Gêmeos digitais, otimizadores e modelos de IA já recomendam vazões, pressões e valores de projeto na Petrobras [1, 2]. Cada recomendação termina num número que chega sozinho: “previsão 352 bar, confiança 97%”. A Contraprova acrescenta ao fluxo de decisão o que a validação do modelo não dá: sobre o modelo físico declarado e o envelope de incerteza declarado das entradas (faixas com fonte), calcula por aritmética intervalar rigorosa o intervalo garantido da saída — a garantia de pior caso — e devolve um de três vereditos sobre cada número, com um contraexemplo de cada lado quando a evidência não decide e o limiar que decide. Cada veredito sai num certificado de uma página que um engenheiro refaz sem o nosso código.
VÁLIDO — vale para toda entrada dentro da incerteza declarada
O número respeita as equações e as regras declaradas para toda entrada do envelope — não numa amostra, não em média.
INVÁLIDO — a falha está provada: a equação, o limite ou a entrada que a derruba
Falha, e a falha está provada: um número que não resolve a sua própria equação, viola conservação, uma unidade ou o domínio do modelo.
INDETERMINADO — entradas admissíveis dos dois lados, e o limiar que decide
O envelope contém entradas que respeitam a regra e entradas que a violam, ambas verificadas; o certificado publica a medição ou o ajuste que decide.
A Petrobras declara mais de US$ 200 milhões de ganhos com gêmeos digitais nas refinarias e prepara a evolução para a otimização autônoma; no campo de Jubarte, um piloto de gêmeo digital para produção e escoamento aumentou a produção em cerca de 1% e foi validado para uso [1, 2]. Cada um desses sistemas termina num número — uma vazão de injeção, uma pressão na cabeça do poço, uma onda de projeto — e o número chega sozinho, com uma confiança que fala do modelo, não daquela saída.
O que está em jogo por número: a capacidade de um FPSO do pré-sal é de 225 mil barris por dia (P-84 e P-85, US$ 8,15 bilhões pelos dois) [3]; uma linha de injeção tem um limite de pressão na cabeça do poço e um limite de erosão (API RP 14E [12]); a onda de 100 anos fixa a base de projeto de cascos, ancoragens e risers (ISO 19901-1, DNV-RP-C205 [10, 11]). O Sistema de Gerenciamento da Segurança Operacional exige que qualquer desvio das especificações de projeto passe pelo gerenciamento de mudanças e pela integridade mecânica (Resolução ANP 43/2007, práticas 13 e 16 [4]) — e uma recomendação de IA que muda uma vazão é uma mudança.
Três fatos do demonstrador desta página. Dois programas dão dois números para os mesmos dados: o mesmo scipy, nos mesmos 175.320 registros, imprime 7,08 m ou 15,20 m de onda de 100 anos. Quando o máximo não existe, o otimizador imprime a última iteração como resultado: 5.751 casos só no atlas público. E uma recomendação plausível de IA, “352 bar, 97%”, tem entradas declaradas dos dois lados do limite de 360 bar. A pergunta que o fluxo atual não responde não é “o modelo é bom em média?”; é: este número vale para as condições que declaramos?
Nada é substituído: o gêmeo digital, o simulador e a revisão continuam como hoje. A Contraprova entra como um portão ao lado do modelo e como anexo do relatório: o certificado de decisão de cada número.
| hoje | entrega | o que a Contraprova acrescenta |
|---|---|---|
| Validação e métricas do modelo (MLOps, V&V de código, ASME V&V 20 [7], NASA-STD-7009 [8]) | desempenho médio e credibilidade do modelo | uma decisão sobre ESTA saída, nestas condições: o intervalo garantido e o veredito |
| Quantificação de incerteza, intervalos de confiança | a dispersão estatística | se a saída respeita as equações que declara e as regras, em todo o envelope; a estatística nunca se passa por prova |
| Segundo cálculo, outro software | um segundo número | o árbitro: qual número é o máximo que diz ser, qual parou antes (7,08 × 15,20 m) |
| Revisão por par ou por classificadora | o julgamento de um especialista | a re-derivação mecânica de cada número, como insumo da revisão; não a substitui |
| Gerenciamento de mudanças (SGSO, prática 16) | o registro da mudança | o certificado de decisão como registro técnico da mudança, reexecutável na auditoria |
| Auditoria, meses depois | refazer o estudo | refazer o certificado: um arquivo, segundos, sem o nosso código |
Glossário. Envelope declarado (nas páginas do motor, “caixa”): as faixas das entradas, com fonte. Contraexemplos (“testemunhas”): uma entrada verificada de cada lado da regra. Certificado de decisão (“recibo”): a Nota Técnica de uma página, reexecutável sem o nosso código. Casos de controle negativos (“controles vermelhos”): erros plantados que cada build precisa recusar. Os selos PROVADO, REFUTADO e RECUSADO leem-se VÁLIDO, INVÁLIDO e INDETERMINADO. “Certificação” tem dono no offshore (sociedades classificadoras, ANP): a Contraprova entrega uma prova matemática reexecutável sobre um número, não uma certificação de classe.
