Uredba o strojih 2023/1230: kaj res spreminja v praksi

Uredba o strojih 2023/1230 je zelo hitro dobila poenostavljeno etiketo, da ureja AI v strojih. To zveni moderno, vendar je tehnično prešibko. Uredba (EU) 2023/1230 o strojih ni splošen predpis o umetni inteligenci v proizvodnji. Ne pomeni, da vsak sistem, ki analizira podatke z linije, napoveduje okvare, računa OEE ali predlaga nastavitve procesa, samodejno postane del ugotavljanja skladnosti stroja. Ključno vprašanje je drugo: ali rešitev vpliva na varnost stroja in človeka.

Tu se začne resno delo. Ni dovolj preveriti, ali imajo komponente CE. Treba je razumeti, ali lahko programska oprema, podatki, komunikacija, daljinski dostop, sprememba konfiguracije ali posodobitev povzročijo nevarno situacijo ali nevarni dogodek. Če lahko, to ni več obrobna tema. To je jedro ocene tveganja.

Prav zato nova pravila ne širijo sveta strojev toliko v širino, kot ga poglabljajo. Stroj ni več samo mehanika, pogon, zaščita in električna omara. Lahko je tehnični sistem, katerega varnost je odvisna od programske opreme, krmilne logike, senzorjev, podatkov in odpornosti na digitalne posege. Kdor to še vedno obravnava kot dodatek, si dela težave sam.

Uredba o strojih 2023/1230 ni zakon o AI

Začnimo pri najbolj razširjenem nesporazumu. Sam izraz AI o varnosti stroja sam po sebi ne pove skoraj nič. Sistem lahko analizira podatke, napoveduje odpovedi, optimizira porabo energije ali pomaga pri nastavitvah procesa, pa še vedno ne posega v varnostno funkcijo. V takem primeru ni varnostna komponenta samo zato, ker mu je nekdo nalepil sodobno oznako.

Pravo vprašanje je precej manj marketinško in precej bolj uporabno: ali ta funkcija, povezava ali sprememba vpliva na obnašanje stroja tako, da se človek lahko znajde v nevarni situaciji? Če je odgovor pritrdilen, mora zadeva v oceno tveganja. Če ni, potem ne smemo umetno širiti področja uporabe samo zato, ker je v igri AI.

AI postane pravno res pomemben šele v zelo konkretnem tehničnem okviru. Takrat, ko gre za varnostno komponento ali vgrajen sistem s popolnoma ali delno samozminjajočim se obnašanjem na podlagi strojnega učenja, ki zagotavlja varnostno funkcijo. To je druga kategorija odgovornosti kot algoritem za poročanje o proizvodnji ali za napovedno vzdrževanje. Razlika ni kozmetična. Razlika je v tem, ali stroj zaradi takega sistema ostane varen tudi v realnem obratovanju.

Zato je boljše vprašanje od tega, ali ima stroj AI, naslednje: kdo ali kaj lahko spremeni obnašanje stroja? Šele tu dobimo odgovor, ki ima tehnično težo.

Primer: ko nekdo spremeni program PLC

Predstavljajmo si stroj z daljinskim servisnim dostopom. Nekdo izkoristi ranljivost, napačno nastavitev ali slabo zaščiten uporabniški račun in naloži spremenjen program v PLC. Na prvi pogled je vse enako. Zaščite so še vedno na mestu. Gumb E-STOP je še vedno rdeč. Dokumenti so še vedno v mapi. Ploščica s CE je še vedno na stroju.

Težava je v tem, da stroj morda ni več isti z vidika varnosti. Spremeni se lahko zaporedje gibov. Ustavljanje je lahko počasnejše. Spremeni se lahko hitrost. Pogoj za ponovni zagon je lahko manj strog. Reakcija na odpiranje zaščite je lahko drugačna. Nadzor, ki je prej omejeval tveganje, lahko izgine.

V takem trenutku razlaga, da je šlo samo za dogodek na področju informatike, ni dovolj. Če je posledica lahko nepričakovan gib, izostanek ustavitve, nenaden ponovni zagon ali dostop človeka v nevarno območje, imamo potencialen nevarni dogodek v oceni tveganja stroja. To je točka, kjer kibernetska varnost vstopi naravnost v varnost stroja.

