O sistema de controle de segurança da ponte rolante é a última linha de defesa para proteger equipamentos e pessoas — ele opera de forma independente sobre o controle de movimento do PLC padrão, executando lógica de segurança SIL3, comunicando-se com o Inversor de Frequência e I/O de segurança via protocolo PROFIsafe, garantindo resposta de segurança em até 20ms em condições perigosas como parada de emergência, sobrevelocidade, ultrapassagem de fim de curso e escorregamento da carga. A Kelude Indústrias Pesadas, com base na CPU de segurança S7-1500F da Siemens, construiu uma arquitetura padronizada de sistema de controle de segurança que abrange quatro funções de segurança: Desligamento Seguro de Torque (STO), Limitação Segura de Velocidade (SLS), Controle de Freio de Segurança (SBC) e Monitoramento Seguro de Direção (SDI). Este artigo aborda integralmente essa prática de engenharia, desde o projeto do sistema, seleção de componentes, programação da lógica de segurança até a comissionamento e certificação.

Arquitetura do sistema de segurança e Nível de Integridade de Segurança

O sistema de controle de segurança de ponte rolante segue as normas IEC 61508 e ISO 13849-1 (Segurança de máquinas — Partes relacionadas à segurança de sistemas de controle), com objetivo de projeto de Nível de Integridade de Segurança SIL3 (probabilidade de falha perigosa por hora inferior a 10⁻⁷). A arquitetura do sistema adota o princípio de separação entre a camada de segurança independente e a camada de controle padrão: a camada de controle padrão executa a lógica de controle de movimento com uma CPU S7-1500 (por exemplo, 1513-1 PN), enquanto a camada de segurança executa a lógica de segurança de forma independente com uma CPU de segurança da série S7-1500F (por exemplo, 1515F-2 PN ou 1517F-3 PN/DP). As duas camadas coexistem na mesma rede PROFINET através do protocolo PROFIsafe.

A arquitetura de hardware do sistema de controle de segurança é composta por três camadas. A camada de detecção inclui módulos de entrada digital F-DI à prova de falhas (que coletam sinais do botão de parada de emergência, fim de curso, trava de segurança da porta e interruptor de sobrevelocidade) e módulos de entrada analógica F-AI de segurança (que coletam sinais do encoder de segurança e do sensor de carga). A camada de controle é composta pela CPU de segurança S7-1500F, que executa o programa de segurança, com a lógica de segurança programada em F-LAD ou F-SCL e validada através da ferramenta Safety Admin do TIA Portal. A camada de atuação aciona relés de segurança, válvulas solenoides dos freios e terminais STO dos inversores de frequência através do módulo de saída digital F-DQ de segurança, que possui função de desconexão de canal duplo integrada, garantindo que uma falha única não resulte na perda da função de segurança.

Seleção da F-CPU e comunicação de segurança PROFIsafe

As CPUs de segurança da série S7-1500F integram o ambiente de execução de segurança F-runtime com base nas CPUs padrão. O F-runtime atua como uma camada de execução independente que compartilha a mesma CPU com o programa de usuário padrão. O programa de segurança é escrito em F-LAD e compilado em código de segurança certificado através da ferramenta Safety Admin do TIA Portal. A Kelude Indústrias Pesadas seleciona diferentes modelos de F-CPU em projetos de pontes rolantes, de acordo com a capacidade de carga e a complexidade das funções de segurança: para pontes rolantes padrão de 20~50t, é selecionada a CPU 1515F-2 PN (com 128KB de memória de programa e 256KB de memória F de segurança); para pontes rolantes pesadas acima de 50t ou cenários que exigem funções de segurança estendidas, é selecionada a CPU 1517F-3 PN/DP (512KB de memória de programa, suporte a I/O de segurança distribuído); para atualizações de segurança em pontes rolantes simples, é selecionada a CPU 1511F-1 PN (48KB de memória de programa, I/O de segurança integrado, instalada em quadro de comando compacto).

