Acidente de trabalho na linha de produção: como controlar a crise e não agravar a responsabilidade após a modificação da máquina

Um acidente numa linha de produção deixa muito rapidamente de ser apenas uma ocorrência de segurança e saúde no trabalho. Na prática, transforma-se também num teste à maturidade técnica da fábrica, à qualidade da gestão da mudança e à completude da documentação da máquina. O rumo que o caso toma raramente é determinado pelo momento da lesão em si. Na maioria das vezes, o fator decisivo é aquilo que a empresa consegue demonstrar algumas horas e alguns dias depois: qual era o estado da máquina, quem introduziu alterações e com base em quê, se os vestígios técnicos foram preservados e se os documentos descrevem efetivamente a configuração que estava em funcionamento no momento da ocorrência.

Isto também tem relevância prática quando a máquina ou a linha de produção foi anteriormente modificada. Após o acidente, volta a colocar-se a questão de saber se ainda se tratava de uma reparação ou de um ajuste operacional, ou se já era uma modificação substancial, que desloca o utilizador para um nível de responsabilidade mais próximo do fabricante. Na mesma perspetiva, é necessário avaliar as auditorias aos requisitos mínimos, as declarações UE de conformidade, os manuais de instruções e toda a documentação técnica, caso a empresa tenha efetivamente definido a solução técnica. Por isso, o procedimento de gestão de crise não pode limitar-se à simples preservação do local da ocorrência. Tem de conduzir a uma resposta clara: se a organização controla o estado técnico, a documentação e as decisões que levaram ao funcionamento da máquina naquela configuração.

As primeiras horas após a ocorrência

Nas primeiras horas após o acidente, o mais importante é identificar corretamente o problema. A empresa já não está apenas perante uma avaria nem apenas perante um processo de investigação do acidente. Está, ao mesmo tempo, perante uma crise técnica, probatória e de gestão. Esta distinção ajuda a definir prioridades: primeiro, a segurança das pessoas e a estabilização do local da ocorrência; depois, a preservação dos vestígios técnicos e dos dados; e só no fim, as decisões sobre a retoma da operação.

Nesta fase, os maiores danos resultam de ações impulsivas. Alguém desloca componentes, faz reset ao sistema de controlo, apaga alarmes, coloca a máquina a funcionar “só para testar” ou tenta reconstruir a sequência dos acontecimentos com base na memória das testemunhas. Entretanto, a informação mais valiosa continua registada no controlador, no painel de operador, nos registos de alarmes, no sistema de visão, nas câmaras e no histórico de acessos à zona. As conclusões posteriores ainda podem ser corrigidas. Já os vestígios técnicos perdidos, regra geral, não podem ser recuperados.

Por isso, na fase inicial, é preciso atuar não como uma equipa de eliminação de avarias, mas como uma equipa que organiza uma investigação técnica. Na prática, isto significa separar funções e travar o caos decisório. Uma pessoa deve ser responsável pela segurança do local da ocorrência e pelo controlo de acessos, outra pela circulação coerente da informação, outra ainda pelo contacto com a assistência técnica do fornecedor, e outra pela salvaguarda da documentação e pela realização de cópias dos dados dos sistemas de controlo e de supervisão. Sem isso, é fácil chegar a uma situação em que a assistência técnica se liga remotamente à máquina e sobrescreve o histórico de falhas, a manutenção repõe a alimentação elétrica e a direção da produção, em paralelo, pressiona para uma retoma parcial da atividade.

O estado encontrado tem o maior valor precisamente antes de o posto ser “arrumado”. Por isso, a máquina deve ser analisada não apenas na perspetiva do dano, mas também da configuração real de segurança e do modo de funcionamento. São relevantes a posição e o estado das proteções, o modo de operação definido nos comutadores, eventuais bypasses das funções de proteção, o estado dos sensores e dos atuadores, os parâmetros de ajuste, o histórico de alterações do programa do controlador, os registos no sistema de manutenção e as últimas intervenções de assistência técnica. Os relatos das testemunhas são necessários, mas têm caráter auxiliar: após a ocorrência, a memória pode ficar fragmentada e distorcida pelo stress.

