Um circuito de comando de segurança bimanual só está pronto para serviço depois que a máquina instalada passa pelos testes especificados de estado, temporização, reinício e resposta a falhas. Pressionar dois botões durante um ciclo normal prova muito pouco. O comissionamento deve mostrar o que acontece quando uma entrada chega antes, depois, permanece acionada, é perdida ou apresenta falha, e quando a saída pneumática não responde conforme o comando.
Este artigo é um guia de comissionamento e injeção de falhas. Para conhecer os tipos de dispositivo, os limites de proteção, a diferença entre comando bimanual e acionamento bimanual e os princípios de distância de segurança, comece pela visão geral do comando bimanual pneumático. Para o projeto de Performance Level, use o guia separado de circuitos pneumáticos de segurança segundo a ISO 13849.
Principais conclusões
- A ISO 13851 define três tipos de THCD, mas protege somente a pessoa que usa o dispositivo.
- Teste todos os estados permitidos e todos os caminhos de reinício proibidos.
- Meça a saída, a pressão e o movimento perigoso da máquina instalada, não apenas o estado do relé.
- Injete falhas dentro de um plano de validação controlado, nunca com uma pessoa exposta ao perigo.
O que deve estar congelado antes do início do comissionamento?
A ISO 13851:2019 define três tipos funcionais de THCD, mas não escolhe um deles para uma máquina específica. Portanto, o comissionamento deve começar com uma especificação aprovada da função de segurança que identifique o tipo selecionado, a pessoa exposta, o perigo, o estado seguro, o Performance Level exigido, o comportamento de temporização e os limites de aceitação específicos da máquina (ISO 13851, confirmada em 2024).
Não comece ajustando a temporização dos botões ou a vazão da válvula. Primeiro congele os documentos que definem o que o sistema deve fazer. Uma equipe de comissionamento não consegue produzir um resultado de aprovação defensável quando o comportamento exigido muda durante o teste.
O pacote mínimo de entrada deve conter:
- a avaliação de risco atual e a norma de tipo C aplicável à máquina;
- a especificação da função de segurança e o Performance Level exigido, ou PLr;
- o tipo de THCD selecionado e o manual exato do dispositivo;
- esquemas elétricos e pneumáticos com números de revisão;
- programa e checksum do controlador de segurança;
- manual de segurança da válvula de saída, método de realimentação e acessórios permitidos;
- resposta esperada à liberação de qualquer uma das mãos, ao reset, à perda de energia elétrica e à perda de ar;
- limites de parada e fechamento medidos ou especificados no perigo;
- lista de falhas, método de teste, critérios de aceitação e método de restauração;
- nomes e funções do validador, da testemunha do teste e da pessoa que autoriza a liberação.
Um critério de aceitação de comissionamento é uma condição mensurável que separa aprovação de reprovação antes do início do teste. “A máquina para com segurança” não é suficiente. Declare o movimento residual máximo, o limiar de pressão, o estado da saída, o tempo de resposta permitido, a combinação de sensores e o comportamento de reinício que serão aceitos.
A ISO 12100 fornece a estrutura de avaliação de risco que precede este trabalho, enquanto a ISO 13849-1 fornece o método de projeto do sistema de comando. Nenhuma das duas normas atribui um PLr ou estado seguro universal a toda aplicação bimanual (ISO 12100, confirmada em 2022; ISO 13849-1, 2023).
Se a especificação não consegue responder qual movimento, pressão ou energia armazenada é permitido depois que qualquer uma das mãos é liberada, pare. Isso é uma lacuna de projeto, não um ajuste de comissionamento.
Qual tabela de estados o circuito deve atender?
Um dispositivo bimanual tem duas entradas manuais intencionais, mas a validação precisa de mais do que as quatro combinações de entradas booleanas. A ISO 13851 também trata da prevenção de burla, da prevenção de falhas e da verificação. A tabela de estados deve incluir a ordem temporal, o comportamento de uma entrada mantida, o comportamento da liberação, o reset e a restauração da energia elétrica ou do ar (ISO 13851, confirmada em 2024).
