«Na segunda linha é preciso usar outra regulação.» Duas linhas iguais fabricam o mesmo produto, mas exigem valores de temperatura diferentes. O operador experiente sabe o que corrigir. Ao novo é preciso explicar. Quando pergunta por que motivo máquinas supostamente idênticas se comportam de maneira diferente, ouve que cada uma tem a sua personalidade.
É assim que uma medição perturbada deixa de ser uma avaria por eliminar. Passa a ser conhecimento prático transmitido entre trabalhadores. O tecnólogo corrige os parâmetros, o operador vigia o resultado e a produção confirma que, afinal, é possível trabalhar daquela maneira. Em vez de corrigir a instalação, aumentaram-se as exigências sobre quem opera a máquina.
Este é um dos efeitos menos espetaculares dos erros no equipamento elétrico das máquinas. Nada precisa de arder. Nenhuma proteção tem de atuar. Basta que cabos mal encaminhados obriguem a fábrica a pagar, todos os dias, mais regulação, controlo e correção do processo. O custo aparece em horas de trabalho e, por isso, é facilmente confundido com o custo normal da produção.
A EN 60204-1 tem muito mais a ver com isto do que com o aspeto impecável das calhas dentro do quadro. Um erro elétrico pode alterar a forma de utilização da máquina. Se provocar acessos mais frequentes a uma zona perigosa, também põe em causa os pressupostos da avaliação de riscos. Regular uma vez por mês ou uma vez por hora é uma diferença séria, mesmo que a documentação chame «regulação» às duas situações.
Outras convicções de fábrica fazem uma carreira semelhante. A coluna luminosa deve ficar vermelha sempre que há uma paragem, porque a chefia quer ver onde não há produção. Não se usam dispositivos diferenciais residuais com conversores de frequência porque, há anos, um deles causou problemas. Ninguém pergunta qual é o esquema de ligação à terra, desde que a tensão esteja correta e o condutor de proteção tenha sido ligado.
Cada explicação encerra rapidamente uma conversa incómoda. Com o tempo, pedir a base técnica começa a ser interpretado como falta de experiência. Mas a experiência é necessária precisamente para distinguir uma solução comprovada de um erro que todos aprenderam a gerir. O número da norma na documentação não resolve a questão. É preciso olhar para a instalação, seguir o funcionamento da proteção e perceber o que as pessoas fazem realmente junto da máquina. Sobretudo aquilo que a máquina não deveria exigir-lhes.
A avaria mais difícil de eliminar é aquela que já foi promovida a regra interna da fábrica.
1. O tecnólogo regula o processo que a instalação estraga
O tecnólogo tem de estabilizar a segunda linha. Recebe indicações de temperatura, resultados da produção e autorização para alterar parâmetros. Com esses dados escolhe valores que permitem obter o produto correto. Se é necessário corrigir, corrige.
A causa, porém, está no encaminhamento dos cabos de medição junto aos cabos dos servomotores. As perturbações entram no circuito do termopar e aparecem no painel como temperatura. O mesmo produto exige regulações diferentes, não porque se tenha descoberto uma nova propriedade do material, mas porque uma das instalações foi pior executada.
O departamento de tecnologia recebeu um problema que o eletricista não deixou no esquema. Deixou-o na calha de cabos.
O regulador recebe uma medição errada e reage-lhe diligentemente
Um termopar fornece uma tensão reduzida, convertida em temperatura tendo em conta a característica do sensor e a temperatura da junção de referência. Se uma perturbação falsear a leitura, o regulador trabalha com informação errada. Pode aumentar ou reduzir o aquecimento de acordo com o seu algoritmo, embora a temperatura real não justifique essa reação.
O erro de medição começa, assim, a interferir com o próprio processo. A pessoa observa o resultado e tenta compensá-lo alterando os valores. Surge uma regulação manual adicional que não estava prevista quando se comprou a linha automática. A automação regula com base numa medição errada. O tecnólogo corrige a automação. Na lista do equipamento, estes dois sistemas de regulação aparecem separados: o primeiro é o controlador; o segundo é um posto de trabalho.
A existência de um número no ecrã prova pouco. Uma leitura perturbada pode permanecer dentro da gama de medição. Pode não surgir qualquer alarme de termopar interrompido nem outra mensagem que encaminhe claramente a manutenção para a instalação elétrica.
Também não basta dizer que os esquemas das duas linhas são iguais. O esquema mostra as ligações. A proximidade física dos cabos, a execução das blindagens e as ligações equipotenciais têm de ser verificadas na máquina.
«Mas a norma permite encaminhá-los juntos»
Permite. Sob determinadas condições. A EN 60204-1, na secção 13.1.3, admite que condutores de circuitos diferentes sejam instalados lado a lado, na mesma conduta e até em determinados conjuntos comuns. Impõe, contudo, uma condição essencial: essa disposição não pode prejudicar o funcionamento correto de nenhum dos circuitos.
Só depois entram os requisitos de separação ou isolamento para circuitos com tensões diferentes. O argumento «o isolamento suporta a tensão» responde, portanto, apenas a uma parte do problema. Os condutores não precisam de provocar um curto-circuito para a instalação estar mal executada. Basta que um circuito estrague a informação de que outro necessita.
Os requisitos de EMC abrangem tanto a emissão de perturbações como a imunidade do equipamento no ambiente de utilização previsível. O anexo informativo H desenvolve medidas de redução das perturbações: separar cabos de potência e de sinal, executar corretamente as blindagens e ligações equipotenciais e utilizar os cabos de acordo com as instruções dos fabricantes.
