机械网络安全风险评估
Sytance · 更新于
当篡改可能造成危险情况或削弱保护措施时，机械网络安全风险评估就是机械安全风险评估的一部分。分析应从机械本身、预期用途、可合理预见的误用、危险源和安全相关控制功能开始。
本文引用的 prEN 50742 技术内容以 2025 年 12 月公开征求意见稿为依据：引言和第 4.3 条。这些是供技术规划参考的草案规定，尚不是已发布欧洲标准的要求。
在安全风险评估中分析网络安全
determine the limits of the machinery or related product, which include the intended use and any reasonably foreseeable misuse thereof
Regulation (EU) 2023/1230，附件 III B 部分 — 英文原文
确定机械或相关产品的限制，这些限制包括其预期用途以及任何可合理预见的误用
Regulation (EU) 2023/1230，附件 III B 部分 — 非官方中文译文
附件 III B 部分要求制造商确定适用的基本健康和安全要求，并通过设计消除危险或降低相关风险。ISO 12100 采用相同的风险评估顺序：确定机械的限制，识别危险源和危险情况，估计并评价风险，再采取措施降低风险。
如果连接、软件、数据、配置或控制路径遭到篡改后可能引发危险或削弱保护措施，就应在相应的风险评估环节分析这种影响。
篡改如何导致伤害
评估应逐项分析：篡改会如何使安全功能或保护措施失效，又会导致什么危险情况。这样才能说明具体威胁与伤害后果之间的关系。
先看安全功能
明确防止伤害的安全功能、安全状态、限值、联锁、停止行为、模式或保护措施。
再看接口
识别能够改变该安全功能所使用的软件、数据、配置、命令或过程信息的接口或路径。
再看篡改后果
说明意外或故意篡改如何产生新的危险、增加风险或削弱预期的风险降低效果。
最后看保护措施
选择能够降低安全风险、且不会削弱机械功能安全的保护措施。
影响功能安全的威胁
prEN 50742 将威胁评估视为机械风险评估的补充，而不是替代。草案指出，漏洞可能使保护措施失效，只有结合对功能安全的影响，才能评估由此产生的风险。
即使 prEN 50742 仍是草案，这个区分也有用。网络扫描结果、缺失的密码策略或暴露服务本身还不够。机械技术文件需要说明该弱点如何引发危险情况，或如何影响安全相关控制功能。
记录评估依据和结论
按照 ISO 12100，风险评估文件应说明评估了哪台机械、采用了哪些假设和信息，以及识别出的危险源与危险情况。文件还应记录风险降低目标、保护措施、剩余风险和评估结果。涉及网络安全时，还需说明篡改通过什么路径影响机械。
- 被评估的产品、配置、软件版本和预期用途；
- 受到篡改影响的安全功能或保护措施；
- 可能造成篡改的接口、访问路径、更新路径或数据路径；
- 篡改发生后的安全影响；
- 所依赖的保护措施、对策或使用信息；
- 剩余风险以及所选保护措施的限制。
技术文件中的风险评估资料
第 10 条要求制造商在将机械或相关产品投放市场或投入使用之前编制技术文件。附件 IV 要求技术文件包含风险评估资料，说明适用的基本健康和安全要求，以及为满足这些要求采取的保护措施。
源码和编程逻辑
根据第 10 条第 3 款，在相关情况下，如果主管国家机关为检查附件 III 符合性而有必要获取技术文件中包含的源代码或编程逻辑，则在该机关提出说明理由的请求后，必须向其提供这些资料。