Uma válvula pneumática de segurança monitorada é um subsistema redundante de controle de potência que alimenta o ar somente quando os dois canais funcionam corretamente; quando a função de segurança é solicitada, ela bloqueia a alimentação e libera a pressão a jusante. O feedback informa ao controlador de segurança se os elementos atingiram o estado previsto. Qualquer discordância remove o comando e pode inibir o reinício até que a falha seja eliminada.
A Categoria 3 ou a Categoria 4 não é uma característica apenas do rótulo da válvula. A Categoria descreve a arquitetura e o comportamento em caso de falha de todo o sistema de comando relacionado à segurança. Válvula, sensores, lógica de segurança, cabeamento, circuito pneumático, diagnóstico, comportamento no reset e resposta física da máquina devem, em conjunto, atingir o Performance Level exigido.
Pontos-chave
- A norma ISO 13849-1:2023 aplica-se a sistemas de comando relacionados à segurança elétricos, hidráulicos, pneumáticos, mecânicos e baseados em software.
- Dois elementos redundantes da válvula podem manter o escape seguro após a falha de um deles.
- O feedback deve concordar com o comando dentro da janela de tempo documentada para o produto.
- Uma válvula monitorada não prova que a máquina atingiu um estado seguro.
O que a Categoria 3/4 significa para uma válvula pneumática de segurança?
A norma ISO 13849-1:2023 é uma metodologia de 152 páginas para sistemas de comando relacionados à segurança, não uma tabela de seleção que atribui um único PLr a cada aplicação de válvula. Ela se aplica à pneumática e a outras tecnologias, mas declara explicitamente que não especifica a função de segurança nem o Performance Level exigido para uma determinada máquina (ISO, 2023).
Os fabricantes podem declarar que um produto é adequado para uso até Categoria 4, PL e, em condições definidas. Essa declaração fornece evidências sobre o componente ou subsistema, mas não certifica a máquina completa. Os integradores ainda precisam definir a função de segurança, determinar o PLr, modelar a arquitetura real, seguir o manual de segurança e validar a resposta da instalação. A Categoria descreve os requisitos estruturais e o comportamento em caso de falha. O Performance Level (PL) descreve a capacidade do sistema de comando relacionado à segurança de executar sua função de segurança em condições previsíveis. A Categoria contribui para o PL, mas o resultado também depende da confiabilidade dos componentes, da cobertura diagnóstica, das medidas contra falhas de causa comum, das medidas sistemáticas, do software e das interfaces entre subsistemas.
Essa distinção evita um erro frequente de especificação: solicitar uma “válvula de Categoria 4” sem definir qual condição deve se tornar segura. Dependendo do perigo, a máquina pode exigir escape seguro, prevenção de pressurização inesperada, retorno controlado, retenção segura da carga ou uma combinação dessas funções. Liberar o ar pode gerar um novo perigo se uma carga vertical cair ou uma fixação se abrir.
Para o processo de projeto no nível do sistema, consulte os guias sobre circuitos pneumáticos de segurança em conformidade com a ISO 13849 e sobre integração de válvulas de escape de segurança nas proteções de máquinas. Este artigo permanece limitado ao funcionamento e monitoramento da válvula.
Os dois estados operacionais de uma válvula de escape de segurança monitorada
A P33 da Parker com monitoramento externo usa dois solenoides de acionamento que devem comutar juntos, com um limite de sincronismo documentado de 150 ms para esse produto. Sua função 3/2 conecta a porta de alimentação 1 à saída 2 quando acionada; quando desenergizada, bloqueia a porta 1 e conecta a saída 2 à porta de escape 3 (Parker, consultado em 2026).
