Mašīnu regula 2023/1230 nav vispārējs AI noteikumu kopums. Tā nepasaka, ka jebkurš algoritms rūpnīcā automātiski kļūst par mašīnas drošības daļu. Tā skatās uz vienu lietu: vai konkrēts risinājums ietekmē mašīnas un cilvēka drošību. Ja mašīnmācīšanās, programmatūra, dati, attālināta piekļuve vai savienojums ar SCADA maina drošības funkciju, tad jautājums vairs nav par “digitalizāciju”. Tas ir riska novērtējuma, tehniskās dokumentācijas un CE atbilstības jautājums.
Tieši te daudzi uzņēmumi kļūdās. Nepietiek pajautāt, vai komponentiem ir CE. Nepietiek pateikt, ka tas ir “tikai IT”. Nepietiek lietošanas instrukcijā ielikt vienu rindu par kiberdrošību. Jāpārbauda, vai pēc integrācijas, atjauninājuma, konfigurācijas maiņas vai savienojuma ar citu sistēmu nav radusies jauna bīstama situācija, jauns bīstams notikums un cits atlikušais risks.
Mašīnu regula 2023/1230: ne katrs AI ir drošības jautājums
Ap šo tēmu apkārt ir ērts, bet bīstami neprecīzs saīsinājums: “jaunā regula regulē AI mašīnās”. Skan moderni. Praktiski tas mulsina.
Regula (ES) 2023/1230 nav akts par jebkuru AI lietojumu ražošanā. Ja sistēma analizē līnijas datus, prognozē bojājumus, rēķina OEE vai iesaka procesa parametrus, tā no tā vien nekļūst par drošības komponentu. Etiķete “AI” neko nepierāda. Izšķirošais jautājums ir cits: vai šī sistēma ietekmē drošības funkciju un līdz ar to cilvēka pakļaušanu riskam.
Ja atbilde ir nē, mēs nerunājam par mašīnas drošības funkciju. Ja atbilde ir jā, aina mainās pilnībā. Īpaši nopietns jautājums rodas tur, kur drošības komponents vai mašīnā iebūvēta sistēma ar pilnīgi vai daļēji pašmainīgu uzvedību izmanto mašīnmācīšanos un nodrošina drošības funkciju. Tur šī tēma jau ir pašā regulas centrā.
Ja algoritms tikai novēro, tas vēl nav drošības komponents
Te ir robeža, kuru praksē bieži aizmiglo. Analītikas sistēma blakus mašīnai un drošības komponents mašīnā nav viens un tas pats. Ja risinājums nedod komandas, nemaina darba režīmus, neietekmē apturēšanu, restartu, piekļuves loģiku vai kustības secību, tas nav jāsauc par drošības komponentu tikai tāpēc, ka tur ir AI.
Toties, tiklīdz algoritms ietekmē to, kā mašīna reaģē uz cilvēka klātbūtni, aizsargu atvēršanu, apstādināšanu, ātrumu, trajektoriju vai darbības atļauju, stāsts vairs nav par datu analītiku. Tas jau ir mašīnas drošības jautājums.
Mašīnu regula 2023/1230: ko tā patiesībā maina
Godīgi sakot, jaunā regula neizgudro riska novērtējumu no nulles. Pamatlietas bija jau Direktīvā 2006/42/EK: paredzētais lietojums, saprātīgi paredzama nepareiza lietošana, aizsardzības pasākumu hierarhija, tehniskā dokumentācija, lietošanas instrukcija un atbilstības deklarēšana. Pagrieziens ir citur. Regula daudz skaidrāk pasaka, ka mašīna vairs nav tikai mehānika, piedziņas, aizsargi un elektroskapis. Tā var būt sistēma, kuras drošība balstās arī uz programmatūru, datiem, komunikāciju, attālinātu piekļuvi, atjauninājumiem un noturību pret digitālu iejaukšanos.
1. Programmatūra vairs nav pielikums pie mašīnas
Regulas definīcijās ir ļoti praktiska doma: par mašīnu var būt uzskatāms arī komplekts, kuram vēl nav uzstādīta konkrētajam paredzētajam lietojumam paredzētā programmatūra. Tas nozīmē vienu vienkāršu lietu: programmatūru vairs nevar izlikties neredzam. Ja bez noteiktas programmatūras mašīna nevar pildīt savu paredzēto lietojumu, tad šī programmatūra ir daļa no tā, kas nosaka funkciju, uzvedību un drošību.
