Poka-yoke: o que é e como esse princípio aparece na NR-12?

Procure a expressão poka-yoke na NR-12 e você não vai encontrar. Procure “à prova de erro” e também não. Procure “erro humano” e o resultado é o mesmo: zero. Ainda assim, a norma brasileira de segurança em máquinas é, do começo ao fim, um documento sobre projetar contra o erro de quem opera.

Há um detalhe nessa ausência que vale mais do que parece. As duas únicas vezes em que a NR-12 escreve “falha humana”, ela não está falando do operador: está falando de quem projeta. As duas ocorrências estão nas definições de interface de segurança e de controlador lógico programável de segurança, e cobram que o software reduza ao mínimo a possibilidade de erros provenientes de falha humana no projeto.

É a mesma recusa que está na origem do método. Quando Shigeo Shingo formulou a ideia dentro do sistema Toyota, o nome era outro: baka-yoke, que se traduz por algo como “à prova de tolo”. Por volta de 1963, uma trabalhadora da Arakawa Auto Body reagiu ao teor ofensivo do termo, e ele foi trocado por poka-yoke, “à prova de engano”. A mudança não foi cosmética. Ela move o acidente da conta de quem erra para a conta de quem projetou um sistema em que errar era possível.

Poka-yoke: o que é e o que ele não é?

Poka-yoke é o conjunto de recursos de projeto que tornam o engano impossível ou imediatamente evidente. O exemplo doméstico é o plugue de três pinos: ninguém precisa lembrar de encaixá-lo na posição certa, porque a única posição possível é a certa. Não há treinamento, não há aviso, não há checklist. A forma resolve.

A literatura costuma separar o método em dois níveis. O método de controle interrompe o processo e não deixa seguir adiante enquanto a condição errada existir. O método de advertência apenas sinaliza e devolve a decisão à pessoa. Os instrumentos clássicos são três: verificação por contato (forma, dimensão, posição), por número constante (conta atuações ou peças) e por etapas de movimento (confere se a sequência foi cumprida).

Guardada essa fronteira, o texto da NR-12 fica legível de outro jeito. E o que aparece não é uma norma que ignorou o assunto: é uma norma que o resolveu sem nomear.

A NR-12 escreve poka-yoke sem usar a palavra

A leitura que segue não é interpretação. É contagem, feita sobre o texto consolidado da norma, aquele que incorpora a Portaria MTE nº 224, de 26 de fevereiro de 2024. Qualquer leitor pode repetir o exercício num arquivo público e gratuito.

O vocabulário do erro humano na NR-12, contado
Expressão	Ocorrências	O que isso diz
“poka-yoke”	0	a norma não usa o termo, e nenhuma norma brasileira de máquinas usa
“à prova de erro”	0	nem a tradução consagrada da expressão aparece
“erro humano”	0	a norma não põe o acidente na conta de quem opera
“falha humana”	2	as duas nas definições de interface e de CLP de segurança, e as duas cobrando o erro de projeto, não o de operação
“impedir” e “impeça”	91	o verbo da impossibilidade, e é o mais usado da norma
“dificultar”	14	o verbo do custo, e seis dessas quatorze nomeiam a burla
“burla”	9	sempre como algo a dificultar, nunca como algo a impedir
“intertravamento”	178	o instrumento de sequência, e o mais repetido do texto

Duas linhas dessa tabela carregam o argumento inteiro. A norma usa o verbo impedir noventa e uma vezes e o verbo dificultar quatorze. E ela não os distribui ao acaso.

Os dois verbos não são sinônimos

O subitem 12.4.1 trata dos dispositivos de partida, acionamento e parada. Ele tem cinco alíneas, e duas delas tratam de falha humana. A alínea “c” exige que os dispositivos “impeçam acionamento ou desligamento involuntário pelo operador ou por qualquer outra forma acidental”. A alínea “e”, três linhas abaixo, exige que “dificulte-se a burla”.

O mesmo item, o mesmo dispositivo, duas exigências de nível diferente. Contra o engano, a norma pede impossibilidade. Contra o atalho deliberado, pede apenas custo. E o padrão se repete: o subitem 12.5.2, alínea “d”, pede instalação que “dificulte a sua burla”; o subitem 12.5.11, alínea “g”, repete “dificulte-se a burla”, enquanto a alínea “i” do mesmo item manda “impedir o acesso à zona de perigo”.

Vale registrar o que não está no texto. Em nenhum dos seus itens a NR-12 manda impedir a burla. Nem uma vez. E isso não é lacuna: é uma escolha técnica coerente com o que a própria norma define no glossário.