Esta sequência ilustra a lógica operacional normal de uma válvula de escape de segurança redundante:
| Estado da válvula | comando elétrico | Caminho de alimentação | Caminho de escape | feedback previsto |
|---|---|---|---|---|
| Seguro, desenergizado | As duas saídas de segurança desativadas | Alimentação bloqueada | circuito a jusante conectado ao escape | Os dois elementos sinalizam o estado seguro |
| Transição para alimentação | As duas saídas são ativadas | Abre somente após a comutação dos dois elementos | Fecha durante a comutação dos elementos | Os dois sinais mudam dentro da janela permitida |
| Alimentação normal | As duas saídas ativas | Alimentação conectada ao circuito a jusante | Escape fechado | Os dois elementos sinalizam o estado de alimentação |
| Solicitação de segurança | As duas saídas são desativadas | A alimentação fecha | O circuito a jusante abre-se para o escape | Os dois sinais retornam ao estado seguro |
| Discordância | Comandos e feedback não concordam | Resposta segura específica do produto | Resposta de escape específica do produto | Falha declarada e reinício inibido conforme especificado |
“Normalmente fechada” refere-se ao caminho de alimentação. Quando a alimentação elétrica é removida, as molas levam os elementos da válvula ao estado que bloqueia o ar de entrada e abre o circuito a jusante para o escape. Alguns produtos acrescentam uma função de partida progressiva durante a repressurização, mas ela deve ser usada exatamente como descrito na documentação de segurança do produto.
A desenergização da válvula não leva automaticamente a máquina ao seu estado seguro. Válvulas de retenção, válvulas direcionais de centro fechado, acumuladores, câmaras de cilindros, boosters e manifolds longos podem reter pressão além da válvula de escape. Gravidade, molas, inércia ou vácuo ainda podem mover o mecanismo após a redução da pressão a jusante. Se a perda de pressão puder liberar uma carga vertical, avalie o comportamento das unidades de bloqueio de haste e seus limites de aplicação.
Como o monitoramento externo detecta uma falha da válvula?
A RSe da ROSS usa dois sensores de proximidade PNP e declara cobertura diagnóstica de 99% quando os dois sensores são monitorados a cada energização e desenergização na arquitetura de controle externo documentada. Cada sensor observa um elemento da válvula, enquanto o controlador de segurança externo compara os dois estados de feedback com o estado comandado (ROSS Controls, consultado em 2026).
O monitoramento externo separa os elementos pneumáticos de potência da lógica diagnóstica. Sinais de feedback distintos descrevem os dois elementos da válvula. Um relé de segurança ou PLC de segurança externo fornece os dois comandos, verifica as transições do feedback, aplica o tempo de discordância permitido, detecta curtos-circuitos ou circuitos cruzados quando exigido e determina se o reinício pode ser autorizado.
A tecnologia de feedback varia conforme o produto. No exemplo citado, a ROSS detecta a posição do carretel, enquanto o guia de monitoramento externo da P33 da Parker descreve sensores de pressão de estado sólido associados aos seus elementos redundantes. Nenhum dos dois métodos é universal, e um programa de controlador escrito para a tabela-verdade dos sinais de uma válvula não pode ser transferido para outra sem examinar o novo manual de segurança. Válvulas com monitoramento interno executam no conjunto parte ou toda a lógica de comparação e bloqueio em caso de falha. Algumas fornecem uma saída de estado combinada e exigem uma entrada de reset dedicada. O monitoramento interno reduz a lógica de comparação que precisa ser programada pelo usuário, mas o controlador da máquina ainda deve avaliar o estado, impedir o reinício inesperado e validar o estado físico seguro.
As duas configurações podem ser comparadas assim:
| Configuração de monitoramento | Funções fornecidas pela válvula | Funções exigidas do sistema de segurança externo |
|---|---|---|
| Monitoramento externo | feedback separado dos elementos e regras de tempo do produto | Saídas seguras, comparação dos canais, temporização da discordância, memorização da falha e lógica de reset |
| Monitoramento interno | Comparação interna, resposta à falha e sinais de estado definidos | Interface de comando correta, avaliação do estado, controle do reset e validação no nível da máquina |
Um diagnóstico eficaz observa a falha perigosa declarada. A detecção de pressão pode confirmar um estado de pressão interno sem provar o curso completo do elemento da válvula. A detecção de posição pode confirmar o curso do carretel sem provar que a pressão a jusante passou por uma válvula de centro fechado. O crédito diagnóstico deve corresponder ao modo de falha que o diagnóstico é efetivamente capaz de detectar.
O que muda entre a Categoria 3 e a Categoria 4?
A comparação entre Categorias da IFA atribui tanto à Categoria 3 quanto à Categoria 4 tolerância a uma única falha; a Categoria 4 também exige alta cobertura diagnóstica média e consideração do acúmulo de falhas. A Categoria 3 admite cobertura diagnóstica baixa a média; portanto, algumas falhas podem permanecer não detectadas e o acúmulo de falhas pode comprometer a função de segurança (IFA, 2017).
