Rastreabilidade em Defesa e Aeroespacial — Um guia do zero

Este guia foi escrito para uma empresa que atende clientes de aeronáutica e defesa. Todas as travas descritas aqui seguem uma só lógica: liberar qualquer coisa depende de uma evidência MEDIDA; sem evidência o programa não deixa passar. O que vale é o NÚMERO dentro do certificado, não o PDF dele; o CERTIFICADO DE ACREDITAÇÃO, não a palavra do fornecedor; e o ESCOPO DO CERTIFICADO, não a experiência do operador.

Nenhuma trava se liga sozinha. Toda trava vem DESLIGADA POR PADRÃO: se nenhum limite foi definido, se o processo especial não foi marcado, se a classificação de sigilo está vazia, o programa se comporta exatamente como hoje. Uma trava só entra em ação quando você preenche aquele campo. Assim, instalar o módulo nunca para a produção.

1 · Valores da matéria-prima — EN 10204 3.1

Um certificado EN 10204 3.1 não é um PDF, é um compromisso NUMÉRICO: nele constam os percentuais dos elementos de liga e os valores mecânicos. O programa guarda esses números em Metal → Espectro e os compara com a especificação do material. Os limites da especificação NÃO estão embutidos no código — os limites do Ti-6Al-4V, do Inconel 718 ou do 7075-T6 são lançados por você; o programa nunca presume os valores de uma norma.

Como configurar

Limite: código do material (ou nome da norma) + elemento + unidade + limite inferior/superior. Um elemento marcado como obrigatório impede o recebimento enquanto não for medido; um elemento opcional só bloqueia se ficar fora dos limites.
Medição: vinculada ao certificado, com o método, o código do instrumento e quem mediu. Um valor lançado com um espectrômetro fora do prazo de calibração não é aceito — é a mesma regra da trava de instrumentos de medição usada no apontamento de produção.
Trava: no recebimento (IQC) o primeiro passo passa a ser essa comparação. Um item fora da faixa NÃO É ACEITO e permanece no seu depósito de quarentena já existente — o programa não inventa um depósito novo.

A saída visível — aprovação de desvio. Se um valor está fora dos limites mas a engenharia diz "utilizável neste lote", informa-se o número de um registro de DESVIO aprovado (KUR_SAPMA). Um desvio não pode ser usado sem abrangência de lote/série; um desvio não aprovado ou fora de abrangência é recusado, e todo uso é gravado na trilha de acesso. A saída existe, mas nunca é silenciosa.

2 · Processos especiais e acreditação Nadcap

Tratamento térmico, revestimento e ensaio não destrutivo (END) são processos especiais: o resultado não se vê olhando a peça, então quem executa precisa ser acreditado. O programa monta isso em dois passos: (1) você registra na operação do roteiro qual programa é exigido (AC7102 tratamento térmico, AC7108 processo químico, AC7114 END, ou texto livre); (2) você cadastra a acreditação do fornecedor com número, emissor e DATA DE VALIDADE.

A trava fica na etapa "remetido" do pacote de terceirização: a mercadoria não sai para um fornecedor sem acreditação ou com acreditação vencida. A mensagem de erro diz qual empresa, qual programa e em que data venceu. Se a operação não traz processo especial, a trava NUNCA roda; o seu fluxo de terceirização atual continua igual.

3 · Competência do operador

Há muito tempo o programa confere a calibração do instrumento de medição: não se grava apontamento com um comparador vencido. Mas um soldador com certificado vencido, ou um operador de END qualificado só até 3 mm, podia assinar uma peça de 6 mm. O auditor resumiu assim: "Vocês controlam o equipamento, mas não controlam a pessoa." Esta trava restabelece a simetria.

A trava apenas LÊ os certificados de processo especial que estão em Recursos Humanos — quem lança os certificados é o RH, este módulo não grava nada. Quatro critérios são verificados: o certificado está válido, o material está no escopo, a posição está no escopo, a espessura está na faixa; e mais a continuidade: se o processo não é executado há N meses, a qualificação caduca e é preciso requalificar. A saída visível é a aprovação do gestor, que só o administrador do sistema pode dar e que é gravada na trilha de acesso.

