EmerControl Fogo — Simulador de propagação de incêndios rurais

Como se usa no terreno operacional

O procedimento é breve: marcar o foco, confirmar o ambiente e ler a projeção. A aplicação carrega automaticamente o relevo, o combustível, a meteorologia e a rede viária da zona. Todos os produtos de decisão derivam do mesmo motor.

1 · Ignição e combustível

• A coordenada de ignição confirmada tem precedência: se cair sobre estrada, água ou edificado, a chama não é deslocada — mantém-se na posição marcada.
• Se não houver vegetação cartografada à volta do foco, a aplicação assinala de forma destacada que o fogo não irá alastrar e oferece duas alternativas: um botão «assumir vegetação no foco» (adota a vegetação cartografada mais próxima) ou a correção manual do combustível por setor (escolher o tipo e o raio, e aplicar). Nunca inventa vegetação sozinha.
• Hora de início e reconstrução: um incêndio raramente é comunicado no instante em que começa. Se a hora de início for recuada, o motor reconstrói o fogo desde essa hora até agora — passo a passo, com a meteorologia real de cada instante (a série horária inclui as horas passadas), não com as condições atuais aplicadas ao passado. O operador vê primeiro onde o fogo estará agora e valida-o contra o que é reportado do terreno, antes de confiar na projeção para a frente; a linha temporal marca o «agora» e distingue «reconstruído» de «projeção +X min». O recuo está limitado a 6 h por desempenho. Com a hora em «agora», não há reconstrução: o cenário fica parado até iniciar.

2 · Ambiente e barreiras

• O vento regional (IPMA + Open-Meteo) é a referência; um modelo diagnóstico redistribui-o sobre o relevo (acelera em cristas, abranda a sotavento, canaliza em vales).
• A rede viária, água e aceiros carregam por defeito como barreiras — não é preciso ligar nenhuma camada. E travam conforme a intensidade da frente: um caminho segura um fogo fraco (noite/húmido) e é atravessado por um fogo violento — tal como na realidade.

3 · Ler a projeção

• Cabeça e velocidade média medem a frente de superfície — não são infladas pelos saltos de fogo. A projeção de faúlhas (spotting) é reportada à parte (alcance + nº de focos), para não confundir o salto de uma faúlha com a velocidade da frente.
• Setores (cabeça, flancos, retaguarda), projeção temporal (isócronas + previsão a +15, +30, +45, +60, +90, +120 e +180 min) e envelope de probabilidade (15 cenários a 90 min, com vento e humidade perturbados) dão a leitura direcional, temporal e de incerteza.
• Pontos monitorizados (ETA): o operador marca no mapa os locais que lhe interessam — uma aldeia, um lar, um ponto de água, uma posição de meios. Cada ponto recebe a janela provável de chegada (ex.: «12–22 min»), o tempo central previsto, um pior caso (agravado quando o vento é forte), a distância à frente e um nível de confiança. O painel de prioridades ordena-os por urgência, não por ordem de marcação. A janela é assimétrica: abre mais para o lado cedo — ver incerteza.
• Aviso de terreno propenso a fogo eruptivo: em desfiladeiros e encostas longas e inclinadas, o fogo pode acelerar subitamente por convecção própria («efeito de chaminé»), atingindo velocidades muito acima do que qualquer modelo de propagação estacionário projeta. Este simulador não reproduz esse regime — nenhum modelo do tipo Rothermel o faz. O que a aplicação faz é assinalá-lo: avalia no relevo, à cabeça do fogo e no corredor à frente dela, o declive, o confinamento lateral do vale e a extensão de encosta a montante, e emite um aviso de segurança quando a geometria é propícia. O aviso não altera a projeção: serve para dizer ao operador que, ali, a projeção é um limite inferior e que não se deve posicionar meios acima do fogo na encosta nem em cumeada sobre ela. O aviso foi ensaiado sobre um acidente documentado (Famalicão da Serra, 9 de julho de 2006, seis vítimas mortais): na configuração inicial, que varria apenas o corredor à frente da cabeça, o aviso nunca teria disparado, porque a ravina onde o fogo veio a erupcionar ficava fora desse corredor; corrigida a amostragem para varrer a vizinhança em todas as direções, o aviso passa a levantar-se cinco minutos após a ignição e a assinalar repetidamente o quadrante onde o acidente viria a ocorrer. Não é uma previsão de que o fogo vai erupcionar — é a constatação, verificável no relevo, de que aquela geometria produz erupções.
• Análise operacional automática: a partir da cartografia carregada, o motor de decisão identifica povoações, vias e pontos críticos dentro do setor de ameaça, ordena-os por risco e emite avisos explicáveis (cada um com severidade, categoria e motivo — vento extremo, humidade crítica, povoação ameaçada, via afetada). São avisos de triagem técnica, para dirigir a atenção; não são ordens nem substituem o reconhecimento no terreno.

