O que a ISO 13849 realmente exige para as funções de arranque, paragem e reposição

A maior parte das equipas não compreende a norma ISO 13849 antes de o primeiro fio ser colocado.

Aqui está a armadilha.

Tratam “arrancar”, “parar” e “reiniciar” como três verbos comuns do painel de controlo, quando a ISO 13849-1:2023 coloca uma questão mais fria: qual destas acções faz parte de uma função de segurança, qual o nível de desempenho exigido - PLr - que a avaliação de risco atribuiu e podem as partes do sistema de controlo relacionadas com a segurança, o SRP/CS, provar esse comportamento em condições de falha?

Isso muda tudo, não é?

Página própria da ISO para ISO 13849-1:2023 afirma que a norma abrange a conceção e a integração de partes relacionadas com a segurança dos sistemas de controlo que desempenham funções de segurança, incluindo software, em tecnologias eléctricas, hidráulicas, pneumáticas e mecânicas. Também diz algo que os compradores ignoram habitualmente: A ISO 13849-1 não não especificar as funções de segurança ou PLr necessárias para uma determinada máquina. Isso resulta da avaliação do risco, das normas do tipo C, da conceção da máquina e do perigo real.

Por isso, quando alguém pergunta: “A ISO 13849 exige um botão de reinicialização?”, a minha resposta é normalmente: pergunta errada.

A melhor pergunta é esta: após uma paragem de proteção, um disparo do interbloqueio, uma interrupção da cortina de luz, uma paragem de emergência, uma perda de energia ou uma avaria, a máquina pode voltar a arrancar de uma forma que exponha uma pessoa a movimentos perigosos?

Se sim, a reposição não é um botãozinho educado. Faz parte do argumento de segurança.

A norma não está a abençoar os seus botões de pressão

Tenho uma opinião forte a este respeito: demasiados painéis de controlo são construídos como se o projetista tivesse copiado um esquema antigo e depois espalhado etiquetas de segurança por cima. Arranque verde. Paragem vermelha. Reposição azul. Talvez um seletor com chave, se o orçamento permitir a compra.

Teatro fino.

Mas os requisitos da ISO 13849 não têm a ver com cores, placas de etiquetas ou com o facto de a tampa do botão ter um aspeto “suficientemente industrial”. A norma preocupa-se com a função de segurança: a entrada do sensor, o processamento lógico, a comutação de saída, a deteção de falhas, a cobertura de diagnóstico, a resistência a falhas por causas comuns, o tempo de resposta e as provas de validação.

Isso significa que um botão de arranque é normalmente não uma função de segurança por si só. Uma função de paragem pode ser. Uma função de reinicialização torna-se frequentemente relacionada com a segurança quando restaura a permissão de funcionamento após uma exigência de segurança.

O resumo da DGUV sobre a quarta edição da EN ISO 13849-1 refere que a especificação dos requisitos de segurança deve incluir itens como o estado seguro, PLr, tempo de resposta permitido, modos de funcionamento activos, interfaces de controlo da máquina, comportamento após perda de energia e as condições que permitem o reinício após uma função de segurança ter sido solicitada. Também afirma que a reinicialização manual agora precisa de uma mudança de sinal monitorada - praticamente, uma borda ascendente ou descendente - para reduzir o uso indevido previsível no Resumo da quarta edição do DGUV.

Esta última frase é importante.

Um contacto de reposição soldado mantido permanentemente alto não deve autorizar silenciosamente o reinício. Uma entrada de reposição bloqueada não deve tornar-se uma ponte mágica em torno de um perigo. E uma estação de reposição dentro da zona de perigo? Não me interessa se o diagrama elétrico está bem organizado; é assim que as máquinas más são defendidas por desenhos bonitos.

Iniciar, parar e reiniciar: A tabela que ninguém quer na revisão do projeto

Antes de alguém discutir sobre a Categoria 3 versus Categoria 4, ou PL d versus PL e, force a equipa a definir o que cada função está realmente a fazer. Eu usaria esta tabela na primeira revisão do projeto, não na última.

