koneasetus 2023/1230: turvallisuus myös ohjelmistossa
koneasetus 2023/1230 on synnyttänyt yhden sitkeän oikopolun: uusi sääntely muka koskee vain AI:ta koneissa. Kuulostaa modernilta. Ongelmana on, että se on liian karkea väite. Pelkkä AI-tarra ei tee järjestelmästä turvakomponenttia eikä vedä sitä automaattisesti koneen vaatimustenmukaisuuden piiriin. Jos järjestelmä vain analysoi linjan dataa, ennustaa vikoja, laskee OEE tai ehdottaa prosessiasetuksia vaikuttamatta turvatoimintoon, kyse ei vielä ole koneen turvallisuudesta sääntelyn ytimessä.
Oleellinen kysymys on toinen: voiko kyseinen ratkaisu muuttaa koneen käyttäytymistä niin, että ihminen joutuu vaaratilanteeseen? Siinä kohtaa peli muuttuu. Silloin puhutaan koneen turvallisuudesta, riskin arvioinnista ja siitä, mitä valmistajan tai integraattorin on oikeasti kyettävä näyttämään toteen.
Tässä on koko muutoksen ydin. Kone ei enää tarkoita vain mekaniikkaa, käyttöjä, suojuksia ja sähkökeskusta. Se voi olla järjestelmä, jonka turvallisuus riippuu ohjelmistosta, datasta, ohjauslogiikasta, viestinnästä, etäyhteyksistä, päivityksistä, asetuksista ja kyvystä kestää digitaalista häirintää. Siksi pelkkä kysymys siitä, onko komponenteilla CE-merkintä, ei enää riitä. Valmis kone pitää arvioida kokonaisuutena.
Älä kysy, onko koneessa AI. Kysy, mikä voi muuttaa sen käyttäytymistä
Tämä on huono lähtökysymys: onko koneessa AI? Se ei vielä kerro turvallisuudesta juuri mitään. Oikea kysymys kuuluu näin: voiko tämä toiminto, liityntä, päivitys tai ulkoinen järjestelmä vaikuttaa koneen käyttäytymiseen tavalla, joka synnyttää vaaratilanteen?
Se on riskin arvioinnin kysymys. Ei markkinointipuheen. Ei digitalisaatiokalvon. Ei pelkän IT-jaon. Jos kone voi liikkua väärään aikaan, pysähtyä liian myöhään, käynnistyä odottamatta tai menettää suojatoiminnon, asia kuuluu suoraan koneen turvallisuuteen.
Esimerkki: PLC-ohjelmaa muutetaan etäyhteyden kautta
Kuvitellaan kone, jossa on huoltoa varten etäyhteys. Tilille jää heikko suojaus, asetuksiin jää aukko tai haavoittuvuutta hyödynnetään. Joku lataa PLC:hen muutetun ohjelman. Ulospäin kaikki näyttää tutulta. Suojukset ovat paikoillaan. E-STOP on edelleen punainen. Kilpi näyttää asialliselta. Dokumenttikansio on tallessa.
Silti kone voi jo toimia eri tavalla. Liikesarja voi muuttua. Pysäytysviive voi muuttua. Nopeus voi muuttua. Uudelleenkäynnistyksen ehto voi muuttua. Suojuksen avauksen reaktio voi muuttua. Aiemmin riskiä rajoittanut logiikka voi kadota. Tässä kohtaa ei riitä selitys, että kyse oli vain IT-häiriöstä. Jos seurauksena voi olla vaarallinen liike tai odottamaton käynnistys, kyse on koneen riskin arvioinnista.
Entä jos kone liitetään SCADAan?
Vastaus on sama kuin yleensä turvallisuudessa: riippuu siitä, mitä yhteys oikeasti tekee. Jos SCADA vain lukee tietoa, vaikutus turvallisuuteen voi olla pieni. Se pitää silti arvioida. Mutta jos SCADA voi kirjoittaa reseptejä, muuttaa parametreja, vaihtaa käyttötiloja, antaa käynnistyslupia tai muuttaa syklin ehtoja, ei enää puhuta pelkästä valvomosta. Puhutaan ulkoisesta vaikutuksesta koneen käyttäytymiseen.
Silloin on palattava alkuun, koneen rajoihin. Aiemmin itsenäinen kone voi integraation jälkeen toimia aivan eri ympäristössä ja eri riippuvuuksilla. Käskyjä tulee useammasta suunnasta. Virhemahdollisuuksia on enemmän. Käyttäjä voi yllättyä tilanteessa, jossa kone ei enää käyttäydy kuten paikallinen ohjaus antaisi olettaa. Se, että SCADA on asiakkaan puolella, ei poista asiaa riskin arvioinnista.