Tāpēc īstais jautājums nav tikai “vai konstrukcija ir gatava”. Jautājums ir arī “vai programmatūra, bez kuras mašīna praktiski nestrādās, ir iekļauta atbilstības novērtējumā”. Ja nav, tehniskā dokumentācija apraksta nevis reālu mašīnu, bet tikai tās karkasu.
2. Drošības komponents var būt arī digitāls
Šī ir viena no izmaiņām, kas izskatās nevainīga, līdz sāk to piemērot. Drošības komponents var būt fizisks vai digitāls, arī programmatūras formā. Ar to beidzas vecais komforts domāt, ka mašīnas drošība dzīvo tikai aizsargā, drošības slēdzī, gaismas aizkarā, relejā vai E-STOP pogā.
Ja programmatūra īsteno drošības funkciju, tā vairs nav “vienkārši automatizācijas kods”. Tad jāspēj atbildēt uz neērtiem, bet nepieciešamiem jautājumiem: kas šo programmatūru piegādāja, kāda versija ir uzstādīta, kas drīkst to mainīt, vai izmaiņas tiek reģistrētas, vai atjauninājums var mainīt drošības funkciju un vai tehniskā dokumentācija to vispār parāda.
3. Kiberdrošība kļūst par mašīnas drošības daļu
Te vajag precizitāti. Regula (ES) 2023/1230 nepadara mašīnu ražotāju par kiberdrošības pakalpojumu sniedzēju. Tā neprasa katram būvēt SOC vai veikt sarežģītus ielaušanās testus tikai tāpēc, ka mašīnai ir Ethernet ports. Bet tā skaidri pasaka ko citu: ja nejauša vai tīša iejaukšanās, datu bojājums, programmatūras maiņa vai ārēja ietekme var novest pie bīstamas situācijas, tas jau ir mašīnas drošības jautājums.
Tas īpaši skaidri redzams vadības sistēmu drošuma un uzticamības prasībās. Mašīnai jābūt projektētai tā, lai savienojums ar citu ierīci vai attālinātu saziņas ierīci neradītu bīstamu situāciju. Atbilstībai svarīgā programmatūra un dati ir jānosaka un jāaizsargā. Iejaukšanās konfigurācijā un programmatūrā ir jāatstāj izsekojamas pēdas. Un vadības sistēmām jāiztur ne tikai parasti bojājumi, bet arī saprātīgi paredzami ļaunprātīgi mēģinājumi izraisīt bīstamu situāciju.
4. Tehniskajai dokumentācijai jāpamato drošība, nevis jāsakrauj faili
Daudzos uzņēmumos tehniskā dokumentācija joprojām tiek uztverta kā arhīva mape: shēmas, dažas deklarācijas, riska tabula un viss. Ar jauno regulējumu ar to vairs nepietiks. Tehniskajai dokumentācijai ir jāparāda ražotāja domāšanas ceļš: kādi būtiskie veselības un drošības aizsardzības prasību punkti attiecas, kādi riski ir identificēti, kādi aizsardzības pasākumi izvēlēti, kādi standarti izmantoti un kāds atlikušais risks paliek.
Attiecīgajos gadījumos ar to saistās arī daudz neērtāki elementi: drošības funkcijām būtiska pirmkoda vai programmēšanas loģikas apraksts, sensoru vadītu, attālināti iedarbināmu vai autonomu sistēmu uzvedības raksturojums, datu avotu, validācijas un apstiprināšanas procesu apraksts. Citiem vārdiem sakot: tehniskajai dokumentācijai jāparāda, kāpēc mašīna ir droša, nevis tikai tas, ka uzņēmumam ir printeris un mapes.
5. I pielikums vairs nav tikai cita numerācija
Daudzi joprojām dzīvo ar veco refleksu no Direktīvas 2006/42/EK un tās IV pielikuma. Regula pāriet uz I pielikumu ar A daļu un B daļu, un tas nav tikai pārsaukums. Produkta klasifikācija tagad tieši ietekmē atbilstības novērtēšanas procedūru. Īpaši stingra pieeja attiecas uz kategorijām, kurās risks ir augsts, tostarp atsevišķiem drošības komponentiem vai mašīnām ar mašīnmācīšanās balstītu drošības funkciju.
