RCA Port 2

Análise de Causa Raíz (RCA)
Temas
Causa raiz e causas aparentes Identificação da causa raiz:
Conceitos: What-if
Risco e Perigo Diagrama de causa-efeito (Ishikawa)
ALARP (As Low As Reasonale Practical) FMEA/FMECA (Análise dos Modos de
Percepção do Risco Falha, Efeitos e Criticidade)
Fatores inibitórios para a busca de 5 por quês
problemas e causas Evolução dos 5 porquês
Dados, Informações, Conhecimento ETA (Análise de Árvore de Eventos)
PDCA (Plan, Do, Check, Act) FTA (Análise de Árvore de Falha)
Identificação de possíveis causas: Método Bowtie
Brainstorm Método de Mosler
Método Delphi Gerenciamento de alarmes
Técnica de Grupo Nominal Segurança Inerente
Priorização: Pareto Hierarquia de Controles
Métodos dedutivos e indutivos Curva Bradley
STEP – Sequential Timed Events Plotting
Instrutor
Rodolfo Stonner
• Engenheiro Mecânico
• PMP e RMP pelo PMI
• CRE (Certified Reliability Engineer) por ASQ
• 32 anos de Petrobras, como Gerente de Projetos e Manutenção
(coordenou mais de 30 paradas de Manutenção, e participou de
numerosos megaprojetos)
• 3 anos como consultor no PMO para a expansão da Refinaria Talara,
norte do Peru.
Introdução
No desenvolvimento da Gestão de Riscos foram criadas diversas técnicas de
Análise e Avaliação de Riscos, algumas técnicas qualitativas e outras quantitativas.
Em sentido amplo, a Análise de Risco visa responder às seguintes questões em

relação a uma instalação/equipamento:
I) O que pode acontecer de indesejável?

II) Com que frequência isso pode acontecer?
III) Quais são os efeitos e consequências?
IV) Precisamos reduzir os riscos e como isso pode ser feito?
Teoria dos acidentes – teoria da propensão aos acidentes
Em 1919, dois estudiosos, Greenwood e Woods, analisaram os acidentes
ocorridos em uma fábrica de munições na Inglaterra, e ao perceberem que as
ocorrências não eram homogeneamente distribuídas entre os trabalhadores,
entenderam que os acidentes tinham causa única, a qual era basicamente
humana – haveria um grupo de indivíduos com maior propensão ao acidente.
Evidências estatísticas demonstram claramente que indivíduos diferentes podem ter taxas de acidentes
diferentes entre si; por exemplo, os motoristas jovens do sexo masculino são o grupo com maior risco de se
envolver em acidentes de carro (por isso, seus seguros de automóveis são mais caros). Variações substanciais
nas taxas de acidentes pessoais também parecem ocorrer entre os indivíduos.
Vários estudos lançaram dúvidas, no entanto, sobre se a propensão a acidentes realmente existe como uma
síndrome fisiológica ou psicológica "distinta, persistente e verificável de forma independente". Embora
pesquisas substanciais tenham sido dedicadas a esse assunto, nenhuma evidência conclusiva parece existir a
favor ou contra a existência de propensão a acidentes nesse sentido.
Teoria dos acidentes – teoria do Dominó
Da visão que atribuía os acidentes unicamente à falha humana, e de determinado
grupo de trabalhadores, evoluiu-se para as teorias sequenciais, que ainda
mantinham a posição de causa única, mas com desdobramentos sequenciais.
Heinrich, pioneiro da segurança industrial nos EUA na década de 30, desenvolveu
a teoria do Dominó: segundo esta teoria, a causa era única, porém atuava na
forma de uma sequência de dominós caindo sucessivamente. Uma falha leva a
outra, posteriormente à outra, até ocorrer o acidente.
Na visão da Teoria do Dominó, e este foi o maior alvo das críticas a esta teoria, a maioria das falhas eram
humanas: surgiu daí a expressão “ato inseguro” e “condição insegura”. Segundo Heinrich, 88% dos acidentes
eram decorrentes de atos inseguros. Neste viés, a prevenção de acidentes passa basicamente pela
sensibilização, persuasão, conscientização, e controle hierárquico.
Teoria dos acidentes – modelo epidemiológico
Este modelo, como o nome indica, estabelece um paralelo entre a ocorrência de
acidentes e a extensão de uma doença em uma população (epidemia).
Coincidentemente, foi inicialmente apresentada em 1949 por John Gordon,
médico epidemiologista em Harvard.
Este modelo teve o mérito de passar a enxergar o acidente não como obra do acaso, mas fruto de fatores
previsíveis. O modelo epidemiológico preconiza a abordagem de dois pontos essenciais para a prevenção do
acidente: o primeiro aspecto consiste em isolar as tarefas ou situações perigosas (tipo, isolar o paciente
infectado) – seria, por exemplo, atuar a nível da segurança intrínseca da TAREFA. O outro seria colocar ou
reforçar as barreiras protetoras (na medicina, seriam as vacinas e/ou remédios), de forma a bloquear erros ou
violações – seria no caso atuar sobre o AGENTE (trabalhador).
Teoria dos acidentes – modelo do período de incubação
É também denominada visão sócio-técnica: devido à evolução dos sistemas
produtivos, a visão tecnicista acaba sendo reduzida e com viés parcial, não
conseguindo abarcar a complexidade sistêmica. Os acidentes ocorrem por haver uma
fonte de energia (perigo) com alto poder destrutivo, ligada a processos de
desinformação. As falhas de comunicação entre as diversas áreas envolvidas
facilitariam, do ponto de vista organizacional, a existência de um perigo, incubado,
até o momento eventual de sua transformação em um acidente de fato.
Este conceito foi introduzido por Barry Turner, em seu livro “Man-made disasters”, sub-título: A falha da
previsão, em 1978.
Devido ao período de incubação, segundo Turner, na maioria dos desastres ou acidentes em larga escala, as
vítimas NÃO são responsáveis por causar o acidente, ou, se são, apenas contribuem como o último elo da
corrente.
Teoria dos acidentes – teoria dos acidentes normais
Charles Perrow, sociólogo de Yale, escreveu um livro em 1984, “Normal accidents –
Living with High-Risk Technologies”, em que afirmava que os sistemas tecnológicos
altamente complexos da sociedade atual (tráfego aéreo, plantas químicas e
refinarias, plantas nucleares) são constituídas com sistemas tão complexos e
interligados, cujas múltiplas falhas são tão imprevisíveis e inesperadas que acidentes
são inevitáveis.
A fonte de inspiração para Perrow foi o acidente da usina nuclear de Three Mile Island. Perrow afirmava que a
complexidade dos sistemas era tamanha, que falhas não poderiam ser evitadas, ainda que houvesse eventos
similares anteriores, pois o alinhamento das mesmas causas é altamente improvável. E, de fato, logo após a
publicação de seu livro, ocorreu o desastre de Chernobyl em 1986.
Teoria dos acidentes – acidentes organizacionais
James Reason, psicólogo inglês, em seu livro de 1997, “Managing the Risks of
Organizational Accidents”, desenvolveu o modelo do queijo suíço.
Os acidentes organizacionais tem causas múltiplas, envolvendo trabalhadores,
operações e tarefas muito diversificadas e complexas. No entanto, ao contrário da
teoria dos acidentes normais, utilizou uma visão militarista, criando diversas
barreiras defensivas no sistema. As falhas seriam trajetórias em que o acidente
consegue vencer os sucessivos “furos” das camadas defensivas (daí o nome de queijo
suíço).
Neste aspecto, para evitar que o acidente possa
percorrer esta trajetória, Reason defende dois
pontos essenciais: a redundância (diversas
camadas de proteção) e a diversidade
(diferentes formas de proteção).
Reason advoga fortemente contra a ideia de
que a principal causa dos acidentes seja
atribuída a fatores humanos. Segundo ele, o
chamado erro humano é uma consequência, e
não uma causa para os acidentes.
Causa Raíz e Causa Aparente (imediata)
Causa básica ou causa raiz é aquela que, uma vez eliminada, evita nova ocorrência
do acidente ou incidente, tais como (mas não limitado a):
•Engenharia inadequada
•Manutenção deficiente
•Ferramentas e equipamentos inadequados
Causa imediata ou causa aparente é a causa mais óbvia para a ocorrência de um
acidente ou incidente, mas sua eliminação não evita o surgimento de nova
ocorrência deste, tais como (mas não limitado a):
•Operar equipamentos sem autorização
•Não utilizar EPI’s
•Ordem e limpeza deficientes
•Remover barreiras de segurança
Causa Raíz e Causa Aparente (imediata) – caso Farmsun
Em 14 de dezembro de 1982, quatro homens da tripulação de Farmsun, no

Oceano Atlântico, limpavam o porão 6 do navio. De repente, a parede de
15 metros de altura e 25 m de largura se rompe e 6.000 toneladas de água
são despejadas nos 4 marinheiros, que são projetados pela torrente de
água em uma parede de metal. Três homens morrem. Há certeza absoluta
que os homens assumiram que o porão 5 estava vazio. Na verdade,
deveria ser.
Uma tempestade havia sacudido o navio, causando uma rachadura na
parede que separa os porões 4 e 5. Após a tempestade, decidiu-se limpar o
porão 6. O porão 4 está cheio de água, que serve de lastro para o navio, e a
porão 5 está vazio, que é uma segurança para os marinheiros que vão fazer
a limpeza. O porão 4 possui paredes capazes de suportar a pressão da água,
pois é o porão de lastro, mas os demais porões possuem paredes finas, pois
foram projetados para serem preenchidos ou esvaziados simultaneamente,
portanto suas paredes não sofrem diferencial de pressão.
A água utilizada na limpeza do porão 6 deve ser retirada. Para isso, existem
tubulações conectadas a bombas de sucção, com válvulas que permitem a
escolha do porão a ser esvaziado.
Há dificuldade em esvaziar a água do porão 6. Uma verificação permite

verificar que a ligação está errada e, portanto, a bomba estava extraindo
água do porão 4, e não do porão 6. E na verdade, uma verificação no local
permite uma verificação visual: o nível do porão 4 está descendo! A válvula
é fechada e o porão 4 é preenchido novamente.
Na realidade, o que ele não percebeu é que o esvaziamento do porão 4 não

era compatível com a vazão permitida pela válvula. Ou seja, não se percebe
que o nível diminui devido à fissura, e não ao bombeamento. Ao
reabastecer o nível, você está contribuindo para colocar mais água no
porão 5! E não se percebe que o reabastecimento do porão 4 é lento em
relação ao fluxo de enchimento (pois a água vai para o porão 5).
Risco e Perigo
Perigo (Danger): Situação que pode causar danos a pessoas, instalações e
equipamentos.
Risco (Risk, Hazard): Probabilidade de ocorrência da situação de perigo.
Esquematicamente, podemos representar:
Risco = _______Perigo________
Medidas de prevenção
Por exemplo, as consequências de um desastre aéreo são maiores do que em um

acidente de carro. No entanto:
- 1/11.000.000 morrem de um acidente de avião entre NY e LA
- 1/14.000 morrem em acidentes de trânsito entre NY e LA.
A probabilidade de ocorrência de um acidente de avião é muito menor do que um
acidente de carro, devido às medidas de prevenção adotadas pelo setor aéreo.
Risco e Perigo
Perigo: propriedade ou condição inerente de uma substância ou atividade capaz
de causar danos às pessoas, à propriedade ou ao meio ambiente.
Risco: o risco decorrente de uma determinada atividade pode ser entendido

como a potencial ocorrência de consequências indesejáveis decorrentes do
desempenho da atividade considerada.
ALARP (As Low As Reasonably Practical)
Em 1992, organismos regulatórios na Inglaterra estabeleceram para trabalhadores das indústrias
um nível aceitável de risco como sendo 10-3, o que significaria a possibilidade de uma fatalidade
por ano para cada grupo de 1000 pessoas. Este limite seria equivalente a 10 por grupo de 10.000
trabalhadores, e assim respectivamente, o que, plotado em um gráfico log-log, teria a
representação a seguir:
Comparando este indicador com outras atividades de risco, os órgãos regulatórios ingleses
construíram a tabela abaixo:
Descrição da Atividade # de atividades correspondentes ao
risco 10-3
Asa delta 116 voos
Anestesia operatória 185 cirurgias
Mergulho 200 mergulhos
Escalada 320 escaladas
Como interpretar esta correlação? Significa que, por exemplo, dentre 1000 mergulhadores
praticando 200 mergulhos por ano, haveria a probabilidade de 1 fatalidade a cada ano, de forma
análoga a 1000 trabalhadores trabalhando na indústria por ano, com a probabilidade de uma
fatalidade por ano.
Na realidade, muitas empresas trabalham com o limite máximo aceitável de 10-4.
Atividade Risco Individual (ano-1)

