Controle de acesso em elevadores: autorização por pavimento, perfis, visitantes, integração com o controlador, falhas, emergência e critérios de projeto.
Confira!
Controle de acesso em elevadores é a integração entre o sistema de autorização de pessoas e o sistema do elevador para limitar quais pavimentos cada identidade pode selecionar ou alcançar, em quais horários e sob quais condições. Em vez de liberar um edifício inteiro depois que a pessoa entra no lobby, o projeto estende a política de segurança verticalmente, aplicando permissões por andar, zona ou grupo de pavimentos.
Um elevador com controle de acesso pode usar cartão, credencial móvel, PIN, biometria ou outro fator para identificar o usuário. A decisão de autorização deve permanecer no domínio apropriado do sistema de controle de acesso, enquanto o comando ao elevador precisa respeitar a arquitetura, as interfaces homologadas e a lógica de segurança do fabricante do equipamento de transporte vertical. A integração não deve criar atalhos que interfiram na cadeia de segurança do elevador.
O tema exige coordenação multidisciplinar. Segurança eletrônica, automação, elétrica, redes, arquitetura, operação predial, sistema de incêndio e a empresa responsável pelo elevador precisam compartilhar requisitos e limites de interface. Por isso, controle de acesso elevador não deve ser tratado como simples instalação de uma leitora dentro da cabine.
O que significa controle de acesso elevador na prática
A expressão controle de acesso elevador normalmente descreve uma política em que a pessoa se autentica e recebe permissão apenas para determinados pavimentos. Dependendo da arquitetura, isso pode ocorrer no hall, dentro da cabine ou em um sistema de despacho por destino.
O resultado esperado é simples de explicar: uma credencial administrativa pode liberar os pavimentos de escritórios; uma equipe de manutenção pode acessar áreas técnicas; um visitante pode alcançar somente o andar do anfitrião; uma pessoa sem autorização para o data center não deve conseguir selecionar esse pavimento.
A implementação, entretanto, possui diferentes níveis de complexidade. O sistema pode atuar sobre contatos discretos, módulos de relé, interfaces fornecidas pelo fabricante ou APIs específicas. A escolha depende do elevador, da idade da instalação, da quantidade de pavimentos, da estratégia de despacho e dos requisitos de segurança.
Controle de elevadores e controle de acesso são sistemas diferentes
A busca por controle de elevadores é mais ampla que controle de acesso. O sistema do elevador executa lógica de movimento, portas, chamadas, despacho, nivelamento e funções de segurança próprias. O sistema de controle de acesso decide se determinada identidade possui autorização para solicitar ou selecionar certos destinos.
Essa separação é essencial. O sistema de segurança não deve assumir funções do controlador do elevador. Ele entrega uma condição de autorização por meio de uma interface definida; o controlador do elevador continua responsável por executar a função de transporte de acordo com sua arquitetura e requisitos de segurança.
| Sistema | Responsabilidade principal |
| Controle de acesso | identidade, autenticação, perfil, horário, autorização e logs |
| Controle do elevador | chamadas, despacho, movimento, portas e funções próprias do elevador |
| Interface | traduzir a autorização em comando compatível e supervisionável |
| Operação predial | regras de uso, exceções, manutenção e resposta a incidentes |
Quando essas fronteiras não são documentadas, surgem problemas como relés conectados a sinais inadequados, ausência de feedback, comandos sem timeout, dificuldade de manutenção e conflitos em modos especiais de operação.
Principais arquiteturas de integração
A integração com elevadores deve nascer no Projeto de Controle de Acesso: perfis, pavimentos, horários, interface e contingências precisam ser definidos antes que cada fornecedor programe sua parte.
Não existe uma única arquitetura de controle de acesso em elevadores. O projeto deve selecionar a estratégia compatível com o sistema instalado e com o nível de integração requerido.
Liberação de botões por pavimento
Em uma arquitetura comum, a autenticação válida habilita temporariamente os botões correspondentes aos pavimentos autorizados. Uma interface entre o sistema de acesso e o elevador recebe a decisão e habilita os destinos permitidos.
