A conformidade com a ISO 13849 é alcançada definindo uma função de segurança da máquina, determinando o nível de desempenho requerido (PLr), projetando e avaliando toda a cadeia entrada-lógica-saída e validando a resposta da máquina instalada. Um atuador rotativo não se torna, por si só, “conforme com a ISO 13849”. A válvula, a realimentação, a carga mecânica e o comportamento em caso de falha têm de suportar o estado seguro especificado.
Esta distinção é importante. Um circuito pode atingir por cálculo o PL exigido e, ainda assim, deixar uma mesa rotativa continuar por inércia, deixar cair uma carga excêntrica, reter pressão perigosa ou arrancar novamente quando o ar regressa. O cálculo e a resposta física têm de coincidir.
Pontos essenciais
- A ISO 13849-1 define cinco níveis de desempenho, mas não atribui um PLr a uma determinada aplicação com atuador rotativo.
- Defina o ângulo de paragem, o comportamento de retenção, o estado da pressão e as condições de rearranque antes de selecionar válvulas ou sensores.
- Valide o eixo instalado perante falhas credíveis. Um resultado do SISTEMA, por si só, não constitui validação da máquina.
O que significa conformidade com a ISO 13849 para um atuador rotativo?
A ISO 13849-1:2023 aplica-se a sistemas de comando relacionados com a segurança que utilizem tecnologias elétricas, hidráulicas, pneumáticas, mecânicas e de software. Fornece um método de projeto e avaliação, mas não prescreve uma função de segurança nem um PLr para uma aplicação específica. A conformidade pertence, portanto, à função de segurança definida para a máquina, não a uma designação genérica do atuador.
A função de segurança pode impedir uma rotação inesperada quando uma proteção se abre. Pode parar uma mesa indexadora dentro de um ângulo medido, reter uma carga excêntrica ou impedir o rearranque até haver uma reposição deliberada. Cada função necessita do seu próprio acionamento, estado seguro, PLr, arquitetura, cálculo e evidência de validação.
PLr é o nível de desempenho requerido atribuído a uma função de segurança. PL é o nível alcançado pelo projeto implementado e demonstrado através da avaliação e validação. Não são designações intercambiáveis.
Não misture a terminologia de PL e SIL. A ISO 13849 utiliza níveis de desempenho de a a e. Normas como a IEC 62061 utilizam níveis de integridade de segurança. Um produto pode publicar dados para mais do que um referencial, mas a expressão “atuador PLe” não substitui a avaliação da função de segurança completa segundo a ISO 13849.
Para uma explicação mais abrangente de PLr, Category, MTTF_D, DCavg e CCF, consulte o guia de circuitos pneumáticos de segurança segundo a ISO 13849. Este artigo concentra-se no estágio de saída rotativo e na resposta da máquina.
A pergunta mais útil para a conformidade não é “Que atuador tem a classificação mais elevada?”. É: Que falha ainda pode provocar uma rotação perigosa depois de o sistema de comando exigir o estado seguro? A resposta determina se o atuador, a transmissão, o dispositivo de retenção, os sensores e o comportamento da carga têm de fazer parte da análise de segurança.
Como definir a função de segurança e o estado seguro?
A ISO 12100:2010 fornece o referencial de avaliação de riscos de máquinas que antecede o projeto do sistema de comando. A ISO 14118:2017 também trata o arranque inesperado devido à energia pneumática, energia acumulada como gravidade ou molas e influências externas. Comece pelo perigo e pela resposta mensurável, não por um circuito de válvulas preferido.
