Styringssystemer (OT) i havari- og produktansvarssager

Når en produktionslinje stopper, en maskine går i stykker, eller et anlæg skader noget, opstår spørgsmålet hurtigt: Hvad skete der, og hvis ansvar er det? Leverandøren peger på betjeningen. Kunden peger på konstruktionen eller programmet. Integratoren peger på en tredje part. Svaret ligger ofte i styringssystemerne, også kaldet OT (operationel teknologi). Det er PLC’er, betjeningspaneler og overvågningssystemer, der styrer og registrerer maskinens arbejde. Denne artikel handler om, hvordan advokaten får de data sikret og brugt, før de er væk.

Hvad OT er, og hvorfor det er anderledes end almindelig IT

Et kontornetværk er bygget til at gemme data. Et styringssystem er bygget til at holde en maskine kørende. Logning er en bisag. Det har tre konsekvenser for en tvist:

Data er flygtige. Mange styringer gemmer hændelser i en ringbuffer, hvor de ældste poster overskrives af de nyeste. Nogle mister data ved strømafbrydelse eller genstart.
Data er spredt. Den samme hændelse kan stå ét sted i PLC’en, et andet i betjeningspanelet og et tredje i et overvågningssystem eller en historiker på en server.
Data er proprietære. Formaterne afhænger af producenten. Det kræver ofte producentens eget program at læse dem.

Typiske datakilder

PLC-program · Den logik, maskinen kørte efter, inklusive versioner og ændringer
Alarm- og hændelseslog · Alarmer, kvitteringer, stop og fejlkoder med tidspunkt
Betjeningspanel (HMI) · Hvem der var logget ind, hvilke knapper der blev trykket, ændrede parametre
SCADA og historiker · Måleværdier over tid: tryk, temperatur, hastighed, strøm
Vedligeholdelsessystem · Serviceordrer, udskiftede dele, planlagte eftersyn
Fjernadgang · Hvornår leverandør eller integrator var koblet på, og fra hvor

Ikke alle anlæg har alle kilder. Spørg tidligt, hvad netop dette anlæg logger, og hvor længe.

Hvad data kan vise

Styringsdata kan ofte afklare rækkefølgen af hændelser: Hvilken alarm kom først? Blev en sikkerhedsfunktion koblet ud? Blev en parameter ændret kort før havariet, og fra hvilket panel eller hvilken konto? Var programmet ændret siden levering? Måleværdier kan vise, om maskinen kørte uden for sine grænser.

Fjernadgangslogs er ofte centrale. Hvis leverandøren har været koblet på anlægget og har ændret noget, kan det flytte ansvaret. Omvendt kan fravær af fjernadgang styrke en påstand om, at ændringen er sket lokalt.

Hvad data ikke viser

En konto er ikke en person. På mange paneler deler flere operatører samme login, eller panelet står altid logget ind.
En alarm er ikke en årsag. Den første alarm kan være en følgevirkning. Årsagen kan ligge i mekanik, el eller materialer, som styringen ikke måler.
Uret kan gå forkert. PLC’er og paneler er ikke altid synkroniseret med en tidskilde. To systemer på samme anlæg kan vise forskellige tider for samme hændelse. → Tidslinjer som bevis
Manglende poster beviser intet. Bufferen kan være fyldt, eller logningen kan være slået fra.

Læsningen af de enkelte linjer følger de samme principper som for andre logs. → Sådan læser du en logfil

Sikring: hurtigt og uden at ændre noget

Det største problem i OT-sager er tiden. Efter et havari vil alle have anlægget i gang igen. Ved genstart, fejlretning og ny programmering kan de data, der forklarer havariet, blive overskrevet.

Det første skridt er derfor at få klienten til at bevare, før der rettes. Konkret:

Notér tidspunktet for havariet efter både anlæggets ur og et korrekt ur.
Tag ikke strømmen af styringen, hvis det kan undgås.
Gem alarmhistorik og hændelseslog fra panelet, før nogen kvitterer eller nulstiller.
Tag en kopi af det PLC-program, der kørte, før en ny version lægges ind.
Eksportér historikerdata for en periode før og efter hændelsen.
Gem fjernadgangslogs fra firewall, VPN eller leverandørens portal.
Dokumentér, hvem der har gjort hvad, og hvornår.

Bevarelsespligten gælder også klientens egne rutiner. Er sagen forudsigelig, bør automatisk overskrivning standses, hvor det kan lade sig gøre. → Bevarelsespligt og litigation hold

Når undersøgelsen kan ændre genstanden

Nogle styringer kan ikke aflæses uden at blive påvirket. Et udlæsningsværktøj kan skrive til enheden, og en genstart kan slette midlertidige data. Det er relevant, hvis der senere skal være syn og skøn.

Efter retsplejeloven § 198, stk. 2, skal en del af genstanden så vidt muligt holdes uden for undersøgelsen, hvis syn og skøn vil medføre tilintetgørelse eller forandring af den. Er det ikke muligt, bør der udpeges mindst to skønsmænd. Ved digitale data kan det betyde, at der først tages en kopi, og at undersøgelsen sker på kopien. Hvor det ikke kan lade sig gøre, bør fremgangsmåden aftales med modparten eller forelægges retten, før nogen rører enheden.

Hvem har data?

Ofte står anlægget hos kunden, mens programmet og værktøjerne ligger hos leverandøren eller integratoren. Historikeren kan køre på en server hos en driftsleverandør. Fjernadgang kan gå gennem en portal hos producenten i udlandet.

I sager om produktansvar og forsikring kommer der ofte flere parter til: producenten af en komponent, kundens forsikringsselskab og leverandørens forsikringsselskab. Hver af dem kan ønske at undersøge anlægget. Uden en fælles aftale risikerer man, at den første undersøgelse ændrer data, som de næste skulle have set.

Det betyder, at sikringen kan kræve samarbejde fra parter, der selv er involveret i tvisten. Overvej en bevarelsesmeddelelse til alle, der kan have data. Ligger data hos en tredjemand, kan edition komme på tale. → Edition fra tredjemand

Skønstemaet

Et OT-skøn kræver ofte en skønsmand med både styringsfaglig og IT-forensisk indsigt. Det er sjældent den samme person. Spørgsmålene kan deles op:

Hvilke data findes fra anlægget for perioden, og er de fuldstændige?
Hvilken programversion kørte på tidspunktet, og hvornår blev den lagt ind?
Er der sket ændringer i parametre eller sikkerhedsfunktioner, og fra hvilken kilde?
Har der været fjernadgang i perioden, og hvad skete der under den?
Er systemernes ure synkroniseret, og hvor stor er en eventuel afvigelse?

Om skønsmanden skal have adgang til anlægget, og på hvilke vilkår, bør afklares tidligt. → Skønsmandens adgang til systemer