Uma porta com chave de segurança que interrompe a máquina durante um teste isolado não comprova, por si só, que a proteção atende ao risco real da operação. Saber como validar sistema de segurança exige verificar a função completa, desde a avaliação de risco e o projeto do circuito até a reação física da máquina, os tempos de parada e as evidências documentais. Em ambiente industrial, validar é demonstrar tecnicamente que as funções de segurança reduzem o risco ao nível previsto e permanecem confiáveis nas condições de uso.
O que significa validar um sistema de segurança
A validação é a confirmação, por análise e ensaios, de que cada função de segurança foi implementada corretamente e alcança o desempenho especificado. Ela não se confunde com a inspeção visual da máquina, com o comissionamento produtivo nem com um teste informal de botão de emergência.
Na adequação à NR12, esse processo deve partir da apreciação de riscos conforme a ABNT NBR ISO 12100. A análise identifica perigos mecânicos, elétricos, térmicos, ergonômicos e de movimentação inesperada, estima o risco e define as medidas de redução aplicáveis. Quando a redução depende do sistema de comando, é necessário estabelecer o nível de desempenho requerido, o PLr, ou adotar a abordagem SIL quando o projeto se basear na IEC 62061.
A EN ISO 13849-1 orienta o projeto das partes de sistemas de comando relacionadas à segurança. Já a EN ISO 13849-2 trata da validação, combinando análise documental e testes práticos. Portanto, não basta selecionar um relé de segurança ou um CLP de segurança com certificação: a arquitetura, o cabeamento, os dispositivos de campo, a lógica, os atuadores e a integração com a máquina precisam ser avaliados como um conjunto.
Como validar sistema de segurança na prática
O trabalho deve ser conduzido com a máquina em condição controlada, por profissional capacitado e com procedimentos que preservem pessoas, equipamento e processo. A sequência pode variar conforme a complexidade da célula, mas uma validação consistente percorre as etapas a seguir.
1. Confirmar o escopo e as funções de segurança
Comece relacionando todas as funções que mitigam riscos identificados. Em uma prensa, por exemplo, podem existir parada de emergência, monitoramento de portas, comando bimanual, cortina de luz, monitoramento de velocidade segura e prevenção de partida inesperada. Em uma célula robotizada, o escopo normalmente inclui cercamento, chaves de intertravamento com bloqueio, scanners a laser, modos manual e automático, dispositivo de habilitação e parada segura dos eixos.
Para cada função, a documentação deve registrar o perigo controlado, o estado seguro esperado, o PLr ou SIL requerido, os componentes envolvidos e os limites de operação. Uma função descrita de maneira genérica, como “porta segura”, dificulta a validação. A descrição precisa indicar o que ocorre ao abrir a porta, quais movimentos são interrompidos, se existe tempo máximo para parada e quais condições permitem o rearme.
2. Revisar a análise de risco e o desempenho requerido
A validação perde consistência quando o PLr foi definido sem critérios claros. É necessário revisar a avaliação de risco, incluindo severidade do dano, frequência e duração da exposição e possibilidade de evitar o perigo. O resultado deve estar coerente com a função projetada.
Em máquinas antigas, esse ponto merece atenção especial. Muitas possuem proteções instaladas após ocorrências, auditorias ou fiscalizações, mas sem integração técnica entre risco, dispositivo e comando. Uma grade fixa pode ser adequada para uma área sem acesso operacional. Para uma zona que exige abastecimento frequente, porém, pode ser necessário intertravamento, bloqueio de porta, tempo de parada monitorado ou outra solução de engenharia.
3. Conferir arquitetura, componentes e cálculos
A análise do circuito verifica se a categoria, o PL atingido e as medidas contra falhas atendem ao requisito. Isso inclui redundância quando aplicável, cobertura de diagnóstico, monitoramento de contatores, exclusão de falhas tecnicamente justificada e prevenção contra curto-circuitos entre canais.
O cálculo do PL não deve ser tratado como preenchimento documental. Dados como MTTFd, DCavg, CCF e categoria dependem da escolha correta dos componentes, da frequência de acionamento e da arquitetura efetivamente instalada. Um diagrama elétrico diferente do painel em campo invalida premissas do cálculo.
Em circuitos pneumáticos e hidráulicos, a validação também deve confirmar a condição segura da energia. Válvulas redundantes monitoradas, descarregamento de pressão, retenções e bloqueios precisam responder conforme a função prevista. Desenergizar um comando elétrico não garante segurança se um cilindro puder se movimentar por energia acumulada, gravidade ou falha de válvula.