Fumar (20 cig/dia) 5.0x10-3
Beber (1 garrafa vinho/dia) 7.5x10-5
Jogar futebol 4.0x10-5
Corrida de automóveis 1.2x10-3
Leucemia 8.0x10-5
Meteoros 6.0x10-11
Transporte químicos 2.0x10-8
Por exemplo, não é razoável gastar US$ 1 milhão para evitar que em uma
planta industrial as pessoas tropecem ao longo das vias de acesso, mas é
razoável gastar US$ 1 milhão para minimizar o risco de explosão de um reator
de uma planta de processo.
ALARP – critérios de tolerabilidade Hong Kong
ALARP – critérios de tolerabilidade Holanda
Percepção do Risco - Comportamentos
- Falta de atenção;
- Ritmo acelerado de trabalho;
- Fazer as coisas no "modo automático";
- Atitudes muito confiantes (sentimento de segurança em tudo o que se faz, devido
à rotina);
- Desrespeito aos procedimentos e normas de segurança;
- Uso inadequado de ferramentas ou máquinas;
- Uso de ferramentas ou materiais estragados;
- Uso de equipamentos sem manutenção;
- Operar equipamento sem treinamento adequado;
- Tentar realizar manutenção em um equipamento sem treinamento adequado;
- Falta de uso de Equipamentos de Proteção Individual (EPIs) e Coletiva (EPCs);
- Comportamentos inadequados no ambiente de trabalho, como brincadeiras que
coloquem em risco a vida de outros trabalhadores.
Percepção do Risco - os sikhs e o capacete
Percepção do Risco – o caso Korean Air
De 1989 a 1998 a então Korean Air (atualmente Korean Airlines) teve uma série de
acidentes com seus aviões, a ponto dos EUA orientarem suas tropas no país a não
utilizarem seus voos, além de diversos rebaixamentos em suas notas, dadas pelas
agências de aviação de vários países. Esta imagem para o público pode ser fatal para
a empresa.
Surpreendentemente, a partir de 1999 a Korean Airlines deu a volta por cima, até que
nos dias de hoje é uma das referências em segurança na aviação.
O engenheiro de segurança da Boeing, Earl Weener, afirma: “A cabine é projetada
para ser operada por duas pessoas, e o resultado deste trabalho é melhor quando
uma delas verifica o trabalho da outra, ou quando ambas se dispõem a fazer isto”. Foi
este aspecto particular que chamou a atenção do consultor David Greenberg, da
Delta Airlines, contratado em 2000 pela Korean Air para resolver o problema dos
frequentes acidentes.
Percepção do Risco – o caso Korean Air
Idioma Cultura
Não Acidente
questionar
País em
Hierarquia
guerra
Percepção do Risco – machismo
Dentro desta estreita visão machista, muitas vezes para o trabalhador não usar o
cinto de segurança para trabalho em altura é uma “prova” de quão corajoso ele é.
Da mesma forma para o uso de muitos EPIs, e frente à postura diante de um perigo.
Escrever normas de segurança, preconizar o que deve ser feito nas frentes de
trabalho, isto é relativamente simples. Difícil mesmo, para o Gestor de SMS, é fazer
com que efetivamente o trabalhador incorpore os conceitos ao seu dia-a-dia,
melhore sua percepção de riscos e melhore sua postura preventiva.
Percepção do Risco – flagrantes incríveis
Fatores inibidores para a busca de problemas e causas
Identificação do problema
Esta é uma questão frequentemente mal compreendida. A todos, parece óbvio qual é
o problema; porém, a sua descrição pode estar incompleta, ou mesmo errada,
impedindo a equipe de identificar as causas do problema e poder resolvê-lo.
Um exemplo do cotidiano: muitos reclamam que seu problema é a falta de dinheiro.
Não, na realidade falta de dinheiro não é o problema; as causas que levam a faltar
dinheiro é que são o problema de fato.
Pressa na solução
Lidar com problemas é estressante. Por isso, até independente de pressão gerencial,
a própria equipe envolvida na solução do problema deseja terminar a análise e
apontar causas e soluções o mais rápido possível.
Com isto, alguns passos importantes podem ser esquecidos ou menosprezados,
levando a conclusões incorretas.
Pouca participação da equipe
Diversos fatores podem contribuir para isto. A responsabilidade de encontrar uma

solução pode inibir a participação, assim como também a composição da equipe.
Pode ser que na formação da equipe não se tenha tido o cuidado de criar um grupo
multifuncional, e falta de uma visão de todas as facetas do problema inibe a
participação dos demais membros.
Não utilização de ferramentas e técnicas
Apesar de haver inúmeras ferramentas e técnicas para ajudar na resolução de

problemas, muitas vezes os grupos para resolução de problemas são formados na
base da boa vontade: “vamos interagir!”, “vamos discutir!”, “a solução virá!”.
Adequadas técnicas e ferramentas auxiliam na solução de problemas, e devem ser

utilizadas.
Falta de dados consistentes
Muitas pessoas confundem dados com informação. Informação significa os dados

trabalhados.
Dados esparsos, não significativos não irão gerar informação confiável, que possa ser
trabalhada.
Ferramentas estatísticas podem ser requeridas, as quais podem não estar disponíveis
no arsenal de conhecimentos da equipe.
Falta de dados consistentes

Dado é qualquer registro (físico ou mental) que pode ser associado a um objeto,
pessoa ou evento.
Informação são os dados configurados de forma adequada ao entendimento e
utilização pelas pessoas.
Conhecimento é a informação processada e trabalhada.
Impaciência gerencial
Assim como a equipe pode ter pressa em resolver o problema, para se livrar desta
incômoda carga de trabalho, muitas vezes é a gerência que pressiona por resultados,
levando a conclusões equivocadas e apressadas.
Claro que é compreensível que a Gerência tenha pressa em resultados, porém há que
buscar um balanço entre a rapidez requerida e as dificuldades da equipe.
Não identificação da causa básica
Apesar das técnicas para identificação da causa básica, esta definição pode ser difícil
e sutil.
Cabe lembrar a definição de Causa Básica: aquela que, ao ser removida, impede a
recorrência do problema. Então, uma vez identificada a causa que se supõe básica,
que esta causa seja explorada ao máximo para checar se efetivamente é a causa
básica.
PDCA – Plan, Do, Check, Act
PDCA
Identificar o problema
Observar o problema
Plan
Analisar o problema
Elaborar o Plano de Ação
Do Implementar o Plano de Ação
Check Comprovar o cumprimento
Normatizar o processo
Act Completar o processo
Identificação de possíveis causas - brainstorm
Regras para o Brainstorm
Há algumas regras a serem utilizadas:
• Não pode haver críticas – esta é uma das principais razões de falha no brainstorm.
Não se pode reprimir ideias. Na primeira fase do brainstorm, não há julgamento de
ideias.
• Criatividade é fundamental – nenhuma ideia deve ser omitida, por receio de
críticas. Vale o “pensar fora da caixa”. Neste sentido, é interessante que o
facilitador não tenha ascendência hierárquica sobre os demais, pois hierarquia
inibe a criatividade. Se isto não for possível, sugiro que o facilitador comece com
uma ideia bizarra, para liberar a criatividade dos demais.
Regras para o Brainstorm
• Quantidade – é necessário que haja muitas ideias, para que se possa discutir mais
soluções
• Vale pegar “carona” – uma ideia pode ser gerada a partir de outra, ou ideias
distintas podem ser mesclada
• Cuidado com o efeito “manada” - tendência de as pessoas seguirem a vertente do
“chefe”
Etapas do Brainstorm
• Definir o problema para o qual se busca solução.
• Formar um grupo de 6 a 10 participantes.
• Informar aos participantes de qual problema se irá tratar, com antecedência.
• Escrever o problema em letras grandes, em um quadro.
• Um ideia de cada vez.
• Usar notas de papel autoadesivas (post-it). O participante levanta a mão, descreve
a ideia e vai ao quadro afixá-la.
Etapas do Brainstorm
• O Brainstorm deve ser curto, não passar de 1 hora.
• Selecionar um grupo de cerca de três pessoas para avaliar e descartar as ideias não
aplicáveis (de forma séria, sem gozação ou brincadeiras), grupar as demais ideias
por similaridade, e de cada grupo de ideias similares, buscar uma sentença ou
pequeno texto que as unifique.
• Discutir e selecionar a mais adequada dentre as ideias condensadas no item
anterior
Identificação de possíveis causas – método Delphi
O Método Delphi teve origem no início da Guerra Fria, como um método para buscar
identificar os avanços tecnológicos e militares da então URSS. Foi desenvolvido por
Olaf Helmer, Norman Dalkey, and Nicholas Rescher, e posteriormente, veio a ser
chamado de Método Delphi, alusão ao oráculo de Delfos, na Grécia Antiga. É
desconhecida a origem do nome, mas sabe-se que o nome não agradou aos seus
criadores, pois dá uma ideia de adivinhação, profecia, o que não é exatamente o
intuito nem dos autores nem do método.
Definição
“Uma técnica de obtenção de dados usada para obter o consenso de um grupo de

especialistas em determinado assunto. A participação destes especialistas é anônima,
e um facilitador utiliza um questionário para solicitar ideias relativas a diversos
aspectos de um projeto, concernentes ao assunto. As respostas são sumarizadas, e
novamente submetidas aos especialistas, sem identificação dos autores das ideias.
O consenso usualmente é obtido após algumas rodadas.”
Princípios
Anonimato dos participantes – ao contrário do Brainstorm, que é presencial e

portanto todos os participantes se identificam, no Método Delphi os participantes
permanecem anônimos, mesmo após a conclusão dos trabalhos. Isto impede que a
reputação ou autoridade de algum dos participantes crie algum viés especial, e evita
os chamados efeitos “bandwagon” (à medida que alguns participantes aderem a uma
determinada ideia proposta, há a tendência dos demais seguirem esta corrente –
efeito “manada”) e “halo” (seguir determinada tendência dependendo da empatia
estabelecida com o autor da ideia).
Princípios
Fluxo de informações estruturado – mais uma vez, ao contrário do brainstorm, em

