Art. 5º Esta Portaria entra em vigor na data de sua publicação no Diário Oficial da União.
ANEXO A
REGULAMENTO TÉCNICO METROLÓGICO A QUE SE REFERE A PORTARIA INMETRO Nº ...., DE ........ DE ........ DE 2026
1 OBJETIVO E CAMPO DE APLICAÇÃO
1.1 Este Regulamento Técnico Metrológico estabelece os requisitos e condições mínimas a serem observados na avaliação de modelo, na verificação inicial, na verificação após reparo, na verificação voluntária, na verificação periódica e perícia metrológica aplicáveis aos sistemas de abastecimento de veículos elétricos em corrente alternada (SAVE-CA), sujeitos ao controle metrológico legal.
1.2 Este Regulamento Técnico Metrológico se aplica aos SAVE-CA utilizados para comercialização de energia elétrica.
1.3 As disposições aqui estabelecidas aplicam-se exclusivamente às medições de energia elétrica ativa e ao cálculo do faturamento da transação, incluindo os algoritmos de medição utilizados para determinação dos valores medidos e faturados.
1.4 Este regulamento não se aplica a sistemas de abastecimento de veículos elétricos em corrente contínua (SAVE-CC) e sistema de recarga sem fio.
2 TERMOS E DEFINIÇÕES
Para fins deste documento aplicam-se os termos constantes do Vocabulário Internacional de Termos de Metrologia Legal, aprovado pela Portaria Inmetro n° 150, de 29 de março de 2016, do Vocabulário Internacional de Metrologia - Conceitos fundamentais e gerais e termos associados, aprovado pela Portaria Inmetro n° 232, de 08 de maio de 2012 e pela Portaria Inmetro nº 176, de 19 de abril de 2021, ou suas substitutas, além dos demais termos apresentados a seguir.
2.1 Termos gerais
2.1.1 Sistema de Abastecimento de Veículos Elétricos (SAVE)
Dispositivo destinado a fornecer energia elétrica para um veículo elétrico e medir essa energia, armazenar e relatar o resultado da medição ao cliente e, se necessário, transmitir informações para um sistema de faturamento.
2.1.2 SAVE-CA com modelo de medidor aprovado separadamente
Dispositivo tal como definido em 2.1.1, mas para o qual a metrologia básica é fornecida por um modelo de medidor de energia elétrica ativa aprovado separadamente pelo Inmetro, à luz de regulamento com requisitos iguais ou mais rigorosos.
2.1.3 SAVE-CA unitário
SAVE-CA, com saída CA, em que toda a potência e controle eletrônico estão localizados em um invólucro único alimentado pela rede elétrica CA (figura 1).
2.2. Definições
2.2.1 Dispositivo de ajuste
Dispositivo ou função incorporada ao SAVE-CA que permite deslocar a curva de erros, com a finalidade de manter os erros de indicação dentro dos erros máximos permitidos.
2.2.2 Dispositivo auxiliar
Dispositivo incorporado ao SAVE-CA que não precisa permanecer ativo durante a realização da transação de medição.
Nota: Como os ensaios previstos neste RTM são realizados durante transações de medição, qualquer dispositivo que normalmente permaneça ativo durante a transação terá sua influência avaliada automaticamente. São considerados dispositivos auxiliares aqueles cuja operação não integra o processo de medição ou de faturamento, podendo estar ativos ou inativos durante a utilização do SAVE-CA.
Exemplo: Interfaces de comunicação utilizadas apenas para funcionalidades complementares, ou um visor destinado exclusivamente à exibição de mensagens publicitárias, são considerados dispositivos auxiliares, desde que não desempenhem função no processo de medição ou na determinação da energia faturável.
2.2.3 Cabo de conexão
Conjunto constituído por um cabo ou fio flexível equipado com um conector, utilizado para estabelecer a conexão entre o VE e o SAVE-CA, montado entre a posição em que a energia é medida e o ponto de conexão (modificado da def. 3.5.2, IEC 61851-1:2017).
2.2.4 Interface do cliente
Parte do SAVE-CA que pode ser local ou remota e que fornece acesso a dados de transação legalmente relevantes para um usuário.
2.2.5 Ponto de conexão
Ponto em que um veículo elétrico é conectado ao SAVE-CA [definição 3.5.15 da IEC 61851-1]
Nota: Se o cabo de conexão for uma parte fixa do SAVE-CA, este ponto é definido como o conector na extremidade do cabo. Caso contrário, o ponto de conexão é definido como o ponto do SAVE-CA no qual o cabo está conectado.
2.2.6 Circuito de corrente
Conexões do SAVE-CA e parte do elemento de medição pela qual flui a corrente destinada ao veículo elétrico conectado ao SAVE-CA.
2.2.7 Dispositivo indicador
Parte da interface do cliente destinada à apresentação dos dados legalmente relevantes da transação de medição.
Nota: O dispositivo indicador também pode ser utilizado para apresentar outras informações pertinentes, desde que não comprometam a identificação, a legibilidade ou a integridade dos dados legalmente relevantes da transação.
2.2.8 Elemento de medição
Parte do SAVE-CA que transforma uma corrente e uma tensão em um sinal proporcional à potência e/ou energia. Isto pode incluir sensores analógicos e digitais e componentes de processamento de sinal.
2.2.9 Transação
Processo de autorização, conexão ao veículo elétrico, entrega de energia, finalização da entrega, apresentação da informação relevante do processo ao cliente, transmissão e recepção de aviso de entrega de qualquer informação relevante.
2.2.10 Tipos de transação
2.2.10.1 Transação pública ad hoc
Transação para a qual um serviço de recarga está disponível para um usuário final sem a necessidade desse usuário final registrar-se, celebrar contrato ou estabelecer uma relação comercial com o operador do SAVE-CA ou com um prestador de serviço de rede de recarga, além da mera compra do serviço.
2.2.10.2 Transação pública contratual
Transação para a qual um serviço de recarga está disponível apenas para um usuário final que tenha celebrado previamente um contrato ou tenha estabelecido uma relação comercial, com tarifa previamente estabelecida, com o operador do SAVE-CA ou com um provedor de serviços de rede de recarga.
2.2.10.3 Transação privada contratual
Transação cuja utilização do SAVE-CA está limitada a um único utilizador que tenha celebrado previamente um acordo escrito ou tenha celebrado uma relação comercial com o operador do SAVE-CA ou com um fornecedor de serviços de rede de recarga. Nesse tipo de transação, a cobrança pode ser feita com base no total de energia consumida em um período de faturamento estendido.
2.2.11 Interface de verificação
Parte do SAVE-CA que pode fornecer acesso local ou remoto e exibe os dados de transações legalmente relevantes e quaisquer outros dados necessários para fins de verificação, seja como parte do instrumento ou fornecido como uma ferramenta às autoridades competentes.
Nota: A interface de verificação pode ser parte da interface do cliente.
Exemplo: O fabricante fornece um aplicativo para smartphone com interface de verificação. A transmissão de dados entre o SAVE-CA e o aplicativo para smartphone deve atender aos requisitos de transmissão de dados deste RTM.
2.2.12 Software de verificação
Software em uma unidade remota usada para fins de verificação de um SAVE-CA.
2.2.13 Circuito de tensão
Conexões, componentes, fiações e cabos do SAVE-CA que fornecem tensão ao veículo elétrico.
2.3 Características metrológicas
2.3.1 Classe de exatidão
Classe de SAVE-CA que atende aos requisitos metrológicos estabelecidos para manter os erros de medição ou as incertezas instrumentais dentro dos limites especificados, nas condições de funcionamento especificadas.
Nota: Neste RTM, os requisitos metrológicos da classe de exatidão incluem as respostas admissíveis às perturbações.
2.3.2 Erro máximo admissível básico (EMAB)
Valores extremos do erro (de indicação) de um SAVE-CA, permitido por este regulamento quando a corrente for variada dentro dos intervalos dados pelas condições estipuladas de funcionamento, e quando o SAVE-CA é diferentemente operado em condições de referência.
2.3.3 Recurso de detecção de falhas
Recurso incorporado no SAVE-CA que permite que falhas sejam detectadas e tratadas. [OIML D 11:2013, 3.19]
Nota 1: Em geral, os recursos de detecção de falhas detectam e tratam funcionamento incorreto de um componente específico do SAVE-CA e/ou de falhas na comunicação entre partes específicas do SAVE-CA.
Nota 2: "Tratadas"refere-se a qualquer resposta adequada do SAVE-CA (por exemplo: um sinal luminoso, um sinal acústico, interrupção ou bloqueio do processo de medição etc.).
2.3.9 Fator de distorção, d
Razão do valor eficaz do conteúdo harmônico (obtido, por exemplo, subtraindo seu termo fundamental de uma grandeza alternada não senoidal) para o valor eficaz do termo fundamental. O fator de distorção é geralmente expresso em porcentagem. É igual à distorção harmônica total usando a fundamental como referência (denominador).
2.3.10 Perturbação
Grandeza de influência cujo valor esteja dentro dos limites estabelecidos neste RTM, mas fora das condições nominais de funcionamento especificadas para o instrumento de medição [OIML V1:2022, 5.19]. Quando não forem especificadas condições nominais de funcionamento para essa grandeza, ela é considerada uma perturbação.
2.3.11 Durabilidade
Capacidade do instrumento de medição de manter suas características de desempenho ao longo do período de utilização [OIML D 11:2026, 3.18].
2.3.13 Fluxo (de energia)
Capacidade de um SAVE-CA para medir o fluxo de energia para o VE.
2.3.14 Fluxo (de energia) somente de direção positiva
Capacidade de um SAVE-CA medir o fluxo de energia em apenas uma direção (do SAVE-CA para o VE).
2.3.15 Fluxo positivo (de energia)
Direção do fluxo de energia do SAVE-CA para o VE.
2.3.17 Número harmônico
Número inteiro usado para identificar um harmônico. É a relação entre a frequência de um harmônico e a frequência fundamental do sinal.
2.3.18 Fator de influência
Grandeza de influência cujo valor esteja dentro das condições nominais de funcionamento do instrumento de medição estabelecidas neste RTM [OIML D 11:2026, 3.15.1].
2.3.19 Grandeza de influência
Grandeza que, em uma medição direta, não afeta o mensurando, mas influencia a relação entre a indicação do instrumento de medição e o resultado da medição [OIML V1:2022, 0.07]. Trata-se de uma grandeza distinta do mensurando, que afeta o resultado indicado pelo equipamento sob ensaio.
2.3.20 Erro intrínseco inicial
Erro intrínseco de um instrumento de medição, determinado antes da realização dos ensaios de desempenho e das avaliações de durabilidade. [OIML V1:2022, 5.11]
2.3.21 Erro intrínseco
Erro de indicação determinado sob condições de referência. [OIML V1:2022, 0.06]
2.3.22 Legalmente relevante
Software/hardware/dados ou parte do software/hardware/dados de um SAVE-CA que influencia as propriedades reguladas pela metrologia legal, por exemplo, a exatidão da medição ou o fornecimento de informações transacionais ao cliente.
