«Em caso de perigo, o operador carrega no botão de emergência tipo cogumelo.» É uma forma conveniente de encerrar a conversa sobre proteção. O botão existe, o circuito responde e, durante o ensaio, a máquina parou. Falta apenas assumir que alguém verá o perigo, reagirá a tempo e fará aquilo que o projeto e a proteção do posto não garantiram.
O projetista não pode contabilizar os reflexos do operador como compensação por medidas de proteção em falta. Uma função de segurança preventiva deve impedir um acontecimento perigoso definido. A função de parada de emergência permite intervir perante uma situação de emergência existente ou iminente, contrariar a sua evolução e limitar os danos. Pode evitar uma lesão. Isso não a transforma numa alternativa à proteção que deveria impedir o acontecimento perigoso.
É a diferença entre fornecer proteção e esperar por uma intervenção bem-sucedida. Na avaliação de riscos, essa diferença não pode desaparecer sob a frase genérica «foi aplicado um sistema de segurança». A ISO 13850 trata a parada de emergência como uma medida de proteção complementar. Não porque seja pouco importante, mas porque deve complementar as restantes medidas — não justificar a sua ausência.
Depois surge outro clássico: «Ao carregar, cortamos tudo.» Parece firme. Mas uma máquina imobilizada não é necessariamente uma máquina segura. Uma pessoa pode continuar presa, esmagada ou sem possibilidade de sair. Desligar o equipamento que a protegia pode piorar a situação. A ausência de movimento, por si só, não prova que o perigo ficou controlado.
Por isso, a resposta de emergência não pode ser reduzida ao corte do maior número possível de saídas. É preciso definir que ações perigosas devem cessar, em que sequência e que funções têm de continuar disponíveis para proteger ou libertar pessoas. O operador deve poder iniciar a reação com uma única ação, sem ter de adivinhar se carregar no botão tornará tudo pior.
Se o ensaio de receção se limita a confirmar que o acionamento parou, confirma-se uma parada. Continua por responder a pergunta principal: a máquina executou a ação correta perante a situação de emergência considerada? A anotação «E-STOP funciona» não explica o que a proteção preventiva evita nem o que acontecerá à pessoa depois de carregar.
Conseguir parar uma máquina não prova que foi assegurada a proteção adequada. E parar o movimento nem sempre acaba com o perigo.
1. Prevenção e reação de emergência não são duas formas de fazer o mesmo
«A cortina de luz para a máquina. O botão de emergência também. Para quê complicar?» Se a eficácia dependesse apenas de o motor acabar parado, a pergunta seria razoável. Bastaria comparar esquemas, encontrar o mesmo contactor e concluir que a diferença estava sobretudo no preço.
Ficou de fora um pormenor: quando para a máquina e o que pode acontecer à pessoa até esse momento. Uma função preventiva procura impedir um acontecimento perigoso. A parada de emergência procura contrariar uma situação de emergência já existente ou iminente. Ambas podem parar movimento. Não resolvem, por isso, o mesmo problema.
A cortina não serve para avisar que alguém já chegou à ferramenta
Considere um posto onde uma pessoa consegue alcançar uma ferramenta em movimento. Admitamos que o acesso pode ser protegido por uma cortina de luz: o movimento perigoso pode ser interrompido durante o ciclo e não é possível chegar à ferramenta sem atravessar o campo de deteção.
A cortina deteta a mão e inicia a parada. A sua distância à ferramenta considera o tempo de resposta de todo o sistema e a distância de parada da máquina. O movimento perigoso deve cessar antes de a pessoa conseguir alcançá-lo. Esse é o objetivo da função. Não é apenas comutar saídas nem mostrar «safety stop» no painel.
Se a mão chegar à ferramenta ainda em movimento, não existe proteção contra esse contacto — mesmo que a cortina tenha detetado corretamente, o controlador tenha recebido o sinal e o acionamento tenha cumprido a ordem. Todos os componentes podem funcionar de acordo com o projeto. O erro pode estar precisamente no projeto.
Testar a cortina não é apenas interromper os feixes. É demonstrar que a deteção e a parada impedem efetivamente o acontecimento contra o qual deveriam proteger.
