Nařízení o strojních zařízeních 2023/1230 spustilo zkratku, která je pohodlná, ale zavádějící: prý jde hlavně o AI ve strojích. Nejde. Tohle nařízení není obecný předpis o AI a nevtahuje automaticky do posuzování shody každý algoritmus, který ve výrobě počítá OEE, predikuje poruchy nebo doporučuje nastavení procesu. Zajímá ho něco mnohem konkrétnějšího: může dané řešení změnit chování stroje tak, že vznikne nebezpečná situace pro člověka? Pokud ano, je to téma bezpečnosti stroje. Pokud ne, samotná nálepka AI z vedlejšího systému bezpečnostní komponentu nedělá.
A to je přesně bod, který řadě firem uniká. Strojní zařízení dnes nekončí u mechaniky, pohonů, krytů a rozvaděče. Je to systém, jehož bezpečnost může stát na softwareu, datech, logice řízení, komunikaci, dálkovém přístupu, aktualizacích, konfiguraci a odolnosti proti digitálním zásahům. Nestačí se zeptat, jestli mají komponenty CE. Je nutné prověřit, zda po jejich spojení do jednoho celku nevzniklo nové riziko. A právě tady zůstává ISO 12100 klíčovým pracovním nástrojem. Ne jako formalita. Jako kostra celého posouzení rizik.
Nařízení o strojních zařízeních 2023/1230 není předpis o AI
Nejhorší start je otázka: Má ten stroj AI? To je marketingová otázka, ne bezpečnostní. Správná otázka zní jinak: může tento systém, funkce, rozhraní nebo změna ovlivnit chování stroje tak, že se člověk dostane do nebezpečné situace?
Algoritmus může vyhodnocovat data z linky, predikovat poruchy, počítat OEE nebo navrhovat procesní nastavení. Pokud ale neplní bezpečnostní funkci a nezasahuje do bezpečného chování stroje, nevstupuje automaticky do jádra posuzování shody strojního zařízení. To, že někdo přilepil na řešení štítek AI, z něj ještě bezpečnostní komponentu neudělá.
Situace se mění ve chvíli, kdy strojové učení nebo jiná adaptivní logika plní bezpečnostní funkci nebo ovlivňuje bezpečnostní část systému řízení. Tady už nejde o digitální nadstavbu vedle stroje. Tady software vstupuje přímo do bezpečnosti a nařízení to řeší velmi vážně.
Neptejte se, jestli má stroj AI. Ptejte se, kdo nebo co mění jeho chování
Tohle je praktické pravidlo, které funguje lépe než jakákoli zkratka. Pokud někdo změní chování stroje, mění se bezpečnostní realita. A je úplně jedno, jestli změnu způsobí člověk, software, SCADA, vzdálený servis nebo chybná konfigurace.
Příklad 1: změna programu v PLC. Na první pohled se nemusí změnit nic viditelného. Kryty jsou na místě. E-STOP je stále tam, kde byl. Dokumentace v šanonu vypadá stejně. Jenže změněný program může posunout sekvenci pohybů, prodloužit doběh, změnit rychlost, podmínku restartu nebo reakci na otevření krytu. V tu chvíli už není poctivé říkat, že šlo jen o problém IT. Pokud je výsledkem nečekaný pohyb, chybějící zastavení nebo vstup člověka do nebezpečné zóny, je to bezpečnostní problém stroje.
Příklad 2: napojení na SCADA. Pokud SCADA pouze čte data, dopad na bezpečnost může být malý. Pořád se to ale musí vyhodnotit. Jakmile však SCADA umí měnit receptury, provozní režimy, povolení, pořadí cyklu nebo podmínky restartu, přestává jít o pouhý dohled. Vnější systém už ovlivňuje chování stroje. To musí vstoupit do posouzení rizik, protože se změnily meze stroje, zdroje povelů i předvídatelné chyby obsluhy.
Příklad 3: relokace stroje. Samotné přemístění ještě nemusí znamenat zásadní změnu. Ale pokud se stroj přesune do podmínek, pro které nebyl navržen a posouzen, třeba do prostředí se seismickým zatížením, s jiným způsobem obsluhy nebo s jinou návazností na nadřazené systémy, mění se praktické meze použití. A když se změní meze stroje, nemůže posouzení rizik předstírat, že se nic nestalo.