Inclui os seguintes componentes:
a) Elementos sensores de medição de tensão e corrente;
b) Unidade(s) de medição e processamento dos dados metrológicos (hardware e firmware);
c) Memória onde os dados de medição são armazenados e protegidos contra alterações;
d) Dispositivos de interface com o sistema de registro, exibição ou transmissão de dados metrológicos;
e) Saídas de pulsos (óptica ou elétrica), quando integradas ao sistema de medição;
f) Qualquer parte do circuito de medição sujeito à compensação de perdas e correção automática;
g) Dispositivos de comunicação usados para o envio dos dados de faturamento, caso integrados ao sistema de medição e não isolados funcionalmente.
2.3.23 Software legalmente relevante
Todos os módulos de software de um SAVE-CA que estão sujeitos ao controle legal.
2.3.24 Dados de transação legalmente relevantes
Dados auditáveis necessários para finalizar uma transação.
2.3.25 Erro máximo admissível (EMA)
Valor extremo do erro de medição, em relação a um valor de referência conhecido, permitido por este RTM para uma determinada medição, instrumento de medição ou sistema de medição. [OIML V1:2022, 0.05]
Nota 1: Quando houver dois valores extremos, utiliza-se a expressão erros máximos permitidos ou limites de erro.
Nota 2: O termo tolerância não deve ser utilizado como sinônimo de erro máximo permitido.
2.3.26 Máxima variação de erro permitida
Valores extremos permitidos para variação do erro de indicação de um SAVE-CA, quando um único fator de influência é retirado de seu valor nas condições de referência e variado nas condições estipuladas de funcionamento.
2.3.27 Quantidade mínima mensurável, MMQ
Quantidade mínima de energia entregue em uma transação para a qual o fabricante especifica que o SAVE-CA atenderá ao EMAB da classe de exatidão do SAVE-CA.
MMQ = R / Acc;
Onde R é a resolução do SAVE em kWh,
Acc é a classe de exatidão do SAVE em %, e
MMQ é a quantidade mínima mensurável em kWh.
2.3.31 Condição estipulada de funcionamento
Condição de funcionamento que deve ser atendida durante a medição para que o instrumento ou sistema de medição opere conforme projetado. [OIML D 11:2026, 3.16]
Nota: As condições estipuladas de funcionamento normalmente especificam faixas de valores para o mensurando e para as grandezas de influência.
2.3.32 Condição de referência
Condição de funcionamento estabelecida para a avaliação do desempenho de um instrumento ou sistema de medição ou para a comparação de resultados de medição. [OIML D 11:2026, 3.17]
2.3.33 Erro relativo (de indicação)
Diferença entre o valor medido e o valor de referência, dividida pelo valor de referência. Neste RTM, o termo erro refere-se ao erro relativo, expresso em porcentagem, salvo disposição em contrário.
2.3.34 Tensão de recarga, U
Valor eficaz da tensão elétrica fornecida ao veículo elétrico no ponto de conexão (ponto D ou ponto E da figura 1).
2.4 Elementos funcionais
2.4.1 Constante Kh (constante de verificação)
Relação entre a energia elétrica medida e a quantidade de pulsos emitidos pelo dispositivo de verificação. Esse valor deve ser expresso em Wh/pulso.
2.4.2 Dispositivo de verificação
Dispositivo por meio do qual se verifica ou ensaia o SAVE-CA.
2.4.3 Pulsos de verificação
Pulsos, de natureza óptica ou elétrica, emitidos pelo dispositivo de verificação, proporcionais à energia ativa medida.
3 REQUISITOS METROLÓGICOS
3.1 Unidades de medida
A energia elétrica ativa deve ser expressa utilizando um dos seguintes símbolos: Wh, kWh.
3.2 Condições estipuladas de funcionamento
As condições estipuladas de funcionamento são especificadas na Tabela 1.
3.3 Requisitos de exatidão
3.3.1 Geral
3.3.1.1 O fabricante deve especificar a classe de exatidão do SAVE-CA como A, B ou C.
3.3.1.2 O SAVE-CA deve ser projetado e fabricado de modo que seu erro no ponto de conexão (referência na figura 1) não exceda o erro máximo admissível para a classe especificada sob condições estipuladas de funcionamento.
3.3.2 Direção do fluxo de energia
Este regulamento prevê somente registro único, onde o SAVE-CA é especificado como sendo capaz de medir e registrar apenas o fluxo de energia médio positivo. O fluxo médio de energia de um SAVE-CA refere-se à potência instantânea integrada em pelo menos um ciclo da frequência nominal.
3.3.3 Erros máximos admissíveis básicos
O erro intrínseco deve estar dentro do erro máximo admissível básico indicado na Tabela 2, para as faixas de corrente especificadas, quando a energia for pelo menos igual a MMQ e quando o SAVE-CA for operado em condições de referência.
3.3.4 Efeitos permitidos de grandezas de influência
3.3.4.1 O coeficiente de temperatura do SAVE-CA deve cumprir os requisitos da Tabela 3 quando o SAVE-CA for operado em condições de referência.
3.3.4.2 Quando a corrente de carga for mantida constante dentro da faixa estipulada de funcionamento do SAVE-CA, e uma grandeza de influência for variada do valor de referência até os valores extremos da Tabela 4, o erro percentual adicional deve permanecer dentro do limite de variação de erro estabelecido nessa tabela. Após cada ensaio, o SAVE-CA deve continuar em funcionamento.
3.3.4.3 Balanceamento de carga
Os SAVE-CA polifásicos devem atender aos requisitos metrológicos estabelecidos neste RTM para qualquer combinação de fases habilitadas. Quando apenas um subconjunto das fases estiver disponível, o SAVE-CA pode interromper seu funcionamento.
3.3.5 Efeitos permitidos de perturbações
3.3.5.1 Geral
3.3.5.1.1 O SAVE-CA deve suportar as perturbações que possam ocorrer em condições normais de uso. Para qualquer uma das perturbações listadas na Tabela 5, Tabela 6 e Tabela 7, nenhum dano deverá ocorrer e o SAVE-CA deverá cumprir os requisitos listados nessas tabelas.
3.3.5.1.2 Se uma perturbação interromper a transferência de energia, então: (a) a transferência de energia será interrompida e a transação será concluída corretamente, ou (b) quando a perturbação for removida, a transferência de energia será continuada e a transação será concluída corretamente após a conclusão da transferência de energia.
3.3.5.1.3 Os dados de transação legalmente relevantes não podem ser perdidos ou corrompidos.
3.3.5.1.4 Se o SAVE-CA for operado sob as condições descritas nas Tabelas 5, 6 ou 7, e nenhuma transação estiver em andamento, eventuais alterações nos registros de medição ou nos pulsos da saída não devem ser levadas em consideração.
3.3.5.2 Perturbações elétricas
O SAVE-CA deve atender aos requisitos de 3.3.5.1 e da Tabela 5 quando submetido às perturbações elétricas listadas.
3.3.5.3 Perturbações ambientais
O SAVE-CA deve atender aos requisitos de 3.3.5.1 e da Tabela 6 quando submetido às perturbações ambientais listadas.
Tabela 6 - Perturbações ambientais
| Grandeza de perturbação | Nível da perturbação | Requisitos |
|---|
| Proteção contra radiação solar | Três ciclos de 8 h de irradiação, 16 h de escuridão. | Nenhuma alteração na aparência das marcações e na legibilidade do dispositivo indicador, apenas para SAVE-CA externos expostos à luz solar direta. |
| Calor seco | Uma temperatura padrão acima do limite superior de temperatura especificado, 2 h | Dentro do EMAB após perturbação. |
| Frio | Uma temperatura padrão abaixo do limite inferior de temperatura especificado, 2 h | Dentro do EMAB após perturbação. |
| Calor úmido | H1: 30°C, 85%;H2: Cíclico 25°C, 95% a 40°C, 93%;H3: Cíclico 25°C, 95% a 55°C, 93%. | Dentro do EMAB após perturbação. Nenhuma evidência de qualquer dano mecânico ou corrosão. |
3.3.5.3.1 No que diz respeito à umidade, o fabricante deve especificar a classe ambiental a que o SAVE-CA se destina:
I - H1: locais fechados onde os SAVE-CA não estão sujeitos a condensação de água, precipitação ou formações de gelo;
II - H2: locais fechados onde o SAVE-CA pode estar sujeito a água condensada, a água de outras fontes que não a chuva e a formações de gelo;
III - H3: locais abertos com condições climáticas médias.
3.3.6 Perturbações mecânicas
3.3.6.1 O SAVE-CA deve atender aos requisitos de 3.3.5.1 e da Tabela 7 quando submetido às perturbações mecânicas listadas.
3.4 Durabilidade
3.4.1 O SAVE-CA deve ser projetado para manter a estabilidade adequada de suas características metrológicas durante sua vida útil pretendida, desde que seja devidamente instalado, mantido e usado de acordo com as instruções do fabricante quando nas condições ambientais para as quais se destina.
3.4.2 O SAVE-CA deve ser projetado para reduzir tanto quanto possível o efeito de um defeito que levaria a um resultado de medição inexato.
3.5 Exatidão do relógio de SAVE-CA de múltipla tarifação
3.5.1 O SAVE-CA de múltipla tarifação deve atender aos requisitos estabelecidos na Tabela 8, para cada parâmetro avaliado.
4 REQUISITOS TÉCNICOS
4.1 Geral
4.1.1 O SAVE-CA deve cumprir todos os requisitos deste Regulamento. Isto inclui todos os requisitos metrológicos e os requisitos de software e relógio interno (se aplicável).
4.1.2 O SAVE-CA capaz de atender a mais de um veículo deve atender a todos os requisitos técnicos e metrológicos aplicáveis para cada ponto de conexão disponível.
4.1.3 O SAVE-CA deve ser construído de forma que as possibilidades de uso indevido não intencional, acidental ou intencional sejam mínimas.
4.1.4 O invólucro do SAVE-CA deve atender aos requisitos de IP 51 para ambientes abrigados e IP 54 para ambientes ao tempo.
4.2 Inscrições obrigatórias
4.2.1 O SAVE-CA deve ser provido de placa de identificação em local de fácil visibilidade, contendo informações no idioma português, conforme definido a seguir:
I - Marca de aprovação;
II - Portaria de aprovação de modelo (Inmetro/Dimel nnn/aaaa);
III - Fabricante;
IV - Ano de fabricação;
V - Designação do modelo;
VI - Número de série;
VII - Tensão nominal;
VIII - Características de corrente (corrente de partida, corrente mínima, corrente de transição e corrente máxima);
IX - Frequência nominal;
X - Faixa de temperatura;
XI - Classe de exatidão; e
XII - MMQ (quantidade mínima de medição).
4.2.2 O cabo de conexão e o conector devem dispor, nas partes ou no conjunto (se as partes forem combinadas), em local de fácil visibilidade, informações no idioma português, conforme definido a seguir:
I - Marca de aprovação;
II - Portaria de aprovação de modelo do SAVE-CA (Inmetro/Dimel nnn/aaaa);
III - Fabricante;
IV - Ano de fabricação;
V - Designação do modelo;
VI - Número de série.
4.2.2.1 As informações referentes aos incisos III, IV, V e VI, podem ser apresentadas por meio de "QR code" em conectores separados dos cabos de conexão.
4.2.3 As inscrições obrigatórias devem ser indeléveis, distintas e legíveis fora do SAVE-CA. As inscrições obrigatórias do SAVE-CA destinadas a locais externos deverão resistir à radiação solar.
