Nos últimos anos, os microprocessadores desempenharam um papel cada vez maior no campo da tecnologia de segurança. Como computadores inteiros (ou seja, unidade central de processamento, memória e componentes periféricos) estão agora disponíveis em um único componente como “computadores de chip único”, a tecnologia de microprocessador está sendo empregada não apenas no controle de máquinas complexas, mas também em salvaguardas de design relativamente simples (por exemplo, grades de luz, dispositivos de controle bimanual e bordas de segurança). O software que controla esses sistemas compreende entre mil e várias dezenas de milhares de comandos únicos e geralmente consiste em várias centenas de ramificações do programa. Os programas operam em tempo real e são escritos principalmente na linguagem assembly dos programadores.

A introdução de sistemas controlados por computador na esfera da tecnologia de segurança foi acompanhada em todos os equipamentos técnicos de grande escala, não apenas por projetos caros de pesquisa e desenvolvimento, mas também por restrições significativas destinadas a aumentar a segurança. (A tecnologia aeroespacial, a tecnologia militar e a tecnologia de energia atômica podem ser citadas aqui como exemplos de aplicações em larga escala.) Até agora, o campo coletivo da produção industrial em massa foi tratado apenas de maneira muito limitada. Isso se deve em parte ao fato de que os rápidos ciclos de inovação característicos do projeto de máquinas industriais tornam difícil transferir, exceto de maneira muito restrita, o conhecimento que pode ser derivado de projetos de pesquisa relacionados ao teste final de máquinas em larga escala. dispositivos de segurança. Isso torna o desenvolvimento de procedimentos de avaliação rápidos e de baixo custo um desiderato (Reinert e Reuss 1991).

Este artigo primeiro examina máquinas e instalações nas quais os sistemas de computador atualmente executam tarefas de segurança, usando exemplos de acidentes que ocorrem predominantemente na área de proteção de máquinas para descrever o papel específico que os computadores desempenham na tecnologia de segurança. Esses acidentes dão algumas indicações sobre quais precauções devem ser tomadas para que os equipamentos de segurança controlados por computador, cada vez mais amplamente utilizados, não levem a um aumento no número de acidentes. A seção final do artigo esboça um procedimento que permitirá que até mesmo pequenos sistemas de computador sejam levados a um nível apropriado de segurança técnica a um custo justificável e dentro de um período de tempo aceitável. Os princípios indicados nesta parte final estão sendo introduzidos nos procedimentos de padronização internacional e terão implicações para todas as áreas de tecnologia de segurança nas quais os computadores encontram aplicação.

Exemplos de uso de software e computadores no campo de proteção de máquinas

Os quatro exemplos a seguir deixam claro que o software e os computadores estão entrando cada vez mais em aplicações relacionadas à segurança no domínio comercial.

As instalações de sinalização pessoal de emergência consistem, em regra, de uma estação central receptora e de vários dispositivos de sinalização pessoal de emergência. Os dispositivos são transportados por pessoas que trabalham sozinhas no local. Se alguma dessas pessoas trabalhando sozinhas se encontrar em uma situação de emergência, pode usar o dispositivo para disparar um alarme por sinal de rádio na estação receptora central. Tal disparo de alarme dependente da vontade também pode ser complementado por um mecanismo de disparo independente da vontade ativado por sensores embutidos nos dispositivos de emergência pessoais. Ambos os dispositivos individuais e a estação receptora central são freqüentemente controlados por microcomputadores. É concebível que a falha de funções individuais específicas do computador embutido possa levar, em uma situação de emergência, a uma falha no acionamento do alarme. Portanto, precauções devem ser tomadas para perceber e reparar essa perda de função a tempo.

As impressoras usadas hoje para imprimir revistas são máquinas grandes. As teias de papel são normalmente preparadas por uma máquina separada de modo a permitir uma transição perfeita para um novo rolo de papel. As páginas impressas são dobradas por uma máquina de dobragem e subsequentemente trabalhadas através de uma cadeia de outras máquinas. Isso resulta em paletes carregadas com revistas totalmente costuradas. Embora tais plantas sejam automatizadas, há dois pontos em que intervenções manuais devem ser feitas: (1) no enfiamento dos caminhos do papel e (2) na desobstrução causada por rasgos de papel em pontos perigosos dos rolos rotativos. Por esta razão, uma velocidade de operação reduzida ou um modo jogging limitado por caminho ou tempo deve ser assegurado pela tecnologia de controle enquanto as prensas estão sendo ajustadas. Devido aos complexos procedimentos de direção envolvidos, cada estação de impressão deve ser equipada com seu próprio controlador lógico programável. Qualquer falha que ocorra no controle de uma planta de impressão enquanto as grades de proteção estiverem abertas deve ser impedida de levar à inicialização inesperada de uma máquina parada ou à operação em excesso de velocidades apropriadamente reduzidas.

Em grandes fábricas e armazéns, veículos robóticos guiados automaticamente e sem motorista se movem em trilhos especialmente marcados. Esses trilhos podem ser percorridos a qualquer momento por pessoas, ou materiais e equipamentos podem ser deixados inadvertidamente nos trilhos, uma vez que não são separados estruturalmente de outras linhas de tráfego. Por esse motivo, algum tipo de equipamento de prevenção de colisão deve ser usado para garantir que o veículo seja parado antes que ocorra qualquer colisão perigosa com uma pessoa ou objeto. Em aplicações mais recentes, a prevenção de colisões é realizada por meio de scanners ultrassônicos ou de luz laser usados ​​em combinação com um amortecedor de segurança. Como esses sistemas funcionam sob controle computadorizado, é possível configurar várias zonas de detecção permanentes para que um veículo modifique sua reação dependendo da zona de detecção específica em que uma pessoa se encontra. Falhas no dispositivo de proteção não devem levar a uma colisão perigosa com uma pessoa.

As guilhotinas do dispositivo de controle de corte de papel são usadas para pressionar e depois cortar pilhas grossas de papel. Eles são acionados por um dispositivo de controle bimanual. O usuário deve alcançar a zona de perigo da máquina após cada corte. Uma proteção imaterial, geralmente uma grade de luz, é usada em conjunto com o dispositivo de controle bimanual e um sistema seguro de controle da máquina para evitar ferimentos quando o papel é alimentado durante a operação de corte. Quase todas as guilhotinas maiores e mais modernas em uso hoje são controladas por sistemas de microcomputadores multicanal. Tanto a operação bimanual quanto a grade de luz também devem funcionar com segurança.

Acidentes com Sistemas Controlados por Computador

Em quase todos os campos de aplicação industrial, acidentes com software e computadores são relatados (Neumann 1994). Na maioria dos casos, as falhas do computador não causam ferimentos às pessoas. Tais falhas são, em qualquer caso, tornadas públicas apenas quando são de interesse público geral. Isso significa que os casos de mau funcionamento ou acidente relacionados a computadores e softwares que envolvem lesões a pessoas representam uma proporção relativamente alta de todos os casos divulgados. Infelizmente, os acidentes que não causam grande sensação pública não são investigados quanto às suas causas com a mesma intensidade que os acidentes mais proeminentes, geralmente em fábricas de grande porte. Por esta razão, os exemplos a seguir referem-se a quatro descrições de mau funcionamento ou acidentes típicos de sistemas controlados por computador fora do campo de proteção de máquinas, que são usados ​​para sugerir o que deve ser levado em consideração quando são feitos julgamentos sobre tecnologia de segurança.

Acidentes causados ​​por falhas aleatórias no hardware

O seguinte acidente foi causado por uma concentração de falhas aleatórias no hardware combinadas com falhas de programação: Um reator superaqueceu em uma fábrica de produtos químicos, após o que as válvulas de alívio foram abertas, permitindo que o conteúdo do reator fosse descarregado na atmosfera. Esse acidente ocorreu pouco tempo depois de um aviso ter sido dado de que o nível de óleo em uma caixa de câmbio estava muito baixo. A investigação cuidadosa do acidente mostrou que logo após o catalisador ter iniciado a reação no reator - em consequência do qual o reator teria exigido mais resfriamento - o computador, com base no relatório de baixos níveis de óleo na caixa de engrenagens, congelou todos magnitudes sob seu controle em um valor fixo. Isso manteve o fluxo de água fria em um nível muito baixo e, como resultado, o reator superaqueceu. Uma investigação mais aprofundada mostrou que a indicação de níveis baixos de óleo foi sinalizada por um componente defeituoso.

O software respondeu de acordo com a especificação com o disparo de um alarme e a fixação de todas as variáveis ​​operativas. Isso foi consequência do estudo HAZOP (hazards and operability analysis) (Knowlton 1986) feito antes do evento, que exigia que todas as variáveis ​​controladas não fossem modificadas em caso de falha. Como o programador não conhecia o procedimento em detalhes, este requisito foi interpretado como significando que os atuadores controlados (válvulas de controle neste caso) não deveriam ser modificados; nenhuma atenção foi dada à possibilidade de um aumento na temperatura. O programador não levou em consideração que, após receber um sinal errado, o sistema poderia se encontrar em uma situação dinâmica do tipo que exige a intervenção ativa do computador para evitar um acidente. Além disso, a situação que levou ao acidente era tão improvável que não havia sido analisada em detalhes no estudo HAZOP (Levenson 1986). Este exemplo fornece uma transição para uma segunda categoria de causas de acidentes de software e computador. Estas são as falhas sistemáticas que estão no sistema desde o início, mas que se manifestam apenas em algumas situações muito específicas que o desenvolvedor não levou em consideração.

Acidentes causados ​​por falhas operacionais

Em testes de campo durante a inspeção final dos robôs, um técnico pegou emprestado o cassete de um robô vizinho e o substituiu por outro sem informar ao colega que o havia feito. Ao retornar ao local de trabalho, o colega inseriu o cassete errado. Como ele estava ao lado do robô e esperava uma sequência particular de movimentos dele - uma sequência que saiu diferente por causa do programa trocado - ocorreu uma colisão entre o robô e o humano. Este acidente descreve o exemplo clássico de uma falha operacional. O papel de tais falhas em mau funcionamento e acidentes está aumentando devido à crescente complexidade na aplicação de mecanismos de segurança controlados por computador.

Acidentes causados ​​por falhas sistemáticas em hardware ou software

Um torpedo com ogiva deveria ter sido disparado para fins de treinamento, de um navio de guerra em alto mar. Devido a um defeito no aparelho de acionamento, o torpedo permaneceu no tubo do torpedo. O capitão decidiu retornar ao porto de origem para resgatar o torpedo. Pouco depois de o navio começar a voltar para casa, o torpedo explodiu. Uma análise do acidente revelou que os desenvolvedores do torpedo foram obrigados a construir no torpedo um mecanismo projetado para evitar que ele retorne à plataforma de lançamento após ter sido disparado, destruindo assim o navio que o lançou. O mecanismo escolhido para isso foi o seguinte: Após o disparo do torpedo foi feita uma verificação, utilizando o sistema de navegação inercial, para ver se o seu curso havia alterado 180°. Assim que o torpedo percebeu que havia girado 180°, o torpedo detonou imediatamente, supostamente a uma distância segura da plataforma de lançamento. Este mecanismo de detecção foi acionado no caso do torpedo que não havia sido lançado corretamente, fazendo com que o torpedo explodisse após o navio ter mudado seu curso em 180°. Este é um exemplo típico de acidente ocorrido por falha nas especificações. O requisito nas especificações de que o torpedo não deve destruir seu próprio navio caso seu curso mude não foi formulado com precisão suficiente; a precaução foi assim programada erroneamente. O erro tornou-se aparente apenas em uma situação particular, que o programador não havia levado em consideração como uma possibilidade.

Em 14 de setembro de 1993, um Lufthansa Airbus A 320 caiu ao pousar em Varsóvia (figura 1). Uma investigação cuidadosa do acidente mostrou que modificações na lógica de pouso do computador de bordo feitas após um acidente com um Boeing 767 da Lauda Air em 1991 foram parcialmente responsáveis ​​por esse pouso forçado. O que aconteceu no acidente de 1991 foi que a deflexão do empuxo, que desvia parte dos gases do motor para frear o avião durante o pouso, foi acionada ainda no ar, forçando a máquina a um mergulho de nariz incontrolável. Por esta razão, um bloqueio eletrônico da deflexão de empuxo foi incorporado às máquinas Airbus. Esse mecanismo permitia que a deflexão do impulso entrasse em vigor somente após os sensores em ambos os conjuntos de trem de pouso terem sinalizado a compressão dos amortecedores sob a pressão das rodas tocando o solo. Com base em informações incorretas, os pilotos do avião em Varsóvia previram um forte vento lateral.

Figura 1. Lufthansa Airbus após acidente em Varsóvia 1993

Por esse motivo, eles trouxeram a máquina com uma leve inclinação e o Airbus pousou apenas com a roda direita, deixando o rolamento esquerdo com menos do que o peso total. Por conta do travamento eletrônico da deflexão de empuxo, o computador de bordo negou ao piloto pelo espaço de nove segundos manobras que teriam permitido ao avião pousar com segurança apesar das circunstâncias adversas. Este acidente demonstra muito claramente que as modificações nos sistemas de computador podem levar a situações novas e perigosas se o leque de suas possíveis consequências não for considerado com antecedência.

 

O seguinte exemplo de mau funcionamento também demonstra os efeitos desastrosos que a modificação de um único comando pode ter em sistemas de computador. O teor de álcool do sangue é determinado, em testes químicos, usando soro de sangue claro do qual os glóbulos sanguíneos foram previamente centrifugados. O teor de álcool do soro é, portanto, maior (por um fator de 1.2) do que o do sangue total mais espesso. Por esta razão, os valores de álcool no soro devem ser divididos por um fator de 1.2 a fim de estabelecer as partes por milhar legais e medicamente críticas. No teste interlaboratorial realizado em 1984, deveriam ser comparados os valores de alcoolemia apurados em testes idênticos, realizados em diferentes instituições de pesquisa com soro. Como era apenas uma questão de comparação, o comando para dividir por 1.2 foi apagado do programa em uma das instituições durante o experimento. Após o término do teste interlaboratorial, um comando para multiplicar por 1.2 foi introduzido erroneamente no programa neste local. Aproximadamente 1,500 valores incorretos de partes por mil foram calculados entre agosto de 1984 e março de 1985 como resultado. Esse erro foi crítico para a carreira profissional dos caminhoneiros com alcoolemia entre 1.0 e 1.3 por mil, uma vez que uma penalidade legal de cassação da carteira de habilitação por tempo prolongado é consequência de um valor de 1.3 por mil.

Acidentes causados ​​por influências de tensões operacionais ou ambientais

Em consequência de uma perturbação causada pela recolha de desperdícios na área útil de uma puncionadora e mordiscada CNC (controlo numérico computadorizado), o utilizador efectuou a “paragem programada”. Ao tentar retirar os resíduos com as mãos, a haste da máquina começou a se mover apesar da parada programada e feriu gravemente o usuário. Uma análise do acidente revelou que não se tratava de um erro no programa. A inicialização inesperada não pôde ser reproduzida. Irregularidades semelhantes foram observadas no passado em outras máquinas do mesmo tipo. Parece plausível deduzir disso que o acidente deve ter sido causado por interferência eletromagnética. Acidentes semelhantes com robôs industriais são relatados no Japão (Neumann 1987).

Um mau funcionamento na sonda espacial Voyager 2 em 18 de janeiro de 1986 torna ainda mais clara a influência do estresse ambiental nos sistemas controlados por computador. Seis dias antes da aproximação mais próxima de Urano, grandes campos de linhas em preto e branco cobriam as fotos da Voyager 2. Uma análise precisa mostrou que um único bit em uma palavra de comando do subsistema de dados de voo causou a falha, observada como as imagens foram comprimidas na sonda. Este bit provavelmente foi deslocado dentro da memória do programa pelo impacto de uma partícula cósmica. A transmissão sem erros das fotografias comprimidas da sonda foi realizada apenas dois dias depois, usando um programa de substituição capaz de contornar o ponto de memória com falha (Laeser, McLaughlin e Wolff 1987).