Comprar cabo blindado não resolve automaticamente a EMC. Ainda é necessário encaminhá-lo e terminá-lo corretamente. Uma blindagem mal ligada pode transformar uma boa especificação de compra numa instalação medíocre.
Primeiro confirmemos se a temperatura mudou realmente
Antes de corrigir novamente a receita, vale a pena questionar aquilo que vinha a ser tratado como certeza: a fiabilidade da indicação. No diagnóstico, compara-se a leitura com uma medição de referência independente, considerando o local de medição e os tempos de resposta dos sensores.
Em paralelo, regista-se o funcionamento dos acionamentos. Procura-se uma relação entre a atividade dos acionamentos e o desvio da indicação, não apenas entre essa atividade e a evolução da temperatura. O movimento da máquina pode, de facto, alterar o processo; é preciso separar o efeito real do efeito elétrico sobre a medição.
Verificam-se a configuração da entrada e todo o circuito de medição. Depois, através de um ensaio controlado, avalia-se o efeito da correção do trajeto, da blindagem ou das ligações. Não se altera simultaneamente a receita, porque isso impediria distinguir as consequências de cada mudança.
Se a causa for uma perturbação, a existência de um valor diferente para a segunda linha não demonstra que o processo foi corretamente desenvolvido. Demonstra apenas que se encontrou uma forma de produzir apesar do erro de medição. A próxima alteração das condições pode exigir nova intervenção.
A perturbação ganhou uma regulação tecnológica própria. Agora pode ser reproduzida juntamente com a receita.
2. Uma vez por mês na avaliação de riscos, uma vez por hora na produção
«A regulação foi considerada na avaliação de riscos.» Foi. Uma vez por mês. Entretanto, o operador executa-a de hora a hora porque, sem novas correções, o processo não mantém os parâmetros.
A tarefa conserva o mesmo nome e, por isso, a documentação parece coerente. Mas considere-se uma intervenção que exige acesso para lá de um resguardo, perto de elementos quentes do processo. Nesse caso, mais intervenções significam também maior exposição. Nem sequer é necessário permitir movimento com o resguardo aberto para o problema passar a ser de segurança.
A máquina deveria exigir uma regulação esporádica. Na realidade, exige que a produção seja salva regularmente. A avaliação de riscos continua a conceder-lhe as vantagens da primeira versão.
«É apenas um sensor de processo»
É uma tentativa comum de separar o problema de medição da segurança. O sensor não executa uma função de segurança, o relé funciona e a abertura do resguardo imobiliza os acionamentos. Logo, diz-se que a avaria afeta apenas a qualidade.
Mas é precisamente a medição errada que leva a pessoa à máquina com maior frequência do que a prevista. Um sensor convencional não precisa de comandar uma proteção para que o seu mau funcionamento altere as condições usadas na seleção dessa proteção.
A ISO 12100 relaciona a fiabilidade do equipamento com a redução do número de intervenções e da exposição aos perigos. Essa relação abrange expressamente funções que não são funções de segurança. Dividir os equipamentos, na documentação, entre «segurança» e «processo» não dispensa a análise dos efeitos reais do seu funcionamento.
Neste exemplo, o eletricista deixou um circuito de medição perturbado. O tecnólogo encontrou valores que permitem produzir. O operador acrescentou tarefas. Cada departamento tratou da sua parcela. Só a frequência da exposição ficou sem departamento responsável.
Se a justificação para a redução suficiente do risco assentava num acesso esporádico, essa justificação deixa de poder ser tratada como atual quando as intervenções passam a ocorrer de hora a hora. Não é apenas uma questão de mudar a data da revisão. Mudou a informação que sustentava a conclusão.
| Pressuposto usado na avaliação | Trabalho real no cenário analisado | O que deve ser reavaliado? |
|---|---|---|
| Regulação uma vez por mês. | Intervenção de hora a hora. | Frequência da exposição ao perigo. |
| Uma tarefa curta durante uma paragem planeada. | Correções e verificações repetidas até se obter o resultado correto. | Tempo total de exposição e condições de execução. |
| Resguardo fixo retirado esporadicamente. | Acesso necessário várias vezes durante o turno. | Adequação da proteção à necessidade real de acesso. |
Não se resolve isto com uma multiplicação automática. Uma regulação dez vezes mais frequente não produz, por si só, um aumento pré-definido do valor do risco, seja qual for o método de avaliação utilizado, incluindo o método Risk Score. É necessário observar o que a pessoa faz, a que está exposta, durante quanto tempo e com que proteção.
Manter a frequência antiga significa avaliar conscientemente condições diferentes das existentes no posto de trabalho.
O resguardo escolhido para a manutenção passou a servir a produção
Suponha-se que a necessidade rara de acesso justificou um resguardo fixo. Numa tarefa mensal, retirar, executar o trabalho e voltar a fixar o resguardo cabia na organização prevista. Agora, a mesma operação repete-se ao longo de todo o turno.
Mais cedo ou mais tarde, alguém deixa o resguardo por fixar. A fábrica identifica então um novo problema: comportamento inadequado dos trabalhadores. A calha de cabos permanece intocada. O operador recebe outra formação.
Isto não justifica trabalhar sem proteção. Mostra, contudo, onde foi interrompida a análise das causas. A ISO 12100 chama a atenção para a relação entre uma necessidade crescente de acesso e a tendência para não voltar a instalar resguardos fixos. Nessas condições, deve selecionar-se outra solução adequada, em vez de tratar o desaperto regular do resguardo como um problema meramente disciplinar.
Seria igualmente absurdo manter a medição defeituosa e concentrar toda a intervenção em tornar a abertura da máquina mais cómoda. Primeiro elimina-se a causa das intervenções desnecessárias. Depois seleciona-se a proteção adequada às tarefas que realmente continuarem a ser necessárias.
