Modificação substancial não se mede pelo tamanho da intervenção, pelos quilos de aço nem pelo número de componentes novos. Mede-se pelo efeito no risco. Do ponto de vista do Regulamento (UE) 2023/1230, a pergunta certa não é 'o que acrescentámos?', mas 'o que esta alteração fez à segurança?'. Se a mudança, depois da entrada em serviço ou da colocação no mercado, não foi prevista pelo fabricante, cria uma nova situação de perigo ou agrava um risco existente e ainda obriga a novas medidas de proteção ou a ações ligadas à estabilidade/resistência mecânica, estamos perante uma modificação substancial. E aqui muda tudo: a análise técnica, a forma de demonstrar conformidade e a responsabilidade de quem alterou a máquina.
Modificação substancial: o erro começa na pergunta
Muitas avaliações começam mal. A conversa arranca com perguntas que parecem lógicas, mas atacam o problema pelo lado errado:
- O que foi alterado exatamente?
- O que foi adicionado à máquina?
- Foi uma grande reconstrução?
Estas perguntas podem ajudar a descrever a intervenção, mas não resolvem a questão principal. Em segurança de máquinas, o ponto decisivo não é a dimensão visível da alteração. O ponto decisivo é a mudança no risco.
O Regulamento (UE) 2023/1230 não trata a modificação substancial como uma lista de peças trocadas. Trata-a como um efeito sobre a segurança. Na prática, a análise tem de responder a três pontos:
- a alteração não foi prevista pelo fabricante;
- a alteração criou uma nova situação de perigo ou aumentou um risco existente;
- essa nova realidade exigiu medidas de proteção adicionais ou medidas ligadas à estabilidade/resistência mecânica.
Quando estes elementos aparecem juntos, a discussão deixa de ser cosmética. Já não interessa se a alteração foi física ou digital, simples ou sofisticada, rápida ou cara. O que interessa é que a estrutura de segurança originalmente assumida deixou de chegar.
É por isso que não avaliamos apenas o componente acrescentado. Avaliamos o que mudou na relação operador-máquina, na função da máquina, nos seus limites e na sequência de acontecimentos que pode conduzir a um acidente. É aqui que a análise séria começa. O resto é ruído.
Modificação substancial: não avalie a medida de proteção, avalie a mudança
Há um erro recorrente no terreno. A equipa descreve a medida de proteção e assume que isso já descreve a alteração:
- Adicionámos um resguardo.
- Instalámos uma cortina optoeletrónica.
- Colocámos um dispositivo de paragem de emergência.
Soa razoável. Mas está invertido. A medida de proteção quase nunca é a causa. É a consequência.
Se surgiu a necessidade de uma nova medida de proteção, isso normalmente significa que a situação de perigo já mudou antes. Mudou o acesso à zona perigosa. Mudou a função da máquina. Mudaram os seus limites. Mudou a relação entre o operador e o movimento perigoso. A medida de proteção aparece porque algo anterior desarrumou o equilíbrio inicial de segurança.
É exatamente por isso que a pergunta 'adicionar um resguardo é modificação substancial?' está mal colocada. A pergunta correta é outra: o que mudou para que esse resguardo passasse a ser necessário?
O caso clássico: 'é só um dispositivo de paragem de emergência'
Este cenário repete-se vezes sem conta. Alguém diz: 'Só queremos colocar um dispositivo de paragem de emergência no meio da linha, para reforçar a segurança.' À primeira vista, parece um reforço sensato. Mas esta frase fala apenas da medida de proteção. Ainda não fala da alteração real.
A questão crítica vem a seguir: o que mudou para tornar esse dispositivo necessário?
Muito frequentemente, a resposta é esta: o operador passou a entrar na zona perigosa, a trabalhar mais perto do movimento ou a executar uma operação que antes não existia. Ou seja, mudou a relação operador-máquina e apareceu uma situação de perigo nova. O dispositivo de paragem de emergência não é a alteração principal. É a reação a essa alteração.
Há outro ponto que convém dizer sem rodeios: um dispositivo de paragem de emergência tem caráter reativo. Serve para permitir a resposta a um perigo atual ou iminente. É importante, claro. Mas não substitui outras medidas de proteção. O próprio enquadramento europeu é claro: estes dispositivos apoiam a estratégia de redução do risco; não são licença para aceitar uma arquitetura perigosa.
Uma avaliação de riscos séria, segundo ISO 12100, pode mostrar que a máquina precisa não só da função de segurança de paragem de emergência, mas também de uma função de segurança preventiva implementada no sistema de comando relacionado com a segurança. Por exemplo:
- paragem ao abrir um resguardo com interbloqueio;
- paragem ao entrar no campo de uma cortina optoeletrónica;
- limitação de velocidade, força ou curso num modo de intervenção;
- bloqueio de movimento enquanto houver presença numa zona perigosa.
