机械法规中的防篡改要求
Sytance · 更新于
当连接、硬件组件、软件、数据或配置的篡改可能影响基本健康和安全要求的符合性时，附件 III 第 1.1.9 节适用。它不是一般 IT 安全条款，而是机械安全要求。
可能引发危险情况的连接
该要求针对连接可能引发的危险情况。机械或相关产品连接其他设备时，不得因此产生危险情况。连接可以通过连接设备本身的任何功能，也可以通过与机械或相关产品通信的远程设备实现。
The machinery or related product shall be designed and constructed so that the connection to it of another device, via any feature of the connected device itself or via any remote device that communicates with the machinery or related product does not lead to a hazardous situation.
Regulation (EU) 2023/1230，附件 III 第 1.1.9 节 — 英文原文
机械或相关产品的设计和制造应确保：通过所连接设备本身的任何功能，或通过与机械或相关产品通信的任何远程设备，将另一设备连接到该机械或相关产品时，不会导致危险情况。
Regulation (EU) 2023/1230，附件 III 第 1.1.9 节 — 非官方中文译文
如果某个数值遭到篡改后可能影响机械的安全运行，就应纳入评估。仅凭该数值存放在联网系统中，还不能判断它对机械安全的影响。
受保护对象
第 1.1.9 节列出了几类需要保护的对象，它们都与满足相关基本健康和安全要求有关。
- 传输信号或数据的硬件组件，前提是它与连接或访问关键软件相关；
- 对符合相关基本健康和安全要求至关重要的软件和数据；
- 安装在机械或相关产品上、为安全运行所必需的软件；
- 需要保留干预证据时的软件、软件修改和配置变更。
关键软件和数据
法规并不是以同样方式保护所有软件和数据。它关注的是对符合相关基本健康和安全要求至关重要的软件和数据。实际分析时，应考虑安全相关逻辑及其使用的数据，以及安全限值、参数集、驱动配置、机器人配置和固件。
Software and data that are critical for the compliance of the machinery or related product with the relevant essential health and safety requirements shall be identified as such and shall be adequately protected against accidental or intentional corruption.
Regulation (EU) 2023/1230，附件 III 第 1.1.9 节 — 英文原文
对于机械或相关产品符合相关基本健康和安全要求至关重要的软件和数据，应将其识别为此类软件和数据，并应对其提供充分保护，以防止意外或故意篡改。
Regulation (EU) 2023/1230，附件 III 第 1.1.9 节 — 非官方中文译文
原文同时覆盖意外和故意篡改。例如，错误上传参数和恶意修改参数都可能造成危险情况，因此两者都可能需要纳入评估。
干预证据
第 1.1.9 节不只是预防性控制要求。它还要求对相关硬件、软件、软件修改或配置中的合法或非法干预保留证据。这些记录比一般安全审计日志有更具体的用途，关注的是可能影响安全相关软件、数据或配置的干预。
证据对象
证据应显示相关动作或事件已经发生，例如影响关键软件的软件更新、配置变更或硬件访问。
安全关联
记录应标明受干预影响的安全相关功能、参数、版本或配置。
机械场景示例
以下示例说明接口或配置如何影响安全功能。是否适用于具体机械，需要结合其架构和风险评估判断。
工程访问
如果本地或远程工程访问能够改变安全限值、安全模式、安全逻辑或安全参数，就可能影响机械安全。
固件和应用逻辑
如果安全运行或安全停止依赖固件镜像或安全相关应用软件，就应评估对这些软件的篡改。
外部通信
篡改可能通过现场总线、以太网、Wi-Fi、服务工具、HMI、云或存储卡发生。如果可能影响机械的安全状态，就应评估这些路径。
配置完整性
如果修改驱动参数、机器人限值、安全防护空间设置或安全 PLC 配置可能使保护措施失效，就应评估这些修改。
控制系统关联
附件 III 第 1.2.1 节也要求控制系统防止危险情况。根据具体情形和风险，控制系统应能承受有意和无意的外部影响，包括可合理预见、可能导致危险情况的第三方恶意尝试。
这并不意味着每一种恶意行为都会变成机械安全问题。如果恶意尝试可能妨碍控制系统安全运行，就必须在分析中考虑这种攻击。