A importância de verificar a compatibilidade de todos os sistemas e subsistemas no UCMP

Por Burak Demircan

O movimento involuntário da cabina do elevador é uma situação extremamente perigosa que ocorre quando a cabina se move sem qualquer comando durante as operações de nivelamento, correção de nível e abertura antecipada das portas, enquanto aguarda com as portas abertas ao nível do piso. Esse movimento indesejado pode causar ferimentos aos passageiros ou, em casos mais graves, morte. Por esse motivo, regulamentações como a Diretiva de Elevadores 2014/33/UE exigem que os novos elevadores possuam um dispositivo de segurança que impeça o movimento involuntário da cabina. Na literatura técnica, esse dispositivo é denominado Proteção contra Movimento Involuntário da Cabina (UCMP, na sigla em inglês), e sua função é parar e segurar imediatamente a cabina caso ela comece a se mover inesperadamente. Em certo sentido, o UCMP é o "freio de emergência" do elevador; embora normalmente não seja perceptível, ele permanece constantemente alerta para garantir a segurança do uso do elevador.

Para enfatizar a importância crítica do sistema UCMP, podemos usar uma analogia simples: imagine construir um modelo com peças de LEGO. Assim como cada peça deve estar no lugar certo e se encaixar harmoniosamente para que a estrutura seja estável, os subsistemas que compõem o UCMP também devem demonstrar a mesma harmonia. Caso contrário, assim como uma única peça errada em um modelo de LEGO pode causar o colapso de toda a estrutura, uma incompatibilidade em um dos subsistemas do UCMP pode comprometer toda a função de proteção. A função do UCMP é geralmente fornecida pela operação combinada de três subsistemas básicos:

• DetecçãoO mecanismo ou sensor que detecta quando a cabine começa a se mover de maneira indesejável. Ele aciona o sistema ao detectar um movimento específico (por exemplo, uma velocidade ou distância específica) enquanto as portas da cabine estão abertas. Por exemplo, em alguns sistemas, um movimento de 200 a 250 mm na corda da cabine é usado como limite de detecção; se a cabine se mover até esse ponto, o sensor é acionado. O elemento de detecção pode ser um sensor elétrico, um circuito de monitoramento de velocidade ou um dispositivo mecânico, mas sua função principal é detectar a informação de que "a cabine está se movendo" o mais rápido possível.

ativaçãoA função de controle que recebe o sinal do elemento de detecção e ativa o mecanismo de parada. Este subsistema geralmente é um circuito elétrico de segurança e atua como uma interface entre a detecção e a parada.

Por exemplo, quando o dispositivo de detecção detecta um movimento indesejado, o circuito de ativação desenergiza o solenoide que aciona o freio de emergência ou fecha uma válvula hidráulica. Em alguns projetos, a detecção e o acionamento podem ser integrados no mesmo dispositivo (por exemplo, alguns controladores detectam e acionam mecanicamente a frenagem), mas, conceitualmente, a função de acionamento envolve transmitir o sinal de detecção ao mecanismo de parada sem demora.

• ParagemO elemento que efetivamente para a cabine e a mantém no lugar após a parada. Trata-se de um dispositivo de frenagem mecânico; em elevadores elétricos, é um dispositivo de segurança que se prende aos trilhos (freio de paraquedas) ou um freio de cabo que atua sobre o cabo; em elevadores hidráulicos, é uma válvula de segurança que impede movimentos descontrolados. O subsistema de parada garante que a cabine pare com segurança dentro de uma determinada distância, aplicando torque/força de frenagem suficiente e impedindo que ela se mova novamente. O importante aqui é que o elemento de frenagem deve ser capaz tanto de parar a cabine quanto de impedir que ela deslize após a parada. Esses três subsistemas juntos formam o dispositivo UCMP. Em alguns projetos, cada uma das três funções é executada por dispositivos separados, enquanto algumas soluções podem combinar essas funções em um ou dois dispositivos. Por exemplo, um freio de cabo controlado eletronicamente pode realizar tanto a detecção (monitorando a velocidade do motor) quanto a frenagem. No entanto, independentemente do número de dispositivos, a confiabilidade do sistema depende do funcionamento correto e harmonioso dos subsistemas.

