A cortina de luz de segurança não foi deslocada. A fronteira a partir da qual podia ser considerada segura é que se deslocou.
Num SIMATIC S7-1500F configurado no TIA Portal V18, aumentou-se F_WD_TIME de cerca de 150 para cerca de 500 ms. Isto não prova, por si só, erro de projeto. O F_WD_TIME, isto é, o tempo de monitorização PROFIsafe, não é um valor universal. Tem de bater certo com a configuração real da comunicação, com os ciclos do programa safety e com os dispositivos F instalados.
É aqui que começa o problema: quando a alteração é tratada como uma simples correção de comunicação e ninguém verifica o efeito na função de segurança inteira. A distância da cortina de luz de segurança depende do tempo de reação. Se esse tempo muda, a distância mínima também pode mudar.
Não procures nestes dois números uma receita pronta. Os valores foram arredondados para explicar o caso e não são ajustes universais recomendados pela Siemens.
Neste caso, o impacto apareceu na revalidação. A medição do tempo de paragem determinou o tempo real até ao fim do movimento perigoso. O cálculo do tempo máximo de reação considerou a configuração atual do sistema safety. Quando as duas peças foram corretamente ligadas e a distância foi recalculada segundo a ISO 13855, a conclusão foi seca: a cortina estava demasiado perto da zona perigosa. Faltava mais de meio metro.
A escala percebe-se pela relação S = (K × T) + C. Se o tempo total T aumentar 350 ms, então, com K = 1600 mm/s, a distância exigida aumenta 560 mm. A diferença do ajuste F_WD_TIME não passa obrigatoriamente para o tempo total numa proporção de um para um. Por isso, quem decide são os cálculos e a medição da função completa.
Não havia espaço para esse meio metro adicional. A cortina não podia ser afastada. Portanto, o meio de proteção teve de mudar. Foi substituída por um resguardo transparente com interbloqueio e bloqueio, o sistema de comando relacionado com a segurança foi reconstruído e foi definido PLr = d para as novas funções de segurança.
Neste ponto, a história deixou de ser sobre um parâmetro no TIA Portal. Uma alteração de F_WD_TIME pode puxar a cadeia toda: novo cálculo do tempo de reação, mudança do meio de proteção, avaliação sobre modificação substancial e até a pergunta incómoda: quem passa a assumir obrigações de fabricante?
F_WD_TIME 500 ms: valor errado ou consequência mal avaliada?
A avaliação deste tipo de alteração começa quase sempre com desconfiança. E com razão.
- Quem aumenta o watchdog de 150 para 500 ms?
- Isto não é um parâmetro ligado à função de segurança?
- Alguém está a tentar mascarar problemas de comunicação?
São perguntas sensatas. Mas nenhuma delas responde ao que realmente interessa: a cortina continua numa distância segura?
A pergunta certa é: o que é que a alteração de F_WD_TIME fez ao tempo máximo de reação e à distância exigida para a cortina de luz de segurança?
Porque é que F_WD_TIME não tem uma única resposta correta?
F_WD_TIME não tem um valor certo para todas as instalações. Um tempo de monitorização demasiado curto pode provocar passivação de dispositivos F, mesmo quando a comunicação não tem falha. Numa configuração mais extensa entram em jogo os ciclos da F-CPU, a atualização da rede, os dispositivos usados e a arquitetura PROFIsafe.
É perfeitamente possível ter 150 ms mal escolhidos e 500 ms bem escolhidos. Também é possível ter 150 ms corretos e 500 ms sem justificação técnica. O número isolado não fecha a análise.
A Siemens descreve dois requisitos que têm de ser cumpridos ao mesmo tempo. O tempo de monitorização deve ser suficientemente longo para não ser excedido durante funcionamento sem erros, mas também suficientemente curto para não ultrapassar o tempo de segurança do processo.
Aumentar o parâmetro pode melhorar a disponibilidade da máquina. Mas não confirma que a máquina continue a reagir depressa o suficiente, nem que o meio de proteção existente continue eficaz.
Neste caso, F_WD_TIME passou de cerca de 150 para cerca de 500 ms. Do ponto de vista técnico, podia ser uma alteração justificada pela configuração concreta. Do ponto de vista da segurança, exigia nova verificação da função inteira.
