Árvore de falhas, ou FTA, é uma análise dedutiva que parte de um evento indesejado bem definido e desdobra as combinações de eventos capazes de produzi-lo. O resultado é um modelo lógico. Ele mostra onde uma falha isolada vence as barreiras, onde duas condições precisam coexistir e onde uma redundância aparente compartilha o mesmo ponto fraco.
A IEC 61025:2006 descreve a análise por árvore de falhas e orienta sua aplicação, incluindo premissas, eventos, modos de falha, regras e símbolos. O resumo público sustenta o método geral. As convenções completas da norma dependem da publicação licenciada e não são reproduzidas aqui.
Quando a árvore de falhas responde melhor
A FTA é útil quando a pergunta começa pelo efeito no sistema: perda de contenção, ausência de resfriamento, atuação indevida de proteção, falha de partida ou indisponibilidade de uma função crítica. Ela trabalha de cima para baixo, perguntando o que precisa acontecer, isoladamente ou em combinação, para que o evento de topo ocorra.
O FMEA e o FMECA fazem o movimento complementar: partem de funções e modos de falha de itens e acompanham os efeitos para cima. A análise de causa raiz investiga um evento real com evidências. A árvore pode apoiar essa investigação, mas um caminho logicamente possível não prova que foi o caminho ocorrido. O RCM usa o entendimento de funções, falhas e consequências para decidir políticas de manutenção.
Os elementos que precisam estar corretos
Evento de topo
O top event é a condição indesejada que a árvore explica. Ele precisa ter objeto, estado, fronteira e condição operacional. “Bomba falha” é amplo demais. “Vazão do coletor de água de resfriamento abaixo do mínimo por mais que o tempo de resposta, com o reator em produção” é analisável.
A definição também determina o que fica fora. Uma árvore para perda física de pressão é diferente de uma árvore para falha do sistema de proteção ao detectar essa perda. Misturar os dois objetivos cria ramos que não respondem à mesma pergunta.
Eventos intermediários e básicos
Evento intermediário é uma condição que ainda será explicada por outros eventos. Evento básico é o menor nível desenvolvido na árvore, escolhido porque já possui significado técnico, dado ou ação possível. “Falha da bomba auxiliar” pode ser básico em um estudo de sistema e intermediário em uma análise detalhada que separa motor, alimentação, acoplamento e elemento hidráulico.
O nível de decomposição deve seguir a decisão. Uma árvore que desce até parafuso sem mudar controle, dado ou responsabilidade ficou detalhada demais. Uma árvore que encerra tudo em “erro humano” ou “falha elétrica” não chegou ao nível necessário.
Porta OR
A saída de uma porta OR ocorre quando pelo menos uma das entradas ocorre. Ela representa caminhos alternativos suficientes. Se perda do reservatório, bloqueio do filtro comum ou abertura indevida do desvio podem, cada um, eliminar a pressão, esses eventos entram por OR.
Porta AND
A saída de uma porta AND exige a ocorrência conjunta das entradas. Em um arranjo com bomba principal e reserva capaz de assumir a função, a indisponibilidade do bombeamento pode exigir falha da principal AND indisponibilidade da reserva. A palavra “conjunta” precisa respeitar a janela temporal e o estado do sistema, não apenas indicar que os eventos apareceram no mesmo mês.
O Fault Tree Handbook NUREG-0492 da NRC sistematiza construção e avaliação de árvores, incluindo relações lógicas e conjuntos de corte. A referência é pública e histórica. Sua aplicação a uma planta industrial precisa ser adaptada ao sistema e à governança atuais.
Como construir uma FTA sem desenhar conclusões prontas
- Defina a decisão e o evento de topo. Registre condição, fronteira, modo operacional, duração e consequência observada.
- Descreva o sistema antes da lógica. Use diagrama, lógica de controle, estados, redundâncias, utilidades e interfaces.
- Pergunte pelas causas imediatas suficientes. Para cada evento, identifique se as entradas são alternativas ou se precisam coexistir.
- Escolha AND ou OR pela física e pela lógica. Não use a porta para produzir a prioridade desejada.
- Marque premissas e eventos não desenvolvidos. Falta de dado não deve desaparecer no desenho.
- Pare no nível útil. O evento básico deve permitir evidência, dado, responsável ou tratamento.
- Revise dependências. Procure energia comum, ambiente, manutenção simultânea, erro de configuração, software e isolamento compartilhado.
- Valide com quem opera e mantém. Engenharia confirma lógica; operação e manutenção testam estados, acessos, sintomas e recuperação.
Minimal cut sets: os menores caminhos suficientes
Um conjunto de corte é uma combinação de eventos básicos cuja ocorrência causa o evento de topo segundo a lógica modelada. Um minimal cut set é um conjunto mínimo: se qualquer evento for retirado, aquela combinação deixa de ser suficiente.
Conjuntos mínimos de primeira ordem contêm um único evento. Eles revelam pontos únicos de falha dentro da fronteira. Conjuntos de segunda ordem exigem dois eventos, e assim por diante. A ordem ajuda na leitura estrutural, mas não determina sozinha o risco. Um conjunto de segunda ordem com eventos frequentes e dependentes pode ser mais relevante que um evento único extremamente remoto.
