Um sistema de válvulas pneumáticas redundante é um subsistema de saída projetado para preservar uma resposta de segurança definida após uma única falha. Ele não torna automaticamente uma máquina PL d ou PL e. A avaliação de riscos, os dispositivos de entrada, a lógica de segurança, a arquitetura das válvulas, os diagnósticos, o circuito pneumático e a resposta física da máquina contribuem para o Nível de Desempenho alcançado.
Este artigo se concentra no subsistema de saída das válvulas: como dois elementos de válvula são organizados, o que o feedback precisa comprovar, como as falhas afetam os caminhos de alimentação e exaustão e o que deve ser testado na máquina instalada. Para o fluxo completo de entrada, lógica e saída, comece pelo guia mais amplo sobre circuitos pneumáticos de segurança segundo a ISO 13849.
Principais conclusões
- A ISO 13849-1 define cinco Níveis de Desempenho, mas a redundância, por si só, não estabelece nenhum deles.
- Uma válvula dupla 3/2 pode oferecer exaustão segura; um projeto 5/2 monitorado pode oferecer um retorno seguro definido.
- O feedback deve detectar falhas perigosas da válvula, e não apenas confirmar a tensão da bobina.
- Valide a pressão, o movimento, o rearme e o comportamento de reinício na máquina instalada.
O que um sistema de válvulas redundantes realmente protege?
A ISO 13849-1:2023 define cinco Níveis de Desempenho, de PL a a PL e, mas não atribui uma função de segurança nem um PLr exigido a uma aplicação pneumática específica (ISO, 2023). Um sistema de válvulas redundantes protege somente a função de segurança da máquina que o projetista definiu explicitamente.
Essa função pode impedir a pressurização inesperada quando uma proteção está aberta. Pode exaurir uma zona perigosa, levar um atuador a uma posição de retorno controlada, manter a pressão por tempo suficiente para um freio engatar ou selecionar uma pressão de ajuste reduzida. Cada função precisa de um gatilho, um estado seguro, um PLr, uma arquitetura, um comportamento diagnóstico e critérios de aceitação mensuráveis.
A palavra “redundante” descreve a estrutura, não o resultado. Dois elementos de válvula podem fornecer dois caminhos de saída, mas o sistema ainda falhará se uma única alimentação de ar contaminada travar os dois elementos, um conector compartilhado desabilitar as duas bobinas, um silenciador bloqueado impedir a exaustão ou o controlador ignorar uma divergência de feedback.
Comece com quatro perguntas:
- Qual movimento ou pressão perigosa a função precisa controlar?
- Qual estado físico é seguro para a pior carga e posição do atuador que possam ser previstas?
- Quais falhas únicas o subsistema da válvula precisa tolerar ou detectar?
- Que evidência provará que a máquina instalada alcança e mantém esse estado?
Em nossa experiência ao revisar especificações de segurança pneumática, o problema de redação mais comum é apresentar o nome de um componente como se fosse a função de segurança. Substitua “usar uma válvula redundante” por um requisito mensurável, como “impedir pressão acima do limite definido na porta de avanço após qualquer falha única de saída considerada”.
A ISO 4414:2010, confirmada como vigente em 2021, aborda perigos significativos dos sistemas pneumáticos no projeto, na instalação, na operação e na manutenção. Ela reforça uma regra central: a válvula não pode ser avaliada separadamente da pressão armazenada, da gravidade, das molas, do vácuo, da tubulação, dos atuadores e do procedimento de serviço.
A utilidade de um segundo elemento de válvula só existe quando os caminhos pneumáticos, os diagnósticos e a reação à falha permanecem suficientemente independentes para preservar a função de segurança definida.
Três arquiteturas de válvulas redundantes
A família P33 da Parker usa uma função de exaustão de segurança 3/2 normalmente fechada e oferece versões monitoradas interna ou externamente, enquanto a ROSS documenta arranjos redundantes de válvulas duplas 3/2 e 5/2 (Parker, 2024; ROSS, acessado em 2026). Esses exemplos mostram três famílias práticas de arquitetura para circuitos modernos de segurança de máquinas.
Válvula dupla monitorada internamente
Dois elementos de válvula e a lógica de monitoramento são integrados em um único conjunto. O produto verifica internamente a sincronização ou o estado dos elementos e impede a operação normal após uma divergência definida. O projetista do sistema ainda deve seguir, no manual de segurança, as condições de rearme, fiação, tubulação, ciclo mínimo, silenciador e resposta à falha.