O problema não tem de ser o valor do watchdog. O problema começa quando, depois de o alterar, continuamos a usar os cálculos antigos, o relatório antigo e a distância antiga.
Porque não voltar simplesmente aos 150 ms?
Esta é a primeira pergunta que deve surgir depois da validação: se com 500 ms a cortina ficou demasiado perto, então voltamos a 150 ms.
Se o valor mais curto ainda corresponder à configuração real PROFIsafe, essa solução pode estar correta. Não faz sentido reconstruir uma máquina só para manter um watchdog desnecessariamente longo.
Mas o cenário muda se 150 ms já não garantir margem suficiente para os ciclos atuais da F-CPU, os dispositivos e a comunicação. Voltar ao valor antigo melhoraria o resultado do cálculo da distância, mas não resolveria a causa que levou à alteração do parâmetro.
A regra é simples: a distância da cortina resulta do tempo de reação. O tempo de reação não se escolhe em função do espaço que sobrou no chão de fábrica.
Primeiro verifica-se se F_WD_TIME pode ser encurtado, se outros componentes do tempo de reação podem ser reduzidos e se o tempo mecânico de paragem pode ser melhorado. Só quando estas opções caem sobram duas estradas: afastar a cortina ou mudar o meio de proteção.
Neste caso não havia espaço para mais meio metro. O problema não se fechava com uma correção de parametrização. Era preciso mudar o conceito de proteção.
Distância da cortina de luz de segurança: medição do tempo de paragem e tempo de reação
Até aqui ainda se pode discutir a configuração PROFIsafe. Os 150 ms eram corretos? Os 500 ms eram necessários? Dava para encurtar o ciclo ou melhorar a comunicação?
A resposta só aparece com validação coerente. O cálculo do tempo máximo de reação mostra o comportamento da parte de comando, incluindo os cenários de falha assumidos. A medição do tempo de paragem mostra quando o movimento perigoso realmente desaparece. As fronteiras de cada valor têm de estar claras para não omitir componentes nem contar o mesmo tempo duas vezes.
O âmbito da medição tem de corresponder ao cenário analisado. Uma medição típica iniciada pela violação da cortina, com comunicação correta, confirma o caminho saudável de reação e pode não incluir a espera pelo F_WD_TIME. Nesse caso, o efeito do watchdog no caminho máximo de reação tem de ser demonstrado por cálculo dos tempos do sistema safety e depois combinado com a medição do desaparecimento do movimento.
Dizer apenas que a máquina parou não vale grande coisa. A pergunta é outra: parou antes de a pessoa conseguir chegar ao perigo?
Como calcular a distância da cortina de luz de segurança?
A ISO 13855 responde a esta pergunta convertendo tempo em distância:
S = (K × T) + C
Se os outros componentes não mudarem, o efeito da diferença no tempo total pode ser apresentado assim:
ΔS = K × ΔT
| Aumento do tempo máximo calculado ΔT | Aumento da distância com K = 1600 mm/s | Aumento ilustrativo com K = 2000 mm/s |
|---|---|---|
| 100 ms | 160 mm | 200 mm |
| 350 ms | 560 mm | 700 mm |
Aqui, ΔT significa a diferença entre dois cálculos do tempo máximo de reação. Não significa automaticamente a diferença direta entre dois ajustes de F_WD_TIME. O valor K = 2000 mm/s mostra a escala matemática; a variante correta para o projeto tem de ser escolhida de acordo com a ISO 13855, não pelo resultado mais conveniente.
Não se escolhe o K mais favorável só porque dá uma distância menor. A variante de cálculo, o valor C e as restantes condições dependem do modo de aproximação, da capacidade de deteção e dos requisitos da ISO 13855 para a aplicação concreta.
Também não estamos a falar de uma margem que se arredonda ao gosto da planta. É a distância que tem de existir entre o campo de deteção da cortina e a zona perigosa.
Que resultado da medição deve ser usado?
Uma medição não chega. No anexo informativo da edição da ISO 13855 usada neste caso, indicavam-se pelo menos 10 medições. Devem ser feitas nas condições identificadas como capazes de gerar o maior tempo realista até ao desaparecimento do perigo.
Consoante a máquina, essas condições podem incluir velocidade, carga, fase do ciclo, temperatura e estado dos elementos responsáveis pela paragem.
