Fail-safe x fail-secure em controle de acesso: entenda o comportamento da porta na falta de energia, relação com rota de fuga, incêndio, REX, alimentação e testes.
Confira!
Fail-safe e fail-secure definem o comportamento do dispositivo de travamento quando ocorre perda de alimentação ou uma condição de falha prevista. Em controle de acesso, fail-safe normalmente significa que o dispositivo libera a passagem quando perde energia, enquanto fail-secure significa que permanece travado do ponto de vista da entrada protegida. A escolha não deve ser feita apenas pela criticidade patrimonial: precisa considerar rota de fuga, segurança de pessoas, estratégia de incêndio, tipo de ferragem, alimentação de reserva, saída mecânica, lógica de emergência, risco da área e modo de operação da porta.
O ponto mais importante é separar duas perguntas que muitas especificações misturam: o que acontece com a entrada quando falta energia? e como uma pessoa sai do ambiente em condição normal ou de emergência? Uma porta pode permanecer protegida contra entrada não autorizada e, ao mesmo tempo, permitir saída livre por mecanismo mecânico independente. Por isso, fail-safe e fail-secure não são rótulos suficientes para definir uma porta: são apenas parte da matriz funcional do ponto de acesso.
O que significam fail-safe e fail-secure na IEC 60839
A ABNT NBR IEC 60839-11-2:2019 define os dois conceitos no contexto dos sistemas eletrônicos de controle de acesso. O termo fail-safe, traduzido na norma como “à prova de falha” e associado a fail-open, descreve um dispositivo de travamento projetado para liberar automaticamente quando ocorre falha da alimentação. Já fail-secure, associado a fail-locked, descreve o dispositivo projetado para permanecer fechado quando a alimentação falha.
Essa definição é funcional. Ela não determina, sozinha, se uma porta inteira é segura, se atende à estratégia de abandono ou se o sistema está adequadamente projetado. A própria série IEC 60839 trata o ponto de acesso como uma combinação de reconhecimento, unidade de controle, atuador, sensores, demanda de saída, alimentação, comunicação, monitoramento e regras operacionais.
O artigo sobre como funciona uma porta controlada detalha essa cadeia. Fail-safe ou fail-secure deve ser definido dentro dela, e não como característica isolada da fechadura.
| Condição funcional | Fail-safe | Fail-secure |
| Perda de alimentação do atuador | tende a liberar | tende a permanecer travado |
| Prioridade típica | continuidade de saída/liberação | preservação da barreira de entrada |
| Dependência de energia para manter bloqueio | comum | depende da tecnologia |
| Relação com rota de fuga | frequentemente favorável, mas não suficiente | exige solução de saída compatível |
| Risco de perda total de energia | abertura do ponto, conforme arquitetura | manutenção do bloqueio de entrada |
| Decisão de projeto | depende de risco e life safety | depende de risco e life safety |
O uso da palavra “tende” é deliberado: o comportamento final depende do tipo de dispositivo, das ferragens, da lógica elétrica e da existência de mecanismos de saída independentes. O projetista não deve inferir o comportamento completo da porta apenas pelo nome comercial da fechadura.
Por que a escolha não pode ser feita apenas pela segurança patrimonial
Quando o comportamento de uma porta em falha ainda não está claramente definido, o problema deve ser resolvido antes da compra dos equipamentos. A revisão precisa confrontar rota de fuga, tipo de travamento, alimentação, emergência e documentação para evitar requisitos contraditórios.
Em uma análise superficial, fail-secure parece sempre “mais seguro” porque mantém a porta bloqueada sem energia. Essa conclusão é incompleta. A função do controle de acesso é proteger uma fronteira sem criar risco indevido para quem está dentro da área. Quando uma porta participa de rota de saída, abandono, compartimentação ou estratégia de emergência, a decisão precisa considerar simultaneamente segurança patrimonial e segurança de pessoas.
A ABNT NBR IEC 60839-11-2 orienta que o planejamento considere requisitos de segurança, incluindo saídas de emergência e proteção contra incêndio. Também estabelece que o sistema eletrônico de controle de acesso não pode impedir a saída livre concedida por outros sistemas de emergência. Isso significa que a lógica de acesso deve ser subordinada às condições de segurança de vida aplicáveis ao edifício.