Enquanto a avaria existir, a avaliação e os meios de proteção têm de refletir as condições atuais, não a promessa de uma reparação futura. Depois de corrigir a instalação, não se verifica apenas a estabilidade da indicação. Confirma-se também se cessou a necessidade de correções permanentes.
Uma avaliação de riscos preparada para uma regulação esporádica não serve de álibi a uma máquina que a exige durante todo o turno.
3. Vermelho, porque a chefia não gosta de paragens
«Se a máquina estiver parada, quero a luz vermelha. Assim vejo imediatamente onde não há produção.» O técnico de automação recebeu um requisito inequívoco. Basta relacionar o sinal com a ausência de funcionamento automático.
A máquina terminou o lote: vermelho. Aguarda matéria-prima: vermelho. Existe um estado perigoso: também vermelho. A coluna luminosa comunica perfeitamente o desagrado da chefia. A informação ao operador ficou bastante pior.
Uma cor, instruções contraditórias
Quando falta material, a pessoa deve aproximar-se e executar a tarefa prevista. Perante determinado estado perigoso, pode ser necessário agir imediatamente para obter proteção ou, pelo contrário, manter-se afastada. Se ambos os casos forem indicados da mesma maneira, a cor deixa de ajudar a reconhecer a resposta necessária.
Esse é o problema. Não é o facto de alguém ter ofendido uma tabela de cores.
A EN 60204-1 recomenda a codificação dos indicadores segundo o estado da máquina. Na tabela 4, o vermelho está associado a uma emergência relacionada com perigo; o amarelo, a uma situação anormal; e o azul, à necessidade de ação do operador. O verde indica uma condição normal e o branco transmite informação neutra.
«Não está a produzir» não é uma categoria de perigo. Do mesmo modo, «está a produzir» não confirma que a máquina esteja segura. O fim de um lote, o pedido de reposição de material e um aviso de perigo devem ser distinguidos. Não podem ser reduzidos à condição comum «o automático está parado».
«Os operadores sabem o que o vermelho significa.» Neste caso, sabem sobretudo que a cor, sozinha, não decide nada. Têm de verificar se devem abastecer a máquina, retirar produto ou não se aproximar. Criou-se um sinal visualmente forte e retirou-se-lhe um significado distintivo.
A chefia tem todo o direito de acompanhar as paragens. Não precisa, para isso, de ocupar toda a sinalização de aviso. A informação de produção pode ser separada e identificada. O código de cores recomendado permite representar diferentes estados e necessidades de intervenção. Exige apenas mais trabalho do que associar uma lâmpada a um único bit do programa.
STOP vermelho ao lado de E-STOP vermelho
No painel de comando surge o problema inverso. A pessoa deixa de receber um sinal e passa a ter de escolher o dispositivo certo. Um STOP vermelho está colocado ao lado de um E-STOP vermelho.
O autor do painel conhece a função de cada um. Durante a receção, pressiona o botão correto e confirma o funcionamento. O projetista demonstrou que não confundiu os botões que ele próprio escolheu e posicionou. É difícil imaginar condições de ensaio mais favoráveis.
A norma admite a cor vermelha para um STOP normal, mas recomenda que não seja utilizada perto de um dispositivo de comando destinado a ações de emergência. Para a paragem normal, a cor preferida é o preto; também são recomendados o cinzento e o branco. Já o elemento vermelho sobre fundo amarelo está reservado às ações de emergência.
Não se trata de declarar errado qualquer STOP vermelho. É necessário avaliar se, naquele painel concreto, se facilitou o reconhecimento do dispositivo correto ou se a dificuldade foi desculpada com o hábito da equipa. Cor, forma, fundo, marcação e localização contam em conjunto. Uma diferença clara no esquema pode ser irrelevante no painel.
Se o STOP normal permitir concluir uma fase do processo, pressioná-lo em vez do E-STOP desencadeará exatamente essa resposta. O PLC não adivinha que a pessoa pretendia usar o botão ao lado. A função de parada de emergência tem de ser reconhecível no momento em que não há tempo para interpretar ambiguidades.
Verificamos o significado, não apenas se a luz acende
Na receção da sinalização, devem ser percorridos estados concretos: fim do lote, espera por intervenção, anomalia do processo e perigo. Para cada um, determina-se o que a pessoa vê, como reconhece a prioridade e que ação se espera dela.
Quando coexistem vários estados, verifica-se se a informação de produção não encobre o aviso. Com os botões, faz-se o equivalente: avaliam-se a sua identificação e acessibilidade desde o posto de operação e, depois, a resposta real da máquina.
A instrução deve explicar uma interface coerente, não reconciliar contradições que ficaram no projeto. Um ensaio das saídas do PLC confirma que acende a lâmpada certa. Não confirma que essa lâmpada transmite a informação certa.
A chefia pode definir prioridades de produção. O significado de um sinal de perigo não deve ser negociado juntamente com o plano do turno.
4. TT: há ligação à terra. Mas o que desliga a alimentação?
«Condutor de proteção ligado. Continuidade verificada. Proteção escolhida para a carga.» Parece completo, até se perguntar em que esquema de ligação à terra a máquina funciona e o que acontecerá após um defeito de isolamento.
Considere-se uma máquina ligada a TT, cuja proteção em condições de defeito depende apenas de um dispositivo de proteção contra sobreintensidades. A seleção foi copiada de projetos anteriores. As condições de desligamento no novo local não foram verificadas porque a tensão está correta e existe ligação à terra.
O fornecedor copiou a proteção. Não conseguiu copiar as condições necessárias para ela atuar.