Resumo dos acidentes apresentados

Os acidentes analisados ​​mostram que certos riscos que podem ser negligenciados em condições que utilizam tecnologia eletromecânica simples, ganham importância quando se utiliza computadores. Os computadores permitem o processamento de funções de segurança complexas e específicas da situação. Uma especificação inequívoca, livre de erros, completa e testável de todas as funções de segurança torna-se, por isso, especialmente importante. Erros nas especificações são difíceis de descobrir e frequentemente são a causa de acidentes em sistemas complexos. Os controles livremente programáveis ​​são geralmente introduzidos com a intenção de ser capaz de reagir com flexibilidade e rapidez às mudanças do mercado. As modificações, no entanto, especialmente em sistemas complexos, têm efeitos colaterais difíceis de prever. Todas as modificações devem, portanto, ser submetidas a um gerenciamento estritamente formal do procedimento de mudança, no qual uma separação clara das funções de segurança dos sistemas parciais não relevantes para a segurança ajudará a manter as consequências das modificações para a tecnologia de segurança fáceis de avaliar.

Os computadores funcionam com baixos níveis de eletricidade. Eles são, portanto, suscetíveis à interferência de fontes externas de radiação. Como a modificação de um único sinal entre milhões pode levar a um mau funcionamento, vale a pena dar atenção especial ao tema da compatibilidade eletromagnética em conexão com computadores.

Atualmente, a manutenção de sistemas controlados por computador está se tornando cada vez mais complexa e, portanto, menos clara. A ergonomia do software do usuário e do software de configuração está, portanto, se tornando mais interessante do ponto de vista da tecnologia de segurança.

Nenhum sistema de computador é 100% testável. Um mecanismo de controle simples com 32 portas de entrada binária e 1,000 caminhos de software diferentes requer 4.3 × 10¹² testes para uma verificação completa. A uma taxa de 100 testes por segundo executados e avaliados, um teste completo levaria 1,362 anos.

Procedimentos e medidas para a melhoria dos dispositivos de segurança controlados por computador

Nos últimos 10 anos, foram desenvolvidos procedimentos que permitem o domínio de desafios específicos relacionados à segurança em conexão com computadores. Esses procedimentos tratam das falhas do computador descritas nesta seção. Os exemplos descritos de software e computadores em proteções de máquinas e os acidentes analisados ​​mostram que a extensão dos danos e, portanto, também o risco envolvido em várias aplicações são extremamente variáveis. Fica claro, portanto, que os cuidados necessários para o aperfeiçoamento dos computadores e softwares utilizados na tecnologia de segurança devem ser estabelecidos em relação ao risco.

A Figura 2 mostra um procedimento qualitativo por meio do qual a redução de risco necessária obtida usando sistemas de segurança pode ser determinada independentemente da extensão e da frequência com que o dano ocorre (Bell e Reinert 1992). Os tipos de falhas em sistemas computacionais analisados ​​na seção “Acidentes com sistemas controlados por computador” (acima) podem ser relacionados aos chamados Níveis de Integridade de Segurança, ou seja, as facilidades técnicas para redução de riscos.

Figura 2. Procedimento qualitativo para determinação de risco

A Figura 3 deixa claro que a eficácia das medidas tomadas, em qualquer caso, para reduzir o erro em software e computadores precisa crescer com risco crescente (DIN 1994; IEC 1993).

Figura 3, Eficácia das precauções tomadas contra erros independentemente do risco

A análise dos acidentes esboçados acima mostra que a falha das proteções controladas por computador é causada não apenas por falhas aleatórias de componentes, mas também por condições operacionais particulares que o programador não levou em consideração. As consequências não imediatamente óbvias das modificações do programa feitas durante a manutenção do sistema constituem outra fonte de erro. Conclui-se que podem ocorrer falhas em sistemas de segurança controlados por microprocessadores que, embora feitas durante o desenvolvimento do sistema, podem levar a uma situação perigosa apenas durante a operação. Precauções contra tais falhas devem, portanto, ser tomadas enquanto os sistemas relacionados à segurança estão em fase de desenvolvimento. Essas chamadas medidas de prevenção de falhas devem ser tomadas não apenas durante a fase de conceito, mas também no processo de desenvolvimento, instalação e modificação. Certas falhas podem ser evitadas se forem descobertas e corrigidas durante este processo (DIN 1990).

Como o último contratempo descrito deixa claro, a quebra de um único transistor pode levar à falha técnica de equipamentos automatizados de alta complexidade. Uma vez que cada circuito único é composto de muitos milhares de transistores e outros componentes, várias medidas de prevenção de falhas devem ser tomadas para reconhecer tais falhas como aparecem na operação e para iniciar uma reação apropriada no sistema de computador. A Figura 4 descreve tipos de falhas em sistemas eletrônicos programáveis, bem como exemplos de precauções que podem ser tomadas para evitar e controlar falhas em sistemas de computador (DIN 1990; IEC 1992).

Figura 4. Exemplos de precauções tomadas para controlar e evitar erros em sistemas de computador

Possibilidades e Perspectivas de Sistemas Eletrônicos Programáveis ​​em Tecnologia de Segurança

Máquinas e instalações modernas estão se tornando cada vez mais complexas e devem realizar tarefas cada vez mais abrangentes em períodos de tempo cada vez mais curtos. Por esse motivo, os sistemas de computador dominaram quase todas as áreas da indústria desde meados da década de 1970. Esse aumento de complexidade por si só contribuiu significativamente para o aumento dos custos envolvidos na melhoria da tecnologia de segurança em tais sistemas. Embora o software e os computadores representem um grande desafio para a segurança no trabalho, eles também possibilitam a implementação de novos sistemas amigáveis ​​ao erro no campo da tecnologia de segurança.

Um verso engraçado, mas instrutivo, de Ernst Jandl ajudará a explicar o que significa o conceito amigável ao erro. “Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum”. (“Dileção: Muitos acreditam que luz e reft não podem ser trocados por inteligência, que ellol”.) Apesar da troca de cartas r e a l, esta frase é facilmente compreendida por um ser humano adulto normal. Mesmo alguém com pouca fluência no idioma inglês pode traduzi-lo para o inglês. A tarefa é, no entanto, quase impossível para um computador tradutor sozinho.

Este exemplo mostra que um ser humano pode reagir de uma maneira muito mais amigável ao erro do que um computador de linguagem. Isso significa que os humanos, como todas as outras criaturas vivas, podem tolerar falhas referindo-se a elas na experiência. Se olharmos para as máquinas em uso hoje, veremos que a maioria das máquinas penaliza as falhas do usuário não com um acidente, mas com uma diminuição da produção. Esta propriedade leva à manipulação ou evasão de salvaguardas. A moderna informática coloca à disposição da segurança do trabalho sistemas que podem reagir de forma inteligente, ou seja, de forma modificada. Tais sistemas tornam possível um modo de comportamento amigável ao erro em novas máquinas. Eles alertam os usuários durante uma operação errada antes de tudo e desligam a máquina somente quando esta é a única maneira de evitar um acidente. A análise dos acidentes mostra que existe nesta área um potencial considerável de redução de acidentes (Reinert e Reuss 1991).

 

Voltar

Um sistema automatizado híbrido (HAS) visa integrar as capacidades de máquinas artificialmente inteligentes (baseadas em tecnologia de computador) com as capacidades das pessoas que interagem com essas máquinas no curso de suas atividades de trabalho. As principais preocupações da utilização do HAS estão relacionadas a como os subsistemas humano e de máquina devem ser projetados para fazer o melhor uso do conhecimento e habilidades de ambas as partes do sistema híbrido, e como os operadores humanos e os componentes da máquina devem interagir uns com os outros. para garantir que suas funções se complementem. Muitos sistemas automatizados híbridos evoluíram como produtos de aplicações de metodologias modernas baseadas em informações e controle para automatizar e integrar diferentes funções de sistemas tecnológicos frequentemente complexos. O HAS foi originalmente identificado com a introdução de sistemas baseados em computador usados ​​no projeto e operação de sistemas de controle em tempo real para reatores de energia nuclear, para plantas de processamento químico e para tecnologia de fabricação de peças discretas. HAS agora também pode ser encontrado em muitas indústrias de serviços, como controle de tráfego aéreo e procedimentos de navegação de aeronaves na área de aviação civil, e no projeto e uso de veículos inteligentes e sistemas de navegação rodoviária no transporte rodoviário.

Com o progresso contínuo na automação baseada em computador, a natureza das tarefas humanas em sistemas tecnológicos modernos muda daquelas que requerem habilidades motoras perceptuais para aquelas que exigem atividades cognitivas, que são necessárias para a resolução de problemas, para a tomada de decisões no monitoramento do sistema e para tarefas de controle de supervisão. Por exemplo, os operadores humanos em sistemas de manufatura integrados por computador atuam principalmente como monitores de sistema, solucionadores de problemas e tomadores de decisão. As atividades cognitivas do supervisor humano em qualquer ambiente HAS são (1) planejar o que deve ser feito em um determinado período de tempo, (2) elaborar procedimentos (ou etapas) para atingir o conjunto de metas planejadas, (3) monitorar o progresso de processos (tecnológicos), (4) “ensinar” o sistema através de um computador humano-interativo, (5) intervir se o sistema se comportar de forma anormal ou se as prioridades de controle mudarem e (6) aprender através do feedback do sistema sobre o impacto de ações de supervisão (Sheridan 1987).

Projeto de sistema híbrido

As interações homem-máquina em um HAS envolvem a utilização de loops de comunicação dinâmica entre os operadores humanos e as máquinas inteligentes - um processo que inclui detecção e processamento de informações e iniciação e execução de tarefas de controle e tomada de decisão - dentro de uma determinada estrutura de alocação de funções entre humanos e máquinas. No mínimo, as interações entre as pessoas e a automação devem refletir a alta complexidade dos sistemas automatizados híbridos, bem como as características relevantes dos operadores humanos e os requisitos da tarefa. Portanto, o sistema automatizado híbrido pode ser formalmente definido como um quíntuplo na seguinte fórmula:

TEM = (T, U, C, E, I)

onde T = requisitos da tarefa (físicos e cognitivos); U = características do usuário (físicas e cognitivas); C = as características de automação (hardware e software, incluindo interfaces de computador); E = ambiente do sistema; I = um conjunto de interações entre os elementos acima.

O conjunto de interações I incorpora todas as interações possíveis entre T, U e a C in E independentemente de sua natureza ou força de associação. Por exemplo, uma das interações possíveis pode envolver a relação dos dados armazenados na memória do computador com o conhecimento correspondente, se houver, do operador humano. As interações I pode ser elementar (ou seja, limitado a uma associação de um para um) ou complexo, como envolveria interações entre o operador humano, o software específico usado para realizar a tarefa desejada e a interface física disponível com o computador.

Os projetistas de muitos sistemas automatizados híbridos concentram-se principalmente na integração assistida por computador de máquinas sofisticadas e outros equipamentos como partes da tecnologia baseada em computador, raramente prestando muita atenção à necessidade primordial de integração humana efetiva dentro de tais sistemas. Portanto, atualmente, muitos dos sistemas integrados por computador (tecnológicos) não são totalmente compatíveis com as capacidades inerentes dos operadores humanos, expressas pelas habilidades e conhecimentos necessários para o controle e monitoramento eficazes desses sistemas. Tal incompatibilidade surge em todos os níveis de funcionamento humano, máquina e homem-máquina, e pode ser definida dentro de uma estrutura do indivíduo e de toda a organização ou instalação. Por exemplo, os problemas de integração de pessoas e tecnologia em empresas de manufatura avançada ocorrem no início do estágio de projeto do HAS. Esses problemas podem ser conceituados usando o seguinte modelo de integração de sistemas da complexidade das interações, I, entre os projetistas do sistema, D, operadores humanos, H, ou potenciais usuários do sistema e tecnologia, T:

Eu (H,T) = F [I (H, D), I (D, T)]

onde I representa interações relevantes que ocorrem em uma determinada estrutura do HAS, enquanto F indica relações funcionais entre designers, operadores humanos e tecnologia.

O modelo de integração do sistema acima destaca o fato de que as interações entre os usuários e a tecnologia são determinadas pelo resultado da integração das duas interações anteriores, ou seja, (1) aquelas entre designers HAS e usuários em potencial e (2) aquelas entre os designers e a tecnologia HAS (ao nível das máquinas e sua integração). Deve-se notar que, embora normalmente existam fortes interações entre os designers e a tecnologia, apenas alguns poucos exemplos de inter-relações igualmente fortes entre designers e operadores humanos podem ser encontrados.

Pode-se argumentar que, mesmo nos sistemas mais automatizados, a função humana permanece crítica para o desempenho bem-sucedido do sistema no nível operacional. Bainbridge (1983) identificou um conjunto de problemas relevantes para o funcionamento do HAS que se devem à própria natureza da automação, como se segue:

1. Operadores “fora do circuito de controle”. Os operadores humanos estão presentes no sistema para exercer o controle quando necessário, mas por estarem “fora do circuito de controle” eles falham em manter as habilidades manuais e o conhecimento do sistema de longo prazo que geralmente são necessários em caso de emergência.
2. “Imagem mental” desatualizada. Os operadores humanos podem não ser capazes de responder rapidamente às mudanças no comportamento do sistema se não estiverem acompanhando de perto os eventos de sua operação. Além disso, o conhecimento ou imagem mental dos operadores sobre o funcionamento do sistema pode ser inadequado para iniciar ou exercer as respostas necessárias.
3. Desaparecendo gerações de habilidades. Os novos operadores podem não conseguir adquirir conhecimentos suficientes sobre o sistema informatizado adquiridos com a experiência e, portanto, não poderão exercer um controle efetivo quando necessário.
4. Autoridade de automação. Se o sistema computadorizado foi implementado porque pode executar as tarefas necessárias melhor do que o operador humano, surge a pergunta: “Com base em que o operador deve decidir se as decisões corretas ou incorretas estão sendo tomadas pelos sistemas automatizados?”
5. Surgimento dos novos tipos de “erros humanos” devido à automação. Os sistemas automatizados conduzem a novos tipos de erros e, consequentemente, a acidentes que não podem ser analisados ​​no âmbito das técnicas tradicionais de análise.

 

Alocação de tarefas

Uma das questões importantes para o projeto HAS é determinar quantas e quais funções ou responsabilidades devem ser alocadas para os operadores humanos, e quais e quantas para os computadores. Geralmente, existem três classes básicas de problemas de alocação de tarefas que devem ser consideradas: (1) a alocação de tarefas supervisor-computador humano, (2) a alocação de tarefas humano-humano e (3) a alocação de tarefas computador-computador de supervisão. Idealmente, as decisões de alocação devem ser feitas por meio de algum procedimento de alocação estruturado antes que o projeto básico do sistema seja iniciado. Infelizmente, esse processo sistemático raramente é possível, pois as funções a serem alocadas podem precisar de um exame mais aprofundado ou devem ser executadas interativamente entre os componentes do sistema humano e da máquina - isto é, por meio da aplicação do paradigma de controle supervisório. A alocação de tarefas em sistemas automatizados híbridos deve se concentrar na extensão das responsabilidades de supervisão humana e do computador e deve considerar a natureza das interações entre o operador humano e os sistemas computadorizados de suporte à decisão. Os meios de transferência de informações entre as máquinas e as interfaces de entrada-saída humanas e a compatibilidade do software com as habilidades cognitivas de resolução de problemas humanos também devem ser considerados.

