機械規則に基づく改ざんからの保護

危険状態を引き起こし得る接続

最初の文が安全上の境界を定めています。機械または関連製品への接続によって危険状態が生じてはなりません。接続は、別のデバイス、そのデバイス自体の機能、または機械もしくは関連製品と通信する遠隔デバイスを介する場合があります。

機械または関連製品は、別のデバイスをその機能を介して接続する場合、接続されたデバイス自体の機能を介する場合、または機械もしくは関連製品と通信する遠隔デバイスを介する場合のいずれであっても、その接続が危険状態につながらないよう設計・製造しなければならない。

規則 (EU) 2023/1230、附属書III第1.1.9節 - 英語原文

改ざんされた値によって機械の安全な動作が変わり得る場合、その値は評価対象に含まれます。ネットワーク接続されたシステムに保存されているだけでは、安全への影響があるとは判断できません。

保護対象

第1.1.9節では、保護対象をいくつか明示しています。共通する条件は、関連する本質的な健康・安全要件に関係することです。

• 重要なソフトウェアへの接続またはアクセスに関係する場合、信号またはデータを伝送するハードウェアコンポーネント。
• 関連する本質的な健康・安全要件への適合に不可欠なソフトウェアとデータ。
• 安全な運転に必要な、機械または関連製品にインストールされたソフトウェア。
• 介入の証拠が必要な場合のソフトウェア、ソフトウェアの変更、設定変更。

重要なソフトウェアとデータ

この規則は、すべてのソフトウェアとデータを同じように保護するものではありません。関連する本質的な健康・安全要件への適合に不可欠なソフトウェアとデータに焦点を当てています。実務上は、安全関連ロジック、安全限界、パラメーターセット、ドライブ設定、ロボット設定、ファームウェア、安全関連制御機能が用いるデータなどが該当します。

機械または関連製品の関連する本質的な健康・安全要件への適合に不可欠なソフトウェアおよびデータは、その旨を特定し、偶発的または意図的な改ざんから適切に保護しなければならない。

規則 (EU) 2023/1230、附属書III第1.1.9節 - 英語原文

正確な文言では、偶発的な改ざんと意図的な改ざんの両方が対象です。同じ改ざんされた要素によって危険状態が生じ得る場合、誤ったパラメーターのアップロードも、意図的な悪意ある変更も、関連する可能性があります。

介入の証拠

第1.1.9節は予防的な管理策だけを求めるものではありません。関連するハードウェア、ソフトウェア、ソフトウェアの変更、設定に対する正当または不正な介入の証拠も求めています。これらの記録は、一般的なセキュリティ監査ログよりも具体的な目的を持ち、安全に関係するソフトウェア、データ、設定に影響し得る介入を対象とします。

機械の例

以下の例は、インターフェースや設定が安全機能にどのように影響し得るかを示します。関連性は機械のアーキテクチャとリスク評価によって異なります。

制御システムとの関連

附属書III第1.2.1節も、制御システムについて同じ境界を補強しています。制御システムは危険状態を防止しなければならず、状況とリスクに応じて、危険状態につながる、第三者による合理的に予見可能な悪意ある試みを含む、意図的および非意図的な外部影響に耐えなければなりません。

悪意ある行為のすべてが機械安全の問題になるわけではありません。安全な制御動作を損なう可能性がある場合、制御システムの分析に悪意ある試みを含める必要があるということです。