4 · Relatório de Inspeção da Primeira Peça AS9102

O registro de FAI já existente na janela de Qualidade é uma DECISÃO ("primeira peça aprovada"). Já a AS9102 pede o DOSSIÊ por trás dessa decisão e é composta por três formulários:

Form 1 — identidade da peça: peça/desenho/revisão, número do roteiro (lista de materiais), número do relatório de ensaio, número de série. A maioria dos campos é PREENCHIDA ANTECIPADAMENTE a partir da ordem de produção e do roteiro; digitar à mão é fonte de erro. Se for escolhida uma FAI parcial, a justificativa é obrigatória (qual alteração a motivou?).
Form 2 — evidência de material e de processo especial: cada linha de material é vinculada a um certificado REAL, cada linha de processo especial a um pacote de terceirização ou a um número de documento. Linha sem evidência não pode ser gravada.
Form 3 — desenho balonado: para cada número de balão, o nominal, a tolerância, o valor MEDIDO, o instrumento e a data de calibração daquele instrumento. NÃO SE PODE registrar decisão "conforme" para uma medição fora de tolerância.

A trava: a qualidade não pode aprovar a FAI enquanto houver no Form 3 um balão sem decisão ou não conforme. O pacote de auditoria: com um clique todos os formulários são reunidos em um único JSON, o Form 3 também baixa em CSV e ao pacote é acrescentado um resumo de manifesto (SHA-256) — os mesmos dados sempre geram o mesmo resumo, então o auditor consegue verificar por conta própria que o arquivo não foi alterado depois. A saída em papel vem do desenho AS9102 pronto em Formulários de Impressão; não existe um motor de PDF separado.

5 · Necessidade de conhecer — graus de sigilo

Em defesa, até a EXISTÊNCIA de um documento é informação: "existe um desenho técnico desse projeto, mas você não pode vê-lo" já é, por si só, inteligência. Por isso a trava corta não só o download, mas também a listagem — um usuário sem o grau necessário nunca vê o registro na lista.

Graus: público (0) < interno (1) < reservado (2) < secreto (3). O grau do usuário vem da credencial de segurança no RH; um usuário sem credencial conta como 'interno', e um usuário cuja credencial venceu CAI para 'interno' em vez de perder todo o acesso (senão um atraso na renovação pararia o trabalho).
A lista de necessidade de conhecer: em projetos classificados como 'reservado' ou acima, o grau SOZINHO não basta; o usuário precisa estar na lista de membros daquele projeto, mantida pelo administrador do sistema.
Esta trava NÃO tem saída visível. Todas as outras travas oferecem um botão de exceção deliberada; esta não. Todo acesso recusado é gravado na trilha de acesso.

6 · UII da MIL-STD-130 e a etiqueta 2D

Um UII não é um código de barras, é um COMPROMISSO: pela vida inteira da peça essa identidade nunca é dada a outra peça. Ele é formado por três partes — o identificador da sua empresa (código CAGE/NCAGE), o número original da peça e o número de série. O código CAGE é lançado uma vez nas configurações; o número de série o programa não inventa, quem fornece é você.

A cadeia impressa na etiqueta é um portador ISO/IEC 15434 Format 06 e é desenhada como um Data Matrix 2D (ECC 200). O designer de impressão ganha um novo tipo de objeto: Data Matrix. Vêm dois desenhos prontos — a etiqueta de peça UID e a etiqueta de caixa (expedição). Um código lido é decodificado e o número de série é confrontado com o nó de rastreabilidade; se não houver correspondência, o programa diz isso com todas as letras. Os drivers de equipamentos de marcação a laser ou dot-peen estão fora do escopo deste pacote: a saída é a cadeia UII e a própria etiqueta.