Nas abordagens tradicionais para o projeto e gerenciamento de sistemas automatizados híbridos, os trabalhadores eram considerados como sistemas de entrada e saída determinísticos, e havia uma tendência a desconsiderar a natureza teleológica do comportamento humano – isto é, o comportamento orientado a objetivos que depende da aquisição de conhecimento. informações relevantes e a seleção de objetivos (Goodstein et al. 1988). Para ser bem-sucedido, o projeto e o gerenciamento de sistemas automatizados híbridos avançados devem ser baseados na descrição das funções mentais humanas necessárias para uma tarefa específica. A abordagem da “engenharia cognitiva” (descrita mais abaixo) propõe que os sistemas homem-máquina (híbridos) precisam ser concebidos, projetados, analisados ​​e avaliados em termos de processos mentais humanos (ou seja, o modelo mental do operador dos sistemas adaptativos é levado em consideração conta). A seguir estão os requisitos da abordagem centrada no ser humano para o projeto e operação do HAS, conforme formulado por Corbett (1988):

1. Compatibilidade. A operação do sistema não deve exigir habilidades não relacionadas às habilidades existentes, mas deve permitir que as habilidades existentes evoluam. O operador humano deve inserir e receber informações que sejam compatíveis com a prática convencional para que a interface esteja de acordo com o conhecimento e habilidade prévios do usuário.
2. Transparência. Não se pode controlar um sistema sem entendê-lo. Portanto, o operador humano deve ser capaz de “ver” os processos internos do software de controle do sistema para facilitar o aprendizado. Um sistema transparente torna mais fácil para os usuários construir um modelo interno das funções de tomada de decisão e controle que o sistema pode executar.
3. Choque mínimo. O sistema não deve fazer nada que os operadores considerem inesperado à luz das informações disponíveis para eles, detalhando o estado atual do sistema.
4. controle de perturbação. Tarefas incertas (conforme definidas pela análise da estrutura de escolha) devem estar sob controle do operador humano com suporte de tomada de decisão por computador.
5. Falibilidade. As habilidades e conhecimentos implícitos dos operadores humanos não devem ser projetados fora do sistema. Os operadores nunca devem ser colocados em uma posição em que assistam impotentes ao software direcionar uma operação incorreta.
6. Reversibilidade do erro. O software deve fornecer informações suficientes para informar o operador humano sobre as prováveis ​​consequências de uma determinada operação ou estratégia.
7. Flexibilidade operacional. O sistema deve oferecer aos operadores humanos a liberdade de negociar requisitos e limites de recursos, mudando as estratégias operacionais sem perder o suporte do software de controle.

 

Engenharia Cognitiva de Fatores Humanos

A engenharia cognitiva de fatores humanos se concentra em como os operadores humanos tomam decisões no local de trabalho, resolvem problemas, formulam planos e aprendem novas habilidades (Hollnagel e Woods, 1983). Os papéis dos operadores humanos que funcionam em qualquer HAS podem ser classificados usando o esquema de Rasmussen (1983) em três categorias principais:

1. Comportamento baseado em habilidade é o desempenho sensório-motor executado durante atos ou atividades que ocorrem sem controle consciente como padrões de comportamento suaves, automatizados e altamente integrados. As atividades humanas que se enquadram nessa categoria são consideradas uma sequência de atos habilidosos compostos para uma determinada situação. O comportamento baseado em habilidades é, portanto, a expressão de padrões de comportamento mais ou menos armazenados ou instruções pré-programadas em um domínio de espaço-tempo.
2. Comportamento baseado em regras é uma categoria de desempenho orientada para um objetivo, estruturada pelo controle de feedforward por meio de uma regra ou procedimento armazenado - isto é, um desempenho ordenado que permite a composição de uma sequência de sub-rotinas em uma situação de trabalho familiar. A regra é normalmente selecionada a partir de experiências anteriores e reflete as propriedades funcionais que restringem o comportamento do ambiente. O desempenho baseado em regras é baseado em know-how explícito no que diz respeito ao emprego das regras relevantes. O conjunto de dados de decisão consiste em referências para reconhecimento e identificação de estados, eventos ou situações.
3. Comportamento baseado em conhecimento é uma categoria de desempenho controlado por metas, na qual a meta é explicitamente formulada com base no conhecimento do ambiente e nos objetivos da pessoa. A estrutura interna do sistema é representada por um “modelo mental”. Esse tipo de comportamento permite o desenvolvimento e teste de diferentes planos sob condições de controle desconhecidas e, portanto, incertas, e é necessário quando habilidades ou regras não estão disponíveis ou são inadequadas, de modo que a solução de problemas e o planejamento devem ser chamados.

 

Na concepção e gestão de um SHA, devem-se considerar as características cognitivas dos trabalhadores de forma a assegurar a compatibilidade do funcionamento do sistema com o modelo interno do trabalhador que descreve as suas funções. Consequentemente, o nível de descrição do sistema deve ser deslocado dos aspectos baseados em habilidades para os aspectos baseados em regras e conhecimento do funcionamento humano, e métodos apropriados de análise de tarefas cognitivas devem ser usados ​​para identificar o modelo do operador de um sistema. Uma questão relacionada ao desenvolvimento de um HAS é o projeto de meios de transmissão de informações entre o operador humano e os componentes do sistema automatizado, tanto no nível físico quanto no cognitivo. Tal transferência de informação deve ser compatível com os modos de informação utilizados em diferentes níveis de operação do sistema – isto é, visual, verbal, tátil ou híbrido. Essa compatibilidade informacional garante que diferentes formas de transferência de informações exigirão uma incompatibilidade mínima entre o meio e a natureza da informação. Por exemplo, uma exibição visual é melhor para transmissão de informações espaciais, enquanto a entrada auditiva pode ser usada para transmitir informações textuais.

Muitas vezes, o operador humano desenvolve um modelo interno que descreve a operação e a função do sistema de acordo com sua experiência, treinamento e instruções em conexão com o tipo de interface homem-máquina fornecido. À luz desta realidade, os projetistas de um HAS devem tentar construir nas máquinas (ou outros sistemas artificiais) um modelo das características físicas e cognitivas do operador humano – ou seja, a imagem do sistema do operador (Hollnagel e Woods 1983). . Os projetistas de um HAS também devem levar em consideração o nível de abstração na descrição do sistema, bem como várias categorias relevantes do comportamento do operador humano. Esses níveis de abstração para modelar o funcionamento humano no ambiente de trabalho são os seguintes (Rasmussen 1983): (1) forma física (estrutura anatômica), (2) funções físicas (funções fisiológicas), (3) funções generalizadas (mecanismos psicológicos e funções cognitivas). e processos afetivos), (4) funções abstratas (processamento de informações) e (5) propósito funcional (estruturas de valor, mitos, religiões, interações humanas). Esses cinco níveis devem ser considerados simultaneamente pelos projetistas para garantir o desempenho efetivo do HAS.

Projeto de software do sistema

Como o software de computador é um componente primário de qualquer ambiente HAS, o desenvolvimento de software, incluindo design, teste, operação e modificação, e questões de confiabilidade de software também devem ser considerados nos estágios iniciais do desenvolvimento HAS. Por este meio, deve-se ser capaz de reduzir o custo de detecção e eliminação de erros de software. É difícil, no entanto, estimar a confiabilidade dos componentes humanos de um HAS, devido às limitações em nossa capacidade de modelar o desempenho de tarefas humanas, a carga de trabalho relacionada e os erros potenciais. A carga mental excessiva ou insuficiente pode levar à sobrecarga de informações e ao tédio, respectivamente, e pode resultar na degradação do desempenho humano, levando a erros e ao aumento da probabilidade de acidentes. Os projetistas de um HAS devem empregar interfaces adaptativas, que utilizam técnicas de inteligência artificial, para resolver esses problemas. Além da compatibilidade homem-máquina, a questão da adaptabilidade homem-máquina entre si deve ser considerada para reduzir os níveis de estresse que surgem quando as capacidades humanas podem ser excedidas.

Devido ao alto nível de complexidade de muitos sistemas automatizados híbridos, a identificação de quaisquer riscos potenciais relacionados ao hardware, software, procedimentos operacionais e interações homem-máquina desses sistemas torna-se fundamental para o sucesso dos esforços voltados para a redução de lesões e danos aos equipamentos . Os riscos de segurança e saúde associados a sistemas automatizados híbridos complexos, como a tecnologia de fabricação integrada por computador (CIM), são claramente um dos aspectos mais críticos do projeto e operação do sistema.

Problemas de segurança do sistema

Ambientes automatizados híbridos, com seu potencial significativo para comportamento errático do software de controle sob condições de perturbação do sistema, criam uma nova geração de riscos de acidentes. À medida que os sistemas automatizados híbridos se tornam mais versáteis e complexos, os distúrbios do sistema, incluindo problemas de inicialização e desligamento e desvios no controle do sistema, podem aumentar significativamente a possibilidade de sérios perigos para os operadores humanos. Ironicamente, em muitas situações anormais, os operadores geralmente confiam no bom funcionamento dos subsistemas de segurança automatizados, uma prática que pode aumentar o risco de ferimentos graves. Por exemplo, um estudo de acidentes relacionados a mau funcionamento de sistemas de controle técnico mostrou que cerca de um terço das sequências de acidentes incluíram intervenção humana no circuito de controle do sistema perturbado.

Como as medidas de segurança tradicionais não podem ser facilmente adaptadas às necessidades dos ambientes HAS, as estratégias de controle de lesões e prevenção de acidentes precisam ser reconsideradas em vista das características inerentes a esses sistemas. Por exemplo, na área de tecnologia de fabricação avançada, muitos processos são caracterizados pela existência de quantidades substanciais de fluxos de energia que não podem ser facilmente antecipados pelos operadores humanos. Além disso, os problemas de segurança geralmente surgem nas interfaces entre os subsistemas ou quando as perturbações do sistema progridem de um subsistema para outro. De acordo com a International Organization for Standardization (ISO 1991), os riscos associados aos perigos devidos à automação industrial variam com os tipos de máquinas industriais incorporadas ao sistema de fabricação específico e com as formas como o sistema é instalado, programado, operado, mantido e reparado. Por exemplo, uma comparação de acidentes relacionados a robôs na Suécia com outros tipos de acidentes mostrou que os robôs podem ser as máquinas industriais mais perigosas usadas na indústria de manufatura avançada. A taxa estimada de acidentes para robôs industriais foi de um acidente grave por 45 robôs-ano, uma taxa mais alta do que para prensas industriais, que foi relatada como um acidente por 50 máquinas-ano. Deve-se notar aqui que as prensas industriais nos Estados Unidos foram responsáveis ​​por cerca de 23% de todas as fatalidades relacionadas a máquinas de usinagem no período de 1980 a 1985, com as prensas mecânicas classificadas em primeiro lugar em relação ao produto de frequência de gravidade para lesões não fatais.

No domínio da tecnologia de fabricação avançada, existem muitas peças móveis que são perigosas para os trabalhadores, pois mudam de posição de maneira complexa fora do campo visual dos operadores humanos. Os rápidos desenvolvimentos tecnológicos na manufatura integrada por computador criaram uma necessidade crítica de estudar os efeitos da tecnologia de manufatura avançada sobre os trabalhadores. A fim de identificar os perigos causados ​​por vários componentes de tal ambiente HAS, os acidentes anteriores precisam ser cuidadosamente analisados. Infelizmente, acidentes envolvendo o uso de robôs são difíceis de isolar de relatórios de acidentes relacionados a máquinas operadas por humanos e, portanto, pode haver uma alta porcentagem de acidentes não registrados. As regras de saúde e segurança ocupacional do Japão afirmam que “os robôs industriais não possuem atualmente meios confiáveis ​​de segurança e os trabalhadores não podem ser protegidos deles, a menos que seu uso seja regulamentado”. Por exemplo, os resultados da pesquisa realizada pelo Ministério do Trabalho do Japão (Sugimoto 1987) de acidentes relacionados a robôs industriais nas 190 fábricas pesquisadas (com 4,341 robôs em funcionamento) mostraram que houve 300 distúrbios relacionados a robôs, dos quais 37 casos de atos inseguros resultaram em alguns quase-acidentes, 9 foram acidentes que produziram lesões e 2 foram acidentes fatais. Os resultados de outros estudos indicam que a automação baseada em computador não aumenta necessariamente o nível geral de segurança, pois o hardware do sistema não pode ser protegido contra falhas apenas por funções de segurança no software do computador, e os controladores do sistema nem sempre são altamente confiáveis. Além disso, em um HAS complexo, não se pode depender exclusivamente de dispositivos de detecção de segurança para detectar condições perigosas e adotar estratégias adequadas de prevenção de perigos.

Efeitos da Automação na Saúde Humana

Conforme discutido acima, as atividades do trabalhador em muitos ambientes HAS são basicamente aquelas de controle de supervisão, monitoramento, suporte e manutenção do sistema. Essas atividades também podem ser classificadas em quatro grupos básicos, como segue: (1) tarefas de programação, ou seja, codificação das informações que guiam e dirigem a operação do maquinário, (2) monitoramento da produção HAS e componentes de controle, (3) manutenção dos componentes HAS para evitar ou aliviar o mau funcionamento do maquinário e (4) executar uma variedade de tarefas de suporte, etc. Muitas revisões recentes do impacto do HAS no bem-estar do trabalhador concluíram que, embora a utilização de um HAS na área de fabricação possa eliminar tarefas pesadas e perigosas , trabalhar em ambiente de HAS pode ser insatisfatório e estressante para os trabalhadores. As fontes de estresse incluíam o monitoramento constante exigido em muitas aplicações HAS, o escopo limitado das atividades alocadas, o baixo nível de interação do trabalhador permitido pelo projeto do sistema e os riscos de segurança associados à natureza imprevisível e incontrolável do equipamento. Ainda que alguns trabalhadores envolvidos em atividades de programação e manutenção sintam os elementos de desafio, que podem ter efeitos positivos no seu bem-estar, estes efeitos são muitas vezes compensados ​​pela natureza complexa e exigente destas atividades, bem como pela pressão exercida pela administração para concluir essas atividades rapidamente.

Embora em alguns ambientes HAS os operadores humanos sejam afastados das fontes tradicionais de energia (fluxo de trabalho e movimentação da máquina) durante as condições normais de operação, muitas tarefas em sistemas automatizados ainda precisam ser realizadas em contato direto com outras fontes de energia. Uma vez que o número de diferentes componentes do HAS está aumentando continuamente, deve-se dar ênfase especial ao conforto e segurança dos trabalhadores e ao desenvolvimento de dispositivos eficazes de controle de lesões, especialmente em vista do fato de que os trabalhadores não são mais capazes de acompanhar as sofisticação e complexidade de tais sistemas.

A fim de atender às necessidades atuais de controle de lesões e segurança do trabalhador em sistemas de manufatura integrados por computador, o Comitê ISO de Sistemas de Automação Industrial propôs um novo padrão de segurança intitulado “Segurança de Sistemas Integrados de Manufatura” (1991). Esta nova norma internacional, que foi desenvolvida em reconhecimento aos perigos específicos que existem em sistemas integrados de fabricação que incorporam máquinas industriais e equipamentos associados, visa minimizar as possibilidades de ferimentos ao pessoal durante o trabalho ou adjacente a um sistema integrado de fabricação. As principais fontes de perigos potenciais para os operadores humanos em CIM identificados por esta norma são mostrados na figura 1.

Figura 1. Principal fonte de perigos na manufatura integrada por computador (CIM) (depois da ISO 1991)

Erros humanos e do sistema

Em geral, os perigos em um HAS podem surgir do próprio sistema, de sua associação com outros equipamentos presentes no ambiente físico ou de interações do pessoal humano com o sistema. Um acidente é apenas um dos vários resultados das interações homem-máquina que podem surgir em condições perigosas; quase acidentes e incidentes de danos são muito mais comuns (Zimolong e Duda 1992). A ocorrência de um erro pode levar a uma destas consequências: (1) o erro passa despercebido, (2) o sistema pode compensar o erro, (3) o erro leva a uma avaria da máquina e/ou paragem do sistema ou (4 ) o erro leva a um acidente.

Uma vez que nem todo erro humano que resulta em um incidente crítico causará um acidente real, é apropriado distinguir ainda mais entre as categorias de resultados da seguinte forma: (1) um incidente inseguro (ou seja, qualquer ocorrência não intencional, independentemente de resultar em ferimentos, danos ou perda), (2) um acidente (ou seja, um evento inseguro que resulta em lesão, dano ou perda), (3) um incidente de dano (ou seja, um evento inseguro que resulta apenas em algum tipo de dano material), (4) um quase acidente ou “quase acidente” (ou seja, um evento inseguro no qual ferimentos, danos ou perdas foram fortuitamente evitados por uma margem estreita) e (5) a existência de potencial acidente (ou seja, eventos inseguros que poderiam ter resultado em ferimentos, danos , ou perda, mas, devido às circunstâncias, não resultou nem mesmo em um quase acidente).

