“Dois contactores e um relé de segurança, portanto categoria 3.” No quadro elétrico parece tudo certo. Na lista de material também. Só quando um contactor fica com os contactos soldados se percebe quanto dessa ordem continua realmente a proteger alguém.
O operador abre a proteção do transportador. O comando desliga a bobina de K1, mas os contactos ficaram soldados. O motor continua alimentado. A ordem estava correta. O contactor é que não a executou. Um segundo contactor pode salvar o desligamento. O diagnóstico pode revelar a falha e impedir um novo arranque. Tudo depende da forma como o projetista construiu o circuito.
As categorias de segurança segundo a ISO 13849-1 descrevem a resistência de um subsistema a defeitos e o seu comportamento depois de estes ocorrerem. A diferença entre B, 1, 2, 3 e 4 percebe-se melhor mantendo a mesma tarefa: cortar a alimentação do acionamento, mesmo quando alguma coisa falha. Durante a receção, qualquer circuito em bom estado parece competente. As categorias começam a contar quando o circuito deixa de estar em bom estado.
Primeiro a tarefa, depois os aparelhos no quadro
O operador precisa de corrigir uma peça. A correia tem de parar antes de ser possível alcançar a zona perigosa e permanecer parada enquanto a proteção estiver aberta. O projetista retira estes requisitos da avaliação de riscos segundo a ISO 12100 e regista-os na especificação de requisitos de segurança — SRS.
A função completa inclui a deteção da abertura da proteção, a decisão do comando e o desligamento do acionamento. Cada parte pode ser tratada como um subsistema. Nos exemplos seguintes muda o subsistema de saída: os contactores, as respetivas ligações e a supervisão. A sua tarefa, ou subfunção, é cortar a alimentação do acionamento.
Um contactor funciona como um aparelho de manobra comandado eletricamente. A tensão na bobina fecha os contactos de potência pelos quais passa a corrente do motor. Quando a bobina é desligada, um aparelho em bom estado abre esses contactos. Se ficarem soldados, perde exatamente essa capacidade.
Com dois contactores K1 e K2, a corrente do motor passa sucessivamente por ambos. A abertura de qualquer um interrompe o circuito. Cada contactor, juntamente com o respetivo comando, forma um caminho independente de desligamento: um canal.
Categoria B: K1 ficou com os contactos soldados. A alimentação mantém-se
O acionamento é desligado por um único contactor K1. Quando a proteção abre, o comando desliga a bobina, os contactos abrem e o motor perde alimentação. Isto pode funcionar perfeitamente durante milhares de ciclos.
No arranque seguinte, os contactos ficam soldados. O transportador continua a trabalhar, por isso o operador ainda não nota nada. Abre a proteção. A tensão da bobina desaparece, mas a corrente continua a chegar ao motor. Não existe um segundo elemento capaz de interromper o circuito. Um único defeito retirou ao subsistema a capacidade de desligar o acionamento.
Se, em vez disso, um condutor da bobina se interrompesse, um contactor em bom estado desligar-se-ia. É outro defeito, com outro efeito. A frase “em caso de avaria o contactor cai” funciona muito bem quando quem a diz escolhe previamente a avaria.
A categoria B exige princípios básicos de segurança e componentes adequados às condições reais. O contactor tem de suportar a carga, o número de manobras e a temperatura no quadro. A letra B não autoriza a montar o aparelho que sobrou no armazém.
Quando é que a categoria B dá PL a ou PL b?
Dois circuitos visualmente iguais podem ter frequências de falha perigosa muito diferentes. Um contactor liga o motor uma vez por turno. Outro liga-o em cada peça. Pode ser o mesmo modelo, mas o número de manobras não tem nada de semelhante.
O projetista considera a durabilidade do aparelho e o funcionamento real da máquina. Determina o MTTFD, o tempo médio até uma falha perigosa. Quanto maior for o valor, menor será, estatisticamente, a frequência dessas falhas. Para o canal são considerados todos os elementos cuja falha possa retirar a capacidade de desligamento.
| MTTFD do canal | PFH — frequência média de falha perigosa por hora | PL alcançado |
|---|---|---|
| 10 anos | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 anos | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 anos | 5,71 × 10⁻⁶ 1/h | PL b |
Com 10 anos, o resultado é PL a. Com 12 anos, já é PL b, porque o PFH desce abaixo de 10⁻⁵ 1/h. Mudou a fiabilidade. Depois de os contactos ficarem soldados, porém, ambos os circuitos comportam-se exatamente da mesma forma.
