Em novembro de 2024, uma linha de transportadores de rolos fabricada em Guangdong chegou ao Porto de Roterdã. A alfândega a reteve para inspeção, e o embarque nunca saiu do porto. O primeiro instinto do fabricante foi verificar o certificado CE — estava bem, totalmente válido. O verdadeiro problema estava dentro do arquivo técnico: a avaliação de riscos exigia PLd para o intertravamento da porta de segurança, mas a máquina tinha sido construída como uma arquitetura de canal único de Categoria 2. O relatório de cálculo do SISTEMA também estava desatualizado e já não correspondia ao PL exigido nos documentos. A retificação levou dois meses. Entre as taxas de armazenagem no porto e os engenheiros indo e voltando, o custo poderia ter comprado outra linha curta de transportadores sem mais.
Passei vinte anos na linha de frente do armazenamento nos EUA — dirigindo operações, selecionando equipamentos e sentando frente a organismos notificados mais de uma vez. O "descasamento de PL" é o modo de falha recorrente que vejo nos fabricantes chineses de automação que exportam para a Europa. Um certificado pode ser comprado. Uma cadeia de cálculo quebrada é detectada em minutos. Então deixe-me expor o que realmente importa na EN ISO 13849: como um Nível de Desempenho é definido, onde transportadores e AMRs divergem, e os itens de retificação que os revisores sinalizam com mais frequência.
De onde o PL realmente vem
PL — Nível de Desempenho — vai de a a e e mede a probabilidade de falha perigosa por hora. Quanto mais adiante no alfabeto, maior a exigência de confiabilidade. Defini-lo é um processo de duas etapas: primeiro determinar o PL requerido, o PLr, e depois calcular o que realmente se pode alcançar.
O PLr vem da avaliação de riscos. Isso não é negociável. Comece identificando cada função de segurança — em uma linha de transportadores, normalmente são a parada de emergência, o intertravamento das portas de segurança e a proteção de área, além de cortinas de luz onde quer que pessoas entrem rotineiramente. Depois avalie cada função em três eixos: quão grave a lesão poderia ser, com que frequência as pessoas estão expostas, e quão provável é que evitem o perigo. Essas três dimensões se cruzam para dar o PLr. Na prática, as funções de segurança de uma linha típica de transportadores caem em algum ponto na faixa de PL b a PL d.
O que realmente se pode alcançar é decidido por três entradas: MTTFD (tempo médio até falha perigosa), DCavg (cobertura de diagnóstico média) e CCF (falha por causa comum, pontuada na conhecida lista de verificação de 65 pontos). Esses três números, junto com a categoria arquitetural — Categoria B, 1, 2, 3 ou 4, com números maiores exigindo mais redundância e diagnóstico — determinam qual PL se pode legitimamente reivindicar. Alcançar PLd geralmente significa uma arquitetura de canal duplo a partir da Categoria 3; uma construção de canal único de Categoria 2 não sustenta uma reivindicação de PLd. O embarque de Roterdã morreu exatamente nesse descasamento: PLd no papel, Categoria 2 no aço. O revisor nem precisou ler o relatório de cálculo com atenção.
Quando não tiver certeza do número da cláusula, escreva "conforme o texto da norma" em vez de inventar um. E observe as edições: a EN ISO 13849-1 foi republicada como edição revisada em 2023, enquanto a Parte 2, que cobre a validação, continua sendo a edição de 2012. Vi arquivos que citavam números de cláusula de 2012 em documentos redigidos contra a edição de 2023 — voltaram com tinta vermelha por toda parte.
Para o cálculo em si, o SISTEMA é a ferramenta padrão da indústria. Não é mágica: você insere o MTTFD de cada componente, seu DCavg estimado e sua pontuação na lista CCF, e ele calcula o PL alcançado por função de segurança usando o método da norma. O software é a parte fácil. A parte difícil é a procedência de cada número que você digita — o MTTFD de um componente tem que remontar ao manual do fabricante, a uma conversão B10d, ou às tabelas de referência nos anexos da norma. "O fornecedor nos disse que este relé de segurança dura cem anos" não é evidência, e um revisor o tratará como zero.
Um exemplo mínimo mostra como a aritmética se comporta. Pegue um intertravamento de porta de segurança: dois interruptores de porta em série como entrada, um relé de segurança como lógica, dois contatores em série como saída. Pegue o MTTFD de cada componente do seu manual ou de uma conversão B10d, estime o DCavg para a configuração de canal duplo com monitoramento cruzado, e pontue a lista CCF item por item. Quatro números entram, o SISTEMA roda, o PL sai — e se faltar a fonte de um único número, a função inteira colapsa.
