Actualmente, los sistemas e instrumentos de medición están compuestos por elementos mecánicos, electrónicos y de programación, arreglo que permite obtener mediciones más exactas. Sin embargo, cuando deliberadamente se sustituye o manipula el programa de instrucciones que determinan el monto a pagar en función de la cantidad del bien o servicio despachado u otorgado; es decir el software que controla el funcionamiento de los instrumentos de medición (en adelante el software legalmente relevante), su alteración logra que el dispositivo controlador o computador de los instrumentos ejecute instrucciones diferentes para que despache o muestre una cantidad que no corresponda al monto real. Así, a través de un software alterado, o de interfaces de comunicación carentes de protocolos de control, se puede acceder al modo de configuración de los instrumentos y realizar ajustes metrológicos sin dejar evidencia física de esos cambios, ya que es innecesario abrir el instrumento de medición. En consecuencia, el anteproyecto que se presenta es de carácter “preventivo”, pues tiene el propósito de garantizar, en todo momento y no sólo durante la verificación, la integridad del software y hardware legalmente relevantes, así como las interfaces de comunicación en los instrumentos utilizados en transacciones comerciales, conforme a lo dispuesto por los artículos 15 y 40, fracción IV, de la LFMN. Esto es, la permanencia de los parámetros de configuración relacionados con las características metrológicas (en adelante los parámetros legalmente relevantes) declarados por el fabricante del instrumento de medición y aprobada por la autoridad. Se aclara que los elementos adicionales dispuestos en los instrumentos de medición para fines de protección forman parte del hardware legalmente relevante. Por tal motivo, las disposiciones de esta NOM de producto (software), aplicable a los sistemas de medición y despacho de gasolina y otros combustibles líquidos (en adelante indistintamente referidos como dispensarios o instrumentos), harán exigibles a los fabricantes por el uso de tecnologías de información (TI): 1) que el software y hardware legalmente relevantes cuenten con sellos mecánicos, electrónicos o criptográficos para evitar su violación; 2) que la bitácora de eventos cuente con un sellado mecánico o electrónico que impida la alteración y eliminación de los registros sobre los accesos –presenciales o remotos– al software legalmente relevante; 3) que los parámetros legalmente relevantes del dispensario coincidan con los declarados por el fabricante y los encontrados en el software legalmente relevante que se busca certificar; 4) que se cuente con los registros de las actualizaciones del software legalmente relevante y el cambio de parámetros legalmente relevantes; 5) que los parámetros legalmente relevantes sólo puedan ser accedidos mediante códigos autorizados y controlados; y 6) que las interfaces de comunicación garanticen la integridad y autenticidad de la información que se transmite o almacena para evitar su pérdida o corrupción; todo ello con el fin de impedir la posibilidad de alteraciones a las características metrológicas o los datos de las mediciones de los dispensarios, a partir del software que los opera, para que en todo momento operen de forma segura y confiable (y no solamente cuando el instrumento ha sido verificado).

Las normas oficiales mexicanas metrológicas establecen las características y/o especificaciones de los instrumentos de medición; es decir, los errores máximos tolerados, las clases de exactitud e incluso los materiales adecuados para su manufactura, así como los métodos de prueba de tales características para garantizar que los instrumentos son adecuados para su uso en transacciones comerciales. Sin embargo, lo anterior no considera que la mayoría de los instrumentos actuales posen variados y complejos principios de operación y comunicación, que por virtud de la electrónica y las TI están contenidos en programas informáticos; respecto de los cuales resulta necesario conocer su actuación, dado que definen transacciones comerciales con base a cantidad. En efecto, la creciente complejidad de las interconexiones de los instrumentos de medición y los sistemas, a propósito de las TI, exigen un control más detallado de la metrología legal. Es el caso que los sistemas de información actuales operan múltiples instrumentos de medición en red, gracias a un mismo software, como sucede con los dispensarios de una estación de servicio. Por consiguiente, el control de toda la red o de instrumentos específicos ya es factible a través de las TI; es decir el software y su interfaz de comunicación. En consecuencia el software no debe ser una “caja negra” para la autoridad, por lo que la NOM de producto (software) establecerá que el fabricante declare cuáles son los datos, parámetros y funciones relevantes (aquellas relacionadas con las características metrológicas), a propósito de identificarlas y validarlas previo al uso del dispensario, y con ello se garantice la correcta operación del instrumento en las transacciones comerciales. Como puede apreciarse, asegurar la integridad y confiabilidad de las operaciones de medición, además de requerir un registro sobre el estado que guardan los dispensarios, demanda proteger los resultados de las mediciones, a propósito de que el software que opera los dispensarios puede provocar la alteración en los resultados, tanto de un instrumento en particular, como de aquellos que estén en red (y por lo tanto sus resultados tendrán un efecto multiplicador adverso). El control, a través de una NOM de producto (software), del acceso, operación y autenticación del código fuente o de programación del software y su interfaz de comunicación, atenderá el riesgo descrito.