Primer: SCADA ni vedno samo zaslon

Povezava stroja na SCADA sama po sebi še ne pomeni težave. Če sistem samo bere podatke, je tveganje lahko omejeno. Vseeno ga je treba preveriti, vendar golo opazovanje procesa še ne spremeni nujno varnosti stroja.

Slika se spremeni v trenutku, ko SCADA lahko spreminja recepte, parametre, delovne načine, dovoljenja, zaporedje cikla ali pogoje ponovnega zagona. Takrat ne govorimo več o prikazu podatkov. Govorimo o zunanjem vplivu na obnašanje stroja. In ko zunanji sistem vpliva na obnašanje stroja, mora v oceno tveganja. Ni pomembno, ali je sistem formalno na strani naročnika. Pomembno je, ali vpliva na varnost.

To praviloma pomeni, da je treba ponovno določiti meje stroja. Stroj, ki je prej deloval kot samostojno delovno mesto, po integraciji v nadrejeni sistem ne deluje več v istih pogojih. Ima druge vire ukazov, druge možne napake, druge odvisnosti in druge načine, kako je lahko upravljavec presenečen.

Primer: relokacija ni vedno samo logistika

Enako velja za relokacijo. Selitev stroja ni vedno zgolj organizacijska zadeva. Zamislimo si stroj, ki je bil zasnovan za obrat brez potresnih vplivov, nato pa ga preselimo v okolje, kjer so potresni vplivi realen obratovalni pogoj. Sama selitev še ne pomeni avtomatično bistvene spremembe. Toda če novo okolje zahteva dodatne ukrepe za stabilnost ali mehansko odpornost, potem ne govorimo več o isti varnostni sliki.

Takrat se pojavi novo tveganje, ki ga prej v praktičnem obsegu uporabe ni bilo. In vprašanje postane neprijetno, vendar nujno: ali še vedno ocenjujemo isti stroj z istimi mejami stroja? Če so se pogoji uporabe spremenili, ocena tveganja ne sme igrati, da se ni zgodilo nič.

Kaj Uredba o strojih 2023/1230 dejansko spreminja

Pomembno je povedati naravnost: nova uredba ne izumlja ocene tveganja na novo. Predvidena uporaba, razumno predvidljiva napačna uporaba, hierarhija zaščitnih ukrepov, tehnična dokumentacija in izjava o skladnosti so obstajali že pod režimom Direktiva 2006/42/ES. Sprememba je drugje. Nova uredba v stari svet strojev zelo jasno vpiše stvari, ki jih ni več mogoče obravnavati kot dodatek.

To so programska oprema, podatki, digitalne varnostne komponente, daljinski dostop, avtonomne funkcije, odpornost krmilnih sistemov na posege tretjih oseb in dokazovanje, kako vse to vpliva na varnost. Stari procesi ugotavljanja skladnosti zato ne odpadejo. Dobijo pa precej večjo težo.

1. Stroj je lahko definiran tudi brez nameščene programske opreme za konkretno uporabo

Ena od praktično zelo pomembnih sprememb je, da lahko med stroj spada tudi sklop, ki sicer izpolnjuje definicijo stroja, vendar še nima nameščene programske opreme za konkretno uporabo, ki jo je predvidel proizvajalec. Sporočilo je jasno: programska oprema ni več nekaj zunaj stroja. Če brez nje stroj ne doseže predvidene uporabe, potem je del tega, kar določa funkcijo, obnašanje in varnost.

Zato ni dovolj vprašanje, ali je konstrukcija mehansko dokončana. Vprašati je treba tudi, ali je bila programska oprema, brez katere stroj ne opravlja predvidene uporabe, vključena v ugotavljanje skladnosti. Če ni bila, tehnična dokumentacija ne opisuje dejanskega stroja, temveč njegovo kuliso.