A corrente não desaparece no elétrodo de terra
Num sistema TN, a corrente de defeito dispõe de um caminho metálico de retorno através dos condutores de proteção até ao ponto do sistema de alimentação ligado à terra. Num sistema TT, as partes condutoras acessíveis são ligadas a um elétrodo de terra independente do elétrodo da fonte.
O circuito da corrente de defeito inclui o percurso pela terra e os elétrodos da instalação e da fonte. Após uma falha de isolamento, a corrente passa do condutor de fase para a massa, segue pela ligação de proteção e pelo sistema de terra e regressa à fonte. O seu valor depende da impedância de todo este circuito, não apenas da resistência do condutor entre a massa e o terminal PE.
A ligação à terra não é um ralo para onde se despeja a corrente antes de terminar o cálculo. Por isso, uma continuidade excelente das ligações de proteção pode coexistir com uma corrente insuficiente para fazer atuar a proteção contra sobreintensidades.
Não existe contradição. Verificou-se uma ligação, mas ainda não se demonstrou a eficácia da proteção escolhida.
Dez amperes não convencem uma proteção de 16 A
Considere-se um exemplo simples: tensão em relação à terra de 230 V, impedância total do circuito de defeito à terra de 23 Ω e dispositivo de proteção contra sobreintensidades de 16 A. Admite-se um defeito de impedância desprezável entre a fase e a massa e ignora-se a corrente normal da carga.
A corrente provocada pelo defeito será aproximadamente:
I = U0 / Zs = 230 V / 23 Ω = 10 A.
É inferior à corrente nominal do dispositivo. Não há fundamento para esperar que o circuito seja desligado por sobreintensidade. Entretanto, a massa pode manter uma tensão perigosa em relação à terra.
A proteção não está avariada. Dez amperes perante uma corrente nominal de dezasseis não são motivo para ela atuar. Cabia ao projetista reconhecer previamente esta situação.
A condição indicada no anexo A.2 é:
Zs × Ia ≤ U0.
O valor decisivo é Ia: a corrente que provoca a atuação do dispositivo no tempo exigido. Não é simplesmente a corrente nominal inscrita no invólucro. Confundir estes valores produz cálculos muito cómodos. O dispositivo, porém, atuará segundo a sua característica, não segundo o erro do cálculo.
O RCD é a solução principal. A exceção tem de ser demonstrada
A EN 60204-1 indica o dispositivo diferencial residual como solução principal para a proteção em condições de defeito num sistema TT, em conjunto com a proteção adequada contra sobreintensidades. Também admite apenas um dispositivo contra sobreintensidades, mas exige que se garanta permanentemente uma impedância do circuito de defeito suficientemente baixa e fiável.
«A norma permite TT sem diferencial.» Permite. O cálculo anterior mostra precisamente por que motivo essa possibilidade não serve neste exemplo. Encontrar uma exceção no texto não altera os parâmetros da instalação.
Quando se utiliza um RCD, verifica-se, entre outras condições:
Ra × IΔn ≤ 50 V,
em que Ra inclui a resistência do elétrodo de terra e do condutor de proteção, e IΔn é a corrente diferencial residual nominal de atuação. Também é necessário assegurar o tempo de desligamento exigido.
Para o circuito terminal exemplificativo de 16 A, com 230 V AC em relação à terra, a tabela A.2 indica 0,2 s. O cumprimento da desigualdade, por si só, não confirma esse tempo. Do mesmo modo, a simples instalação de um RCD não demonstra que o tipo, a corrente de atuação e as ligações estejam corretos.
O RCD não tem necessariamente de estar dentro do quadro da máquina. A proteção pode ser assegurada por um dispositivo adequado na instalação de alimentação. É preciso identificar qual aparelho protege o circuito e em que condições, em vez de tratar o limite do fornecimento como limite da análise.
O fabricante deve especificar as condições de ligação. O anexo A.2 prevê a utilização dos dados da futura instalação ou, no caso de máquinas produzidas em série, a definição dos parâmetros admissíveis. A resistência máxima de terra ou a impedância máxima do circuito considerada no projeto deve constar das instruções de instalação.
«Ligar segundo as boas práticas» não transmite esse dado. Apenas entrega ao próximo eletricista a tarefa de adivinhar o que o anterior considerou suficiente.
A massa pode estar perfeitamente ligada ao PE e a proteção continuar ineficaz. O que protege a pessoa é o circuito corretamente concebido, não a mera presença de um condutor verde e amarelo.
5. Rede IT sem supervisão: a produção não pode parar
«É IT. No primeiro defeito à terra não desliga.» A vantagem do sistema foi memorizada. Falta responder à pergunta seguinte: como saberá a equipa que esse primeiro defeito já ocorreu?
Considere-se uma instalação onde se aproveitou a continuidade de serviço, mas não se instalou supervisão capaz de detetar e sinalizar uma falha de isolamento. A máquina produz, as proteções não desligam e a manutenção não recebe qualquer aviso.
Escolheu-se um sistema em que a avaria não precisa de provocar uma paragem. Depois eliminou-se a forma de a detetar. É uma maneira eficaz de melhorar as estatísticas de avarias comunicadas.
O que está realmente isolado?
Num sistema IT, as partes ativas estão isoladas da terra ou o ponto da fonte está ligado à terra por uma impedância suficientemente elevada. Isto não significa deixar as massas metálicas sem condutor de proteção nem ligação à terra.
No primeiro defeito de isolamento, a corrente à terra é limitada pelas características do sistema, incluindo a impedância de isolamento, as capacidades em relação à terra e uma eventual impedância ligada à fonte. Se estiverem satisfeitas as condições de proteção, não é necessário desligar imediatamente a alimentação.