4.2.4 Se o número de série for afixado em partes desmontáveis, o número de série também deve ser fornecido em uma posição onde não seja facilmente dissociado das partes que determinam as características metrológicas.
4.2.5 Quando o SAVE-CA for destinado exclusivamente à exportação, será permitido ao fabricante substituir as inscrições obrigatórias em português pelo idioma oficial do país de destino, desde que previamente autorizado pelo Inmetro.
4.3 Plano de selagem
4.3.1 O SAVE-CA deve dispor de dispositivos de selagem metrológica que impeçam o acesso não autorizado a partes do sistema que possam comprometer a integridade da medição de energia elétrica ou a correspondência com o modelo aprovado.
4.3.2 São partes obrigatoriamente sujeitas à selagem física:
I - Todas as partes do SAVE-CA envolvidas na medição de energia elétrica, processamento de dados e, se aplicável, indicação física dos dados de transação legalmente relevantes;
II - A tampa do bloco de terminais, que permite o acesso aos circuitos de medição de tensão e corrente para verificações e ensaios;
III - O dispositivo de desligamento dos circuitos de proteção diferencial residual (DR), quando necessário para ensaios em bancada, caso esteja localizado dentro do bloco de terminais;
IV - As interfaces de comunicação utilizadas para fins de parametrização, calibração, atualização de firmware ou configuração do SAVE-CA, quando acessíveis localmente;
V - O conector e o cabo de conexão, quando estiverem sujeitos à compensação de perdas.
4.3.3 O plano de selagem deve estar claramente descrito no projeto de avaliação de modelo, com detalhamento das partes seladas e tipo de marcas de selagem utilizadas.
4.3.4 As marcas de selagem utilizadas devem obedecer às especificações estabelecidas nas Normas Inmetro Técnicas.
4.4 Adequação ao uso
4.4.1 Exatidão no ponto de conexão
A exatidão deve ser determinada no ponto de conexão ao veículo (referência D na Figura 1).
4.4.2 Substituição do cabo de conexão
4.4.2.1 Para substituição de cabos de conexão, aplica-se uma das seguintes condições:
I - O cabo de conexão não pode ser substituído sem a violação de um dispositivo de selagem metrológica, o que implica aprovação em verificação após reparo para recolocação do SAVE-CA em uso; ou
II - O cabo de conexão pode ser substituído sem a violação de um dispositivo de selagem, desde que:
a) Esteja identificado na portaria de aprovação de modelo como substituível, incluindo identificação única (ex.: designação de modelo, número da parte ou características do cabo);
b) Esteja marcado com o número da portaria de aprovação de modelo e a identificação única ou características do cabo, além de outras marcações necessárias para distingui-lo de dispositivos não aprovados;
c) Após a montagem, seja selado com um selo do instalador;
d) Cada SAVE-CA seja marcado com a identificação única ou características do cabo correspondente.
e) A substituição do cabo de conexão não deve afetar as características metrológicas do SAVE-CA.
4.4.3 Desvio de energia medida
O SAVE-CA não deve possibilitar o desvio da energia medida entre o ponto de medição e o VE, sem que haja violação de dispositivo de selagem metrológica ou intervenção indevida em seus componentes/partes.
4.4.4 Transações
4.4.4.1 Geral
4.4.4.1.1 O preço unitário da energia, em Wh ou kWh, deve ser exibido antes do início da transação.
4.4.4.1.2 O visor indicador de preço unitário da energia deve permitir reajuste.
4.4.4.1.3 O preço unitário da energia, indicado no início da operação de medição não pode ser alterado durante a recarga, exceto no caso de múltiplas tarifas.
4.4.4.2 Dados de transações legalmente relevantes
4.4.4.2.1 Transações públicas ad hoc
As transações públicas ad hoc, definidas em 2.2.10.1, requerem as seguintes informações:
I - Energia medida entregue ao VE;
II - Preço unitário de energia;
III - Custo total da transação baseado em energia;
IV - Identificação do SAVE-CA;
V - ID da transação;
VI - Se forem utilizadas múltiplas tarifas, para cada ocorrência de cada tarifa diferente:
a) Preço unitário de energia;
b) Energia medida nessa tarifa;
c) Horário de início;
d) Horário de término;
e) Custo baseado em energia nesta tarifa.
VII - Identificador do cliente (opcional);
VIII - Hora e data (opcional);
IX - Identificador do fornecedor (opcional).
4.4.4.2.2 Transações públicas contratuais
As transações públicas contratuais, definidas em 2.2.10.2, requerem as seguintes informações:
I - Energia medida;
II - Identificador SAVE-CA;
III - Se forem utilizadas múltiplas tarifas, para cada ocorrência de cada tarifa diferente:
a) Energia medida nessa tarifa;
b) Preço unitário (opcional);
c) Horário de início (opcional);
d) Horário de término (opcional);
e) Custo baseado em energia nesta tarifa (opcional).
IV - Identificador do cliente (opcional);
V - Hora e data (opcional);
VI - Identificador do fornecedor (opcional).
4.4.4.2.3 Transações privadas contratuais
As transações privadas contratuais, definidas em 2.2.10.3, requerem as seguintes informações:
I - Energia total medida para o período de faturamento;
II - Se forem utilizadas múltiplas tarifas, para cada ocorrência de cada tarifa diferente:
a) Energia medida nessa tarifa;
b) Preço unitário (opcional);
c) Horário de início (opcional);
d) Horário de término (opcional);
e) Custo baseado em energia nesta tarifa (opcional).
4.4.4.3 Disponibilidade de dados de transações legalmente relevantes
4.4.4.3.1 Os dados legalmente relevantes referidos em 4.4.4.2 devem ser armazenados em conformidade com o item 16 do Anexo B.
4.4.4.3.2 Após a conclusão da transferência de energia, os dados legalmente relevantes devem ser disponibilizados ao usuário, no idioma português, por meio da interface do cliente ou do método de recuperação de dados previsto no item 16 do anexo B.
4.4.4.3.3 Após a conclusão da transferência de energia, os dados podem ser impressos.
4.4.4.4 Conclusão de transação em caso de desconexão
Devem ser previstos meios para cessar automaticamente a recarga e concluir a transação em caso de interrupção da conexão ao veículo. Quaisquer dados legalmente relevantes associados à transação serão tratados como uma transação finalizada.
4.4.4.5 Tempo de ociosidade
4.4.4.5.1 O SAVE-CA pode dispor de um sistema de cronometro, de forma a contabilizar o período em que um veículo elétrico está conectado ao SAVE-CA, sem transferência de energia, para fins de cobrança opcional por parte do administrador do SAVE-CA pelo tempo de ociosidade.
4.4.4.5.2 A taxa de ociosidade só pode ser cobrada caso o veículo fique conectado ao SAVE-CA, sem transferência de energia, por um período mínimo a ser definido pelo detentor do instrumento.
4.4.5 Múltiplas tarifas
4.4.5.1 Um SAVE-CA que possa aplicar múltiplas tarifas durante uma sessão de transferência de energia deve cumprir os seguintes requisitos:
I - O preço aplicado não deve ser alterado durante uma transação, a menos que aprovado previamente pelo usuário;
II - Devem ser capazes de medir e armazenar todos os dados relevantes para o faturamento;
III - A soma de toda a energia registrada nos registros multitarifários deve ser igual à energia total transferida durante a transação;
IV - Apenas um registro pode estar ativo por vez durante uma transação;
V - Para transações ad hoc, deve ficar claro para cada parte da transação:
a) A quantidade de energia transferida;
b) O intervalo de tempo durante o qual a energia foi transferida;
c) O preço unitário aplicado.
4.4.5.2 Somente é permitida a aplicação de múltiplas tarifas nos casos em que o cliente tenha concordado previamente com a utilização de preços variáveis, seja por meio de interação com o SAVE-CA, seja por meio de acordo contratual.
4.4.6 Interrupção de energia
4.4.6.1 Em caso de interrupção de energia, a transação deve ser pausada no momento da interrupção do fornecimento de energia.
4.4.6.2 Assim que a energia for restaurada:
I - Se o SAVE-CA conseguir determinar que está conectado ao mesmo veículo antes e depois da interrupção do fornecimento de energia, o SAVE-CA pode continuar a carregar sem autorização adicional e a transação que estava em andamento pode ser concluída normalmente;
II - Se o SAVE-CA não for capaz de determinar que está conectado ao mesmo veículo antes e depois da interrupção do fornecimento de energia, o SAVE-CA deve encerrar a transação no ponto em que a energia falhou:
a) O SAVE-CA pode abandonar a sessão de recarga sem qualquer encargo para o cliente;
b) O SAVE-CA pode concluir a transação, cobrando do cliente apenas os serviços prestados até o momento da falha de energia. Neste caso, aplicam-se todos os requisitos para uma transação concluída;
III - Se uma transação não puder ser retomada após uma falha de energia, então, assim que a energia for restaurada, as informações da última transação devem ser exibidas por 15 minutos, ou até o início da próxima transação, o que ocorrer primeiro.
4.5 Acesso aos dados
O SAVE-CA deve ser equipado com uma interface do cliente.
4.5.1 Indicação do resultado
O SAVE-CA deve indicar os dados legalmente relevantes da transação conforme estabelecido no inciso I deste subitem. A opção descrita no inciso II pode ser implementada opcionalmente, desde que a transação seja iniciada (autorizada) pelo mesmo software no mesmo dispositivo, salvaguardando que a interface do cliente remota esteja disponível:
I - O SAVE-CA deve dispor de uma interface do cliente local, dotada de dispositivo indicador visível externamente e capaz de apresentar os dados legalmente relevantes da transação previstos no item 4.4.4.2. Devem ser atendidos os seguintes requisitos mínimos:
a) Os caracteres apresentados no dispositivo indicador devem ter altura mínima de 4 mm;
b) O dispositivo indicador deve estar localizado na parte frontal do SAVE-CA ou nas proximidades do conector (no caso de SAVE-CA sem cabo de conexão), ou do cabo (no caso de SAVE-CA com de cabo de conexão fixo);
c) Quando o dispositivo indicador utilizar mostrador segmentado, deve dispor de função de teste que permita verificar o funcionamento de todos os segmentos, por meio do acionamento e desligamento sequencial destes;
d) Os dados legalmente relevantes da transação devem permanecer visíveis por, no mínimo, 30 segundos após o término da sessão de recarga. Após esse período, poderá ser iniciada uma nova transação. O período mínimo de exibição pode ser reduzido quando o usuário final encerrar explicitamente a visualização por meio de uma interação simples com a interface ou quando for iniciada uma nova sessão de recarga pela conexão de outro veículo elétrico.
II - O SAVE-CA pode dispor de uma interface do cliente remota para fornecer ao usuário final acesso aos dados, sendo que devem ser atendidos os seguintes requisitos mínimos:
a) O SAVE-CA dispõe de meios de comunicação para enviar todos os dados de transações legalmente relevantes necessários, conforme indicado em 4.4.4.2;
b) Todos os dados de transações legalmente relevantes transferidos são protegidos pelo SAVE-CA, através de meios criptográficos de última geração para garantir sua autenticidade e integridade;
c) Os dados da transação legalmente relevante são disponibilizados ao usuário final, juntamente com todas as informações necessárias para verificar sua autenticidade, utilizando meios técnicos adequados. Esses dados são gerados pelo SAVE-CA;
d) Caso um dispositivo de uso geral seja utilizado como interface do cliente remota, a documentação a ser submetida para avaliação do modelo deverá conter uma descrição do método implementado para verificar a integridade e a autenticidade dos dados de medição. A documentação deverá descrever como possíveis violações de integridade ou autenticidade são detectadas.
