acidentes.

Abstract
Starting from presentation of accident analysis proposals based on systemic and
non-linear model of accidents called functional resonance, developed by Erik
Hollnagel, this paper discusses criticism of deterministic accident conceptions
and linear models representing these events. Aspects of Functional Resonance
Accident Model are used as an axis to define an agenda for discussions to be
developed by those interested in the accident analysis subject, specifically: a) the
need to cease using the idea of accident causes in favor of explaining these events;
b) presenting the concepts of performance variability and local adaptations and
their utilization as bases to identify patterns of accidents. Finally, it discusses
the need to include these concepts in the debate on new practices for accident
analysis and prevention in Brazil.
Keywords: accident investigation, accident models, accident prevention,
performance variability, functional resonance accident model.

Recebido: 12/02/2008
Revisado: 05/06/2008
Aprovado: 07/07/2008

17

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

Introduo
Na literatura de acidentes, vez por outra, ganha evidncia o tema de como os modelos ou as concepes
de acidentes adotados pelas equipes de anlises direcionam a busca de fatores e a construo de explicaes sobre como aconteceu o evento em questo. Em
outras palavras, sobre como os pressupostos implcitos ou explcitos nos conceitos e tcnicas usados pelas equipes de segurana influenciam nos resultados
das prticas de anlise de acidentes (ALMEIDA, 2006;
DEKKER, 2005; HOLLNAGEL, 2003).
Esse tema foi recentemente explorado por Hollnagel
(2004), que critica, em especial, o determinismo ou a
causalidade linear assumido nas abordagens mais comuns em anlises de acidentes e apresenta uma proposta de modelo no linear de acidente, denominado
por ele de ressonncia funcional.
Em livro, inicialmente disponibilizado na internet, Leveson (2002) tambm defendeu a ampliao do
permetro das anlises de acidentes. Segundo ela,
preciso:
a) Expandir a anlise, considerando outros fatores alm de falhas de componentes e fatores
humanos;
b) Considerar erros na concepo de sistemas e
disfunes de interaes;
c) Permitir avaliaes de perigos e anlises de risco que ultrapassem falhas de componentes e
lidem com o complexo papel que softwares e
seres humanos assumem em sistemas de alta
tecnologia;
d) Mudar a nfase dada a erros humanos em acidentes para mecanismos que modelem comportamentos humanos;
e) Encorajar mudana da nfase em causas enfoque limitado e de busca de culpados para
compreenso de razes dos acidentes;
f) Examinar os processos e no apenas eventos e
condies envolvidos nos acidentes;
g) Estimular mltiplos pontos de vista e interpretaes.
Uma das principais questes apontadas pelos crticos das abordagens deterministas refere-se ao fato de
que as anlises de acidentes revelam que as estratgias e os modos operatrios usados pelos operadores
por ocasio do evento foram utilizados com sucesso
no passado. Ou seja, diferentemente do pressuposto
determinista, os mesmos fatores poderiam ensejar resultados diferentes.
Da, a proposta de Hollnagel (2004) de abandono
da noo de causa. Em seu lugar, deveria ser adotada a idia de explicao de acidentes. Ver o acidente dessa forma no significa que no h o que fazer
em termos de preveno. Assim como Woods e Cook
(1999, 2002), ele sugere explorar noes como as de

situaes acidentognicas ou de fatores modeladores

de riscos que, uma vez identificados, devem ser alvo
de anlises de barreiras, visando preveno de acidentes. Alm disso, a preveno poderia assumir novos caminhos elaborados com a ajuda do modelo de
ressonncia funcional (functional resonance accident
model FRAM) por ele desenvolvido.
Entre os objetivos deste texto, est a idia de incentivar a abertura de debate sobre a anlise de acidentes.
A estratgia escolhida inclui a indicao de subtemas,
com destaque para a noo de modelos ou concepes
de acidentes adotados pelas equipes de Segurana e
Sade do Trabalhador. A proposta de Hollnagel usada como fio condutor de discusso que visa explicitar
pressupostos assumidos nesse modelo e, ao mesmo
tempo, possibilitar inferncias sobre os pressupostos
dos modelos mais presentes nas prticas de investigao de acidentes adotadas em nosso pas.

Causas versus explicaes

Segundo Hollnagel (2004), no faz sentido utilizar
a idia de causa(s) de acidentes. hora de trabalhar
com a noo de explicao construda durante a anlise desses eventos.
Para explicar a diferena entre causa e explicao,
o autor afirma que podemos dizer que h um acidente
quando determinado nmero de fatores acontece em
conjunto ou se alinha em momento especfico. Mas
isso no permite afirmar que esse acidente foi causado por um desses elementos. Vistos em conjunto,
esses fatores e condies constituem uma explicao,
uma vez que nos permitem compreender como o acidente aconteceu: A causa, se que existe alguma,
a concorrncia ou coincidncia desses vrios fatores
(HOLLNAGEL, 2004, p. 29).
A tendncia de procurar mais causas do que explicaes bem exemplificada na prtica corrente
no campo da segurana de anlise de causa raiz de
um acidente. De acordo com essa idia, seria possvel encontrar uma causa que a raiz ou origem dos
problemas, especialmente dos incidentes e acidentes.
Uma das regras adotadas na busca dessas causas
afirma que a relao de causa e efeito entre o fato
antecedente e sua conseqncia deve ser claramente
demonstrada.
Hollnagel critica essa regra afirmando que ela
embute pressupostos como as idias de que: 1) nada
acontece sem uma causa e 2) partindo do conhecimento do efeito, possvel encontrar essa causa. Tambm
implica, embora mais sutilmente, que se a causa
encontrada e eliminada, o acidente no acontecer
novamente (HOLLNAGEL, 2004). Esses pressupostos esto fortemente enraizados nas abordagens que
buscam identificar responsveis ou definir culpados,
de modo a embasar processos e decises judiciais. O

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

18

alcance da crtica de Hollnagel enorme e precisa ser

discutido entre ns.
A prtica tradicional de investigao de acidentes
costuma basear-se no pressuposto de que as causas
do ocorrido podem ser deduzidas no ps-acidente.
Criticando essa viso, Hollnagel destaca, em primeiro lugar, que, nas anlises de acidentes, impossvel
ter acesso a todos os fatos. Sempre falta alguma coisa.
Alm disso, alguns dados podem no ser exatamente fatos, mas meros produtos de observaes esprias, que no so relacionadas causalmente, embora
se apresentem de formas contguas no tempo. Outro
aspecto destacado que os fatos, tal como so, no so
independentes do modelo de acidente adotado pela
equipe. Fatos no so encontrados, mas sim procurados. Ou ainda: A causa (do acidente) mais construda do que encontrada (p. 34). A determinao de
causa um processo mais relativo (pragmtico) do
que absoluto (cientfico) (p. 35).
A Figura 1 foi elaborada por Hollnagel para mostrar a evoluo das mudanas ocorridas na compreenso do que seriam as causas de acidentes. Por volta
de 1970, as principais categorias de causas adotadas
pela comunidade tcnica eram falhas tcnicas, erro
humano e outras (Figura 1). A menor confiabilidade
dos sistemas tcnicos e o predomnio da viso determinista naquela poca seriam, em parte, responsveis por isso.
Com o passar dos anos, essas trs categorias foram
sendo exploradas. A Figura 1 tenta mostrar a idia de