Ja relokaatio? Ei se aina ole pelkkä muutto
Myös relokaatio sekoitetaan usein logistiikkaan. Jos sama kone siirretään ympäristöön, jossa olosuhteet muuttuvat olennaisesti, kyse voi olla aivan uudesta riskikuvasta. Ajattele konetta, joka on suunniteltu tilaan ilman seismisiä kuormia ja siirretään paikkaan, jossa maanjäristys on realistinen ympäristötekijä. Pelkkä siirto ei automaattisesti tee muutoksesta olennaista, mutta jos vakavuus, kiinnitys tai mekaaninen kestävyys vaatii uusia ratkaisuja, ei kyse enää ole vain osoitteen vaihdosta.
Dokumentaatio ei kuvaa konetta tyhjiössä. Se kuvaa koneen tietyissä käyttöehdoissa: missä se toimii, kuka sitä käyttää, mikä on aiottu käyttö, mikä on kohtuudella ennakoitavissa oleva väärinkäyttö ja millaisissa tilanteissa ihminen kohtaa koneen. Jos nämä ehdot muuttuvat, riskin arviointi ei saa teeskennellä, että mikään ei muuttunut.
Miksi ISO 12100 on nyt tärkeämpi kuin ennen
Moni puhuu kyberturvallisuudesta kuin se olisi erillinen kerros, joka liimataan valmiin koneen päälle. Näin ei kannata toimia. ISO 12100 on edelleen se runko, joka pitää koko ajattelun kasassa. Se ei menettänyt merkitystään uuden asetuksen myötä, vaan päinvastoin vahvistui.
Hyvä riskin arviointi alkaa koneen rajoista, ei suojalaiteluettelosta. Ensin on määriteltävä ainakin seuraavat asiat:
- mikä on koneen aiottu käyttö
- mikä on kohtuudella ennakoitavissa oleva väärinkäyttö
- mitkä ovat käyttötilat ja elinkaaren vaiheet
- mitä tehtäviä käyttäjät, huolto ja kunnossapito tekevät
- mitä vaaroja, vaaratilanteita ja vaarallisia tapahtumia voi syntyä
- mitä suojaustoimenpiteitä käytetään
- mikä jäännösriski jää jäljelle
Vasta tämän rungon päälle on järkevää lisätä kyberturvallisuuden näkökulma, esimerkiksi IEC 62443:n avulla. Ja vasta silloin voidaan arvioida fiksusti myös suhdetta CRA:han, joka koskee tuotteita, joissa on digitaalisia elementtejä. CRA ei korvaa koneen riskin arviointia. Se on eri säädös eri tarkoitukseen.
Jos tämä perusta puuttuu, syntyy helposti dokumentaatio, joka näyttää siistiltä mutta kuvaa vanhaa todellisuutta. Kone voi olla integroituna, päivitettynä tai verkotettuna jo täysin eri kokonaisuus kuin se, joka paperissa kuvataan.
Mitä koneasetus 2023/1230 oikeasti muuttaa?
On tärkeää sanoa tämä suoraan: koneasetus 2023/1230 ei keksinyt riskin arviointia uudelleen. Koneen rajat, aiottu käyttö, kohtuudella ennakoitavissa oleva väärinkäyttö, suojaustoimenpiteiden hierarkia, tekninen dokumentaatio, käyttöohje ja vaatimustenmukaisuusvakuutus olivat jo konedirektiivi 2006/42/EY:n maailmassa tuttuja asioita. Muutos ei siis ole siinä, että vuodesta 2027 alkaen turvallisuus muka vasta alkaisi kiinnostaa. Muutos on siinä, että ohjelmisto, data, digitaalinen turvalogiikka, etätoiminnot ja kyberturvallisuus nostetaan suoraan koneen turvallisuuden ytimeen.
Kone voi olla määritelmän mukaan kone, vaikka käyttökohteen ohjelmistoa ei vielä ole asennettu. Tämä kuulostaa pieneltä detaljilta, mutta seuraukset ovat suuria. Ohjelmistoa ei voi enää käsitellä pelkkänä lisävarusteena, jos kone ei ilman sitä toimi valmistajan tarkoittamalla tavalla. Jos ohjelmisto ratkaisee toiminnan, se vaikuttaa myös turvallisuuteen ja vaatimustenmukaisuuden arviointiin.
