Este artigo discute o projeto e a implementação de sistemas de controle relacionados à segurança que lidam com todos os tipos de sistemas elétricos, eletrônicos e eletrônicos programáveis ​​(incluindo sistemas baseados em computador). A abordagem geral está de acordo com a proposta de Norma 1508 da Comissão Eletrotécnica Internacional (IEC) (Segurança Funcional: Relacionada à Segurança 

sistemas) (CEI 1993).

Contexto

Durante a década de 1980, os sistemas baseados em computador – geralmente referidos como sistemas eletrônicos programáveis ​​(PESs) – foram cada vez mais usados ​​para realizar funções de segurança. As principais forças motrizes por trás dessa tendência foram (1) funcionalidade aprimorada e benefícios econômicos (particularmente considerando o ciclo de vida total do dispositivo ou sistema) e (2) o benefício específico de certos designs, que só poderiam ser realizados quando a tecnologia de computador fosse usada . Durante a introdução inicial de sistemas baseados em computador, uma série de descobertas foram feitas:

• A introdução do controle por computador foi mal pensada e planejada.
• Requisitos de segurança inadequados foram especificados.
• Foram desenvolvidos procedimentos inadequados no que diz respeito à validação de software.
• Evidências de mau acabamento foram divulgadas com relação ao padrão de instalação da planta.
• Documentação inadequada foi gerada e não validada adequadamente com relação ao que realmente estava na planta (diferente do que se pensava estar na planta).
• Procedimentos de operação e manutenção menos do que totalmente eficazes foram estabelecidos.
• Havia evidentemente uma preocupação justificada com a competência das pessoas para desempenhar as funções que lhes eram exigidas.

Para resolver esses problemas, vários órgãos publicaram ou começaram a desenvolver diretrizes para permitir a exploração segura da tecnologia PES. No Reino Unido, o Health and Safety Executive (HSE) desenvolveu diretrizes para sistemas eletrônicos programáveis ​​usados ​​para aplicações relacionadas à segurança e, na Alemanha, um projeto de norma (DIN 1990) foi publicado. Dentro da Comunidade Européia, um elemento importante no trabalho sobre as Normas Européias harmonizadas relativas aos sistemas de controle relacionados à segurança (incluindo aqueles que empregam PESs) foi iniciado em conexão com os requisitos da Diretiva de Máquinas. Nos Estados Unidos, a Instrument Society of America (ISA) produziu um padrão sobre PESs para uso nas indústrias de processo, e o Center for Chemical Process Safety (CCPS), uma diretoria do American Institute of Chemical Engineers, produziu diretrizes para o setor de processos químicos.

Uma importante iniciativa de padronização está ocorrendo atualmente dentro da IEC para desenvolver um padrão internacional de base genérica para sistemas elétricos, eletrônicos e eletrônicos programáveis ​​(E/E/PES) relacionados à segurança que possam ser usados ​​por muitos setores de aplicações, incluindo o processo, setores médico, transporte e maquinário. O padrão internacional IEC proposto compreende sete partes sob o título geral IEC 1508. Segurança funcional de sistemas elétricos/eletrônicos/eletrônicos programáveis ​​relacionados à segurança. As várias Partes são as seguintes:

• Parte 1. Requisitos gerais
• Parte 2. Requisitos para sistemas elétricos, eletrônicos e eletrônicos programáveis
• Parte 3. Requisitos de software
• Parte 4.Definições
• Parte 5. Exemplos de métodos para a determinação dos níveis de integridade de segurança
• Parte 6. Diretrizes sobre a aplicação das Partes 2 e 3
• Parte 7.Visão geral das técnicas e medidas.

Quando finalizada, esta Norma Internacional de base genérica constituirá uma publicação de segurança básica IEC abrangendo segurança funcional para sistemas elétricos, eletrônicos e eletrônicos programáveis ​​relacionados à segurança e terá implicações para todas as normas IEC, abrangendo todos os setores de aplicação no que diz respeito ao futuro design e uso de sistemas elétricos/eletrônicos/eletrônicos programáveis ​​relacionados à segurança. Um dos principais objetivos da norma proposta é facilitar o desenvolvimento de normas para os diversos setores (ver figura 1).