O protocolo de comunicação de segurança PROFIsafe é a base para a transmissão de dados de segurança SIL3. O PROFIsafe sobrepõe as camadas de segurança F-host e F-device à comunicação padrão PROFINET RT. O F-host (CPU de segurança) e o F-device (módulos F-DI/F-DQ, funções de segurança do inversor de frequência) trocam dados de segurança através de telegramas PROFIsafe. Cada telegrama PROFIsafe contém 2 bytes de dados de segurança e 1 byte de soma de verificação CRC (CRC de 16 bits + CRC de 8 bits). O quadro de comunicação incorpora um contador de watchdog contínuo (F_WD_Time padrão de 150ms) e identificadores de conexão (F_Source_Add/F_Dest_Add), garantindo a integridade, pontualidade e correção da transmissão de dados. Os telegramas PROFIsafe são transmitidos em paralelo com os telegramas PROFINET padrão no ciclo de I/O, sem afetar o desempenho em tempo real do controle de movimento. A taxa de atualização dos dados de segurança é idêntica ao ciclo de I/O, com um valor típico de 4~8ms.

Para configurar o PROFIsafe no TIA Portal, é necessário estabelecer uma conexão F entre a F-CPU e os módulos F-DI/F-DQ na visão de dispositivos, definir os parâmetros F_Source_Add e F_Dest_Add do módulo de parâmetros F (faixa de valores 1~65534), configurar o tempo de monitoramento F_WD_Time e o número da versão de verificação F_iPar_CRC. O programa de segurança é compilado e validado por simulação através do editor e das funções de teste da Safety Administration do TIA Portal. O F-runtime gera automaticamente um identificador CRC de 16 bits para cada bloco de segurança; qualquer modificação no código resulta em uma alteração do CRC, acionando a revalidação do subprograma de segurança.

Circuito de parada de emergência de canal duplo e projeto redundante de I/O de segurança

O circuito de parada de emergência do sistema de controle da ponte rolante utiliza um projeto redundante de canal duplo, onde os dois canais são completamente independentes em termos elétricos e lógicos, e a ativação de qualquer um dos canais pode interromper de forma independente a alimentação de energia. O canal A coleta os sinais dos contatos NF dos botões de parada de emergência (SB1~SB4) através do módulo F-DI 16×24V DC. A CPU de segurança executa a comparação de canal duplo no programa de segurança — os estados dos sinais do canal A e do canal B devem ser consistentes em 500ms, caso contrário, uma falha F-Diff é acionada e o sistema entra em estado de parada. O canal B conecta diretamente os contatos auxiliares dos botões de parada de emergência em série através da fiação de I/O, e é conectado ao circuito de controle da bobina do contator principal KM1 através dos contatos de abertura forçada do relé de segurança K1. Este projeto de canal duplo atende aos requisitos de SIL3 da IEC 61508 — uma falha de ponto único não resulta na perda da função de segurança.

A seleção dos módulos de I/O de segurança segue o princípio de segurança intrínseca — quando qualquer falha única ocorre nos componentes internos do módulo, a saída deve alternar automaticamente para o estado seguro (ou seja, desligado/sem energia). Cada canal de entrada do módulo F-DI 16×24V DC possui dois geradores de pulso de teste independentes integrados, que emitem 2 pulsos de teste com fases opostas para os terminais do sensor/botão, detectando curtos-circuitos e falhas de terra na linha através da leitura de retorno do pulso. Os canais de saída do módulo F-DQ 8×24V DC/2A possuem função de desconexão de canal duplo integrada — cada saída é controlada por dois interruptores independentes em série, e qualquer falha em um deles pode desconectar a alimentação da carga. A frequência do pulso de teste do sinal de saída de segurança é de 1Hz (ou seja, teste de nível alto de 500ms + nível baixo de 500ms), e a F-CPU atualiza sincronizadamente o estado da saída F-DQ em cada ciclo de varredura de segurança (20ms).