movimento de acordo com o sentido das setas. No final

dos anos 1970, ergonomistas e psiclogos desenvolveram grande nmero de contribuies compreenso
da natureza da ao humana no trabalho. No incio,
os estudos concentraram-se no trabalho de operadores
do cho de fbrica e, rapidamente, incluram trabalhadores de manuteno, gerentes e encarregados de
conceber novos dispositivos (designers).
A categoria falhas tcnicas teve desenvolvimento menor. Falhas de softwares costumam ser tratadas
nesse item, embora tambm o sejam como falhas humanas ou organizacionais.
Nas ltimas dcadas, a categoria outras teve
desenvolvimento notvel. A partir dos anos 1980,
surgem conceitos como o de condies latentes, de
Reason (1999), cresce a importncia de fatores organizacionais e a nfase em noes como cultura de segurana, gesto de qualidade e suas contribuies para a
segurana de sistemas.
O modelo dos domins de Heinrich pode ser definido como prottipo de representao de acidentes
como seqncia linear de eventos. Hollnagel inclui
nos modelos lineares praticamente todas as tcnicas
que adotam esquemas grficos, como formas de reconstruo de acidentes, ou seja, a espinha de peixe,
as rvores de causas, de eventos e de falhas e a rvore
do management oversight risk tree (MORT). Embora
alguns desses esquemas representem acidentes como
rede de fatores em interao e discutem as relaes representadas em termos de probabilidade de ocorrn-

Condies latentes
Outras

Barreiras
Recursos
Cultura Segurana

Falhas organizac.

Gesto de Qualidade
Organizaes patognic.

Acidente/evento

Falhas tcnicas

Falhas de softwares
Violaes
Operao

Erro humano

Heursticas
Funes cognitivas
Proc. de Informaes

Gesto
Manuteno
Concepo
Causalidade
simples

Coincidncias
complexas

Figura 1 Desenvolvimento de tipos de causa de acidentes (HOLLNAGEL, 2004)

19

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

cias, so criticadas por no representarem feedbacks,

relaes indiretas ou dependncias mtuas como
apresentadas no modelo de ressonncia funcional
(HOLLNAGEL, 2004; LEVESON, 2004).

Barreiras e a preveno de acidentes

Barreiras foram definidas por Taylor (1988 apud
HOLLNAGEL, 2004, p. 81) como equipamentos, construes, ou regras que interrompem o desenvolvimento de um acidente. Embora a falha de uma barreira
possa contribuir para a ocorrncia de um acidente, ela
no deve ser considerada em si como causa desse
evento. O uso desse conceito em anlises de acidentes
discutido por autores como Hollnagel (2004), Almeida (2006), Hale et al. (2007).
Existem diferentes classificaes de barreiras. Uma
das mais simples, baseada em suas caractersticas estruturais, as divide em: fsicas ou materiais, funcionais (ativas ou dinmicas) e simblicas. As fsicas ou
materiais incluem cercas, gaiolas etc. As funcionais
impedem a realizao de certas aes com intertravamentos lgicos ou temporais. Barreiras funcionais
estabelecem pr-condies sem as quais determinada
ao no pode ser realizada. Por fim, as simblicas
requerem interpretao para alcanarem seus propsitos. Os exemplos mais tpicos so as placas de sinalizao. Hollnagel (2004) diferencia funes (barrier
function) e sistemas de barreiras (barrier system). A
funo descreve o objetivo da barreira ou a maneira
especfica pela qual ela alcana seu propsito.
A noo de barreiras, usada por Hollnagel, alvo
de crticas recentes por Hale et al. (2007), que a consideram ampla demais, ensejando confuso entre as
noes de barreira e tarefas gerenciais necessrias
sua eficcia.
O Quadro 1 mostra exemplos de funes de barreiras correlacionando-as com a noo de sistema de
barreiras. O sistema corresponde estrutura fsica

e/ou organizacional da barreira e permite que ela realize sua funo.

A aplicao prtica da noo de barreiras na anlise e na preveno de acidentes tambm requer o estudo dos modos de falhas de barreiras. Hollnagel descreve dez tipos de possveis modos de falhas, tambm
chamados por ele de fentipos. Os fentipos so objetivos, ou seja, podem ser observados e at medidos.
Os modos de falhas citados incluem antecipaes ou
atrasos, paradas precoces ou tardias, lentido ou excesso de velocidade, erro de direo, falta ou excesso
de fora, falhas na seqncia de funes, falta ou excesso de peso ou volume etc. (p. 104-105).

Modelos de anlises de acidentes

A crtica aos modelos lineares de acidentes retomada quando Hollnagel discute como os links de
causa e efeito so vistos em trs modelos de anlises
de acidentes: o seqencial, o epidemiolgico e o sistmico. Segundo ele, nos dois primeiros:
[...] acidentes so fenmenos resultantes, no sentido de que as conseqncias so previsveis [...] do
conhecimento sobre suas partes constituintes. Em
contraste [...] o modelo sistmico v os acidentes
como fenmenos emergentes, como alguma coisa
que surge de complexo de condies, mas que no
pode ser previsto de modo similar. (HOLLNAGEL,
2004, p. 66)

Na anlise de acidentes, necessrio descrever

como o evento se desenvolveu, ou seja, preciso
identificar as combinaes especficas de eventos e
condies que modelaram o acidente, inclusive as
barreiras que falharam (p. 110-111). As tcnicas mais
conhecidas (rvore de falhas, rvore de causas) de representao desses processos adotam seqncias de
passos ou diagramas, alguns dos quais mostram os
caminhos que podem levar ao resultado no pretendido (HOLLNAGEL, 2004, p. 122).

Quadro 1 Exemplos de funes e sistemas de barreiras

Funes de barreiras

Sistemas de barreiras

Evitar a sada (vazamento) ou entrada (penetrao)

de algo num dado local

Paredes, portas, restries fsicas a acessos, cercas, filtros, vlvulas,

tanques etc. (exemplos de barreiras fsicas)

Dissipar energia

Air bags, sprinklers (exemplos de barreiras funcionais)

Evitar movimentos ou aes (lgica)

Cdigos de acesso, seqncias de aes (exemplos de barreiras funcionais)

Evitar movimentos ou aes (mecnica)

Cadeados, sistemas de intertravamento etc. (exemplos de barreiras funcionais)

Regular aes

Instrues, procedimentos, normas (exemplos de barreiras simblicas)

Permisso ou autorizao

Permisses de trabalho: ordens de servio (simblicas)

Comunicao, dependncia interpessoal

Autorizaes (clearance), aprovao (falta barreira simblica)

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

20

Reconhecendo que os pontos dos esquemas mostram os caminhos de possveis falhas e permitem a
indicao de barreiras capazes de evit-las, Hollnagel
aponta limites das formas de representao grfica
existentes:
A essncia de um modelo sistmico no pode ser
capturada por nenhuma representao baseada em
rvores ou grficos simples [...]. que todas essas
representaes embutem a noo de desenvolvimento seqencial, que inadequada para mostrar
a dependncia funcional que to importante do
ponto de vista sistmico. A alternativa bvia o
uso de grficos complexos (complex graph) tais
como uma rede de trabalho (network).
(HOLLNAGEL, 2004, p. 123)