Função	O que as pessoas pensam que significa	O que a ISO 13849 obriga a perguntar	Risco típico de conceção	Provas que eu esperaria
Iniciar / Reiniciar	“Fazer funcionar a máquina”	Um comando de arranque pode criar um movimento perigoso depois de uma função de segurança ter sido activada?	O comando Start funciona como uma permissão de reinício não intencional	Avaliação dos riscos, lógica do modo de funcionamento, conceção do encravamento de rearranque, ensaio de validação
Função de paragem relacionada com a segurança	“Parar quando não for seguro”	Que estado de segurança deve ser atingido, em que tempo de resposta e com que PLr?	O caminho de paragem depende de um único contactor ou válvula não monitorizado	Cálculo PL, ensaio de paragem, DCavg, MTTFD, pontuação CCF, exclusões de falhas
Função de reinicialização manual	“Desativar o alarme”	A reposição repõe a prontidão das funções de segurança sem iniciar um movimento perigoso?	A reposição torna-se um comando de arranque indireto	Rearme do bordo monitorizado, localização externa do rearme, visibilidade da zona de perigo
Paragem de emergência	“Botão vermelho grande”	Anula o arranque e mantém a paragem até à sequência deliberada de reposição/reinício?	A reposição da paragem de emergência reinicia a máquina ou mascara uma avaria	IEC 60204-1 revisão lógica, registo de validação, procedimento de teste periódico
Interrupção da cortina de luz	“Viga partida, a máquina pára”	O caminho OSSD atinge o PLr necessário e impede o reinício automático?	O campo de proteção desaparece e a máquina reinicia enquanto uma pessoa ainda está exposta	Distância de segurança, tempo de resposta, cablagem OSSD, encravamento de rearranque

Versão curta? Não.

Não é permitido que um comando de arranque se transforme numa escapatória para contornar uma exigência de segurança e não é permitido que a reposição actue como “arranque com melhores maneiras”, especialmente em máquinas em que uma pessoa pode ainda estar dentro de uma área protegida, a limpar um encravamento, a passar por um portão ou a ficar atrás de um ponto de acesso com vários lados.

É aqui que um verdadeiro seleção de cortinas de luz de segurança para máquinas A discussão torna-se muito mais do que escolher a inclinação do feixe e a altura de proteção. Se o dispositivo apenas interrompe o movimento, mas a lógica de reinício é desleixada, o hardware ótico é responsabilizado por uma falha nos controlos.

A dura verdade sobre as funções de paragem relacionadas com a segurança

Uma função de paragem relacionada com a segurança não é a mesma coisa que premir stop na HMI.

Deve levar a máquina a um estado seguro definido quando a função de segurança é exigida e tem de cumprir o PLr atribuído ao risco. Isto pode significar canais redundantes, contactores monitorizados, lógica PLC de segurança, binário seguro, válvulas de descarga hidráulicas, escape pneumático, travões mecânicos ou uma combinação destes.

A diretiva da OSHA guia de proteção de máquinas apresenta o ponto de vista mais lato numa linguagem regulamentar mais simples: a proteção protege os trabalhadores das áreas perigosas das máquinas e o bloqueio/etiquetagem tem de complementar a proteção durante a assistência e a manutenção. Esta não é a terminologia da ISO, mas a sobreposição prática é óbvia. Uma função de paragem que funcione durante a produção pode não proteger alguém durante a eliminação de encravamentos, ajuste, limpeza ou manutenção.

Já vi o mesmo erro repetir-se em ficheiros de incidentes: as pessoas projectam para o ciclo normal e depois ficam surpreendidas quando a lesão ocorre durante um trabalho anormal.

Claro que sim.

As máquinas magoam as pessoas durante a limpeza, recuperação, mudança, bypass, reinício e “apenas um ajuste rápido”. É exatamente por isso que os requisitos de reinicialização de arranque e paragem da ISO 13849 devem estar associados aos modos de funcionamento, à utilização indevida previsível e ao comportamento de manutenção - e não apenas ao ciclo automático.

Se uma proteção se abrir, uma cortina de luz disparar ou um tapete de segurança detetar uma presença, a máquina não deve simplesmente parar. Deve parar através de um caminho de controlo relacionado com a segurança que ainda se comporte sob falhas credíveis.

Esta é a fronteira entre uma função de controlo industrial e uma função de segurança.

A reposição é onde se escondem os maus desenhos

A reposição parece inofensiva. Mas não é.

Uma função de segurança de rearme manual, de acordo com a norma ISO 13849, deve restabelecer a função de segurança depois de a causa da paragem ter sido eliminada; não deve iniciar por si só um movimento perigoso. Volto a dizer isto porque é a frase que eu colocaria na parede de todas as oficinas de quadros: reiniciar preparações; iniciar comandos.

Uma função de reinicialização adequada de acordo com a norma ISO 13849 necessita normalmente de quatro elementos:

1. A situação de perigo foi eliminada.
2. O dispositivo de reinicialização está fora da zona de perigo.
3. O operador pode verificar se a zona de perigo está livre.
4. A entrada de reset é monitorizada como uma mudança de sinal deliberada, não como uma permissiva permanentemente mantida.

