Limites de controle e limites de especificação: a confusão mais cara do CEP
Um número vem do cliente, o outro vem do processo. Desenhar os dois na mesma carta produz duas falhas opostas: perder sinal real e reagir a ruído
Existem duas linhas horizontais que aparecem em gráficos de qualidade e que quase todo mundo trata como a mesma coisa. Elas não são. Confundir limites de controle e limites de especificação é o erro mais caro do controle estatístico, e ele custa dinheiro nas duas direções.
A diferença é de natureza, não de cálculo. O limite de especificação vem do cliente, da norma ou do projeto: é o que o produto precisa ser para servir. O limite de controle vem do próprio processo, calculado a partir do que ele produziu: é o que o processo consegue entregar hoje.
Um é desejo. O outro é fato. Nada garante que os dois coincidam, e na maior parte das fábricas eles não coincidem nem de longe. É por isso que cruzar as duas linhas no mesmo gráfico não é atalho didático, é defeito de método.
O erro produz duas consequências opostas e igualmente ruins. Quando a especificação é larga, a equipe deixa de ver mudanças reais do processo. Quando a especificação é estreita, a equipe reage a ruído e aumenta a variação com as próprias mãos. Este texto trata as duas separadamente, com números.
Sobre a procedência: os dois exemplos numéricos foram calculados em Python e conferidos linha a linha. O efeito do ajuste indevido foi confirmado por simulação de dois milhões de peças em três sementes diferentes. As tabelas foram montadas para este artigo a partir dessas contas.
As duas linhas que parecem iguais no gráfico e não são
Abra qualquer planilha de chão de fábrica e você vai encontrar um gráfico com pontos e linhas horizontais. O olho não distingue uma linha da outra: as duas são retas, as duas são vermelhas, as duas parecem dizer a mesma coisa. A semelhança visual é a origem do problema.
Os limites de especificação respondem a uma pergunta sobre a peça: esta unidade serve para o uso pretendido? É uma pergunta de aceitação, respondida peça a peça, e a resposta é binária. O limite de controle responde a uma pergunta sobre o processo: alguma coisa mudou desde a última vez?
A carta de controle existe só para responder à segunda pergunta. Ela não aprova peça, não libera lote e não substitui inspeção. Quem espera dela um veredito de conformidade está usando a ferramenta errada, e vai tirar a conclusão errada.
O controle estatístico de processo inteiro depende dessa separação. Sem ela, a carta vira um gráfico de aceitação com estatística decorativa por cima, e todo o ganho do método desaparece.
De onde sai cada número
A forma mais rápida de sair da confusão é perguntar de onde veio o número. Se você consegue apontar o documento que originou a linha, a natureza dela fica clara na hora.
A especificação está num desenho, num contrato ou numa norma, e existia antes da primeira peça. O limite de controle só pode ser calculado depois que o processo rodou.
| Pergunta | Limite de especificação | Limite de controle |
|---|---|---|
| De onde vem o número | Desenho, contrato, norma ou requisito de uso | Cálculo sobre os dados que o próprio processo gerou |
| Quando passa a existir | Antes da produção começar | Depois de rodar o processo e coletar amostras |
| O que descreve | O que a peça precisa ser para servir | O que o processo consegue entregar hoje |
| Quem define | Cliente, engenharia de produto, normalização | Ninguém define: o processo revela |
| Muda quando | Muda o requisito, o projeto ou o contrato | Muda o processo, e o recálculo confirma |
| O que significa violar | Aquela peça específica não serve | O processo mudou e existe causa localizável |
| O que fazer ao violar | Segregar, avaliar disposição, decidir destino da peça | Investigar o que aconteceu naquele instante da produção |
| A quem interessa | Ao cliente e a quem responde pelo contrato | A quem opera e a quem responde pelo processo |
Por que o limite de controle é três sigma do próprio processo
O limite de controle é calculado a partir da variação que o processo demonstrou quando ninguém interferiu. A conta padrão coloca as linhas a três desvios da média estimada, e o desvio é estimado da variação de curto prazo, não da dispersão total da série.