Essa abordagem é relativamente direta, mas precisa considerar quantidade de pavimentos, número de cabines, interfaces disponíveis, tempo de habilitação e comportamento quando a comunicação falha.
Autenticação no hall
A pessoa se autentica antes de entrar na cabine. O sistema pode liberar uma chamada específica, associar o usuário a um grupo de elevadores ou encaminhar sua autorização ao sistema de despacho.
Essa arquitetura reduz a necessidade de interação dentro da cabine e pode ser útil em edifícios com fluxo intenso. Exige, porém, integração mais estruturada entre identidade, destino e despacho.
Controle por destino
Em sistemas de destination control, o usuário informa o pavimento antes de embarcar. A integração pode combinar autorização e despacho: o sistema valida se a pessoa pode acessar aquele destino e o controlador de elevadores define qual cabine atenderá a chamada.
O controle de acesso não deve substituir o algoritmo de despacho. Ele deve fornecer ou validar a autorização do destino dentro da interface suportada.
Pavimento padrão após autenticação
Em alguns casos, a identidade pode estar associada a um destino padrão. Um colaborador se autentica e recebe automaticamente uma chamada para seu pavimento habitual. Isso melhora experiência, mas exige tratamento de visitantes, destinos alternativos e exceções.
Da identidade ao pavimento: fluxo funcional da integração
A lógica pode ser representada como uma sequência de responsabilidades:
O ponto crítico é a fronteira entre autorização e comando do elevador. O projeto deve identificar exatamente qual sinal atravessa essa fronteira, em qual direção, por quanto tempo, com qual feedback e em quais estados especiais ele é ignorado ou substituído.
Controle de acesso por pavimento deve nascer da matriz de permissões
A autorização por pavimento não deveria ser configurada de forma isolada. Ela faz parte da mesma política que governa portas, catracas, áreas restritas e horários.
Um perfil pode combinar:
- acesso ao lobby e áreas comuns;
- pavimentos autorizados;
- portas restritas dentro do pavimento;
- horários ou turnos;
- necessidade de autenticação multifator;
- permissões temporárias;
- regras especiais para visitantes e terceiros.
Se uma pessoa pode chegar ao 12º pavimento mas não pode entrar na área protegida existente ali, a política precisa refletir as duas camadas. Em outros casos, o próprio acesso ao pavimento é a principal barreira e deve possuir requisito de autenticação proporcional ao risco.
Perfis de acesso e grupos de pavimentos reduzem complexidade
Configurar permissões por usuário e por botão não escala. O projeto deve criar grupos coerentes de pavimentos e perfis de acesso.
Exemplos podem incluir área administrativa, área técnica, pavimentos executivos, estacionamento, centro de operação e áreas críticas. A classificação deve seguir risco e necessidade operacional, não apenas a sequência numérica dos andares.
Um perfil pode autorizar pavimentos 2, 3 e 4 durante horário normal e liberar o 8º pavimento somente em uma janela de manutenção. Outro pode autorizar o estacionamento e o andar do departamento do usuário, sem acesso aos demais.
O sistema deve também tratar mudanças de função e lotação. A integração com RH ou IAM pode atualizar o perfil, mas a matriz que associa função a pavimentos precisa ser definida pela engenharia.
Elevador com controle de acesso para visitantes
Visitantes são um caso particularmente útil para autorização por pavimento. A credencial temporária pode limitar o destino ao andar do anfitrião, reduzindo circulação não supervisionada.
A regra pode incluir janela de validade, anfitrião, pavimento, áreas de reunião e retorno ao lobby. Em edifícios multiempresa, o mesmo sistema pode impedir que uma visita destinada a uma organização circule por pavimentos de outros ocupantes.
Em sistemas de despacho por destino, a integração pode orientar o visitante para a cabine correta. Em arquiteturas mais simples, a credencial libera apenas o botão autorizado por determinado período.
A experiência precisa ser considerada. Uma política tecnicamente correta, mas incompreensível para visitantes, gera chamados à recepção, tentativas repetidas e exceções manuais.