Turvakomponentti voi olla digitaalinen. Tämä on käytännössä iso henkinen muutos. Turvallisuus ei asu vain suojuksessa, lukossa, valoverhossa tai releessä. Jos ohjelmisto toteuttaa turvatoiminnon, kyse ei ole enää vain automaatiokoodista. Kyse voi olla turvakomponentista tai turvallisuuteen liittyvästä ohjausjärjestelmän osasta. Silloin on pystyttävä vastaamaan hankaliin mutta välttämättömiin kysymyksiin: mikä versio on käytössä, kuka sen toimitti, kuka saa muuttaa sitä, jääkö muutoksista jälki ja voiko päivitys muuttaa turvatoimintoa.
Kyberturvallisuus tulee sisään koneen turvallisuuteen. Ei niin, että jokaisesta konevalmistajasta pitäisi tulla kyberturvatalo, vaan niin, että tahaton tai tahallinen puuttuminen ohjelmistoon, dataan tai viestintään on arvioitava silloin, kun se voi synnyttää vaaratilanteen. Jos yhteys toiseen laitteeseen tai etälaite voi vaikuttaa turvallisuuteen, asia kuuluu suunnitteluun, suojaustoimenpiteisiin ja dokumentaatioon. Ohjelmistot ja data, joilla on merkitystä vaatimustenmukaisuudelle, on määriteltävä ja suojattava. Ohjelmisto- ja asetustoimenpiteiden on jätettävä jälki. Ja ohjausjärjestelmien on kestettävä paitsi viat myös kohtuudella ennakoitavissa oleva tahallinen yritys aiheuttaa vaaratilanne.
Teknisen dokumentaation on näytettävä ajatteluketju, ei vain tiedostokasa. Vanha tapa kerätä piirustukset, käyttöohje, pari testiraporttia ja yksi riskitaulukko samaan kansioon ei enää kanna pitkälle. Teknisen dokumentaation on osoitettava, mitä olennaisia terveys- ja turvallisuusvaatimuksia sovelletaan, mitä vaaroja tunnistettiin, mitä toimenpiteitä tehtiin ja mikä jäännösriski jäi. Tarvittaessa mukana on oltava myös turvallisuuteen liittyvän ohjelmiston lähdekoodi tai ohjelmointilogiikkaa kuvaava aineisto, sekä kuvaus anturiohjatuista, etäkäynnistettävistä tai autonomisista toiminnoista.
Autonomiset koneet eivät ole enää marginaali. Kun päätöksenteko liikkeestä siirtyy osin koneelle, riskin arviointi menee syvemmälle kuin pyöriin, jarruun ja varoitusääneen. On arvioitava, miten kone havaitsee ihmiset ja esteet, mitä tapahtuu valvonnan puuttuessa, miten kone toimii viestinnän katketessa ja mikä on valvojan todellinen mahdollisuus ymmärtää tilanne.
Missä koneasetus 2023/1230 kiristää vaatimuksia käytännössä?
EU-vaatimustenmukaisuusvakuutus ei saa olla yleislause
Vanha malli oli monessa yrityksessä laiska: koneen nimi, valmistaja, pari säädöstä, allekirjoitus ja toivotaan parasta. Se ei enää riitä. EU-vaatimustenmukaisuusvakuutuksen pitää näyttää, millä reitillä vaatimustenmukaisuus on osoitettu. Jos käytettiin yhdenmukaistettuja standardeja tai yhteisiä eritelmiä, ne on ilmoitettava asianmukaisesti. Jos standardia sovellettiin vain osittain, myös se on kerrottava. Jos käytettiin muita teknisiä eritelmiä, nekin on yksilöitävä.
Tämä muuttaa vakuutuksen paperista tekniseksi jäljeksi. Pelkkä lause, että tuote on koneasetuksen mukainen, ei osoita mitään. Säädös kertoo vaatimukset. Valmistajan on näytettävä, miten ne täytettiin.
Sama koskee vaatimustenmukaisuuden arviointimenettelyä. Käytetty moduuli on pystyttävä osoittamaan. Käytännössä tämä tarkoittaa, että moduuli A/B/C/G/H ei ole koristeellinen lisä, vaan osa todellista arviointiketjua. Jos tuote kuuluu liite I, osa A/B -luokittelun piiriin, menettelyä ei voi valita mutu-tuntumalla. Ensin luokitellaan tuote oikein, sitten katsotaan, sallitaanko moduuli A vai tarvitaanko esimerkiksi moduuli B + C, moduuli G tai moduuli H sekä ilmoitettu laitos.
