O operador abre o protetor do centro de maquinagem. Introduz a peça no dispositivo de fixação e segura-a com a mão para a posicionar antes do aperto. Tenta acionar o grampo. A máquina recusa: o protetor aberto bloqueia o movimento.
Foi exatamente assim que a máquina foi projetada. Só que a produção tem de começar de alguma forma.
Imaginemos que estamos a acompanhar a receção do equipamento. No armário existem componentes comprovados. Sobre a mesa está o relatório de cálculo do nível de desempenho, o PL. O projetista tem o esquema, os dados do sensor e a biblioteca do fabricante. O operador tem uma peça na mão. A tarefa dele não foi definida com o mesmo rigor.
O sistema executa corretamente a função que lhe foi atribuída. O problema surgiu antes: ninguém perguntou como é que a pessoa iria fixar a peça. É esta lacuna que a SRS — especificação de requisitos de segurança — deve fechar, antes de um pressuposto não documentado ser comprado, montado e programado.
A ISO 13849-1:2023 exige os resultados da apreciação do risco realizada segundo a ISO 12100. A partir deles definimos as funções de segurança, o comportamento necessário e o nível de desempenho requerido, PLr. Tudo isso fica registado na SRS, que integra a documentação técnica e serve de base ao projeto.
Depois vêm a seleção, os cálculos, a verificação e a validação. Mas, antes disso, convém descobrir onde estará a mão do operador durante o aperto. O catálogo do controlador não responde a essa pergunta.
Como fixar a peça em segurança quando o sistema já está pronto?
Recuemos algumas semanas. O projeto avança depressa porque alguém propõe um conjunto já usado noutra máquina: sensor do protetor, controlador e acionamento adequado. Os dados estão disponíveis, a biblioteca está pronta e o fornecedor conhece o prazo.
A questão do posicionamento manual da peça fica para o comissionamento. Nessa altura, dizem, será mais fácil perceber.
E é mesmo. Agora todos veem o problema. O operador precisa de movimento com o protetor aberto, enquanto o sistema foi concebido para impedir esse movimento. Surge a proposta de criar uma exceção no programa. Subitamente, os equipamentos já comprados começam a ditar os requisitos de proteção, quando deveriam apenas executá-los.
Paremos junto ao dispositivo de fixação. Porque precisa o operador de segurar a peça? Poderia o dispositivo definir previamente a sua posição? Que movimento é indispensável e qual desapareceria se alterássemos o método de fixação?
As respostas determinam o conceito de proteção. Talvez seja necessário mudar o dispositivo. Talvez continue a ser necessário algum movimento durante o acesso; nesse caso, temos de definir as condições de autorização, as limitações e a paragem. Uma exceção na lógica, por si só, não torna a tarefa segura.
O mesmo controlador, uma tarefa diferente
Na máquina anterior, o carregamento podia ser completamente diferente. O dispositivo talvez suportasse a peça e o operador fechasse a porta antes do aperto. Aqui, a mão permanece no interior durante mais tempo.
A referência do controlador é a mesma. As condições de aplicação podem não ser. Antes de reutilizar um projeto, verificamos o acesso, a sequência de operações, os movimentos necessários e o comportamento da carga. A resposta «funcionava na máquina anterior» continua a descrever apenas a máquina anterior.
Estas conclusões podem alterar desenhos, seleção de equipamentos e software. São muito mais difíceis de aceitar quando o armário já está montado e no planeamento só falta a linha «receção». Nessa fase, a mão do operador também começa a impedir o fecho do projeto.
Repetir o cálculo do circuito não resolve a discussão junto ao grampo. O PL alcançado aplica-se à função implementada e às condições em que foi avaliada. Se apenas avaliámos a paragem após a abertura do protetor, o resultado não cria requisitos para o aperto manual.
É possível ter dois canais e nem um único requisito para a tarefa que o operador está efetivamente a executar.
Equipamentos certificados e subsistemas previamente validados são úteis. A ISO 13849-1 permite utilizá-los quando se cumprem as respetivas condições de integração. Ainda assim, é necessário demonstrar as propriedades da função completa na aplicação concreta, com o seu dispositivo de fixação, a sua carga e o seu acesso.
O fabricante do controlador não conhece o nosso método de posicionamento da peça. O certificado dele nunca avaliou essa operação.
Para o técnico de automação, esta fronteira de responsabilidade é decisiva. Pode ligar corretamente os equipamentos, escrever a lógica e justificar o PL, mas continuar a receber uma tarefa incompleta. Precisa dos resultados da apreciação do risco antes de transformar pressupostos em código.
Se esses resultados não existirem, regressamos à equipa de projeto. Decidimos quem define o dispositivo de fixação, quem determina os movimentos necessários e quem descreve as condições de acesso. Só depois deve chegar à programação um requisito acordado.