Isso permite localizar e eliminar o defeito sem interromper abruptamente o processo. Não permite transformar um isolamento danificado num novo estado normal da instalação.
É precisamente por isso que se necessita de supervisão. Um dispositivo de monitorização de isolamento, IMD, acompanha a resistência de isolamento do sistema em relação à terra e sinaliza a sua descida abaixo do valor definido.
Uma medição feita na receção não substitui esta função durante a exploração. O relatório demonstra o que foi medido no dia do ensaio. Não acompanha o turno da noite.
Silenciar o alarme não melhora o isolamento
A EN 60204-1, na secção 6.3.3, remete os sistemas IT para os requisitos aplicáveis da IEC 60364-4-41. Exige também a manutenção de sinais acústicos e óticos enquanto persistir o defeito de isolamento. O sinal acústico pode ser silenciado manualmente depois de ter sido emitido.
A distinção é importante. Pode confirmar-se que a informação foi recebida e desligar o som. Não se pode concluir daí que a causa desapareceu.
Imagine-se que existe um IMD, mas a equipa aprendeu a reconhecer e apagar a mensagem porque «a máquina continua a trabalhar normalmente». O alarme regressa e acaba por ser visto como um incómodo provocado pelo próprio dispositivo.
O isolamento deteriorou-se. A reclamação foi dirigida ao aparelho que reparou nisso.
Se, depois do reconhecimento, o ecrã regressa ao estado normal apesar de o defeito persistir e não existir outra indicação ótica mantida, a informação foi removida da interface, não da instalação. O turno seguinte pode já não saber que trabalha com uma avaria por resolver.
O segundo defeito não tem de ocorrer na mesma máquina
O primeiro defeito pode ligar a fase L1 à massa de um equipamento. O seguinte pode ligar a fase L2 à massa de outro equipamento alimentado pelo mesmo sistema IT. Com ligações de proteção comuns, surge um caminho de curto-circuito entre fases através dessas ligações. Nessa situação tem de ocorrer o desligamento automático da alimentação exigido.
A frase «o primeiro defeito não desliga» já não descreve a situação. A supervisão do isolamento e a proteção destinada a desligar perante um defeito subsequente executam tarefas diferentes.
O IMD não substitui as proteções de desligamento. Esperar que uma proteção atue no segundo defeito também não substitui a deteção e o tratamento do primeiro.
Deixar por resolver um defeito conhecido elimina a vantagem que justificou o sistema. Em vez de usar a informação para organizar a reparação, a fábrica espera que a próxima avaria escolha a data da paragem.
«A supervisão está no quadro geral.» Ótimo. Até onde chega o alarme?
A ausência de um IMD no quadro da máquina não demonstra falta de supervisão. Um dispositivo instalado a montante pode abranger o sistema de alimentação relevante. Mas é necessário determinar o alcance real, não apenas encontrar um aparelho com o nome certo.
Que circuitos supervisiona? Abrange esta máquina em todas as configurações previstas de alimentação? Onde aparece o alarme? Quem tem a responsabilidade de atuar?
Na receção, verificam-se os valores configurados e o funcionamento do circuito de sinalização de acordo com as instruções dos dispositivos. Confirma-se que a informação chega a um local onde será notada, permanece disponível durante o defeito e desencadeia uma resposta definida.
Um díodo aceso dentro de um quadro fechado pode confirmar o funcionamento do aparelho. Pouco ajuda quem não sabe que ele existe.
O fornecedor assumiu que a fábrica trataria o alarme. A fábrica assumiu que o fornecedor tinha tratado de tudo. O isolamento não participou nessa reunião.
6. «Com conversores de frequência não usamos diferenciais»
O RCD atua quando os acionamentos são ligados. Depois de algumas paragens, alguém o remove. A máquina volta a funcionar, a ocorrência é encerrada e a atuação não explicada transforma-se numa regra para projetos futuros: com conversores de frequência não se instalam diferenciais.
Produziu-se uma conclusão sobre todos os conversores sem sequer se determinar por que motivo aquele circuito era desligado.
A afirmação «este RCD não é adequado ao circuito» pode estar correta. A conclusão «logo, o circuito já não precisa da proteção que ele deveria assegurar» é criação própria.
A corrente de fuga não espera por uma falha de isolamento
Um acionamento em funcionamento pode provocar correntes à terra mesmo sem defeito. Influenciam-nas a construção do conversor, os filtros EMC, as capacidades dos cabos do motor e a frequência de comutação. Acrescem os fenómenos transitórios durante a energização.
O RCD reage à corrente diferencial de acordo com as suas características. Não recebe do PLC uma mensagem a explicar que se trata apenas do carregamento de capacidades e que não deve interromper a produção.
Uma atuação pode resultar da incompatibilidade entre o dispositivo e equipamento que está a funcionar corretamente. Também pode indicar uma avaria real. A presença de um conversor no esquema não distingue estas duas situações.
É necessário verificar as correntes durante a ligação e o funcionamento, a sua forma e a configuração do circuito. O mesmo acionamento com um cabo de motor curto ou longo pode impor condições diferentes. Vários acionamentos atrás do mesmo RCD exigem a avaliação da corrente diferencial total, não a repetição de uma escolha feita para uma única unidade.
As correntes à terra não desaparecem por cada acionamento cumprir isoladamente um determinado pressuposto. A proteção comum trabalha com o conjunto completo.
Este é um problema de projeto. Remover o dispositivo elimina a atuação, não elimina a corrente.
A ausência de atuação pode ser uma notícia pior
Com eletrónica de potência, também é necessário analisar a forma da corrente diferencial em condições de defeito. Pode existir uma componente contínua para a qual o RCD instalado não está preparado.
