Ochrona przed naruszeniem integralności na podstawie rozporządzenia w sprawie maszyn
Sytance · Zaktualizowano
Sekcja 1.1.9 załącznika III ma zastosowanie, gdy uszkodzenie połączenia, komponentu sprzętowego, oprogramowania, danych lub konfiguracji może wpłynąć na zgodność z zasadniczymi wymaganiami w zakresie ochrony zdrowia i bezpieczeństwa. Nie jest to ogólna klauzula bezpieczeństwa IT. Jest to wymaganie dotyczące bezpieczeństwa maszyn.
Połączenia, które mogą doprowadzić do sytuacji zagrożenia
Pierwsze zdanie wyznacza granicę bezpieczeństwa. Połączenie z maszyną lub produktem powiązanym nie może doprowadzić do sytuacji zagrożenia. Może ono przebiegać przez inne urządzenie, funkcję tego urządzenia lub urządzenie zdalne komunikujące się z maszyną lub produktem powiązanym.
Maszynę lub produkt powiązany należy zaprojektować i skonstruować tak, aby połączenie z nimi innego urządzenia, za pośrednictwem dowolnej funkcji samego połączonego urządzenia albo urządzenia zdalnego komunikującego się z maszyną lub produktem powiązanym, nie prowadziło do sytuacji zagrożenia.
Rozporządzenie (UE) 2023/1230, załącznik III, sekcja 1.1.9 — oryginał angielski
Uszkodzona wartość wymaga uwzględnienia w ocenie, jeśli może zmienić bezpieczne zachowanie maszyny. Samo jej przechowywanie w systemie sieciowym nie dowodzi, że ma taki wpływ na bezpieczeństwo.
Elementy podlegające ochronie
Sekcja 1.1.9 wymienia kilka elementów podlegających ochronie. Wspólnym warunkiem jest ich związek z odpowiednimi zasadniczymi wymaganiami w zakresie ochrony zdrowia i bezpieczeństwa.
- komponent sprzętowy przesyłający sygnał lub dane, jeśli ma znaczenie dla połączenia z krytycznym oprogramowaniem albo dostępu do niego;
- oprogramowanie i dane krytyczne dla zgodności z odpowiednimi zasadniczymi wymaganiami w zakresie ochrony zdrowia i bezpieczeństwa;
- oprogramowanie zainstalowane w maszynie lub produkcie powiązanym, niezbędne do bezpiecznej eksploatacji;
- oprogramowanie, jego modyfikacje i zmiany konfiguracji, jeśli wymagane są dowody ingerencji.
Krytyczne oprogramowanie i dane
Rozporządzenie nie zapewnia jednakowej ochrony wszystkim programom i danym. Koncentruje się na oprogramowaniu i danych krytycznych dla zgodności z odpowiednimi zasadniczymi wymaganiami w zakresie ochrony zdrowia i bezpieczeństwa. W praktyce mogą to być logika związana z bezpieczeństwem, limity bezpieczeństwa, zestawy parametrów, konfiguracja napędów i robotów, oprogramowanie układowe oraz dane wykorzystywane przez funkcję sterowania związaną z bezpieczeństwem.
Oprogramowanie i dane krytyczne dla zgodności maszyny lub produktu powiązanego z odpowiednimi zasadniczymi wymaganiami w zakresie ochrony zdrowia i bezpieczeństwa należy jako takie zidentyfikować i odpowiednio chronić przed przypadkowym lub celowym uszkodzeniem.
Rozporządzenie (UE) 2023/1230, załącznik III, sekcja 1.1.9 — oryginał angielski
Dokładne brzmienie obejmuje zarówno uszkodzenie przypadkowe, jak i celowe. Błędne przesłanie parametru i celowa złośliwa zmiana mogą być istotne, jeśli uszkodzenie tego samego elementu może doprowadzić do sytuacji zagrożenia.
Dowody ingerencji
Sekcja 1.1.9 nie ogranicza się do wymagań dotyczących środków zapobiegawczych. Wymaga również dowodów uprawnionej lub nieuprawnionej ingerencji w odpowiedni sprzęt, oprogramowanie, jego modyfikacje lub konfigurację. Rejestry te mają bardziej szczególny cel niż ogólny dziennik audytowy bezpieczeństwa. Dotyczą ingerencji, które mogą wpływać na oprogramowanie, dane lub konfigurację istotne dla bezpieczeństwa.
Przedmiot dowodu
Dowód powinien wykazywać, że nastąpiło odpowiednie działanie lub zdarzenie, takie jak aktualizacja oprogramowania, zmiana konfiguracji lub dostęp do sprzętu mający wpływ na krytyczne oprogramowanie.
Powiązanie z bezpieczeństwem
Rejestr jest przydatny tylko wtedy, gdy łączy ingerencję z funkcją bezpieczeństwa, parametrem, wersją lub konfiguracją istotną dla bezpieczeństwa.
Przykłady dotyczące maszyn
Poniższe przykłady pokazują, jak interfejs lub konfiguracja mogą wpływać na funkcję bezpieczeństwa. Ich znaczenie zależy od architektury maszyny i oceny ryzyka.
Dostęp inżynierski
Lokalny lub zdalny dostęp inżynierski ma znaczenie, gdy umożliwia zmianę limitów, trybów lub logiki bezpieczeństwa albo parametrów związanych z bezpieczeństwem.
Oprogramowanie układowe i logika aplikacji
Obrazy oprogramowania układowego i oprogramowanie aplikacyjne związane z bezpieczeństwem mają znaczenie, gdy wspierają bezpieczną pracę lub bezpieczne zatrzymanie.
Komunikacja zewnętrzna
Ścieżki przez magistralę polową, Ethernet, Wi-Fi, narzędzie serwisowe, HMI, chmurę lub kartę pamięci mają znaczenie, gdy uszkodzenie może wpłynąć na stan bezpieczeństwa.
Integralność konfiguracji
Parametry napędów, limity robota, ustawienia chronionej przestrzeni i konfiguracja PLC bezpieczeństwa mają znaczenie, gdy zmienione wartości mogą zniweczyć środek ochronny.
Powiązanie z systemem sterowania
Sekcja 1.2.1 załącznika III wzmacnia tę samą granicę w odniesieniu do systemów sterowania. Systemy te muszą zapobiegać sytuacjom zagrożenia i — gdy jest to właściwe w świetle okoliczności i ryzyka — być odporne na zamierzone i niezamierzone wpływy zewnętrzne, w tym racjonalnie przewidywalne próby złośliwego działania strony trzeciej prowadzące do sytuacji zagrożenia.
Nie oznacza to, że każde złośliwe działanie jest problemem bezpieczeństwa maszyn. Oznacza, że analiza systemu sterowania powinna uwzględniać próby złośliwego działania, jeśli mogą naruszyć bezpieczne zachowanie układu sterowania.