É a arquitetura, não o número estampado no corpo da válvula, que determina o comportamento em caso de falha:
| requisito | Categoria 3 | Categoria 4 |
|---|---|---|
| Arquitetura redundante | Obrigatória | Obrigatória |
| Uma falha causa a perda imediata da função de segurança | No | No |
| Detecção de falhas | Na medida razoavelmente praticável | Na solicitação seguinte ou antes dela, na medida razoavelmente praticável |
| Cobertura diagnóstica | Baixa a média | Alta |
| Acúmulo de falhas não detectadas | Pode causar a perda da função de segurança | Não deve causar a perda da função de segurança |
| PL atingido | Depende da avaliação completa | Depende da avaliação completa |
Duas bobinas não provam a existência de dois canais independentes. É preciso examinar o ar de pilotagem compartilhado, passagens de escape comuns, conectores comuns, saídas de software, alimentações, montagem, exposição à contaminação e erros de manutenção. A redundância pode ser anulada quando os dois elementos compartilham uma causa que o projeto não controlou. A Categoria, sozinha, também não determina o PL d ou o PL e. Use os dados de confiabilidade declarados e as limitações da válvula, do sensor, do controlador e das interfaces efetivamente escolhidos. Documente também a cobertura diagnóstica, as medidas contra falhas de causa comum, os controles sistemáticos, o tempo de missão, a frequência de comutação e a frequência média de falhas perigosas de toda a função de segurança.
Verificações frequentes dos sinais, por si só, não reforçam uma declaração de Categoria 4. O diagnóstico deve detectar prontamente as falhas perigosas relevantes, e o acúmulo de falhas não detectadas não deve comprometer o escape seguro nem a prevenção da pressurização inesperada.
O que o feedback da válvula pode provar e o que pode não detectar?
A ROSS declara que sua válvula RSe não pode liberar a energia pneumática aprisionada a jusante de obstáculos como válvulas de retenção e válvulas de centro fechado. Essa limitação do produto ilustra por que o feedback do elemento da válvula não pode provar o estado de pressão, movimento ou carga em toda a máquina (ROSS Controls, consultado em 2026).
O feedback pode apoiar afirmações específicas:
- Um ou ambos os elementos da válvula atingiram a posição específica observada pelo sensor instalado dentro da janela de transição documentada, e o controlador recebeu o sinal sem falhas na entrada.
- A pressão interna em um ponto de detecção definido superou o limiar do produto.
- Os dois canais mudaram de estado dentro da janela de tempo permitida.
- O feedback está bloqueado, ausente, contraditório ou inconsistente com o comando.
- A válvula entrou em um estado de falha ou bloqueio definido pelo produto.
O feedback não pode provar automaticamente que:
- Cada ramo a jusante foi despressurizado, incluindo cavidades isoladas além de válvulas de retenção, válvulas de centro fechado e reguladores, até o limiar de pressão e no tempo definidos pelo requisito de segurança da máquina.
- Um silenciador ou tubo de escape garante a vazão exigida.
- A distância de parada do cilindro respeita o limite de aceitação no nível da máquina.
- Uma carga vertical permanece sustentada após a remoção do ar.
- Uma válvula de retenção, um regulador, um booster ou uma cavidade do manifold liberou a pressão aprisionada.
- O fechamento de uma proteção e a restauração do ar não podem reiniciar um movimento perigoso.
Acrescente a detecção de pressão no volume afetado pelo perigo quando a queda de pressão fizer parte do critério de aceitação. Acrescente a detecção de movimento ou posição no mecanismo perigoso quando a máquina precisar parar ou permanecer dentro de uma posição definida. O estado da válvula é uma das entradas dessa validação, não um substituto. Os sistemas rotativos apresentam o mesmo limite, como explicado no guia sobre integração de atuadores rotativos em circuitos de segurança ISO 13849. O escape seguro também é diferente da função normal de escape rápido. As válvulas de escape rápido padrão encurtam o caminho de escape de um atuador, mas normalmente não oferecem arquitetura redundante, dados de segurança, feedback diagnóstico ou resposta controlada a falhas. Consulte o guia sobre válvulas de escape rápido para essa função de vazão, sem considerá-la um componente de segurança.
