Nas fichas técnicas, PL e SIL aparecem lado a lado. Um PLC de segurança declara SIL 3 e PL e. O relé, o acionamento com STO e a cortina de luz apresentam credenciais semelhantes. Ainda assim, quando é necessário especificar e validar uma função de segurança completa, a questão ISO 13849 ou IEC 62061 acaba muitas vezes resolvida a favor da EN ISO 13849-1.
A explicação habitual é simples: a ISO 13849 é mais fácil. É uma resposta cómoda, mas incompleta.
Uma máquina não é apenas o quadro elétrico. A abertura de um resguardo pode deslocar uma came, atuar um interruptor de posição, enviar o sinal para um PLC de segurança e, por fim, desenergizar uma válvula. Depois, a mola tem de deslocar o distribuidor, o fluido tem de ser cortado ou descarregado e um travão pode ter de sustentar um eixo vertical.
Não são proteções independentes. É um único caminho destinado a conduzir a máquina até um estado seguro e a mantê-lo. Se a came não atuar o interruptor, a válvula bloquear, a mola partir ou o travão não desenvolver força suficiente, a função falha. O certificado SIL 3 do PLC continua válido, mas não salva a função.
O certificado de um relé ou de um PLC não imobiliza a máquina. Quem o faz é a função de segurança completa, desde o acontecimento físico inicial até ao efeito físico final.
É aqui que surge a principal vantagem prática da ISO 13849: permite tratar, num modelo coerente, partes do sistema de comando relacionadas com a segurança construídas com tecnologias elétricas, eletrónicas, pneumáticas, hidráulicas e mecânicas. A IEC 62061 também pode hoje abranger tecnologias não elétricas, mas a disponibilidade e a forma dos dados continuam a pesar muito na escolha.
ISO 13849 ou IEC 62061: primeiro a função, depois PL ou SIL
Em muitos projetos, a ordem está invertida. Primeiro escolhem-se o PLC de segurança, o relé, a cortina ou o acionamento. Depois escreve-se uma descrição à medida dos componentes já comprados. No esquema aparecem dois canais, diagnóstico, PL e e SIL 3. Falta apenas um detalhe: definir o que a máquina deve realmente fazer quando surge o perigo.
«A abertura do resguardo para a máquina» não é uma especificação. É apenas um título. É necessário determinar quais os movimentos abrangidos, que energias serão controladas, quanto tempo pode decorrer até ao estado seguro e como esse estado será mantido.
Primeiro define-se a função de segurança. Só depois se escolhem a arquitetura, os componentes e a metodologia para demonstrar PL ou SIL.
STO, SS1, SS2 ou SOS não são a mesma paragem
Se a abertura do resguardo provocar STO, ocorre a desativação segura do binário. O motor deixa de produzir binário, mas a inércia não desaparece. A máquina pode continuar em movimento por roda livre.
Com SS1, o movimento é desacelerado de forma controlada antes da ativação de STO. Com SS2, a paragem controlada termina num estado de imobilização segura monitorizada, sem retirar necessariamente a capacidade de produzir binário. Já SOS mantém e monitoriza a posição de paragem com o acionamento ativo.
Estas reações têm consequências físicas muito diferentes. Num eixo vertical, retirar binário pode causar queda. Num mecanismo de grande inércia, uma paragem excessivamente brusca pode criar outro perigo. Num circuito pneumático, cortar a bobina não garante que a pressão residual desapareceu nem que o atuador deixou de se mover.
O estado seguro não existe no programa do PLC. Existe na máquina, na energia, na velocidade, na posição e nas forças que continuam presentes depois da ordem de paragem.
A especificação de requisitos de segurança, normalmente designada SRS, deve indicar para cada função:
- o acontecimento iniciador;
- a reação exigida, incluindo STO, SS1, SS2, SOS ou uma combinação;
- o estado seguro pretendido;
- o tempo máximo de resposta e de transição;
- os modos de funcionamento em que a função está ativa;
- o comportamento perante avarias e perda de energia;
- a forma de manter o estado seguro;
- as condições de rearme e novo arranque.
Só depois faz sentido determinar PLr ou SIL requerido. Estes níveis não dizem o que a função deve fazer. Dizem com que integridade e fiabilidade deve fazê-lo.
