I. A Pergunta Que a Indústria Mudou de Lugar
Depois de Milford Haven, a indústria de processo fez uma troca de pergunta que a revisão de IA ainda não fez. Em vez de indagar por que as pessoas não deram conta de tudo, passou a indagar quantos sinais se colocam diante delas, e quem decidiu isso. A troca está na recomendação nº 6 do relatório de 1997, examinada no volume 01, e organiza desde então uma disciplina inteira, chamada gestão de alarmes.
Este volume separa o que dessa disciplina se aproveita numa fila de revisão de IA do que não se aproveita, e examina o que os hospitais acrescentam: o excesso de alarmes registrado em eventos graves e o custo escondido de reduzi-lo.
A folha de orientação nº 6 (Chemical Sheet No. 6) resume a causa do acidente de Milford Haven como alarmes demais e mal priorizados. Propõe cerca de três prioridades, definidas pela consequência de não atender ao alarme, com a distribuição de 5%, 15% e 80% entre alta, média e baixa apresentada como exemplo; resposta definida para cada alarme; estratégia da instalação com controle de mudanças e revisões regulares; e medições repetidas ao longo do tempo.
Atribui ao guia do setor da Engineering Equipment and Materials Users’ Association (EEMUA) dois referenciais para operação em condições normais: média de longo prazo de no máximo um alarme a cada dez minutos e no máximo dez alarmes exibidos nos dez primeiros minutos após um grande distúrbio. O guia é pago e não foi lido; os valores são os que o HSE reproduz, e a base (por operador ou por console) fica a conferir no original.
A folha não trata o excesso de alarmes como lapso de atenção de quem os recebe. Trata como falha de desenho do sistema que os emite, e propõe práticas de gestão. Quatro delas interessam a esta série:
- Priorizar pela consequência. Se quase tudo é prioridade alta, a palavra deixa de significar algo. A distribuição da folha é exemplo, e a lógica é o que importa.
- Exigir resposta definida. O alarme que não diz ao operador o que fazer é candidato a ser removido. Escrever a resposta esperada para cada sinal já é um teste: se ninguém consegue descrevê-la, o sinal ainda não foi desenhado.
- Tratar a configuração como assunto de gestão. Quem pode alterar o limite que faz um alarme disparar, e com que registro, é pergunta de governança antes de ser pergunta técnica.
- Medir, e medir de novo. A configuração deriva com o tempo, e as medições se repetem por isso.
A norma internacional IEC 62682, em segunda edição de 2022, cobre o ciclo de vida da gestão de alarmes e o monitoramento das taxas média e de pico por console. Lemos o sumário e o escopo. A distinção entre média e pico importa: a média esconde justamente o minuto em que o problema acontece.
[Ponto de Inflexão Fiduciária]: Quem, na organização, decide quantos itens chegam a cada pessoa que revisa saídas de IA, e esse alguém sabe quanto a fila comporta?
II. O Que o Hospital Registrou
Onde há pessoas internadas, a mesma pergunta aparece com menos arrumação. A entidade que faz a acreditação de hospitais nos Estados Unidos, a Joint Commission, mantém um banco de eventos sentinela, isto é, ocorrências inesperadas que resultam em morte ou dano grave. Em 2013, publicou um alerta sobre o que esse banco registrava a respeito de alarmes de equipamentos médicos.
Entre janeiro de 2009 e junho de 2012, o banco de eventos sentinela recebeu 98 relatos de eventos relacionados a alarmes de equipamentos médicos, 80 deles com morte. O alerta ressalva que o relato é voluntário e que provavelmente representa pequena parte do que de fato ocorreu. É documento de alerta de segurança, e não estudo de causa.
O alerta não afirma que cada um dos 98 eventos foi causado por alarme ignorado, nem atribui o desfecho a quem estava de plantão. A leitura que fazemos é de estrutura: onde cada equipamento sinaliza com a mesma urgência, a urgência perde o poder de distinguir, e o que se perde na distribuição da atenção não é escolhido por ninguém.