Tieši te kļūst redzama būtiska atšķirība starp “mašīnā ir AI” un “mašīnmācīšanās nodrošina drošības funkciju”. Pirmais apgalvojums var būt tikai reklāmas frāze. Otrais var nozīmēt pavisam citu atbilstības ceļu.
6. CRA un IEC 62443 palīdz, bet neaizstāj mašīnas riska novērtējumu
Ja digitāls komponents ietilpst CRA tvērumā, tas ir svarīgi. Ja automatizācijas kiberdrošību sakārto pēc IEC 62443, tas ir pareizs solis. Bet ne CRA, ne IEC 62443 neatbild jūsu vietā uz galveno jautājumu: ko šis konkrētais komponents dara konkrētajā mašīnā, konkrētajā vadības sistēmā, konkrētajā tīklā un konkrētajā darba vidē.
Tieši tāpēc ISO 12100 nezaudē nozīmi. Gluži otrādi. Laikmetā, kur mašīnas uzvedību var mainīt ne tikai atslēga un skrūvgriezis, bet arī konfigurācijas fails, attālināta sesija vai atjauninājums, ISO 12100 kļūst vēl svarīgāks kā karkass saprātīgam riska novērtējumam.
ISO 12100: kur sākas normāls riska novērtējums
Labs riska novērtējums nesākas ar aizsargu sarakstu. Tas sākas ar mašīnas ierobežojumiem. Ja šis pamats ir vājš, viss pārējais izskatīsies pareizi tikai uz papīra.
ISO 12100 liek iet loģiskā secībā:
- noteikt mašīnas ierobežojumus un darba vidi;
- aprakstīt paredzēto lietojumu;
- identificēt saprātīgi paredzamu nepareizu lietošanu;
- izvērtēt dzīves cikla posmus un operatoru uzdevumus;
- noteikt apdraudējumus, bīstamu situāciju un iespējamo bīstamu notikumu;
- novērtēt risku un izvēlēties riska samazināšanas pasākumus;
- skaidri aprakstīt atlikušo risku.
Tikai uz šāda pamata var jēgpilni pievienot kiberdrošības slāni, savienojumu ar SCADA, attālinātu servisa piekļuvi vai mašīnmācīšanās komponentu. Ja šo pamatu nav, rodas ļoti tipiska kļūda: dokumentācija apraksta veco realitāti, bet mašīna pēc integrācijas, pārvietošanas vai atjauninājuma jau dzīvo citā realitātē.
Praktiski piemēri: kur risks rodas pa īstam
Attālināta piekļuve un izmainīta PLC programma
Iedomājieties, ka mašīnai ir attālināta servisa piekļuve. Kāds izmanto ievainojamību, sliktu konfigurāciju vai vāju konta aizsardzību un ielādē mainītu PLC programmu. No ārpuses it kā viss ir savā vietā: aizsargi nav pazuduši, E-STOP joprojām ir sarkans, CE marķējums nav nokritis. Bet mašīna var jau darboties citādi.
Var mainīties kustību secība. Var pagarināties apstāšanās aizture. Var mainīties ātrums. Var mainīties restarta nosacījums. Var pazust reakcija uz aizsarga atvēršanu. Un tieši tajā brīdī frāze “tas bija tikai IT incidents” vairs neder. Ja sekas var būt negaidīta kustība, neizpildīta apturēšana vai cilvēka nokļūšana bīstamā zonā, tas jau ir bīstams notikums mašīnas riska novērtējumā.
SCADA pieslēgums, kas maina mašīnas uzvedību
Ja SCADA tikai nolasa datus, risks var būt ierobežots. Bet tas ir jāpierāda, nevis jāpieņem uz vārda. Savukārt, ja SCADA drīkst mainīt receptes, parametrus, darba režīmus, atļaujas, cikla secību vai restarta nosacījumus, tad tas vairs nav “tikai monitorings”. Tā ir ārēja ietekme uz mašīnas uzvedību.
