Nenhum projeto de sistema pneumático de segurança pode comprovar uma redução universal de 98% nas lesões graves. Um projeto defensável começa pelo perigo da máquina, define o estado seguro necessário, seleciona uma arquitetura de controle adequada e valida a função de segurança completa. Válvulas rápidas, redundância, diagnóstico, retenção de carga e bloqueio podem ser importantes, mas resolvem problemas diferentes.
A OSHA estima que o cumprimento de sua norma de bloqueio e etiquetagem evita 120 mortes e 50.000 lesões por ano. Esse número se aplica ao controle de energias perigosas em vários setores, não a um circuito pneumático ou arranjo de válvulas específico (Ficha informativa de bloqueio e etiquetagem da OSHA, 2022).
Principais conclusões
- Nenhuma norma sustenta uma promessa universal de redução de lesões de 98%.
- Defina o estado seguro antes de selecionar válvulas ou travas de haste.
- Use o tempo total de parada, e não apenas a resposta da válvula, para calcular a distância de separação.
- Valide a função de segurança instalada e mantenha o LOTO de manutenção separado.
Algum projeto de sistema pneumático de segurança pode garantir a prevenção de 98% das lesões?
A OSHA atribui ao cumprimento de sua norma de energias perigosas uma estimativa de 120 mortes e 50.000 lesões evitadas por ano, mas não atribui um resultado de 98% ao projeto de segurança pneumática. Nenhuma norma ISO ou IEC de segurança de máquinas fornece essa porcentagem universal (Ficha informativa de bloqueio e etiquetagem da OSHA, 2022).
Tratar uma porcentagem como meta de projeto esconde as variáveis que importam. O risco de lesão depende do perigo, da exposição, da gravidade possível, do acesso, do modo de operação, do comportamento humano, da resposta da máquina, da confiabilidade dos componentes e da eficácia das medidas de redução de risco. Um número obtido em uma fábrica ou máquina não se transfere automaticamente para outra.
Redução de risco é o processo de diminuir o risco por meio de projeto inerentemente seguro, proteções e medidas protetivas complementares, além de informações para uso. A ISO 12100 descreve isso como um processo iterativo, e não como um atalho para seleção de produtos (ISO 12100:2010).
Faça uma pergunta mensurável: a máquina alcança e mantém seu estado seguro definido antes que uma pessoa possa encontrar o perigo, inclusive depois das falhas que a arquitetura selecionada deve tolerar? Cálculos, dados de componentes, testes e registros podem responder a isso.
Mantenha a afirmação resultante restrita. Por exemplo: “A abertura da proteção A faz o movimento perigoso do fixador parar antes que a distância de separação calculada seja ultrapassada, e uma falha detectada na saída impede a partida automática.” Isso é auditável. “Nosso sistema evita 98% das lesões” não é.
Defina a função de segurança antes de escolher uma válvula
Defina cada função de segurança antes de selecionar uma válvula. A ISO 12100:2010 é uma norma de segurança de máquinas de 77 páginas, confirmada como vigente em 2022, que começa pela identificação de perigos e pela redução iterativa de riscos. A demanda da função, o estado seguro, o comportamento diante de falhas e os critérios de aceitação devem constar da especificação (ISO 12100:2010).
Uma função de segurança é uma resposta especificada da máquina que reduz o risco quando ocorre um evento definido. “Instalar uma válvula de descarga monitorada” é uma instrução para um componente, não uma função de segurança completa. A especificação deve declarar o que inicia a resposta, qual comportamento perigoso deve parar ou ser impedido e como o resultado será verificado.
Comece com seis perguntas:
- Que movimento, pressão, carga gravitacional, vácuo, força de mola ou energia armazenada pode causar dano durante a operação, a parada, a perda de energia, a manutenção e a recuperação de uma interrupção?
- Quem pode ser exposto e em quais modos de operação e manutenção?
- Que condição física constitui o estado seguro?
- Com que rapidez esse estado deve ser alcançado e por quanto tempo deve ser mantido?
- Quais falhas devem ser detectadas ou toleradas?