Válvula dupla monitorada externamente
Cada elemento da válvula fornece feedback de posição ou de estado de pressão a um relé de segurança ou PLC de segurança. A lógica externa compara o estado comandado com os dois canais de feedback durante a energização e a desenergização. A ROSS, por exemplo, especifica o monitoramento externo de dois sensores PNP de posição do carretel para sua série RSe. Esse arranjo específico do produto não deve ser generalizado para uma válvula com sensores ou geometria interna diferentes.
Dois canais de válvulas independentes
Válvulas separadas podem ser projetadas como um subsistema de saída redundante quando sua interconexão pneumática, controle elétrico, diagnósticos, dados de confiabilidade e medidas contra causas comuns satisfizerem a arquitetura exigida. Instalar simplesmente duas válvulas direcionais comuns em série ou em paralelo não comprova tolerância a falhas. O circuito deve mostrar o que acontece se qualquer elemento travar, vazar, se deslocar lentamente ou perder seu comando.
| Arquitetura | Local de monitoramento | Principal questão de engenharia |
|---|---|---|
| válvula dupla integrada | dentro do conjunto certificado | Quais condições externas e qual lógica de rearme devem ser fornecidas? |
| válvula dupla monitorada externamente | relé de segurança ou PLC de segurança | A lógica avalia as duas posições reais da válvula em todas as transições exigidas? |
| dois canais independentes | sistema de controle de segurança da máquina | O arranjo pneumático completo preserva o estado seguro após qualquer falha única? |
Como as Categorias 3 e 4 alteram o comportamento em caso de falha?
O relatório de aplicação da IFA sobre a ISO 13849 distingue a Categoria 3 da Categoria 4 por meio de MTTFd, DCavg e resistência ao acúmulo de falhas, e não apenas pela presença visual de dois canais (Relatório IFA 2/2017e, 2019). As duas arquiteturas designadas exigem medidas adequadas contra falhas de causa comum em sistemas pneumáticos de segurança.
Na Categoria 3, uma única falha não deve causar a perda da função de segurança. Algumas falhas são detectadas, mas um acúmulo de falhas perigosas não detectadas pode acabar anulando a função. Isso significa que um esquema com dois canais ainda pode ser inadequado se os diagnósticos não detectarem uma válvula perigosa travada ou se os dois canais compartilharem uma causa de falha que não foi tratada.
A Categoria 4 também exige tolerância a uma única falha, com detecção de falhas mais forte ou maior resistência ao acúmulo de falhas. A IFA descreve MTTFd alto e DCavg alto para a arquitetura designada da Categoria 4. Por isso, um produto que declara capacidade de Categoria 4 normalmente tem condições explícitas de monitoramento, dados de confiabilidade e requisitos de reação à falha.
| Questão de projeto | Orientação da Categoria 3 | Orientação da Categoria 4 |
|---|---|---|
| efeito de uma falha | a função de segurança permanece disponível | a função de segurança permanece disponível |
| detecção de falhas | algumas falhas perigosas podem permanecer não detectadas | as falhas perigosas são detectadas a tempo ou seu acúmulo é controlado |
| MTTFd e DCavg | as combinações permitidas dependem do projeto | valores altos estão associados à arquitetura designada |
| falhas de causa comum | medidas obrigatórias | medidas obrigatórias |
| PL alcançado | calculado a partir de todos os parâmetros relevantes | calculado a partir de todos os parâmetros relevantes |
Não escreva “Categoria 3 equivale a PL d” ou “Categoria 4 equivale a PL e” em uma especificação. A Categoria é uma entrada da avaliação de PL. A confiabilidade dos componentes, a eficácia dos diagnósticos, o CCF, as medidas sistemáticas, o software, as interfaces e os demais subsistemas da função de segurança continuam sendo importantes.
Uma revisão de CCF deve ir além de montar as válvulas separadas. Os dois canais podem ser afetados por ar sujo, condensado congelado, temperatura excessiva, vibração, uma falha no regulador compartilhado, peças de reposição incorretas, dano comum à fiação ou o mesmo erro de manutenção. As medidas documentadas devem abordar a instalação real.
O que o feedback da válvula precisa detectar?
A ROSS afirma que monitorar os dois sensores de posição do carretel RSe em cada atuação e desatuação pode fornecer até 99% de cobertura diagnóstica para esse produto quando um controlador de segurança externo executa as verificações especificadas (ROSS RSe, acessado em 2026). O número é específico do modelo e não pode ser atribuído a um feedback genérico.
