Exemplo de FMEA preenchido, com a escala de O, G e D
Dez modos de falha com as notas justificadas, o NPR conferido linha a linha e o motivo pelo qual a falha mais grave aparece em nono lugar no ranking do número
Planilha de FMEA em branco trava na primeira linha. Não pela fórmula, que é uma multiplicação, mas pelas três notas: quanto vale a gravidade desse efeito, com que frequência essa causa aparece, o quanto o controle de hoje realmente pega a falha.
Escala sem descritor vira negociação de reunião. Alguém defende 7, outro defende 4, e a nota que entra é a do cargo mais alto na sala. Escala com descritor de nível transforma a discussão em classificação, que é bem mais rápida de fechar.
Este artigo traz as três escalas de 1 a 10 com a descrição de cada nível. Traz também um exemplo de FMEA preenchido de ponta a ponta, em uma linha de envase, com dez modos de falha, as notas justificadas, o NPR de cada linha e o recálculo depois da ação.
O que o exemplo deixa explícito é o limite do NPR. Na tabela, a falha com o maior risco ao consumidor aparece em nono lugar no ranking do número, e a decisão correta é agir nela primeiro. A régua de priorização precisa ter gravidade como primeiro critério.
A linha de envase, as notas e os valores foram montados para este artigo no formato de uma operação real de produção. São ilustrativos e não descrevem uma empresa específica. Todos os NPR, antes e depois da ação, foram calculados e conferidos um a um com O x G x D e podem ser refeitos a partir das tabelas do texto.
O que o FMEA faz e quando aplicar
O FMEA (Análise dos Modos de Falha e seus Efeitos) é um inventário organizado do que pode dar errado em um processo, antes de dar errado. Para cada modo de falha ele registra o efeito, a causa, o controle que hoje segura a falha e a nota de risco que sai dessa combinação.
A pergunta que ele responde não é "o que mais quebrou no ano passado", e sim "onde o risco está mal coberto agora". Por isso entra antes do histórico existir: linha nova, produto novo, processo transferido de planta, fornecedor trocado, falha de campo que expôs um controle inexistente.
Dentro do método DMAIC, o FMEA de processo aparece em Analisar, quando a lista de causas já existe, e volta em Controlar, quando as ações entram no plano de controle. A visão geral da ferramenta está em o que é FMEA.
O que ele não faz: não mede nada, não prova causa e não substitui dado. Ele estrutura o julgamento técnico de quem conhece o processo. Se a equipe que preenche não opera a linha, o resultado é uma planilha de opinião.
FMEA de projeto e FMEA de processo: a diferença que muda a planilha
O DFMEA analisa o produto. O modo de falha é uma característica de projeto que não cumpre a função: eixo que rompe sob carga, vedação que não suporta a temperatura de trabalho. A ação muda desenho, material ou tolerância.
O PFMEA analisa a fabricação. O modo de falha é o processo entregando algo diferente do especificado: furo fora de diâmetro, solda com porosidade, dose abaixo do volume nominal. A ação muda parâmetro, dispositivo, controle ou padrão de trabalho.
| Aspecto | DFMEA (projeto) | PFMEA (processo) |
|---|---|---|
| Objeto | produto, componente, sistema | etapa de fabricação ou de serviço |
| Modo de falha | função de projeto não atendida | característica fora do especificado |
| Quem preenche | engenharia de produto | processo, produção e qualidade |
| Causa típica | dimensionamento sem margem | ferramenta, parâmetro ou padrão |
| Ação típica | mudar desenho, material, tolerância | mudar parâmetro, dispositivo, controle |
| Entrada principal | requisito e função do produto | fluxograma do processo |
A confusão aparece na coluna de causa, e produz ações que ninguém consegue executar. O exemplo de FMEA preenchido deste artigo é de processo: a gravidade vem do efeito no consumidor, mas todas as causas e ações ficam dentro da linha de produção.
O que precisa estar pronto antes de abrir a planilha
Preencher sem preparação produz linhas genéricas do tipo "máquina falha" com efeito "cliente insatisfeito". Três insumos evitam isso.