Resposta a falhas e lógica de reset
No exemplo com monitoramento externo, a Parker exige que as duas saídas dos sensores P33 mudem dentro de 150 ms uma da outra e desaconselha o reset automático. Quando os sinais permanecem discordantes além do tempo permitido, a lógica de monitoramento deve remover a alimentação dos solenoides e impedir uma nova tentativa de acionamento até que o reset do sistema de segurança seja executado (Parker, consultado em 2026).
Use os valores de tempo e a tabela-verdade exatos do produto escolhido. A temporização específica do produto é determinante: o valor de 150 ms da Parker não é um limite universal para a Categoria 3 ou a Categoria 4. Outras válvulas podem usar sensores, sequências de comutação, limitações de testes por pulsos, configurações de reset e condições de recuperação de falhas diferentes.
A lógica do controlador normalmente segue estas decisões:
- Remova os dois comandos da válvula quando a função de segurança for solicitada.
- Confirme que os dois canais de feedback atinjam os estados seguros documentados dentro do prazo.
- Declare uma falha se um dos sinais estiver ausente, atrasado, contraditório ou bloqueado.
- Mantenha os comandos da válvula desativados após detectar uma discordância.
- Exija a eliminação da falha e as condições de reset intencional especificadas.
- Verifique que o reset não inicie um movimento perigoso nem repressurize automaticamente uma zona insegura.
| Exemplo de falha | O que o monitoramento detecta | Resposta técnica exigida |
|---|---|---|
| Uma bobina perde alimentação | Um canal não executa a transição | Remover os dois comandos e inibir o reinício |
| Um elemento comuta lentamente | A discordância do feedback supera o limite do produto | Entrar no estado de falha documentado e verificar contaminação, pressão ou hardware |
| Um sinal de feedback está bloqueado | Durante uma transição, o sinal contradiz o comando | Tratar o canal como falha e impedir o próximo ciclo perigoso |
| O caminho de escape está obstruído | O feedback da válvula pode parecer normal enquanto a pressão diminui lentamente demais | Detectar a condição com a validação da pressão ou do movimento da máquina, não apenas com o feedback da válvula |
| O ar retorna após uma interrupção | O feedback pode retornar à condição inicial | Impedir o movimento perigoso automático por meio da lógica de reset e partida |
O reset autoriza a retomada da avaliação, mas não prova que a falha desapareceu. Antes de habilitar o próximo ciclo, o programa deve verificar entradas seguras, feedback válido, estado de pressão permitido e qualquer ação manual exigida. O botão de reset também não deve funcionar como comando de partida da máquina quando isso gerar um movimento perigoso.
Como validar a função de segurança instalada?
A ISO 13849-2:2012 é a norma de validação publicada e vigente, com 79 páginas em julho de 2026, embora a ISO indique que um projeto substituto esteja em preparação. Ela exige a validação por análise e testes das funções de segurança especificadas, da Categoria atingida e do Performance Level atingido; portanto, a ficha técnica de uma válvula, sozinha, não pode completar a validação (ISO, consultado em 2026).
Defina critérios de aceitação mensuráveis antes do comissionamento. Registre na mesma base de tempo a solicitação de segurança, as saídas do controlador, os dois canais de feedback da válvula, a pressão a jusante e o movimento perigoso. Execute os testes nas condições plausíveis mais severas de pressão de alimentação, volume a jusante, temperatura, acessórios de escape permitidos, carga da máquina e modo operacional.
A validação deve incluir pelo menos:
- Energização normal, escape seguro, reset intencional e confirmação de que o reset sozinho não inicia um movimento perigoso em todos os modos operacionais nos quais uma pessoa pode se aproximar do perigo.
- Um canal de saída da válvula impossibilitado de mudar de estado.
- Cada canal de feedback bloqueado em ON, bloqueado em OFF, aberto, em curto-circuito ou conectado de forma cruzada, conforme aplicável à interface do produto.
- Transições do feedback fora da janela de discordância permitida.
- Perda e restauração da alimentação elétrica e pneumática.
- Escape obstruído, quando previsível e seguro para testar.
- Pressão aprisionada além de válvulas de retenção ou válvulas de comando de centro fechado.
- Posição e carga do cilindro ou mecanismo nas condições mais desfavoráveis.
- Prevenção do reinício inesperado após uma solicitação, uma falha e a restauração da alimentação.