Na parada de emergência, uma pessoa tem de iniciar a intervenção
O dispositivo de parada de emergência não assume a deteção automática do acesso. Permite que uma pessoa desencadeie a reação prevista perante uma situação que exige intervenção imediata. Não é necessário que já tenha ocorrido uma lesão. A ISO 13850 inclui também situações iminentes: alguém pode detetar uma evolução perigosa e carregar antes de surgir dano. Pode igualmente intervir quando a ação perigosa já está em curso.
No primeiro caso, a proteção é iniciada pela deteção da mão. No segundo, uma pessoa tem de reconhecer a necessidade de intervir e agir. Dizer que «ambos param» não elimina esta diferença.
Se retirarmos a cortina do exemplo e deixarmos apenas o botão, deixa de existir parada automática após a deteção da mão. O reconhecimento do problema e o início da resposta passam para o ser humano. Retirou-se a deteção do projeto e acrescentou-se que o operador recebeu formação. A poupança é real. A equivalência entre medidas de proteção é inventada.
É por isso que a ISO 13850 classifica a parada de emergência como medida complementar e impede que seja usada para substituir medidas técnicas de proteção e outras funções necessárias. A parada de emergência é uma função relacionada com a segurança. Isso não permite atribuir-lhe qualquer tarefa de proteção.
O mesmo relé não elimina a diferença
Funções distintas podem partilhar elementos de comando quando os requisitos aplicáveis forem satisfeitos. Não é necessário multiplicar equipamento por desporto. Mas é obrigatório definir separadamente o que inicia cada função e qual é o seu objetivo.
Na cortina de luz, verifica-se a proteção contra o contacto perigoso. Na parada de emergência, verifica-se a resposta adequada à situação considerada — que nem sempre se limita à imobilização. Carregar no botão de emergência tipo cogumelo não demonstra que alguém não alcançará a ferramenta em movimento. Da mesma forma, uma cortina bem aplicada não responde a todas as necessidades de intervenção de emergência.
Um contactor comum pode ser justificável. Um único «conforme» copiado para duas tarefas diferentes não chega.
O componente pode ser comum. A finalidade, os critérios de ensaio e a prova de proteção não são.
2. «O operador ainda vai a tempo» não é proteção da máquina
Imagine um posto de alimentação manual com um acionamento por corrente acessível. O risco de arrastamento foi identificado. Na avaliação de riscos registaram-se como medidas de proteção o botão de emergência tipo cogumelo, a sinalização e a formação do operador. Depois disso, o risco foi declarado aceitável.
A corrente continua acessível. A pessoa executa as mesmas tarefas junto dela. Mudou a cor de uma célula na folha de cálculo. A proteção física não coube no orçamento. Os reflexos do operador foram inscritos gratuitamente.
O que reduziu realmente o risco?
Instalar o botão não limitou o acesso ao acionamento, não reduziu a frequência de exposição e não retirou ao mecanismo a capacidade de arrastar. Criou-se a possibilidade de iniciar uma parada de emergência. Agora é necessário demonstrar em que circunstâncias essa intervenção pode ajudar.
Quem verá o perigo? Como o reconhecerá? Conseguirá alcançar o dispositivo? Entre o reconhecimento e a lesão haverá tempo para agir? A resposta «o operador recebeu formação» resolve apenas uma parte. Demonstra preparação para certas ações, não a possibilidade física de as executar naquela situação.
Uma assinatura na folha de formação não reduz a distância de parada da máquina nem aumenta o tempo até ao arrastamento. A parada de emergência pode melhorar a possibilidade de evitar ou limitar o dano, mas esse benefício tem de ser relacionado com uma sequência concreta de acontecimentos. Não é atribuído automaticamente pela presença de um botão vermelho.
Se não foi demonstrada uma possibilidade real de intervenção, a expressão «E-STOP e formação» não justifica proteção suficiente contra o arrastamento.
Mediu-se o tempo desde o botão, não desde o início do perigo
Durante o ensaio, o técnico está ao lado do dispositivo, sabe o que fará e inicia deliberadamente a parada. Mede-se o intervalo entre o acionamento do botão e o fim do movimento perigoso. É um resultado necessário. Não inclui tudo o que, numa situação real, ocorre antes: detetar o perigo, perceber que é preciso intervir e conseguir executar a ação.