É por isso que a estação de reposição é importante em máquinas com várias entradas. Se uma pessoa puder ficar atrás da cortina, à volta da instalação ou dentro da cela enquanto outra pessoa faz a reposição a partir de um local cego, não existe um problema de reposição. Temos um problema de corpo na zona.

Para máquinas com vários pontos de acesso, um cortina de luz de proteção de acesso multifacetado pode reduzir os caminhos de aproximação cegos, mas ainda não pode reparar uma lógica de reinício incorrecta. O hardware vê. A lógica decide.

E é na lógica que as empresas se expõem.

Ficheiros de casos: O sector continua a reaprender a mesma lição

Deixemos de fingir que isto é teoria.

Em 26 de agosto de 2022, de acordo com um Ficheiro de acidentes da OSHA sobre uma máquina de madeira serrada Sharp Chain Modelo 3916-001, Na sequência de um acidente de trabalho, um trabalhador de 44 anos entrou na máquina para desobstruir um bloqueio num sensor de lentes foto-oculares/cabeça de filtragem. Quando o bloqueio foi eliminado, a máquina activou-se. O trabalhador ficou preso e esmagado entre o perfilador e a estrutura e morreu devido a lacerações na lâmina e a um traumatismo por força bruta.

Esta é a lógica de arranque/rearranque escrita a sangue.

Em 9 de maio de 2021, a OSHA registou outro caso de reinício automático em que um trabalhador tentou reiniciar uma máquina de costura mecânica automatizada após o desalinhamento de um produto. A cortina de luz foi desativada, a máquina foi reenergizada e a mão esquerda do funcionário ficou presa na lâmina de corte, causando uma amputação do dedo indicador, de acordo com o Dados sobre acidentes OSHA para a costureira mecânica automatizada.

Máquina diferente. O mesmo padrão.

E depois há a United Hospital Supply. Segundo a OSHA, os supervisores e os empregados contornaram deliberadamente uma cortina de luz de um travão de prensa antes de um trabalhador do primeiro dia sofrer três amputações de dedos. A empresa enfrentou $498.464 em multas propostas e foi colocada no Programa de Execução de Violadores Graves, de acordo com o site da OSHA 17 de maio de 2023 United Hospital Supply release.

Esta deveria fazer calar todas as conversas sobre “desvio temporário”.

Em 2023, o BLS registou 226 acidentes mortais que envolveram trabalhadores atingidos, apanhados ou comprimidos por equipamentos eléctricos em funcionamento; 48 desses acidentes envolveram trabalhos de manutenção, limpeza ou ensaio e 53 envolveram trabalhadores apanhados ou enredados em equipamentos eléctricos em funcionamento em Quadro A-9 do CFOI do BLS para 2023. Não se trata de casos raros. Trata-se de um padrão industrial com facturas, citações, amputações, funerais e advogados associados.

Requisitos da ISO 13849: O que o SRS deve realmente dizer

A especificação dos requisitos de segurança - SRS - é onde as equipas se tornam honestas ou começam a criar ficção.

Para as funções de arranque, paragem e reposição, esperaria que o SRS definisse:

• Perigo da máquina: esmagamento, cisalhamento, emaranhamento, corte, arrastamento, impacto, exposição de pessoas presas.
• Evento de disparo: proteção aberta, OSSD desligado, paragem de emergência premida, perda de pressão, falha do servo, falha de interbloqueio, mudança de modo, restauração de energia.
• Estado de segurança: STO ativo, pressão hidráulica removida, energia pneumática esgotada, travão engatado, movimento parado, ferramenta retida, velocidade perigosa reduzida.
• PLr: PL c, PL d, ou PL e, com base numa avaliação dos riscos.
• Arquitetura: Categoria B, 1, 2, 3 ou 4.
• Cobertura de diagnóstico: Valor DCavg e método de monitorização.
• Pressupostos MTTFD: contactor B10d, dados da válvula, dados do relé, dados do sensor, ciclos de funcionamento.
• Pontuação CCF: separação, diversidade, proteção contra a contaminação, CEM, sobretensão, formação, revisão da conceção.
• Tempo de resposta: resposta do sensor + lógica de segurança + dispositivo de saída + tempo de paragem da máquina.
• Comportamento de rearme: ativado por um extremo, deliberado, visível a partir da posição de segurança, sem movimento perigoso apenas por rearme.
• Condições de arranque: comando de arranque separado, eliminação da zona, restabelecimento de todas as funções de segurança, eliminação de falhas.