Uma das alternativas sugeridas ao uso de abordagens seqenciais o uso da anlise funcional estruturada, adotando como princpio bsico a caracterizao da funo desenvolvida no sistema.
Como entender a funo do sistema? De modo prtico, ela corresponde tarefa realizada com os recursos em questo. Afinal, o que se busca ao reunir os
recursos que compem esse sistema onde ocorre o acidente? Pensando no suporte do modelo sistmico de
acidente, Hollnagel prope ampliar a representao
clssica da tcnica de anlise estruturada de quatro
(input, output, controle e recursos) para seis conecto-

res, representados com a respectiva funo por meio

de um hexgono (Figura 2).
Assim, cada funo mostraria dependncia ou
relaes com seis tipos de componentes ou conexes,
que poderiam influenciar seu desenvolvimento. So
elas: os inputs ou condies necessrias ao desenvolvimento da funo; os outputs ou resultados produzidos pela funo; os recursos (hardwares, softwares
etc.) usados para lidar com os inputs e desenvolver
a funo consumindo massa, energia, informaes
etc.; os controles ou constrangimentos, que se referem s leis fsicas, organizao do trabalho, aos
sistemas existentes para supervisionar, restringir a
funo e ajust-la, quando necessrio; as pr-condies, das quais a mais importante costuma ser que o
passo anterior tenha sido completado; e o tempo em
que o processo transcorre.
A representao sistmica facilita a demonstrao de como as conexes de cada funo e as funes
entre si dependem umas das outras. Essa representao tambm facilita a identificao de variabilidades, como as conexes inesperadas. O quadro abaixo
mostra exemplo ilustrando como o desenvolvimento
da funo pegar o medicamento pode ser afetado
em casos de indisponibilidade do mesmo no estoque
(variabilidade na conexo: Recursos) ou de retirada
de medicamento errado (variabilidade na conexo:
Controle).

Quadro 2 Conexes e fatores que podem afetar a funo buscar ou pegar medicamento no estoque
Conexes

Fatores ou aspectos que se relacionam ou influenciam o desenvolvimento da funo

Input

Prescrio nova

Output

Medicamento retirado do estoque

Pr-condies

Prescrio registrada por nome do medicamento

Recursos

Medicamento est disponvel no estoque

Tempo

No se aplica

Controles

O medicamento certo pego no estoque (nome, dose etc.)

Tempo T

Funo /
Processo

Input I

Precondio

Controle

O Output

Recursos

Figura 2 Hexgono de representao de uma funo

21

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

Modelo sistmico de acidente

Na sociedade moderna, sistemas sociotcnicos
abertos tendem a se tornar cada vez mais complexos. Isso decorre, em parte, das tecnologias usadas e
tambm da dependncia cada vez maior do homem
em relao aos sistemas que cria. Uma conseqncia
inevitvel que os sistemas apresentam, como caractersticas estruturais, mais chances de interaes no
previstas entre seus componentes e, ao mesmo tempo,
capacidade de evolurem de forma descontrolada. Aumentam, tambm, as chances de interaes caracterizadas por interligaes fortes.
Isso levou Perrow (1999) a considerar acidentes
em sistemas fortemente interligados como ocorrncias
sistmicas ou normais. Enquanto Perrow baseia seu
argumento na idia de que os sistemas se tornaram to
complexos que os homens no podem mais controllos, Hollnagel adota um ponto de vista semelhante,
mas com outra compreenso. Para ele, esses sistemas
exigem desempenhos variados e, mais do que a complexidade, a variabilidade desses desempenhos que
se torna a principal razo para esses acidentes. No entanto, para o autor, essa variabilidade condio necessria ao funcionamento desses sistemas (PERROW,
1999, p. 141). A explicao do acidente como produto
da estrutura dos sistemas criticada, principalmente,
pelo pessimismo com que se vem as possibilidades
de preveno em tempos de complexidade. A viso de
Perrow uma das primeiras crticas ao modelo linear
de acidentes. A sua noo de interaes no lineares
pode ser descrita como equivalente da dependncia
mtua apresentada por Hollnagel. No entanto, Perrow
no prope representao grfica de sua idia.
Os interessados no tema da anlise de acidentes
no podem ficar ao largo dessa discusso. No entanto,
no se deve perder de vista que Hollnagel e Perrow
fazem coro com seleto grupo de estudiosos (DEKKER,
2005; LLORY, 1999; RASMUSSEN, 1997; WOODS;
COOK, 2002) da segurana que propem ruptura radical com as abordagens que insistem na idia de que as
principais causas de acidentes so comportamentos
de desrespeito a normas, prescries ou outros equivalentes do jeito certo de fazer o trabalho. De modo
distinto, eles afirmam que os comportamentos que
fracassam surgem em tentativas desenvolvidas pelos
operadores, visando controlar essa variabilidade que,
por sua vez, necessria ao desenvolvimento da atividade em curso. Alm disso, boa parte das situaes
que emergem no funcionamento do sistema nova, ou
seja, no antecipada pelos responsveis pela elaborao das normas e prescries adotadas no sistema.
Ao lidar com essa questo, estudos que adotam o
enfoque da Ergonomia da Atividade (AMALBERTI,
1996; DINIZ; ASSUNO; LIMA, 2005; LIMA; ASSUNO, 2000) ressaltam a importncia do estudo do
trabalho normal, por exemplo, com anlises ergonmicas das atividades em questo como caminho para

a identificao das variabilidades mais freqentes no

sistema e, principalmente, das estratgias e dos modos
operatrios usados pelos trabalhadores para a soluo
dos problemas e a retomada do desenvolvimento normal da atividade. Os acidentes sinalizam a ocorrncia
de constrangimentos em situaes de trabalho que
impedem ou limitam o uso dessas estratgias. Como
conseqncia, as estratgias de preveno propostas,
longe de acenarem com proibies do uso de modos
operatrios que fracassaram, podem recomendar, justamente, a criao de condies que facilitem sua utilizao pelos operadores e, ao mesmo tempo, aumentem sua eficcia.
Isso no significa a defesa pura e simples de toda e
qualquer estratgia adotada pelos trabalhadores. Muitas delas podem ser percebidas como de alto de risco,
no entanto, cabe o estudo de alternativas, considerando que as escolhas dos trabalhadores ocorrem em
contexto de trabalho, ou seja, so limitadas por meios,
objetivos prescritos e pessoais, aspectos do ambiente etc. em que aquele trabalho realizado. Em outras
palavras, a interferncia das caractersticas pessoais
desses operadores na escolha adotada sempre mnima quando comparada com os determinantes da
situao.
A variabilidade de desempenhos no decorre da
variabilidade humana como tal, especialmente se esta
ltima compreendida como proveniente de limitaes motoras, de percepo e cognitivas do controlador humano (embora tais limitaes existam e estejam
bem documentadas) (HOLLNAGEL, 2004, p. 141). Ela
induzida pela complexidade e pelas demandas do
sistema. Dada a impossibilidade de reduo dessa
complexidade, a alternativa para a preveno tentar
gerir essa variabilidade:
Gerenciar alguma coisa requer ser capaz de observ-la ou detect-la, ser capaz de determinar quando
ela est se tornando fora de controle, e ser efetivamente capaz de introduzir contra medidas ou aes
de mitigao. Esse o centro da questo para a preveno de acidentes. (HOLLNAGEL, 2004, p. 142)

O princpio da negociao ou compromisso eficincia-qualidade

O trabalho humano estritamente social. O desenvolvimento de toda atividade depende de materiais e
ferramentas, enfim, de condies pr-existentes que
podem interferir no andamento dessa atividade de
modo nem sempre facilmente perceptvel. Alm disso, a realizao desse trabalho exige constante monitoramento e eventuais ajustes visando manuteno
de condies desejadas. Na maioria das situaes, o
monitoramento atribudo como tarefa adicional e invisvel dentro das atribuies prescritas, embora seja
claramente necessrio.

