Mašinų reglamentas 2023/1230 jau spėjo apaugti patogia, bet klaidinančia etikete: esą tai naujas AI reglamentavimas mašinoms. Skamba moderniai. Bet esmė ne ten. Šis reglamentas nereguliuoja kiekvienos gamykloje naudojamos AI sistemos ir automatiškai nepaverčia duomenų analitikos, gedimų prognozavimo ar OEE skaičiavimo mašinos saugos dalimi. Jį domina kitas klausimas: ar konkretus sprendimas gali paveikti mašinos elgseną taip, kad žmogus atsidurtų pavojingoje situacijoje. Todėl reali tema čia ne madingas žodis, o rizikos vertinimas, atitikties vertinimas ir gamintojo gebėjimas įrodyti, kad sauga suvaldyta ne tik mechanikoje, bet ir programinėje logikoje, duomenyse, ryšiuose bei nuotolinėje prieigoje.
Trumpai tariant, neklauskite, ar mašina turi AI. Klauskite, kas gali pakeisti jos elgseną. Nes būtent ten prasideda tikra atsakomybė.
Mašinų reglamentas 2023/1230: ką jis reguliuoja iš tikrųjų
Didžiausias nesusipratimas paprastas: vien žodis AI nieko prasmingo nepasako apie mašinos saugą. Sistema gali analizuoti linijos duomenis, prognozuoti gedimus, skaičiuoti OEE ar siūlyti proceso parametrus ir vis tiek neturėti jokio ryšio su saugos funkcija. Tokiu atveju ji netampa saugos komponentu vien todėl, kad kažkas ant jos užklijavo AI etiketę.
Tikrasis klausimas kitas: ar ši funkcija, jungtis, konfigūracijos pakeitimas arba duomenų įtaka gali pakeisti mašinos veikimą taip, kad žmogus patektų į pavojingą situaciją? Jei atsakymas taip, tai jau ne rinkodara ir ne IT komforto zona. Tai mašinos sauga.
Būtent todėl reglamente AI atsiranda tik konkrečiame techniniame kontekste. Jei saugos komponentas arba į mašiną integruota sistema turi visiškai arba iš dalies save keičiantį elgesį, naudoja mašininį mokymąsi ir užtikrina saugos funkciją, tada klausimas tampa rimtas. Bet tai vis tiek nėra bendras AI reguliavimas. Tai mašinos arba saugos komponento reguliavimas, kai mašininis mokymasis daro įtaką saugos funkcijai.
Neklauskite, ar yra AI. Klauskite, kas keičia elgseną
Šis skirtumas praktiškai labai svarbus. Kai kurios įmonės vis dar pradeda nuo neteisingo klausimo. Ar turime AI? Ne nuo to reikia pradėti. Reikia pradėti nuo rizikos vertinimo: kas valdo judesį, kas gali pakeisti seką, kas gali pakeisti greitį, stabdymo laiką, paleidimo sąlygas, reakciją į apsaugų atidarymą arba žmonių buvimo aptikimą.
Jei to nepadarote, techninė dokumentacija gali atrodyti tvarkingai, bet aprašyti jau nebe tą realybę, kurioje mašina dirba.
Pavyzdys: pakeista PLC programa
Įsivaizduokite mašiną su nuotoline prieiga servisui. Kažkas išnaudoja pažeidžiamumą, klaidingą konfigūraciją arba silpną paskyros apsaugą ir įkelia pakeistą PLC programą. Iš pirmo žvilgsnio viskas vietoje: apsaugos yra, E-STOP mygtukas raudonas, komponentų deklaracijos segtuve, CE žymėjimas ant korpuso. Tik mašina jau gali veikti kitaip.
Gali pasikeisti judesių seka. Gali pailgėti sustabdymo laikas. Gali pasikeisti greitis. Gali pasikeisti paleidimo logika. Gali dingti anksčiau riziką ribojusi kontrolė. Ir tada sakinys, kad tai tik IT incidentas, tampa per silpnas. Jei pasekmė gali būti netikėtas paleidimas, nesustojimas laiku arba žmogaus patekimas į pavojingą zoną, tai jau pavojingas įvykis mašinos rizikos vertinime.