Escreva uma especificação para cada função de segurança. “Parar o atuador rotativo em segurança” é demasiado vago para ser validado. Uma especificação útil identifica:
| Requisito | Exemplo de eixo rotativo |
|---|---|
| Acionamento | O encravamento da proteção abre durante a indexação automática |
| Perigo | A ferramenta pode atingir ou prender uma pessoa na zona varrida |
| Resposta exigida | Remover o binário motor e parar a rotação |
| Limite do estado seguro | Não exceder o percurso angular validado após a solicitação |
| Condição de retenção | O veio permanece dentro da banda de posição admissível sob a carga mais desfavorável |
| Condição de pressão | As câmaras definidas são descarregadas, mantidas sob pressão ou isoladas conforme a avaliação de riscos |
| Comportamento de reposição | Fechar a proteção ou restabelecer o ar não pode iniciar a rotação |
| Modos de funcionamento | Automático, preparação, limpeza, recuperação de falhas e manutenção são avaliados separadamente |
| PLr | Atribuído a esta função pela avaliação de riscos ou por uma norma de tipo C aplicável |
O estado seguro depende da aplicação. Descarregar as duas portas do atuador pode eliminar o binário num indexador horizontal, mas a mesma ação pode libertar um braço excêntrico ou sujeito à gravidade. Uma unidade com retorno por mola também pode mover-se quando o ar é removido. Nesses casos, podem ser necessários bloqueio controlado, travagem, retenção mecânica ou um percurso de retorno monitorizado.
Considere todo o perfil de movimento. O guia de binário para atuadores rotativos ajuda a estimar o binário da carga e a inércia para o dimensionamento, mas uma estimativa de binário não estabelece o ângulo de paragem nem o PL alcançado. Estes exigem comportamento medido da máquina e evidência do comando de segurança.
Onde se situa o atuador rotativo dentro da função de segurança?
As orientações do IFA explicam que uma SRP/CS se estende normalmente desde a entrada sensora, passando pela lógica, até ao elemento de comando da potência, como uma válvula. O atuador pode ficar fora desse limite quando a sua falha não consegue criar um estado perigoso. Se uma falha do atuador ou da carga puder provocar movimento perigoso, o atuador e as medidas mecânicas relevantes têm de ser incluídos na análise de segurança.
Mapeie a função de segurança a partir do perigo, recuando na cadeia. Não termine o diagrama na saída do PLC de segurança.
| Camada | Elementos típicos do eixo rotativo | Evidência necessária |
|---|---|---|
| Entrada | Interruptor de proteção, cortina de luz, dispositivo de validação, realimentação de posição ou pressão | Dados de segurança, cablagem, montagem, resposta a falhas |
| Lógica | Relé de segurança, controlador configurável, PLC de segurança, software da aplicação | Capacidade PL, verificação do software, lógica de reposição, tempos de discrepância |
| Comando pneumático da potência | Válvulas distribuidoras monitorizadas, elementos de isolamento ou descarga, circuitos piloto | Manual de segurança, dados B10D ou PFH, temporização da realimentação, limites de caudal |
| Atuador e transmissão | Atuador de palheta ou de cremalheira e pinhão, veio, acoplamento, rolamentos, travão, batente | Modos de falha, resistência mecânica, folga, comportamento de retenção e paragem |
| Processo da máquina | Ferramenta, dispositivo, carga excêntrica, zona varrida, batentes rígidos | Inércia mais desfavorável, binário da gravidade, energia de impacto, percurso admissível |
Um sensor pode fazer o modelo parecer completo e, ainda assim, observar o ponto errado. Um contacto de posição da válvula confirma um elemento da válvula, não a posição do veio. Um sensor no veio montado antes de um acoplamento que desliza não prova que a ferramenta parou. Coloque os diagnósticos onde consigam detetar a falha perigosa alegada na justificação de DCavg.
O tipo de atuador influencia a análise de falhas. Uma unidade de palheta, um atuador de cremalheira e pinhão e uma mesa rotativa pneumática podem diferir nos percursos de fuga, folga, disposição dos rolamentos, batentes e carga admissível. Analise essas diferenças antes de substituir um projeto por outro. O guia comparativo entre cremalheira e pinhão e palheta apresenta a comparação mecânica; a avaliação de segurança continua a exigir dados específicos da peça.
Que falhas do atuador rotativo deve o circuito considerar?