2. Varnostna komponenta je lahko digitalna

To je sprememba, ki jo bo praksa zelo hitro občutila. Varnostna komponenta ni več razumljena samo kot fizični element. Lahko je tudi digitalna, vključno s programsko opremo. To pomeni konec udobnega razmišljanja, da se varnost skriva le v mehanski zaščiti, svetlobni zavesi, stikalu vrat ali varnostnem releju.

Če programska oprema izvaja varnostno funkcijo, ni več samo program avtomatika. Postane varnostna komponenta ali del varnostno povezanega dela krmilnega sistema. Takrat se pojavijo zelo konkretna vprašanja: kdo je dobavitelj, katera različica je nameščena, kdo jo lahko spremeni, ali so posegi sledljivi, ali posodobitev lahko vpliva na varnostno funkcijo in ali tehnična dokumentacija to dejansko pokaže.

Veliko podjetij tu ne bo padlo zaradi slabih inženirjev. Padla bodo zato, ker ne bodo znala povezati odločitev o programski opremi z oceno tveganja stroja in s sledljivimi dokazi.

3. Kibernetska varnost vstopi v varnost stroja

Tu je treba biti natančen. Uredba o strojih 2023/1230 iz proizvajalca strojev ne dela specialista za vse vidike kibernetske varnosti. Ne zahteva, da vsak proizvajalec strojev čez noč postane ponudnik naprednih varnostnih storitev. Zahteva pa nekaj zelo konkretnega: če lahko namerna ali nenamerna poškodba, poseg, sprememba podatkov, sprememba programske opreme ali zunanji vpliv povzroči nevarno situacijo, je to vprašanje varnosti stroja.

Zato morajo biti krmilni sistem, komunikacijske poti, relevantni podatki in programska oprema, pomembna za skladnost, opredeljeni in ustrezno zaščiteni. Če poseg v konfiguracijo lahko spremeni varnostno funkcijo, mora to biti obravnavano. Če daljinski dostop lahko vpliva na varnost, ga je treba oceniti in omejiti. Če ne more, mora proizvajalec to znati argumentirati. Splošen stavek, da je povezava zaščitena z geslom, je premalo.

Ravno tu sta ISO 12100 in IEC 62443 skupaj zelo uporabna. Prvi postavi logiko ocene tveganja, drugi pomaga strukturirati kibernetske ukrepe v avtomatizaciji. Eden ne nadomesti drugega.

4. Tehnična dokumentacija mora pokazati razmišljanje, ne samo zbirke datotek

Tehnična dokumentacija ni mapa, v katero vržemo sheme, nekaj preskusov, navodila in star obrazec iz prejšnjega projekta. Nova pravila od nje pričakujejo več. Pokazati mora, katere bistvene zahteve za zdravje in varnost veljajo, katera tveganja so bila prepoznana, kateri zaščitni ukrepi so bili uporabljeni, katere standarde je proizvajalec uporabil in kakšno preostalo tveganje ostane.

Kjer je to pomembno, mora dokumentacija zajeti tudi programsko logiko ali izvorno kodo za programsko opremo, povezano z varnostjo, opis senzorjev, daljinsko upravljanje, avtonomne funkcije, podatke, validacijo in omejitve sistema. Skratka: tehnična dokumentacija mora dokazovati, da proizvajalec razume, zakaj je stroj varen, in ne samo, da zna odpreti mapo z dokumenti.

5. Priloga I ima novo logiko in tam AI postane zares pomemben

V starem režimu je trg zelo dobro poznal poseben seznam strojev z višjim tveganjem. Zdaj je treba gledati Prilogo I, razdeljeno na del A in del B. To ni le nova številka. To je nova logika postopkov ugotavljanja skladnosti.

Del A je strožji. Med drugim zajema varnostne komponente s popolnoma ali delno samozminjajočim se obnašanjem na podlagi strojnega učenja, ki zagotavljajo varnostno funkcijo, ter stroje z vgrajenimi takimi sistemi glede teh sistemov. To je trenutek, ko AI ni več samo modna beseda, ampak element, ki vpliva na pravno pot ugotavljanja skladnosti.

