Garantindo Segurança de Máquinas com Acionamentos de Velocidade Variável: Funções-Chave e Melhores Práticas

Princípios gerais de funções de segurança em equipamentos eletrônicos

Este blog dá uma introdução ao uso de acionamentos de velocidade variável em funções de segurança de máquinas. Destina-se a ajudar aqueles que estão familiarizados com acionamentos inversores de CA, mas menos com sistemas de controle relacionados à segurança. Deve ajudar o leitor a entender os princípios e prosseguir para acessar a grande quantidade de material detalhado disponível sobre sistemas relacionados à segurança.

O termo "Segurança Funcional" é aplicado onde equipamentos elétricos, eletrônicos ou programáveis são usados para realizar funções que afetam a segurança humana. Este é um tópico enorme, que inclui aplicações diversas como sinalização ferroviária e monitoramento e controle de grandes plantas de processo onde muitas pessoas poderiam estar em risco em caso de acidente. No entanto, mais comumente em aplicações de acionamento, referir-se-ia a algum tipo de maquinaria, onde o sistema de controle pode ser usado para prevenir uma situação onde uma pessoa estaria em risco de lesão pela operação da maquinaria. Um exemplo simples é uma barreira de segurança, que precisa ser aberta frequentemente para obter acesso a parte da maquinaria, mas quando está aberta a maquinaria não deve ser capaz de operar. Um sistema de sensores e atuadores pode ser projetado para detectar o estado da barreira e controlar a máquina.

Com a disponibilidade de equipamentos programáveis inteligentes, como CLPs e VSDs digitais, sistemas de segurança podem ser mais flexíveis e inteligentes do que este exemplo, permitindo operação flexível enquanto ainda mantêm a segurança. Por exemplo, pode ser possível permitir operação contínua em velocidade reduzida quando uma barreira está aberta, possivelmente condicional a uma chave de segurança especial sendo operada por uma pessoa qualificada, ou talvez quando o rosto dessa pessoa é reconhecido, ou alguma outra precaução.

Modos de falha

O fator crucial com funções de segurança é que a confiabilidade da função tem que ser consideravelmente melhor do que pode ser alcançado por equipamentos elétricos, eletrônicos ou programáveis convencionais. Por mais boa que seja a qualidade de um circuito elétrico ou eletrônico convencional, algumas falhas de componentes podem ocorrer que resultam em falha em realizar a função de segurança requerida, mas sem a falha se tornar aparente. Hardware para funções de segurança tem, portanto, que ser projetado com recursos de auto-teste ou "fail-safe" embutidos. Durante o desenvolvimento do produto, os efeitos de falhas de hardware têm que ser analisados em uma Análise de Modos de Falha e Efeitos (FMEA) e modos de falha potencialmente perigosos devem ser reduzidos por design a um nível muito baixo. Um alvo típico para o PFH_D (probabilidade de falha em direção perigosa) para nível de integridade SIL3 seria 10^-8 por hora, ou seja, uma taxa de falha de menos de uma por 10.000 anos. Tais baixas taxas de falha sempre requerem estruturas especiais em sistemas de controle eletrônico. Note aqui que estamos nos referindo a falhas aleatórias que ocorrem durante a vida útil pretendida do equipamento, e não à expectativa de vida. Peças com mecanismos conhecidos de desgaste dentro da vida útil pretendida do sistema podem ser gerenciadas por manutenção planejada.

Estruturas de controle

Na maioria das aplicações envolvendo acionamentos, a segurança de uma máquina fixa está sendo abordada, e a opção mais comum é usar dois canais independentes para a função de segurança, com verificação cruzada organizada para que, no caso de uma discrepância, o acionamento pare, ou seja, o torque de acionamento pare. Na maioria das máquinas, isso resulta em um estado seguro. Para uma máquina como um guincho que poderia se mover sob gravidade sem um acionamento, medidas têm que ser tomadas para garantir que não possa causar um perigo quando o torque do acionamento desaparece.

A Figura 1 ilustra um sistema básico de segurança de dois canais, também referido como um sistema "um de dois" ou 1oo2, significando que se um dos dois canais solicitar uma parada, a máquina para. Este é o arranjo mais comum para um sistema de controle de segurança de maquinaria. Uma falha em qualquer sensor ou processador de condicionamento de sinal não leva a uma perda da função de segurança. Note que a Figura 1 é apenas um diagrama funcional, o "porta AND" na saída não é um simples chip lógico, porque isso introduziria um mecanismo de falha de ponto único, se o chip lógico falhasse. Poderia ser uma entrada STO de dois canais no acionamento, ou algum outro método onde a falha de causa comum de um único dispositivo é eliminada.

A função de diagnóstico mostrada em cinza é geralmente necessária para garantir segurança contínua, porque sem ela, embora uma falha em um canal não cause a falha da função de segurança, seria possível a máquina continuar operando indefinidamente com um canal no estado inseguro. Uma segunda falha então levaria a uma condição perigosa.

