Quando a sinalização falha, a segurança não pode depender da sorte

O acidente ferroviário de Toledo, em Espanha, obriga-nos a pensar numa questão que vai muito além das causas imediatas desta tragédia: o que acontece quando os sistemas de segurança falham e a circulação passa a depender, em maior medida, das decisões dos trabalhadores?

É uma pergunta que devemos fazer com seriedade. E com alguma prudência também. Os inquéritos ainda estão em curso e será necessário esperar pelas suas conclusões para perceber o que aconteceu, quais as falhas existentes e onde devem ser apuradas responsabilidades.

As primeiras notícias apontam para uma avaria no sistema de sinalização e proteção ferroviária, seguida de uma possível falha na autorização de circulação. São informações que terão de ser confirmadas. Mas há uma questão que já podemos discutir, sem antecipar o resultado da investigação.

Um sistema de segurança ferroviária tem de estar preparado para falhar sem que essa falha se transforme numa catástrofe.

É para isso que existem procedimentos de emergência, sistemas redundantes, regras de exploração degradada e mecanismos de proteção adicionais. Sabemos que a tecnologia pode avariar. Sabemos também que as pessoas podem cometer erros, sobretudo quando trabalham sob pressão, recebem informação incompleta ou têm de tomar decisões em situações pouco habituais.

A segurança constrói-se precisamente a partir deste conhecimento.

Quando a exceção passa a depender das pessoas

Em condições normais, a sinalização e os sistemas automáticos de proteção asseguram uma parte fundamental do controlo da circulação. Quando ocorre uma avaria, o cenário muda. Podem surgir comunicações adicionais, procedimentos menos frequentes, restrições de velocidade, autorizações especiais e a necessidade de confirmar a posição dos comboios e as condições do percurso.

O trabalho torna-se mais exigente. E é precisamente nesse momento que os procedimentos devem funcionar melhor.

Uma ordem mal interpretada, uma informação que não chegou ao destinatário ou uma autorização emitida sem todas as verificações necessárias podem ter consequências graves. Por isso, nas situações de exploração degradada, a clareza das comunicações e o cumprimento rigoroso dos procedimentos deixam de ser meros aspetos operacionais. Passam a ser barreiras essenciais de segurança.

Há boas práticas conhecidas que devem ser levadas a sério: comunicação em circuito fechado, com repetição e confirmação das ordens críticas; identificação inequívoca do comboio e do troço abrangido pela autorização; verificação das condições do itinerário; limitação dos movimentos ao estritamente permitido; e confirmação de que estão reunidas as condições para retomar a marcha.

Sempre que o risco o justifique, devem existir verificações adicionais. E, sempre que a tecnologia o permita, devem existir barreiras técnicas capazes de impedir movimentos incompatíveis, mesmo perante um erro humano.

Não podemos esperar que uma única pessoa, num momento de grande pressão, seja a última e única linha de defesa contra todos os riscos.

A pressão sobre os trabalhadores também tem de ser discutida

Há outro aspeto que merece atenção, embora não possamos afirmar que tenha contribuído para o acidente de Toledo sem conhecer os resultados da investigação.

A pressão para manter a circulação, recuperar atrasos e evitar a interrupção do serviço pode influenciar as decisões tomadas durante uma avaria. A fadiga, a sobrecarga de informação e a dificuldade em questionar uma ordem hierárquica são fatores conhecidos na análise dos riscos associados ao trabalho.

Isto não significa retirar aos profissionais a responsabilidade pelo cumprimento das regras. Significa reconhecer que a forma como o trabalho está organizado influencia a capacidade de as cumprir.

Um maquinista tem de poder pedir esclarecimentos quando uma instrução não é clara. Um operador de circulação tem de dispor de tempo e informação suficientes para confirmar as condições de um movimento. Qualquer trabalhador deve poder interromper uma operação quando identifica um risco sério, sem receio de ser penalizado por ter colocado a segurança em primeiro lugar.

Se uma organização exige o cumprimento rigoroso dos procedimentos, tem também de criar condições para que isso seja possível.

Não faz sentido transmitir aos trabalhadores que a segurança está acima de tudo e, depois, avaliar o seu desempenho sobretudo pela regularidade da circulação ou pela rapidez com que conseguem normalizar o serviço.