Cobertura diagnóstica significa a eficácia dos diagnósticos implementados na detecção de falhas perigosas. A tensão da bobina prova apenas que o controlador emitiu um comando. Ela não prova que a solenoide desenvolveu força, que o estágio piloto se deslocou, que o carretel ou obturador se moveu, que o caminho de exaustão abriu ou que a pressão a jusante caiu. Diagnósticos úteis devem visar os modos de falha perigosos identificados para a válvula e o circuito exatos.
Os métodos comuns de feedback incluem:
- detecção da posição da válvula por acionamento positivo ou proximidade;
- feedback independente dos dois elementos de válvula redundantes;
- verificação de plausibilidade da pressão a jusante na zona perigosa;
- temporização da divergência entre canais durante a energização e a desenergização;
- comparação do estado da válvula com a posição do atuador ou com o estado da máquina protegida;
- resposta do controlador que bloqueia o próximo ciclo perigoso após uma falha.
O feedback de pressão tem limites. Um pressostato a montante da válvula de segurança não pode mostrar se uma cavidade a jusante foi despressurizada. Um único pressostato depois de um manifold pode não detectar pressão retida atrás de uma válvula de retenção. Um limite de pressão pode confirmar o estado pneumático, mas talvez não prove que um eixo vertical parou ou que uma pinça manteve sua carga.
O feedback de posição também tem limites. Um sensor de carretel pode provar a posição do elemento da válvula sem provar uma vazão de exaustão adequada através de um silenciador bloqueado. Por isso, o conceito diagnóstico deve relacionar cada sinal considerado à sua falha perigosa definida e à reação correspondente.
Em nosso trabalho de revisão de solicitações de reposição, constatamos que “feedback incluído” costuma ser vago demais para uma substituição segura. A solicitação deve identificar os estados normal e de falha do sinal, a temporização da divergência, a resposta do controlador, a pinagem do conector e se o sensor informa a posição real da válvula ou apenas um comando elétrico.
Trate os diagnósticos como cadeias de evidências: comando, posição da válvula, pressão a jusante e movimento perigoso respondem a perguntas diferentes, e nenhum sinal isolado prova automaticamente os quatro pontos.
Exaustão segura, retorno seguro e retenção de pressão
A Parker identifica sua P33 como uma válvula de exaustão de segurança 3/2 normalmente fechada, enquanto a ROSS documenta arranjos RSe 5/2 para retorno seguro e funções de pressão dupla (Parker P33, 2024; ROSS RSe, acessado em 2026). A quantidade de portas deve seguir a resposta pretendida da máquina sob controle de perigo para cada perigo definido.
A exaustão segura é uma função que bloqueia a alimentação e ventila uma zona definida a jusante. Ela só é adequada quando a redução da pressão leva a um estado físico seguro. Grandes volumes a jusante, mangueiras longas, controles de vazão, válvulas de retenção, válvulas direcionais de centro fechado e silenciadores de exaustão podem retardar ou impedir a queda de pressão esperada.
O retorno seguro direciona um atuador para uma posição definida em vez de simplesmente liberar as duas câmaras. O próprio movimento de retorno deve ser seguro em velocidade, força, direção e posição final. Uma válvula redundante 5/2 pode apoiar essa função, mas a carga do atuador, os amortecimentos, os controles de vazão e o curso mecânico ainda exigem validação.
A retenção de pressão pode ser mais segura quando a exaustão faria uma carga vertical cair, liberaria uma pinça ou soltaria uma peça mantida por vácuo. A retenção pode exigir um bloqueio de haste, freio, escora mecânica, conjunto de válvula de retenção pilotada ou outra medida validada. Ela também pode aprisionar energia perigosa; por isso, a função de segurança durante a produção e o procedimento de isolamento para manutenção devem ser considerados separadamente.
Para uma mesa indexadora ou pinça rotativa, defina a parada angular, o torque de retenção e o estado de pressão desenergizado usando o guia específico sobre integração de atuadores rotativos segundo a ISO 13849.
| Função pretendida | Resposta pneumática | Principal preocupação de validação |
|---|---|---|
| exaustão segura | bloquear a alimentação e reduzir a pressão a jusante | tempo de queda de pressão e movimento residual |
| prevenção de pressurização inesperada | manter a zona perigosa isolada | vazamento, reinício e comportamento após falha única |
| retorno seguro | conduzir o atuador a uma posição definida | velocidade e força de retorno, ponto de parada e comportamento da carga |
| seleção de pressão segura | permitir somente o nível de pressão pretendido | falha de pressão incorreta e estado monitorado da válvula |
| retenção de carga | reter ou imobilizar mecanicamente a carga | deriva, energia aprisionada, liberação e acesso para serviço |
O guia sobre válvulas de exaustão de segurança na proteção de máquinas aborda instalação e testes de queda de pressão. Para eixos verticais, consulte também o comportamento do bloqueio de haste de cilindros e o projeto de cilindros para elevação vertical.