que as ideias surgem livremente, no Método Delphi as contribuições dos especialistas
no assunto são coletadas através de respostas a questionários iguais enviados a
todos. Isto evita o eventual confronto, principalmente porque todos participantes são
especialistas (o que é também uma diferença em relação ao brainstorm).
Princípios
Feedback regular – como as respostas são coligidas em um documento único, que

retorna para os participantes para que eles possam dar continuidade, e como as
ideias não estão associadas a seus autores, qualquer participante pode rever sua
posição, que é algo que em público não seria tão fácil realizar. As pessoas tendem a
se fixar em suas opiniões, tentando “mostrar coerência”.
Identificação de possíveis causas – Técnica de Grupo Nominal
Uma limitação do Brainstorm é o efeito manada, quando todos tendem a seguir a
opinião do líder, do gerente, ou de alguém com mais experiência. Para contornar este
problema, os líderes com mais experiência, conhecedores deste efeito, podem se
resguardar para só emitir suas opiniões ao final. Por outro lado, isto pode suscitar
uma dificuldade em fazer com que os participantes comecem a emitir suas opiniões
sobre o tema em discussão.
O método Delphi busca consenso a partir de opiniões de especialistas no assunto,
consultados anonimamente. Suas ideias são paulatinamente consensadas e
convergidas por um facilitador, até obter-se uma posição comum e definitiva sobre o
assunto. Porém, este processo tem o inconveniente de ser mais demorado.
A Técnica de Grupo Nominal busca uma posição intermediária entre estes polos
opostos. Em um primeiro momento, cada participante expressa sua opinião de forma
silenciosa e independente, sem pressão dos demais.
Busca-se utilizar a técnica de grupo nominal nas seguintes circunstâncias:
• Alguns membros do grupo se expressam mais que os demais, são mais
desenvoltos, menos inibidos;
• Alguns membros do grupo raciocinam melhor em silêncio;
• Há a preocupação com a eventual não participação de alguns membros;
• O grupo tem dificuldade em gerar ideias;
• Alguns (ou todos) os membros são novatos no grupo, ou não se conhecem;
• O assunto é controverso, ou é potencial gerador de conflitos;
• O facilitador do processo tem superioridade hierárquica sobre os participantes.
Os grupos na Técnica de Grupo Nominal devem ser de 6 a 10 pessoas.
1. O facilitador expõe o problema a ser tratado, certificando-se de que todos tenham
compreendido;
2. É dado um tempo para que cada membro do grupo, em silêncio, escreva em uma
folha de papel as ideias que tem acerca do problema em questão (em cerca de
dez minutos);
3. O facilitador solicita a que os participantes exponham em voz alta as ideias que
anotaram, uma a cada vez. O facilitador escreve as propostas em um flipchart ou
quadro branco. Como a quantidade de ideias aportadas por cada um do grupo
difere, haverá momentos em que o participante declina, e cede a vez ao próximo,
por já ter exposto todas as suas contribuições;
4. Cada uma das proposições é discutida no grupo; quem emitiu pode esclarecer
dúvidas; se houver consenso, alguma proposição pode ser descartada;
5. Cada participante faz uma votação de TODAS as ideias, de 1 a 5 (1 menos
importante, 5 mais importante), e entrega suas notas ao facilitador, que as
lançará, de forma ANÔNIMA, em uma planilha;
6. Ao término da votação, as propostas são priorizadas
Priorização - Pareto
Vilfredo Pareto foi um economista italiano (1848-1923), que NÃO foi quem idealizou
o princípio que leva seu nome. A Lei de Pareto, ou Diagrama de Pareto, parte do
princípio de que para muitos fenômenos, 80% das consequências são oriundas de
20% das causas. A lei foi sugerida por Joseph M. Juran, que deu o nome em honra ao
economista italiano Pareto.
• Em uma loja, 20% dos vendedores irão ganhar cerca de 80% das comissões.
• Em um departamento de assistência técnica, 80% dos problemas são oriundos de
20% das possíveis causas.
• Em uma fábrica de bens de consumo, 20% dos produtos serão responsáveis por
80% do faturamento.
Não necessariamente, esta é a proporção. O 80/20 é sugerido como “rule of
thumb”, ou seja, regra genérica, mas pode haver variações:
• Os Estados Unidos tem 5% da população mundial, mas são responsáveis
por 70% dos gases causadores do efeito estufa.
• 0,7% da população global detêm 41% da riqueza mundial.
• No Brasil, os 10% mais ricos tem 45% da riqueza do país.
Em uma indústria, a tabela a seguir ilustra os defeitos mais comuns em sua linha de
produção, e o custo unitário de cada reparo.
Que equipamentos deveríamos priorizar, na busca de melhoria, visando a diminuição
de reparos de forma a otimizar a redução nos custos?
Ao final, você terá a seguinte tabela, onde você observa que, de fato, três tipos de
defeitos que correspondem a 20,5% do número de ocorrências, acarretam um custo
acumulado de falhas de 72,4%.
Pode ser também gerado na forma gráfica, muito comum, onde usualmente os
valores individuais estão em colunas, e o acumulado em linha:
Técnicas de Análise de Risco
As técnicas dedutivas partem do perigo, aspecto ambiental ou desvio de processo

para as causas e consequências com objetivo de propor ações mitigadoras. As
técnicas indutivas são o contrário, investigam os possíveis efeitos de um evento
desejado partindo de um desvio de processo ou evento indesejado para avaliar as
causas e consequências para propor ações mitigadoras. As técnicas dedutivas e
indutivas podem ser qualitativas e quantitativas.
Indutivo:
Particular à Geral
Amplia o universo
Dedutivo:
Geral à Particular
Chega ao detalhe
Particularmente para eventos complexos, antes da utilização de técnicas de análise
de causa básica, é útil construir o STEP, onde no eixo vertical colocamos os agentes
(trabalhadores, equipamentos, máquinas, alarmes...) e no eixo horizontal colocamos
o tempo.
Agente + Ação = Evento (alocado no tempo)
O acidente ocorreu na área de fundição de uma siderúrgica elétrica onde havia um
forno a arco (EAF); o EAF foi equipado com três plugues porosos, localizados na parte
inferior do forno, para soprar Argônio no banho fundido para homogeneizar o aço.
O forno foi desligado e colocado em condições seguras para permitir as operações de
manutenção; entre as operações necessárias para garantir a fornalha houve também
o corte do fornecimento de argônio para a fornalha.
Essas operações de segurança ficaram a cargo do gerente de manutenção,
trabalhador (A), que fez todas as Atividades. Para permitir o trabalho de manutenção,
foram abertas as portas de carga e escória do forno.
Após as operações de segurança, três trabalhadores (A, B e C) fizeram uma inspeção
no forno para planejar adequadamente o trabalho de manutenção. Antes de entrar
no forno, o trabalhador (B) verificou se a válvula de argônio estava fechada; durante
esta fiscalização, o trabalhador (C) agachou-se duas vezes para recolher alguns
materiais do fundo do forno, sem nenhum inconveniente.
A Critical Analysis of Techniques for the Reconstruction of Workers Accidents

Giuseppe Nano*, Marco Derudi
No dia seguinte, o gerente de manutenção - o trabalhador (A), e o trabalhador (D)
foram vistos do lado de fora do forno prontos para realizar a intervenção de
manutenção; após cerca de 20 minutos, eles foram encontrados mortos dentro do
forno.
Uma vez que entraram no forno, começaram a fazer reparos na parte superior do
forno (tempo estimado para a atividade: 10-15 min); a certa altura, um dos
trabalhadores, provavelmente (D), agachou-se para trocar o disco do rebolo. Como a
válvula de argônio foi aberta (não foi possível. saber quem fez esta operação), o
fundo do forno (entre o piso e a porta de escória, localizado a cerca de 1,3 m do piso)
foi saturado pelo gás, dado que é mais pesado que o ar.
Nessas condições, em ambiente com pouco oxigênio, o trabalhador (D) perdeu a
consciência e sua morte ocorreu dentro de alguns momentos. O trabalhador (A) viu
provavelmente seu colega no chão, ajoelhou-se para ajudá-lo, mas perdeu a
consciência e depois morreu.
A Critical Analysis of Techniques for the Reconstruction of Workers Accidents

Giuseppe Nano*, Marco Derudi
Todos os eventos anteriores ao representado pelo triângulo # 1 mostram que todas

as operações foram realizados corretamente.
Porém, a abertura da válvula de argônio foi atribuída a uma pessoa que nunca foi
identificada e isso destaca dois problemas críticos: a falta de identificação do
bloqueio da válvula de argônio e proteção deste bloqueio durante as operações
dentro do forno e a falta de coordenação entre os trabalhadores com diferentes
atribuições nessa área de trabalho.
Os eventos representados pelo triângulo # 2 foram cruciais para causar a morte dos
trabalhadores, que provavelmente não foram treinados sobre o risco de atmosferas
deficientes em oxigênio.
Explosão da Caldeira da Exxon - Cingapura
Esta caldeira era uma caldeira aquatubular, com economizador e superaquecedor,

com superfície total de aquecimento de 205 m², com pressão de projeto de 12.000
kPa e produzia 160 toneladas de vapor por hora.
Seus queimadores tinham um sistema de injeção que permitia a queima de até 8

tipos diferentes de combustível, e a caldeira tinha duas PSV’s (válvulas de segurança
– Pressure Safety Valve) no vaso de vapor e uma PSV no superaquecedor.
A linha de gás combustível possuía duas XV’s (válvulas de trip) em série, cada uma com
“by pass”, e um vent para a atmosfera que abria sob intertravamento, em caso de trip.
Os by-passes deveriam estar travados na posição fechada, com lacre. O uso destes “by
passes” somente poderia ser feito com autorização expressa formal superior (esta é
uma prática comum, e adequada: inibe o desvio de procedimentos).
As válvulas de trip estavam conectadas a um sistema de detecção de falha de chama, ou seja, caso não
haja o acendimento, as válvulas bloqueiam o fornecimento de gás. Muitos fornos domésticos têm
esquemas similares, embora menos sofisticados: para acender o forno, o usuário tem que manter
premido o botão da válvula de admissão. Caso ele solte este botão sem que o forno tenha acendido, o
fornecimento de gás é interrompido.
A linha de gás possuía também uma estação de controle com uma válvula controladora de fluxo (FCV)
com válvulas de bloqueio a montante e a jusante, e uma FCV menor em paralelo para o acendimento.
Mais uma vez aqui, temos algo similar no uso doméstico: quando acendemos o aquecedor a gás para o
chuveiro, acendemos primeiro o piloto. Quando a água circula, é que é aberta a plena vazão de gás
Durante o turno noturno de 9 de dezembro de 2000, três pessoas estavam tentando

partir novamente (restart) a caldeira, quando ocorreu a explosão no interior da
caldeira. Duas destas pessoas morreram no hospital.
A caldeira estava operando com GLP (gás liquefeito de petróleo), quando foi dada a
ordem para acender os queimadores de diesel da caldeira. Os três operadores
estavam tentando acender a caldeira desde 00:30, sem êxito.
Às 02:20, em mais uma tentativa, tentaram acender os queimadores de diesel,
porém a caldeira sofreu um trip e apagou. Tentaram então acendê-la novamente com
GLP, e aí a explosão ocorreu.
Mais uma vez, temos um similar doméstico: se nosso forno se apaga, devemos abrir a porta do forno e
deixar ventilar, antes de tentar acendê-lo novamente, pois há superfícies quentes, e, principalmente com
gás, há a possibilidade acúmulo e súbita ignição, gerando uma explosão.
Investigações posteriores ao acidente evidenciaram que a equipe de partida teve

dificuldades para o acendimento da caldeira com GLP anteriormente, e improvisaram
um método de by pass manual, o qual não constava dos procedimentos operacionais.
A análise demonstrou que as duas válvulas de by pass das XV’s estavam 50% abertas,
ou seja, ainda que as XV’s fechassem por falha de acendimento, o gás continuaria a
passar pelo by pass.
As válvulas de bloqueio a montante e a jusante da válvula principal (FCV) estavam