Que valor se usa? Não é o mais bonito. Não é a média simples. Não é o que permite manter a cortina existente.
Segundo o método descrito nesse anexo, para determinar a distância toma-se o maior de dois valores: o maior tempo medido ou a média acrescida de três desvios-padrão.
O que cobre exatamente a medição do tempo de paragem?
Também é preciso vigiar as fronteiras da medição. Se o equipamento mede todo o tempo desde a atuação do dispositivo de proteção até ao fim do movimento, não se podem adicionar outra vez os mesmos componentes vindos do cálculo. Se a medição cobre apenas a parte mecânica da paragem, então o tempo calculado da parte anterior da cadeia tem de ser somado.
Neste caso, a combinação entre cálculo dos tempos de reação e resultado da medição levou a uma conclusão única: a distância exigida para a cortina aumentou mais de meio metro.
Só que esse meio metro não existia na fábrica.
A cortina de luz de segurança funcionava. Mesmo assim teve de sair
Parece contradição, mas não é. A cortina detetava a presença da pessoa e provocava a paragem. O problema não estava no dispositivo em si. Estava na distância até à zona perigosa.
Uma cortina de luz de segurança não trava fisicamente uma pessoa. Deteta a entrada e dá à máquina o sinal para parar. O conceito só funciona se o movimento perigoso desaparecer antes de a pessoa conseguir chegar ao ponto de perigo.
Porque a falta de espaço obrigou a mudar o conceito de proteção?
O que fazer quando a medição e os cálculos mostram que são necessários mais 560 mm, mas já não há espaço?
A ISO 12100 obriga a voltar ao processo iterativo de redução do risco. Primeiro reavaliam-se soluções intrinsecamente seguras, incluindo a possibilidade de encurtar o tempo de reação e o tempo de paragem. Se isso não bastar, escolhe-se um meio de proteção técnico compatível com as condições reais.
A falta de espaço não muda o resultado da ISO 13855.
No caso analisado, mudou-se o princípio de proteção. A cortina, que detetava a entrada da pessoa na zona, foi substituída por um resguardo transparente destinado a impedir essa entrada.
Os painéis transparentes permitiram manter a observação do processo, mas não podiam ser tratados como decoração. A construção, a resistência e a fixação do resguardo foram avaliadas segundo a ISO 14120. O resguardo não podia criar novos pontos de esmagamento nem arestas cortantes. A possibilidade de alcançar a zona perigosa através, por cima ou por baixo da estrutura teve de ser avaliada com base na ISO 13857.
Porque foi usado um resguardo com interbloqueio e bloqueio?
Continuava a ser necessário acesso para operação e manutenção. Então por que não usar apenas um resguardo com interbloqueio simples?
A abertura de um resguardo com interbloqueio provoca paragem, mas não impede a abertura imediata. Se o movimento perigoso só desaparecer após algum tempo, o operador pode chegar à zona antes de a máquina estar realmente parada.
A necessidade de bloqueio não é decidida apenas pela existência de tempo de paragem. Decide-se comparando o tempo de desaparecimento do perigo com o tempo de acesso, e com base na avaliação de risco. Neste caso, o resguardo tinha de permanecer fechado desde o pedido de acesso até ao fim do risco. Só depois o sistema podia libertar o bloqueio e permitir a abertura da porta.
As regras para seleção do dispositivo de interbloqueio, do bloqueio e das medidas contra neutralização estão descritas na ISO 14119.
Trocar a cortina por um resguardo com interbloqueio e bloqueio não foi uma troca simples de componentes. Foi necessário construir novas funções de segurança:
- paragem do movimento após pedido de acesso;
- prevenção do arranque com o resguardo aberto;
- manutenção do bloqueio até ao fim do risco;
- libertação do bloqueio só após confirmação das condições exigidas;
- prevenção do rearranque inesperado.
PLr = d aplica-se à função de segurança, não ao resguardo
Para cada função identificada foi definido o PLr necessário com base na avaliação de risco. No caso descrito, para as funções destinadas a garantir a redução desse risco, foi adotado PLr = d. Depois, as partes do sistema de comando relacionadas com a segurança foram projetadas para que o PL atingido fosse pelo menos igual ao PLr, seguindo verificação e validação segundo a ISO 13849.