Traduzindo para linguagem de chão de fábrica: o problema não era a falta de botão. O problema era a alteração de utilização que tornou o botão indispensável.
Modificação substancial nas alterações físicas que parecem inocentes
Muitas modificação substancial começam com boas intenções. Melhor ergonomia. Acesso mais fácil. Menos tempo de intervenção. Mais produtividade. Nada disto é suspeito por si só. O problema é outro: cada uma destas decisões pode mudar a forma como a máquina é usada e, com isso, mudar o risco.
Plataforma de acesso para a zona perigosa
Adicionar uma plataforma parece uma alteração meramente operacional. Na prática, pode mudar tudo. Uma plataforma pode:
- permitir acesso humano a uma zona perigosa antes inacessível;
- alterar a forma de executar operações de ajuste, limpeza ou manutenção;
- reduzir a distância até partes móveis ou outras fontes de perigo;
- mudar a visibilidade do processo e o controlo do operador sobre o que está a acontecer.
Quando isto acontece, a plataforma deixa de ser apenas uma melhoria ergonómica. Passa a alterar a situação de perigo. E, se isso obrigar a novas medidas de proteção, como um resguardo com interbloqueio, uma cortina optoeletrónica ou uma função de segurança que limite o movimento em determinado modo, estamos a caminhar diretamente para o território da modificação substancial.
O resguardo que cria outro risco
Um resguardo é uma medida de proteção de base. Mas, quando é adicionado a uma máquina existente sem avaliação completa, pode abrir problemas novos. Pode obrigar a mais aberturas e fechos, piorar a ergonomia, reduzir a visibilidade do processo, mudar a forma de acesso à zona perigosa ou introduzir cargas adicionais na estrutura.
Um resguardo não pode, por si, gerar um risco novo que antes não existia. Se a solução proposta exige monitorização de posição, interbloqueio, lógica adicional de reset ou outras funções de segurança no sistema de comando relacionado com a segurança, já não estamos a falar de um simples acessório. Estamos a falar de uma alteração com impacto real na segurança.
Mudança de acionamento ou dos parâmetros do acionamento
Esta é das alterações mais traiçoeiras. A máquina parece igual. Continua a fazer a mesma tarefa. Mas o comportamento perigoso pode ter mudado de forma radical.
Trocar um acionamento ou alterar os seus parâmetros pode significar mais binário, rampas diferentes, limites de sobrecarga alterados ou tempos de resposta diferentes. E isso muda a sequência do evento perigoso. Um sistema que antes parava perante uma sobrecarga pode, depois da alteração, continuar a aplicar força. O resultado pode deixar de ser uma simples paragem e passar a ser deformação estrutural, perda de estabilidade ou falha de elementos portantes.
Quando a alteração obriga a rever limites de força, lógica de paragem, verificações estruturais ou medidas ligadas à estabilidade/resistência mecânica, o sinal é claro: já não estamos num ajuste banal. Estamos num cenário que pode configurar modificação substancial.
Modificação substancial também nasce no digital
Ainda há empresas que associam este tema apenas a soldadura, resguardos e mecânica. Isso é um erro perigoso. O Regulamento (UE) 2023/1230 abrange igualmente alterações introduzidas por meios digitais. E, em muitos casos, o digital pesa tanto como o aço.
Alterar a lógica de comando, mudar parâmetros de funcionamento, integrar a linha com ERP, MES ou middleware, ou mexer na configuração das funções de segurança pode ter exatamente o mesmo impacto que uma alteração física. A diferença é que, por ser menos visível, muita gente subestima o efeito.
Lógica de rearranque e novo arranque
Uma das alterações mais desvalorizadas é a lógica de rearranque. O caso típico é o restabelecimento automático do funcionamento após fechar um resguardo, regressar a alimentação ou recuperar comunicação. Em termos funcionais, parece conforto. Em termos de segurança, pode ser crítico.
A máquina não pode arrancar de forma inesperada. Se o operador perde o controlo sobre o momento em que o movimento volta, a situação de perigo mudou, mesmo que nenhuma peça mecânica tenha sido substituída.
Alteração de parâmetros de trabalho
Velocidade, binário, aceleração, gama de movimento, tempos de resposta. Tudo isto é muitas vezes alterado para otimizar o processo. Mas otimizar o processo pode degradar a margem de segurança. A dinâmica muda, o tempo disponível para reação encurta, a eficácia de uma medida de proteção pode cair e as consequências do evento perigoso podem tornar-se mais severas.
