Quando il software prende il controllo

Verifica della sicurezza operativa del firmware pertinente

del Dr. Rolf Zöllner

Un numero crescente di funzioni di sicurezza meccanica nei sistemi di sollevamento è monitorato e controllato dal software. Questo software di monitoraggio e controllo deve essere aggiornato e soddisfare sia i criteri di sicurezza del prodotto che quelli di sicurezza funzionale. Questo articolo indica a cosa gli operatori devono prestare attenzione e come possono stabilire con successo la sicurezza operativa.

Gli ascensori contengono una serie di componenti di sicurezza per garantire che il viaggio sia sicuro per i passeggeri, anche in caso di malfunzionamento. Questi componenti sono per lo più unità meccaniche o meccatroniche, come regolatori di velocità e paracadute, che decelerano la cabina dell'ascensore in caso di superamento della velocità massima di marcia. Al giorno d'oggi, i sistemi integrati hardware (HW) e software (SW) hanno assunto sempre più il controllo e il controllo delle caratteristiche di sicurezza meccanica, creando circuiti indipendenti accanto ai sistemi di controllo standard per lo stato di funzionamento dell'ascensore. Il loro HW comprende tipicamente sensori, unità logiche e attuatori, che forniscono dati che vengono elaborati e valutati dai prodotti SW.

Utilizzo dei dati disponibili

Nel normale funzionamento, ad esempio, il sistema di informazione del vano monitora la posizione di una cabina dell'ascensore (codifica vano). Ad esempio, questo può essere fatto con l'aiuto di un nastro magnetico installato nel vano ascensore che segnala continuamente la posizione corrente della cabina al controllore logico programmabile (PLC). Il PLC dà quindi il comando di controllo al motore e al sistema di azionamento. Ciò consente all'ascensore di fermarsi con precisione ai pianerottoli di ogni piano senza creare rischi di inciampo.

Il sistema informativo del vano può essere utilizzato anche per identificare malfunzionamenti relativi alla sicurezza e riportare in modo affidabile l'ascensore a uno stato di funzionamento sicuro. Poiché la posizione della vettura viene continuamente registrata, il sensore riconosce eventuali valori di accelerazione non consentiti dovuti a cause come la rottura della fune, consentendo alla centralina di avviare le opportune contromisure.

Sistema affidabile grazie all'esame del tipo

A tal fine, il sistema HW/SW deve garantire un'identificazione affidabile e corretta di tutti gli stati operativi pericolosi. Se le informazioni vengono elaborate in modo errato, l'azione necessaria potrebbe non essere avviata in caso di emergenza o il dispositivo di sicurezza potrebbe attivarsi durante la normale corsa dell'ascensore.

I componenti di sicurezza devono soddisfare elevati standard di sicurezza. L'affidabilità delle loro funzioni di sicurezza deve essere stabilita prima che i produttori di ascensori possano utilizzarle nei loro sistemi di ascensori. Questo è il motivo per cui gli organismi notificati (NB) conducono esami di tipo in cui ispezionano la progettazione e la costruzione dei componenti, nonché le loro funzioni e le misure di convalida e verifica.

Software, anche dopo gli aggiornamenti

Testare l'efficacia delle funzioni di sicurezza del software ed escludere qualsiasi interazione indesiderata da apparecchiature operative standard nella fase operativa di un ascensore può essere impegnativo.

In molti casi, gli ispettori non hanno altro da fare che un adesivo sulla centralina con il numero di versione del SW installato. In molti casi, non ci sono indicazioni attendibili sul fatto che le informazioni siano ancora applicabili o se nel frattempo sia stato caricato un aggiornamento o un nuovo SW (e, in tal caso, da chi e come ciò influisca sulle funzioni di sicurezza).

La sicurezza dell'ascensore può essere confermata solo se l'esperto può verificare che il SW corrisponda ancora all'esame del tipo o che gli eventuali aggiornamenti siano conformi ai requisiti di sicurezza funzionale definiti in IC 61508-3. Detto questo, stabilire una corretta gestione della sicurezza funzionale con il ciclo di vita della sicurezza dello sviluppo SW e garantire una documentazione completa e tracciabile di tutte le modifiche sono misure importanti.

Verifica semplificata grazie alla documentazione completa

La gestione della configurazione aiuta a raggiungere alcuni dei criteri di cui sopra. In un sistema di gestione della configurazione ben consolidato, la documentazione dell'ascensore include una nota o un adesivo con codice QR che può essere rapidamente scansionato dagli ispettori utilizzando un tablet o uno smartphone. Gli ispettori possono accedere alla documentazione dell'ascensore digitale, verificare il numero di versione del SW e la sua approvazione da parte di un NB; tenere traccia di tutte le attività di assistenza e manutenzione eseguite; e, infine, documentare i risultati della loro ispezione con un login sicuro. Ciò fornisce agli esperti tutte le informazioni di cui hanno bisogno per confermare che l'uso dell'ascensore è sicuro fino alla prossima ispezione.

Questa forma di verifica è già possibile. Una documentazione completa e approfondita offre agli operatori una soluzione per la verifica diretta e continua della sicurezza dei loro sistemi di sollevamento.