8 · Químicos aeroespaciais — tempo fora do freezer e pot-life

Em materiais como adesivos, resinas e prepregs correm três relógios distintos, e confundi-los faz o módulo inteiro ficar errado. O primeiro é a vida de prateleira (a validade do lote) — esse o sistema já conhecia. O segundo é o tempo fora do freezer (out-time): quanto tempo o material passa exposto entre a retirada e a devolução. O terceiro é o pot-life: por quanto tempo uma resina bicomponente continua utilizável depois de misturada.

O tempo fora do freezer é CUMULATIVO e nunca zera. Esse é o ponto mais mal compreendido do módulo: devolver o lote ao freezer não zera o contador, apenas o pausa. Na retirada seguinte ele continua de onde parou. Um material retirado quatro vezes, duas horas em cada uma, ficou oito horas exposto; se o orçamento dele é de quatro horas, ele chegou ao fim da vida útil, e voltar para o freezer não o salva.

O orçamento de tempo não é inventado. Não existem no sistema valores prontos como "30 dias" ou "21 dias"; o orçamento de cada material está na ficha técnica do fabricante (FISPQ/TDS) e é lançado por item em Qualidade → Pot-life → Regras de material. Se o item não tem regra, nenhuma trava deste módulo roda — abrir a tela não para produção alguma.

O contador está ligado ao número do lote, não à linha do depósito. Isso foi escolhido de propósito: quando um lote sai do depósito CENTRAL para o depósito de TERCEIRIZAÇÃO, o sistema abre uma linha nova no destino. Se o contador estivesse ligado a essa linha, o histórico do material seria silenciosamente apagado na primeira transferência. Enquanto o número do lote não mudar, o tempo acumulado também não muda.

Retirada — apertado quando o lote sai do freezer; o contador começa a correr.
Devolução — apertado quando o lote volta; a duração daquele ciclo é SOMADA ao total acumulado.
Mistura — apertado quando A+B são misturados; o relógio do pot-life começa e NÃO PODE SER DESFEITO. Uma nova mistura é aberta com um novo número de lote.
Correção — é o ÚNICO jeito de reduzir o contador acumulado. Somente administrador e somente com justificativa de pelo menos 10 caracteres; o valor antigo permanece registrado e a correção é gravada na trilha de auditoria.

Existem duas travas e as duas vêm desligadas por padrão. Com kalite.potlife_zorunlu ligada, um lote com o orçamento esgotado é recusado no apontamento de produção com POTLIFE_ASILDI; a saída visível é potlifeOnay e uma marca potlife é gravada no apontamento. Com kalite.potlife_otomatik_bloke ligada, um lote que esgota o orçamento é posto em bloqueio de qualidade no momento da devolução — um lote bloqueado não pode ser remetido e disso não há saída; liberá-lo é decisão da qualidade.

9 · Importar um relatório de medição da CMM

Digitar à mão cada balão do Form 3 da AS9102 é lento e propenso a erro: as medições já existem no relatório da máquina de medição por coordenadas (CMM). Esta seção lê esse relatório e grava as medições no CEP e, se você quiser, no Form 3. É preciso dizer de saída: não existe um formato único chamado "CSV do Calypso" ou "CSV do PC-DMIS". A saída CSV desses programas é gerada por um modelo; os nomes das colunas, a ordem, o separador decimal e o idioma variam de cliente para cliente. Por isso o HNR não é um "leitor de Calypso", e sim um analisador com motor de mapeamento.

O formato Q-DAS ASCII é a exceção: ele tem uma especificação publicada (Q-DAS ASCII Transfer Format V12/2015) e o programa a segue ao pé da letra — incluindo os campos K, o separador de características, o separador de dados adicionais e o formato de data. Se você puder usar esse formato, não precisa definir mapeamento nenhum. Num relatório de texto do PC-DMIS a ordem das colunas depende do modelo de relatório; o programa não assume ordem fixa, lê a linha de cabeçalho de cada bloco. Para textos delimitados, você define um mapeamento em Qualidade → perfil CMM para as colunas que ele não reconhecer.

