Bow Tie na Engenharia: causas, consequências e barreiras

Entenda como aplicar Bow Tie na Engenharia para relacionar ameaças, evento central, consequências, barreiras preventivas, mitigadoras e fatores de degradação.

Confira!

Bow Tie é uma técnica de análise de riscos que representa, em uma única estrutura visual, como determinadas ameaças podem levar à perda de controle sobre um perigo e quais consequências podem ocorrer caso esse evento crítico se materialize. O método conecta ameaças, evento central, consequências e barreiras, permitindo verificar não apenas “quão crítico” é um risco, mas principalmente quais controles precisam impedir sua ocorrência e quais controles precisam limitar seus efeitos.

Em projetos de Engenharia, o Bow Tie é particularmente útil quando o risco exige clareza sobre barreiras técnicas, administrativas e operacionais. Ele não substitui HAZOP, FMEA, FTA, matriz de riscos ou análise quantitativa. Sua força está em tornar explícita a lógica causal e a arquitetura de controles de um cenário crítico, facilitando decisões de projeto, verificação de salvaguardas, definição de responsabilidades, comissionamento e monitoramento de risco residual.

O que é análise Bow Tie

O nome Bow Tie, ou “gravata borboleta”, vem da forma do diagrama. À esquerda ficam as ameaças capazes de levar ao evento crítico; no centro fica o top event ou evento central; à direita ficam as consequências possíveis. Entre ameaças e evento central são posicionadas as barreiras preventivas. Entre evento central e consequências aparecem as barreiras mitigadoras.

A leitura correta do método exige separar conceitos que frequentemente são misturados. O perigo é a fonte, situação ou condição com potencial de dano. O evento central representa a perda de controle sobre esse perigo. As ameaças são condições ou eventos capazes de provocar essa perda de controle. As consequências são os efeitos plausíveis que podem se desenvolver depois do evento central.

Essa distinção evita diagramas vagos. Se o centro do Bow Tie recebe algo como “risco elétrico alto” ou “falha grave”, a análise perde precisão. O evento central precisa descrever uma mudança de estado observável, por exemplo: perda de isolamento de um circuito energizado, perda da alimentação redundante, sobrepressão de um equipamento, perda de contenção, indisponibilidade de um sistema crítico ou liberação não controlada de energia.

Se o risco depende de múltiplas barreiras e disciplinas, o ganho está em transformar o Bow Tie em governança: cenário, controles, owners, evidências e risco residual precisam permanecer conectados ao gerenciamento do empreendimento.

Estruture o gerenciamento de riscos de Engenharia →

A lógica ameaça → evento central → consequência

A estrutura Bow Tie combina duas perguntas diferentes. No lado esquerdo, a equipe investiga o que pode fazer perder o controle. No lado direito, investiga o que pode acontecer depois que o controle foi perdido. Essa separação é valiosa porque prevenção e mitigação não são a mesma coisa.

Uma barreira preventiva procura interromper a cadeia causal antes do evento central. Uma barreira mitigadora atua depois do evento central, reduzindo a probabilidade de determinadas consequências, sua severidade ou sua propagação.

Estrutura lógica de um Bow Tie aplicado à gestão de riscos de Engenharia

Esse encadeamento melhora a qualidade do tratamento de riscos porque impede que a equipe confunda ação preventiva com resposta contingencial. Também ajuda a identificar situações em que existe um grande número de controles à esquerda, mas quase nenhuma capacidade de limitar consequências caso a prevenção falhe — ou o contrário.

O que deve existir no centro do Bow Tie

O evento central é o ponto de articulação do método. Ele não deve ser tão amplo a ponto de reunir cenários sem relação causal, nem tão específico a ponto de transformar o diagrama em uma sequência operacional impossível de gerenciar.

Um bom evento central descreve uma perda de controle relevante sobre um perigo. Em sistemas elétricos, pode ser a energização não intencional de uma parte que deveria estar desenergizada. Em Data Centers, pode ser a perda simultânea das fontes que sustentam determinada carga crítica. Em sistemas pressurizados, pode ser a perda de contenção. Em infraestrutura de telecomunicações, pode ser a perda de conectividade de um backbone sem caminho alternativo disponível.

A equipe deve ser capaz de responder quatro perguntas sobre o evento central:

qual condição anterior precisa existir para que o cenário seja relevante;
quais ameaças podem provocar a perda de controle;
quais barreiras impedem cada ameaça de chegar ao evento central;
quais consequências podem se desenvolver se o evento central ocorrer.

Quando essas respostas não são claras, normalmente o problema está na formulação do cenário e não na ferramenta.

