Quatro níveis de demonstração na validação estrutural: do cálculo prescritivo ao monitoramento em serviço

Existe uma regra na certificação de aviões que costuma surpreender quem a encontra pela primeira vez. Enquanto a campanha de ensaio de fadiga da estrutura não termina, nenhuma aeronave daquele modelo pode operar além da metade dos ciclos já acumulados no corpo de prova. O avião que voa é limitado, em tempo real, pelo avião que está sendo destruído no laboratório.

Não é uma formalidade, é validação estrutural na sua forma mais literal. O 14 CFR 25.571 exige que o fabricante estabeleça um Limit of Validity, o período, em ciclos ou horas de voo, dentro do qual se demonstrou por ensaio que não ocorrerá dano por fadiga generalizada. A orientação da FAA na AC 25.571-1D recomenda que a campanha em escala real não seja inferior a duas vezes esse limite, e observa que uma campanha de três vezes, sem ocorrência de fadiga generalizada, dispensa ações de manutenção mandatórias associadas a esse mecanismo.

A vida autorizada é derivada do ensaio, e não o contrário. O projeto não afirma quanto a estrutura dura: ele propõe, e a evidência física decide.

A pergunta interessante não é por que a aviação faz isso. É por que essa lógica vale exatamente do mesmo modo para um vaso de pressão, e por que ela já está escrita na norma brasileira sem que a maior parte do mercado a use.

A mesma razão, do avião ao vaso

Convém dizer o que aquela regra é, antes de tirar conclusões dela. Ela não é física. É interpretação normativa.

Nenhuma lei natural determina que a campanha deva ser de duas vezes o Limit of Validity, nem que o limite provisório seja metade dos ciclos do corpo de prova. Alguém decidiu quanta evidência é suficiente para autorizar aquele risco, escreveu a decisão como número e assumiu a responsabilidade por ela. O que torna o caso aeronáutico valioso como referencial não é o setor: é que ali a decisão está explícita, escrita e auditável.

PONTO CRÍTICO

Validação estrutural é manter demonstrada, ao longo da vida do ativo, a validade das condições assumidas em projeto.

Não é aprovar o cálculo uma vez. É decidir quanta evidência específica sobre aquele equipamento a consequência da falha exige, e sustentar essa evidência no tempo.

Quando a ASME fixa uma margem sobre a tensão de ruptura, está decidindo quanta evidência populacional substitui o conhecimento específico sobre aquele vaso. Quando a NR-13 fixa um prazo de exame interno, está decidindo por quanto tempo uma premissa de projeto permanece aceitável sem ser reconferida. Nenhum desses números é uma constante da natureza. Todos são interpretações sobre suficiência de evidência, com autoria, data e revisão.

É por isso que a bagagem que as normas carregam aponta para o caso aeronáutico. Ele não é um exemplo emprestado de um setor mais rico: é a mesma decisão de sempre, com o raciocínio à mostra. Tomá-lo como referencial permite ler os coeficientes da ASME e os prazos da NR-13 pelo que eles de fato são, em vez de tratá-los como dados de entrada que caíram do céu.

Vale, então, nomear o problema que todas essas interpretações tentam resolver. Toda validação estrutural enfrenta a mesma dificuldade, e ela é epistemológica antes de ser técnica: um modelo de projeto é sempre uma aproximação, e a distância entre o comportamento previsto e o comportamento real cresce com o tempo em serviço.

O cálculo de projeto é uma fotografia. Registra o equipamento num instante idealizado: material homogêneo, geometria perfeita, carregamento previsto. A operação é um filme, e nele entram corrosão, ciclos térmicos, paradas não programadas e reparos de solda que ninguém desenhou. A aeronáutica resolveu isso obrigando o filme a existir antes de a frota voar. Os códigos de pressão resolvem de outro jeito, distribuindo a mesma exigência entre margem de projeto, extensão de ensaio e intervalo de inspeção.

No Brasil, a NR-13 declara no seu item 13.1.1 que seu objetivo é estabelecer requisitos mínimos para a gestão da integridade estrutural de caldeiras, vasos de pressão, tubulações e tanques. A norma não fala em conformidade de projeto: fala em manter a integridade demonstrada ao longo do tempo. É a mesma tese da certificação aeronáutica, escrita para outro setor e com outro vocabulário.

A tese, antes do desenvolvimento

Dois vasos podem ter o mesmo cálculo aprovado e níveis completamente diferentes de evidência sobre como vão se comportar em serviço. O critério de engenharia não é qual método é superior. É quanta especificidade de evidência a consequência da falha justifica.