Transportadores e AMRs jogam com regras diferentes
Um transportador é maquinaria de uso geral, e a rota 13849 funciona bem. Um AMR é diferente. A máquina completa também cai sob normas tipo C específicas de produto — ISO 3691-4, por exemplo — que trazem seus próprios requisitos para os níveis das funções de segurança. Onde existirem, a norma de produto e o organismo notificado decidem o nível. Não invente afirmações absolutas como "um AMR deve alcançar PL d" na sua documentação; se escrever, tem que provar.
Vi documentos de licitação de fabricantes chineses declarando "o sistema de segurança deste AMR alcança PLd" com total confiança, quando a norma de produto pedia algo completamente diferente para aquela função — ou quando a certificação do scanner a laser simplesmente não cobria a aplicação. Escreva o número alto demais e o ônus da prova é inteiramente seu. Escreva baixo demais e a norma de produto o derruba. A sequência correta: leia primeiro a norma específica do produto, confirme se cada função de segurança é graduada nela, e só então use 13849 para cobrir o que a norma de produto deixa de fora. As duas normas se complementam; não são alternativas. Um caso de 2023 deixou isso concreto. Um fabricante de AMR de Shenzhen tinha um scanner a laser totalmente certificado — mas o uso pretendido do certificado era proteção de área fixa. Em um robô móvel fazendo proteção de acompanhamento, o organismo notificado o rejeitou. A solução foi trocar por um scanner cuja certificação cobrisse o uso móvel e refazer a validação da máquina completa. O projeto atrasou três meses. Um componente certificado não é um componente corretamente aplicado: cada palavra do escopo do certificado tem que corresponder às suas condições de operação.
Uma mudança de fundo a acompanhar: a antiga Diretiva de Máquinas era 2006/42/EC, e o Regulamento de Máquinas da UE (UE) 2023/1230 está substituindo-a, com aplicação plena em 2027 conforme o texto do regulamento. Para qualquer projeto novo, confirme com seu organismo emissor se a rota de certificação está sob a diretiva ou sob o novo regulamento — não descubra o descasamento na semana anterior ao embarque.
As correções que vejo o tempo todo — e como evitá-las
O primeiro e mais comum assassino é uma cadeia documental quebrada. Quatro documentos contando quatro histórias: a avaliação de riscos diz PLr = c, a lista de funções de segurança diz que a parada de emergência é PLr = d, o SISTEMA calcula PLc, e o relatório de validação foi copiado do modelo de outro projeto. Um revisor que encontra isso rejeita o arquivo de imediato — às vezes sem sequer oferecer uma janela de retificação.
O segundo são valores MTTFD sem procedência. O relatório lista belos números MTTFD, e quando se pergunta pela fonte, ninguém sabe responder. A regra: manual do fabricante, conversão B10d, ou as tabelas do anexo da norma — cite uma por componente. Um número sem fonte conta como zero em uma revisão.
O terceiro é a lista CCF tratada como decoração. A lista de 65 pontos é pontuada item por item; uma pontuação curta ou medidas não implementadas degradam a arquitetura uma categoria, e o PL cai junto. Os revisores verificam a fiação separada e a proteção contra sobretensão na planta. Isso é visível. Não dá para fingir.
O quarto é o DCavg inflado. Uma arquitetura de canal único com watchdog não ganha alta cobertura de diagnóstico. Se não puder justificar o número, escreva-o mais baixo. Reivindicar PLc de forma conservadora e passar de primeira sempre supera reivindicar PLd e ser devolvido.
Minha defesa permanente contra os quatro é a tabela de rastreabilidade do PL: uma linha por função de segurança, cinco colunas — nome da função, cadeia de componentes entrada-lógica-saída, PLr, PL calculado, e os números de página no relatório SISTEMA e no relatório de validação. Faça essas cinco colunas concordarem e metade do seu risco de retificação desaparece. Também rende na manutenção: troque um componente e revise apenas aquela linha em vez de reconstruir o arquivo inteiro.
A sequência também importa. Congele o PLr durante a avaliação de riscos, rode uma passagem preliminar do SISTEMA antes de selecionar o hardware, e calcule a versão final somente depois que os componentes estiverem travados. Inverta a ordem — compre tudo primeiro, preencha os cálculos depois — e cada mudança de componente dispara um ciclo completo de recálculo. É assim que os cronogramas morrem em silêncio.
Aqui está algo que você pode usar amanhã: peça ao seu fornecedor a fonte do MTTFD de cada componente de segurança — a página do manual ou o valor B10d. Se ele não puder produzir, não assine o pedido de compra, por mais atraente que seja o preço. No jogo do PL, o certificado não é onde se ganha ou se perde. Ganha-se ou perde-se conforme cada elo da cadeia de cálculo tenha uma fonte.
Traduzido do inglês. Em caso de divergência, prevalece a versão em inglês.
