A avaliação de uma modificação substancial começa, muitas vezes, pela pergunta errada. Em vez de perguntar “o que foi acrescentado?” ou “se a alteração foi grande?”, a questão correta é outra: o que mudou no risco e na segurança da máquina? É este o critério relevante no enquadramento europeu aplicável às máquinas, incluindo o Regulamento (UE) 2023/1230. Em Portugal, isto tem impacto direto na forma como fabricantes, integradores, utilizadores industriais, departamentos de manutenção e engenharia devem analisar alterações feitas após a colocação no mercado ou entrada em serviço. Uma modificação substancial não depende apenas da dimensão técnica da intervenção. O ponto decisivo é saber se a alteração criou um novo perigo, agravou um risco existente e obrigou à adoção de novas medidas de proteção, nomeadamente ao nível do sistema de comando relacionado com a segurança ou da resistência mecânica.
O que é, na prática, uma modificação substancial?
Na prática industrial, há uma tendência para avaliar alterações pela aparência: uma plataforma, uma proteção, uma mudança de motor, uma alteração de software, uma ligação ao ERP ou ao MES. Mas esse raciocínio é insuficiente. O que importa não é a quantidade de hardware instalado nem o custo da intervenção. O que importa é se a alteração mudou a relação homem-máquina, a função da máquina, os seus limites de utilização ou a sequência de acontecimentos que pode conduzir a uma situação perigosa.
O Regulamento (UE) 2023/1230 abrange alterações introduzidas após a colocação em serviço ou no mercado, sejam físicas ou digitais. O foco está no efeito da mudança sobre a segurança. Se a intervenção não foi prevista pelo fabricante e, além disso, introduz novos perigos ou aumenta o risco existente, exigindo medidas de proteção adicionais, então estamos perante um cenário com forte probabilidade de modificação substancial.
Isto tem uma consequência muito relevante: a análise não deve incidir no componente adicionado, mas sim na alteração de segurança que o tornou necessário. Uma proteção, uma cortina ótica ou um botão de paragem de emergência podem ser apenas o efeito visível de uma mudança anterior que já alterou o perfil de risco da máquina.
Modificação substancial: o erro mais comum na avaliação
Um dos erros mais frequentes nas empresas é começar pela descrição da medida de proteção:
- “Instalámos uma proteção.”
- “Acrescentámos um botão de paragem de emergência.”
- “Colocámos uma cortina fotoelétrica.”
Do ponto de vista da segurança, esta abordagem está invertida. A medida de proteção não é, por si só, o centro da análise. Em muitos casos, ela é apenas a resposta a uma alteração anterior.
Se foi necessário instalar uma nova medida de proteção, isso normalmente significa que algo mudou antes: houve novo acesso a uma zona perigosa, alteração de modo de operação, mudança de ciclo, aproximação do operador a partes móveis, alteração de parâmetros ou integração de novos comandos. Ou seja, mudou a situação de perigo.
Por isso, a pergunta certa não é: “adicionar uma proteção é uma modificação substancial?” A pergunta certa é: que alteração tornou essa proteção necessária?
Esta distinção é crítica em contexto de conformidade, mas também de responsabilidade. Porque uma vez ultrapassado determinado limiar, a entidade que introduz a alteração pode assumir responsabilidades equivalentes às de fabricante relativamente à parte modificada.
Exemplo prático: “só vamos acrescentar uma paragem de emergência”
Este é um caso típico na indústria. O pedido chega com uma formulação aparentemente simples: pretende-se instalar um dispositivo adicional de paragem de emergência no interior de uma linha para reforçar a segurança.
Se ficarmos apenas nesta descrição, estaremos a analisar o efeito, não a causa. A questão decisiva é perceber porque passou a ser necessário esse dispositivo naquele ponto específico.
Muitas vezes, a resposta é esta: o operador passou a entrar numa zona perigosa onde antes não entrava, ou passou a executar uma tarefa mais próxima do movimento perigoso. Nessa altura, alterou-se a relação homem-máquina e surgiu uma nova situação perigosa. O dispositivo de paragem de emergência não resolveu a origem do problema; apenas respondeu a ela.