A disposição dos botões de parada de emergência segue a norma ISO 13850 (Segurança de máquinas — Função de parada de emergência — Princípios de projeto). Cada ponte rolante é equipada com um botão de parada de emergência na cabine de operação, no controle remoto de piso, na plataforma de manutenção e em ambas as cabeceiras. Todos os botões de parada de emergência são do tipo cogumelo vermelho (diâmetro ≥30mm), destacados com fundo amarelo no painel. Os fins de curso utilizam estrutura de contato de abertura positiva, garantindo que o circuito de segurança possa ser interrompido mesmo em caso de solda dos contatos. O fim de curso final e o fim de curso de desaceleração são instalados de forma independente, sem compartilhar o suporte de montagem.

Controle redundante de freio duplo e proteção contra escorregamento da carga

O sistema de frenagem do mecanismo de elevação da ponte rolante é o componente de atuação central do controle de segurança. A Kelude Indústrias Pesadas equipa cada ponte rolante com dois freios a disco independentes (Freio A e Freio B) na arquitetura de segurança SIL3. Cada freio é composto por um eletroímã e um conjunto de pastilhas independentes. Os dois freios compartilham o mesmo cubo de roda de freio, mas a instalação mecânica é completamente independente. Durante a operação normal, os dois freios abrem e fecham simultaneamente. Em caso de falha de um dos freios, o outro ainda pode executar a função de frenagem de forma independente, atendendo ao requisito de tolerância a falhas de ponto único do SIL3.

A sequência de controle do freio duplo é fundamental para evitar o escorregamento da carga. Sequência de abertura: a CPU de segurança envia simultaneamente o comando de abertura para os freios A e B através do módulo F-DQ — o canal 1 do F-DQ aciona o eletroímã MK1 do freio A, e o canal 2 aciona o eletroímã MK2 do freio B. Após a energização de MK1 e MK2, as pastilhas dos dois freios são liberadas simultaneamente. O sinal de liberação é detectado pelos sensores de proximidade magnéticos SQ1 (freio A) e SQ2 (freio B) nos freios, e é retornado à CPU de segurança através do módulo F-DI. Somente após a confirmação de que ambos os freios estão completamente abertos, o inversor de frequência recebe a liberação para operar. Sequência de fechamento: a CPU de segurança emite o comando de fechamento após o motor reduzir a velocidade a zero — os canais 1 e 2 do F-DQ são desenergizados simultaneamente. Após a desenergização de MK1 e MK2, as pastilhas pressionam o cubo da roda de freio simultaneamente sob a ação da força das molas. Após a confirmação do fechamento, a CPU de segurança mantém a velocidade zero por 300ms antes de liberar a habilitação do inversor de frequência.

Mecanismo de detecção de dessincronização dos freios: a CPU de segurança registra a diferença de tempo Δt entre a energização/desenergização de MK1 e MK2 em cada ciclo de elevação (do comando até a mudança de estado do sensor de proximidade). Quando Δt excede o limite de sincronização definido (padrão de 50ms), o sistema registra um evento de desvio de sincronização. Se o desvio exceder o limite por 3 ciclos consecutivos ou se um único desvio exceder 100ms, a CPU de segurança aciona um alarme F-Diff — o PLC para imediatamente e ativa o STO, e o painel de operação exibe o código de falha "Dessincronização dos freios". A reinicialização só é possível após o pessoal de manutenção verificar a tensão de alimentação dos eletroímãs e o estado de desgaste das pastilhas. Em relação à compensação do desgaste dos freios, o sistema acumula e registra o tempo de abertura t_open e o tempo de fechamento t_close de cada acionamento do freio. Comparando com os valores nominais iniciais (t_open≈150ms, t_close≈100ms), o avanço do comando de abertura é ajustado automaticamente com base na tendência de desgaste das pastilhas, garantindo que o ponto real de abertura e o torque de frenagem permaneçam sempre dentro da faixa segura. O ciclo de compensação é de 2000 ciclos, após os quais é realizado o autoajuste de parâmetros.