O jei mašina prijungta prie SCADA?
Čia atsakymas klasikinis: tai priklauso. Jei SCADA tik nuskaito duomenis, rizika gali būti ribota. Bet tai vis tiek reikia patikrinti. Vien stebėjimas dar nebūtinai keičia saugą. Tačiau jei SCADA gali keisti receptūras, parametrus, darbo režimus, leidimus, ciklo seką arba pakartotinio paleidimo sąlygas, jau kalbame ne apie duomenų peržiūrą, o apie išorinę įtaką mašinos elgsenai.
Tokiu atveju tenka grįžti į pradžią: prie mašinos ribų apibrėžimo. Nes mašina, kuri anksčiau buvo savarankiška darbo vieta, po integracijos su aukštesnio lygio sistema jau dirba kitokiomis sąlygomis. Ji turi kitus komandų šaltinius, kitus galimus gedimus ir kitus scenarijus, kuriuose operatorius gali būti užkluptas netikėtai.
Perkėlimas irgi ne visada yra tik logistika
Tas pats galioja ir perkėlimui. Mašina gali būti suprojektuota aplinkai, kurioje nebuvo numatyta tam tikrų išorinių poveikių. Perkėlus ją ten, kur aplinkos sąlygos kitos, gali atsirasti naujų pavojingų situacijų. Vien perkėlimas savaime dar nereiškia esminio pakeitimo. Bet jei naujos sąlygos reikalauja papildomų priemonių stabilumui, tvirtumui ar valdymo logikai, jau turite naują riziką, kurios ankstesniame vertinime nebuvo.
Dokumentacija neaprašo mašinos vakuume. Ji aprašo mašiną konkrečiomis ribomis: kur ji dirba, kas ją valdo, kokius darbus atlieka, kokie režimai leidžiami, kokia aplinka tikėtina ir kokį netinkamą naudojimą galima racionaliai numatyti. Jei ribos pasikeitė, rizikos vertinimas negali apsimesti, kad nieko neįvyko.
Mašinų reglamentas 2023/1230 ir Direktyva 2006/42/EB: realus skirtumas
Čia svarbu pasakyti aiškiai: reglamentas neišranda rizikos vertinimo iš naujo. Mašinos ribos, numatytoji paskirtis, racionaliai numatomas netinkamas naudojimas, apsaugos priemonių hierarchija, techninė dokumentacija, naudojimo instrukcija ir deklaravimo logika jau buvo Direktyvoje 2006/42/EB.
Didysis pokytis kitas. Mašinų reglamentas 2023/1230 daug aiškiau parodo, kad mašina nebėra vien mechanika, pavaros, apsaugos ir elektros spinta. Mašina gali būti sistema, kurios sauga priklauso nuo programinės įrangos, duomenų, valdymo logikos, ryšio, nuotolinės prieigos, atnaujinimų, konfigūracijos ir atsparumo skaitmeninei intervencijai.
Kitaip tariant, senos pareigos niekur nedingo. Jos tiesiog pasunkėjo. Nes mašina 2027 metais nėra tik geležis su laidais. Tai techninė, skaitmeninė ir organizacinė visuma, kurią reikia vertinti kaip visumą.
1. Programinė įranga nebėra priedas
Reglamento logikoje mašina gali atitikti mašinos apibrėžimą net ir tada, kai dar nėra įdiegta konkrečiam gamintojo numatytam naudojimui skirta programinė įranga. Praktinė išvada paprasta: nebegalima apsimesti, kad programinė įranga yra kažkas visiškai išorinio mašinos atžvilgiu.
Jei mašina gali atlikti numatytą funkciją tik su konkrečia programine įranga, ši programinė įranga yra dalis to, kas lemia jos funkciją, elgseną ir saugą. Jei ji neįtraukta į atitikties vertinimą, dokumentacija aprašo ne realią mašiną, o jos maketą.