100% abertas, e esta FCV estava 66% aberta, o que permitiu a entrada de grande
quantidade de gás na caldeira, o que permitiu a explosão.
Aberta a
66%
Explosão da Caldeira da Exxon - Cingapura Quem?
Como?
1 Por que?
Aberta a
66%
Aberto a
50%
Aberto a
50%
Explosão da Caldeira da Exxon - Cingapura Quem?
Como?
1 Por que?
Aberta a
66%
Aberto a
50%
Aberto a
50%
Todos os operadores tinham passado por um treinamento de 8 meses, o qual

incluía treinamento em SMS. Os dois operadores mortos eram operadores de
processo, não eram certificados para operação de caldeiras. O operador
sobrevivente, apesar de certificado como operador de caldeira, relatou ter medo
do processo de by pass, e que este já vinha sendo empregado há alguns dias, e
relatou ter o sentimento de que o treinamento que lhe foi dado era insuficiente
para operar a caldeira.
•Não cumprimento de procedimentos

•Uso de método não autorizado de by pass
•Remoção do lacre de segurança das válvulas de by pass
Técnicas de Análise de Risco – What if
A ferramenta What-if é uma técnica qualitativa, normalmente utilizada na fase inicial

da análise de riscos, para buscar identificar falhas potenciais, através de
questionamentos especulativos (no bom sentido…), a partir de perguntas do tipo “E
se falhar a lubrificação? ”, “E se a válvula estiver bloqueada? ”. Com estas perguntas,
busca-se, através de um grupo multidisciplinar, obter as respostas indesejadas para
estas perguntas, e, a partir dos cenários identificados, avançar na análise de riscos,
buscando identificar causas, consequências, probabilidades e impactos, e possíveis
medidas mitigadoras, preventivas ou corretivas.
Na análise "what-if", os resultados de eventos inesperados que podem produzir uma
consequência adversa são cuidadosamente considerados. O método envolve a
avaliação de possíveis desvios da sequência planejada de serviços ou operações.
Essa análise requer uma compreensão básica e capacidade mental para combinar ou
sintetizar possíveis desvios do projeto ou procedimento a ser adotado, e que podem
levar a resultados indesejáveis.
Muitas vezes esta técnica é utilizada preliminarmente para auxiliar outras técnicas na
análise de sistemas, como HAZOP, Análise de Árvore de Falhas, Análise de Modos e
Efeitos de Falhas, etc.
Esta análise faz perguntas “e se…”:
E se a bomba A parar durante os serviços?
E se faltarem utilidadess durante o processo?
E se houver a necessidade de deixar imediatamente a equipe?
E se houver um curto-circuito?
E se a válvula B estiver aberta durante os serviços?
E se houver um “flash” (ignição do produto)?
E se for necessário resgatar alguém?
Usos mais comuns
Geralmente aplicável para quase todos os tipos de aplicativos de avaliação de risco,

especialmente aqueles dominados por cenários de falha relativamente simples.
Ocasionalmente usado sozinho, porém mais frequentemente usado para

complementar outras técnicas mais estruturadas (especialmente check-list, Análise
Preliminar de Perigos)
Limitações da análise What-if
Embora a análise What-if seja altamente eficaz na identificação de várias ameaças ao
sistema, essa técnica tem três limitações:
Não identificação de alguns problemas potenciais. A estrutura livre da análise What-if depende
exclusivamente do conhecimento dos participantes para identificar possíveis problemas. Se a equipe
não fizer perguntas importantes, a análise provavelmente omitirá falhas potencialmente importantes.
Auditoria difícil para eficácia. Revisar uma análise What-if para descobrir omissões é difícil porque
não há uma estrutura formal para auditar. As revisões tendem a se tornar "mini-what-ifs" tentando
encontrar omissões inesperadas do grupo original.
Tradicionalmente, fornece apenas informações qualitativas. A maioria das análises de hipóteses
produz apenas resultados qualitativos; não fornecem nenhuma estimativa quantitativa das
características relacionadas ao risco. Essa abordagem simplista oferece grande valor para um
investimento mínimo, mas só podemos responder a questões mais complicadas relacionadas ao risco
se um pequeno grau de quantificação for adicionado.
Um motor elétrico e bomba (sistema A) opera em

paralelo com outro (sistema B). A queda de rendimento
da bomba no sistema A leva a uma intervenção de
manutenção, e o motor elétrico também passará por
uma manutenção. Há válvulas de bloqueio para separar
e isolar os dois sistemas. Faça uma análise What-if para
as atividades de liberação do sistema motor-bomba.
Probabilidade Severidade Recomendações

What-If Ocorrência
A válvula de bloqueio da sucção Danos físicos a pessoas e/ou instalações
(Bomba A) dá passagem
Não foi bloqueada a energia Risco de choque elétrico, ou de alguém acionar o
elétrica do motor motor
A válvula de bloqueio da descarga Danos físicos a pessoas e/ou instalações
(Bomba A) dá passagem
Técnicas de Análise de Risco – Análise Preliminar de Perigos
Análise Preliminar de Perigos: identificados os riscos, de forma genérica, muitas vezes

através da ferramenta What if, a APP permite listar os riscos, correlacionando-os com
possíveis causas e consequências, e estipular medidas de prevenção, correção,
detecção ou controle das situações de risco. Portanto, é uma ferramenta que permite
também a identificação de causas básicas para riscos genéricos, e para
estabelecer Propostas de medidas para diminuir os riscos.
Frequentemente é associada à Matriz de Risco, que classifica os riscos segundo o
produto Probabilidade x Impacto, permitindo uma adequada priorização (por isso
ttambém chamada de Análise Preliminar de Riscos).
A técnica se desenvolveu inicialmente no meio militar norte-americano, quando da
investigação sobre a explosão sucessiva de 4 silos de lançamento dos mísseis Atlas, dos
72 silos em operação. (http://www.atlasmissilesilo.com/accidents.htm).
Seu principal objetivo é reconhecer antecipadamente os riscos potenciais. É uma

técnica aplicada na fase de concepção e planejamento. Por esta razão, é amplamente
utilizado para o planejamento de atividades de manutenção. Consiste em formular
uma lista de riscos potenciais relacionados a:
• matérias-primas e produtos
• equipamento de fábrica
• interface entre os componentes do sistema
• ambiente operacional
• operações (testes, inspeção, manutenção)
• instalações e utilidades
• equipamentos de segurança
Equipe:
Para a elaboração de uma Análise Preliminar de Perigos, sugere-se a composição de
uma equipe de 5 a 8 pessoas, incluindo especialistas técnicos, e um conhecedor da
Segurança Industrial e com domínio da técnica de Análise Preliminar de Perigos.
Coordenador: será o responsável por definir a equipe, programar as reuniões, reunir o
material documental necessário (fluxogramas de processo, especificações, normas,
etc.), distribuir a carga de trabalho oriunda das recomendações.
Líder: deve ter conhecimento da metodologia, para disseminá-la entre os presentes e
conduzir as reuniões.
Especialistas: pessoas com conhecimento específico sobre os processos em análise.
Relator ou secretário: incumbido de anotar e fazer as atas das reuniões, e cuidar dos
aspectos organizacionais.
Tipo de resultados:
Uma lista de riscos relacionados aos detalhes do projeto (ou, no caso de manutenção, a
sequência das atividades de manutenção planejadas), com recomendações visando
auxiliar na redução de riscos na fase final do planejamento do serviço. São resultados
qualitativos, indicando causas e possíveis consequências de cada um dos eventos
identificados.
Evento Causas Possíveis Avaliação do Risco Medidas preventi-

consequências Prob. Sever Risco vas ou corretivas
Vaza- Corrosão do Atmosfera B II 1 Manutenção
mento tanque tóxica. preventiva e
significa- inspeções periódicas
tivo de
amônia Vazamento no Atmosfera C II 2 Usar EPI específico.
carregamento tóxica.
Incêndio Vazamento + Produtos em C IV 4 Apagar fornos com

fontes de chamas, vapor. Abrir vapor
ignição formação de para PSV’s. Evitar
campo de fontes de ignição.
radiação térmica
Vazamento na Campo de C III 3 Refrigeração de
drenagem + radiación térmica equiptos com jatos de
fontes de água. Cortina de água
ignição em equiptos com
risco de explodir.
Técnicas de Análise de Risco – Matriz de Risco
Matriz de Risco: cada situação de risco tem possíveis consequências, e probabilidade

de ocorrência. Conjugar estes dois fatores de forma a Categorizar e Priorizar os
Riscos é o fundamento principal da Matriz de Riscos.
Frequência (probabilidade)
A B C D E Desprezível
IV Pequeno
Impacto (severiddade)
III Moderado
II Sério
I Crítico
Modelos verbais para Probabilidade (frequência):
A – extremamente remoto (nunca ouvi falar)

B – remoto (já ouvi falar)
C – improvável (tenho referências, mas nunca vi ocorrer)
D – provável (já aconteceu algumas vezes)
E – frequente (já vi ocorrer diversas vezes)
Modelos verbais para Severidade das consequências:
Categoria Denominação Descrição
I Insignificante sem danos significativos ao equipamento, à
propriedade ou ao meio ambiente.
II Marginal Dano pequenoao equipamento, propriedade e/ou
meio ambiente (dano controlável ou baixo custo
de reparo).
III Crítica Danos severos aos equipamentos, à propriedade
e/ou meio ambiente, levando à parada do sistema
ou interrupção dos serviços por longo período.
IV Catastrófica Danos irrecuperáveis aos equipamentos, à
propriedade e/ou ao meio ambiente, levando à
interrupção desordenada dos serviços.
Técnicas de Análise de Risco – Check Lists (Listas de Verificação)
Checklists: identificados os riscos, avaliadas as medidas corretivas, preventivas,

mitigadoras ou de controle, é preciso certificar-se de que estas medidas efetivamente
foram implementadas. O Checklist é a ferramenta padrão para Identificar desvios
relativos a boas práticas.
Em geral, as listas de verificação são usadas para indicar a conformidade com
procedimentos padrão ou regulamentos de projeto ou segurança. Eles também são
usados na fase preliminar dos serviços. Seu objetivo é identificar os perigos através de
uma avaliação padrão dos perigos de uma indústria ou das etapas de um serviço de
manutenção.
É portanto uma ferramenta muito simples de ser construída e aplicada. Não obstante,
há certos cuidados a serem tomados, para tornar o uso dos checklists realmente
efetivo. Os checklists devem ser construídos para fácil aplicação e interpretação. Neste
sentido, uma adequada diagramação do formulário da lista de verificação (checklist) é
fundamental. Abaixo vemos um exemplo de um checklist cuja diagramação torna mais
difícil seu preenchimento e visualização:
Também é necessário que todas as respostas “desejáveis”, ou seja, que indiquem
atendimento ao requisito, estejam sempre alinhadas, respondidas consistentemente. O
exemplo a seguir mostra um checklist cuja estrutura de respostas não foi corretamente
construída:
Evidentemente, a pergunta “Há líquidos inflamáveis nas tubulações?” está mal formulada. A
resposta desejável, que sinaliza que se pode prosseguir com o processo, é Não. No entanto,
as demais respostas “desejáveis” são Sim, o que pode causar dificuldade no entendimento,
ou perda de tempo na interpretação. Bastaria formular a pergunta de forma a direcionar a
resposta desejável para Sim, tal como “As tubulações estão isentas de líquidos inflamáveis?”.
Técnicas de Análise de Risco – 5 porquês
5 por quês: as causas apontadas como geradoras de risco são efetivamente as causas
básicas, ou seja, aquela que uma vez tratada, removida, impedirá o surgimento do
problema ou da situação de risco? Para um determinado risco (específico), é feita a
pergunta Por quê, por exemplo, “Por quê houve o transbordamento do tanque?” e esta
pergunta é repetida algumas vezes (usualmente com 5 perguntas chega-se à causa
básica, porém este número não é mandatório!) até chegar a causa básica. Trata-se
portanto de ferramenta a ser utilizada para a Identificação de Causas Básicas para
riscos específicos.
Atualmente, há algumas melhorias neste processo, fazendo o caminho inverso.
5 porques – vantagens de seu uso
A ferramenta se popularizou devido alguns benefícios imediatos:

• Permite identificar a causa básica do problema; para identifica-la, basta para cada
resposta avaliarmos se a correção desta causa evitará o surgimento do problema: caso
negativo, devemos mais uma vez fazer a pergunta “por que?”; caso contrário,
identificamos a causa básica;
• Identifica claramente as relações entre as possíveis causas imediatas com a causa
básica;
• Utilização extremamente simples; não requer uso de ferramentas estatísticas;
5 porques – vantagens de seu uso
A ferramenta se popularizou devido alguns benefícios imediatos:

• Baixo custo;
• Comprometimento: pelo fato de ser uma ferramenta extremamente simples, permite
o envolvimento de diversos níveis funcionais; a partir do envolvimento no problema e
na busca de soluções, cria-se o comprometimento com a solução;
• Flexibilidade: sua utilização é compatível com o uso de outras técnicas de identificação
de causa básica
A máquina de usinagem por comando numérico vem falhando repetidamente.
1° porque:
Por que a máquina vem falhando?
Porque a placa mãe está queimando frequentemente.
2° porque:
Por que a placa mãe tem queimado frequentemente?
Porque ela está superaquecendo.
3° porque:
Por que a placa mãe está superaquecendo?
Porque não está sendo adequadamente ventilada.
4° porque:
Por que não está sendo adequadamente ventilada?
Porque o filtro de ar está sujo.
5° porque:
Por que o filtro de ar está sujo?
Porque não há uma programação de manutenção preventiva informando as
datas de limpeza de filtro. Isto evitará o ressurgimento do problema, sendo
portanto a causa básica (falta de programa de manutenção preventiva).
Óleo lubrificante está vazando da máquina
1° porque:
Por que o óleo lubrificante está vazando?
Porque um selo rompeu.
2° porque:
Por que o selo rompeu?
Porque o óleo lubrificante está contaminado com rebarbas metálicas.
3° porque:
Por que o óleo lubrificante está contaminado com rebarbas metálicas?
Porque um filtro do sistema de lubrificação se rompeu.
4° porque:
Por que o filtro do sistema de lubrificação se rompeu?
Porque o filtro do sistema de lubrificação está mal posicionado.
5° porque:
Por que o filtro do sistema de lubrificação está mal posicionado?
Porque houve uma falha de projeto. Reavaliar o projeto e realocar o filtro evitará
o ressurgimento do problema, sendo portanto a causa básica (falha de projeto).
Esta máquina não está produzindo o número previsto de peças
1° porque:
Por que a máquina não está produzindo a quantidade esperada?
Porque a eficiência do processo é baixa.
2° porque:
Por que a eficiência do processo é baixa?
Porque há perda de tempo no ciclo do processo.
3° porque:
Por que há perda de tempo no ciclo do processo?
Porque há demora no carregamento das peças.
4° porque:
Por que há demora no carregamento das peças?
Porque o operador da máquina tem que caminhar 5 metros para apanhar novas
peças para reposição.
5° porque:
Por que o operador da máquina tem que caminhar 5 metros?
Porque o layout está inadequado. Rever o layout de modo que as peças a serem
repostas fiquem mais próximas da máquina aumentará a eficiência do processo,
sendo esta portanto a causa básica (layout inadequado)
Técnicas de Análise de Risco – melhorias nos 5 porquês
Um meio proposto para evitar possíveis desvios da

Causa Básica seria percorrer o caminho inverso,
colocando a palavra “portanto” (em Inglês,
therefore) neste caminho.
Técnicas de Análise de Risco – melhorias nos 5 porquês
Falta de Manut. Preventiva portanto Filtro de ar sujo???

O primeiro passo pode revelar uma inconsistência:
E se a captação estiver em área com poeira e particulados em
excesso? Isto apenas obrigaria a mais intervenções preventivas, e
maior custo. A posição da entrada de ar poderia ser a causa
básica. Isto poderia ser aventado no “por quê?”, porém se não o
fosse, certamente o “portanto” chamaria mais a atenção para a
equivocada identificação.
Técnicas de Análise de Risco – diagrama de Ishikawa
Diagrama de Ishikawa: também chamado de diagrama de causa e efeito, ou diagrama

espinha de peixe. Busca, a partir de um risco específico, identificar a causa básica
através de um diagrama, categorizando as possíveis causas dentre os chamados “6
M’s”: Máquina, Material, Meio ambiente, Método, Mão de Obra, Medida. Portanto, é
também uma ferramenta adequada para a Identificação de Causas Básicas para riscos
específicos.
Diagrama de Ishikawa, diagrama de causa e efeito, ou espinha de peixe
O diagrama de Ishikawa, desenvolvido pelo engenheiro químico Kaoru Ishikawa em

1943, foi incorporado à escola japonesa de desenvolvimento do conceito da
qualidade, e seu uso foi consagrado em todo mundo corporativo e industrial.
Basicamente, busca a identificação da causa básica de um problema, através da
decomposição em suas possíveis causas, através da análise de todos os fatores que
possam ter originado o problema.
Neste processo de desenvolvimento, a estrutura criada se assemelha a uma espinha
de peixe, o que levou a este nome alternativo.
Construção do Diagrama
Primeiro passo:
Pode ser utilizado um brainstorm, onde as possíveis causas são agrupadas em 6M:
• Método
• Medida
• Mão de Obra
• Material
• Máquina
• Meio Ambiente (não necessariamente no sentido usual, mas no sentido de
ambiente no qual está inserido o problema)
Alguns autores atualmente acrescentam um sétimo M, que não teria uma
tradução em Português com M, que seria o Gerenciamento (Management).
Construção do Diagrama
O diagrama facilita elencar as causas, e a partir daí faz-se a análise para identificar a(s)
causa(s) básica(s), ou seja, aquelas, as quais uma vez eliminadas, evitariam a
recorrência do problema.
A grande vantagem do Diagrama de Ishikawa é a sua simplicidade, a facilidade
construtiva, a rápida identificação de causas para o problema analisado. Kaoru Ishikawa
tinha o entendimento de que 95% dos problemas poderiam ser solucionados através do
uso deste diagrama, o que se evidenciou com a prática, e levou à consagração da
ferramenta como uma das 7 Ferramentas da Qualidade.
Técnicas de Análise de Risco – FMEA/FMECA
Lembra quando a Samsung teve que fazer o recall do telefone Galaxy Note 7 porque
ele continuava explodindo? Eles acabaram dedicando 700 engenheiros e
construindo uma instalação inteira só para resolver esse problema. No total,
estima-se que o fiasco custe entre US$ 10 e US$ 17 bilhões.
Você pode imaginar o quão melhor seria a Samsung se eles tivessem testado uma
falha como essa antes de lançar o produto? FMEA é uma ferramenta de análise
para este tipo de situação.
FMEA / FMECA (Análise de Modos de Falha e Efeitos / Análise de Modos de Falha,

Criticidade e Efeitos): estas ferramentas são aplicáveis para a Identificação de Causas
Básicas para riscos genéricos em componentes de um sistema (ou seja, o sistema é
analisado a partir de seus componentes), e para cada um dos riscos tratados, busca-se
identificar ações preventivas ou corretivas, como Propostas de medidas para diminuir
os riscos.
FMEA e FMECA – introdução
Na realidade, são duas técnicas totalmente similares. Costumamos dizer,

corretamente, que FMECA = FMEA + criticalidade. Esta técnica foi desenvolvida em
1949 no âmbito militar norte-americano, depois foi incorporada pela NASA em 1960, e
a partir de 1988 passou a ser intensamente utilizada na indústria, começando pela
indústria automotiva, a qual começava a ser desafiada pela concorrência japonesa.
FMEA/FMECA é uma técnica de análise desenvolvida para ser aplicada principalmente

a componentes físicos (hardware), com o objetivo de identificar em cada um dos
componentes do sistema seus potenciais modos de falha, e avaliar os efeitos que estas
falhas possam acarretar nos demais componentes e sobre o sistema (unidade fabril,
equipamento, instalação, etc.). É uma forma de documentar de forma organizada e
sistêmica os modos de falha e seus efeitos (e criticalidade).
FMEA e FMECA – inputs para a elaboração da análise
Item – designa qualquer parte, sistema ou subsistema que possa ser analisado
individualmente.
Componente – elemento que constitui um item.
Função – é toda e qualquer atividade que o item desempenha, do ponto de vista
operacional, descrito como verbo + substantivo. Por exemplo, caneta: armazenar tinta,
escrever texto.
Modos de falha – exemplos
Falha durante a operação
Falha em entrar em ação quando necessário
Falha em parar sua atuação quando requerido
Efeitos da falha – exemplo
Efeito – motor não dá partida
Modo de falha – falha de um componente eletrônico
Causa – microprocessador com defeito
Causa – aqui se busca a causa básica, ou seja, processo químico ou físico, defeito de
projeto ou qualidade, uso indevido ou outro processo que acarrete a falha, ou dê início
ao processo que gera a falha. Causa básica, a qual removida cessa o risco de falha.
Severidade – como este é um critério subjetivo, há uma tabela para facilitar a
atribuição de pontuação:
Marginal – falha sem efeito perceptível no sistema; não seria notado pelo cliente.
Pontuação: 1
Baixa – falha com pequenos transtornos, pequenas variações de desempenho.
Pontuação: 2 ou 3
Moderada – falha ocasionaria insatisfação razoável do cliente, e nota-se
deterioração no sistema. Pontuação: 4 a 6
Alta: alto grau de insatisfação do cliente. Sistema não operacional, falha ainda não
envolve riscos à segurança operacional ou não cumprimento de exigências legais.
Pontuação: 7 ou 8
Muito alta: falha envolve riscos à segurança operacional e/ou
não atendimento de requisitos legais. Pontuação: 9 ou 10
Probabilidade – é uma estimativa da probabilidade de ocorrência da falha,
exemplificada na tabela a seguir:
Modos de detecção – medidas de controle implementadas no projeto ou no
acompanhamento do processo, que auxiliem a detecção de falhas: controle estatístico
de processo, técnicas de inspeção, etc.
Detecção – é a estimativa da possibilidade de detecção da falha, conforme tabela a
seguir:
RPN – Risk Priority Number: é o produto da Severidade x Probabilidade x Detecção.