Portanto, deixemos o catálogo de lado e acompanhemos o operador durante toda a tarefa, sobretudo no início, antes de o protetor fechar. Só então saberemos o que exigir das partes do sistema de comando relacionadas com a segurança, SRP/CS.
O operador entra no projeto antes de o protetor fechar
O operador traz a peça, pousa-a, corrige a posição e fixa-a. Só depois fecha o protetor e inicia a maquinagem. No fim, volta a abrir a porta e retira a peça.
Se a descrição do trabalho começou no botão START, ficou de fora a tarefa sem a qual não há motivo para carregar nesse botão.
Há ainda peças colocadas incorretamente, mudança de ferramenta, limpeza e retoma após uma interrupção. Em cada intervenção, a pessoa pode estar noutro local, mais próxima de movimentos e fontes de energia diferentes.
A indicação «operar de acordo com o manual» não mostra esta realidade ao projetista. Também não define o que pode mover-se nem o que tem de permanecer imóvel.
A ISO 12100 manda começar pela definição dos limites da máquina e da sua utilização. Identificamos utilizadores, modos, materiais e intervenções. Consideramos todas as fases do ciclo de vida e a utilização indevida razoavelmente previsível.
Só depois identificamos os perigos e fazemos a estimativa do risco. Segue-se a avaliação do risco: decidimos se é necessária redução adicional. Assim, «eliminar um encravamento» deixa de ser uma linha conveniente numa folha de cálculo e passa a significar uma aproximação por outro lado, seguida de um movimento controlado do mecanismo.
Uma conversa junto à máquina revela rapidamente estas situações. Se a proteção impossibilita uma tarefa necessária, também pode incentivar a neutralização das medidas de proteção. É melhor corrigir o conceito antes de o atalho se tornar prática corrente na fábrica.
Talvez a melhor solução seja mudar o dispositivo de fixação
A primeira decisão relativa ao nosso grampo pode nem sequer envolver o controlador. Um dispositivo que posicione a peça sem a mão na zona de aperto altera diretamente a exposição da pessoa.
É precisamente por medidas de projeto inerentemente seguras que a ISO 12100 começa a redução do risco. Depois vêm as medidas técnicas de proteção — protetores ou dispositivos de proteção — e as medidas de proteção complementares. Por último, as informações para utilização.
Com o conceito escolhido, definimos as tarefas do sistema de comando. Deve impedir determinados movimentos durante o acesso, permitir o posicionamento necessário e assegurar a retenção da peça após perda de pressão. Dessas decisões resultam as funções de segurança e o respetivo âmbito.
As tarefas do operador revelam uma parte essencial do problema, mas a apreciação abrange a máquina completa. Continuam a existir perigos como projeção de material, ruído ou falha estrutural, mesmo quando não está a decorrer uma intervenção manual.
O processo completo é ilustrado neste exemplo de apreciação do risco segundo a ISO 12100. Na seleção da proteção, também é útil compreender os meios técnicos de proteção.
A ISO 13849-1 espera os resultados deste trabalho
O ponto 4.5 da ISO 13849-1:2023 exige os resultados da apreciação do risco, informações sobre as funções necessárias, a sua contribuição para a redução do risco e os respetivos PLr. O ponto 5.1 remete diretamente para a informação detalhada obtida segundo a ISO 12100.
Estas são entradas do projeto. Começar pelo esquema elétrico não as cria, embora permita desenhar mais depressa a primeira página da documentação.
Na SRS descrevemos as funções e os requisitos funcionais, definimos o PLr e revemos o conjunto antes do projeto. É esta a sequência dos pontos 5.1 a 5.4. O PLr já deve fazer parte da SRS concluída.
Um registo sem PLr continua a ser provisório. A nota «definir no comissionamento» marca uma tarefa futura; não fecha um requisito de segurança.
O projetista mecânico conhece o dispositivo, o especialista do processo conhece o posicionamento, o utilizador conhece as intervenções e o técnico de automação conhece as possibilidades do comando. A SRS regista a decisão conjunta. É aí que se deve descobrir que uma função prevista consegue parar a máquina, mas impede a sua utilização.
O operador continua à espera com a peça na mão. A diferença é que ainda podemos corrigir o posto antes de o problema ficar encerrado dentro da máquina pronta. No exemplo, um alojamento mecânico permite retirar a mão antes de fechar o protetor e acionar separadamente o grampo. A SRS regista os requisitos de comando resultantes deste conceito; o alojamento continua a ser uma medida construtiva.
Sem a ISO 12100, começamos a trabalhar com a ISO 13849-1 sem as respostas necessárias. A apreciação do risco define a proteção; a SRS transforma essa decisão em requisitos para o comando, incluindo o PLr.