2. Saugos komponentas gali būti skaitmeninis
Tai viena iš tų vietų, kurios atrodo nekaltai, kol nepradedate taikyti praktikoje. Saugos komponentas gali būti ne tik fizinis, bet ir skaitmeninis, įskaitant programinę įrangą. Taškas. Tai reiškia, kad jei programinė logika įgyvendina saugos funkciją, ji nebėra tik automatikos programa. Ji tampa saugos architektūros dalimi.
Tada atsiranda nepatogūs, bet būtini klausimai: kas ją pateikė, kokia versija įdiegta, kas gali ją keisti, ar pakeitimai registruojami, ar atnaujinimas gali pakeisti saugos funkciją, ar techninė dokumentacija leidžia parodyti atitiktį. Daug įmonių čia klumpa ne dėl techninių gebėjimų stokos, o todėl, kad programiniai sprendimai niekada nebuvo sujungti su mašinos rizikos vertinimu.
3. Kibernetinis saugumas tampa mašinos saugos klausimu
Reglamentas nereikalauja, kad kiekvienas mašinų gamintojas apsimestų kibernetinio saugumo paslaugų centru. Bet jis aiškiai sako: jei atsitiktinis ar tyčinis sugadinimas, duomenų pakeitimas, programinės įrangos pakeitimas ar išorinis poveikis gali sukelti pavojingą situaciją, tai jau mašinos saugos tema.
Tai matyti reikalavimuose valdymo sistemai. Mašina turi būti suprojektuota taip, kad ryšys su kitu įrenginiu arba nuotoliniu įrenginiu nesukeltų pavojingos situacijos. Atitikčiai reikšminga programinė įranga ir duomenys turi būti nustatyti ir apsaugoti. Įsikišimai į programinę įrangą arba konfigūraciją turi palikti pėdsaką. Valdymo sistema turi atlaikyti ne tik tipinius gedimus, bet ir racionaliai numatomas trečiųjų asmenų piktybines pastangas sukelti pavojingą situaciją.
Čia neužtenka įrašyti, kad nuotolinė prieiga apsaugota slaptažodžiu. Reikia parodyti, ar nuotolinė prieiga gali paveikti saugai reikšmingas funkcijas. Jei gali, turi būti aprašyta rizika ir priemonės. Jei negali, tą irgi reikia pagrįsti.
4. Techninė dokumentacija turi rodyti logiką
Techninė dokumentacija nebėra vieta, kur sukeliate schemas, kelias deklaracijas ir rizikos lentelę dėl vaizdo. Ji turi parodyti gamintojo mąstymą: kokie esminiai sveikatos ir saugos reikalavimai taikomi, kokie pavojai nustatyti, kokios priemonės pritaikytos, kokie standartai naudoti ir kokia likutinė rizika lieka.
Kai aktualu, techninė dokumentacija turi apimti ir daug nepatogesnius dalykus: saugai reikšmingos programinės įrangos programavimo logiką, o tam tikrais atvejais ir šaltinio kodą; jutikliais valdomų, nuotoliniu būdu paleidžiamų arba autonominių sistemų aprašymą; duomenų, validavimo ir tikrinimo procesų paaiškinimą. Kitaip tariant, dokumentacija turi įrodyti, kad gamintojas supranta, kodėl mašina saugi.
5. Priedas I pakeičia seną logiką
Pagal Direktyvą 2006/42/EB visi buvo pratę prie buvusio IV priedo. Dabar reikia žiūrėti į Priedą I, padalytą į A ir B dalis. Ir tai nėra vien numeracijos pakeitimas.
A dalis griežtesnė. Joje tam tikroms kategorijoms reikalinga procedūra su notifikuotąja įstaiga. Tarp jų yra ne tik kai kurios tradiciškai didelės rizikos kategorijos, bet ir saugos komponentai, turintys visiškai arba iš dalies save keičiantį elgesį, naudojantys mašininį mokymąsi ir atliekantys saugos funkciją, taip pat mašinos su tokiomis įdiegtomis sistemomis tų sistemų atžvilgiu. B dalyje logika švelnesnė, tačiau ji vis tiek priklauso nuo to, ar taikomi atitinkamus reikalavimus apimantys darnieji standartai arba bendrosios specifikacijos.
