Conceção de circuitos E-STOP segundo a ISO 13850 – quando é necessário reset manual e quando pode ser automático?

A decisão entre aplicar um reset manual ou automático após a atuação da paragem de emergência deve, idealmente, ser tomada logo na fase de conceção. Mais tarde, essa decisão deixa de ser um simples ajuste no programa e passa a influenciar, em simultâneo, a arquitetura de controlo, o comportamento dos acionamentos e dos meios auxiliares, os ensaios de aceitação, o manual de instruções e a forma de tratar perturbações. Na prática, portanto, não se trata apenas de escolher o tipo de reset, mas de definir que estado a máquina assume depois de desbloquear o E-STOP e se esse estado é seguro sem uma ação adicional e consciente do operador.

O reset não é um detalhe

A questão do reset após o E-STOP surge, muito frequentemente, demasiado tarde. Quando a lógica da máquina já está fechada, as sequências do processo já foram programadas e o sistema de controlo já assume determinados estados dos acionamentos e sinais após a perda da função de segurança, alterar o modo de reset deixa de ser uma simples correção. Passa a afetar o programa do controlador, as funções de segurança na automação industrial, os ensaios funcionais, a documentação e as condições de aceitação. Por isso, o procedimento a adotar após a atuação da paragem de emergência não deve resultar dos hábitos do projetista nem da pressão para reduzir o tempo de paragem.

Trata-se de uma decisão de arquitetura. Deve estar ligada à resposta a duas perguntas: que estado a máquina deve atingir após o desbloqueio do dispositivo de paragem de emergência e se esse estado é apenas um estado seguro ou já um estado de prontidão para movimento. É precisamente aqui que surge, com mais frequência, o erro. Não está na escolha entre reset manual ou automático em si, mas no facto de a equipa não analisar se, após libertar o E-STOP, a máquina pode passar para um estado que o operador não espera.

Se a libertação do botão não provocar apenas o cancelamento da função de paragem, mas também o restabelecimento da prontidão dos acionamentos, a reposição da alimentação pneumática ou o regresso da lógica do processo à etapa a partir da qual o movimento pode arrancar com um único sinal de arranque, isso não pode ser avaliado apenas na perspetiva da conveniência. É necessário analisar o rearranque previsto, a prevenção do arranque inesperado e a ergonomia da operação: quem executa o reset, a partir de que local e se, dessa posição, consegue realmente ver a zona de perigo.

O que importa é o comportamento de todo o sistema após a intervenção, e não apenas o próprio botão de E-STOP. É necessário saber se os acionamentos permanecem desligados, se os servodrives regressam ao estado de prontidão após a libertação, se o sistema pneumático volta a ser alimentado depois da despressurização, se os sinais no controlador são mantidos e em que sequência ocorrem as confirmações e os desbloqueios. A avaliação de uma máquina que, após libertar a paragem de emergência, permanece imóvel e exige uma ordem de arranque separada e consciente não é a mesma que a de uma máquina que regressa a uma etapa intermédia do processo e quase automaticamente restabelece as condições para o movimento.

É aqui que surge o critério de projeto mais importante: não perguntar primeiro o que é formalmente permitido aplicar, mas sim que estado da máquina ocorre efetivamente após o desbloqueio do E-STOP e se esse estado é seguro sem uma ação adicional da pessoa. A referência normativa organiza essa avaliação, mas não a substitui. O foco principal não está na comodidade de operação, mas em garantir que o reset, por si só, não provoque uma situação perigosa.

Onde o risco e o custo realmente aumentam

A maioria dos erros de projeto não surge onde a máquina, após a atuação do E-STOP, simplesmente fica parada, mas sim onde a paragem ocorre num estado intermédio. Isto aplica-se, em especial, a linhas de embalagem, células robotizadas, sistemas com aperto, acionamentos multieixo e circuitos com energia acumulada em pneumática, hidráulica ou elementos mecânicos. Nestes sistemas, eliminar a causa da paragem ainda não significa que seja possível retomar o trabalho em segurança.

O produto pode permanecer encravado, um eixo pode parar fora da posição segura, a garra pode continuar a segurar a peça e a pressão ou o binário podem continuar a atuar sobre o mecanismo. Numa situação destas, a escolha entre reset manual e automático não diz respeito à conveniência do operador, mas ao estado real que a máquina assume após a libertação do E-STOP e à forma como a pessoa o interpreta corretamente.

