Manutenção não é simplesmente trabalhar em um equipamento parado
Na operação normal de uma fab de semicondutores, os gases de processo e produtos químicos permanecem dentro de tubulações fechadas; câmaras e bombas funcionam em uma sequência definida; e exaustão, scrubbers, intertravamentos e alarmes monitoram continuamente o estado dos equipamentos. Em geral, os trabalhadores executam operações padronizadas do lado de fora das máquinas. Quando começam a manutenção preventiva, a troca de componentes, a remoção de obstruções, a limpeza de câmaras ou a desconexão de tubulações, porém, essas premissas mudam. Tampas são abertas, proteções são retiradas, sequências automáticas são interrompidas e superfícies internas e conexões que normalmente não são tocadas passam a ser acessadas. Não se trata tanto do surgimento de novos perigos, mas da mudança simultânea do estado de várias camadas de proteção que, na operação normal, separam as pessoas das fontes de perigo.
A Administração de Segurança e Saúde Ocupacional dos Estados Unidos (OSHA) identifica como um perigo específico a possibilidade de exposição a resíduos de produtos de reação durante a manutenção de câmaras de reação, bombas e equipamentos relacionados na fabricação de semicondutores. A norma da OSHA para controle de energias perigosas também trata de partidas inesperadas e da liberação de energia armazenada durante a manutenção. A combinação dessas duas perspectivas deixa claro o ponto central da manutenção em fabs: a simples afirmação de que a energia foi desligada não descreve um estado seguro; é preciso verificar separadamente o estado da energia, dos materiais, dos controles e das pessoas.
Seis mudanças de estado em relação à operação normal
1. O equipamento sai de sua condição operacional de projeto
Durante a operação normal, o equipamento é projetado pressupondo portas fechadas, pressão e vazão controladas e sistemas de exaustão e tratamento conectados. Na manutenção, podem surgir estados mistos: o vácuo é desfeito, a câmara fica exposta à atmosfera, válvulas são colocadas em posição manual ou apenas alguns módulos permanecem energizados. Mesmo com a eletricidade isolada, ainda pode haver energia em capacitores, sistemas pneumáticos e hidráulicos, vácuo, molas, gravidade, componentes quentes e pressão química. A norma da OSHA para controle de energias perigosas abrange, além da eletricidade, energias mecânica, hidráulica, pneumática, química e térmica, e exige que a energia armazenada ou residual seja dissipada ou contida com segurança após o isolamento e que a eficácia do isolamento seja verificada.
Portanto, “equipamento parado” e “condição segura para o trabalho” não são sinônimos. Mesmo que a tela indique OFF, deve-se confirmar se o dispositivo de isolamento de energia está fisicamente desconectado, se não há possibilidade de receber um comando de reinício automático e se não existe uma via pela qual a pressão possa voltar a se acumular. Robôs de múltiplos eixos e conjuntos de elevação podem se mover por gravidade mesmo após o corte da energia, e partes aquecidas podem não ter esfriado o suficiente. Sistemas de vácuo podem conter resíduos que se deslocam ou se dispersam quando o ar atmosférico entra. O procedimento seguro deve partir da lista real de fontes de energia, não apenas do nome do equipamento.
2. Resíduos e subprodutos permanecem mesmo quando os materiais de alimentação já não estão presentes
Fechar a válvula de alimentação do gás de processo não limpa o interior da câmara, da linha de exaustão, da bomba de vácuo ou do scrubber. Materiais não reagidos, condensados, depósitos corrosivos, pós finos e subprodutos de reação podem permanecer em superfícies ou trechos mortos. Também é preciso avaliar a possibilidade de serem liberados ou reagirem de outra forma quando mudam a pressão, a temperatura, a umidade ou o contato com o ar. Por isso, não basta consultar apenas as informações sobre matérias-primas nas fichas de dados de segurança; é necessário entender, para cada equipamento, o que o processo realmente produz e onde esses materiais se acumulam.
A orientação da OSHA sobre perigos na fabricação de dispositivos semicondutores explica que resíduos de produtos de reação associados a arsênio, arsina e fosfina em implantadores iônicos e outros equipamentos podem ser fontes potenciais de exposição para o pessoal de manutenção. O NIOSH também recomenda, em suasrecomendações para prevenir a exposição ao arseneto de gálio o isolamento das áreas de limpeza de equipamentos de crescimento de cristais, a abertura somente após o resfriamento, exaustão local, aspiração com filtro HEPA e limpeza úmida. Isso não significa que “todo equipamento de fab contém as mesmas substâncias”. Significa que os perigos residuais devem ser identificados conforme o processo, o equipamento e o histórico de uso recente, e que se devem evitar práticas capazes de ressuspender poeira, como varrer a seco ou usar ar comprimido.
