A emergência que o CLP não segura

O jeito mais barato de pôr emergência numa máquina com CLP: o botão cogumelo (NF, com trava) numa entrada, e mais um contato em série na linha do motor.

──┤ ├ S2 I0.0 ──┤ ├ S0 I0.1 ──┬──┤ ├ S1 I0.2 ──┬──( ) K1 Q0.0
   emergência      desliga    └──┤ ├ K1 Q0.0 ──┘

Na bancada funciona: aperta a emergência, o motor para. É o comando da aula 02 com um NF a mais.

Tudo depende de uma corrente com um elo de cada: um contato, um cabo, uma entrada, um programa, uma saída, um contator. Basta um defeito do lado errado e a emergência some sem avisar. Por exemplo: o cabo do botão é esmagado, o fio que volta pro borne encosta no 24 V, e o bit fica preso em 1. Aperta a emergência — e o CLP continua lendo “tudo bem”.

A NR-12 tem nome pra esse comportamento. No glossário:

“Categoria B: Principalmente caracterizada pela seleção de componentes. A ocorrência de um defeito pode levar à perda da função de segurança.”

NR-12, Anexo IV, glossário

E os sistemas de segurança, pelo item 12.5.2, devem:

“a) ter categoria de segurança conforme apreciação de riscos prevista nas normas técnicas oficiais;”
“e) manterem-se sob vigilância automática, ou seja, monitoramento, se indicado pela apreciação de risco, de acordo com a categoria de segurança requerida, exceto para dispositivos de segurança exclusivamente mecânicos;”

NR-12, item 12.5.2, alíneas a e e

Quem faz esse monitoramento a norma também diz:

“Interface de segurança: dispositivo responsável por realizar o monitoramento, verificando a interligação, posição e funcionamento de outros dispositivos do sistema, impedindo a ocorrência de falha que provoque a perda da função de segurança, como relés de segurança, controladores configuráveis de segurança e CLP de segurança.”

NR-12, Anexo IV, glossário

O CLP da lista é o CLP de segurança, e o glossário exige dele o que um CLP comum não foi feito pra garantir: “três princípios básicos de funcionamento: - redundância, diversidade e autoteste” (Anexo IV).

A emergência vai pra uma interface de segurança — por exemplo, um relé de segurança — em dois canais: dois contatos NF no mesmo botão, um em cada canal. O relé compara os dois, e é a saída dele que corta a energia dos contatores do motor. O CLP comum pode continuar recebendo um sinal da emergência, mas só pra saber e mostrar na tela: quem para a máquina não é o programa.

botão de emergência S2  (dois contatos NF, com trava)
   canal 1 ──┐
   canal 2 ──┴──►  relé de segurança KS  ──►  corta K1 e K2 (contatores em série)
                     ▲                          │
          rearme S3 ─┘                          └─ contatos espelho voltam pro KS

   um contato auxiliar do KS ──► entrada do CLP   (só informa)

Os dois contatores em série e os contatos espelho monitorados aparecem num exemplo do Manual de Aplicação da NR-12, do Ministério do Trabalho (item 8.15, com proteções móveis em vez de botão): lá, “a falha no desligamento dos contatores de potência K1 e K2 é detectada pelo relê de segurança KS pelo menos a cada solicitação da função de segurança”. A categoria que o circuito precisa atingir não sai desta aula: sai da apreciação de riscos, e o sistema deve “estar sob a responsabilidade técnica de profissional legalmente habilitado” (12.5.2, b).

Dois programas no simulador. No ①, o do erro: ligue o motor, toque em ⚡ curto: prende em 1 e aperte a emergência — o motor segue girando.

No ②, um modelo didático do que o relé faz por dentro: lê os dois canais, exige os dois fechados, acusa falha se eles discordarem por 0,5 s e só libera com rearme. Faça o mesmo curto no canal 1 e aperte a emergência: o motor para mesmo assim (o canal 2 abriu), a lâmpada de falha acende e o rearme não funciona mais até o curto sair.

Em passo a passo, olhe a linha 3: com o curto, os dois canais ficam diferentes e o temporizador T0 começa a contar. É a comparação — a mesma ideia do “alguns, mas não todos, defeitos sejam detectados” da categoria 3.