A literatura de enfermagem chama o fenômeno de fadiga de alarme. O ponto que interessa à governança é que o ruído é um fator desenhado: o número de sinais por hora depende de quem configura os equipamentos e define os limites. Quem não responde a tudo pode estar, em parte, reagindo a um desenho, e não faltando a um dever.
Das Metas Nacionais de Segurança do Paciente da Joint Commission, a de código 06.01.01 trata da segurança dos alarmes de sistemas clínicos e constava de apresentação de janeiro de 2024 para hospitais. Cobra gestão: que a liderança torne o assunto uma preocupação central e que as políticas definam quem pode alterar os limites. Não verificamos o status da meta em outubro de 2026.
A segunda exigência está perto desta série. Um limite de alarme é uma regra de roteamento: decide o que chega à atenção de uma pessoa. Pedir um responsável por alterá-lo é a pergunta que a Série 8 fez sobre o limiar da decisão automatizada, aplicada a outro lugar.
[Ponto de Inflexão Fiduciária]: Quando o limiar que decide o que chega a uma pessoa foi alterado pela última vez, quem assinou a alteração e o que foi medido antes e depois?
III. O Custo Escondido de Reduzir o Ruído
Há melhorias documentadas. A mais citada é a de Graham e Cvach, de 2010, no American Journal of Critical Care: numa unidade de cuidados progressivos, a padronização do uso dos monitores e o ajuste de parâmetros acompanharam uma queda de quarenta e três por cento nos alarmes críticos. É resultado real, e vale reconhecê-lo.
Vale também dizer o que ele não é. Foi um estudo de melhoria da qualidade, antes e depois, numa única unidade, sem grupo de comparação. Uma revisão sistemática de 2016, de Paine e colegas, no Journal of Hospital Medicine, reuniu trinta e dois estudos de qualidade geral descrita como baixa e registra, a respeito desse trabalho, que não foram relatados testes estatísticos nem desfechos de segurança. A queda mede volume, e não detecção correta.
Uma revisão de escopo de 2026, de Stirner e colegas, sobre intervenções contra a fadiga de alarme em enfermeiros de terapia intensiva, concluiu que a evidência é heterogênea e de difícil comparação.
Lida isoladamente, a redução de volume seria um sucesso. Lida junto com a detecção, é uma troca de ruído por risco de não detecção, e o preço da troca só aparece se alguém medir o que escapa, e não apenas o que alarma. O resultado vem de um ensaio específico, em contexto clínico específico, e não fixa limite algum para outros contextos. O que ele sugere é um mecanismo: quem reduz o que chega a uma pessoa sem medir o que passa a escapar apenas troca um problema por outro.
Na revisão de IA, o equivalente do limite do alarme é o limiar que decide o que vai para uma pessoa. Subi-lo reduz a fila e também aumenta o que a organização passa a executar sem revisão. Com a fila cheia, a tentação é natural, e é decisão de risco que merece medição e assinatura. O volume 06 volta a ela.
[Ponto de Inflexão Fiduciária]: Se a fila de revisão for reduzida amanhã por um ajuste de limiar, a organização saberá medir o que passou a seguir sem exame, ou apenas o alívio da equipe?
IV. O Que Se Aproveita, e o Que Não
Da disciplina, quatro ideias passam para a revisão de IA sem precisar de tradução.
- Contar antes de discutir. Antes de perguntar se a equipe é boa ou está motivada, mede-se quantos itens chegam a ela por dia, em média e no dia mais carregado. A Série 8 pediu à ata o volume por faixa, o tempo por decisão e a taxa de reversão; falta olhar esse volume no pico, onde a revisão cede.
- Desenhar para o pico, e não para a média. Uma fila dimensionada para o dia normal funciona até o dia em que não funciona, que costuma coincidir com a troca de modelo ou o fim do mês.
- Tratar prioridades como decisão de gestão. Quem escolhe quais saídas vão à frente da fila distribui atenção escassa, e isso deveria constar de documento com autor.
- Dar resposta definida a cada item. Um item que chega sem que o revisor saiba o que dele se espera é ruído. Na indústria, leva a remover o sinal; na revisão de IA, leva a perguntar se o item deveria estar ali.