Para o sistema de comando definiu-se um tempo de resposta. Para o operador assumiu-se que chegará a tempo. Mas ele pode estar com as duas mãos ocupadas, fora do alcance do botão ou impossibilitado de agir precisamente porque já está preso.
Assumir que um colega carregará também exige confirmação. Essa pessoa tem de estar presente, ver a situação e conseguir atuar. Não aparece junto da máquina porque alguém escreveu «ajuda de outro trabalhador» na avaliação.
A acessibilidade do dispositivo deve, portanto, ser verificada em relação aos locais e às tarefas onde a intervenção pode ser necessária — não apenas a partir da posição confortável de quem faz o ensaio diante do painel.
Um circuito em perfeitas condições pode não receber a ordem a tempo. Não é uma avaria do relé detetável pelo diagnóstico. É uma hipótese não validada sobre o comportamento humano. Reduzir alguns milissegundos no controlador não resolve um problema que ocorre antes de alguém carregar no botão.
«Manter especial atenção.» De preferência durante o turno inteiro
Surge então a instrução: «O operador deve manter especial atenção, observar permanentemente a máquina e usar imediatamente a parada de emergência em caso de perigo.» Serve para quase todas as máquinas. É precisamente por isso que explica tão pouco.
Suponha que o operador tem de retirar peças acabadas, verificar a qualidade e colocá-las num recipiente atrás do posto. Ao mesmo tempo, a instrução exige «observação contínua da zona perigosa». Para guardar a peça, a pessoa tem de se virar. Não está a ignorar a instrução nem a improvisar. Está a executar a tarefa prevista pelo projetista — o mesmo projetista que fez depender a segurança de olhar na direção oposta.
O posto foi planeado para uma pessoa. A atenção exigida, aparentemente, para duas. Dizer «pare imediatamente» não resolve nada se ninguém puder ver que é necessário parar. Quando o conceito de proteção depende de vigilância contínua e as tarefas previstas interrompem essa vigilância, as premissas contradizem-se.
Acrescentar «especial» antes de «atenção» apenas aumenta a exigência sobre o operador. Não altera as condições em que ele deverá cumpri-la.
Não se trata de eliminar avisos das instruções. Trata-se de não pedir aos avisos que façam o trabalho que ficou por fazer no projeto. A informação para o utilizador tem um lugar na redução do risco, mas não substitui medidas de projeto e proteção corretamente aplicadas. A parada de emergência também complementa a proteção; não transfere a sua tarefa para a vigilância humana.
«Tenha cuidado» pode ser um aviso. Não é uma proteção técnica fornecida em forma de frase.
O reflexo do operador não é uma peça gratuita da máquina. E a formação não acrescenta milímetros à distância de segurança.
3. Uma máquina parada ainda pode ameaçar uma pessoa
A especificação diz: «Após a atuação da parada de emergência, os acionamentos param e a máquina passa ao estado seguro.» A primeira parte pode ser testada. A segunda exige saber que perigos existem além do movimento e o que lhes aconteceu.
Escrever «estado seguro» depois de «parada» é fácil. Na máquina, essa relação não nasce da vírgula. Cessar o movimento pode interromper a evolução do acidente e, ainda assim, deixar alguém comprimido, preso ou sem possibilidade de sair. A máquina não precisa de iniciar outro ciclo para continuar a causar dano.
A velocidade chegou a zero. A força de aperto pode não ter chegado
Considere um conjunto de rolos em que molas asseguram a pressão de um deles. Uma pessoa é arrastada, o E-STOP é acionado e a rotação para. O arrastamento foi interrompido, mas os rolos continuam apertados. O acionamento cumpriu a ordem. As molas também continuam a funcionar exatamente como foram projetadas. A pessoa permanece comprimida.
Isto não significa que a parada tenha sido desnecessária ou ineficaz para interromper o arrastamento. Significa que não resolveu a situação completa. Interromper o movimento perigoso e permitir a libertação da pessoa são duas tarefas diferentes, que precisam de ser articuladas.
Se a análise considerou o aprisionamento, tem também de estabelecer como ocorrerá a libertação de pessoas presas. Dependendo da construção, poderá ser necessário afastar componentes, aliviar a pressão ou executar um movimento inverso devidamente concebido. Nenhuma destas soluções é universal. O problema não desaparece apenas porque deixou de se mover.