Figura 1. Normas setoriais genéricas e de aplicação

Benefícios e problemas do PES

A adoção de PESs para fins de segurança tinha muitas vantagens potenciais, mas foi reconhecido que elas seriam alcançadas apenas se metodologias de projeto e avaliação apropriadas fossem usadas, porque: (1) muitos dos recursos dos PESs não permitem a integridade da segurança (que ou seja, o desempenho de segurança dos sistemas que executam as funções de segurança necessárias) seja previsto com o mesmo grau de confiança tradicionalmente disponível para sistemas menos complexos baseados em hardware (“com fio”); (2) reconheceu-se que, embora o teste fosse necessário para sistemas complexos, não era suficiente por si só. Isso significava que, mesmo que o PES estivesse implementando funções de segurança relativamente simples, o nível de complexidade da eletrônica programável era significativamente maior do que o dos sistemas com fio que estavam substituindo; e (3) esse aumento na complexidade significou que as metodologias de projeto e avaliação tiveram que receber muito mais consideração do que anteriormente, e que o nível de competência pessoal necessário para atingir níveis adequados de desempenho dos sistemas relacionados à segurança foi posteriormente maior.

Os benefícios dos PESs baseados em computador incluem o seguinte:

• a capacidade de realizar verificações de prova de diagnóstico on-line em componentes críticos em uma frequência significativamente maior do que seria o caso
• o potencial para fornecer intertravamentos de segurança sofisticados
• a capacidade de fornecer funções de diagnóstico e monitoramento de condições que podem ser usadas para analisar e relatar o desempenho de instalações e máquinas em tempo real
• a capacidade de comparar as condições reais da planta com as condições do modelo “ideal”
• o potencial de fornecer melhores informações aos operadores e, portanto, melhorar a tomada de decisões que afetam a segurança
• o uso de estratégias avançadas de controle para permitir que operadores humanos sejam localizados remotamente de ambientes perigosos ou hostis
• a capacidade de diagnosticar o sistema de controle de um local remoto.

O uso de sistemas baseados em computador em aplicações relacionadas à segurança cria uma série de problemas que precisam ser tratados adequadamente, como os seguintes:

• Os modos de falha são complexos e nem sempre previsíveis.
• O teste do computador é necessário, mas não é suficiente por si só para estabelecer que as funções de segurança serão executadas com o grau de certeza exigido pela aplicação.
• Os microprocessadores podem ter variações sutis entre lotes diferentes e, portanto, lotes diferentes podem exibir comportamentos diferentes.
• Sistemas baseados em computador desprotegidos são particularmente suscetíveis a interferência elétrica (interferência irradiada; “picos” elétricos na rede elétrica, descargas eletrostáticas, etc.).
• É difícil e muitas vezes impossível quantificar a probabilidade de falha de sistemas complexos relacionados à segurança que incorporam software. Como nenhum método de quantificação foi amplamente aceito, a garantia de software foi baseada em procedimentos e padrões que descrevem os métodos a serem usados ​​no projeto, implementação e manutenção do software.

Sistemas de segurança sob consideração

Os tipos de sistemas relacionados à segurança considerados são elétricos, eletrônicos e sistemas eletrônicos programáveis ​​(E/E/PESs). O sistema inclui todos os elementos, particularmente sinais que se estendem de sensores ou de outros dispositivos de entrada no equipamento sob controle e transmitidos por meio de autoestradas de dados ou outros caminhos de comunicação para os atuadores ou outros dispositivos de saída (consulte a figura 2).

Figura 2. Sistema elétrico, eletrônico e eletrônico programável (E/E/PES)

O termo dispositivo eletrônico elétrico, eletrônico e programável tem sido usado para abranger uma ampla variedade de dispositivos e abrange as três classes principais a seguir:

1. dispositivos elétricos, como relés eletromecânicos
2. dispositivos eletrônicos, como instrumentos eletrônicos de estado sólido e sistemas lógicos
3. dispositivos eletrônicos programáveis, que inclui uma ampla variedade de sistemas baseados em computador, como os seguintes:

• microprocessadores
• microcontroladores
• controladores programáveis ​​(PCs)
• circuitos integrados específicos de aplicação (ASICs)
• controladores lógicos programáveis ​​(CLPs)
• outros dispositivos baseados em computador (por exemplo, sensores, transmissores e atuadores “inteligentes”).