- O fluxograma com as etapas na sequência real, incluindo inspeções, esperas e retrabalhos. Cada etapa vira pelo menos uma linha.
- A função e o requisito de cada etapa escritos com o número: não "dosar o produto", e sim "dosar 500 ml com tolerância de mais ou menos 5 ml".
- A lista de características críticas de segurança ou de conformidade legal, que já indicam onde a gravidade vai ser alta.
A equipe é o quarto insumo e o mais decisivo. Sem operador, manutentor, qualidade e engenharia na mesma sala, as notas de ocorrência viram chute e as de detecção viram otimismo. Quando não há histórico, o FMEA usa processo similar como referência, e a planilha registra isso.
As colunas do formulário, uma a uma
| Coluna | O que entra | Erro comum |
|---|---|---|
| Etapa / função | o que a etapa entrega, com requisito numérico | pôr o nome da máquina no lugar da função |
| Modo de falha | a forma como o requisito deixa de ser atendido | escrever a causa aqui |
| Efeito | o que o cliente interno ou final sente | descrever o efeito só dentro da etapa |
| G | gravidade do efeito, de 1 a 10 | baixar a nota porque a falha é rara |
| Causa | o mecanismo que gera o modo de falha | parar em "erro do operador" |
| O | ocorrência da causa, de 1 a 10 | estimar a ocorrência do efeito |
| Controle atual | prevenção e detecção que já existem | listar controle apenas planejado |
| D | detecção do controle, de 1 a 10 | dar nota baixa para inspeção visual |
| NPR | produto O x G x D | usar o NPR como único critério |
| Ação recomendada | o que vai mudar uma das três notas | escrever "treinar equipe", sem alvo |
| Responsável e prazo | um nome e uma data | deixar a área no lugar da pessoa |
| Notas após ação | G, O e D recalculados com a ação implantada | recalcular antes de a ação existir |
Nenhuma coluna é opcional. Planilha sem responsável e sem prazo não gera ação; planilha sem recálculo não mostra se a ação funcionou.
Modo de falha, efeito e causa: a separação que sustenta as notas
As três notas dependem de três objetos diferentes. A gravidade avalia o efeito, a ocorrência avalia a causa, a detecção avalia o controle. Embaralhados na mesma frase, ficam sem referência.
Teste rápido: o modo é o que o processo fez de errado, o efeito é o que acontece por causa disso, a causa é por que o processo fez isso. "Torque de fechamento abaixo do mínimo" é modo. "Vazamento no transporte" é efeito. "Mola do cabeçote fadigada" é causa.
Um modo pode ter vários efeitos, e a gravidade usada é a do efeito mais severo. Um modo pode ter várias causas, e cada causa vira uma linha própria, porque a ocorrência e a ação são diferentes.
Chegar à causa real exige método. O diagrama de Ishikawa abre as famílias de causa e os 5 porquês descem até o nível em que a ação é possível. Parar em "falha humana" deixa a linha sem ação viável.
A escala de Gravidade (G), de 1 a 10
A gravidade mede o impacto do efeito sobre o consumidor e sobre a operação. Não depende de frequência nem de controle: um efeito catastrófico que nunca aconteceu continua com nota 10.
| G | Critério | Exemplo no envase |
|---|---|---|
| 10 | risco à segurança do consumidor ou não conformidade legal, sem aviso prévio | corpo estranho no frasco; validade errada |
| 9 | risco à segurança ou não conformidade legal, com aviso prévio | lote sem codificação, produto não rastreável |
| 8 | produto inutilizável, perda total da função principal | contaminação cruzada entre fragrâncias |
| 7 | função principal degradada, cliente muito insatisfeito | vazamento do frasco no transporte |
| 6 | função secundária perdida, devolução provável | tampa trincada na rosca |
| 5 | função secundária degradada, reclamação frequente | caixa com quantidade divergente |
| 4 | defeito de aparência percebido pela maioria | produto escorrendo pela tampa |
| 3 | defeito de aparência percebido por parte dos clientes | rótulo deslocado |
| 2 | defeito percebido apenas por cliente atento | leve variação de tom do rótulo |
| 1 | sem efeito perceptível | posição dentro da tolerância visual |
Regra prática: gravidade 9 ou 10 entra no plano de ação independentemente das outras notas. Esse é o primeiro corte de priorização, e ele vem antes do NPR.