A ISO 4414:2010 abrange perigos significativos associados a sistemas pneumáticos utilizados em máquinas e continua em vigor após a confirmação de 2021. Para um eixo rotativo, a análise deve relacionar cada falha pneumática, elétrica, sensora e mecânica credível com o ângulo, binário, pressão e comportamento de rearranque resultantes no perigo.
Utilize uma tabela de falhas durante o projeto e a validação. As entradas seguintes são pontos de partida, não exclusões universais de falhas nem créditos automáticos de diagnóstico.
| Falha credível | Efeito perigoso possível | Pergunta de projeto ou diagnóstico | Evidência de validação |
|---|---|---|---|
| Um elemento da válvula não comuta | A pressão motriz continua disponível | Uma única falha pode anular o estado seguro? O estado da válvula é monitorizado? | Introdução da falha com registo de pressão e movimento |
| O percurso de descarga está restringido | O eixo demora mais a parar | Os silenciadores, tubos e controlos de caudal estão incluídos no pior caso? | Ensaio do ângulo de paragem com as restrições permitidas |
| A fuga interna do atuador aumenta | O veio deriva ou perde binário de retenção | A fuga é detetável antes de ultrapassar a posição permitida? | Ensaio de retenção nos limites de pressão e temperatura |
| A realimentação de posição encrava ou diverge | O controlador aceita uma falsa posição de paragem | Que falhas perigosas deteta cada sensor? | Ensaios de circuito aberto, curto-circuito, encravamento e discrepância |
| O acoplamento, a chaveta ou o batente falha | A ferramenta move-se independentemente do veio monitorizado | A realimentação está do lado do perigo relativamente à falha? | Inspeção mecânica e tratamento justificado da falha |
| O ar de alimentação desaparece ou regressa | A carga cai, o retorno por mola move-se ou o ciclo reinicia | Que estado ocorre a pressão nula e durante a repressurização? | Ensaios de interrupção e restabelecimento do ar |
| Uma mangueira rebenta ou uma porta abre | Rotação descontrolada ou perda de retenção | É necessário um travão ou retenção independente? | Análise da falha credível da linha e ensaio físico quando seguro |
| A contaminação comum afeta os dois canais | As válvulas redundantes falham por causa comum | A qualidade do ar, filtração, manutenção e separação dos canais estão controladas? | Análise de CCF e evidência de manutenção |
| A lógica de reposição está incorreta | A reposição inicia movimento | A reposição é separada do comando de arranque? | Ensaios de reposição e rearranque em todos os modos |
A redundância, por si só, não elimina falhas de causa comum. Duas válvulas idênticas podem partilhar ar contaminado, pressão excessiva, manutenção incorreta, uma descarga comum bloqueada ou o mesmo erro de software. A avaliação de CCF deve registar as medidas efetivamente implementadas.
Do mesmo modo, o retorno por mola é um comportamento, não um veredicto de segurança. Determine o sentido de retorno, o binário disponível da mola ao longo do curso, o binário da carga, velocidade, pontos de entalamento, energia no batente e o que acontece se a mola ou a ligação mecânica falhar.
Como se relacionam PLr, Category, MTTF_D, DCavg e PFH?
O relatório IFA de 2025 relativo à ISO 13849-1:2023 apresenta cinco bandas de PL, cada uma associada a uma gama da frequência média de falha perigosa por hora, PFH. O PL alcançado também depende da arquitetura, fiabilidade dos componentes, cobertura de diagnóstico, medidas contra causas comuns, controlos sistemáticos e integração correta. A Category, por si só, não determina o PL.
| Nível de desempenho | Gama de PFH por hora |
|---|---|
| PL a | >= 10^-5 a < 10^-4 |
| PL b | >= 3 x 10^-6 a < 10^-5 |
| PL c | >= 10^-6 a < 3 x 10^-6 |
| PL d | >= 10^-7 a < 10^-6 |
| PL e | >= 10^-8 a < 10^-7 |
Alguns manuais e ferramentas existentes utilizam a notação anterior PFH_D; os materiais atuais do IFA para a edição de 2023 utilizam PFH. Siga a terminologia e o método de cálculo da revisão da norma adotada no projeto e mantenha a revisão escolhida consistente em relatórios e bibliotecas.