A gestão de resíduos não termina com a consulta ao histórico antes do início da manutenção. Também devem ser definidos os critérios para tratar filtros, forelines, armadilhas, óleo de bombas e resíduos de limpeza como componentes ou resíduos contaminados. É preciso estabelecer previamente quem será avisado e até onde se deve evacuar caso apareçam sinais anormais durante o trabalho, como cor, odor, geração de calor, fumaça ou pressão inesperada. Concentrações perigosas não devem ser avaliadas pelos sentidos; quando necessário, devem ser confirmadas com detecção adequada e medições de higiene ocupacional.
3. A abertura de linha interrompe deliberadamente a barreira de contenção
Abertura de linha é o trabalho de abrir tubulações, flanges, conexões, mangueiras ou pontos de conexão de equipamentos, removendo a barreira que continha o material de processo. Não se pode concluir que o interior está vazio apenas porque uma válvula foi fechada e o manômetro marca 0. Uma válvula pode não vedar completamente, drenos e respiros podem estar bloqueados, líquido pode ficar aprisionado entre duas válvulas ou pode ocorrer refluxo de outro equipamento. Um manômetro de faixa elevada também pode não indicar adequadamente uma baixa pressão residual.
A orientação HSG253 do Health and Safety Executive (HSE) do Reino Unido sobre isolamento seguro de instalações recomenda que, imediatamente antes de abrir a barreira, uma pessoa competente demonstre por um método adequado que não há vazamento nem recomposição de pressão no trecho isolado e registre o resultado no certificado de isolamento. Também orienta que um isolamento mantido por muito tempo ou sem supervisão seja novamente comprovado e que respiros e drenos de materiais perigosos sejam direcionados a um local seguro ou recebam o vazamento de maneira segura.
Em uma fab, gabinetes de gases, caixas de manifolds de válvulas, bombas do subfab e equipamentos de tratamento podem fazer parte de um único fluxo. Assim, a extensão do isolamento deve ser mapeada desde a fonte até o ponto final de descarga e tratamento, e não apenas ao redor do componente diante do trabalhador. O trabalhador deve se posicionar o mais longe possível do ponto de abertura, e o primeiro afrouxamento deve ser planejado para que qualquer pressão ou líquido remanescente não seja dirigido contra ele. Antes do início, também se deve confirmar se chuveiros de emergência, lava-olhos, equipamentos para resposta a vazamentos e rotas de fuga estão realmente acessíveis.
4. Aumentam as fronteiras de informação entre contratadas e turnos
A manutenção de uma fab pode reunir engenheiros do fabricante do equipamento, fornecedores de componentes, empresas especializadas em tubulação, elétrica e limpeza, e operadores da própria fab. Cada grupo pode conhecer bem o seu trabalho, mas não necessariamente compreender da mesma forma a nomenclatura de válvulas, o significado de alarmes, o sistema de contatos de emergência, o histórico químico e a autoridade para aprovar a restauração de outra organização. Quando o trabalho atravessa vários turnos, aumenta também o risco de que o motivo do isolamento original e as medidas temporárias não sejam comunicados de forma suficiente ao turno seguinte.
O guia da OSHA sobre gestão de segurança de processos explica que, para contratadas que executam manutenção, reparos, grandes paradas ou trabalhos especializados em áreas próximas a processos altamente perigosos, a empresa contratante deve comunicar os perigos conhecidos de incêndio, explosão e liberação tóxica e o plano de emergência, além de controlar o acesso e o trabalho. A contratada também deve assegurar que seus trabalhadores compreendam métodos seguros de trabalho e os perigos conhecidos do processo. A norma de bloqueio e etiquetagem da OSHA exige que, quando pessoal externo realiza manutenção, os dois empregadores informem um ao outro seus respectivos procedimentos de controle de energia e que a empresa anfitriã compreenda as restrições e proibições da empresa externa.