A importação tem duas etapas e a primeira não pode ser pulada. Primeiro a PRÉVIA: o arquivo é lido, cada linha é confrontada com as características do ERP e o resultado é mostrado na tela — nesta etapa nada é gravado. Depois GRAVAR. Na requisição de gravação o servidor exige a assinatura da prévia; se o arquivo, o item, a ordem de produção ou a configuração de tolerância mudaram no meio-tempo, a assinatura não bate e a requisição é recusada. O motivo é simples: dado de medição é evidência de auditoria, e uma linha que o usuário não viu não pode entrar no CEP em silêncio.

Na prévia cada linha tem uma situação e um motivo: correspondida (encontrada no ERP), nova (não existe no ERP mas o arquivo traz a tolerância — é criada se "Criar novas características" estiver marcado), indefinida (sem tolerância, ou com o arquivo e o ERP discordando dela) e inválida. Nenhuma linha é pulada em silêncio; o motivo sempre fica escrito. A opção "Criar novas características" vem desligada por padrão, para que um erro de digitação no arquivo não multiplique as suas definições de CEP.

Se as tolerâncias divergem, o ERP vence. A tolerância dentro do programa da CMM muitas vezes ficou de uma revisão antiga do desenho; não se permite que o valor do arquivo sobrescreva em silêncio a tolerância atual do ERP. Esse comportamento fica na configuração kalite.cmm_tolerans_kaynak e o padrão dela é sistem. Se dosya for escolhido, a linha divergente é marcada como "indefinida" e a decisão fica com você — em nenhum caso há sobrescrita automática. O mesmo arquivo não pode ser importado duas vezes para a mesma ordem de produção: gravar as mesmas medições duas vezes melhoraria o Cp/Cpk de forma falsa.

Duas exclusões precisam ser ditas com clareza: o formato XML QIF (ISO 23952) e o arquivo binário .DMO do PC-DMIS não são lidos. O primeiro é uma árvore de esquema maior que este pacote inteiro; o segundo não tem especificação publicada. Nos dois casos, exporte do programa da CMM em Q-DAS ou em texto/CSV. O módulo em si vem desligado por padrão; ele é ligado na seção ⚙ Configurações da janela Qualidade → AS9102 → “Importar relatório CMM” (administrador), colocando a chave kalite.cmm_ice_aktarim em “acik”. Enquanto estiver desligado, os endpoints de prévia e importação retornam 403; a janela avisa que está desligado e abre a seção de configurações por conta própria.

10 · GQA — garantia da qualidade governamental (AQAP-2070)

Em contratos da OTAN, o Estado comprador manda verificar a qualidade do fornecedor por meio do próprio representante. Esse processo se chama GQA (Government Quality Assurance) e quem o conduz é o GQAR. As regras estão no NATO STANDARD AQAP-2070 Edition B Version 3 e o HNR usa os termos daquele documento ao pé da letra: o formulário de solicitação é o RGQA, a resposta é o RGQAR, o relatório de encerramento é o GQACR, a comunicação de risco é o RIAC e o documento de conformidade é o CoC.

O CoC daqui não é o CoC que o sistema já conhecia. O certificado que você vê no recebimento é o documento que VEM DO FORNECEDOR; já o CoC da AQAP é o documento que VAI PARA O CLIENTE. Para que os dois não se misturem, este conceito é mantido separado e vive na tela sob o título "Certificados de Conformidade (CoC)". O documento tem duas partes: a Part I é a declaração de conformidade do fornecedor (AQAP Annex B, blocos 1-15) e a Part II é a declaração "Statement of GQA" do GQAR (blocos 1-6).

A assinatura do GQAR NÃO SIGNIFICA ACEITAÇÃO. Essa é a ressalva que o próprio documento AQAP imprime no formulário da Part II, e o HNR a carrega literalmente tanto na tela quanto no pacote gerado: a assinatura não indica que o produto foi aceito em nome do comprador e/ou do delegante, nem que cada item foi inspecionado individualmente. Remover essa frase transformaria o documento em outra coisa.