Por definição, um sistema relacionado à segurança serve a dois propósitos:

1. Ele implementa as funções de segurança necessárias para alcançar um estado seguro para o equipamento sob controle ou manter um estado seguro para o equipamento sob controle. O sistema relacionado à segurança deve executar as funções de segurança especificadas na especificação de requisitos de funções de segurança para o sistema. Por exemplo, a especificação dos requisitos das funções de segurança pode indicar que, quando a temperatura atingir um determinado valor xválvula y deve abrir para permitir a entrada de água no recipiente.
2. Ele atinge, sozinho ou com outros sistemas relacionados à segurança, o nível necessário de integridade de segurança para a implementação das funções de segurança necessárias. As funções de segurança devem ser executadas pelos sistemas relacionados à segurança com o grau de confiança adequado à aplicação, a fim de atingir o nível de segurança exigido para o equipamento sob controle.

Este conceito é ilustrado na figura 3.

Figura 3. Principais recursos dos sistemas relacionados à segurança

Falhas do sistema

Para garantir a operação segura dos sistemas relacionados à segurança E/E/PES, é necessário reconhecer as várias causas possíveis de falha do sistema relacionado à segurança e garantir que sejam tomadas as precauções adequadas contra cada uma delas. As falhas são classificadas em duas categorias, conforme ilustrado na figura 4.

Figura 4. Categorias de falha

1. Falhas aleatórias de hardware são aquelas que resultam de uma variedade de mecanismos normais de degradação no hardware. Existem muitos desses mecanismos ocorrendo em taxas diferentes em diferentes componentes e, como as tolerâncias de fabricação fazem com que os componentes falhem devido a esses mecanismos após diferentes tempos de operação, as falhas de um item total do equipamento que compreende muitos componentes ocorrem em momentos imprevisíveis (aleatórios). As medidas de confiabilidade do sistema, como o tempo médio entre falhas (MTBF), são valiosas, mas geralmente dizem respeito apenas a falhas aleatórias de hardware e não incluem falhas sistemáticas.
2. Falhas sistemáticas surgem de erros no projeto, construção ou uso de um sistema que o faz falhar sob alguma combinação particular de entradas ou sob alguma condição ambiental particular. Se ocorrer uma falha de sistema quando surgir um conjunto específico de circunstâncias, sempre que essas circunstâncias surgirem no futuro, sempre haverá uma falha de sistema. Qualquer falha de um sistema relacionado à segurança que não decorra de uma falha aleatória de hardware é, por definição, uma falha sistemática. As falhas sistemáticas, no contexto dos sistemas relacionados à segurança E/E/PES, incluem:

• falhas sistemáticas devido a erros ou omissões na especificação dos requisitos das funções de segurança
• falhas sistemáticas devido a erros no projeto, fabricação, instalação ou operação do hardware. Isso incluiria falhas decorrentes de causas ambientais e erro humano (por exemplo, operador)
• falhas sistemáticas devido a falhas no software
• falhas sistemáticas devido a erros de manutenção e modificação.

Proteção de Sistemas Relacionados à Segurança

Os termos usados ​​para indicar as medidas de precaução exigidas por um sistema relacionado à segurança para proteção contra falhas aleatórias de hardware e falhas sistemáticas são medidas de integridade de segurança de hardware e medidas sistemáticas de integridade de segurança respectivamente. As medidas de precaução que um sistema relacionado à segurança pode aplicar contra falhas aleatórias de hardware e falhas sistemáticas são denominadas integridade de segurança. Esses conceitos são ilustrados na figura 5.

Figura 5. Termos de desempenho de segurança

Dentro do padrão internacional proposto IEC 1508, existem quatro níveis de integridade de segurança, denominados níveis de integridade de segurança 1, 2, 3 e 4. O nível de integridade de segurança 1 é o nível de integridade de segurança mais baixo e o nível de integridade de segurança 4 é o mais alto. O nível de integridade de segurança (seja 1, 2, 3 ou 4) para o sistema relacionado à segurança dependerá da importância do papel que o sistema relacionado à segurança está desempenhando na obtenção do nível de segurança exigido para o equipamento sob controle. Vários sistemas relacionados à segurança podem ser necessários - alguns dos quais podem ser baseados em tecnologia pneumática ou hidráulica.