MTTFD é um parâmetro estatístico. “20 anos” no cálculo não oferece uma garantia de vinte anos nem define automaticamente a data de substituição. Essa data depende das condições e limitações de utilização do aparelho.
Os valores apresentados referem-se apenas ao subsistema de saída. Na função completa somam-se os PFH do sensor, da lógica e da saída: PFH da entrada + PFH da lógica + PFH da saída. O resultado é comparado com os intervalos de PL e fica ainda limitado pelo menor PL dos subsistemas. Uma saída PL b pode, portanto, integrar uma função que no final só alcança PL a.
A categoria B só pode alcançar PL b. Se o nível de desempenho requerido, PLr, for d, é necessária outra solução. Repetir dez vezes a abertura da proteção durante a receção não altera esse limite. Tudo depende de um canal; se K1 deixar de abrir, a proteção desaparece.
Categoria 1: o mesmo problema deve acontecer menos vezes
O acionamento continua a ser desligado por um único K1. O projetista aumenta, porém, as exigências relativas à fiabilidade e à forma de aplicação. Além dos princípios da categoria B, utiliza componentes de eficácia comprovada e princípios de segurança de eficácia comprovada. Na abordagem simplificada, o MTTFD do canal tem de ser alto: entre 30 e 100 anos.
“De eficácia comprovada” refere-se a condições concretas. Um aparelho pode ter comutado resistências de aquecimento durante anos sem problemas e passar agora a comandar um motor com corrente de arranque elevada e manobras frequentes. O logótipo continua familiar. A carga deixou de o ser.
A seleção deve apoiar-se em experiência documentada em aplicações semelhantes ou em propriedades demonstradas através de conceção, verificação e validação segundo as normas aplicáveis. A ISO 13849-2 também identifica componentes e condições para os considerar de eficácia comprovada.
O projetista aplica medidas que reduzem a ocorrência de defeitos ou as suas consequências perigosas. E, apesar disso, K1 fica com os contactos soldados. A bobina é desligada, os contactos continuam fechados e o motor permanece alimentado. A categoria 1 reduz a probabilidade deste acontecimento. Não cria um segundo canal.
Maior fiabilidade: de PL b até PL c
Para um MTTFD do canal de 30 anos, a tabela K.1 dá PL b. Aos 39 anos, o PFH desce abaixo de 3 × 10⁻⁶ 1/h e o resultado passa a PL c.
| MTTFD do canal | PFH — frequência média de falha perigosa por hora | PL alcançado |
|---|---|---|
| 30 anos | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 anos | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 anos | 1,14 × 10⁻⁶ 1/h | PL c |
O limite da categoria 1 é PL c. Um aparelho melhor tem valor: falha menos vezes. Mas, quando a falha é precisamente a soldadura dos contactos, continua a não existir um segundo caminho de desligamento. A proteção assenta na maior fiabilidade de um só canal, e uma falha nesse canal ainda pode eliminá-la.
Categoria 2: o circuito verifica se K1 executou a ordem
O operador abre a proteção. O comando desliga K1 e espera pela confirmação de que os contactos abriram. Desta vez, a ordem é verificada. A informação chega através de um contacto-espelho do contactor. A sua construção impede que feche quando um contacto de potência permanece soldado. O circuito recebe assim uma resposta clara: K1 abriu ou não executou a ordem.
K1 ficou com os contactos soldados. A confirmação não regressa. O teste revela o defeito e desencadeia a reação. Neste exemplo, um contactor adicional KT, ligado em série com K1, corta a alimentação. O comando impede um novo arranque até o problema ser eliminado.
Na norma, o equipamento de teste é identificado por TE e a sua saída por OTE. Aqui, OTE comanda KT. K1 pertence ao canal funcional, responsável pelo desligamento normal. TE e OTE formam o canal de teste, que verifica a execução da tarefa e inicia a reação ao defeito.
Há dois contactores no quadro e o exemplo continua a ser categoria 2. KT só recebe a missão de desligar depois de ser detetado o problema em K1. Contar aparelhos começa aqui a perder a batalha contra a leitura do esquema.
Ontem estava bom. No arranque de hoje ficou com os contactos soldados
K1 passa corretamente num teste. No arranque seguinte, os contactos ficam soldados. Até à próxima verificação, o canal funcional está inoperacional. O teste anterior não escondeu nada; a máquina simplesmente avariou depois dele.
É por isso que a categoria 2 pode perder a subfunção entre testes. O projetista tem de definir quando testa e com que rapidez reage. Se o teste começar quando a proteção abre, a deteção do defeito, o desligamento de KT e a paragem do movimento têm de ocorrer antes de a pessoa alcançar o perigo.
