Dlaczego identyfikowalność na poziomie pojedynczego egzemplarza stała się standardem
Produkty łączone z siecią objęte CRA, CSDDD oraz wymaganiami bezpieczeństwa stawianymi przez klientów wymagają identyfikowalności każdej jednostki z osobna. Nabywca chce wiedzieć, jakie firmware trafiło na dany numer seryjny, z jakiej partii pochodzą komponenty, który operator złożył płytkę i jaki wynik testu jednostka otrzymała przy odbiorze.
Producenci samych płytek bez identyfikowalności jednostkowej albo dorabiają ją na siłę (często źle), albo tracą kontrakty na rzecz producentów, którzy mają ją wbudowaną w proces.
Kodowanie GS1 DataMatrix
GS1 DataMatrix to standardowy kod kreskowy 2D w identyfikowalności przemysłowej. Jeden symbol może zakodować:
- Global Trade Item Number (GTIN)
- numer seryjny,
- numer partii lub serii,
- datę produkcji,
- identyfikatory specyficzne dla aplikacji.
DataMatrix jest bardziej zwarty niż QR przy tej samej gęstości danych i daje się niezawodnie odczytać przy mniejszych rozmiarach nadruku. Etykiety poliimidowe wytrzymują reflow i powlekanie konforemne; etykiety poliestrowe są standardem dla wyrobu gotowego.
Pola bazy identyfikowalności
Działająca produkcyjna baza identyfikowalności przechowuje dla każdej jednostki:
- numer seryjny,
- MAC, UID lub inny identyfikator,
- partię i lot płytki,
- numery partii komponentów dla krytycznych części,
- identyfikatory operatora i programu maszyny,
- wersję firmware i jego hash,
- znacznik czasu provisioningu i odcisk certyfikatu,
- wektor wyników testu funkcjonalnego,
- znacznik czasu końcowego QC,
- partię i datę wysyłki.
Każde pole jest zapisywane raz, indeksowane numerem seryjnym i dostępne do zapytań.
Gotowość audytowa
Gotowość audytowa oznacza, że gdy organ regulacyjny lub klient pyta „jakie firmware trafiło na numer seryjny XXX, jaki klucz je podpisał, jaki był wynik testu i jakie partie komponentów były na płytce”, odpowiedź padnie w minutach, a nie w tygodniach.
W praktyce wymaga to:
- zapisu z każdego etapu linii do bazy,
- indeksów po numerze seryjnym, MAC i partii,
- polityki kopii zapasowych i retencji zgodnej z wymaganiami regulacyjnymi (typowo od 5 do 10 lat dla połączonych produktów przemysłowych),
- API odczytu lub narzędzia eksportu dla zapytań ad hoc.
Typowe pułapki
- Dane identyfikowalności prowadzone w arkuszach, ginące między partiami.
- Wiele baz na poszczególnych etapach, nigdy ze sobą nieuzgadnianych.
- Dane o partiach komponentów rejestrowane przy zakupie, nigdy niewiązane z identyfikowalnością płytki.
- Wyniki testów zapisywane tylko jako pass/fail, bez szczegółów wektorowych.
Wszystkie te podejścia oblewają pierwszy audyt, z którym się zetkną.
Źródła
- specyfikacja GS1 DataMatrix,
- ISO/IEC 15415 (jakość druku kodów 2D),
- wytyczne IPC dotyczące identyfikowalności,
- Parlament Europejski, Cyber Resilience Act.