Sun Tech WCS décide où vont les unités de charge et demande à un driver de les déplacer. C'est un logiciel de pilotage d'installation, pas un logiciel de sécurité : cette page résume ce que cela implique et comment il se met en exploitation. Le texte de référence est SAFETY.md, dans le dépôt.

Ce n'est pas un système de sécurité fonctionnelle

Ce n'est pas un système de commande relatif à la sécurité au sens des normes de sécurité fonctionnelle, comme IEC 61508, IEC 62061 ou ISO 13849, et il ne doit pas être utilisé comme tel : il n'assure aucune fonction de sécurité.
Il ne remplace pas les automates de sécurité, les arrêts d'urgence, les protecteurs, les barrières immatérielles ni les verrouillages de sécurité.
La sécurité des machines doit être indépendante du WCS : les personnes doivent être protégées avec le WCS arrêté, planté, déconnecté, mal configuré ou envoyant de mauvaises commandes, avec le réseau coupé, avec le driver défaillant et avec le WMS envoyant de mauvaises données.
Arrêter le moteur empêche le WCS d'envoyer de nouvelles commandes et ferme les connexions du driver, mais ce n'est pas un arrêt d'urgence.

Chaque installation a sa propre évaluation

Chaque installation demande une appréciation des risques de ses machines, faite par la personne qui en est responsable selon les règles du lieu (dans l'Union européenne, par exemple, la directive ou le règlement Machines), et une mise en service avec le driver testé sur les vraies machines. La simulation ne remplace pas les recettes en usine et sur site. Les commandes manuelles demandent des procédures écrites. Qui installe le WCS sur une installation avec de vraies machines est responsable de la sécurité de cette installation, comme pour tout autre logiciel de pilotage.

Des connexions qui ne trompent pas

Un équipement qui devrait être connecté et n'a pas de connexion passe hors ligne, et le démarrage du moteur est refusé : le WCS ne le fait pas servir en silence par le simulateur. En production, le service refuse de démarrer si le simulateur est activé à la place des connexions manquantes.

Réseau et clés

Le WCS se place sur un réseau d'installation séparé et ne doit jamais être exposé à Internet : une clé d'API seule ne suffit pas à le protéger.
Il a une clé complète et une clé facultative en lecture seule. Il refuse de démarrer avec les clés d'exemple, et de parler HTTP en clair au-delà de la machine locale sans autorisation explicite.
Il n'inclut pas de certificats TLS : ils se configurent à l'installation. Le modèle de menaces se trouve dans Security and threat model.

Exploitation

Il tourne comme service Windows et écrit avertissements et erreurs dans le journal des événements.
Il garde ses données dans SQLite, sans serveur de base de données ; un outil assure sauvegarde, vérification et restauration, même moteur en marche.
Il dispose de trois scripts de surveillance avec des codes de sortie adaptés aux systèmes de supervision, et d'un historique mensuel des opérations et des unités déplacées.
Il ne publie pas d'exigences matérielles : le dimensionnement vient d'un test de capacité sur votre propre installation.

Limites déclarées

Un service par installation, sans cluster ni basculement. Aucune identité par opérateur et aucun rôle, en dehors des deux clés. Le journal des opérations n'est pas infalsifiable et les fichiers de la base de données ne sont pas chiffrés. Changer les clés demande un redémarrage, et une partie des messages et des journaux est en italien. La liste complète figure dans les known limitations, et avant la mise en production il y a une checklist.

Garantie

Le WCS est distribué sous licence Apache 2.0, « en l'état », sans garantie. Sun Tech propose sur demande son propre driver, l'intégration et la mise en service.

Vous évaluez le WCS pour une vraie installation ? Parlons machines, réseau et mise en service avant de choisir. Parler à un ingénieur

Sécurité et exploitation