Não defina arbitrariamente um único intervalo universal de inspeção ou teste periódico. A Festo, por exemplo, prescreve um procedimento mínimo mensal de comutação forçada para determinadas variantes MS6-SV quando o processo já não as comuta com essa frequência (Festo, 2023). O requisito se aplica às variantes listadas, não a todas as válvulas monitoradas. Mantenha sob controle de configuração o modelo e a revisão da válvula, o manual de segurança, os dados de segurança declarados, o checksum do programa do controlador de segurança, o diagrama pneumático, o diagrama elétrico, os valores dos parâmetros, os limiares dos sensores, os silenciadores, os equipamentos de teste, os traços brutos e o registro de aprovação. A substituição da válvula ou a alteração do caminho de escape pode exigir um novo cálculo e uma nova validação.
A ISO 4414:2010 continua sendo a norma geral vigente para a segurança de sistemas pneumáticos após a confirmação de 2021 e trata de projeto, construção, modificação, instalação, operação e manutenção (ISO, consultado em 2026). Esse campo de aplicação reforça a fronteira do sistema: uma instalação segura da válvula deve tratar dos perigos em todo o circuito pneumático.
Perguntas frequentes sobre válvulas pneumáticas de segurança monitoradas
A Parker documenta versões com monitoramento interno e externo da mesma família de válvulas P33, demonstrando por que a expressão “válvula monitorada” não identifica um único circuito universal. As respostas a seguir definem a fronteira do componente, a declaração de Categoria, o papel do feedback, o comportamento em caso de falha e os limites de manutenção que os compradores devem esclarecer antes de escolher ou adaptar uma válvula (Parker, 2024).
A Categoria 3 ou a Categoria 4 é uma classificação da válvula?
Não por si só. Um fabricante pode declarar que uma válvula ou subsistema é adequado a uma arquitetura de Categoria 3 ou Categoria 4 em determinadas condições. A Categoria e o PL atingidos pertencem à função de segurança completa, após a avaliação e validação da válvula, diagnóstico, controlador, interfaces, hipóteses de falha e resposta da máquina.
O que acontece se um elemento da válvula não comutar?
Um projeto redundante adequado é concebido para manter a função de segurança após uma falha. O feedback deve tornar evidente a discordância, o sistema de monitoramento deve remover os dois comandos e o reinício deve ser inibido conforme o manual de segurança. A resposta pneumática, a janela de tempo, os estados dos sinais e a sequência exata de reset continuam específicos do produto.
O feedback da válvula prova que a pressão a jusante está segura?
Não. Ele prova apenas o estado medido por esse método de feedback no respectivo ponto de detecção. A pressão pode permanecer aprisionada além de uma válvula de retenção, válvula de centro fechado, regulador ou cavidade isolada. Valide a pressão no volume a jusante pertinente e meça o movimento perigoso quando o requisito de segurança incluir parada ou retenção da carga.
Uma válvula de escape de segurança monitorada substitui o procedimento lockout/tagout?
Não. A OSHA 1910.147 regulamenta intervenções de manutenção nas quais energização ou partida inesperadas, ou a liberação de energia acumulada, podem causar lesões. Ela exige procedimentos de controle de energias perigosas e dispositivos de isolamento de energia; botões e dispositivos do circuito de comando não são dispositivos de isolamento de energia (OSHA, consultado em 2026).
O que os projetistas devem lembrar?
A ISO 13849-1:2023 inclui cinco domínios tecnológicos indicados em seu campo de aplicação: sistemas de comando relacionados à segurança elétricos, hidráulicos, pneumáticos, mecânicos e baseados em software. Essa abrangência é a indicação final de que o desempenho de Categoria 3/4 não pode ser reduzido a uma única válvula pneumática monitorada ou a um único contato de feedback (ISO, 2023).
Considere a válvula como um subsistema definido. Verifique seus dois estados operacionais, a função de segurança, o método de monitoramento, os limites de tempo, a resposta à falha, os requisitos de reset, os dados de confiabilidade, os acessórios permitidos e as hipóteses diagnósticas. Em seguida, verifique se toda a máquina atinge o estado especificado de pressão e movimento na presença de solicitações normais e falhas plausíveis. A pergunta mais segura na fase de aquisição não é “Esta válvula é de Categoria 4?”. Em vez disso, pergunte: “Quais funções de segurança e modos de falha esta válvula específica suporta, em quais condições de integração e quais evidências devemos validar na máquina instalada?”.