Guindaste Industrial Kelude

A Kelude é um fabricante profissional de guindastes industriais, dedicado a fornecer soluções personalizadas de elevação para o setor industrial. A nossa gama de produtos inclui pontes rolantes, pórticos e guindastes de lança, entre outros, que respondem de forma eficiente e segura às necessidades de movimentação de cargas em diversos cenários.

Pontes Rolantes Industriais para Navegação e Armazéns

As pontes rolantes Kelude são amplamente utilizadas em oficinas, armazéns e linhas de produção. A estrutura metálica é otimizada através de software de cálculo, garantindo robustez e leveza. Os mecanismos de elevação e translação adotam marcas reconhecidas internacionalmente, assegurando um funcionamento estável e uma longa vida útil. É possível equipar com dispositivos como gancho, garra ou eletroíman, de acordo com o tipo de carga.

Pórticos para Movimentação de Cargas Pesadas

Para aplicações que exigem grande capacidade de carga e vãos amplos, os pórticos Kelude são a solução ideal. São frequentemente utilizados em parques de armazenagem, estaleiros e centrais de pré-fabricação. O design da viga principal pode ser de secção em caixa ou treliçada, adaptando-se a diferentes requisitos de vão e capacidade. O sistema de controlo pode ser por rádio comando ou cabina, proporcionando uma operação cómoda e segura.

Guindastes de Lança para Operações Flexíveis

Os guindastes de lança Kelude são adequados para postos de trabalho individuais ou áreas de operação reduzidas. Com uma instalação simples e um raio de ação generoso, permitem a movimentação de cargas dentro de um setor circular. Estão disponíveis em versões de coluna ou de parede, com capacidades que vão desde cargas ligeiras a médias, sendo uma escolha económica para otimizar a produtividade.

Manutenção e Assistência Técnica Especializada

Compreendemos que a fiabilidade do equipamento é crucial para a sua operação. Por isso, a Kelude oferece um serviço completo de assistência técnica, incluindo a instalação, a formação de operadores e a manutenção preventiva e corretiva. A nossa equipa de técnicos especializados está disponível para garantir o melhor desempenho e a segurança do seu guindaste ao longo de todo o seu ciclo de vida.

Contacte-nos para uma Solução à Medida

Se procura um guindaste industrial fiável e eficiente, fale com os nossos especialistas. Ajudamos a definir a solução mais adequada às suas necessidades e ao seu orçamento. Solicite uma proposta sem compromisso.

5. Funções de segurança: STO/SLS/SBC/SDI

As quatro funções de segurança do sistema de controle de segurança de ponte rolante são implementadas através da interface PROFIsafe entre a CPU de segurança S7-1500F e o Inversor de Frequência G120. Todas as funções de segurança são programadas em F-LAD e validadas pelo TIA Portal Safety Admin. Cada bloco de função de segurança inclui processamento de sinal em canal duplo, comparação cruzada (Cross-Comparison) e lógica de saída à prova de falhas.

O STO (Safe Torque Off) é a função básica do sistema de controle de segurança da ponte rolante, correspondendo à subfunção STO da norma IEC 61800-5-2. O STO corta diretamente o sinal de habilitação de pulsos do Inversor de Frequência G120 via PROFIsafe, impedindo que o Motor gere torque de acionamento de forma inesperada, com Tempo de resposta inferior a 20ms. As condições de acionamento incluem: Botão de Parada de Emergência da cabine de operação pressionado, acionamento do Botão de Parada de Emergência do controle remoto de piso, ultrapassagem de curso de qualquer Fim de Curso, abertura da trava de segurança da porta, feedback anormal do Freio duplo e falha de autodiagnóstico da CPU de segurança. Após o acionamento do STO, o Inversor de Frequência executa automaticamente a Frenagem interna (injeção de corrente contínua), e a ponte rolante para naturalmente sob efeito da inércia e da Carga. O reset do STO requer confirmação manual no Painel de operação (botão Reset); a CPU de segurança só permite a reabilitação da operação após verificar que todas as condições de acionamento foram eliminadas e que os Freios estão completamente fechados.