A escala de Ocorrência (O), de 1 a 10
A ocorrência mede a frequência esperada da causa, não do efeito. A base pode ser tempo, ciclos ou peças; o que importa é declarar qual base a planilha usa e manter a mesma em todas as linhas.
| O | Frequência da causa | Referência aproximada |
|---|---|---|
| 10 | quase certa, várias vezes por turno | mais de 1 em 10 |
| 9 | muito alta, todo turno | 1 em 20 |
| 8 | alta, várias vezes por semana | 1 em 50 |
| 7 | alta, semanal | 1 em 100 |
| 6 | moderada, algumas vezes por mês | 1 em 500 |
| 5 | moderada, mensal | 1 em 2.000 |
| 4 | moderada, poucas vezes por ano | 1 em 10.000 |
| 3 | baixa, anual | 1 em 50.000 |
| 2 | muito baixa, isolada em processo similar | 1 em 150.000 |
| 1 | improvável, causa eliminada por projeto do processo | menos de 1 em 1.500.000 |
Nota 1 tem significado restrito: a causa foi eliminada, em geral por dispositivo que impede fisicamente a condição. Se a causa apenas nunca foi observada, a nota é 2 ou 3. Duas semanas contando a causa por turno em uma folha de verificação transformam essa coluna de estimativa em medida.
A escala de Detecção (D), de 1 a 10
A detecção mede a capacidade do controle atual de pegar a falha antes de ela sair da fábrica. A escala é invertida: quanto melhor o controle, menor a nota. É a coluna em que o preenchimento mais infla.
| D | Capacidade do controle atual | Exemplo de controle |
|---|---|---|
| 10 | não existe controle, ou o controle não detecta | nenhuma verificação da característica |
| 9 | detecção muito remota, por via indireta | conferência de registro depois do turno |
| 8 | detecção remota, amostragem esparsa e visual | olhar um frasco por lote |
| 7 | detecção baixa, inspeção visual duplicada | dupla conferência de parâmetro digitado |
| 6 | detecção baixa, amostragem com instrumento | teste de torque em 1 frasco por hora |
| 5 | detecção moderada, amostragem frequente com instrumento | pesagem por amostra a cada 30 minutos |
| 4 | detecção moderada a alta, inspeção 100% manual | inspeção visual 100% na saída da etapa |
| 3 | detecção alta, ensaio automático com verificação periódica | detector testado por corpo de prova |
| 2 | detecção muito alta, ensaio automático 100% com rejeito | leitor de visão que descarta o frasco |
| 1 | a falha não pode ocorrer ou é detectada de forma inevitável | dispositivo que trava a máquina |
Inspeção visual humana não merece nota abaixo de 4 em nenhuma situação. Inspeção 100% de item repetitivo tem taxa de escape conhecida, e a planilha que dá nota 2 para o olho do operador está escondendo risco.
Controles de prevenção e de detecção não entram na mesma nota
A coluna de controle atual recebe dois tipos de item que atuam em notas diferentes. Prevenção reduz a chance de a causa acontecer e afeta a ocorrência. Detecção pega a falha depois de ela existir e afeta a detecção.
- Prevenção: trava mecânica que impede montagem invertida, receita carregada pelo sistema, manutenção por contagem de ciclos, interlock que não libera a etapa seguinte.
- Detecção: pesagem por amostra, teste de torque, leitor de visão, ensaio de estanqueidade, conferência final.
O erro clássico é listar a manutenção preventiva na coluna de controle e usar isso para baixar a nota de detecção. Preventiva não detecta nada; ela reduz ocorrência. Separar os dois é o que permite escolher a ação certa depois.