Norma Oficial Mexicana

La naturaleza obligatoria de una NOM permitirá establecer un esquema preventivo que asegure la legalidad y confiabilidad en las transacciones realizadas con base a cantidad, al prohibir la sustitución o alteración injustificada de la configuración legalmente relevante declarada por el fabricante del dispensario y reconocida por la autoridad para no comprometer la correcta ejecución de las operaciones de medición. Al obligar a la equidad en las transacciones, además de proteger el poder de compra, se logrará que las decisiones de compra se realicen con mayor certeza.

El fundamento internacionalmente acordado para el establecimiento de las legislaciones nacionales; es decir, las regulaciones técnicas en materia de metrología legal (mediciones que definen transacciones), son las directivas y normas que promulguen los Estados Miembros de la Organización Internacional de Metrología Legal (OIML), con el propósito de asegurar un nivel adecuado de credibilidad de los resultados de medición. La OIML, de la cual México es miembro, es una organización mundial e intergubernamental que busca armonizar las reglamentaciones y los controles metrológicos que aplican los autoridades nacionales u otras organizaciones análogas a fin de que las mediciones favorezcan el intercambio comercial por su confiabilidad y uniformidad, independientemente del lugar y los medios en donde éstas se realicen. Así, para minimizar los riesgos inherentes a las operaciones de medición, incluso aun a través de programas informáticos que ahora gobiernan la operación de los instrumentos de medición, la OIML ha establecido el lineamiento internacional OIML D 31:2008, Requisitos generales para los instrumentos de medida controlados por software, el cual señala y describe los requisitos generales aplicables a las funciones (comandos de ejecución) del software de los instrumentos de medición y la guía para verificar su cumplimiento. Este lineamiento es aplicable a todo tipo de instrumento o sistema de medición controlado por software. Por otra parte, en lo que referente a las regulaciones de los principales socios comerciales de México, como son la Unión Europea (UE) y los Estados Unidos de América (EE.UU), destaca la Directiva Europea 2004/22/CE del Parlamento Europeo y Consejo, relativa a los instrumentos de medición (emitida el 31 de marzo de 2004) por la que se establece que para enfrentar la corrupción accidental o intencionada, los instrumentos de medición, datos de la medición, programas informáticos aplicables a las mediciones, los parámetros de importancia metrológica almacenados o transmitidos deberán contar con la protección adecuada; incluso, la Directiva establece la entrega de la documentación del software general (p.e. manuales de usuario), donde explique sus características y funcionamiento. Para hacer cumplir la Directiva, los Estados Miembros de la UE, cuentan con el Organismo de Cooperación Europea en Metrología Legal (WELMEC), que ha emitido la Guía de software para instrumentos de medición WELMEC 7.2, como orientación para la aplicar la Directiva referida, especialmente para los instrumentos de medición operados por software. En específico, la guía WELMEC 7.2 establece los requisitos y métodos de verificación de instrumentos operados por software, ya sea mediante un control electrónico particular (tipo P) como por computador universal (tipo U). Es de destacar que los requisitos de la WELMEC 7.2 son concordantes con los señalados en el lineamiento internacional OIML D 31 (ver archivos electrónicos en la sección de Anexos.). En lo que respecta a la regulación de los EE.UU., el NIST Handbook 44, Specifications, Tolerances, and Other Technical Requirements for Weighing and Measuring Devices, establece la identificación de la versión del software, así como la configuración y el control de los parámetros del instrumento de medición a través del software, además del registros de los eventos (audit trail) en los instrumentos de medición. Por consiguiente, la propuesta de NOM de producto (software), recoge los requisitos y especificaciones del lineamiento internacional OIML D 3

Ninguno, porque: 1) el anteproyecto es de carácter preventivo (garantiza la integridad de los dispensarios) y no reactivo (la sanción por la falta de producto o el cobro adicional queda establecida en otros instrumentos jurídicos). Es de destacar que el esquema legal de venta de gasolinas y diesel sólo es posible a través de las franquicias de Petróleos Mexicanos, que además de sujetarse a un mismo modelo de negocio –condiciones específicas de operación– están obligadas a observar los precios de venta autorizados. Finalmente, se reitera que la NOM de producto (software) se limita a prevenir la manipulación o sustitución –presencial o remota– del software que opera los dispensarios, a fin de mantener la integridad y veracidad de sus transacciones, conforme a lo dispuesto por el artículo 40, fracción IV, de la LFMN. No es objeto de la NOM de producto (software) convertirse en un mecanismo de mercado. En todo caso, la competencia entre estaciones de servicio se verá beneficiada por elementos de control y prevención que favorezcan la equidad en las transacciones de combustible en todo punto de venta.