Comprimento, diâmetro, rugosidade, massa específica, viscosidade e desnível da linha, cada um como intervalo; as regras de operação declaradas (P_wh ≤ 360 bar; v ≤ 5 m/s). No piloto, do cadastro e dos perfis, em dados sintéticos no formato da Petrobras.
Uma proposta: um número e o que ele afirma. O modelo não precisa ser aberto; decide-se a saída.
Veredito, intervalo garantido, contraexemplos, limiares e reprodução, numa página (exemplo em PDF).
Verificação. Uma segunda implementação em Python (módulo decimal, 50 dígitos, sem código em comum) calcula P_wh em 176 entradas — os 64 cantos e pontos sorteados de duas operações — e o intervalo do portão contém todas. 24 verificações e 9/9 casos de controle negativos a cada build: uma pressão 0,1 bar fora do intervalo, um manifold com 1 m³/d a mais, um f 10⁻⁴ fora das soluções, uma vazão 1 m³/d abaixo do regime turbulento, um “verificador” que avalia só o centro do envelope — todos recusados. Cada caso é decidido de novo no navegador pelo mesmo código que gerou o registro.
Fora desta versão, dito aqui. Escoamento monofásico, permanente e isotérmico: transientes, multifásico, perfil térmico e a erosão como modelo entram por domínio na E5, cada um como modelo declarado com o seu envelope. Um PROVADO fala do modelo declarado e das entradas declaradas — não do poço.
A entrada admissível que viola o limite na recomendação de IA (+4,2%: Q = 7.000 m³/d, P_d = 206 bar): ε = 0,020 mm, μ = 1,08 mPa·s, D = 152,8 mm, ρ = 1.028 kg/m³, Δz = 2.105 m, L = 5.990 m — a linha mais lisa, a água mais fluida e mais densa, o diâmetro maior, a lâmina maior. Linha a linha, numa planilha; o portão garante o mesmo valor com intervalo (≥ 361,6 bar).
| passo | fórmula | valor |
|---|---|---|
| área e velocidade | A = πD²/4; v = Q/A | 0,01834 m² · 4,418 m/s |
| número de Reynolds | Re = ρvD/μ | 642.600 |
| fator de atrito (Colebrook, x = 1/√f) | x + (2/ln 10)·ln(ε/(3,7D) + 2,51x/Re) = 0 | x = 8,336 → f = 0,01439 |
| perda por atrito | Δp = f·(L/D)·ρv²/2 | 56,6 bar |
| ganho hidrostático | ρgΔz | 212,2 bar |
| pressão na cabeça do poço | P_wh = P_d + ρgΔz − Δp | 361,6 bar (limite 360) |
Linha de injeção de água do FPSO ao poço injetor, lâmina d'água de 2.100 m. Valores típicos e ilustrativos, não dados da Petrobras. Nove propostas: duas recomendações que um modelo de IA poderia fazer, e sete saídas de referência com uma falha injetada em cada — as sete falhas que um verificador industrial precisa pegar. Cada uma é decidida agora, no seu navegador, pelo mesmo código que gerou o registro publicado.
Um modelo de IA recomenda subir a injeção de 6.720 para 7.000 m³/d (+4,2%), elevando a descarga da bomba para 206 bar, e prevê 352 bar na cabeça do poço — abaixo do limite de 360 bar.