Del B zajema druge kategorije strojev in sorodnih proizvodov, pri katerih je izbira postopka odvisna tudi od uporabe ustreznih usklajenih standardov ali skupnih specifikacij. Kdor gleda samo naslov priloge in ne razume razvrstitve proizvoda, lahko zelo hitro izbere napačen postopek.

6. Navodila in EU-izjava o skladnosti sta lahko digitalna, vendar ne površno

Da, uredba dopušča digitalna navodila in digitalno EU-izjava o skladnosti. To je dobra novica, vendar ne pomeni, da je dovolj objaviti en PDF na spletni strani in nanj pozabiti. Digitalna navodila morajo biti dostopna na način, ki je naveden na stroju, proizvodu, embalaži ali spremljajočem dokumentu. Omogočati morajo prenos, shranjevanje in izpis.

Poleg tega morajo biti na voljo prek spleta v predvidenem življenjskem ciklu stroja in najmanj deset let po dajanju na trg ali v uporabo. Enako velja za EU-izjava o skladnosti, če je dostopna prek internetnega naslova ali kode za strojno branje. Digitalizacija dokumentacije ne zmanjšuje obveznosti. Ustvari nove organizacijske obveznosti.

7. Uvoznik in distributer nista več statista

Nova uredba veliko jasneje razdeli odgovornosti gospodarskih subjektov. Uvoznik mora preveriti, ali je proizvajalec izvedel pravilen postopek ugotavljanja skladnosti, ali je na voljo tehnična dokumentacija, ali je stroj ustrezno označen s CE in ali so priloženi zahtevani dokumenti ter identifikacijski podatki. Distributer prav tako ne more več delovati po logiki, da samo premika škatle.

Preden stroj da na trg, mora preveriti prisotnost CE, EU-izjava o skladnosti, navodil in potrebnih informacij v jeziku, razumljivem uporabnikom, ter podatkov proizvajalca in uvoznika. Če uvoznik ali distributer da proizvod na trg pod svojim imenom ali ga spremeni tako, da to lahko vpliva na skladnost, lahko stopi v vlogo proizvajalca. To ni podrobnost. To je sprememba odgovornosti v dobavni verigi.

8. Avtonomni stroji niso več posebnost za sejme

Nova pravila veliko resneje obravnavajo avtonomne stroje, zlasti mobilne. Tu ocena tveganja ne sme obstati pri kolesih, zavori in opozorilni luči. Vprašati je treba, kdo ali kaj sprejema odločitev o gibanju, kako stroj zaznava osebe in ovire, kaj se zgodi ob izgubi komunikacije, kako je omejeno delovno območje in kakšna je vloga človeka, ki stroj nadzira.

Ko človek ni več klasični upravljavec, temveč nadzornik sistema, se spremeni tudi analiza interakcije človek-stroj. To je treba zajeti že v fazi zasnove, ne šele takrat, ko stroj pride na obrat in začne presenečati ljudi.

9. CRA je pomemben, vendar ne nadomesti ocene tveganja stroja

Cyber Resilience Act in Uredba o strojih 2023/1230 nista ista stvar. CRA obravnava proizvode z digitalnimi elementi in njihove zahteve za kibernetsko odpornost. Nova uredba obravnava varnost strojev, delno dokončanih strojev in sorodnih proizvodov. Kibernetska varnost jo zanima takrat, ko lahko vpliva na varnost stroja.

Proizvajalec digitalne komponente lahko svoj del obveznosti obvladuje po CRA. Toda proizvajalec ali integrator stroja mora še vedno oceniti, kaj se zgodi, ko je ta komponenta vgrajena v konkreten krmilni sistem, konkretno omrežje in konkretno delovno okolje. Zato ISO 12100 ostaja temeljno orodje. Brez njega ne dobimo odgovora, ali digitalna plast spreminja tveganje stroja.

Uredba o strojih 2023/1230 in dokumentacija: tu se podjetja najhitreje ujamejo

Nekatere spremembe na papirju delujejo formalno. A prav tam se pogosto vidi, ali je podjetje res posodobilo proces skladnosti ali je samo prebarvalo naslov dokumenta. Po 20. januarju 2027 stari sklici na Direktiva 2006/42/ES, stari obrazci in stari miselni vzorci ne bodo majhna uredniška napaka. Bodo znak, da proces ni bil prilagojen novemu režimu.

