Segurança Funcional SIL3 com Freio Duplo e PLC de Segurança

Nos sistemas industriais modernos de ponte rolante, a segurança funcional deixou de ser uma opção para se tornar um requisito obrigatório. A Kelude Indústrias Pesadas desenvolveu um sistema de segurança funcional de Nível de Integridade de Segurança 3 (SIL3), com base nas normas IEC 61508 (Segurança funcional de sistemas elétricos, eletrônicos e eletrônicos programáveis relacionados com a segurança), IEC 62061 (Segurança de máquinas — Segurança funcional de sistemas de controlo elétricos, eletrónicos e eletrónicos programáveis relacionados com a segurança) e ISO 4301 (norma de projeto para aparelhos de elevação). Este sistema abrange todo o ciclo, desde a análise HARA de fontes de perigo, passando pela conceção de uma arquitetura de segurança em três camadas, proteção redundante com freio duplo, programação de PLC de segurança com comunicação PROFIsafe, até à aceitação final com Certificação TÜV. Oferecemos assim uma solução de segurança funcional de ciclo de vida completo, da definição dos objetivos de segurança à aceitação do sistema. Este artigo detalha as práticas técnicas da Kelude no domínio da segurança funcional SIL3, com o objetivo de fornecer uma referência técnica sistematizada para o projeto seguro de sistemas de ponte rolante.

Análise HARA de Riscos em Ponte Rolante

A Análise de Perigos e Avaliação de Riscos (Hazard Analysis and Risk Assessment, HARA) é o ponto de partida do projeto de segurança funcional. A Kelude Indústrias Pesadas realiza a identificação de perigos em todo o ciclo de vida e em todas as condições de operação do sistema de ponte rolante, em conformidade com a norma ISO 12100 (Segurança de máquinas — Princípios de projeto para avaliação e redução de risco) e com a IEC 62061. Os principais eventos perigosos no sistema de ponte rolante incluem: queda de carga devido à descida em sobrevelocidade do mecanismo de elevação; esmagamento de pessoas por colisão dos mecanismos de translação do carro e da ponte; movimento não controlado (fuga) por falha do freio; ultrapassagem dos limites de curso por falha do Fim de Curso; e queda de carga por rotura ou fissuração do Cabo de Aço. Para cada evento perigoso, a equipa de análise HARA realiza uma avaliação quantitativa do risco com base em três dimensões: gravidade (Se), Frequência de exposição (Fr) e probabilidade de evitar o perigo (Av), determinando assim o Nível de Integridade de Segurança (SIL) necessário. A tabela seguinte apresenta os resultados da análise HARA para um sistema típico de ponte rolante da Kelude.

A equipa de análise HARA da Kelude Indústrias Pesadas é liderada por especialistas com certificação TÜV em engenharia de segurança funcional, garantindo a autoridade e conformidade dos resultados. O relatório de análise HARA, como parte central do dossiê de segurança do equipamento, é entregue ao cliente juntamente com a máquina para arquivo e referência futura.

Níveis de Integridade de Segurança e objetivos de segurança

O Nível de Integridade de Segurança (SIL) é uma classificação discreta do desempenho de segurança exigido de sistemas relacionados com a segurança. De acordo com a definição da IEC 61508, os níveis SIL são determinados pela probabilidade média de falha sob demanda (PFDavg) ou pela frequência de falhas perigosas por hora (PFH): SIL1 exige PFDavg entre 10⁻² e 10⁻¹ ou PFH entre 10⁻⁶ e 10⁻⁵; SIL2 exige PFDavg entre 10⁻³ e 10⁻² ou PFH entre 10⁻⁷ e 10⁻⁶; SIL3 exige PFDavg entre 10⁻⁴ e 10⁻³ ou PFH entre 10⁻⁸ e 10⁻⁷; SIL4 exige PFDavg entre 10⁻⁵ e 10⁻⁴ ou PFH entre 10⁻⁹ e 10⁻⁸. O objetivo de segurança SIL3 do sistema de ponte rolante da Kelude é: PFH 99,99%. Isto significa que o tempo de falha perigosa do sistema num ano não excede 52,6 minutos. Para alcançar este objetivo, a Kelude adota uma arquitetura redundante ao nível do hardware (1oo2D, 2oo3, etc.), um PLC de segurança certificado e protocolos de comunicação seguros ao nível do software, e auditorias de certificação de terceiros pela TÜV SÜD ou TÜV Rheinland ao nível da gestão, assegurando que o sistema de gestão de segurança funcional está em conformidade com a IEC 61508.

