Quando um pagamento de US$ 2 milhões depende de distinguir água de sombra

A primeira vez que isso realmente fez sentido para mim, eu estava olhando para uma única imagem em tons de cinza em um segundo monitor, perto da meia-noite. Era um quadro de radar Sentinel-1 — os dados gratuitos do satélite europeu com que todos que trabalham com enchentes começam — e em algum lugar daquele quadro havia uma inundação. O radar pinta a água calma como escura, quase preta, porque uma superfície de água plana reflete o sinal para longe do satélite em vez de de volta para ele. Então eu estava procurando a mancha escura.

O problema é que havia duas manchas escuras. Uma era água de enchente. A outra era a sombra que uma crista montanhosa projeta na geometria do radar, onde o terreno bloqueia o feixe e nada retorna. Na tela, àquela hora, elas pareciam gêmeas. E eu me lembro do pensamento específico e desconfortável: em algum lugar há uma seguradora que vai pagar ou não pagar um sinistro com base em qual dessas eu chamo de água.

Esse é todo o problema da inteligência de enchentes por satélite para seguro paramétrico, comprimido em uma única imagem. Uma apólice paramétrica não espera um regulador inspecionar um galpão inundado. Ela paga automaticamente quando um gatilho medido é acionado — um satélite diz que a enchente atingiu uma certa extensão, e o dinheiro se move. É uma ideia linda para um mundo onde a catástrofe está se acelerando. Também significa que a classificação do satélite é o sinistro. Não há um humano parado na água para revogá-la.

Um gatilho paramétrico transforma uma única leitura de um único pixel de satélite em uma transferência bancária.

E o satélite erra nas duas direções.

A física que ninguém quer no slide de apresentação

Aqui está a parte que levei mais tempo para aceitar, porque entrei presumindo que era um problema de software que eu poderia resolver com engenharia. Sombras de nuvens e água de enchente parecem quase idênticas em imagens ópticas de satélite — não parecidas, idênticas nas bandas que importam. Ambas absorvem luz do infravermelho próximo e do infravermelho de ondas curtas. Ambas têm fronteiras suaves e amorfas. Ambas achatam a textura do que quer que esteja embaixo delas em um borrão uniforme.

Os índices padrão de detecção de água — NDWI e MNDWI, a matemática em que todo pipeline de enchente se apoia — sinalizam ambas como "semelhantes à água", porque a física subjacente é realmente a mesma: refletância reduzida nas bandas do infravermelho. Um único quadro óptico capturado durante uma tempestade não consegue distinguir de forma confiável uma sombra de uma enchente, e nenhuma quantidade de limiarização engenhosa conserta um sinal que é genuinamente ambíguo na origem.

Passei um mês convencido de que a resposta era um modelo melhor. Tínhamos a literatura de deep learning ao nosso lado, e ela é genuinamente impressionante — uma rede DeepLabV3 modificada, alimentada com radar multipolarização e dados de terreno, atingiu 98,4% de precisão geral em pesquisas publicadas; uma U-Net com atenção transformer relatou 95,5%. Esses números são reais. Eu os citei em um pitch inicial. O que eu não disse em voz alta, porque ainda não entendia, é que essas precisões são medidas em cenas de benchmark curadas, e que os conjuntos de treinamento de desastres com que elas aprendem são deliberadamente enviesados.

Eles são enviesados por uma razão humana. Deixar passar uma enchente real pode matar pessoas, então os rótulos e as funções de perda penalizam uma enchente não detectada muito mais severamente do que um alarme falso. O resultado é uma geração de classificadores que são sistematicamente propensos ao gatilho — quando o sinal é marginal, eles se inclinam para "enchente". Esse é exatamente o viés certo para um sistema humanitário de alerta precoce e exatamente o viés errado para uma autorização de pagamento de US$ 2 milhões, onde um alarme falso não é um erro de arredondamento. É uma transferência bancária.