La NOM de producto (software) protegerá el poder de compra del consumidor final, al garantizar la equidad en las transacciones de combustible. Por otra parte, y para el caso específico de la enajenación de combustibles, donde existen precios de venta autorizados y Petróleos Mexicanos es el responsable del abasto, la propuesta de NOM no afectará su precio y disponibilidad. En consecuencia, no será necesario que las estaciones de servicio demanden la amortización, vía precio del combustible, de los costos derivados de la sustitución del software, pues estos serán cubiertos por el cambio de las versiones de software que no permitan integrar los aditamentos de confiabilidad. En otras palabras, para que se realice un único cambio de software y por tanto exista un solo costo de sustitución para las estaciones de servicio, la entrada en vigor de la NOM de producto (software) será simultánea con el PROY-NOM-005-SCFI-2011, "Instrumentos de medición- Sistemas para medición y despacho de gasolina y otros combustibles líquidos-Especificaciones, métodos de prueba y de verificación".

No, pues los ocho fabricantes de dispensarios de combustible – la mitad de ellos mexicanos – son por lo menos empresas medianas por su volumen de ventas y número de empleados. Independientemente de ello, para que las versiones de software que operan sus dispensarios permitan la disponibilidad del código fuente o ejecutable para fines de certificación del software, únicamente precisa agregar el comando respectivo al propio código, así como la solicitud de una clave de acceso que permita su lectura controlada a través de un puerto de comunicación del propio dispensario. En otras palabras, no se requiere modificar la configuración física del dispensario o cualquier otro dispositivo o componente mecánico o electrónico. Por lo tanto, la emisión de la NOM no generará ni incrementará los costos de producción o distorsionará la estructura productiva de este tipo de instrumentos de medición, puesto que sólo se establecen disposiciones para certificar el software y no para modificar la fabricación del dispensario, tal y como constatan las especificaciones referidas en la sección 9 de esta MIR. Más aún, la elaboración del software conforme a las especificaciones de la NOM de producto, no requerirá de nuevas inversiones, ya que periódicamente los fabricantes de dispensarios actualizan sus versiones de software con el fin de mantener el estado del arte de las mismas (p.e. ampliar sus aplicaciones para robustecer el desempeño de los instrumentos de medición). Por ello, los costos de certificación del software tendrán que ser absorbidos únicamente por los fabricantes de dispensarios. Finalmente, con la certificación del software legalmente relevante, será posible que empresas dedicadas exclusivamente al desarrollo de software, coloquen sus programas en cualquier dispensario; ya que el fabricante del instrumento de medición estará cierto que un software certificado no vulnerará la integridad y correcta operación de su instrumento, y por tanto tendrá la opción de adquirir el software en lugar de desarrollarlo por sí mismo, a propósito de que su ámbito de negocios son las mediciones y no necesariamente al desarrollo de software.

El beneficio total de la regulación, ha sido estimado en 378,855,219,200 pesos. En tanto que el costo total de la misma ascendería a 410,749,544.86 pesos. Así, la certificación del software legalmente relevante en los dispensarios de combustible evitará, como acción preventiva, la manipulación de los parámetros de configuración relacionados con sus características metrológicas, a fin de brindar total certeza al consumidor respecto el combustible pagado y entregado en cualquier momento y no solamente durante la verificación llevada a cabo por la PROFECO. Independientemente de lo anterior, se reitera que los costos derivados de la sustitución del software serán amortizados por el cambio de las versiones de software que no permitan integrar los aditamentos de confiabilidad. En otras palabras, para que se realice un único cambio de software y por tanto exista un solo costo de sustitución para las estaciones de servicio, la entrada en vigor de la NOM de producto (software) será simultánea con el PROY-NOM-005-SCFI-2011, "Instrumentos de medición- Sistemas para medición y despacho de gasolina y otros combustibles líquidos-Especificaciones, métodos de prueba y de verificación". (Ver archivo "Análisis costo beneficio NOM 185 SOFTWARE.xlsx").

