Protezione contro la corruzione ai sensi del regolamento macchine
Sytance · Aggiornato
La sezione 1.1.9 dell’allegato III si applica quando la corruzione di un collegamento, componente hardware, software, dato o configurazione può incidere sulla conformità ai requisiti essenziali di salute e sicurezza. Non è una clausola generale di sicurezza IT, bensì un requisito di sicurezza delle macchine.
Collegamenti che possono causare situazioni pericolose
La prima frase definisce il confine di sicurezza. Un collegamento alla macchina o al prodotto correlato non deve causare una situazione pericolosa. Il collegamento può avvenire tramite un altro dispositivo, una funzione del dispositivo connesso stesso o un dispositivo remoto che comunica con la macchina o il prodotto correlato.
La macchina o il prodotto correlato è progettato e costruito in modo tale che il collegamento a esso di un altro dispositivo, tramite una qualsiasi funzione del dispositivo connesso stesso oppure tramite un qualsiasi dispositivo remoto che comunica con la macchina o il prodotto correlato, non causi una situazione pericolosa.
Regolamento (UE) 2023/1230, allegato III, sezione 1.1.9 — originale inglese
Un valore corrotto rientra nella valutazione se può modificare il comportamento sicuro della macchina. Il fatto che sia memorizzato in un sistema collegato in rete non è sufficiente a dimostrare tale effetto sulla sicurezza.
Elementi protetti
La sezione 1.1.9 indica diversi elementi da proteggere. La condizione comune è il loro collegamento ai requisiti essenziali di salute e sicurezza pertinenti.
- un componente hardware che trasmette segnali o dati, quando pertinente per la connessione o l’accesso a software critico;
- software e dati critici ai fini della conformità ai requisiti essenziali di salute e sicurezza pertinenti;
- software installato sulla macchina o sul prodotto correlato necessario per il funzionamento sicuro;
- software, modifiche software e cambiamenti di configurazione per i quali sono richieste evidenze degli interventi.
Software e dati critici
Il regolamento non protegge tutto il software e tutti i dati allo stesso modo. Si concentra sul software e sui dati critici ai fini della conformità ai requisiti essenziali di salute e sicurezza pertinenti. In pratica, ciò comprende logica relativa alla sicurezza, limiti di sicurezza, insiemi di parametri, configurazioni di azionamenti e robot, firmware e dati utilizzati da una funzione di controllo relativa alla sicurezza.
Il software e i dati critici per la conformità della macchina o del prodotto correlato ai pertinenti requisiti essenziali di salute e sicurezza sono identificati come tali e adeguatamente protetti contro la corruzione accidentale o intenzionale.
Regolamento (UE) 2023/1230, allegato III, sezione 1.1.9 — originale inglese
Il testo comprende esplicitamente sia la corruzione accidentale sia quella intenzionale. Un parametro caricato per errore e una modifica dolosa deliberata possono entrambi essere pertinenti se lo stesso elemento corrotto può causare una situazione pericolosa.
Evidenze degli interventi
La sezione 1.1.9 non è soltanto un requisito di controllo preventivo. Prevede anche evidenze di interventi legittimi o illegittimi su hardware, software, modifiche software o configurazioni pertinenti. Questi registri hanno uno scopo più specifico di un registro di audit generale della sicurezza: riguardano interventi che possono incidere su software, dati o configurazioni rilevanti per la sicurezza.
Oggetto delle evidenze
Le evidenze dovrebbero mostrare che si è verificata un’azione o un evento pertinente, come un aggiornamento software, una modifica della configurazione o un accesso hardware che incide sul software critico.
Collegamento con la sicurezza
Il registro è utile solo se collega l’intervento a una funzione, un parametro, una versione o una configurazione rilevanti per la sicurezza.
Esempi per le macchine
Gli esempi seguenti mostrano come un’interfaccia o una configurazione possa incidere su una funzione di sicurezza. La loro pertinenza dipende dall’architettura della macchina e dalla valutazione dei rischi.
Accesso di progettazione
L’accesso locale o remoto di progettazione è rilevante quando può modificare limiti, modalità, logica o parametri di sicurezza.
Firmware e logica applicativa
Le immagini firmware e il software applicativo relativo alla sicurezza sono rilevanti quando supportano il funzionamento o l’arresto sicuro.
Comunicazione esterna
I percorsi tramite bus di campo, Ethernet, Wi-Fi, strumenti di assistenza, HMI, cloud o schede di memoria sono rilevanti quando la corruzione può incidere su uno stato sicuro.
Integrità della configurazione
I parametri degli azionamenti, i limiti dei robot, le impostazioni degli spazi protetti e la configurazione dei PLC di sicurezza sono rilevanti quando valori alterati possono neutralizzare una misura di protezione.
Collegamento con il sistema di controllo
La sezione 1.2.1 dell’allegato III rafforza lo stesso confine per i sistemi di controllo. Questi devono prevenire situazioni pericolose e, quando opportuno rispetto alle circostanze e ai rischi, resistere a influenze esterne intenzionali e non intenzionali, compresi tentativi dolosi ragionevolmente prevedibili da parte di terzi che causano una situazione pericolosa.
Ciò non trasforma ogni atto doloso in una questione di sicurezza delle macchine. Significa che l’analisi del sistema di controllo deve includere i tentativi dolosi quando possono compromettere il comportamento sicuro del sistema di controllo.