Pode-se distinguir três tipos básicos de erro humano em um HAS:

1. deslizes e lapsos baseados em habilidades
2. erros baseados em regras
3. erros baseados no conhecimento.

 

Esta taxonomia, desenvolvida por Reason (1990), é baseada em uma modificação da classificação habilidade-regra-conhecimento de Rasmussen do desempenho humano conforme descrito acima. No nível baseado em habilidades, o desempenho humano é governado por padrões armazenados de instruções pré-programadas representadas como estruturas analógicas em um domínio de espaço-tempo. O nível baseado em regras é aplicável ao tratamento de problemas familiares nos quais as soluções são regidas por regras armazenadas (chamadas “produções”, uma vez que são acessadas ou produzidas conforme a necessidade). Essas regras exigem que certos diagnósticos (ou julgamentos) sejam feitos, ou certas ações corretivas sejam tomadas, uma vez que surgiram certas condições que exigem uma resposta adequada. A este nível, os erros humanos estão normalmente associados à classificação errada de situações, levando à aplicação da regra errada ou à recordação incorreta de julgamentos ou procedimentos consequentes. Erros baseados em conhecimento ocorrem em situações novas para as quais as ações devem ser planejadas “on-line” (em um determinado momento), usando processos analíticos conscientes e conhecimento armazenado. Erros neste nível surgem de limitações de recursos e conhecimento incompleto ou incorreto.

Os sistemas genéricos de modelagem de erros (GEMS) propostos por Reason (1990), que tentam localizar as origens dos tipos básicos de erros humanos, podem ser usados ​​para derivar a taxonomia geral do comportamento humano em um HAS. O GEMS busca integrar duas áreas distintas de pesquisa de erros: (1) deslizes e lapsos, nos quais as ações se desviam da intenção atual devido a falhas de execução e/ou falhas de armazenamento e (2) erros, nos quais as ações podem ocorrer de acordo com o planejado, mas o plano é inadequado para alcançar o resultado desejado.

Avaliação e Prevenção de Riscos em CIM

De acordo com a ISO (1991), a avaliação de risco em CIM deve ser realizada de forma a minimizar todos os riscos e servir como base para determinar objetivos e medidas de segurança no desenvolvimento de programas ou planos, tanto para criar um ambiente de trabalho seguro quanto para garantir também a segurança e a saúde do pessoal. Por exemplo, os riscos de trabalho em ambientes HAS baseados em manufatura podem ser caracterizados da seguinte forma: (1) o operador humano pode precisar entrar na zona de perigo durante a recuperação de distúrbios, serviços e tarefas de manutenção, (2) a zona de perigo é difícil de determinar, perceber e controlar, (3) o trabalho pode ser monótono e (4) os acidentes que ocorrem em sistemas de manufatura integrados por computador são frequentemente graves. Cada perigo identificado deve ser avaliado quanto ao seu risco, e medidas de segurança apropriadas devem ser determinadas e implementadas para minimizar esse risco. Os perigos também devem ser verificados em relação a todos os seguintes aspectos de qualquer processo: a própria unidade; a interação entre unidades individuais; as seções operacionais do sistema; e a operação do sistema completo para todos os modos e condições operacionais pretendidos, incluindo condições sob as quais os meios normais de proteção são suspensos para operações como programação, verificação, solução de problemas, manutenção ou reparo.

A fase de projeto da estratégia de segurança ISO (1991) para CIM inclui:

• especificação dos limites dos parâmetros do sistema
• aplicação de uma estratégia de segurança
• identificação de perigos
• avaliação dos riscos associados
• remoção dos perigos ou diminuição dos riscos tanto quanto praticável.

 

A especificação de segurança do sistema deve incluir:

• uma descrição das funções do sistema
• um layout de sistema e/ou modelo
• os resultados de uma pesquisa realizada para investigar a interação de diferentes processos de trabalho e atividades manuais
• uma análise das sequências do processo, incluindo a interação manual
• uma descrição das interfaces com transportadores ou linhas de transporte
• fluxogramas de processo
• planos de fundação
• planos para dispositivos de abastecimento e eliminação
• determinação do espaço necessário para abastecimento e descarte de material
• registros de acidentes disponíveis.

 

De acordo com a ISO (1991), todos os requisitos necessários para garantir uma operação segura do sistema CIM precisam ser considerados no projeto de procedimentos sistemáticos de planejamento de segurança. Isso inclui todas as medidas de proteção para reduzir efetivamente os perigos e requer:

• integração da interface homem-máquina
• definição precoce da posição de quem trabalha no sistema (no tempo e no espaço)
• consideração precoce de formas de reduzir o trabalho isolado
• consideração dos aspectos ambientais.

 

O procedimento de planejamento de segurança deve abordar, entre outros, as seguintes questões de segurança do CIM:

• Seleção dos modos de operação do sistema. O equipamento de controle deve ter provisões para pelo menos os seguintes modos de operação: (1) modo normal ou de produção (isto é, com todas as proteções normais conectadas e operando), (2) operação com algumas das proteções normais suspensas e (3) operação em qual sistema ou inicialização manual remota de situações perigosas é evitada (por exemplo, no caso de operação local ou de isolamento de energia ou bloqueio mecânico de condições perigosas).
• Treinamento, instalação, comissionamento e testes funcionais. Quando for necessário que o pessoal esteja na zona de perigo, as seguintes medidas de segurança devem ser fornecidas no sistema de controle: (1) manter para funcionar, (2) dispositivo de habilitação, (3) velocidade reduzida, (4) potência reduzida e (5 ) parada de emergência móvel.
• Segurança na programação, manutenção e reparo do sistema. Durante a programação, apenas o programador deve ser permitido no espaço protegido. O sistema deve ter procedimentos de inspeção e manutenção para garantir a operação pretendida contínua do sistema. O programa de inspeção e manutenção deve levar em consideração as recomendações do fornecedor do sistema e dos fornecedores de vários elementos dos sistemas. Desnecessário mencionar que o pessoal que realiza manutenção ou reparos no sistema deve ser treinado nos procedimentos necessários para executar as tarefas exigidas.
• eliminação de falhas. Quando a eliminação da falha for necessária dentro do espaço protegido, ela deve ser realizada após a desconexão segura (ou, se possível, após o acionamento de um mecanismo de bloqueio). Medidas adicionais contra iniciação errônea de situações perigosas devem ser tomadas. Onde possam ocorrer perigos durante a eliminação de falhas em seções do sistema ou nas máquinas de sistemas ou máquinas adjacentes, estas também devem ser retiradas de operação e protegidas contra partidas inesperadas. Por meio de instruções e sinais de advertência, deve-se chamar a atenção para a eliminação de falhas em componentes do sistema que não podem ser observados completamente.

 

Controle de Perturbação do Sistema

Em muitas instalações HAS utilizadas na área de fabricação integrada por computador, normalmente são necessários operadores humanos para fins de controle, programação, manutenção, pré-configuração, manutenção ou tarefas de solução de problemas. Distúrbios no sistema levam a situações que obrigam a entrada de trabalhadores nas áreas perigosas. A este respeito, pode-se supor que as perturbações continuam sendo a razão mais importante para a interferência humana no CIM, porque os sistemas serão frequentemente programados de fora das áreas restritas. Uma das questões mais importantes para a segurança do CIM é evitar distúrbios, pois a maioria dos riscos ocorre na fase de solução de problemas do sistema. A prevenção de perturbações é o objetivo comum no que diz respeito à segurança e à relação custo-eficácia.

Uma perturbação em um sistema CIM é um estado ou função de um sistema que se desvia do estado planejado ou desejado. Além da produtividade, as perturbações durante a operação de um CIM afetam diretamente a segurança das pessoas envolvidas na operação do sistema. Um estudo finlandês (Kuivanen 1990) mostrou que cerca de metade das perturbações na manufatura automatizada diminuem a segurança dos trabalhadores. As principais causas de distúrbios foram erros no projeto do sistema (34%), falhas de componentes do sistema (31%), erro humano (20%) e fatores externos (15%). A maioria das falhas das máquinas foi causada pelo sistema de controle, sendo que, no sistema de controle, a maioria das falhas ocorreu nos sensores. Uma forma eficaz de aumentar o nível de segurança das instalações CIM é reduzir o número de perturbações. Embora as ações humanas em sistemas perturbados impeçam a ocorrência de acidentes no ambiente de HAS, também contribuem para que ocorram. Por exemplo, um estudo de acidentes relacionados a mau funcionamento de sistemas de controle técnico mostrou que cerca de um terço das sequências de acidentes incluíram intervenção humana no circuito de controle do sistema perturbado.

As principais questões de pesquisa na prevenção de perturbações CIM dizem respeito a (1) principais causas de perturbações, (2) componentes e funções não confiáveis, (3) o impacto das perturbações na segurança, (4) o impacto das perturbações na função do sistema, ( 5) danos materiais e (6) reparos. A segurança do HAS deve ser planejada no início do estágio de projeto do sistema, com a devida consideração de tecnologia, pessoas e organização, e ser parte integrante do processo geral de planejamento técnico do HAS.

HAS Design: Desafios Futuros

Para garantir o máximo benefício dos sistemas automatizados híbridos, conforme discutido acima, é necessária uma visão muito mais ampla do desenvolvimento do sistema, baseada na integração de pessoas, organização e tecnologia. Três tipos principais de integração do sistema devem ser aplicados aqui:

1. integração de pessoas, garantindo uma comunicação eficaz entre eles
2. integração humano-computador, projetando interfaces adequadas e interação entre pessoas e computadores
3. integração tecnológica, garantindo interfaces e interações eficazes entre as máquinas.

 

Os requisitos mínimos de projeto para sistemas automatizados híbridos devem incluir o seguinte: (1) flexibilidade, (2) adaptação dinâmica, (3) capacidade de resposta aprimorada e (4) a necessidade de motivar as pessoas e fazer melhor uso de suas habilidades, julgamento e experiência . O acima também exige que as estruturas organizacionais, práticas de trabalho e tecnologias do HAS sejam desenvolvidas para permitir que pessoas em todos os níveis do sistema adaptem suas estratégias de trabalho à variedade de situações de controle de sistemas. Portanto, as organizações, práticas de trabalho e tecnologias de HAS terão que ser projetadas e desenvolvidas como sistemas abertos (Kidd 1994).

Um sistema automatizado híbrido aberto (OHAS) é um sistema que recebe entradas e envia saídas para seu ambiente. A ideia de sistema aberto pode ser aplicada não apenas a arquiteturas de sistemas e estruturas organizacionais, mas também a práticas de trabalho, interfaces humano-computador e relacionamento entre pessoas e tecnologias: pode-se citar, por exemplo, sistemas de agendamento, sistemas de controle e Sistemas de Suporte à Decisão. Um sistema aberto também é adaptativo quando permite às pessoas um grande grau de liberdade para definir o modo de operação do sistema. Por exemplo, na área de manufatura avançada, os requisitos de um sistema automatizado híbrido aberto podem ser atendidos por meio do conceito de Manufatura Humana e Integrada por Computador (HCIM). Nessa visão, o design da tecnologia deve abordar a arquitetura geral do sistema HCIM, incluindo o seguinte: (1) considerações da rede de grupos, (2) a estrutura de cada grupo, (3) a interação entre os grupos, (4) a natureza do software de suporte e (5) comunicação técnica e necessidades de integração entre os módulos de software de suporte.

O sistema automatizado híbrido adaptativo, ao contrário do sistema fechado, não restringe o que os operadores humanos podem fazer. O papel do designer de um HAS é criar um sistema que satisfaça as preferências pessoais do usuário e permita que seus usuários trabalhem da maneira que acharem mais apropriada. Um pré-requisito para permitir a entrada do usuário é o desenvolvimento de uma metodologia de design adaptável, ou seja, um OHAS que permita a tecnologia assistida por computador para sua implementação no processo de design. A necessidade de desenvolver uma metodologia para design adaptativo é um dos requisitos imediatos para concretizar o conceito OHAS na prática. Um novo nível de tecnologia adaptativa de controle de supervisão humana também precisa ser desenvolvido. Essa tecnologia deve permitir que o operador humano “veja através” do sistema de controle invisível do funcionamento do HAS – por exemplo, pela aplicação de um sistema de vídeo interativo de alta velocidade em cada ponto de controle e operação do sistema. Finalmente, uma metodologia para o desenvolvimento de um suporte baseado em computador inteligente e altamente adaptável de papéis humanos e funcionamento humano nos sistemas automatizados híbridos também é muito necessária.

 

Voltar

É geralmente aceito que os sistemas de controle devem ser seguros durante o uso. Com isso em mente, a maioria dos sistemas de controle modernos são projetados conforme mostrado na figura 1.

Figura 1. Projeto geral de sistemas de controle

A maneira mais simples de tornar um sistema de controle seguro é construir uma parede impenetrável ao seu redor para impedir o acesso humano ou a interferência na zona de perigo. Tal sistema seria muito seguro, embora impraticável, pois seria impossível obter acesso para realizar a maioria dos trabalhos de teste, reparo e ajuste. Como o acesso a zonas de perigo deve ser permitido sob certas condições, outras medidas de proteção além de paredes, cercas e similares são necessárias para facilitar a produção, instalação, manutenção e manutenção.

 

Algumas dessas medidas de proteção podem ser parcial ou totalmente integradas aos sistemas de controle, como segue:

• O movimento pode ser interrompido imediatamente caso alguém entre na zona de perigo, por meio dos botões de parada de emergência (ES).
• Os controles de botão de pressão permitem o movimento somente quando o botão de pressão é ativado.
• Os controles de mão dupla (DHC) permitem o movimento apenas quando ambas as mãos estão engajadas em pressionar os dois elementos de controle (garantindo assim que as mãos sejam mantidas longe das zonas de perigo).

 

Esses tipos de medidas de proteção são ativados pelos operadores. No entanto, como os seres humanos geralmente representam um ponto fraco nos aplicativos, muitas funções, como as seguintes, são executadas automaticamente:

• Os movimentos dos braços do robô durante a manutenção ou “teach-in” são muito lentos. No entanto, a velocidade é continuamente monitorada. Se, devido a uma falha no sistema de controle, a velocidade dos braços robóticos automáticos aumentasse inesperadamente durante o período de manutenção ou de aprendizagem, o sistema de monitoramento seria ativado e interromperia imediatamente o movimento.
• Uma barreira de luz é fornecida para impedir o acesso a uma zona de perigo. Se o feixe de luz for interrompido, a máquina irá parar automaticamente.

 

O funcionamento normal dos sistemas de controle é a pré-condição mais importante para a produção. Se uma função de produção for interrompida devido a uma falha de controle, é no máximo inconveniente, mas não perigoso. Se uma função relevante para a segurança não for executada, pode resultar em perda de produção, danos ao equipamento, ferimentos ou até morte. Portanto, as funções do sistema de controle relevantes para a segurança devem ser mais confiáveis ​​e seguras do que as funções normais do sistema de controle. De acordo com a Diretiva do Conselho Europeu 89/392/EEC (Diretrizes de Máquinas), os sistemas de controle devem ser projetados e construídos de modo que sejam seguros e confiáveis.

Os controles consistem em vários componentes conectados entre si para executar uma ou mais funções. Os controles são subdivididos em canais. Um canal é a parte de um controle que executa uma função específica (por exemplo, partida, parada, parada de emergência). Fisicamente, o canal é criado por uma cadeia de componentes (transistores, diodos, relés, portas, etc.) através dos quais, de um componente para o próximo, as informações (principalmente elétricas) que representam essa função são transferidas da entrada para a saída.

