Quando a Falha Repetida Vira Padrão Aceitável

Os anéis de vedação voltavam corroídos desde 1981, e cada voo bem sucedido virou prova de que a corrosão podia continuar.

Cabo Canaveral, 1986: a falha que virou rotina

Existe um tipo de peça que sai da fábrica com uma única função: não deixar passar. Um anel de borracha encaixado na junta de um propulsor não precisa ser inteligente nem sofisticado, precisa vedar. Se ele voltar de uma missão com sinal de queimadura, o projeto falhou naquele ponto, por definição.

O anel voltou queimado. Voltou de novo no voo seguinte, e no outro, e a queimadura foi ficando com nome técnico, com faixa de tolerância, com número aceitável de milímetros corroídos. O que era prova de que a junta não estava fazendo o serviço virou um item de rotina na papelada.

O mecanismo por trás dessa transformação é o mais silencioso da lista de armadilhas de julgamento. Ninguém decide, numa reunião, aprovar um risco maior. A decisão nunca aparece assim, com esse nome e essa cara, e por isso ninguém sente que está decidindo nada.

O que acontece é uma sequência de pequenas revisões do que conta como normal. A cada retorno em segurança, a evidência acumulada muda de sinal: a corrosão deixa de ser um aviso e passa a ser um histórico. Aconteceu vinte vezes e ninguém se machucou, logo a faixa deve estar dentro do que a peça aguenta.

A lógica parece razoável e é exatamente ao contrário. O voo que termina bem não prova que a margem existe, prova apenas que a combinação de condições daquele dia não foi suficiente para gastar a margem inteira. A prova real só chega no dia em que ela é gasta, e nesse dia não sobra ninguém para revisar o critério.

Quem trabalha numa operação sob pressão de prazo repete essa curva sem perceber. O atalho funcionou, a checagem pulada não gerou consequência, o cliente atendido fora do processo ficou satisfeito, e cada repetição dessas escreve uma linha nova no manual não escrito da casa.

O caso que deu nome a esse padrão tem data, hora e uma manhã fria demais para a estação, e ele começa cinco anos antes do dia que todo mundo lembra.

Continue lendo ↓

I  O Viés da Semana

Cabo Canaveral, 1981: a erosão que virou histórico

Em novembro de 1981, no segundo voo do ônibus espacial, os técnicos que inspecionaram os propulsores recuperados encontraram uma marca que o projeto não previa. Os anéis de vedação das juntas, feitos para bloquear a passagem de gás quente, mostravam sinal de erosão.

A função daquela peça era binária. Ou o gás ficava contido dentro do propulsor, ou ele encontrava um caminho por onde escapar. Um anel corroído significava que uma parte do gás tinha encostado onde não devia, e a barreira seguinte era o último recurso do sistema.

A resposta imediata foi técnica e cuidadosa. Mediram a erosão, concluíram que existia margem sobrando e liberaram o voo seguinte com uma anotação formal sobre o comportamento observado.

A anotação virou precedente. No voo seguinte a erosão apareceu de novo, e agora existia um documento anterior dizendo que aquilo já tinha sido avaliado e aceito, o que transformou a segunda ocorrência num caso conhecido em vez de num agravamento.

Cada rodada dessas empurrava a linha do aceitável um pouco mais para dentro do território que o projeto original considerava proibido. A faixa tolerada crescia junto com o histórico, e o histórico crescia porque todos os voos anteriores tinham terminado bem.

Na véspera de 28 de janeiro de 1986, engenheiros da empresa que fabricava os propulsores pediram o adiamento do lançamento. A previsão indicava temperatura muito abaixo de qualquer manhã já enfrentada pelo programa, e borracha fria perde elasticidade justamente quando precisa se expandir para vedar.

O pedido caiu numa conversa em que o ônus estava invertido. Não se pedia prova de que era seguro voar, pedia-se prova de que era inseguro, e prova conclusiva de risco em cinco anos de voos bem sucedidos é exatamente o que ninguém consegue apresentar.

O voo daquela manhã durou 73 segundos. A comissão que investigou o caso não encontrou uma peça desconhecida nem um erro isolado de operação, encontrou um comportamento anômalo documentado desde 1981 e reclassificado tantas vezes que já não disparava alarme em ninguém.

A socióloga Diane Vaughan estudou o material da investigação por quase uma década e batizou o padrão de normalização do desvio: grupos competentes, com dados na mão e sem má fé, redefinindo aos poucos o que conta como aceitável até o inaceitável entrar pela porta da frente.