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

22

Quando uma situao de trabalho planejada, diversos pressupostos so assumidos. A situao ideal
considera que:
Inputs so regulares e previsveis;
Outras pessoas se comportam como requerido e
esperado;
Demandas e recursos esto disponveis e so
compatveis;
Condies de trabalho situam-se dentro de limites de normalidade;
Resultados (e aes) do sistema estaro de acordo
com as normas.
Infelizmente, no cotidiano de trabalho, as coisas no se do de modo assim to simples. Com freqncia, a situao muda e o trabalho como ele na
realidade mostra:
Inputs irregulares e no previsveis;
Comportamentos inesperados de outras pessoas;
Variabilidade de demandas e recursos que podem
ser inadequados ou inacessveis;
Condies de trabalho subtimas;
Resultados do sistema que variam consideravelmente.
Na prtica, as aes humanas tm sempre que
atender mltiplos critrios de desempenho cambiantes e freqentemente conflitantes (HOLLNAGEL,
2004, p. 147). Usualmente, as pessoas so capazes de
lidar com essa complexidade imposta porque podem
ajustar o que fazem e como fazem.
Os trabalhadores sempre buscam otimizar seus
desempenhos, fazendo o que lhes cabe da melhor
maneira possvel com custo mnimo, ou seja, sem
despender tempo ou esforos desnecessrios. Isso
pode ser visto como tentativa de conseguir equilbrio
ou compromisso aceitvel entre recursos e demandas
ou negociao entre eficincia e qualidade2 (tradeoff between thoroughness and efficiency ETTO) de
modo a alcanar as metas internalizadas pela pessoa
(HOLLNAGEL, 2004, p. 147-148).
O compromisso eficincia-qualidade significa que:
[...] numa atividade em situao de trabalho, o operador no pode agir de maneira tima do ponto de
vista de todos os critrios de avaliao de seu trabalho. Ele , portanto, levado a elaborar um compromisso que se traduz pelos pesos diferentes a atribuir a esses critrios (por exemplo, o peso relativo a
dar qualidade do trabalho e carga fsica e mental
representada por esse ltimo). Este compromisso,
pode ter conseqncias diretas para a segurana
e deve ser considerado nas anlises de segurana.
(LEPLAT, 2006)

Essa negociao ajudada pela existncia de determinada regularidade ou estabilidade nos ambientes de
trabalho e no mundo em geral. Essa regularidade leva
previsibilidade, que permite a otimizao de desempenhos com a utilizao de atalhos que liberam capacidades e aumentam as chances de sobrevivncia
(HOLLNAGEL, 2004, p. 148). Deixando de usar toda
sua capacidade, fazendo algumas coisas sem usar toda
sua ateno, os seres humanos tendem a economizar
recursos que podem ser usados no monitoramento, na
antecipao e no planejamento.
O desempenho humano eficiente porque as pessoas aprendem rapidamente a desconsiderar aqueles
aspectos ou condies que normalmente so insignificantes. Por outro lado, os ajustes atendem s necessidades do sistema e no apenas do indivduo. Para
ser efetivo, o resultado do ajuste sobre o sistema deve
ser relativamente estvel. Por outro lado, a eficincia
do desempenho do sistema contribui para a regularidade do ambiente de trabalho e para a eficincia dos
ajustes individuais.
A otimizao local mais norma do que exceo.
O desempenho normal no o prescrito nas regras
e regulamentos, muito mais aquele que tem lugar
como resultados dos ajustes (HOLLNAGEL, 2004, p.
149). Na compreenso sistmica, as falhas no devem
ser procuradas em caractersticas de um dos componentes, como, por exemplo, dos indivduos. Elas
emergem do sistema:
A concluso que [...] desempenho normal e falhas
so fenmenos emergentes, uma vez que nenhum
deles pode ser atribudo a, ou explicado por componentes ou partes especficos. Ao invs, devemos
procurar como dependncias mtuas podem originar-se dentro do sistema. Para os seres humanos no
sistema isso significa em particular que as razes
pelas quais eles falham algumas vezes, no sentido
de resultados de suas aes diferirem do que era
pretendido ou requerido, deve ser visto como devido variabilidade do contexto e condies, mais do
que da variabilidade de suas aes. (HOLLNAGEL,
2004, p. 150)

O alcance dessa compreenso para o entendimento

de comportamentos dos trabalhadores em anlises de
acidentes enorme e precisa ser discutido entre ns.
No nvel individual, a ETTO pode ser encontrada
tanto nas caractersticas do funcionamento cognitivo,
quanto no modo como as pessoas trabalham. Estudos
sobre operaes mentais usadas em julgamentos em
situaes de incerteza mostram que as pessoas confiam em pequeno nmero de heursticas ou atalhos
mentais que tendem a simplificar tarefas complexas.
Assim, ao invs da avaliao de probabilidades so
usadas operaes baseadas em semelhanas entre

Na traduo, adota-se o termo usado por Leplat (2006) para a palavra inglesa thoroughness. O termo tem o sentido de completude, de meticulosidade e de feito com ateno aos detalhes. Assim, uma alternativa seria cuidado, que teria a desvantagem de suscitar interpretaes
como a de falta de cuidado que foge completamente ao sentido com que Hollnagel utiliza thoroughness no original.

23

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

o observado e lembranas prvias (pareamento por

similaridade) ou escolhidas as opes encontradas
com maior freqncia na vivncia da pessoa (apostas
de freqncia).
Decises e adaptaes que configuram exemplos
do compromisso eficincia-qualidade (ETTO) e podem
comprometer a segurana do sistema aparecem tanto
no mbito do trabalho individual, quanto no do coletivo ou organizacional. Assim que, individualmente,
um trabalhador pode fazer uma avaliao rpida ao
invs de outra mais detalhada, elevar o limiar do desencadeamento de determinada ao, omitir checagem
prescrita, considerar que a ao necessria foi feita por
outra pessoa, adiar a tarefa no considerada essencial
no momento, repetir a ao que funcionou anteriormente, estimular a falsa sensao de segurana.
Segundo Hollnagel (2004), as pessoas agem desse
modo tentando ser eficientes e o fazem sendo to cuidadosas quanto acreditam que seja necessrio. Embora
esse fato no esteja explicitado, esses comportamentos
so produtos de negociaes e dependem do contexto. Se as presses externas ou internas para completar
uma tarefa ou cumprir um prazo forem muito altas, as
pessoas diminuiro suas demandas de completude,
de fazer do melhor modo que podem, e correro mais
riscos (p. 155).
O mesmo tipo de negociaes tambm pode ocorrer no nvel organizacional. Assim que uma organizao que registra apenas eventos negativos pode
passar a acreditar que a falta de registros no passado
significa que o sistema estar seguro no futuro. Outras
podem eliminar checagens duplas e verificaes independentes ou estabelecer discursos contraditrios
com as polticas e as prticas que adotam, como aqueles que afirmam que a segurana prioridade equivalente produo.
As presses por eficincia podem levar trabalhadores a desconsiderar procedimentos ou regras de segurana nos compromissos eficincia-qualidade. Em questionrio aplicado a 286 engenheiros de manuteno de
aeronaves, 34% afirmaram no seguir procedimentos
oficiais em tarefas que completaram; 45% disseram que
havia modo mais fcil; e 43% disseram que havia jeito
mais rpido do que o oficial. Estudo com operadores de
impressoras que no usavam luvas de borracha e limpavam mquinas ainda em movimento mostrou que a
soma desses dois desvios reduzia o tempo da tarefa
em 57%, ou 90 segundos. Para Hollnagel (2004), correr
riscos to significativos para economizar 90 segundos
de tempo sugere quo importantes devem ser as presses de produo e serve de exemplo de duplicidade de
padres de gesto acima citado (p. 157).