Quando o PLr é d, OTE tem de iniciar um estado seguro e mantê-lo até o defeito ser eliminado. Neste circuito, essa missão cabe a KT. Uma mensagem vermelha no ecrã deixaria o motor alimentado. Informaria o operador, com excelente legibilidade, de que a proteção não funciona.
A secção 6.1.3.2.4 prevê uma frequência de teste pelo menos 100 vezes superior à frequência de solicitação da função ou um teste imediato quando a função é solicitada, com deteção do defeito e passagem da máquina para um estado não perigoso antes de a zona de perigo poder ser alcançada. Aqui, abrir a proteção é solicitar a função.
A relação 100:1 não significa fazer cem testes antes de cada abertura da proteção. O MTTFD do canal de teste TE–OTE tem de ser superior a metade do MTTFD do canal funcional. Cada parte do canal funcional exige, no mínimo, baixa cobertura de diagnóstico. Aplicam-se ainda os requisitos da categoria B, os princípios de segurança de eficácia comprovada e as medidas contra falhas de causa comum entre os dois canais.
Para PLr até c, inclusive, OTE também deve iniciar um estado seguro quando isso for praticável. Se não for possível, a norma admite que um aviso possa ser suficiente. Para PLr d, a reação segura é obrigatória.
O teste pode permitir PL d. A fiabilidade também conta
DC, ou cobertura de diagnóstico, descreve a eficácia na deteção de falhas perigosas. Para o subsistema completo calcula-se a cobertura média de diagnóstico, DCavg, ponderando as frequências dessas falhas nas várias partes.
Com o mesmo DCavg = 90%, a categoria 2 dá PL a para um MTTFD do canal funcional de 3 anos, PL b aos 10 anos, PL c aos 30 e PL d aos 100. O teste existe em todos os casos. O que muda é a quantidade de falhas com que tem de lidar.
| MTTFD do canal funcional | PFH — frequência média de falha perigosa por hora | PL alcançado |
|---|---|---|
| 3 anos | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 anos | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 anos | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 anos | 2,29 × 10⁻⁷ 1/h | PL d |
Na categoria 2, a proteção depende de o teste detetar o defeito e de o circuito reagir a tempo. O tempo de verificação não é um pormenor de programação. É parte do projeto.
Categoria 3: K2 desliga sem esperar pelo resultado do teste
K1 e K2 estão em série na alimentação do motor. O operador abre a proteção e o comando manda desligar ambos. Cada contactor tem o seu próprio caminho de comando e cada um consegue, sozinho, interromper a alimentação do acionamento.
K1 fica com os contactos soldados. K2 abre e corta a corrente. O segundo canal executa a tarefa de proteção apesar do defeito no primeiro. Esta é a diferença essencial em relação ao exemplo anterior. Na categoria 2, KT intervinha depois de o teste detetar o defeito em K1. Aqui, K2 recebe a ordem de desligamento porque a proteção abriu. Não espera pelo diagnóstico de K1.
O transportador parou. A reparação continua a ser necessária
O operador vê o resultado habitual: a correia parou. Dentro do quadro, contudo, um contactor já não funciona. O diagnóstico deteta a falta da confirmação de abertura de K1 e impede novo arranque. K2 cumpriu a tarefa do canal avariado. Não o reparou.
Se o comando permitisse continuar a trabalhar com o defeito detetado, o próximo desligamento dependeria apenas de K2. A categoria 3 exige que a subfunção seja mantida depois de um único defeito. Isso aplica-se aos componentes e às ligações de todo o subsistema avaliado.
Se um único defeito no comando conseguir manter ambas as bobinas alimentadas, os dois contactores podem executar sem falhas uma ordem errada. A duplicação dos contactores não corrige uma ordem que chega errada aos dois.
A categoria 3 também exige, no mínimo, baixa cobertura de diagnóstico. Um único defeito deve ser detetado quando a função é solicitada ou antes da solicitação seguinte, sempre que isso seja razoavelmente praticável. Alguns defeitos podem permanecer por detetar. A sua acumulação posterior pode retirar a proteção. É precisamente aqui que começa a diferença para a categoria 4.
A categoria 3 pode alcançar PL c, d ou e
Com DCavg = 90% e MTTFD de cada canal igual a 10 anos, a tabela K.1 dá PL c. Com 30 anos, dá PL d. Com 100, PL e. “Categoria 3 significa PL d” é um atalho cómodo que apaga duas possibilidades.
| MTTFD de cada canal | PFH — frequência média de falha perigosa por hora | PL alcançado |
|---|---|---|
| 10 anos | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 anos | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 anos | 4,29 × 10⁻⁸ 1/h | PL e |
O MTTFD aplica-se separadamente a cada canal. Dois canais de 30 anos não se transformam num canal com MTTFD de 60 anos. Também se aplicam os requisitos da categoria B, os princípios de segurança de eficácia comprovada e as medidas contra falhas de causa comum.