Uma componente DC suficientemente elevada pode degradar a capacidade de deteção de um dispositivo do tipo AC ou A. Em determinadas condições ocorre o chamado cegamento do RCD: o aparelho permanece ligado, embora já não garanta a resposta esperada à corrente de defeito.
Este cenário apresenta excelentes resultados de produção. A proteção deixou de incomodar porque deixou de proteger corretamente.
O aparelho nem sequer precisa de estar avariado. Basta utilizá-lo fora das condições para as quais assegura as características exigidas.
A EN 60204-1, na secção 7.7, refere que pode ser necessário um RCD do tipo B quando possam ocorrer correntes de defeito com componentes DC. O dimensionamento tem depois de considerar a configuração real e as instruções do fabricante do conversor de frequência.
Encomendar simplesmente «um diferencial para o conversor» não resolve o problema. O tipo define a capacidade de resposta a determinadas formas de corrente. Continuam por definir a corrente diferencial residual nominal, o comportamento em frequência, o tempo de atuação e as condições de aplicação.
Também é necessário olhar para montante do quadro da máquina. Uma componente contínua que atravesse um RCD do tipo B abaixo do seu limiar pode afetar um dispositivo comum situado mais acima na instalação. Instalar o aparelho correto junto ao acionamento não confirma automaticamente a correção de todo o sistema de proteção.
Se a análise terminar nos terminais do fornecimento, o problema pode ficar no quadro do cliente. A frase «no nosso quadro está instalado um tipo B» não o resolve.
«Aumento o limiar» também exige cálculos
Aumentar a corrente diferencial residual nominal ou introduzir um atraso pode reduzir atuações indesejadas. A alteração tem, no entanto, de continuar a cumprir as condições da proteção para a qual o RCD foi instalado.
No sistema TT já descrito, alterar a corrente de atuação influencia a condição relacionada com a resistência de terra. Alterar o atraso influencia o tempo de desligamento. Estes parâmetros não podem ser ajustados apenas até a máquina deixar de parar.
Um limiar selecionado pelo método «ainda atua, portanto aumenta mais» está perfeitamente alinhado com a paciência da chefia. A compatibilidade com a proteção contra choques elétricos continua por demonstrar.
A solução correta pode exigir outro tipo de RCD, divisão dos circuitos, limitação das correntes de fuga através de medidas autorizadas pelo fabricante ou outra conceção da proteção. Desligar o condutor de proteção não é uma conceção. Desligar arbitrariamente o filtro EMC também pode apenas transferir o problema: da proteção que atua para medições e comandos perturbados.
Nem todas as máquinas com conversores de frequência têm de utilizar RCD. Se as medidas de proteção necessárias forem eficazmente asseguradas por outro meio, a ausência do dispositivo pode ser justificada. A justificação é a eficácia demonstrada da proteção, não a mera presença de um conversor.
Antes de aprovar a solução, é necessário conhecer o sistema de alimentação, a função da proteção, as correntes previsíveis em serviço e em defeito, as instruções dos fabricantes e a coordenação entre aparelhos.
Um RCD removido deixa realmente de causar paragens. É difícil apresentar esse facto como resultado positivo de um ensaio da proteção contra choques elétricos.
7. Foi a máquina que passou no ensaio ou a equipa que salvou o seu funcionamento?
Durante a receção da linha, o tecnólogo corrige valores, o técnico de automação altera a configuração e o operador repete o ciclo. Depois de várias tentativas, o produto cumpre os requisitos. O relatório fica com resultado positivo.
Todas as intervenções foram tratadas como assistência ao arranque. Não se determinou quais eliminaram a causa e quais terão de ser repetidas durante a produção.
A máquina recebeu o mérito do resultado alcançado pelo esforço conjunto de vários especialistas. A instrução prevê apenas um operador.
As correções durante o ensaio também são resultados
O comissionamento exige ajustes. O problema não está em alterar parâmetros antes da receção, mas em aceitar a máquina sem demonstrar que, após esses trabalhos, funciona segundo os pressupostos do projeto.
Se, durante o ensaio de aceitação, ainda forem necessárias correções não previstas, devem ser registadas. O que foi alterado? Porquê? Depois da alteração, repetiu-se toda a sequência relevante ou apenas se esperou pela primeira peça boa?
A primeira peça conforme consegue terminar uma discussão mais depressa do que a eliminação da causa das peças anteriores. Sobretudo quando o transporte já está marcado.
No caso de uma medição perturbada, não interessa apenas a qualidade obtida. É preciso demonstrar a fiabilidade da indicação nas condições de funcionamento previstas e confirmar que cessaram as intervenções adicionais.
Sem isso, pode entregar-se ao cliente uma peça correta produzida no ensaio e um processo defeituoso para gerir todos os dias.
As tarefas previstas do operador não constituem uma falha de automação. Mas as ações improvisadas para salvar o funcionamento não devem desaparecer da avaliação só porque são executadas com competência. Isto é especialmente importante quando implicam acesso mais frequente a um perigo do que o considerado no projeto da proteção.
Durante a receção, observe-se também a pessoa. Não para verificar se merece usar a máquina, mas para compreender o que a máquina realmente lhe exige.
O instrumento de medição não faz o resto da receção por nós
«As medições elétricas deram resultado positivo.» Muito bem. Que requisitos foram verificados por essas medições?
O capítulo 18 da EN 60204-1 remete para o âmbito de verificação definido pela norma específica do produto. Na ausência dessa norma, exige a verificação da conformidade da execução com a documentação, da continuidade do circuito de proteção, das condições de desligamento automático da alimentação quando essa for a medida adotada em condições de defeito e dos ensaios funcionais.