A escolha de três não é nível de confiança pactuado. Ela é econômica, e a origem do controle estatístico de processo deixa isso explícito. Limite apertado gera alarme falso e consome hora de engenharia atrás de causa inexistente. Limite largo deixa passar desvio real e produz refugo.
Três sigma é o ponto em que esses dois custos ficam aceitáveis ao mesmo tempo. Num processo estável, o intervalo médio entre alarmes falsos sobe de 22 amostras, no caso de dois sigma, para 370. Essa distância separa a carta que a equipe respeita da carta que ela ignora.
O ponto decisivo é a fonte do sigma. Ele sai dos dados. Se a máquina for trocada, o sigma muda e as linhas mudam junto. O gráfico sequencial já mostra a série; a carta acrescenta o critério de decisão sobre ela.
Por que a especificação não tem nada a ver com sigma
Os limites de especificação não são calculados a partir de dado nenhum do processo. Ela vem de função, de montagem, de segurança, de exigência legal ou de negociação comercial. Um eixo precisa entrar no mancal. Um torque precisa segurar a junta sem romper o parafuso.
Esses requisitos existem independentemente de qual máquina vai fazer a peça. Você pode trocar o fornecedor inteiro e a especificação continua a mesma. Você pode trocar a máquina e os limites de controle mudam no dia seguinte. Isso já resolve a questão sozinho.
Não existe sigma na definição de especificação. Não existe média, amplitude, subgrupo nem constante de tabela. Quando alguém diz que a tolerância é de três sigma, está descrevendo uma coincidência numérica de um processo específico, não uma propriedade da especificação.
A confusão também não é de inferência estatística. A carta não é teste de hipótese com nível de significância acordado, e a especificação não é uma faixa de confiança. São três objetos distintos que as planilhas insistem em empilhar no mesmo eixo vertical.
A prova: mude a especificação e os limites não se mexem
A demonstração cabe em dez números. Tomamos dez medições de torque de aperto, em newton-metro, coletadas em sequência de produção: 11,30 | 12,11 | 11,92 | 12,20 | 12,49 | 12,21 | 12,42 | 11,68 | 11,74 | 11,93.
A média é 12,000. A amplitude móvel média das nove diferenças consecutivas é 0,339. O desvio estimado é 0,339 dividido por 1,128, o que dá 0,300. Os limites de individuais ficam em 12,000 mais ou menos 2,66 vezes 0,339, ou seja, 11,099 e 12,901.
Agora mude a especificação três vezes e refaça a conta. O resultado está na tabela: os limites de controle não se movem um milésimo, porque nenhum deles usou a especificação como insumo. O que muda é a capabilidade, que compara as duas coisas.
| Especificação adotada | LIE | LSE | LIC calculado | LSC calculado | Cp resultante |
|---|---|---|---|---|---|
| 12,0 com tolerância de 0,5 | 11,500 | 12,500 | 11,099 | 12,901 | 0,55 |
| 12,0 com tolerância de 1,0 | 11,000 | 13,000 | 11,099 | 12,901 | 1,11 |
| 12,0 com tolerância de 1,5 | 10,500 | 13,500 | 11,099 | 12,901 | 1,66 |
Repare no primeiro valor da série. O torque de 11,30 está fora da especificação mais estreita e dentro dos limites de controle. Ele é peça ruim e é variação normal ao mesmo tempo. As duas afirmações são verdadeiras e não se contradizem.
Reproduzir isso no modelo de carta de controle em Excel leva dois minutos e costuma encerrar a discussão mais rápido do que qualquer explicação verbal.
Consequência 1: processo capaz, especificação larga, sinal perdido
Comece pelo caso que quase ninguém percebe, porque ele não gera reclamação nem refugo. Uma usinagem de eixo com diâmetro especificado em 50,00 milímetros e tolerância de 0,60. A especificação vai de 49,40 a 50,60, uma faixa de 1,200 milímetro.