Ao projetar canais de controle para funções relevantes para a segurança (aquelas funções que envolvem humanos), os seguintes requisitos devem ser atendidos:

• Os componentes usados ​​em canais de controle com funções relevantes para a segurança devem ser capazes de suportar os rigores do uso normal. Geralmente, devem ser suficientemente confiáveis.
• Erros na lógica não devem causar situações perigosas. Geralmente, o canal relevante para a segurança deve ser suficientemente à prova de falhas.
• Influências externas (fatores) não devem levar a falhas temporárias ou permanentes em canais relevantes para a segurança.

 

Confiabilidade

Confiabilidade é a capacidade de um canal de controle ou componente de executar uma função necessária sob condições especificadas por um determinado período de tempo sem falhar. (A probabilidade de componentes específicos ou canais de controle pode ser calculada usando métodos adequados.) A confiabilidade sempre deve ser especificada para um valor de tempo específico. Geralmente, a confiabilidade pode ser expressa pela fórmula na figura 2.

Figura 2. Fórmula de confiabilidade

Confiabilidade de sistemas complexos

Os sistemas são construídos a partir de componentes. Se as confiabilidades dos componentes forem conhecidas, a confiabilidade do sistema como um todo pode ser calculada. Nesses casos, aplica-se o seguinte:

Sistemas seriais

A confiabilidade total R_morto de um sistema serial composto por N componentes de mesma confiabilidade R_C é calculado como na figura 3.

Figura 3. Gráfico de confiabilidade de componentes conectados em série

A confiabilidade total é menor do que a confiabilidade do componente menos confiável. À medida que o número de componentes conectados em série aumenta, a confiabilidade total da cadeia cai significativamente.

Sistemas paralelos

A confiabilidade total R_morto de um sistema paralelo consistindo de N componentes da mesma confiabilidade R_C é calculado como na figura 4.

Figura 4. Gráfico de confiabilidade de componentes conectados em paralelo

A confiabilidade total pode ser melhorada significativamente através da conexão paralela de dois ou mais componentes.

A Figura 5 ilustra um exemplo prático. Observe que o circuito desligará o motor de forma mais confiável. Mesmo que o relé A ou B não abra seu contato, o motor ainda será desligado.

Figura 5. Exemplo prático da figura 4

Calcular a confiabilidade total de um canal é simples se todas as confiabilidades de componentes necessárias forem conhecidas e disponíveis. No caso de componentes complexos (circuitos integrados, microprocessadores, etc.) o cálculo da confiabilidade total é difícil ou impossível se as informações necessárias não forem publicadas pelo fabricante.

Segurança

Quando os profissionais falam sobre segurança e pedem máquinas seguras, eles querem dizer a segurança de toda a máquina ou sistema. Essa segurança é, no entanto, muito geral e não definida com precisão suficiente para o projetista de controles. A seguinte definição de segurança pode ser prático e utilizável para projetistas de circuitos de controle: Segurança é a capacidade de um sistema de controle de executar a função necessária dentro de limites prescritos, por um determinado período, mesmo quando ocorrer(em) falha(s) antecipada(s). Consequentemente, deve ser esclarecido durante o projeto o quão “seguro” o canal relacionado à segurança deve ser. (O projetista pode desenvolver um canal que seja seguro contra a primeira falha, contra qualquer falha, contra duas falhas, etc.) Além disso, um canal que executa uma função usada para prevenir acidentes pode ser essencialmente confiável, mas não tem para estar inevitavelmente seguro contra falhas. Isso pode ser melhor explicado pelos seguintes exemplos:

Exemplo 1

O exemplo ilustrado na figura 6 é um canal de controle relevante para a segurança que executa a função de segurança necessária. O primeiro componente pode ser um interruptor que monitora, por exemplo, a posição de uma porta de acesso a uma área perigosa. O último componente é um motor que aciona as partes mecânicas em movimento dentro da área de perigo.

Figura 6. Um canal de controle relevante para segurança executando a função de segurança necessária

A função de segurança necessária neste caso é dupla: Se a porta estiver fechada, o motor pode funcionar. Se a porta estiver aberta, o motor deve ser desligado. Conhecendo as confiabilidades R₁ para R₆, é possível calcular a confiabilidade R_pequeno. Os projetistas devem usar componentes confiáveis ​​para manter a confiabilidade suficientemente alta de todo o sistema de controle (ou seja, a probabilidade de que esta função ainda possa ser executada em, digamos, até 20 anos deve ser contabilizada no projeto). Como resultado, os projetistas devem cumprir duas tarefas: (1) o circuito deve desempenhar a função necessária e (2) a confiabilidade dos componentes e de todo o canal de controle deve ser adequada.

A seguinte pergunta agora deve ser feita: O canal acima mencionado executará as funções de segurança necessárias mesmo se ocorrer uma falha no sistema (por exemplo, se um contato de relé travar ou um componente apresentar mau funcionamento)? A resposta é não". A razão é que um único canal de controle consistindo apenas em componentes conectados em série e trabalhando com sinais estáticos não é seguro contra uma falha. O canal pode ter apenas uma certa confiabilidade, o que garante a probabilidade de que a função seja executada. Em tais situações, a segurança é sempre entendida como relacionado a falha.

Exemplo 2

Para que um canal de controle seja confiável e seguro, o projeto deve ser modificado conforme a figura 7. O exemplo ilustrado é um canal de controle relevante para a segurança que consiste em dois subcanais totalmente separados.

Figura 7. Um canal de controle relevante para segurança com dois subcanais totalmente separados

Este projeto é seguro contra a primeira falha (e possíveis falhas futuras no mesmo subcanal), mas não é seguro contra duas falhas que podem ocorrer em dois subcanais diferentes (simultaneamente ou em momentos diferentes) porque não há circuito de detecção de falha. Conseqüentemente, inicialmente ambos os subcanais funcionam com alta confiabilidade (ver sistema paralelo), mas após a primeira falha, apenas um subcanal funcionará e a confiabilidade diminui. Caso ocorra uma segunda falha no subcanal ainda funcionando, ambos terão falhado e a função de segurança não será mais executada.

Exemplo 3

O exemplo ilustrado na figura 8 é um canal de controle relevante para a segurança que consiste em dois subcanais totalmente separados que monitoram um ao outro.

Figura 8. Um canal de controle relevante para segurança com dois subcanais totalmente separados que monitoram um ao outro

Tal projeto é à prova de falhas porque, após qualquer falha, apenas um subcanal não funcionará, enquanto o outro subcanal permanece disponível e executará a função de segurança. Além disso, o projeto possui um circuito de detecção de falhas. Se, devido a uma falha, ambos os subcanais não funcionarem da mesma forma, esta condição será detectada pelo circuito “exclusivo ou”, resultando no desligamento automático da máquina. Esta é uma das melhores maneiras de projetar controles de máquinas - projetando subcanais relevantes para a segurança. Eles são seguros contra uma falha e, ao mesmo tempo, fornecem confiabilidade suficiente para que as chances de duas falhas ocorrerem simultaneamente sejam minúsculas.

Redundância

É evidente que existem vários métodos pelos quais um projetista pode melhorar a confiabilidade e/ou segurança (contra falhas). Os exemplos anteriores ilustram como uma função (isto é, porta fechada, motor pode funcionar; porta aberta, motor deve ser parado) pode ser realizada por várias soluções. Alguns métodos são muito simples (um subcanal) e outros mais complicados (dois subcanais com supervisão mútua). (Veja a figura 9.)

Figura 9. Confiabilidade de sistemas redundantes com ou sem detecção de falhas

Existe uma certa redundância nos circuitos e/ou componentes complexos em comparação com os simples. Redundância pode ser definido da seguinte forma: (1) Redundância é a presença de mais meios (componentes, canais, fatores de segurança maiores, testes adicionais e assim por diante) do que realmente é necessário para o simples cumprimento da função desejada; (2) a redundância obviamente não “melhora” a função, que é executada de qualquer maneira. A redundância apenas melhora a confiabilidade e/ou a segurança.

Alguns profissionais de segurança acreditam que a redundância é apenas a duplicação ou triplicação, e assim por diante, do sistema. Esta é uma interpretação muito limitada, pois a redundância pode ser interpretada de forma muito mais ampla e flexível. A redundância pode ser incluída não apenas no hardware; pode ser incluído no software também. A melhoria do fator de segurança (por exemplo, uma corda mais forte em vez de uma corda mais fraca) também pode ser considerada uma forma de redundância.

Entropia

Entropia, termo encontrado principalmente na termodinâmica e na astronomia, pode ser definido da seguinte forma: Tudo tende à decadência. Portanto, é absolutamente certo que todos os componentes, subsistemas ou sistemas, independentemente da tecnologia utilizada, falharão em algum momento. Isso significa que não existem sistemas, subsistemas ou componentes 100% confiáveis ​​e/ou seguros. Todos eles são apenas mais ou menos confiáveis ​​e seguros, dependendo da complexidade da estrutura. As falhas que inevitavelmente ocorrem mais cedo ou mais tarde demonstram a ação da entropia.

O único meio disponível para os projetistas combaterem a entropia é a redundância, que é obtida (a) introduzindo mais confiabilidade nos componentes e (b) fornecendo mais segurança em toda a arquitetura do circuito. Somente aumentando suficientemente a probabilidade de que a função necessária seja executada pelo período de tempo necessário, os projetistas podem, em algum grau, defender-se contra a entropia.

Avaliação de Risco

Quanto maior o risco potencial, maior a confiabilidade e/ou segurança (contra falhas) exigida (e vice-versa). Isso é ilustrado pelos dois casos a seguir:

Caso 1

O acesso à ferramenta de molde fixada em uma máquina de moldagem por injeção é protegido por uma porta. Se a porta estiver fechada, a máquina pode funcionar, e se a porta estiver aberta, todos os movimentos perigosos devem ser interrompidos. Em nenhuma circunstância (mesmo em caso de falha no canal de segurança) podem ocorrer quaisquer movimentos, especialmente aqueles que operam a ferramenta.

Caso 2

O acesso a uma linha de montagem controlada automaticamente que monta pequenos componentes de plástico sob pressão pneumática é protegido por uma porta. Se esta porta for aberta, a linha terá que ser parada.

No Caso 1, se o sistema de controle de supervisão da porta falhar, pode ocorrer uma lesão grave se a ferramenta for fechada inesperadamente. No Caso 2, apenas ferimentos leves ou danos insignificantes podem ocorrer se o sistema de controle de supervisão da porta falhar.

É óbvio que no primeiro caso deve ser introduzida muito mais redundância para atingir a confiabilidade e/ou segurança (contra falhas) necessária para proteger contra riscos extremamente altos. De fato, de acordo com a norma europeia EN 201, o sistema de controle de supervisão da porta da máquina de moldagem por injeção deve ter três canais; dois dos quais são elétricos e supervisionados mutuamente e um dos quais é equipado principalmente com circuitos hidráulicos e de teste. Todas essas três funções de supervisão estão relacionadas à mesma porta.

Por outro lado, em aplicações como a descrita no Caso 2, um único canal acionado por uma chave com ação positiva é adequado ao risco.

Categorias de controle

Como todas as considerações acima são geralmente baseadas na teoria da informação e, consequentemente, são válidas para todas as tecnologias, não importa se o sistema de controle é baseado em componentes eletrônicos, eletromecânicos, mecânicos, hidráulicos ou pneumáticos (ou uma mistura deles) , ou em alguma outra tecnologia. A inventividade do projetista, por um lado, e as questões econômicas, por outro, são os principais fatores que afetam um número quase infinito de soluções sobre como realizar canais relevantes para a segurança.

Para evitar confusão, é prático definir certos critérios de classificação. As estruturas de canal mais comuns usadas em controles de máquinas para executar funções relacionadas à segurança são categorizadas de acordo com:

• confiabilidade
• comportamento em caso de falha
• tempo de revelação de falha.

 

Suas combinações (nem todas as combinações possíveis são mostradas) são ilustradas na tabela 1.

Tabela 1. Algumas combinações possíveis de estruturas de circuito em controles de máquinas para funções relacionadas à segurança

 

A categoria aplicável para uma máquina específica e seu sistema de controle relacionado à segurança é especificada principalmente nas novas normas europeias (EN), a menos que a autoridade nacional, o usuário e o fabricante concordem mutuamente que outra categoria deve ser aplicada. O projetista então desenvolve um sistema de controle que atende aos requisitos. Por exemplo, as considerações que regem o projeto de um canal de controle podem incluir o seguinte:

• Os componentes devem suportar as influências esperadas. (SIM NÃO)
• Sua construção deve estar de acordo com os padrões mais modernos. (SIM NÃO)
• Componentes e métodos bem testados são usados. (SIM NÃO)
• Falha deve ser detectado. (SIM NÃO)
• A função de segurança será executada mesmo em caso de falha? (SIM NÃO)
• Quando a falha será detectada? (NUNCA, CEDO, IMEDIATAMENTE)

 

Este processo é reversível. Usando as mesmas perguntas, pode-se decidir a que categoria pertence um canal de controle existente e previamente desenvolvido.

Exemplos de categorias

Categoria B

Os componentes do canal de controle usados ​​principalmente em produtos de consumo devem suportar as influências esperadas e ser projetados de acordo com o estado da arte. Um switch bem projetado pode servir como exemplo.

Categoria 1

O uso de componentes e métodos bem testados é típico da Categoria 1. Um exemplo da Categoria 1 é uma chave com ação positiva (isto é, requer abertura forçada dos contatos). Esta chave é projetada com peças robustas e é acionada por forças relativamente altas, alcançando altíssima confiabilidade apenas na abertura dos contatos. Apesar dos contatos grudados ou mesmo soldados, esses interruptores abrirão. (Observação: Componentes como transistores e diodos não são considerados componentes bem testados.) A Figura 10 servirá como uma ilustração de um controle de Categoria 1.

Figura 10. Uma chave com ação positiva

Este canal usa o switch S com ação positiva. O contator K é supervisionado pela luz L. O operador é avisado que os contatos normalmente abertos (NA) permanecem por meio da luz indicadora L. O contator K possui contatos guiados forçados. (Nota: Os relés ou contatores com orientação forçada dos contatos possuem, em comparação com os relés ou contatores usuais, uma gaiola especial feita de material isolante de modo que, se os contatos normalmente fechados (NC) estiverem fechados, todos os contatos NA devem ser abertos e vice-versa versa. Isso significa que, pelo uso de contatos NC, pode ser feita uma verificação para determinar se os contatos de trabalho não estão grudados ou soldados.)

Categoria 2

A categoria 2 prevê a detecção automática de falhas. A detecção automática de falha deve ser gerada antes de cada movimento perigoso. Somente se o teste for positivo o movimento pode ser realizado; caso contrário, a máquina será parada. Sistemas automáticos de detecção de falhas são usados ​​para barreiras de luz para provar que elas ainda estão funcionando. O princípio é ilustrado na figura 1.

Figura 11. Circuito incluindo um detector de falha

Este sistema de controle é testado regularmente (ou ocasionalmente) injetando um impulso na entrada. Em um sistema funcionando corretamente, esse impulso será então transferido para a saída e comparado a um impulso de um gerador de teste. Quando ambos os impulsos estão presentes, o sistema obviamente funciona. Caso contrário, se não houver impulso de saída, o sistema falhou.

Categoria 3

O circuito foi descrito anteriormente no Exemplo 3 na seção Segurança deste artigo, figura 8.

O requisito - isto é, detecção automática de falha e a capacidade de executar a função de segurança mesmo que uma falha tenha ocorrido em qualquer lugar - pode ser atendido por estruturas de controle de dois canais e pela supervisão mútua dos dois canais.

Somente para controles de máquinas, as falhas perigosas devem ser investigadas. Deve-se notar que existem dois tipos de falha:

• Não perigoso as falhas são aquelas que, após sua ocorrência, provocam um “estado seguro” da máquina, proporcionando o desligamento do motor.
• Perigoso falhas são aquelas que, após sua ocorrência, causam um “estado inseguro” da máquina, pois o motor não pode ser desligado ou o motor começa a se mover inesperadamente.