Projeto de Sistemas Relacionados à Segurança

Uma análise recente de 34 incidentes envolvendo sistemas de controle (HSE) descobriu que 60% de todos os casos de falha foram “embutidos” antes que o sistema de controle relacionado à segurança fosse colocado em uso (figura 7). A consideração de todas as fases do ciclo de vida da segurança é necessária para a produção de sistemas relacionados à segurança adequados.

Figura 7. Causa primária (por fase) de falha do sistema de controle

A segurança funcional dos sistemas relacionados à segurança depende não apenas de garantir que os requisitos técnicos sejam especificados adequadamente, mas também de garantir que os requisitos técnicos sejam efetivamente implementados e que a integridade do projeto inicial seja mantida durante toda a vida útil do equipamento. Isso só pode ser alcançado se um sistema de gerenciamento de segurança eficaz estiver em vigor e as pessoas envolvidas em qualquer atividade forem competentes com relação às funções que devem desempenhar. Particularmente quando sistemas complexos relacionados à segurança estão envolvidos, é essencial que um sistema de gerenciamento de segurança adequado esteja em vigor. Isso leva a uma estratégia que garante o seguinte:

• Existe um sistema de gestão de segurança eficaz.
• Os requisitos técnicos especificados para os sistemas relacionados à segurança E/E/PES são suficientes para lidar com hardware aleatório e causas de falha sistemática.
• A competência das pessoas envolvidas é adequada às funções que têm de desempenhar.

Para abordar todos os requisitos técnicos relevantes de segurança funcional de maneira sistemática, o conceito de Safety Lifecycle foi desenvolvido. Uma versão simplificada do Safety Lifecycle no padrão internacional emergente IEC 1508 é mostrada na figura 8. As principais fases do Safety Lifecycle são:

Figura 8. Papel do Ciclo de Vida de Segurança na obtenção da segurança funcional

• especificação
• design e implementação
• instalação e comissionamento
• operação e manutenção
• alterações após o comissionamento.

Nível de segurança

A estratégia de projeto para a obtenção de níveis adequados de integridade de segurança para os sistemas relacionados à segurança é ilustrada na figura 9 e na figura 10. Um nível de integridade de segurança é baseado no papel que o sistema relacionado à segurança está desempenhando na obtenção do nível geral de segurança para os equipamentos sob controle. O nível de integridade de segurança especifica as precauções que precisam ser levadas em consideração no projeto contra falhas aleatórias de hardware e falhas sistemáticas.

Figura 9. Papel dos níveis de integridade de segurança no processo de projeto

Figura 10. Papel do Ciclo de Vida de Segurança no processo de especificação e projeto

O conceito de segurança e nível de segurança se aplica ao equipamento sob controle. O conceito de segurança funcional se aplica aos sistemas relacionados à segurança. A segurança funcional para os sistemas relacionados à segurança deve ser alcançada se um nível adequado de segurança for alcançado para o equipamento que está causando o perigo. O nível de segurança especificado para uma situação específica é um fator chave na especificação dos requisitos de integridade de segurança para os sistemas relacionados à segurança.

O nível de segurança exigido dependerá de muitos fatores, por exemplo, a gravidade da lesão, o número de pessoas expostas ao perigo, a frequência com que as pessoas são expostas ao perigo e a duração da exposição. Fatores importantes serão a percepção e as opiniões daqueles expostos ao evento perigoso. Para chegar ao que constitui um nível de segurança adequado para uma aplicação específica, várias entradas são consideradas, incluindo as seguintes:

• requisitos legais relevantes para a aplicação específica
• orientações da autoridade reguladora de segurança apropriada
• discussões e acordos com as diferentes partes envolvidas na aplicação
• padrões da indústria
• normas nacionais e internacionais
• o melhor conselho industrial, especializado e científico independente.

Sumário

Ao projetar e usar sistemas relacionados à segurança, deve-se lembrar que é o equipamento sob controle que cria o perigo potencial. Os sistemas relacionados à segurança são projetados para reduzir a frequência (ou probabilidade) do evento perigoso e/ou as consequências do evento perigoso. Uma vez que o nível de segurança foi definido para o equipamento, o nível de integridade de segurança para o sistema relacionado à segurança pode ser determinado, e é o nível de integridade de segurança que permite ao projetista especificar as precauções que precisam ser incorporadas ao projeto para ser implantado contra hardware aleatório e falhas sistemáticas.

Voltar