O processo é bom. Com subgrupos de cinco peças, a média das médias é 50,000 e a amplitude média é 0,186. O desvio estimado é 0,186 dividido por 2,326, o que dá 0,0800. O Cp e o Cpk valem 2,50, muito acima de qualquer critério de aceitação.
Os limites da carta de médias ficam em 50,000 mais ou menos 0,577 vezes 0,186. Isso dá 49,893 e 50,107, uma faixa de 0,215 milímetro. A faixa de especificação é 5,6 vezes mais larga que a faixa de controle. As duas linhas nem cabem na mesma escala de gráfico.
Então a ferramenta desgasta e a média sobe para 50,180. É uma mudança real, com causa localizável, ocorrida num turno específico. E ninguém reage.
O que a equipe não viu: a conta do eixo deslocado
A carta de médias grita. Com a média em 50,180 e o desvio da média em 0,0358, a probabilidade de um subgrupo cair acima do LSC é de 0,979. Na prática, o primeiro subgrupo depois do desgaste já acusa. O número médio de amostras até o alarme é 1,02.
A inspeção por especificação não vê nada. Com média 50,180 e desvio 0,080, a proporção de peças acima de 50,600 é de 0,076 parte por milhão. Isso é uma peça a cada treze milhões. A linha produziria durante anos sem uma única reprovação.
| Grandeza do eixo | Processo original | Depois do desgaste | Leitura |
|---|---|---|---|
| Média em milímetros | 50,000 | 50,180 | Deslocamento de 0,180, equivalente a 2,25 desvios |
| Desvio estimado | 0,0800 | 0,0800 | A dispersão não mudou, só o centro |
| Cpk | 2,50 | 1,75 | Perda de 30% da margem, invisível na inspeção |
| Peças fora da especificação | 0,000 ppm | 0,076 ppm | Uma a cada treze milhões: nada aparece |
| Chance de alarme por subgrupo | 0,3% | 97,9% | A carta acusa logo no primeiro subgrupo |
Para a especificação começar a reagir com algum volume, a média teria que chegar a 50,414, um deslocamento de 5,2 desvios. A carta acusa deslocamentos a partir de 0,107. A diferença entre os dois gatilhos é de quase quatro vezes.
O prejuízo não é o refugo, que não existe. É a informação perdida. A causa do desgaste continua agindo, o processo segue degradando, e quando alguém finalmente percebe a margem já foi embora e a causa original ficou velha demais para ser rastreada.
Consequência 2: processo não capaz, especificação estreita, ajuste indevido
Agora o oposto. Torque de aperto especificado em 12,0 newton-metro com tolerância de 0,5, ou seja, de 11,5 a 12,5. É a mesma série de dez pontos usada na seção da prova: média 12,000 e desvio estimado 0,300.
O Cp e o Cpk valem 0,56. O processo não é capaz e está longe disso. Com média centrada, a proporção de peças fora da especificação é de 9,56%, ou 95.581 partes por milhão. Aproximadamente uma peça em cada dez nasce fora da tolerância.
Os limites de controle são 11,099 e 12,901. Eles são mais largos que a especificação. Quase todo ponto fora da tolerância está dentro dos limites de controle, o que significa uma coisa só: aquela peça ruim é produto do sistema funcionando normalmente.
O operador, olhando a especificação desenhada na carta, enxerga um ponto fora da linha vermelha e faz o que qualquer pessoa razoável faria. Ele corrige a máquina na direção contrária ao erro. É aí que o dano começa.
O funil de Deming: a conta de quem ajusta a cada peça fora
Deming demonstrava isso com um funil, uma bolinha e um alvo. Se você move o funil para compensar cada desvio observado, a dispersão dos pontos aumenta em vez de diminuir. A regra que parece corretiva é destrutiva, e o efeito tem tamanho conhecido.