A demonstração que sinalizou uma montanha como inundada

Construímos a coisa óbvia primeiro. Um classificador de quadro único, liderado por radar para que pudesse enxergar através das nuvens, ajustado ao máximo, demonstrado de forma impecável nas cenas que havíamos escolhido. Eu estava orgulhoso dele. Então um colega que realmente entendia de geometria de radar o rodou sobre uma região de teste montanhosa, e ele acendeu uma encosta como inundada com alta confiança. Não uma decisão marginal — uma decisão confiante. Ele havia encontrado uma sombra de radar, o mesmo tipo de mancha escura que havia me incomodado naquele quadro da meia-noite, e a chamou de água.

Ainda penso no e-mail imaginário que aquela cena teria gerado se tivesse sido um gatilho real. Um atuário, três fusos horários de distância, olhando para a nossa determinação automatizada de que uma encosta estava sob dois metros de água, respondendo com a única pergunta que importa: você tem certeza de que isso é água e não uma sombra? E o nosso sistema sem nenhuma resposta além de uma pontuação de confiança que não tinha o direito de dar.

Um número de confiança não é evidência. É uma opinião com casas decimais.

Essa foi a falha que pagou por tudo que veio depois dela. Porque a lição não foi "ajuste o modelo com mais força". A lição foi que nenhum quadro único e nenhum sensor único pode carregar a prova, e eu vinha tentando vencer uma discussão que a física já havia perdido.

O radar é vendido como a cura — afinal, ele enxerga através das nuvens, o que os sensores ópticos não conseguem. Mas o retroespalhamento do radar cai sobre a água calma e sobre sombra de terreno, deslocamento e encurtamento em terreno acidentado. Ele tem seus próprios falsos positivos em solo árido, em ciclos de congelamento e degelo, em culturas industriais e, pior de tudo, nas cidades, onde o duplo rebote do sinal nos prédios pode mascarar completamente a água parada. O próprio produto global de enchentes em quase tempo real da NASA deixa isso claro em escala planetária: seu composto de um dia tem tantos falsos positivos que a NASA se recusa a publicá-lo em seu visualizador público Worldview. Apenas os compostos de dois e três dias — os que usam tempo, e não uma única observação — são considerados operacionais. Novos reservatórios são lidos como enchentes nesses produtos por até três anos, até que a máscara de água permanente se atualize.

O padrão esteve ali o tempo todo. A solução para os falsos positivos nunca foi uma imagem mais nítida. Foi uma segunda observação, e uma terceira — a mesma cena ao longo do tempo.

O Que Realmente Separa uma Enchente de uma Sombra?

O que separa uma enchente de uma sombra não é como ela aparece em um único quadro. É como ela se comporta ao longo de muitos. A sombra de radar de uma montanha está no mesmo lugar a cada passagem, o ano todo — é geometria, não clima. A água de enchente surge contra uma linha de base seca e recua. Uma sombra de nuvem some no próximo dia claro. O sinal discriminante vive no empilhamento temporal, não no pixel.

Então paramos de perguntar "este pixel é água?" e começamos a perguntar "este lugar mudou de uma forma que só uma enchente explica, em contraste com tudo o que sabemos sobre como ele normalmente aparece?" Essa reformulação é toda a arquitetura do que acabamos construindo, e é por isso que nos apoiamos em múltiplos sensores em vez de apostar em um só. Um quadro de radar para enxergar através das nuvens de tempestade. Quadros ópticos antes e depois para estabelecer a linha de base seca e confirmar o recuo. Um modelo de terreno para descartar a geometria que finge ser água em ambos. Foi demonstrado que a fusão de radar e óptica multiespectral melhora a detecção em áreas afetadas por nuvens e sombras em mais de 23% em relação aos métodos de sensor único — não porque os sensores sejam individualmente melhores, mas porque o modo de falha de cada um é algo através do qual os outros conseguem enxergar.