Figura 1: Estrutura de controle um-de-dois

Software/firmware

O uso de processadores embarcados rodando firmware e software introduz uma nova dimensão à segurança funcional. O software não tem falhas aleatórias, mas sua complexidade significa que é difícil garantir que opera como pretendido sob todas as condições e sequências de eventos. Isso não pode ser provado por um teste do sistema completo como uma "caixa preta" – o software tem que ser escrito em uma linguagem bem definida com medidas tomadas para evitar erros de codificação, e cuidadosamente estruturado em módulos que podem ser especificados e testados a cada passo. Também tem que ser provado que os módulos não podem ser afetados adversamente por outras atividades no sistema do processador, e isso é difícil se outro código não de segurança roda no mesmo processador.

A disciplina necessária de criar uma especificação clara e inequívoca, com um plano de teste, e documentar completamente o processo, aplica-se tanto à escrita do código quanto ao projeto do sistema completo.

Um controle importante sobre a qualidade do software é distinguir uma "linguagem de variabilidade limitada" (LVL) de uma "linguagem de variabilidade total" (FVL). A LVL é restrita a configurar módulos pré-aprovados com funções bem definidas de forma restrita, de modo que o resultado possa ser testado por um programa de teste sequencial simples. A LVL teria sido criada usando uma FVL como C++, etc., que passou por um processo de design rigoroso completo, e foi então bloqueada além do acesso pelo programador LVL.

A facilidade com que o software pode ser alterado também significa que um sistema seguro de controle de versão deve estar em vigor, incluindo a prevenção de alterações não autorizadas.

Aplicações de acionamento

Muitas funções de segurança que compreendem sequências simples e combinações de entradas para controlar saídas podem ser implementadas em um CLP com recursos especiais para prevenir perigos de falhas de hardware e erros de software, ou seja, um "CLP de segurança". No entanto, existem aplicações onde o acionamento está especialmente bem posicionado para implementar tais funções de forma custo-efetiva:

• Prevenção de acionamento – o acionamento inversor tem características únicas que o adequam ao elo final na cadeia de segurança, que é prevenir o torque sendo desenvolvido no motor quando requerido, com uma integridade muito alta. Isso é definido como Safe Torque Off (STO).
• Restringir o escopo do movimento, incluindo torque, aceleração, velocidade, direção ou posição, seja em valores absolutos ou relativos, como incrementos de posição. O acionamento controla essas variáveis e frequentemente tem medições precisas e de resposta rápida delas, ex: através de um codificador de eixo ou posição, ou possivelmente observando o comportamento da tensão e corrente do motor. Se estas funções de segurança relacionadas ao acionamento forem combinadas com alguma lógica combinacional e sequencial simples para entradas de sensores de máquina, como interruptores de portão e chaves, então uma grande classe de aplicações de segurança pode ser implementada.

Normas para partes relacionadas à segurança de sistemas de controle de máquinas

A necessidade de gerenciamento rigoroso e implementação de design de sistema de segurança significa que as normas internacionais relevantes são complexas e densas. Nesta nota, apenas olharemos para alguns recursos-chave das normas mais relevantes para segurança de máquinas.

Normas internacionais são prefixadas por ISO ou IEC. Normas europeias CENELEC são prefixadas por EN. Olharemos para as versões EN aqui, as formas internacionais usam os mesmos números com prefixos diferentes. As versões EN têm o status de normas harmonizadas para a Diretiva de Máquinas da CE.

EN ISO 12100 descreve como a avaliação de risco de maquinaria deve ser realizada, resultando na alocação de funções de segurança ao sistema de controle, se necessário. Este é um precursor essencial para o design correto do controle relacionado à segurança, e é responsabilidade do projetista da máquina.

EN 61800-5-2 é uma norma para segurança funcional de sistemas de acionamento de potência. Define uma série de funções[1] que são particularmente adequadas a acionamentos, referidas como "sub-funções de segurança designadas", como Safe Torque Off (STO), Velocidade Limitada Segura (SLS) etc. A integridade de segurança de uma função de segurança completa é medida pelo SIL, que pode assumir valores de 1 (mais baixo) a 3. Como o acionamento é um sub-sistema de um sistema completo de controle relacionado à segurança, isso é referido como sua "capacidade SIL".

EN 62061 é uma norma para sistemas de controle elétricos/eletrônicos/programáveis de máquinas, que usa a mesma métrica SIL que EN 61800-5-2

EN ISO 13849-1 é uma norma para sistemas de controle de máquinas, incluindo sistemas não elétricos. Usa uma métrica diferente, o Nível de Desempenho (PL) e Categoria (de B a 4). Uma norma suplementar EN ISO 13849-2 abrange "Validação", que inclui orientação sobre quais falhas precisam ser consideradas e quais podem ser descontadas ("exclusões de falha").

A base de muita padronização de sistemas elétricos/eletrônicos/programáveis relacionados à segurança é a série EN 61508-#, partes 1 a 7. Estas não são em si normas harmonizadas, pois cobrem todos os sistemas e não apenas sistemas de controle para máquinas.