Terceiros e equipes de manutenção exigem acesso temporário e coordenado
Prestadores podem precisar acessar casa de máquinas, pavimentos técnicos, áreas de telecomunicações ou outras zonas fora do fluxo comum. A permissão deve acompanhar contrato, ordem de serviço, treinamento e janela de execução.
Não é recomendável conceder um perfil permanente “manutenção total” por conveniência. O sistema deve permitir acesso proporcional à atividade e com expiração.
Durante manutenção do próprio elevador, a lógica pode entrar em modos específicos definidos pelo fabricante e pela empresa conservadora. O controle de acesso precisa respeitar esses estados e não impedir procedimentos de manutenção ou resgate previstos para o equipamento.
Multi-tenant: o desafio aumenta quando vários ocupantes compartilham o prédio
Edifícios corporativos com múltiplos locatários exigem governança clara. Cada empresa pode administrar usuários e visitantes, mas a infraestrutura de elevadores é compartilhada.
O projeto deve decidir quem cria perfis, quem autoriza pavimentos, como mudanças de locação são tratadas e como evitar que um administrador de um tenant conceda acesso a outro.
Pode ser necessário separar domínios administrativos no software, manter perfis globais para áreas comuns e perfis locais para cada ocupante. Logs e relatórios também devem respeitar segregação e proteção de dados.
A gestão de pavimentos comuns — garagem, restaurante, auditório, academia — precisa de regras próprias, especialmente quando o acesso varia por horário.
Controle por andar e controle de portas devem contar a mesma história
Um pavimento autorizado no elevador não garante acesso a todas as áreas daquele pavimento. Da mesma forma, uma pessoa autorizada a uma sala não deveria ficar impossibilitada de chegar ao andar correspondente.
O projeto precisa alinhar a matriz de pavimentos com a matriz de portas. Quando os dois sistemas são configurados por equipes diferentes, divergências são comuns.
Um método simples é rastrear cada perfil de ponta a ponta: entrada no prédio, catraca, elevador, pavimento e porta final. O percurso deve ser possível quando autorizado e bloqueado nos pontos corretos quando não autorizado.
Esse teste de jornada é mais representativo do que validar cada equipamento isoladamente.
A interface com o elevador deve ser definida e homologada
O ponto de interface deve preservar responsabilidades: o EACS autoriza; o sistema do elevador executa sua função por meio de interface prevista e homologada. Essa fronteira precisa aparecer no diagrama, na lista de sinais e no escopo contratual.
O ponto de integração precisa ser aprovado para o sistema de elevadores em questão. O projeto deve trabalhar com documentação técnica e com o responsável pelo elevador para identificar interfaces permitidas.
Em soluções discretas, podem existir módulos de I/O dedicados para liberação de pavimentos. Em soluções modernas, podem existir gateways, protocolos ou APIs. O fato de um controlador de acesso possuir saídas a relé não significa que qualquer circuito do elevador possa ser comandado diretamente.
A engenharia deve registrar:
- origem e destino de cada sinal;
- tipo elétrico ou lógico da interface;
- estado normal e estado ativo;
- duração do comando;
- feedback disponível;
- supervisão de falha;
- comportamento na perda de comunicação;
- responsabilidade de fornecimento e configuração.
Interfaces não documentadas criam dependência de conhecimento tácito e dificultam futuras manutenções.
O sistema de acesso não deve interferir na cadeia de segurança do elevador
Normas de segurança de elevadores tratam de funções próprias do equipamento. A ISO 8100-1:2026 é uma referência internacional atual para regras de segurança de construção e instalação de elevadores de passageiros e de passageiros/cargas dentro de seu escopo.
A integração de segurança eletrônica deve ocorrer em pontos previstos para autorização ou comando funcional e não sobre dispositivos que compõem a cadeia de segurança do elevador. Essa fronteira deve ser coordenada com fabricante, projetista ou empresa conservadora conforme o caso.
O objetivo é limitar destinos sem transformar o sistema de controle de acesso em parte improvisada da lógica de movimento.
