Por que PESSRAL não é PESS

Implicações importantes para a segurança em aplicações de normas europeias

Este artigo foi apresentado em  Madrid 2016, Congresso Internacional sobre Tecnologias de Transporte Vertical, e publicado pela primeira vez no livro da IAEE. Tecnologia de elevadores 21, editado por A. Lustig. É uma reimpressão com permissão da Associação Internacional de Engenheiros de Elevadores.  (site: www.elevcon.com).

A indústria de elevadores é bastante tradicional em termos de segurança elétrica/eletrônica/eletrônica programável (E/E/PE): utilizou a corrente de segurança elétrica por mais de 30 anos. No entanto, desde a emenda EN 81-1/2 A1: 2005, a norma permite o uso de eletrônica programável para sistemas de segurança (PESS). Além disso, quando o comitê de normas decidiu implementar um subconjunto da norma principal (IEC 61508) na EN 81 para diminuir a dificuldade e aumentar a velocidade de implementação, nasceu o PESSRAL (Sistemas Eletrônicos Programáveis ​​em Aplicações Relacionadas à Segurança para Elevadores). Contudo, devido à seleção seletiva e à negligência de princípios básicos, a norma antiga e até mesmo a mais recente (EN 81-20/50) permitem a criação de sistemas inseguros. Onde estão os riscos potenciais?

Norma principal

A norma IEC 61508 consiste em sete partes diferentes, totalizando mais de 500 páginas. Ela descreve todo o processo a ser seguido na criação de um dispositivo de segurança E/E/PE. Contém cálculos, premissas, estratégias de projeto, análises de risco e descrições de sistemas de qualidade. O resultado é um nível de integridade de segurança (SIL), que é um número matemático que expressa a segurança do sistema. Toda essa documentação é necessária para se obter um sistema seguro. Em contraste, a norma EN 81-20/50 utiliza apenas 11 páginas e se apresenta como um pacote completo.

Capacidade Sistemática

Todo o fluxo do processo de fabricação de um PESS (Sistema de Armazenamento de Energia em Polímeros) é descrito em uma seção separada da norma 61508-1. Por meio de uma metodologia de trabalho clara e gerenciamento de projetos, buscamos minimizar falhas sistêmicas no sistema. Existem requisitos claros, o que resulta em um valor de capacidade sistêmica (CS). Técnicas que podem ser utilizadas incluem, por exemplo, gerenciamento de projetos, documentação, projeto estruturado e modularização, além da própria CS, visto que essas técnicas não são exigidas ou descritas na EN 81-20. Projetos sem gerenciamento adequado podem conter erros graves, difíceis de detectar.

Análises de risco

Para softwares de segurança, o SIL é usado para medir a segurança. É um número matemático que expressa o nível de segurança do sistema. Por exemplo: SIL 3 tem uma probabilidade média de falha entre 10^-9 XXI.^-8 ou 10^-5 para 10^-4 uma hora, dependendo da taxa exigida. Normalmente, é necessário realizar uma análise de risco para determinar o nível SIL necessário. As normas EN 81-1/2+A3 e EN 81-20/50 já incluem essa análise de risco e exigem classificações SIL. Dessa forma, não há necessidade de uma análise de risco, o que cria uniformidade nos sistemas dos concorrentes. No entanto, uma análise de risco fornece informações sobre o projeto e influencia o seu dimensionamento. Isso é obrigatório no procedimento IEC 61508, mas não nas normas EN 81-1/2 e EN 81-20.

O cálculo constitui a base teórica; ele permite identificar os pontos mais vulneráveis ​​do sistema e comprova que o sistema é suficientemente seguro.

Demanda

Portanto, existe um nível SIL disponível, mas a norma não deixa claro se estamos trabalhando com alta ou baixa demanda. A diferença na taxa de demanda entre esses dois cenários, no entanto, é exatamente um fator de 10.000 falhas/hora. A baixa demanda é explicada na norma IEC 61508-4 como "onde a função de segurança é executada somente sob demanda, a fim de transferir o Equipamento sob Controle (EUC) para um estado seguro especificado, e onde a frequência das demandas não é superior a uma vez por ano". Para um elevador, não utilizamos o limitador de velocidade mais de uma vez por ano; então, seria baixa demanda? É importante saber isso, pois resulta em uma diferença no cálculo da segurança por um fator de 10.000. Essa informação não está claramente definida na norma. Contudo, a norma IEC 62061 estabelece que as máquinas devem atender à alta demanda. A maioria das organizações certificadoras segue essa diretriz. Infelizmente, essa informação não está claramente definida na norma EN 81-20.