Usualmente, seguem se os valores:
RPN < 125 Aceitável
125 ≤ RPN ≤ 200 Redução desejável
RPN > 200 Inaceitável
FMEA e FMECA – ações para reduzir os riscos
Reduzir a severidade:
Dispositivos de segurança
Limitar a capacidade
Uso de tecnologias diferentes
Melhorar a prevenção:
Maiores coeficientes de segurança
Sistemas em paralelo (stand-by)
Análise de tensões
Aumentar a detecção:
Mais ensaios
Mais inspeção
Monitoramento online
Técnicas de Análise de Risco – HAZOP
HAZOP (Hazard Operability): apesar da metodologia diferente da ferramenta

FMEA/FMECA, algumas características são similares: é também uma ferramenta
utilizada para a Identificação de Causas Básicas para riscos genéricos ao longo de um
processo, e para cada um dos riscos identificados, são Propostas de medidas para
diminuir os riscos. Enquanto FMEA/FMECA são tipicamente utilizados para
equipamentos, o HAZOP é mais utilizado em processo (o próprio nome já caracteriza
este viés, ao mencionar “operabilidade”).
Algumas das ferramentas de análise de risco partem de um problema identificado e

procuram chegar às causas (por exemplo, os “5 porquês”). Outras ferramentas buscam
evitar que medidas preventivas, corretivas ou mitigadoras dos riscos ou consequências
deixem de ser aplicadas (por exemplo, “Checklists”).
Algumas ferramentas buscam identificar os cenários de riscos possíveis (tais como
“What if” e “Análise Preliminar de Perigos”). Ainda que muito úteis, estas ferramentas
dependem fundamentalmente da experiência anterior dos envolvidos, da criatividade
e do alcance do desenvolvimento de cenários.
Uma das principais vantagens do HAZOP é sua abrangência, devido ao fato de ser um
procedimento estruturado e sistemático, o que o leva a ser a escolha mais utilizada na
análise de riscos em indústrias de processo.
É importante entender o que significam as palavras “estruturado e sistemático”,

utilizadas na conceituação do HAZOP. Para desenvolver o HAZOP, é imprescindível
dispor dos Fluxogramas de Engenharia – P&ID (Piping & Instrumentation Diagrams –
Diagramas de Tubulação e Instrumentação).
A unidade a ser analisada é dividida em sistemas e subsistemas, e para cada um destes

sistemas, são marcados pontos para análise do processo, denominados nós (study-
nodes) – tipicamente, os pontos escolhidos são entradas e saídas de equipamentos, e
pontos de interseção de tubulações.
Em cada nó, são avaliadas as possíveis variações dos parâmetros de
processo (temperatura, vazão, pressão, nível, etc.), com o auxílio de palavras-
guia (alto, baixo, nenhum, reverso, etc.) para levantar possíveis questões:
– O que ocorreria se a pressão fosse muito alta?
– O que ocorreria se houvesse fluxo reverso?
– O que ocorreria se a vazão fosse nula?
Evidentemente, para poder definir as consequências, causas e medidas de prevenção,
correção, contenção ou mitigação, é necessária uma equipe de especialistas, dentre os
quais se sugere:
• Líder da equipe (facilitador, com conhecimento da técnica HAZOP)
• Gerente do Projeto ou da Planta (pessoa com poder decisório – eventualmente, se
tiver conhecimento da técnica, pode ser o líder da equipe)
• Engenheiro de processo (conhecedor do processo)
• Engenheiro de automação e controle (conhecedor dos sistemas e da
instrumentação)
• Engenheiro de manutenção
• outros especialistas podem ser agregados, conforme a especificidade da unidade
sendo analisada.
Palavras Guia:
Parâmetros:
A saída do processo HAZOP é uma tabela similar a que se obtém na Análise Preliminar
de Perigos, posto que a diferença está em COMO identificar os possíveis riscos.
Então, para cada nó, identificado na planilha (por exemplo, entrada do reator R-2307,
saída da bomba B-378, etc.), teremos:
• Identificação dos desvios de processo
• Possíveis causas básicas dos desvios
• Possíveis impactos dos desvios
• Formas de detecção dos desvios
• Proposição de medidas corretivas, preventivas ou mitigadoras
A seguir, vemos um exemplo hipotético, em que o Parâmetro Temperatura é analisado
em um nó do sistema:
Vantagens:
• Útil ao enfrentar perigos difíceis de quantificar:
• Perigos Enraizados no Comportamento e Desempenho Humano
• Perigos que são difíceis de detectar, analisar, isolar, contar, prever, etc.
• A metodologia não exige que você qualifique ou meça explicitamente a
probabilidade de ocorrência de desvio, a gravidade do impacto ou a capacidade
de detectar
• Metodologia de brainstorming integrada
• Metodologia sistemática e completa
• Mais simples e intuitivo do que outras ferramentas de gerenciamento de risco
comumente usadas
Desvantagens
• Não há meios para avaliar perigos envolvendo interações entre diferentes partes
de um sistema ou processo
• Sem classificação de risco ou capacidade de priorização (as equipes podem
adicionar opcionalmente essa capacidade conforme necessário)
• Não há meios para avaliar a eficácia dos controles existentes ou propostos
(salvaguardas) - pode ser necessário fazer a interface do HAZOP com outras
ferramentas de gerenciamento de risco para essa finalidade
Incêndio CAPECO
O incêndio na refinaria de petróleo de Cataño em 2009 foi um incêndio que
começou com uma explosão em 23 de outubro de 2009 e foi extinto em 25 de
outubro na refinaria e depósito de petróleo da Caribbean Petroleum Corporation
(CAPECO) em Bayamón, Porto Rico.
A explosão inicial destruiu onze tanques de armazenamento na instalação, mas
rapidamente se espalhou para outros tanques próximos. Os tanques continham
gasolina, combustível de aviação e diesel. A explosão resultante foi medida como
equivalente a um terremoto de magnitude 2,8 na escala de magnitude Richter.
A explosão causou a liberação de 110.000 m3 de óleo nos corpos d'água vizinhos da
Baía de San Juan, causando a morte de animais selvagens e um grande impacto na
saúde da população.
Incêndio CAPECO
Os cinco trabalhadores que estavam na fábrica no momento conseguiram escapar a
tempo. Vários motoristas ficaram feridos quando a explosão quebrou as janelas de
seus carros, duas pessoas sofreram ferimentos leves em Fort Buchanan, do Exército
dos EUA, e outras quatro procuraram ajuda por problemas respiratórios.
Para evitar novas explosões, os bombeiros tentaram resfriar os tanques restantes
para evitar que explodissem. Além disso, dezenas de caminhões de combustível
estavam sendo removidos da área. Devido à nuvem de fumaça, as autoridades
evacuaram várias comunidades a favor do vento.
Incêndio CAPECO
Na explosão da CAPECO, o tanque principal de armazenamento de gasolina estava
cheio, então um carregamento adicional de gasolina teve que ser armazenado em
quatro tanques menores usando um processo altamente manual. Um dos tanques
tinha um transmissor de nível quebrado, então o "tempo de enchimento" foi
calculado manualmente e infelizmente superestimado. O tanque de fluido encheu
demais e criou uma nuvem de vapor de gasolina, que encontrou uma faísca e
explodiu prontamente.
Assista ao vídeo aqui: https://www.youtube.com/watch?v=41QMaJqxqIo e o
relatório do incidente aqui: https://www.csb.gov/file.aspx?DocumentId=5965
Incêndio CAPECO
Com base na figura em sequência, vamos fazer um HAZOP para esta explosão.
Considere um regime permanente onde a gasolina é transferida do navio-tanque
para o tanque 409 através de uma válvula de bloqueio X1. A bomba Y1 estava
operando e transferindo líquido do tanque 409. Para monitorar o tanque 409, um
medidor de nível e um transmissor de nível são instalados.
Incêndio CAPECO
Considere os parâmetros Fluxo e Nível, e as palavras-guia Não, Mais, Menos, para
identificar variações, possíveis causas e consequências.
Incêndio CAPECO
https://www.csb.gov/file.aspx?DocumentId=5965
Técnicas de Análise de Risco – Árvore de Falhas (FTA)
Árvore de Falhas (FTA – Failure Tree Analysis): esta ferramenta tem uma estrutura
oposta à da ferramenta FMEA/FMECA, porque parte de um evento topo (top down),
em um processo dedutivo (por que aconteceu?), buscando identificar a(s) causa(s)
básica(s), inclusive identificando, através de diagramação lógica e álgebra booleana, a
interdependência entra possíveis causas.
Um tanque contendo determinado produto perigoso é
protegido contra derramamento de produto por excesso
de volume no tanque por um sistema de boia que aciona
um interruptor S, o qual aciona uma bomba P para
drenar o produto excedente para local seguro. É
premissa de que o fornecimento de energia para a
bomba seja absolutamente confiável. Adicionalmente,
um alarme X é acionado na casa de controle, alertando
os operadores a acionarem manualmente um dreno D,
caso a bomba falhe. Admitamos que tanto o uso da
bomba como a drenagem controlem adequadamente o
nível, não permitindo extravasamento do produto.
Como a álgebra booleana se baseia na teoria dos
conjuntos, vamos utilizar o símbolo + (soma) como
representando a união de dois conjuntos, e o
símbolo . (produto) como a interseção de dois
conjuntos. Desta forma, fica mais fácil entender as
regras básicas da álgebra booleana:
A+A = A (a união de um conjunto com ele mesmo, é
o próprio conjunto, equivale a A ∪ A = A )
A.A = A (a interseção de um conjunto com ele
mesmo, é o próprio conjunto, equivale a A ∩A = A )
A+AB = A (AB é um subconjunto de A; a união de
um conjunto com um de seus subconjuntos é o
próprio conjunto, equivale a A ∪ (A ∩ B) = A
A+B.(A+D+C) = A+AB+BD+BC
porém, A+AB = A, logo:
A+BD+BC, portanto, o extravasamento ocorre se:
A: o interruptor S falha
Ou
BD: a bomba P falha E o alarme falha
Ou
BC: a bomba P falha E o dreno D falha
Vantagens:
Avalia falhas múltiplas.
Pode ser configurado para eventos positivos (não acidentes).
Permite uma análise quantitativa.
Tem representação gráfica, a qual permite melhor entendimento do
processo.
Desvantagens:
É trabalhoso.
Exige treinamento.
Não considera falhas parciais (ou está OK, ou falha)
Pode se tornar muito complexo, a ponto de necessitar de
tratamento informatizado.
Técnicas de Análise de Risco – Árvore de Eventos (ETA)
Uma análise de árvore de eventos (ETA – do Inglês, Event Tree Analysis) é um

procedimento indutivo, bottom-up, que mostra todos os resultados possíveis advindos
de um evento iniciador, acidental, e avalia quais impactos podem decorrer deste
evento.
Ao estudar todos os eventos acidentais relevantes (que foram identificados por uma
análise preliminar de perigos, um HAZOP ou alguma outra técnica), o ETA pode ser
usado para identificar todos os cenários e sequências de acidentes potenciais em um
sistema complexo. As debilidades do projeto e do procedimento podem ser
identificadas e as probabilidades dos vários resultados de um evento acidental podem
ser determinadas.
Cada evento “SEMPRE”

é desdobrado em
Verdadeiro ou Falso.
EVENTUALMENTE, pode haver mais alternativas além de Verdadeiro ou Falso:

Vantagens:
• Visualiza cadeias de eventos após um evento acidental
• Visualiza barreiras e sequência de ativação
• Boa base para avaliar a necessidade de procedimentos e funções de segurança
novos/melhorados
Desvantagens:
• Nenhum padrão para a representação gráfica da árvore de eventos
• Apenas um evento iniciador pode ser estudado em cada análise
• Fácil de ignorar dependências sutis do sistema
• Não é adequado para lidar com falhas de causa comum nas análises quantitativas
• A árvore de eventos não mostra atos de omissão
Técnicas de Análise de Risco – Bowtie
A metodologia de Gestão de Riscos HEMP – Hazard, Effect and Management