Uma ressalva que vem antes de tudo: isto não é uma escala de maturidade, e não sugere que quem projeta pela regra prescritiva faz engenharia inferior. O eixo é outro, e é justamente aí que costuma haver confusão.

Os quatro níveis de demonstração na validação estrutural

Repare no que a figura faz. Um vaso projetado pela regra prescritiva carrega evidência empírica agregada por mais de um século de operação de centenas de milhares de equipamentos. Um vaso dimensionado por análise carrega um relatório de elementos finitos rodado na semana passada, que nunca teve um gêmeo físico em campo.

Em volume de evidência, o primeiro ganha. Em especificidade, o segundo. Tratá-los como a mesma coisa é a origem da leitura equivocada de que existe um método melhor em abstrato.

Nível 1: a evidência que já está dentro da regra

Os métodos prescritivos representam o comportamento estrutural por equações simplificadas, e compensam a simplificação com coeficientes conservadores embutidos. É a filosofia predominante da ASME Section VIII, Division 1. As hipóteses são conhecidas: distribuição uniforme de tensões, comportamento predominantemente elástico, geometria ideal, ausência de descontinuidades relevantes.

Aqui está o ponto que costuma passar despercebido. Esses coeficientes não são chutes conservadores: são o registro condensado do que a engenharia aprendeu operando aquela classe de equipamento. E a prova disso é que eles mudam quando a evidência muda.

NORMA RELACIONADA

A margem de projeto sobre a tensão de ruptura na Division 1 foi reduzida de 4,0 para 3,5 na Adenda de 1999, alteração refletida nas tensões admissíveis da Seção II, Parte D. A redução foi fundamentada por avaliação técnica do Pressure Vessel Research Council, publicada no WRC Bulletin 435 por Upitis e Mokhtarian em 1998, que examinou se o acúmulo de experiência operacional, o controle de materiais e a evolução dos ensaios não destrutivos sustentavam a margem menor. Décadas antes, a margem já havia caído de 5 para 4.

Repare que essa revisão é a mesma operação do referencial aeronáutico, com o sinal invertido. Lá, a evidência física é produzida antes para autorizar a operação. Aqui, a evidência acumulada em operação foi lida depois para autorizar uma margem menor. Nos dois casos, alguém precisou julgar quanta demonstração basta, e registrar o julgamento.

Nível 2: a evidência que a análise produz, e a que ela consome

A Division 2 costuma ser descrita como sinônimo de Design by Analysis. Não é, e a imprecisão importa: ela oferece rota por regra (Part 4) e rota por análise (Part 5) como alternativas, e boa parte de um vaso construído por ela é dimensionada pela rota de regra.

A fronteira também não é estanque do outro lado. A própria Division 1 admite, no parágrafo U-2(g), projetos cujos detalhes o código não cobre, exigindo que o projetista demonstre adequação por análise ou por ensaio; a Edição 2019 acrescentou o Apêndice Mandatório 46 para disciplinar essa rota alternativa. A passagem do Nível 1 para o Nível 2 não é uma fronteira de código: é uma decisão de engenharia sobre quanta evidência específica aquele equipamento exige.

Também não é verdade que a margem menor da Division 2 seja comprada com o cálculo. Ela é comprada com um pacote: requisitos de material e tenacidade, extensão maior de ensaios não destrutivos, tolerâncias de fabricação mais estreitas e documentação formal de projeto.

A Division 2 não é um método de cálculo. É um pacote, e separar o cálculo do pacote invalida o cálculo.

O que a análise faz, então, não é eliminar incerteza. É realocá-la. O conservadorismo sai do coeficiente e entra em hipóteses novas: malha, condições de contorno, modelo constitutivo, linhas de classificação de tensão, tratamento da solda na curva de fadiga, contagem de ciclos. O ganho real não é ter menos incerteza. É ter incerteza nomeável e contestável, e ele só se realiza se alguém de fato a contestar.

Vale organizar o que esse nível demonstra, porque a literatura costuma misturar coisas de naturezas distintas:

Modo de falha	Critério de aceitação	Método de demonstração
colapso plástico	limite de carga	análise elástica ou elastoplástica
falha local	deformação acumulada	análise elastoplástica
flambagem	carga crítica	análise de instabilidade
deformação progressiva	shakedown	análise cíclica
fadiga	dano acumulado	curva de projeto e contagem de ciclos

Tensão primária, secundária e local não são modos de falha: são um esquema de classificação. Carregamento térmico não é modo de falha: é solicitação de entrada. A confusão entre essas categorias é comum e enfraquece o argumento diante de um projetista.