Fração de falha segura

Ao construir um sistema SIL 3, as tabelas relevantes nas normas EN 81-1/2+A3 e EN 81-50 exigem um sistema de dois canais. A ideia principal é que "quando um canal falha, o outro canal coloca o sistema em um estado seguro". A norma IEC 61508 segue os mesmos princípios, mas apresenta algumas discrepâncias importantes. A IEC 61508 descreve o modelo de Fração de Falha Segura (SFF): a fração de falhas que são seguras e a fração de falhas que são perigosas. Para componentes cujo modo de falha não pode ser previsto (como CPUs e outros sistemas complexos), as exigências são maiores. Nesse caso, o software de diagnóstico também aumenta a SFF. Devido ao fato de a norma EN 81-20/50 exigir um sistema de dois canais para SIL 3, ela exclui o uso de um sistema de um canal totalmente à prova de falhas (SFF = 100%) e possibilita a criação de um sistema inseguro em caso de falha (SFF < 90%). Se cada falha possível em um canal for diretamente perigosa (SFF = 0%) e se a falha permanecer sem ser detectada, uma segunda falha causará um sistema inseguro. Dessa forma, as soluções PESSRAL podem ser menos seguras do que as análises de árvore de falhas presentes na norma EN 81-20.

Causa comum

Devido à ausência de uma análise de risco e à exigência de dois canais para SIL 3, surge uma nova dificuldade. Ao exigir dois canais sem especificações adicionais, torna-se possível construir dois canais idênticos. Esses canais idênticos introduzem o risco de falha simultânea devido ao mesmo erro (causa comum). Erros típicos incluem tensão de alimentação ligeiramente ou muito baixa, falhas de projeto dentro da CPU ou temperatura. Ao trabalhar com múltiplos canais, os erros de causa comum representam a maior parte do total.

Você pode comparar com o lançamento de um dado. Se, ao tirar um, você perder, sua chance de perder é exatamente uma em seis. Para diminuir essa chance de perder, você pode adicionar outro dado. Agora, você precisa de dois uns para perder o jogo. Ao calcular a probabilidade de perder, usamos: 1/6 * 1/6 = 1/36.

Agora, introduzimos uma falha de causa comum neste “sistema”, uma falha que influencia ambos os canais (os dados). Devido ao fato de o número “6” estar representado no outro lado do dado, e para pintar seis pontos, precisamos de um pouco mais de tinta. Mais tinta também significa mais peso, e dois lados opostos em um dado sempre somam sete. Devido a esse projeto falho, a chance de tirar um 1 é maior do que a de tirar outros números. A chance de tirar dois 1 também é maior do que a chance de outra combinação dupla. Se eu tiver 5% mais chances de tirar dois 1, o sistema é 5% menos seguro do que 1/36: precisamos adicionar 1/120 a 1/36.

Para este sistema, o impacto é relativamente pequeno. No entanto, a probabilidade de falha de um canal PESS é muito menor: por exemplo, 10^-9Fazendo os mesmos cálculos, o sistema de dois canais tem um valor de 10.^-9 * 10^{^-9} = 10^{^-18} probabilidade de falha. Agora, adicionamos a causa comum de 5%: 5 * 10^-11Podemos ver claramente que a parcela de causa comum é muito maior do que as falhas em canais individuais. Se tivermos menores probabilidades de falha nos canais, a causa comum se tornará mais importante e será a parte dominante dos cálculos de segurança, bem como da segurança real. A norma EN 81 não aborda esse problema; nenhuma técnica para evitar causas comuns é descrita ou calculada.

Técnicas de Diagnóstico

A norma EN 81-20 seleciona algumas técnicas e as declara obrigatórias. Não há mais necessidade de cálculos. (A norma EN 81-50 afirma que a IEC 61508-6, que explica os cálculos, não é necessária para a compreensão.) A IEC 61508 oferece uma ampla gama de opções; a técnica mais adequada pode ser escolhida para o sistema. Pode acontecer de técnicas completamente irrelevantes serem exigidas, quando outras técnicas seriam muito mais úteis. Por exemplo: não há exigências para sensores na norma de elevadores, mas quando se utiliza um dispositivo lógico programável complexo (CLPD), ainda há exigências para verificações de RAM e watchdogs; isso não está correto, de acordo com a IEC 61508. Nesse caso, não podemos verificar se nossos diagnósticos são suficientemente bons. Normalmente, a cobertura de diagnóstico (CD) tem influência direta na fração de falha segura (FFS) e, consequentemente, em todo o cálculo de segurança do sistema.

Cálculos

A espinha dorsal da norma IEC 61508 reside nos cálculos subjacentes. Ao analisar as taxas de falha ao longo do tempo (FIT) e o projeto de todos os componentes, é possível calcular a probabilidade de falha. Os valores calculados devem estar em conformidade com o nível SIL. A análise dos modos de falha e seus efeitos nos componentes e no circuito de distribuição (DC), visando aprimorar o fator de segurança do sistema (SFF), resulta em um sistema mais seguro. A norma IEC 61508 impõe requisitos ao SFF que precisam ser atendidos.

O cálculo é a base teórica; ele fornece informações sobre os pontos mais fracos do sistema e comprova que o sistema é suficientemente seguro. Esse cálculo não é necessário para a norma EN 81; atendendo a todas as exigências, os requisitos são cumpridos. Essas exigências descrevem apenas técnicas, mas não fornecem valores numéricos. Não há verificação se o sistema é "suficientemente seguro", portanto, é possível acabar com um sistema matematicamente inseguro.

