Sun Tech WCS entscheidet, wohin Ladeeinheiten gehen, und bittet einen Treiber, sie zu bewegen. Es ist Steuerungssoftware für die Anlage, keine Sicherheitssoftware: Diese Seite fasst zusammen, was das bedeutet und wie es in Betrieb geht. Maßgeblich ist SAFETY.md im Repository.

Es ist kein System der funktionalen Sicherheit

Es ist kein sicherheitsbezogenes Steuerungssystem im Sinne der Normen zur funktionalen Sicherheit wie IEC 61508, IEC 62061 oder ISO 13849 und darf nicht als solches verwendet werden: Es erfüllt keine Sicherheitsfunktion.
Es ersetzt keine Sicherheits-SPS, Not-Halt-Einrichtungen, Schutzeinrichtungen, Lichtgitter oder Sicherheitsverriegelungen.
Die Sicherheit der Maschinen muss vom WCS unabhängig sein: Menschen müssen geschützt sein, wenn das WCS gestoppt, abgestürzt, getrennt oder falsch konfiguriert ist oder falsche Befehle sendet, wenn das Netz ausfällt, der Treiber defekt ist oder das WMS falsche Daten schickt.
Das Stoppen der Engine verhindert neue Befehle des WCS und schließt die Treiberverbindungen, ist aber kein Not-Halt.

Jede Anlage braucht ihre eigene Beurteilung

Jede Installation braucht eine Risikobeurteilung der Maschinen durch den, der für sie verantwortlich ist, nach den vor Ort geltenden Regeln (in der Europäischen Union zum Beispiel die Maschinenrichtlinie oder Maschinenverordnung), und eine Inbetriebnahme mit dem an den echten Maschinen getesteten Treiber. Simulation ersetzt keine Werks- und Vor-Ort-Abnahme. Für manuelle Befehle braucht es schriftliche Verfahren. Wer das WCS auf einer Anlage mit echten Maschinen installiert, ist für die Sicherheit dieser Anlage verantwortlich, wie bei jeder anderen Steuerungssoftware.

Verbindungen, die nicht täuschen

Ein Gerät, das verbunden sein sollte und keine Verbindung hat, geht außer Betrieb, und der Start der Engine wird verweigert: Das WCS lässt es nicht stillschweigend vom Simulator bedienen. In der Produktion startet der Dienst nicht, wenn der Simulator anstelle fehlender Verbindungen aktiviert ist.

Netz und Schlüssel

Das WCS gehört in ein abgetrenntes Anlagennetz und darf nie dem Internet ausgesetzt werden: Ein API-Schlüssel allein schützt es nicht.
Es hat einen Vollschlüssel und einen optionalen Nur-Lese-Schlüssel. Mit den Platzhalterschlüsseln startet es nicht, und unverschlüsseltes HTTP über den lokalen Rechner hinaus spricht es nur, wenn das ausdrücklich erlaubt ist.
TLS-Zertifikate werden nicht mitgeliefert: Sie werden bei der Installation eingerichtet. Das Bedrohungsmodell steht in Security and threat model.

Betrieb

Es läuft als Windows-Dienst und schreibt Warnungen und Fehler in die Ereignisanzeige.
Es hält seine Daten in SQLite, ohne Datenbankserver; ein Werkzeug erledigt Backup, Prüfung und Wiederherstellung, auch bei laufender Engine.
Es hat drei Überwachungsskripte mit Exit-Codes für Überwachungssysteme und eine monatliche Historie der Vorgänge und bewegten Einheiten.
Hardwareanforderungen werden nicht veröffentlicht: Die Dimensionierung ergibt sich aus einem Kapazitätstest auf der eigenen Anlage.

Erklärte Grenzen

Ein Dienst pro Anlage, ohne Cluster und ohne Failover. Keine Identität pro Bediener und keine Rollen, außer den beiden Schlüsseln. Das Bedienerprotokoll ist nicht manipulationssicher, und die Datenbankdateien sind nicht verschlüsselt. Ein Schlüsselwechsel erfordert einen Neustart, und ein Teil der Meldungen und Protokolle ist auf Italienisch. Die vollständige Liste steht in den known limitations, und vor dem Produktivbetrieb gibt es eine Checkliste.

Gewährleistung

Das WCS wird unter der Apache-Lizenz 2.0 „wie besehen“ verteilt, ohne Gewährleistung. Sun Tech bietet auf Anfrage den eigenen Treiber, die Integration und die Inbetriebnahme an.

Prüfen Sie das WCS für eine echte Anlage? Sprechen wir über Maschinen, Netz und Inbetriebnahme, bevor Sie sich entscheiden. Mit einem Ingenieur sprechen

Sicherheit und Betrieb