Como calcular o NPR
O Número de Prioridade de Risco é o produto das três notas: NPR = O x G x D. Com escalas de 1 a 10, o resultado varia de 1 a 1.000. Não há média, peso ou ajuste.
Uma linha com G = 8, O = 6 e D = 5 tem NPR = 240. Uma linha com G = 10, O = 2 e D = 3 tem NPR = 60. A segunda envolve risco à segurança e tem NPR quatro vezes menor que a primeira.
Esse é o comportamento esperado da fórmula, não um defeito de preenchimento. O produto trata as três dimensões como intercambiáveis, e elas não são: gravidade não se compensa. O NPR também não é linear em significado. A diferença entre 240 e 168 é de ordenação; entre 240 e 48 é de categoria.
Por que o NPR não pode ser o único critério de priorização
Limiar fixo do tipo "agir acima de 100" é o erro de priorização mais difundido. Ele cria dois problemas simétricos.
- Falso negativo: falha de gravidade 10 com ocorrência 2 e detecção 3 fica em NPR 60 e não entra no plano, embora seja risco ao consumidor.
- Falso positivo: falha estética de gravidade 3 com ocorrência 8 e detecção 6 chega a NPR 144 e consome a agenda do time.
O critério de três camadas resolve. Primeira: toda linha com G igual a 9 ou 10 entra, qualquer que seja o NPR. Segunda: toda linha com G a partir de 5 e O a partir de 7 entra, porque falha séria e frequente não depende do olho da detecção. Terceira: o restante ordenado por NPR.
É o mesmo princípio que as revisões recentes de norma formalizaram sob o nome de prioridade de ação, com faixas construídas a partir das combinações de G, O e D, e não do produto delas. O NPR segue útil como ordenador dentro da terceira camada e como medida do efeito da ação; deixa de ser útil quando vira nota de corte.
O processo do exemplo: envase de 500 ml
O exemplo a seguir cobre uma linha de envase e rotulagem de produto líquido em frasco de 500 ml, com as etapas de limpeza entre lotes, dosagem, fechamento de tampa, rotulagem, codificação de lote e validade, inspeção final e encaixotamento.
A base de ocorrência declarada é frascos produzidos, e a linha roda cerca de 40.000 frascos por mês. A base de detecção é a saída da fábrica: o controle só conta se pega a falha antes da expedição.
Dez linhas cobrem os modos de falha com histórico ou risco relevante. Uma planilha real dessa linha passaria de trinta linhas; o recorte mantém um caso de cada situação que muda a decisão.
Exemplo de FMEA preenchido: a tabela completa
Todos os NPR abaixo são o produto O x G x D das notas da própria linha. A ordem é a do fluxo do processo, não a do risco.
| Etapa e modo de falha | Efeito | G | Causa | O | Controle de detecção atual | D | NPR |
|---|---|---|---|---|---|---|---|
| Limpeza: resíduo da fragrância anterior no tanque | contaminação cruzada, lote perdido | 8 | enxágue encurtado manualmente para ganhar produção | 4 | análise organoléptica do primeiro frasco | 5 | 160 |
| Dosagem: volume abaixo do mínimo | menos produto do que o rotulado, infração legal | 8 | bomba descalibrada por desgaste do selo | 6 | pesagem por amostra a cada 30 minutos | 5 | 240 |
| Dosagem: volume acima do limite | perda de produto, transbordo na tampa | 4 | ajuste manual sem set point na troca de formato | 7 | conferência visual do nível | 6 | 168 |
| Fechamento: torque abaixo do mínimo | vazamento no transporte, devolução | 7 | mola do cabeçote de aperto fadigada | 4 | teste de torque em 1 frasco por hora | 6 | 168 |
| Fechamento: torque acima do máximo | tampa trincada, frasco inutilizado | 6 | pressão de linha acima do set point | 3 | inspeção visual 100% na saída | 4 | 72 |
| Rotulagem: rótulo deslocado | rejeição no recebimento, retrabalho | 3 | guia do aplicador solta por vibração | 8 | inspeção visual 100% na saída | 2 | 48 |
| Codificação: lote e validade ausentes | produto não rastreável, recall sem delimitação | 9 | cabeça de jato entupida por secagem | 5 | leitor de visão com rejeito automático | 2 | 90 |
| Codificação: data de validade incorreta | produto vencido em prateleira, risco ao consumidor | 10 | parâmetro digitado errado na abertura da ordem | 2 | dupla conferência humana na ordem | 7 | 140 |
| Inspeção final: corpo estranho não detectado | risco à saúde do consumidor, recall | 10 | sensibilidade do detector fora de ajuste | 2 | teste com corpo de prova a cada 2 horas | 3 | 60 |
| Encaixotamento: caixa com menos de 12 frascos | falta na entrega, divergência fiscal | 5 | contagem manual no fim do turno | 6 | pesagem da caixa fechada | 3 | 90 |
A soma dos dez NPR é 1.236, com média de 124. Tirando a única linha que não receberá ação, o torque acima do máximo, as nove restantes somam 1.164. Esse agregado serve para acompanhar a evolução da planilha, não para decidir o que fazer amanhã.
