Když se mluví o zabezpečení firemní sítě s roboty Unitree, výchozím bodem je architektura dokumentovaná výrobcem, ne oddělení, ve kterém bude robot chodit. G1 ani Go2 není izolovaný spotřebič: má operační systém, účet, kanál pro aktualizace a u G1 EDU také SSH přístup pro vývoj. Úkolem správce IT je rozhodnout, které z těchto kanálů nechat otevřené, v jakém segmentu a s jakými přihlašovacími údaji.
Obecné informace, nikoli právní poradenství ani poradenství v oblasti kybernetické bezpečnosti. Konfigurace je třeba přizpůsobit síti, smlouvě a verzi robota; pro konkrétní případ je potřeba dodavatel a případně specializovaný konzultant.
Zabezpečení firemní sítě: tři vrstvy, které je třeba oddělit
První vrstvou je síť: kdo může komunikovat s robotem a se kterými cíli. Druhou je koncové zařízení: přihlašovací údaje, vystavené služby, Bluetooth, porty USB a účty. Třetí jsou data: video, zvuk, mapy, telemetrie a zálohy. Kdo zasáhne jen do jedné ze tří vrstev, nechá zbylé dvě nechráněné.
Užitečná otázka zní, které kanály skutečně potřebujete. Go2 ovládaný dálkovým ovladačem nepotřebuje vzdálenou teleoperaci; G1 EDU pro ROS 2 potřebuje přístup k síti robota a SSH, ne nutně aplikaci přes internet.
Jaké aplikace a cloudové služby robot Unitree používá
Dokumentace pro vývojáře popisuje architekturu společnou pro Go2 a G1. Robot se ke cloudovým službám připojuje pouze po autorizaci uživatelem. Cloud slouží ke třem věcem: telemetrie a diagnostika, systémové aktualizace a teleoperace přes WebRTC. Uvedené kanály jsou MQTT pro IoT komunikaci a aktualizace, HTTP pro účet a spárování, TURN/STUN pro směrování videa, když přímé spojení nefunguje. Bluetooth LE slouží ke konfiguraci sítě a k bezpečnostnímu ověření; uvnitř robota komunikace mezi moduly probíhá přes DDS.
| Kanál | K čemu slouží | Doporučení pro IT |
|---|---|---|
| Ethernet a DDS | Lokální řízení a vývoj, ROS 2 témata | Samostatná síť robota bez směrování k uživatelské síti |
| Wi-Fi v režimu infrastruktury | Aplikace, telemetrie a cloudové služby | Vyhrazené SSID a VLAN pro roboty |
| Wi-Fi v režimu AP | Počáteční konfigurace: robot vytvoří hotspot | Jen při onboardingu, v kontrolované zóně |
| Bluetooth LE | Konfigurace sítě a bezpečnostní ověření | Omezený fyzický přístup, zaznamenaný onboarding |
| MQTT a HTTP do cloudu | OTA, diagnostika, účet a spárování | Odchozí provoz povolit jen když je potřeba, s logy |
| WebRTC, TURN a STUN | Video a příkazy na dálku | Zablokovat, pokud teleoperaci nepoužíváte |
Lokální síť: Ethernet, DDS a 192.168.123.x
Dva detaily mění návrh. První: vnitřní síť robota používá podsíť 192.168.123.x; vývojový počítač G1 odpovídá na 192.168.123.164, palubní počítač Go2 na 192.168.123.161. Nesmí být vystavena firemní síti. Druhý: u verzí Go2 Air a Pro nejsou rozhraní Ethernet a SBUS k dispozici; jsou vyhrazena pro EDU. Pokud projekt vyžaduje kabel, je třeba verzi zvolit před objednávkou, ne po ní.
Konfigurace izolované VLAN krok za krokem
Univerzální konfigurace pro každé pracoviště neexistuje, ale pořadí kroků je vždy stejné. Příklad s hypotetickými čísly: VLAN 210 pro roboty, podsíť 192.168.210.0/24, brána 192.168.210.1, adresy vyhrazené od .10 do .30; VLAN 200 pro správu s jump hostem.
- Oddělte provoz. Vytvořte vyhrazenou VLAN a SSID. Nepoužívejte znovu VLAN počítačů ani VLAN pro správu.
- Zablokujte laterální směrování. VLAN robotů nesmí dosáhnout uživatelské sítě. Jediný administrativní přístup vede přes jump host ve VLAN 200, s pojmenovanými pravidly a logy.
- Přidělte stabilní adresy. DHCP rezervace nebo statické IP pro každého robota, s MAC adresou a sériovým číslem v inventáři.
- Začněte se zamítnutím veškerého odchozího provozu. Otevřete jen cíle potřebné pro OTA, aplikace a teleoperaci, a jen v oknech, kdy je potřebujete.
- Nechte DDS uvnitř VLAN. Lokální komunikace mezi vývojovým počítačem a robotem používá DDS; multicast pro objevování nemá procházet routery ani firewally bez vyhrazené konfigurace. Pro první testy postupujte podle návodu ROS 2 na robotech Unitree.