A medição da resistência de isolamento e o ensaio de tensão aparecem separadamente. Não substituem as restantes verificações. Nem todos os pontos têm condições de aplicação idênticas. O âmbito depende do equipamento e dos requisitos relevantes.
O seletor do instrumento disponível não é o índice da norma.
Um bom resultado de continuidade não explica se a proteção desligará o circuito correto no tempo exigido. Também não confirma que o alarme de isolamento chegará à equipa nem que a indicação de temperatura permanecerá fiável durante o funcionamento dos acionamentos.
São perguntas diferentes e exigem verificações diferentes.
A conformidade com o esquema também tem limites. Se a montagem reproduzir fielmente um erro de projeto, a comparação entre documentação e máquina pode produzir um resultado excelente. Confirmou-se a execução cuidadosa do erro, não a sua aceitabilidade.
| O que foi considerado resolvido? | O que ainda precisa de ser demonstrado? | Onde procurar a confirmação? |
|---|---|---|
| «A segunda linha utiliza valores diferentes.» | A medição é fiável e a causa das correções foi eliminada? | Comparação com medição de referência, registo durante o funcionamento dos acionamentos e novo ensaio após a correção. |
| «A regulação consta da avaliação de riscos.» | A avaliação corresponde à frequência, duração e condições reais? | Observação das tarefas, registo das intervenções e revisão dos pressupostos de seleção da proteção. |
| «As luzes acendem e os botões funcionam.» | A pessoa reconhece o estado, a ação necessária e o dispositivo correto? | Descrição da sinalização, avaliação do painel e ensaio de estados e respostas concretos. |
| «Em TT ligámos o PE.» | O que garante o desligamento eficaz após um defeito? | Dados da alimentação, seleção dos dispositivos e verificação das condições de proteção, incluindo a instalação a montante. |
| «O IT permite continuar a produzir.» | O defeito será detetado, sinalizado e tratado? | Alcance da supervisão, valores configurados, ensaio dos alarmes e resposta definida. |
| «Com os conversores já não desliga.» | A solução continua a assegurar a proteção exigida? | Justificação do dimensionamento, instruções dos fabricantes, coordenação das proteções e resultados dos ensaios aplicáveis. |
Depois de uma correção, é preciso saber a que configuração pertencem os resultados anteriores
Durante o comissionamento alterou-se o valor de uma proteção, substituiu-se um aparelho ou mudaram-se cabos de trajeto. A documentação e os resultados das verificações têm de corresponder à execução entregue ao utilizador.
A norma exige que se considere a necessidade de repetir verificações e ensaios após alterações. O âmbito depende do efeito da modificação. Não é necessário repetir tudo sem pensar, mas também não se pode fingir que um resultado anterior abrange uma alteração apenas porque ambos ocorreram no mesmo dia.
A data do relatório está correta. O dispositivo a que o ensaio dizia respeito já saiu do quadro.
O registo deve identificar a configuração ensaiada, os valores relevantes, as condições do ensaio e o critério de aceitação. Os desvios e a forma como foram resolvidos também devem ser registados. Assim é possível saber o que foi efetivamente demonstrado sem reconstruir o comissionamento pela memória dos participantes.
Uma correção que elimina a causa é um resultado de engenharia. Uma correção que terá de ser repetida de hora a hora é uma nova exigência imposta ao operador. A receção deve distingui-las antes de ambas serem escondidas sob a expressão «máquina afinada».
A documentação e os resultados das verificações não são um arquivo decorativo. Devem permitir relacionar as conclusões com a máquina que realmente ficou em serviço.
Se, durante o ensaio, várias pessoas corrigiram continuamente o funcionamento da máquina, essa participação também faz parte do resultado. Não pode ser subtraída no momento de assinar o relatório.
8. O hábito da fábrica não corrige o projeto
Uma instalação mal executada pode ser paga na compra da máquina e continuar a ser paga durante anos: no tempo dos operadores, no trabalho dos tecnólogos, em desperdício e em paragens.
Com o tempo, esta fatura integra-se tão bem nos custos de produção que perguntar pela causa começa a parecer uma complicação desnecessária. Para corrigir o projeto, nunca há tempo para uma paragem. Para corrigir diariamente as consequências, o tempo aparece sempre.
O conhecimento da equipa experiente deve regressar ao projetista. São os trabalhadores que conseguem indicar quando a medição deixa de ser fiável, o que o arranque realmente exige e que tarefas se repetem apesar de terem sido previstas como esporádicas.
A capacidade de adaptação das pessoas é uma fonte valiosa de informação sobre a máquina. Nos casos descritos, foi usada sobretudo para adiar a reparação.
Aplicar a EN 60204-1 exige confrontar o projeto com o equipamento real e com as condições em que ele funciona. É necessário demonstrar a eficácia da proteção, a adequação das soluções e a correspondência entre os pressupostos e a utilização efetiva da máquina.
Um hábito antigo não fornece os cálculos nem os resultados de verificação em falta. Perante o próximo «esta máquina é mesmo assim», peça-se a explicação da causa. Se a resposta for o nome do único operador capaz de manter a produção, ficámos a saber algo sobre a competência dessa pessoa. O projeto continua sem defesa.
Os trabalhadores podem aprender a contornar um defeito da máquina. Isso não transforma o defeito num requisito tecnológico.
Fontes e notas
As secções da PN-EN 60204-1 citadas neste artigo referem-se à edição PN-EN 60204-1:2018-12, a adoção polaca da EN 60204-1:2018. A versão europeia adota a IEC 60204-1:2016 com modificações; estas referências não significam que todas as disposições tenham redação idêntica.
As ligações externas conduzem às páginas da ISO, IEC e Comissão Europeia. As páginas de catálogo identificam as publicações e o respetivo âmbito, mas não substituem o texto integral das normas.