4 · Correções e supressão

• Frente observada: quando há observação credível (equipa, COS, drone, visual, rádio), desenha-se a frente real e o motor continua a partir dela. Um ciclo de assimilação fechado ajusta continuamente a correção de vento/taxa a cada observação sucessiva.
• Linha de defesa: para reproduzir a supressão (o que os bombeiros seguraram), traça-se a linha nos flancos; só entra no motor depois de confirmada como preparada.
• Saúde das fontes: um painel mostra o estado e a frescura de cada fonte (rede, meteorologia, IPMA, terreno, combustível, seca) com tiers verde/âmbar/vermelho.

5 · Incêndio já a decorrer

• Buscar incêndios ativos: os focos de calor NASA FIRMS (VIIRS 375 m SNPP + NOAA-20, e MODIS) da área visível no mapa são agrupados em incêndios distintos por ligação simples, e o contorno de cada grupo — cada foco dilatado pelo tamanho do seu píxel — passa a perímetro de partida. Entram só os agrupamentos com deteção de satélite de menos de 24 h: com mais idade é rescaldo ou fogo dominado, e carregá-lo daria uma mancha que já não corresponde ao terreno. A chave da API fica no servidor (proxy PHP); nunca chega ao navegador.
• Carregar perímetro: em alternativa, importa-se um GeoJSON/KML (ou cola-se o texto). O interior fica ardido e todo o bordo fica ativo.
• Apagar flancos: a borracha arrasta-se sobre os troços já dominados, que ficam extintos e deixam de propagar. Fica ativo só o que ainda arde — tipicamente a cabeça — e a projeção parte daí.
• Resolução adaptativa: o domínio dimensiona-se à extensão do perímetro, entre 12,5 m e 60 m por célula. Um incêndio de dezenas de milhares de hectares passa a caber, ao preço de menos detalhe fino (ravinas, cortes estreitos) — e de um viés de discretização documentado em limites.

6 · Registo e auditoria

• Exportação do cenário: em qualquer momento, o cenário sai em relatório HTML (para anexar a um registo de ocorrência) e em JSON (para reanálise). Ambos levam o mesmo conteúdo: estado da simulação, meteorologia usada, contexto da ignição, avisos gerados, pontos ETA monitorizados, frente observada, linha de defesa, setores de combustível corrigidos, camadas visíveis e o registo cronológico de eventos. É o que permite dizer, mais tarde, com que dados e que pressupostos aquela leitura foi produzida — e refazê-la.
• Pontos críticos da entidade: pode importar-se um GeoJSON de pontos próprios (pontos de água, lares, escolas, infraestruturas sensíveis). Ficam identificados como Dados locais, distintos do que vem do OpenStreetMap, e entram na priorização automática. O ficheiro não é enviado para lado nenhum: fica guardado apenas neste navegador e pode ser removido a qualquer momento. Não há sincronização entre postos, controlo de versões nem trilho de auditoria central — a atualização e a qualidade do inventário são responsabilidade da entidade.

A leitura é sempre indicativa: se vento local, combustível, barreiras, projeções de faúlhas ou contenção real diferirem do cenário introduzido, o resultado deve ser revisto no terreno.