Ressonncia3 estocstica4 como modelo

para acidentes
Hollnagel (2004) aponta limites de modelos que
representam acidentes como seqncias de eventos.
Para construir modelo sistmico de acidente, ele utiliza o princpio da ressonncia estocstica. Para entender o uso do conceito fsico de ressonncia num
modelo terico de acidente, vejamos primeiro os
exemplos de acidentes explicados pela ressonncia
como fenmeno fsico propriamente dito.
Ressonncia definida como resposta seletiva de
um objeto ou sistema que vibra pela aplicao de uma
fora (empurro) externa ou oscilao. tambm descrita como o aumento na amplitude da oscilao de
um sistema eletromagntico ou mecnico exposto a
outra fora peridica, cuja freqncia igual ou muito
prxima a de uma das freqncias naturais do sistema. O resultado obtido apresenta a mesma freqncia
com aumento da amplitude das ondas. A ressonncia
requer trs condies:
Um objeto ou sistema que pulsa com sua freqncia prpria, dita natural;
Uma fora que aplicada na mesma freqncia
da freqncia natural do objeto e que cria uma
ressonncia;
Inexistncia de perda ou diminuio de energia:
se h perda de energia, especialmente maior do
que a aplicada no sistema, mais difcil que o
sistema entre em ressonncia. (p. 160-161).
Nos casos em que o aumento da amplitude no
pretendido, existe um efeito colateral que a perda de
controle do sistema. Na sociedade moderna, os melhores exemplos de situaes em que a ressonncia
fenmeno fsico levou a acidentes esto em desabamentos e alteraes estruturais de pontes, como
a de Tacoma Narrow, em novembro de 1940, e a de
London Millennium, em Junho de 2000.
Nos dois casos citados, os efeitos da ressonncia
poderiam ter sido antecipados. No caso da ressonncia estocstica, as relaes entre as foras so um pouco mais enganosas, embora o princpio seja o mesmo.
Visando facilitar a compreenso da noo de ressonncia estocstica, Hollnagel recorre ao rudo apresentado como alguma coisa que distorce ou perturba
(2004), como algo que, de forma aleatria, se superpe
ao sinal fraco que transmitido (na freqncia natural
no sistema) e o distorce, por exemplo, aumentando a
sua freqncia de modo no desejado.

O dicionrio Aurlio define ressonncia como vibrao energtica que se provoca num sistema oscilante quando atingido por uma onda
mecnica igual a uma de suas freqncias prprias; reforo da intensidade de uma onda pela vibrao de um sistema que tem uma freqncia prpria igual freqncia da onda.

O dicionrio Aurlio define estocstica como formar estoques com fatores probabilsticos, aleatrios.

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

24

A ressonncia estocstica um fenmeno em que

um input no linear (rudo) superimposto sobre um
sinal peridico modulado to fraco que, em condies
normais, no detectado, mas se torna detectvel devido ressonncia entre o sinal determinstico fraco
e esse rudo.
Um exemplo de ressonncia estocstica o seguinte: ao navegar ao longo da costa, voc pode encalhar.
Se o fundo arenoso, o bote pode ficar preso. A soluo empurr-lo ou pux-lo. Isso feito aplicando
uma fora sobre o bote e puxando-o com uma corda.
Em muitos casos, a fora do puxo insuficiente para
liberar o barco. Mas pode acontecer que venha uma
onda e levante o bote de modo que isso, em combinao com o puxo, seja suficiente para liber-lo. Esse
um caso de ressonncia estocstica, no sentido de que
a onda soma-se fora exercida pela pessoa que puxava a corda. Nesse caso, a onda o rudo ou input estocstico (ou aleatrio) (HOLLNAGEL, 2004, p. 167).
A ressonncia estocstica pode ser usada para descrever como se restabelece a ordem num sistema desordenado. Acidentes representam o oposto disso. Como
usar essa noo como analogia de acidentes? Hollnagel
recorre noo de variabilidade do desempenho para
indicar a presena dos sinais fracos capazes de interagir com o rudo emergente e levar ao acidente.
Em sistemas complexos, os desempenhos variam
em funo da variabilidade de subsistemas, de componentes e da complexidade de suas interaes. No
caso de componentes tecnolgicos, a variabilidade
dos desempenhos devida parcialmente a imperfeies de fabricao e operao e, em parte, a limitaes
de concepo no sentido de que existem condies
de trabalho e combinaes de inputs que no foram
antecipadas. No caso de seres humanos e sistemas sociais, h muitas diferentes razes para a variabilidade
de desempenhos, a principal delas sendo a tendncia
humana a ajustar o desempenho s condies atuais,
como descrito em termos da ETTO, falta de constncia de funes cognitivas e de percepo etc.
Sistemas complexos tm grande nmero de subsistemas e componentes e a variabilidade de desempenhos de cada um deles pode ser vista como o sinal
peridico fraco para constituir perigo ou ter efeitos
detectveis. Sistemas complexos na prtica esto
constantemente promovendo autocorrees por concepo ou por natureza. Portanto, as definies de sinal e de rudo so relativas ao foco de anlise. O sinal
fraco pode ser a variabilidade de qualquer parte ou
componente do sistema e o rudo estocstico a variabilidade agregada do restante do sistema que pode ter
funo de ressonncia.
Tais consideraes so condizentes com a viso
do modelo sistmico de acidentes, segundo a qual os
acidentes geralmente so devidos coincidncia ou
ao alinhamento de condies e ocorrncias, cada uma
das quais necessrias, mas nenhuma delas suficiente
para levar ao acidente (HOLLNAGEL, 2004, p. 169).