Do ponto de vista do projeto, as soluções intermédias são as mais perigosas. Formalmente, não iniciam o ciclo, mas, na prática, restabelecem a capacidade da máquina para executar movimento ou provocam um movimento auxiliar. O reset automático é tentador onde a disponibilidade e o rápido regresso à produção são prioritários; no entanto, após a libertação do E-STOP, o controlador pode restabelecer a prontidão dos acionamentos, ativar saídas, repor a pressão ou libertar travões. Nessa altura, o operador vê a máquina como ainda parada, embora, do ponto de vista da energia e da lógica de controlo, ela já não esteja passiva.

São precisamente estes comportamentos semiautomáticos que mais frequentemente conduzem a divergências na aceitação. A máquina não arranca sozinha num ciclo completo, mas recupera energia, aperta um elemento, desloca-se até à posição de referência ou ativa uma função auxiliar. Do ponto de vista do projeto, não se trata de detalhes da interface, mas de decisões sobre o limite entre uma reposição admissível da prontidão e uma retoma inadmissível do funcionamento.

Na prática, o problema costuma ter uma natureza mista, porque combina segurança com organização do trabalho. O reset manual reduz o risco de rearranque inesperado, mas, se for mal concebido, rapidamente passa a gerar os seus próprios custos. Se o botão de reset estiver colocado fora do campo de visão da zona, exigir um percurso adicional ou não estiver claramente separado do desbloqueio do E-STOP e do comando de arranque, os operadores começam a encarar o procedimento como um obstáculo. Nessa altura, surgem contornos ao procedimento, intervenções da manutenção, revisões das instruções e formação adicional. Se o utilizador não conseguir perceber de forma inequívoca a diferença entre desbloquear o botão de emergência, fazer o reset do circuito de segurança e voltar a iniciar o processo, o problema não está apenas no texto da norma, mas em toda a arquitetura de operação, incluindo as mensagens no HMI e a divisão da máquina por zonas.

Um bom exemplo é uma célula com transportador e garra pneumática. Após a atuação do E-STOP, o transportador para, a garra fica numa posição intermédia e a peça não é depositada. Depois de libertar o E-STOP, o controlo restabelece a alimentação pneumática, porque não existe uma lógica separada para a despressurização segura do sistema. Formalmente, não foi dado qualquer comando de arranque, mas o cilindro volta a receber energia e o atuador executa um movimento curto e inesperado, resultante apenas do regresso da pressão. Este tipo de situação pode ser difícil de reproduzir durante os ensaios, mas compromete muito rapidamente a confiança do utilizador na máquina.

As consequências vão além do simples risco de lesão. Surgem intervenções da manutenção, prolongamento da receção, correções do programa, adição de exceções às instruções e discussões sobre se, após o E-STOP, se deve descarregar a pressão ou o binário de acionamento, ou apenas bloquear novos comandos de movimento. Problemas semelhantes ocorrem no referenciamento automático após a paragem e também num circuito central de E-STOP que abrange zonas com visibilidade diferente e com efeitos distintos no regresso da energia.

Nesta fase, a referência à PN‑EN ISO 13850 e aos requisitos do dispositivo de paragem de emergência ajuda a pôr ordem no tema. O simples facto de, após libertar o E-STOP, não ocorrer o arranque completo do ciclo ainda não determina se a solução é aceitável. É necessário avaliar se o regresso da energia, o restabelecimento da prontidão dos acionamentos, a atuação da garra, a libertação do travão dos eixos ou o movimento para a posição de referência não criam uma situação perigosa ou enganadora para o operador. Por isso, na prática, não se deve olhar apenas para o sinal de reset, mas para toda a sequência.

Como tomar uma decisão de projeto

Ao decidir sobre o reset após a atuação da paragem de emergência, vale a pena começar pela descrição dos estados da máquina, e não por uma questão de conveniência operacional. É necessário definir com clareza o que acontece depois de premir o E-STOP e depois de o desbloquear: que vias de energia são desligadas, quais permanecem alimentadas, se a prontidão dos acionamentos é restabelecida, se os eixos ficam destravados, se os cilindros podem concluir o movimento por efeito da pressão residual, da gravidade ou da energia elástica e se, após o restabelecimento da prontidão, existe qualquer sequência automática.