Ameaças: causas que podem levar ao evento central

Ameaça não é sinônimo de causa raiz. Em um Bow Tie, ameaça é um evento, condição ou mecanismo que pode iniciar a sequência que leva ao evento central. Uma ameaça pode, por sua vez, ter causas subjacentes que precisam ser investigadas por RCA, 5 Porquês, FTA ou outra técnica.

Em um cenário de perda de alimentação de um sistema crítico, ameaças podem incluir falha da alimentação normal, falha de transferência automática, indisponibilidade do grupo gerador, manutenção simultânea em elementos redundantes, erro de configuração, atuação indevida de proteção ou falha comum que afete dois caminhos aparentemente independentes.

O ganho do Bow Tie aparece quando a equipe deixa de listar apenas ameaças e passa a perguntar: qual barreira existe contra cada uma delas e como sabemos que essa barreira está disponível e eficaz?

Barreiras preventivas

Barreiras preventivas atuam antes do evento central. Elas reduzem a probabilidade de uma ameaça progredir até a perda de controle. Em Engenharia, podem assumir diferentes naturezas:

barreiras de projeto: redundância, segregação física, dimensionamento, intertravamentos, proteção, fail-safe, seleção de materiais;
barreiras instrumentadas: detecção, lógica de controle, permissivos, trips e sistemas de proteção;
barreiras físicas: contenção, separação, isolamento, proteção mecânica;
barreiras procedimentais: permissões de trabalho, checklists, sequências operacionais, bloqueio e etiquetagem;
barreiras organizacionais: segregação de funções, dupla verificação, autoridade técnica, alçadas de aprovação;
barreiras de garantia: inspeção, testes, FAT, SAT, comissionamento, auditorias e verificação independente.

Uma lista de controles, por si só, não demonstra que existem barreiras eficazes. A análise deve verificar se o controle é específico para a ameaça, se está implementado, se possui desempenho adequado, se é independente das demais salvaguardas relevantes e se pode ser testado ou evidenciado.

Barreiras mitigadoras

Barreiras mitigadoras entram em ação após o evento central. O objetivo é evitar que a situação evolua para determinadas consequências ou reduzir a magnitude dos efeitos.

Exemplos incluem sistemas de detecção e alarme, contenção secundária, proteção contra incêndio, rotas alternativas, desligamento de emergência, redundância de recuperação, procedimentos de resposta, plano de contingência, capacidade de isolamento, estoque estratégico de sobressalentes e recuperação de dados.

Uma barreira mitigadora não deve ser contabilizada como prevenção se ela só atua depois que o evento central já aconteceu. Essa distinção é especialmente importante em análises de disponibilidade e continuidade, nas quais uma arquitetura pode parecer “redundante” mas depender de mecanismos que só reduzem o tempo de recuperação e não a probabilidade de indisponibilidade.

Desempenho de barreira: existência não é eficácia

Um dos erros mais frequentes em Bow Tie é considerar que a simples presença de um controle no desenho significa que a barreira é confiável. Em gestão de riscos, uma barreira precisa ser tratada como função que deve estar disponível quando demandada.

Por isso, a análise deve buscar evidências de desempenho. Dependendo do caso, isso pode envolver critérios como:

função claramente definida;
requisito de desempenho mensurável;
independência suficiente em relação a falhas comuns;
disponibilidade operacional;
capacidade de teste;
manutenção e inspeção definidas;
responsável pela integridade da barreira;
evidência de comissionamento e aceitação;
monitoramento de degradação;
tratamento de bypass, inibição ou indisponibilidade temporária.

Essa abordagem conecta Bow Tie com gestão de ativos, confiabilidade, QA/QC e comissionamento. A barreira deixa de ser apenas um retângulo no diagrama e passa a ter requisitos e evidências associadas.

Barreiras críticas só são defensáveis quando requisitos, critérios de aceite, testes e evidências demonstram que a função prevista foi realmente implementada e permanece verificável ao longo do ciclo de vida.

Integre requisitos, evidências e critérios de aceite →

Fatores de degradação das barreiras

Uma barreira pode existir e ainda assim falhar quando solicitada. O Bow Tie pode ser aprofundado por meio da identificação de fatores de degradação, isto é, condições que reduzem sua eficácia.

Imagine uma barreira baseada em inspeção periódica. Sua eficácia pode ser degradada por procedimento inadequado, frequência insuficiente, instrumento sem calibração, equipe sem competência, registros incompletos ou falha no tratamento das anomalias encontradas. Para cada fator relevante, podem existir controles específicos de degradação.