- Que comportamento de reset e reinício impede um novo perigo?
Os estados seguros podem ser diferentes dentro de uma mesma máquina. Um fixador horizontal pode precisar ter a pressão removida. Um eixo vertical pode precisar que sua carga seja apoiada antes da exaustão do ar. Uma pinça pode precisar reter uma peça até que uma sequência segura de deposição termine. Por que supor que “ar desligado” sempre significa “seguro”?
| Condição perigosa | Possível requisito do estado seguro | Evidência necessária |
|---|---|---|
| O cilindro horizontal pode esmagar um operador | Parar o movimento, bloquear a alimentação e reduzir a pressão aprisionada | tempo total de parada e teste de pressão residual |
| A carga vertical pode cair quando a pressão desaparece | Reter ou apoiar mecanicamente a carga antes da exaustão | dados nominais de retenção e teste da carga instalada |
| A pinça a vácuo pode deixar uma peça cair | Manter a aderência ou mover a peça para um local controlado | teste de perda de alimentação e monitoramento da carga |
| O atuador com retorno por mola se move durante a ventilação | Controlar ou restringir o movimento de retorno | verificação de deslocamento, força e zona de acesso |
| Um técnico entra para manutenção | Isolar a energia, bloqueá-la e dissipar ou restringir a energia armazenada | procedimento de LOTO específico da máquina e verificação do isolamento |
O guia do circuito de controle de segurança de duas mãos mostra como uma tecnologia de entrada se encaixa nessa cadeia mais ampla de entrada, lógica, saída e validação.
Por que uma meta universal de 15 a 50 ms para válvulas é insegura?
A resposta da válvula, sozinha, não pode definir uma distância de separação segura. A ISO 13855:2024 é uma norma de 72 páginas que baseia o posicionamento das proteções no desempenho total de parada. Sensor, lógica, saída, queda de pressão, movimento do atuador, comportamento da carga e desaceleração mecânica contribuem para o resultado específico da aplicação (ISO 13855:2024).
O tempo de comutação da válvula é apenas um intervalo. Uma válvula pode se mover em 20 ms, enquanto um grande volume a jusante leva muito mais tempo para despressurizar. Um cilindro também pode continuar se movendo por causa de pressão aprisionada, inércia, gravidade, uma mola externa ou energia mecânica armazenada.
Para muitas aplicações da ISO 13855, a relação geral da distância de separação é:
Aqui, é a distância mínima de separação em milímetros, é o parâmetro aplicável de velocidade de aproximação humana em milímetros por segundo, é o desempenho total de parada em segundos, e é a margem de intrusão ou alcance em milímetros. Os valores e as condições exatos dependem da proteção, da aproximação, da norma da máquina e da aplicação.
Represente o orçamento de tempo completo como:
Cada termo é uma contribuição de pior caso, desde a detecção até a cessação final da função perigosa. Os dados de tempo de resposta do fabricante podem apoiar os primeiros cálculos, mas o desempenho de parada instalada ainda precisa ser medido. A orientação de aplicação de segurança da Rockwell de 2026 também declara que o cálculo final deve usar o sistema de segurança específico e o tempo de parada medido da máquina (Rockwell Automation, 2026).
Meça o sinal e o resultado físico na mesma base de tempo:
- registre a demanda da proteção;
- capture as transições de entrada e saída do controlador de segurança;
- monitore o feedback do elemento final, quando fornecido;
- meça a pressão nas portas relevantes do atuador;
- registre o último movimento perigoso, e não apenas o movimento do carretel da válvula;
- repita sob a pior carga, pressão, temperatura, modo de operação, restrição de exaustão e condição de contaminação esperadas e aprovadas que possam retardar a resposta física.
Se a queda de pressão for o objetivo de segurança, defina a pressão a jusante que constitui a condição segura e o tempo permitido para alcançá-la. Se o objetivo for a retenção de carga, a queda de pressão pode ser secundária. O limite de aceitação deve seguir a função de segurança.
For axes that continue moving after energy removal, o guia da dinâmica de parada de emergência examines inertia, external loads, and the difference between de-energizing and physically stopping motion.