PFH é a frequência média de uma falha perigosa por hora utilizada no material atual do IFA para a ISO 13849-1:2023. É uma parte do resultado PL, não uma afirmação completa de que a resposta física da máquina é segura.
Para componentes pneumáticos sujeitos a desgaste, solicite os dados exatos B10D, PFH ou de subsistema do fabricante e as respetivas condições de utilização. Não atribua um valor genérico de 20 milhões de ciclos a um atuador ou válvula. A frequência de comutação, pressão, qualidade do ar, temperatura, carga, manutenção, tempo de missão e acessórios aprovados podem determinar se os dados são aplicáveis.
A ferramenta SISTEMA do IFA avalia arquiteturas designadas através de PLr, Category, MTTF_D, DCavg e CCF. O IFA associa o SISTEMA 3.x à ISO 13849-1:2023; a versão 2.x corresponde à revisão de 2015. Não misture projetos, bibliotecas e pressupostos de revisões diferentes sem os analisar.
No SISTEMA, crie uma função de segurança separada para cada resposta perigosa. Modele os subsistemas reais de entrada, lógica e saída e documente depois quaisquer medidas do atuador ou mecânicas que fiquem fora do modelo quantitativo, mas continuem necessárias para o estado seguro. Um cálculo verde não consegue detetar um acoplamento que desliza, um silenciador bloqueado, um sensor mal localizado ou uma carga instável.
Como validar a função de segurança do eixo rotativo instalado?
A ISO 13849-2:2012 continua a ser a norma de validação publicada em vigor em 17 de julho de 2026. Exige validação, por análise e ensaio, das funções de segurança especificadas, da Category alcançada e do PL alcançado. A ISO apresenta um projeto de substituição, mas um projeto não constitui a base de validação publicada.
Defina critérios de aceitação mensuráveis antes da colocação em serviço. Registe o ângulo máximo permitido após a solicitação de segurança, tempo de paragem, banda de posição do veio, limiar de pressão, duração de retenção, comportamento de reposição e reação a falhas. Ensaie as combinações com maior probabilidade de produzir a resposta mais desfavorável:
- massa móvel e raio máximos permitidos
- velocidade angular credível mais elevada
- orientação mais desfavorável da carga excêntrica ou sujeita à gravidade
- pressão mínima e máxima de alimentação
- temperatura mínima permitida, se afetar os vedantes e a temporização das válvulas
- tubagem aprovada mais longa e disposição de descarga permitida mais restritiva
- folgas mecânicas gastas, mas ainda admissíveis
- todos os modos de funcionamento em que uma pessoa possa aproximar-se do perigo
Meça mais do que o bit de estado do controlador. Correlacione no tempo a solicitação de segurança, a saída lógica, a realimentação da válvula, a pressão a jusante, o ângulo do veio e a posição da ferramenta perigosa. O tempo de comutação da válvula indicado no catálogo não é o tempo de paragem da máquina.
Nos equipamentos rotativos, o ângulo de paragem é muitas vezes mais útil do que apenas o tempo de paragem. A mesma paragem de 150 ms pode ser aceitável a uma velocidade angular e perigosa a outra. Registe ambos os valores e compare depois a trajetória varrida com a distância da proteção e os critérios de aceitação da função de segurança.
Os ensaios de falhas devem corresponder à arquitetura e à análise de falhas. Quando for seguro e praticável, impeça a mudança de estado de um elemento da válvula, crie discrepâncias de realimentação, interrompa um canal de entrada, restrinja uma descarga dentro da configuração permitida, retire e restabeleça o ar e ensaie o comportamento de reposição. Confirme que o ciclo perigoso seguinte é inibido quando a especificação o exigir.