A fronteira da função não coincide com o quadro elétrico
Num diagrama de blocos, tudo parece limpo: entrada, lógica e saída. Na máquina real, o acontecimento começa antes do terminal de entrada e termina muito depois da saída do PLC.
Um resguardo não envia espontaneamente um sinal. Tem de deslocar uma came, uma roldana ou um êmbolo. Desgaste, folgas, deformação, um ponto de atuação mal escolhido ou uma fixação deficiente podem impedir a deteção da abertura. O PLC continuará a ler corretamente os contactos; o problema é que esses contactos deixaram de representar a realidade.
Redundância e diagnóstico não corrigem uma atuação mecânica deficiente. O PLC conhece o estado elétrico das entradas. Não vê diretamente o resguardo.
Na saída, a situação é semelhante. Colocar uma saída lógica a zero é apenas uma decisão de comando. O contactor ainda tem de abrir, a válvula tem de mudar de posição, o travão tem de gerar força e a energia perigosa tem de ser eliminada, dissipada ou dominada.
A fronteira da função de segurança passa pelo ponto em que um acontecimento físico se transforma em informação e termina onde essa informação produz o efeito físico seguro.
Isto não significa colocar toda a mecânica da máquina no cálculo do PL. A ISO 13849 separa normalmente a entrada, a lógica e a saída. Uma válvula pode integrar o subsistema de saída, enquanto um cilindro convencional permanece fora da parte do sistema de comando relacionada com a segurança.
Contudo, o comportamento do cilindro continua a ser relevante para validar se o estado seguro foi alcançado e mantido. Se o conjunto incluir um bloqueio de haste ou outro mecanismo que execute uma subfunção de segurança, essa parte já não pode ser afastada da análise apenas porque é mecânica.
O teste prático é direto: a avaria deste elemento pode impedir a deteção do acontecimento, a reação exigida ou a manutenção do estado seguro? Se a resposta for sim, o elemento faz parte da demonstração de segurança, mesmo que seja apenas uma peça de aço.
Um PLC com SIL 3 não cria uma função SIL 3
Um PLC de segurança impressiona: dois processadores, autodiagnóstico, saídas monitorizadas e um certificado extenso. É fácil concluir que, se o PLC tem SIL 3, a função também tem SIL 3.
Não tem.
O nível declarado indica a capacidade do subsistema quando utilizado, configurado e integrado dentro das condições definidas pelo fabricante. Essa capacidade não se propaga automaticamente para sensores, cablagem, programa, contactores, válvulas, travões ou lógica de rearme.
SIL 3 não circula pela instalação como os 24 V. O PLC pode executar perfeitamente uma ordem incompleta e a função continuar perigosamente errada.
Numa função típica, o PLC ocupa apenas a posição lógica entre o sensor e o elemento final. O sensor deteta, a lógica decide e a saída controla a energia. A função quebra no elo mais fraco, não no elemento com o certificado mais vistoso.
Mesmo com valores individuais excelentes, a probabilidade média de falha perigosa por hora da função resulta da contribuição dos subsistemas. Considere entrada, lógica e saída, cada uma com PFH de 8 × 10−8 por hora. Cada subsistema, isoladamente, pode situar-se no intervalo de PL e. Em série, a soma é:
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 por hora
O resultado já se encontra no intervalo de PL d. Acrescentar elementos introduz mais pontos possíveis de falha. Os certificados não são somados nem sujeitos a votação.
PL e + PL e + PL e não garante PL e para a função. A PFH total e os limites de capacidade de cada subsistema continuam a mandar.
Para alcançar níveis elevados, não basta comprar componentes com níveis elevados. É necessário projetar a estrutura: eliminar dependências desnecessárias, aplicar redundância onde produz benefício real, garantir diagnóstico, controlar falhas de causa comum e considerar erros sistemáticos no projeto e no programa.
PL e não é a soma da qualidade das peças. É o resultado do controlo coerente das falhas em toda a arquitetura.
O fabricante avaliou o seu dispositivo. Não avaliou a instalação do interruptor, a distância da cortina, a realimentação dos contactores, a válvula escolhida, o modo manual nem o programa criado pelo integrador. Essa demonstração continua a pertencer ao fabricante da máquina e ao responsável pela integração.