Čia labai greitai pasimato, kas iš tiesų peržiūrėjo atitikties procesą, o kas tik perrašė dokumento antraštę.
6. Naudojimo instrukcija ir ES atitikties deklaracija gali būti skaitmeninės
Taip, tai gera žinia. Bet tik tada, jei perskaitote visą reikalavimą, o ne pirmą sakinį. Skaitmeninė naudojimo instrukcija turi būti prieinama taip, kaip nurodyta ant mašinos, gaminio, pakuotės arba lydimajame dokumente. Ją turi būti galima atsisiųsti, išsaugoti ir atsispausdinti. Ji turi būti prieinama internetu numatomą mašinos gyvavimo ciklą ir mažiausiai 10 metų po pateikimo rinkai arba pradėjimo naudoti.
Tas pats principas galioja ir ES atitikties deklaracijai, jei ji teikiama per interneto adresą arba mašininiu būdu nuskaitomą kodą. Vien įkelti PDF į puslapį, kurio po trejų metų niekas įmonėje nebeprisimins, nepakanka. Skaitmenizavimas nenaikina pareigų. Jis sukuria naujas organizacines pareigas.
7. Importuotojas ir platintojas nebėra stebėtojai
Reglamentas daug aiškiau paskirsto atsakomybę ekonominės veiklos vykdytojams. Importuotojas turi patikrinti, ar gamintojas atliko tinkamą atitikties vertinimą, ar parengta techninė dokumentacija, ar mašina paženklinta CE, ar pridėti reikalingi dokumentai ir ar pateikta identifikavimo informacija. Platintojas taip pat negali tik perstumdyti dėžių. Prieš pateikdamas mašiną rinkai jis turi patikrinti pagrindinius formalius ir informacinius elementus.
Jei importuotojas arba platintojas tiekia gaminį savo vardu arba jį pakeičia taip, kad tai gali paveikti atitiktį, jis gali perimti gamintojo pareigas. Patogios nežinojimo zonos lieka vis mažiau.
8. Autonominės mašinos nebėra egzotika
Autonominių mobiliųjų mašinų tema reglamente nebepalikta paraštėse. Čia rizika nėra vien ta, kad kažkas juda. Svarbu, kas priima sprendimą dėl judėjimo, kaip aptinkami žmonės ir kliūtys, kas vyksta praradus ryšį, ar yra priežiūros funkcija, ar prižiūrėtojas iš tikrųjų mato situaciją ir ar mašina negali pavojingai veikti be veiksmingos priežiūros.
Klasikinis požiūris, kai užtenka įvertinti ratus, pavarą, stabdį ir garsinį signalą, čia nebeveikia. Reikia lįsti giliau: į jutiklius, sprendimų logiką, darbo zonos ribojimą ir žmogaus vaidmenį.
Kas nesikeičia: rizikos vertinimas pagal ISO 12100 lieka pagrindu
Čia ir slypi svarbiausia praktinė pamoka. ISO 12100 po naujo reglamento ne praranda reikšmę, o tampa dar svarbesnis. Būtent jis duoda struktūrą, be kurios visa kalba apie skaitmenizaciją virsta triukšmu.
Tvarka išlieka ta pati:
- apibrėžti mašinos ribas;
- nustatyti numatytąją paskirtį ir racionaliai numatomą netinkamą naudojimą;
- įvertinti gyvavimo ciklo etapus ir operatorių užduotis;
- nustatyti pavojus, pavojingas situacijas ir pavojingus įvykius;
- įvertinti riziką;
- parinkti rizikos mažinimo priemones;
- aprašyti likutinę riziką.
Tik ant tokio karkaso prasminga dėti kibernetinio saugumo sluoksnį, pavyzdžiui, pasitelkiant IEC 62443, ir vertinti santykį su CRA. CRA sprendžia gaminių su skaitmeniniais elementais atsparumo klausimus. Bet jis nepakeičia mašinos rizikos vertinimo. Skaitmeninis komponentas gali būti geras pats savaime, tačiau gamintojas arba integratorius vis tiek turi įvertinti, kas nutinka, kai tas komponentas įmontuojamas į konkrečią mašiną, konkrečią valdymo sistemą ir konkrečią darbo aplinką.