Nível 3: quando o modelo precisa encontrar o corpo de prova

Modelos computacionais continuam sendo aproximações. Quando a consequência da falha é alta o bastante, valida-se experimentalmente: ensaios de ruptura, ensaios hidrostáticos instrumentados, provas de carga, campanhas de fadiga, ensaios em escala real.

A regra aeronáutica da abertura é a forma mais disciplinada desse nível, e vale desfazer aqui uma confusão que circula bastante, inclusive em texto técnico.

ERRO COMUM

O fator 1,5 da aeronáutica não tem relação com vida em fadiga. Ele pertence a outro capítulo: o 14 CFR 25.303 aplica fator de segurança de 1,5 sobre a carga limite para obter a carga última, que é exigência de resistência, medida em força e verificada em ensaio estático. A campanha de fadiga é medida em ciclos, e seus multiplicadores são outros, da ordem de duas a três vezes o Limit of Validity. Dizer que a aeronáutica ensaia "150% da vida de projeto" mistura os dois eixos e, de quebra, subestima o esforço real por uma margem larga.

Essa distinção importa para quem vai transportar a lógica. O que atravessa para a indústria de processo não é número nenhum: é a ordem dos fatores. O ensaio não serve para ampliar automaticamente a vida certificada. Serve para gerar evidência de que a vida assumida em projeto será atendida, e para calibrar o programa de inspeção que sustenta essa premissa.

No equipamento de pressão, o equivalente prático é mais modesto e igualmente útil: ensaio de ruptura em protótipo, prova hidrostática instrumentada com medição de deformação, ensaio de componentes críticos em escala. Nenhum deles exige a estrutura de uma certificação de tipo. Todos produzem evidência sobre o espécime, que é o que este nível oferece e o anterior não pode dar.

Nível 4: a evidência que só a operação produz

Depois da entrada em serviço, os dados operacionais passam a retroalimentar os modelos. Entram aqui a inspeção baseada em risco, o monitoramento de integridade estrutural, a emissão acústica, o monitoramento de deformações e a avaliação de aptidão ao serviço pela API 579-1/ASME FFS-1.

CUIDADO COM A SIGLA

Os Níveis 1, 2 e 3 da API 579 são níveis de avaliação de um dano já existente, e não os níveis de demonstração propostos aqui. A API 579 entra depois que o dano apareceu. Os quatro níveis deste artigo descrevem quanta evidência sustenta a premissa antes e durante a vida do ativo.

Aqui também é onde mora a maior fragilidade prática. Monitoramento contínuo só demonstra aquilo que está instrumentado, e a cobertura instrumentada quase nunca é a cobertura de risco. Sensor em ponto errado produz série temporal bonita e evidência nenhuma. O valor do Nível 4 depende inteiramente de a instrumentação ter sido escolhida a partir do mecanismo de dano dominante, e não a partir da facilidade de instalação.

O que a NR-13 já faz com isso, e quase ninguém usa

A discussão acima parece voluntária. No Brasil, ela não é: parte dela já está escrita, e com preço definido. A NR-13 chama de SPIE, no item 13.1.4, o estabelecimento cujo empregador obtém de forma voluntária a certificação prevista no seu Anexo II. E é a partir daí que a norma abre duas portas.

Pelo item 13.5.4.5.1, o estabelecimento com SPIE certificado pode ampliar os prazos da Tabela 2 nos casos de implementação de metodologia documentada de inspeção baseada em risco, observado o limite máximo de dez anos para o exame interno de vasos categoria I. O item seguinte exige que essa metodologia seja integrada ao Programa de Gerenciamento de Riscos, nos termos da NR-01, com critérios, normas de referência e responsáveis definidos.

Pelo item 13.5.4.5.3, a inspeção periódica interna pode ser postergada pela metade do prazo da Tabela 2, mediante quatro requisitos cumulativos: SPIE conforme o Anexo II; avaliação de risco aprovada por Profissional Legalmente Habilitado, assegurada a participação dos responsáveis pela operação; definição dos parâmetros operacionais e dos instrumentos de controle essenciais ao monitoramento do equipamento; e metodologia documentada de Inspeção Não Intrusiva.

A norma condiciona o prazo maior à existência de instrumentação. O Nível 4 não é uma aspiração de transformação digital: é requisito escrito, com contrapartida definida em anos de intervalo.

Leia o conjunto em termos de evidência. A norma brasileira já paga por demonstração, e a moeda é estrutura organizacional certificada, método documentado e dado operacional. Não é concessão burocrática: é a regulação reconhecendo que quem produz evidência específica sobre o próprio ativo pode operar com intervalo diferente de quem opera apenas com a evidência codificada na regra.