Do ponto de vista operacional, a resposta à pergunta sobre até onde se pode intervir na máquina após a ocorrência é simples: apenas na medida necessária para salvar pessoas, eliminar o perigo imediato e proteger o local, documentando simultaneamente cada alteração. Qualquer arranque de teste, desmontagem de uma proteção, eliminação de um alarme ou substituição de um componente antes do registo do estado encontrado deve ser tratado como uma decisão de alto risco.

• proteger as pessoas e isolar a zona da ocorrência sem repor o funcionamento da máquina,
• registar o estado encontrado: fotografias, posição dos componentes, indicações dos painéis, alarmes e mensagens,
• fazer cópias dos dados e bloquear o acesso remoto e local que possa sobrescrever o histórico,
• designar um único responsável pela decisão de manter a paragem ou retomar parcialmente a operação.

Só depois desta organização dos factos é possível passar às questões de conformidade e responsabilidade. Nessa altura, já se pode avaliar com rigor se a máquina estava a ser utilizada de acordo com a sua finalidade, se após as modificações foi mantido o nível de segurança exigido, se existem provas atuais da avaliação da conformidade, documentação técnica completa e documentos de utilização correspondentes ao estado real. É também neste momento que se deve decidir se a empresa continua a ser apenas utilizadora ou se, pelo alcance das alterações, já assumiu o papel de entidade responsável pela solução técnica.

Onde o custo e a responsabilidade realmente aumentam

Após um acidente, o peso do risco muitas vezes já não decorre do próprio evento, mas do histórico de decisões técnicas tomadas anteriormente. Na prática, os maiores problemas raramente são causados por uma máquina a operar no estado de fábrica. Muito mais frequentemente, a origem do litígio está num alimentador acrescentado, numa garra substituída, numa lógica de controlo alterada, no bypass de uma proteção, na integração com outro posto ou numa mudança do modo de funcionamento introduzida sob pressão de produtividade. Do ponto de vista da produção, estas intervenções podem parecer racionais. No entanto, depois do acidente, o que conta não é a intenção, mas sim se a organização consegue demonstrar a base de projeto da alteração, o processo de análise de risco da máquina, a seleção das medidas de proteção e quem autorizou a solução para entrada em funcionamento.

É precisamente aqui que surge a questão da modificação substancial. Não se trata de saber quem reparou ou alterou fisicamente a máquina. O essencial é determinar se o âmbito das alterações não foi tão amplo que a empresa deixou de atuar apenas como utilizadora e passou a assumir obrigações próprias da entidade responsável pela solução técnica. Este limite é mais fácil de ignorar quando as alterações estão dispersas entre a manutenção, a automação, a engenharia de processo e a produção, e cada uma delas, isoladamente, parece uma pequena correção. No entanto, o caráter da alteração não é definido pela designação interna que lhe é dada, mas pelo seu impacto real na função da máquina, no modo de controlo, nas zonas perigosas, na sequência de trabalho, nas condições de intervenção humana e nos erros de operação previsíveis.

Na prática, este mecanismo tende a repetir-se. Para reduzir tempos de paragem, altera-se localmente a sequência de movimentos do cilindro, adiciona-se um sensor de presença da peça e permite-se o funcionamento com a proteção aberta em modo de ajuste, porque o operador precisa de ver o processo. Com o tempo, a solução torna-se prática corrente. Quando ocorre um acidente, ninguém consegue indicar com clareza quem aprovou a alteração, que pressupostos de segurança foram adotados, se o funcionamento das funções de proteção foi verificado após a modificação, se o pessoal recebeu formação e se as instruções correspondem ao estado real. Nessa altura, o custo aumenta abruptamente, não apenas porque a linha está parada, mas porque a empresa perde uma base coerente de defesa técnica.

Nestes casos, o que tem valor não são declarações verbais, mas sim os registos da gestão da alteração. Se eles não existirem, cada resposta seguinte torna-se pontual e fácil de contestar.

• pedido de alteração com descrição do objetivo, do âmbito e do impacto na segurança,
• aprovações técnicas e indicação das responsabilidades pela autorização de entrada em funcionamento,
• resultados de testes, receções e verificação das medidas de proteção,
• atualizações das instruções, dos procedimentos de bloqueio de energias e confirmações de formação.

