Masinamäärus 2023/1230: ohutus sõltub ka tarkvarast

Masinamäärus 2023/1230 on toonud kaasa mugava, aga eksitava lühendi: justkui reguleeriks uus akt lihtsalt AI-d masinates. See kõlab moodsalt, kuid jätab mööda kõige olulisemast. Määrus (EL) 2023/1230 ei ole üldine AI-reeglistik ega tõmba automaatselt iga tehases kasutatavat algoritmi masina vastavushindamise sisse. Kui süsteem analüüsib liiniandmeid, prognoosib rikkeid, arvutab OEE või soovitab protsessiparameetreid, aga ei täida ohutusfunktsiooni, siis ei muutu see üksnes AI sildi pärast ohutuskomponendiks. Päris küsimus on palju konkreetsem: kas lahendus mõjutab masina käitumist nii, et inimene võib sattuda ohtu.

Just siin on Masinamäärus 2023/1230 palju laiem kui populaarne AI-jutt. Mängu tulevad tarkvara, andmed, juhtimisloogika, sideühendused, kaugjuurdepääs, uuendused, konfiguratsioon ja küberturvalisus. Tootja ja integraatori jaoks tähendab see üht: ainult komponentide CE-märgistuse kontrollimisest enam ei piisa. Tuleb näidata, kuidas kogu süsteem käitub pärast ühendamist, uuendamist, ümberseadistamist või võrku viimist.

Masinamäärus 2023/1230 ei ole AI-määrus

Olgu see kohe selge. Masinamäärus 2023/1230 ei reguleeri kõiki AI lahendusi, mida tootmises kasutatakse. Kui AI töötab masina kõrval ja ei mõjuta ohutusfunktsiooni, ei ole see automaatselt masina ohutuskomponent. See võib olla kasulik, tulus ja tehniliselt keerukas, aga see ei ole veel ohutuse küsimus määruse mõttes.

AI muutub määruse seisukohalt oluliseks siis, kui ohutuskomponent või masinasse integreeritud süsteem kasutab masinõpet, selle käitumine on täielikult või osaliselt isemuutuv ning see süsteem tagab ohutusfunktsiooni. Siis ei räägi me enam tootmisanalüütikast. Siis räägime masinast või ohutuskomponendist, mille ohutus sõltub digitaalsest loogikast. See on hoopis teine vastutuse tase ja väga teistsugune vastavushindamise rada.

See eristus on kriitiline, sest tegelik muutus ei piirdu AI-ga. Uus määrus ütleb sisuliselt välja selle, mida tööstus on juba ammu praktikas näinud: masin ei lõpe mehaanika, ajamite, kaitsepiirete ja elektrikapiga. Masin võib olla süsteem, mille ohutus sõltub tarkvarast, andmetest, sensoritest, võrguühendustest ja sellest, kes tohib parameetreid muuta.

Ära küsi, kas masinal on AI. Küsi, mis võib muuta selle käitumist

Halb lähtepunkt on küsida, kas masinal on AI. Õige küsimus on teine: kas see funktsioon, ühendus või muudatus võib muuta masina käitumist nii, et inimene satub ohtu. See on riskihindamise küsimus. Mitte turunduse küsimus. Mitte digitaliseerimise slaidi küsimus.

Näide: PLC programmi muudatus ei ole ainult digisüsteemi intsident

Võtame masina, millel on kaugteeninduse ühendus. Keegi kasutab ära haavatavuse, vale konfiguratsiooni või nõrga kontokaitse ja laeb PLC-sse muudetud programmi. Esmapilgul on kõik justkui korras. Kaitsed on alles. E-STOP on endiselt olemas. Dokumentide kaust riiulis samuti.

Aga masin võib juba töötada teisiti. Liigutuste järjestus võib muutuda. Seiskumisaeg võib pikeneda. Kiirus võib muutuda. Taaskäivituse tingimus võib muutuda. Reaktsioon kaitse avamisele võib muutuda. Kontroll, mis varem piiras riski, võib kaduda. Sel hetkel ei piisa lausest, et tegu oli pelgalt digitaalse turbe intsidendiga. Kui tagajärg võib olla ootamatu liikumine, seiskumise puudumine, ootamatu taaskäivitus või inimese sattumine ohualasse, siis on see juba masina riskihindamise teema.

Näide: SCADA võib olla vaatluskiht või riskiallikas

SCADA ühendamine ei ole automaatselt probleem, aga ka siin ei tasu end petta. Kui SCADA ainult loeb andmeid, võib risk olla piiratud. Seda tuleb ikkagi hinnata, kuid puhas jälgimine ei pruugi veel masina ohutust muuta.