Simulamos a política exata do chão de fábrica: medir cada peça e, sempre que ela sair da tolerância, deslocar o ajuste da máquina pelo valor do erro em relação ao alvo. Dois milhões de peças, três sementes distintas, resultado estável em todas.
| Métrica do torque | Sem ajustar nada | Ajustando toda peça fora da tolerância | Efeito |
|---|---|---|---|
| Desvio efetivo | 0,300 | 0,424 | Multiplicado por 1,41, que é a raiz de dois |
| Peças fora da tolerância | 9,56% | 23,8% | Duas vezes e meia mais refugo |
| Partes por milhão | 95.581 | 238.000 | Acréscimo de 142.000 ppm criado pela reação |
| Cp | 0,56 | 0,39 | A capabilidade piora por causa da correção |
| Peças que disparam ajuste | Nenhuma | 23,8% delas | O ajuste se alimenta do próprio estrago |
| LSC se recalculado depois | 12,901 | 13,273 | A carta registra a piora que a equipe causou |
O detalhe mais desconfortável está na penúltima linha. Quanto mais a equipe ajusta, mais peças saem da tolerância, e mais motivos para ajustar aparecem. O sistema encontra um equilíbrio pior do que aquele em que começou, e a equipe atribui isso à máquina.
Esse mecanismo está no centro dos 14 princípios de Deming, e é a razão de o método insistir tanto na distinção entre causa comum e causa especial. Tratar variação comum como evento é adulterar o processo com a melhor das intenções.
Por que a carta de controle nunca deve ter linha de especificação
A regra é categórica e vale para qualquer carta de variáveis. Não desenhe os limites de especificação na carta de controle. Não é purismo de manual, é consequência direta dos dois exemplos acima. A linha de especificação no gráfico induz exatamente os dois erros.
Quando a especificação é mais larga que os limites, ela dá permissão visual para ignorar sinais válidos. Quando é mais estreita, ela convida a reagir a pontos que não são sinal nenhum. Nos dois casos, a presença da linha piora a decisão de quem olha.
Existe um agravante técnico na carta de médias. Os pontos plotados são médias de subgrupo, e médias variam menos que peças individuais. Comparar uma média de cinco com uma tolerância de peça é comparar grandezas de escalas diferentes, e o erro sempre subestima o risco real.
O lugar certo de confrontar processo e especificação é outro. Um histograma da distribuição com as linhas de tolerância marcadas mostra a folga de forma honesta. Montar isso no histograma no Excel é trabalho de poucos minutos e não contamina a carta.
Os quatro cenários possíveis e a ação correta em cada um
Como as duas perguntas são independentes, existem quatro combinações. Cada uma pede uma ação diferente, e três delas costumam ser tratadas errado na prática.
| Situação | O que a carta diz | O que a inspeção diz | Ação correta | Erro típico |
|---|---|---|---|---|
| Sob controle e dentro da especificação | Processo previsível, sem sinal | Tudo conforme | Manter, monitorar e não mexer em nada | Ajustar por hábito e estragar o que funciona |
| Sob controle e fora da especificação | Processo previsível | Refugo constante e previsível | Projeto de redução de variação ou recentragem, conduzido pela gestão | Cobrar o operador por algo que o sistema determina |
| Fora de controle e dentro da especificação | Sinal claro de mudança | Nenhuma peça reprovada | Investigar a causa especial agora, enquanto ela é rastreável | Ignorar porque o cliente não reclamou |
| Fora de controle e fora da especificação | Sinal claro de mudança | Refugo aparecendo | Conter a peça, achar a causa especial e só depois olhar capabilidade | Mexer em parâmetro de projeto antes de estabilizar |
A ordem importa. Capabilidade calculada sobre processo fora de controle não significa nada, porque não existe uma distribuição estável para descrever. Primeiro estabilize, depois meça a folga contra a especificação. Inverter essa ordem produz índices que mudam a cada mês sem explicação.
