Na segurança funcional, uma função de segurança da máquina deve fazer mais do que reagir uma única vez. Ela deve atuar de forma confiável sob condições previsíveis de operação e de falha.
É aí que os Níveis de Desempenho, ou PL, se tornam importantes. Um Nível de Desempenho especifica a capacidade de partes de um sistema de controle relacionadas à segurança de executar uma função de segurança definida. Na prática, isso ajuda os engenheiros a avaliar se um circuito ou um subcircuito de segurança oferecem o nível necessário de redução de riscos.
Este artigo oferece uma visão geral compacta dos principais parâmetros usados para determinar o Nível de Desempenho. Destina-se a servir como um guia técnico, não substituindo uma avaliação de riscos específica do projeto, validação ou revisão das normas.
Um Nível de Desempenho descreve a capacidade de um circuito de segurança de executar uma função de segurança em condições previsíveis. Os Níveis de Desempenho são especificados em cinco níveis distintos:
PL a representa o nível mais baixo e PL e o nível mais alto desta classificação.
Os Níveis de Desempenho são determinados apenas para circuitos ou subcircuitos de segurança completos. Eles não são atribuídos a componentes padrão isolados sem que se considere a função completa relacionada à segurança e a arquitetura do circuito.
Antes que um Nível de Desempenho possa ser avaliado, o risco da máquina deve ser determinado. A avaliação de riscos define o nível necessário de redução dos riscos para cada função de segurança.
Com base nessa avaliação de riscos, um Nível de Desempenho necessário é atribuído a cada circuito de segurança que executa uma função ou uma subfunção de segurança. O Nível de Desempenho alcançado pelo circuito implementado deve então ser avaliado em relação a esse requisito.
Esta sequência é importante:
1. Identificar o perigo
2. Determinar o Nível de Desempenho necessário
3. Definir a função de segurança necessária
4. Construir o circuito ou o subcircuito de segurança
5. Avaliar se o Nível de Desempenho alcançado atende ao requisito
6. Validar a função de segurança no contexto da máquina
Vários parâmetros quantitativos e qualitativos influenciam o Nível de Desempenho alcançado. A seguinte visão geral explica os mais importantes.
A estrutura de um circuito de segurança depende do layout dos componentes, diagnóstico e medidas de confiabilidade. Essas estruturas são divididas em categorias de B a 4.
A categoria descreve o grau de resistência a falhas do circuito de segurança e como este se comporta quando uma falha ocorre. Por exemplo, a arquitetura pode influenciar se uma falha única pode levar à perda da função de segurança ou se a falha é detectada e gerenciada.
O Tempo médio até falha perigosa, ou MTTFD, considera a confiabilidade dos componentes usados no circuito de segurança.
MTTFD foca as falhas perigosas. Tais falhas podem impedir que a função de segurança seja executada corretamente. Os dados de confiabilidade de todos os componentes relevantes relacionados à segurança devem ser considerados no contexto do circuito completo.
Cobertura de diagnóstico, ou DC, mede a eficácia do diagnóstico no circuito de segurança.
Descreve a proporção de falhas perigosas que podem ser detectadas em comparação com falhas perigosas que permanecem não detectadas. Em geral, um risco maior requer um diagnóstico mais eficaz. As medidas de diagnóstico podem, portanto, ter uma grande influência no Nível de Desempenho alcançado.
Falhas de causa comum, ou CCF, ocorrem quando duas ou mais falhas distintas são causadas pelo mesmo problema.
Isso é especialmente relevante para circuitos de segurança multicanais. Mesmo se dois canais forem construídos separadamente, uma causa comum, como estresse ambiental, instalação incorreta, suposições inadequadas de construção ou um problema compartilhado de fornecimento, pode afetar ambos os canais. Medidas contra falhas de causa comum ajudam a reduzir a probabilidade de que múltiplos canais falhem pelo mesmo motivo.
O comportamento de um circuito de segurança em condições de falha deve ser avaliado. Falhas e defeitos importantes devem ser analisados por meio de métodos adequados, tais como:
Dependendo da aplicação, categoria do circuito e componentes selecionados, medidas adicionais de construção ou de diagnóstico podem ser necessárias para atender aos requisitos da ISO 13849.
Se o software de usuário relacionado à segurança fizer parte do sistema de controle, o processo de desenvolvimento deve incluir medidas de prevenção de falhas.
Um modelo de desenvolvimento estruturado, como o modelo V, pode oferecer suporte à especificação, implementação, verificação e validação. O objetivo é obter um software legível, compreensível, testável, fácil de manter e, tanto quanto possível, isento de falhas.
Falhas sistemáticas não são falhas aleatórias de hardware. Geralmente resultam de fatores humanos, de processo ou de construção.
Alguns exemplos são:
Um plano de segurança funcional é uma das ferramentas mais importantes para mitigar falhas sistemáticas. Nele, são definidas medidas para prevenir especificação, implementação, verificação, validação ou modificação posterior incorretas das funções relacionadas à segurança.
A avaliação final do Nível de Desempenho reúne todos os parâmetros relevantes. A visão geral deve mostrar como a categoria do circuito, MTTFD, cobertura de diagnóstico, medidas de falha de causa comum, comportamento de falhas, qualidade do software e medidas de falha sistemática contribuem para o PL alcançado da função de segurança.
Avaliar o Nível de Desempenho não é apenas um exercício de cálculo. É uma tarefa de engenharia de segurança que depende do contexto completo da máquina.
O mesmo componente pode se comportar de forma diferente dependendo da função de segurança, estrutura do circuito, diagnóstico, software, ambiente e conceito de validação. Por isso, os circuitos relacionados à segurança devem ser avaliados em relação às funções ou subfunções gerais, não aos componentes isolados.
A Festo oferece aos construtores de máquinas componentes de automação, documentação e conhecimento de aplicações que podem oferecer suporte durante o trabalho de construção relacionado à segurança. A responsabilidade final pela avaliação de riscos, implementação e validação continua sendo do construtor de máquinas ou da equipe de engenharia.