Um movimento necessário à pessoa não desaparece por lhe chamarmos perigoso
Regressamos ao projeto de fixação. Alguém recorda que a paragem após a abertura do protetor é uma função comprovada. É verdade. Mas continua a ser necessário posicionar a peça que dará início à produção.
As normas específicas de máquinas ajudam a decompor a palavra «proteção» em tarefas, movimentos e condições. É então que se percebe porque uma reação correta do comando não descreve toda a proteção necessária.
O grampo também tem de fixar a peça antes da maquinagem
Num centro de maquinagem, distinguimos o funcionamento automático do posicionamento manual. Para ambos verificamos os movimentos necessários, o acesso aos seus efeitos e a proteção. Se o dispositivo exigir movimento com o protetor aberto, o projeto deve permitir essa tarefa em segurança.
Eliminar o bloqueio alteraria o programa. A mão e as mandíbulas continuariam exatamente no mesmo lugar.
A ISO 16090-1, para as máquinas abrangidas pelo seu âmbito, trata da fixação da peça, da monitorização do aperto e das condições de arranque. As perguntas vão muito além da posição da porta: a peça está segura? Que movimentos podem ser autorizados? O que acontece se faltar energia?
As respostas podem obrigar a mudar o dispositivo, o comando ou toda a sequência de fixação. Quando uma norma tipo C estabelece um requisito ou um PLr, conservamos também a aplicação e as condições associadas. Uma letra passa facilmente para uma tabela; é muito fácil esquecer que pertencia a outro acesso ou estado da máquina.
A SRS deve permitir que outra pessoa reconstrua a decisão: para que tarefa foi escolhida a função e porque é necessária aquela proteção.
A enfardadeira acabou de prensar. Agora é preciso retirar o fardo
Passemos para uma prensa vertical de enfardamento de resíduos. O projetista analisou o movimento da placa durante a prensagem. As portas estavam fechadas, o acesso era monitorizado e o ciclo terminou.
O operador ainda precisa de atar e retirar o fardo. Abre as portas, muda de posição e utiliza os movimentos necessários para a remoção. Na descrição do ciclo, a máquina já acabou. Junto à máquina, a pessoa ainda está a terminar o trabalho.
A EN 16500:2014 dedica requisitos específicos a esta fase. O âmbito é o de determinadas enfardadeiras verticais fechadas com atadura manual, não o de qualquer máquina de compactação de resíduos.
O ponto 5.1.4 trata da ejeção do fardo, do comando fora da zona de queda e da visibilidade. Quando existe acesso através da porta aberta ao movimento ascendente perigoso da placa, prevê comando bimanual. O ponto 5.2.2 atribui PLr d a essa função.
Na SRS registamos em conjunto a tarefa, o movimento e a condição de proteção. Verificamos também o retorno do sistema de ejeção. A palavra «prensagem» não cobre todas as situações encontradas durante a remoção do fardo.
A edição citada da EN 16500 remete para a EN ISO 13849-1:2008. Esta relação entre edições deve ser considerada na seleção das normas. O PLr d deste caso não passa a ser uma classificação geral de toda a enfardadeira.
Numa zona parada, o material pode continuar em movimento
Agora o operador elimina um encravamento entre duas máquinas. Os acionamentos da sua zona estão parados. O equipamento vizinho continua a enviar material através de uma abertura de processo. O controlador local cumpriu a sua função.
O material não conhece a divisão entre fornecedores.
A ISO 11161:2007 com Amd 1:2010 chama a atenção para as zonas de tarefa e as interfaces de um sistema de fabrico integrado. O ponto 8.1.4 trata da proteção durante o fluxo de material entre zonas.
No ponto 8.8.1, a especificação inclui modos, interações humanas, comportamento do sistema, interfaces e resposta a falhas. Dois relatórios de cálculo separados deixam ao integrador precisamente esta parte comum do problema.
É necessário definir o alcance da paragem, ou outra proteção adequada da interface, bem como o acesso e o comportamento dos equipamentos vizinhos, incluindo a perda do sinal necessário. A pessoa que elimina o encravamento precisa de proteção durante toda a intervenção.
A frase «interface da responsabilidade do integrador» identifica o destinatário da tarefa, mas não a executa. O alcance da proteção também depende dos perigos transportados pelo fluxo de material.
Fora do ciclo automático, a pessoa continua a trabalhar. Fixação, remoção do fardo e eliminação de encravamentos exigem a identificação dos respetivos movimentos, acessos e energias. A SRS deve garantir proteção durante toda a tarefa necessária.
O grampo parou. O que deve acontecer à peça?
«Quando o protetor abrir, a máquina tem de parar.» O técnico de automação aponta para o grampo imóvel. O projetista mecânico olha para a peça que o operador ainda segura.