O segundo eixo de risco diz respeito à relação entre os requisitos mínimos aplicáveis às máquinas em utilização e as obrigações que podem surgir após uma reconstrução, integração ou nova colocação em serviço numa configuração alterada. O simples argumento de que a máquina trabalhou durante anos não substitui as evidências de auditorias, verificações de conformidade e avaliação atual da configuração em que hoje é explorada. A declaração UE de conformidade original do fabricante pode continuar a ser relevante, mas não responde automaticamente à questão de saber se, após a reconstrução da linha ou a alteração da lógica de controlo, ainda descreve o estado real. É precisamente por isso que, após um acidente, é necessário determinar com precisão se estamos perante uma reparação ou uma modificação substancial da máquina, e se a análise incide sobre uma máquina individual ou sobre a linha como conjunto de máquinas.

Decisões que organizam a situação

Depois de controlar a ocorrência, não se deve começar por perguntar com que rapidez é possível retomar a produção. Primeiro, é necessário definir segundo que lógica serão tomadas as decisões seguintes. Na prática, isto significa uma revisão paralela de três níveis: o estado técnico real da máquina, a completude e coerência da documentação e o histórico das alterações construtivas, de controlo e organizacionais. Só este enquadramento fornece uma base para uma avaliação de risco credível.

Se faltar pelo menos um destes níveis, a equipa vê apenas parte do quadro. A avaria, por si só, ainda não explica se falhou a solução técnica, o modo de utilização ou uma modificação anterior cujos efeitos ninguém avaliou formalmente. Pela mesma razão, a decisão de paragem nem sempre deve limitar-se a um único posto. Se as mesmas medidas de proteção, o mesmo sistema de controlo ou uma alteração análoga existirem noutros pontos da linha, o âmbito da suspensão deve ser definido de forma mais alargada, antes que ocorra um evento secundário.

Ao nível da gestão, também é necessário separar as questões de exploração das questões de conformidade. Em primeiro lugar, é preciso determinar em que papel a organização atua perante a máquina ou o conjunto de máquinas. Se continuar a ser utilizadora, deve demonstrar pelo menos que dispõe dos documentos fornecidos com a máquina e das evidências de exploração segura na configuração atual de trabalho. No entanto, se o âmbito da reconstrução, da integração ou da alteração da lógica de funcionamento a aproximar da posição de fabricante de facto, o nível de fundamentação exigido aumenta claramente. Torna-se então necessária uma documentação técnica mais completa, que explique as soluções de segurança adotadas, a seleção das medidas de proteção, os resultados dos ensaios e a base da avaliação de risco assumida.

Uma matriz simples de avaliação documental pode ser muito útil: o documento existe, está atualizado, não corresponde ao estado atual da máquina ou está em falta. Esta divisão permite perceber rapidamente se o problema é apenas formal ou se revela perda de controlo sobre a solução técnica. Na prática, é necessário responder a algumas perguntas básicas: existe declaração UE de conformidade e ela refere-se à configuração atual, o manual de instruções foi atualizado após as alterações, estão disponíveis esquemas, listas dos elementos de segurança, protocolos de ensaio, resultados de auditorias de segurança de máquinas e linhas de produção, registos de inspeções, de bloqueio de energias e de formação. A falta de um único documento nem sempre determina a necessidade de retirar a máquina de serviço de forma permanente, mas a ausência simultânea de vários elementos de prova essenciais significa, em regra, que a empresa não consegue sustentar nem o modo de exploração nem a decisão de voltar a colocar a máquina em funcionamento.

• declaração UE de conformidade e manual de instruções — se descrevem o estado atual da máquina,
• esquemas, análise de risco, protocolos de receção e de ensaio — se justificam as medidas de proteção adotadas,
• registo de alterações, resultados de auditorias, registos de inspeções e de formação — se confirmam a exploração segura após as modificações.

Um erro frequente é confundir a eliminação da avaria com a eliminação da causa. A substituição de uma cortina ótica, de um interbloqueio de resguardo ou de um módulo de segurança não resolve o problema se não se souber por que motivo a proteção deixou de cumprir a sua função ou por que razão a empresa permitiu o funcionamento em condições alteradas. Por isso, o regresso à operação exige não só a reparação, mas também a demonstração de que a causa técnica e organizacional foi eliminada e de que o modo de utilização adotado corresponde ao estado atual da máquina, do comando e das medidas de proteção.