Lendo a tabela: o que a ordem do NPR mostra e o que ela esconde
Ordenada por NPR, a tabela fica assim: 240 (dose abaixo), 168 (dose acima), 168 (torque abaixo), 160 (resíduo de fragrância), 140 (validade errada), 90 (codificação ausente), 90 (quantidade na caixa), 72 (torque acima), 60 (corpo estranho), 48 (rótulo deslocado).
Três leituras saltam. O modo com o maior risco ao consumidor, corpo estranho não detectado, é o penúltimo da lista. Está baixo porque a causa é rara (O = 2) e o ensaio automático é bom (D = 3), mas a gravidade 10 continua lá.
"Rótulo deslocado", com gravidade 3, tem NPR 48, quase igual ao da falha de segurança. Um corte em 50 trataria os dois como equivalentes. E "dose acima do limite", com gravidade 4, aparece em segundo lugar: o que empurra o NPR é ocorrência 7 com detecção 6, problema frequente e mal controlado, de baixo impacto.
Aplicando o critério de três camadas, o plano abre com validade incorreta (G = 10), corpo estranho (G = 10) e codificação ausente (G = 9). Depois entra dose acima do limite, pela regra de O a partir de 7. Só então a ordem do NPR governa o restante.
Ações recomendadas: o que muda cada nota
Ação recomendada não é intenção; é uma mudança concreta que ataca uma das três notas. A pergunta que valida cada ação é "qual nota ela muda, e de quanto". Sem resposta, a ação não entra na planilha.
- Reduzir ocorrência: eliminar a causa por projeto, travar a condição com dispositivo à prova de erro, trocar ajuste manual por parâmetro carregado pelo sistema, substituir componente por ciclos em vez de por quebra.
- Reduzir detecção: aumentar frequência ou cobertura da inspeção, trocar amostragem por ensaio automático, pôr rejeito automático no lugar de aviso, mover o ponto de controle para perto da causa.
- Reduzir gravidade: só mudando o projeto de modo que o efeito deixe de existir, o que raramente está ao alcance do PFMEA.
"Treinar o operador" não é ação: não muda nota nenhuma de forma verificável. "Padronizar o set point por SKU em procedimento operacional padrão e travar o campo no supervisório" é ação, porque muda a ocorrência e pode ser auditada. Cada ação sai com responsável nominal, data e evidência de eficácia.