Arquitetura de segurança em três camadas

O sistema de segurança funcional da ponte rolante da Kelude adota uma arquitetura clássica de três camadas. A primeira camada é o Sistema de Controlo Básico, responsável pelo controlo normal da ponte rolante, incluindo arranque, paragem e regulação de velocidade da elevação e da translação da ponte e do carro, bem como funções convencionais de proteção contra sobrecarga e fim de curso de deslocamento. Esta camada utiliza um PLC standard e não desempenha funções de segurança. A segunda camada é o Sistema de Controlo de Segurança, que opera independentemente do sistema de controlo básico e é responsável pela implementação de funções de segurança relacionadas com SIL. Esta camada utiliza um PLC de segurança certificado TÜV (como as séries Siemens S7-1200F ou S7-1500F), comunicando com módulos de E/S de segurança distribuídos e drivers de segurança através do protocolo de comunicação segura PROFIsafe. O sistema de controlo de segurança monitoriza em tempo real sinais relacionados com a segurança, como sobrevelocidade da elevação, estado dos freios, fim de curso de porta e botões de parada de emergência. Ao detetar uma condição perigosa, aciona imediatamente a sequência de paragem de segurança. A terceira camada é o Sistema de Monitorização e Diagnóstico de Segurança, responsável pela monitorização online e diagnóstico de falhas do estado operacional do sistema de controlo de segurança, fornecendo visualização do estado de segurança e registo de alarmes na Interface Homem-Máquina (IHM). O princípio central da arquitetura de três camadas é a "independência" — o hardware e o software do sistema de controlo de segurança devem estar totalmente isolados, física e logicamente, do sistema de controlo básico, evitando falhas de causa comum. A arquitetura de três camadas da Kelude obteve a certificação SIL3 da TÜV SÜD e foi aplicada em mais de 500 sistemas de ponte rolante.

Redundância de freio duplo e proteção contra sobrevelocidade

O mecanismo de elevação é o subsistema com maior risco de segurança numa ponte rolante, e as suas medidas de proteção são o núcleo do design de segurança funcional SIL3. A Kelude adota um design de freio duplo redundante no mecanismo de elevação: um freio de segurança é instalado no eixo de alta velocidade do redutor e outro no eixo do tambor, sendo ambos elétrica e mecanicamente independentes. Em condições normais, os dois freios atuam simultaneamente; se um falhar, o outro é capaz de suportar sozinho todo o torque de frenagem, garantindo que a carga permanece suspensa em segurança. O estado dos freios é monitorizado em tempo real pelo PLC de segurança através de fins de curso e sensores de deteção de desgaste. Se for detetado um tempo de resposta anormal, uma diminuição da força de atrito ou desgaste excessivo das sapatas, o sistema aciona automaticamente um alarme e exige manutenção antes do próximo ciclo de trabalho. A proteção contra sobrevelocidade funciona em conjunto com a redundância de freio duplo: um interruptor de sobrevelocidade é instalado no eixo de alta velocidade do mecanismo de elevação. Quando a velocidade de descida excede 1,25 vezes o valor nominal, o PLC de segurança aciona a sequência de frenagem de emergência em 50ms, ativando ambos os freios de segurança simultaneamente. A Kelude desenvolveu também uma estratégia de controlo de "frenagem suave" — durante a paragem normal, os dois freios atuam em momentos ligeiramente diferentes (com um intervalo de cerca de 200ms), evitando a carga de impacto causada pela frenagem simultânea e prolongando a vida útil dos freios. A função de segurança do sistema de freio duplo redundante é certificada para SIL3, com valor PFH inferior a 5×10⁻⁸ e disponibilidade de segurança superior a 99,995%.