25

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

Eis um exemplo: uma usina geradora de energia

temporariamente desativada para manuteno programada e no h antecedentes de problemas durante as
paradas. Se a parada acontece em perodo de tempo
muito quente, que leva ao aumento da demanda por
energia de modo que exceda a capacidade habitual de
produo de energia na rea, isso pode levar a black-out
na regio. Nesse exemplo, o sinal fraco (originado em
variabilidade do sistema) a manuteno ou a reduzida capacidade de gerao de energia dela resultante e o
rudo aleatrio a variabilidade na temperatura ou as
condies ambientais (originado em variabilidade do
ambiente em que o sistema est inserido). Nesse exemplo, o autor usa o conceito de ressonncia em sentido
amplo, tpico do modelo de acidente que prope, ao
invs da noo restrita da fsica.
Na ressonncia estocstica, o rudo um input aleatrio que se superimpe ao sinal. Nesse sentido, o sinal
uma propriedade do sistema enquanto o rudo uma
propriedade do ambiente. O rudo tambm , em larga
medida, determinado pela variabilidade das funes
do sistema, e no totalmente aleatrio. Uma vez que
a ressonncia resultante no depende de uma origem
desconhecida, mas conseqncia de interaes funcionais no sistema, mais correto cham-la de ressonncia funcional do que de ressonncia estocstica.
Com base nos conceitos apresentados, Hollnagel
(2004) prope modelo de acidente sistmico com os
seguintes componentes principais (Figura 3):
Variabilidade do desempenho humano incluindo os nveis individual e social (organizacional),
tendo como principais origens o princpio da
ETTO e a incapacidade temporria (relacionada
demanda);
Disfunes tecnolgicas menores ou falncia completa seja de modo abrupto, seja como degradao gradual dos desempenhos. As principais
fontes de origens desses problemas so manutenes inadequadas, falhas de concepo e de
superviso;
Condies latentes em geral que podem ter origens diversas, tais como falhas ou deficincias na
cultura de segurana e falta de clareza nas indicaes de que alguma coisa vai mal;
Falhas ou inexistncia de barreiras (p. 170-171).
A figura tenta mostrar que essas quatro foras
principais no levam a acidente ou incidente por simples combinao linear. Ela sugere que sua influncia
mediada ou transportada pela ressonncia funcional.
Vista isoladamente, cada fonte de variabilidade (humana, tecnolgica, condies latentes, barreiras) um sinal fraco e as outras fontes so o rudo aleatrio:
O princpio da ressonncia funcional nos diz que
em algum momento e local eles iro combinar-se
de modo tal que o sinal fraco ir aumentar e levar a
um resultado detectvel e no pretendido.
(HOLLNAGEL, 2004, p. 171)

Figura 3 Modelo de ressonncia funcional de acidente

Embora o modelo seja representado com essas quatro foras, ele pode ser estendido sempre que necessrio. O modelo apresentado tem vrias conseqncias
para aqueles que lidam com acidentes:
As tentativas de identificao de causas especficas de um acidente so normalmente de valor
limitado: para cada acidente ocorrido sempre haver uma constelao de fatores e condies em
interao. Essa constelao resultado de processo no linear e, por isso, basear a preveno em
elementos isolados, escolhidos como causas,
provavelmente no levar ao sucesso. Em casos
de acidentes graves, praticamente garantido
que a mesma constelao no se apresente novamente, embora isso no exclua a possibilidade de
que outro evento leve s mesmas conseqncias.
Por isso, Hollnagel defende que a preveno seja
feita com base em perfis de acidentes, ou seja, naquilo que tpico de um acidente e no no que
nico (HOLLNAGEL, 2004, p. 172. Grifo meu);
No se pode prever exatamente quando os acidentes iro ocorrer nem de que tipo eles sero.
possvel antever situaes em que os acidentes
sejam mais provveis;
Considerando que os acidentes so devidos
agregao de variabilidade imprevisvel, sua
preveno pode ser de dois tipos: barreiras e gesto da variabilidade de desempenhos. O uso de
barreiras na preveno j foi comentado. A preveno com base na gesto da variabilidade de
desempenhos discutida mais adiante.

Modelo de acidentes de ressonncia

funcional (FRAM ou MARF)
O uso das seis categorias do modelo de acidente
til para mostrar como se d a ressonncia funcional.
Com o modelo, possvel discutir como a variabilidade de cada funo (input, output, pr-condies, recursos, tempo, controles) pode ser afetada pela variabilidade das demais (HOLLNAGEL, 2004, p. 173).
Do ponto de vista prtico, o uso desse modelo deve
identificar condies que podem conduzir aos acidentes. No modelo sistmico de acidente, a predio
desses eventos incerta. Em termos prticos, essa
nova predio incerta de acidentes requer abordagem em quatro etapas:
Identificar e caracterizar as funes essenciais do
sistema, por exemplo, com base nos seis conectores
descritos;
Caracterizar o potencial de variabilidade desses
conectores;
Definir a ressonncia funcional com base nas dependncias identificadas entre funes;
Identificar barreiras para a variabilidade (fatores
de reduo) e especificar o monitoramento de desempenho requerido (HOLLNAGEL, 2004, p. 186).
A primeira etapa, de identificao das funes
essenciais do sistema, remete definio de sistema
como conjunto ordenado de componentes e funes

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

26

com propsito especfico. As funes de um sistema

no so absolutas e podem ser definidas em termos de
seus propsitos ou metas. Uma das formas de identific-las atravs do uso de anlise de cima para baixo
(top-down) de metas e meios, ou de anlise hierrquica de tarefas. Isso equivale seqncia de tarefas ou
coisas a fazer para alcanar os propsitos do sistema.
Discutindo a segunda etapa, de avaliao da variabilidade potencial, inicialmente, destaca-se que:
O aspecto fundamental da ressonncia funcional
que a variabilidade de qualquer funo afetada pela variabilidade do resto do sistema. [...] uma
parte importante do mtodo FRAM caracterizar o
potencial para variabilidade de cada funo assim
como do sistema como um todo. (HOLLNAGEL,
2004, p. 189)

Embora o nmero de funes a serem consideradas dependa de cada situao prtica, elas podem
ser classificadas como pertencendo a trs categorias,
chamadas: humanas (M); tecnolgicas (T); e organizacionais (O). As siglas usadas vm da tradio escandinava de uso da anlise MTO. Funo tipo-M
aquela que, primariamente, envolve a atividade de um
indivduo, em geral alguma coisa que ocorre na extremidade proximal (sharp end) do sistema. Funo tipoT a que envolve, primariamente, o funcionamento
de um sistema tecnolgico. Funo tipo-O a que envolve, primariamente, uma funo organizacional, em
geral alguma coisa que ocorre na extremidade distal,
tardia ou remota (blunt end) do sistema.
As trs principais categorias de funes M, T, e O se
diferenciam em relao ao quanto dependem do contexto e velocidade ou taxa de mudana, sempre na
dependncia da durao do evento considerado. Ou
seja, as reaes de pessoas ao contexto tendem a ser rpidas, diferentemente do que ocorre com funes tecnolgicas, que tendem a ser mais estveis no tempo.
O papel do contexto na determinao dos desempenhos humanos, individuais e coletivos, largamente reconhecido. O mesmo reconhecimento se d
hoje em relao s funes tecnolgicas, embora estas possam ser menos suscetveis. Hollnagel comenta
que, inicialmente, aspectos do contexto foram chamados por Swain e Gutman (1983; apud HOLLNAGEL,
2004, p. 191) de fatores modeladores do desempenho
(performance shaping factors) e que, posteriormente,
tiveram esse nome mudado para determinantes reais
de desempenhos.