A lista de minimal cut sets serve para:
- localizar falhas comuns que atravessam redundâncias;
- ver quais combinações dependem de proteção ou reserva;
- definir onde dados de falha e teste são necessários;
- comparar mudanças de projeto e tarefas de manutenção;
- verificar se uma ação elimina um caminho ou apenas troca seu nome.
Análise qualitativa e quantitativa
O que a análise qualitativa entrega
A análise qualitativa verifica coerência da árvore, identifica conjuntos mínimos, pontos únicos, dependências, modos comuns e barreiras. Muitas decisões de manutenção já melhoram nesse estágio. Descobrir que duas bombas compartilham filtro, reservatório e energia pode ser mais importante que calcular seis casas decimais com dados frágeis.
A prioridade qualitativa deve considerar consequência, detectabilidade, capacidade de recuperação, ordem do conjunto, qualidade dos controles e plausibilidade no modo operacional. Ela não transforma todo evento único em ação imediata nem permite ignorar combinações graves.
O que a quantificação exige
Para eventos independentes medidos no mesmo horizonte, uma porta AND simples pode ser calculada pelo produto das probabilidades. Em uma porta OR, a probabilidade exata da união considera as interseções; quando os eventos são raros e independentes, a soma é usada como aproximação. Essas relações deixam de ser válidas quando a independência não existe ou quando os dados misturam frequência, probabilidade de falha sob demanda e indisponibilidade.
A quantificação precisa declarar:
- fonte, população e qualidade dos dados;
- intervalo de operação ou missão;
- estado reparável, não reparável ou em espera;
- intervalo de teste e tempo de reparo das falhas ocultas;
- dependências, causa comum e manutenção compartilhada;
- incerteza do parâmetro e sensibilidade do resultado;
- tratamento de conjuntos de corte sobrepostos.
O NASA Probabilistic Risk Assessment Procedures Guide apresenta procedimentos para avaliação probabilística e escolha do nível de análise. O cálculo deve apoiar a decisão, não esconder premissas. Taxa de falha de catálogo aplicada a uma população, ambiente ou regime diferente produz um número preciso apenas na aparência.
Caso industrial: perda de pressão de óleo em compressor
O caso é hipotético. O compressor C-201 opera continuamente e precisa manter pressão de óleo nos mancais. A bomba principal é acionada pelo eixo. Uma bomba auxiliar elétrica deve assumir quando a pressão cai. As duas usam o mesmo reservatório, filtro de sucção e coletor de descarga.
Evento de topo T: pressão no coletor dos mancais abaixo de 2,2 bar por mais de 5 segundos, com o compressor acima de 80% de carga. Os valores servem apenas para fechar a fronteira do exemplo e não são referência para outro equipamento.
A árvore foi estruturada assim:
- T = C OR U. O evento ocorre por falha de caminho comum C ou por indisponibilidade conjunta do bombeamento U.
- C = B1 OR B2 OR B3 OR B4. B1 é nível do reservatório abaixo da sucção mínima; B2 é filtro comum funcionalmente bloqueado; B3 é válvula de alívio ou desvio presa aberta; B4 é ruptura relevante no coletor.
- U = M AND A. M é bomba principal incapaz de entregar pressão; A é função auxiliar indisponível quando demandada.
- A = A1 OR A2 OR A3. A1 é falha mecânica da bomba auxiliar; A2 é alimentação elétrica indisponível; A3 é falha do comando de partida automática.
Os minimal cut sets resultantes são:
- {B1}, reservatório abaixo do mínimo;
- {B2}, filtro comum bloqueado;
- {B3}, alívio ou desvio preso aberto;
- {B4}, ruptura do coletor;
- {M, A1}, falha da principal combinada com falha mecânica da auxiliar;
- {M, A2}, falha da principal combinada com indisponibilidade elétrica da auxiliar;
- {M, A3}, falha da principal combinada com falha do comando automático.
Leitura qualitativa do caso
Os quatro conjuntos de primeira ordem contornam a redundância. Eles mostram que duplicar bombas não protege tanque, filtro, alívio nem coletor compartilhados. A primeira revisão técnica deve confirmar se cada evento é realmente suficiente nas condições definidas e se existem barreiras não modeladas.
Os conjuntos {M, A1}, {M, A2} e {M, A3} mostram como a reserva pode falhar sob demanda. Um teste que apenas liga o motor da auxiliar cobre parte de A1, mas não comprova alimentação em todas as configurações, comando automático, sucção, válvulas e pressão entregue. A tarefa precisa testar a função completa.
A equipe também identificou uma premissa perigosa: a fonte elétrica da auxiliar é tratada como independente da falha da bomba principal. Se uma perda geral de energia ou uma intervenção comum puder afetar as duas funções, a árvore precisa de um evento de causa comum adicional. Sem essa revisão, multiplicar probabilidades subestimaria o risco.