[1] Equipamento elétrico e segurança da máquina. PN-EN 60204-1:2018-12, secções 4.1, 4.2.1 e 4.4.1: relação com a avaliação de riscos, consequências do funcionamento incorreto do equipamento e condições de seleção e aplicação. Publicação internacional de base: IEC 60204-1:2016 — catálogo da IEC. As referências pormenorizadas dizem respeito à edição PN-EN indicada, incluindo as modificações europeias.
[2] Encaminhamento de cabos, EMC e termopares. PN-EN 60204-1:2018-12, secções 4.4.2 e 13.1.3 e anexo informativo H, secções H.2 a H.4: emissão, imunidade, encaminhamento conjunto de circuitos, separação e ligações destinadas a reduzir perturbações. Referência para termopares: IEC 60584-1:2013 — Termopares — Parte 1: especificações e tolerâncias da força eletromotriz. A norma define funções de referência e tolerâncias; o diagnóstico proposto é uma explicação de engenharia, não um relatório de ensaio das duas linhas descritas.
[3] Intervenções frequentes, fiabilidade e proteção. ISO 12100:2010, secções 5.5.2.3.1 e 5.5.3.2: necessidade, frequência, duração e natureza da exposição durante tarefas; secção 6.2.13: redução da necessidade de intervenção através da fiabilidade, incluindo funções que não são de segurança; secção 6.3.2.1: seleção de resguardos segundo a necessidade de acesso. A perda de validade de uma justificação resulta da comparação entre pressupostos e trabalho real; não significa a anulação automática de toda a avaliação nem uma ordem automática para aumentar o nível de desempenho segundo ISO 13849 ou IEC 62061.
[4] Cores e significado da interface. PN-EN 60204-1:2018-12, secções 10.2.1 e 10.3.1 a 10.3.3 e tabela 4. Na edição analisada, a codificação dos indicadores e a recomendação de evitar um STOP vermelho normal perto de um dispositivo de emergência têm caráter de recomendação. O STOP vermelho normal é permitido; a combinação de elemento vermelho e fundo amarelo está reservada às ações de emergência.
[5] Proteção em TT e exemplo de cálculo. PN-EN 60204-1:2018-12, secção 6.3.3, anexo A, secções A.2.1 a A.2.3, tabela A.2 e secção 17.2. Incluem-se a coordenação da proteção, a utilização condicionada de dispositivos contra sobreintensidades, as relações Zs × Ia ≤ U0 e Ra × IΔn ≤ 50 V, o tempo de desligamento e os dados de instalação. Os valores 230 V, 23 Ω e 16 A são exemplificativos. O resultado de 10 A pressupõe corrente normal da carga ignorada e impedância desprezável no ponto do defeito. O tempo de 0,2 s refere-se ao circuito terminal específico considerado, não a todos os circuitos TT.
[6] Supervisão do isolamento em IT. PN-EN 60204-1:2018-12, secção 6.3.3: remissão para a IEC 60364-4-41, sinalização acústica e ótica, possibilidade de silenciar manualmente o som e disposições relativas à monitorização e localização de defeitos. Referência de instalações: IEC 60364-4-41:2005+AMD1:2017 — Proteção contra choques elétricos. Os requisitos para dispositivos de supervisão permanente são tratados na IEC 61557-8:2014 — Dispositivos de monitorização de isolamento para sistemas IT.
[7] RCD com conversores de frequência. PN-EN 60204-1:2018-12, secções 6.3.3, 7.7, 4.2.1 e 18.2.1: proteção em condições de defeito, possibilidade de ser necessário o tipo B perante componentes DC, instruções dos fornecedores e verificação dos RCD. Referências complementares: IEC 62423:2009, para RCD dos tipos F e B dentro do âmbito dessa norma, e IEC 60364-5-53:2019+AMD1:2020+AMD2:2024, sobre seleção e instalação de aparelhagem de proteção, seccionamento, manobra, comando e monitorização. A explicação sobre correntes de fuga, componentes DC e coordenação não substitui o dimensionamento para um acionamento concreto.
[8] Verificação e alterações durante o comissionamento. PN-EN 60204-1:2018-12, secções 18.1, 18.2.1 a 18.2.3, 18.6 e 18.7: âmbito da verificação, separação entre ensaios, registo dos resultados, ensaios funcionais e consideração de novos ensaios depois de modificações. A secção 17.2 abrange dados de instalação, valores configurados, manutenção e verificação das funções após reparações ou alterações.
[9] Edição de base, alterações posteriores e harmonização. A IEC publicou a alteração IEC 60204-1:2016/AMD1:2021. As secções citadas foram verificadas na edição de base PN-EN 60204-1:2018-12. Este artigo não constitui uma revisão das alterações IEC posteriores nem das respetivas adoções europeias. Para cada projeto devem ser confirmadas a edição aplicável, as alterações, a eventual norma de tipo C e os requisitos da instalação. A Comissão Europeia — máquinas e normas harmonizadas disponibiliza as decisões e listas oficiais; o artigo não determina o estado atual de harmonização de cada edição.
[10] Natureza dos exemplos e verificações propostas. Os cenários organizacionais, as variantes de acesso, os dados de cálculo e as tabelas explicam relações técnicas. Não são relatórios de instalações concretas nem procedimentos completos de receção. O diagnóstico da primeira parte é uma forma proposta de encontrar a causa, não uma sequência obrigatória copiada da norma. A tabela da parte 7 também não constitui um plano completo de verificação: serve para detetar situações em que uma afirmação verdadeira sobre a máquina foi usada para justificar uma conclusão muito mais ampla.