Uma válvula de escape rápido comum pode encurtar o caminho de exaustão de um atuador, mas isso não implica uma arquitetura redundante nem uma função diagnóstica. Da mesma forma, uma válvula de retenção pilotada pode reter pressão enquanto cria um perigo separado de energia aprisionada.
Como modelar o subsistema de válvulas no SISTEMA?
A ferramenta SISTEMA da IFA avalia o PL alcançado usando a arquitetura designada junto com as entradas PLr, Categoria, MTTFd, DCavg e CCF (IFA, acessado em 2026). A válvula redundante pertence ao subsistema de saída, e não deve ser usada como atalho para substituir o modelo completo da função de segurança.
Crie primeiro a função de segurança e depois divida-a em subsistemas de entrada, lógica e saída. O subsistema de saída das válvulas deve corresponder ao circuito e ao monitoramento reais. Se uma válvula dupla integrada tiver um valor de subsistema certificado e uma biblioteca SISTEMA, use os dados exatos do fabricante somente nas condições de operação e integração declaradas.
Para um projeto construído com elementos de válvula independentes, reúna as informações necessárias para avaliar cada canal e cada medida diagnóstica:
- número exato da peça da válvula e função de segurança;
- B10d, MTTFd, PFHd ou dados de subsistema certificado fornecidos para esse modelo;
- operações anuais e perfil de demanda da função de segurança;
- tempo de missão e limites de manutenção;
- pressão, temperatura, qualidade do ar, frequência de comutação e acessórios de exaustão permitidos;
- falhas perigosas detectáveis e cobertura diagnóstica considerada;
- medidas de CCF para o projeto com vários canais;
- temporização do controlador, pulsos de teste, limites de divergência e resposta de rearme.
Não copie um valor B10d de uma família de válvulas semelhante. Uma vedação, carretel, estágio piloto, sensor, pressão de operação ou frequência de teste diferente pode invalidar os dados de confiabilidade assumidos. Da mesma forma, não considere um valor DC de 99% apenas porque o circuito contém dois sensores; a lógica diagnóstica deve implementar as verificações especificadas pelo fabricante.
O SISTEMA verifica a arquitetura de controle modelada. Ele não detecta tubulação invertida, uma exaustão bloqueada, uma válvula de retenção não modelada, a instalação incorreta de um sensor, um perigo de gravidade ou um software diferente da revisão documentada. Essas questões pertencem à revisão de projeto e à validação.
Para o fluxo de cálculo mais amplo, incluindo a conversão de B10d para MTTFd, use o guia completo de circuitos pneumáticos segundo a ISO 13849. Nenhuma calculadora genérica do site substitui o SISTEMA ou uma avaliação de segurança documentada.
Testes de validação para um estágio de saída com válvulas redundantes
A ISO 13849-2:2012 exige a validação por análise e testes das funções de segurança especificadas, da Categoria alcançada e do PL alcançado (ISO, 2012). Em julho de 2026, essa edição continua publicada enquanto sua substituta ainda está em desenvolvimento; portanto, o subsistema de válvulas instalado precisa de evidências de teste rastreáveis, e não apenas de uma revisão de catálogo.
Escreva os critérios de aceitação antes dos testes. Defina o sinal de demanda, o limite de pressão segura, o movimento permitido, o limite de tempo, a carga do atuador, a faixa de alimentação, o comportamento de rearme e as condições de reinício. Depois, teste a função normal e as falhas plausíveis nas configurações da máquina que produzem a resposta mais difícil.