Esse nível de análise é útil para diferenciar “barreira projetada” de “barreira assegurada”. Em projetos complexos, muitos riscos residuais decorrem menos da ausência de salvaguardas e mais da perda progressiva de sua integridade ao longo do ciclo de vida.

Como construir um Bow Tie passo a passo

A construção deve começar pelo cenário, não pela ferramenta gráfica.

1. Defina o escopo e os objetivos

Determine qual sistema, fase, processo ou decisão será analisado. Um Bow Tie de construção pode ter controles diferentes de um Bow Tie de operação. Também devem estar claros os objetivos afetados: segurança, disponibilidade, prazo, custo, desempenho, meio ambiente, continuidade ou conformidade.

2. Identifique o perigo e formule o evento central

Descreva a fonte de risco e a perda de controle que será colocada no centro. Teste a formulação perguntando se o evento central ocorre antes das consequências que a equipe pretende analisar.

3. Identifique ameaças plausíveis

Liste mecanismos capazes de levar ao evento central. Evite duplicar a mesma ameaça com redações diferentes e não transforme controles ausentes em ameaças. “Falta de manutenção” pode ser causa de degradação de uma barreira, enquanto “falha do equipamento por degradação não detectada” pode ser uma ameaça mais adequada ao cenário.

4. Identifique barreiras preventivas

Para cada ameaça, verifique o que efetivamente interrompe a sequência. Registre controles reais, não intenções genéricas como “atenção da equipe”.

5. Identifique consequências

Avalie efeitos diferentes. Um mesmo evento central pode produzir consequência de segurança, indisponibilidade, dano a ativo, perda financeira e impacto contratual. Entretanto, consequências devem permanecer causalmente plausíveis.

6. Identifique barreiras mitigadoras

Associe controles que atuam depois do evento central e antes de cada consequência. Verifique se existe cobertura para os principais caminhos de escalada.

7. Analise degradação e garantia das barreiras

Determine como a organização confirma a integridade de cada barreira e quais fatores podem reduzir sua eficácia.

8. Defina responsáveis e ações

O diagrama deve produzir decisões. Barreiras críticas sem owner, evidência ou plano de verificação devem gerar ações rastreáveis no registro de riscos, plano de ação, plano de inspeção e testes ou sistema de gestão correspondente.

Exemplo: perda da alimentação de uma carga crítica

Considere um sistema em que determinada carga precisa permanecer energizada. O perigo pode ser a dependência de energia elétrica para sustentar uma função essencial. O evento central pode ser definido como perda de alimentação da carga crítica além do tempo de autonomia admissível do estágio imediatamente disponível.

Entre as ameaças possíveis estão falha do alimentador normal, falha do ATS, falha de partida do gerador, indisponibilidade simultânea de fontes durante manutenção e falha comum associada a um quadro compartilhado.

Barreiras preventivas podem incluir arquitetura redundante, alimentação por caminhos independentes, proteção seletiva, intertravamentos, redundância N+1, manutenção baseada em condição, ensaios periódicos e controle de intervenções simultâneas.

Após o evento central, barreiras mitigadoras podem incluir UPS com autonomia disponível, transferência para caminho alternativo, shedding controlado, plano de contingência, recuperação priorizada e procedimentos de operação em emergência.

As consequências podem incluir indisponibilidade de sistemas, perda de dados, interrupção de processo, descumprimento de SLA, dano operacional e necessidade de parada segura.

O exemplo mostra por que o Bow Tie não deve ser tratado como “matriz bonita”. Ele força a equipe a demonstrar como cada caminho de risco é controlado.

Bow Tie x Matriz de Riscos

A matriz classifica e prioriza. O Bow Tie explica o cenário e suas barreiras. As duas técnicas podem ser complementares.

Uma matriz pode indicar que “perda de alimentação crítica” está em nível alto. O Bow Tie mostra quais ameaças contribuem para esse evento, quais barreiras existem, quais podem falhar e quais consequências permanecem possíveis. Depois que controles adicionais são definidos, o risco residual pode ser reavaliado na matriz.

Essa integração melhora a rastreabilidade entre classificação e tratamento. Em vez de reduzir a pontuação apenas porque “ações foram previstas”, a equipe consegue apontar quais barreiras foram efetivamente implementadas e verificadas.

Bow Tie x HAZOP

HAZOP é uma técnica estruturada de estudo de desvios, tradicionalmente conduzida por equipe multidisciplinar com uso de palavras-guia e documentação sistemática. Bow Tie é uma representação orientada a cenário e barreiras.

Um HAZOP pode identificar um desvio relevante, suas causas, consequências e salvaguardas. Alguns cenários críticos identificados podem então ser desenvolvidos em Bow Tie para aprofundar arquitetura de barreiras, fatores de degradação, responsabilidades e assurance.