O problema técnico ocorre quando o projetista escreve apenas “fechadura fail-secure” ou “eletroímã fail-safe” e considera o ponto resolvido. Ainda faltam questões como tipo de porta, sentido de abertura, ferragem de saída, sinal de incêndio, botoeira de emergência, alimentação de reserva, supervisão, retorno ao estado normal e modo de operação em falha da controladora.
Segurança patrimonial e life safety precisam coexistir
O objetivo patrimonial é impedir entrada não autorizada. O objetivo de life safety é garantir que uma condição de emergência não transforme a barreira em obstáculo perigoso. Esses objetivos não são necessariamente incompatíveis, mas precisam ser tratados como requisitos diferentes.
Uma porta de saída pode, por exemplo, manter controle rigoroso de entrada e permitir saída por barra antipânico ou outra ferragem mecânica apropriada. Nesse caso, a perda de energia não precisa significar que a pessoa fique confinada. O comportamento do lado de entrada e o mecanismo do lado de saída são duas funções distintas.
A porta inteira é a unidade de análise
O comportamento real resulta da combinação de folha, marco, ferragem, dispositivo de travamento, sensor, REX, controladora, relé, fonte, bateria e lógica de emergência. O Guia de Controle de Acesso organiza esses elementos dentro da arquitetura completa do EACS.
Quando a análise é feita por componente, surgem especificações contraditórias: uma fechadura é escolhida por segurança patrimonial, outra disciplina pressupõe liberação em emergência, a fonte possui autonomia insuficiente e a programação do sistema não reproduz nenhuma das duas intenções de forma verificável.
Como diferentes dispositivos de travamento se comportam
O princípio fail-safe/fail-secure aparece de formas diferentes conforme a tecnologia. O projeto precisa especificar o comportamento requerido, e depois selecionar uma solução técnica capaz de reproduzi-lo com segurança e evidência de teste.
Eletroímã
O eletroímã é um exemplo típico de dispositivo que utiliza energia para manter a força de retenção. Quando sua alimentação é removida, o campo magnético desaparece e a porta é liberada. Por esse motivo, ele é frequentemente associado a comportamento fail-safe.
Esse comportamento não elimina a necessidade de engenharia. É preciso dimensionar a fonte, prever bateria quando aplicável, analisar o modo de liberação em emergência, garantir alinhamento mecânico, verificar o contato de monitoramento quando existente e avaliar o risco de uma simples interrupção intencional da alimentação liberar o acesso.
Em áreas onde a perda de energia não pode produzir acesso irrestrito, a arquitetura pode exigir outros mecanismos, redundâncias ou estratégia de barreiras. A escolha não deve ser feita com base apenas na facilidade de instalação.
Contrafechadura e fechadura eletromecânica
Contrafechaduras e fechaduras eletromecânicas podem existir em versões com comportamentos distintos. Em algumas, a energia é utilizada para liberar; em outras, para manter a condição de bloqueio. O projetista deve verificar a função elétrica real do modelo e não presumir o comportamento pela aparência do equipamento.
Também é necessário considerar compatibilidade com a lingueta, ferragem mecânica, sentido de abertura, frequência de uso, porta corta-fogo quando aplicável, esforço de fechamento e possibilidade de abertura pelo lado de saída.
Fechadura motorizada
Soluções motorizadas podem possuir lógica interna, sensores e modos de falha mais complexos. Em vez de analisar apenas “energizada/desenergizada”, é necessário conhecer o estado após perda de energia, capacidade de abertura mecânica, estado durante retorno da alimentação e sinalização disponível para o EACS.
Catracas, torniquetes e barreiras
O conceito também aparece em barreiras de fluxo. Uma catraca pode liberar giro, liberar braços, recolher mecanismo ou permanecer bloqueada conforme a estratégia de emergência. A resposta precisa ser compatível com o plano de abandono e com a quantidade de pessoas que utilizam o ponto.
A mesma lógica vale para portões e cancelas, embora o risco mecânico e o comportamento de segurança sejam diferentes. Nesses casos, sensores antiesmagamento, detecção de presença, controle de movimento e liberação manual também entram na análise.
Falha de energia não é um único cenário
“Falta de energia” pode significar eventos tecnicamente diferentes. A rede elétrica do prédio pode cair enquanto a fonte do controle de acesso permanece em bateria. Uma fonte local pode falhar enquanto a rede e o servidor continuam ativos. A controladora pode reiniciar. O relé pode perder alimentação. Um cabo pode ser interrompido. Um sistema de emergência pode comandar a liberação mesmo com energia disponível.