Selecionando PL ou SIL para a segurança de máquinas
Escolha o método aplicável antes de calcular a confiabilidade. A ISO 13849-1:2023 contém 152 páginas e abrange controles de segurança de alta demanda ou contínuos que usam tecnologias pneumáticas e outras; a IEC 62061:2021 fornece um método para máquinas baseado em SIL. Os requisitos do projeto determinam qual método prevalece (ISO 13849-1:2023; IEC 62061:2021).
Nível de desempenho, ou PL, é a medida da ISO 13849 usada para descrever a capacidade de um sistema de controle relacionado à segurança de executar uma função de segurança sob condições previsíveis. Nível de integridade de segurança, ou SIL, é o conceito de integridade correspondente usado pela IEC 62061 para sistemas de controle relacionados à segurança de máquinas.
Nenhum dos dois rótulos pertence a uma válvula isolada quando a afirmação se refere à máquina completa. A certificação de um elemento final pode fornecer dados úteis de falha e recursos arquitetônicos, mas o PL ou SIL alcançado também depende dos dispositivos de entrada, da lógica, das interfaces, dos diagnósticos, dos controles de causa comum, das condições da aplicação e da validação.
Não calcule os dois métodos e publique o resultado que parecer mais favorável. Selecione o método exigido pela rota regulatória do projeto, pela norma da máquina, pela especificação do cliente e pelo processo de engenharia. Documente premissas, limites dos subsistemas, tempo de missão, taxa de demanda, dados de confiabilidade dos componentes, exclusões de falhas e cobertura diagnóstica.
Para detalhes de cálculo, o guia de circuitos pneumáticos de segurança ISO 13849 aborda PLr, Categoria, MTTFd, DCavg, CCF e SISTEMA. Este artigo permanece no nível da decisão do sistema: o que a saída pneumática deve realmente fazer e como a máquina instalada comprovará isso?
Como o estado seguro pneumático deve ser escolhido?
Selecione o estado seguro a partir da análise de perigos, e não de um comando padrão de exaustão. A ISO 14118:2017 é uma norma de 11 páginas que aborda a partida inesperada causada por alimentação pneumática, gravidade, molas e influências externas, e não atribui PL ou SIL a uma máquina específica (ISO 14118:2017).
Um estado seguro pneumático é a condição física na qual as energias pneumáticas identificadas e as energias armazenadas mecanicamente deixam de criar um risco inaceitável. Ele pode exigir uma ação ou uma sequência coordenada.
As escolhas comuns incluem:
- Bloquear e exaurir: isole a alimentação e ventile um circuito que não sustenta carga.
- Reter antes de exaurir: engate uma retenção de carga ou restrição mecânica qualificada, confirme o engate e depois ventile o volume apropriado.
- Impedir a perda de pressão: retenha temporariamente a pressão quando a perda de vácuo ou força de preensão faria uma peça cair, monitorando a energia armazenada.
- Retorno controlado: mova um atuador para uma posição segura verificada antes de isolar a energia.
- Suporte mecânico: bloqueie um elemento elevado com uma restrição qualificada para sua massa, direção da carga, condições de acesso e atividade de manutenção previsível, para que a condição segura não dependa de ar comprimido ou de um sinal de controle.
Evite tratar “mecanismo de bloqueio de pressão dupla” como uma categoria universal de dispositivo de segurança. Especifique o mecanismo real: trava de haste aplicada por mola, freio dinâmico, conjunto de válvula de retenção pilotada, método de contrabalanço, bloqueio mecânico externo ou outra restrição validada. A retenção estática e a frenagem de emergência são funções diferentes.
Use o guia de integração de válvulas de exaustão de segurança quando a redução de pressão for o resultado necessário. Para cargas retidas, o guia de travas de haste pneumáticas explica por que a capacidade de retenção estática não comprova automaticamente a capacidade de parada dinâmica.
O guia de cilindros com travamento aborda outra forma de manter uma posição, mas seus limites de produto ainda precisam ser avaliados dentro da função de segurança completa.