Šādā brīdī jāatgriežas pie mašīnas ierobežojumiem. Mašīna, kas agrāk bija patstāvīga darba vieta, pēc integrācijas ar augstāka līmeņa sistēmu jau strādā citos apstākļos. Tai ir citi komandu avoti, citas kļūmes, citi pārsteiguma scenāriji operatoram. Ar frāzi “SCADA ir klienta pusē” te nepietiek. Ja tā ietekmē uzvedību, tā jāiekļauj riska novērtējumā.
Pārvietošana uz citu vidi nav tikai loģistika
Arī mašīnas pārvietošana ne vienmēr ir nevainīga. Ja iekārta tika projektēta videi, kur netika paredzēta seismiska iedarbība, un pēc tam tiek uzstādīta vietā, kur zemestrīces ir reāls ekspluatācijas nosacījums, tas nav tikai transporta jautājums. Ja jaunie apstākļi prasa papildu pasākumus stabilitātei vai mehāniskajai izturībai, mainās mašīnas ierobežojumi un parādās jauni bīstami notikumi.
Dokumentācija neapraksta mašīnu vakuumā. Tā apraksta mašīnu konkrētos apstākļos: kur tā strādā, kas to apkalpo, kādi režīmi ir paredzēti un kāda vide to ieskauj. Ja šie nosacījumi ir citi, riska novērtējums nedrīkst izlikties, ka nekas nav noticis.
Programmatūras atjauninājums bez nevienas mehāniskas izmaiņas
Vēl viena bīstama ilūzija: “mēs neko pārbūvējuši neesam, tikai atjauninājām programmatūru”. Tieši šeit daudzi uzņēmumi iekrīt. Ja atjauninājums ietekmē drošības funkciju, sensoru apstrādi, darba režīmu loģiku, attālinātu piekļuvi vai konfigurācijas tiesības, tas var tieši ietekmēt drošību. Skrūves nav jāgriež, lai mainītos risks.
Dokumenti un pienākumi: kur uzņēmumi visbiežāk paklūp
No 2027. gada 20. janvāra Regula (ES) 2023/1230 aizstāj Direktīvu 2006/42/EK. Tā ir regula, nevis direktīva, tātad to piemēro tieši. Praktiskais secinājums ir skarbs, bet vienkāršs: nav jēgas gaidīt, kad “kāds nacionāli ieviesīs”. Jāsakārto savi šabloni, procedūras un lēmumu loģika.
Un te slēpjas tipiskā kļūda. Daļa uzņēmumu mēģinās veikt kosmētisku remontu: nomainīt dokumenta virsrakstu, “EK” uz “ES”, ielikt jauno regulas numuru un turpināt strādāt pa vecam. Ar to nepietiks. Ja process nav mainīts, kļūdains paliek viss ķēdes posms: produkta klasifikācija, I pielikuma pārbaude, atbilstības novērtēšanas procedūra, programmatūras apraksts, lietošanas instrukcija, deklarācijas saturs un ekonomisko operatoru lomas.
ES atbilstības deklarācija nav tukša formalitāte
Vecajā praksē bieži pietika ar īsu tekstu: mašīnas nosaukums, ražotājs, viens tiesību akts, paraksts. Jaunajā vidē tas ir par maz. ES atbilstības deklarācijai jāparāda, ar ko atbilstība ir pamatota. Tas nozīmē atsauces uz izmantotajiem harmonizētajiem standartiem vai kopējām specifikācijām. Ja standartu izmanto tikai daļēji, jānorāda, kuras daļas. Ja tiek izmantotas citas tehniskās specifikācijas, arī tām jābūt nosauktām.
Vēl svarīgāk: jābūt skaidram, kāda atbilstības novērtēšanas procedūra ir piemērota. Atkarībā no produkta klasifikācijas tas var būt, piemēram, modulis A, modulis B + C, modulis H vai modulis G. Ja deklarācija to neparāda, rodas pamatots jautājums, vai atbilstības ceļš vispār ir izvēlēts pareizi.
Ir arī viena šķietami maza, bet zīmīga nianse: jaunajā ES atbilstības deklarācijas paraugā vairs nav vecā lauka par personu, kura pilnvarota sagatavot tehnisko dokumentāciju. Ja šis lauks mehāniski tiek vilkts līdzi no senas veidlapas, tas parasti signalizē, ka uzņēmums nav pārskatījis procesu, tikai pārzīmējis papīru.
