Entenda como aplicar HAZOP na Engenharia: intenção de projeto, nós de estudo, palavras-guia, desvios, causas, consequências, salvaguardas e recomendações.
Confira!
HAZOP, sigla de Hazard and Operability Study, é uma técnica estruturada de análise de riscos e problemas de operabilidade baseada no exame sistemático de desvios em relação à intenção de projeto. A equipe divide o sistema em partes manejáveis, define parâmetros relevantes e utiliza palavras-guia para provocar perguntas como “o que acontece se houver mais pressão?”, “nenhum fluxo?”, “fluxo reverso?”, “temperatura menor?” ou “operação diferente da prevista?”. Para cada desvio plausível, são analisadas causas, consequências, salvaguardas e recomendações.
A IEC 61882:2016 é a referência internacional específica para estudos HAZOP. Ela orienta definição, preparação, sessões de exame, documentação e acompanhamento do estudo. Em Engenharia, o HAZOP não deve ser tratado como uma reunião genérica de brainstorming nem como simples preenchimento de planilha. O valor da técnica depende de intenção de projeto clara, equipe multidisciplinar competente, nós de estudo bem delimitados, palavras-guia adequadas, registro consistente e tratamento posterior das recomendações.
O que é HAZOP e qual problema ele resolve
O HAZOP foi desenvolvido para investigar sistematicamente como um sistema pode se desviar do comportamento pretendido e quais riscos ou problemas de operabilidade podem resultar desses desvios. Seu ponto de partida não é uma lista prévia de falhas, mas a intenção de projeto: aquilo que cada parte do sistema deveria fazer dentro de condições definidas.
A técnica é particularmente poderosa quando o comportamento do sistema depende de variáveis, sequências, fluxos, estados, intertravamentos ou interfaces. Em vez de perguntar apenas “o que pode dar errado?”, o facilitador conduz a equipe por combinações estruturadas de palavra-guia + parâmetro, transformando a análise em um processo repetível.
Exemplos de parâmetros incluem fluxo, pressão, temperatura, nível, tensão, corrente, vazão, concentração, velocidade, sequência, tempo, composição, disponibilidade, comunicação ou sinal. As palavras-guia introduzem desvios como nenhum, mais, menos, parte de, além de, reverso, antes, depois ou diferente de — sempre adaptadas ao contexto técnico.
Quando a intenção de projeto, as interfaces e os critérios de operação ainda não estão suficientemente definidos, o HAZOP expõe uma lacuna anterior à própria análise de risco: o empreendimento precisa consolidar requisitos e decisões antes de avaliar desvios com consistência.
Intenção de projeto: a referência para reconhecer um desvio
Sem intenção de projeto clara, não existe HAZOP de qualidade. A equipe precisa saber qual é a função esperada do nó, quais condições operacionais são normais, quais limites são aceitáveis, quais interfaces existem e quais estados operacionais precisam ser considerados.
A intenção não se limita a um valor nominal. Em um circuito de bombeamento, por exemplo, pode envolver fornecer determinada vazão entre dois pontos, manter pressão dentro de faixa, impedir refluxo, operar em modos normal e reserva e preservar condições de segurança durante partida, parada e manutenção.
Em sistemas elétricos, a intenção pode envolver alimentar uma barra por determinada fonte, transferir carga sob condições específicas, manter seletividade de proteção, impedir paralelismo indevido e preservar continuidade para cargas críticas. Em automação, pode envolver receber sinal válido, executar lógica, gerar comando e posicionar um atuador dentro de tempo definido.
Quando requisitos, diagramas, listas de causas e efeitos, filosofia operacional ou critérios de proteção são incompletos, o HAZOP tende a expor a deficiência documental antes mesmo de concluir a análise de risco. Isso é útil: lacunas na intenção de projeto são, por si, riscos de engenharia e de integração.
Nós de estudo: como dividir o sistema
Um HAZOP completo precisa decompor o sistema em unidades de análise chamadas, em muitos contextos, nós de estudo. O objetivo é escolher trechos suficientemente homogêneos para que a intenção de projeto e os parâmetros possam ser discutidos de forma coerente.
Um nó grande demais produz discussões vagas e mistura funções diferentes. Um nó pequeno demais aumenta o número de combinações sem ganho proporcional, tornando o estudo lento e repetitivo.