4.5.2 Interfaces do cliente
4.5.2.1 As interfaces do cliente devem ser capazes de exibir todos os dados de transações legalmente relevantes corretamente e num formato facilmente legível.
4.5.2.2 As interfaces do cliente devem exibir a energia que está sendo transferida, de forma contínua ou sob demanda.
4.5.2.3 As interfaces do cliente devem fornecer recursos que permitam a inserção de dados pelo usuário quando relevantes para a transação.
4.5.2.4 Para dispositivos de múltiplas tarifas, as interfaces do cliente devem apresentar os dados de cada tarifa aplicada.
4.5.2.5 As interfaces do cliente devem indicar claramente quaisquer frações decimais.
4.5.2.6 As interfaces do cliente locais não devem ser afetadas pela exposição a condições estipuladas de funcionamento ao longo de toda a vida útil do SAVE-CA.
4.5.2.7 Quando os dados legalmente relevantes forem apresentados em mais de uma interface local do usuário, todas essas apresentações serão consideradas legalmente relevantes.
4.5.3 Registros
4.5.3.1 Os registros eletrônicos devem ser não voláteis, de modo que retenham os valores armazenados após perda de energia.
4.5.3.2 Os valores armazenados não podem ser substituídos e devem ser recuperáveis após a restauração da energia.
4.5.3.3 O registro deve ser capaz de armazenar e exibir uma quantidade de energia suficiente para garantir que nenhuma rolagem ocorrerá durante uma transação. Caso contrário, se a capacidade máxima do registro for atingida, a transação será encerrada.
4.5.3.3.1 Esta capacidade de armazenamento e visualização aplica-se a todos os registros relevantes para o faturamento, incluindo registros tarifários para SAVE-CA com múltiplas tarifas.
4.5.3.4 No caso dos registros eletrônicos, o tempo mínimo de retenção é até a finalização ou cancelamento da transação.
4.5.3.5 Se os dispositivos de indicação eletrônica possuírem segmentos, o SAVE-CA deve ser dotado de um autoteste de display, com a finalidade de determinar se todos os segmentos funcionam corretamente.
4.5.3.6 O SAVE-CA deve possuir um ou mais registros da energia entregue ao veículo elétrico para uma transação, que será zerado no início de uma nova transação. A função de redefinição para zero será desativada enquanto um evento de recarga estiver em andamento.
4.5.4 Testabilidade
4.5.4.1 O SAVE-CA deve fornecer prontamente dados de energia legalmente relevantes ao avaliador com a resolução de 0,0001 kWh (0,1 Wh) ou melhor, onde o dígito menos significativo aumenta em 1, sem quaisquer meios adicionais.
4.5.4.2 Para cada tipo de transação para o qual o SAVE-CA tenha sido projetado, devem ser disponibilizados todos os dados legalmente relevantes previstos no item 4.4.4.2.
4.5.4.3 O modo de ensaio deve ser baseado na energia exibida na interface do cliente do SAVE-CA. Os dados de transação devem ser lidos diretamente da interface do cliente ou a partir do pacote de dados criptograficamente protegido contendo os dados legalmente relevantes, através de uma interface de comunicação.
4.5.4.4 O SAVE-CA deve dispor de uma saída de pulso dedicada para fins de ensaio. A saída de pulso deve estar em conformidade com o seguinte:
I - A energia por pulso não deve ser maior que a resolução da interface do cliente.
II - A saída de pulsos deve ser acessível sem a necessidade de rompimento de qualquer selagem metrológica.
III - Existe uma relação clara entre a saída de pulso e a indicação na interface do cliente. Especificamente, a energia representada pelo trem de pulsos durante uma transação deve estar de acordo com aquela exibida na interface do cliente dentro de ±1 dígito menos significativo, representando a energia medida no ponto de conexão.
4.5.4.5 Deve ser possível examinar a exatidão dos algoritmos e funções do SAVE-CA por meio de ensaios metrológicos, ensaios ou avaliação de software.
4.5.4.6 O SAVE-CA deve ser equipado com uma interface de verificação que atenda a todos os requisitos para interfaces de cliente. A interface de verificação pode fazer parte da interface do cliente, desde que o acesso seja adequadamente protegido para evitar uso indevido. Todas as informações disponíveis através da interface de verificação devem ser transmissíveis ao software de verificação.
4.5.4.6.1 A interface de verificação deve ser capaz de exibir:
I - Os dados de medição conforme exigido em 4.4.4.2;
II - A identificação do software, conforme item 2 do Anexo B;
III - Os parâmetros legalmente relevantes, conforme item 10 do Anexo B;
IV - Informações para verificar a integridade e a autenticidade do software e dos parâmetros, especificamente no que diz respeito à assinatura digital, conforme item 5 do Anexo B;
V - A trilha de auditoria, conforme item 3 do Anexo B.
4.5.4.7 O SAVE-CA deve possuir um bloco de terminais com tampa e dispositivo de selagem, que permita o acesso direto aos terminais de tensão e corrente utilizados no SAVE-CA, sem a necessidade de desmontagem ou rompimento de outras marcas de selagem.
4.5.4.8 No caso de ensaios com carga fantasma, o fabricante deve fornecer informações detalhadas sobre os pontos de conexão para aplicação de tensão e corrente e forma de acesso ao dispositivo de desligamento dos circuitos de proteção diferencial residual (DR). O fabricante deve também fornecer documentação que comprove que o SAVE-CA realiza a medição da carga fantasma aplicada utilizando o mesmo hardware e software de sensoriamento e processamento empregados quando uma carga real é aplicada.
4.5.4.9 Um SAVE-CA que possa aplicar múltiplas tarifas deve dispor das seguintes características:
I - Relógio interno com resolução mínima de 1 s, capaz de manter a indicação da hora local, contemplando, quando aplicável, anos bissextos e a configuração de horário de verão.
II - Função destinada ao ensaio da exatidão do relógio, que permita a comparação de sua indicação com uma referência externa de tempo. Para essa finalidade, deve ser possível visualizar a indicação do relógio e emitir, por meio de dispositivo óptico ou elétrico, pulsos de sincronismo associados à base de tempo do SAVE-CA.
III - A função de ensaio do relógio deve permitir a configuração do intervalo entre os pulsos de sincronismo, compreendido entre 3 s e 5 min, e, quando houver compensação da base de tempo, possibilitar sua habilitação e desabilitação para fins de ensaio. A emissão dos pulsos deve possuir duração superior a 10 ms e inferior a 100 ms.
IV - O dispositivo utilizado para emissão dos pulsos de sincronismo pode ser compartilhado com o dispositivo de verificação do SAVE-CA, desde que seja assegurada a adequada comutação entre a função de ensaio e a operação normal. Durante a execução do ensaio, o SAVE-CA deve permanecer apto a realizar suas funções metrológicas e registrar as informações de medição e das transações, conforme aplicável.
V - O requerente deve fornecer, na documentação para avaliação de modelo, os procedimentos para programação, ativação e desativação da função de ensaio do relógio, bem como as informações necessárias à realização do ensaio, incluindo o menor intervalo programável entre pulsos, as características dos pulsos e, quando existente, a compensação da base de tempo. A função de ensaio, quando ativada manualmente, deve ser desativada automaticamente após período não superior a 48 h.
VI - Em caso de interrupção da alimentação elétrica, o SAVE-CA deve manter o relógio em funcionamento por meio de reserva operativa, pelo período especificado pelo fabricante, sem perda do registro de tempo e dentro da exatidão estabelecida neste RTM. Quando houver bateria substituível, sua substituição deve ser possível sem rompimento das marcas de selagem metrológicas, devendo o fabricante especificar o tempo necessário para que a reserva operativa esteja plenamente disponível e assegurar a manutenção do registro de tempo durante a substituição da bateria.
5 CONTROLE METROLÓGICO LEGAL
5.1 Geral
O SAVE-CA está sujeito às seguintes operações legais:
I - Avaliação de modelo: o SAVE-CA somente poderá ser comercializado por seu fabricante ou importador após a aprovação de seu modelo, conforme os requisitos técnicos e metrológicos estabelecidos neste regulamento;
II - Verificação inicial: obrigatória para todo SAVE-CA novo, devendo ser realizada antes de sua entrada em serviço;
III - Verificação após reparo: obrigatória para SAVE-CA recondicionado ou que tenha passado por intervenção que possa afetar suas características metrológicas, devendo ser realizada antes de sua reinserção em serviço;
IV - Verificação periódica: obrigatória para SAVE-CA em uso, realizada pelas autoridades metrológicas competentes, conforme periodicidade definida neste regulamento;
V - Verificação voluntária: realizada a qualquer tempo, mediante solicitação do usuário ou proprietário do SAVE-CA;
VI - Supervisão metrológica: realizada pelas autoridades metrológicas competentes, com o objetivo de verificar a conformidade do SAVE-CA em uso com os requisitos estabelecidos;
VII - Perícia metrológica: todas as operações que têm por finalidade examinar e demonstrar as condições do SAVE-CA e determinar suas características metrológicas, entre outros, com relação aos requisitos regulamentares aplicáveis para, por exemplo, alegação de direitos, perante a justiça.
5.2 Avaliação de modelo
A solicitação de avaliação de modelo deve ser feita de acordo com as normas Inmetro aplicáveis.
5.2.1 Documentação
5.2.1.1 Ao solicitar a avaliação de modelo de um SAVE-CA, o fabricante ou importador deve apresentar documentação, escrita no idioma português, incluindo:
I - Memorial descritivo (identificação, características técnicas e metrológicas):
a) Nome ou marca comercial e designação de modelo;
b) Versões de hardware e software;
c) Desenho da placa de identificação;
d) Descrição do(s) princípio(s) de medição;
e) Especificações metrológicas como classe de exatidão e condições estipuladas de funcionamento;
f) Quaisquer etapas que devam ser executadas antes do ensaio do SAVE-CA;
g) Diagrama de blocos com descrição funcional dos componentes e dispositivos;
h) Desenhos, diagramas e informações gerais do software, explicando a construção e operação, incluindo intertravamentos;
i) Lista de todas as partes de hardware legalmente relevantes;
j) Plano de selagem e outros meios de proteção;
k) Qualquer documento ou outra prova de que o projeto e a construção do SAVE-CA estão em conformidade com os requisitos deste regulamento;
l) Frequências de relógio especificadas;
m) Método de sincronização de relógio.
II - Manual do usuário;
III - Manual de instalação;
IV - Desenhos:
a) Vistas externas do SAVE-CA;
b) Vistas dos componentes internos;
c) Dimensões externas;
d) Plano de selagem;
e) Desenhos ou fotografias digitais da placa dos circuitos eletrônicos.
V - Descrição do mecanismo de verificação, se aplicável.