O NPR recalculado depois da ação
O recálculo acontece depois da implantação verificada, nunca no momento em que a ação é escrita. Nove das dez linhas receberam ação; "torque acima do máximo" ficou em monitoramento e manteve NPR 72.
| Modo de falha | Ação implantada | Antes | NPR | Depois | NPR |
|---|---|---|---|---|---|
| Dose abaixo do mínimo | preventiva do selo por ciclos e balança em linha com rejeito | 8 x 6 x 5 | 240 | 8 x 3 x 2 | 48 |
| Dose acima do limite | set point por SKU travado no supervisório e POP de troca | 4 x 7 x 6 | 168 | 4 x 3 x 4 | 48 |
| Torque abaixo do mínimo | troca da mola por ciclos e teste em 3 frascos a cada 2 horas | 7 x 4 x 6 | 168 | 7 x 2 x 4 | 56 |
| Resíduo de fragrância | interlock de tempo mínimo de enxágue no CIP | 8 x 4 x 5 | 160 | 8 x 2 x 3 | 48 |
| Data de validade incorreta | validade calculada pelo sistema e conferida pelo leitor de visão | 10 x 2 x 7 | 140 | 10 x 1 x 3 | 30 |
| Codificação ausente | purga automática da cabeça de jato em parada acima de 10 minutos | 9 x 5 x 2 | 90 | 9 x 3 x 2 | 54 |
| Caixa com quantidade menor | contagem por sensor na entrada da encaixotadeira | 5 x 6 x 3 | 90 | 5 x 3 x 2 | 30 |
| Corpo estranho não detectado | corpo de prova a cada hora e bloqueio da linha na falha do teste | 10 x 2 x 3 | 60 | 10 x 2 x 2 | 40 |
| Rótulo deslocado | travamento mecânico da guia do aplicador | 3 x 8 x 2 | 48 | 3 x 4 x 2 | 24 |
A soma dos nove NPR cai de 1.164 para 378, redução de 68%. Nenhuma gravidade mudou, o que é o esperado: o PFMEA age sobre causa e controle, não sobre o efeito.
Repare na linha de corpo estranho: o NPR sai de 60 para 40, queda pequena em número absoluto, e essa é a ação mais importante da lista. Julgar as ações pela variação do NPR reproduz o mesmo erro de priorizar por ele.
Erros mais comuns no preenchimento
- Escrever a causa na coluna de modo de falha. "Bomba descalibrada" é causa; o modo é "volume abaixo do mínimo".
- Descrever o efeito só dentro da própria etapa. Sem chegar ao cliente seguinte ou ao consumidor, a gravidade fica subdimensionada.
- Rebaixar a gravidade porque a falha é rara ou bem detectada.
- Dar nota de detecção 1 ou 2 para inspeção visual humana.
- Listar controle inexistente, ou manutenção preventiva, na coluna que sustenta a nota de detecção.
- Parar a causa em "falha do operador", o que fecha a linha sem ação possível.
- Usar limiar fixo de NPR como única regra, deixando gravidade 10 fora do plano.
- Recalcular as notas junto com a escrita da ação, antes de qualquer evidência de implantação.
- Preencher sem operador na sala, o que desconecta as notas de ocorrência do turno real.
- Deixar o FMEA sem ligação com o plano de controle, o que faz a ação morrer na planilha.
Os dois últimos são os que mais esvaziam a ferramenta: um tira a base factual das notas, o outro tira o destino das ações.
FMEA é documento vivo: os gatilhos de revisão
FMEA arquivado depois da auditoria é custo sem retorno. Ele descreve o risco de um processo em um momento, e o processo muda. A planilha precisa de gatilhos explícitos de revisão.
- Mudança de processo: equipamento, parâmetro, sequência de etapas ou layout.
- Mudança de entrada: fornecedor novo ou matéria-prima com especificação diferente.
- Falha de campo ou reclamação que expôs modo ausente da planilha ou controle que não detectou.
- Ação concluída: a verificação de eficácia fecha o ciclo com o recálculo das notas.
- Revisão periódica, com prazo definido pela criticidade da linha.
A ligação com a rotina se dá em duas pontas: cada controle de detecção registrado deve existir no plano de controle, com frequência, tamanho de amostra e reação definida, e cada característica crítica deve ter resposta prevista quando o controle acusa.
Fechado esse ciclo, a planilha deixa de ser entregável de auditoria e vira a lista de onde o processo está descoberto. É nesse estado que um exemplo de FMEA preenchido tem valor: cada linha com dono, prazo e uma nota que alguém vai recalcular.
