Integridade de dados na engenharia: o que o caso Hamaoka ensina sobre decisões de segurança

Um relatório pode ser preciso e ainda não sustentar a decisão

Em 14 de setembro de 2026, a Chubu Electric Power publicou a versão divulgável do relatório de um comitê independente sobre práticas inadequadas na formulação do movimento sísmico de base de projeto de Hamaoka. No mesmo dia, retirou pedidos regulatórios relacionados aos reatores 3 e 4 e anunciou mudanças de liderança e reformas organizacionais.

O caso não é notícia de acidente nuclear, liberação radiológica ou dano físico provocado por terremoto. A questão pública é outra: a confiabilidade do processo usado para produzir e apresentar evidências sísmicas ficou gravemente comprometida. Quando origem, seleção, hipótese e revisão não são reconstruíveis, casas decimais não devolvem confiança ao cálculo.

Resposta direta: qual é a principal lição de Hamaoka?

Integridade de dados em engenharia não é apenas impedir a edição de uma planilha. É garantir que origem, seleção, transformação, hipótese, critério, versão, revisão e conclusão possam ser reconstruídos, reproduzidos e contestados.

Um dado verdadeiro selecionado por um processo enviesado pode sustentar uma conclusão enganosa. Segurança baseada em evidência exige que um resultado desfavorável permaneça visível até que uma regra técnica, previamente definida e justificável, demonstre por que ele pode ser tratado de outra forma.

O que aconteceu e o que a Chubu decidiu

A empresa recebeu o relatório em 11 de setembro e publicou a versão com redacções necessárias em 14 de setembro. Declarou que métodos inadequados foram usados na avaliação sísmica e que surgiram dúvidas graves sobre a confiabilidade dos materiais submetidos e das respostas posteriores ao processo regulatório.

A Chubu decidiu retirar solicitações de alteração de instalação e outros pedidos relacionados aos reatores 3 e 4. Até a revalidação de 15 de setembro, não havia novo ato público da NRA que concluísse sua avaliação do relatório, nem calendário oficial para reapresentação ou retomada.

O episódio já era público desde 5 de janeiro, após informação recebida pelo sistema regulatório de relatos de segurança e apuração interna. A NRA suspendeu a revisão e adotou linguagem severa sobre manipulação intencional; essa linguagem é atribuída ao regulador, não transformada em manchete autoral deste artigo.

Regulador e comitê: por que as palavras precisam de atribuição

Documentos da NRA de janeiro empregaram termos equivalentes a irregularidade, fraude e manipulação intencional de dados. Imprensa internacional também utiliza falsified data e data scandal.

O comitê independente, porém, afirmou que não considerou as práticas adequadas, mas julgou impróprio simplificar o conjunto apenas com rótulos como falsificação, fabricação, subestimação ou fraude. Segundo a comissão, a avaliação envolve metodologia, aleatoriedade, coerência acadêmica e o eixo técnico usado para julgar cada ato.

Não são descrições intercambiáveis nem uma absolvição. São enquadramentos de instituições diferentes. Por isso, a voz autoral usa práticas e métodos inadequados, seleção questionada e dúvidas de confiabilidade, reservando os termos mais fortes às fontes que os utilizaram.

O que é design basis ground motion

O movimento sísmico de base de projeto é a referência vibratória do solo usada para projetar e avaliar estruturas, sistemas e componentes importantes à segurança. Ele nasce de avaliação específica do sítio, modelos, cenários, critérios, incertezas e margens.

Não significa simplesmente ‘o maior terremoto possível’. É uma construção técnica e regulatória. A IAEA SSG-67 ajuda a explicar o conceito, mas não fornece um veredito retroativo sobre o procedimento de Hamaoka nem quantifica qualquer margem perdida.

O processo de seleção que passou a ser questionado

Documentos públicos descrevem que, antes de 2018, eram gerados múltiplos conjuntos com 20 movimentos sísmicos simulados e uma onda representativa; um desses conjuntos era escolhido pela empresa.

A partir de aproximadamente 2018, a Chubu reconheceu procedimento em que uma onda que não era inicialmente a mais próxima da média era escolhida como representativa e as demais eram selecionadas de modo que ela se tornasse a mais próxima da média do conjunto.

Isso não prova que os reatores falhariam em um terremoto. Mostra por que o caminho de seleção precisa ser refeito e explicado de modo confiável antes de sustentar uma decisão regulatória.

Variabilidade legítima não é licença para escolher a resposta

Simulações podem produzir resultados diferentes por desenho. Isso é variabilidade legítima quando o método explica como ela será representada. Um critério pré-definido existe antes da visualização dos resultados; análise de sensibilidade preserva alternativas e mostra como hipóteses mudam a conclusão.

O risco aparece quando a resposta é observada primeiro e o caminho analítico é ajustado depois para favorecer um resultado desejado. Rodar mais modelos não aumenta confiança se a regra para escolher o representativo não puder ser auditada.

Integridade percorre uma cadeia inteira

Dado bruto, tratamento, modelo, hipótese, critério, resultado, interpretação, recomendação, decisão e verificação são coisas diferentes. A confiabilidade pode se perder em qualquer elo.

Um sensor calibrado não corrige uma série selecionada de forma inadequada. Software sofisticado não corrige hipótese oculta. Revisão final não substitui acesso a dados brutos, versões, filtros, exclusões, resultados contrários e justificativas.

Dado íntegro precisa sobreviver ao caminho entre medição e decisão.