E aqui o referencial aeronáutico fecha o círculo. A FAA condiciona a operação da frota ao andamento do ensaio; a NR-13 condiciona o intervalo de inspeção à existência de SPIE, método de risco documentado e instrumentação. São a mesma estrutura de troca: evidência específica comprada com intervalo operacional. A diferença é que a aeronáutica escreveu a troca em ciclos de voo e a NR-13 escreveu em anos de campanha, e que uma é condição de certificação enquanto a outra é opção que o empregador exerce se quiser.

Uma régua de triagem

Taxonomia sem regra de decisão é ensaio, não engenharia. A triagem cruza quatro entradas verificáveis:

Entrada	Onde se apoia
Categoria do equipamento	item 13.5.1.1 e Tabela 1 da NR-13, por classe de fluido e grupo de potencial de risco
Mecanismo de dano dominante	identificado e nomeado, nunca presumido
Consequência da falha	pessoas, ambiente e continuidade operacional
Disponibilidade de dado operacional	confiável e com histórico, não apenas instrumentado

A saída da régua tem duas partes, e a segunda é a que raramente aparece: o nível recomendado e o nível não recomendado. Escalar sem necessidade consome orçamento de inspeção que faria mais falta em outro ativo.

LIMITE DESTE ARTIGO

Esta é uma recomendação de engenharia. Não substitui o enquadramento legal nem a avaliação do Profissional Legalmente Habilitado responsável pelo equipamento.

Quando escalar é erro de engenharia

Projeto conforme código prescritivo aplicável, com profissional habilitado e NR-13 atendida, é prática legalmente adequada. Os níveis superiores não corrigem ilegalidade: eles são recursos de gestão de risco, disponibilidade e prazo.

Há pelo menos três situações em que subir de nível é desperdício. Quando o mecanismo de dano dominante é corrosão generalizada previsível e a inspeção periódica já o captura. Quando a consequência da falha é economicamente pequena diante do custo do programa de demonstração. E quando não existe dado operacional confiável, caso em que o Nível 4 produz gráfico, não evidência.

Há ainda um caso menos óbvio, e ele merece cuidado. Reduzir espessura por análise refinada é legítimo, mas cada milímetro retirado deixa de estar disponível como reserva de corrosão.

A segurança que sai da parede reaparece como obrigação de inspeção. Reduzir espessura sem assumir o regime de inspeção correspondente não é otimização: é transferência de risco.

O que este artigo propõe, e o que ele não inventa

Escalas de credibilidade de evidência já existem, e é honesto dizê-lo. A ASME V&V 40 estabelece que a credibilidade exigida de um modelo deve ser proporcional ao peso dele na decisão e à consequência de a decisão estar errada. A NASA-STD-7009 avalia credibilidade de simulação por fatores em escala discreta. A API 579 organiza avaliações em níveis crescentes de rigor. A aeronáutica opera sua pirâmide de ensaios, do cupom ao componente em escala real.

Nenhum desses artefatos, porém, percorre os quatro níveis como um continuum único aplicado a equipamentos de pressão. A V&V 40 e a NASA-STD-7009 param na fronteira do modelo computacional. A API 579 entra depois que o dano existe. A pirâmide aeronáutica opera sob certificação de tipo que a indústria de processo não replica.

A contribuição aqui não é inventar uma escada nova. É integrar o que hoje está fragmentado, e sustentar uma posição que essas referências não assumem: tratar a regra prescritiva como o primeiro degrau legítimo de uma hierarquia de evidência, e não como o degrau que se abandona ao amadurecer.

Há um segundo ponto, e talvez seja o mais útil na prática. As escadas existentes escalonam rigor dentro de uma fase. Nenhuma exige coerência entre fases. Um vaso projetado com verificação de fadiga que pressupõe um espectro de ciclos que ninguém mede em operação está operando sem a evidência que o próprio projeto assumiu. A fotografia foi tirada com uma premissa, e o filme nunca foi conferido contra ela.

Declaração de interesse

A Engetex presta serviços de inspeção, análise estrutural e monitoramento de integridade. Os níveis superiores desta escala correspondem, em parte, ao que a empresa vende. O leitor técnico faz essa leitura de qualquer modo, e ela é legítima. Por isso a seção sobre quando escalar é erro não é uma cortesia: é parte do argumento.

Uma escala de evidência que só aponta para cima não é uma escala, é um catálogo.

A pergunta que organiza tudo não é se o equipamento foi bem projetado. É se a validade das condições de projeto continua demonstrada hoje, e com que grau de especificidade sobre aquele ativo. Projetar corretamente é o começo. Manter demonstrada a validade das premissas, com evidência proporcional ao risco, é o trabalho.