As principais referências para UCMP são as normas EN 81-20/50, suas contrapartes internacionais ISO 8100-1/2 e as Recomendações NB-L, que refletem as visões comuns dos Organismos Notificados. Esses documentos detalham os critérios de desempenho e os requisitos de interface para os subsistemas UCMP. O objetivo é garantir a compatibilidade técnica necessária para a operação segura da proteção UCM em elevadores como um todo, independentemente da marca ou do modelo.

A norma EN 81-20:2020 exige que os projetistas de elevadores incluam um dispositivo de proteção contra movimentos involuntários que possam ocorrer quando as portas da cabine estão abertas (Cláusula 5.6.7) e estipula que esse dispositivo deve parar a cabine dentro de uma distância limite específica. De acordo com as normas atuais, essa distância é definida em um máximo de 1,200 mm. Em outras palavras, mesmo que a cabine comece a se mover para longe do andar, ela deve ser parada antes de ultrapassar 1.2 m. Esse limite foi escolhido para minimizar o risco de queda de passageiros. No entanto, o limite de 1,200 mm não deve ser interpretado como uma margem de manobra excessiva para os projetistas, visto que as fases de detecção, acionamento e parada devem ocorrer dentro dessa distância. De fato, qualquer atraso em cada etapa aumenta a distância total que a cabine percorrerá antes de parar. As normas exigem que os projetistas selecionem e ajustem seus dispositivos levando em consideração as “condições mais desfavoráveis”.

Os testes e a certificação de conjuntos UCMP são abordados detalhadamente na norma EN 81-50:2020. De acordo com a cláusula 5.8 da EN 81-50, o conjunto UCMP pode ser testado como um sistema completo ou as subfunções (detecção, acionamento, parada) podem ser submetidas a homologações separadas como subsistemas independentes. No entanto, existe uma condição crítica quando os subsistemas são certificados separadamente: os requisitos de interface e os parâmetros de desempenho técnico de cada subsistema devem ser definidos. A norma afirma claramente que os valores limite e as condições de operação que garantirão a compatibilidade dos subsistemas com homologações separadas, quando integrados em um sistema completo, devem ser definidos pelo fabricante e especificados na documentação do ensaio de tipo. Nesse contexto, o fabricante/requerente que solicita o ensaio de tipo deve informar ao laboratório os principais parâmetros técnicos relacionados ao uso do sistema ou subsistemas. A EN 81-50 fornece os seguintes exemplos desses parâmetros:

• Gama de massaCondições de massa mínima e máxima previstas no elevador (cabine vazia, cabine totalmente carregada, etc.).
• Limites de força/torqueSe necessário, indique a força ou o torque mínimo e máximo aplicado pelo elemento de frenagem (ou os valores de fluxo/pressão para sistemas hidráulicos).
• Tempos de respostaOs tempos de resposta (atrasos) individuais do dispositivo de detecção, do circuito de controle e do elemento de frenagem.
• Valores de velocidadeA velocidade máxima que a cabine pode atingir antes que a frenagem seja iniciada (por exemplo, calculando a velocidade da cabine quando o limite de detecção é excedido).
• Altura de montagem do sensorA que altura do solo o dispositivo de detecção está montado dentro da zona de liberação da fechadura (isso pode afetar a distância de detecção).
• Velocidade(s) de testeA velocidade ou velocidades a serem utilizadas no teste de tipo para verificar se o sistema está funcionando corretamente (um valor determinado pelo fabricante e acordado com o laboratório; por exemplo, pode ser testado na velocidade de inspeção).
• Condições ambientaisAs faixas de temperatura e umidade, bem como outras condições ambientais relevantes para as quais o projeto foi concebido. 