Uma boa passagem de serviço não é uma frase genérica como “trabalhe com cuidado”. Em uma única tela ou documento, as partes devem alinhar o identificador exclusivo do equipamento, os materiais introduzidos recentemente, os números dos pontos de isolamento, a localização de cegos e cadeados, os perigos residuais, os intertravamentos e alarmes contornados, os trabalhos simultâneos, as condições de parada, os contatos de emergência e a pessoa autorizada a aprovar a restauração. Faça com que o próprio trabalhador aponte e confirme o estado do isolamento e, quando os nomes divergirem, compare os desenhos com as etiquetas de campo. Na troca de turno, é necessário um procedimento formal de transferência que preserve o controle individual dos cadeados e a responsabilidade.
5. Alarmes e intertravamentos podem ser inibidos para a manutenção
A calibração de sensores, a inspeção de atuadores ou o teste de um módulo específico podem exigir a inibição temporária de alarmes normais ou o contorno de intertravamentos. Nesse momento, mesmo que o equipamento pareça parado, uma camada de proteção foi enfraquecida intencionalmente. Um operador que desconheça a inibição pode interpretar a tela silenciosa como condição normal, e um bypass não restaurado após o teste pode permanecer oculto até a próxima partida.
A orientação do HSE sobre sistemas de controle explica que a inibição e o shelving de alarmes devem ser controlados para que os alarmes sejam reativados no estado operacional pertinente. O contorno de sistemas de proteção deve ser gerenciado com requisitos de autorização, segurança, registro, monitoramento, revisão e reset, seguido de restauração e teste de comprovação após a manutenção. O mesmo princípio vale para uma fab. Cada bypass deve receber um número exclusivo, motivo, função de proteção afetada, horários de início e expiração, aprovador, medidas compensatórias e responsável pela confirmação da restauração.
Quando um alarme é desligado, deve-se definir o que substituirá a função de monitoramento de perigo que ele desempenhava. As medidas compensatórias podem incluir restrição de acesso à área de trabalho, detectores portáteis, um vigia no local, limites às condições operacionais ou a parada de equipamentos adjacentes. A adequação dessas medidas, porém, deve ser determinada por avaliação de riscos. A lista de bypasses de alarmes deve estar visível tanto para a sala de controle quanto para os trabalhadores de campo. Não presuma que ela foi apagada automaticamente apenas porque a permissão de trabalho foi encerrada; verifique a tela real e a função no campo.
6. A restauração é outra atividade fora da condição normal
Após a manutenção, deve-se confirmar que não ficaram ferramentas, mangueiras temporárias, cegos, jumpers, cabos de aterramento, materiais de limpeza ou resíduos. Verifique também se a tubulação desconectada foi religada à porta correta, se juntas e elementos de fixação estão de acordo com a especificação e se a orientação das válvulas e os valores de ajuste dos sensores estão corretos. O material do HSE sobre procedimentos de manutenção cita como exemplos de erros de manutenção a não restauração de funções de segurança, conexões incorretas de tubulações, juntas ou parafusos ausentes, orientação errada de válvulas e valores imprecisos de ajuste de alarmes.
Reiniciar não é simplesmente apertar o último botão de energia. Se todos os isolamentos forem removidos de uma só vez, será difícil identificar onde surgiu um problema. Restaure a energia em etapas e confira vazamentos, pressão, vazão, exaustão, resposta dos sensores, intertravamentos e alarmes. Confirme que todas as pessoas deixaram a área de risco e que os operadores afetados sabem do reinício. Se o componente ou procedimento alterado não for uma substituição equivalente, poderá ser necessário realizar também a gestão de mudanças e uma revisão pré-partida.
A permissão de trabalho é um acordo sobre o estado, não um pedaço de papel
A orientação do HSE sobre sistemas de permissão de trabalho trata dos procedimentos para confirmar, antes da autorização, se isolamento, drenagem, limpeza, monitoramento ambiental, avaliação de riscos e comunicação são suficientes, e para entregar formalmente o equipamento à operação após a conclusão. Assim, a função da permissão não é transferir a responsabilidade ao trabalhador, mas fazer com que várias organizações concordem com o mesmo estado do equipamento. A assinatura registra o resultado dos controles; não é uma barreira de proteção que substitui a verificação em campo.
Uma permissão eficaz deve responder, no mínimo, às seguintes perguntas:
Exatamente qual trabalho será realizado, em qual equipamento e em qual conexão?
Onde foram isoladas as energias elétrica, mecânica, pneumática, de vácuo, térmica e química?
Quais são os resíduos e subprodutos, e como serão removidos, capturados e descartados?
Quem demonstrou, e por qual método, a ausência de pressão e de vazamentos antes da abertura da linha?