Daļēji pabeigta mašīna un ES iekļaušanas deklarācija
Arī te nepietiek nomainīt faila nosaukumu. Daļēji pabeigta mašīna joprojām nav gatava galīgai patstāvīgai lietošanai. Tā jāiekļauj gala mašīnā. Bet dokumentācijai jābūt saskaņotai ar jauno regulējumu. Tas nozīmē korektu ES iekļaušanas deklarāciju, skaidri norādītus piemērotos un izpildītos būtiskos prasību punktus un tehnisko dokumentāciju, kas tiešām palīdz gala mašīnas ražotājam.
Ja piegādātājs joprojām sūta dokumentu, kas pēc satura un formas izskatās kā novecojis Direktīvas 2006/42/EK laika paraugs, tas nav sīkums. Tas var tieši traucēt korektu gala mašīnas atbilstības novērtējumu.
Pilnvarotais pārstāvis, importētājs un izplatītājs nav statisti
Jaunajā regulējumā daudz skaidrāk ir izcelti ekonomisko operatoru pienākumi. Pilnvarotais pārstāvis var darboties ražotāja vārdā tikai rakstiska pilnvarojuma robežās. Viņš nav ražotāja aizstājējs un nepārņem atbildību par projektēšanu vai pašu riska novērtējumu.
Importētājam savukārt jāpārbauda, vai ražotājs ir veicis pienācīgu atbilstības novērtēšanas procedūru, vai ir sagatavota tehniskā dokumentācija, vai ir CE marķējums un nepieciešamie pavaddokumenti. Izplatītājs arī vairs nevar tēlot, ka viņš “tikai pārbīda kastes”. Pirms produkta pieejamības tirgū viņam jāpārbauda vismaz dokumentu un marķējuma pamatelementi, tostarp lietošanas instrukcija lietotājiem saprotamā valodā.
Un vēl viens svarīgs punkts: ja importētājs vai izplatītājs laiž produktu tirgū ar savu nosaukumu vai izdara izmaiņas, kas var ietekmēt atbilstību, viņš var nonākt ražotāja pienākumu laukā. Tas nav teorētisks drauds. Tas ir ļoti praktisks risks pie pārbūvēm, pārzīmološanas un lokālām modifikācijām.
Ko darīt jau tagad
Ja gribat reāli sagatavoties, sāciet nevis ar deklarācijas šablonu, bet ar procesu. Praktiska secība ir šāda:
- pārbaudiet, vai produkts ir mašīna, daļēji pabeigta mašīna vai saistīts produkts regulas izpratnē;
- pārdefinējiet mašīnas ierobežojumus, īpaši pēc integrācijas, pārvietošanas vai digitalizācijas;
- atjaunojiet riska novērtējumu pēc ISO 12100, neizlaižot paredzēto lietojumu un saprātīgi paredzamu nepareizu lietošanu;
- identificējiet, kur programmatūra, dati, sensori, SCADA, attālināta piekļuve vai mašīnmācīšanās ietekmē drošības funkciju;
- pārskatiet, vai drošības komponents nav digitāls un vai tā izmaiņas ir izsekojamas;
- izvērtējiet, kā kiberdrošība ietekmē mašīnas drošību, un kur nepieciešams izmantot IEC 62443 pieeju;
- pārbaudiet I pielikumu, A daļu un B daļu, un izvēlieties pareizo atbilstības novērtēšanas procedūru;
- sakārtojiet tehnisko dokumentāciju tā, lai tā parāda loģiku, nevis tikai failu uzskaiti;
- atjaunojiet lietošanas instrukciju, ES atbilstības deklarāciju un, ja nepieciešams, ES iekļaušanas deklarāciju;
- skaidri sadaliet pienākumus starp ražotāju, pilnvaroto pārstāvi, importētāju un izplatītāju.
Galvenā praktiskā atziņa ir vienkārša. Nejautājiet tikai, vai mašīnā ir AI. Jautājiet, kas var mainīt mašīnas uzvedību, kā tas var novest pie bīstamas situācijas un vai to godīgi parāda riska novērtējums, tehniskā dokumentācija un lietošanas instrukcija. Tieši tur Mašīnu regula 2023/1230 nošķir sakārtotu atbilstību no dekoratīvas papīru mapes.