Kui SCADA saab aga muuta retsepte, töörežiime, lubasid, tsükli järjekorda, parameetreid või taaskäivituse tingimusi, siis ei räägi me enam andmevaatest. Me räägime välisest mõjust masina käitumisele. Ja siis tuleb minna tagasi algusesse, masina piiride juurde. Pärast ülemise juhtimissüsteemiga liidestamist ei pruugi masin enam töötada samades tingimustes kui varem. Tal on teised käsuallikad, teised veavõimalused ja teised olukorrad, kus operaator võib ootamatult sattuda ohu ette.

Näide: ümberpaigutamine võib muuta masina piire

Masina ümberpaigutamine ühest tehasest teise tundub sageli puhas logistika. Alati see nii ei ole. Kui masin projekteeriti keskkonda, kus teatud keskkonnamõjusid ei arvestatud, ja hiljem paigaldatakse see kohta, kus need mõjud on reaalsed, siis võivad masina piirid muutuda. See võib puudutada näiteks seismilist koormust, vibratsiooni, tolmu, niiskust, temperatuuri või kohalikke töökorralduse erinevusi.

Kas ümberpaigutamine tähendab automaatselt olulist muudatust? Mitte tingimata. Kuid kui uued tingimused nõuavad lisameetmeid stabiilsuse, mehaanilise vastupidavuse või juhtimissüsteemi töökindluse tagamiseks, siis ei saa riskihindamine teeselda, et tegemist on endiselt täpselt sama masinaga samades piirides. Dokumentatsioon kirjeldab alati konkreetset masinat konkreetses kasutuskontekstis, mitte masinat vaakumis.

Miks Masinamäärus 2023/1230 teeb ISO 12100 veel olulisemaks

Uus määrus ei leiuta riskihindamist uuesti. Masina piirid, ettenähtud kasutus, mõistlikult ettenähtav väärkasutus, elutsükli faasid, operaatori ülesanded, ohud, ohtlikud olukorrad, ohtlikud sündmused, riski hindamine, riski vähendamise meetmed ja jääkrisk olid juba direktiivis 2006/42/EÜ sisuliselt olemas. Seetõttu ei ole lugu selles, et alates 2027. aastast tuleb riskihindamist tegema hakata. Seda tuli teha ka varem.

Muutus seisneb selles, et Masinamäärus 2023/1230 lisab klassikalisele masinamaailmale teemad, mida ei saa enam käsitleda lisandina. Tarkvara. Ohutusfunktsiooni täitev tarkvara. Andmed. Sensoripõhised otsused. Kaugkäivitus. Autonoomne käitumine. Küberturvalisus. See teeb ISO 12100 veel tähtsamaks, mitte vähem tähtsaks. Ilma selge loogilise karkassita on väga lihtne toota dokumentatsioon, mis näeb korrektne välja, kuid kirjeldab eilset reaalsust.

Praktiline töö käib endiselt samas järjekorras. Kõigepealt määratled masina piirid. Seejärel vaatad, kes masinat kasutab, kuidas seda kasutatakse, millised väärkasutused on mõistlikult ette nähtavad ja millistes elutsükli faasides ohud tekivad. Alles siis on mõtet lisada küberturvalisuse kiht, näiteks IEC 62443 vaates, ning hinnata seost CRA-ga toodete puhul, millel on digitaalsed elemendid. ISO 12100 vastab küsimusele, kas risk on olemas ja millest see tekib. IEC 62443 aitab korrastada automaatika küberturvalisust. CRA lisab omakorda digitaalse toote kübervastupidavuse vaate. Need ei ole samad asjad ega asenda üksteist.