Construa a tabela de estados a partir da especificação aprovada da função de segurança. O exemplo abaixo é uma estrutura de teste, não substitui o manual do THCD selecionado nem a norma da máquina.
| Estado de teste | Entrada A | Entrada B | Condição adicional | Resultado esperado |
|---|---|---|---|---|
| S0 pronto | liberada | liberada | condições de segurança atendidas | a saída permanece desligada e uma nova demanda é permitida |
| S1 somente A | acionada | liberada | qualquer duração | a saída de segurança permanece desligada |
| S2 somente B | liberada | acionada | qualquer duração | a saída de segurança permanece desligada |
| S3 demanda válida | acionada | acionada | requisito de sincronização atendido | a saída pode ligar somente se todas as outras condições de segurança forem verdadeiras |
| S4 segunda entrada atrasada | acionada | acionada | requisito de sincronização não atendido | a saída permanece desligada; as duas entradas devem retornar ao estado de reinício exigido |
| S5 uma mão liberada | liberada | acionada, ou o inverso | durante o período de comando exigido | a saída muda para o estado seguro especificado e a resposta da máquina permanece dentro dos limites |
| S6 nova tentativa com entrada mantida | acionada | liberada e depois acionada novamente, ou o inverso | uma entrada nunca retornou ao estado pronto | nenhum novo ciclo perigoso é permitido |
| S7 restauração | acionada ou ambas acionadas | acionada ou liberada | a energia elétrica ou o ar retorna | nenhum reinício perigoso inesperado |
Registre tanto o comando quanto o resultado observado. Um bit do controlador de segurança pode desligar enquanto a válvula permanece comutada, a pressão continua presa ou o mecanismo continua se movendo. O registro de aceitação precisa de evidências de toda a cadeia de entrada, lógica, saída e resposta da máquina.
Os nomes dos estados devem aparecer no procedimento de teste, nos diagnósticos do controlador e no relatório final. Essa nomenclatura comum torna um teste reprovado rastreável. Ela também impede que uma anotação vaga como “teste dos botões aprovado” esconda qual caminho de temporização ou reinício foi realmente verificado.
Os estados proibidos muitas vezes revelam mais do que o estado válido. Um início correto com dois botões pode passar mesmo quando a prevenção de amarração ou de reinício está defeituosa. O comissionamento deve dedicar pelo menos a mesma atenção aos comandos que não podem produzir uma saída que ao único comando que pode produzi-la.
Como testar simultaneidade, antiamarração e antirrepetição?
A OSHA exige operação simultânea e comportamento antirrepetição para determinadas aplicações de prensas mecânicas, enquanto a ISO 13851 define o comportamento por tipo de THCD. Nenhuma dessas fontes sustenta copiar um valor de temporização arbitrário para todas as máquinas. Teste a janela exata de sincronização e a sequência de reinício declaradas pelo dispositivo selecionado e pela especificação da função de segurança (OSHA 1910.217; ISO 13851).
Use um gerador de entradas controlado, um trace do controlador de segurança ou atuadores instrumentados quando a temporização manual não conseguir produzir testes de limite repetíveis. Teste valores abaixo, no limite e acima do limite de sincronização permitido. Registre os carimbos de tempo das transições das entradas e da saída de segurança. Não deduza a janela de temporização real observando se um cilindro por acaso se moveu.
Execute estas sequências tanto na ordem A primeiro quanto na ordem B primeiro:
- Acione a segunda entrada bem dentro do intervalo permitido e confirme que uma saída válida é possível.
- Repita no limite documentado usando equipamento com resolução temporal adequada.
- Acione a segunda entrada fora do intervalo permitido e confirme que a saída permanece desligada.
- Libere somente uma entrada, pressione-a novamente enquanto a outra permanece mantida e confirme que nenhum novo ciclo começa.