Por isso, a especificação deve decompor os modos de falha e estabelecer o comportamento esperado de cada um.
| Evento | Pergunta de engenharia |
| Falha da rede elétrica | a bateria mantém ACU, leitores e atuadores? |
| Falha da fonte local | a porta libera, permanece travada ou passa a modo mecânico? |
| Falha da bateria | existe alarme e quanto tempo resta de operação? |
| Perda de comunicação com servidor | a ACU continua decidindo localmente? |
| Perda de comunicação leitor–ACU | qual estado da porta e qual alarme é gerado? |
| Reinício da controladora | o relé assume estado seguro? |
| Alarme de incêndio | quais portas mudam de estado e por qual interface? |
| Acionamento de emergência local | o comando é direto, supervisionado e registrado? |
A ABNT NBR IEC 60839 aplicada ao controle de acesso trata justamente essa visão de requisitos, condições de falha, comunicação, alimentação e comissionamento.
Alimentação principal, reserva e autonomia
A decisão fail-safe/fail-secure muda o perfil de consumo e a estratégia de autonomia. Um atuador que precisa permanecer energizado para manter a porta travada representa uma carga contínua. Um dispositivo que utiliza energia principalmente durante a liberação pode produzir picos diferentes. O dimensionamento precisa considerar condição normal, pior caso e quantidade de atuações simultâneas.
A ABNT NBR IEC 60839-11-2 relaciona alimentação de reserva ao grau de segurança e orienta que sejam considerados consumo nominal, quantidade prevista de operações, número máximo de atuadores simultâneos e condição dos dispositivos de travamento. Portanto, bateria não deve ser dimensionada apenas pela soma das correntes nominais dos equipamentos eletrônicos.
O que acontece durante a autonomia de bateria
Se o sistema permanece integralmente funcional durante falha da rede, o comportamento fail-safe/fail-secure do atuador ainda não foi acionado, porque sua fonte continua disponível. A porta deve manter a política normal enquanto a reserva sustentar o sistema, salvo se existir lógica específica de contingência.
Isso é relevante em ambientes de alta segurança: não faz sentido aceitar liberação imediata de todas as portas apenas porque houve perda da alimentação principal, se o projeto prevê energia de reserva suficiente para manter controle seguro.
O que acontece ao esgotar a reserva
Quando a energia de reserva se esgota, entra em cena o comportamento intrínseco do dispositivo e das ferragens. Esse estado deve ser conhecido, documentado e aceito. Em alguns ambientes, pode ser necessário que procedimentos operacionais sejam acionados antes de a bateria atingir esse limite.
Supervisão de fonte e bateria
Falha de alimentação principal, bateria baixa, bateria ausente e falha da fonte são eventos que podem ser monitorados. Sistemas de maior criticidade não devem depender do operador perceber a condição apenas quando a porta para de funcionar.
A IEC 60839 inclui requisitos de indicação, alerta e registro associados à alimentação conforme o grau. O projeto deve traduzir isso em entradas, alarmes, prioridades e procedimentos operacionais.
O papel do REX e da saída mecânica
REX, request to exit, é uma solicitação de saída processada pelo sistema. Pode vir de sensor, botão, contato ou outro dispositivo. Ele não é sinônimo de liberação de emergência e não deve ser usado como único mecanismo de segurança de vida quando outra solução independente é exigida pela estratégia da edificação.
Em operação normal, o REX permite que a controladora reconheça que uma abertura de saída é legítima, libere o atuador quando necessário e evite tratar o contato de porta como “porta forçada”. Isso preserva rastreabilidade e melhora a qualidade dos eventos.
REX processado pela controladora
Quando a solicitação entra na ACU, a lógica pode registrar o evento, temporizar a liberação, correlacionar o contato da porta e aplicar regras adicionais. A vantagem é a visibilidade operacional.
Corte direto de energia
Uma botoeira ou interface pode atuar diretamente na alimentação do dispositivo, dependendo da arquitetura e dos requisitos de emergência. Nesse caso, o caminho de segurança pode permanecer independente da lógica de software, mas é preciso compreender se a condição é supervisionada, registrada e testada.
Saída mecânica independente
Em muitos cenários, a melhor resposta para conciliar fail-secure na entrada e saída segura é garantir mecanismo mecânico de saída apropriado. O sistema eletrônico controla a entrada, mas a pessoa no lado protegido consegue sair sem depender da decisão da ACU.