P_wh ∈ [343,7; 362,0] bar para toda entrada declarada
O envelope declarado (toda entrada dentro dele é decidida) e as duas regras:
| entrada | intervalo declarado |
|---|---|
| comprimento da linha | 5.990 – 6.010 m |
| diâmetro interno | 152,0 – 152,8 mm |
| rugosidade | 0,02 – 0,08 mm |
| massa específica da água | 1.022 – 1.028 kg/m³ |
| viscosidade (água do mar, ~10–20 °C) | 1,08 – 1,39 mPa·s |
| desnível (lâmina d'água) | 2.095 – 2.105 m |
| regra 1 | pressão na cabeça do poço ≤ 360 bar (limite operacional declarado) |
| regra 2 | velocidade ≤ 5 m/s (limite de erosão declarado) |
As sete falhas, pegas com o motivo. Parâmetro errado → REFUTADO · Conservação violada → REFUTADO · Instabilidade numérica → REFUTADO · Condição de contorno impossível → REFUTADO · Conversão de unidade → REFUTADO · Saída alucinada → REFUTADO · Fora do domínio → RECUSADO. Cada uma é uma saída de referência com um erro que um modelo comete na prática; nenhuma passa.
dos 10.000 sorteios uniformes do envelope passam de 360 bar (com 1.000 sorteios: 0,2%); o maior sorteio chega a 360,7 bar. Um estudo que confiasse nisso diria “risco de 0%” e agiria, ou não, por esse número.
Uma entrada admissível, com valor garantido, passa do limite; outra, a 344,2 bar, o respeita. O intervalo garantido da saída é [343,7; 362,0] bar. A fração do envelope que viola é uma estimativa por sorteio, rotulada como tal; a decisão não depende dela.
Com P_d ≤ 204,0 bar a regra fica PROVADA na caixa inteira; acima de 222,3 bar fica REFUTADA. Ou inspecionar a linha e mostrar rugosidade ε ≥ 0,027 mm (a caixa declara 0,020–0,080 mm): com isso a regra fica PROVADA. A recomendação com a descarga em 200 bar é VÁLIDA no envelope inteiro: P_wh ∈ [337,7; 356,0] bar.
Os valores extremos de altura de onda que dimensionam FPSOs, ancoragens, risers e turbinas eólicas offshore — a onda de 100 anos da base de projeto [10, 11]. O método é o de Reis, Guimarães et al. (Ocean Engineering, 2026) [15]: seis famílias, quatro critérios, níveis de 100 e 1.000 anos; os dados, o hindcast público WAVEWATCH III 1993–2024.
A mesma onda de 100 anos, dos mesmos 175.320 registros horários, pelo mesmo scipy 1.18.1 chamado de dois jeitos. Só um é o máximo de verossimilhança que os dois dizem calcular: o outro fica 19.850 unidades de log-verossimilhança abaixo de um membro da própria família. Na chamada padrão, 0 de 60 ajustes conferem; com a locação fixa, 45 de 60.
o relatório →Ajustes em 2.589 células, três blocos, seis famílias — 40.778 provados como máximo; 5.751 recusados com a prova de que o máximo não existe dentro da família (o otimizador imprimiria um ponto do caminho). Qualquer célula é refeita no navegador.
o atlas →Ondas de 100 anos de uma tabela de projeto eólico offshore (Bhaskaran et al., Energies 16, 6935 (2023) [16], cinco áreas do Atlântico Sul) fora do intervalo estatístico de 95% do registro público mais próximo (31–61 km): de −2,03 a +3,14 m. A tabela vem de um hindcast comercial que ninguém de fora refaz: é a distância entre dois registros, e o motivo para um certificado.
decida um ajuste impresso →Antes da engenharia, o motor foi calibrado onde a IA é mais difícil de conferir: matemática publicada, produzida com ou por modelos de fronteira. Em público, com data, e com cada verificador disponível.