Sob controle e fora da especificação: a situação mais incômoda
Nas empresas brasileiras, nenhum cenário é pior resolvido do que este, e o exemplo do torque é exatamente ele. O processo é estável, previsível e confiável. E entrega 9,56% de peças fora da tolerância, de forma consistente, mês após mês.
Não existe causa especial para achar. Não existe culpado no turno. O processo está fazendo exatamente aquilo para o que foi montado. A carta não vai apitar, porque não há nada de anormal acontecendo. O refugo é normal, no sentido técnico da palavra.
A saída tem três caminhos, e nenhum deles passa pelo operador. Reduzir a variação, o que exige mexer em máquina, insumo, método ou ambiente. Recentrar a média, quando a folga é assimétrica. Ou renegociar a especificação, se ela for mais apertada do que o uso exige.
Os três são projeto de melhoria, não ação de turno. O método DMAIC existe para conduzir esse tipo de trabalho com dado. E a fase de medição precisa de um indicador de qualidade estável, o que só o processo sob controle oferece.
Fora de controle e dentro da especificação: o alarme que parece exagero
O caso simétrico é o do eixo. A carta acusa, ninguém reclama, e a reação padrão é dizer que a carta está sensível demais. Esse é o momento em que a maioria das implantações de CEP morre, porque a equipe conclui que a ferramenta gera alarme à toa.
Mas o alarme está certo. O processo mudou. Existe uma causa datável, recente e rastreável agindo agora. Investigar hoje custa uma conversa com o operador do turno. Investigar daqui a três meses custa um projeto inteiro, e provavelmente não encontra nada.
Para tirar o improviso dessa reação existe documento específico. O OCAP descreve, para cada tipo de sinal, quem é chamado, o que se verifica e em que ordem. Sem ele, cada alarme vira negociação sobre se vale a pena olhar.
Cp e Cpk são exatamente a razão entre as duas coisas
A relação entre os dois limites tem nome e fórmula. Os índices de capabilidade não medem qualidade nem desempenho: eles medem o quanto a voz do cliente é mais larga que a voz do processo. São uma divisão entre as duas grandezas deste artigo.
| Índice | O que vai no numerador | O que vai no denominador | Pergunta que responde |
|---|---|---|---|
| Cp | Largura da especificação, LSE menos LIE | Seis desvios do processo | A faixa do processo caberia na tolerância se estivesse centrada? |
| Cpk | Distância da média ao limite mais próximo | Três desvios do processo | A faixa do processo cabe na tolerância onde ela está de fato? |
| Cpk menor que Cp | - | - | O processo está descentrado e há ganho disponível em recentrar |
| Cp alto e Cpk baixo | - | - | Variação boa, centragem ruim, correção geralmente barata |
| Cp baixo | - | - | Variação insuficiente para a tolerância, nenhum ajuste de centro resolve |
O tratamento completo do cálculo, das variantes de longo prazo e dos casos não normais está em capabilidade do processo. Para rodar a conta com dados próprios, a planilha de capabilidade já traz a estrutura pronta.
O que muda na ação em cada caso
A diferença conceitual só vale alguma coisa se mudar o que alguém faz na segunda-feira. Muda, e muda em quatro dimensões: quem age, com que urgência, sobre o quê e com qual prova de que funcionou.
- Violação de especificação é ação sobre a peça. Segregar, identificar, avaliar disposição e decidir entre retrabalho, uso sob concessão ou descarte. Isso não melhora o processo e não deveria ser confundido com melhoria.
- Violação de limite de controle é ação sobre o processo. Registrar o horário, levantar o que mudou naquele instante, testar a hipótese e documentar. A peça pode estar perfeitamente conforme e ainda assim a investigação se justifica.
- Refugo estável sem sinal na carta é ação sobre o sistema. Projeto com prazo de semanas, patrocinado por quem controla orçamento de máquina, método e insumo. Ação de turno aqui só produz o funil de Deming.
