Processo fora de controle: as oito regras que dizem a hora de agir

Um processo fora de controle não é um processo ruim. É um processo em que apareceu alguma coisa que não estava lá antes. A carta não julga qualidade: ela compara o comportamento de hoje com o comportamento que o próprio processo demonstrou quando ninguém interferiu.

Isso tem uma consequência que desarma quase toda reunião de qualidade. Um processo pode estar fora de controle e entregar cem por cento das peças dentro da especificação. As duas afirmações são verdadeiras ao mesmo tempo, porque descrevem objetos diferentes.

E é exatamente aí que está o dinheiro. Quando a causa acabou de entrar, ela ainda tem data, turno e lote. Ninguém precisou refugar nada para saber que ela existe. Esperar o refugo aparecer é esperar a causa envelhecer, e causa velha custa caro.

Só que ninguém enxerga um processo fora de controle apenas olhando o gráfico. É preciso critério escrito. Este texto trata das oito regras de detecção, do que cada uma denuncia fisicamente, de quantos pontos cada uma demora a disparar e de quantos alarmes falsos você compra ao ligar todas.

Sobre a procedência dos números: as probabilidades de zona e o comprimento médio de sequência da primeira regra saíram de cálculo fechado em Python. Os demais vieram de simulação de 12 milhões de pontos por regra. O simulador foi conferido contra dois valores de referência conhecidos: 370,4 para a regra 1 sozinha e 91,75 para o conjunto clássico da Western Electric.

O que significa um processo fora de controle

Um processo fora de controle é aquele cujo comportamento recente não pode mais ser explicado pela variação que ele próprio demonstrou quando estava estável. Alguma causa nova entrou. O termo não diz que o resultado é ruim, não diz que a peça é refugo e não diz que o cliente vai reclamar.

A expressão vem do vocabulário do controle estatístico de processo, onde controle quer dizer previsível, não quer dizer bom. Sob controle, você consegue prever a faixa em que a próxima medição vai cair. Num processo fora de controle, essa previsão deixou de valer.

A carta de controle é o instrumento que separa os dois estados, e a American Society for Quality a define exatamente assim, como ferramenta de decisão sobre estabilidade. Este artigo não repete como montá-la. Trata do que fazer depois que ela já está plotada e um ponto começa a incomodar.

Fora de controle e fora da especificação respondem a perguntas diferentes

A especificação pergunta se a peça serve. A carta pergunta se o processo mudou. São perguntas distintas, com donos distintos e prazos distintos, e a confusão entre elas está destrinchada em limites de controle e limites de especificação.

Quatro combinações existem, e três delas costumam ser mal lidas. Sob controle e dentro da tolerância é o caso confortável. Sob controle e fora da tolerância significa que o sistema, funcionando como sempre, não alcança o que foi pedido: isso é projeto de melhoria, não é investigação de turno.

Um processo fora de controle e também fora da especificação é o caso que todo mundo trata, porque dói. Já um processo fora de controle e dentro da especificação é o caso que interessa aqui, porque é o mais barato de resolver e o mais ignorado de todos.

Se a capabilidade do processo é folgada, o deslocamento consome metade da margem sem gerar uma única peça reprovada. A conta é direta: com Cp igual a 1, deslocar a média em um desvio leva o refugo de 2.700 para 22.782 partes por milhão. Nenhuma dessas peças precisa aparecer para a carta acusar.

A regra do ponto além de três desvios: o que ela pega

A primeira das oito regras é a que todo mundo conhece. Um ponto além de três desvios da linha média. Em processo estável e com dado aproximadamente normal, a chance de um ponto isolado cair ali é de 0,0027, ou 27 em cada dez mil.

Isso dá um alarme falso a cada 370 pontos, em média. O número não é nível de confiança negociado. É escolha econômica, e a origem do controle estatístico de processo registra o raciocínio: três desvios é onde o custo de caçar fantasma e o custo de perder sinal ficam ambos toleráveis.

Eventos grandes e datáveis são o que essa regra pega bem. Lote de matéria-prima trocado, ferramenta quebrada, sensor descalibrado, operador novo sem treino. Com a média deslocada em três desvios, ela declara o processo fora de controle em duas amostras, em média.

É um critério excelente para aquilo que é óbvio. O problema começa quando a mudança é pequena.

O ponto além de três desvios não enxerga deslocamento pequeno

Deslocar a média em um desvio já é mudança relevante de processo. Com a regra do ponto isolado trabalhando sozinha, a chance de detecção por ponto é de 2,28%. Em média, são 44 pontos plotados até o primeiro alarme.