K2 desliga o acionamento apesar da falha de K1. O diagnóstico decide se o circuito pode receber autorização para outro ciclo. Parar uma vez não basta; é preciso impedir que a máquina continue a explorar o último canal saudável.
Categoria 4: o defeito que escapou ao diagnóstico também passa a ser um problema
Depois de K1 ficar com os contactos soldados, K2 desliga o acionamento e o comando impede um novo arranque. Foi exatamente o que aconteceu na categoria 3. A diferença só aparece numa análise mais ampla: o que é detetado, quando é detetado e o que acontece aos defeitos que ficam por detetar?
Na categoria 4, um único defeito tem de deixar a função operacional e ser detetado quando a função é solicitada ou antes da solicitação seguinte. Se não for possível detetá-lo nesse intervalo, a acumulação de defeitos também não pode retirar a eficácia da proteção.
O circuito verifica ainda se a confirmação diz a verdade
Cada contactor tem o seu contacto-espelho supervisionado separadamente. O comando verifica a resposta durante todo o ciclo:
- Antes do arranque, ambos os contactores estão desligados e os contactos-espelho devem confirmar a abertura dos circuitos de potência.
- Depois de um contactor receber a ordem de ligação, a confirmação de abertura deve desaparecer dentro do tempo definido.
- Depois da ordem de desligamento, a confirmação deve regressar.
Se K1 tiver contactos soldados, a última confirmação não regressa. K2 desliga o acionamento e a lógica impede novo arranque.
Na categoria 4, o DCavg exigido é de pelo menos 99%. Porque é necessário verificar também o desaparecimento da confirmação? Porque os dois condutores do contacto-espelho podem entrar em curto-circuito. O sinal passaria então a indicar permanentemente “K1 aberto”, mesmo com o contactor ligado.
Um circuito que verificasse apenas a presença desse sinal antes do arranque aceitaria uma confirmação falsa. A supervisão da mudança revela a contradição: K1 recebeu ordem para ligar, mas a informação “aberto” não desapareceu. O comando desliga as saídas e bloqueia a máquina.
O operador pode carregar no botão de rearme quantas vezes quiser. O rearme não separa condutores em curto-circuito nem contactos soldados.
Esta supervisão também pode ser usada na categoria 3. O que determina a categoria 4 é o comportamento do subsistema completo perante os defeitos considerados e a sua acumulação. A análise inclui os circuitos de comando, a informação de retorno e os efeitos das respetivas falhas.
Dois distribuidores hidráulicos mostram por que isto importa
V1 e V2 são distribuidores de sede instalados em série na alimentação de óleo de um cilindro. Cada um consegue interromper sozinho o caudal. Sensores verificam a posição dos elementos de fecho.
A vedação da sede de V1 fica danificada. O elemento chega à posição “fechado”, mas o óleo passa pela sede. O sensor de posição continua a dizer a verdade. V2, ainda estanque, interrompe o caudal e nada acontece na máquina.
Mais tarde, por uma causa independente, V2 também começa a deixar passar óleo. O caudal através dos dois distribuidores torna-se suficiente para provocar um movimento perigoso do cilindro. No ecrã continuam a aparecer duas confirmações de “fechado”. Perfeitamente coerentes entre si e completamente inúteis para detetar a fuga.
É uma acumulação de defeitos não detetados que pode retirar a proteção numa categoria 3. Na categoria 4, esta sequência tem de ser interrompida: ou a fuga relevante é detetada a tempo, ou a função continua eficaz perante a acumulação considerada.
Um teste de estanquidade separado para cada distribuidor verifica precisamente o que o sensor de posição não verifica. Por exemplo, uma fuga pode elevar a pressão num volume de teste isolado do cilindro. Um sensor de pressão deteta o aumento e o circuito bloqueia o funcionamento.
Se os dois distribuidores fechados fossem testados em conjunto, V2 poderia esconder a falta de estanquidade de V1. O limiar e a duração do teste têm de revelar a fuga relevante para a segurança antes de surgir o perigo. O projeto também tem de considerar a pressão residual a jusante: cortar um novo fornecimento não elimina a energia já armazenada.