O modelo físico científico

• Rothermel (1972) para a velocidade de propagação superficial — o modelo-padrão usado internacionalmente (BEHAVE, BehavePlus, FARSITE) — com a extensão de duas categorias de combustível (morto + vivo) de Albini (1976): a humidade de extinção do combustível vivo é dinâmica, pelo que o modelo distingue mato verde de primavera de mato curado de verão.
• Vento e declive combinados vetorialmente (método BehavePlus/FARSITE) e distribuição elíptica de Anderson (1983) para a forma da frente (cabeça, flancos, retaguarda).
• Humidade do combustível fino morto por Fosberg & Deeming (1971) a partir da temperatura e humidade relativa, com atraso de resposta (Nelson) por combinação das classes de tempo 1 h e 10 h, correção conservadora pela precipitação recente e pela seca acumulada (KBDI).
• Campo de vento diagnóstico (tipo WindNinja simplificado, mass-consistent): o vento regional é redistribuído sobre o DEM com aceleração em cristas, abrandamento a sotavento e canalização em vales.
• Fogo de copas explícito por iniciação de limiar de Van Wagner (1977) (intensidade de superfície vs. altura da base da copa e humidade foliar), com fração de copa queimada contínua e modos passivo/ativo, parametrizado por espécie (pinhal, eucaliptal).
• Barreiras dependentes da intensidade: uma estrada/caminho/aceiro trava conforme o comprimento de chama de Byram da frente vs. a largura do corte — a chama+radiação (esticada pelo vento) transpõe cortes estreitos numa frente forte, mas não numa frente fraca. Os saltos de faúlha são o mecanismo que atravessa cortes largos numa frente intensa.
• Projeção de faúlhas do tipo Albini (1979/1983), ancorada na mesma intensidade de linha de Byram. A distância deixou de ser uma fórmula de rajada e passou a ser a consequência de uma cadeia de quatro elos: (1) produção — faúlhas geradas por metro de frente em chama, proporcional à intensidade e ao material da espécie; (2) elevação — a coluna convectiva de uma frente linear inclinada pelo vento tem velocidade vertical w₀ = √(g·I/(ρ·c_p·T) / U), e a faúlha só sobe se a coluna vencer a sua velocidade de queda; (3) transporte e sobrevivência — cai à velocidade terminal enquanto o vento em altitude a arrasta, e só conta a que ainda arde à chegada; (4) ignição — probabilidade função da humidade do fino morto no ponto de queda e da recetividade da espécie recetora. A casca em fitas do eucalipto é o gerador de longo alcance: cai devagar e arde muito mais tempo que a folhada do pinhal.
• Autómato celular determinístico com célula de 12,5 m (domínio de 6,3 km de lado, que cresce automaticamente com a frente): o mesmo resultado para as mesmas entradas. No modo incêndio já a decorrer a célula adapta-se à extensão do perímetro carregado, até 60 m. Não confundir com a resolução do relevo (DEM ~30 m) nem com a do combustível (Sentinel-2, 10 m).

Dados reais e proveniência

Camadas de entrada, fonte, resolução e comportamento de reserva.

Condição meteorológica inicial: quando existe observação IPMA válida, ela é mantida como estado de arranque. A previsão horária Open-Meteo é usada para a evolução futura e entra gradualmente nos primeiros 15 minutos simulados, evitando um salto artificial no início. A observação IPMA é reconsultada a cada 10 min reais e a previsão a cada 15 min reais; em falha temporária, conserva-se o último valor válido. A humidade é limitada ao intervalo operacional de 5 % a 100 %.

Dados vivos nunca são servidos em silêncio a partir da cache: a meteorologia, a observação IPMA e os focos de satélite vão sempre à rede primeiro; a cópia guardada só é usada quando a rede falha, e nesse caso a aplicação identifica-a como tal — o painel de saúde deixa de estar verde e passa a indicar a idade do dado guardado. O pacote offline continua a servir de imediato o que não muda com o tempo (aplicação, mapa base, relevo, ocupação do solo), que é o que permite abrir e operar sem rede.

Origem observada: a coordenada de ignição confirmada tem precedência sobre a classificação automática local. A inferência de combustível adjacente fica limitada à célula inicial e é registada no contexto operacional. Cada resultado indica a sua proveniência; quando um serviço falha, a aplicação degrada de forma controlada e marca explicitamente os dados como estimados — nunca apresenta dados inventados como oficiais.

Validação — quatro linhas independentes científico

Linha 1 · A implementação reproduz o modelo canónico ao vivo

O motor de produção (simplificação de duas classes) é comparado com uma reimplementação independente e completa do modelo de Rothermel/Albini com classes de dimensão explícitas — o mesmo modelo que o BehavePlus resolve. Para combustível de classe única, as duas resolvem as mesmas equações e devem coincidir a menos de erro numérico. Resultado (calculado ao vivo, … combinações de S/V, carga, profundidade, humidade, vento e declive): desvio máximo …. As equações do núcleo (intensidade de reação, fluxo propagante, fatores de vento e declive, dissipador de calor) estão corretamente implementadas. Reproduzível em dev/benchmark.html.

A simplificação de duas classes aplica-se aos combustíveis finos (erva, mato — o que domina o incêndio rural português), com desvio mediano de ~20 % face ao modelo completo; cargas mortas pesadas e mistas (cortes/slash, floresta densa) estão fora do âmbito e não representam a vegetação portuguesa.