Com meio desvio de deslocamento fica pior: 155 pontos, em média. Numa carta com oito pontos por turno e dois turnos por dia, isso equivale a quase dez dias de produção com a causa ligada e o gráfico calado sobre um processo fora de controle.

Esse critério também é cego para padrão. Sete pontos seguidos acima da média, todos dentro dos limites, não violam nada e não têm nada de normal. Um gráfico sequencial mostra o desenho, mas não diz a partir de quando o desenho deixa de ser acaso.

As outras sete regras existem para isso. Elas não olham um ponto: olham a sequência.

As zonas A, B e C e por que a carta é cortada em seis faixas

Para transformar padrão em regra, é preciso um jeito de dizer quão longe da média um ponto está sem citar o valor dele. Daí as zonas. Cada metade da carta é dividida em três faixas de um desvio, e as faixas ganham nome.

A zona C encosta na linha média e vai até um desvio. A zona B ocupa a faixa de um a dois desvios. A zona A vai de dois a três. Além da zona A ficam os limites de controle, e o manual de estatística aplicada do NIST usa esse mesmo vocabulário.

Essa tabela é o gabarito de leitura. Se a sua carta tem bem mais de 68 pontos em cem dentro da zona C, alguma coisa estreitou a variação de forma artificial. Se tem bem menos, existe variação que os limites não representam.

As oito regras estão todas escritas nesse vocabulário. Elas contam quantos pontos consecutivos caíram em qual faixa, e comparam a contagem com a chance de aquilo acontecer por acaso num processo estável.

As oito regras de detecção, uma a uma

A lista abaixo é a de Nelson, de 1984, que consolidou os testes da Western Electric e acrescentou os que faltavam. Juntas, elas são os oito critérios que declaram um processo fora de controle. Cada linha traz o padrão exigido, a causa física que ele costuma denunciar e o número médio de pontos até o alarme quando a média desloca um desvio.

Repare que as regras não são independentes entre si. A 1, a 5 e a 6 perseguem o mesmo fenômeno com sensibilidades diferentes, e a 2 e a 3 também se sobrepõem. A redundância é proposital, e ela tem preço.

Deslocamento de média: três regras, três velocidades

As regras 1, 5 e 6 detectam a mesma coisa. O centro do processo saiu do lugar. O que muda entre elas é o tamanho do deslocamento que cada uma enxerga primeiro.

A regra 1 exige um ponto a mais de três desvios, o que pede deslocamento grande ou azar. A 5 aceita dois pontos entre dois e três desvios em três tentativas. A 6 desce a barra para um desvio e pede quatro pontos em cinco, o que a torna a mais sensível das três a mudanças médias.

Fisicamente, deslocamento de média é a causa mais comum do chão de fábrica. Setup refeito, lote novo de insumo, troca de fornecedor, controlador de temperatura mexido na madrugada. A dispersão continua a mesma, só que em outro patamar.

Nenhuma das três diz qual foi a causa. Elas dizem quando o processo ficou fora de controle, e essa data é o insumo mais valioso para a análise de causa raiz que vem depois.

Deriva e patamar: quando a causa entra devagar

Seis pontos consecutivos na mesma direção é o que a regra 3 pede. Esse é o padrão da deriva, e deriva quase sempre tem causa mecânica ou química: ferramenta gastando, filtro entupindo, banho saturando, molde esquentando ao longo do turno.

Deriva é traiçoeira porque cada ponto isolado parece aceitável. Nenhum deles chama atenção sozinho. O que chama atenção é a direção, e direção só existe em sequência.

Já a regra 2, com nove pontos do mesmo lado, detecta patamar em vez de movimento. O processo deu um pulo e ficou no lugar novo. Em processo estável, nove pontos do mesmo lado acontecem por puro acaso a cada 510 pontos, em média.

A diferença entre as duas muda a pergunta que você leva ao chão de fábrica. Deriva pergunta o que está se degradando com o tempo. Patamar pergunta o que mudou naquele instante específico e deixou o processo fora de controle a partir dali.

Ciclo e mistura: o padrão que sobe e desce sozinho

Catorze pontos alternando para cima e para baixo é o que a regra 4 procura. Esse desenho não é aleatório: são duas fontes se revezando na mesma carta. Dois bicos injetores, duas cavidades de molde, duas balanças, dois operadores em turnos alternados.