Uma função de segurança pode atravessar várias tecnologias
A grande vantagem da EN ISO 13849-1 torna-se evidente quando a função sai do catálogo e entra na máquina. Uma abertura de resguardo pode atuar uma came mecânica, que aciona um interruptor eletromecânico. O sinal passa por um relé ou PLC de segurança, que desenergiza uma válvula pneumática. Uma mola desloca o distribuidor, a pressão é descarregada e um travão mecânico sustenta a carga.
É uma só função, embora envolva automação, eletricidade, pneumática e mecânica. A máquina não conhece os limites entre departamentos.
A máquina não divide a segurança entre eletricistas, programadores, especialistas de pneumática e projetistas mecânicos. Essa divisão existe apenas no organograma.
A ISO 13849 permite decompor este caminho em subsistemas e avaliar a contribuição de cada um. Isto não significa atribuir um PL individual a todas as molas, parafusos e roldanas. O PL aplica-se ao subsistema e, no fim, à função completa.
Se uma mola reposiciona uma válvula no estado seguro após a perda de energia, é necessário avaliar o que acontece se partir, perder força, for montada incorretamente ou não vencer o atrito. A mola não se transforma num controlador; torna-se relevante porque a sua falha pode impedir a subfunção.
O mesmo vale para a came do interruptor. A geometria, a fixação e a resistência ao desajuste podem determinar se a abertura do resguardo é detetada. A ausência de eletrónica não significa ausência de impacto na segurança.
A ISO 13849 trabalha com os dados disponíveis nas máquinas
Na teoria, a escolha entre PL e SIL parece uma decisão puramente metodológica. Na prática, é muitas vezes decidida pelos dados disponíveis.
Um PLC ou acionamento de segurança costuma vir acompanhado de PL, SIL, PFH, tempo de resposta, tempo de missão, limitações e instruções de integração. Já um contactor, uma válvula, um interruptor de posição ou um mecanismo de bloqueio pode trazer B10D, uma vida mecânica, condições de carga ou apenas a conformidade com uma norma de produto.
A ISO 13849 permite usar um subsistema previamente validado como um bloco, desde que sejam respeitadas as respetivas condições. Quando existem PL, SIL e PFH declarados, não é necessário reconstruir a análise interna do dispositivo.
Para componentes sujeitos a desgaste, o parâmetro B10D representa o número de ciclos após o qual 10% da população ensaiada sofreu uma falha perigosa. Esse dado tem de ser combinado com o número médio de operações anuais, nop, para determinar o MTTFD aplicável.
A ISO 13849 é prática não porque exija menos provas, mas porque permite construir a prova com B10D, ciclos, MTTFD, diagnóstico, arquitetura e modos de falha realmente encontrados nas máquinas.
Um mesmo modelo de válvula pode operar cinco vezes por turno ou uma vez a cada dois segundos. O número de referência é igual; a fiabilidade na aplicação não é. Também importam pressão, temperatura, qualidade do ar, lubrificação, carga, frequência de comutação e manutenção.
Os valores típicos e métodos simplificados da norma não são cheques em branco. A sua utilização depende das normas de produto, das condições de serviço, dos princípios de segurança aplicados e das limitações do fabricante. Encontrar um número favorável num anexo não substitui a justificação técnica.
Exclusão de falhas não significa «isto nunca avaria»
A exclusão de uma falha é, por vezes, tratada como uma forma elegante de retirar um problema do cálculo. A norma exige muito mais. É necessário identificar o modo de falha concreto e demonstrar por que motivo a sua ocorrência pode ser considerada extremamente improvável nas condições previstas.
A justificação deve considerar materiais, resistência, cargas, direção dos esforços, ambiente, montagem, manutenção e experiência de utilização. Dizer que uma peça «é robusta» não chega.
Excluir uma falha não é evitar a análise. É um dos resultados mais exigentes da análise, porque obriga a provar por que razão um modo de falha específico pode ser desconsiderado.
A avaliação também não termina nos valores probabilísticos. Devem ser considerados a cobertura de diagnóstico, as falhas de causa comum, os princípios básicos e comprovados de segurança, os erros sistemáticos, as condições ambientais, o comportamento perante falhas e a validação física.
ISO 13849 ou IEC 62061 em sistemas pneumáticos e mecânicos
Durante anos, a explicação era simples: a ISO 13849 servia para a máquina completa, enquanto a IEC 62061 se limitava a sistemas elétricos, eletrónicos e eletrónicos programáveis. Essa descrição correspondia às edições antigas, mas deixou de ser correta.