5.2.1.2 Além disso, a documentação do software deve incluir:
I - Descrição do software legalmente relevante e como os requisitos são atendidos:
a) Lista de módulos de software que pertencem à parte legalmente relevante, incluindo uma declaração de que todas as funções legalmente relevantes estão incluídas na descrição;
b) Descrição das interfaces de software da parte de software legalmente relevante e dos comandos e fluxos de dados através desta interface, incluindo uma declaração de completude;
c) Descrição da geração da identificação do software;
d) Descrição do mecanismo de atualização de software;
e) Lista de parâmetros a serem protegidos e descrição dos meios de proteção.
f) Descrição das saídas legalmente relevantes.
II - Descrição dos meios de segurança do sistema operacional (senha etc. se aplicável);
III - Descrição do(s) método(s) de selagem (software);
IV - Visão geral do hardware do sistema, por ex. diagrama de blocos de topologia, tipo de computadores, tipo de rede etc.;
V - Quando um componente de hardware for considerado legalmente relevante, ou quando desempenhar funções legalmente relevantes, tal condição deve ser devidamente identificada.
VI - Descrição da exatidão dos algoritmos (por exemplo, filtragem de resultados de conversão A/D, cálculo de preços, algoritmos de arredondamento etc.);
VII - Descrição da interface do usuário, menus e diálogos;
VIII - Identificação do software e instruções para obtê-lo de um instrumento em uso;
IX - Lista de comandos de cada interface de hardware do SAVE-CA, incluindo uma declaração de completude;
X - Descrição dos conjuntos de dados armazenados ou transmitidos;
XI - Se a detecção de falhas for realizada no software, lista de falhas detectadas e uma descrição do algoritmo de detecção;
XII - Manual de operação do software.
5.2.1.3 Os manuais requeridos nos itens 5.2.1.1 e 5.2.1.2 devem fornecer todas as informações necessárias ao manuseio e funcionamento do SAVE-CA.
5.2.1.4 Adicionalmente, se a avaliação de modelo estiver parcialmente baseada em documentação de ensaios previamente realizados (como a aprovação de um medidor de energia elétrica), a solicitação de avaliação de modelo deverá ser acompanhada dos respectivos relatórios de ensaio ou de outras evidências que comprovem que o projeto e as características do SAVE-CA estão em conformidade com os requisitos estabelecidos neste regulamento.
5.2.2 Definição de modelo
5.2.2.1 SAVE-CA produzidos pelo mesmo fabricante podem constituir um mesmo modelo, desde que possuam propriedades metrológicas semelhantes, decorrentes do uso da mesma construção uniforme de partes/módulos que determinam as propriedades metrológicas.
5.2.2.2 O modelo do SAVE-CA é definido pelas seguintes propriedades metrológicas:
I - Tecnologia do elemento sensor de tensão;
II - Tecnologia do elemento sensor de corrente;
III - Valor da corrente máxima.
5.2.2.3 Um modelo de SAVE-CA pode ter diversas faixas de corrente e vários valores de tensão e frequência nominais, e incluir vários modos de conexão e dispositivos auxiliares.
5.2.2.4 Quaisquer funcionalidades ou mudanças implementadas em um determinado modelo, que não alterem as propriedades definidas no subitem 5.2.2.2, não caracterizam um novo modelo.
5.2.2.5 A aprovação de um modelo em uma determinada classe de exatidão garante a aprovação nas demais classes de exatidão inferiores, sem a necessidade de ensaios adicionais.
5.2.3 Amostra para ensaios de avaliação de modelo
5.2.3.1 O fabricante ou importador deve fornecer amostra composta de quantidade de exemplares suficiente para cobrir todas as configurações possíveis do modelo apresentadas na documentação técnica referente à solicitação, considerando um exemplar exclusivo para análise de software.
5.2.3.2 A amostra deve estar acompanhada de informações de configuração, cabos, acessórios e meios necessários à aplicação dos ensaios e ao seu funcionamento.
5.2.4 Exame geral dos exemplares
A amostra para ensaios de avaliação de modelo deve ser submetida ao exame geral, que consiste em verificar a conformidade dos exemplares com a documentação apresentada e atendimento às exigências regulamentares, por meio de exame visual e funcional.
5.2.5 Ensaios de avaliação de modelo
5.2.5.1 Visando comprovar o atendimento aos requisitos deste regulamento, o SAVE-CA deve ser submetido aos seguintes ensaios de avaliação de modelo:
I - Ensaios para conformidade com erros máximos admissíveis:
a) Determinação do erro intrínseco inicial;
b) Corrente de partida;
II - Ensaios de grandezas de influência:
a) Auto aquecimento;
b) Dependência da temperatura;
c) Variação de tensão;
d) Variação de frequência;
e) Harmônicos em tensão e corrente;
f) Sequência de fase invertida;
g) Perturbações de correntes conduzidas de modo diferencial;
h) Indução magnética contínua (CC) de origem externa;
i) Campo magnético (CA, frequência de potência) de origem externa;
j) Campos eletromagnéticos irradiados de radiofrequência (RF);
k) Perturbações conduzidas, induzidas por campos de radiofrequência;
l) Operação de dispositivos auxiliares;
III - Ensaios de perturbações elétricas:
a) Descarga eletrostática;
b) Transientes rápidos;
c) Quedas e interrupções de tensão;
d) Surtos nas linhas de energia da rede elétrica CA;
e) Sobrecarga de curta duração;
IV - Ensaios de perturbações ambientais:
a) Proteção contra radiação solar;
b) Calor seco;
c) Frio;
d) Calor úmido;
V - Ensaios de perturbações mecânicas:
a) Vibrações;
b) Choque mecânico;
VI - Ensaio de durabilidade;
VII - Ensaio de tempo de ociosidade;
VIII - Ensaios de múltiplas tarifas:
a) Exatidão do relógio;
b) Exatidão do relógio com reserva operativa;
c) Influência da temperatura na exatidão do relógio;
d) Influência de perturbações na exatidão do relógio;
e) Ensaio de registradores de postos tarifários.
5.2.5.2 Os procedimentos dos ensaios de avaliação de modelo são definidos por Norma Inmetro Técnica.
5.2.5.3 Os erros máximos admissíveis para a avaliação de modelo são definidos no subitem 3.3.3.
5.2.5.4 Caso um modelo de SAVE-CA possibilite a utilização de diferentes configurações, além dos ensaios estabelecidos neste regulamento para uma configuração específica, deverão ser realizados ensaios adicionais, conforme indicado na Tabela 9, em função dos itens variados entre as configurações.
Tabela 9 - Ensaios adicionais para item variado
| Item variado | Ensaios adicionais |
|---|
| Tensão nominal (ou faixa de tensão nominal) (1) | Determinação do erro intrínseco inicial; corrente de partida; variação de tensão; variação de frequência; harmônicos em tensão e corrente; sequência de fase invertida; quedas e interrupções de tensão. |
| Corrente de transição (2)(3) | Determinação do erro intrínseco inicial; corrente de partida; dependência da temperatura; variação de tensão; variação de frequência; harmônicos em tensão e corrente; sequência de fase invertida; ensaio de durabilidade. |
| Disposição mecânica (interna) | Indução magnética contínua (CC) de origem externa; Campo magnético (CA, frequência de potência) de origem externa; perturbações de correntes conduzidas de modo diferencial; campos eletromagnéticos irradiados de radiofrequência (RF); perturbações conduzidas, induzidas por campos de radiofrequência. |
| Disposição mecânica (externa) | Proteção contra radiação solar; calor seco; frio; calor úmido; vibrações; choque mecânico. |
| Número de elementos de medição (4) | Determinação do erro intrínseco inicial; variação de tensão; variação de frequência; harmônicos em tensão e corrente; sequência de fase invertida; auto aquecimento; surtos nas linhas de energia da rede elétrica; quedas e interrupções de tensão; ensaio de durabilidade. |
| Frequência nominal | Determinação do erro intrínseco inicial; corrente de partida; variação de tensão; variação de frequência. |
| Dispositivo indicador |
5.2.6 Procedimento de validação de software
Visando comprovar o atendimento aos requisitos de software deste regulamento, o SAVE-CA deve ser submetido ao procedimento de validação do software, que consiste em uma combinação de métodos de análise e ensaios conforme mostrados na Tabela 10. As abreviaturas utilizadas estão descritas na Tabela 11.
Tabela 10 - Procedimentos de validação para requisitos especificados
| Requisito | Procedimento | Validação de requisitos |
|---|
| Anexo B, item 2 | Identificação do software | AD + VFTSw |
| Anexo B, item 3 | Trilha de auditoria | AD + VFTSw |
| Anexo B, item 4 | Detecção de falhas significativas | AD + VFTSw |
| Anexo B, item 5 | Carimbos de data e hora | AD + VFTM |
| Anexo B, item 6 | Atualizações de software | AD + VFTSw |
| Anexo B, item 7 | Capacidades de verificação remota de software | AD + VFTSw |
| Anexo B, item 8 | Software | AD + VFTSw |
| Anexo B, item 9 |
Tabela 11 - Abreviaturas dos procedimentos de validação
| Abreviatura | Descrição conforme subitem 7.3.1 OIML D 31:2023 |
|---|
| AD | Análise da documentação e validação do projeto |
| VFTM | Verificação por ensaio funcional das funções metrológicas |
| VFTSw | Validação por ensaio funcional de funções de software |
5.2.7 Modificação de modelo
5.2.7.1 Qualquer proposta de modificação no modelo aprovado deve ser comunicada ao Inmetro para análise e posterior tomada de decisão.
5.2.7.2 A solicitação de modificação de modelo deve ser feita de acordo com as normas Inmetro aplicáveis e obedecer aos mesmos procedimentos de avaliação de modelo.
5.2.7.3 A modificação de modelo visando a uma melhor classe de exatidão requer um novo processo de avaliação de modelo.
5.2.7.4 O modelo a ser modificado deve ser submetido aos ensaios adicionais para item variado previstos na Tabela 9 deste regulamento.
5.2.7.5 Modificações no modelo aprovado que não estejam previstas na Tabela 9 deste regulamento devem ser objeto de análise do Inmetro, que decidirá sobre a necessidade de realização de ensaios adicionais, tamanho da amostra a ser apresentada ou se as modificações implicam em uma nova avaliação de modelo.
5.3 Verificações
5.3.1 A verificação pode ser realizada individualmente ou estatisticamente, desde que seja possível formar lotes de acordo com a tabela 13 deste regulamento. Em todos os casos, o SAVE-CA deve estar em conformidade com os requisitos deste regulamento.
5.3.2 O equipamento de verificação utilizado no controle metrológico legal deve estar rastreado aos padrões nacionais e possuir exatidão pelo menos 3 (três) vezes melhor que a do SAVE-CA sob ensaio.
5.3.3 O detentor do SAVE-CA deve colocar à disposição do Inmetro ou de seus órgãos delegados os meios adequados para a realização das verificações, incluindo:
I - Instalações apropriadas para acesso e inspeção do SAVE-CA;
II - Materiais e instrumentos auxiliares necessários;
III - Pessoal de apoio, quando requerido, para operação segura do equipamento;
IV - Acesso desimpedido ao bloco de terminais, dispositivo indicador ou saídas de verificação metrológica, conforme aplicável;
V - Infraestrutura elétrica compatível com a instalação e operação do SAVE-CA.