A delimitação pode seguir equipamentos, trechos de processo, funções, subsistemas, modos operacionais, etapas de sequência ou interfaces. O critério deve considerar como o sistema realmente funciona e onde mudanças de intenção ou condições alteram o risco.
Antes das sessões, o líder do estudo deve preparar a lista de nós, documentos aplicáveis, intenção de cada nó e parâmetros relevantes. Essa preparação reduz tempo improdutivo e melhora a consistência entre sessões.
Palavras-guia: como o HAZOP provoca desvios
Palavras-guia são estímulos sistemáticos para explorar variações em relação à intenção de projeto. Elas não devem ser aplicadas mecanicamente a todos os parâmetros. O facilitador seleciona combinações que façam sentido para o sistema analisado.
Algumas combinações típicas são:
| Palavra-guia | Interpretação possível | Exemplo |
| Nenhum | ausência da função ou parâmetro | nenhum fluxo, nenhum sinal |
| Mais | valor acima do pretendido | mais pressão, mais tensão |
| Menos | valor abaixo do pretendido | menos vazão, menor nível |
| Reverso | direção ou lógica inversa | fluxo reverso, sequência reversa |
| Parte de | composição incompleta | parte da alimentação disponível |
| Além de | condição adicional indesejada | presença de contaminante, sinal adicional |
| Antes | ocorrência antecipada | comando antes da permissão |
| Depois | ocorrência tardia | transferência após limite admissível |
| Diferente de | estado distinto do pretendido | equipamento errado em operação |
O objetivo não é preencher todas as células possíveis, mas usar as palavras-guia para evitar dependência exclusiva da memória ou experiência individual da equipe.
Estrutura de uma linha de HAZOP
Uma linha de registro precisa preservar o raciocínio da equipe. Uma estrutura robusta normalmente contém:
- nó ou item analisado;
- intenção de projeto;
- parâmetro;
- palavra-guia;
- desvio;
- causas plausíveis;
- consequências;
- salvaguardas existentes;
- avaliação de risco, quando adotada;
- recomendação ou ação;
- responsável e prazo;
- status e evidência de encerramento.
A planilha não é o HAZOP; ela é a memória do estudo. Se o registro não permite reconstruir o motivo de uma recomendação, a rastreabilidade ficou insuficiente.
Como conduzir um HAZOP passo a passo
1. Definir objetivo e escopo
O estudo precisa declarar quais sistemas, fases, modos de operação e tipos de risco estão incluídos. Um HAZOP de projeto básico pode ter objetivo diferente de uma revisão antes de partida, de uma modificação ou de uma análise de procedimento.
Também devem ser registradas exclusões. Interfaces fora do escopo precisam ter responsável e tratamento definido, porque muitos riscos relevantes surgem exatamente nas fronteiras entre sistemas.
2. Reunir documentação de entrada
Os documentos variam com a disciplina. Podem incluir PFDs, P&IDs, diagramas unifilares, diagramas funcionais, listas de I/O, causa e efeito, memorial descritivo, filosofia de controle, datasheets, especificações, layouts, procedimentos, matriz de intertravamentos, requisitos de proteção e informações de operação.
O documento precisa estar em maturidade compatível com o objetivo do estudo. Se a base muda diariamente, a análise rapidamente fica obsoleta.
3. Formar a equipe
HAZOP é uma técnica de grupo. A equipe deve reunir conhecimento de projeto, operação, processo, automação, elétrica, mecânica, segurança, manutenção e outras disciplinas necessárias ao sistema. Nem todas precisam participar de todas as sessões, mas o conhecimento relevante deve estar representado.
Papéis típicos incluem líder ou facilitador, secretário ou registrador e especialistas. O facilitador conduz a técnica e controla ritmo; não deve dominar tecnicamente todas as respostas nem induzir conclusões.
4. Preparar nós e intenção de projeto
Antes da sessão, a estrutura do estudo deve estar pronta. Isso permite que a reunião se concentre em análise, não em descobrir qual documento usar ou onde começa cada trecho.
5. Aplicar palavras-guia e parâmetros
Para cada nó, a equipe seleciona combinações relevantes. O desvio deve ser formulado de maneira clara, sem confundir consequência com causa.