- Mantenha uma entrada acionada antes do reset ou da entrada no modo e depois opere a segunda entrada.
- Mantenha as duas entradas acionadas durante o reset, a restauração da energia elétrica e a restauração do ar.
- Libere as duas entradas, restaure o estado pronto exigido e confirme que a próxima demanda válida segue a sequência documentada.
Antiamarração e antirrepetição são conceitos relacionados, mas não intercambiáveis. Antiamarração é o comportamento que impede uma entrada mantida ou burlada de se combinar com a operação repetida da outra entrada. Antirrepetição é o comportamento que impede outro ciclo perigoso sem a sequência exigida de liberação e novo acionamento. O relatório de teste deve identificar qual requisito cada sequência verifica.
Se um controlador de segurança configurável implementa a temporização, verifique os limites dos parâmetros, o controle de acesso, o registro de download e o checksum. Se um módulo THCD dedicado implementa essa função, registre o número exato da peça, a revisão, as condições de alimentação e a indicação de diagnóstico. Em ambos os casos, teste os sinais instalados. Uma afirmação de catálogo não prova que a fiação ou a tubulação de campo corresponde à configuração avaliada.
Planejamento da injeção de falhas e controle do teste
A ISO 13849-2:2012 exige a validação, por análise e teste, das funções de segurança especificadas, da Categoria e do Performance Level alcançado. A injeção de falhas deve estar dentro desse processo de validação planejado. Ela deve usar falhas identificadas, critérios de aceitação definidos, pessoal autorizado, energia controlada e um método documentado para restaurar a máquina (ISO 13849-2).
Nunca improvise falhas em uma máquina de produção com uma pessoa dentro da zona de perigo. Estabeleça barreiras, retenções mecânicas, modo de teste, limites de energia e recuperação de emergência antes de alterar uma entrada ou saída de segurança. O líder do teste deve poder interromper a atividade sempre que o estado observado da máquina diferir do procedimento.
Para cada falha, documente:
- ID do teste e requisito de segurança que está sendo desafiado;
- condutor, tubo, válvula, sensor ou sinal de software exato afetado;
- modo da máquina, carga, posição, pressão, temperatura e velocidade;
- método seguro usado para simular a falha;
- indicação de diagnóstico e reação à falha esperadas;
- se o ciclo atual, o próximo ciclo ou ambos devem ser inibidos;
- resposta esperada da válvula de saída, da pressão a jusante e da mecânica;
- etapas de restauração e verificações antes do próximo teste;
- resultado real, arquivo de evidência, testemunha, data e disposição.
Injete uma falha planejada por vez, a menos que a avaliação de risco e o plano de validação exijam explicitamente o teste de falhas acumuladas. Combinações não controladas dificultam o diagnóstico e podem criar um estado perigoso que o procedimento nunca previu. Depois de cada teste, confirme que jumpers, tampões, forças de software, tubos restringidos e sinais de realimentação simulados foram removidos.
Em nossa experiência revisando pacotes de validação, o artefato de teste mais perigoso é um bypass temporário não documentado. Um cabo de teste brilhante e numerado e uma lista de restauração assinada são controles simples, mas impedem que um teste de falha aprovado deixe a máquina em uma condição neutralizada.
Matriz de injeção de falhas de entrada e lógica
A ISO 13849-1 se aplica a elementos elétricos, pneumáticos, hidráulicos, mecânicos e de software em funções de segurança de alta demanda ou modo contínuo. Portanto, um circuito bimanual pode falhar por causa da fiação, da tubulação, da mecânica do atuador, dos parâmetros lógicos ou de alimentações compartilhadas. A lista de falhas deve seguir a tecnologia implementada, em vez de presumir que todo sistema é puramente elétrico (ISO 13849-1, 2023).