Ações derivadas
- B1: revisar medição de nível, independência do alarme, limite, teste e resposta operacional.
- B2: medir diferencial no filtro, definir limite e tempo de ação, além de revisar dimensionamento e estratégia de limpeza.
- B3: criar teste funcional ou inspeção compatível com o mecanismo da válvula e avaliar indicação de posição.
- B4: revisar mecanismos de dano, inspeção, suportação e proteção do coletor.
- A1 a A3: testar periodicamente a cadeia automática completa, registrando pressão entregue e tempo de resposta.
- causa comum: confirmar segregação elétrica, posições de válvula, permissivos e risco de manutenção simultânea.
O caso encerra a análise qualitativa, mas não inventa uma frequência final. Para quantificar T, a equipe ainda precisa de dados coerentes de falha em operação, probabilidade de falha sob demanda da reserva, intervalo de teste, tempo de reparo e fatores de causa comum. A decisão de melhorar os controles compartilhados não precisa esperar um número sem base.
Como a árvore volta para a manutenção
Cada evento básico precisa ter dono e tratamento. Mudança de projeto segue engenharia. Teste de proteção ou reserva vira tarefa detectiva quando aplicável. Inspeção por condição exige parâmetro e limite. Uma falha observada pode abrir RCA e atualizar a árvore. A estratégia final conversa com a engenharia de confiabilidade e com o RCM.
No SAP PM, a engenharia estrutura as tarefas aprovadas em listas, estratégias e planos, preservando o vínculo com o objeto técnico. As ordens resultantes precisam levar critério de execução e de aceitação. O PCM programa recursos e restrições. O campo registra condição encontrada, resultado do teste, medição, nota e evidência.
O PM Run atua sobre esse fluxo existente. O Planejamento organiza ordens, capacidade e sequência integradas ao SAP PM. A Mobilidade leva a ordem ao campo e devolve confirmações por operação, notas técnicas, imagens, PDFs e medições quando aplicáveis. A árvore, as probabilidades e a decisão de estratégia continuam sob responsabilidade da engenharia.
Erros que invalidam a FTA
- Definir top event sem condição operacional ou limite mensurável.
- Confundir sequência temporal com lógica AND.
- Usar OR quando os eventos precisam coexistir, ou AND para reduzir artificialmente a probabilidade.
- Tratar eventos dependentes como independentes.
- Ignorar estados de espera, manutenção, partida e contingência.
- Quantificar antes de validar a estrutura e os dados.
- Apresentar caminho possível como causa comprovada de uma ocorrência.
- Encerrar eventos em rótulos genéricos que não permitem ação.
Referências técnicas
- IEC 61025:2006, página oficial com o escopo público da análise por árvore de falhas.
- NRC NUREG-0492, Fault Tree Handbook, manual público de construção e avaliação lógica.
- NASA Small Spacecraft Systems Virtual Institute, Mechanical Fault Tree Analysis, síntese oficial sobre FTA como abordagem de cima para baixo e sua relação com FMEA.
- NASA Probabilistic Risk Assessment Procedures Guide, referência pública para análise probabilística e decisão informada por risco.
Perguntas frequentes
O que é uma árvore de falhas?
É um modelo lógico dedutivo que parte de um evento indesejado e identifica eventos isolados ou combinações capazes de causá-lo dentro de uma fronteira e de premissas declaradas.
Qual é a diferença entre porta AND e porta OR?
Na porta OR, qualquer entrada é suficiente para produzir a saída. Na porta AND, todas as entradas precisam ocorrer na condição temporal definida. A escolha vem da física, da lógica de controle e dos estados do sistema.
O que é um evento básico?
É um evento no menor nível desenvolvido pela árvore. Ele precisa ter significado técnico suficiente para receber dado, evidência, responsável ou tratamento. O nível adequado depende da decisão analisada.
O que é minimal cut set?
É a menor combinação de eventos básicos suficiente para causar o evento de topo segundo a lógica da árvore. Retirar qualquer evento dessa combinação faz aquele caminho deixar de ser suficiente.
Toda árvore de falhas precisa ser quantitativa?
Não. A análise qualitativa já identifica pontos únicos, combinações, dependências e falhas comuns. Quantificar só agrega valor quando estrutura, dados, horizonte e premissas são adequados à decisão.
FTA encontra a causa raiz de uma falha ocorrida?
Ela identifica caminhos logicamente possíveis. Para afirmar qual caminho ocorreu, a equipe precisa de evidência preservada e de uma investigação de causa. A árvore ajuda a formular e testar hipóteses.
Como a FTA se conecta ao SAP PM?
As ações aprovadas pela engenharia podem gerar mudanças de projeto, tarefas em planos, testes funcionais e inspeções. As ordens no SAP PM executam e registram esse trabalho. O histórico retorna para revisar eventos, dados e controles da árvore.
Para garantir que testes, inspeções e ordens derivados da análise cheguem ao campo e retornem ao SAP PM com evidência, conheça o planejamento e a mobilidade da PM Run. A lógica da árvore e a decisão de risco permanecem com a engenharia.