Por exemplo: dois relés defeituosos podem ser usados ​​em paralelo. Se um deles falhar a cada 10 ciclos, ambos falharão simultaneamente a cada 100 ciclos (excluindo causas comuns). Isso ainda atende à norma EN 81-20 (canal duplo com diagnóstico): é possível detectar a falha de ambos os relés. No entanto, nesse ponto, não é mais possível tomar nenhuma providência. Ao calcularmos as taxas de falha do sistema com base na norma IEC 61508, constataremos imediatamente que os relés não são adequados para este sistema: os valores de FIT (Taxa de Falha de Intrusão) serão extremamente baixos para o número de falhas por hora. Devido ao cálculo, os componentes defeituosos são descartados.

Testes

Todo sistema precisa de testes após o desenvolvimento: sempre existem problemas imprevistos que são filtrados durante a fase de testes. É claro que um sistema PESSRAL será testado, mas qual estratégia de teste é a mais adequada? A maior parte da indústria não tem experiência prática com software de segurança e não existem estratégias de teste obrigatórias ou sequer mencionadas na norma. O método de teste mais conhecido é o teste de caixa-preta/caixa-branca. Essa forma básica de triagem de um sistema é aplicável tanto a sistemas elétricos quanto mecânicos. Ao criar um PESS, o sistema é uma caixa-preta completa. No entanto, a norma IEC 61508 também pode exigir rastreabilidade dos requisitos, modelagem completa, simulação de software e testes de desempenho. Além disso, não há procedimento de teste ou conhecimento sobre falhas de causa comum na norma para elevadores.

Intervalo de teste de prova

Novamente, a vida útil de um sistema não é considerada. Devido ao fato de que a inspeção periódica em sistemas PESS é praticamente impossível, uma vida útil deve ser especificada. O diagnóstico no sistema também não consegue detectar todas as falhas possíveis; o DC é sempre menor que 100%. Normalmente, os sistemas PESS possuem um "intervalo de teste de comprovação" para detectar erros que normalmente não são detectados. A norma EN 81 não exige isso. Isso permite que um sistema acumule uma quantidade infinita de erros e aumenta a possibilidade de ocorrer uma falha perigosa.

Discussão

Neste momento, apenas um pequeno número de elevadores opera com o sistema PESS. Nos que operam, ainda não ocorreram falhas graves. A aplicação do PESS é possível desde a primeira alteração da norma EN 81-1/2, em 2005. Não sabemos quantas instalações estão em funcionamento atualmente, portanto, não podemos determinar por que não houve falhas. Existem algumas explicações possíveis para o fato de não termos tido acidentes:

1. Ao criar algo revolucionário, uma empresa precisa ter absoluta certeza de sua segurança. Caso contrário, o produto não será aceito no mercado pelos clientes. No caso da PESSRAL, a maioria das empresas de elevadores quer ter certeza absoluta de que o produto continuará funcionando após vários anos, por isso provavelmente serão realizados testes de resistência. Este é um método de teste bastante eficaz.
2. Existem poucos sistemas PESSRAL no mundo: a maioria dos elevadores tem uma longa vida útil e os controles não são trocados com frequência. Além disso, o desenvolvimento do PESSRAL está apenas começando: há poucos sistemas PESSRAL no mercado. A maioria ainda está em fase de desenvolvimento.
3. Os principais organismos de certificação também realizam testes em sistemas PESS. Eles têm seus próprios requisitos para os testes ou solicitam um cálculo. Os organismos de certificação também desejam sistemas seguros e a maioria deles sabe como realizar os testes corretamente.
4. Não existe um guia para relatar acidentes, e não podemos ter certeza de que ficaremos sabendo de todos os acidentes no mundo, especialmente relatórios que incluam a causa.

Os maiores problemas dessas possíveis explicações residem no fato de não serem obrigatórias: não há exigências quanto ao tempo de teste, nem exigência de experiência em sistemas de segurança contra incêndio para organismos notificados. Além disso, não existem informações globais sobre catástrofes em elevadores relacionadas a esse tema.

A única maneira de verificar o sistema agora é por meio de testes, mas as estratégias de teste não são descritas.

Conclusão

PESSRAL não é PESS, e isso não se deve apenas à ausência de muitas informações básicas. Toda a estrutura matemática fundamental desapareceu, portanto, não podemos calcular se a probabilidade de falha do sistema está correta. Isso tem um impacto enorme nas falhas de causa comum. Essas são as falhas mais perigosas para um sistema de canal duplo. Além disso, os próprios canais podem ser fabricados com componentes inseguros. A única maneira de verificar o sistema atualmente é por meio de testes, mas as estratégias de teste não são descritas. Até o momento da redação deste documento, ainda não houve acidentes fatais. No entanto, não podemos explicar por que eles não ocorreram nem prever que não ocorrerão. Em suma, é possível construir sistemas inseguros com as regras do PESSRAL. Por enquanto, só podemos esperar que os elevadores permaneçam seguros; para o futuro, precisamos que a norma EN 81-20 seja alterada o mais rápido possível.