A escolha depende da porta, do ambiente e das normas aplicáveis; não deve ser generalizada para qualquer acesso.
Integração com sistema de incêndio e emergência
A interface com incêndio é uma das áreas em que o erro de simplificação é mais perigoso. Não é correto assumir que “alarme de incêndio libera todas as portas” como regra universal. O comportamento precisa derivar da estratégia de segurança da edificação, das rotas de fuga, das características das portas e dos requisitos aplicáveis.
A ABNT NBR IEC 60839-11-2 estabelece que o EACS não deve impedir a saída livre concedida por outros sistemas de emergência. Também orienta que a integridade da interconexão com o sistema de evacuação seja compatível com o grau requerido quando o ponto de acesso estiver sob seu controle direto.
Causa e efeito
A forma correta de especificar a interface é por uma matriz de causa e efeito. Para cada evento de incêndio ou emergência, a documentação deve dizer quais pontos são afetados, qual estado assumem, como o comando é recebido, como a condição é indicada e como ocorre o retorno ao modo normal.
Um único comando global pode ser inadequado quando existem zonas, compartimentações e funções distintas. A matriz evita interpretações durante a implantação.
Retorno à condição normal
Depois do evento, a porta não deve simplesmente retornar ao estado anterior sem uma lógica definida. Pode ser necessário reset, reconhecimento do alarme, inspeção ou comando de operador. O projeto precisa estabelecer quem tem autoridade para normalizar o sistema e que evento fica registrado.
Interface elétrica
A integração pode envolver contatos secos, entradas supervisionadas, módulos de interface ou integração lógica, conforme a solução. A escolha deve priorizar previsibilidade, independência necessária para segurança de vida e capacidade de teste.
Como o grau de segurança influencia a decisão
Os graus de segurança em controle de acesso segundo a IEC 60839 ajudam a relacionar risco, comportamento e requisitos. Em pontos mais críticos, não basta selecionar um dispositivo que “fica travado”. A arquitetura também precisa tratar supervisão, proteção contra violação, comunicação, alimentação, registros e comportamento durante falhas.
Uma porta de Grau 4, por exemplo, pode exigir atenção elevada a manipulação de cabos, integridade de comunicação, continuidade do processo de decisão e monitoramento de estados. O dispositivo de travamento é apenas um dos componentes dessa cadeia.
Componentes compartilhados
Se uma fonte, painel ou ACU atende pontos de graus diferentes, seu comportamento de falha pode afetar todos eles. O projeto deve identificar dependências comuns e evitar que uma falha simples produza perda simultânea de múltiplas barreiras críticas.
Localização da controladora
Controladoras e relés associados à decisão de acesso devem ser posicionados de forma compatível com a área protegida. Um leitor externo cuja violação permita energizar diretamente a fechadura cria risco independentemente de o atuador ser fail-safe ou fail-secure.
O erro de colocar o relé de abertura no lado não seguro
Em arquiteturas simplificadas, alguns terminais possuem relé interno e comandam diretamente a fechadura. Quando o terminal está instalado no lado não protegido e o relé pode ser acessado fisicamente, o atacante pode tentar acionar o circuito sem passar pela lógica de autorização.
Para pontos de maior risco, a decisão e o elemento de comutação devem ser protegidos. Uma arquitetura com leitor/periférico no lado externo e ACU ou módulo seguro no lado protegido reduz esse vetor.
Esse princípio conecta fail-safe/fail-secure à arquitetura de campo. Se o atacante consegue cortar o cabo para liberar um eletroímã fail-safe, a rota do cabo e a forma de alimentação também se tornam parte da proteção. A ABNT NBR IEC 60839-11-2 orienta que curtos ou aberturas aplicados a fios acessíveis externamente não resultem em atuação que conceda acesso à área protegida.
Como documentar a decisão no projeto
A decisão entre fail-safe e fail-secure deve ser incorporada à matriz de pontos, aos diagramas, à arquitetura de alimentação e aos critérios de teste. Quando esses documentos ainda não existem, é necessário estruturar o projeto antes de transferir a decisão para o instalador.
Escrever apenas “fechadura fail-safe” em uma planilha de quantitativos é insuficiente. A decisão precisa aparecer de forma rastreável nos documentos que descrevem função, arquitetura e teste.
Uma matriz de ponto de acesso pode registrar, por exemplo, ID da porta, origem/destino, sentido controlado, leitor, tipo de travamento, comportamento na falha de energia, dispositivo de saída, contato de porta, REX, integração de incêndio, modo de emergência e observações.