5.3.3.1 A recusa ou a impossibilidade de disponibilização dos meios necessários poderá impossibilitar a realização da verificação do SAVE-CA e sujeitar seu detentor às sanções previstas na legislação vigente.
5.3.4 Exames e ensaios de verificações
5.3.4.1 Visando comprovar o atendimento aos requisitos deste regulamento, o SAVE-CA deve ser submetido aos exames e ensaios de verificações da Tabela 12.
5.3.4.2 Os procedimentos e objetivos dos ensaios de verificações são definidos por Norma Inmetro Técnica.
5.3.4.3 Os erros máximos admissíveis para as verificações são definidos no item 3.3.3 deste regulamento.
5.3.5 Verificação inicial
5.3.5.1 A verificação inicial, cujo objetivo é atestar que o SAVE-CA atende aos requisitos técnicos e metrológicos deste regulamento antes de sua entrada em serviço, deve ser realizada nas dependências do fabricante ou importador, ou em local autorizado pelo Inmetro, nos termos da regulamentação vigente para declaração de conformidade.
5.3.6 Verificação após reparo
5.3.6.1 A verificação após reparo, cujo objetivo é garantir que o SAVE-CA retomou sua conformidade metrológica e funcional após intervenção técnica, deve ser realizada nas dependências do fabricante ou importador, no local de instalação ou em local autorizado pelo Inmetro, nos termos da regulamentação vigente para declaração de conformidade.
5.3.6.2 O reparo ou atualização do instrumento não deve alterar as características metrológicas constantes em sua portaria de aprovação de modelo.
5.3.6.3 Em caso de substituição do cabo de conexão, observar as condições descritas no subitem 4.4.2.
5.3.6.4 Em caso de simples realocação de SAVE-CA e desde que seja constatada a integridade da selagem, sem a necessidade de algum tipo de manutenção ou reparo, não será necessário submetê-lo a verificação após reparo.
5.3.7 Verificação periódica
5.3.7.1 A verificação periódica, cujo objetivo é garantir que o SAVE-CA continue atendendo aos requisitos metrológicos e técnicos estabelecidos neste regulamento durante o seu tempo de uso, deve ser realizada pelas autoridades metrológicas competentes, no local de instalação ou em local autorizado pelo Inmetro.
5.3.7.2 A verificação periódica deve ser realizada a cada 2 (dois) anos, contados da data da verificação inicial ou da última verificação subsequente realizada (após reparo ou periódica).
5.3.8 Verificação voluntária
5.3.8.1 A verificação voluntária, cujo objetivo é confirmar, a qualquer tempo, a conformidade do SAVE-CA aos requisitos metrológicos e técnicos estabelecidos neste regulamento, deve ser realizada pelos órgãos delegados do Inmetro, no local de instalação ou em local autorizado pelo Inmetro.
5.3.9 Plano de inspeção amostral para verificações
5.3.9.1 Lote
Um lote deverá ser constituído por SAVE-CA com características homogêneas. Todos os SAVE-CA que compõem o lote deverão corresponder ao mesmo modelo aprovado e devem ter o mesmo ano de fabricação.
5.3.9.2 Amostras
As amostras serão colhidas aleatoriamente de um lote.
5.3.9.3 Ensaios estatísticos
5.3.9.3.1 O controle estatístico será baseado em atributos. O sistema de amostragem deve garantir:
I - Um Nível de Qualidade Aceitável (NQA) não superior a 1%; e
II - Um Limite de Qualidade (LQ) não superior a 7%.
5.3.9.3.2 O NQA é a porcentagem máxima de itens não conformes em um lote no qual o lote tem probabilidade de 95% de ser aceito.
5.3.9.3.3 O LQ é a porcentagem de itens não conformes em um lote no qual o lote tem probabilidade máxima de 5% de ser aceito.
5.3.9.3.4 O plano de inspeção amostral é definido na Tabela 13.
5.3.10 Marcação
5.3.10.1 Após a realização dos exames e ensaios de verificação, e sendo o SAVE-CA considerado aprovado, deverá ser realizada a aposição da marca de verificação, de acordo com as normas Inmetro aplicáveis.
5.3.10.2 A aposição da marca de verificação é de responsabilidade do órgão delegado do Inmetro ou da empresa autorizada a declarar conformidade.
5.3.10.3 A aposição indevida da marca de verificação, inclusive em instrumentos não verificados ou reprovados, constitui infração sujeita às sanções previstas na legislação vigente.
5.4 Supervisão Metrológica
5.4.1 O SAVE-CA está sujeito à supervisão metrológica, conforme prescrições constantes em Norma Inmetro específica.
5.4.2 Exame de conformidade ao modelo aprovado
5.4.2.1 O exame de conformidade ao modelo aprovado visa verificar se o SAVE-CA atende a todos os requisitos técnicos e metrológicos, bem como se a documentação técnica fornecida pelo fabricante está conforme os requisitos estabelecidos neste Regulamento.
5.4.2.2 Um SAVE-CA somente poderá ser considerado aprovado no exame de conformidade ao modelo aprovado se os resultados dos ensaios estiverem em conformidade com os requisitos do item 3 deste Regulamento.
5.4.2.3 A incerteza de medição associada aos ensaios de conformidade ao modelo aprovado deve ser suficientemente pequena para permitir distinção clara entre os resultados conformes e não conformes. Para os ensaios de conformidade aos erros máximo admissíveis, a incerteza expandida de medição deve ser inferior a um quinto do erro máximo admissível (EMA) estabelecido para o respectivo ponto de ensaio, salvo especificação em contrário no próprio método de ensaio.
5.4.2.4 O escopo do exame de conformidade ao modelo aprovado compreende os exames e ensaios previstos neste Regulamento, selecionados a critério do Inmetro, de acordo com Norma Inmetro Específica.
5.5 Perícia metrológica legal
5.5.1 O SAVE-CA, quando submetido à perícia metrológica, deve ser avaliado conforme prescrições constantes em Norma Inmetro Técnica.
5.5.2 Apenas especialistas do Inmetro e de seus órgãos delegados, devidamente capacitados, podem realizar atividades de perícia metrológica legal.
ANEXO B
REQUISITOS TÉCNICOS DE SEGURANÇA DE SOFTWARE E HARDWARE A QUE SE REFERE A PORTARIA INMETRO Nº ...., DE ........ DE ........ DE 2025
1 Geral
1.1 O software do SAVE-CA deve ser projetado de forma a não haver exigências excessivas para o usuário obter um resultado de medição correto.
1.2 Um SAVE-CA deve ser dotado de meios para proteger as suas propriedades metrológicas.
2 Identificação do software
2.1 O software legalmente relevante de um SAVE-CA deve ser identificado claramente e de forma não ambígua com a versão do software.
2.1.1 A identificação pode consistir em mais de uma parte, mas pelo menos uma parte deve ser dedicada à finalidade legal.
2.1.2 É permitido ter mais de uma parte de software legalmente relevante, porém cada parte de software legalmente relevante deverá ser identificada.
2.2 A identificação deverá estar disponível via interface de verificação, sob comando, permanentemente ou na inicialização.
2.3 Caso o software seja modificado, será necessária uma nova identificação de software.
2.4 A identificação do software e os meios de identificação devem ser indicados na portaria de aprovação de modelo.
3 Evidência e prevenção de intervenção
3.1 O software legalmente relevante deve ser protegido de modo que estejam disponíveis evidências de qualquer intervenção. Atualizações do software legalmente relevante são permitidas, desde que o SAVE-CA atenda aos requisitos estabelecidos no item 7 deste anexo.
3.2 O software legalmente relevante deve ser protegido contra modificação, carregamento ou alteração decorrente da substituição do componente em que esteja armazenado. Quando necessário, o SAVE-CA deve dispor de selagem mecânica ou de outros meios técnicos que assegurem essa proteção.
4 Trilha de auditoria
4.1 As trilhas de auditoria são consideradas parte do software legalmente relevante e devem ser protegidas como tal.
4.2 Não deve ser possível excluir ou alterar indevidamente os dados das trilhas de auditoria e não deve ser possível trocar as trilhas de auditoria quando o software for atualizado.
4.3 A trilha de auditoria deverá conter, no mínimo, as seguintes informações:
I - Registro de data e hora do evento;
II - No caso de uma alteração de parâmetro:
a) Identificação do parâmetro alterado;
b) O valor antigo e novo do parâmetro alterado.
4.4 A trilha de auditoria deverá ser disponibilizada por meio da interface de verificação e, se a funcionalidade de verificação remota for implementada, deverá ser transmitida ao software de verificação. A documentação do modelo deverá descrever como a trilha de auditoria poderá ser exibida ou impressa e especificar se a trilha de auditoria faz parte do procedimento de verificação remota.
4.5 Caso a trilha de auditoria atinja sua capacidade máxima, novas alterações devem ser impedidas. Alterações adicionais somente poderão ocorrer após a violação da selagem, o descarregamento dos dados e a posterior verificação do dispositivo.
4.6 Os dados que contêm evidências de uma intervenção devem ser exibidos ou impressos mediante comando e disponibilizados para a interface de verificação.
5 Detecção de falhas significativas
5.1 O SAVE-CA deve realizar, no mínimo uma vez por semana, a verificação da integridade do software legalmente relevante. No caso de detecção de falha significativa, o SAVE-CA deve impedir a realização de transações.
5.2 O SAVE-CA deve ser dotado de software capaz de detectar falhas de hardware que possam impactar as funções metrológicas legalmente relevantes. Na ocorrência de uma dessas falhas, o SAVE-CA deve impedir a realização de transações.
5.3 Falhas significativas devem ser registrados.
5.3.1 O registo de eventos dessa função deve ter capacidade para pelo menos 100 eventos e será do tipo FIFO - first-in-first-out.
5.3.2 Não deve ser possível alterar ou zerar o registro do evento sem violar um selo e/ou sem acesso autorizado, como por exemplo, por meio de um código (senha) ou de um dispositivo especial (hard key, etc.).
5.4 A documentação fornecida para a avaliação de modelo deve enumerar as falhas significativas detectados pelo software, descrever a forma como o equipamento reage a esses defeitos e, se necessário para a compreensão de seu funcionamento, apresentar uma descrição do algoritmo de detecção.
6 Carimbos de data e hora
6.1 O SAVE-CA deve apresentar, por meio da interface do cliente, a data e a hora fornecidas por seu relógio interno, no mínimo antes do início da sessão de recarga.
6.2 Quando o valor a ser pago pela transação depender da data e da hora, como nos casos de aplicação de múltiplas tarifas durante a sessão de recarga, aplicam-se também os seguintes requisitos:
I - O relógio interno do SAVE-CA deve permanecer sincronizado com a hora legal, admitindo desvio máximo de ±60 s;
II - Quando o desvio do relógio interno exceder ±60 s, este deve ser ajustado para restabelecer a sincronização com a hora legal. Nesse caso, o ajuste deve ser registrado na trilha de auditoria. A sincronização não deve ocorrer durante a realização de uma transação;
III - O método de sincronização entre o relógio interno e a hora legal deve ser descrito na documentação apresentada para a avaliação de modelo;
IV - Os certificados criptográficos utilizados na sincronização da hora constituem parâmetros específicos do dispositivo legalmente relevante e devem ser tratados como tal, conforme o item 10 deste anexo;
V - Os carimbos de data e hora devem utilizar formato padronizado e consistente, permitindo a comparação entre registros e o acompanhamento cronológico dos eventos;
Nota: Recomenda-se a utilização do formato especificado na ISO 8601.