Uma válvula de exaustão bloqueável pode apoiar o isolamento da energia pneumática, mas o procedimento completo também deve abordar pressão aprisionada, cargas gravitacionais, outras fontes de energia, verificação e reinício.
O que a redundância e o diagnóstico precisam comprovar?
A redundância deve sobreviver às falhas consideradas na análise de segurança. A ISO 13849-1:2023 se aplica a uma metodologia de 152 páginas que abrange elementos pneumáticos, mecânicos, elétricos, hidráulicos e de software. Duas válvulas que compartilham uma alimentação, um comando ou um caminho de exaustão vulnerável ainda podem falhar juntas (ISO 13849-1:2023).
A redundância só ajuda quando um canal ainda pode executar a resposta necessária depois de uma falha relevante no outro. O diagnóstico só ajuda quando detecta as falhas consideradas na análise de segurança e provoca uma reação definida antes que falhas acumuladas eliminem a função.
O que poderia desabilitar os dois canais? Ar contaminado, umidade congelada, um único silenciador subdimensionado, alimentação elétrica compartilhada, manutenção incorreta, uma saída comum do controlador, travamento mecânico ou falha de montagem podem contornar a independência nominal dos canais. A separação física, sozinha, não resolve a falha de causa comum.
Em nossa experiência revisando conceitos de segurança pneumática, a maneira mais rápida de expor uma redundância fraca é rastrear energia e comandos, em vez de contar componentes. Perguntamos o que alimenta os dois canais, o que impede que ambos exaurem, qual feedback comprova o estado físico e qual erro isolado de manutenção pode afetá-los juntos.
Documente o seguinte no arquivo de engenharia:
- o perigo, o evento iniciador, a função de segurança exata, o estado seguro físico, o limite de tempo de resposta e o PLr ou SIL necessário;
- a arquitetura e os limites dos subsistemas;
- os dados do fabricante sobre B10d, MTTFd, taxa de falhas, uso e ambiente, junto com cada premissa aplicada;
- a cobertura diagnóstica, a taxa de teste, a resposta a falhas e a grandeza física que cada diagnóstico observa ou não consegue observar;
- as medidas contra causas comuns, as exclusões de falhas e sua justificativa;
- a taxa de ciclos esperada, o tempo de missão e as restrições de manutenção;
- a resposta da máquina a uma falha detectada, as condições de reset e a evidência necessária antes que a produção possa ser retomada.
O feedback da posição do carretel confirma a posição do carretel, não a pressão a jusante ou o movimento do cilindro. Um pressostato confirma a pressão em sua porta, não a restrição mecânica. Um sensor do cilindro confirma a localização do pistão, não necessariamente a carga externa. Escolha um feedback próximo do resultado físico perdido pela função de segurança.
Como a função de segurança instalada deve ser validada?
A validação deve comprovar a função especificada na máquina instalada. A ISO 13849-2:2012 dedica 79 páginas à validação por análise e testes das funções de segurança, da Categoria alcançada e do Nível de desempenho alcançado; um certificado de componente, sozinho, não é evidência do sistema (ISO 13849-2:2012).
Crie o plano de validação antes do comissionamento. Relacione cada requisito a um método, limite de aceitação, condição de teste, responsável e registro. Se o requisito disser “exaustão rápida” sem indicar o local de medição, o limite de pressão, a referência de tempo e o volume de pior caso, ele ainda não é testável.
| Meta de validação | Medição ou inspeção | Desafio representativo | Evidência de aceitação |
|---|---|---|---|
| Parar o movimento perigoso | rastro sincronizado da demanda e do movimento | velocidade e carga máximas aprovadas | tempo de parada medido dentro do limite de projeto |
| Alcançar a pressão segura | rastro de pressão a jusante em função do tempo | maior volume e caminho de exaustão mais restritivo | limite alcançado dentro do tempo especificado |
| Reter uma carga gravitacional | posição ou deslocamento ao longo do tempo | perda de alimentação e falhas únicas relevantes | o movimento permanece dentro do limite aprovado |
| Detectar uma falha de saída | feedback e registro do controlador de segurança | uma saída impedida de mudar de estado | falha detectada e reinício inibido |
| Impedir o reinício inesperado | comando, reset e observação do atuador | a proteção fecha ou a alimentação retorna | nenhum movimento perigoso antes de um reset deliberado |
| Manter o isolamento durante a manutenção | verificação do isolamento de energia | pressão aprisionada ou que se reacumula | todas as fontes de energia isoladas ou restringidas |
Teste falhas previsíveis sem criar exposição descontrolada. Use dispositivos adequados, zonas de exclusão, instrumentos calibrados, cargas apoiadas e um procedimento de teste autorizado. Algumas falhas podem ser simuladas desconectando o feedback ou inibindo um canal; outras exigem análise porque inserir fisicamente a falha seria inseguro ou destrutivo.