Selecione as falhas a partir da análise de falhas do projeto e dos manuais de segurança dos componentes. A matriz a seguir fornece estímulos de teste; ela não declara que toda falha listada seja aplicável ou possa ser injetada com segurança.
| Estímulo de falha | O que o teste desafia | Evidência a capturar |
|---|---|---|
| Circuito aberto da entrada A ou perda do sinal pneumático | perda de um canal | estado da saída, diagnóstico, inibição do reinício |
| Circuito aberto da entrada B ou perda do sinal pneumático | independência do canal oposto | mesma evidência com os canais invertidos |
| Curto da entrada à alimentação ou pressão mantida | entrada travada como ativa | comportamento de antiamarração e detecção de falha |
| Curto da entrada ao comum ou ao escape | entrada travada como inativa | nenhuma saída falsa e diagnóstico correto |
| Curto cruzado ou tubos cruzados, quando plausível | independência do canal e monitoramento de discrepância | se uma ação consegue satisfazer os dois canais |
| Atuador mantido mecanicamente | resistência à burla | nenhum ciclo repetido pelo atuador livre |
| Temporização da entrada fora da janela permitida | monitoramento da sincronização | carimbos de tempo e saída rejeitada |
| Parâmetro de temporização alterado | controle de configuração | proteção de acesso, checksum, diagnóstico, resultado do teste |
| Perda da alimentação do módulo de entrada | comportamento de desenergização | estado da saída e do reinício |
| Entrada de reset mantida ou em falha | monitoramento do reset | reset não inicia movimento nem mascara uma falha de entrada |
Não crie um curto-circuito a menos que as instruções do componente e a configuração do teste tornem esse método seguro. Um pulso de teste integrado ao controlador ou uma unidade certificada de inserção de falhas pode ser preferível. Entradas pneumáticas podem exigir um método de bloqueio, ventilação ou retenção de sinal aprovado pelo fabricante, em vez de apertar tubos ou instalar restrições não listadas.
Teste a simetria dos canais. Se a falha do canal A for detectada, mas a falha correspondente do canal B não for, investigue a fiação, a configuração de diagnóstico e as hipóteses de causa comum. Um par de entradas não é redundante apenas porque dois botões estão visíveis no console.
Matriz de injeção de falhas de saída e pneumáticas
A Festo descreve o comando pneumático bimanual como um acionamento simultâneo que produz um sinal de saída. Esse sinal não é o estado seguro em si. O comissionamento deve testar a válvula a jusante, o caminho da pressão, o atuador, a carga e a realimentação, porque um elemento de saída com falha ou um escape restringido pode alterar a resposta da máquina (Segurança pneumática Festo).
Comece pelos modos de falha da saída identificados no manual de segurança da válvula e na análise do circuito. Algumas falhas devem ser simuladas por meio da realimentação ou de um dispositivo de teste, em vez de travar fisicamente uma válvula. O método não deve danificar um componente certificado nem criar um movimento descontrolado.
| Estímulo de falha | Pergunta de engenharia necessária | Evidência instalada |
|---|---|---|
| Um canal de saída não comuta | A arquitetura restante mantém a função de segurança especificada? | saída do controlador, realimentação da válvula, pressão, movimento |
| A realimentação da válvula permanece no estado anterior | A discrepância é detectada dentro do tempo exigido? | trace da realimentação, código de diagnóstico, inibição do próximo ciclo |
| Caminho de escape restringido até o limite plausível | A pressão decai e o movimento permanece dentro dos limites de aceitação? | curva de pressão a jusante e movimento perigoso |
| Silenciador bloqueado ou acessório incorreto instalado | A configuração documentada detecta ou tolera a restrição? | número da peça, trace de pressão, resultado do teste |
| Pressão de alimentação mínima e máxima permitida | A resposta segura permanece válida em toda a faixa permitida? | pressão na porta, estado da válvula, resultado da parada |
| Alimentação de ar perdida e restaurada | A restauração da pressão pode iniciar um movimento? | estados dos comandos, aumento da pressão, posição do atuador |
| Tubo a jusante rompe ou vaza | A carga se move, é liberada ou cai? | estado da carga e resposta da retenção independente |
| Realimentação de posição ou pressão forçada para um valor incorreto | A lógica de plausibilidade detecta a discrepância? | valores do sensor, diagnóstico, comportamento da saída |
| Carga gravitacional ou de mola atua depois da ventilação | O escape é realmente o estado seguro? | movimento medido e estado do dispositivo de retenção |
A resposta pneumática segura pode ser bloquear, ventilar, parar e manter, retornar de forma controlada ou combinar essas ações. A ventilação imediata não é universalmente segura. Um cilindro vertical pode descer e uma pinça pode liberar uma peça. Use o guia de integração de válvulas de escape de segurança e o guia de trava da haste do cilindro quando essas funções fizerem parte da redução de risco.