VI - O SAVE-CA pode dispor de um relógio interno destinado a manter a referência de data e hora durante interrupções da comunicação com a rede.
7 Atualizações de software
7.1 Geral
7.1.1 Qualquer versão de software legalmente relevante instalada no SAVE-CA deve estar em conformidade com um modelo aprovado.
7.1.2 A atualização do software legalmente relevante de um SAVE-CA em campo deve ser considerada como:
I - Uma modificação do SAVE-CA, quando da troca do software por outra versão aprovada;
II - Um reparo do SAVE-CA, ao se reinstalar a mesma versão.
7.1.3 Um SAVE-CA que tenha sido modificado ou reparado durante o serviço deve ser submetido à verificação após reparo.
7.1.4 O software não legalmente relevante do SAVE-CA não requer verificação subsequente após ser atualizado.
7.1.5 Uma atualização não deve influenciar inadmissivelmente o processo de medição.
7.1.6 O SAVE-CA deve permanecer inoperante durante a atualização, ou assegurar que a funcionalidade legalmente relevante continue atendendo às suas especificações durante todo o processo.
7.1.7 Uma atualização do software legalmente relevante deve ser uma atualização verificada (subitem 7.2) ou uma atualização rastreada (subitem 7.3).
7.2 Atualização verificada
7.2.1 Atualização verificada é o procedimento de alteração de software em um dispositivo ou componente verificado, após o qual se torna necessária a verificação subsequente.
7.2.2 O software a ser atualizado pode ser carregado localmente, ou seja, diretamente no dispositivo de medição, ou remotamente. A carga de software e a instalação podem ser duas etapas diferentes ou combinadas em uma só, dependendo das necessidades da solução técnica.
7.2.3 Após a atualização do software legalmente relevante de um SAVE-CA (troca por outra versão aprovada ou reinstalação), o SAVE-CA não poderá ser utilizado em relações comerciais antes que uma verificação do instrumento tenha sido realizada e os meios de segurança tenham sido renovados.
7.3 Atualização rastreada
7.3.1 A atualização rastreada é o procedimento de alteração do software em um instrumento ou dispositivo verificado, após o qual a verificação subsequente no local não é necessária.
7.3.2 A atualização rastreada não deve afetar os parâmetros legalmente relevantes.
7.3.3 O software a ser atualizado pode ser carregado localmente, ou seja, diretamente no dispositivo de medição ou remotamente através de uma rede.
7.3.3.1 O procedimento para uma atualização rastreada compreende várias etapas: carregamento, verificação de integridade, verificação da origem (autenticação), instalação, registro e ativação.
7.3.3.2 O software deve ser implementado no SAVE-CA de acordo com os requisitos aplicáveis à atualização rastreada.
7.3.4 Após o início do procedimento, a atualização rastreada do software deve ser executada automaticamente. Caso alguma das medidas de proteção ou segurança do SAVE-CA seja desativada para permitir a atualização, estas devem ser reativadas imediatamente após a atualização, independentemente do resultado do processo.
7.3.5 Durante uma atualização rastreada, as informações existentes das medidas de proteção, por exemplo, informações da trilha de auditoria, devem ser preservadas.
7.3.6 Devem ser empregados meios técnicos para garantir a autenticidade do software carregado, ou seja, que se origina do requerente da portaria de aprovação de modelo.
7.3.7 Devem ser empregados meios técnicos para garantir a integridade do software carregado, ou seja, que ele não tenha sido alterado inadmissivelmente antes do carregamento. Isso pode ser feito adicionando um checksum ou código hash do software a ser carregado e verificando-o durante o procedimento de carga.
7.3.8 Se o software carregado falhar nessa verificação, o instrumento deverá descartá-lo e usar a versão anterior do software ou alternar para um modo inoperante. Neste modo, as funções de medição devem ser inibidas. Só será possível retomar o procedimento de download, sem omitir quaisquer etapas do processo de atualização rastreada, ou exibir uma mensagem de erro.
7.3.9 Deve ser empregada uma trilha de auditoria para assegurar que as atualizações rastreadas do software legalmente relevante sejam adequadamente rastreáveis no SAVE-AC, possibilitando a verificação subsequente e a supervisão metrológica.
7.3.10 A trilha de auditoria deve conter no mínimo as seguintes informações:
a) Sucesso/falha do procedimento de atualização;
b) Identificação do software da versão instalada;
c) Identificação do software da versão anterior instalada;
d) Carimbo de data/hora do evento;
e) Identificação do responsável pelo download, quando disponível.
7.3.10.1 Uma entrada será gerada para cada tentativa de atualização, independentemente do sucesso.
7.3.11 O dispositivo de armazenamento que suporta a atualização rastreada deve ter capacidade suficiente para garantir a rastreabilidade das atualizações rastreadas de software legalmente relevante entre pelo menos duas verificações sucessivas em campo, ou inspeção. Depois de atingido o limite de armazenamento da trilha de auditoria, deve ser assegurado por meios técnicos que novas cargas de software sejam impossíveis sem a violação da selagem.
7.3.12 Quando o software for atualizado, a trilha de auditoria não deve ser apagada nem sobrescrita.
8 Capacidades de verificação remota de software (opcional)
8.1 O objetivo da verificação remota de software é verificar o correto funcionamento do software legalmente relevante, não incluindo qualquer tipo de ensaio de hardware.
8.2 Caso o SAVE-CA possibilite a verificação remota de seu software, os seguintes requisitos devem ser atendidos:
I - Deve haver uma descrição do procedimento de verificação remota para acesso/leitura dos dados de verificação remota;
II - Deve haver uma descrição do procedimento para a execução das verificações remotas.
8.3 Os módulos envolvidos no procedimento de verificação remota fazem parte do software legalmente relevante e devem atender aos requisitos correspondentes.
8.4 Deve ser sempre possível estabelecer e assegurar a integridade do SAVE-CA a ser verificado.
8.5 Deve ser possível estabelecer a autenticidade do SAVE-CA, por exemplo, o SAVE-CA deve ser unicamente identificado, devendo ser previstos outros meios para assegurar a sua autenticidade.
8.6 O SAVE-CA deve armazenar dados de registro (logging data) e trilhas de auditoria, tornando-os disponíveis para fins de verificação remota.
8.7 Para a finalidade de verificação remota, o SAVE-CA deve:
I - Utilizar carimbos de data e hora (item 6 deste anexo);
II - Fornecer evidências de uma intervenção (subitem 4.6 deste anexo);
III - Utilizar trilha de auditoria (item 4 deste anexo);
IV - Reportar a identificação do software (item 2);
V - Dispor de recurso para a detecção de falhas significativas (item 5 deste anexo).
8.8 Uma medição em andamento não deve ser influenciada pela verificação remota.
8.9 A utilização do procedimento de verificação não deve afetar a conformidade com outros requisitos aplicáveis.
8.10 A integridade do software do SAVE-CA não deve ser influenciada pelo procedimento de verificação remota.
8.11 As interfaces destinadas à verificação remota devem ser protegidas, conforme item 12 e o subitem 14.3.
8.12 Os direitos de acesso ao SAVE-CA para verificação remota devem ser descritos na documentação e disponibilizados ao Inmetro, conforme subitem 5.2.1 do Anexo A.
8.13 Devem existir mecanismos para o armazenamento seguro do resultado da verificação remota no SAVE-CA. Esses dados devem estar protegidos e seguros, garantindo-se que apenas o software de verificação remota possua permissões de escrita.
8.14 Os resultados da verificação armazenados no SAVE-CA devem estar em conformidade com o item 16.
9 Compatibilidade do sistema operacional e do hardware
Caso um sistema operacional faça parte do instrumento de medição, este sistema operacional é considerado legalmente relevante e deve atender aos requisitos previstos nos subitens de 9.1 a 9.8.
9.1 Interfaces de hardware
Interfaces de hardware não equipadas com uma interface de proteção não devem ser capazes de influenciar de maneira inadmissível o software legalmente relevante, os parâmetros ou os dados de medição.
9.2 Processo de inicialização (Boot)
9.2.1 Um processo de inicialização seguro é necessário para assegurar a proteção do software legalmente relevante.
9.2.2 O processo de inicialização deve garantir a integridade e a autenticidade do software legalmente relevante.
9.2.3 Caso seja estabelecida uma cadeia de confiança sobre os passos individuais do processo de inicialização para assegurar a integridade e autenticidade do software legalmente relevante, o processamento da cadeia de confiança pode ser interrompido, desde que sua integridade seja preservada.
9.2.4 A configuração de inicialização deve ser assegurada e protegida.
9.2.5 A inicialização por interfaces abertas é proibida.
9.3 Recursos do sistema
A combinação do software legalmente relevante e do sistema operacional deve garantir que existam recursos suficientes para a operação da aplicação legalmente relevante.
9.4 Proteção durante o uso
9.4.1 A operação de software que não seja legalmente relevante não deve influenciar de maneira inadmissível a aplicação legalmente relevante.
9.4.2 A combinação do software legalmente relevante e do sistema operacional deve garantir que a indicação legalmente relevante seja distinguível de outras informações.
9.4.3 O recurso de controle de acesso do sistema operacional deve ser configurado de forma que o uso pretendido não possa ser influenciado de maneira inadmissível.
9.4.4 As tarefas de administração do software legalmente relevante devem ser protegidas.
9.5 Comunicação com o software legalmente relevante
9.5.1 A comunicação com o software legalmente relevante deve ser realizada por meio de interfaces de proteção.
9.5.2 Deve ser demonstrado que o software legalmente relevante, seus parâmetros e dados de componentes legalmente relevantes não podem ser influenciados de maneira inadmissível por comandos recebidos via interface de proteção.
9.6 Identificação e rastreabilidade
9.6.1 A configuração do sistema operacional deve ser identificável. O identificador deve ser exibido mediante comando ou durante a operação e, se aplicável, transmitido ao software de verificação pelo instrumento de medição.
9.6.2 As configurações legalmente relevantes do sistema operacional devem ser protegidas, ou seja, alterações na configuração legalmente relevante devem ser rastreáveis.
9.7 Ambiente adequado
O fabricante deve identificar o ambiente de hardware e software adequado. Devem ser declarados pelo fabricante e constar na portaria de aprovação de modelo os recursos mínimos e a configuração adequada de gerenciamento de software (por exemplo: processador, memória, comunicação específica, versão do sistema operacional, gerenciamento de configuração de módulos dinâmicos do software legalmente relevante, etc.) necessários para garantir o correto funcionamento do software legalmente relevante.
9.8 Restrições de operação
O sistema deve ser operado apenas no ambiente especificado pelo fabricante para seu correto funcionamento. Caso os recursos mínimos ou a configuração adequada não sejam atendidos, o software legalmente relevante não deve operar.
10 Parâmetros
10.1 Os parâmetros legalmente relevantes devem estar seguros e protegidos de forma que seja possível obter evidência de qualquer intervenção.
10.2 Todas as alterações de parâmetros devem ser registradas na trilha de auditoria, juntamente com a indicação da origem da modificação.