To je důvod, proč ISO 12100 neztrácí význam. Naopak. Nejdřív je třeba určit meze stroje, zamýšlené použití, rozumně předvídatelné nesprávné použití, fáze životního cyklu a úkoly obsluhy. Teprve potom dává smysl řešit nebezpečí, nebezpečné situace, nebezpečné události, opatření ke snížení rizika a zbytkové riziko. Bez této logiky snadno vznikne dokumentace, která vypadá správně, ale popisuje starý svět, ne skutečný stroj po integraci, aktualizaci nebo relokaci.
Co Nařízení o strojních zařízeních 2023/1230 skutečně mění
Nařízení nepřepisuje celý obor od nuly. Základní principy byly už ve směrnici 2006/42/ES: posouzení rizik, technická dokumentace, návod, EU prohlášení o shodě, hierarchie ochranných opatření. Skutečná změna je jinde. Nařízení bere vážně to, co se dřív často odsunovalo na okraj: software, data, digitální bezpečnostní funkce, dálkový přístup, autonomii a kybernetická rizika.
1. Strojní zařízení může být funkčně neúplné bez konkrétního softwareu
Praxe už dlouho ví, že bez správného softwareu některé stroje fakticky neexistují. Nový rámec to říká mnohem tvrději. Pokud strojní zařízení splní konstrukční znaky stroje, ale ještě nemá nainstalovaný software určený pro konkrétní zamýšlené použití, už není možné tvářit se, že software je jen něco navíc. Jestli bez něj stroj neplní funkci, musí být započten do posuzování shody. Jinak technická dokumentace nepopisuje skutečný výrobek, ale jeho kulisu.
2. Bezpečnostní komponenta může být digitální
Tady se láme staré uvažování. Bezpečnostní komponenta už není jen fyzický prvek, jako je zámek, závora, relé nebo tlačítko. Může jí být i software. Pokud software realizuje bezpečnostní funkci, je součástí bezpečnosti stroje se všemi důsledky: verze musí být identifikovatelná, změny musí být řízené, přístup musí být pod kontrolou a technická dokumentace musí umožnit prokázat, jak tato část přispívá ke splnění požadavků.
To bývá slabé místo. Ne proto, že by chyběli dobří programátoři. Selhání přichází ve chvíli, kdy nikdo nedokáže spojit softwarová rozhodnutí s posouzením rizik a s technickými požadavky na bezpečnostní funkci.
3. Kybernetická bezpečnost vstupuje do bezpečnosti stroje
Je potřeba být přesný. Nařízení z výrobce stroje nedělá poskytovatele kybernetických služeb. Nevyžaduje, aby se z každé strojírenské firmy stal specialista na všechno. Ale výslovně říká, že pokud náhodná nebo úmyslná změna softwareu, dat nebo konfigurace může vést k nebezpečné situaci, jde o téma bezpečnosti strojního zařízení.
V praxi to znamená několik tvrdých otázek. Může vzdálený přístup změnit funkci, která je důležitá pro bezpečnost? Může ztráta komunikace vyvolat nečekaný restart? Dá se upravit konfigurace tak, že stroj obejde ochranné podmínky? Zůstává po zásahu do softwareu auditní stopa? Jsou software a data relevantní pro shodu určené a chráněné? Pokud na tyto otázky neexistují věcné odpovědi, věta o zohlednění kybernetické bezpečnosti v dokumentaci nic neřeší.
Tady dává velký smysl navázat na IEC 62443. Ne jako náhradu za posouzení rizik stroje, ale jako technickou vrstvu, která pomůže uspořádat bezpečnost automatizačního prostředí.
4. Technická dokumentace musí unést i software, data a logiku řízení
Technická dokumentace už nemůže být odkladiště výkresů, schémat a jedné tabulky rizik. Musí ukázat myšlenkovou stopu výrobce. Jaké požadavky se použijí. Jaká nebezpečí byla rozpoznána. Jaká opatření byla zvolena. Jaké harmonizované normy nebo společné specifikace byly použity. Jaké zbytkové riziko zůstává. A pokud bezpečnost závisí na softwareu, datech, senzorech, dálkovém řízení nebo autonomii, musí to být zřejmé i z dokumentace.