6. Identificar causas
A equipe pergunta o que poderia produzir o desvio. Causas podem envolver falha de equipamento, erro de configuração, falha de utilidade, operação incorreta, perda de sinal, falha de proteção, obstrução, condição externa, manutenção, falha comum ou interação com outro sistema.
7. Identificar consequências
Consequências devem considerar o sistema sem assumir automaticamente que salvaguardas funcionarão. Essa separação ajuda a entender a severidade intrínseca do cenário e o papel real dos controles.
8. Registrar salvaguardas existentes
Salvaguardas precisam existir na arquitetura ou operação real. Uma ação futura não é salvaguarda existente. Da mesma forma, a mesma função não deve ser contada várias vezes se depende do mesmo sensor, lógica ou elemento comum.
9. Avaliar o risco
Algumas organizações integram matriz de riscos ao HAZOP. Outras usam critérios específicos. O importante é que a avaliação siga critérios previamente definidos e não seja manipulada para reduzir artificialmente o número de recomendações.
10. Formular recomendações
A recomendação deve responder a uma necessidade técnica identificada. “Avaliar melhor” ou “verificar possibilidade” tende a produzir fechamento fraco. Sempre que possível, a ação deve indicar objetivo, responsável, prazo e evidência esperada.
11. Encerrar ações e verificar eficácia
O HAZOP não termina quando a reunião termina. Recomendações precisam ser analisadas, aceitas, implementadas ou formalmente justificadas. Mudanças decorrentes das ações podem, inclusive, exigir revalidação de trechos do estudo.
Recomendação HAZOP sem owner, prazo, evidência e integração à gestão de mudanças vira apenas pendência documental. O fechamento precisa demonstrar que o risco foi efetivamente tratado e que os documentos afetados foram atualizados.
Integre HAZOP ao gerenciamento de riscos do empreendimento →
Causas, consequências e salvaguardas: três camadas que não podem ser misturadas
Em registros mal conduzidos, é comum encontrar causa escrita como consequência, consequência escrita como risco genérico e salvaguarda descrita como ação futura. Isso prejudica a lógica do estudo.
Considere o desvio “nenhum fluxo” em uma linha de refrigeração. Causas podem incluir bomba parada, válvula fechada, obstrução ou perda de alimentação. Consequências podem incluir aumento de temperatura, redução de capacidade, degradação de equipamento ou parada do sistema. Salvaguardas podem incluir bomba reserva automática, alarme de baixo fluxo, intertravamento e procedimento de resposta.
A recomendação aparece quando as salvaguardas não são suficientes, não têm independência adequada, não estão evidenciadas ou deixam risco acima do critério de aceitação.
Salvaguarda não é sinônimo de recomendação
Uma salvaguarda é um controle existente no cenário analisado. Uma recomendação é uma mudança proposta para reduzir risco, eliminar incerteza ou resolver problema de operabilidade.
Essa distinção é essencial para avaliação de risco residual. Se a equipe inclui como salvaguarda algo que ainda não foi projetado, contratado ou instalado, reduz artificialmente a exposição percebida.
Depois da implementação, a recomendação pode se transformar em salvaguarda — desde que exista evidência de que foi incorporada ao projeto e validada.
HAZOP e problemas de operabilidade
Apesar de ser frequentemente associado à segurança de processo, o HAZOP também investiga operabilidade. Um desvio pode não gerar acidente, mas tornar o sistema incapaz de cumprir sua função, dificultar manutenção, impedir transição de modos, gerar alarmes excessivos, aumentar tempo de recuperação ou criar dependência operacional não prevista.
Esse aspecto é importante em Engenharia Consultiva porque muitos problemas de projeto aparecem como risco de disponibilidade, confiabilidade, mantenabilidade e operação, não apenas como perigo de segurança.
Um sistema tecnicamente seguro pode ser operacionalmente ruim se exige manobras complexas, possui interfaces pouco claras, não permite manutenção sem indisponibilidade ou depende de ações humanas em janelas de tempo incompatíveis com a realidade.
HAZOP em sistemas não processuais
A IEC 61882 apresenta a técnica como aplicável a sistemas e não limita seu uso a plantas químicas. A adaptação, porém, precisa respeitar a natureza do sistema.