O caminho padrão é o caminho do DOCUMENTO. O GQAR não é usuário do seu sistema e, na maioria das instalações, nem se quer abrir uma tela para ele. Por isso o fluxo comum é: a página da Part II é impressa, o GQAR assina de próprio punho, a página é digitalizada e anexada, e o resumo sha256 do arquivo é gravado no registro do CoC. A decisão "concedido" não pode ser salva sem o anexo — a assinatura do GQAR está no documento, não no sistema; o sistema apenas guarda que aquele documento existe e qual é o resumo dele.

A própria Part I passa por aprovação a quatro olhos: escrito o rascunho do CoC, inicia-se a aprovação em Corporativo → Assinatura eletrônica com o assunto gqa e duas pessoas diferentes assinam. Enquanto a aprovação não se completa, "Publicar" é recusado. No momento da publicação um resumo de manifesto é carimbado no registro: o auditor consegue reproduzir o mesmo resumo a partir dos mesmos dados e, se os dados mudarem depois, o resumo não bate. A aprovação de GQA pertence à família da qualidade, então usuários de finanças ou de operações não veem o registro de aprovação.

A trava é de ESCOPO ESTREITO, e isso é uma decisão consciente. Mesmo com kalite.gqa_zorunlu ligada, a trava só se aplica ao cliente ou projeto que tem uma delegação RGQA ativa. Não se exige GQA num pedido comercial sem delegação — caso contrário uma única configuração pararia toda a expedição. Se quiser, você também pode definir o escopo à mão, listando códigos de cliente/projeto separados por vírgula em kalite.gqa_kapsam. A trava roda na emissão da nota fiscal de venda e recusa com GQA_BEKLIYOR; a saída visível é gqaMuaf, exclusiva do administrador, exige justificativa e deixa um registro de desvio e uma trilha de acesso.

Por fim, um limite: a AQAP não define um esquema de arquivo legível por máquina; ela diz que o documento pode ser preparado em Word ou PDF. Por isso o HNR não inventa um formato XML/EDI — o que ele gera é REGISTRO, JSON e CSV, e a saída em papel é impressa pelo único renderizador já existente no designer de impressão. Portais e fluxos de assinatura eletrônica próprios de órgãos de aquisição também estão fora do escopo: eles não têm especificação publicada.

11 · Resumo das travas — o quê, onde, tem saída?

SPEKTRUM_DEGER_YOK / SPEKTRUM_ARALIK_DISI — recebimento (IQC). Saída: desvio aprovado (abrangência de lote/série obrigatória, com rastro).
FASON_AKREDITASYON — etapa de remessa do pacote de terceirização. Sem saída; a acreditação precisa ser renovada.
PERSONEL_YETKINLIK — apontamento de produção e decisões de qualidade. Saída: aprovação do gestor (com rastro).
FAI_FORM3_KARARSIZ / FAI_FORM3_UYGUNSUZ — aprovação da primeira peça. Sem saída; cada balão precisa ser decidido ou a não conformidade encerrada.
GIZLILIK_DERECESI / BILMESI_GEREKEN — leitura de anexos e de projetos. SEM saída.
POTLIFE_ASILDI / POTLIFE_ACIK_CEVRIM — apontamento de produção. Saída: potlifeOnay (com rastro). Sem regra no item a trava nunca roda.
LOT_BLOKE (bloqueio automático de pot-life) — remessa e consumo. SEM saída; liberar é decisão da qualidade.
CMM_ONIZLEME_GEREKLI / CMM_ONIZLEME_BAYAT / CMM_MUKERRER — importação da CMM. SEM saída; a prévia precisa ser refeita.
GQA_BEKLIYOR — nota fiscal de venda. Saída: gqaMuaf + justificativa (só administrador; registro de desvio e trilha de acesso).
CoC_ONAY / GQA_BELGE_GEREKLI — publicação do CoC e declaração do GQAR. SEM saída; os quatro olhos precisam se completar e a Part II assinada precisa ser anexada.