Os 99% têm de resultar do diagnóstico real
A categoria 4 exige DCavg elevado, pelo menos 99%, e MTTFD alto em cada canal. Os 99% referem-se à frequência das falhas perigosas detetadas. Detetar nove modos de falha raros e ignorar um modo frequente pode produzir um resultado fraco. A lista de verificação fica bonita. A proteção não.
| MTTFD de cada canal | PFH — frequência média de falha perigosa por hora | PL alcançado |
|---|---|---|
| 30 anos | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 anos | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 anos | 9,06 × 10⁻¹⁰ 1/h | PL e |
Para a categoria 4, o modelo admite um MTTFD do canal até 2 500 anos. Continua a ser um parâmetro estatístico, não a vida física prometida pelo fabricante. Mantêm-se os princípios da categoria B, os princípios de segurança de eficácia comprovada e as medidas contra falhas de causa comum.
A secção 6.1.3.2.6 indica que, na prática, pode ser suficiente analisar combinações de dois defeitos. A exclusão de falhas não detetadas com probabilidade muito baixa exige uma análise documentada e verificada, por exemplo uma FMEA — análise dos modos e efeitos de falha.
O diagnóstico tem de verificar a capacidade de executar a tarefa. Um distribuidor pode confirmar corretamente a posição e continuar a deixar passar óleo. O sinal está certo; a função está perdida.
Cinco categorias, um único K1 com contactos soldados
Nas categorias B e 1, os contactos soldados de K1 deixam o motor alimentado. Na categoria 2, KT executa o desligamento depois de TE detetar o defeito. Nas categorias 3 e 4, K2 desliga porque recebeu a ordem ao mesmo tempo que K1, logo que a proteção abriu. O diagnóstico revela a falha e bloqueia o ciclo seguinte.
É por isso que a avaliação não termina na primeira reação de proteção bem-sucedida. É preciso perguntar o que acontece depois dela.
Dois contactores podem perder contra o mesmo curto-circuito
Até agora, K1 falhava e K2 salvava o desligamento. Mas ocorre um curto-circuito a jusante de K2. A corrente de curto-circuito atravessa os dois contactores fechados e danifica ambos. O segundo canal acabou de encontrar a mesma causa que o primeiro.
Isto é CCF: falha de causa comum. Nas categorias 3 e 4, pode afetar os dois canais funcionais. Na categoria 2, pode afetar o canal funcional e o canal de teste. O projetista reduz as exposições comuns através de medidas concretas.
K2 fecha primeiro e abre em último lugar
Primeiro fecha K2. K1 ainda está aberto, portanto não há corrente no motor. Depois, K1 fecha o circuito e liga a carga. No desligamento, a ordem é inversa: K1 interrompe a corrente e K2 abre um pouco mais tarde, já sem corrente de carga.
Durante o funcionamento, ambos conduzem a mesma corrente. O que muda são as condições de manobra. K2 evita normalmente ligar a corrente de arranque e interromper a carga, reduzindo o desgaste elétrico dos contactos. O mecanismo continua a executar todos os movimentos, portanto o desgaste mecânico mantém-se.
K2 tem ainda de ser dimensionado para interromper sozinho a carga completa. Depois de K1 ficar com os contactos soldados, é exatamente isso que terá de fazer. O seu desligamento deve ocorrer no tempo previsto, sem esperar pela confirmação de K1. Com contactos soldados, essa confirmação nunca chegará.
O atraso e os tempos dos aparelhos têm de caber no tempo de reação exigido para a função.
A proteção contra curto-circuitos deve limitar os efeitos do acontecimento comum
A sequência de manobra diferencia as solicitações durante a ligação e o desligamento. Num curto-circuito com ambos os contactores fechados, a corrente solicita os dois. A proteção F tem de interromper essa corrente. Os efeitos dependem do valor da corrente e do tempo durante o qual circula.
O projetista determina a corrente de curto-circuito previsível no local de instalação e verifica o conjunto: contactor concreto, tipo e corrente nominal da proteção, tensão e condições de aplicação. Os dados do fabricante permitem selecionar a coordenação adequada. A corrente nominal do motor, sozinha, diz muito pouco.
Os contactos podem ficar soldados durante o curto-circuito e continuar fechados depois de F atuar. O fusível interrompe a corrente. Não oferece, incluído no preço, um serviço de reparação dos contactores. Antes de retomar a produção, é necessário verificar os dois aparelhos e eliminar os danos.
A secção 8.2.5.1 da IEC 60947-4-1 admite a possibilidade de soldadura dos contactos mesmo com coordenação de tipo 2. O fabricante indica as ações de manutenção aplicáveis. Usar uma proteção diferente da recomendada pode invalidar a coordenação.