A ISO 13850 não reduz a resposta de emergência à imobilidade
A norma admite que a função de parada de emergência inicie outras funções além da parada, incluindo a inversão ou a limitação de movimento. O objetivo é limitar a possibilidade de dano, não obter o maior número possível de saídas desligadas.
Devem cessar os movimentos e as ações perigosas. Isso não significa que qualquer movimento integrado na resposta seja automaticamente proibido. Um deslocamento corretamente concebido pode proteger ou libertar uma pessoa.
Mas «corretamente» faz todo o trabalho nesta frase. Antes de prever uma inversão, é preciso saber se ela ajuda naquele tipo de aprisionamento, se não agrava a lesão, se não cria outro ponto de arrastamento, o que acontece à pressão e que amplitude, velocidade e modo de comando são aceitáveis. Trocar o sinal da referência de velocidade ainda não é projetar uma função de salvamento, embora no programa possa ocupar uma linha.
A ISO 13850 reconhece a possibilidade destas ações, mas não define todos os requisitos para a sua execução. Citá-la não prova que qualquer inversão ou abertura do mecanismo é segura. A solução concreta continua a exigir avaliação.
A parada não pode retirar a possibilidade de libertação
É importante distinguir uma ação adicional integrada na resposta ao E-STOP de uma função separada usada para libertar alguém depois da parada. No primeiro caso, a ação faz parte da reação automática projetada. No segundo, a parada não executa toda a libertação, mas preserva meios adequados para a realizar.
Nem todas as máquinas devem afastar componentes ou inverter automaticamente quando se carrega no botão. A ISO 13850 exige, porém, que a parada de emergência não prejudique outras funções de proteção e refere expressamente a libertação de pessoas presas.
Isso importa quando se ouve: «É possível libertá-lo, mas primeiro temos de repor a operação normal.» Uma função de libertação deve permitir socorrer a pessoa, não voltar a disponibilizar todos os movimentos de produção na esperança de que alguém use apenas o movimento certo. As condições de atuação, os movimentos disponíveis e as limitações têm de ser definidos no projeto, não durante o salvamento.
Depois da parada, não basta perguntar «o que ficou imóvel?». É preciso perguntar que ação perigosa continua presente e o que foi previsto para a controlar. Um estado seguro não nasce porque uma variável no controlador recebeu esse nome.
A máquina está parada. A mola, a pressão, a carga suspensa e a gravidade podem não ter recebido a notícia.
4. Porque cortar tudo pode piorar a situação
«Ao carregar no botão, desligamos todas as saídas.» A frase é simples. O programa também. Na receção, é fácil verificar se tudo apagou. O problema é que uma saída pode comandar o acionamento perigoso e outra pode alimentar o equipamento que protege contra um perigo diferente.
Desligar ambos não produz necessariamente o dobro da segurança. A ISO 13850 exige prioridade da parada de emergência, mas também impede que ela reduza a eficácia de outras funções de proteção. Pode ser necessário manter equipamento auxiliar, como dispositivos eletromagnéticos de retenção ou travões. Não há contradição. Há uma obrigação de descobrir o que cada corte realmente provoca.
O acionamento tem de parar. A carga não pode cair com ele
Considere uma máquina que movimenta uma peça de aço com um dispositivo eletromagnético dependente de alimentação contínua. Não existe uma retenção independente que impeça a libertação da carga. O projetista inclui os acionamentos e o dispositivo de retenção no mesmo corte.
Ao atuar o E-STOP, os acionamentos param e o dispositivo perde a capacidade de sustentar a peça. A ordem foi cumprida sem falhas — incluindo a parte em que se retirou o suporte à carga.
Não estamos perante um botão defeituoso nem um contactor colado. O equipamento fez exatamente o que foi projetado para fazer. O erro foi tratar todos os consumidores da mesma forma apenas porque todos usam eletricidade.
A tarefa correta é parar o deslocamento perigoso e conservar a retenção segura da carga. A solução deve ser escolhida e verificada para a construção concreta. Daqui não nasce uma regra universal para manter um circuito específico energizado. Nasce a obrigação de preservar a função de retenção necessária.