Não se trata de papelada por papelada. É a forma de impedir que uma revisão de projeto se transforme numa luta de opiniões.

Se estiver a especificar uma proteção ótica, comece pelo risco. A proteção dos dedos pode levar a uma resolução de 10 mm ou 14 mm. A proteção das mãos pode permitir uma resolução mais ampla, dependendo da distância e do risco. Para pontos de acesso mais pequenos ou maquinaria de precisão, uma cortina de luz de alta precisão pode justificar-se uma discussão. Para prensas, máquinas hidráulicas e pontos de acesso largos, um cortina de luz para máquinas pesadas pode adaptar-se melhor à realidade mecânica.

Mas não se deve confundir seleção de produtos com conceção de segurança funcional.

Uma cortina de luz do tipo 4 ligada a uma corrente de reinicialização mal concebida é como um capacete com a tira do queixo cortada. Parece responsável até ao impacto.

As equipas de aquisição de detalhes do OSSD continuam a falhar

As saídas OSSD não são decorativas.

Uma cortina de luz de segurança OSSD dupla pode alimentar um relé de segurança ou um PLC de segurança com sinais redundantes e monitorizados. Isso é importante quando o objetivo da função de segurança é suficientemente elevado para exigir a deteção e tolerância de falhas. É uma das razões pelas quais uma cortina de luz de segurança de dupla saída com redundância OSSD pertence à conversa quando o risco da máquina aponta para um PLr mais elevado.

Mas aqui está o mau hábito da indústria: a aquisição pede OSSD e depois ignora o resto do SRP/CS.

Um PLC de segurança sozinho não dá PL e. Um relé com uma caixa amarela não dá PL e. A cadeia completa é importante: entrada, lógica, saída, cablagem, diagnóstico, pressupostos ambientais, validação e disciplina de manutenção.

É por isso que a própria comparação do site de cortinas de luz de segurança vs cortinas de luz sem segurança é uma ligação interna útil neste caso. A distinção não é cosmética. Uma categoria de dispositivos destina-se a detetar coisas. A outra destina-se a ajudar a manter as pessoas fora de movimentos perigosos quando devidamente integrada.

Tipo 2, Tipo 4, PLr e a mentira da redução de custos

Eis a minha opinião polémica: muitos dos debates entre o Tipo 2 e o Tipo 4 não são debates técnicos. São pressões de redução de custos disfarçadas de engenharia.

Se a lesão credível for ligeira, a exposição for controlada e a avaliação do risco o suportar, as funções de segurança de desempenho inferior podem ser válidas. Mas se a lesão credível for uma amputação, esmagamento ou morte, quero ver um argumento escrito muito sério antes de alguém se inclinar para baixo.

O guia interno sobre Cortinas ópticas de segurança do tipo 2 e do tipo 4 encaixa-se naturalmente aqui porque a ISO 13849 não pergunta “Qual o dispositivo mais barato?”. Pergunta se a função de segurança alcança o PLr.

E o PLr não é uma vibração.

É derivado da gravidade da lesão, da frequência ou duração da exposição e da possibilidade de evitar o perigo. Uma vez definido o PLr, a conceção da SRP/CS deve alcançá-lo através dos controlos de arquitetura, MTTFD, DCavg e CCF.

Isto significa que a lógica de arranque, paragem e reinicialização não pode ser avaliada isoladamente. Têm de ser avaliadas como comportamento no interior da função de segurança.

O que significa “realmente necessário” na linguagem do chão de fábrica

Então, o que é que a norma ISO 13849 exige realmente para as funções de arranque, paragem e reposição?

É preciso provas, não esperanças.

Para uma função de paragem relacionada com a segurança, é necessário um estado seguro definido e uma arquitetura de controlo que atinja o PLr necessário. Para uma função de rearme manual, é necessária uma ação deliberada que restabeleça a prontidão sem iniciar um movimento perigoso. Para uma função de arranque/rearranque, é necessário evitar um arranque inesperado ou automático após uma exigência de segurança, a menos que as condições de arranque e de rearranque sejam intencionalmente satisfeitas.

Esta é a versão simplificada.

A versão mais profunda é mais feia: é necessário projetar contra o operador que elimina um congestionamento às 2:00 da manhã, o supervisor que quer a linha de volta, o técnico que grava um sensor “só para testar”, o integrador que assume que o programa PLC é problema de outra pessoa e o comprador que pensa que a cotação da cortina de luz é o plano de segurança.

Não é.