10.3 Não deve ser possível realizar qualquer modificação de parâmetros durante uma transação.
10.4 Se necessário para fins de verificação do instrumento de medição, as configurações de parâmetros devem ser disponibilizadas na interface de verificação e, se aplicável, deve ser possível transmitir as configurações de parâmetros relevantes atuais ao software de verificação.
11 Proteção dos dados da transação
Durante uma transação, os dados da transação legalmente relevantes, conforme definidos em 4.4.4 do Anexo A, devem estar protegidos e seguros.
12 Interfaces do cliente e de verificação
12.1 Todas as entradas das interfaces do cliente e de verificação devem ser protegidas.
12.2 Qualquer função que possa ser ativada por meio da interface deve estar claramente documentada e não pode influenciar de maneira inadmissível as características legalmente relevantes do instrumento.
13 Interfaces de comunicação
13.1 Todas as entradas provenientes de interfaces de comunicação devem ser tratadas por uma interface de proteção.
13.2 Qualquer função que possa ser ativada por meio de uma interface de comunicação deve estar claramente documentada e não pode influenciar de maneira inadmissível as características legalmente relevantes do instrumento remotamente.
14 Separação de dispositivos e componentes eletrônicos
14.1 Os módulos de software legalmente relevantes ou os componentes de hardware do SAVE-CA não devem ser influenciados de maneira inadmissível por outro dispositivo ou por outros módulos ou componentes do SAVE-CA.
14.2 Componentes do SAVE-CA que desempenham funções legalmente relevantes devem ser identificados, claramente definidos e documentados. Eles constituem a parte legalmente relevante do sistema de medição.
14.3 Um componente controlado por software legalmente relevante deve comunicar-se com outros componentes ou dispositivos por meio de uma interface de proteção. Não deve ser possível influenciar de maneira inadmissível os dados legalmente relevantes por meio dessas interfaces.
14.3.1 Isso implica que deve haver uma atribuição inequívoca de cada comando para todas as funções ou alterações de dados iniciadas no componente.
14.4 Se for utilizada selagem de software para impedir a troca de componentes e os parâmetros de emparelhamento fizerem parte da selagem, esses parâmetros de emparelhamento são legalmente relevantes e devem estar seguros e protegidos de forma que seja possível obter evidência de qualquer intervenção.
14.5 No caso de uma interface do cliente remota, o SAVE-CA deve verificar sua autenticidade, identificação e integridade. Caso essa verificação falhe, o SAVE-CA deve impedir a realização de transações.
14.6 Um SAVE-CA que interage com dispositivos externos, como aplicativos móveis, deve ser projetado de forma que a interação seja limitada às seguintes funções:
I - Iniciação da transação;
II - Encerramento da transação;
III - Pagamento da transação;
IV - Exibição dos dados da transação legalmente relevantes e possibilidade de verificar a autenticidade e integridade desses dados.
14.7 Se um componente for compartilhado por múltiplos componentes, por exemplo, um único display para vários sensores, todos os componentes que compartilham esse componente devem ser identificados de forma inequívoca.
15 Separação de módulos
15.1 Todos os módulos de software (programas, sub-rotinas, objetos, etc.) que executam funções legalmente relevantes ou que contêm domínios de dados legalmente relevantes formam a parte de software legalmente relevante de um SAVE-CA. Eles devem ser identificáveis conforme descrito no item 2.
15.1.1 Se a separação do software não for possível ou necessária, todo o software será considerado legalmente relevante.
15.2 Todos os módulos de software legalmente relevantes devem comunicar-se com outros módulos por meio de uma interface de proteção.
15.2.1 Deve ser demonstrado que as funções e dados dos módulos legalmente relevantes não podem ser influenciados de maneira inadmissível por comandos recebidos via a interface de proteção.
15.2.2 Os módulos de software legalmente relevantes e a interface de proteção devem ser claramente documentados.
15.2.3 Todas as funções legalmente relevantes e domínios de dados do software devem ser descritos, permitindo que a autoridade de avaliação de modelo decida sobre a correta separação do software.
15.3 A interface do software consiste em código de programa e domínios de dados dedicados. Comandos ou dados codificados definidos são trocados entre as partes de software armazenando-os no domínio de dados dedicado por uma parte do software e lendo-os por outra.
15.3.1 A escrita e a leitura do código do programa fazem parte da interface de software.
15.4 Deve haver uma atribuição inequívoca de cada comando a todas as funções iniciadas ou alterações de dados na parte legalmente relevante do software.
15.4.1 Os comandos que se comunicam por meio da interface do software devem ser declarados e documentados.
15.4.2 Somente comandos documentados podem ser ativados através da interface do software. O fabricante deve declarar a completude da documentação dos comandos.
15.5 Quando o software legalmente relevante estiver separado do software não relevante, o software legalmente relevante deve ter prioridade na utilização dos recursos em relação ao software não relevante.
15.5.1 O processo legalmente relevante não deve ser interrompido de maneira inadmissível pelo software não relevante.
15.5.2 O processo de medição (realizado pelo software legalmente relevante) não deve ser atrasado ou bloqueado por outros processos.
15.5.3 As funções de medição não devem ser inibidas ou afetadas por processos de aprendizado contínuo, caso estejam presentes.
15.5.4 A documentação do software deve conter a descrição da priorização na utilização de todas as partes do software legalmente relevante.
15.6 Se um display ou impressão forem utilizados tanto para saídas legalmente relevantes quanto para saídas não relevantes, as informações legalmente relevantes devem ser sempre legíveis e claramente distinguíveis das demais informações.
16 Armazenamento de dados
16.1 Geral
16.1.1 Se os dados de medição forem armazenados para fins legais, devem ser atendidos os requisitos de armazenamento de dados.
16.1.2 Os requisitos relativos ao armazenamento de dados também se aplicam à identificação do software, arquivos de registro, resultados de diagnósticos e resultados de verificação remota.
16.2 Completude dos dados armazenados
O dado de medição armazenado deve incluir todas as informações legalmente relevantes necessárias para uso futuro, conforme definido no item 4.4.4 do Anexo A.
16.3 Proteção dos dados armazenados
16.3.1 O componente de armazenamento deve possuir durabilidade suficiente para garantir que os dados de medição armazenados não sejam corrompidos nas condições normais de armazenamento.
16.3.2 Os dados legalmente relevantes devem ser protegidos por meios adequados para garantir a integridade e, se aplicável, a autenticidade.
16.3.3 Deve existir um recurso de verificação que confira regularmente a disponibilidade dos resultados de medição armazenados. Em caso de perda de dados, o mecanismo de verificação deve gerar uma mensagem de erro permanente, a ser exibida na interface do cliente.
16.3.4 Os dados podem ser armazenados utilizando um dos seguintes métodos:
I - Por meio de um dispositivo de armazenamento integrado, cuja autenticidade seja garantida por um selo de hardware apropriado.
II - Por meio de um dispositivo de armazenamento diretamente conectado ao SAVE-CA, de modo que sua autenticidade seja garantida pela selagem física entre dispositivo de armazenamento e o SAVE-CA.
III - Por meio de dispositivos de armazenamento conectados à rede com funcionalidades limitadas e capacidades de proteção. Neste caso, deve ser utilizada criptografia de última geração que permita ao software de recuperação verificar a integridade e a autenticidade dos registros. Devem ser previstos meios pelos quais as chaves criptográficas utilizadas por esses métodos só possam ser inseridas ou lidas se um selo for violado. Quando forem utilizadas chaves pública e privada, a chave pública deve ser disponibilizada.
16.3.5 - Dados intermediários de medição devem ser sempre armazenados localmente.
16.3.6 O software que exibe ou processa os dados de medição deve verificar a integridade e, se aplicável, a autenticidade dos dados após a leitura do armazenamento.
16.3.6.1 Caso seja detectada alguma irregularidade, os dados devem ser descartados ou marcados como inutilizáveis.
16.3.7 Os módulos de software que preparam dados para armazenamento ou envio, ou que verificam dados após leitura ou recebimento, pertencem à parte de software legalmente relevante.
16.4 Armazenamento automático
16.4.1 Deve existir um recurso de verificação que confira regularmente a disponibilidade do armazenamento. Se nenhum armazenamento estiver disponível, nenhuma medição deverá ser possível.
16.4.2 Deve existir capacidade de armazenamento suficiente para a aplicação pretendida.
16.4.3 Os registros da medição podem ser excluídos se:
I - A transação estiver concluída; ou
II - Esses dados tiverem sido impressos por um dispositivo de impressão sujeito a controle legal.
16.4.3.1 Registros que forneçam evidência de intervenção, trilha de auditoria e/ou resultados de diagnósticos devem ser mantidos por pelo menos quatro verificações e/ou inspeções sucessivas do instrumento de medição. Após isso, caso o dispositivo de armazenamento não possua mais capacidade, pode ser excluída a entrada mais antiga dos registros que forneçam evidência de intervenção, contenham o resultado de uma verificação remota, trilha de auditoria ou resultados de diagnósticos.
16.4.4 Registros que armazenem parâmetros ou informações confidenciais devem ser assegurados e protegidos contra exclusão e sobrescrita.
16.4.5 Registros que armazenem os resultados de uma verificação remota devem ser assegurados e protegidos contra exclusão e sobrescrita. A proteção deve garantir que apenas o software de verificação remota possua permissões de escrita.
16.4.5.1 Registros que armazenem os resultados de uma verificação remota devem ser mantidos por pelo menos quatro verificações e/ou inspeções sucessivas de um instrumento de medição. Após esse período, caso o dispositivo de armazenamento não possua mais capacidade, a entrada mais antiga desses registros pode ser excluída.
16.4.6 Nenhuma medição deverá ser possível caso o dispositivo de armazenamento de dados não esteja disponível.
16.4.7 Quando os dados necessários ao cálculo do resultado da medição forem legalmente relevantes, todos os dados utilizados nesse cálculo devem ser armazenados juntamente com o resultado final da medição.
17 Transmissão de dados de medição
17. 1 Geral
17.1.1 Se os dados de medição forem transmitidos antes de serem utilizados para fins legais, devem ser atendidos os requisitos de transmissão de dados de medição.
17.1.2 Os requisitos relativos à transmissão de dados de medição também se aplicam à identificação do software, trilha de auditoria, resultados de diagnósticos, transferência de dados durante verificação remota, entre outros.
17.2 Completude dos dados transmitidos
Os dados de medição transmitidos devem incluir todas as informações necessárias para o uso futuro para fins legais.
17.3 Proteção dos dados transmitidos
17.3.1 Os dados legalmente relevantes transmitidos devem ser protegidos por meios de software para garantir a autenticidade e a integridade.
17.3.2 O software que exibe ou processa os dados de medição deve verificar a autenticidade e a integridade dos dados recebidos através do canal de transmissão.
17.3.2.1 Caso seja detectada alguma irregularidade, os dados devem ser descartados ou marcados como inutilizáveis.
17.3.3 Módulos de software que preparam os dados de medição para envio ou que verificam os dados de medição após o recebimento são considerados parte do software legalmente relevante.
17.4 Atraso ou interrupção de transmissão
17.4.1 A medição não deve ser influenciada de forma inadmissível por um atraso ou interrupção de transmissão.
17.4.2 Se os serviços de rede ficarem indisponíveis, nenhum dado de medição legalmente relevante pode ser perdido.