- Sinal na carta com peça conforme é ação imediata de investigação. A janela de rastreabilidade é curta e fecha em dias. Esperar reclamação de cliente para agir é abrir mão da vantagem inteira do método.
Quem define cada limite e quem pode mudá-lo
Boa parte da confusão sobrevive porque a autoridade sobre as duas linhas está mal distribuída. Uma das linhas é negociável e a outra não é, e é comum inverterem quais.
| Linha | Origem formal | Autoridade para alterar | O que é preciso para alterar |
|---|---|---|---|
| LIE e LSE | Desenho, contrato ou norma aplicável | Engenharia de produto junto com o cliente | Justificativa de uso, aprovação formal e revisão do documento |
| LIC e LSC | Cálculo sobre dados de produção | Ninguém altera por decisão: recalcula-se | Evidência de que o processo mudou e nova coleta estável |
| Linha central | Média das amostras do período de referência | Recalculada junto com os limites | Mesma coleta que originou os novos limites |
| Alvo de processo | Definido pela engenharia dentro da tolerância | Engenharia de processo | Análise de custo, desgaste esperado e risco assimétrico |
Qual característica é monitorada, com que carta, com que frequência e quem reage a cada situação é conteúdo do plano de controle. Esse documento é o lugar onde as duas linhas convivem sem se misturar, cada uma na sua coluna.
Roteiro de diagnóstico em sete passos
Diante de um gráfico suspeito, esta sequência resolve a maioria dos casos em poucos minutos. Ela funciona tanto para auditar uma carta existente quanto para montar a primeira.
- Aponte a origem documental de cada linha horizontal do gráfico. Se você não consegue dizer de que documento ou de que cálculo ela saiu, apague a linha até descobrir.
- Confira se alguma linha do gráfico é um número redondo do desenho. Tolerâncias costumam ser redondas. Limites calculados quase nunca são, e essa pista sozinha resolve muitos casos.
- Refaça o cálculo dos limites a partir dos dados brutos, sem olhar a especificação. Se o resultado bater com as linhas do gráfico, elas são de controle. Se não bater, alguém digitou a tolerância ali.
- Verifique a escala. Se a faixa de controle é visualmente muito mais estreita ou muito mais larga que a de tolerância, você está diante de um dos dois cenários de erro descritos aqui.
- Classifique o processo nas duas perguntas separadas: está sob controle, sim ou não; está dentro da especificação, sim ou não. Use a tabela dos quatro cenários para escolher a ação.
- Se houver sinal de causa especial, investigue antes de calcular qualquer índice. Capabilidade sobre processo instável é número sem significado e vai mudar sozinho no mês seguinte.
- Registre o que foi encontrado em cada reação, com data e hora. Uma folha de verificação simples de ocorrências transforma reações isoladas em base para o próximo projeto de redução de variação.
Três hábitos que mantêm a confusão viva
A confusão persiste porque três práticas comuns a alimentam, e nenhuma delas parece errada à primeira vista.
- Chamar a especificação de limite. A palavra limite, sozinha, é ambígua em português e em inglês. Escreva sempre limite de controle ou limite de especificação, inclusive no cabeçalho da planilha e na conversa de reunião.
- Usar o mesmo gráfico para aceitar lote e monitorar processo. São duas decisões diferentes, com dados diferentes e responsáveis diferentes. Juntar economiza um gráfico e custa as duas decisões.
- Deixar o software decidir. Vários geradores automáticos de gráfico plotam tolerância junto por padrão, porque isso agrada visualmente. Desligar essa opção é a primeira configuração a conferir.
Montar a coisa em controle estatístico no Excel fixa a separação: a célula do limite referencia a coluna de dados, a da tolerância recebe número digitado.
No fim, a pergunta que resolve qualquer dúvida continua sendo a mesma. Este número descreve o que o cliente quer, ou o que o processo faz? Se descreve o que o cliente quer, ele não tem lugar na carta. Se descreve o processo, ele não decide destino de peça.
