Sun Tech WCS decide dove vanno le unità di carico e chiede a un driver di muoverle. È software di controllo dell'impianto, non software di sicurezza: questa pagina riassume che cosa comporta, e come si mette in esercizio. Il testo che fa fede è SAFETY.md, nel repository.

Non è un sistema di sicurezza funzionale

Non è un sistema di controllo relativo alla sicurezza nel senso delle norme di sicurezza funzionale, come IEC 61508, IEC 62061 o ISO 13849, e non va usato come tale: non svolge nessuna funzione di sicurezza.
Non sostituisce PLC di sicurezza, arresti d'emergenza, protezioni, barriere fotoelettriche o interblocchi di sicurezza.
La sicurezza delle macchine deve essere indipendente dal WCS: le persone devono essere protette con il WCS fermo, guasto, scollegato, configurato male o che invia comandi sbagliati, con la rete giù, con il driver guasto e con il WMS che manda dati sbagliati.
Fermare il motore impedisce al WCS di inviare comandi nuovi e chiude le connessioni del driver, ma non è un arresto d'emergenza.

Ogni impianto ha la sua valutazione

Ogni installazione richiede una valutazione dei rischi delle macchine, fatta da chi ne è responsabile secondo le regole del luogo (nell'Unione europea, per esempio, la Direttiva o il Regolamento Macchine), e una messa in servizio con il driver provato sulle macchine vere. La simulazione non sostituisce i collaudi in fabbrica e in sito. Per i comandi manuali servono procedure scritte. Chi installa il WCS su un impianto con macchine reali è responsabile della sicurezza di quell'impianto, come per qualunque altro software di controllo.

Connessioni che non mentono

Un dispositivo che dovrebbe essere collegato e non ha una connessione va fuori linea, e la messa in marcia del motore viene rifiutata: il WCS non lo fa servire in silenzio dal simulatore. In produzione il servizio si rifiuta di partire se il simulatore è abilitato al posto delle connessioni mancanti.

Rete e chiavi

Il WCS va su una rete d'impianto separata e non va mai esposto a Internet: una chiave API da sola non basta a proteggerlo.
Ha una chiave completa e una chiave facoltativa di sola lettura. Si rifiuta di partire con le chiavi segnaposto, e di parlare HTTP in chiaro fuori dalla macchina locale se non lo si permette esplicitamente.
Non include certificati TLS: si configurano in installazione. Il modello delle minacce è in Security and threat model.

Esercizio

Gira come servizio Windows e scrive avvisi ed errori nel registro eventi.
Tiene i dati in SQLite, senza un database server; uno strumento fa backup, verifica e ripristino, anche a motore acceso.
Ha tre script di monitoraggio con codici di uscita adatti ai sistemi di sorveglianza, e uno storico mensile delle operazioni e delle unità movimentate.
Non pubblica requisiti hardware: il dimensionamento si ricava da una prova di capacità sul proprio impianto.

Limiti dichiarati

Un servizio per impianto, senza cluster né failover. Nessuna identità per operatore e nessun ruolo, oltre alle due chiavi. Il registro delle operazioni non è a prova di manomissione e i file del database non sono cifrati. Cambiare le chiavi richiede un riavvio, e una parte dei messaggi e dei log è in italiano. L'elenco completo è nei known limitations, e prima di andare in produzione c'è una checklist.

Garanzia

Il WCS è distribuito con licenza Apache 2.0, «così com'è», senza garanzie. Sun Tech offre su richiesta il proprio driver, l'integrazione e la messa in servizio.

State valutando il WCS per un impianto vero? Parliamo di macchine, rete e messa in servizio prima di scegliere. Parlate con un ingegnere

Sicurezza ed esercizio