Linha 2 · A resposta é fisicamente correta em toda a gama ao vivo

A velocidade foi varrida ao longo de todo o intervalo operacional de cada fator e comparada com o modelo de referência. Resultado (calculado ao vivo): desvio máximo …. O comportamento confirma o esperado de Rothermel:

• Vento: crescimento forte e monótono (fator dominante), sem descontinuidades.
• Declive: aceleração segundo tan²(declive).
• Humidade morta: decresce e anula-se exatamente na humidade de extinção.
• Humidade viva: mato verde de primavera propaga menos que mato curado de verão.

Reproduzível em dev/sensibilidade.html.

Linha 3 · Fidelidade a incêndios reais (back-testing ICNF)

O motor foi corrido contra 50 incêndios reais ICNF executáveis, com perímetro oficial, meteorologia horária arquivada, DEM real, combustível real/estimado e comparação por índice de Jaccard. Destes, 8 têm validação forte (ponto e hora de ignição conhecidos ou robustos) e 42 são calibração estimada (ignição inferida por método reproduzível). O baseline global apresenta 38,4 % de Jaccard mediano e 36,5 % de média; a validação forte é lida em separado, para não confundir evidência independente com calibração operacional.

Valores de 16 de agosto de 2026, primeira medição em que o back-test exercita a projeção de faúlhas (ver a nota de método em âmbito de aplicação). Corrida completa: 50 de 50 casos, nenhuma falha. Face à medição anterior a projeção mexeu 32 dos 48 casos comparáveis — 17 melhores, 15 piores — com o agregado praticamente inalterado e a validação forte a melhorar (mediana 20,5 % → 21,1 %, média 19,8 % → 20,2 %). O maior recuo isolado foi Almodôvar (57,8 % → 51,8 %), um caso já diagnosticado como sobrepropagação: mais projeção espalha mais, e a precisão cai.

Índice de Jaccard (sobreposição da mancha simulada com o perímetro oficial) por conjunto de casos.

O modelo reproduz melhor fogos moderados e bem delimitados, e subestima grandes eventos de vento extremo, convectivos, longos de vários dias, e ocorrências onde a contenção real alterou a mancha final. Um Jaccard de 0,15–0,5 é comum em modelos operacionais sem assimilação de dados. Reproduzível por linha de comandos com tools/backtest-perimetro.mjs (combustível estimado) ou, com a carta Sentinel-2 real, na ferramenta interna dev/backtest.html — a pasta dev/ é de validação e está protegida por password no servidor, pelo que não é uma ligação pública.

Estes números foram re-medidos nos 50 casos com o motor atual (humidade do combustível morto com atraso 1h/10h e fogo de copas explícito de Van Wagner). As barreiras viárias ficam inativas no back-test (corre sem contexto operacional), pelo que só a física de propagação é avaliada. Um diagnóstico antes/depois no mesmo código confirmou que as duas melhorias de física são ligeiramente positivas também no combustível real Sentinel-2.

Física vs supressão — a janela de comparação justa

O perímetro oficial é o resultado final, moldado pelo combate (o fogo foi contido). O back-test corre sem supressão, por isso, com tempo, ultrapassa o que os bombeiros seguraram — e o Jaccard face ao perímetro final passa a penalizar a física por algo que é supressão. Um diagnóstico dedicado confirmou-o: dado tempo, o modelo cobre o fogo real e depois sobre-alastra (ex.: Oleiros atinge recall 85 % na janela de melhor sobreposição, e só depois cresce para lá do perímetro contido).

Por isso o back-test reporta agora duas leituras: a janela justa — a melhor sobreposição no tempo, que mede a fidelidade da física — e o fim do horizonte, que inclui a divergência por supressão. A física reproduz os fogos melhor do que o número final sugeria; a diferença entre as duas leituras é, em boa parte, o combate real que o modelo, por desenho, não simula.

Linha 4 · Chegada da frente no tempo — satélite geostacionário exploratória

As três primeiras linhas validam a forma (mancha) e a física. Esta quarta ataca o tempo: quando é que a frente chega a cada sítio? Comparámos a hora simulada de chegada com a hora a que o satélite geostacionário MSG SEVIRI (produto FRP-PIXEL do LSA SAF/IPMA, 3 km, uma passagem a cada 15 minutos) viu fogo pela primeira vez em cada local, nos 7 fogos de validação forte que o satélite consegue observar. Ao contrário dos satélites polares (VIIRS/MODIS, revisita de horas), o geostacionário cobre a janela ativa da tarde e da noite.