A pergunta que decide o projeto

Daí sai a triagem que resolve, na prática, a maior parte das discussões de especificação. Diante de uma zona de perigo que alguém alcança, a pergunta não é “qual dispositivo eu instalo”. É esta, e ela vem antes de qualquer catálogo: isso é engano ou é atalho?

Engano e atalho: o que muda em cada linha da decisão
	Engano	Atalho
O que aconteceu	A pessoa fez o que não queria fazer: apoiou a mão onde não devia, acionou junto o que era para acionar sozinho, montou a peça ao contrário sem perceber.	A pessoa fez o que decidiu fazer: removeu a chave, prendeu o sensor com fita, calçou a proteção para não ter de abrir de novo.
Como a NR-12 chama	Acionamento involuntário ou acidental, subitem 12.4.1, alínea “c”.	Burla, definida no glossário como ato de anular de maneira simples o funcionamento seguro usando objetos disponíveis.
Que verbo a norma usa	Impedir. A norma exige que a condição de erro deixe de ser possível.	Dificultar. A norma nunca manda impedir a burla, em nenhum dos seus itens.
O que resolve	Geometria, sequência e forma: o que só encaixa de um jeito, o que só libera na ordem certa, o que exige intenção declarada para atuar.	Elevar o custo do atalho e remover o motivo dele. O segundo é o que quase ninguém faz.
Onde costuma dar errado	Resolver com aviso o que pedia impossibilidade: placa, treinamento e procedimento onde cabia um pino de posição.	Blindar sem perguntar por que se burla. O dispositivo fica mais caro e o atalho migra para o ponto seguinte.

O erro mais caro dessa triagem não é escolher a rota errada: é não fazer a pergunta. Sem ela, o projeto tende a se acomodar no degrau mais fraco, que é o da advertência, e a resposta vira placa, procedimento e treinamento onde cabia um pino de posição. Tratamos do limite desse degrau em sinalização de segurança para máquinas, e ele é mais estreito do que a prática sugere.

Onde entra o erro previsível, já que a NR-12 não fala nele

Se a norma não escreve “erro humano”, de onde vem a obrigação de projetar contra o erro que se pode antecipar? Não de uma cláusula da NR-12. A expressão técnica que carrega esse dever é “mau uso razoavelmente previsível”, e ela tem zero ocorrências no texto da norma.

Ela aparece duas vezes no Manual de Aplicação da NR-12, o documento que o órgão federal do trabalho publicou para explicar a própria norma, citando a ABNT NBR ISO 12100:2013 e a ABNT ISO/TR 14121-2:2018. E aparece num lugar específico: na determinação dos limites da máquina, dentro da apreciação de riscos, entre os limites de uso, com a ressalva de que se observem os níveis antecipados de treinamento, experiência e habilidade do usuário.

E quando é atalho, o que o Manual manda fazer

Aqui está a parte que quase ninguém aplica, e ela está escrita no documento oficial. Diante da burla, a reação de mercado é sempre a mesma: blindar mais. Dispositivo codificado, chave escondida dentro da estrutura, parafuso especial, dois dispositivos em posições que não se alcançam ao mesmo tempo. Tudo isso é legítimo, e o Manual descreve cada uma dessas soluções.

Mas o item 4.1 do Manual, que trata da função de parada relacionada à segurança, diz outra coisa antes disso. Ele observa que a parada de segurança pode causar problemas operacionais e dificultar o reinício, cita solda a arco e centros de usinagem como exemplos, e então escreve a frase que muda a conversa: para reduzir a tendência de burlar essa função, ela pode ser precedida por uma parada operacional, que finaliza a operação e prepara um reinício fácil e rápido, sem danos ao processo.

Essa leitura tem consequência de campo. Quando a burla se repete no mesmo ponto com pessoas diferentes, ela deixou de ser desvio individual e passou a ser sintoma de projeto. É o mesmo terreno que discutimos em cultura de segurança no perímetro da máquina, e a conclusão converge: o que se repete com todo mundo não é característica das pessoas.

Os três instrumentos clássicos, na letra da norma

Fechada a fronteira, fica fácil reconhecer o método dentro do texto. Os instrumentos que a literatura de manufatura descreve estão todos ali, com outros nomes e com força normativa.

Os instrumentos clássicos do poka-yoke, na letra da NR-12
Instrumento	O que ele faz	Onde ele está na NR-12
Contato e forma	Verifica dimensão, posição ou polaridade. Só monta de um jeito.	Subitem 12.3.7.2: onde a inversão de fases da alimentação elétrica puder ocasionar riscos, deve haver dispositivo que impeça a ocorrência de acidentes. E o dispositivo de intertravamento codificado, que o Manual traz da ABNT NBR ISO 14119:2021.
Sequência e etapas	Verifica se a ordem prescrita foi cumprida. Não libera fora de ordem.	O intertravamento, com 178 ocorrências no texto, e o rearme, com 17: a máquina só volta quando alguém confirma, e a confirmação vem de fora da zona de perigo.
Número constante	Conta atuações ou peças e acusa o que faltou.	O comando bimanual do subitem 12.4.3: os dois dispositivos, dentro da janela de tempo, ou não há sinal de saída. Faltou um, não parte.
Advertência	Sinaliza e devolve a decisão à pessoa.	A sinalização, que a NR-12 admite como medida complementar, nunca como substituta da proteção. É o degrau mais fraco, e é o mais usado.