Memorial descritivo
O memorial deve explicar os princípios gerais: como o projeto trata falha de energia, prioridade de segurança de pessoas, alimentação de reserva, saída e interfaces de emergência. Isso reduz interpretações isoladas em cada planta.
Matriz funcional
A matriz transforma princípios em requisito por ponto. Duas portas visualmente idênticas podem ter comportamentos diferentes porque pertencem a zonas e riscos distintos.
Diagrama de interligação
O diagrama mostra de onde vem a alimentação, qual relé comanda o dispositivo, onde está o REX, como o contato de porta retorna à ACU e como o incêndio interfere no circuito. É nele que contradições elétricas se tornam visíveis.
Especificação técnica
A especificação deve exigir comportamento verificável e documentação do fabricante. Em contratação competitiva, é melhor definir o resultado esperado e as capacidades mínimas do que copiar um esquema exclusivo de um produto sem justificativa.
Plano de testes
O teste deve reproduzir as condições de falha previstas. Se o requisito afirma que a porta mantém controle durante perda da rede elétrica por meio de bateria, isso precisa ser verificado. Se afirma que determinado evento de emergência libera a barreira, a interface deve ser exercitada em campo.
Como contratar corretamente a engenharia da porta
Quando o ponto envolve controle de entrada, rota de fuga, integração de incêndio, diferentes modos de falha e requisitos normativos, a contratação deve explicitar o que precisa ser projetado e provado. Deixar essas decisões para a montagem em campo transfere risco para a fase mais cara do empreendimento.
O escopo de engenharia deve incluir levantamento das portas, caracterização de fluxos, análise de risco, requisitos funcionais, matriz de pontos, definição de fail-safe/fail-secure, compatibilização de ferragens, arquitetura de alimentação, interfaces de emergência, diagramas, quantitativos, especificações e critérios de teste.
Entregáveis mínimos
A contratação deve produzir documentos que permitam a um terceiro entender e verificar a solução. Planta sem matriz e sem diagrama não caracteriza adequadamente o comportamento de falha.
Responsabilidades de interface
É necessário declarar quem define a estratégia de incêndio, quem fornece os sinais de interface, quem especifica ferragens, quem executa cabeamento, quem configura a ACU e quem participa do teste integrado. Sem essa divisão, problemas multidisciplinares costumam aparecer como “pendência do integrador”.
Critério de aceite
O aceite não deve ser baseado apenas em abertura por cartão. Devem ser testados alimentação normal, perda da rede, bateria, falha de comunicação, REX, contato de porta, comando de emergência, retorno à normalidade e geração de eventos conforme a matriz.
Falhas recorrentes em projetos fail-safe/fail-secure
Os problemas mais frequentes não decorrem do conceito em si, mas da falta de conexão entre disciplinas. Entre eles estão especificar fail-secure sem saída mecânica adequada, usar eletroímã fail-safe em área crítica sem analisar sabotagem da alimentação, não dimensionar bateria para a carga real, liberar portas por incêndio sem matriz de causa e efeito, instalar o relé em área acessível e não testar o estado da porta após retorno da energia.
Outro erro é tratar o parâmetro como escolha do instalador. Quando a função afeta segurança patrimonial e segurança de pessoas, a decisão deve ser de projeto, com aprovação e rastreabilidade.
Como verificar em campo se a porta está correta
Depois da implantação, a conformidade precisa ser demonstrada em campo. Simular falhas de alimentação, emergência, REX e retorno à normalidade transforma um requisito de projeto em evidência de aceite.
A inspeção começa antes do teste elétrico. É necessário conferir ferragem, sentido de abertura, alinhamento, dispositivo de saída, posição do leitor, localização da ACU, rota dos cabos, fonte e bateria. Depois, o ensaio funcional deve percorrer os estados definidos no projeto.
O teste deve responder: a porta libera quando deve? permanece protegida quando deve? a saída funciona sem depender de uma condição proibitiva? o contato registra abertura e fechamento? o sistema distingue acesso autorizado de abertura forçada? a perda de energia gera o comportamento previsto? o evento de incêndio produz o estado correto? o retorno é controlado?
O Comissionamento de Engenharia é especialmente relevante quando esses cenários precisam ser verificados de forma independente e documentada antes do recebimento.