Níveis de integridade de segurança

O SIL ou PL requerido para uma dada função de segurança está ligado ao grau de risco que a função tem que mitigar – ou seja, a probabilidade e severidade de uma possível lesão. O processo de decidir isso começa com a avaliação de risco da máquina, que é descrita em EN ISO 12100. Regras para derivar o SIL ou PL requerido são dadas em EN 62061 e EN ISO 13849-1.

Safe Torque Off em acionamentos inversores (STO)

A função de segurança mais básica que um acionamento pode oferecer é STO. Um acionamento inversor controlando um motor de indução é particularmente adequado a esta função, porque o estágio de potência do inversor tem que estar continuamente ativo com um padrão de comutação PWM complexo e bem controlado para a maioria dos semicondutores de potência, a fim de produzir qualquer torque no motor. A Figura 2 ilustra a estrutura básica de potência do inversor.

Figura 2: Estrutura básica de potência do inversor de link DC

O motor precisa de um campo magnético rotativo para produzir torque, que só pode ser gerado pelos seis transistores de potência seguindo um padrão de comutação complexo e bem definido que gera um conjunto de tensão trifásica nos terminais de saída. Na ausência deste padrão de controle, como a alimentação do inversor é DC, não há falhas no circuito de potência do inversor que possam tender a causar torque. O pior caso de falha seria onde dois transistores nos polos opostos de duas pernas do inversor conduzem inadvertidamente, como mostrado pelas setas vermelhas na Figura 2. Nesse caso, uma alta corrente não controlada fluiria em uma fase do motor até que o esquema de proteção contra sobrecorrente operasse ou o inversor fosse destruído (o fusível ou disjuntor de entrada limpa). Nenhum disso dá um campo magnético rotativo, então não há torque gerado.

No caso de um motor de ímã permanente ou relutância, este pior caso de falha causaria um torque de alinhamento temporário até que o dispositivo de proteção operasse. No limite, o motor poderia girar por um passo de polo para um motor PM ou meio passo de polo para um motor de relutância.

A interface entre o estágio de potência do inversor e a entrada de controle STO do acionamento tem que ser projetada para manter a probabilidade muito baixa de uma falha insegura, que significaria que o padrão complexo de controle PWM fosse inadvertidamente passado para os transistores do inversor. Tipicamente, o arranjo usa algum tipo de técnica "fail safe", pelo qual, assim como no próprio inversor, falhas de componentes de todos os tipos resultam em perda do comando "Enable". Pode haver dois canais independentes para que a função STO possa ser prontamente interfaceada a um controlador de segurança de dois canais.

Funções de segurança de acionamento mais avançadas

A maioria das outras funções de segurança designadas de acionamento requer alguma análise de dados, como corrente do motor e/ou velocidade, etc. Isso é tipicamente implementado em um microcontrolador, com um segundo controlador continuamente verificando cruzadamente os dados de entrada e saída e as ações do processador, como ilustrado na Figura 3. Invariavelmente, o resultado de uma discrepância detectada é que o acionamento é desativado através da função STO.

A probabilidade de uma falha de hardware na direção perigosa é reduzida a um nível tolerável por ter dois canais com verificação cruzada. Dispositivos de entrada, como interruptores, são duplicados para permitir a detecção de erros simples "presos em", e podem ser fornecidos com pulsos elétricos diversificados para que falhas mais sutis entre canais possam ser detectadas. Codificadores de eixo incrementais básicos têm uma característica inerente útil que permite que a maioria das falhas seja detectada, já que as duas trilhas de pulso têm um desfasamento de 90°, o que significa que a maioria dos erros resulta em uma sequência de pulso impossível, que pode ser detectada. Saídas digitais são verificadas por pulsos de teste regulares que testam se uma saída intencionalmente mantida no estado lógico alto (verdadeiro) ainda é capaz de ir para baixo – às vezes referidas como saídas OSSD.

A probabilidade de uma falha sistemática, ou seja, uma falha inerente no design, é reduzida a um nível tolerável por um processo mais rigoroso de definição dos requisitos precisos para as funções de segurança e rastreamento de sua implementação, teste e documentação.

Máquinas completas e componentes de segurança

O processo rigoroso de especificar e rastrear funções de segurança tem que ser seguido para cada aplicação individual, e o projetista da máquina é ultimamente responsável por isso. Se um acionamento com recursos de segurança funcional está sendo usado como parte do design, então ele se torna um componente de segurança, e sua própria especificação de requisitos de segurança e certificação tornam-se parte da documentação completa do sistema.

Dentro da União Europeia, este requisito está incorporado na lei na forma da Diretiva de Máquinas 2006/42/EC, que inclui uma definição e requisitos para componentes de segurança quando colocados no mercado separadamente. Na prática, isso geralmente significa que o acionamento com funções de segurança vem com um certificado de exame de tipo CE emitido por um Organismo Notificado independente aprovado pelo governo, para permitir que seja usado no sistema de controle relacionado à segurança de uma máquina. Se ele tem a função STO embutida como padrão, de modo que pode ou não ser usado como um componente de segurança, o acionamento então tem que ter duas declarações de fabricante CE separadas, de acordo com a Diretiva de Máquinas e a Diretiva de Baixa Tensão.