A realimentação da válvula prova que um elemento da válvula alcançou um estado monitorado. Ela não prova que a pressão no perigo caiu rápido o suficiente nem que o movimento perigoso parou. O trace de validação deve se estender além da válvula monitorada até a variável física capaz de causar ferimentos.
Como medir a resposta da máquina instalada
A regra da OSHA para prensas mecânicas usa uma constante de velocidade da mão de 63 polegadas por segundo junto com o tempo de parada ou fechamento medido para proteções bimanuais especificadas. A lição mais ampla é que a distância de segurança depende da resposta da máquina instalada, não do tempo de catálogo de um relé ou de uma válvula (OSHA 1910.217).
Correlacione no tempo os eventos que definem a função de segurança:
- transição da entrada manual A e da entrada manual B;
- decisão da lógica de segurança e comando da saída;
- realimentação da válvula de saída ou posição do elemento monitorado;
- pressão a jusante na zona relevante;
- movimento do atuador, carro, pinça ou ferramenta;
- alcance do limiar especificado do estado seguro.
Use equipamentos de medição com resolução e exatidão suficientes para o limite de aceitação. Registre o status de calibração, a taxa de amostragem, a faixa do sensor, o método de disparo e o escalonamento do sinal. Um vídeo de celular pode ajudar a explicar um evento, mas não substitui dados rastreáveis de temporização e movimento quando o limite está próximo.
Meça a pior condição plausível, não somente um ciclo vazio conveniente. As variáveis relevantes podem incluir carga máxima, velocidade mais alta, pressão de alimentação mínima e máxima, operação quente e fria, condição de freio desgastado, tubo no maior comprimento permitido, silenciador permitido, escape restringido, posição desfavorável do cilindro e direção da gravidade.
A ISO 13855:2024 trata do posicionamento de dispositivos de comando bimanual e de outras proteções em relação à aproximação humana. Use a norma aplicável e os requisitos de tipo C da máquina real. Não reutilize a fórmula da OSHA para prensas mecânicas nem um valor genérico de 500 ms em uma fixação pneumática não relacionada (ISO 13855, 2024).
Armazene os traces brutos junto com o resultado resumido de aprovação. Um relatório deve permitir que o revisor identifique, na mesma base de tempo, a demanda de segurança, a mudança da saída, a resposta da pressão, a resposta mecânica e o limiar de aceitação.
Como testar reset, restauração da energia e mudanças de modo?
A OSHA 1910.217 exige a liberação dos controles manuais de todos os operadores antes que um curso interrompido possa continuar em controles de prensa especificados. A ISO 13849-1 trata do reinício e do comportamento da função de segurança como partes do projeto completo do comando. O comissionamento deve testar reset, ciclos de energia, restauração do ar e mudanças de modo como eventos distintos (OSHA 1910.217; ISO 13849-1).
Um reset deve reconhecer uma condição segura e permitir um comando posterior. Ele não deve, por si só, iniciar um movimento perigoso. Verifique esse princípio com as entradas manuais liberadas, uma mantida, ambas mantidas e cada sinal de realimentação relevante correto ou incorreto.