Ambos veem a mesma máquina. Durante alguns instantes, a palavra «parar» permitiu-lhes evitar a discussão sobre o que deve acontecer fisicamente.
Na especificação registamos o nome da função, a relação com o perigo, o evento de ativação e a reação iniciada pelas saídas. Identificamos movimentos concretos e o âmbito da proteção. Só então podemos decidir como devem parar e qual o estado necessário após a paragem.
O posicionamento manual durante o acesso recebe requisitos próprios, coerentes com o conceito de proteção. Separadamente, definimos que, no modo automático, um protetor aberto deve impedir o arranque dos movimentos perigosos identificados.
A paragem e a prevenção de um arranque inesperado podem partilhar subsistemas. Ainda assim, cada função precisa de uma descrição clara e de verificação própria.
Volta a surgir a proposta: desliguemos tudo
No esquema parece convincente. Desativamos as saídas, eliminamos energia e o assunto aparenta estar resolvido. O projetista acrescenta apenas um detalhe: se desaparecer a pressão, o grampo pode libertar a peça.
Já não estamos a falar apenas de parar movimento. Temos de decidir como manter a carga e durante quanto tempo conservar o estado requerido. Uma ordem de desligar não explica o que irá suportar a peça depois de ser executada.
A SRS descreve o estado físico resultante da apreciação do risco: movimentos parados e retenção necessária da peça. Se existir um eixo vertical sujeito à gravidade, também é necessária proteção contra a queda. Só depois o projeto demonstra como executar esses requisitos.
A equipa analisa perda de alimentação, flutuações inadmissíveis e retorno de energia. Para cada situação define o comportamento do sistema. Assim, o regresso da pressão ou da tensão deixa de ser uma parte silenciosa da sequência.
Também se considera a deteção de defeitos: reação para um estado seguro e manutenção desse estado até à reparação. Se várias funções estiverem ativas ao mesmo tempo, definem-se prioridades e conflitos. Uma paragem não pode retirar, sem avaliação, a proteção necessária à carga.
O sensor já respondeu. A mecânica ainda precisa de tempo
A pessoa não espera junto ao protetor o tempo que for conveniente ao mecanismo. Alcança um ponto concreto. Por isso, a equipa regressa à posição do corpo, à possibilidade de acesso e ao tempo necessário para atingir o estado requerido.
O técnico mostra o tempo de resposta do sensor. Mas ainda faltam lógica, comunicação, atuadores e mecânica. A SRS precisa de um requisito para o tempo total de atuação da máquina, incluindo a paragem do movimento.
Para posicionar dispositivos de proteção segundo a ISO 13855 são necessários dados adequados de paragem e as condições em que foram obtidos. Carga, ferramenta, temperatura e desgaste podem alterar o resultado. Um valor de catálogo não substitui a medição do comportamento da máquina completa.
Se os dados ainda não existirem, fica registada uma ação em aberto: quem os fornece e que decisões aguardam o resultado. Qualquer valor provisório deve ser confirmado ou levar à alteração do projeto.
O operador muda de modo e depois fecha a porta
Se o conceito permitir movimento durante o acesso, a SRS define o modo e as condições desse movimento. O modo selecionado deve ser inequívoco e a transição entre modos deve manter a proteção necessária.
Selecionar um modo não inicia movimento. O rótulo «serviço» num ecrã também não protege ninguém junto ao grampo. É o comportamento definido que fornece ao técnico de automação um requisito executável.
Devem igualmente ser consideradas a limpeza e a reparação do dispositivo. Alguns trabalhos exigem o isolamento da máquina de todas as fontes de alimentação e o bloqueio dos dispositivos de corte na posição de isolamento. Outros precisam de movimento devidamente protegido. A apreciação do risco de cada tarefa deve refletir-se nos requisitos.
Não aplicamos automaticamente a solução de posicionamento de peças a todas as reparações. A pessoa pode ocupar outra posição e alcançar outros perigos.
Depois da fixação, o operador fecha o protetor. O sensor confirma a posição da porta, mas não determina sozinho se alguém ficou na zona nem se as restantes medidas de proteção estão operacionais.
A SRS conduz o regresso ao funcionamento através de condições definidas de rearme e novo arranque. Quando a apreciação do risco exige rearme manual, escolhemos um local fora da zona perigosa, com visibilidade adequada e sem possibilidade de atuação a partir dessa zona.
O rearme é uma ação intencional distinta do arranque. A aceitação do sinal exige monitorização da sua transição. O rearme não pode criar perigo; as funções de segurança aplicáveis e as medidas técnicas de proteção já têm de estar ativas.