- Nevystavujte podsíť 192.168.123.x. Pokud dodavatel žádá vzdálený přístup, naplánujte dočasnou a zaznamenanou relaci.
- Měřte, než zavřete. Nechte provoz několik dní protékat, zaznamenejte cíle a objemy, potom postavte pravidlo. Bez výchozího měření se seznam povolených cílů změní v seznam výjimek.
Co vypnout nebo omezit, pokud to nepotřebujete
| Prvek | Kdy je potřeba | Co dělat, když není potřeba |
|---|---|---|
| Wi-Fi hotspot robota | Počáteční konfigurace nebo prostředí bez Wi-Fi | Použijte Ethernet nebo infrastrukturní Wi-Fi; v produkci se AP vyhněte |
| Aplikace a cloudový účet | Spárování, OTA, teleoperace | Zablokujte odchozí provoz; zůstává lokální řízení a DDS |
| 4G modul s eSIM (integrovaná SIM) | Použití mimo areál nebo mobilita | Zvolte verzi bez modulu nebo omezte konektivitu u operátora |
| Bluetooth LE | Konfigurace a počáteční ověření | Není provozní kanál: onboarding soustřeďte do kontrolované zóny |
| SSH u verzí EDU | Vývoj a údržba | Změněné heslo, klíče, přístup jen z jump hostu |
| WebRTC a TURN | Vzdálená teleoperace | Zablokujte na výstupu, pokud robot pracuje jen v areálu |
| Porty USB a dokovací stanice | Aktualizace a vývoj | Kontrolovaný fyzický přístup a záznam zásahů |
Vývojářská dokumentace uvádí pro G1 EDU uživatele unitree a známé výchozí heslo; totéž platí pro dokovací stanici Go2. Jsou to laboratorní přihlašovací údaje: před připojením robota k síti je změňte, spolu s údaji k hotspotu. Se sdíleným účtem nelze přístup přiřadit konkrétní osobě.
Aplikace používá Bluetooth ke konfiguraci sítě a k ověření zabezpečení spojení. Užitečné opatření je fyzické: konfigurace ve vyhrazené zóně, firemní telefon a zaznamenaná operace. Poté zůstává přístup do zóny a k portům omezený.
Aktualizace: jak je zvládnout bez otevírání všeho
Unitree uvádí OTA přes cloud pro G1 a pro Go2; stránka Go2 upřesňuje, že se robot připojuje jen s autorizací uživatele, a architektura uvádí MQTT pro aktualizace. VLAN bez internetu OTA nedostane: je třeba s tím počítat už v návrhu před instalací.
Udržitelný postup ve firmě má šest kroků:
- Inventář verzí. Zapište firmware robota, verzi aplikace a případně verzi dokovací stanice nebo výpočetního modulu.
- Aktualizační okno. Otevřete výstup ke službám výrobce jen ve smluveném okně, jeden robot po druhém.
- Test na jednom kusu. Nejprve aktualizujte laboratorního robota, ověřte pohyb, senzory, síť a vaši aplikaci.
- Kontrola po aktualizaci. Zkontrolujte nainstalovanou verzi a zopakujte síťový test. Pokud aktualizace změní chování, zastavte se a otevřete ticket.
- Záznam. Uchovávejte verzi, datum, výsledek a jméno operátora.
- Plán B pro úplnou izolaci. Pokud síť nemá výstup, vyžádejte si od dodavatele offline postup a oficiální balíčky. Žádný firmware třetích stran.
U G1 najdete postup v aplikaci, kontroly před začátkem a chyby, kterým se vyhnout, v návodu k aktualizaci firmwaru G1. Obecně platí: nabitá baterie, stabilní síť, žádné přerušení a postup pro návrat k předchozí verzi dohodnutý s dodavatelem.
Data: video, zvuk a telemetrie
G1 má hloubkovou kameru, LiDAR, čtyři mikrofony a reproduktor; Go2 má kameru, LiDAR a u některých verzí hlas a interkom. Jsou to senzory užitečné pro aplikaci, ale zachycují i to, co je kolem robota. Pokud robot snímá nebo nahrává identifikovatelné osoby, spadá zpracování do působnosti GDPR a pokynů národních dozorových úřadů (v Česku ÚOOÚ, na Slovensku Úrad na ochranu osobných údajov). Konkrétní příklad takových pokynů nabízí FAQ italského úřadu Garante k videosurveillance: účel, minimalizace, informování, doba uchování a tam, kde jsou splněny podmínky, posouzení vlivu.
Unitree uvádí, že provozní data shromažďovaná v cloudu se netýkají soukromí a že provoz WebRTC server neshromažďuje ani neanalyzuje. Pro smlouvu jsou to užitečná prohlášení, nenahrazují však posouzení ze strany správce. Před teleoperací rozhodněte, kde končí nahrávky a kdo je může vidět.