«Mas depois do E-STOP não deveria restar energia.» A gravidade não passa pelo nosso contactor. Não será desligada com ele.
O sistema de extinção também pode ser desligado de forma exemplar
Segundo exemplo: a máquina possui um sistema de extinção cuja atuação depende de energia elétrica. O comando e o elemento que liberta o agente extintor são alimentados pelo circuito cortado pelo E-STOP. O material incendeia-se. O operador aciona a parada. Os acionamentos cessam, mas o material continua a arder. O sistema de extinção já não pode cumprir a sua tarefa porque acabou de perder alimentação.
O sistema está operacional. Só seria necessário garantir que, durante o incêndio, ninguém usasse primeiro a parada de emergência. Um projeto sério não pode depender dessa condição.
A ISO 13850 refere a extinção de incêndio como exemplo de função de proteção que não deve ser prejudicada. Isso não significa manter todo o processo ativo durante um incêndio. Significa definir a resposta: o que deve parar, que fontes devem ser isoladas e como conservar a eficácia da proteção contra incêndio.
«Desligar tudo» não resolve estas questões. Apenas passa por cima delas.
A categoria 0 não significa «a máquina inteira sem tensão»
A ISO 13850 prevê parada de emergência de categoria 0 ou 1, selecionada com base na avaliação de riscos. Na categoria 0, a energia dos elementos de acionamento é retirada imediatamente. Isso não garante a cessação imediata do movimento; pode continuar a ser necessária travagem adicional.
Na categoria 1, a energia necessária aos elementos de acionamento permanece disponível durante a parada e é retirada depois de esta ser atingida. A categoria descreve o modo de parar. Não é uma ordem para desligar todos os dispositivos desenhados na mesma folha do esquema.
A seleção da categoria não dispensa a verificação de dispositivos de retenção, travões ou sistemas de extinção. O tempo de queda de um contactor também não demonstra que o movimento perigoso terminou da forma necessária nem que a parada deixou de criar outro perigo.
Não se trata de manter ações perigosas sob o pretexto de preservar proteção. Trata-se de separar duas tarefas: interromper o que ameaça e não neutralizar aquilo que ainda tem de proteger.
Desligaram tudo. Com tanto rigor que desligaram também a proteção da pessoa. Escrever «parada conforme a norma» não corrige isso.
O corte total é fácil de desenhar. As consequências não cabem numa única linha do esquema.
5. O operador não deve adivinhar se carregar no botão piorará a situação
«O operador sabe o que desligar e por que ordem.» Pode ser uma descrição aceitável para preparar uma paragem planeada da linha. Como explicação da resposta de emergência, significa que parte da tarefa do sistema foi entregue à memória humana.
A pessoa deve reconhecer o perigo, recordar as dependências entre equipamentos e executar a sequência correta — sem se enganar, porque a ordem, aparentemente, é importante para a segurança. Automatizou-se todo o ciclo produtivo. Para a parada segura, decidiu-se confiar no trabalho manual.
A ISO 13850 exige que a decisão de atuar o dispositivo não dependa da avaliação prévia das consequências. A pessoa deve reconhecer a necessidade de intervenção. Não deve ter ainda de calcular se o botão agravará a situação.
Uma ação humana não significa uma única ação da máquina
A função é iniciada por uma única ação. Depois disso, os movimentos e as ações perigosas devem ser interrompidos da forma prevista, sem nova intervenção necessária para os parar. A norma admite uma sequência previamente definida. Um único acionamento pode, portanto, desencadear várias ações coordenadas.
Isto não obriga a desligar tudo ao mesmo tempo, nem autoriza que o operador desligue manualmente o resto. Se a segurança exige uma ordem, essa ordem pertence ao projeto. O mesmo vale para as ações que cessam, as funções que permanecem eficazes e o estado final.
A expressão «parada sequencial» ainda não responde a nenhuma destas perguntas. Também não significa automatizar todos os atos posteriores de salvamento. Uma função separada de libertação pode exigir comando consciente. Uma coisa é operar essa função. Outra é precisar de um segundo botão para finalmente parar o movimento que ainda ameaça a pessoa.