Teste pelo menos estas transições:
- controlador desligado e ligado com nenhum atuador manual pressionado;
- energia restaurada com um atuador mantido;
- energia restaurada com os dois atuadores mantidos;
- ar restaurado antes da energia elétrica e na ordem inversa;
- reset acionado enquanto uma entrada permanece ativa;
- reset acionado enquanto a realimentação da válvula está discrepante;
- mudanças de automático para manual e de manual para automático;
- retorno da parada de emergência;
- retorno de uma demanda de segurança de proteção ou externa;
- perda e recuperação da comunicação quando houver segurança em rede.
Registre se a máquina permanece parada, se a pressão sobe, se um atuador se move e qual ação deliberada é necessária antes de um novo ciclo. “Nenhum bit de saída” é insuficiente se a restauração do ar pode deslocar uma válvula de retorno por mola ou mover um mecanismo carregado pela gravidade.
Parada de emergência e comando bimanual são funções de segurança distintas. A ISO 13850 define a função de parada de emergência independentemente da tecnologia de energia. Não use um teste de parada de emergência aprovado para encerrar um requisito bimanual reprovado, nem o inverso (ISO 13850, confirmada em 2020).
Por que LOTO é um limite de teste separado?
A OSHA 1910.147 inclui explicitamente a energia pneumática e exige que trabalhos de manutenção abrangidos tratem da energização inesperada, da partida e da liberação de energia armazenada. Um dispositivo bimanual ou relé de segurança é uma proteção operacional, não automaticamente um dispositivo de isolamento de energia. O comissionamento deve manter o teste da função de segurança separado da verificação do isolamento para manutenção (OSHA 1910.147).
Uma válvula manual de alimentação e ventilação bloqueável pode apoiar um procedimento de controle de energia quando o dispositivo, a instalação, os controles de energia armazenada e as etapas de verificação atendem aos requisitos aplicáveis. Sua presença não estabelece o Performance Level de uma função de segurança automática. Da mesma forma, pressionar uma parada de emergência ou remover uma saída de segurança não isola automaticamente todas as fontes de energia.
Quando a injeção de falhas exige entrar em uma zona de perigo, alterar a tubulação, reter uma válvula ou tocar uma carga, aplique o procedimento autorizado de isolamento do local. Identifique a energia pneumática, elétrica, mecânica, gravitacional, de mola, de vácuo, hidráulica e térmica. Alivie, desconecte, bloqueie ou retenha a energia armazenada e verifique o isolamento antes do início do trabalho.
Depois que a modificação for concluída, remova ferramentas e dispositivos temporários de teste, restaure as proteções, verifique se todas as pessoas estão afastadas e siga o procedimento autorizado de retorno ao serviço. O próximo teste funcional só começa depois que a máquina retornar à configuração de teste definida.
O guia de seleção de válvulas manuais e mecânicas explica as funções comuns das válvulas. Não considere uma válvula manual comum um dispositivo de isolamento com classificação de segurança nem uma entrada de THCD, a menos que sua documentação sustente exatamente esse uso.
Que evidências tornam o registro de validação auditável?
A ISO 13849-2 exige a validação das funções de segurança especificadas, da Categoria e do Performance Level por análise e teste. Uma lista de verificação apenas com aprovado/reprovado não mostra qual configuração foi testada. O registro final deve vincular cada requisito a um método, resultado medido, resposta à falha, arquivo de evidência e disposição aprovada (ISO 13849-2, 2012).
Use uma linha por teste, e não uma linha por componente:
| Campo do registro | Conteúdo exigido |
|---|---|
| Função de segurança | identificador, descrição, perigo, estado seguro, PLr |
| Requisito | critério exato de estado, temporização, movimento, pressão ou reinício |
| Configuração | número de série da máquina, revisões dos desenhos, checksum do programa, revisões dos dispositivos |
| Condições de teste | modo, pressão, carga, velocidade, posição, temperatura, acessórios |
| Ação de teste | comando normal ou falha injetada exata e método |
| Resultado esperado | diagnóstico, saída, pressão, movimento, comportamento de reinício |
| Resultado real | valores medidos e observações, não apenas “aprovado” |
| Evidência | trace, fotografia, vídeo, log do controlador, arquivo do instrumento, referência de calibração |
| Restauração | alterações temporárias removidas e configuração normal verificada |
| Disposição | aprovado, reprovado, desvio, ação corretiva, referência do reteste |
| Aprovação | testador, revisor independente quando exigido, data, assinaturas |
Mantenha os registros de cálculo e validação alinhados. Se o tipo da válvula, o programa do controlador, o tamanho do tubo, o silenciador, a pressão de alimentação, a carga móvel, o freio, a ferramenta ou a definição do estado seguro mudar, revise quais análises e testes deixaram de ser válidos. O controle de configuração faz parte da evidência.