PLC de segurança e comunicação PROFIsafe

O PLC de segurança é o elemento central de controlo do sistema de segurança funcional SIL3. A Kelude seleciona o PLC de segurança da série Siemens S7-1500F como configuração padrão para o sistema de controlo de segurança da ponte rolante. Esta série de PLCs possui certificação SIL3 da TÜV SÜD, suporta configuração de engenharia protegida por palavra-passe, download seguro de programas de utilizador e comunicação de segurança integrada. A troca de dados entre o PLC de segurança e os módulos de E/S de segurança distribuídos (como a série ET 200SP F) é realizada através do protocolo de comunicação segura PROFIsafe. O PROFIsafe é uma camada de comunicação segura sobre o sistema de barramento PROFINET, que adiciona um código de verificação de redundância cíclica de segurança (CRC2) e um número de sequência (Watchdog) aos telegramas PROFINET padrão, garantindo a integridade, atualidade e autenticidade dos dados de segurança durante a transmissão. A comunicação de segurança PROFIsafe cumpre os requisitos da norma IEC 61784-3-3, com um tempo de resposta de segurança inferior a 30ms, satisfazendo os requisitos de comunicação SIL3. A Kelude desenvolveu também uma biblioteca padronizada de blocos funcionais de segurança para o PLC, abrangendo funções de segurança normalizadas como paragem de segurança (SS1, STO), limitação de velocidade segura (SLS), monitorização de portas de segurança, tratamento de parada de emergência e controle do freio, reduzindo significativamente o tempo de programação e arranque do sistema de controlo de segurança. O programa do PLC de segurança é submetido a uma rigorosa revisão de código e testes funcionais, com uma cobertura de teste exigida de 100% (cobertura de instruções) e superior a 95% (cobertura de ramos). Todos os registos de teste são arquivados como evidência técnica para a auditoria de certificação TÜV.

Teste de aceitação do sistema de segurança e verificação SIL

A aceitação e verificação do sistema de segurança são etapas críticas no ciclo de vida da segurança funcional. A Kelude desenvolve um plano completo de teste de aceitação do sistema de segurança em conformidade com os requisitos da Parte 7 da IEC 61508 e do Capítulo 8 da IEC 62061. O teste de aceitação é dividido em três fases: a primeira fase é o Teste de Aceitação na Fábrica (FAT), realizado nas oficinas de fabrico da Kelude, abrangendo testes de correção das funções de segurança, testes de tempo de resposta de segurança, testes de injeção de falhas (simulando falhas de sensores, interrupções de comunicação, falhas de alimentação elétrica e outras condições anormais) e testes de comutação do sistema redundante; a segunda fase é o Teste de Aceitação no Local (SAT), realizado no local de instalação da ponte rolante, verificando a sinergia entre as funções de segurança e o sistema operacional em condições reais de operação; a terceira fase é o cálculo de verificação SIL, baseado em parâmetros como restrições de arquitetura de hardware (HFT — tolerância a falhas de hardware), cobertura de diagnóstico (DC) e fator β de falha de causa comum, utilizando as fórmulas e modelos de Markov do Anexo da IEC 61508-6 para calcular os valores de PFDavg ou PFH, verificando se o nível SIL efetivamente alcançado pelo sistema cumpre os requisitos de design. Após a conclusão da aceitação do sistema de segurança, a Kelude emite um relatório de aceitação completo, o cálculo de verificação SIL e o manual do dossiê de segurança funcional, apoiando o cliente ou organismos de certificação terceiros (TÜV SÜD, TÜV Rheinland, etc.) na auditoria final. Até à data, a Kelude concluiu a aceitação com certificação TÜV de mais de 50 sistemas de ponte rolante SIL3, com uma taxa de sucesso de 100%.

Perguntas Frequentes