Mesmo percurso, mesma fonte, mesmo sobreaquecimento
Os condutores das duas bobinas seguem no mesmo feixe. Um esmagamento liga ambos os comandos a +24 V. Percursos separados e protegidos, bem como terminais segregados, reduzem a possibilidade de um único dano afetar os dois canais.
Uma fonte comum passa a fornecer tensão excessiva depois de falhar. O projetista verifica o seu comportamento em caso de defeito e aplica a limitação de tensão ou proteção externa necessária aos circuitos alimentados.
Os dois contactores aquecem por cima de um variador. Depois de o ventilador falhar, a temperatura ultrapassa o valor admissível. A disposição dos aparelhos, as distâncias e a ventilação têm de considerar também esta situação. Um quadro aberto durante a receção costuma ter uma ventilação magnífica. O quadro fechado em agosto conta outra história.
Os dois canais seguem junto dos cabos de motor do variador. A separação de percursos, a blindagem e as ligações equipotenciais ajudam a limitar a influência comum das perturbações eletromagnéticas. A imunidade tem de corresponder às condições reais de funcionamento.
O anexo F organiza esta avaliação por pontos. O método exige pelo menos 65 pontos pelas medidas implementadas. Por exemplo: separação dos canais, 15; proteção contra sobreintensidades e sobretensões relevantes, 15; medidas contra perturbações eletromagnéticas, 25; outros fatores ambientais, 10.
É possível justificar o resultado com contactores idênticos. A diversidade de construção, tecnologias, solicitações ou fabricantes permite obter até 20 pontos numa posição. Duas marcas diferentes aplicadas ao mesmo produto continuam a ser o mesmo produto. Cada posição só dá pontos quando está integralmente implementada no subsistema avaliado. Implementação parcial vale zero.
O segundo canal ajuda apenas enquanto uma causa comum não retirar aos dois canais a capacidade de atuar.
E onde estão os dois canais no sensor, no relé e no PLC?
K1 e K2 são fáceis de apontar com o dedo. Na eletrónica, dois canais podem estar dentro da mesma caixa. A norma descreve a estrutura lógica; a solução interna de cada dispositivo é definida pelo fabricante.
Dois sensores numa única proteção
Os sensores indutivos S1 e S2 detetam uma peça metálica montada na proteção fechada. Cada sensor envia o seu próprio sinal para uma entrada separada do comando. O funcionamento exige duas confirmações de “fechada”.
S1 avaria e passa a indicar permanentemente “fechada”. O operador abre a proteção e a peça metálica afasta-se dos dois sensores. S2, ainda em bom estado, muda de sinal e o comando emite a ordem de paragem. Perder uma confirmação é suficiente para reagir.
Um sensor de segurança com duas saídas OSSD
Um sensor indutivo de segurança pode integrar diagnóstico e duas saídas eletrónicas supervisionadas OSSD, ou dispositivos de comutação do sinal de saída. Quando a peça metálica se afasta, ambas as saídas desligam e transmitem ao comando o pedido de paragem. O diagnóstico também supervisiona a capacidade de desligamento das saídas.
Um sensor comum pode ter duas saídas com um funcionamento diferente: o mesmo circuito eletrónico deteta o metal e o mesmo resultado comanda as duas saídas. A saída NO, normalmente aberta, liga quando o metal é detetado; a saída NC, normalmente fechada, desliga nessa situação.
Se a eletrónica reconhecer erradamente a presença do metal com a proteção aberta, as duas saídas comportam-se exatamente como se a proteção estivesse fechada. Verificar que apresentam estados opostos não revela o erro. O comando recebeu duas versões da mesma conclusão errada. Dividir um único sinal por duas entradas produz um problema semelhante.
Relé de segurança e controlador
Num relé de segurança clássico existem dois relés internos, R1 e R2. Os contactos que autorizam o funcionamento estão ligados em série. Se um contacto de R1 ficar soldado, R2 continua a poder abrir a saída. Contactos de controlo mecanicamente ligados permitem detetar a soldadura e impedir novo arranque.
Um PLC relacionado com a segurança pode utilizar dois processadores e comparar os resultados. Um calcula erradamente uma autorização de movimento e o outro calcula uma paragem. A divergência provoca a reação de proteção. Os testes também abrangem a memória, a execução do programa e as entradas e saídas.
Duas cópias do programa num PLC comum podem, pelo contrário, correr no mesmo processador. Uma falha nesse processador afeta ambas. Copiar código é mais fácil do que construir tolerância a defeitos. O resultado também é outro.