To velja zlasti za EU-izjava o skladnosti. Ta ne sme biti več splošen list z navedbo, da je stroj skladen z uredbo. Pokazati mora, po kateri poti je proizvajalec skladnost dokazal. Če so bili uporabljeni usklajeni standardi ali skupne specifikacije, jih je treba navesti konkretno. Če so bili uporabljeni le delno, je treba navesti obseg uporabe. Če je bila skladnost dokazana z drugimi tehničnimi specifikacijami, mora biti to razvidno.

Enako pomemben je postopek ugotavljanja skladnosti oziroma modul. Glede na razvrstitev proizvoda lahko pridejo v poštev:

• modul A, kadar je dovoljena notranja kontrola proizvodnje,
• modul B + C, kadar je potreben EU-pregled tipa in nato skladnost s tipom,
• modul H za popolno zagotavljanje kakovosti,
• modul G za preverjanje na enoti.

Če EU-izjava o skladnosti ne pokaže, kateri modul je bil uporabljen, je prvo logično vprašanje, ali je proizvajalec sploh pravilno določil pot ugotavljanja skladnosti. To ni birokratski okrasek. To je sled tehnične in pravne logike.

Pomembna podrobnost je tudi to, da nov vzorec ne vsebuje več starega polja za osebo, pooblaščeno za pripravo tehnične dokumentacije. To ne pomeni, da tehnične dokumentacije ni treba imeti. Pomeni pa, da slepo kopiranje starega obrazca ni več sprejemljivo. Hkrati se ne sme mešati vloga proizvajalca in vloga pooblaščenega zastopnika. Pooblaščeni zastopnik lahko deluje v okviru pisnega pooblastila, ne more pa namesto proizvajalca opraviti ocene tveganja ali prevzeti odgovornosti za samo zasnovo stroja.

Podobno velja za delno dokončan stroj. Zanj ne pride v poštev klasična EU-izjava o skladnosti za končni stroj, temveč EU-izjava o vgradnji. Če dobavitelj še vedno pošilja star obrazec iz časa Direktiva 2006/42/ES, to ni samo težava poimenovanja. To je lahko znak, da dokument ne podpira pravilno ugotavljanja skladnosti končnega stroja.

Kaj narediti zdaj

Če želite prehod na novo ureditev izpeljati brez nepotrebnih presenečenj, je vrstni red dela precej jasen.

• Najprej določite, ali gre za stroj, sorodni proizvod ali delno dokončan stroj.
• Nato na novo določite meje stroja, predvidena uporaba in razumno predvidljiva napačna uporaba.
• Izvedite ocena tveganja po ISO 12100 in preverite, ali programska oprema, podatki, komunikacija ali dostop na daljavo vplivajo na varnost.
• Preverite, ali je v igri varnostna komponenta v digitalni obliki.
• Preglejte Prilogo I in določite, ali proizvod spada v del A ali del B.
• Na tej podlagi izberite pravilen modul ugotavljanja skladnosti.
• Posodobite tehnična dokumentacija, navodila, EU-izjava o skladnosti in po potrebi EU-izjava o vgradnji.
• Jasno razdelite vloge: proizvajalec, pooblaščeni zastopnik, uvoznik, distributer.

Najslabša možna poteza je, da podjetje zamenja naslov dokumenta, v ozadju pa pusti star proces. To ne bo delovalo. Uredba o strojih 2023/1230 ne kaznuje podjetij zato, ker uporabljajo več programske opreme. Kaznuje jih takrat, ko ne znajo dokazati, kako ta programska oprema, povezljivost in digitalni posegi vplivajo na varnost stroja.

Če povzamemo v enem stavku: ne sprašujte najprej, ali ima stroj AI. Sprašujte, kaj lahko spremeni njegovo obnašanje, kdo ima do tega dostop in ali je to pošteno zajeto v oceni tveganja, tehnični dokumentaciji in izbranem postopku ugotavljanja skladnosti. Tam se danes odloča, ali je stroj res varen in ali je skladnost resna ali samo na papirju.