Categoria 4

A categoria 4 normalmente fornece a aplicação de um sinal dinâmico e em constante mudança na entrada. A presença de um sinal dinâmico na saída significa corrida (“1”), e a ausência de um sinal dinâmico significa Pare (“0”).

Para tais circuitos, é típico que, após a falha de qualquer componente, o sinal dinâmico não esteja mais disponível na saída. (Observação: o potencial estático na saída é irrelevante.) Esses circuitos podem ser chamados de “à prova de falhas”. Todas as falhas serão divulgadas imediatamente, não após a primeira alteração (como nos circuitos de categoria 3).

Comentários adicionais sobre categorias de controle

A Tabela 1 foi desenvolvida para controles usuais de máquinas e mostra apenas as estruturas básicas do circuito; de acordo com a diretiva da máquina, deve ser calculado assumindo que apenas uma falha ocorrerá em um ciclo da máquina. É por isso que a função de segurança não precisa ser executada no caso de duas falhas coincidentes. Presume-se que uma falha será detectada dentro de um ciclo da máquina. A máquina será parada e depois reparada. O sistema de controle então inicia novamente, totalmente operável, sem falhas.

A primeira intenção do projetista deve ser não permitir falhas “permanentes”, que não seriam detectadas durante um ciclo, pois poderiam ser combinadas posteriormente com falha(s) recente(s) (acumulação de falha). Tais combinações (uma falha permanente e uma nova falha) podem causar um mau funcionamento até mesmo de circuitos de categoria 3.

Apesar dessas táticas, é possível que duas falhas independentes ocorram ao mesmo tempo dentro do mesmo ciclo da máquina. É muito improvável, especialmente se componentes altamente confiáveis ​​forem usados. Para aplicações de risco muito alto, três ou mais subcanais devem ser usados. Essa filosofia se baseia no fato de que o tempo médio entre falhas é muito maior que o ciclo da máquina.

Isso não significa, no entanto, que a tabela não possa ser expandida. A Tabela 1 é basicamente e estruturalmente muito semelhante à Tabela 2 usada na EN 954-1. No entanto, ele não tenta incluir muitos critérios de classificação. Os requisitos são definidos de acordo com as rigorosas leis da lógica, de modo que apenas respostas claras (SIM ou NÃO) podem ser esperadas. Isso permite uma avaliação, triagem e classificação mais exatas dos circuitos enviados (canais relacionados à segurança) e, por último, mas não menos importante, melhora significativa da reprodutibilidade da avaliação.

Seria ideal se os riscos pudessem ser classificados em vários níveis de risco e, então, um vínculo definitivo estabelecido entre níveis e categorias de risco, tudo isso independente da tecnologia em uso. No entanto, isso não é totalmente possível. Logo após a criação das categorias, ficou claro que, mesmo com a mesma tecnologia, várias questões não eram suficientemente respondidas. O que é melhor: um componente muito confiável e bem projetado da categoria 1 ou um sistema que atende aos requisitos da categoria 3 com baixa confiabilidade?

Para explicar esse dilema é preciso diferenciar duas qualidades: confiabilidade e segurança (contra falhas). Eles não são comparáveis, pois ambas as qualidades têm características diferentes:

• O componente com maior confiabilidade tem a desagradável característica de que em caso de falha (mesmo que altamente improvável) a função deixará de funcionar.
• Os sistemas da categoria 3, onde mesmo no caso de uma falha a função será executada, não são seguros contra duas falhas ao mesmo tempo (o que pode ser importante é se componentes suficientemente confiáveis ​​foram usados).

Considerando o exposto, pode ser que a melhor solução (do ponto de vista de alto risco) seja usar componentes altamente confiáveis ​​e configurá-los para que o circuito seja seguro contra pelo menos uma falha (de preferência mais). É claro que tal solução não é a mais econômica. Na prática, o processo de otimização é principalmente consequência de todas essas influências e considerações.

A experiência com o uso prático das categorias mostra que raramente é possível projetar um sistema de controle que possa utilizar apenas uma categoria. A combinação de duas ou até três partes, cada uma de uma categoria diferente, é típica, conforme ilustrado no exemplo a seguir:

Muitas barreiras de luz de segurança são projetadas na categoria 4, em que um canal funciona com um sinal dinâmico. No final deste sistema geralmente existem dois subcanais mutuamente supervisionados que trabalham com sinais estáticos. (Isto preenche os requisitos para a Categoria 3.)

De acordo com EN 50100, tais barreiras de luz são classificadas como Dispositivos de proteção eletrossensíveis tipo 4, embora sejam compostos por duas partes. Infelizmente, não há acordo sobre como denominar os sistemas de controle que consistem em duas ou mais partes, cada parte de outra categoria.

Sistemas Eletrônicos Programáveis ​​(PESs)

Os princípios usados ​​para criar a tabela 1 podem, com certas restrições, é claro, ser geralmente aplicados aos PESs também.

Sistema somente PES

Ao usar PESs para controle, a informação é transferida do sensor para o ativador através de um grande número de componentes. Além disso, ele ainda passa “através” do software. (Ver figura 12).

Figura 12. Um circuito de sistema PES

Embora os PESs modernos sejam muito confiáveis, a confiabilidade não é tão alta quanto pode ser necessária para o processamento de funções de segurança. Além disso, os sistemas PES usuais não são seguros o suficiente, pois não realizarão a função relacionada à segurança em caso de falha. Portanto, o uso de PESs para processamento de funções de segurança sem quaisquer medidas adicionais não é permitido.

Aplicações de risco muito baixo: Sistemas com um PES e medidas adicionais

Ao usar um único PES para controle, o sistema consiste nas seguintes partes principais:

Parte de entrada

A confiabilidade de um sensor e entrada de um PES pode ser melhorada dobrando-os. Essa configuração de entrada de sistema duplo pode ser supervisionada por software para verificar se ambos os subsistemas estão fornecendo as mesmas informações. Assim, as falhas na parte de entrada podem ser detectadas. Esta é quase a mesma filosofia exigida para a Categoria 3. No entanto, como a supervisão é feita por software e apenas uma vez, isso pode ser denominado como 3- (ou não tão confiável quanto 3).

Parte do meio

Embora esta parte não possa ser bem dobrada, ela pode ser testada. Ao ligar (ou durante a operação), uma verificação de todo o conjunto de instruções pode ser executada. Nos mesmos intervalos, a memória também pode ser verificada por padrões de bits adequados. Se essas verificações forem realizadas sem falhas, ambas as partes, CPU e memória, obviamente estão funcionando corretamente. A parte do meio tem algumas características típicas da categoria 4 (sinal dinâmico) e outras típicas da categoria 2 (testes realizados regularmente em intervalos adequados). O problema é que esses testes, apesar de sua extensão, não podem ser realmente completos, pois o sistema de um PES inerentemente não os permite.

Parte de saída

Semelhante a uma entrada, a saída (incluindo ativadores) também pode ser duplicada. Ambos os subsistemas podem ser supervisionados em relação ao mesmo resultado. Falhas serão detectadas e a função de segurança será executada. No entanto, existem os mesmos pontos fracos da parte de entrada. Consequentemente, a Categoria 3 é escolhida neste caso.

Na figura 13 a mesma função é trazida para os relés A e a B. Os contatos de controle a e a b, então informa a dois sistemas de entrada se ambos os relés estão fazendo o mesmo trabalho (a menos que tenha ocorrido uma falha em um dos canais). A supervisão é feita novamente por software.

Figura 13. Circuito PES com sistema de detecção de falhas

Todo o sistema pode ser descrito como Categoria 3-/4/2/3- se feito de forma adequada e extensiva. No entanto, os pontos fracos de tais sistemas descritos acima não podem ser totalmente eliminados. Na verdade, PESs melhorados são realmente usados ​​para funções relacionadas à segurança apenas onde os riscos são bastante baixos (Hölscher e Rader 1984).

Aplicativos de baixo e médio risco com um PES

Hoje quase todas as máquinas estão equipadas com uma unidade de controle PES. Para resolver o problema de confiabilidade insuficiente e segurança geralmente insuficiente contra falhas, os seguintes métodos de projeto são comumente usados:

• Em máquinas relativamente simples como elevadores, as funções são divididas em dois grupos: (1) as funções que não são relacionadas à segurança são processadas pelo PES; (2) as funções relacionadas à segurança são combinadas em uma cadeia (circuito de segurança) e processadas fora do PES (consulte a figura 14).

 

Figura 14. Estado da arte para categoria de parada 0

• O método dado acima não é adequado para máquinas mais complexas. Uma razão é que tais soluções geralmente não são seguras o suficiente. Para aplicações de risco médio, as soluções devem atender aos requisitos da categoria 3. As ideias gerais de como esses projetos podem parecer são apresentadas na figura 15 e na figura 16.

 

Figura 15. Estado da arte para categoria de parada 1

 

Figura 16. Estado da arte para categoria de parada 2

Aplicações de alto risco: sistemas com dois (ou mais) PESs

Além da complexidade e das despesas, não há outros fatores que impeçam os projetistas de usar sistemas PES totalmente duplicados, como Siemens Simatic S5-115F, 3B6 Typ CAR-MIL e assim por diante. Estes normalmente incluem dois PESs idênticos com software homogêneo e assumem o uso de PESs “bem testados” e compiladores “bem testados” (um PES ou compilador bem testado pode ser considerado aquele que em muitas aplicações práticas ao longo de 3 ou mais anos mostrou que as falhas sistemáticas foram obviamente eliminadas). Embora esses sistemas PES duplos não tenham os pontos fracos dos sistemas PES simples, isso não significa que os sistemas PES duplos resolvam todos os problemas. (Ver figura 17).

Figura 17. Sistema sofisticado com dois PESs

Falhas Sistemáticas

Falhas sistemáticas podem resultar de erros nas especificações, design e outras causas, e podem estar presentes tanto no hardware quanto no software. Os sistemas PES duplos são adequados para uso em aplicações relacionadas à segurança. Tais configurações permitem a detecção de falhas aleatórias de hardware. Por meio da diversidade de hardware, como o uso de dois tipos diferentes ou produtos de dois fabricantes diferentes, falhas sistemáticas de hardware podem ser divulgadas (é altamente improvável que uma falha sistemática de hardware idêntica ocorra em ambos os PES).

Software

O software é um novo elemento nas considerações de segurança. O software está correto ou incorreto (com relação a falhas). Uma vez correto, o software não pode se tornar instantaneamente incorreto (em comparação com o hardware). Os objetivos são erradicar todos os erros no software ou pelo menos identificá-los.

Existem várias maneiras de atingir esse objetivo. Um é o verificação do programa (uma segunda pessoa tenta descobrir os erros em um teste subsequente). Outra possibilidade é diversidade do software, em que dois programas diferentes, escritos por dois programadores, abordam o mesmo problema. Se os resultados forem idênticos (dentro de certos limites), pode-se presumir que ambas as seções do programa estão corretas. Se os resultados forem diferentes, presume-se que existam erros. (NB, O arquitetura do hardware naturalmente também deve ser considerado.)

Sumário

Ao usar PESs, geralmente as mesmas considerações básicas a seguir devem ser levadas em conta (conforme descrito nas seções anteriores).

• Um sistema de controle sem qualquer redundância pode ser alocado para a Categoria B. Um sistema de controle com medidas adicionais pode ser da Categoria 1 ou até superior, mas não superior a 2.
• Um sistema de controle de duas partes com comparação mútua de resultados pode ser alocado na categoria 3. Um sistema de controle de duas partes com comparação mútua de resultados e mais ou menos diversidade pode ser alocado na categoria 3 e é adequado para aplicações de alto risco.

Uma novidade é que para o sistema com PES, até o software deve ser avaliado do ponto de vista da correção. O software, se correto, é 100% confiável. Nesta fase do desenvolvimento tecnológico, provavelmente não serão utilizadas as melhores soluções técnicas possíveis e conhecidas, pois os fatores limitantes ainda são econômicos. Além disso, vários grupos de especialistas continuam a desenvolver os padrões para aplicações de segurança de PESs (por exemplo, EC, EWICS). Embora existam várias normas já disponíveis (VDE0801, IEC65A e outras), este assunto é tão amplo e complexo que nenhuma delas pode ser considerada definitiva.

 

Voltar

Sempre que equipamentos de produção simples e convencionais, como máquinas-ferramentas, são automatizados, o resultado são sistemas técnicos complexos, bem como novos perigos. Essa automação é obtida através do uso de sistemas de controle numérico computadorizado (CNC) em máquinas-ferramentas, chamados Máquinas-ferramentas CNC (por exemplo, fresadoras, centros de usinagem, brocas e retíficas). Para poder identificar os perigos potenciais inerentes às ferramentas automáticas, devem ser analisados ​​os vários modos de funcionamento de cada sistema. Análises realizadas anteriormente indicam que deve ser feita uma diferenciação entre dois tipos de operação: operação normal e operação especial.

Muitas vezes é impossível prescrever os requisitos de segurança para máquinas-ferramenta CNC na forma de medidas específicas. Isso pode ocorrer porque existem poucos regulamentos e padrões específicos para os equipamentos que fornecem soluções concretas. Os requisitos de segurança podem ser determinados apenas se os possíveis perigos forem identificados sistematicamente através da realização de uma análise de perigo, especialmente se esses complexos sistemas técnicos estiverem equipados com sistemas de controle livremente programáveis ​​(como em máquinas-ferramenta CNC).

No caso de máquinas-ferramenta CNC recém-desenvolvidas, o fabricante é obrigado a realizar uma análise de risco do equipamento para identificar quaisquer perigos que possam estar presentes e mostrar por meio de soluções construtivas que todos os perigos para as pessoas, em todos os diferentes modos de operação, são eliminados. Todos os perigos identificados devem ser submetidos a uma avaliação de risco em que cada risco de um evento depende do alcance do dano e da frequência com que pode ocorrer. O perigo a ser avaliado também recebe uma categoria de risco (minimizado, normal, aumentado). Sempre que o risco não puder ser aceito com base na avaliação de risco, soluções (medidas de segurança) devem ser encontradas. O objetivo dessas soluções é reduzir a frequência de ocorrência e o escopo dos danos de um incidente não planejado e potencialmente perigoso (um “evento”).

As abordagens para soluções para riscos normais e aumentados encontram-se na tecnologia de segurança indireta e direta; para riscos minimizados, eles podem ser encontrados em tecnologia de segurança de referência:

• Tecnologia de segurança direta. Cuidado é tomado na fase de projeto para eliminar quaisquer perigos (por exemplo, a eliminação de cisalhamento e pontos de aprisionamento).
• Tecnologia de segurança indireta. O perigo permanece. No entanto, a adição de disposições técnicas evita que o perigo se transforme em um evento (por exemplo, tais disposições podem incluir a prevenção do acesso a partes móveis perigosas por meio de capuzes de segurança física, o fornecimento de dispositivos de segurança que desligam a energia, protegendo contra peças usando proteções de segurança, etc.).
• Tecnologia de segurança de referência. Isso se aplica apenas a perigos residuais e riscos minimizados, ou seja, perigos que podem levar a um evento como resultado de fatores humanos. A ocorrência de tal evento pode ser evitada pelo comportamento adequado por parte da pessoa envolvida (por exemplo, instruções sobre comportamento nos manuais de operação e manutenção, treinamento de pessoal, etc.).

 

Requisitos Internacionais de Segurança

A diretiva de máquinas da CE (89/392/EEC) de 1989 estabelece os principais requisitos de segurança e saúde para máquinas. (De acordo com a Diretiva de Máquinas, uma máquina é considerada a soma total de peças ou dispositivos interligados, dos quais pelo menos um pode se mover e correspondentemente tem uma função.) Além disso, padrões individuais são criados por organismos internacionais de padronização para ilustrar possíveis soluções (por exemplo, atendendo a aspectos fundamentais de segurança ou examinando equipamentos elétricos instalados em máquinas industriais). O objetivo dessas normas é especificar os objetivos de proteção. Esses requisitos internacionais de segurança fornecem aos fabricantes a base legal necessária para especificar esses requisitos nas análises de perigo e avaliações de risco mencionadas acima.