Leitura honesta. Não há um fator de correção temporal a extrair — a limitação de fundo que esta linha revela é a sub-propagação espacial dos grandes fogos, não a calibração do relógio. O sinal útil é apenas uma direção (o modelo é otimista), que se traduz numa margem de segurança na ETA (ver secção 6), nunca numa magnitude inventada. Limitação: o SEVIRI é cego aos fogos piroconvectivos mais extremos (ex.: Pedrógão 2017) — a própria pluma é mascarada como nuvem. Reproduzível com tools/fetch-seviri.mjs → tools/ingest-seviri.mjs → tools/backtest-eta-temporal.mjs --candidates.

Fatores considerados pelo simulador

O modelo não usa um único indicador de risco. A simulação combina ~20 fatores principais, agrupados em seis famílias técnicas. Alguns são variáveis físicas diretas; outros são camadas de contexto ou mecanismos de validação usados para enquadrar o resultado.

Famílias de fatores, forma de entrada no cálculo e limitação principal de cada uma.

O perfil de calibração está fixo em Operacional (a física validada); a margem de incerteza fica a cargo do envelope de probabilidade, e não de um multiplicador manual. A classificação de combustível é automática por defeito; a correção manual existe apenas ao nível do setor, para o operador acertar o que vê no terreno.

Como a incerteza é comunicada

• Envelope de probabilidade (ensemble): corre vários cenários com o vento e a humidade perturbados e mostra a probabilidade de o fogo chegar a cada ponto (bandas ≥80 % / ≥50 % / ≥20 % / <20 %). É o produto a usar para decisões — não a mancha determinística única.
• Margem de segurança na ETA (assimétrica): o intervalo provável abre mais para o lado cedo do que para o lado tarde, porque duas fontes independentes apontam no mesmo sentido — a frente real chega antes do previsto. Primeira, a validação temporal por satélite (linha 4): o modelo é otimista. Segunda, o viés de discretização: a app opera a 12,5 m/célula e o motor foi calibrado a ≥50 m, onde é mais rápido — medido em 23 casos, a app dá o ETA cerca de 9 % mais tarde (mediana), até 38 % no pior caso. Verificou-se que o lado cedo da janela cobre esse desvio em todos os casos medidos, em parte porque o índice de confiança já alarga a janela quando o vento é forte, que é onde o desvio é maior. O tempo central previsto não muda (mantém-se coerente com a isócrona amarela); só a margem é assimétrica. É uma direção de segurança, não uma correção calibrada.
• Índice de confiança: baixa quando o combustível/relevo são estimados ou o vento é extremo, e avisa quando o cenário não deve ser usado para posicionar meios.
• Aviso de não-propagação: quando o fogo não arranca, a aplicação diagnostica porquê e separa o que o operador tem de corrigir (foco sobre terreno não-combustível → mover ou assumir vegetação) do que é física correta (humidade acima da extinção, ou propagação muito lenta em ar húmido/vento fraco).
• Saúde das fontes: estado e frescura de cada fonte de dados, para o operador saber com que qualidade está a decidir.

Âmbito de aplicação

Como qualquer modelo de propagação de superfície, o EmerControl Fogo tem um domínio bem definido. Ser transparente sobre ele é o que o torna fiável.

Para que serve, e o que não sustenta

Esta secção existia antes como uma pontuação (68/100 agregado, e uma nota por dimensão). Essas pontuações foram retiradas: eram um juízo sem método declarado, apresentado com a mesma autoridade visual dos benchmarks que esta página calcula ao vivo. Em vez de um número inventado, cada dimensão é aqui declarada pela evidência que existe — o que foi medido, como se reproduz, e a fronteira do que a medição autoriza afirmar. Onde não há medição, diz-se que não há.

Evidência por dimensão e fronteira de utilização.

Regra que esta página segue: um número só aparece se houver forma de o reproduzir. Quando a evidência não existe, o que se declara é a ausência dela — não uma estimativa de confiança.

Uso responsável

• Decidir com base no envelope de probabilidade, não na linha determinística única.
• Tratar o lado cedo do intervalo de ETA como o valor de planeamento — a frente tende a chegar antes do previsto.
• Validar o combustível, o relevo e o vento apresentados antes de usar o cenário para posicionar meios.
• Assimilar frente observada apenas quando existe confirmação operacional; registar sempre hora, fonte e confiança.
• Nunca posicionar meios acima do fogo numa encosta com vegetação de permeio, nem em cumeada sobre uma encosta a arder — sobretudo onde a aplicação assinala terreno propenso a comportamento eruptivo.
• Tratar os grandes eventos de vento extremo como limite inferior da progressão possível.
• Confirmar sempre com observação no terreno e com a cadeia de comando: a ferramenta apoia, não decide.