Sistemas elétricos
Podem ser analisados desvios relacionados a tensão, corrente, frequência, energização, disponibilidade, sequência de manobra, seletividade, sincronismo, aterramento, alimentação e estado de proteção.
Automação e controle
Parâmetros podem incluir sinal, comando, sequência, tempo, modo, permissivo, estado, comunicação e resposta de atuador. É possível explorar falhas de lógica e transições impróprias sem transformar o estudo em análise de software genérica.
Data Centers
HAZOP pode ser aplicado seletivamente a sistemas de energia e climatização, especialmente em sequências de falha, transferência, redundância, manutenção e recuperação. A técnica deve ser combinada com métodos apropriados de disponibilidade e confiabilidade quando a pergunta exigir quantificação.
Procedimentos
A própria IEC 61882 contempla aplicação procedimental. Palavras-guia podem explorar etapas omitidas, executadas antes, depois, em ordem diferente ou com condição incorreta.
HAZOP x Bow Tie
HAZOP e Bow Tie respondem a perguntas distintas. HAZOP percorre sistematicamente nós, parâmetros e desvios para identificar cenários. Bow Tie aprofunda cenários selecionados e organiza ameaças, evento central, consequências e barreiras.
Um uso eficiente é aplicar HAZOP para descoberta estruturada e, depois, desenvolver Bow Tie para riscos críticos que exigem gestão explícita de barreiras. Isso evita tentar transformar o HAZOP em ferramenta de assurance de barreiras e evita usar Bow Tie como substituto de uma varredura sistemática do sistema.
HAZOP x FMEA
FMEA parte de modos de falha de componentes, funções ou processos. HAZOP parte de desvios em relação à intenção de projeto provocados por palavras-guia.
As técnicas podem encontrar cenários semelhantes por caminhos diferentes. FMEA tende a ser natural quando a estrutura do sistema é orientada a componentes e funções; HAZOP é especialmente forte em sistemas de processo, fluxos, variáveis, sequências e interfaces operacionais.
A escolha depende da pergunta, da maturidade do projeto e do tipo de sistema. Em projetos multidisciplinares, é comum usar técnicas diferentes em subsistemas diferentes.
HAZOP x FTA
FTA é dedutiva: parte de um evento de topo e decompõe logicamente combinações de causas. HAZOP é exploratória e sistemática: parte da intenção de projeto e provoca desvios.
Um cenário complexo identificado no HAZOP pode exigir FTA para investigar falhas combinadas ou dependências. Da mesma forma, resultados de FTA podem revelar áreas que merecem revisão de salvaguardas no HAZOP.
HAZOP x matriz de riscos
A matriz é um instrumento de classificação. O HAZOP é uma técnica de identificação e análise de cenários. Integrar os dois é útil, mas não se deve reduzir o HAZOP a preencher probabilidade e impacto.
O raciocínio técnico vem primeiro: desvio, causas, consequências, salvaguardas. A classificação serve para priorizar tratamento e alçada decisória.
HAZOP e gestão de mudanças
Mudanças em projeto, capacidade, matéria-prima, lógica, software, fornecedor, procedimento, sequência operacional ou interface podem invalidar premissas do estudo original.
A gestão de mudanças deve avaliar se o impacto exige revisão parcial ou completa do HAZOP. Reutilizar um estudo antigo sem verificar aderência às condições atuais cria falsa sensação de cobertura.
Mudanças temporárias também importam. Bypasses, modos degradados, intervenções provisórias e configurações de partida podem introduzir cenários não presentes na condição nominal.
Qualidade dos documentos de entrada
HAZOP depende de documentos que representem o projeto real. Diagramas desatualizados, listas de causa e efeito inconsistentes, lógicas sem revisão e interfaces não definidas tornam a sessão menos confiável.
Por isso, um bom processo inclui controle de revisão, congelamento temporário da base de estudo, lista de documentos utilizados e rastreabilidade das mudanças posteriores.
Se a sessão identifica que determinada função não está suficientemente definida para análise, o correto pode ser abrir uma pendência de engenharia e voltar ao ponto depois da definição — não preencher a linha com suposição.