| Teste | Evidência a registrar | Resultado inseguro a detectar |
|---|---|---|
| solicitar a função de segurança | entrada, saída da lógica, os dois feedbacks das válvulas, pressão e movimento na mesma base de tempo | resposta segura tardia ou incompleta |
| impedir o deslocamento do elemento A | estado do elemento B, caminho da pressão, alarme diagnóstico e bloqueio do reinício | uma falha única anula a função |
| impedir o deslocamento do elemento B | mesmas evidências com os canais invertidos | falha assimétrica não coberta |
| manter um sinal de feedback ligado ou desligado | resposta de divergência do controlador e comportamento de rearme | falha do sensor aceita como estado válido |
| restringir o caminho de exaustão aprovado ao limite plausível | pressão a jusante e movimento perigoso | exaustão bloqueada ou degradada anula a temporização |
| testar a restauração da alimentação pneumática e elétrica | estado da válvula, comportamento da partida suave e movimento da máquina | reinício automático perigoso |
| testar a pior posição e carga do atuador | pressão, deslocamento, ponto de parada e comportamento de retenção | estado seguro válido apenas com carga leve |
Meça a pressão no volume que importa. Um manômetro ao lado da válvula pode indicar baixa pressão enquanto uma câmara do cilindro permanece aprisionada atrás de uma válvula de retenção. Quando o perigo é o movimento, registre a posição ou a velocidade reais do eixo além da pressão.
O rearme merece um teste próprio. Um rearme pode limpar o estado de segurança, mas não deve iniciar por si só um movimento perigoso. Depois de uma divergência de canal detectada, o sistema deve permanecer bloqueado até que as condições documentadas de eliminação da falha e rearme sejam atendidas.
Não existe um intervalo universal diário, mensal ou anual de teste baseado apenas no PL. Os intervalos de inspeção e teste funcional devem seguir as instruções do produto, a avaliação de riscos, o conceito diagnóstico, a frequência de uso, o ambiente, o histórico de manutenção e qualquer norma específica de máquinas aplicável.
Que evidências o fornecedor deve fornecer?
A ROSS publica um B10d específico do modelo RSe de 20 milhões de ciclos, PFHd de 7,71 x 10^-9 por hora e um tempo máximo de divergência de 250 ms para uma configuração documentada (documentação ROSS RSe, acessada em 2026). Esses números ilustram o nível de especificidade de que um engenheiro precisa; não são valores genéricos de válvulas redundantes.
Solicite evidências para a configuração exata encomendada, incluindo tensão da bobina, tamanho do corpo, sensores, conector, arranjo piloto e opção de rearme. Um folheto da família pode conter várias versões com condições diferentes de certificação ou integração.
Em nossa experiência, a resposta mais útil do fornecedor começa com o número exato da peça, o escopo do certificado, a revisão do manual de segurança e a tabela-verdade do feedback. A vazão e o tamanho das portas são importantes, mas não compensam a falta de evidências sobre resposta à falha ou monitoramento.
O pacote técnico deve incluir:
- função de segurança declarada e normas aplicáveis;
- certificado ou avaliação que cubra o modelo exato;
- capacidade de Categoria e PL com as condições de integração declaradas;
- B10d, MTTFd, PFHd, tempo de missão e taxa de operação assumida, quando aplicável;
- símbolo pneumático e descrição funcional interna;
- método de monitoramento, lógica dos sinais e temporização da divergência;
- condições de interface permitidas para o relé de segurança ou PLC de segurança;
- requisitos de fiação, tubulação, rearme, pulso de teste e reação à falha;
- limites de pressão, temperatura, qualidade do ar, montagem e ciclos;
- silenciadores de exaustão e arranjos de partida suave aprovados;
- manual de segurança atual, declaração, biblioteca SISTEMA e histórico de revisões.
Rejeite expressões como “canal duplo”, “à prova de falhas” ou “pronto para PL e” quando elas não estiverem vinculadas a esses registros. O integrador da máquina também deve preservar as condições de integração no desenho elétrico, no esquema pneumático, no software, na lista de materiais, no relatório de comissionamento e no procedimento de reposição.
Para uma reposição, compare as funções antes das dimensões. Duas válvulas com portas e tensão correspondentes podem diferir no monitoramento interno, na lógica dos sensores, no comportamento de rearme, na capacidade de exaustão, no travamento da falha, na certificação ou na frequência mínima de operação. Um substituto dimensionalmente compatível pode invalidar o cálculo de segurança e exigir nova validação.
Em uma solicitação de reposição relacionada à segurança, o manual de integração e a tabela-verdade do feedback são tão importantes quanto o tamanho das portas e a capacidade de vazão.
Perguntas frequentes sobre sistemas de válvulas redundantes: o que os engenheiros devem verificar?