Se a sua máquina puder reiniciar após a eliminação de um bloqueio, após o regresso da energia, após o fecho de uma proteção ou após o restabelecimento de um campo de cortina de luz sem uma sequência de segurança deliberada, então a ISO 13849 não é o seu maior problema. A física é que é.

FAQs

Quais são os requisitos da norma ISO 13849 para as funções de arranque, paragem e reposição?

Os requisitos da ISO 13849 para as funções de arranque, paragem e reinício são deveres de conceção e validação para o comportamento de controlo relacionado com a segurança, exigindo que o construtor de máquinas defina cada função de segurança, atribua PLr, conceba o SRP/CS, verifique a resposta a falhas e evite que a lógica de reinício ou reinício crie movimentos perigosos.
Em termos práticos, o botão de arranque não deve anular uma exigência de segurança, a função de paragem deve atingir o estado de segurança definido e a reposição só deve restabelecer a permissão depois de a condição perigosa ter sido eliminada.

Uma função de reinicialização está sempre relacionada com a segurança ao abrigo da norma ISO 13849?

Uma função de reposição está relacionada com a segurança quando restaura ou ativa uma função de segurança após uma paragem de proteção, falha, disparo de interbloqueio, interrupção de cortina de luz ou paragem de emergência, especialmente quando uma reposição incorrecta pode permitir movimentos perigosos ou expor uma pessoa dentro da zona de perigo.
Se a reposição apenas apagar uma mensagem de diagnóstico não relacionada com a segurança, pode não fazer parte da SRP/CS. Mas se a reposição afetar a permissão de reinício, trate-a com suspeita e documente a lógica.

Uma máquina pode reiniciar-se automaticamente depois de uma cortina de luz desaparecer?

Uma máquina não deve reiniciar-se automaticamente após o desaparecimento de uma cortina de luz, quando uma pessoa pode ainda estar exposta a um movimento perigoso, porque o reinício requer normalmente a confirmação da zona de segurança, o restabelecimento da função de segurança e uma ação de arranque deliberada separada após qualquer reinício manual necessário.
Esta é a diferença entre “o feixe está desimpedido” e “a máquina está segura para funcionar”. Não são a mesma frase.

Qual é a diferença entre paragem e paragem de emergência na conceção da norma ISO 13849?

Uma paragem de segurança é uma função de segurança definida que coloca a máquina num estado seguro em condições e PLr especificados, enquanto a paragem de emergência é uma função de proteção suplementar destinada a uma intervenção humana urgente e não deve substituir uma proteção adequada ou uma redução normal dos riscos.
Numa boa conceção, as funções de paragem sobrepõem-se às funções de arranque relacionadas, mas a paragem de emergência não deve ser utilizada como paragem principal da produção ou como compensação por uma proteção deficiente.

Que documentos comprovam a conformidade com a norma ISO 13849 para a lógica de reposição e reinício?

A conformidade com a norma ISO 13849 para a lógica de reinicialização e rearranque é normalmente apoiada por uma avaliação de riscos, especificação de requisitos de segurança, determinação de PLr, arquitetura SRP/CS, dados de fiabilidade de componentes, pressupostos de cobertura de diagnóstico, pontuação CCF, diagramas de circuitos, revisão de software, testes de validação e verificações registadas do comportamento de reinicialização.
Se o ficheiro não puder mostrar como a reposição se comporta após falhas, perda de energia, abertura de proteção, interrupção de OSSD e alterações de modo, não está terminado. Está apenas montado.

O seu próximo passo antes de a máquina receber um voto

Não comece por pedir uma cortina de luz mais barata.

Comece por escrever a função de segurança.

Defina o perigo, o estado seguro, o PLr, o tempo de paragem, a sequência de reposição, as condições de reinício, os modos de funcionamento, os pontos de acesso e os testes de prova. Em seguida, escolha o hardware que pode suportar essa conceção: relé de segurança, PLC de segurança, contactores, válvulas, accionamentos STO, cortinas de luz OSSD, encravamentos ou proteção multifacetada.

Se a sua equipa já estiver a analisar uma máquina com um comportamento de arranque/rearranque pouco claro, utilize a função interna recursos de seleção de dispositivos de segurança e, em seguida, solicitar uma revisão de engenharia através de Página de contacto da Safety Curtain. Traga o layout da máquina, dados de tempo de paragem, altura de proteção necessária, resolução, gama de deteção, tipo de saída, tensão, requisitos de cabos e mercado alvo.

Porque a verdade nua e crua é simples: A ISO 13849 não se preocupa com o facto de a máquina “funcionar normalmente”. Preocupa-se com o que acontece quando a coisa errada acontece no momento errado.