Isto não significa que o resguardo em si tivesse PL d. O nível de desempenho aplica-se à função completa: desde o sensor de posição e estado do bloqueio, passando pela lógica do controlador, até ao elemento atuador que para o movimento. A marcação de um interruptor isolado não confirma o nível atingido pelo sistema completo.
No fim, a alteração de uma parametrização levou a um novo resguardo, novas funções de segurança, reconstrução do programa safety e nova validação.
E é aqui que nasce a pergunta seguinte: a entidade que executou a alteração continua a ser apenas utilizadora da máquina ou assumiu obrigações de fabricante?
Da alteração digital à modificação substancial
À primeira vista, a resposta parece óbvia. A cortina foi substituída por um resguardo com interbloqueio e bloqueio, o programa safety foi reconstruído e foram adicionadas novas funções de segurança. O trabalho foi grande, logo a modificação foi substancial.
Mas o Regulamento (UE) 2023/1230 não avalia a quantidade de peças alteradas. Não pergunta quantos metros de resguardo foram montados nem quantos blocos de programa foram reescritos. Pergunta qual foi o impacto da alteração na segurança.
Como avaliar os pressupostos em conjunto?
No caminho aplicável a este caso, é preciso determinar em conjunto:
- se, depois da colocação da máquina no mercado ou da sua entrada em serviço, foi feita uma alteração física ou digital;
- se essa alteração não estava prevista nem planeada pelo fabricante da máquina;
- se criou um novo perigo ou aumentou um risco existente;
- se exigiu a adição de um resguardo ou dispositivo de proteção;
- se a atuação desse meio exigiu modificar o sistema de comando relacionado com a segurança existente.
A alteração de F_WD_TIME, sozinha, não decide a existência de modificação substancial. Mas pode cumprir os pressupostos se a cadeia completa for confirmada pela avaliação de risco.
No caso analisado, o ponto de partida foi uma alteração digital numa máquina em serviço. A revalidação mostrou que a distância existente da cortina não assegurava a redução de risco assumida. A segurança não podia ser reposta afastando a cortina, e o novo resguardo com interbloqueio e bloqueio exigiu reconstruir funções realizadas pelo sistema safety.
A sequência encaixa no mecanismo descrito para a modificação substancial: alteração digital → aumento de risco → novo meio de proteção → reconstrução do sistema safety existente.
Fica uma condição que nunca se deve inventar a partir do volume de trabalho: esse tipo de alteração estava previsto ou planeado pelo fabricante da máquina?
Se o fabricante a considerou na avaliação de risco original, na documentação e nas instruções, pode tratar-se de uma alteração dentro de uma configuração prevista. Se não estava prevista e os restantes requisitos se confirmam, o caso pode ser qualificado como modificação substancial.
Quando é que alguém assume obrigações de fabricante?
Se todos os pressupostos forem cumpridos, o artigo 18 do Regulamento (UE) 2023/1230 considera a pessoa singular ou coletiva que realiza a modificação substancial como fabricante para efeitos desse regulamento. As obrigações aplicam-se à máquina ou ao produto conexo afetado pela modificação. No caso de um conjunto de máquinas, aplicam-se ao produto afetado pela alteração no âmbito demonstrado pela avaliação de risco.
Isto não acaba na reavaliação do risco e na validação. As obrigações do fabricante incluem também preparar documentação técnica, realizar o procedimento de avaliação de conformidade aplicável, elaborar a declaração UE de conformidade, colocar a marcação CE, disponibilizar instruções e identificação, e conservar a documentação técnica e a declaração UE de conformidade durante pelo menos 10 anos.
O Regulamento (UE) 2023/1230 entrou em vigor em 19 de julho de 2023, mas as disposições principais relativas à modificação substancial aplicam-se a partir de 20 de janeiro de 2027. Se a alteração foi executada antes, não se qualifica retroativamente segundo esses artigos. Aplicam-se as regras em vigor no momento da alteração.
A Diretiva Máquinas 2006/42/CE não continha uma definição legal de modificação substancial nem de modernização significativa. O segundo termo circulava na prática técnica. O guia oficial da Comissão apontava para a necessidade de avaliar se a transformação, pela sua extensão, equivalia na prática à construção de uma nova máquina.
Até onde vai o alcance da modificação substancial?
Depois da frase assumir obrigações de fabricante, é fácil cair num de dois extremos.