| o que a IA afirmou | veredito | por quê |
|---|---|---|
| Um certificado de GPT-5.4 Pro que melhoraria o limite de Ramsey diagonal (benchmark HorizonMath, 2026) | REFUTADO | O verificador do próprio benchmark aceitava um par se UMA orientação passasse; a definição exige as DUAS. |
| A iteração “preliminar, não verificada” de ChatGPT 5.6 Sol impressa por Gupta, Ndiaye, Norin e Wei: R(k,k) ≤ 3,78233^(k+o(k)) | PROVADO | Decidida por dois programas independentes, em duas linguagens, com aritmética diferente; concordam em 25 dígitos. |
| A biblioteca de contraexemplos encontrados por IA de S. Sra (14 casos) | PROVADO 9 inteiros · 5 parciais | Cada caso decidido do certificado publicado, com um verificador escrito a partir do enunciado. |
| O registro inteiro | 87 decididas | Cada linha com o arquivo que a decidiu; nada é contado duas vezes. |
Relatórios: HorizonMath · Ramsey diagonal · contraexemplos · o registro de setembro.
| decisão da Petrobras | custo em jogo | o que muda com a Contraprova | evidência no demonstrador |
|---|---|---|---|
| Agir sobre uma recomendação de IA ou gêmeo digital (vazão, pressão, injeção) | horas ou dias de um FPSO de 225 mil bpd [3]; a integridade de uma linha com limite de 360 bar; a mudança sob o SGSO [4] | veredito sobre o envelope inteiro antes de agir; o limiar que torna a recomendação VÁLIDA | a recomendação de +4,2%: INDETERMINADA; VÁLIDA com P_d ≤ 204,0 bar |
| Fixar um valor de projeto metoceânico (onda de 100 anos) | a base de projeto de cascos, ancoragens e risers; dois FPSOs custam US$ 8,15 bilhões [3] | o máximo provado, ou a recusa com a prova de que o máximo não existe | 40.778 provados, 5.751 recusados com motivo |
| Arbitrar dois programas que discordam | um estudo, semanas, uma reunião sem árbitro | qual número é o máximo que diz ser, qual parou antes | 7,08 × 15,20 m; 0 de 60 |
| Aceitar um número de fornecedor ou consultor | o custo do estudo e da decisão que ele informa | a distância entre o número impresso e o registro público, célula a célula | 19 de 20 ondas de uma tabela publicada fora do intervalo de 95% |
| Registrar uma mudança de operação (SGSO, práticas 13 e 16 [4]) | conformidade; o registro técnico da mudança | o certificado de decisão como o registro: modelo, envelope, veredito, limiar | a Nota Técnica de exemplo |
| Auditar meses depois | refazer o estudo | refazer o certificado: um arquivo, segundos, sem o nosso código | cada caso re-decidido no navegador |
Frequência e dono da decisão. A frequência é a do fluxo: cada recomendação de gêmeo digital ou de IA que vira ação, cada revisão de base de projeto, cada mudança sob o SGSO. Dono na Fase 1: engenharia de reservatórios, elevação e escoamento do ativo (o portão ao lado do modelo); engenharia submarina e naval (valores de projeto); segurança operacional (gerenciamento de mudanças). A viabilidade financeira não é estimada de fora: é a entrega E3b, com interlocutores da Petrobras.
Onde entra no fluxo atual (nada é substituído). (1) O modelo propõe → o portão decide a saída → o certificado acompanha a decisão. (2) O relatório de base de projeto → o anexo com o máximo provado ou a recusa. (3) A mudança sob o SGSO → o certificado como registro técnico. (4) A auditoria → o certificado refeito. (5) Cada certificado adquirido volta como caso de controle do domínio.
A busca não foi sistemática; a revisão de literatura por domínio é parte de E4. O que encontramos: normas e livros de V&V que qualificam códigos e modelos, métodos intervalares que garantem limites, e práticas de MLOps que medem desempenho médio. Não encontramos, nessas referências, o veredito de três valores sobre cada saída, com contraexemplos e o limiar que decide.
Objetivo geral. Num fluxo em que uma saída de IA ou simulação vira decisão (por exemplo, injeção de água), com dados sintéticos que a Petrobras fornece no formato dos seus dados reais, decidir cada número sobre o envelope declarado e medir o que muda quando a decisão chega com certificado. Objetivos específicos. (1) modelo, envelope e regras declarados com fonte; (2) o portão rodando ao lado do modelo, com certificados por decisão; (3) para cada INDETERMINADO, o limiar ou a medição que decide; (4) valores de projeto metoceânicos com certificado; (5) valoração econômica com interlocutores da Petrobras; (6) scripts entregues prontos, rodados pela Petrobras sobre os dados reais sem o autor.