Em alguns casos, basta reorganizar a exploração e verificar as medidas de proteção antes do rearranque. Noutros, será necessária uma revisão mais ampla de todo o conjunto de máquinas, uma auditoria externa ou uma análise de conformidade mais completa, sobretudo quando as alterações afetaram funções de segurança, sistemas interligados ou equipamentos sujeitos a regimes técnicos específicos, como as instalações sob pressão. Do ponto de vista normativo, o mais importante aqui não é multiplicar fundamentos legais, mas sim a capacidade de demonstrar a devida diligência na avaliação da conformidade e na exploração da máquina.

Como evitar voltar ao mesmo acidente

A conclusão mais valiosa após um acidente raramente diz respeito a um único erro do operador. Normalmente, revela a forma como a organização toma decisões sobre alterações técnicas, organizacionais e de software. Se o impacto de uma alteração na segurança só é verificado depois da sua implementação, o incidente seguinte não tem de repetir-se na mesma máquina. Reaparecerá noutro ponto da linha, com outro conjunto e sob outra designação de projeto.

Por isso, encerrar a crise não consiste em acrescentar uma única proibição ao manual de instruções. O que está em causa é reformular as regras de decisão: quem pode solicitar uma alteração, quem qualifica o seu impacto nas medidas de proteção, quem é responsável pela avaliação de risco e quem autoriza formalmente a continuação da utilização da máquina. Esta é a essência da gestão da mudança. É aqui que se decide se a empresa aprende realmente com o incidente ou se apenas recria uma aparência de reação.

Na prática, é necessário um modelo simples, mas aplicado sem exceções. Cada alteração técnica deve passar pela mesma sequência: qualificação do impacto na segurança, identificação do responsável pela decisão, definição dos ensaios e receções exigidos, atualização da documentação e autorização formal de utilização. Não se trata de criar burocracia excessiva, mas de garantir um rasto de decisão que possa ser reconstituído ao fim de um mês e depois de um acidente. Se a modificação abranger o sistema de comando, as vedações, a zona perigosa, a lógica de cooperação entre máquinas ou a forma de intervenção humana no processo, não pode ser tratada como uma reparação comum.

Após o incidente, também se torna imediatamente visível se a segurança de máquinas nas auditorias de requisitos mínimos era um verdadeiro instrumento de controlo das condições de utilização ou apenas um formulário de arquivo. Boas auditorias permitem responder rapidamente quais os resguardos e dispositivos de proteção que a máquina deve ter, que desvios já tinham sido identificados, quem os aprovou e se as ações corretivas foram encerradas. As auditorias fracas terminam em generalidades sem valor probatório. Por isso, após um acidente, vale a pena voltar não só ao local do incidente, mas também a modificações semelhantes na empresa e verificar se o mesmo mecanismo de decisão não está presente de forma mais alargada.

Outra fonte de problemas continua a ser a relação com fornecedores, integradores e serviços de assistência. O apoio externo pode ser tecnicamente necessário, mas não transfere para fora a responsabilidade pelo que acaba por funcionar na empresa. Se a organização não consegue determinar com clareza o que foi alterado, quem aprovou o âmbito dos trabalhos, quais eram os limites de responsabilidade do executante e se a documentação foi entregue em condições de utilização, depois do acidente fica sem a sua própria base de decisão. É então que regressa a pergunta mais difícil: o utilizador continua a ser apenas utilizador ou, pelo alcance e pela forma das alterações introduzidas, tornou-se a entidade responsável pela solução técnica e, por isso, tem de dispor não apenas da documentação do utilizador, mas, na prática, de documentação mais completa, adequada às soluções adotadas.

A conclusão final é simples. Após um acidente, o que faz a diferença não é a rapidez das declarações, mas sim a qualidade das provas e o rigor na tomada de decisões. São estes fatores que determinam se a crise ficará limitada a um único incidente e a uma única paragem, ou se evoluirá para um problema prolongado de responsabilidade, disputas sobre o âmbito das alterações e novas interrupções. Uma organização que consegue demonstrar uma sequência lógica — alteração, qualificação, teste, atualização da documentação, autorização formal para entrada em funcionamento — dispõe de uma base real de defesa. Uma organização que se apoia na memória das pessoas e na suposição de que se tratou apenas de uma pequena modificação volta a enfrentar o mesmo tipo de acidente, mesmo quando este não se repete de forma idêntica.