É o sintoma clássico de amostragem mal desenhada. O subgrupo está juntando coisas que não deveriam ser comparadas entre si, e a carta denuncia o erro de coleta antes de denunciar o processo.

Já a regra 8 ataca o mesmo problema por outro ângulo. Oito pontos consecutivos além de um desvio, alguns acima e outros abaixo da média, nenhum encostado nela. Isso é mistura de dois fluxos de médias diferentes, plotados como se fossem um só.

Quando esses dois padrões aparecem, a primeira hipótese não é o processo. É o plano de amostragem. Vale revisar o plano de controle antes de procurar causa dentro da máquina.

Estratificação: o sinal contraintuitivo de variação pequena demais

Ninguém espera a regra 7. Quinze pontos consecutivos dentro da zona C, colados na linha média, declaram o processo fora de controle. Variação pequena parece ótima, e é justamente por isso que esse sinal passa batido.

Em processo estável, a chance de quinze pontos seguidos caírem dentro de um desvio é de 0,33%. Acontece por acaso a cada 963 pontos. Quando acontece com frequência, a explicação não é excelência.

As causas típicas são três. A primeira é limite calculado errado, com sigma superestimado, quase sempre por usar o desvio da série inteira em vez da variação de curto prazo. A segunda é estratificação: o subgrupo pegou uma peça de cada máquina, e a média diluiu a diferença entre elas.

A terceira é a pior de todas. Alguém está arredondando, copiando ou inventando o dado. Um histograma da mesma série costuma mostrar o buraco na hora, com picos em valores redondos e vales entre eles.

ARL: quanto tempo a carta demora para perceber

ARL é a sigla de average run length, comprimento médio de sequência. É o número médio de pontos plotados até a carta apontar um processo fora de controle. Existem dois deles, e confundir os dois é onde a discussão sobre regras costuma naufragar.

O ARL sob processo estável é o intervalo médio entre alarmes falsos. Quanto maior, melhor, porque significa que a carta incomoda pouco quando nada aconteceu. Com a regra 1 sozinha, ele vale 370 pontos.

O ARL sob processo deslocado é o atraso de detecção. Quanto menor, melhor. Com a regra 1 sozinha e a média deslocada em um desvio, ele vale 44 pontos. Com meio desvio, sobe para 155.

Os dois se movem juntos e em sentidos opostos. Toda regra que você liga reduz o atraso de detecção e reduz também o intervalo entre alarmes falsos. Não existe regra que melhore um lado sem piorar o outro.

A conta do alarme falso que quase ninguém faz

Decidir quantas regras ligar não é questão de gosto. É uma conta de duas linhas, e ela precisa do seu volume de pontos plotados por mês.

Tome uma linha que plota oito pontos por turno, em dois turnos, durante 22 dias úteis. São 352 pontos por mês. Divida esse volume pelo ARL sob processo estável de cada conjunto e você tem quantas vezes por mês alguém vai investigar um processo fora de controle que nunca saiu de controle.

Sair da regra 1 sozinha para as oito de Nelson divide o atraso de detecção por 4,6 e multiplica os alarmes falsos por 4,9. A 40 minutos de chão de fábrica por fantasma investigado, a última linha custa 37 horas por ano.

E repare na penúltima linha contra a última. O conjunto clássico de quatro regras detecta o deslocamento um pouco mais rápido que as oito, com menos alarme falso. As regras 4, 7 e 8 cobram atenção e quase nada devolvem contra deslocamento de média.

Quais regras ligar na prática

A recomendação que funciona não é ligar tudo nem ficar só no ponto além de três desvios. É ligar o conjunto que a sua equipe consegue atender dentro do prazo combinado.

1. Comece pelas regras 1, 2 e 3. Elas cobrem evento isolado, patamar novo e deriva, que são as três histórias que quase todo processo fora de controle conta.
2. Acrescente a regra 5 quando a equipe já responder aos três primeiros sinais sem atraso. Ela é a que mais reduz o atraso de detecção por alarme falso comprado.
3. Ligue a regra 7 uma vez, na implantação, e olhe o resultado. Se ela disparar, o problema está no cálculo dos limites ou na coleta, não no processo.
4. Deixe as regras 4 e 8 para quando houver suspeita de mistura de fluxos ou de subgrupo mal formado. Fora desse contexto, elas gastam atenção sem devolver informação.
5. Escreva no documento quais regras estão ligadas, com data e responsável. Se a decisão ficar no botão do software, ela muda sozinha na próxima atualização.