Quando uma revisão independente é recomendável
Uma revisão técnica é indicada quando o projeto possui portas de alta criticidade, integração com incêndio, eclusas, barreiras veiculares, múltiplos fornecedores, retrofit sobre sistema existente ou divergência entre arquitetura, planilha e memoriais.
Nesses casos, a revisão deve confrontar documentos e requisitos para verificar se o comportamento declarado pode realmente ser produzido pela solução especificada. É comum encontrar projeto que exige fail-safe em uma tabela e, em outro documento, descreve lógica de bloqueio incompatível com esse requisito.
O serviço de Design Review em Projetos de Engenharia pode ser utilizado para revisar interfaces, requisitos e coerência documental antes da implantação.
Considerações finais
Fail-safe e fail-secure não são uma disputa entre “porta segura” e “porta insegura”. São estados de falha do mecanismo de travamento que precisam ser inseridos em uma arquitetura mais ampla de segurança. A decisão correta nasce da análise de risco, das condições de saída, da estratégia de emergência, da alimentação, da localização dos componentes e dos requisitos de operação.
Uma especificação madura descreve o que a porta deve fazer em cada condição relevante e fornece meios de provar esse comportamento. Quando isso acontece, a seleção da fechadura deixa de ser uma escolha isolada de produto e passa a ser uma decisão rastreável de engenharia.
Referências técnicas
[1] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR IEC 60839-11-1:2019 — Sistemas de segurança eletrônica e alarme — Parte 11-1: Sistemas eletrônicos de controle de acesso — Requisitos do sistema e dos componentes. Rio de Janeiro: ABNT, 2019.
[2] ASSOCIAÇÃO BRASILEIRA DE NORMAS TÉCNICAS. ABNT NBR IEC 60839-11-2:2019 — Sistemas de segurança eletrônica e alarme — Parte 11-2: Sistemas eletrônicos de controle de acesso — Diretrizes de aplicação. Rio de Janeiro: ABNT, 2019.
[3] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 60839-11-1:2013 — Alarm and electronic security systems — Part 11-1: Electronic access control systems — System and components requirements. Geneva: IEC, 2013. Disponível em: https://webstore.iec.ch/en/publication/3662
[4] INTERNATIONAL ELECTROTECHNICAL COMMISSION. IEC 60839-11-2:2014 — Alarm and electronic security systems — Part 11-2: Electronic access control systems — Application guidelines. Geneva: IEC, 2014. Disponível em: https://webstore.iec.ch/en/publication/3663
Perguntas frequentes
Fail-safe normalmente libera o dispositivo de travamento quando ocorre perda de alimentação. Fail-secure mantém o travamento do ponto de vista da entrada protegida. A escolha deve considerar também saída, incêndio, ferragens e alimentação de reserva.
Não necessariamente. Uma porta pode permanecer protegida contra entrada e possuir saída mecânica independente. O comportamento completo depende da ferragem, da arquitetura da porta e dos requisitos de emergência.
Eletroímãs normalmente precisam de energia para manter a força de retenção e, ao perder alimentação, liberam a porta. Ainda assim, o projeto deve verificar a arquitetura completa, alimentação, emergência e proteção contra sabotagem.
A resposta depende da solução de saída e das normas aplicáveis. O controle de entrada pode permanecer protegido desde que a saída segura seja garantida pela arquitetura apropriada e não fique indevidamente dependente do EACS.
Não. REX é uma solicitação de saída processada pelo sistema. Uma liberação de emergência pode exigir caminho independente, conforme a estratégia de segurança da edificação.
Não. Se há alimentação de reserva, o sistema pode continuar operando normalmente. O comportamento deve ser definido por requisito e por ponto, e não por regra genérica.
A decisão deve aparecer em matriz funcional ou de pontos, memorial, diagramas de interligação, especificação técnica e plano de testes, mantendo o mesmo ID de cada porta entre os documentos.
Devem ser simuladas as condições previstas: energia normal, perda da rede, perda da reserva quando aplicável, REX, emergência, retorno à normalidade e registro de eventos, com evidências do resultado.
Materiais técnicos complementares
Serviços relacionados
Conteúdos principais sobre o tema
- Sistema de Controle de Acesso: tipos, tecnologias, normas e projeto
- ABNT NBR IEC 60839: requisitos para sistemas de controle de acesso
- Graus de segurança em controle de acesso segundo a IEC 60839
- Como funciona uma porta controlada: leitora, ACU, REX, sensor, relé e fechadura