O instrumento de forma merece uma nota, porque é o mais elegante e o menos lembrado. O subitem 12.3.7.2 exige que, onde a inversão de fases da alimentação elétrica puder causar risco, exista dispositivo que impeça o acidente. Não é aviso, não é procedimento de conferência: é impossibilidade. E o Manual traz da ABNT NBR ISO 14119:2021 o dispositivo de intertravamento codificado, que responde ao mesmo princípio pelo lado do encaixe.

O que se ganha em ler a norma assim

Três coisas mudam na mesa de projeto. A primeira é que a especificação deixa de ser lista de dispositivos e passa a ser lista de modos de falha, cada um com o verbo que a norma atribuiu a ele. A segunda é que a discussão de categoria de segurança, tratada em ABNT NBR 14153 e as categorias de segurança, entra no momento certo: depois de definido o que precisa ser impedido, e não antes. A terceira é que o componente passa a ser escolhido pelo comportamento na falha, e não pelo catálogo, que é a discussão de chave de fim de curso.

Conector de encaixe único e cadeado de bloqueio lado a lado numa bancada industrial, ilustrando a diferença entre impedir o erro involuntário e dificultar a burla na NR-12.

Ainda tem dúvidas sobre poka-yoke?

As dúvidas sobre poka-yoke aparecem principalmente quando o conceito é levado para a prática da NR-12. A seguir, respondemos às principais questões sobre erro, burla, apreciação de riscos e aplicação em sistemas de segurança de máquinas.

Poka-yoke é exigência da NR-12?

Não pelo nome. A expressão tem zero ocorrências no texto da norma, e nenhuma norma brasileira de segurança em máquinas a utiliza. O que a NR-12 faz é exigir o resultado: em noventa e uma passagens ela usa o verbo impedir, e em várias delas o que se manda impedir é justamente o acionamento involuntário ou acidental, que é a definição do problema que o poka-yoke resolve.

Qual a diferença prática entre impedir e dificultar na norma?

Impedir significa que a condição errada deixa de ser possível: a peça só monta de um jeito, o comando só parte com as duas mãos, a máquina só religa depois do rearme. Dificultar significa elevar o esforço necessário para vencer a proteção, sem eliminar a possibilidade. A NR-12 usa impedir contra o erro involuntário e dificultar contra a burla, e nunca troca os dois de lugar.

A norma obriga a considerar o erro do operador no projeto?

Pela apreciação de riscos, sim. A expressão “mau uso razoavelmente previsível” não está na NR-12, mas está duas vezes no Manual de Aplicação publicado pelo órgão federal do trabalho, entre os limites de uso a serem determinados na apreciação, com citação da ABNT NBR ISO 12100:2013. Como a NR-12 remete à apreciação de riscos em vários subitens, o dever chega por essa via.

Se a proteção é burlada, o problema é do operador?

Não necessariamente, e o próprio Manual sugere o contrário. O item 4.1 recomenda reduzir a tendência de burlar a função de parada dando à máquina uma parada operacional que permita reinício fácil e sem danos. Quando a burla se repete no mesmo ponto com pessoas diferentes, a hipótese mais econômica é que a proteção esteja cobrando um custo operacional que o projeto poderia ter evitado.

Dispositivo mais caro resolve burla?

Ajuda e não encerra. A NR-12 pede que a instalação dificulte a burla, e o Manual descreve dispositivos codificados, instalação no interior da estrutura e arranjos que impeçam a burla concomitante de dois dispositivos. Tudo isso eleva o custo do atalho. Mas se o motivo do atalho permanecer, ele tende a migrar para o ponto seguinte, e o investimento protege um lugar enquanto o problema se mudou para outro.

E o que isso não resolve

Duas ressalvas honestas. Não existe método normatizado de poka-yoke em segurança de máquinas: nenhuma norma brasileira usa o termo, e não há checklist oficial para aplicá-lo.

O que existe é a leitura disciplinada do que a norma já exige, feita por quem sabe distinguir os dois modos de falha. E a segunda: impossibilidade absoluta não existe em engenharia.

O que existe é elevar o esforço do erro acima do que qualquer descuido plausível produz, e é isso que as proteções de máquinas fazem quando bem especificadas.