penho. Para fazer isso, Hollnagel recorre proposta que

desenvolveu anteriormente em seu mtodo de anlise
de erros e da confiabilidade cognitiva (CREAM), denominada conjunto de condies comuns de desempenho, que, de certa forma, podem ser entendidas como
as condies em que se d o trabalho normal ou cotidiano daqueles trabalhadores (HOLLNAGEL, 2004, p.
191). Segundo Hollnagel, a anlise de acidentes deve
incluir o estudo de 11 dessas condies, listadas abaixo com indicao da funo a que se aplicam: Humana (M), Tecnolgica (T) ou Organizacional (O):
1. Disponibilidade de recursos humanos e tcnicos (M, T);
2. Treinamento e experincia (M);
3. Qualidade de comunicaes (M, T);
4. Interaes homens-mquinas, incluindo concepo de interfaces e formas de suporte operacional (T);
5. Acesso a procedimentos e mtodos (M);
6. Condies de trabalho fsicas e organizacionais (T, O);
7. Nmeros de metas e regras ou princpios (critrios) para resoluo de conflitos (M, O);
8. Tempo disponvel (presso de tempo) (M);
9. Ritmo circadiano privao de sono e assincronias que podem comprometer desempenhos (M);
10. Qualidade de colaborao da equipe / tripulao (M);
11. Qualidade e suporte da organizao (O)
(HOLLNAGEL, 2004, p. 192-93).
Pensando na determinao da possibilidade da
ressonncia funcional, cada uma dessas condies
comuns de desempenho pode ser ranqueada em relao ao quanto dependem do contexto e de sua taxa
de mudana.
Outra descrio dessas condies para um dado
cenrio pode incluir categorias como: 1) estvel ou
varivel, mas adequada; 2) estvel ou varivel, mas
inadequada; e 3) imprevisvel (p. 193). A mera explorao dessas condies j amplia o permetro das
anlises, no entanto, a principal mudana introduzida
pelo FRAM melhor compreendida com a explorao
das dependncias entre funes.

O modelo FRAM no endossa o pressuposto da

causalidade linear de acordo com o qual as condies
de desempenho levariam diretamente a falhas ou erros humanos. Ao invs disso, ele simplesmente prope que o contexto afeta a variabilidade das funes,
reconhecendo que essa variabilidade pode ter conseqncias negativas e positivas.

Na terceira etapa, tendo identificado as funes

e determinado sua variabilidade potencial, a equipe
explora as dependncias entre funes. Uma vez que
as dependncias podem ocorrer para conexes corretas e incorretas entre funes, no basta confiar no
procedimento ou tarefa normal. Um dos principais
objetivos a busca de conexes que podem ocorrer
sob determinadas condies, mesmo que elas no
devam existir.

O interesse do modelo est em como descrever as

condies que podem afetar a variabilidade de desem-

Encontrar possveis dependncias no sistema exige verificar se a variabilidade de uma funo A pode

27

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

Figuras 4 e 5 mostram exemplos de representaes no

lineares de redes de conexes esperadas e inesperadas
para a distribuio de medicamentos, mediante apresentao de receita mdica, em uma farmcia. As conexes inesperadas, ou seja, os pontos em que alguma
coisa pode dar errado (a prescrio no ser registrada,
o nome do medicamento ou droga no ser verificado
etc.) esto marcados com X na figura. A anlise exige
considerar como se manifestam e as razes que explicam seus surgimentos.

afetar outra funo B. Isso requer que a funo B esteja conectada funo A no sentido de que outputs
da funo A fornecem ou constituem um ou mais dos
inputs para a funo B (inputs, precondies, recursos, controles, tempo).
O processo exige identificar conexes esperadas e
inesperadas. Esperadas so aquelas que se referem ao
funcionamento normal do sistema levando obteno
dos resultados esperados nas condies desejadas. As

Droga retirada
do estoque
C

Dilogo
com usurio

Buscar
droga no
estoque

Prescrio
recebida do
usurio

Droga pega
do estoque

Droga pega
do estoque

Checar
cdigo de
barras

Prescrio
registrada

Preparao
da droga
verificada

Prescrio
registrada

Prescrio
registrada

Prepara
checagem

Nome da droga
verificado
O

Figura 4 Rede FRAM para conexes esperadas de funes

Droga retirada
do estoque
C

Dilogo
I

X
P

Buscar
droga no
estoque

Prescrio
recebida do
usurio

Droga pega
do estoque

Checar
cdigo de
barras

Prescrio
registrada

Prescrio
registrada

X
P

Preparao
da droga
verificada

Droga pega
do estoque

Prescrio
registrada

Prepara
checagem

com usurio

Nome da droga
verificado
O

Figura 5 Rede FRAM para conexes inesperadas de funes

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

28

A quarta etapa a de decises sobre contramedidas

de preveno ou proteo identificadas via anlises de
acidentes e anlises de riscos. Considerando que todo
sistema tem uma base fsica e que as barreiras precisam ser implementadas de modo concreto, Hollnagel
enfatiza a importncia de determinar onde elas devem
ser colocadas. Outro aspecto a ser considerado qual
tipo de funo barreira utilizar. Obviamente, as escolhas efetuadas tm implicaes econmicas, de tempo necessrio para sua implementao, de requisitos
para sua manuteno e suporte etc. (p. 199).

variabilidade de sistemas estreitamente interligados.

A preveno passa a exigir que seja considerada a
existncia de perfis ou assinaturas de variabilidade
que possam ser monitorados. A inovao trazida por
Hollnagel no campo da segurana est justamente na
idia desse monitoramento como fundamento para
a elaborao de estratgias de preveno, em complemento noo clssica de barreiras. O monitoramento serve de base supresso das variabilidades
que levem a resultados no pretendidos e ao fortalecimento ou ampliao das que levem a resultados
desejados (p. 201).

Gesto da variabilidade de desempenhos como estratgia de preveno

A Figura 6 ilustra as funes da gesto da variabilidade de desempenhos, destacando a necessidade

de monitoramento constante do funcionamento normal do sistema e visando identificar funes crticas
e observar as variabilidades do sistema. Essa gesto pode envolver funes como observao, confirmao, gesto, registros e observaes do estado
e tendncias do sistema. No perodo pr-acidente,
enfatiza-se a necessidade de deteco de variaes
maiores ou no usuais no desempenho de funes ou
do sistema. Os dois estgios citados so chamados de
preveno. O imediato ps-acidente torna-se mais
importante de acordo com sua durao. Seu primeiro
momento de reduo ou disperso das conseqncias imediatas. Por fim, instala-se a etapa de correo
ou recuperao durante a fase ps-acidente, completando a fase dita de proteo.

O modo que pensamos sobre sistemas tem conseqncias no como respondemos a eles, tanto na interao direta como no desenvolvimento de respostas
mais elaboradas (HOLLNAGEL, 2004, p. 200). Em
outras palavras, a concepo de acidentes do analista
influencia a forma como se conduz a investigao e
sugere caminhos para a preveno. A questo a que
se chega nessa altura do texto como considerar essa
variabilidade de desempenhos na formulao de estratgias de preveno.
A gesto da variabilidade de desempenhos reconhece desfechos no desejados no sistema como
resultados da ressonncia funcional que emerge da

Proteo

Preveno
Monitoramento

Deteco

Disperso

Correo

Situao
de equilbrio

Pr-acidente
(incubao)