No se necesitan recursos adicionales, pues tanto el CENAM dispone de la capacidad material y técnica para realizar las pruebas de laboratorio al software legalmente relevante, como la DGN para emitir el certificado correspondiente.

La Procuraduría Federal del Consumidor (en adelante la PROFECO), realiza permanentemente actividades programadas de vigilancia para detectar y sancionar prácticas abusivas en perjuicio del consumidor en el despacho de combustibles. Por otra parte, la verificación electrónica de los dispensarios sólo está a cargo de la PROFECO como resultado de la especialización y capacidad técnica que posee; aunado al hecho de que sólo los dispensarios tienen establecido en norma este tipo de verificación. Por lo tanto, en lo que respecta al software, la PROFECO se circunscribe a autenticar el mismo por reducción criptográfica; es decir a comprobar que el software corresponde al instalado por el fabricante, lo que seguirá realizando a propósito de la NOM de producto (software); ya que la lectura del código fuente o de programación solo será realizada por el CENAM en laboratorio o en planta. Las visitas de verificación y vigilancia se realizan conforme a lo establecido por la Regla Décimo Segunda de la Lista de instrumentos de medición cuya verificación inicial, periódica o extraordinaria es obligatoria, así como las reglas para efectuarla (publicada el 21 octubre de 2002 en el Diario Oficial de la Federación), cuyo proceso se presenta de forma resumida: Cuando la PROFECO detecta que el dispensario no cumple con las condiciones de funcionamiento establecidas en norma; esto es con la versión de software declarada por el fabricante y reconocida por la autoridad, adhiere, en lugar visible del dispensario, sellos con la leyenda “INSTRUMENTO DE MEDICION NO APTO PARA TRANSACCIONES COMERCIALES”; de tal manera que no sea posible su utilización a partir de su inmovilización precautoria. Asimismo, se indica al propietario del dispensario que deberá proceder a cargar la versión de software que corresponda al modelo del dispensario, bajo la presencia de la autoridad, para que proceda el retiro de sellos y cese la inmovilización precautoria. Es de destacar que la PROFECO ha incrementado paulatinamente el número de brigadas y consecuentemente el número de visitas de vigilancia. Finalmente, el incumplimiento de lo dispuesto por el anteproyecto será sancionado en términos de la LFMN, la LFPC y demás disposiciones aplicables, donde ya está previsto el esquema de sanciones.

En el laboratorio del CENAM o en la planta del fabricante del instrumento de medición, a través de los informes de pruebas, donde se constate la inclusión de los aditamentos de confiabilidad en todo modelo de dispensario; y en campo a través del Programa Nacional de Verificación de Combustibles Líquidos de la PROFECO.

El CENAM realizó una propuesta general sobre las especificaciones y los métodos de prueba que se deben aplicar Al software con que operan los dispensarios, para impedir su modificación y garantizar la funcionalidad de los mismos. Dicha propuesta está basada en las guías que a nivel internacional se han emitido para la validación de software (Directiva 2004/22/EC relativa a Instrumentos de Medida por WELMEC 7.2, Edición 4, y la guía Requisitos generales para los instrumentos de medida OIML D 31 Edición 2008) con el fin de armonizar la actividad de los servicios de metrología. Lo anterior, en observancia de las buenas prácticas de ingeniería de software, en el contexto de las recomendaciones de las dos guías internacionales. Cabe precisar que la propuesta del CENAM ha eliminado los niveles de riesgo de fraude previstos en la guía internacional de WELMEC, estableciendo especificaciones que atienden el nivel de riesgo más alto. Ello toda vez que la intervención fraudulenta de los dispensarios se puede lograr a partir del software que los opera, además de que el software es la parte más difícil de controlar por su naturaleza intangible. La PROFECO propuso las especificaciones y el método de prueba concernientes a la autenticación del código fuente o de programación. Esto implica que el fabricante debe proporcionar un circuito integrado con el código ejecutable del software legalmente relevante, siendo de la misma marca y modelo al que se encuentra instalado en el dispensario (sistema de medición tipo P). Este requisito tiene el propósito de obtener, directamente del circuito integrado, el código fuente o de programación y con ello realizar el cálculo de la suma de comprobación binaria mediante métodos criptográficos, y comparando dicha suma con la reconocida por el fabricante se logra la autenticación del software a partir de su código fuente; lo que significa un mayor nivel de confianza que autentica el software a partir de su descarga por el puerto serial del dispensario.