A segurança não pode ser uma exigência dirigida aos trabalhadores que desaparece quando começa a pressão operacional.

O que devemos exigir às empresas ferroviárias?

O acidente de Toledo deve ser investigado até às últimas consequências. E, independentemente do que vier a ser apurado, há práticas que todas as empresas ferroviárias devem avaliar regularmente.

A primeira é a qualidade dos procedimentos de contingência. Não basta que existam documentos com instruções para cada tipo de avaria. É necessário verificar se são claros, se correspondem às condições reais de trabalho e se podem ser executados sem ambiguidades.

A segunda é a formação prática. Os trabalhadores devem treinar situações de falha de sinalização, perda de comunicação e circulação em modo degradado. Devem também ser confrontados com cenários em que recebem informação contraditória ou sentem pressão para recuperar o serviço. É nesses exercícios que se percebe se os procedimentos funcionam realmente.

A terceira é a existência de barreiras de segurança independentes. Se uma falha técnica ou um erro numa autorização puder permitir que dois comboios ocupem o mesmo troço em condições incompatíveis, é necessário perceber que outras proteções existem e se são suficientes. A resposta não pode limitar-se à recomendação de que alguém tenha mais atenção da próxima vez.

Por fim, é essencial analisar os incidentes e os quase-acidentes, incluindo aqueles que não provocaram vítimas. Muitas vezes, são estes acontecimentos que revelam fragilidades antes de ocorrer um acidente grave. Para isso, os trabalhadores têm de poder comunicar erros, dúvidas e situações de risco sem receio de represálias.

E em Portugal?

Esta discussão interessa-nos diretamente.

O Metropolitano de Lisboa e os restantes operadores de transporte ferroviário devem olhar para as suas próprias regras de exploração, os sistemas de sinalização instalados, os procedimentos de avaria e as condições em que os trabalhadores têm de tomar decisões críticas.

Não se trata de presumir que existem falhas semelhantes às que estão a ser investigadas em Espanha. Trata-se de perguntar se estamos preparados para as evitar.

Os procedimentos de exploração degradada são claros e exequíveis? Os trabalhadores treinam regularmente estas situações? Existem mecanismos para confirmar as autorizações críticas? A organização do trabalho permite cumprir as regras sem atalhos? As chefias apoiam efetivamente quem decide parar perante uma dúvida de segurança?

Estas perguntas devem fazer parte de uma política séria de prevenção, e não surgir apenas depois de uma tragédia.

A participação dos trabalhadores e dos seus representantes na identificação dos riscos é igualmente importante. São eles que conhecem muitas das dificuldades concretas da operação, as limitações dos procedimentos e as situações em que a prática diária se afasta do que está escrito.

Ignorar esse conhecimento seria desperdiçar uma ferramenta essencial de prevenção.

A segurança mede-se também na forma como se reage à avaria

Será necessário esperar pelos resultados dos inquéritos de Toledo. É justo para as vítimas, para as famílias e para todos os profissionais envolvidos que as responsabilidades sejam apuradas com base em factos, e não em especulações.

Mas esperar pelas conclusões não significa ficar à espera para aprender.

A melhor altura para corrigir uma fragilidade é antes de ela provocar vítimas. A melhor forma de respeitar quem perdeu a vida num acidente é procurar perceber o que aconteceu e garantir que as lições retiradas se traduzem em mudanças concretas.

A ferrovia é um dos meios de transporte mais seguros, precisamente porque a sua operação assenta em regras, tecnologia, formação e múltiplas barreiras de proteção. Essas barreiras têm de continuar a funcionar quando as condições deixam de ser normais.

E os trabalhadores têm de dispor das condições necessárias para fazer a sua parte.

No fim, a questão é simples: quando um sistema avaria, queremos que a segurança dependa da capacidade de alguém acertar sob pressão, ou queremos um sistema preparado para detetar o erro, impedir que ele avance e proteger todos os que estão na linha?

A resposta deveria ser evidente. O trabalho difícil está em garantir que ela se traduz, todos os dias, na forma como organizamos a operação ferroviária.