Só com base nisso é possível responder se a simples libertação do botão de emergência é neutra do ponto de vista da segurança ou se já constitui uma mudança de estado que pode expor uma pessoa ao risco. Se o desbloqueio do E-STOP restabelecer energia de uma forma cujos efeitos o operador não consegue ver por completo, ou que possa alterar a posição dos atuadores, o ponto de partida passa a ser o reset manual. Se, pelo contrário, o desbloqueio não provocar movimento, não restabelecer energia perigosa e não iniciar qualquer sequência, pode considerar-se o regresso automático ao estado de prontidão, mas apenas quando o arranque posterior do processo exigir um comando separado e inequívoco.

Na prática, ajuda separar três ações que, com demasiada frequência, são misturadas num único sinal ou numa única mensagem ao operador. O desbloqueio do dispositivo de paragem de emergência é uma ação mecânica e significa apenas que o botão regressou à posição de prontidão. O reset da função de segurança é uma confirmação distinta de que as condições de segurança podem voltar a ser consideradas cumpridas. O arranque do processo é outra coisa: a decisão de iniciar o movimento ou retomar o ciclo.

Se estes níveis se sobrepõem, o utilizador deixa de perceber se a libertação do E-STOP já põe algo em funcionamento ou se apenas remove um bloqueio, e a equipa de projeto perde a capacidade de defender a lógica adotada durante a avaliação da conformidade. Pela mesma razão, a localização do botão de reset é uma questão de projeto, e não um detalhe cosmético. A pessoa que executa o reset deve poder avaliar a zona para a qual está a restabelecer a prontidão, ou então o sistema tem de garantir outro método fiável de confirmação do estado.

Em linhas mais complexas, isto pode significar um reset local para uma determinada zona, mantendo a prontidão do restante da instalação, mas apenas quando os limites das zonas, as dependências entre acionamentos e os efeitos do restabelecimento da energia estiverem claramente definidos. Essa decisão tem de resultar de uma análise funcional, e não da vontade de simplificar a operação.

Um bom teste para a decisão é descrever a sequência, e não apenas o esquema elétrico. A equipa deve ser capaz de responder a algumas perguntas de controlo:

• se, após libertar o E-STOP, a energia ou a prontidão dos atuadores regressa de forma percetível para a máquina,
• se pode ocorrer qualquer movimento sem um comando de arranque separado,
• se a pessoa que executa o reset vê toda a zona e pode excluir a presença de uma pessoa e um estado intermédio do processo.

Se, para qualquer uma destas perguntas, a resposta não for inequivocamente segura, o retorno automático passa a ser uma solução difícil de justificar. Isto aplica-se sobretudo a sistemas em que, após a paragem, a peça permanece no dispositivo de fixação, o cilindro fica imobilizado numa posição intermédia, o eixo é mantido por binário, e a perda do bloqueio pode provocar descida ou deslocação. Nesses casos, o reset manual não é um mero formalismo: obriga a uma verificação consciente da situação antes de repor o estado de prontidão.

Por outro lado, quando, após o desbloqueio do E-STOP, o sistema permanece inativo e o arranque do movimento exige uma ação separada do operador ou uma sequência de nível superior, o retorno automático pode reduzir os tempos de paragem sem comprometer o nível de segurança. Um exemplo pode ser um posto com zona de trabalho protegida e um acionamento que, após o E-STOP, perde a capacidade de movimento, mas que, depois do desbloqueio, recupera a alimentação de controlo e o estado de prontidão, sem executar qualquer movimento de eixo ou de cilindro. No entanto, o mesmo registo no controlador torna-se discutível numa máquina de transferência, em que a libertação do E-STOP destrava um eixo, repõe pressão nos distribuidores ou permite concluir uma etapa interrompida da sequência.

Por isso, a decisão deve refletir-se não só no código, mas também na documentação de projeto: nos esquemas, na matriz de estados, na descrição da sequência de rearranque, nas mensagens do HMI, nos procedimentos de eliminação de encravamentos e nos cenários de ensaios de aceitação. Se esta lógica não puder ser explicada ao utilizador numa descrição única e coerente — o que faz a libertação do E-STOP, o que faz o reset e o que inicia o processo — isso é, regra geral, sinal de que a divisão de funções está errada ou é excessivamente complexa.