Incêndio, recall e modos especiais têm precedência sobre a autorização normal
Elevadores podem possuir modos especiais relacionados a incêndio, operação de bombeiros, manutenção, resgate ou outras condições definidas pelo projeto e pela regulamentação aplicável.
A política normal de pavimentos não pode impedir a atuação desses modos. Quando o controlador do elevador entra em estado especial, comandos de acesso podem ser ignorados, substituídos ou tratados de forma específica conforme a interface projetada.
O sistema de controle de acesso precisa registrar quando sua lógica deixa de ser dominante e qual estado é esperado durante a emergência. Essa condição deve aparecer na matriz de causa e efeito e no plano de testes integrados.
Não se deve assumir uma regra universal de comportamento: a resposta depende do projeto do elevador, dos sistemas de incêndio e das exigências aplicáveis ao edifício.
Falta de energia e perda de comunicação precisam de comportamento definido
Uma integração pode falhar em vários pontos: servidor de acesso, rede, controladora, módulo de interface, gateway ou próprio sistema de elevadores.
O projeto precisa estabelecer o que acontece em cada falha. Perguntas relevantes incluem:
- usuários continuam acessando pavimentos autorizados em modo offline?
- quais permissões ficam armazenadas localmente?
- o elevador mantém operação normal sem a integração?
- todos os pavimentos ficam indisponíveis, livres ou seguem configuração local?
- como falhas são sinalizadas ao operador?
- como eventos são reconciliados após o retorno?
A resposta correta depende do risco e da operação. O importante é que ela seja deliberada, e não descoberta durante a primeira falha real.
Cibersegurança passa a importar quando a integração é IP
Quando controle de acesso e controle de elevadores trocam dados por rede, a superfície de ataque aumenta. A integração pode envolver APIs, gateways, servidores ou dispositivos embarcados.
O projeto deve avaliar segmentação, autenticação, credenciais de serviço, certificados, atualização de firmware, logs e regras de firewall. Interfaces não utilizadas devem ser desabilitadas quando possível.
O princípio de menor privilégio também vale para integrações: uma conta utilizada apenas para consultar ou enviar autorização de pavimentos não deve receber permissões administrativas desnecessárias.
A disponibilidade precisa ser considerada junto com a segurança. Um mecanismo extremamente dependente de serviços centrais pode gerar indisponibilidade física se não existir autonomia local adequada.
Como documentar a integração na matriz funcional
A matriz funcional pode conter uma seção específica para elevadores ou uma tabela complementar. O objetivo é tornar cada decisão testável.
| Campo | Exemplo |
| Elevador / grupo | Grupo A – Torres 1 e 2 |
| Perfil | Administrativo Torre 1 |
| Pavimentos | térreo, 2º ao 6º |
| Horário | calendário administrativo |
| Interface | gateway homologado / I/O conforme projeto |
| Comando | habilitar destinos autorizados |
| Feedback | conforme interface disponível |
| Falha | comportamento definido em matriz |
| Emergência | subordinado ao modo especial do elevador |
A documentação deve ser consistente com diagramas, lista de I/O, requisitos de software e responsabilidades de cada fornecedor.
Retrofit exige levantamento muito mais cuidadoso
Em edifícios existentes, o projeto pode encontrar elevadores de diferentes gerações, modernizações parciais e documentação incompleta. Antes de prometer uma integração, é necessário identificar controlador, interfaces disponíveis, fabricante, empresa conservadora e restrições técnicas.
Instalar leitor e relés sem esse levantamento pode resultar em solução frágil ou incompatível. Em alguns casos, a integração desejada pode exigir modernização do sistema do elevador ou módulos específicos do fabricante.
O levantamento deve verificar também espaço físico, alimentação, caminhos de cabos, rede, condições da cabine e pontos de instalação dos dispositivos de autenticação.
Retrofit deve preservar a capacidade de manutenção futura. Alterações precisam ser documentadas e aceitas pelos responsáveis pelos dois sistemas.
Acessibilidade e experiência de uso precisam entrar nos requisitos
Controle de acesso não deve tornar o elevador mais difícil de usar para pessoas com deficiência ou mobilidade reduzida. Altura e posição de leitores, tempo disponível para interação, feedback visual e sonoro e fluxo no hall precisam ser considerados junto com as regras aplicáveis de acessibilidade.