Se uma parte da zona não for visível, é necessária uma solução apropriada, como uma sequência de rearme ou monitorização. A norma também admite um rearme automático devidamente justificado, por exemplo quando a deteção contínua de pessoas impede uma situação perigosa.
A decisão fica documentada para a aplicação concreta. Se o rearme for uma função de segurança, também se define o seu PLr. Dois botões com a mesma legenda não desempenham necessariamente a mesma função.
Quando existe um alimentador adjacente, o fornecedor precisa de conhecer o estado exigido durante o acesso ao dispositivo e a reação à perda de sinais. «STOP enviado» descreve o emissor; a especificação também tem de dizer como e quando o recetor reage.
Uma peça não representa todas as condições de utilização
O operador demonstrou a fixação uma vez, mas irá repeti-la durante o turno. Registamos a frequência de solicitação da função e de operação dos seus elementos. Um acesso por peça impõe condições de serviço diferentes de uma intervenção ocasional.
Acrescentamos ambiente, limpeza e manutenção. Relacionamos os dados dos equipamentos com a intensidade real de trabalho e as condições de aplicação, mesmo quando o mesmo componente já funciona noutro posto.
Antes de fechar a SRS, cada função recebe um PLr e a respetiva base: apreciação do risco ou requisito aplicável de uma norma tipo C, incluindo as suas condições.
O PL alcançado será avaliado mais tarde. Neste momento, a equipa define o que é exigido. Colocar PLr e PL lado a lado numa tabela não deve apagar esta diferença.
Registemos isto para que o próximo técnico não tenha de adivinhar
Suponhamos que a equipa escolheu um alojamento mecânico para apoiar a peça. O operador consegue posicioná-la e retirar as mãos antes de fechar o protetor e iniciar o aperto. É apenas uma solução possível. Se a tarefa real continuar a exigir movimento com o acesso aberto, precisa de outra proteção e de requisitos próprios.
Registemos a decisão na ficha de uma função. O PLr d, os 200 ms e os restantes valores seguintes são dados fictícios para fins didáticos. Não são parâmetros para copiar. O projeto real deve justificar cada valor e aplicar os requisitos tipo C adequados.
| Campo da SRS | Exemplo de requisito | ISO 13849-1:2023 |
|---|---|---|
| Função e motivo / SF-01, APP-01 | SF-01: parar e impedir o movimento acionado do grampo durante o acesso ao alojamento. TASK-L01: posicionar uma peça de 12 kg. HS-01: dedos na zona das mandíbulas. Relação com RA-L01. | 5.1; 5.2.1.2; 5.2.1.3 a) |
| Evento de ativação / REQ-01 | Pedido de acesso ou perda do estado fechado ou bloqueado exigido ao protetor enquanto o movimento do grampo está autorizado. O acesso aberto mantém o movimento inibido. | 5.2.1.3 b) |
| Efeito requerido / REQ-02 | Parar as mandíbulas e impedir novo movimento acionado durante o acesso. Não desbloquear o protetor antes de se verificarem todas as condições necessárias. A peça permanece apoiada por um alojamento mecânico independente. | 5.2.1.3 c) |
| PLr e fundamento / REQ-09 | PLr d — hipótese didática atribuída no RA-L01 fictício. No projeto, deve resultar da apreciação do risco ou de um requisito tipo C aplicável. Não é o PL alcançado pelo sistema. | 5.2.1.3 d); 5.3 |
| Tempo e acesso / REQ-03 | Até 200 ms — limite ilustrativo desde o evento no protetor até à cessação do movimento indicado, incluindo a mecânica. O protetor mantém-se bloqueado até serem cumpridas todas as condições. O valor isolado não justifica acesso seguro. | 5.2.1.3 e) |
| Modos de funcionamento / REQ-04 | Funcionamento automático e carregamento manual. Nesta versão não se permite aperto acionado com o protetor aberto. Se a tarefa real o exigir, regressa-se à apreciação do risco e à especificação da proteção. | 5.2.1.3 f) |
| Interfaces / REQ-05 | A confirmação do estado requerido do grampo é apenas uma das condições de acesso. Também são necessários estados adequados do fuso, eixos e alimentador. A confirmação de receção de um sinal não substitui a reação requerida. | 5.2.1.3 g) |
| Defeito / REQ-06 | Um defeito detetado que afete a função bloqueia novo movimento e a autorização de acesso até se atingir o estado requerido. Esse estado é mantido até à eliminação do defeito relevante. | 5.2.1.3 h) |
| Energia / REQ-07 | A perda e o retorno de energia não provocam movimento perigoso nem libertam a peça apoiada. O alojamento exige justificação mecânica própria; não recebe PLr apenas por aparecer nesta ficha. | 5.2.1.3 i) |