O primeiro: temos de refazer a avaliação de conformidade e a documentação da linha inteira. O segundo: só trocámos a cortina por um resguardo, portanto documentamos apenas a nova porta e o bloqueio.
Ambas as respostas podem estar erradas.
O considerando 26 do Regulamento (UE) 2023/1230 explica que a pessoa que realiza uma modificação substancial não deve ser obrigada a repetir ensaios nem a preparar nova documentação relativamente a máquinas ou produtos conexos que façam parte de um conjunto de máquinas e que não sejam afetados pela modificação.
Isto não reduz as obrigações perante a máquina ou produto realmente afetado.
O alcance do impacto não se define pelo nome do projeto, pela fronteira do quadro elétrico ou pelo local onde o novo resguardo foi aparafusado. Tem de resultar da avaliação de risco.
Por isso, é preciso verificar muito mais do que a construção da porta:
- que parte da linha para quando o resguardo abre;
- se os limites das zonas de paragem mudaram;
- se outras máquinas ainda podem executar movimento perigoso;
- onde está o reset e o que o operador vê a partir desse ponto;
- se, depois de fechar o resguardo, pode ocorrer rearranque inesperado;
- se uma pessoa pode ficar entre o resguardo e a zona perigosa;
- se a alteração afeta interfaces entre máquinas.
Se a avaliação de risco demonstrar que a modificação substancial afeta a segurança apenas de uma máquina ou de um produto conexo integrante de um conjunto, o artigo 18 permite limitar as obrigações de fabricante a esse produto.
Mas se foram alterados acesso comum, paragem, reset, rearranque ou comunicação entre zonas, não se pode dizer que a modificação diz respeito apenas a uma porta.
Máquina ou sistema de produção integrado?
Se o conjunto analisado for um sistema de produção integrado com pelo menos duas máquinas interligadas para uma aplicação específica, entra também a perspetiva da ISO 11161. Máquinas isoladas podem estar conformes e bem protegidas, e mesmo assim, ao serem ligadas entre si ou ao alterar um meio de proteção comum, pode surgir novo risco ao nível do sistema.
A pergunta correta é: até onde vai o efeito da reconstrução nas funções, zonas e interfaces de segurança?
Que documentos e evidências devem ser atualizados?
Para máquinas ou produtos conexos que façam parte de um conjunto e que não sejam afetados pela alteração, não é necessário repetir ensaios nem criar nova documentação. Na documentação do produto afetado, podem ser usados elementos anteriores, desde que continuem atuais e adequados. O conjunto tem, porém, de demonstrar de forma coerente a conformidade da máquina ou produto sujeito às obrigações de fabricante.
Isto nem sempre significa escrever todos os documentos do zero. Significa preparar documentação técnica completa e coerente para o produto afetado, indicando que provas antigas continuam válidas, quais foram atualizadas e por que razão a modificação não afeta as restantes máquinas ou produtos do conjunto.
A fronteira das obrigações do fabricante não é o ponto onde acaba o novo resguardo. É o impacto da modificação demonstrado na avaliação de risco.
Quando a distância da cortina de luz de segurança muda, muda a cadeia toda
Alterar F_WD_TIME não significa automaticamente refazer toda a documentação desde o início. Mas, se essa alteração conduzir a uma modificação substancial, a documentação técnica tem de cobrir a máquina ou o produto cuja segurança foi afetada.
Um relatório antigo de medição do tempo de paragem pode continuar a ser um registo histórico válido. Não confirma automaticamente a distância da cortina de luz de segurança depois de uma alteração no programa safety.
| O que mudou? | Qual pode ser o efeito? | O que tem de ser demonstrado novamente? |
|---|---|---|
| F_WD_TIME ou configuração PROFIsafe | Outro tempo máximo de reação | Cálculo dos tempos de reação para o projeto atual |
| Tempo de reação ou tempo de paragem | Outra distância da cortina de luz de segurança | Medição do tempo de paragem e cálculo segundo a ISO 13855 |
| Cortina substituída por resguardo com interbloqueio e bloqueio | Novas situações perigosas e funções safety | Avaliação de risco, especificação das funções e PLr |
| Programa F, interbloqueio ou bloqueio | Alteração da SRP/CS | Verificação do PL atingido e validação |
| Acesso comum, reset ou zona de paragem | Impacto em máquinas adjacentes | Análise de interfaces e âmbito segundo a ISO 11161 |
| Cumprimento dos pressupostos de modificação substancial | Obrigações de fabricante | Avaliação de conformidade e documentação completa do produto afetado |
Cada uma destas evidências responde a uma pergunta diferente. O RT Calculator da Siemens ajuda a calcular o tempo de reação. A medição do tempo de paragem mostra quando o movimento realmente desaparece. A ISO 13855 transforma tempo em distância. A avaliação de risco decide se os meios aplicados continuam a assegurar a redução de risco exigida.
