O modelo do queijo suíço, criado pelo psicólogo James Reason, é uma das analogias mais influentes quando se trata de entender como acidentes acontecem em sistemas complexos. Nele, cada camada de defesa é representada como uma fatia de queijo suíço — com furos. Um evento catastrófico pode ocorrer quando os orifícios de todas essas fatias se alinham, permitindo que o perigo atravesse as salvaguardas existentes. Essa ideia é amplamente utilizada em áreas como segurança de processos e cibersegurança, onde as falhas latentes e os riscos ocultos fazem parte da realidade.
Mas será que essa lógica pode ser aplicada à proteção de equipamentos industriais?
Camadas visíveis e invisíveis: o paralelo com a indústria
Na segurança industrial, os perigos nem sempre são invisíveis. Uma prensa com zonas de esmagamento, um transportador em movimento, um sistema de corte por fluido em alta pressão — todos esses são potenciais fontes de dano muitas vezes perceptíveis a olho nu. No entanto, isso não significa que sejam simples de mitigar.
Ao observar o que determina a norma ISO 12100, principal referência mundial sobre segurança de máquinas, percebe-se claramente uma estrutura em três níveis para a redução de riscos:
1. Medidas de projeto inerentemente seguras
Ações voltadas à eliminação de perigos, por meio de decisões de engenharia que evitem ou minimizem riscos. Isso inclui a substituição de elementos perigosos, redução de forças, limitação de movimentos ou reorganização do layout funcional do equipamento.
2. Medidas técnicas de proteção e recursos complementares
Aplicadas quando não é possível eliminar completamente o risco na etapa de projeto. Envolvem o uso de proteções fixas, dispositivos de intertravamento, sensores de presença, cortinas de luz e demais mecanismos integrados ao sistema de controle de segurança (SRP/CS).
3. Informações para uso
Compreendem manuais, avisos, sinalizações, dispositivos de alerta e instruções de operação. Essas medidas pressupõem que o risco persiste, mas pode ser controlado com a devida orientação ao usuário.
A essa estrutura soma-se uma camada adicional: as medidas de proteção implementadas pelo usuário. Isso inclui instruções operacionais, treinamentos, uso de EPIs, sistemas de permissão de trabalho e supervisão.
Cada uma dessas camadas é uma fatia de queijo, e nenhuma é perfeita. Todas possuem falhas potenciais — seja um sensor com falha intermitente, um trabalhador mal treinado ou uma sinalização desconsiderada. Porém, o conjunto delas, sobreposto, cria uma estrutura robusta de proteção.
Segurança em profundidade, mesmo sem esse nomes
Embora a expressão “segurança em profundidade” esteja mais associada à segurança de processos, a lógica por trás dela também se aplica na segurança de máquinas — especialmente naquelas mais complexas ou integradas a linhas automatizadas, uma vez que a engenharia de segurança parte do princípio de que nenhuma medida de controle é totalmente infalível. Por isso, adota-se o princípio de que riscos devem ser enfrentados por barreiras sucessivas e independentes.
Em um ambiente onde sensores, atuadores, CLPs de segurança e operadores humanos interagem constantemente, falhas isoladas podem ser prevenidas. Por isso, a estratégia mais eficaz é criar defesas autônomas, confiáveis e complementares.
Uma proteção mecânica afasta o operador do perigo, mas se essa distância não for suficiente, um scanner ou uma cortina de luz detecta a presença do trabalhador na zona de risco. Se essa também falhar, o sistema deve ser capaz de desligar por redundância lógica no CLP de segurança. E, em último caso, um botão de parada de emergência deve estar acessível.
Esse encadeamento de proteções funciona como as fatias do queijo suíço: cada nível cobre as falhas do anterior. E quanto mais independentes forem essas soluções, menor a chance de que todas falhem simultaneamente.
Essa estrutura também permite que a segurança seja dimensionada de forma proporcional ao risco. Não se aplica o mesmo grau de defesa a uma borda cortante em uma chapa e a uma zona de esmagamento em uma prensa hidráulica. Mas, em ambos os casos, o raciocínio em múltiplas camadas continua válido.