Štai kodėl klausimas ar komponentas turi savo kibernetinio saugumo dokumentus niekada nėra paskutinis. Paskutinis klausimas visada toks: ar visa tai keičia mašinos riziką žmogui.
Mašinų reglamentas 2023/1230 nėra vien nauja deklaracijos antraštė
Dalis pokyčių iš pirmo žvilgsnio atrodo formalūs. Istorinė EB atitikties deklaracija pagal Direktyvą 2006/42/EB užleidžia vietą ES atitikties deklaracijai pagal reglamentą. Seną nuorodą į direktyvą pakeičia nuoroda į reglamentą. Buvusio IV priedo logiką pakeičia Priedas I su A ir B dalimis. Taikymo pradžia po ištaisymo skaitoma nuo 2027 m. sausio 20 d.
Atrodo smulkmenos? Ne. Būtent čia labai greitai matyti, ar įmonė iš tikrųjų atnaujino atitikties procesą. Po 2027 m. sausio 20 d. sena nuoroda į Direktyvą 2006/42/EB naujai pateikiamoje mašinos dokumentacijoje nebus nekaltas redagavimo apsirikimas. Ji rodys, kad procesas nebuvo peržiūrėtas iš esmės.
Ypač svarbi ES atitikties deklaracijos logika. Vien frazės, kad mašina atitinka reglamentą, neužtenka. Deklaracijoje turi aiškiai atsispindėti, kokiais standartais, bendrosiomis specifikacijomis arba kitomis techninėmis specifikacijomis remtasi įrodant atitiktį. Jei standartas taikytas tik iš dalies, tai turi būti nurodyta. Taip pat turi būti matoma taikyta atitikties vertinimo procedūra. Jei gaminys patenka į Priedo I sritį, vien abstraktus pareiškimas nebeišgelbės. Reikia parodyti kelią, kuriuo atitiktis buvo įrodyta, ir kai reikia, notifikuotosios įstaigos dalyvavimą.
Tas pats galioja ir iš dalies sukomplektuotai mašinai. Jei tiekėjas vis dar siunčia seną, akivaizdžiai neatnaujintą deklaracijos šabloną iš direktyvos laikų, tai ne popierinė smulkmena. Tai signalas, kad galbūt ir visa tiekėjo atitikties logika liko praeityje.
Didžiausia klaida pereinant prie naujo reguliavimo yra labai žemiška: pakeisti antraštę ir palikti seną procesą. Neužtenka pakeisti EB į ES. Neužtenka perrašyti akto numerį. Neužtenka prirašyti kelių standartų, kurie gražiai atrodo. Reikia pereiti visą grandinę iš naujo: produkto klasifikavimą, mašinos ribas, rizikos vertinimą, taikytinus esminius reikalavimus, Priedo I analizę, atitikties vertinimo procedūrą, techninę dokumentaciją, naudojimo instrukciją, deklaravimą ir atsakomybės pasiskirstymą tiekimo grandinėje.
Ir dar vienas svarbus momentas: tai reglamentas, o ne direktyva. Jis taikomas tiesiogiai. Vadinasi, klausimas nėra, ar kas nors dar spės ką nors perkelti į nacionalinę teisę. Klausimas paprastesnis ir nepatogesnis: ar jūsų šablonai, kontroliniai sąrašai, techninė dokumentacija, naudojimo instrukcija ir realus rizikos vertinimo procesas yra parengti darbui pagal naują taisyklių logiką.
Jei ne, laukti paskutinės minutės neverta. Mašinos nepasidaro saugios vien nuo naujos deklaracijos formos. Saugios jos tampa tada, kai gamintojas arba integratorius pagaliau įvertina visą sistemą taip, kaip ji veikia iš tikrųjų: su programine įranga, duomenimis, tinklu, nuotoline prieiga, valdymo sistema ir žmogumi toje pačioje grandinėje.