V relevantních případech se do technické dokumentace promítá i programová logika nebo jiné informace o softwareu vztahujícím se k bezpečnosti. Ne proto, aby se papírově zaplnil další adresář, ale proto, aby bylo možné prokázat, proč je stroj bezpečný a za jakých podmínek.
5. Příloha I má novou logiku: část A a část B
Dřívější příloha IV ze směrnice 2006/42/ES už není správná mapa. Nové nařízení pracuje s přílohou I rozdělenou na část A a část B. A to není kosmetika.
Část A je přísnější. Patří sem mimo jiné bezpečnostní komponenty se zcela nebo částečně samo se měnícím chováním využívajícím strojové učení, pokud zajišťují bezpečnostní funkce, a také stroje s takovými systémy v rozsahu těchto systémů. Tady už nestačí mávnout rukou nad slovem AI. Pokud strojové učení plní bezpečnostní funkci, vstupuje do hry oznámený subjekt a odpovídající postup posuzování shody.
Část B zahrnuje další kategorie se zvýšeným rizikem. U nich záleží mimo jiné na tom, zda výrobce použil harmonizované normy nebo společné specifikace pokrývající příslušné požadavky. Teprve podle toho se rozhoduje, zda stačí vnitřní kontrola výroby, nebo je nutný jiný modul.
6. Digitální návody a EU prohlášení o shodě ano, ale ne ledabyle
Digitální dokumentace je dobrá zpráva jen tehdy, když se udělá správně. Návod může být v digitální podobě, ale musí být jasně dostupný, musí jít vytisknout, stáhnout a uložit. A musí zůstat online po předpokládaný životní cyklus stroje a nejméně 10 let od uvedení na trh nebo do provozu.
To samé platí pro EU prohlášení o shodě, které může být dostupné přes internetovou adresu nebo strojově čitelný kód. Digitální forma tedy nesnižuje povinnosti. Naopak vytváří nové organizační požadavky. PDF nahraný na web, o němž za tři roky nikdo neví, není řešení.
7. Importér a distributor už nejsou jen logistika
Nařízení mnohem jasněji rozepisuje povinnosti hospodářských subjektů. Importér musí ověřit, že výrobce provedl správné posuzování shody, připravil technickou dokumentaci, připojil CE a dodal požadované dokumenty i identifikační údaje. Distributor před zpřístupněním na trhu nemůže zavřít oči před tím, zda je k dispozici EU prohlášení o shodě, návod a správné označení.
Neznamená to, že se z distributora stává konstruktér. Znamená to ale, že v dodavatelském řetězci je méně prostoru pro pohodlné nevěděl jsem. A pokud importér nebo distributor uvede výrobek pod vlastním jménem nebo jej upraví způsobem, který může ovlivnit shodu, může převzít roli výrobce se všemi důsledky.
8. Autonomní mobilní stroje přestávají být výjimkou
Nový rámec počítá s tím, že stroj může rozhodovat o pohybu s vyšší mírou autonomie. Tady už nestačí posoudit kola, brzdu a houkačku. Je třeba řešit, jak stroj detekuje osoby a překážky, co dělá při ztrátě komunikace, zda může pracovat bez aktivní funkce dozoru, jaké má meze pracovního prostoru a jakou roli má člověk v roli dozorující osoby. To je jiný typ bezpečnostního myšlení než u klasického ručně ovládaného stroje.
9. CRA je další vrstva, ne náhrada za posouzení rizik
CRA se týká výrobků s digitálními prvky a jejich kybernetické odolnosti. To je důležité, ale není to totéž jako bezpečnost stroje podle nařízení. Výrobce digitální komponenty může splnit své povinnosti v rámci CRA, ale výrobce nebo integrátor stroje stejně musí posoudit, co se stane po zabudování této komponenty do konkrétního stroje, konkrétní sítě a konkrétního provozu.
Jinými slovy: CRA může pomoct s kvalitou digitální komponenty. IEC 62443 může pomoct uspořádat kybernetická opatření v automatizaci. Ale ISO 12100 je stále potřeba k tomu, aby někdo odpověděl na základní otázku: mění to riziko stroje, nebo ne?