Cortina de segurança
O operador interrompe os feixes entre o emissor e o recetor. A cortina desliga OSSD1 e OSSD2. Se OSSD1 estiver avariada e permanecer ligada, o desligamento de OSSD2 continua a ser suficiente para o comando associado emitir a ordem de paragem.
Cada saída é ligada à entrada prevista para ela. O diagnóstico inclui as saídas e as respetivas ligações. Na documentação do equipamento, o projetista verifica o PL alcançado, a categoria, o tempo de reação e a ligação exigida. Só assim consegue utilizar corretamente as propriedades de um subsistema pronto numa função concreta.
O mesmo PL, comportamentos diferentes depois do defeito
Um projetista alcança PL d com categoria 2. Outro alcança PL d com categoria 3. Ambos podem estar certos. O primeiro utilizou um canal mais fiável com teste. O segundo utilizou dois canais funcionais.
| Categoria | MTTFD do canal | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 anos | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 anos | 90% | 2,65 × 10⁻⁷ | d |
Na categoria 2, o MTTFD indicado refere-se ao canal funcional. Na categoria 3, refere-se a cada um dos dois canais. Ambos os PFH estão no intervalo de PL d, mas a categoria 2 pode perder a subfunção entre testes, enquanto a categoria 3 a mantém depois de um único defeito.
Se a SRS ou uma norma de tipo C aplicável à máquina exigir a manutenção da função após um único defeito, o projetista tem de assegurar esse comportamento. A letra d, sozinha, não resolve a escolha.
A mesma categoria com diagnóstico melhor
Na categoria 3, com MTTFD de cada canal igual a 100 anos, aumentar DCavg de 60% para 90% faz o resultado passar de PL d para PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
A cobertura superior tem de resultar de uma deteção de falhas mais eficaz e da reação correspondente. Supervisionar as mudanças do sinal de retorno pode revelar um curto-circuito que confirma permanentemente a abertura do contactor. Essa medida muda o comportamento do circuito. Alterar um campo de 60 para 90% no programa de cálculo muda, por enquanto, apenas a impressão.
Pressupostos dos exemplos numéricos: os valores resultam dos modelos de subsistemas da ISO 13849-1:2023. O método da secção 6.1.8 assume 20 anos de utilização prevista, taxas de falha constantes e medidas adequadas contra CCF. Para componentes que se desgastem antes desse prazo, é necessário respeitar os respetivos limites de utilização.
Na categoria 2 aplicam-se ainda os requisitos do canal de teste e da frequência de teste ou do tempo de reação no momento da solicitação. Para testes periódicos, os PFH apresentados correspondem a uma relação entre frequência de teste e frequência de solicitação de pelo menos 100:1. A nota 1 da tabela K.1 estima o valor para uma relação mínima de 25:1 multiplicando o PFH tabelado por 1,1. Os valores tabelados para DCavg baixo, médio e alto foram calculados, respetivamente, com 60%, 90% e 99%.
O PL indica o nível de desempenho. A categoria mostra como o circuito lida com defeitos. Para escolher uma solução são necessárias as duas informações.
Os contactores estão prontos para desligar. Só que a ordem não chegou
O subsistema K1–K2 alcança PL e. Mas o sensor da proteção informa erradamente a lógica de que a porta está fechada. O comando autoriza o movimento e os dois contactores permanecem ligados. Podem estar em perfeito estado e ser brilhantemente supervisionados. O problema nasceu antes, na entrada da função.
Por isso, o projetista avalia toda a cadeia: entrada → lógica → saída, incluindo as ligações. Numa combinação em série de subsistemas com PFH conhecidos, os valores são somados. O PL total é limitado pelo resultado dessa soma e pelo menor PL de qualquer subsistema.
Três subsistemas com 4 × 10⁻⁸ 1/h cada dão um total de 1,2 × 10⁻⁷ 1/h, correspondente a PL d. Cada um, isoladamente, estava dentro de PL e. A aritmética é simples: a função completa tem mais locais onde pode ocorrer uma falha perigosa. O processo é explicado em detalhe no artigo sobre o cálculo do PL segundo a ISO 13849-1.
Depois do corte de alimentação, a correia ainda precisa de tempo para imobilizar. A proteção tem de atuar antes de alguém alcançar o perigo. Esta relação vê-se claramente no cálculo da distância da cortina de segurança após uma alteração do tempo de reação.
Quando se combinam subsistemas avaliados por métodos diferentes, também é útil comparar a ISO 13849-1 e a IEC 62061.