A Recomendação nº 1/008, publicada pelo grupo de coordenação dos Organismos Notificados da União Europeia (NB-L), visa proporcionar um entendimento comum sobre o projeto e a avaliação de dispositivos UCMP. Este documento destaca pontos a serem considerados na avaliação individual dos subdispositivos UCMP, em paralelo com as disposições da norma mencionadas anteriormente. De acordo com a recomendação do NB-L, cada dispositivo que desempenha uma subfunção (detecção, disparo, parada) pode ser submetido a um exame de tipo da UE individualmente ou avaliado sob garantia de qualidade total, sob o controle do fabricante. No entanto, é importante observar que, se algum dos subdispositivos do UCMP não for submetido a essa verificação de projeto (ou seja, se não for certificado individualmente), o conjunto UCMP deverá ser submetido ao exame de tipo da UE como um dispositivo completo. Essa abordagem garante que nenhum subsistema fique "em suspenso" e que todas as funções sejam verificadas individualmente ou em conjunto.

Além disso, foi esclarecido o que deve ser incluído nos certificados de homologação a serem preparados para cada dispositivo de subfunção. Em particular, ao preparar o certificado de homologação para um subsistema, as condições de interface desse subsistema com outros dispositivos e todos os parâmetros relevantes (distâncias, tempo de detecção, velocidades, acelerações, tempos de retardo, etc.) devem ser descritos. Isso significa que, por exemplo, uma empresa que fabrica um dispositivo de detecção deve declarar claramente as condições sob as quais seu dispositivo opera (por exemplo, distância de detecção ou limite de velocidade, tempo de saída do sinal, etc.) e como ele deve ser emparelhado com um dispositivo de frenagem. Da mesma forma, um fabricante de dispositivo de frenagem (por exemplo, freio de paraquedas) deve documentar a faixa de velocidade na qual o freio pode ser aplicado, o método de acionamento necessário e o tempo de acionamento.

Em resumo, a abordagem na Europa é a seguinte: cada componente que forma o sistema UCMP deve ser testado como um todo integrado ou, se testado separadamente, os critérios de interoperabilidade para esses componentes devem ser claramente definidos. Detalhes sobre os módulos de avaliação de conformidade (Módulo B, Módulo H, etc.) estão além do escopo deste artigo e serão abordados em artigos subsequentes; a ênfase aqui é inteiramente na conformidade técnica e nos requisitos de desempenho.

Um sistema UCMP só consegue executar sua tarefa com a correta coordenação de seus subsistemas. A temporização (sincronização) e os sinais de interface desempenham um papel importante na interação entre os subsistemas de detecção, acionamento e frenagem. Para tanto, vamos explicar suas relações entre si. Cada subsistema possui um tempo de resposta: o elemento de detecção leva um certo atraso para ativar, o circuito de acionamento leva um tempo para transmitir o sinal e o elemento de frenagem também requer um tempo para gerar a força de frenagem total.

A soma desses tempos determina o tempo total desde o início do movimento da cabine até sua parada completa. A distância percorrida pela cabine também aumenta em função desse tempo. A Figura 1 mostra um perfil simplificado de velocidade em função do tempo em uma reação típica de um veículo descontrolado. Quando o movimento descontrolado começa, a cabine inicia uma aceleração (uma aceleração natural, por exemplo, em torno de 1.5 m/s², é aceitável). A cabine acelera até que o sistema de detecção seja ativado; ao final do atraso de detecção (por exemplo, 0.3 s), o sensor é acionado. Em seguida, durante o atraso de acionamento, o sinal chega ao sistema de freios e o mecanismo de frenagem é ativado (por exemplo, em 0.2 s). Quando o freio é aplicado, a velocidade da cabine começa a diminuir e a cabine para ao final da frenagem. Nesse processo, quanto menores forem os atrasos de detecção e acionamento, mais cedo a frenagem começa e menor será a distância total de parada.