Nenhuma destas evidências substitui as outras.
Por isso, qualquer alteração de um parâmetro ligado ao tempo de reação deve deixar um rasto claro: causa da alteração, configuração antes e depois, cálculos, resultados de medições, avaliação de risco, decisão de projeto e relatório de validação.
Deixa rasto desde a alteração do parâmetro até à validação
O RT Calculator da Siemens ajuda a calcular o tempo de reação. Mas não mostra por que razão a alteração foi aceite nem que consequências provocou na máquina inteira.
Esta cadeia de decisões pode ser organizada em Safety Software — avaliação de risco de máquinas. O módulo Registo de auditoria permite manter o histórico de alterações e justificações, enquanto a auditoria de máquinas organiza constatações, ações corretivas e evidências de validação.
Se a resposta continua a apoiar-se num relatório antigo e na frase a cortina não foi mexida, é precisamente aí que começa o problema.
Resumo
Este caso não prova que F_WD_TIME = 500 ms seja um valor errado. Mostra algo mais importante: alterar um parâmetro que influencia o tempo de reação pode invalidar pressupostos anteriores sobre a segurança da máquina.
A cadeia foi simples: alteração de F_WD_TIME → outro tempo máximo de reação → maior distância da cortina → falta de espaço → novo resguardo com interbloqueio e bloqueio → reconstrução do sistema safety.
Com K = 1600 mm/s, mais 350 ms de tempo total significam 560 mm de distância exigida. Esse resultado não pode ser reduzido só porque não há espaço na fábrica. Se não é possível encurtar o tempo nem afastar a cortina, o conceito de proteção tem de mudar.
A alteração do watchdog, por si só, não decide a existência de modificação substancial. Pode, no entanto, desencadear uma sequência que cumpra todos os pressupostos: alteração digital realizada após a colocação no mercado ou entrada em serviço, alteração não prevista pelo fabricante, aumento de risco, aplicação de novo meio de proteção e reconstrução do sistema de comando relacionado com a segurança existente.
A pergunta principal não é: era permitido aumentar F_WD_TIME? A pergunta certa é outra: depois dessa alteração, a segurança da máquina foi novamente calculada, medida e confirmada?
Se a resposta se apoia em cálculos atuais, medição do tempo de paragem, avaliação de risco e validação, a alteração está sob controlo.
Se continua apoiada no relatório antigo e na convicção de que a cortina não se deslocou, a fronteira deslocou-se sem ninguém a ver.
Fontes oficiais e normas usadas
Siemens
- SIMATIC Safety — Configuring the monitoring times
- SIMATIC STEP 7 Safety Advanced — RT Calculator
- SIMATIC Safety — Response Times of Safety Functions
- Safety Function via IWLAN — exemplo para TIA Portal V18
- SIMATIC Safety — system acceptance and verification of times
Direito da União Europeia
- Regulamento (UE) 2023/1230 — texto atual
- Regulamento (UE) 2023/1230 — considerando 26
- Guia da Diretiva Máquinas 2006/42/CE
Normas utilizadas na análise
- ISO 12100 — avaliação e redução do risco;
- ISO 13855 — posicionamento de meios de proteção técnicos;
- ISO 14119 — dispositivos de interbloqueio associados a resguardos;
- ISO 14120 — conceção e construção de resguardos;
- ISO 13857 — distâncias de segurança para impedir o alcance de zonas perigosas;
- ISO 13849-1 — conceção de partes dos sistemas de comando relacionadas com a segurança;
- ISO 11161 — sistemas de produção integrados.
Antes de aplicar uma norma, deve ser confirmada a edição aplicável ao projeto, a publicação nacional relevante e a base atual de presunção de conformidade.