Sistemas de despacho por destino podem demandar interfaces específicas. A autenticação não deve criar etapas incompatíveis com o uso previsto do edifício.
O projeto deve também considerar filas. Se todos os usuários precisam se autenticar em um único leitor no pico de entrada, o gargalo pode migrar da catraca para o elevador.
A engenharia deve avaliar capacidade e fluxo, não apenas a lógica de segurança.
Como especificar controle de acesso em elevadores por desempenho
Uma especificação neutra deve descrever funções e interfaces, evitando amarrar a solução a um fabricante sem justificativa.
Requisitos podem incluir:
- autenticação individual antes da liberação de pavimentos;
- autorização por perfil, pavimento e horário;
- credenciais temporárias para visitantes;
- integração homologada com o controlador do elevador;
- operação definida em falhas e emergência;
- logs de autorização e negação;
- capacidade para quantidade prevista de usuários, cabines e pavimentos;
- segregação administrativa em ambientes multi-tenant;
- testes integrados de ponta a ponta.
A especificação deve ainda declarar responsabilidades: quem fornece interface, quem programa o elevador, quem configura o EACS, quem executa testes e quem aprova a solução.
FAT e SAT devem testar jornadas completas por pavimento
O comissionamento precisa ir além da verificação de um relé. Os testes devem simular usuários e cenários reais.
Casos típicos incluem:
- usuário autorizado no pavimento correto;
- tentativa de selecionar pavimento não autorizado;
- perfil com vários pavimentos;
- visitante limitado a um destino;
- acesso fora do horário;
- expiração de permissão temporária;
- perda de comunicação com o servidor;
- falha da interface;
- retorno da comunicação;
- modo especial ou emergência conforme projeto;
- mudança de perfil;
- desligamento e revogação.
Também é importante testar a jornada desde a entrada no edifício até a área final. A pessoa deve conseguir atravessar todos os pontos previstos e ser bloqueada onde sua autorização termina.
As evidências devem relacionar requisito, perfil, pavimento, resultado esperado e resultado observado.
Coordenação com fabricante ou conservadora é parte da engenharia de interface
O sistema de elevadores possui requisitos próprios de manutenção, garantia e responsabilidade técnica. A integração deve ser coordenada com quem responde pelo equipamento.
Essa coordenação evita que a instalação de controle de acesso altere circuitos não previstos, dificulte assistência técnica ou seja removida durante uma manutenção por falta de documentação.
Em projetos novos, a interface deve entrar cedo nas especificações de ambos os pacotes. Em retrofit, deve ser objeto de levantamento, RFI e validação antes da contratação definitiva.
A fronteira de responsabilidade deve aparecer em documentos: segurança eletrônica entrega determinados sinais; elevadores fornece determinada interface; automação ou rede fornece infraestrutura; comissionamento valida o conjunto.
Como contratar um Projeto de Controle de Acesso com elevadores integrados
A contratação deve informar número de edifícios, elevadores, grupos, pavimentos, perfis, visitantes, horários, cenários de emergência e expectativa de integração. Também deve exigir levantamento da interface quando o sistema existente não estiver documentado.
O projeto precisa entregar ao menos arquitetura, requisitos funcionais, matriz de permissões por pavimento, diagrama de interface, lista de sinais, responsabilidades, critérios de contingência e plano de testes.
Quando a integração é deixada para integrador de segurança e empresa de elevadores resolverem durante a obra, surgem lacunas contratuais: cada parte pressupõe que a outra fornecerá módulos, programação ou sinais. Engenharia antecipada transforma essas interfaces em escopo verificável.
Considerações finais
Controle de acesso em elevadores é a aplicação da política de identidade e autorização à circulação vertical. As buscas por controle de acesso elevador, controle de elevadores e elevador com controle de acesso convergem quando o problema é limitar pavimentos por identidade, perfil e horário.