Antes de liberar a máquina, reconcilie todo teste reprovado ou interrompido. Um “aprovado após ajuste” sem explicação não é encerramento. Registre o que mudou, por que a alteração é aceitável, quais documentos foram revisados e quais testes de regressão foram repetidos.
A ANSI B11.19-2019 (R2024) trata dos requisitos de desempenho para projeto, instalação, operação e manutenção de proteções e outras medidas de redução de risco. Para máquinas na América do Norte, use-a junto com a norma B11 específica da máquina e os requisitos legais aplicáveis, em vez de tratar uma lista genérica como certificação (ANSI B11.19).
Quando o teste deve parar e retornar à engenharia?
A ISO 12100 exige que a redução de risco seja avaliada e verificada durante todo o ciclo de vida da máquina. O comissionamento não pode aprovar uma função de segurança ajustando um perigo indefinido, um resultado de parada instável ou uma resposta de falha reprovada. Quando os critérios de aceitação não podem ser atendidos de forma consistente, o teste para e o projeto retorna à engenharia (ISO 12100).
Pare o teste quando:
- o estado seguro estiver ausente, contraditório ou mudar entre documentos;
- uma falha produzir movimento perigoso ou liberação de carga inesperados;
- um bypass temporário não puder ser identificado e controlado de forma positiva;
- os resultados medidos de parada ou decaimento da pressão excederem o limite;
- os resultados variarem além da tolerância permitida entre condições de carga ou pressão;
- a documentação da válvula, do controlador ou do THCD não cobrir a configuração instalada;
- o cálculo do PL alcançado depender de dados de componentes não verificados;
- um diagnóstico não inibir o ciclo exigido pela especificação;
- a restauração da energia elétrica ou do ar criar movimento inesperado;
- o teste exigir expor uma pessoa a um perigo não controlado;
- a configuração de teste deixar de corresponder aos desenhos e ao software liberados.
Não esconda uma falha de projeto aumentando o atraso do controlador, reduzindo a velocidade da máquina, movendo os botões ou acrescentando uma instrução ao operador sem atualizar a avaliação de risco e a base de validação. Uma modificação pode ser uma solução válida, mas cria uma nova configuração que deve ser revisada e testada novamente.
Para cotação ou análise técnica, forneça a especificação da função de segurança, o tipo de THCD selecionado, os desenhos do circuito, o PLr, os dados da válvula, as condições de carga e pressão, os limites de temporização, a lista de falhas e as evidências exigidas por meio da página de contato técnico.
Perguntas frequentes sobre o comissionamento de circuitos de segurança bimanuais
A ISO 13851 define três tipos de THCD, enquanto a ISO 13849-1 não prescreve um PLr universal. Por isso, estas respostas se concentram na validação da instalação e na documentação. O manual do dispositivo selecionado, a avaliação de risco da máquina, a norma de tipo C aplicável e os requisitos legais locais continuam sendo as fontes de controle.
Um ciclo normal com dois botões prova que o circuito é seguro?
Não. Ele prova apenas que um comando intencional produziu uma saída nas condições testadas. A validação também deve desafiar entradas antecipadas, atrasadas, mantidas, liberadas e em falha; discrepâncias de saída e realimentação; restauração da energia elétrica e do ar; e a resposta da máquina física. Os critérios de aceitação devem vir da especificação aprovada da função de segurança.