U robota se zeptejte, zda je disk šifrovaný a jak se data mažou před výměnou nebo opravou. Pokud to není zdokumentované, chovejte se k němu jako k notebooku.
Cyber Resilience Act: fakta, která je třeba znát
Nařízení (EU) 2024/2847, Cyber Resilience Act, platí od 10. prosince 2024. Oznamovací povinnosti platí od 11. září 2026; hlavní povinnosti od 11. prosince 2027. Týká se produktů s digitálními prvky uváděných na trh EU, tedy i připojeného robota.
Podle přehledu Evropské komise musí výrobce zajistit bezpečnost již ve výchozím nastavení, spravovat zranitelnosti po dobu podpory, oznámit její konec, poskytnout návod k použití a umístit označení CE. Není to automatická povinnost kupujícího.
Pro kupujícího je CRA seznam otázek před objednávkou: konec podpory, kanál pro hlášení zranitelností, aktualizace, návod k bezpečné instalaci. Jsou to informace, které poskytuje výrobce a ověřuje dodavatel. Kdo prodává pod vlastní značkou, může převzít povinnosti výrobce.
CRA nenahrazuje nařízení o strojích (EU) 2023/1230: bezpečnost strojů zůstává upravena tímto nařízením. Návod k nařízení o strojích 2027 vysvětluje strojní část.
Kontrolní seznam před uvedením robota do provozu
- Vyhrazené VLAN a SSID bez směrování do uživatelské sítě.
- Stabilní adresy a inventář s MAC adresou, sériovým číslem a verzí firmwaru.
- Změněná hesla robota, hotspotu a účtů; žádný osobní účet.
- Internet na výstupu ve výchozím nastavení zavřený, otevřený jen pro OTA a teleoperaci.
- Písemný postup aktualizace s testem na jednom kusu a záznamem.
- Posouzení soukromí, pokud robot snímá nebo nahrává osoby.
- Smlouva s dobou podpory a kanálem pro hlášení zranitelností.
- Plán vyřazení: smazání dat, zrušení účtů, odstranění z VLAN.
Časté dotazy
Může být robot Unitree ve stejné VLAN jako firemní počítače?
Ne. Patří do vyhrazené VLAN bez směrování do uživatelské sítě; administrativní přístup vede přes jump host. Problém s robotem tak neohrozí zbytek sítě.
Které porty mám pro Unitree otevřít?
Neotvírejte vstupní porty. Robot sám navazuje odchozí spojení ke cloudovým službám pro OTA, aplikace a teleoperaci; povolte jen tyto cíle a jen když je potřebujete. Pro lokální použití stačí síť robota.
Mohu Unitree používat bez připojení ke cloudu?
Ano pro lokální řízení přes Ethernet a DDS, u verzí EDU. Přijdete o OTA a teleoperaci z aplikace; offline postup aktualizace je třeba vyžádat od dodavatele.
Jak aktualizuji firmware v izolované síti?
Pomocí aktualizační VLAN s odchozím přístupem jen po dobu okna, jeden robot po druhém a se záznamem verzí. Pokud je izolace úplná, potřebujete postup od dodavatele.
Týká se Cyber Resilience Act i firmy, která robota používá?
Hlavní povinnosti má výrobce. Kupující má žádat dobu podpory, kanál pro hlášení zranitelností a aktualizace. Kdo prodává pod vlastní značkou, může převzít povinnosti výrobce.
Zdroje
- Unitree, systémová architektura Go2 (cloud po autorizaci, MQTT, HTTP, WebRTC, BLE): support.unitree.com
- Unitree, systémová architektura G1 (cloud po autorizaci, MQTT, HTTP, TURN/STUN, BLE, DDS): support.unitree.com
- Unitree, oficiální stránka Go2 (Wi-Fi 6, Bluetooth, 4G modul, OTA přes cloud s autorizací): unitree.com/go2
- Unitree, oficiální stránka G1 (Wi-Fi 6, Bluetooth 5.2, OTA): unitree.com/g1
- Unitree, elektrická rozhraní a verze Go2 (Ethernet a SBUS jen u EDU): support.unitree.com
- Unitree, FAQ pro vývojáře G1 (výchozí uživatel a heslo, IP adresy PC1 a PC2): support.unitree.com
- Unitree, rychlý návod Go2 (síť 192.168.123.x a IP palubního počítače): support.unitree.com
- Unitree, dokovací stanice Go2 (výchozí uživatel a heslo): support.unitree.com
- Evropská komise, shrnutí Cyber Resilience Act: digital-strategy.ec.europa.eu
- Evropská komise, povinnosti výrobců podle CRA: digital-strategy.ec.europa.eu
- Nařízení (EU) 2024/2847 (Cyber Resilience Act), oficiální text: EUR-Lex
- Garante per la protezione dei dati personali (italský úřad pro ochranu osobních údajů), FAQ k videosurveillance: garanteprivacy.it