Isto não é mera afinação. É mudança das condições reais de funcionamento da máquina.
Integração com ERP, MES e middleware
Este é um dos pontos mais mal avaliados em ambiente industrial. Liga-se a linha a ERP, MES, sistemas de analítica ou middleware e alguém diz: 'A máquina continua a fazer o mesmo.' Não necessariamente.
No momento em que a máquina entra numa nova arquitetura de rede, muda o seu ambiente operacional. Surgem novas fontes de sinal, novos pontos de acesso, novas permissões e novas possibilidades de interferência na lógica de comando. Se o fabricante não previu essa arquitetura, incluindo validação de dados, gestão de acessos, integridade do programa e influência de sistemas externos no comando, a máquina pode começar a comportar-se fora dos pressupostos originais.
Na prática, isso pode significar parâmetros alterados a partir de um sistema de supervisão, comandos que antes não existiam, efeitos indiretos causados pelo middleware ou mudanças de configuração que afetam o comportamento da máquina. Se o comportamento muda, as medidas de proteção e as funções de segurança podem deixar de corresponder às condições reais de trabalho. E aí a avaliação de riscos original perde validade.
Alteração do PLC de segurança e das funções de segurança
Aqui o impacto é ainda mais direto. Alterar o programa de um PLC de segurança, a lógica de interbloqueios, as condições de reset ou as permissões de movimento não é uma simples tarefa informática. É uma alteração da forma como a função de segurança é implementada.
Se essa mudança afeta a eficácia, o comportamento ou a arquitetura da função de segurança, entra-se imediatamente na zona onde a modificação substancial tem de ser considerada com toda a seriedade.
Sem avaliação de riscos, ninguém pode garantir que não há modificação substancial
É nesta fase que muitas organizações querem ouvir a frase confortável: 'Não se preocupe, isto não é modificação substancial.' O problema é que, sem avaliação de riscos, essa frase é muitas vezes apenas fé mal disfarçada de experiência.
O Regulamento (UE) 2023/1230 não define este tema por catálogo de peças. Define-o pelo efeito da alteração sobre a segurança. Isso exige responder, com método, a perguntas concretas:
- apareceu uma nova situação de perigo?
- um risco existente aumentou?
- foram necessárias medidas de proteção adicionais?
- houve impacto no sistema de comando relacionado com a segurança?
- houve impacto na estabilidade/resistência mecânica?
Isto não se resolve a olho. Exige determinar os limites da máquina, identificar situações de perigo, analisar eventos perigosos previsíveis, estimar e avaliar o risco e verificar se as medidas de proteção continuam adequadas. Em outras palavras: exige o processo descrito na ISO 12100.
Há uma realidade prática que convém aceitar. Um engenheiro experiente consegue, muitas vezes, perceber depressa quando a resposta é claramente 'sim'. Mas dizer 'não' com seriedade exige ainda mais disciplina. Porque afirmar que não houve modificação substancial sem avaliação de riscos documentada é uma aposta fraca quando a responsabilidade bate à porta.
Uma lista de verificação pode ajudar a detetar sinais de alerta. Não substitui a análise. E documentar essa análise não é burocracia vazia. É a forma de demonstrar diligência devida.
Não é um detalhe técnico. É mudança de responsabilidade
Em muitas empresas, este tema ainda é tratado como um ponto técnico a validar e fechar. Isso é curto. Modificação substancial é, acima de tudo, uma categoria de responsabilidade.
Quando a alteração cumpre os critérios do Regulamento (UE) 2023/1230, quem a introduz entra no papel de fabricante no âmbito da alteração ou da parte modificada da máquina. Isso significa assumir a obrigação de demonstrar que a configuração alterada continua a cumprir os requisitos aplicáveis de segurança.
E é aqui que a conversa fica séria. Porque a alteração não muda apenas peças ou parâmetros. Muda:
- a forma de utilização da máquina;
- os seus limites operacionais;
- a relação entre operador e perigo;
- a sequência provável dos eventos perigosos;
- a eficácia real das medidas de proteção.
Estes são precisamente os pilares da avaliação de riscos. Por isso, a modificação substancial não começa quando alguém decide 'fazer uma reconstrução'. Começa no momento em que a segurança muda. E só termina quando essa segurança é reavaliada, redesenhada quando necessário e demonstrada de forma robusta.
Fica, por isso, a pergunta que realmente interessa: depois desta alteração, consegue justificar que a máquina continua segura, não por intuição, mas com base em análise, evidência e critérios técnicos? Se a resposta é sim, está a gerir o risco. Se a resposta é não, o risco real já começou.