Process, comumente chamada de BOWTIE, devido semelhança gráfica com uma
gravata borboleta, foi desenvolvida pela SHELL nos anos 90.
Sequência da metodologia:
• Risco a ser analisado = evento (centro do diagrama)

• Identificação de possíveis causas (ameaças) para o risco em análise (similar ao
diagrama causa-efeito)
• Possíveis mecanismos de prevenção e controle
• Criar as ligações Causa-Controle&Prevenção-Evento
• Identificação de possíveis consequências (podem ser utilizadas ferramentas
auxiliares, tais como What-if, Hazop, Análise de árvore de eventos)
• Possíveis barreiras contra a propagação das consequências indesejadas
• Criar as ligações Evento-Barreiras- Consequências
Embria-
guez
Direção
de veículo
Desa-
tenção
Perda do
Controle
Manobra
de 3º
Pista ruim
Má visi-
bilidade
Embria-
guez Controle
policial Direção
de veículo
Desa- Conscien-
tenção tização
Perda do
Controle
Manobra Direção
de 3º defensiva
Pista ruim
Sinali-
zação
Má visi-
bilidade
Embria-
guez Controle Colisão
policial Direção
de veículo
Desa- Conscien- Atropela-
tenção tização mento
Perda do
Controle Feri-
Manobra Direção
mentos
de 3º defensiva
Morte
Pista ruim
Sinali-
zação
Má visi-
bilidade
Embria-
guez Controle Colisão
Seguro
policial Direção
de veículo
Desa- Conscien- Atropela-
tenção tização Sinali- mento
zação
Perda do
Controle Feri-
Manobra Direção
mentos
de 3º defensiva
Airbags
Morte
Pista ruim
Sinali-
zação
Má visi-
bilidade
Método de Mosler
O método de Mosler permite o desdobramento em níveis muito detalhados, então

em primeiro lugar se define qual o risco que se irá avaliar, levando em conta o Bem,
e o Dano.
O Dano pode ser subdividido em aspectos detalhados, tais como Meio Ambiente,
Prejuízo à Marca, Infraestrutura, Equipamentos e Instalações, ou quaisquer
subdivisões que nos interessem avaliar.
Por exemplo, o gestor pode ter interesse em avaliar um vazamento de produto do

ponto de vista reputação da empresa (Prejuízo à Marca), assim como Meio
Ambiente, e certamente Resultados Financeiros.
Método de Mosler
F – Critério de função
As consequências negativas podem afetar a atividade:

Muito gravemente – 5
Gravemente – 4
Medianamente – 3
Levemente – 2
Muito levemente – 1
Perguntas que podem auxiliar nesta classificação:

Quais os danos econômicos?
Quais os danos às instalações?
Quais os prejuízos aos clientes e empregados?
Método de Mosler
S – Critério de Substituição
Os bens afetados podem ser substituídos:

Muito dificilmente – 5
Dificilmente – 4
Sem grandes problemas – 3
Facilmente – 2
Muito facilmente – 1
Perguntas que podem auxiliar nesta classificação:

Há substitutos para o bem danificado?
Os trabalhos de recuperação serão rápidos?
A produção pode continuar, com este bem danificado?
Método de Mosler
P – Critério de profundidade
A perturbação e os efeitos psicológicos, pelos efeitos na imagem, seriam:

Perturbações muito graves – 5
Perturbações graves – 4
Perturbações limitadas – 3
Perturbações leves – 2
Perturbações muito leves – 1
Perguntas para subsidiar esta avaliação – estas perturbações afetam:

Os empregados?
Os clientes?
O setor?
Método de Mosler
E – Critério de Extensão
O alcance dos danos e prejuízos, conforme sua amplitude e extensão, serão:

De alcance internacional – 5
De alcance nacional – 4
De caráter regional – 3
De caráter local – 2
De caráter individual – 1
Perguntas auxiliares:
Qual o alcance dos danos e prejuízos à imagem da empresa, dos danos
patrimoniais, dos danos de produção?
Método de Mosler
A – Critério de agressão
A probabilidade deste risco se materializar é:

Muito alta – 5
Alta – 4
Média – 3
Baixa – 2
Muito baixa – 1
Perguntas para facilitar esta avaliação:

As instalações estão afastadas de centros urbanos?
A planta lida com produtos tóxicos, inflamáveis, explosivos ou perigosos?
Há contenções para acidentes?
Método de Mosler
V – Critério de Vulnerabilidade
A probabilidade de ocorrerem danos é:

Muito alta – 5
Alta – 4
Normal – 3
Baixa – 2
Muito baixa – 1
Perguntas auxiliares:
Há como criar medidas protetoras ou mitigadoras?
Os bens estão segurados?
Há a possibilidade de auxílio externo, em caso de emergência?
Método de Mosler
As perguntas auxiliares servem para embasamento à pontuação, seguindo
aproximadamente este critério:
Se há uma predominância de respostas negativas às perguntas, o critério seria
pontuado em 4 ou 5. Se há um equilíbrio entre respostas positivas e negativas, o
critério seria pontuado em 3. E, se houver predominância de respostas positivas, a
nota do critério seria 1 ou 2. Obviamente, vale também a percepção do avaliador.
Método de Mosler
Caráter do risco (C)
Importância do evento I = F x S (função x substituição)
Danos ocorridos D = P x E (profundidade x extensão)
Magnitude do risco: C = I + D (importância + danos)
Probabilidade do Risco (Pb):

Pb = A x V (agressão x vulnerabilidade)
Avaliação do risco (ER):

ER = C x Pb (magnitude x probabilidade)
Método de Mosler
Avaliação (ER) Classe do Risco
2 – 250 Muito baixo
251 – 500 Baixo
501 – 750 Médio
751 – 1000 Elevado
1001 – 1250 Muito elevado
Gerenciamento de Alarmes
Layer of Protection Analysis (LOPA)
O Processo é projetado para ser seguro, por isto existem
as malhas, que mantém as variáveis de processo dentro de
certos parâmetros. Caso algo falhe, há o controle manual do
processo, e se alguma variável entrar em uma faixa de risco, há
o alarme, para alertar o operador, e este intervenha. Caso a
intervenção do operador falhe, é acionado o trip, ou seja, o
corte do funcionamento de um equipamento, subsistema ou
sistema, e a partir daí, estando em uma condição anormal de
operação, entra o SIS: Safety Instrumented System.
Caso o SIS não controle a situação, haverá o Incidente, que
pode acionar uma proteção ativa, como por exemplo a abertura
de uma PSV (Pressure Safety Valve), um disco de ruptura. Ou
pode entrar uma proteção passiva, como é o caso do dique de
um tanque, dimensionado para conter todo o volume possível
de um tanque, no caso de uma Perda de Contenção. A partir
daí, com o agravamento da situação, entra-se no estado de
Resposta à Emergência, seja em nível da Planta, ou pior, em
nível da Comunidade.
A falta de alarmes é preocupante, não deve ocorrer. No entanto, a superabundância de
alarmes é o outro lado da moeda, que também é prejudicial. O operador, ou os
operadores, tem uma limitação na capacidade de captar, distinguir, definir quais ações
tomar. Logo, uma parafernália de alarmes só vai prejudicar as respostas ao evento,
principalmente levando em conta que o alarme coloca a pessoa em estado de alerta e
tensão. Ou então, o que pode ser pior, o operador passa a ignorar os alarmes.
A EEMUA 191 (Engineering Equipment Material Users Association) estabelece como
benchmark menos de um alarme/10 minutos/operador:
Características adequadas para um alarme:
Relevante: não deve haver alarmes para baixos riscos operacionais;

Único: não deve haver duplicidade de alarmes;
Oportuno: não deve alarmar antes de que alguma ação seja requerida, nem quando
seja tarde demais;
Priorizado: deve sinalizar ao operador a importância do problema:
Inteligível: deve haver uma mensagem clara e fácil de entender:
Diagnóstico: deve identificar o problema que ocorreu:
Orientador: deve indicar a ação a ser tomada;
Focado: deve chamar a atenção para as questões mais importantes.
Gerenciamento de Alarmes – queijo suíço
•A planta está relativamente instável. O turno (de 12 horas) está chegando ao
fim. Operacional
•Um tanque contendo material quente atinge nível demasiado alto. Processo
•Um sistema de intertravamento está desabilitado para troca de um instrumento e não
foi reativado. Gestão de Mudanças
•O operador não se atenta para o alarme pois está sobrecarregado e há diversos
alarmes sinalizados. Gerenciamento de Alarmes
•Os atuadores de segurança para desligar a bomba de carga do tanque não haviam sido
testadas por dois anos e falham. Manutenção
•O tanque transborda, com operadores nas adjacências. Incidente
Segurança Inerente (Trevor Kletz)
As práticas tradicionais de segurança buscam reduzir os riscos diminuindo a
probabilidade de um incidente e/ou mitigando as consequências de um incidente.
Apesar de importantes e geralmente eficazes, estas práticas atuam mais no controle do
que na eliminação do risco.
O conceito de um processo com Segurança Inerente é ter um baixo nível de perigo
MESMO quando as coisas NÃO dão certo. Evitar riscos, ao invés de controlá-los. Como
uma condição perfeita de segurança não é possível, busca-se a Segurança Inerente.
Isto pode ser obtido, por exemplo:
• Uso de materiais inofensivos e seguros
• Uso de baixos inventários de materiais perigosos, de forma que eventuais perdas ou
vazamentos não prejudiquem pessoas, instalações e o meio ambiente
• Materiais perigosos armazenados de forma a não causar riscos: diluídos, em
temperaturas e pressões ambientes
Minimizar: Reduzir a quantidade armazenada de materiais perigosos, reduzindo o
tamanho das bateladas. Kletz escreveu um artigo em 1978 intitulado: “What you don’t
have, can’t leak” (aquilo que você não possui, não pode vazar).
Substituir: Substituir um material por outro de menor risco, por exemplo, usar água e
detergente para limpeza, ao invés de um solvente inflamável. Há que avaliar possíveis
outros efeitos do produto substituto. Por exemplo, o detergente poderia ter impacto no
meio ambiente, ao ser descartado, ou ser cancerígeno.
Moderar: Reduzir a força dos efeitos, por exemplo, usar líquidos em baixas
temperaturas, em vez de um gás a alta pressão, ou utilizando um material diluído, em
vez de forma concentrada. Por exemplo, estocar cloro e amônia em baixas pressões, em
ambientes refrigerados, diminui a possibilidade de vazamentos quando comparado com
o armazenamento em alta pressão a temperatura ambiente.
Simplificar: Simplificação de processos (há uma VIP – Value Improvement Practice, que
contempla este aspecto). Plantas mais simples são mais seguras do que plantas
complexas pois apresentam menos oportunidades de erro operacional e menos
equipamentos que podem potencialmente falhar. Eliminar problemas simplificando o
projeto, ao invés de agregar mais mecanismos de controle.
Tolerância ao erro: Dimensionar equipamentos e processos para que suportem
condições fora de projeto, decorrentes de erros operacionais ou falhas de processo (por
exemplo, tubulações e equipamentos dimensionados para suportar a máxima pressão
admissível do processo).
Limitar os efeitos de projeto: localização ou transporte de equipamentos para que a

pior condição possível produza menos perigo, por exemplo, em caso de vazamento, o
escoamento por gravidade escoa o produto para um lugar seguro, utilizar barreiras de
contenção.
Auditorias Comportamentais
Pirâmide de Bird
Fatalidade
1
Acidente com
10 afastamento
Acidente sem
30 afastamento
Incidentes
600
Pirâmide de Bird
Fatalidade - Um trabalhador cai do andaime e vai a óbito