Mida Masinamäärus 2023/1230 võrreldes direktiiviga 2006/42/EÜ tegelikult muudab

1. Tarkvara ei ole enam kõrvalteema. Määruse definitsioonid ja nõuded teevad selgeks, et masin võib olla füüsiliselt peaaegu valmis, kuid ilma tootja ette nähtud konkreetse rakenduse tarkvarata ei saa seda käsitleda valmis lahendusena. Kui masin täidab oma funktsiooni alles pärast konkreetse tarkvara paigaldamist, siis on see tarkvara osa masina ohutusest, mitte väline mugavuslisand.
2. Ohutuskomponent võib olla digitaalne. See on suur praktiline nihe. Ohutus ei ela enam ainult kaitsepiirdes, valguskardinas, lukus, turvarelees või E-STOP-is. Kui tarkvara täidab ohutusfunktsiooni, tuleb seda käsitleda ohutuskomponendina või vähemalt ohutusega otseselt seotud osana. Siit tulevad kohe ebamugavad, aga vältimatud küsimused: kes selle tarnis, milline versioon on paigaldatud, kes tohib seda muuta, kas muudatused on jälgitavad ja kas uuendus võib ohutusfunktsiooni muuta.
3. Küberturvalisus siseneb masina ohutusse. Masinamäärus 2023/1230 ei muuda masinatootjat küberteenuse pakkujaks. Kuid määrus ütleb selgelt, et kui juhuslik või tahtlik kahjustamine, andmete muutmine, tarkvara muutmine või väline sekkumine võib viia ohtliku olukorrani, siis on see masina ohutuse küsimus. Juhtimissüsteem peab taluma mitte ainult rikkeid, vaid ka mõistlikult ettenähtavaid pahatahtlikke katseid. Teiste seadmete või kaugseadmetega ühendamine ei tohi tekitada ohtlikku olukorda. Vastavuse seisukohalt oluline tarkvara ja andmed peavad olema määratletud ning kaitstud. Tarkvarasse ja konfiguratsiooni tehtud sekkumised peavad jätma jälje.
4. Tehniline dokumentatsioon peab näitama tootja mõttekäiku. Enam ei piisa sellest, et kaustas on mõned skeemid, juhend ja deklaratsioon. Tehniline dokumentatsioon peab näitama, millised põhinõuded kohaldusid, millised ohud tuvastati, millised riski vähendamise meetmed valiti, milliseid standardeid kasutati ja milline jääkrisk jäi alles. Vajaduse korral tuleb hõlmata ka ohutusega seotud tarkvara lähtekood või programmeerimisloogika, samuti sensoripõhiste, kaugjuhitavate või autonoomsete süsteemide omadused, piirangud ning valideerimise tulemused.
5. I lisa A- ja B-osa muudavad vastavushindamise loogikat. Endise direktiivi tuntud IV lisa asemel tuleb nüüd vaadata määruse I lisa, mis jaguneb A- ja B-osaks. A-osa on rangem. Seal ei piisa tavalisest sisemisest tootmiskontrollist, vaid tuleb kasutada menetlust koos teavitatud asutusega, näiteks moodul B + C, G või H. Just siia kuuluvad ka ohutuskomponendid, mille isemuutuv käitumine kasutab masinõpet ja tagab ohutusfunktsiooni, ning masinad, millesse sellised süsteemid on sisse ehitatud. Aga A-osa ei ole ainult AI teema. Seal on ka klassikalisi masinakategooriaid. B-osas sõltub tee sellest, kas asjakohased nõuded on kaetud ühtlustatud standardite või ühiste spetsifikatsioonidega.
6. Juhendid ja ELi vastavusdeklaratsioon võivad olla digitaalsed, kuid mitte hooletult. Digitaalne juhend peab olema selgelt kättesaadav, allalaaditav, salvestatav ja väljatrükitav. See peab olema veebis saadaval masina eeldatava elutsükli jooksul ning vähemalt 10 aastat pärast turule laskmist või kasutusele võtmist. Sama loogika kehtib ELi vastavusdeklaratsiooni puhul. PDF kuhugi unustatud veebikausta ei ole protsess, vaid risk.
7. Importija ja turustaja ei ole enam pealtvaatajad. Nad peavad kontrollima, kas tootja on teinud õige vastavushindamise, kas tehniline dokumentatsioon on olemas, kas CE-märgis on peal ja kas kaasas on nõutud dokumendid ning nõuetekohased identifitseerimisandmed. Kui importija või turustaja laseb toote turule oma nime all või muudab seda viisil, mis võib mõjutada vastavust, võib ta sisuliselt sattuda tootja rolli.
8. Autonoomsed liikurmasinad ei ole enam erandlik kõrvalteema. Määrus kasutab autonoomse liikuva masina, järelevaataja ja järelevalvefunktsiooni mõisteid otse. Risk ei seisne ainult liikumises. Küsimus on selles, kes teeb liikumisotsuseid, kuidas tuvastatakse inimesed ja takistused, mis juhtub side kadumisel, kas masin võib töötada ilma aktiivse järelevalveta ja kas järelevaatajal on tegelik ülevaade olukorrast.
9. CRA ei asenda masina riskihindamist. CRA käsitleb digitaalseid elemente sisaldavaid tooteid ja nende kübervastupidavust. Masinamäärus 2023/1230 käsitleb masina ohutust. Digitaalse komponendi tootja võib oma toote eest vastutada CRA järgi, kuid masina tootja või integraator peab ikkagi hindama, mis juhtub siis, kui see komponent on ühendatud konkreetse masina, konkreetse juhtimissüsteemi, konkreetse võrgu ja konkreetse töökeskkonnaga.