Papel do facilitador
O facilitador protege a metodologia. Ele deve manter foco no nó e no desvio, evitar discussões paralelas, garantir participação dos especialistas, testar se causas e consequências são plausíveis e impedir que a equipe pule rapidamente para soluções antes de entender o cenário.
Também precisa reconhecer quando a discussão exige aprofundamento fora da sessão. Cálculo detalhado, dimensionamento, simulação ou investigação de falha podem virar ações específicas em vez de consumir horas do grupo sem dados adequados.
Papel do secretário ou registrador
O registro deve ser suficientemente claro para que outra pessoa entenda o raciocínio depois. Isso exige síntese técnica, consistência terminológica e confirmação verbal da redação quando necessário.
Registros excessivamente curtos como “falha bomba / parada / alarme / verificar” não preservam contexto. Registros longos demais podem esconder a lógica. A qualidade está em capturar relações de forma objetiva.
Como tratar recomendações HAZOP
A recomendação precisa entrar em sistema de acompanhamento. Um fluxo robusto inclui:
- registro com identificador único;
- responsável pela resposta;
- análise técnica e definição de solução;
- prazo;
- implementação;
- evidência documental;
- verificação de eficácia;
- encerramento aprovado;
- atualização dos documentos afetados.
Em projetos, isso pode se integrar ao sistema de pendências, gestão de requisitos, change control, matriz de interfaces, design review e comissionamento.
O maior valor do HAZOP aparece quando salvaguardas críticas deixam de ser apenas texto de planilha e passam a ser requisitos verificáveis em projeto, FAT, SAT, testes funcionais e comissionamento integrado.
Apoie a análise e o fechamento técnico com Consultoria de Engenharia →
HAZOP no ciclo de vida do projeto
Conceitual e básico
Nessas fases, o HAZOP ajuda a influenciar arquitetura antes que mudanças se tornem caras. O nível de detalhe precisa ser compatível com a maturidade; não se deve exigir análise de componentes ainda não definidos.
Projeto executivo
Com maior detalhamento, o estudo pode verificar lógica, intertravamentos, equipamentos, interfaces e condições operacionais específicas.
Procurement
Mudanças de fornecedor e soluções proprietárias podem alterar premissas. Documentos do vendor precisam ser incorporados à base de análise quando afetam a função do sistema.
Pré-comissionamento e comissionamento
Recomendações que viraram requisitos precisam ser verificadas por inspeções, testes, FAT, SAT, testes funcionais e testes integrados. O fechamento documental sem evidência de campo pode ser insuficiente.
Operação
O estudo pode ser revisado após mudanças, incidentes, alterações de capacidade ou experiência operacional relevante.
HAZOP e comissionamento
Uma relação poderosa é transformar salvaguardas críticas identificadas no HAZOP em requisitos de teste. Se o estudo depende de alarme, intertravamento, trip, redundância, lógica de transferência ou sequência de emergência, o comissionamento precisa demonstrar seu funcionamento nas condições relevantes.
Isso cria rastreabilidade entre risco → salvaguarda → requisito → teste → evidência. Sem essa cadeia, o projeto pode encerrar ações HAZOP apenas por revisão documental, mesmo quando a eficácia depende de comportamento integrado do sistema.
Indicadores de qualidade de um HAZOP
O número de recomendações não mede qualidade. Um estudo pode produzir poucas ações porque o projeto está maduro e as salvaguardas são robustas — ou porque a equipe foi superficial.
Indicadores mais úteis incluem cobertura dos nós previstos, participação das disciplinas necessárias, percentual de ações vencidas, tempo de fechamento, percentual de recomendações com evidência verificada, quantidade de ações reabertas, alterações de projeto após o estudo e cenários relevantes descobertos tardiamente.
O objetivo é monitorar o processo de gestão de risco, não estimular produção artificial de linhas.
Erros comuns em estudos HAZOP
Começar sem intenção de projeto definida
A sessão vira debate sobre como o sistema deveria funcionar, não análise de desvios.
Aplicar todas as palavras-guia mecanicamente
Isso cria volume sem valor. Combinações devem ser tecnicamente relevantes.
Aceitar causas genéricas
“Erro humano” raramente é explicação suficiente. A equipe deve entender o mecanismo, contexto e condições que tornam o erro plausível.