Acidente com afastamento - Um trabalhador cai do andaime e quebra a
perna, ficando dois meses afastado das
atividades laborais
Acidente sem afastamento - Um trabalhador cai do andaime, felizmente
sem nenhum ferimento, ou no máximo, um
arranhão, tratado com um curativo na
enfermaria
Incidente - Um trabalhador quase cai do andaime,
conseguindo se segurar à estrutura
Pirâmide de Bird
Fatalidade
1
Acidente com
10 afastamento
Acidente sem
30 afastamento
Incidentes
600
Pirâmide de Bird
Fatalidade - Um trabalhador cai do andaime e vai a óbito
Acidente com afastamento - Um trabalhador cai do andaime e quebra a
perna, ficando dois meses afastado das
atividades laborais
Acidente sem afastamento - Um trabalhador cai do andaime, felizmente
sem nenhum ferimento, ou no máximo, um
arranhão, tratado com um curativo na
enfermaria
Incidente - Um trabalhador quase cai do andaime,
conseguindo se segurar à estrutura
Desvio - Um andaime sem guarda-corpo adequado

Pirâmide de Bird
Fatalidade
1
Acidente com
10 afastamento
Acidente sem
30 afastamento
Incidentes
600
Desvios
30.000
Hierarquia de Controles
Eliminação – elimine os riscos potenciais. Redefinir o trabalho, substituir um
equipamento, deixar de utilizar uma substância.
A não utilização de compostos de chumbo para aumentar a octanagem da gasolina
evita a exposição dos frentistas de postos de gasolina a este produto, assim como
toda a população, através da poluição.
A eliminação do jato de areia seco ou úmido para a preparação de superfícies para
pintura elimina as causas da silicose entre os trabalhadores nesta atividade.
Ascarel era utilizado como óleo isolante em transformadores, mas é um agente
cancerígeno. Hoje em dia seu uso está proibido em novos equipamentos, mas ainda
está presente em transformadores e casa de força antigas.
Se não for viável a Eliminação...
Substituição – substitua o equipamento, ferramenta ou material por um
equivalente que ofereça menores perigos. Cuidado com a eventual introdução de
novos perigos.
No exemplo do jato de areia seco, o primeiro passo foi a substituição do processo
existente (jato de areia seco) pelo jato de areia úmido, que dispersa menos a sílica.
Em laboratórios, benzeno era muito utilizado como solvente, mas é muito tóxico e
carcinogênico. Atualmente se usa o tolueno, que tem propriedades similares como
solvente, mas é menos tóxico, mas não é considerado carcinogênico, ainda que
possa acarretar danos neurológicos.
Se não for viável a Substituição...
Isolação – isole o equipamento, ferramenta ou substância, evitando a proximidade
de pessoas ao perigo.
Restringir o acesso de pessoas a determinados equipamentos, fazendo com que
seja operado remotamente.
Colocar isolamento acústico ao redor de equipamentos com alto nível de ruído.
Procedimentos de identificação de equipamentos em manutenção: LOTO (Lock-Out,
Tag-Out = Bloquear, identificar), LIBRA (Liberação, Isolamento, Bloqueio,
Raqueteamento e Aviso)
Se não for viável a Isolação...
Engenharia – reprojete o sistema ou o processo de forma a proteger ou afastar o
operador e demais trabalhadores do risco.
Projetar uma cabine de pintura com exaustão, para minimizar a exposição do
trabalhador.
Em máquinas de corte ou similares, em que acidentes com as mãos são frequentes,
o sistema de operação pode ser projetado de forma a exigir o uso das duas mãos,
como forma de assegurar que o trabalhador não esteja colocando a mão em risco.
Intertravamento, onde a falta de um sistema impede a operação do equipamento, é
também um controle de engenharia.
Sistemas de descarte de catalisador de reatores inertizados, sem necessidade de
acesso de pessoal ao interior, são controles de engenharia.
Se não for viável a Engenharia...
Administração – estabeleça procedimentos e rotinas para assegurar práticas
seguras de trabalho.
Treinamento de pessoal, uso de checklists, permissão de trabalho, sinalização de
riscos na área, proibição do uso de telefones celulares na área industrial, Auditorias
Comportamentais são exemplos de controles administrativos, para aumentar a
segurança.
Além da ação de Administração...
EPI (Equipamento de proteção Individual) – apesar de serem a parte mais visível
pelo público em geral, o uso de EPI’s é na realidade a última linha de defesa para o
trabalhador.
Evidentemente, os EPI’s adequados DEVEM ser utilizados nas frentes de trabalho,
porém a obrigatoriedade de seu uso NÃO desobriga o Gestor ou o responsável pela
área de SMS a buscar implementar os controles antes descritos.
Curva de Bradley (DuPont)
Estágio Reativo (Instinto Natural)
É o estágio inicial, sem conscientização da importância dos valores da
Segurança, quando as pessoas não assumem responsabilidade, e acreditam
que a Segurança é uma questão de sorte. É corrente a visão de que
“acidentes acontecem”. Este termo me remete a uma lembrança de infância,
quando meu saudoso pai, Oscar Stonner, dono de uma indústria de
equipamentos contra incêndios em Belo Horizonte, fez uma campanha de
segurança (isto foi por volta de 1962…eu tinha cerca de 8 anos!) que tinha
como mote: “Acidentes não acontecem, são provocados”. Esta frase ficou na
minha memória durante todo este tempo, e foi reavivada quando comecei a
trabalhar na Petrobras, e ter uma visão e comprometimento com a
Segurança.
Estágio Dependente (Supervisão)

São conhecidas, reconhecidas e obedecidas as regras e normas de
segurança. Prevalece o entendimento de que haverá Segurança se as
pessoas seguirem as regras. É ainda, como o estágio anterior, uma fase
reativa, ainda que de fato as taxas de acidentes decrescem.
Estágio Independente (Indivíduo)

As pessoas não dependem apenas da supervisão do pessoal de
segurança, pois assumem responsabilidades para si próprias. Sabem
que a segurança é pessoal, não são os técnicos e engenheiros de
segurança os responsáveis. Cada um tem sua própria responsabilidade.
A taxa de acidentes decresce ainda mais.
Estágio Interdependente (Equipes)

Mais do que assumir para si próprias as responsabilidades pela segurança, as
pessoas se sentem donas da segurança, e compartilham responsabilidades
com o grupo. Não são aceitos baixos padrões de segurança, conversam
ativamente, debatem aspectos de segurança. Entendem que a sinergia de
pensamentos e ações voltadas para a Segurança leva ao aprimoramento.
Acreditam que a ausência de acidentes é uma meta viável, e entendem que
Segurança não é obstáculo para a produtividade, pelo contrário, um ambiente
seguro reflete maior produtividade, qualidade e maiores lucros.

RCA Port 2

Enviado por

Dados do documento

Título original

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

RCA Port 2

Enviado por

Direitos autorais:

Formatos disponíveis

Análise de Causa Raíz (RCA)

Em sentido amplo, a Análise de Risco visa responder às seguintes questões em

I) O que pode acontecer de indesejável?

Em 14 de dezembro de 1982, quatro homens da tripulação de Farmsun, no

Há dificuldade em esvaziar a água do porão 6. Uma verificação permite

Na realidade, o que ele não percebeu é que o esvaziamento do porão 4 não

Por exemplo, as consequências de um desastre aéreo são maiores do que em um

Risco: o risco decorrente de uma determinada atividade pode ser entendido

Atividade Risco Individual (ano-1)

Pouca participação da equipe

Diversos fatores podem contribuir para isto. A responsabilidade de encontrar uma

Não utilização de ferramentas e técnicas

Apesar de haver inúmeras ferramentas e técnicas para ajudar na resolução de

Adequadas técnicas e ferramentas auxiliam na solução de problemas, e devem ser

Falta de dados consistentes

Muitas pessoas confundem dados com informação. Informação significa os dados

Falta de dados consistentes

Não identificação da causa básica

“Uma técnica de obtenção de dados usada para obter o consenso de um grupo de

Anonimato dos participantes – ao contrário do Brainstorm, que é presencial e

Fluxo de informações estruturado – mais uma vez, ao contrário do brainstorm, em

Feedback regular – como as respostas são coligidas em um documento único, que

As técnicas dedutivas partem do perigo, aspecto ambiental ou desvio de processo

A Critical Analysis of Techniques for the Reconstruction of Workers Accidents

A Critical Analysis of Techniques for the Reconstruction of Workers Accidents

Todos os eventos anteriores ao representado pelo triângulo # 1 mostram que todas

Esta caldeira era uma caldeira aquatubular, com economizador e superaquecedor,

Seus queimadores tinham um sistema de injeção que permitia a queima de até 8

Durante o turno noturno de 9 de dezembro de 2000, três pessoas estavam tentando

Investigações posteriores ao acidente evidenciaram que a equipe de partida teve

As válvulas de bloqueio a montante e a jusante da válvula principal (FCV) estavam

Todos os operadores tinham passado por um treinamento de 8 meses, o qual

•Não cumprimento de procedimentos

A ferramenta What-if é uma técnica qualitativa, normalmente utilizada na fase inicial

Usos mais comuns

Geralmente aplicável para quase todos os tipos de aplicativos de avaliação de risco,

Ocasionalmente usado sozinho, porém mais frequentemente usado para

Um motor elétrico e bomba (sistema A) opera em

Probabilidade Severidade Recomendações

Análise Preliminar de Perigos: identificados os riscos, de forma genérica, muitas vezes

Seu principal objetivo é reconhecer antecipadamente os riscos potenciais. É uma

Evento Causas Possíveis Avaliação do Risco Medidas preventi-

Incêndio Vazamento + Produtos em C IV 4 Apagar fornos com

Matriz de Risco: cada situação de risco tem possíveis consequências, e probabilidade

Modelos verbais para Probabilidade (frequência):

A – extremamente remoto (nunca ouvi falar)

Checklists: identificados os riscos, avaliadas as medidas corretivas, preventivas,

A ferramenta se popularizou devido alguns benefícios imediatos:

A ferramenta se popularizou devido alguns benefícios imediatos:

Um meio proposto para evitar possíveis desvios da

Falta de Manut. Preventiva portanto Filtro de ar sujo???

Diagrama de Ishikawa: também chamado de diagrama de causa e efeito, ou diagrama

O diagrama de Ishikawa, desenvolvido pelo engenheiro químico Kaoru Ishikawa em

FMEA / FMECA (Análise de Modos de Falha e Efeitos / Análise de Modos de Falha,

Na realidade, são duas técnicas totalmente similares. Costumamos dizer,

FMEA/FMECA é uma técnica de análise desenvolvida para ser aplicada principalmente

RPN – Risk Priority Number: é o produto da Severidade x Probabilidade x Detecção.

HAZOP (Hazard Operability): apesar da metodologia diferente da ferramenta

Algumas das ferramentas de análise de risco partem de um problema identificado e

É importante entender o que significam as palavras “estruturado e sistemático”,

A unidade a ser analisada é dividida em sistemas e subsistemas, e para cada um destes

Uma análise de árvore de eventos (ETA – do Inglês, Event Tree Analysis) é um

Cada evento “SEMPRE”