Uma parada bem-sucedida não é um programa de validação. Repita as medições considerando a tolerância da alimentação, a faixa de carga, o modo de operação, a temperatura, a restrição de exaustão e os estados dos componentes que produzem a resposta mais lenta. Registre os valores máximos observados e a incerteza de medição. A função ainda seria aprovada se a próxima parada fosse ligeiramente mais lenta?
Revalide após uma mudança na válvula, no silenciador, na tubulação, no tempo do controlador, no software, na carga, na proteção, no cilindro, na trava da haste, no ajuste de pressão ou no método de teste. Chamar uma substituição de “equivalente” não comprova dados de segurança ou comportamento dinâmico idênticos.
LOTO e os limites da segurança do sistema de controle
O LOTO rege os serviços abrangidos nos quais a energia perigosa deve ser controlada. A OSHA 29 CFR 1910.147 inclui explicitamente a energia pneumática e exige isolamento, tratamento da energia armazenada ou residual e verificação antes do trabalho. Uma parada de emergência ou saída de PLC de segurança não pode substituir esse processo (OSHA 1910.147).
As funções de parada de emergência e proteção apoiam a redução de risco durante a operação. O LOTO controla a energia perigosa durante serviços e manutenção abrangidos. Pressionar um botão de parada de emergência geralmente muda o estado de controle; isso pode não isolar fisicamente a energia elétrica, a alimentação pneumática, os acumuladores, a pressão aprisionada nas câmaras, a gravidade ou as molas.
A sequência da OSHA exige preparação, parada ordenada, isolamento das fontes de energia, aplicação de bloqueios ou etiquetas, controle da energia armazenada e verificação. A verificação pneumática pode incluir a conferência de um indicador de pressão, a operação de um controle normal quando permitida para confirmar o isolamento, o teste de pressão aprisionada e a confirmação de que elementos elevados estão bloqueados ou de outra forma restringidos.
Uma válvula de exaustão bloqueável pode ser um dispositivo de isolamento de energia. Ela não identifica todas as fontes de energia nem comprova que uma passagem bloqueada não possa reacumular pressão. Os procedimentos específicos da máquina devem definir a posição da válvula, o local do bloqueio, os pontos de sangria, o método de restrição, a etapa de verificação e a sequência de restauração.
A OSHA também exige a inspeção periódica de cada procedimento de controle de energia pelo menos uma vez por ano, conforme 1910.147(c)(6). Esse intervalo se aplica à inspeção do procedimento, não automaticamente a todo teste de prova de válvula de segurança. Os intervalos de teste dos componentes e da função de segurança vêm da norma aplicável, dos dados do fabricante, do cálculo de confiabilidade, da avaliação de riscos e da condição observada.
Perguntas frequentes sobre sistemas pneumáticos de segurança: o que os engenheiros devem verificar?
Os engenheiros devem verificar três resultados distintos. A ISO 13849-1:2023 abrange controles de segurança de alta demanda e contínuos, a ISO 14118:2017 aborda a partida inesperada causada por várias fontes de energia e a OSHA 1910.147 rege os serviços abrangidos. A integridade do controle, o estado seguro físico e o isolamento de energia devem funcionar como requisitos coordenados.
Uma válvula de parada de emergência deve fechar em até 50 ms?