Contar a mesma salvaguarda várias vezes
Funções com dependência comum não ganham independência apenas porque aparecem em linhas diferentes.
Reduzir risco com ação futura
Recomendação não implementada não deve ser tratada como salvaguarda existente.
Fechar recomendação sem evidência
“Projeto corrigido” precisa ser sustentado pela revisão documental aplicável e, quando necessário, por teste ou inspeção.
Não revisar o estudo depois de mudanças
HAZOP congelado em uma revisão antiga perde aderência ao sistema entregue.
Quando HAZOP não é a melhor técnica
HAZOP é potente, mas não universal. Se a pergunta principal é quantificar probabilidade de um evento de topo, FTA pode ser mais adequada. Para modos de falha de componentes, FMEA pode ser mais eficiente. Para visualizar barreiras de um cenário crítico, Bow Tie pode comunicar melhor. Para incerteza de prazo e custo, Monte Carlo responde a outra classe de problema.
A IEC 31010 reforça a seleção de técnicas conforme objetivo, disponibilidade de dados, complexidade e decisão necessária. A maturidade em gestão de riscos aparece justamente na capacidade de escolher método, e não em aplicar a mesma ferramenta a tudo.
Considerações finais
HAZOP é uma disciplina de raciocínio estruturado sobre desvios. A técnica parte da intenção de projeto, divide o sistema em nós, usa palavras-guia para provocar cenários, analisa causas e consequências, reconhece salvaguardas e transforma lacunas em recomendações rastreáveis.
Em Engenharia, seu valor aumenta quando não termina na planilha. As ações precisam retornar ao projeto, aos requisitos, à gestão de mudanças, ao procurement e ao comissionamento. Quando salvaguardas críticas são verificadas por evidências e o estudo permanece alinhado à configuração real, o HAZOP se torna parte efetiva da governança de risco — e não apenas uma reunião de conformidade.
Referências técnicas
[1] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 61882:2016 — Hazard and operability studies (HAZOP studies) — Application guide. Geneva: IEC, 2016. Disponível em: https://webstore.iec.ch/en/publication/24321.
[2] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 31010:2019 — Risk management — Risk assessment techniques. Geneva: IEC, 2019. Disponível em: https://webstore.iec.ch/en/publication/59809.
[3] INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 31000:2018 — Risk management — Guidelines. Geneva: ISO, 2018. Disponível em: https://committee.iso.org/sites/tc262/home/projects/published/iso-31000-2018-risk-management.html.
[4] UNITED STATES. Occupational Safety and Health Administration. 29 CFR 1910.119 — Process Safety Management of Highly Hazardous Chemicals. Washington, DC: OSHA. Disponível em: https://www.osha.gov/laws-regs/regulations/standardnumber/1910/1910.119.
Perguntas frequentes
HAZOP significa Hazard and Operability Study. É uma técnica estruturada para examinar desvios em relação à intenção de projeto e identificar causas, consequências, salvaguardas e recomendações.
A IEC 61882:2016 é a referência internacional específica para estudos HAZOP e orienta aplicação, preparação, sessões de exame, documentação e acompanhamento.
São estímulos usados com parâmetros do sistema para provocar desvios, como nenhum, mais, menos, reverso, antes, depois ou diferente de. Devem ser aplicadas apenas quando tecnicamente relevantes.
HAZOP parte da intenção de projeto e explora desvios por palavras-guia; FMEA parte de modos de falha de componentes, funções ou processos e analisa seus efeitos e causas.
Não. HAZOP é adequado à descoberta sistemática de cenários; Bow Tie aprofunda cenários selecionados e explicita ameaças, evento central, consequências e barreiras.
Quando mudanças de projeto, operação, capacidade, fornecedor, lógica, procedimento ou configuração alteram premissas relevantes do estudo ou introduzem novos cenários.
Materiais técnicos complementares
Soluções relacionadas
- Governança de Projetos, Programas e Portfólios
- Gestão de Requisitos, Evidências e Critérios de Aceite
Serviços relacionados
Conteúdos principais sobre o tema
- Gestão de riscos em projetos de engenharia
- Análise de Riscos em Projetos de Engenharia
- Bow Tie na Engenharia
- Matriz de Riscos em Projetos de Engenharia