Quais alarmes e intertravamentos foram contornados, por quê e quais medidas compensatórias se aplicam durante esse período?
Como os equipamentos adjacentes e os trabalhos simultâneos afetam uns aos outros?
Quais são os critérios de parada do trabalho, as rotas de evacuação e os contatos de emergência?
Quem fará nova avaliação e reemitirá a permissão se o escopo ou as condições mudarem?
Quem confirmará de forma independente a restauração e o reinício, e como a operação receberá o equipamento?
Verificar é registrar resultados, não apenas dizer “eu vi”
Nos procedimentos de segurança, é necessário distinguir conferência de verificação. Ver que a alavanca de uma válvula está fechada é uma conferência de posição. Confirmar que a pressão não volta a se acumular após drenar adequadamente o trecho isolado é uma verificação de desempenho. Abrir um disjuntor é uma operação; confirmar a ausência de tensão com um instrumento aprovado é uma verificação. O desaparecimento da indicação de bypass na tela é uma indicação de estado; testar a entrada do sensor e a ação final para confirmar que a função de proteção retornou é um teste de comprovação.
O método de verificação deve ser adequado ao perigo e ao equipamento. Não é possível aplicar mecanicamente o mesmo teste de “energia zero” a todas as situações, pois o próprio teste pode liberar material ou movimentar a máquina. Por isso, o procedimento deve incluir o resultado esperado, os critérios de aceitação, os instrumentos a utilizar, os locais de teste, as ações em caso de falha e a forma de registro. Uma falha de verificação não deve ser tratada como simples atraso no cronograma; deve-se ampliar a extensão do isolamento ou reprojetar o método. A HSG253 também recomenda devolver os pontos de isolamento a uma condição segura e reavaliar a situação quando não for possível demonstrar satisfatoriamente o isolamento.
Uma verificação prévia aplicável em campo
Antes de emitir a permissão, o responsável pelo trabalho e o responsável pela operação podem realizar juntos uma breve verificação em campo.
Aponte e confirme que o ID do equipamento, as etiquetas da tubulação e o item indicado no desenho correspondem.
Confira o histórico recente do processo e os materiais utilizados e anote os resíduos e subprodutos esperados.
Marque todas as fontes de energia e vias de entrada ou refluxo e confirme o estado dos cadeados individuais.
Confirme os resultados de drenagem, purga e limpeza e os resultados necessários de medições atmosféricas ou de superfície.
Imediatamente antes da abertura da linha, demonstre pelo método definido que não há pressão residual nem recomposição de pressão.
Compare a lista de bypasses de alarmes e intertravamentos, os horários de expiração e as medidas compensatórias com os registros da sala de controle.
Compartilhe as interferências de outras empresas e trabalhos adjacentes, a passagem de turno e as condições de parada.
Acorde previamente a sequência de restauração, os testes de comprovação, a autorização de reinício e os critérios de recebimento pela operação.
Esta lista não substitui os procedimentos específicos de cada equipamento nem os requisitos legais. Ela é uma estrutura complementar para questionar em campo condições reais que uma permissão genérica pode deixar passar. Como produtos químicos de processo, configuração de equipamentos, detecção de gases e sistemas de resposta a emergências variam entre fabs, devem-se aplicar em conjunto as instruções do fabricante, as normas internas, a avaliação de riscos e a regulamentação pertinente.
A verdadeira razão do aumento do risco
Explicar o maior risco da manutenção de fabs apenas pela falta de experiência ou atenção do trabalhador faz perder o ponto principal. A manutenção é uma atividade que altera de forma planejada as camadas de defesa formadas por contenção do equipamento, controle automático, exaustão, alarmes, intertravamentos e operação padronizada. Ao mesmo tempo, envolve resíduos e energia armazenada, e várias organizações e turnos precisam compartilhar uma mesma compreensão do estado. Uma pequena lacuna de informação pode coincidir com o enfraquecimento de outra camada de proteção.
Por isso, uma boa gestão de manutenção não é desenhada em três caixas — “parar, trabalhar, reiniciar” —, mas como um processo contínuo de “definir o estado, isolar, dissipar, comprovar, abrir, monitorar, restaurar, testar e entregar”. A permissão conecta esse fluxo, e a verificação demonstra que cada etapa realmente se concretizou. A pergunta mais importante não é se o trabalhador assinou, mas em que estado o equipamento se encontra agora e por qual evidência esse estado foi confirmado.