Convém ainda recordar que a função de paragem de emergência tem caráter reativo. Serve para evitar ou reduzir uma situação perigosa já ocorrente ou iminente. Não substitui medidas preventivas. Se a avaliação de riscos, de acordo com a ISO 12100, mostrar que a nova condição de utilização exige uma função preventiva de segurança, então poderá ser necessário implementar, por exemplo:
- paragem ao abrir uma proteção móvel com interbloqueio;
- paragem por intrusão numa cortina ótica;
- limitação segura de velocidade ou de binário em modo específico;
- lógica de autorização de movimento condicionada a estado seguro.
Isto mostra bem o ponto essencial: o problema não era a falta de botão. O problema era a alteração do modo de utilização da máquina.
Alterações físicas aparentemente simples que podem configurar modificação substancial
Plataformas, acessos e melhoria ergonómica
Uma plataforma adicional pode parecer uma mera melhoria operacional: melhor acesso, melhor ergonomia, menos tempo de intervenção. Contudo, pode mudar totalmente as condições de segurança.
Uma plataforma pode:
- dar acesso a uma zona perigosa antes inacessível;
- aproximar o operador de partes móveis;
- alterar a forma de executar limpeza, ajuste ou manutenção;
- modificar a visibilidade e o controlo do processo.
Quando isto acontece, a máquina passa a ser utilizada em condições diferentes das inicialmente previstas. Se isso obrigar à instalação de proteções com interbloqueio, dispositivos optoeletrónicos ou funções de segurança adicionais no comando, a análise deve considerar seriamente a existência de modificação substancial.
Proteções adicionadas sem rever o risco global
Adicionar uma proteção fixa ou móvel parece, à partida, uma melhoria inequívoca. Mas nem sempre é assim. Uma proteção mal integrada pode:
- criar novos pontos de acesso não controlados;
- obrigar a aberturas frequentes e aumentar a exposição;
- reduzir a visibilidade do processo;
- introduzir riscos mecânicos adicionais;
- exigir novas funções de monitorização de posição ou bloqueio.
Se a própria proteção gera novos perigos ou se a sua implementação exige reconfiguração do sistema de segurança, já não estamos perante uma simples adição de componente. Estamos perante uma alteração com impacto real no desempenho de segurança da máquina.
Mudança de motor ou de parâmetros de acionamento
A substituição de um motor, variador ou servoacionamento também é frequentemente subvalorizada. “A máquina continua a fazer o mesmo” é uma frase comum, mas pode ser tecnicamente enganadora.
Mudar binário, aceleração, desaceleração, tempo de resposta ou limites de sobrecarga pode alterar:
- a energia disponível numa situação perigosa;
- o tempo de reação do operador;
- o comportamento em falha;
- as cargas mecânicas sobre a estrutura;
- a eficácia das medidas de proteção existentes.
Num transportador, por exemplo, uma alteração destas pode fazer com que um bloqueio mecânico deixe de provocar paragem e passe a originar deformação estrutural ou rutura de componentes. Nesse caso, pode tornar-se necessário rever resistência mecânica, lógica de paragem ou funções seguras de limitação. Isso é muito mais do que uma mera substituição técnica.
Modificação substancial em alterações digitais e de software
Muitas organizações continuam a associar este tema apenas a alterações mecânicas. No entanto, o quadro regulatório atual é claro: alterações digitais também contam. E, em muitos casos, têm exatamente o mesmo peso de uma alteração física.
Uma modificação de software pode não ser visível, mas pode alterar profundamente o comportamento da máquina. A mudança da lógica de comando, dos parâmetros de operação, das permissões de arranque, da interação com sistemas externos ou da configuração das funções de segurança pode criar novos cenários de risco.
Alteração da lógica de rearme e rearranque
Um caso clássico é a alteração da lógica de rearranque automático após fecho de proteção, reposição de energia ou restabelecimento de comunicação. Funcionalmente, pode parecer uma melhoria de conveniência. Em termos de segurança, pode ser crítica.
