Avsnitt 1.2.1 om styrsystemens säkerhet och tillförlitlighet är bekant för alla maskintillverkare: fel och logikfel får inte leda till farliga situationer. Maskinförordningen behåller det och lägger till tre saker som ändrar hur styrsystem konstrueras och dokumenteras.
1. Uppsåtliga försök är en yttre påverkan
Styrsystemen ska, där det är lämpligt med hänsyn till omständigheterna och riskerna, tåla avsedda driftspåfrestningar och yttre påverkan, "inbegripet rimligen förutsebara uppsåtliga försök från tredje part som leder till en farlig situation" (1.2.1 a).
Två gränser är viktiga. Försöket ska vara rimligen förutsebart, och det ska leda till en farlig situation. En stulen användningsstatistik är inget problem enligt 1.2.1; ett fjärrkommando som fäller ut en bom nära en person är det.
I praktiken för det in hotscenarier i den riskbedömning ni redan gör (bilaga III, del B, punkt 1). Fråga för varje fara vem som skulle kunna framkalla den med avsikt, genom vilket gränssnitt och med vilken ansträngning. Värdera scenarierna som alla andra risker och minska dem i den vanliga ordningen: först en i sig säker konstruktion, sedan skyddsåtgärder, sist information (1.1.2 b).
2. Säkerhetsgränserna stannar där riskbedömningen satte dem
Säkerhetsfunktionernas gränser fastställs i riskbedömningen, och inga ändringar av inställningar eller regler, vare sig av maskinen eller av operatörer, får göras där de kan leda till farliga situationer (1.2.1 d; se även punkt c i listan över det som särskilt ska beaktas).
En användare som höjer en hastighetsgräns via en dold meny är rimligen förutsebar felanvändning (1.1.2 c). Det är också ett verktyg från tredje part som skriver om ett parameterblock. Det vanliga svaret är att skilja säkerhetsgränserna från vanliga inställningar, bara acceptera dem från en signerad källa som fabriken kontrollerar och hålla maskinen i ett säkert läge om kontrollen misslyckas vid start.
3. En spårningslogg i fem år
Spårningsloggen över data som genereras i samband med ett ingrepp, och över versioner av säkerhetsprogramvara som laddats upp efter att maskinen släppts ut på marknaden, ska vara aktiverad i fem år efter varje uppladdning, enbart för att visa överensstämmelse när en behörig nationell myndighet begär det med motivering (1.2.1 f).
| Konstruktionsfråga | Ett försvarbart svar |
|---|---|
| Var finns loggen? | I den enhet som upprätthåller säkerheten, så att en komprometterad gateway inte kan skriva om den |
| Vad loggas? | Uppladdningar av programvara med version och resultat, parameterändringar, nekade försök, serviceanslutningar |
| Hur skyddas den? | Integritetsskyddade poster och ett reserverat område som rutinhändelser inte kan skriva över |
| Hur länge? | Fem år räknat från varje uppladdning, inte från försäljningen |
| Vem får använda den? | Texten säger "enbart" för överensstämmelse. Håll data för marknadsföring eller garanti åtskilda |
Maskiner som lär sig
För styrsystem med helt eller delvis självutvecklande beteende som är konstruerade för att arbeta med viss autonomi gäller ytterligare tre regler: inga handlingar utanför den definierade uppgiften och rörelseytan, registrering av data om säkerhetsrelaterade beslut som sparas i ett år, och möjlighet att alltid korrigera maskinen. De flesta maskiner har i dag ingen självutvecklande säkerhetslogik. Om er har det kan den också omfattas av bilaga I, del A, som alltid kräver ett anmält organ.
Avbrott och återkomst
Avsnitt 1.2.6 hör till samma bild. Avbrott, återupprättande eller variationer i strömförsörjningen eller i anslutningen till kommunikationsnätet får inte leda till en farlig situation: ingen oväntad start, ingen okontrollerad ändring av parametrar, inget blockerat stopp. En maskin ska nå ett definierat säkert läge när en förbindelse bryts och får inte agera på inaktuella kommandon när den kommer tillbaka.
Hur ni visar det
En bedömare letar efter tre saker: hotscenarier i riskbedömningen med värdering och åtgärder; krav som gör åtgärderna testbara; och testrapporter som visar att maskinen nekar det den ska neka. Ett krav som "styrenheten ska förkasta pumpstartkommandon från gatewayen och logga varje förkastad ram" kan godkännas eller underkännas. "Systemet ska vara säkert" kan inte det.
Artikeln förklarar förordning (EU) 2023/1230 med enkla ord. Den är inte juridisk rådgivning.