Não há necessidade de transformar cada linha de HAZOP em um Bow Tie. O uso deve ser seletivo, priorizando eventos que demandam comunicação clara e gestão contínua de controles.

Bow Tie x FMEA e FMECA

FMEA parte de modos de falha de componentes, funções ou processos e analisa seus efeitos e causas. FMECA adiciona tratamento de criticidade. Bow Tie parte de um evento central e organiza ameaças, consequências e barreiras.

FMEA tende a ser eficiente para explorar como elementos podem falhar. Bow Tie é eficiente para demonstrar como diferentes mecanismos convergem para um evento crítico e como a organização controla as sequências antes e depois desse evento.

Em sistemas complexos, FMEA pode alimentar ameaças e falhas de barreiras de um Bow Tie. O inverso também é útil: o Bow Tie pode mostrar quais barreiras merecem FMEA mais detalhada por serem críticas para o controle do cenário.

Bow Tie x FTA

FTA, ou Fault Tree Analysis, usa lógica dedutiva para decompor combinações de eventos que levam a um evento de topo. É particularmente útil quando interessa compreender relações AND/OR, falhas combinadas e, quando existem dados adequados, quantificar probabilidades.

O lado esquerdo de um Bow Tie pode lembrar uma árvore causal, mas não substitui a estrutura lógica formal de uma FTA. Quando um evento central depende de combinações complexas, uma FTA pode aprofundar a causalidade enquanto o Bow Tie mantém a visão de barreiras e consequências.

Bow Tie x plano de contingência

O plano de contingência trata da resposta organizada diante de cenários previamente analisados. No Bow Tie, diversas medidas de contingência aparecem no lado direito como barreiras mitigadoras ou mecanismos de recuperação.

A integração é direta: consequências críticas e condições de escalada identificadas no Bow Tie ajudam a definir gatilhos, recursos, papéis, comunicação e critérios de recuperação do plano de contingência.

Como conectar o Bow Tie ao registro de riscos

O Bow Tie não deve existir isolado. Para cada cenário relevante, o registro de riscos pode armazenar referência ao diagrama, owner do risco, classificação inerente e residual, barreiras críticas, ações abertas, prazos, indicadores e evidências de verificação.

O risk register permanece como instrumento de governança da carteira de riscos, enquanto o Bow Tie aprofunda cenários selecionados. Essa separação evita transformar o registro de riscos em um documento excessivamente detalhado e, ao mesmo tempo, evita que o diagrama fique sem owner ou acompanhamento.

Bow Tie durante projeto, obra e comissionamento

A técnica pode mudar de foco conforme o ciclo de vida.

Projeto

Durante projeto, o Bow Tie ajuda a testar se requisitos e decisões de arquitetura realmente criam barreiras adequadas. É útil para discutir redundância, segregação, intertravamentos, critérios de falha segura, proteção e independência.

Procurement

Na contratação de equipamentos e sistemas, barreiras podem depender de requisitos de desempenho, documentação, testes de fábrica, inspeção, homologação de fornecedor e capacidade de suporte. O diagrama ajuda a mostrar quais requisitos contratuais sustentam controles críticos.

Obra

Na implantação, o foco se desloca para barreiras temporárias e riscos de transição: energização parcial, trabalhos simultâneos, interfaces, bypasses temporários, alterações de campo e condições provisórias.

Comissionamento

No comissionamento, o Bow Tie pode orientar a verificação de barreiras. Intertravamentos, alarmes, redundâncias, failover, proteção, lógica de controle e procedimentos de resposta podem ser testados contra os cenários que justificaram sua existência.

Operação

Em operação, a análise passa a depender de gestão de integridade, inspeção, manutenção, alarmes, treinamento, gestão de mudanças e resposta a anomalias.

Indicadores para barreiras críticas

Alguns cenários exigem que a organização monitore a saúde das barreiras. Indicadores possíveis incluem disponibilidade de sistemas de proteção, percentual de testes executados no prazo, quantidade de bypasses ativos, falhas de demanda, pendências de manutenção crítica, inspeções vencidas, alarmes inibidos e ações de risco em atraso.

O objetivo não é criar dezenas de indicadores, mas identificar sinais que revelem degradação antes que o risco se materialize. Para barreiras críticas, um indicador antecedente costuma ter mais valor do que apenas registrar incidentes ocorridos.

Quando o Bow Tie revela dependências frágeis, barreiras sem evidência ou riscos residuais elevados, a discussão precisa sair do diagrama e entrar na decisão técnica: revisar arquitetura, requisitos, testes, responsabilidades ou estratégia de tratamento.