A edição de 2021 da IEC 62061 alargou o enquadramento a tecnologias não elétricas no contexto das funções de segurança das máquinas. Assim, a presença de uma válvula pneumática, de um travão mecânico ou de um componente hidráulico já não exclui uma análise baseada em SIL.
A pneumática já não está formalmente fora da IEC 62061. O que continua fora de alcance é a ideia de que basta calcular a eletrónica e presumir que o resto funcionará.
A alteração de âmbito não cria automaticamente dados de fiabilidade. Uma mola, uma junta, um distribuidor ou uma guia não passa a apresentar PFH e SILCL apenas porque a norma admite a tecnologia.
O SIL é um requisito da função de segurança. Para um subsistema pode ser declarada uma capacidade máxima, como SILCL. Os componentes internos contribuem para essa capacidade, mas não herdam individualmente o SIL da função.
Como integrar a pneumática num modelo IEC 62061
Considere uma função composta por paragem de emergência, PLC de segurança, válvula 5/2 e cilindro. A análise não trata «a pneumática» como uma entidade abstrata. Trata o subsistema de saída formado pela válvula, comando piloto, retorno por mola, eventual redundância e diagnóstico.
É necessário conhecer os modos de falha relevantes: bloqueio na posição aberta, bloqueio na posição fechada, fuga interna, perda de força da mola ou aumento excessivo do tempo de comutação. Depois avalia-se a sua contribuição para a PFH, a capacidade de diagnóstico e as limitações arquiteturais.
Na IEC 62061, o subsistema pneumático tem de ser convertido num modelo de fiabilidade credível. Se faltarem dados, ensaios, diagnóstico e justificação, a ausência não desaparece: limita a demonstração de toda a função.
A IEC TS 63394:2023 complementa este caminho com orientações para tecnologias mecânicas, pneumáticas e hidráulicas. O ponto é relevante porque estes componentes estão frequentemente sujeitos a desgaste dependente dos ciclos, contaminação, lubrificação e condições de montagem. Nem sempre se comportam como componentes eletrónicos modelados por uma intensidade de falha constante.
É por isso que a ISO 13849 continua tão natural em máquinas com tecnologias mistas. Não porque a IEC 62061 as proíba, mas porque a ISO 13849 dispõe há mais tempo de métodos, bibliotecas, dados e práticas de validação ajustados a esses componentes.
Um componente com SIL não obriga a função a usar IEC 62061
Um PLC com SIL 3, uma cortina com SILCL 3 ou um acionamento com STO de SIL 3 não escolhem a metodologia da função completa. A EN ISO 13849-1 permite integrar subsistemas previamente validados segundo a própria norma, a IEC 62061, a série IEC 61508 ou normas de produto aplicáveis.
Uma função avaliada em PL pode, portanto, incluir um PLC de SIL 3, um acionamento com STO de SIL 3, um contactor caracterizado por B10D e uma válvula avaliada segundo os princípios da ISO 13849. Não existe contradição, desde que os dados sejam compatíveis e as condições de integração sejam respeitadas.
Um componente com SIL 3 define a capacidade e os limites desse subsistema. Não impõe IEC 62061 ao projeto nem atribui SIL 3 ao resto da máquina.
Também não é necessário inventar uma categoria para um subsistema certificado segundo IEC 62061 ou IEC 61508. Categoria e SIL não são nomes diferentes para a mesma coisa. A categoria descreve uma estrutura e o seu comportamento perante falhas; um subsistema certificado pode ter uma arquitetura interna que o integrador não conhece nem necessita de reconstruir.
O que deve ser verificado são as entradas e saídas permitidas, a PFH, o tempo de reação, o tempo de missão, os ensaios periódicos, as condições ambientais, as medidas contra falhas de causa comum e as limitações de utilização.
PL e SIL encontram-se na PFH, mas não são métodos iguais
A correlação usada para funcionamento contínuo ou com solicitação frequente coloca PL b e PL c no intervalo associado a SIL 1, PL d no intervalo de SIL 2 e PL e no intervalo de SIL 3. PL a não tem correspondência na escala SIL.
Isto não significa que PL d seja tecnicamente idêntico a SIL 2. Significa que os resultados se situam em intervalos correlacionados de PFH. Os processos de conceção, as restrições arquiteturais, os requisitos sistemáticos e as regras aplicáveis ao programa não são iguais.