4. Executar testes funcionais e de falha
Os ensaios devem reproduzir condições normais, previsíveis de mau uso e falhas relevantes. O objetivo não é apenas verificar se a máquina para, mas se ela para de forma segura, dentro do comportamento definido, e se impede uma nova partida perigosa.
Em geral, os testes incluem:
- acionamento individual de cada dispositivo, como botões de emergência, cortinas de luz, tapetes, scanners e chaves de porta;
- abertura de canais, desconexão controlada de sinais e simulação de falhas que possam comprometer a detecção;
- verificação de rearme manual, prevenção de rearranque automático e comportamento após retorno de energia;
- medição de tempo de parada e confirmação da distância de segurança dos dispositivos de detecção;
- teste dos modos de operação, incluindo ajuste, manutenção, manual, automático e troca de ferramenta.
A profundidade dos testes depende do risco e da tecnologia empregada. Em uma cortina de luz, por exemplo, a distância de segurança deve considerar o tempo total de resposta: detecção do dispositivo, processamento do sistema de comando e parada efetiva da máquina. Se houve alteração em inversor, servodrive, CLP, carga mecânica ou ferramenta, uma medição anterior pode deixar de representar a condição atual.
5. Validar software, interfaces e modos operacionais
Em sistemas automatizados, erros de programação podem comprometer uma arquitetura elétrica adequada. A validação do software de segurança deve confrontar a lógica programada com a especificação funcional, verificando permissivos, temporizações, zonas, muting, reset, alarmes e interações entre máquinas.
Células robotizadas exigem cuidado adicional com interfaces. O sistema deve responder corretamente quando o robô recebe sinal de parada, quando um transportador continua movimentando material, quando há acesso à área protegida ou quando uma zona colaborativa muda de condição. A segurança de uma célula não pode depender de suposições entre fabricantes ou de sinais sem diagnóstico.
Também é necessário testar todos os modos selecionáveis. O modo manual pode permitir velocidade reduzida e uso de dispositivo de habilitação, mas não pode criar acesso irrestrito a riscos de esmagamento, queda de carga ou partida de periféricos. A chave seletora, as permissões no CLP e a sinalização ao operador devem refletir o mesmo conceito de segurança.
Evidências que sustentam a validação
O resultado precisa ser rastreável. Um relatório tecnicamente consistente apresenta a identificação da máquina, os documentos analisados, as funções de segurança, os critérios de aceitação, os testes executados, as medições realizadas, as não conformidades e as ações recomendadas.
Também devem estar disponíveis diagramas elétricos atualizados, listas de componentes, memorial de cálculo de PL ou SIL, análise de risco, registros de alterações, manuais e procedimentos de bloqueio e etiquetagem. Quando aplicável, o prontuário da máquina deve reunir esses elementos com responsabilidade técnica formalizada por ART.
Fotos e vídeos podem apoiar a evidência de campo, mas não substituem critérios técnicos. Da mesma forma, certificados individuais de componentes não validam a função completa. Uma chave codificada, um relé de segurança e um contator certificado podem estar corretamente especificados e ainda assim falhar como sistema se o circuito não monitorar a realimentação ou se o acesso ao risco continuar possível antes da parada.
Quando repetir a validação
A validação deve ser revista sempre que uma modificação puder afetar a segurança: troca de CLP, alteração de programa, inclusão de robô, mudança de ferramenta, aumento de velocidade, substituição de acionamento, alteração de layout, adequação de proteções ou mudança de processo. Ocorrências, quase acidentes e falhas recorrentes também são gatilhos para reavaliação.
Não é necessário reiniciar todo o trabalho a cada manutenção simples. O critério é o impacto na função de segurança. A substituição por componente idêntico, com registro e teste funcional, pode ter tratamento diferente da troca por modelo com comportamento elétrico ou diagnóstico distinto. Essa distinção evita tanto a burocracia improdutiva quanto a liberação indevida de uma máquina alterada.
Para plantas com grande número de ativos, a melhor prática é vincular a validação ao processo de gestão de mudanças. Assim, engenharia, manutenção, produção e EHS sabem quais intervenções exigem revisão de risco, atualização de diagramas, novo cálculo de desempenho ou comissionamento assistido.
A Tecservice conduz esse tipo de avaliação integrando inventário, análise HRN, definição de PL, projeto, instalação e comissionamento. O ponto decisivo é tratar a validação como evidência de engenharia aplicada, e não como uma assinatura no fim do projeto: uma função de segurança só está validada quando o risco, o circuito, a máquina e a documentação dizem a mesma coisa.