Como pode ser observado no gráfico acima, se os tempos de resposta dos subsistemas não forem adequados, a distância necessária para a parada da cabine pode aumentar significativamente. Por exemplo, se o sistema de detecção for acionado muito tarde ou o mecanismo de frenagem for acionado lentamente, a cabine pode percorrer uma distância superior aos 1.2 m padrão. De fato, a literatura indica que o acúmulo de atrasos na detecção, na transmissão do sinal eletrônico e na resposta do solenóide pode fazer com que a cabine atinja uma velocidade maior do que a esperada, aumentando a distância de frenagem. Portanto, é necessário determinar corretamente o limiar de detecção, garantir um controle eletrônico rápido e assegurar que o mecanismo de frenagem seja acionado com rapidez suficiente. A norma EN 81-50 exige que os tempos de resposta do circuito de detecção, do circuito de controle e dos elementos de frenagem sejam medidos separadamente durante os ensaios de tipo e que a distância total percorrida seja registrada. O ensaio de tipo também verifica se a função de automonitoramento automático do sistema, caso presente, está funcionando corretamente.

A comunicação entre os subsistemas de detecção e acionamento geralmente ocorre por meio dos circuitos de segurança do elevador. A proteção UCM é considerada um componente dentro do escopo do circuito elétrico de segurança. A recomendação NB-L estabelece que, se o acionamento contiver componentes eletrônicos, ele deve obter um certificado de tipo da UE como dispositivo de segurança, conforme definido no Anexo III da Diretiva de Elevadores. Na maioria dos projetos modernos de UCMP, o dispositivo de detecção interrompe a cadeia de segurança abrindo um contato de segurança (liberando um solenóide normalmente energizado ou liberando um relé de segurança) e, simultaneamente, ativa o dispositivo de frenagem.

É importante ressaltar que este sinal deve ser de nível de segurança categoria 4 (equivalente à norma EN 81-20, cláusula 5.11.2.3); ou seja, deve ser projetado para não falhar com uma única falha e deve ser homologado quando necessário. A interface do subsistema de detecção é projetada segundo o princípio de segurança contra falhas: por exemplo, se a alimentação do sensor de detecção for interrompida, o sistema detecta isso como uma falha e impede o funcionamento do elevador (pois o UCMP pode ter sido desativado).

Os subsistemas UCMP podem ser adquiridos de diferentes fabricantes e também devem ser fisicamente integrados. Por exemplo, a interface fornecida pelo dispositivo de detecção para acionar um freio de cabo pode ser na forma de um eletroímã que interrompe a alimentação em uma determinada corrente. Detalhes como a tensão de alimentação deste eletroímã, o tempo de liberação quando a alimentação é interrompida e a distância de movimento (curso) devem ser compatíveis com a saída do circuito de detecção. A norma EN 81-20 estipula que a proteção UCM deve ser projetada para "engatar quando o veículo atingir o final da zona de destravamento". Isso significa que a detecção deve ocorrer quando a cabine estiver a aproximadamente alguns centímetros do nível do piso (por exemplo, 20 cm). Se a distância de detecção for muito pequena (por exemplo, 1-2 cm), o sistema pode ser sensível, mas propenso a acionamentos falsos (podendo confundir vibrações em nível microscópico com UCM). Se for muito grande (por exemplo, meio metro), o veículo já terá percorrido uma distância significativa, resultando em uma distância de frenagem insuficiente. Portanto, um limiar de detecção ideal e uma configuração correspondente do mecanismo de acionamento exigem um equilíbrio crítico.