| Frequência e ambiente / APP-02, 04 | Exemplo: 40 acessos/h, 16 h/dia e 250 dias/ano, totalizando 160 000 solicitações/ano. Interior industrial, 5–40 °C, fluido de corte e aparas. Outras condições devem ser consideradas. | 5.2.1.2; 5.2.1.3 j) |
| Prioridade / REQ-10 | O pedido da função tem prioridade sobre o START normal do grampo. A interação com outras funções não pode eliminar a retenção da peça nem permitir acesso prematuro. | 5.2.1.3 k) |
| Norma tipo C / APP-03 | Verificar o âmbito e os requisitos de fixação e acesso. Para esta máquina hipotética, considerar a ISO 16090-1. Os pontos aplicáveis e o resultado devem ser registados antes de fechar a SRS. | 5.2.1.3 l) |
| Regresso ao funcionamento / REQ-08 | Após restabelecer os estados exigidos: rearme intencional separado e comando de arranque separado. Fechar o protetor, rearmar ou restabelecer a alimentação não inicia o grampo. | 5.2.1.3 m) |
| Verificação e versão | Relacionar REQ-01…10 com análises, ensaios VT-01…06, projeto e configuração avaliada. Mudanças de peça, modo ou parâmetros exigem avaliação do impacto. | 5.4; 10; 12 a) |
A ficha de uma função é apenas um fragmento da SRS. Faltam os limites da máquina, as tarefas humanas, as entradas da apreciação do risco, as restantes funções, as interfaces e o controlo documental. Cada «não aplicável» precisa de justificação.
Também devem ficar visíveis as questões em aberto. Um PLr em falta ou uma condição de acesso indefinida não desaparecem com uma assinatura num formulário concluído.
O exemplo em PDF da SafetySoftware inclui o caso desenvolvido, a ficha SF-01, critérios de ensaio e fichas preenchíveis para o projeto, as funções e a ligação às evidências. O exemplo mostra o método; os campos devem receber as decisões reais da equipa.
Descarregar o exemplo SRS e as fichas preenchíveis (PDF, em inglês)
A SRS deve acompanhar toda a tarefa, incluindo a perda de energia. Ativação, movimento, retenção da peça, tempo de atuação e regresso ao funcionamento precisam de requisitos acordados e rastreáveis.
Projetista mecânico e técnico de automação precisam das mesmas decisões. Por isso, os requisitos têm nomes, identificadores, versões e ligações à apreciação do risco. Mais tarde serão ligados ao projeto e aos resultados das verificações.
O registo pode ser mantido num documento, em fichas ou num sistema controlado. A norma exige conteúdo, não um único modelo obrigatório. Assim construído, o registo suporta o projeto segundo 5.2.1.1, inclui os requisitos de 5.2.1.3 e integra a documentação técnica referida no capítulo 12 a).
Agora é preciso executar o que ficou escrito
Já sabemos como o operador posiciona a peça, que movimentos são necessários e o que deve acontecer se faltar energia. As funções receberam PLr. Alguém pode concluir, numa reunião, que a segurança está resolvida.
Até agora apenas acordámos o que deve ser feito. A máquina ainda não o faz.
Selecionamos a arquitetura e os subsistemas, desenvolvemos lógica e parâmetros e verificamos cargas, diagnóstico, ambiente e interação com a mecânica. A válvula deve conduzir o sistema ao estado requerido; a função do acionamento deve corresponder ao movimento real.
O dispositivo de fixação também tem de ser construído e verificado. É a sua geometria que deve permitir o método escolhido. Uma condição correta no programa não substitui a peça mecânica que deveria sustentar o componente sem a mão do operador.
Subsistemas previamente validados podem poupar tempo, desde que se cumpram as condições de integração e se respeitem os seus limites de utilização. Só agora os blocos comprovados fazem sentido: já conhecemos a função exigida.
Na avaliação do PL alcançado verificamos a relação com o PLr, fiabilidade, arquitetura, diagnóstico e falhas de causa comum. Consideramos ainda falhas sistemáticas, software, ambiente e ergonomia. O âmbito destes cálculos é desenvolvido no artigo sobre o PL segundo a ISO 13849-1.
Mesmo com um cálculo correto, o programa pode autorizar movimento no modo errado. O modelo de fiabilidade continuará impecável; o erro estará na condição lógica. É essa condição que tem de ser encontrada e ensaiada.
Antes da declaração, todo o trabalho tem de estar feito
A SRS, por si só, não permite declarar conformidade integral com a ISO 13849-1. São necessárias as atividades de projeto, verificação, validação e documentação correspondentes a todos os requisitos aplicáveis.
Escrever o número da norma é rápido. Executar o trabalho representado por esse número ocupa mais do que uma linha numa declaração.