Modos de operação

Ao usar máquinas-ferramentas, é feita uma diferenciação entre operação normal e operação especial. Estatísticas e investigações indicam que a maioria dos incidentes e acidentes não ocorre em operação normal (ou seja, durante o cumprimento automático da missão em questão). Com esses tipos de máquinas e instalações, há ênfase em modos especiais de operação, como comissionamento, configuração, programação, testes, verificações, solução de problemas ou manutenção. Nesses modos de operação, as pessoas geralmente estão em uma zona de perigo. O conceito de segurança deve proteger o pessoal de eventos prejudiciais nestes tipos de situações.

Operação normal

O seguinte se aplica a máquinas automáticas durante a operação normal: (1) a máquina cumpre a tarefa para a qual foi projetada e construída sem qualquer intervenção adicional do operador e (2) aplicada a uma máquina de torneamento simples, isso significa que um peça de trabalho é virada para a forma correta e cavacos são produzidos. Se a peça de trabalho for trocada manualmente, a troca da peça de trabalho é um modo especial de operação.

Modos especiais de operação

Modos especiais de operação são processos de trabalho que permitem a operação normal. Sob este título, por exemplo, incluiríamos trocas de peças ou ferramentas, retificação de uma falha em um processo de produção, retificação de uma falha de máquina, configuração, programação, testes, limpeza e manutenção. Em operação normal, os sistemas automáticos cumprem suas atribuições de forma independente. Do ponto de vista da segurança do trabalho, no entanto, a operação normal automática torna-se crítica quando o operador precisa intervir nos processos de trabalho. Sob nenhuma circunstância as pessoas que intervêm em tais processos podem ser expostas a perigos.

Pessoal

Deve-se levar em consideração as pessoas que trabalham nos vários modos de operação, bem como terceiros, ao proteger máquinas-ferramentas. Os terceiros também incluem aqueles indiretamente envolvidos com a máquina, como supervisores, inspetores, auxiliares de transporte de material e desmontagem, visitantes e outros.

Exigências e Medidas de Segurança para Acessórios de Máquinas

Intervenções para trabalhos em modos de operação especiais significam que acessórios especiais devem ser usados ​​para garantir que o trabalho possa ser conduzido com segurança. o primeiro tipo de acessórios incluem equipamentos e itens utilizados para intervir no processo automático sem que o operador tenha que acessar uma zona perigosa. Este tipo de acessório inclui (1) ganchos para cavacos e pinças que foram projetados para que os cavacos na área de usinagem possam ser removidos ou puxados através das aberturas fornecidas nas proteções de segurança e (2) dispositivos de fixação da peça com os quais o material de produção pode ser inserido manualmente ou removido de um ciclo automático

Vários modos especiais de operação - por exemplo, trabalho de reparação ou trabalho de manutenção - tornam necessária a intervenção de pessoal em um sistema. Também nestes casos existe toda uma gama de acessórios de máquinas concebidos para aumentar a segurança de trabalho - por exemplo, dispositivos para manusear rebolos pesados ​​quando estes são substituídos em rebarbadoras, bem como lingas de grua especiais para desmontar ou erguer componentes pesados ​​quando máquinas são revisadas. Esses dispositivos são os segundo tipo de acessório da máquina para aumentar a segurança durante o trabalho em operações especiais. Os sistemas de controle de operação especial também podem ser considerados como representando um segundo tipo de acessório da máquina. Atividades específicas podem ser realizadas com segurança com esses acessórios - por exemplo, um dispositivo pode ser configurado nos eixos da máquina quando movimentos de avanço são necessários com as proteções de segurança abertas.

Esses sistemas especiais de controle de operação devem atender a requisitos de segurança específicos. Por exemplo, eles devem garantir que apenas o movimento solicitado seja realizado da maneira solicitada e apenas pelo tempo solicitado. O sistema de controle de operação especial deve, portanto, ser projetado de forma a evitar que qualquer ação defeituosa se transforme em movimentos ou estados perigosos.

Os equipamentos que aumentam o grau de automatização de uma instalação podem ser considerados terceiro tipo de acessório da máquina para aumentar a segurança no trabalho. Ações que anteriormente eram executadas manualmente são feitas automaticamente pela máquina em operação normal, como equipamentos incluindo carregadores de portal, que mudam as peças de trabalho em máquinas-ferramentas automaticamente. A salvaguarda do funcionamento normal automático causa poucos problemas porque a intervenção de um operador no decorrer dos eventos é desnecessária e porque possíveis intervenções podem ser evitadas por dispositivos de segurança.

Requisitos e Medidas de Segurança para a Automação de Máquinas-Ferramenta

Infelizmente, a automação não levou à eliminação de acidentes nas fábricas de produção. As investigações simplesmente mostram uma mudança na ocorrência de acidentes de operação normal para especial, principalmente devido à automação da operação normal, de modo que as intervenções no curso da produção não sejam mais necessárias e, portanto, o pessoal não esteja mais exposto a perigos. Por outro lado, máquinas altamente automáticas são sistemas complexos e difíceis de avaliar quando ocorrem falhas. Mesmo os especialistas contratados para corrigir falhas nem sempre conseguem fazê-lo sem incorrer em acidentes. A quantidade de software necessária para operar máquinas cada vez mais complexas está crescendo em volume e complexidade, resultando em um número cada vez maior de engenheiros elétricos e de comissionamento sofrendo acidentes. Não existe software perfeito, e mudanças no software muitas vezes levam a mudanças em outros lugares que não eram esperadas nem desejadas. Para evitar que a segurança seja afetada, o comportamento defeituoso perigoso causado por influência externa e falhas de componentes não deve ser possível. Esta condição só pode ser cumprida se o circuito de segurança for projetado da forma mais simples possível e separado do restante dos controles. Os elementos ou subconjuntos utilizados no circuito de segurança também devem ser à prova de falhas.

É tarefa do projetista desenvolver projetos que satisfaçam os requisitos de segurança. O projetista não pode deixar de considerar com muito cuidado os procedimentos de trabalho necessários, incluindo os modos especiais de operação. Análises devem ser feitas para determinar quais procedimentos de trabalho seguro são necessários e o pessoal operacional deve se familiarizar com eles. Na maioria dos casos, será necessário um sistema de controle para operação especial. O sistema de controle geralmente observa ou regula um movimento, enquanto, ao mesmo tempo, nenhum outro movimento deve ser iniciado (já que nenhum outro movimento é necessário para este trabalho e, portanto, nenhum é esperado pelo operador). O sistema de controle não precisa necessariamente realizar as mesmas atribuições nos vários modos de operação especial.

Requisitos e Medidas de Segurança nos Modos de Operação Normal e Especial

Operação normal

A especificação de metas de segurança não deve impedir o progresso técnico porque soluções adaptadas podem ser selecionadas. O uso de máquinas-ferramenta CNC exige o máximo de análise de perigos, avaliação de riscos e conceitos de segurança. A seguir, descrevemos vários objetivos de segurança e possíveis soluções em mais detalhes.

meta de segurança

• O acesso manual ou físico a áreas perigosas durante movimentos automáticos deve ser evitado.

 

Soluções possíveis

• Impedir o acesso manual ou físico às zonas de perigo por meio de barreiras mecânicas.
• Disponibilize dispositivos de segurança que respondam à aproximação (barreiras de luz, tapetes de segurança) e desligue as máquinas com segurança durante intervenções ou entradas.
• Permitir acesso manual ou físico ao maquinário (ou suas proximidades) somente quando todo o sistema estiver em estado seguro (por exemplo, usando dispositivos de intertravamento com mecanismos de fechamento nas portas de acesso).

 

meta de segurança

• A possibilidade de qualquer pessoa ser ferida como resultado da liberação de energia (partes voadoras ou feixes de energia) deve ser eliminada.

 

Solução possível

• Evite a liberação de energia da zona de perigo - por exemplo, por um capuz de segurança dimensionado correspondentemente.

 

Operação especial

As interfaces entre operação normal e operação especial (por exemplo, dispositivos de intertravamento de portas, barreiras de luz, tapetes de segurança) são necessárias para permitir que o sistema de controle de segurança reconheça automaticamente a presença de pessoal. A seguir são descritos certos modos de operação especiais (por exemplo, configuração, programação) em máquinas-ferramenta CNC que requerem movimentos que devem ser avaliados diretamente no local de operação.

Metas de segurança

• Os deslocamentos devem ocorrer apenas de forma que não possam ser perigosos para as pessoas envolvidas. Tais movimentos devem ser executados apenas no estilo e velocidade programados e continuados apenas enquanto forem instruídos.
• Eles devem ser tentados apenas se puder ser garantido que nenhuma parte do corpo humano está na zona de perigo.

 

Solução possível

• Instale sistemas especiais de controle operacional que permitam apenas movimentos controláveis ​​e gerenciáveis ​​usando o controle na ponta dos dedos por meio de botões de pressão do tipo "reconhecimento". A velocidade dos movimentos é assim reduzida com segurança (desde que a energia tenha sido reduzida por meio de um transformador de isolamento ou equipamento de monitoramento similar).

 

Exigências sobre Sistemas de Controle de Segurança

Uma das características de um sistema de controle de segurança deve ser a garantia de funcionamento da função de segurança sempre que surgirem falhas, de modo a direcionar os processos de um estado perigoso para um estado seguro.

Metas de segurança

• Uma falha no sistema de controle de segurança não deve desencadear um estado perigoso.
• Uma falha no sistema de controle de segurança deve ser identificada (imediatamente ou em intervalos).

 

Soluções possíveis

• Implemente um layout redundante e diversificado de sistemas de controle eletromecânicos, incluindo circuitos de teste.
• Implemente uma configuração redundante e diversificada de sistemas de controle de microprocessadores desenvolvidos por diferentes equipes. Esta abordagem é considerada o estado da arte, por exemplo, no caso de barreiras de luz de segurança.

 

Conclusão

É evidente que a tendência crescente de acidentes nos modos de operação normal e especial não pode ser interrompida sem um conceito de segurança claro e inequívoco. Este fato deve ser levado em consideração na elaboração de normas e diretrizes de segurança. Novas diretrizes na forma de metas de segurança são necessárias para permitir soluções avançadas. Este objetivo permite que os projetistas escolham a solução ideal para um caso específico e, ao mesmo tempo, demonstrem os recursos de segurança de suas máquinas de maneira bastante simples, descrevendo uma solução para cada objetivo de segurança. Essa solução pode então ser comparada com outras soluções existentes e aceitas e, se for melhor ou pelo menos de igual valor, uma nova solução pode ser escolhida. Desta forma, o progresso não é prejudicado por regulamentos formulados de forma restrita.

---

Principais Características da Diretiva de Máquinas da EEC

A Diretiva do Conselho de 14 de junho de 1989 sobre a aproximação das legislações dos Estados Membros relativas a máquinas (89/392/EEC) aplica-se a cada estado individualmente.

• Cada estado individual deve integrar a diretiva em sua legislação.

• Válido a partir de 1 de janeiro de 1993.

• Exige que todos os fabricantes adiram ao estado da arte.

• O fabricante deve elaborar um arquivo técnico de construção que contenha informações completas sobre todos os aspectos fundamentais de segurança e saúde.

• O fabricante deve emitir a declaração de conformidade e a marcação CE das máquinas.

• A não colocação de documentação técnica completa à disposição de um centro de supervisão estadual é considerada como descumprimento das diretrizes da máquina. Uma proibição de vendas pan-EEC pode ser a consequência.

 

Metas de segurança para a construção e uso de máquinas-ferramenta CNC

1. Tornos

1.1 Modo normal de operação

1.1.1 A área de trabalho deve ser protegida de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

1.1.2 O depósito de ferramentas deve ser protegido de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

1.1.3 O depósito de peças de trabalho deve ser protegido de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

1.1.4 A remoção de cavacos não deve resultar em ferimentos pessoais devido aos cavacos ou partes móveis da máquina.

1.1.5 Devem ser evitadas lesões corporais resultantes do acesso aos sistemas de acionamento.

1.1.6 A possibilidade de alcançar as zonas de perigo dos transportadores de cavacos em movimento deve ser evitada.

1.1.7 Nenhum dano pessoal aos operadores ou terceiros deve resultar de peças de trabalho lançadas ou partes delas.

Por exemplo, isso pode ocorrer

• devido a aperto insuficiente

• devido a força de corte inadmissível

• devido a velocidade de rotação inadmissível

• devido a colisão com a ferramenta ou peças da máquina

• devido à quebra da peça de trabalho

• devido a dispositivos de fixação defeituosos

• devido a falha de energia

 

1.1.8 Nenhuma lesão pessoal deve resultar de acessórios de fixação de peças de trabalho voando.

1.1.9 Nenhuma lesão pessoal deve resultar de fichas lançadas.

1.1.10 Nenhuma lesão pessoal deve resultar de ferramentas voadoras ou partes delas.

Por exemplo, isso pode ocorrer

• devido a defeitos materiais

• devido a força de corte inadmissível

• devido a uma colisão com a peça de trabalho ou uma peça da máquina

• devido a fixação ou aperto inadequados

 

1.2 Modos especiais de operação

1.2.1 Troca da peça de trabalho.

1.2.1.1 A fixação da peça de trabalho deve ser feita de forma que nenhuma parte do corpo fique presa entre os dispositivos de fixação de fechamento e a peça de trabalho ou entre a ponta da luva de avanço e a peça de trabalho.

1.2.1.2 A partida de um acionamento (fusos, eixos, mangas, cabeçotes de revólver ou transportadores de cavacos) como consequência de um comando defeituoso ou comando inválido deve ser evitada.

1.2.1.3 Deve ser possível manipular a peça manualmente ou com ferramentas sem perigo.

1.2.2 Troca de ferramenta no porta-ferramentas ou no cabeçote do revólver.

1.2.2.1 O perigo resultante do comportamento defeituoso do sistema ou devido à entrada de um comando inválido deve ser evitado.

1.2.3 Troca de ferramentas no magazine de ferramentas.

1.2.3.1 Movimentos no magazine de ferramentas resultantes de um comando defeituoso ou inválido devem ser evitados durante a troca de ferramenta.

1.2.3.2 Não deve ser possível alcançar outras partes móveis da máquina a partir da estação de carregamento de ferramentas.

1.2.3.3 Não deve ser possível alcançar as zonas de perigo durante o movimento do magazine de ferramentas ou durante a busca. Se ocorrer com as proteções para o modo de operação normal removidas, esses movimentos só podem ser do tipo designado e somente ser executados durante o período de tempo solicitado e somente quando puder ser assegurado que nenhuma parte do corpo esteja nessas zonas de perigo .

1.2.4 Verificação de medição.

1.2.4.1 O acesso à área de trabalho só deve ser possível após a paralisação de todos os movimentos.

1.2.4.2 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

1.2.5 Configuração.

1.2.5.1 Se os movimentos forem executados durante a configuração com as proteções para o modo normal de operação removidos, o operador deve ser protegido por outro meio.

1.2.5.2 Nenhum movimento perigoso ou mudança de movimento deve ser iniciado como resultado de um comando defeituoso ou entrada de comando inválido.

1.2.6 Programação.

1.2.6.1 Nenhum movimento pode ser iniciado durante a programação que coloque em risco uma pessoa na área de trabalho.

1.2.7 Falha de produção.

1.2.7.1 A partida de um drive resultante de um comando defeituoso em setpoint de entrada de comando inválido deve ser evitada.

1.2.7.2 Nenhum movimento ou situação perigosa deve ser iniciado pelo movimento ou remoção da peça de trabalho ou resíduos.

1.2.7.3 Quando os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só podem ser do tipo designado e executados apenas pelo período de tempo ordenado e somente quando puder ser assegurado que nenhuma parte do corpo estão nessas zonas de perigo.

1.2.8 Resolução de problemas.

1.2.8.1 O acesso às zonas de perigo dos movimentos automáticos deve ser evitado.

1.2.8.2 A partida de um acionamento como resultado de um comando defeituoso ou entrada de comando inválido deve ser evitada.