EU-liittämisvakuutus ei ole uusi tiedostonimi
Osittain valmis kone ei ole valmis kone, eikä sille tehdä samaa vakuutusta kuin valmiille koneelle. Tämä ei ole vain termin vaihto. EU-liittämisvakuutuksen on vastattava uuden asetuksen rakennetta ja osoitettava, mitkä olennaiset vaatimukset on toteutettu. Jos toimitusketjussa liikkuu vanhan maailman lomake, se on hälytysmerkki. Silloin kannattaa kysyä heti, tukeeko toimittajan dokumentaatio enää lainkaan lopullisen koneen vaatimustenmukaisuutta.
Liite I muuttaa luokittelun logiikkaa
Konedirektiivin aikainen tuttu liite IV ei enää ole se kohta, josta kaikki muistavat korkeamman riskin kategoriat. Nyt katse menee liitteeseen I ja sen osa A- ja osa B -jaotteluun. Osa A on tiukempi. Sinne kuuluvat muun muassa sellaiset turvakomponentit, joissa on täysin tai osittain itseään muuttava käyttäytyminen koneoppimisen avulla ja jotka toteuttavat turvatoiminnon, sekä koneet, joissa tällaiset järjestelmät on sisäänrakennettu kyseisten järjestelmien osalta.
Tässä kohtaa AI muuttuu aidosti merkitykselliseksi. Ei siksi, että koneessa on AI, vaan siksi, että koneoppiminen toteuttaa turvatoiminnon. Se on aivan eri vastuutaso kuin analytiikka, ennakoiva kunnossapito tai tuotantoraportointi.
Samalla osa A ei ole vain AI:n pelikenttä. Mukana on myös perinteisiä koneluokkia, jotka markkina tuntee entuudestaan. Siksi yksinkertaistus, että liite I koskee vain älykoneita, johtaa harhaan.
Digitaaliset ohjeet kyllä, mutta velvollisuudet eivät katoa
Uusi asetus sallii käyttöohjeen ja EU-vaatimustenmukaisuusvakuutuksen digitaalisessa muodossa. Hyvä uutinen? Kyllä. Helppo oikotie? Ei. Digitaalisen käyttöohjeen on oltava saatavilla tavalla, joka on ilmoitettu koneessa, tuotteessa, pakkauksessa tai mukana olevassa asiakirjassa. Sen on oltava tulostettavissa, ladattavissa ja tallennettavissa. Sen on oltava verkossa koneen ennakoidun elinkaaren ajan ja vähintään 10 vuotta markkinoille saattamisen tai käyttöönoton jälkeen.
Sama logiikka koskee myös vakuutuksia. PDF yrityksen verkkosivulla ei auta mitään, jos osoite katoaa kolmen vuoden päästä sivu-uudistuksessa. Dokumenttien digitalisointi ei kevennä vastuuta, vaan siirtää osan siitä yrityksen tiedonhallintaan ja ylläpitoprosesseihin.
Maahantuoja ja jakelija eivät ole enää katsomossa
koneasetus 2023/1230 tekee näkyväksi myös sen, mitä moni toimitusketjussa on aiemmin mielellään sivuuttanut. Maahantuoja ei voi vain tuoda tuotetta markkinoille katsomatta, onko valmistaja tehnyt oikean vaatimustenmukaisuuden arvioinnin, laatinut teknisen dokumentaation, kiinnittänyt CE-merkinnän ja toimittanut vaaditut asiakirjat. Jakelija ei voi teeskennellä siirtävänsä vain laatikoita. Ennen tuotteen asettamista saataville sen on tarkistettava ainakin merkinnät, asiakirjat ja käyttäjille ymmärrettävä kieli.
Jos maahantuoja tai jakelija tuo tuotteen markkinoille omalla nimellään tai muuttaa sitä tavalla, joka voi vaikuttaa vaatimustenmukaisuuteen, se voi ajautua valmistajan velvollisuuksiin. Tämä on kohta, jossa toimitusketjun vastuuraja ei enää pysy mukavasti sumussa.