II  Na Prática

O desvio que a sua operação já aceitou

A distância entre um propulsor e a sua semana é menor do que parece. O mecanismo não exige foguete, exige apenas três ingredientes comuns: um limite escrito, uma pressão de prazo e uma sequência de vezes em que furar o limite não gerou consequência visível.

Comece pelo procedimento que a sua equipe pula. Existe uma checagem no processo que alguém deixou de fazer numa sexta apertada, e o entregável saiu igual, e o cliente aprovou, e na semana seguinte pular aquela checagem já não pareceu uma exceção.

Depois de algumas repetições, o passo pulado sai do manual real da casa. Ninguém revogou nada, ninguém convocou reunião para remover a etapa, e mesmo assim o processo oficial e o processo praticado são hoje dois documentos diferentes.

O mesmo desenho aparece no contrato assinado sem leitura porque os últimos cinco deram certo, no backup que ninguém testa porque nunca precisou, no pagamento aprovado por mensagem porque a fila estava grande e o fornecedor era conhecido.

Em nenhum desses casos existe alguém apostando de propósito. Existe gente competente lendo o próprio histórico como evidência de segurança, e o histórico só registra os dias em que a folga foi suficiente, nunca os dias em que ela quase não foi.

Existe um agravante quando o desvio começa a economizar tempo ou dinheiro de forma visível. O ganho é imediato, mensurável e distribuído entre todos, enquanto o risco é distante, probabilístico e não aparece em relatório nenhum enquanto não vira acidente.

O placar fica desonesto por construção. De um lado, entregas mais rápidas e um time que parece eficiente. Do outro, um número que ninguém consegue calcular e que só se materializa uma vez, com força total, na conta de um dia específico.

Vale marcar o outro lado antes que a régua vire desculpa para travar tudo. Nem toda regra descumprida é um desvio perigoso, e existe procedimento que envelheceu mal, que foi escrito para um contexto que não existe mais e que só sobrevive por inércia burocrática.

O critério que separa os dois casos é o mecanismo de proteção. Regra que existia para proteger contra uma falha específica não pode ser removida sem que outra coisa assuma aquela proteção. Regra que existia para satisfazer um formulário antigo pode cair com uma linha de justificativa.

E existe um custo escondido em apertar tudo depois de um susto. Quem responde a cada incidente criando três procedimentos novos ensina a equipe a burlar procedimentos em bloco, e manual grande demais para ser cumprido produz mais desvio do que manual curto levado a sério.

Quem banca a edição de hoje

O clique de apoio mantém a edição gratuita

III  Teste Rápido

Reponha o limite antes que a folga vire regra

O ajuste não é tratar toda anomalia como emergência, porque operação que trava a cada sinal fraco não entrega. O ajuste é separar o que muda de estado do que apenas se repete, e vigiar a direção em que a linha do aceitável está andando.

Comece perguntando onde está escrito o limite atual. Se a resposta for a memória dos mais antigos da casa, o limite já está flutuando, porque memória incorpora exceção sem avisar.

Depois, procure a anomalia que ganhou nome carinhoso. Toda equipe tem uma falha recorrente com apelido interno, tratada com um tom de piada, e o apelido é o sinal exterior mais confiável de que aquele desvio já foi adotado como membro da família.

Vale marcar o teto dessa ferramenta. Ela não serve para atividade em que o erro é barato e reversível, porque ali a experimentação rápida rende mais do que o controle, e protocolo formal em cada tentativa só produz lentidão.

Vale marcar também onde ela rende mais, e o caso do propulsor dá a pista: rende quando a falha é rara, quando o custo dela é alto e irreversível, e quando existe pressão de calendário empurrando a decisão para o lado de seguir em frente.

Traduzindo para a sua semana: escolha um processo em que a sua equipe opera com uma folga que ninguém mediu, escreva num papel qual era o limite original e compare com o que se pratica hoje, sem consultar quem defendeu cada exceção.

E preste atenção na frase que costuma encerrar essas discussões. Quando alguém diz que sempre foi assim e nunca deu problema, o que está sendo apresentado não é um argumento de segurança, é o retrato exato do desvio já normalizado.

"Qual limite da sua operação foi revogado sem que ninguém tenha decidido revogar?"

Reme contra. Adversus flumen.

CONTRA MARÉ

Nade na sua própria direção