1.2.8.3 Um movimento da máquina na manipulação da peça defeituosa deve ser evitado.

1.2.8.4 Devem ser evitadas lesões corporais resultantes da quebra ou queda de uma peça da máquina.

1.2.8.5 Se, durante a resolução de problemas, os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só poderão ser do tipo designado e executados apenas pelo período de tempo solicitado e somente quando puder ser assegurado que nenhuma parte do corpo está nessas zonas de perigo.

1.2.9 Mau funcionamento e reparo da máquina.

1.2.9.1 A partida da máquina deve ser impedida.

1.2.9.2 A manipulação das diferentes partes da máquina deve ser possível manualmente ou com ferramentas sem qualquer perigo.

1.2.9.3 Não deve ser possível tocar nas partes energizadas da máquina.

1.2.9.4 Danos pessoais não devem resultar da emissão de meios fluidos ou gasosos.

 

2. Fresadoras

2.1 Modo normal de operação

2.1.1 A área de trabalho deve ser protegida de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

2.1.2 A remoção de cavacos não deve resultar em ferimentos pessoais devido aos cavacos ou partes móveis da máquina.

2.1.3 Devem ser evitadas lesões corporais resultantes do acesso aos sistemas de acionamento.

Nenhum dano pessoal aos operadores ou terceiros deve resultar de peças de trabalho lançadas ou partes delas.

Por exemplo, isso pode ocorrer

• devido a aperto insuficiente

• devido a força de corte inadmissível

• devido a colisão com a ferramenta ou peças da máquina

• devido à quebra da peça de trabalho

• devido a dispositivos de fixação defeituosos

• devido a falha de energia

 

2.1.4 Nenhuma lesão pessoal deve resultar de dispositivos de fixação de peças de trabalho voando.

2.1.5 Nenhuma lesão pessoal deve resultar de fichas lançadas.

2.1.6 Nenhuma lesão pessoal deve resultar de ferramentas voadoras ou partes delas.

Por exemplo, isso pode ocorrer

• devido a defeitos materiais

• devido a velocidade de rotação inadmissível

• devido a força de corte inadmissível

• devido a colisão com a peça de trabalho ou parte da máquina

• devido a fixação ou aperto inadequados

• devido a falha de energia

 

Modos especiais de operação

2.2.1 Troca da peça de trabalho.

2.2.1.1 Quando forem usados ​​dispositivos de fixação acionados por força, não deve ser possível que partes do corpo fiquem presas entre as partes de fechamento do dispositivo de fixação e a peça de trabalho.

2.2.1.2 A partida de um acionamento (fuso, eixo) resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

2.2.1.3 A manipulação da peça de trabalho deve ser possível manualmente ou com ferramentas sem qualquer perigo.

2.2.2 Troca de ferramentas.

2.2.2.1 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

2.2.2.2 Não deve ser possível que os dedos fiquem presos ao colocar as ferramentas.

2.2.3 Verificação de medição.

2.2.3.1 O acesso à área de trabalho só deve ser possível após a paralisação de todos os movimentos.

2.2.3.2 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

2.2.4 Configuração.

2.2.4.1 Se os movimentos forem executados durante a configuração com as proteções para o modo normal de operação removidas, o operador deve ser protegido por outro meio.

2.2.4.2 Nenhum movimento perigoso ou mudança de movimento deve ser iniciado como resultado de um comando defeituoso ou entrada de comando inválido.

2.2.5 Programação.

2.2.5.1 Nenhum movimento deve ser iniciado durante a programação que ponha em risco uma pessoa na área de trabalho.

2.2.6 Falha de produção.

2.2.6.1 A partida do acionamento resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

2.2.6.2 Nenhum movimento ou situação perigosa deve ser iniciado pela movimentação ou remoção da peça ou resíduo.

2.2.6.3 Quando os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só podem ser do tipo designado e executados apenas pelo período de tempo ordenado e somente quando puder ser assegurado que nenhuma parte do corpo estão nessas zonas de perigo.

2.2.7 Resolução de problemas.

2.2.7.1 O acesso às zonas de perigo dos movimentos automáticos deve ser evitado.

2.2.7.2 A partida de um acionamento como resultado de um comando defeituoso ou entrada de comando inválido deve ser evitada.

2.2.7.3 Qualquer movimento da máquina durante a manipulação da peça defeituosa deve ser evitado.

2.2.7.4 Devem ser evitadas lesões corporais resultantes da quebra ou queda de uma peça da máquina.

2.2.7.5 Se, durante a resolução de problemas, os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só poderão ser do tipo designado e executados apenas pelo período de tempo solicitado e somente quando puder ser assegurado que nenhuma parte do corpo está nessas zonas de perigo.

2.2.8 Mau funcionamento e reparo da máquina.

2.2.8.1 A partida da máquina deve ser evitada.

2.2.8.2 A manipulação das diferentes partes da máquina deve ser possível manualmente ou com ferramentas sem nenhum perigo.

2.2.8.3 Não deve ser possível tocar nas partes energizadas da máquina.

2.2.8.4 Danos pessoais não devem resultar da emissão de meios fluidos ou gasosos.

 

3. Centros de usinagem

3.1 Modo normal de operação

3.1.1 A área de trabalho deve ser protegida de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

3.1.2 O depósito de ferramentas deve ser protegido de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos.

3.1.3 O depósito de peças deve ser protegido de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos.

3.1.4 A remoção de cavacos não deve resultar em ferimentos pessoais devido aos cavacos ou partes móveis da máquina.

3.1.5 Devem ser evitadas lesões corporais resultantes do acesso aos sistemas de acionamento.

3.1.6 Deve ser evitada a possibilidade de atingir zonas de perigo de transportadores de cavacos em movimento (transportadores helicoidais, etc.).

3.1.7 Nenhum dano pessoal aos operadores ou terceiros deve resultar de peças de trabalho lançadas ou partes delas.

Por exemplo, isso pode ocorrer

• devido a aperto insuficiente

• devido a força de corte inadmissível

• devido a colisão com a ferramenta ou peças da máquina

• devido à quebra da peça de trabalho

• devido a dispositivos de fixação defeituosos

• devido à mudança para a peça de trabalho errada

• devido a falha de energia

 

3.1.8 Nenhuma lesão pessoal deve resultar de dispositivos de fixação de peças de trabalho voando.

3.1.9 Nenhuma lesão pessoal deve resultar de fichas lançadas.

3.1.10 Nenhuma lesão pessoal deve resultar de ferramentas voadoras ou partes delas.

Por exemplo, isso pode ocorrer

• devido a defeitos materiais

• devido a velocidade de rotação inadmissível

• devido a força de corte inadmissível

• devido a colisão com a peça de trabalho ou parte da máquina

• devido a fixação ou aperto inadequados

• devido à ferramenta sair voando do trocador de ferramentas

• devido à seleção da ferramenta errada

• devido a falha de energia

 

3.2 Modos especiais de operação

3.2.1 Troca da peça de trabalho.

3.2.1.1 Quando forem usados ​​dispositivos de fixação acionados por força, não deve ser possível que partes do corpo fiquem presas entre as partes de fechamento do dispositivo de fixação e a peça de trabalho.

3.2.1.2 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

3.2.1.3 Deve ser possível manipular a peça manualmente ou com ferramentas sem nenhum perigo.

3.2.1.4 Quando as peças são trocadas em uma estação de fixação, não deve ser possível a partir deste local alcançar ou entrar nas sequências de movimento automático da máquina ou do magazine de peças. Nenhum movimento deve ser iniciado pelo controle enquanto uma pessoa estiver presente na zona de fixação. A inserção automática da peça de trabalho fixada na máquina ou no magazine de peças de trabalho só deve ocorrer quando a estação de fixação também estiver protegida com um sistema de proteção correspondente ao modo de operação normal.

3.2.2 Troca de ferramenta no fuso.

3.2.2.1 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

3.2.2.2 Não deve ser possível que os dedos fiquem presos ao colocar as ferramentas.

3.2.3 Troca de ferramentas no magazine de ferramentas.

3.2.3.1 Movimentos no magazine de ferramentas resultantes de comandos defeituosos ou entradas de comandos inválidos devem ser evitados durante a troca de ferramenta.

3.2.3.2 Não deve ser possível alcançar outras partes móveis da máquina a partir da estação de carregamento de ferramentas.

3.2.3.3 Não deve ser possível alcançar as zonas de perigo durante o movimento do magazine de ferramentas ou durante a busca. Se ocorrerem com as proteções para o modo normal de operação removidas, esses movimentos só podem ser do tipo designado e executados apenas pelo período de tempo ordenado e somente quando for possível garantir que nenhuma parte do corpo esteja nessas zonas de perigo .

3.2.4 Verificação de medição.

3.2.4.1 O acesso à área de trabalho só deve ser possível após a paralisação de todos os movimentos.

3.2.4.2 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

3.2.5 Configuração.

3.2.5.1 Se os movimentos forem executados durante a configuração com as proteções para o modo normal de operação removidos, o operador deve ser protegido por outro meio.

3.2.5.2 Nenhum movimento perigoso ou mudança de movimento deve ser iniciado como resultado de um comando defeituoso ou entrada de comando inválido.

3.2.6 Programação.

3.2.6.1 Nenhum movimento deve ser iniciado durante a programação que ponha em risco uma pessoa na área de trabalho.

3.2.7 Falha de produção.

3.2.7.1 A partida de um drive resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

3.2.7.2 Nenhum movimento ou situação perigosa deve ser iniciado pela movimentação ou remoção da peça ou resíduo.

3.2.7.3 Quando os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só podem ser do tipo designado e executados apenas pelo período de tempo ordenado e somente quando puder ser assegurado que nenhuma parte do corpo estão nessas zonas de perigo.

3.2.8 Resolução de problemas.

3.2.8.1 O acesso às zonas de perigo dos movimentos automáticos deve ser evitado.

3.2.8.2 A partida de um acionamento como resultado de um comando defeituoso ou entrada de comando inválido deve ser evitada.

3.2.8.3 Qualquer movimento da máquina durante a manipulação da peça defeituosa deve ser evitado.

3.2.8.4 Devem ser evitadas lesões corporais resultantes da quebra ou queda de uma peça da máquina.

3.2.8.5 Se, durante a resolução de problemas, os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só poderão ser do tipo designado e executados apenas pelo período de tempo solicitado e somente quando puder ser assegurado que nenhuma parte do corpo está nessas zonas de perigo.

3.2.9 Mau funcionamento e reparo da máquina.

3.2.9.1 A partida da máquina deve ser evitada.

3.2.9.2 A manipulação das diferentes partes da máquina deve ser possível manualmente ou com ferramentas sem nenhum perigo.

3.2.9.3 Não deve ser possível tocar nas partes energizadas da máquina.

3.2.9.4 Danos pessoais não devem resultar da emissão de meios fluidos ou gasosos.

 

4. Retificadoras

4.1 Modo normal de operação

4.1.1 A área de trabalho deve ser protegida de forma que seja impossível alcançar ou entrar nas zonas de perigo de movimentos automáticos, intencionalmente ou não.

4.1.2 Devem ser evitadas lesões corporais resultantes do acesso aos sistemas de acionamento.

4.1.3 Nenhum dano pessoal aos operadores ou terceiros deve resultar de peças de trabalho lançadas ou partes delas.

Por exemplo, isso pode ocorrer

• devido a aperto insuficiente

• devido a força de corte inadmissível

• devido a velocidade de rotação inadmissível

• devido a colisão com a ferramenta ou peças da máquina

• devido à quebra da peça de trabalho

• devido a dispositivos de fixação defeituosos

• devido a falha de energia

 

4.1.4 Nenhuma lesão pessoal deve resultar de dispositivos de fixação de peças de trabalho voando.

4.1.5 Nenhuma lesão pessoal ou incêndio deve resultar de faíscas.

4.1.6 Nenhuma lesão pessoal deve resultar de peças voadoras de rebolos.

Por exemplo, isso pode ocorrer

• devido a velocidade de rotação inadmissível

• devido a força de corte inadmissível

• devido a defeitos materiais

• devido a colisão com a peça de trabalho ou parte da máquina

• devido a fixação inadequada (flanges)

• devido ao uso de rebolo incorreto

 

Modos especiais de operação

4.2.1 Troca da peça de trabalho.

4.2.1.1 Quando forem usados ​​dispositivos de fixação acionados por força, não deve ser possível que partes do corpo fiquem presas entre as partes de fechamento do dispositivo de fixação e a peça de trabalho.

4.2.1.2 A partida de um acionamento de alimentação resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

4.2.1.3 Lesões pessoais causadas pelo rebolo em rotação devem ser evitadas ao manipular a peça de trabalho.

4.2.1.4 Lesões pessoais resultantes da explosão de um rebolo não devem ser possíveis.

4.2.1.5 A manipulação da peça de trabalho deve ser possível manualmente ou com ferramentas sem qualquer perigo.

4.2.2 Troca de ferramenta (troca do rebolo)

4.2.2.1 A partida de uma unidade de alimentação resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

4.2.2.2 Lesões pessoais causadas pelo rebolo em rotação não devem ser possíveis durante os procedimentos de medição.

4.2.2.3 Lesões pessoais resultantes da explosão de um rebolo não devem ser possíveis.

4.2.3 Verificação de medição.

4.2.3.1 A partida de um acionamento de alimentação resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

4.2.3.2 Lesões pessoais causadas pelo rebolo em rotação não devem ser possíveis durante os procedimentos de medição.

4.2.3.3 Lesões pessoais resultantes da explosão de um rebolo não devem ser possíveis.

4.2.4. Configurar.

4.2.4.1 Se os movimentos forem executados durante a configuração com as proteções para o modo normal de operação removidos, o operador deve ser protegido por outro meio.

4.2.4.2 Nenhum movimento perigoso ou mudança de movimento deve ser iniciado como resultado de um comando defeituoso ou entrada de comando inválido.

4.2.5 Programação.

4.2.5.1 Nenhum movimento deve ser iniciado durante a programação que ponha em risco uma pessoa na área de trabalho.

4.2.6 Falha de produção.

4.2.6.1 A partida de um acionamento de alimentação resultante de um comando defeituoso ou entrada de comando inválido deve ser evitada.

4.2.6.2 Nenhum movimento ou situação perigosa deve ser iniciado pela movimentação ou remoção da peça ou resíduo.

4.2.6.3 Quando os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só podem ser do tipo designado e executados apenas pelo período de tempo ordenado e somente quando puder ser assegurado que nenhuma parte do corpo estão nessas zonas de perigo.

4.2.6.4 Lesões pessoais causadas pelo rebolo em rotação devem ser evitadas.

4.2.6.5 Lesões pessoais resultantes da explosão de um rebolo não devem ser possíveis.

4.2.7 Resolução de problemas.

4.2.7.1 O acesso às zonas de perigo dos movimentos automáticos deve ser evitado.

4.2.7.2 A partida de um acionamento como resultado de um comando defeituoso ou entrada de comando inválido deve ser evitada.

4.2.7.3 Qualquer movimento da máquina durante a manipulação da peça defeituosa deve ser evitado.

4.2.7.4 Devem ser evitadas lesões corporais resultantes da quebra ou queda de uma peça da máquina.

4.2.7.5 Lesões pessoais causadas pelo contato do operador ou pelo estouro do rebolo em rotação devem ser evitadas.

4.2.7.6 Se, durante a resolução de problemas, os movimentos tiverem que ocorrer com as proteções para o modo normal de operação removidos, esses movimentos só poderão ser do tipo designado e executados apenas pelo período de tempo solicitado e somente quando puder ser assegurado que nenhuma parte do corpo está nessas zonas de perigo.

4.2.8 Mau funcionamento e reparo da máquina.

4.2.8.1 A partida da máquina deve ser evitada.

4.2.8.2 A manipulação das diferentes partes da máquina deve ser possível manualmente ou com ferramentas sem nenhum perigo.

4.2.8.3 Não deve ser possível tocar nas partes energizadas da máquina.

4.2.8.4 Danos pessoais não devem resultar da emissão de meios fluidos ou gasosos.

 

Voltar