A solução correta separa responsabilidades: o EACS decide a autorização; a interface entrega a condição de forma suportada; o controlador do elevador executa sua função sem violação da cadeia de segurança. Perfis, pavimentos, visitantes, horários, falhas, emergência, cibersegurança e comissionamento precisam ser definidos antes da implantação. Essa é a diferença entre instalar uma leitora em uma cabine e projetar uma integração de controle de acesso realmente governável.
O aceite precisa testar a jornada completa do usuário, do lobby ao pavimento e à área final, incluindo falhas e modos especiais. Isso exige critérios definidos no projeto, não apenas testes isolados dos equipamentos.
Referências técnicas
[1] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 60839-11-1:2013 — Alarm and electronic security systems — Part 11-1: Electronic access control systems — System and components requirements. 2013. Disponível em: https://webstore.iec.ch/en/publication/3662.
[2] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 60839-11-2:2014 — Alarm and electronic security systems — Part 11-2: Electronic access control systems — Application guidelines. 2014. Disponível em: https://webstore.iec.ch/en/publication/3663.
[3] INTERNATIONAL ORGANIZATION FOR STANDARDIZATION. ISO 8100-1:2026 — Lifts for the transport of persons and goods — Part 1: Safety rules for the construction and installation of passenger and goods passenger lifts. 2026. Disponível em: https://www.iso.org/standard/80553.html.
[4] NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. Electronic Physical Access Control Systems — Security Control Overlay of SP 800-53 Revision 5. 2021. Disponível em: https://csrc.nist.gov/CSRC/media/Projects/risk-management/documents/overlayRepo/Electronic%20Physical%20Access%20Control%20Systems/ePACS%20Overlay_v1_SP800-53rev5-April2021.pdf.
Perguntas frequentes
A pessoa se autentica, o sistema de controle de acesso verifica seu perfil e autoriza apenas os pavimentos permitidos. A decisão é enviada ao sistema do elevador por uma interface prevista e homologada, sem substituir a lógica de segurança do elevador.
Sim. Uma arquitetura pode habilitar apenas os pavimentos autorizados para determinada credencial, perfil e horário, desde que a interface com o controlador do elevador suporte essa função.
Não. Controle de elevadores inclui movimento, despacho, portas e funções próprias do equipamento. Controle de acesso elevador trata da autorização de usuários e destinos e se integra ao controlador por uma interface definida.
Pode, assim como cartão, credencial móvel ou PIN. O método de autenticação deve ser selecionado conforme risco, fluxo, acessibilidade e operação.
A credencial temporária pode liberar somente o pavimento do anfitrião ou outros destinos autorizados durante uma janela de validade, com expiração automática após a visita.
Não deve. A integração deve usar interfaces apropriadas e coordenadas com o responsável pelo elevador. O sistema de acesso não deve alterar ou contornar a cadeia de segurança do equipamento.
A política normal de acesso pode deixar de ser dominante conforme a lógica de emergência e o projeto do elevador. Esse comportamento deve ser definido na matriz de causa e efeito e testado de forma integrada.
O SAT deve testar perfis autorizados e negados, pavimentos, horários, visitantes, falhas, operação offline, mudança de perfil e modos especiais previstos, sempre com evidências de ponta a ponta.
Materiais técnicos complementares
Serviços relacionados
- Projeto de Controle de Acesso
- Projeto de Segurança Eletrônica Integrada: CFTV, acesso, intrusão e integração
- Comissionamento de Engenharia: planejamento, testes, prontidão e handover
Conteúdos principais sobre o tema
- Sistema de Controle de Acesso: tipos, tecnologias, normas e projeto
- Níveis de acesso e perfis de acesso: como definir zonas, áreas e permissões
Conteúdos técnicos correlatos
- Matriz funcional de controle de acesso: como especificar cada ponto
- Integração entre controle de acesso, RH, Active Directory e IAM
- Gestão de visitantes integrada ao controle de acesso
- Controle de acesso e incêndio: liberação, emergência e matriz de causa e efeito
- API, webhooks e middleware em controle de acesso
- Comissionamento de sistemas de controle de acesso conforme a IEC 60839
