ti mancano le virgolette, il contenuto di $sql è una stringa.