As quatro não exigem tecnologia nova. Exigem que alguém seja encarregado de olhar a fila como a indústria olha a sala de controle: um sistema desenhado, com taxa de chegada, ordem de atendimento, resposta esperada e mudança controlada.
A analogia tem limites. O alarme tem consequência e resposta definidas de antemão; o item de IA, em geral, não. Na indústria há camadas independentes de proteção; na revisão de IA, muitas vezes a pessoa é a última camada. O custo cognitivo por item é maior, o gabarito chega tarde ou nunca, e o objeto muda quando o fornecedor atualiza o modelo.
Por isso os valores citados não se transportam para uma fila de revisão de IA: descrevem alarmes de processo, em salas de controle, com operadores treinados para uma resposta definida de antemão. Entre as normas e orientações examinadas até 16/10/2026, não encontramos carga máxima fixada para quem revisa saídas de IA.
Há uma diferença maior. O risco típico do alarme é a sobrecarga; o da revisão de IA pode ser o oposto: a maioria dos itens parece normal, e a pessoa aprova sem examinar. A gestão de alarmes cobre um dos modos de falha da supervisão, e não os dois. O volume 03 trata do outro.
☐ Sugere-se pedir à diretoria a taxa de itens que chega a cada função de revisão, em média e no dia mais carregado do último trimestre.
☐ Recomenda-se registrar, para cada classe de item, a resposta esperada de quem revisa, e rever a classe quando ninguém souber descrevê-la.
☐ Orienta-se nomear o cargo que pode alterar o que entra na fila, com registro de cada alteração e da medição feita antes e depois.
V. O Teste do Ácido
Se a fila de revisão dos sistemas de IA da organização receber amanhã o dobro do volume habitual, a organização saberá dizer quantos itens a equipe ainda examina com atenção, ou o Conselho vai descobrir que a única medida disponível é a média de ontem?
🏛️ Biblioteca: Metodologia Prática
Protocolo do Fluxo Desenhado
01. Passos para Ler a Fila como um Sistema Desenhado
- Para uma fila, extraia a contagem de itens por dia no último trimestre e anote o dia mais calmo e o mais carregado.
- Liste as classes de item e escreva, para cada uma, o que o revisor deve fazer ao recebê-la.
- Identifique quem pode alterar o limiar que envia itens à fila e onde cada alteração foi registrada.
- Para a última alteração, procure a medição do que passou a seguir sem exame.
- Leve a distância entre o dia calmo e o carregado, e as lacunas encontradas, à ata do trimestre.
02. Quadro do Fluxo que Chega a Quem Revisa
| Vetor | Indicador | Ação |
|---|---|---|
| Taxa de chegada | Itens por dia, em média e no dia mais carregado | Registrar a distância entre os dois e levar à ata |
| Resposta esperada | Classes de item com resposta escrita | Revisar ou retirar a classe sem resposta definida |
| Mudança do limiar | Alterações com autor, data, motivo e medição antes e depois | Exigir assinatura de cargo nomeado para cada alteração |
03. Glossário
Gestão de alarmes: disciplina da indústria de processo que trata do desenho, da medição e da revisão dos alarmes apresentados a operadores.
Racionalização de alarmes: revisão de cada alarme para decidir se permanece, com que ordem de atendimento e com que resposta esperada.
Taxa média e taxa de pico: quantidade de itens que chega por unidade de tempo, tomada em condições habituais ou no momento mais carregado.
Evento sentinela: ocorrência inesperada em serviço de saúde que resulta em morte, dano físico ou psicológico grave, ou risco disso, e que pede investigação.
Fadiga de alarme: dessensibilização de quem atende a alarmes diante de um volume elevado de sinais, que reduz a resposta a eles.
Complacência: tendência de aprovar sem examinar quando a maioria dos itens parece normal.
Limiar: valor de corte a partir do qual o sistema muda o tratamento de um caso; no alarme, o limite que o faz disparar, e na decisão automatizada, o valor que envia o caso à revisão.
Teto de atenção da supervisão humana: número máximo de decisões que uma função de revisão examina com atenção em uma janela de tempo declarada, depois de descontada a reserva para o pico.