O SLS (Safely Limited Speed) monitora em tempo real a velocidade do motor através de Encoder de segurança (Encoder incremental que lê pulsos via F-DI, ou Sensor de velocidade de segurança com feedback direto). Quando o Carro ou a Ponte opera à velocidade nominal e se aproxima a 200mm do Fim de Curso, a CPU de segurança envia ao Inversor de Frequência o valor limite de velocidade (10% da velocidade nominal) via PROFIsafe; o Inversor de Frequência executa automaticamente a Desaceleração, e a CPU de segurança monitora continuamente se a velocidade permanece dentro da faixa segura (≤0,3m/s). Se a CPU de segurança detetar que a velocidade excede o limite SLS (comparação de velocidade executada pelo PLC de segurança: velocidade real n_act > limiar SLS n_sls por mais de 50ms), aciona imediatamente uma falha SLS-Fault e executa o STO. O Tempo de resposta da função SLS é inferior a 50ms.

O SBC (Safe Brake Control) opera em conjunto com o sistema de redundância do Freio duplo mencionado anteriormente. A função SBC é executada pelo bloco de função F-SBR na CPU de segurança, que emite dois comandos independentes SBC_Open para os módulos F-DQ, controlando respetivamente os eletroímãs dos Freios A e B. A CPU de segurança executa a verificação de estado do SBC em cada ciclo de varredura de segurança: quando o STO está ativo, ou o SLS é acionado, ou a CPU de segurança deteta timeout na manutenção de velocidade zero do Inversor de Frequência, o F-SBR força automaticamente o fecho dos dois Freios e, após o fecho completo, envia o sinal de "confirmação de Freios fechados" ao Inversor de Frequência via PROFIsafe. O SBC inclui também a função de monitoramento do torque de frenagem — através do sinal do Sensor de carga e do estado de velocidade zero do Motor após o fecho dos Freios, infere se o torque de frenagem é suficiente; quando o torque de frenagem é inferior a 80% do valor nominal, é acionado um alerta SBC.

O SDI (Safe Direction Indication) previne falhas de direção indevida da ponte rolante antes que o mecanismo de translação da ponte ou o Carro recebam comandos em sentido contrário. O SDI determina a direção real do movimento através da relação de fase dos pulsos do Encoder de segurança e compara com a direção de operação reportada pelo Inversor de Frequência. Quando a CPU de segurança deteta que a direção real do movimento é oposta à direção do comando de controle por mais de 100ms, aciona uma falha SDI-Fault e executa o STO. Os conflitos de direção SDI são geralmente causados por erros de configuração de Parâmetros do Inversor de Frequência (inversão de fase no cabo do motor) ou erros de ligação do Encoder; após o acionamento do STO, é necessária a intervenção do pessoal de manutenção para verificar as ligações e os Parâmetros antes do reset manual.

6. Processo de Comissionamento, Validação e Certificação de Segurança

O comissionamento e a validação do sistema de controle de segurança de ponte rolante seguem um procedimento padrão em seis etapas. A primeira etapa consiste na parametrização das funções de segurança — criação do programa de segurança (F-LAD) no editor de segurança do TIA Portal, configurando os parâmetros de conexão PROFIsafe para a F-CPU e os módulos F-DI/F-DQ: F_Source_Add (endereço da F-CPU), F_Dest_Add (endereço do módulo F), F_WD_Time (padrão 150ms), versão de verificação F_iPar_CRC e F_Param_CRC. Cada bloco de função de segurança é configurado com variáveis de canal duplo, sendo a lógica de comparação cruzada gerada automaticamente pelo runtime F. Após a compilação, são obtidas as assinaturas F-prog CRC e F-CRC; se não corresponderem, o programa de segurança foi modificado e requer nova validação.