Esta é a camada que construímos na Veriprajna: um sistema de verificação de enchentes por satélite que separa sombras de água usando fusão temporal SAR-óptica, e produz uma trilha de evidências de nível forense para cada evento de gatilho — não um veredicto, um argumento que você pode entregar a um atuário ou a um tribunal.

A ressalva honesta de engenharia, a que eu gostaria que um comprador ouvisse antes de assinar qualquer coisa: os dados gratuitos têm um relógio. A constelação Sentinel-1 de dois satélites, restaurada, dá uma revisita de seis dias. Um pico de enchente que sobe e drena entre as passagens pode ser perdido por dados que são gratuitos, mas lentos. Então parte do ofício é saber quando os dados gratuitos do Sentinel são suficientes e quando um evento exige acionar um satélite de radar comercial — que custa algo entre mil e cinco mil dólares por cena, dependendo da resolução e da urgência. Esse trade-off é um julgamento por evento, não um nível de assinatura.

Por Que Não Simplesmente Comprar o Relatório de Enchente?

Tivemos uma discussão interna real sobre se valia a pena construir qualquer coisa disso. O argumento contrário era simples: empresas já vendem relatórios de enchente. Por que não revendê-los?

É um questionamento justo, e os fornecedores são genuinamente bons. A ICEYE detém a maior constelação de radar comercial do mundo — mais de 60 satélites — e, durante o furacão Helene, ela obteve mais de 150 imagens através das nuvens da tempestade e mapeou mais de 80.000 edifícios na Flórida. Isso é extraordinário. Mas você está comprando o produto deles, não construindo uma capacidade de inteligência, e a verificação forense por evento em escala de portfólio esbarra rapidamente nos preços deles. A Floodbase, apoiada pela Munich Re e parceira da constelação de radar Capella, construiu uma solução paramétrica genuína de ponta a ponta — projeto de gatilho, precificação, certificação de pagamento. Mas você recebe a metodologia deles, ajustada às parcerias de sensores deles, não um sistema moldado à sua carteira específica de negócios.

E o padrão-ouro gratuito tem seu próprio teto. O Serviço de Gestão de Emergências Copernicus da Europa é o sistema em que um continente confia para o mapeamento de desastres. No entanto, seu nível de serviço de mapeamento rápido funciona das 8h às 20h, horário de Bruxelas, apenas em dias úteis. Eu fico voltando a Valência, outubro de 2024 — a chuva de um ano em oito horas, mais de 227 mortos. O Copernicus levou de três a quatro dias para publicar a extensão da enchente. Quando veio, confirmou 15.633 hectares e cerca de 190.000 pessoas afetadas. O atraso não foi um defeito. As primeiras 24 horas críticas caíram durante a madrugada e adentraram a noite, fora da janela de serviço. O sistema de inteligência de enchentes do continente estava, funcionalmente, fechado durante as horas em que era mais necessário.

Então a discussão se resolveu por si só. Os fornecedores são excelentes naquilo para o qual foram construídos. Nenhum deles foi construído para ser uma camada de verificação neutra em relação a fornecedores que funda quaisquer sensores que o evento realmente exija e lhe entregue evidências defensáveis para o seu gatilho. Essa lacuna era a empresa.

A falha que dói mais: a enchente que não paga

Durante muito tempo eu pensei neste trabalho como um problema de falso positivo — impedir o sistema de pagar por enchentes que não aconteceram. Então li sobre Nagaland.

Um esquema paramétrico de enchentes em Nagaland, na Índia, não conseguiu ser acionado apesar de chuvas fortes e enchentes confirmadas no local. O limiar derivado de satélite havia sido definido alto demais em relação à realidade em campo. As pessoas estavam inundadas. A apólice deveria pagar. Ela não pagou. Esse é o outro modo de falha e, em termos humanos, é o pior deles.