Os intervalos de inspeção e ensaio funcional devem resultar da avaliação de riscos, manuais de segurança dos componentes, Category e projeto de diagnóstico, ambiente de funcionamento, utilização, histórico de manutenção e qualquer norma de tipo C aplicável. A ISO 13849 não impõe um calendário genérico como “mensal para PL e” ou “anual para PL c”.
Que documentação torna o projeto pronto para auditoria?
A página atual do SISTEMA do IFA indica que a versão 3.x está especificamente associada à ISO 13849-1:2023 e consegue imprimir um resumo da função de segurança avaliada. Esse relatório é um registo, não o processo completo de conformidade. O processo também deve relacionar a avaliação de riscos, o circuito, o software, os dados dos componentes, os ensaios da máquina e as revisões controladas.
Mantenha sob controlo de configuração os seguintes registos:
- Limites da máquina, análise de perigos e decisões de redução de riscos
- Especificação da função de segurança e justificação do PLr de cada função
- Esquemas pneumáticos e elétricos com as revisões exatas dos componentes
- Versão do software, soma de verificação, conjunto de parâmetros e registos de verificação
- Manuais de segurança do fabricante, dados B10D ou PFH e bibliotecas SISTEMA
- Evidência de Category, MTTF_D, DCavg, CCF, PFH e medidas sistemáticas
- Análise de falhas de válvulas, sensores, atuador, acoplamento, batentes, travão e carga
- Plano de validação, equipamento de medição, registos brutos, resultados e desvios
- Requisitos de inspeção, manutenção, substituição e ensaio funcional
- Registo do controlo de alterações para substituições, tubagem, silenciadores, pressão, carga, velocidade e software
A documentação do fornecedor deve identificar a peça e a revisão exatas abrangidas. Solicite as funções de segurança declaradas, restrições da arquitetura, temporização do diagnóstico, impulsos de teste permitidos, tempo de missão, frequência de comutação, limites de pressão e qualidade do ar, silenciadores aprovados, condições de manutenção e qualquer certificado ou declaração efetivamente aplicável ao componente.
Não peça um “atuador rotativo ISO 13849” sem contexto. Forneça ao fornecedor a função de segurança, PLr, gama de pressão, contagem de ciclos, carga, orientação, requisito de paragem, conceito de realimentação, ambiente e disposição de válvulas proposta. Esta informação permite verificar os dados do componente face à aplicação real.
Perguntas frequentes sobre a integração de atuadores rotativos segundo a ISO 13849
A ISO 13849-1:2023 é uma metodologia de 152 páginas para sistemas de comando relacionados com a segurança, enquanto o atual documento de validação ISO 13849-2 contém 79 páginas. Estas perguntas esclarecem os limites que as descrições curtas de produtos normalmente omitem: capacidade dos componentes, arquitetura, diagnóstico, comportamento do estado seguro, ensaios e validação ao nível da máquina.
Um atuador rotativo pode, por si só, ser certificado como PL e?
Um fornecedor pode disponibilizar dados de segurança, uma capacidade declarada do subsistema ou certificação por terceiros para um produto e condições de utilização definidos. Isso não torna a função de segurança completa da máquina PL e. A ISO 13849-1 indica que não especifica requisitos de projeto ao nível do produto para todos os componentes; o integrador tem de avaliar e validar a função completa.
A Category 3 corresponde automaticamente a PL d?
Não. A Category 3 descreve o comportamento arquitetónico perante falhas, não o PL global alcançado. O resultado também depende de MTTF_D, DCavg, CCF, medidas sistemáticas, software, interfaces dos subsistemas e PFH calculado. As orientações do IFA sobre níveis de desempenho combinam a arquitetura determinística com estas propriedades probabilísticas e de diagnóstico.
Um atuador com retorno por mola garante um estado seguro?
Não. A ISO 14118:2017 considera a alimentação pneumática, gravidade, molas comprimidas e influências externas como possíveis fontes de arranque ou movimento inesperado. Um retorno por mola só é seguro se o sentido, binário, velocidade, energia de paragem, interação com a carga e falhas credíveis cumprirem a especificação da função de segurança.