Primeiro a prática, depois a referência normativa

Na prática, a forma de reset após a atuação da paragem de emergência não é determinada pelo nome da função, mas pela resposta a uma pergunta simples: o que acontece exatamente à máquina depois de libertar o botão cogumelo e se esse estado é inequivocamente seguro. Trata-se de uma decisão de projeto, e não de uma preferência do utilizador nem de um automatismo mental herdado de uma realização anterior.

A equipa deve ser capaz de descrever toda a cadeia de acontecimentos: paragem, eliminação da energia até ao nível exigido pela avaliação de risco, desbloqueio do dispositivo, reset da função, confirmação do estado de prontidão e só depois novo arranque. Se alguma destas etapas se sobrepõe a outra ou depende do comportamento por defeito do controlador, abre-se espaço para divergências na receção e para erros de exploração que mais tarde não podem ser corrigidos apenas com a instrução.

Isto torna-se particularmente visível na modernização de uma célula existente, em que o utilizador espera tempos de paragem mais curtos após a eliminação de pequenas anomalias, e o integrador propõe o retorno automático após a libertação do E-STOP para simplificar a operação. Ao nível da descrição geral, a solução parece razoável: o operador elimina a causa da paragem, desbloqueia o dispositivo e a máquina regressa ao estado de prontidão sem necessidade de um botão de reset adicional. O problema só se revela no estado intermédio.

Se, após o restabelecimento do fluido de trabalho, o cilindro recuperar pressão numa posição em que possa executar um curso, um avanço ou a libertação do gripper sem nova intenção do operador, então o retorno ao estado de prontidão deixa de ser um estado lógico neutro. Na prática, passa a ser um fragmento do movimento do processo, apenas oculto sob outra designação. Um caso destes exige normalmente não um simples ajuste do programa, mas um regresso à arquitetura da função: separar o desbloqueio do reset, introduzir uma confirmação explícita do estado de prontidão ou reconfigurar a sequência de despressurização e de nova alimentação de energia.

Este exemplo mostra também que tipo de evidências de projeto são relevantes. Não basta declarar que, após a libertação, nada arranca, se nos ensaios de aceitação não foi verificado o comportamento dos acionamentos, válvulas, travões e etapas da sequência exatamente no momento do desbloqueio do E-STOP. Na documentação técnica das máquinas deve existir um registo da análise de risco para este cenário, a descrição dos estados no HMI, o cenário de ensaio após a libertação da paragem de emergência e uma confirmação clara, acordada com o utilizador, da lógica de rearranque adotada. É precisamente com base nestes materiais que mais tarde se avalia a coerência da solução: na receção da máquina, na atualização dos procedimentos de entrada na zona ou dos procedimentos LOTO, nas exceções para o modo de ajuste e de serviço e, em caso de incidente, também ao apurar se o operador podia prever o comportamento do sistema.

Só neste contexto faz sentido remeter para a ISO 13850. A norma organiza o papel da paragem de emergência: esta deve servir para parar o processo perigoso ou limitar os efeitos do perigo, e o desbloqueio do dispositivo não pode, por si só, criar um novo estado perigoso. Para o projetista, a conclusão prática é simples: o simples retorno do dispositivo E-STOP à posição desbloqueada não pode substituir uma ação consciente exigida pelo conceito de segurança da máquina.

No contexto polaco e da União Europeia, porém, não se trata apenas de conformidade lógica com a norma. É igualmente importante a coerência de toda a solução com a documentação técnica conforme com a Diretiva Máquinas, com o manual de instruções, com os resultados da avaliação de risco e, após a modernização, com o âmbito da atualização da validação das funções de segurança. São estes elementos que serão posteriormente analisados na relação fornecedor–utilizador, e não um registo isolado no programa do controlador.

A conclusão prática é inequívoca. Se o projetista não conseguir demonstrar o que acontece após a libertação do E-STOP, que energias voltam a estar presentes, quais os elementos que podem mudar de posição e por que razão esse estado é seguro, não se devem criar exceções processuais do tipo “o operador não deve permanecer na zona nessa altura”. É necessário voltar à função, à sequência e à repartição de responsabilidades entre o desbloqueio, o reset e o novo arranque. Só uma solução que possa ser sustentada no esquema, nos ensaios de aceitação, na instrução e na avaliação de risco pode ser considerada tecnicamente madura.