Apoie decisões críticas com Consultoria Técnica de Engenharia →

Erros comuns ao aplicar Bow Tie

Colocar a consequência no centro

Se o evento central for “incêndio com perda total”, ameaças e barreiras ficam misturadas. O centro deve representar a perda de controle anterior à consequência final.

Tratar procedimentos genéricos como barreiras robustas

“Equipe treinada” ou “seguir procedimento” não demonstram, sozinhos, função, independência e eficácia de uma barreira. É preciso entender como o controle interrompe a sequência e como sua integridade é verificada.

Contar o mesmo controle várias vezes

Uma única função dependente do mesmo sensor, lógica, fonte ou pessoa não deve ser tratada como várias barreiras independentes apenas porque aparece em diferentes documentos.

Ignorar falhas comuns

Redundância aparente pode compartilhar alimentação, comunicação, ambiente, software, manutenção ou procedimento. O Bow Tie precisa evidenciar dependências capazes de degradar várias barreiras simultaneamente.

Não revisar o diagrama após mudanças

Mudanças de projeto, fornecedor, lógica, operação, procedimento ou arquitetura podem invalidar premissas. O Bow Tie deve acompanhar a gestão de mudanças e o registro de riscos.

Quando vale a pena usar Bow Tie

Bow Tie tende a gerar mais valor quando o risco é suficientemente relevante para exigir entendimento de barreiras e comunicação entre disciplinas. É especialmente adequado para cenários com múltiplas ameaças, consequências diferentes, necessidade de demonstração de controles e responsabilidade clara sobre salvaguardas.

Para riscos simples e de baixa exposição, uma matriz e um plano de ação podem ser suficientes. Para cenários que dependem de combinações lógicas complexas ou exigem quantificação, FTA, Event Tree, Monte Carlo ou outras técnicas podem ser mais adequadas.

A seleção deve partir da pergunta de decisão, não da preferência pela ferramenta.

Considerações finais

Bow Tie transforma a discussão de risco em uma discussão de controle demonstrável. A técnica organiza ameaças, perda de controle, consequências, barreiras preventivas e barreiras mitigadoras, permitindo visualizar onde a arquitetura de proteção é forte, onde depende de controles frágeis e onde existe risco residual relevante.

Em Engenharia, o maior ganho não está no desenho em si, mas na conexão entre o diagrama e requisitos, responsáveis, inspeções, testes, comissionamento, manutenção e governança. Quando cada barreira crítica possui função, owner, evidência e mecanismo de monitoramento, o Bow Tie deixa de ser apenas uma representação e passa a integrar o sistema real de gestão de riscos.

Referências técnicas

[1] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 31010:2019 — Risk management — Risk assessment techniques. Geneva: IEC, 2019. Disponível em: https://webstore.iec.ch/en/publication/59809.

[2] INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 31000:2018 — Risk management — Guidelines. Geneva: ISO, 2018. Disponível em: https://committee.iso.org/sites/tc262/home/projects/published/iso-31000-2018-risk-management.html.

[3] INTERNATIONAL ELECTROTECHNICAL COMMISSION. Dependability standards: risk assessment support. Geneva: IEC TC 56. Disponível em: https://tc56.iec.ch/dependability-standards/.

Perguntas frequentes

O que é Bow Tie em gestão de riscos?

É uma técnica que organiza ameaças, evento central, consequências e barreiras preventivas e mitigadoras em uma estrutura visual orientada a cenário.

Qual a diferença entre Bow Tie e matriz de riscos?

A matriz classifica e prioriza exposições; o Bow Tie aprofunda a lógica causal e mostra quais barreiras controlam o cenário antes e depois do evento central.

Bow Tie substitui HAZOP?

Não. HAZOP é uma técnica estruturada de estudo de desvios. Bow Tie pode aprofundar cenários críticos identificados por HAZOP e explicitar barreiras e fatores de degradação.

O que é o evento central em um Bow Tie?

É a perda de controle relevante sobre um perigo, posicionada entre as ameaças que podem provocá-la e as consequências que podem se desenvolver depois dela.

Qual a diferença entre barreira preventiva e mitigadora?

A preventiva atua antes do evento central para impedir sua ocorrência; a mitigadora atua depois do evento central para reduzir propagação, severidade ou probabilidade das consequências.

Bow Tie pode ser usado em projetos de Engenharia?

Sim. É útil em projeto, procurement, obra, comissionamento e operação quando riscos relevantes dependem de barreiras técnicas, administrativas ou operacionais que precisam ser demonstradas e monitoradas.