PL d não é simplesmente outro nome para SIL 2. Os intervalos de PFH correlacionam-se; os caminhos usados para demonstrar a integridade continuam diferentes.
A escolha da metodologia deve considerar a competência da equipa, a complexidade do sistema, os dados dos subsistemas, as tecnologias envolvidas, as ferramentas disponíveis e as exigências de validação. Converter siglas sem verificar estas diferenças produz documentação convincente e engenharia fraca.
Da ISO 12100 à especificação da função de segurança
Muitas avaliações de risco terminam com a frase «instalar resguardo com encravamento». A medida está alinhada com a hierarquia de redução do risco, mas ainda não especifica uma função.
Falta definir o que será detetado, quais os movimentos interrompidos, o tempo de paragem, o tratamento das energias pneumática, hidráulica e potencial, a necessidade de bloqueio do resguardo e as condições de novo arranque.
A EN ISO 13849-1:2023 coloca a conceção das partes do sistema de comando relacionadas com a segurança dentro do processo iterativo de redução do risco da ISO 12100. Quando uma medida depende de uma função executada pelo sistema de comando, a SRS deve transformar a conclusão da avaliação de risco em requisitos técnicos verificáveis.
A avaliação de risco identifica onde é necessária redução adicional. A SRS define o que a máquina deve fazer. A ISO 13849 ou a IEC 62061 demonstram se o sistema de comando o fará com a integridade exigida.
Esta ligação evita interpretações diferentes entre quem avalia o risco, quem projeta o resguardo e quem programa o PLC. «Parar» pode significar retirar binário, desacelerar de forma controlada, eliminar pressão, imobilizar um eixo ou combinar várias ações numa sequência. A SRS obriga a decidir.
Os trabalhos de revisão da ISO 12100 também apontam para uma integração mais direta entre avaliação do risco e especificação das funções de segurança. A informação de projeto publicada pela ISO indicou o projeto ISO/DIS 12100.3 como sucessor, entre outros documentos, do ISO/TR 22100-2, dedicado à relação entre ISO 12100 e ISO 13849-1. Como em qualquer trabalho de normalização, o estado e o texto finais devem ser confirmados antes de serem citados num projeto.
O sentido técnico, contudo, é claro: a função de segurança não deve ser inventada durante a programação. Deve resultar diretamente da avaliação do risco e ser especificada antes da seleção definitiva da arquitetura.
ISO 13849 ou IEC 62061: como escolher na prática
A resposta não deve ser «ISO 13849 porque é mais fácil» nem «IEC 62061 porque o PLC tem SIL 3». Antes de escolher, responda a quatro perguntas:
- O que tem a função de fazer? Defina acontecimento iniciador, reação, estado seguro, tempo de resposta e condições de rearme.
- Que tecnologias atravessa? Inclua sensores, lógica, controlo de energia, válvulas, travões e mecanismos relevantes.
- Que dados existem? Verifique PL, SIL, SILCL, PFH, B10D, MTTFD, ciclos, diagnóstico, limitações e modos de falha.
- Que método permite demonstrar e validar o caminho completo sem cortes artificiais? A metodologia deve acompanhar a função, não apenas o componente mais sofisticado.
A IEC 62061 é uma escolha sólida para muitos sistemas complexos, particularmente quando os subsistemas têm dados adequados e a equipa domina a engenharia baseada em SIL. A ISO 13849 tende a ser mais prática quando a função combina componentes eletrónicos certificados com elementos eletromecânicos, pneumáticos, hidráulicos ou mecânicos caracterizados por ciclos e desgaste.
É por isso que o PL continua a aparecer com maior frequência nas máquinas. A ISO 13849 oferece um caminho consolidado para reunir dados diferentes numa única demonstração, sem terminar artificialmente a análise na saída do PLC.
A máquina não para no certificado nem na saída do PLC. Para apenas quando a função completa deteta o acontecimento, controla todas as energias relevantes, atinge o estado seguro e consegue mantê-lo.
A decisão final entre ISO 13849 e IEC 62061 é uma decisão de engenharia, não uma preferência por siglas. Escolha a metodologia que melhor permite especificar, calcular, integrar, verificar e validar a função real. O resto é apenas documentação com bom aspeto.