Nenhum limite universal de 50 ms se aplica a todas as máquinas pneumáticas. O resultado necessário vem da avaliação de riscos, da definição do estado seguro e do cálculo do desempenho total de parada. Meça a cadeia completa, desde o dispositivo iniciador, passando pela lógica, resposta da válvula, mudança de pressão e comportamento do atuador, até a cessação do movimento perigoso. Compare esse resultado de pior caso com o limite de aceitação documentado.
Uma válvula PL e ou SIL 3 torna a máquina completa conforme?
Não. Um certificado de componente descreve o componente dentro das condições e arquiteturas declaradas. A função de segurança completa também inclui sensores, lógica, interfaces, saídas pneumáticas, comportamento mecânico, diagnósticos, controles de causa comum, software, instalação e validação. Os projetistas devem verificar o PL ou SIL alcançado para o limite de sistema definido, em vez de transferir a especificação de um componente para a máquina.
Todo circuito pneumático deve exaurir quando uma proteção é aberta?
Não. Exaurir a pressão pode criar um perigo de queda de carga, retorno por mola, perda de vácuo ou movimento descontrolado. Primeiro defina o estado seguro de cada função perigosa. Alguns circuitos devem exaurir; outros podem precisar de uma trava de haste, suporte mecânico, pressão retida com monitoramento ou retorno controlado. Valide a sequência completa em condições normais e de falha.
Uma trava de haste pode substituir um bloqueio mecânico ou o LOTO?
Não automaticamente. Uma trava de haste pode reter uma carga estacionária dentro das condições especificadas, enquanto frenagem dinâmica, proteção de pessoas e isolamento de energia são funções separadas. Confirme a especificação exata do produto, a sequência de engate, a direção da carga, a condição da haste, o comportamento diante de falhas e a documentação de segurança. Durante um serviço abrangido, siga o procedimento de LOTO específico da máquina e apoie as cargas gravitacionais perigosas conforme necessário.
Com que frequência uma função de segurança pneumática deve ser testada?
Não existe um intervalo universal mensal, trimestral ou anual de teste de prova para toda função de segurança pneumática. Use a norma aplicável, o cálculo de confiabilidade, as instruções do fabricante, os ciclos de operação, os diagnósticos, o ambiente e a avaliação de riscos. A OSHA exige separadamente a inspeção anual mínima de cada procedimento de controle de energia. Revalide sempre que uma mudança puder afetar a função de segurança ou suas premissas.
Fontes e referências técnicas
- Ficha informativa de bloqueio e etiquetagem da OSHA, estimativa de mortes e lesões evitadas, tipos de energia abrangidos e treinamento de trabalhadores. Consultado em 27 de julho de 2026.
- OSHA 29 CFR 1910.147, controle de energias perigosas, tratamento da energia armazenada, verificação do isolamento e inspeção periódica do procedimento. Consultado em 27 de julho de 2026.
- ISO 12100:2010, avaliação de riscos de máquinas e redução iterativa de riscos. Consultado em 27 de julho de 2026.
- ISO 13850:2015, princípios da função de parada de emergência. Consultado em 27 de julho de 2026.
- ISO 13855:2024, posicionamento de proteções e aproximação humana. Consultado em 27 de julho de 2026.
- ISO 13849-1:2023, projeto e integração de partes de sistemas de controle relacionadas à segurança. Consultado em 27 de julho de 2026.
- ISO 13849-2:2012, validação por análise e testes. Consultado em 27 de julho de 2026.
- IEC 62061:2021, segurança funcional de sistemas de controle relacionados à segurança de máquinas. Consultado em 27 de julho de 2026.
- ISO 14118:2017, prevenção de partida inesperada causada por energia fornecida e armazenada. Consultado em 27 de julho de 2026.
- ISO 4414:2010, requisitos de segurança de sistemas pneumáticos durante projeto, instalação, operação e manutenção. Consultado em 27 de julho de 2026.
- Técnica de aplicação de segurança da Rockwell Automation, distância de separação específica da aplicação, temporização completa da cadeia de resposta, medição do tempo de parada da máquina e um alerta explícito de que o cálculo final deve usar a instalação real. Consultado em 27 de julho de 2026.