Isto é o que o setor chama de risco de base — a lacuna entre o que o gatilho mede e o que o segurado realmente vivencia. Um falso positivo drena as reservas de uma seguradora e convida à fraude. Um falso negativo destrói a confiança do segurado e gera litígios. Ambas as falhas atacam a mesma coisa: a credibilidade do próprio modelo paramétrico — o que o torna mais difícil de vender e mais difícil de os reguladores aprovarem. Você não pode resolver uma direção inclinando-se com mais força para a outra. Apertar o limiar para deter pagamentos falsos é exatamente como você fabrica um Nagaland.

Você não conserta o risco de base escolhendo de que lado errar. Você o conserta sendo capaz de provar o que realmente estava debaixo d'água.

É por isso que a saída do nosso sistema não é um sim/não. É um mapa de confiança por pixel com uma trilha de auditoria — o que foi observado, por quais sensores, em que momentos, com que certeza, e o que foi descartado. Evidências que sobrevivem à revisão atuarial e ao escrutínio jurídico, porque, neste negócio, a decisão do gatilho acabará sendo contestada por alguém que não estava lá.

Por Que a Cobertura Paramétrica de Enchentes de Repente é Problema de Todo Mundo?

A razão pela qual tudo isso importa mais a cada ano é brutalmente simples: a água está vencendo. As perdas globais seguradas por catástrofes naturais atingiram US$ 129 bilhões em 2025. E a lacuna de proteção — a parcela das perdas por catástrofes que ninguém segurou — gira em torno de 52 a 56% globalmente. Em 2024, os desastres climáticos causaram US$ 368 bilhões em perdas, sendo US$ 223 bilhões disso sem seguro, uma lacuna de 61%. Nos EUA, as perdas anuais por enchentes em casas unifamiliares chegam a US$ 24,4 bilhões, e cerca de 70% disso não têm seguro.

O seguro paramétrico existe para fechar essa lacuna, e está crescendo rápido — um mercado de US$ 21 a 24 bilhões em 2026, projetado para chegar a US$ 38,7 bilhões até 2030 — justamente porque pode pagar em dias em vez de meses e alcançar pessoas que o seguro tradicional nunca toca. Em março de 2026, um esquema paramétrico de enchentes projetado por um consórcio que inclui AXA Climate, Swiss Re e ICEYE entrou em operação em Lagos, na Nigéria, cobrindo quatro milhões de pessoas. Quatro milhões de pessoas cujos sinistros serão decididos pela leitura de um satélite sobre onde a água esteve.

Essa escala é o argumento para acertar a verificação. Quando o gatilho cobre quatro milhões de pessoas, "provavelmente inundado" não é um padrão defensável. O que está entre um programa paramétrico e uma catástrofe reputacional é se alguém consegue provar, quadro por quadro, que o gatilho foi acionado por água e não por uma sombra.

As pessoas me perguntam se a previsão meteorológica por IA torna a camada de satélite redundante — os modelos preditivos de enchentes estão ficando genuinamente bons. Não tornam. Uma previsão diz o que pode acontecer; um pagamento paramétrico exige prova do que aconteceu. Outros perguntam se sensores em solo, os medidores físicos de profundidade que algumas seguradoras usam para reduzir o risco de base, tornam os satélites desnecessários. Eles ajudam enormemente onde existem, mas você não pode colocar um medidor em cada quilômetro de planície de inundação da Terra. Os satélites são como você enxerga os lugares que ninguém instrumentou — que, durante uma catástrofe, é a maioria dos lugares.

O quadro da meia-noite com suas duas manchas escuras ainda é a imagem mais verdadeira deste trabalho que eu tenho. Uma era água. Uma era uma sombra. Toda a disciplina se resume a construir um sistema que possa lhe dizer qual — e então mostrar seu trabalho à pessoa prestes a movimentar o dinheiro. Se você está projetando ou subscrevendo um programa paramétrico de enchentes e essa distinção o mantém acordado à noite, é para este problema que construímos.

A água não vai ficar mais fácil de ler. A prova é o produto.