A resposta desejada é um risco organizacional

Prazo, licenciamento, custo, cronograma e expectativa de retomada podem criar pressão sem que alguém ordene alterar um número. A influência pode aparecer no que é testado, reportado, repetido, escalado ou questionado.

A pergunta é se o objetivo era testar uma hipótese ou provar uma resposta; se resultados contrários tinham caminho de escalonamento; se qualquer profissional podia interromper a submissão; e se o prazo poderia mudar quando a evidência não sustentava a conclusão.

Em engenharia crítica, a evidência deve poder mudar a decisão. Se apenas a decisão pode mudar a evidência, o sistema perdeu sua função de controle.

Cultura de segurança precisa aparecer em mecanismos observáveis

A apresentação da Chubu atribuiu ao comitê fatores de organização, governança e compliance, incluindo tendência de priorizar uma lógica interna sobre a perspectiva social e regional. A companhia reconheceu falhas em estabelecer uma cultura que priorizasse compliance e condições adequadas para compartilhar informação e discutir múltiplas perspectivas.

Cultura não deve ser usada como causa vaga. Ela se torna verificável em critérios aprovados, canais de alerta, independência, atas de divergência, acesso a evidências, responsabilidade, autoridade de parada e resposta a preocupações.

A IAEA GSR Part 2 é referência internacional para liderança e gestão da segurança. Não é legislação aplicada por este artigo ao caso japonês.

Questionar é uma barreira de segurança

O caso chegou ao radar regulatório por um sistema de relatos de segurança. Não é necessário conhecer ou expor a identidade de quem levantou a preocupação para reconhecer o valor do canal.

A política de cultura de segurança da NRC norte-americana descreve ambiente em que preocupações podem ser levantadas sem medo, com atitude questionadora, resolução de problemas e comunicação eficaz. É uma analogia de boa prática; a NRC não regula Hamaoka.

Um canal só funciona quando o alerta é protegido, tecnicamente analisado, respondido e rastreado. Receber informação e neutralizá-la administrativamente não é escuta.

Revisão independente precisa reconstruir o caminho

Independência não é apenas colocar outra assinatura na última página. O revisor precisa acessar dados brutos, versões do modelo, critérios, exclusões, resultados alternativos e divergências. Sem isso, revisa apresentação — não evidência.

Quanto maior a criticidade, maior deve ser a separação entre quem produz, quem verifica e quem autoriza. A revisão precisa registrar o que foi desafiado, o que mudou e por que a conclusão permaneceu ou foi rejeitada.

O mesmo mecanismo aparece fora do setor nuclear

O setor nuclear torna a consequência institucional extrema, mas o viés pode surgir em qualquer decisão técnica: suavizar classificação porque a correção é cara; medir apenas o período favorável; descartar espessura desfavorável sem justificativa; repetir ensaio até aprovar sem preservar falhas anteriores; ajustar hipótese até caber na solução comprada.

Em investigação, aparece quando só entram depoimentos que confirmam a hipótese inicial. Em indicadores, quando denominador, janela ou regra mudam depois do resultado para manter a meta verde. No PGR, quando risco e plano de ação são moldados pelo orçamento em vez de informá-lo.

Precisão não é sinônimo de confiabilidade.

Checklist de integridade da informação técnica

Checklist educacional; não substitui sistema de qualidade, exigência regulatória, auditoria ou procedimento setorial.

• Fonte, metadados e dado bruto preservados.
• Critério de seleção definido antes da conclusão.
• Exclusões justificadas e rastreáveis.
• Versões do arquivo, software e modelo controladas.
• Hipóteses críticas explicitadas.
• Resultados desfavoráveis mantidos.
• Sensibilidade avaliada quando relevante.
• Revisão por pessoa tecnicamente competente.
• Independência proporcional à criticidade.
• Divergências registradas e respondidas.
• Evidência, critério, decisão e ação conectados.
• Eficácia verificada depois da decisão.

O que não sabemos e não devemos concluir

O caso não demonstra, por si só, que os reatores 3 e 4 falhariam em um terremoto, nem que houve acidente, dano estrutural ou liberação radiológica. Não permite calcular a referência sísmica correta, margem perdida ou responsabilidade criminal individual.

O relatório independente não inocentou a companhia; ele recusou uma simplificação terminológica. A retirada dos pedidos também não encerra para sempre qualquer possibilidade regulatória, mas não existe data oficial de reapresentação ou retomada.

Até 15 de setembro, a resposta final da NRA ao relatório e a avaliação de eficácia das reformas continuavam pendentes.

Perguntas antes de aceitar um relatório técnico

Uma organização pode testar a robustez do processo com perguntas simples e difíceis.

• Consigo chegar do relatório ao dado bruto?
• Outra equipe reproduz resultado compatível?
• O critério nasceu antes ou depois do resultado?
• Quais dados foram excluídos e por quê?
• Existe histórico de versões?
• Quem revisou e com qual independência?
• Onde estão as divergências técnicas?
• A incerteza aparece ou foi escondida?
• Que evidência faria a conclusão mudar?
• Quem pode dizer ‘não submeta ainda’?

Conclusão: resistência física e integridade da evidência

O caso Hamaoka exige leitura cuidadosa porque regulador, empresa e comitê independente empregam enquadramentos diferentes. Ainda assim, uma conclusão de engenharia é possível: segurança depende tanto da resistência física de uma instalação quanto da integridade do processo que produz as evidências usadas para dizer que ela é segura.

Quando a evidência deixa de poder contrariar a decisão, o relatório deixa de ser instrumento de controle e corre o risco de virar justificativa. Uma organização segura preserva o caminho e o direito técnico de dizer: estes dados ainda não sustentam esta conclusão.