A ausência da ISO 12100 numa lista não prova, por si só, que a apreciação do risco foi omitida. O que demonstra o trabalho são o conteúdo, as decisões e a sua utilização no projeto. Pelo contrário, uma encomenda que diga apenas «fazer PL d», sem tarefa nem proteção definida, continua sem entradas fundamentais.
Depois de implementar a solução, regressamos à apreciação do risco da máquina completa. Confirmamos a redução pretendida e verificamos se foi alcançada sem introduzir novos perigos.
Um dispositivo alterado pode segurar melhor a peça, mas exigir outro método de remoção. Essa nova tarefa também tem de ser analisada. O processo iterativo da ISO 12100 regressa à máquina real, não termina no desenho corrigido.
A SRS abre o trabalho que depois terá de ser demonstrado. Seleção, integração, avaliação do PL, verificação e validação provam que a função implementada cumpre os requisitos nas condições previstas. O documento não executa a função.
A máquina parou. O ensaio ainda não terminou
Voltamos a abrir o protetor. Agora sabemos que movimentos devem cessar, em quanto tempo e como a peça deve permanecer segura. O controlador indica o estado esperado. A pessoa que conduz a verificação também observa o mecanismo.
É necessário confirmar movimento, carga, retenção e regresso ao funcionamento. Cada resultado é comparado com um requisito concreto. Uma indicação no ecrã não descreve o resultado completo.
Este trabalho começou antes da construção. O ponto 5.4 exige uma revisão da SRS antes do projeto: as funções correspondem à apreciação do risco? O registo contém os requisitos necessários?
A validação da SRS segundo 10.2 permite encontrar omissões, erros e incompatibilidades com a aplicação, as condições e a utilização indevida razoavelmente previsível. É muito mais barato descobrir uma tarefa esquecida enquanto o dispositivo ainda existe apenas no desenho.
A validação da implementação verifica o cumprimento da SRS e dos restantes requisitos aplicáveis, através de análises e ensaios planeados. As análises podem decorrer em paralelo com o projeto; os ensaios finais na máquina física fecham a parte correspondente.
Ensaiemos também o movimento de que o operador precisa
No protetor verificamos ativação, reação, tempo e manutenção do estado requerido. Depois passamos ao posicionamento da peça. Se a SRS permitir movimento durante o acesso, o ensaio é realizado precisamente nessas condições.
Seguem-se mudança de modo, conclusão da tarefa, rearme e novo arranque. O operador deve percorrer toda a sequência acordada. Abrir a porta uma vez com sucesso não reproduz o trabalho feito em centenas de peças.
Numa linha, observamos também a máquina vizinha. Confirmar que o respetivo controlador recebeu o sinal é apenas uma parte. Continua a ser necessário demonstrar o estado requerido do sistema integrado, com atrasos e interações reais.
Protocolos separados dos fornecedores não param material numa interface. Esse comportamento tem de ser ensaiado no âmbito de integração acordado.
O plano inclui análises e ensaios do comportamento perante defeitos, perda de sinais e alterações de alimentação. Os ensaios precisam de condições preparadas e controladas, bem como de proteção adequada para as pessoas competentes que os executam.
No protocolo ficam a condição do ensaio, o critério, o resultado e a configuração da máquina. Nas medições de tempo, registam-se também o método e as condições. A pessoa seguinte deve saber que carga foi ensaiada e que comportamento foi aceite.
O programa foi corrigido. O protocolo ainda se lembra da versão anterior
O técnico alterou a condição de autorização do movimento, mas o plano de ensaio continua a verificar a anterior. Os dois documentos podem ser fechados, embora descrevam configurações diferentes.
Por isso, requisito, projeto e evidência devem referir-se à mesma versão avaliada. Acompanhamos a alteração desde a SRS até aos resultados correspondentes e avaliamos o impacto nas restantes funções.
A norma recomenda independência entre quem valida e quem projeta as SRP/CS. Alguém de fora do projeto tende a questionar pressupostos que o autor já deixou de ver. São necessárias competência, processo adequado e resultados documentados.
Isto não cria uma obrigação geral de certificação externa para cada função. O que foi demonstrado depende do trabalho realizado e do seu âmbito.
Um protocolo que diz apenas «a função opera» é curto. Infelizmente, deixa muito mais trabalho à pessoa que tiver de descobrir que versão, carga, modo e comportamento foram realmente ensaiados.
Alguns meses depois chega uma peça maior
A peça maior cabe na mesa e o dispositivo consegue fechar. Na fábrica surge a frase habitual: «a máquina consegue fazê-lo». Antes de experimentar, regressamos aos limites da máquina.
O ponto 5.3 da ISO 12100 abrange limites de utilização, espaço, tempo e outros limites. Verificamos peças e ferramentas previstas, cargas, método de fixação e espaço necessário ao operador. A dimensão da mesa não define sozinha a utilização admissível.