A ISO 13849-1:2023 usa cinco faixas de PL, mas todas as perguntas abaixo retornam à mesma regra: rótulos de arquitetura e certificados de componentes não substituem uma função de segurança definida, uma avaliação completa de PL e a validação na máquina instalada (ISO, 2023). Verifique a válvula como um subsistema de saída dentro dessa cadeia.
Usar duas válvulas cria automaticamente a Categoria 3?
Não. A Categoria 3 exige que a função de segurança sobreviva a uma única falha, além de atender aos requisitos aplicáveis de confiabilidade, diagnóstico, causa comum e medidas sistemáticas. Duas válvulas comuns podem compartilhar um caminho de falha perigoso ou não ter monitoramento eficaz. A interconexão pneumática real e a resposta à falha devem ser analisadas.
Uma válvula Categoria 4, PL e, torna a máquina completa PL e?
Não. Uma válvula pode fornecer um subsistema de saída certificado ou avaliado nas condições declaradas. Os dispositivos de entrada, a lógica de segurança, a fiação, os diagnósticos, as demais saídas, o software, as interfaces e a resposta física da máquina também devem atender aos requisitos da função de segurança. A função instalada ainda precisa de verificação e validação.
Um sistema de válvulas redundantes deve sempre descarregar todo o ar da máquina?
Não. A avaliação de riscos define o estado seguro e a zona perigosa. A exaustão completa pode derrubar uma carga vertical, liberar uma pinça ou soltar uma peça mantida por vácuo. Algumas máquinas precisam de exaustão por zonas, retorno seguro controlado, retenção de pressão ou contenção mecânica em vez de despressurização indiscriminada de toda a instalação.
O feedback da pressão a jusante é suficiente para monitorar os dois elementos da válvula?
Nem sempre. O feedback de pressão pode confirmar que um volume cruzou um limite, mas talvez não identifique qual elemento da válvula falhou nem comprove sua posição. As declarações de Categoria e DC devem seguir a análise de falhas e as instruções de monitoramento do produto. Alguns projetos exigem feedback de posição separado de cada elemento.
Com que frequência uma função de segurança com válvulas redundantes deve ser testada?
Não existe um intervalo universal baseado apenas em PL d ou PL e. Use o manual de segurança da válvula, o projeto diagnóstico, a avaliação de riscos, a frequência de operação, a exposição à contaminação, o histórico de manutenção e a norma de máquina aplicável. Inclua a frequência de teste ou operação assumida na avaliação de confiabilidade e no plano de validação.
Fontes e referências técnicas
Este guia utiliza 11 fontes primárias consultadas em 22 de julho de 2026: cinco referências ISO ou IFA e seis documentos de fabricantes. Os dados de produto continuam vinculados ao modelo exato e às condições de integração, enquanto as fontes ISO fundamentam as afirmações sobre projeto e validação no nível do sistema. Não são usadas anedotas de clientes, alegações de preços de mercado nem percentuais genéricos de economia.
- Organização Internacional de Normalização. ISO 12100:2010, Segurança de máquinas, avaliação e redução de riscos. Confirmada em 2022. Consultada em 22/07/2026.
- Organização Internacional de Normalização. ISO 13849-1:2023, Partes de sistemas de comando relacionadas à segurança, Parte 1. Consultada em 22/07/2026.
- Organização Internacional de Normalização. ISO 13849-2:2012, Validação. Consultada em 22/07/2026.
- Organização Internacional de Normalização. ISO/DIS 13849-2, revisão preliminar em desenvolvimento. Consultada em 22/07/2026.
- Organização Internacional de Normalização. ISO 4414:2010, Requisitos de segurança para sistemas de potência pneumática. Confirmada em 2021. Consultada em 22/07/2026.
- Instituto de Segurança e Saúde Ocupacional do Seguro Social Alemão de Acidentes. Software SISTEMA para a ISO 13849-1. Consultado em 22/07/2026.
- Instituto de Segurança e Saúde Ocupacional do Seguro Social Alemão de Acidentes. Relatório IFA 2/2017e, Segurança funcional dos comandos de máquinas. Consultado em 22/07/2026.
- Parker Hannifin. Catálogo técnico da válvula de exaustão de segurança P33. Novembro de 2024. Consultado em 22/07/2026.
- Parker Hannifin. Guia de integração da válvula de exaustão de segurança P33. Consultado em 22/07/2026.
- ROSS Controls. Conjunto de entrada de ar seguro da série 1286 com válvula dupla DMC monitorada internamente. Consultado em 22/07/2026.
- ROSS Controls. Válvula dupla redundante RSe monitorada externamente. Consultado em 22/07/2026.