Cada fornecedor parou a sua parte. A alimentação continuou
Considere uma linha para trabalhar perfis longos. A máquina de processamento e o alimentador têm comandos separados. O botão junto da máquina para a ferramenta, mas não o alimentador, que continua a empurrar o perfil para a zona de trabalho. Nessa situação, o avanço do material pode esmagar uma pessoa.
A ferramenta já está parada. O perfil continua em movimento. O fornecedor explica: «O alimentador tem o seu próprio botão.» Tem. Mas a pessoa usou o dispositivo junto do perigo e não obteve a reação necessária.
A divisão dos fornecimentos está clara. Só falta garantir que a emergência respeita as fronteiras comerciais e os limites dos armários. Evidentemente, não respeita.
A análise tem de abranger a interação entre os equipamentos. A parada deve incluir o avanço quando a sua continuação mantém o perigo considerado. Verificar cada máquina isoladamente não demonstra a eficácia da resposta da linha.
Isso não significa que cada botão tenha de parar toda a fábrica. Significa que a zona de atuação não é definida pela fronteira do quadro elétrico nem pelo nome da empresa que escreveu o programa.
«Qual botão?» deve ficar resolvido antes da emergência
Na ISO 13850, o ponto de partida é a atuação sobre toda a máquina. A norma permite, contudo, dividir a instalação em zonas de atuação, por exemplo quando parar todas as máquinas interligadas criaria perigos adicionais ou efeitos desnecessários na produção.
Essa divisão exige uma análise da disposição das máquinas, da perceção dos perigos, das consequências do processo e dos perigos associados. As zonas podem sobrepor-se. Atuar numa não pode aumentar o risco noutra nem impedir a atuação da respetiva parada de emergência.
Evitar uma interrupção desnecessária é legítimo. Manter uma alimentação perigosa não se transforma, por isso, em otimização da produção.
A pessoa também deve conseguir associar o dispositivo ao perigo e compreender a sua zona de atuação. A localização e os pictogramas podem ajudar. Deve evitar-se depender da leitura de instruções ou da memorização prévia de divisões complexas.
A identificação «S14» ajuda a localizar o componente no esquema. Não diz a quem está diante da máquina o que ficará parado. A documentação elétrica pode ser estudada à secretária. Durante a emergência, essa parte do projeto já devia estar resolvida.
Quanto mais simples se pretende a ação humana, mais rigorosa deve ser a definição prévia da resposta da máquina. Uma interface simples não substitui a análise. É o resultado dela. No momento do perigo não se convoca uma reunião entre projetista, técnico de automação e responsável pelo processo.
Um botão, uma ação humana. Por trás dele pode existir uma sequência inteira — mas essa sequência tem de ter sido projetada antes da emergência.
6. Escrever «E-STOP funciona» não substitui a avaliação da proteção
«Todos os botões foram testados. Resultado positivo.» O relatório contém identificações, datas e assinaturas. Depois de cada acionamento, a máquina parou. Falta apenas dizer qual era a resposta correta, além de nada continuar a deslocar-se.
O componente foi verificado pelo número do esquema. À função ainda faltava uma especificação.
Primeiro o critério, depois o resultado positivo
Antes do ensaio é necessário saber que efeito deve ser atingido. Que ações cessam, em quanto tempo, em que zona e sob que condições? O que tem de continuar eficaz? Que comportamento representa incumprimento?
Sem critérios, é fácil declarar correto exatamente aquilo que se observou. O acionamento demorou vários segundos? Devia ser assim. A secção adjacente continuou ativa? Provavelmente não pertence à zona. Se a documentação nada decidiu, o resultado não tem com que discordar.