Se a nova tarefa estiver dentro do âmbito avaliado, pode ser uma mudança de produção prevista. Confirmamos se continuam cumpridas as condições de proteção. Uma peça maior não implica necessariamente reconstruir a máquina.
Mas suponhamos que o operador tem agora de se aproximar pelo lado oposto, invisível a partir do rearme. Ou que uma nova ferramenta aumenta o tempo de paragem acima do valor usado no projeto. Mudou um pressuposto em que a eficácia da proteção assentava.
Nenhum módulo foi substituído no armário. A lista de componentes parece tranquilizadora. Só que não diz por onde entra a mão do operador.
Regressamos aos limites, à apreciação do risco e aos requisitos da SRS. Avaliamos o impacto no projeto e nos resultados anteriores. A nova tarefa só é autorizada depois de implementar a proteção necessária e concluir as verificações e validações correspondentes.
Acrescentar a peça à documentação não justifica, por si só, a ampliação da utilização.
O mesmo vale para as condições de manutenção da proteção. Se depender de inspeção, ajuste, substituição de elementos ou tempo de utilização, essa informação deve chegar a quem executa essas tarefas.
Uma alteração necessária para a nova aplicação também pode constituir uma modificação substancial. Uma peça maior ou a ultrapassagem dos limites anteriores não decide automaticamente a questão; aplicam-se os critérios jurídicos relativos à modificação realizada.
O Regulamento (UE) 2023/1230 define-os no artigo 3.º, ponto 16, e estabelece no artigo 18.º as obrigações de quem efetua uma modificação substancial. Estas disposições são aplicáveis a partir de 20 de janeiro de 2027. Atualizar a SRS é apenas uma parte do trabalho que essa modificação pode desencadear.
Antes de encomendar o próximo conjunto
Voltemos ao operador com a peça na mão. A análise de uma única tarefa revelou uma falha que não aparecia no catálogo dos equipamentos nem no relatório do PL. Foi necessário acordar dispositivo de fixação, acesso, movimentos e comportamento após perda de energia.
Essas decisões criaram uma tarefa de projeto. Agora é possível selecionar o comando e demonstrar que executa a proteção necessária. Certificados e cálculos passam finalmente a ter algo concreto a que se referir.
Na próxima máquina, percorra este caminho com alguém que conheça o trabalho real. Encontre a tarefa e os perigos na apreciação do risco, os requisitos na SRS e as respostas no projeto e nas evidências de verificação. Assim torna-se visível o ponto em que a justificação foi interrompida.
E quando, junto de um armário já pronto, alguém perguntar se a segurança está concluída, mostre como o operador fixa a peça e o que o protege durante essa tarefa. Normalmente, isso encerra depressa a conversa limitada aos componentes.
Fontes e âmbito dos exemplos citados
A base são as edições e os pontos indicados. Os exemplos explicam como formular requisitos; cada máquina exige a verificação do âmbito de aplicação relevante.
- ISO 13849-1:2023 , segurança de máquinas — partes dos sistemas de comando relacionadas com a segurança — Parte 1: princípios gerais de projeto: 4.1–4.6, 5.1–5.4, incluindo 5.2.1.3 e 5.2.2–5.2.3, capítulos 6–10 e 12–13.
- ISO 12100:2010, segurança de máquinas — princípios gerais de projeto — apreciação e redução do risco: capítulos 4–6, em especial 5.3–5.4.
- ISO 16090-1:2022 , segurança de máquinas-ferramentas — centros de maquinagem, fresadoras e máquinas de transferência — Parte 1: requisitos de segurança: 5.2.5.5, fixação da peça.
- EN 16500:2014 , máquinas para compactação de resíduos ou frações recicláveis — prensas verticais de enfardamento — requisitos de segurança: 5.1.4 e 5.2.2. O âmbito citado é o de determinadas enfardadeiras verticais fechadas com atadura manual. Esta edição remete para a EN ISO 13849-1:2008.
- ISO 11161:2007 com Amd 1:2010, segurança de máquinas — sistemas de fabrico integrados — requisitos básicos: 7.1–7.2, 8.1.4 e 8.8–8.10. O exemplo trata de tarefas, interfaces e alcance da proteção.
- ISO 13855:2024, segurança de máquinas — posicionamento das medidas de proteção relativamente à aproximação do corpo humano: anexos B e D, dados e condições de avaliação da paragem.
- Regulamento (UE) 2023/1230 do Parlamento Europeu e do Conselho relativo às máquinas : artigo 3.º, ponto 16, definição de modificação substancial; artigo 18.º, obrigações de quem efetua a modificação; artigo 54.º, datas de aplicação.