| entrega | meses | o que entrega | critério de aceitação | TRL |
|---|---|---|---|---|
| E1 · Fluxo e envelope declarados | 0–2 | UM fluxo de decisão escolhido com a Petrobras; o modelo físico, as faixas das entradas (cadastro, perfis, PVT) e as regras, com fonte por linha — a partir de dados sintéticos fornecidos pela Petrobras no formato dos reais; nenhum dado real é pedido | assinado pelo engenheiro-par; nenhum parâmetro sem fonte | 4 |
| E2 · O portão ao lado do modelo | 2–5 | certificados para cada saída do fluxo (VÁLIDO, INVÁLIDO, INDETERMINADO com contraexemplos e limiar); casos de controle negativos do domínio | 100% dos controles recusados a cada build; três certificados recalculados à mão por engenheiro da Petrobras | 5 |
| E3 · Plano de redução de incerteza | 3–6 | para cada INDETERMINADO: a medição, a inspeção ou o ajuste operacional que decide, com o custo e a ordem | lista priorizada aceita pela equipe do ativo | 5 |
| E3b · Valoração econômica | 3–6 | entrevistas e consultas com interlocutores da Petrobras (reservatórios e escoamento, engenharia submarina, segurança operacional): que decisão muda, com que frequência, quanto custa errar, quanto vale para a Petrobras e para a startup — a viabilidade financeira do negócio, que não se estima de fora | relatório de valoração com premissas explícitas, validado pelos interlocutores | — |
| E4 · Valores de projeto metoceânicos | 4–8 | os ajustes de extremos (famílias e critérios de Reis, Guimarães et al.) sobre dados sintéticos no formato da Petrobras e o hindcast público; o verificador em Python de um arquivo; o formato do certificado para a base de projeto; revisão de literatura por domínio | certificados aceitos pela engenharia submarina; um máximo provado ou a recusa provada por ajuste | 5 |
| E5 · Integração | 6–10 | scripts e certificados por decisão entregues prontos, no formato dos dados da Petrobras, para ela rodar sobre os dados reais dentro do seu ambiente; a biblioteca de modelos declarados por domínio (escoamento, balanços, hidrostática, extremos); o certificado como registro de mudança (SGSO) | a Petrobras roda sobre os seus dados sem o autor; controles negativos recusados em cada build | 5–6 |
| E6 · Contornos ambientais conjuntos (pesquisa) | 8–12 | o modelo conjunto altura–período e o contorno ambiental (IFORM/ISORM), cada um com o seu certificado | revisão com a engenharia submarina; um contorno decidido de ponta a ponta | 2 → 4 |
Marcos e portões. M0 (mês 0): kick-off; dados sintéticos no formato da Petrobras entregues; NDA. M3: primeiros certificados no fluxo; portão técnico — se mais de 50% das saídas forem INDETERMINADAS, estreitar o envelope com as medições de E3 antes de E4. M6: revisão de meio-termo com o portfólio, com o relatório de valoração (E3b); go/no-go para E4–E6. M12: entrega final; decisão de implantação (o portão como serviço ao lado dos modelos, ou licença por ativo).