Pienet muodollisuudet, jotka voivat kaataa koko dokumentaation
Osa muutoksista näyttää ensi silmäyksellä paperinpyöritykseltä. EY-vaatimustenmukaisuusvakuutus vaihtuu EU-vaatimustenmukaisuusvakuutukseksi. Vanhasta liittämislogiikasta siirrytään EU-liittämisvakuutukseen. Konedirektiivi 2006/42/EY väistyy uuden asetuksen tieltä. Soveltamispäivä on luettava oikein: 20.1.2027.
Moni aliarvioi tämän kohdan ja tekee vain otsikkoremontin. Se on vaarallinen virhe. Jos 20.1.2027 jälkeen käytössä on edelleen vanha EY-malli, vanha viittaus konedirektiiviin, vanha luokittelulogiikka ja vanha dokumentaatiopohja, kyse ei ole pienestä toimitusvirheestä. Se kertoo, ettei vaatimustenmukaisuusprosessia ole oikeasti päivitetty.
Huono päivitys näyttää tältä: vaihdetaan lomakkeen otsikko, korvataan EY EU:lla, lisätään pari standardia ja jatketaan kuten ennen. Hyvä päivitys näyttää tältä: tarkistetaan tuotteen luokittelu, määritellään koneen rajat uudelleen tarvittaessa, tehdään riskin arviointi oikeasti, valitaan oikea menettely, päivitetään tekninen dokumentaatio, tarkistetaan käyttöohje ja varmistetaan, että vakuutus vastaa todellista teknistä polkua.
On hyvä huomata myös yksi käytännön detalji: vanhasta EY-vaatimustenmukaisuusvakuutuksesta tuttu kenttä, jossa ilmoitettiin teknisen tiedoston kokoamiseen valtuutettu henkilö, ei siirry sellaisenaan uuteen malliin. Tämän kentän mekaaninen kopiointi on pieni mutta paljastava merkki siitä, että yritys käyttää vanhaa ajattelutapaa uudessa kehyksessä.
Samalla ei pidä sotkea rooleja. Valtuutettu edustaja voi toimia valmistajan kirjallisen valtuutuksen perusteella, mutta se ei tee siitä valmistajan korviketta. Valtuutettu edustaja ei ota vastaan koneen suunnitteluvastuuta eikä paikkaa heikkoa riskin arviointia. Jos dokumentaatio ei kuvaa todellista konetta, kukaan lomakkeeseen kirjoitettu nimi ei pelasta tilannetta.
Mitä kannattaa tehdä nyt
Jos haluat välttää hätäpäivitykset ja kalliit yllätykset, etene käytännöllisesti:
- käy läpi, onko tuote kone, osittain valmis kone vai muu asetuksen tarkoittama tuote
- tarkista koneen rajat, aiottu käyttö ja kohtuudella ennakoitavissa oleva väärinkäyttö
- päivitä riskin arviointi niin, että ohjelmisto, data, etäyhteydet, integraatiot ja kyberturvallisuus ovat mukana siellä missä ne voivat vaikuttaa turvallisuuteen
- arvioi, kuuluuko tuote liite I, osa A/B -jaottelun piiriin
- valitse vaatimustenmukaisuuden arviointimenettely oikein ja osoita käytetty moduuli
- päivitä EU-vaatimustenmukaisuusvakuutus ja tarvittaessa EU-liittämisvakuutus oikeaan muotoon
- varmista, että tekninen dokumentaatio tukee väitteitä eikä ole ristiriidassa koneen todellisen toiminnan kanssa
- selkeytä valmistajan, valtuutetun edustajan, maahantuojan ja jakelijan roolit
- päätä, miten digitaaliset käyttöohjeet ja asiakirjat pysyvät saatavilla koko vaaditun ajan
Yksi käytännön totuus vielä loppuun: älä arvioi vain sitä, miltä kone näyttää. Arvioi sitä, mikä voi muuttaa sen käyttäytymistä. Jos ohjelmisto muuttuu mutta riskin arviointi ei, paperilla sinulla on vanha kone ja tuotannossa uusi. Juuri tätä kuilua koneasetus 2023/1230 yrittää sulkea.
Siksi keskustelu ei lopulta pyöri AI:n ympärillä, vaan hallinnan ympärillä. Kuka voi muuttaa käyttäytymistä, millä tavalla, millä oikeuksilla, millä jäljitettävyydellä ja millä vaikutuksella turvallisuuteen? Yritys, joka osaa vastata näihin kysymyksiin teknisesti ja dokumentoidusti, on hyvässä asemassa. Yritys, joka vaihtaa vain asiakirjan otsikon, ottaa turhaan ison riskin.