Se o operador perde o controlo sobre o momento de arranque da máquina, a situação de perigo muda. E isso acontece mesmo que não exista qualquer alteração mecânica visível.
Alteração de parâmetros operacionais
Mudanças de velocidade, aceleração, curso, pressão, força, tempos de ciclo ou tempos de resposta são frequentemente introduzidas para otimizar produtividade. Mas, do ponto de vista da avaliação de riscos, não são meros ajustes. São alterações das condições de funcionamento.
Essas mudanças podem reduzir a margem de reação humana, alterar a eficácia de sensores e proteções e aumentar a gravidade de um evento perigoso. Por isso, exigem reavaliação técnica séria.
Integração com ERP, MES, SCADA ou middleware
Ligar uma máquina ou linha a sistemas externos é outro caso muitas vezes desvalorizado. “É só troca de dados” nem sempre corresponde à realidade. Quando uma máquina passa a integrar uma arquitetura de rede com novos fluxos de informação, novas permissões e novas fontes de comando, altera-se o seu ambiente funcional.
Se o fabricante não previu essa arquitetura, podem surgir efeitos sobre:
- validação de dados;
- gestão de acessos;
- integridade de software;
- alteração remota de parâmetros;
- comportamento do comando em resposta a sistemas externos.
O problema não é “ligar ao ERP” em si. O problema é alterar o comportamento da máquina num domínio que influencia a segurança. Quando isso acontece, a eficácia das funções de segurança originalmente concebidas pode deixar de estar garantida.
Alterações em safety PLC e funções de segurança
Este é o caso mais direto. Alterar programa de safety PLC, lógica de interbloqueios, resets, permissivos de movimento ou configuração de funções seguras não é uma mera intervenção informática. É uma alteração ao modo como a segurança é realizada.
Se essa alteração muda o desempenho, a arquitetura ou o comportamento das funções de segurança, estamos claramente numa zona de elevado impacto regulatório e técnico.
Porque não é sério dizer “isso não é modificação substancial” sem avaliação de riscos
Muitas empresas procuram uma resposta rápida e confortável: sim ou não. Mas, em boa prática de engenharia, essa resposta só é defensável com base numa avaliação de riscos consistente.
O motivo é simples: a análise depende de saber se surgiram novos perigos, se o risco aumentou e se foram necessárias medidas adicionais. Isso não se determina “a olho”. Exige metodologia.
É aqui que a ISO 12100 assume um papel central. Através dela, deve ser feita a definição dos limites da máquina, identificação de perigos, estimativa do risco, avaliação do risco e verificação da adequação das medidas de redução de risco.
Sem este processo, é muito difícil demonstrar diligência devida. Pode haver experiência, intuição e histórico de intervenções semelhantes, mas isso não substitui evidência técnica documentada. Em caso de incidente, auditoria, litígio ou inspeção, a ausência de avaliação estruturada fragiliza a posição da organização.
Modificação substancial é também uma questão de responsabilidade legal
Este tema não é apenas técnico. É uma matéria de responsabilidade. Quando uma alteração preenche os critérios relevantes, a entidade que a introduz pode passar a assumir o papel de fabricante relativamente à parte modificada da máquina ou do conjunto de máquinas.
Na prática, isso implica responsabilidades acrescidas em matéria de conformidade, documentação técnica, validação das soluções adotadas e demonstração de que a máquina, na configuração alterada, continua a cumprir os requisitos essenciais de segurança e saúde aplicáveis.
Por isso, a pergunta final que importa fazer não é se a alteração “parece pequena”. A pergunta certa é esta: depois desta mudança, consegue demonstrar tecnicamente que a máquina continua segura nas novas condições de utilização?
Se a resposta for sim, com base em avaliação de riscos, validação e documentação adequadas, a organização está a atuar com controlo e rigor. Se a resposta for não, então o risco real já começou — e não é apenas um risco técnico, mas também legal e organizacional.
Em resumo, a modificação substancial não se mede pela quantidade de aço acrescentado nem pela dimensão aparente da intervenção. Mede-se pelo impacto da alteração no risco, na eficácia das medidas de proteção e na responsabilidade de quem a executa.