Quando o critério é escrito depois do ensaio, é fácil projetar uma máquina que passa sempre: basta não exigir mais do que ela acabou de fazer. Na prática, a verificação pode ser organizada assim:
| Área | O que deve ser definido? | O que registar ou identificar? |
|---|---|---|
| Situação de emergência | Perante que situação existente ou iminente é necessária a intervenção? Quem pode iniciá-la? | Cenário, tarefas humanas, estado da máquina e localização do dispositivo acessível. |
| Efeito de proteção esperado | O que deve mudar quando a função é iniciada? Que ação perigosa será interrompida ou limitada? | Estado exigido, condições para o atingir e, quando necessário, ações adicionais e meios de libertação. |
| Resposta da máquina | O que para, por que sequência, em quanto tempo e em que zona? | Descrição funcional, categoria de parada, sequência, limites temporais e interfaces com outros equipamentos. |
| Proteção remanescente | O que deve continuar ativo? A resposta cria um novo perigo ou agrava outra zona? | Requisitos das funções preservadas, justificação da solução e resultado da verificação da interação. |
| Confirmação | Como se demonstrou que a execução satisfaz os requisitos? | Análises, ensaios, medições, condições de teste, configuração examinada e tratamento das divergências. |
Esta tabela é uma proposta de organização, não um formulário da ISO 13850 nem um plano de validação completo. O âmbito deve ser ajustado à função, à máquina e ao método de avaliação utilizado.
PL e SIL não completam uma descrição funcional em falta
A ISO 13850 exige que as partes do sistema de comando relacionadas com a segurança que executam a parada cumpram os requisitos adequados da ISO 13849-1 e/ou IEC 62061. Indica também um mínimo de PLr c ou SIL 1.
Um mínimo não significa suficiência automática em qualquer aplicação. O nível requerido deve ser determinado para a função concreta, considerando o seu objetivo e os requisitos específicos aplicáveis. Copiar PL e da ficha do relé não chega. É preciso avaliar a função completa, não apenas um componente.
Mesmo um cálculo correto do sistema inteiro não substitui a validação. A ISO 13849-1:2023 distingue a verificação do PL alcançado da validação por análise e ensaio. Exige ainda que se confirme a coerência e a completude da especificação da função em relação à utilização prevista.
É uma diferença importante: a norma não pede apenas que se confirme se o programador executou fielmente uma tarefa mal definida. Também é preciso verificar se a tarefa foi definida corretamente.
O resultado deve dizer respeito à máquina executada
A verificação não termina quando o movimento cessa. A função deve estar disponível nos modos de funcionamento relevantes, manter a parada e impedir que um simples sinal de arranque reinicie as ações interrompidas. Libertar ou rearmar o dispositivo não pode, por si só, voltar a pôr a máquina em marcha.
A cada requisito devem corresponder provas que confirmem o funcionamento da função: posição no relatório, medição, análise e versões do esquema e do programa. Um anexo chamado «teste de segurança» vale pouco se não disser o que foi testado nem o critério usado.
Os ensaios devem ser planeados sem expor pessoas. Não se reproduz um arrastamento com um ser humano para testar a libertação. Usam-se métodos seguros de ensaio, análise ou simulação adequados à solução.
Não ter verificado não é um resultado positivo, mesmo quando o formulário só oferece uma caixa para assinalar.
E, depois de confirmar a resposta de emergência, continua a existir uma pergunta separada sobre a proteção preventiva. Um E-STOP bem executado não satisfaz o requisito que pertencia a uma proteção física em falta ou a um acesso mal concebido. Se o relatório não perguntou o que aconteceu ao perigo, o «resultado positivo» não deve tranquilizar ninguém.
Primeiro define-se o que a função deve fazer. Só depois um ensaio pode provar que ela funciona.
7. Proteção não é a promessa de que haverá um botão onde carregar
Uma função preventiva deve evitar um acontecimento perigoso definido. A função de parada de emergência deve permitir uma intervenção adequada quando a situação já existe ou está iminente. Ambas precisam de projeto, especificação e verificação. Uma não executa a tarefa da outra apenas porque ambas podem parar um acionamento.
Uma máquina com botão de emergência tipo cogumelo não fica completa se faltar proteção contra um acontecimento previsível. Nem a formação do operador, nem um PL elevado, nem um ensaio limitado ao fim do movimento preenchem esse vazio.
A própria intervenção exige mais do que escolher que saídas desligar. É necessário definir a categoria de parada, coordenar a sequência, preservar as funções de proteção necessárias e prever ações para controlar a situação e permitir a libertação de pessoas presas. Isso é trabalho de projeto. A pessoa junto da máquina não deve ter de o concluir no momento do perigo.
Não se trata de desvalorizar o E-STOP. Trata-se de não lhe atribuir uma proteção que não fornece e de não lhe retirar ações necessárias para uma intervenção eficaz.