A segunda etapa é a validação por simulação offline — o programa de segurança é carregado no PLCSIM Advanced, conectando módulos virtuais F-DI/F-DQ. Através da função Safety Simulation do PLCSIM, são simuladas três condições de falha: acionamento do Botão de Parada de Emergência, ultrapassagem de fim de curso e anomalia no feedback do Freio. No ambiente de simulação, são verificados o Tempo de resposta do STO (≤20ms), o limite de velocidade acionado pelo SLS (precisão ≤5%), o monitoramento de desvio de sincronização do Freio Duplo SBC (alarme F-Diff acionado com limite de 50ms) e a detecção de conflito de direção do SDI (STO acionado com limite de 100ms). Após a aprovação de todas as funções de segurança na simulação, é gerado o Relatório de Validação de Segurança.

A terceira etapa é a verificação da fiação em campo — utilizando um multímetro e um osciloscópio, são verificados ponto a ponto o pulso de teste do módulo F-DI (onda quadrada de 1Hz, amplitude de 24V) e a função de desconexão de canal duplo do módulo F-DQ. A fiação de canal duplo do Botão de Parada de Emergência é medida separadamente: a forma de onda do pulso no terminal F-DI do canal A e a continuidade do contato auxiliar com fio rígido do canal B, confirmando que ambos os canais interrompem corretamente o circuito de segurança quando o botão é pressionado. A tensão de alimentação medida no eletroímã do Freio deve estar na faixa de 22,8~24,5V; o osciloscópio captura a curva de corrente de energização do eletroímã (pico de aproximadamente 1,6A, corrente de manutenção em regime permanente de aproximadamente 0,8A).

A quarta etapa é o teste funcional com carga — são realizados três testes de acionamento em condições de vazio e com carga nominal: acionamento do Botão de Parada de Emergência na cabine de operação, acionamento do botão de emergência no Controlo Remoto e acionamento por ultrapassagem de fim de curso. Em cada acionamento, deve ser verificada a execução correta de todas as funções de segurança STO/SLS/SBC/SDI: após o STO, a liberação de pulso do Inversor de Frequência é interrompida em 20ms e o status Drive-CLiQ do inversor muda para Fault; após o SLS, a inclinação da curva de velocidade de Descida corresponde aos parâmetros de Desaceleração do inversor, com sobressinal máximo ≤10%; após o SBC, os dois Freios fecham simultaneamente, com Δt≤50ms; a simulação de conflito de direção do SDI é validada invertendo as fases A/B do Encoder. Todos os dados dos testes são registrados no relatório de comissionamento.

A quinta etapa é a preparação para a Certificação TÜV — organização da documentação relacionada à segurança: manual de arquitetura do sistema (descrevendo a divisão funcional e as interfaces entre a camada de segurança e a camada de controle padrão), tabela de definição das funções de segurança (com quantificação das condições de acionamento, Tempo de resposta e modo de reset para STO/SLS/SBC/SDI), tabela de análise FMEA (listando todas as falhas de ponto único previsíveis e sua avaliação de impacto nas funções de segurança), tabela de configuração dos parâmetros de conexão PROFIsafe e relatório de validação por simulação. A documentação é elaborada de acordo com os requisitos de formato das normas EN ISO 13849-1 e IEC 62061.

A sexta etapa é o monitoramento contínuo e a inspeção periódica — após a entrada em operação do sistema de controle de segurança, a CPU de segurança registra automaticamente o log de eventos de segurança (número de acionamentos do Botão de Parada de Emergência, número de ativações do SLS, número de eventos de dessincronização do Freio, número de falhas F-Diff). A cada 24 horas, é gerado um resumo do estado de operação de segurança, enviado via OPC UA para a plataforma de gestão de segurança da sala de controle central. O pessoal de manutenção em campo executa trimestralmente um teste abrangente das funções de segurança (de acordo com os requisitos de segurança da norma ISO 4301 / FEM 1.001, correspondente à antiga ISO 4301 / FEM 1.001). A cada 12 meses, um órgão de inspeção terceirizado (como TÜV ou o instituto nacional de inspeção de equipamentos especiais) realiza uma validação em campo das funções de segurança. Os registros dos testes são arquivados até o próximo ciclo de inspeção.

Perguntas Frequentes