Quem monta a carta em planilha precisa implementar cada regra à mão, e isso é bom, porque obriga a decidir de propósito. O caminho está em controle estatístico no Excel.

O roteiro de ação quando a regra dispara

Sinal detectado e ninguém sabendo o que fazer dá no mesmo que sinal não detectado. O roteiro precisa existir antes, com nome de função e prazo, porque a janela de rastreabilidade de um processo fora de controle fecha rápido.

Depois de três dias, ninguém lembra qual lote estava na máquina às onze da manhã de terça. O prazo curto não é rigor burocrático: é o que mantém a causa localizável.

Registrar o que foi encontrado importa tanto quanto agir. Uma folha de verificação de ocorrências transforma reações soltas em base de dados para o próximo projeto de redução de variação.

Reagir ao ponto não é investigar a causa

Existe uma diferença que decide se o CEP vai funcionar na sua empresa. Reagir ao ponto é mexer na máquina para trazer o próximo ponto de volta. Investigar a causa é descobrir o que entrou no processo.

O primeiro comportamento é o que Deming chamou de adulteração, e ele aumenta a variação em vez de reduzir. Ajuste feito em resposta a variação comum multiplica o desvio pela raiz de dois. Os 14 princípios de Deming tratam disso como falha de gestão, não de operação.

A regra disparou e o processo está fora de controle. Isso autoriza investigar, não autoriza ajustar. O ajuste só entra depois que a causa foi identificada, e quando ele for a correção dela.

Para chegar lá, as ferramentas de sempre servem. O diagrama de Ishikawa levanta as hipóteses, e os 5 porquês descem da hipótese até a condição que pode ser eliminada. Quando o sinal é recorrente e caro, vira projeto de DMAIC.

O OCAP: a resposta combinada antes do alarme

Escrever esse roteiro uma vez, com todo mundo junto e sem pressão, é o que o OCAP faz. A sigla vem de out of control action plan, ou seja, plano de ação para processo fora de controle.

O documento tem três partes. O gatilho é a regra que disparou, escrita com número e tudo. A sequência de verificação é a ordem das hipóteses a testar, da mais provável e mais barata para a mais rara e mais cara.

A saída diz o que acontece quando a sequência termina sem achar a causa. Escalar para a engenharia, parar a linha, segregar o que foi produzido desde o último ponto bom. Sem essa parte, o operador roda o roteiro, não acha nada e volta a produzir.

Esse plano existe porque decisão tomada durante o alarme é decisão pior. A pressa empurra para a resposta que resolve o gráfico, e não para a que resolve o processo.

O erro de recalcular os limites com a causa ainda ligada

Esta falha mata mais programas de CEP do que qualquer outra. O processo deslocou, os pontos começaram a bater no limite, alguém recalculou os limites com os dados novos e o alarme sumiu.

Sumiu porque os limites engoliram a causa especial. O sigma novo foi estimado a partir de uma série contaminada, ficou maior, e a faixa alargou o suficiente para acomodar o desvio. A carta voltou ao verde com o processo fora de controle do mesmo jeito.

O efeito é cumulativo. A cada recálculo os limites afrouxam mais, e chega um ponto em que a carta não detecta absolutamente nada. Ela vira decoração com aparência de estatística.

Essa regra é fácil de enunciar e difícil de sustentar politicamente. Limite não se recalcula para apagar sinal. Limite se recalcula depois que o sinal foi explicado e a causa foi removida ou incorporada de propósito.

Quando recalcular os limites de verdade

Existem situações em que o recálculo é obrigatório, e todas têm uma coisa em comum. Alguém mudou o processo de propósito e sabe exatamente o que mudou.

• Mudança deliberada e documentada: máquina nova, método novo, matéria-prima homologada diferente. Colete uma base estável depois da mudança antes de fixar qualquer linha.
• Causa especial identificada e eliminada: retire da base de cálculo os pontos daquele evento, com o motivo registrado, e recalcule com o restante da série.
• Base inicial curta demais: limites feitos com vinte subgrupos são provisórios por natureza. Refaça quando o histórico crescer.
• Melhoria confirmada e sustentada: se a variação caiu de verdade e se manteve, guardar o limite velho é abrir mão de detectar a próxima piora.

Em todos os casos, o recálculo tem dono, data e justificativa escrita no próprio registro da carta. Sem os três, é apenas o alarme de processo fora de controle sendo desligado com outro nome.

Manter a base de cálculo separada da série corrente é o detalhe que impede o recálculo acidental, e o modelo de carta de controle em Excel já vem organizado assim.