Uma dupla realimentação de posição basta para alegar cobertura de diagnóstico?
Não. A cobertura de diagnóstico depende das falhas perigosas que os diagnósticos detetam e do momento em que as detetam. Dois sensores podem partilhar um erro de montagem, observar o mesmo lado de um acoplamento partido ou não detetar uma falha da válvula. Associe cada diagnóstico creditado a um modo de falha e verifique a reação à falha.
Com que frequência deve ser ensaiada a função de segurança rotativa?
Não existe um intervalo universal baseado apenas no PL. Defina o intervalo com base nas instruções dos componentes, frequência de funcionamento, Category e arquitetura de diagnóstico, ambiente, histórico de manutenção, avaliação de riscos e normas específicas da máquina aplicáveis. Os requisitos de ensaio da Category 2 também dizem respeito à relação entre o ensaio e o comportamento da solicitação, não a um calendário mensal genérico.
O atuador deve ser modelado no SISTEMA?
Depende do limite da função de segurança e do comportamento de falha perigosa. As orientações do IFA indicam que o elemento de comando da potência termina muitas vezes a SRP/CS, mas as propriedades do atuador têm de ser consideradas quando uma falha do atuador ou da carga puder criar um estado perigoso. Documente tanto o modelo quantitativo como as medidas mecânicas necessárias que fiquem fora dele.
Conclusão
A ISO 13849-1:2023 fornece um método de cinco níveis para projetar sistemas de comando relacionados com a segurança, não uma etiqueta de conformidade para um atuador rotativo autónomo. Uma integração defensável começa com uma função de segurança mensurável, avalia toda a cadeia de comando, considera as falhas físicas do eixo rotativo e valida a máquina instalada relativamente aos critérios de aceitação.
Defina o que deve acontecer quando a proteção abre, um sensor falha, uma válvula encrava, o ar desaparece ou a pressão regressa. Depois demonstre que o eixo alcança e mantém o estado seguro especificado nas condições credíveis mais desfavoráveis de carga e movimento. Essa evidência — não a placa de características de um componente nem uma captura de ecrã do SISTEMA — é a base da conformidade.
Fontes e datas de consulta
As afirmações técnicas anteriores utilizam registos atuais do catálogo ISO e orientações de implementação da DGUV/IFA. As datas de consulta são indicadas porque a ISO 13849-2 está em revisão e as versões do SISTEMA estão associadas a edições específicas da ISO 13849-1. As equipas de projeto devem voltar a confirmar a norma publicada e a revisão do software quando a máquina for validada.
- International Organization for Standardization. ISO 13849-1:2023 — Partes de sistemas de comando relacionadas com a segurança, Parte 1. Publicada em abril de 2023. Consultada em 17 de julho de 2026.
- International Organization for Standardization. ISO 13849-2:2012 — Validação. Edição publicada em vigor; projeto de substituição em desenvolvimento. Consultada em 17 de julho de 2026.
- International Organization for Standardization. ISO 12100:2010 — Avaliação e redução de riscos. Consultada em 17 de julho de 2026.
- International Organization for Standardization. ISO 14118:2017 — Prevenção do arranque inesperado. Confirmada em vigor em 2023. Consultada em 17 de julho de 2026.
- International Organization for Standardization. ISO 4414:2010 — Requisitos de segurança para sistemas pneumáticos. Confirmada em vigor em 2021. Consultada em 17 de julho de 2026.
- Institute for Occupational Safety and Health of the German Social Accident Insurance. Relatório IFA 1/2025 — Segurança funcional dos comandos de máquinas. Consultado em 17 de julho de 2026.
- Institute for Occupational Safety and Health of the German Social Accident Insurance. Software SISTEMA para a ISO 13849-1. Consultado em 17 de julho de 2026.
- Institute for Occupational Safety and Health of the German Social Accident Insurance. Recursos de segurança de máquinas hidráulicas e pneumáticas. Consultados em 17 de julho de 2026.