Nařízení o strojních zařízeních 2023/1230 v dokumentaci: kde firmy narážejí
Řada změn vypadá na první pohled administrativně. Jenže právě na administrativních detailech je vidět, jestli firma chápe nový režim, nebo jen přepsala hlavičku formuláře.
Staré vzory po 20. lednu 2027 neobstojí
Od 20. ledna 2027 už nebude stačit dokumentace postavená na staré logice směrnice 2006/42/ES. Nestačí přepsat název právního aktu a nechat stejné šablony. Pokud v dokumentech zůstane stará struktura, staré odkazy a staré myšlení, je to signál, že proces posuzování shody nebyl skutečně aktualizován.
Typický problém je jednoduchý: firma stále pracuje se starou představou, že stačí vyjmenovat právní akty, připojit podpis a tím je hotovo. Není. Nařízení je přímo použitelné, takže neexistuje pohodlná výmluva, že se čeká na národní přepis.
EU prohlášení o shodě musí ukázat, jak byla shoda prokázána
Nové EU prohlášení o shodě nesmí být obecné prohlášení typu stroj splňuje nařízení. Musí být zřejmé, přes jaké harmonizované normy, společné specifikace nebo jiné technické specifikace výrobce shodu prokazuje. Pokud byla norma použita jen částečně, má být uvedeno v jakém rozsahu. To je zásadní rozdíl proti deklaracím, které byly dříve spíš formálním listem než technickým záznamem o cestě ke shodě.
Stejně důležité je nepřenášet do nového vzoru staré položky bez rozmyslu. Pokud tam nepatří, nemají tam co dělat. To je detail, na kterém inspekce velmi rychle pozná, že firma recykluje minulost.
Modul posuzování shody musí být vidět
EU prohlášení o shodě by mělo odpovídat tomu, jaký postup posuzování shody byl skutečně použit. U řady strojů to bude modul A, tedy vnitřní kontrola výroby. Jakmile ale výrobek spadne do přílohy I, musí se ověřit, zda zvolená cesta stále platí. V některých případech vstupuje do hry modul B + C, modul G nebo modul H a s nimi i oznámený subjekt.
Tohle není kolonka navíc. Pokud je v EU prohlášení o shodě uveden nesprávný modul, je to problém celého procesu, ne jen jedné věty.
EU prohlášení o zabudování pro částečně dokončené strojní zařízení
U částečně dokončeného strojního zařízení nestačí vytáhnout starý soubor a přejmenovat ho. EU prohlášení o zabudování musí odpovídat novému právnímu rámci a správně podporovat následné posuzování shody finálního stroje. Pokud dodavatel posílá dokument ve starém duchu, je to varování, že jeho podklady nemusí být pro finální sestavu použitelné.
Pro výrobce finálního stroje je to praktický problém, ne akademická debata. Slabé nebo zastaralé podklady od dodavatele komplikují technickou dokumentaci, posouzení rizik i konečné EU prohlášení o shodě.
Nejhorší migrace je změnit nadpis a nechat starý proces
Největší chybou přechodu ze směrnice 2006/42/ES na nový režim je přesvědčení, že jde hlavně o nový formulář. Správná aktualizace musí projít celý řetězec:
- správně určit, zda jde o strojní zařízení, bezpečnostní komponentu nebo částečně dokončené strojní zařízení,
- stanovit meze stroje a provést poctivé posouzení rizik,
- určit příslušné požadavky a ověřit přílohu I, část A a část B,
- zvolit správný modul posuzování shody a případně zapojit oznámený subjekt,
- správně popsat software, data, dálkový přístup a jejich dopad na bezpečnost,
- připravit technickou dokumentaci, která skutečně podporuje EU prohlášení o shodě nebo EU prohlášení o zabudování,
- nastavit správu digitálních dokumentů tak, aby byly dostupné po požadovanou dobu.
Praktický závěr: neptejte se, jestli je váš stroj dost moderní na nové nařízení. Ptejte se, jestli rozumíte tomu, co dnes skutečně ovlivňuje jeho bezpečnost. Pokud bezpečnost závisí na softwareu, datech, komunikaci, konfiguraci nebo dálkovém zásahu, musí to být vidět v posouzení rizik, v technické dokumentaci i v posuzování shody. Právě tam se rozhoduje, jestli je CE podložené, nebo jen nalepené.