Passados alguns anos, alguém vai substituir K1
O novo contactor tem a mesma corrente nominal e encaixa na calha. O técnico ainda precisa do contacto-espelho correto, dos tempos de atuação adequados e dos dados de durabilidade. Estas propriedades faziam parte do projeto. A indicação “24 V e os mesmos amperes” omite precisamente aquilo de que o diagnóstico necessita.
A documentação deve permitir reconstruir por que razão o aparelho foi selecionado, o que o circuito supervisiona e como reage a um defeito. Sem isso, resta telefonar ao autor do programa e esperar que ainda se lembre do motivo de cada condição. É assim que uma justificação técnica passa a depender da memória de uma pessoa.
| Campo | Registo |
|---|---|
| Âmbito | Subsistema de saída K1–K2, incluindo ligações e supervisão; tarefa: cortar a alimentação do acionamento. |
| Defeito considerado | K1 permanece fechado apesar da ordem de desligamento. |
| Reação exigida | K2 desliga sozinho o acionamento. A falta de retorno de K1 revela o defeito e impede novo arranque. |
| Evidência a obter | Análise de defeitos e ensaio T-01: verificação do desligamento por K2, do tempo de reação, da deteção e do bloqueio. O resultado deve ser registado para a versão concreta do circuito. |
A ficha completa liga este registo à SRS, à versão do esquema, às bases de MTTFD, DCavg e CCF e aos resultados da validação. Também justifica as exclusões de defeitos aplicadas.
Descarregar a ficha de justificação da categoria — PDF em inglês: exemplo K1–K2 e formulário para um projeto próprio, num único ficheiro com campos editáveis.
Um gestor não precisa de calcular pessoalmente o PFH. Pode pedir ao fornecedor que mostre um defeito no esquema: o que falha, o que continua a proteger a pessoa, quando o comando deteta o problema e onde está registado o resultado do ensaio. Essa conversa vale muito mais do que perguntar pela marca do relé.
Dois contactores são apenas uma linha na lista de material. Só o seu funcionamento, o diagnóstico e a justificação do projeto permitem atribuir uma categoria.
Fontes
Os exemplos do transportador, dos contactores e dos distribuidores hidráulicos servem para explicar os requisitos. Os valores de PFH e os PL correspondentes provêm da tabela K.1 das referências seguintes.
- ISO 13849-1:2023, secções 4.5, 5.1, 5.2.1 e 5.3–5.5: informação da avaliação de riscos, SRS, PLr e divisão em subsistemas; definições 3.1.45–3.1.47 e secções 6.1.3.1–6.1.3.2.1: subsistemas, canais e arquiteturas.
- ISO 13849-1:2023, secções 6.1.3.2.2–6.1.3.2.6: requisitos das categorias B–4, reação a defeitos, testes e acumulação de defeitos; definições 3.1.49–3.1.50 e secção 6.1.11: princípios de segurança e componentes de eficácia comprovada.
- ISO 13849-1:2023, tabelas 2, 6 e 7, secções 6.1.4–6.1.5 e 6.1.8, anexos C–E e tabela K.1 com as notas 1–2: PL, PFH, MTTFD, DC, durabilidade, número de manobras e pressupostos dos modelos numéricos.
- ISO 13849-1:2023, secção 6.1.6, anexo F e tabela F.1: CCF, medidas para limitar exposições comuns, avaliação por pontos e limiar de 65 pontos; F.3.2: diversidade; F.3.3 e F.3.6: proteção, perturbações e ambiente de funcionamento.
- IEC 60947-4-1, secção 8.2.5.1: coordenação entre contactores e proteções contra curto-circuitos, incluindo coordenação de tipo 2; secções 8.2.4.3.1–8.2.4.3.2 e anexo B: durabilidade mecânica e elétrica; anexo F: propriedades e identificação dos contactos-espelho.
- ISO 13849-1:2023, secção 6.1.10, definições 3.1.29–3.1.30 e 3.1.51–3.1.52, anexo E e tabela E.1: análise de defeitos, monitorização, teste e verificação de plausibilidade; secção 7 e anexo N: programas e plataformas previamente avaliadas; secção 13.2: informação para integração.
- ISO 4413, secção 5.4.4.1: estanquidade e adequação de distribuidores a aplicações relacionadas com a segurança; secções 5.4.7.1–5.4.7.2.1: movimento não intencional, isolamento de energia e dissipação de pressão.
- ISO 13849-1:2023, secção 6.2.2 e secção 8: combinação de subsistemas, soma de PFH e limitações do PL alcançado; secção 5.2.2.2: paragem; secções 10.1.1–10.1.2, 10.8 e 12: validação, registos e documentação técnica.