A função de parada de emergência deve ajudar a controlar uma situação perigosa. Não deve justificar a ausência de proteção contra a sua ocorrência. Se, depois de toda a avaliação, só conseguimos dizer «a máquina parou», então verificámos a parada. A segurança da pessoa ainda pode dar bastante trabalho.
Parar a máquina é um resultado. Controlar o perigo é o objetivo. Não confunda os dois.
Fontes e notas
A análise baseia-se na ISO 13850:2015. As referências seguintes identificam as disposições utilizadas. As ligações para normas remetem para as páginas oficiais do editor, não para cópias do texto integral.
[1] Objetivo e caráter complementar. ISO 13850:2015, pontos 3.1, 3.5, 3.8 e 4.1.1.1–4.1.1.3: objetivo da parada de emergência, iniciação humana, função de segurança, situação de emergência e proibição de substituir a restante proteção.
[2] Cortina de luz e parada antes do contacto. ISO 12100:2010, pontos 6.3.2.5.1–6.3.2.5.2: condições de utilização de equipamento de proteção sensível, possibilidade de parada, posicionamento do campo de deteção e ligação ao comando. A norma remete o posicionamento para a ISO 13855.
[3] Possibilidade de intervenção e limites das instruções. ISO 12100:2010, pontos 5.5.2.3.3 e 6.1: fatores que influenciam a possibilidade de evitar ou limitar danos e proibição de substituir medidas adequadas por informação ao utilizador. O ISO/TR 14121-2:2012, ponto 8.4, apresenta a parada de emergência como exemplo de medida que atua sobretudo sobre essa possibilidade; não autoriza uma redução automática num gráfico de risco.
[4] Ações adicionais e libertação. ISO 13850:2015, âmbito e pontos 4.1.1.2 e 4.1.1.5: preservação de outras funções de proteção e possibilidade de iniciar ações além da parada. A ISO 12100:2010, pontos 6.3.5.2–6.3.5.3, distingue a parada de emergência dos meios de libertação e salvamento.
[5] Proteção remanescente e categorias. ISO 13850:2015, pontos 4.1.1.2, 4.1.1.4–4.1.1.5 e 4.1.3: libertação de pessoas, extinção de incêndios, dispositivos eletromagnéticos, travões e categorias 0 e 1. Estas categorias não impõem a separação de todo o equipamento de todas as fontes de energia.
[6] Uma ação, sequências e zonas. ISO 13850:2015, pontos 4.1.1.1, 4.1.1.5–4.1.1.6 e 4.1.2–4.1.2.1: resposta sem nova intervenção para parar ações perigosas, sequências definidas e condições para dividir zonas de atuação.
[7] PL, SIL, manutenção da parada e rearme. ISO 13850:2015, pontos 4.1.5.1, 4.1.1.2 e 4.1.4: aplicação da ISO 13849-1 e/ou IEC 62061, mínimo PLr c ou SIL 1, partilha de elementos, disponibilidade, manutenção da parada e rearme sem arranque automático.
[8] Especificação e validação. ISO 13849-1:2023, secção 8 e pontos 10.1.1, 10.2 e 10.4.1: verificação do PL, validação por análise e ensaio, completude da especificação e definição prévia do plano e dos resultados esperados.
[9] Contexto jurídico da União Europeia. A Diretiva 2006/42/CE — texto em inglês no EUR-Lex, anexo I, pontos 1.2.4.3–1.2.4.4, e o Regulamento (UE) 2023/1230 — texto em inglês no EUR-Lex, anexo III, pontos 1.2.4.3–1.2.4.4, tratam do caráter complementar, da ausência de riscos adicionais, dos movimentos de proteção e da parada de equipamento associado cuja continuação seja perigosa. A aplicação geral do regulamento começa em 20 de janeiro de 2027; os artigos 52.º e 54.º estabelecem o calendário e as disposições transitórias.
Os postos, circuitos, documentos e declarações apresentados são exemplos de engenharia. Não descrevem um acidente específico nem constituem instruções de salvamento para uma máquina concreta. Abertura, alívio de pressão ou inversão exigem projeto adequado e avaliação dos efeitos. A simples referência a uma norma também não constitui, por si só, uma afirmação sobre o seu estatuto de harmonização perante determinado ato jurídico.