Acidente

Ps - acidente

Figura 6 Funes da gesto de variabilidade de desempenhos

29

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

Consideraes finais
Este texto destaca e discute aspectos do modelo
de ressonncia funcional de acidentes e sugere sua
incluso em agenda nacional dos interessados na preveno de acidentes.
O modelo de anlise apresentado por Hollnagel
uma das primeiras tentativas de desenvolvimento de
formas de registro grfico e qualitativo de um acidente
em que as relaes entre fatores e aspectos includos
fogem representao linear.
Entre esses aspectos, um dos que mais chama a
ateno a crtica que ele apresenta viso da causalidade direta e linear embutida nos mtodos e tcnicas de anlises de acidentes mais difundidos em
nosso meio. Talvez tambm por esse mesmo motivo,
sua leitura cause estranheza, incompreenses e suscite resistncias entre profissionais habituados ao
uso do raciocnio linear em anlises de acidentes e
anlises de risco, afinal, a noo de ressonncia funcional desafia o olhar tradicional. O desafio surge
exatamente da possibilidade de pequenas mudanas
de algumas variveis (externas e internas ao sistema) poderem levar a resultados no desejados e com
amplitude suficiente para provocar acidentes. Essa
noo de ressonncia funcional que explica essa possibilidade outro aspecto que, na opinio do autor
deste texto, deve ser includo na agenda nacional de
segurana do trabalho.
O uso de conceito no adotado nas prticas de
anlises de acidentes no deve levar o leitor a olhlo como distanciado de preocupaes prticas e das
vivncias de cho de fbrica. As preocupaes de
Hollnagel com aspectos da abordagem de desafios
prticos da conduo de anlises e da elaborao de
propostas de preveno esto bem ilustradas ao longo
do livro, inclusive com o recurso de exemplos de uso
do modelo proposto.
Alm dos exemplos, a preocupao de Hollnagel
com o tema da preveno destacada: a) no ttulo do
livro e na extensa abordagem que dedica noo de
barreiras; b) na apresentao da noo de gesto da
variabilidade de desempenho com nfase no monitoramento de condies que influenciam essa variabilidade e na busca de estratgias capazes de identificar
e reduzir aspectos capazes de afetar desempenhos,
provocar variabilidade e participar nas origens de aci-

dentes. A proposta apresentada indica caminhos que

ampliam o permetro de anlises de acidentes e rompem com prticas tradicionais.
Resgatando e desenvolvendo a noo de anlise
de barreiras, Hollnagel no rompe totalmente com a
herana da Engenharia de Segurana, embora defenda
o uso de conceito pouco difundido na literatura nacional. No entanto, ao introduzir as noes de variabilidade de desempenhos, de princpio da negociao
ou de otimizao local, ele dialoga diretamente com
conceitos da Engenharia de Produo e da Ergonomia,
colocando em evidncia a importncia do estudo do
trabalho normal para a melhoria da segurana e da
confiabilidade de sistemas. Os interessados na preveno de acidentes no podem continuar ignorando
a importncia desses conceitos nas polticas e prticas
que implementam.
O desafio de construir representaes no lineares do acidente no est superado. Propostas como as
de Hollnagel somam-se a outras iniciativas em curso,
como, por exemplo, a de Leveson (2002). Da mesma
forma, tambm importante apontar a existncia de
dimenses no exploradas por Hollnagel, como, por
exemplo, a do papel a ser desempenhado pelos trabalhadores nesse processo. Afinal, como resgatar o
conhecimento relativo s variabilidades de desempenhos, s negociaes adotadas, visando otimizao
local, sem metodologias que promovam a participao
dos trabalhadores e o resgate de sua subjetividade na
situao de trabalho?
Hollnagel reconhece parte desses aspectos e recomenda que a compreenso de acidentes deva sempre
permanecer aberta a reinterpretaes, seja em razo
da ocorrncia de novos fatos, seja pela melhoria de
nossos conhecimentos. um bom conselho.
Por fim, cabe registrar que a adoo de explicao
no linear de acidente, particularmente no mbito de
servios pblicos com atribuies de vigilncia em
sade e/ou auditoria fiscal, abre interrogao sobre as
possibilidades de uso de seus relatrios como peas
de suporte a aes judiciais de responsabilizao civil
e criminal em casos de AT. Esse caminho que parece
assumir propores crescentes no Brasil e que alvo
de defesa candente em livro recentemente publicado
na Itlia (ROVELLI, 2008) no discutido pelos autores que criticam os modelos lineares de acidentes, mas
certamente precisar ser trazido para a nossa agenda.

Referncias
ALMEIDA, I. M. Trajetria da anlise de acidentes: o
paradigma tradicional e os primrdios da ampliao
da anlise. Interface (Botucatu), Botucatu, v. 9, n. 18,
p. 185-202, jan./jun. 2006.
AMALBERTI, R. La conduite des systmes risque.
Paris: Press Universitaires de France, 1996.

DEKKER, S. W. A. Ten questions about human error: a

new view of human error and sistem safety. Mahwah:
Lawrence Erlbaum Associates, 2005.
DINIZ, E. P. H.; ASSUNO, A. A.; LIMA, F. P. A.
Preveno de acidentes: o reconhecimento das
estratgias operatrias dos motociclistas profissionais

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

30

como base para a negociao de acordo coletivo.

Cincia & Sade Coletiva, Rio de Janeiro, v. 10, n. 4,
p. 905-916, dez. 2005.
LEPLAT, J. Pistes suivre: Hollnagel, E. (2004).
Barriers and accident prevention. Montral, PISTES,
v. 8, n. 2, 2006. Disponvel em: <http://www.pistes.
uqam.ca/>. Acesso em: 05 fev. 2007.
HALE, A. R. et al. Modeling accidents for prioritizing
prevention. Reliability Engineering & System Safety.
Cambrige, v. 92, n. 12, p. 1701-1715, Dec. 2007.
HOLLNAGEL, E. Modelos de acidentes e anlises de
acidentes. In: ALMEIDA, I. M. Caminhos da anlise
de acidentes. Braslia: Ministrio do Trabalho e
Emprego, 2003. p. 99-105.

LIMA, F. P. A.; ASSUNO, A. A. Para uma nova

abordagem da segurana do trabalho. In: LIMA, F. P.
A.; ASSUNO, A. A. Anlise dos acidentes: Cia de
Aos Especiais Itabira. Belo Horizonte: Laboratrio
de Ergonomia DEP; UFMG, 2000.
LLORY, M. Laccident de la centrale nuclaire de
Three Mile Island. Paris: LHarmattan, 1999.
PERROW, C. Normal accidents: living with high risk
technologies. Princeton: Princeton University Press,
1999. 451 p.
RASMUSSEN, J. Risk management in a dynamic
society: a modeling problem. Safety Science,
Groningen, v. 27, n. 2-3, p. 183-213, Nov./Dec. 1997.

. Barriers and accident prevention.

Aldershot: Ashgate, 2004. 226 p.

REASON, J. Human error. 2. ed. Cambridge:

Cambridge University Press, 1999.

LEVESON, N. G. A new accident model for

engineering safer systems. Safety Science, Groningen,
v. 42, n. 4, p. 237-270, Apr. 2004.

ROVELLI, M. Lavorare uccide. Milano: Biblioteca

Universale Rizzoli; Futuro Passato, 2008. 250 p.

LEVESON, N. G. Extensions needed to traditional

models. In: LEVESSON, N. G. A new approach to
system safety engineering. 2002. p. 25-42. Disponvel
em: <http://ocw.mit.edu/NR/rdonlyres/Aeronauticsand-Astronautics/16-358JSpring-2005/7A17C38CF622-4244-ABF0-5BD2B768661C/0/book2.pdf>.
Acesso em: 29 jan. 2005.

31

Rev. bras. Sade ocup., So Paulo, 33 (118): 17-31, 2008

WOODS, D. D.; COOK, R. I. Perspectives on human

error: hindsight biases and local rationality. In:
DURSO, R. S. et al. (Ed.). Handbook of Applied
Cognition, New York: Wiley, 1999. p. 141-171.
WOODS, D.; COOK, R. I. Nine steps to move forward
from error. Cognition, Technology & Work. London, v.
4, n. 2, p. 137-144, June 2002.