O PLC de segurança desarma sem motivo: projetando um SIS que resista a falhas de causa comum

Por que um PLC de segurança redundante desarma inesperadamente quando nenhum componente individual falhou?

Quando um sistema instrumentado de segurança (SIS) desarma inesperadamente e interrompe a produção, operadores e técnicos frequentemente culpam falhas na lógica do software. No entanto, a causa raiz muitas vezes está na infraestrutura física compartilhada. Embora a redundância modular tripla (TMR) supere com eficácia falhas aleatórias de hardware, ela oferece proteção zero contra uma única vulnerabilidade que deixa todos os canais redundantes cegos ao mesmo tempo. Esse fenômeno é conhecido como Falha de Causa Comum (CCF).

É fundamental distinguir falhas aleatórias de eventos de causa comum. Uma falha aleatória desativa um único canal, que a lógica interna de votação 2oo3 mascara perfeitamente. Em contrapartida, um evento de causa comum afeta todos os canais simultaneamente por meio de um ponto fraco compartilhado, tornando a redundância de hardware inútil. Para manter a integridade da segurança funcional segundo as normas IEC 61511, trate a CCF como uma questão fundamental de projeto do sistema, e não como um reparo de manutenção isolado.

Quais causas raiz comuns deixam os canais de segurança redundantes cegos simultaneamente?

Mesmo em arquiteturas de alta confiabilidade que utilizam racks de segurança, como o Módulo de Entrada Analógica Invensys Triconex 3720 ou o Módulo de Saída Analógica Invensys Triconex 4118, vulnerabilidades compartilhadas podem comprometer loops de segurança inteiros:

• Linhas de Impulso e Elementos Primários Compartilhados: Dois transmissores que compartilham uma única tomada de processo ou estão montados na mesma placa de orifício/annubar produzirão leituras falsas idênticas se essa tomada entupir.
• Alimentação de Ar de Instrumentação Comum: Depender de um único regulador ou coletor de ar para alimentar elementos finais de controle redundantes significa que um bloqueio no fornecimento de ar deixará ambas as válvulas travadas.
• Leitos de Cabos Compartilhados e EMI: Instalar cabos de alimentação de alta tensão e sinais de segurança sensíveis de 4–20 mA no mesmo leito expõe todos os canais de segurança simultaneamente a picos eletromagnéticos.
• Queda de Tensão no Loop: Trechos longos de cabos que reduzem a tensão nos terminais abaixo do mínimo de 10–12 VCC dos transmissores de dois fios fazem com que todos os transmissores daquele ramal parem de funcionar juntos.
• Acoplamento de Blocos de Função do Software: Mapear duas tags redundantes dentro do mesmo bloco de função lógica ou linha de ladder introduz vulnerabilidades algorítmicas que fazem ambos os canais falharem simultaneamente.
• Rotinas de Manutenção Compartilhadas: Calibrar ou lavar um transmissor em um manifold compartilhado pode perturbar inadvertidamente seu transmissor redundante durante a operação da planta.

Como a diversidade tecnológica e a separação física protegem o SIS contra falhas do BPCS?

A independência arquitetônica só é significativa quando reforçada pela diversidade física. Sempre que o processo industrial permitir, utilize tecnologias de medição diversas, como combinar um transmissor de nível por radar de onda guiada com um transmissor de pressão diferencial, em vez de instalar duas células DP idênticas.

Além disso, os controladores de segurança devem permanecer rigorosamente segregados do Sistema Básico de Controle de Processo (BPCS). Mantenha o BPCS e o SIS em gabinetes distintos, com alimentações dedicadas, barras de aterramento isoladas e vias de cabos separadas. Controladores de segurança dedicados, como o Controlador Relacionado à Segurança HIMA HIMatrix F35 ou o Módulo Digital HIMA F3 DIO 20/8 01 HIMatrix, fornecem execução determinística dedicada e cadeias de ferramentas de engenharia separadas. Ao se comunicar com camadas DCS de supervisão por meio do Módulo de Comunicação de Alta Velocidade Invensys Triconex 4354, mantenha limites de firewall somente leitura e nunca copie e cole lógica de controle não verificada entre barreiras de segurança.

O que é o Fator Beta na IEC 61511 e como ele afeta a verificação do SIL?

Os cálculos do Nível de Integridade de Segurança (SIL) devem considerar matematicamente a suscetibilidade à causa comum usando o Fator Beta (β), definido pelas normas IEC 61508 e IEC 61511 como a fração da taxa geral de falhas atribuível a uma causa comum compartilhada. Embora projetos de referência frequentemente assumam um fator β entre 1% e 5%, essa estimativa conservadora pressupõe segregação física rigorosa e disciplina de engenharia.

Não aplicar a separação física pode facilmente triplicar o fator beta real, degradando severamente a Probabilidade Média de Falha sob Demanda (PFDavg) calculada e invalidando sua certificação SIL 2 ou SIL 3. Sempre calcule e documente seu fator β justificável dentro da Especificação de Requisitos de Segurança (SRS) e reavalie-o após qualquer modificação na fiação ou no layout.

Como os engenheiros devem realizar uma auditoria em campo para verificar a independência dos loops de segurança?

Para confirmar que suas funções instrumentadas de segurança (SIF) são realmente independentes, execute a seguinte sequência de auditoria em campo:

• Etapa 1 (Inspeção das Linhas de Impulso): Rastreie fisicamente as linhas de medição até a tomada de processo; elimine quaisquer tomadas de processo ou manifolds compartilhados entre pares redundantes.
• Etapa 2 (Verificação da Separação dos Cabos): Revise as listas de cabos e inspecione os leitos em campo para garantir que a fiação dos instrumentos de segurança esteja isolada das linhas de alimentação e da fiação do BPCS.
• Etapa 3 (Medição da Tensão nos Terminais): Meça a tensão nos terminais sob o consumo máximo de corrente para garantir que ela atenda aos limites mínimos de operação do transmissor.
• Etapa 4 (Revisão da Lógica da Aplicação): Audite os programas de lógica de segurança linha por linha, garantindo que as entradas redundantes não passem por blocos de cálculo compartilhados ou linhas interdependentes.
• Etapa 5 (Documentação do Beta na SRS): Verifique se o fator β adotado está devidamente justificado e arquivado na documentação formal da SRS.
• Etapa 6 (Teste Parcial de Curso): Realize testes parciais de curso (PST) nas válvulas de bloqueio final para avaliar os tempos de deslocamento das válvulas e eliminar travamentos mecânicos.

Resumo: quais são os principais pontos para eliminar falhas de causa comum?

A falha de causa comum transforma um sistema de segurança com redundância tripla em um ponto único de falha dispendioso. A proteção verdadeira exige identificar ativamente as dependências físicas compartilhadas, projetar diversidade tecnológica nos sensores e solucionadores e justificar as metas de SIL com cálculos verificados do fator beta. Reserve um tempo esta semana para auditar um loop de segurança crítico em sua instalação - sua barreira de segurança é tão forte quanto a vulnerabilidade compartilhada que você descobrir.

Autor: Deng Weiguang é engenheiro de automação industrial com mais de 10 anos de experiência em PLC, DCS e sistemas de controle.