| risco | efeito | mitigação | onde |
|---|---|---|---|
| Modelo declarado aquém do fluxo (transiente, multifásico, térmico) | um VÁLIDO que o campo desmente | o escopo dito na seção 3; cada modelo entra declarado com o seu envelope e os seus controles; “o veredito fala do modelo declarado” na primeira página | E1, E5 |
| Excesso de INDETERMINADO | ferramenta lida como conservadora demais | todo INDETERMINADO sai com o limiar ou a medição que decide; portão M3; envelopes estreitados por medição, nunca por hipótese | E3; M3 |
| Acesso a dados | os dados de operação e de projeto da Petrobras são confidenciais; um plano que dependa deles não anda | o projeto não pede dados reais: dados sintéticos fornecidos pela Petrobras no formato dos reais, complementados pelos públicos (hindcast, boias); os scripts são entregues prontos e a Petrobras os roda sobre os dados reais dentro do seu ambiente | M0, E1, E5 |
| A palavra “certificação” | leitura como certificação de classe | a Contraprova entrega uma prova matemática reexecutável sobre um número; não substitui a responsabilidade técnica de quem assina | seção 2 |
| Equipe de uma pessoa | risco de execução | engenheiro-par; segunda implementação independente já existente; colaboração acadêmica em negociação | seção 9 |
| Adoção interna | portão paralelo, não usado | formato de anexo ao relatório e de registro de mudança; o portão como API ao lado do modelo, sem trocar o modelo | E2, E5 |
| Viabilidade financeira não estimada | a pergunta “quanto vale para a Petrobras e para a startup” fica sem resposta | a valoração é uma entrega do projeto (E3b): entrevistas com interlocutores, relatório com premissas explícitas, revisto no M6 | E3b |
Modelo de negócio (CRL 3 → o que falta dizer). Fase de PD&I: contrato de inovação de 12 meses no instrumento do módulo em que a submissão cair; como referência, o módulo Aquisição de Soluções do Conexões previu até R$ 1,6 milhão por proposta, contratos de até 12 meses prorrogáveis por 12 (2022) [17]. Depois: o portão como serviço ao lado dos modelos (licença anual por ativo, com a biblioteca de modelos declarados, os controles por domínio e o suporte) ou o certificado como anexo por relatório; a Petrobras escolhe no M12. O núcleo de aritmética é MIT e fica aberto — auditável, condição do próprio método; o valor pago está na declaração dos modelos e envelopes do ativo, na integração ao fluxo, na suíte de controles por domínio e no suporte. Viabilidade financeira. Não a estimamos de fora: é o objeto de E3b.
Escalabilidade e abrangência. O mesmo método decide outras saídas de modelo: balanços de massa e energia de plantas de processo, hidrostática e estabilidade, contornos ambientais, tempo de vida à fadiga sob envelope de carga, e a decidibilidade de sísmica 4D (a solução Decidível, no outro formulário). Uma frase cada, sem prazo prometido.
Propriedade intelectual e confidencialidade. Titularidade do que for desenvolvido no projeto conforme a regra do módulo; aceita. Modelos declarados, envelopes e certificados do ativo são da Petrobras; nenhum dado ou derivado sai do ambiente. O método permanece público; a Petrobras recebe direito de uso irrestrito do núcleo.
Implantação ao final do projeto — o critério de sucesso. Ao final do M12, um engenheiro da Petrobras roda o portão sobre uma saída nova do seu fluxo, dentro da Petrobras e sem o autor, obtém o certificado e o anexa ao registro da decisão.
TRL 4 — validado em laboratório, em dados públicos e em escala: o atlas de ondas de projeto (46.602 ajustes), os relatórios decididos, o portão demonstrador desta página, o código e os registros arquivados com DOI (10.5281/zenodo.22800699). CRL 3 — a aplicação da tecnologia definida; o piloto é o próximo passo.
Equipe. Carlos Toledo, fundador: design industrial, direção de arte e desenvolvimento; ex-EmbraerX (inovação corporativa em aeroespacial); construiu o motor de verificação (código aberto, licença MIT, cada resultado com o arquivo que o decidiu). Colaboração acadêmica em negociação com um laboratório universitário; engenheiro-par da Petrobras no piloto. Uma pessoa hoje; o piloto define as próximas.
Contato. carlos@carlostoledo.co · apresentação (PDF) · Nota Técnica de exemplo (PDF) · código
Demonstrador com valores típicos e ilustrativos, não dados da Petrobras. Um PROVADO fala do modelo declarado e das entradas declaradas, não do poço nem do mar. A Contraprova entrega uma prova matemática reexecutável sobre um número — não uma certificação de classe, e não substitui a responsabilidade técnica de quem assina o projeto.
É o pedido que um representante de portfólio consegue aprovar sozinho: um fluxo em que uma saída de modelo vira decisão, as faixas das entradas como dados sintéticos no formato da Petrobras, e em quatro semanas os certificados dessas saídas — VÁLIDO, INVÁLIDO ou INDETERMINADO com o limiar — em scripts que a Petrobras roda sobre o fluxo real dentro do seu ambiente. Depois, os doze meses da seção 7.
Cada número e cada afirmação da página aponta para uma destas fontes ou para o registro do próprio demonstrador (apps/contraprova/data/gate-ledger.json e os registros em certs/). Onde a fonte é uma notícia e não um documento técnico, o número é dado como ordem de grandeza.