A experiência prática demonstra que a incompatibilidade na interface do subsistema pode acarretar diversos riscos. Por exemplo, em algumas instalações, ocorreram problemas quando o dispositivo de detecção de vazamentos não controlados (UCMP) e o dispositivo de frenagem eram de fabricantes diferentes e foram combinados devido ao não cumprimento integral dos parâmetros da documentação. Como exemplo, em um elevador hidráulico, se apenas o sensor de vazamento dentro da válvula for utilizado para a detecção de vazamentos não controlados e um freio separado não for empregado, a cabine pode se deslocar milímetro a milímetro do nível do piso, pois o sensor não é acionado em caso de vazamentos muito lentos. Essa situação cria perigos como o travamento nas soleiras das portas ou movimentos inesperados quando os passageiros entram. Outro exemplo é o acionamento incorreto, em que o freio trava antes do início do movimento da cabine devido a um sensor eletrônico calibrado incorretamente. Isso pode tornar o elevador inutilizável, como se o sistema estivesse em constante mau funcionamento. Portanto, é crucial seguir rigorosamente os requisitos de interface especificados pelos fabricantes dos subsistemas e, se possível, testar o sistema como um todo durante a fase de integração. A norma EN 81-50 recomenda atualmente um "teste de cooperação" para verificar essa integração durante os ensaios de tipo. Especificamente, durante os ensaios de tipo, o fabricante deve fornecer um cálculo, fórmula ou diagrama baseado nos parâmetros mútuos dos dispositivos, o qual deve ser aprovado pelo laboratório. Por exemplo, uma curva ou cálculo que indique a distância que o sistema de frenagem percorrerá a uma determinada velocidade de acionamento deve ser fornecido pelo fabricante e verificado durante os ensaios.

A certificação separada dos subsistemas UCMP oferece flexibilidade ao setor, pois um fabricante de elevadores pode selecionar e usar componentes UCMP de diferentes fornecedores. No entanto, essa flexibilidade pode criar lacunas de responsabilidade técnica se não for gerenciada adequadamente. Por exemplo, se um fabricante usar o dispositivo de detecção da Empresa A e o sistema de frenagem da Empresa B e integrá-los em seu próprio elevador, quem será responsável pelo desempenho do sistema como um todo?

Se os certificados de homologação estiverem disponíveis separadamente, cada um comprova que desempenha sua função sob condições específicas. No entanto, se houver incompatibilidade na interface e a proteção UCM não funcionar, o fabricante do elevador não poderá se eximir da responsabilidade alegando que “as peças foram certificadas”. Tanto do ponto de vista regulatório quanto da ética da engenharia, a parte que realiza a integração final (fabricante do elevador, instalador do elevador) é responsável por garantir que a função UCMP funcione como um todo integrado. A recomendação da NB-L também aborda essa questão, afirmando que, se alguma das subfunções não tiver exame de tipo, todo o dispositivo deverá passar por homologação. Portanto, quando os certificados de subsistemas são combinados para uso em um elevador, o fabricante deve verificar se esses subsistemas são compatíveis entre si. A melhor maneira de fazer isso é reforçar a integração com testes de campo e análises de risco adicionais, quando necessário. Por exemplo, a realização de testes UCM no elevador após a instalação, sob diferentes cargas e cenários, demonstrará a compatibilidade dos subsistemas na prática. 

Os Organismos Notificados (ONNs) geralmente também verificam a função UCMP de forma holística durante as inspeções CE do elevador. Mesmo que os certificados de homologação sejam apresentados, os dispositivos são examinados para garantir que estejam instalados e ajustados de acordo com as normas. Neste ponto, é importante distinguir claramente entre a linguagem da certificação e a responsabilidade técnica: talvez o certificado do sistema de freio declare que ele “pode ser usado a uma velocidade máxima de acionamento de 2.0 m/s”; no entanto, o dispositivo de detecção está configurado para acionar a uma velocidade de 2.5 m/s. Nesse caso, mesmo que ambos estejam certificados no papel, não funcionarão corretamente quando usados ​​em conjunto. É por isso que é essencial revisar todos esses parâmetros em conjunto.

Atenciosamente...