Dokumendid, mis tunduvad formaalsusena, kuid võivad kogu protsessi läbi kukutada

Üks ohtlikumaid eksiarvamusi on arvata, et üleminek direktiivilt 2006/42/EÜ Masinamäärusele 2023/1230 on lihtsalt mallide uuendamine. Ei ole. Kui pärast 20. jaanuari 2027 kasutab ettevõte endiselt vana EÜ vastavusdeklaratsiooni loogikat, viitab jätkuvalt ainult direktiivile, ignoreerib I lisa A- ja B-osa ja jätab tarkvara mõju kirjeldamata, siis ei ole tegu iluveaga. See näitab, et vastavusprotsessi ennast ei ole uuendatud.

Kuna määrus on otsekohalduv, ei ole mõtet oodata, kuni keegi teeb protsessi sinu eest ära. Valmis peavad olema mallid, kontrollnimekirjad, riskihindamise loogika, juhendid ja deklaratsioonid. ELi vastavusdeklaratsioon ei tohiks enam piirduda üldise lausega, et toode vastab määrusele. Deklaratsioon peab näitama, milliste ühtlustatud standardite, ühiste spetsifikatsioonide või muude tehniliste spetsifikatsioonide alusel vastavust tõendati. Kui standardit kasutati ainult osaliselt, tuleb see ka välja öelda. Samuti peab olema näha kasutatud vastavushindamise menetlus ehk moodul. Kui toode kuulub I lisa alla, tuleb artikkel 25 loogika järgi valida õige rada, mitte kirjutada moodulit deklaratsiooni lihtsalt harjumusest.

Oluline on ka see, mida uues vormis enam ei ole. Vana deklaratsiooni väli isiku kohta, kes oli volitatud tehnilist dokumentatsiooni koostama, ei kandu automaatselt edasi. See on väike detail, aga näitab kiiresti, kas ettevõte töötab uue vormi järgi või kopeerib vana dokumenti. Samal ajal ei tohi segi ajada tootjat ja volitatud esindajat. Volitatud esindaja võib tegutseda kirjaliku volituse alusel, kuid ta ei asenda tootjat riskihindamises ega masina projekteerimise vastutuses.

Kui tegu on osaliselt komplekteeritud masinaga, siis tuleb koostada ELi inkorporeerimisdeklaratsioon, mitte venitada edasi vana formaati uue failinime all. Sisuline küsimus ei ole pealkiri. Küsimus on selles, kas dokument toetab lõppmasina õiget vastavushindamist, näitab, millised põhinõuded on täidetud, ja kinnitab, et asjakohane tehniline dokumentatsioon on olemas.

Praktiline kontrollnimekiri enne 2027. aastat

• Kas toode on masin, mõni muu määruse kohaldamisalasse kuuluv toode või osaliselt komplekteeritud masin?
• Kas masina piirid on uuesti määratletud pärast integratsiooni, tarkvarauuendust, ümberpaigutamist või võrguühenduse lisamist?
• Kas ettenähtud kasutus ja mõistlikult ettenähtav väärkasutus on üle vaadatud ka digitaalse käitumise vaates?
• Kas riskihindamine katab tarkvara, andmed, kaugjuurdepääsu, sidekatkestused, konfiguratsioonimuudatused ja küberturvalisuse mõju ohutusele?
• Kas on selge, millised tarkvarakomponendid täidavad ohutusfunktsiooni ja kuidas nende versioone, õigusi ning muudatusi hallatakse?
• Kas I lisa A- ja B-osa on kontrollitud ning vastavushindamise moodul on valitud teadlikult?
• Kas tehniline dokumentatsioon tõendab tegelikku mõttekäiku, mitte ainult failide olemasolu?
• Kas ELi vastavusdeklaratsioon viitab konkreetsetele standarditele või spetsifikatsioonidele, mitte ainult määruse numbrile?
• Kas digitaalsed juhendid ja deklaratsioonid on kättesaadavad kogu nõutud aja jooksul?

Järeldus

Kõige halvem küsimus on endiselt see, kas masinal on AI. See ei ütle ohutuse kohta peaaegu midagi. Õige küsimus on, kes või mis võib muuta masina käitumist, millistes tingimustes see juhtub ja kas sellest võib tekkida ohtlik olukord. Kui vastus võib olla jah, siis on teema juba Masinamääruse 2023/1230 laual.

Seepärast ei ole uus määrus lihtsalt juriidiline nimi vanale maailmale. See on väga selge signaal, et masinate ohutus tuleb hinnata tervikuna: mehaanika, elekter, juhtimisloogika, tarkvara, andmed, ühendused, uuendused ja inimesed ühes pildis. Kes teeb ainult dokumendi pealkirja vahetuse, jääb hiljaks. Kes teeb ausa riskihindamise ISO 12100 järgi ja seob sinna juurde tarkvara ning küberturvalisuse mõju, sellel on päriselt kontroll käes.