Os dois botões devem sempre ser pressionados dentro de 500 ms?
Não aplique 500 ms como valor universal de máquina. O comportamento de sincronização permitido depende do tipo de THCD selecionado, das instruções do produto, da norma aplicável e da especificação da função de segurança. Teste abaixo, no limite e acima do limite documentado nas ordens A primeiro e B primeiro, e registre os carimbos de tempo das entradas e da saída de segurança.
A injeção de falhas pode ser feita em uma máquina de produção em funcionamento?
Somente dentro de um procedimento de validação controlado e autorizado que impeça a exposição ao perigo. Barreiras, retenções, modo de teste, limites de energia, etapas de recuperação e pessoal qualificado devem ser definidos antes da injeção de uma falha. Se o trabalho exigir entrar na zona de perigo ou alterar caminhos de energia, aplique o procedimento de isolamento do local.
A realimentação da válvula prova que a máquina alcançou um estado seguro?
Não. A realimentação pode mostrar que um elemento monitorado da válvula alcançou uma posição, mas a pressão pode continuar presa e o mecanismo pode continuar se movendo. Meça a variável física de aceitação indicada pela função de segurança, como deslocamento perigoso, tempo de parada, pressão a jusante, estado da pinça ou retenção da carga.
Com que frequência o circuito bimanual deve ser retestado?
Não existe um intervalo universal diário, mensal ou anual para todo circuito. Defina os intervalos de inspeção e teste funcional a partir da avaliação de risco, das instruções dos componentes, da frequência de uso, do projeto de diagnóstico, do ambiente, da norma específica da máquina, dos requisitos legais e do histórico de falhas. Revalide os requisitos afetados depois de mudanças no hardware, software, ferramental, pressão, velocidade ou carga.
De onde vêm os requisitos de validação?
As fontes abaixo definem limites complementares: a ISO 13851 trata do projeto e da seleção de THCD; a ISO 13849 trata do projeto e da validação de comandos relacionados à segurança; a ISO 13855 trata do posicionamento das proteções; as regras da OSHA se aplicam a situações específicas de prensas e controle de energia nos Estados Unidos. Nenhuma substitui a avaliação de risco da máquina nem a norma de tipo C aplicável.
- ISO 13851:2019. Princípios dos dispositivos de comando bimanual, três tipos funcionais, prevenção de burla, seleção e verificação. Confirmada em 2024; acessada em 22 de julho de 2026.
- ISO 13849-1:2023. Método de projeto e integração das partes de sistemas de comando relacionadas à segurança em tecnologias elétricas, pneumáticas, hidráulicas, mecânicas e de software. Acessada em 22 de julho de 2026.
- ISO 13849-2:2012. Validação de funções de segurança, Categorias e Performance Levels por análise e teste. Edição publicada atual aguardando revisão; acessada em 22 de julho de 2026.
- ISO 12100:2010. Princípios de avaliação e redução de riscos em máquinas. Confirmada em 2022; acessada em 22 de julho de 2026.
- ISO 13855:2024. Posicionamento de proteções, incluindo dispositivos de comando bimanual, em relação à aproximação humana. Acessada em 22 de julho de 2026.
- ISO 13850:2015. Princípios da função de parada de emergência independentemente da tecnologia de energia. Confirmada em 2020; acessada em 22 de julho de 2026.
- OSHA 29 CFR 1910.217. Requisitos dos Estados Unidos para prensas mecânicas e comandos e acionamentos bimanuais especificados, incluindo operação simultânea, antirrepetição e distância de segurança. Acessada em 22 de julho de 2026.
- OSHA 29 CFR 1910.147. Controle de energia perigosa, incluindo energia pneumática, durante manutenção e assistência abrangidas. Acessada em 22 de julho de 2026.
- ANSI B11.19-2019 (R2024). Requisitos de desempenho para proteções e outras medidas de redução de risco. Acessada em 22 de julho de 2026.