Оценката дали е налице съществена модификация много често започва с грешен въпрос.
- „Какво точно беше променено?“
- „Какво беше добавено?“
- „Това голямо преустройство ли е?“
От гледна точка на безопасността и съгласно Регламент (ЕС) 2023/1230 обаче това са второстепенни въпроси. Съществената модификация не започва тогава, когато някой променя много. Тя започва тогава, когато се променя безопасността.
Регламентът обхваща промените, въведени след въвеждането на машината в експлоатация или след пускането ѝ на пазара — както физически, така и цифрови. Ключово обаче не е дали промяната е била технически мащабна. Ключово е дали е била непредвидена от производителя, дали е повлияла на безопасността чрез създаване на нова опасна ситуация или увеличаване на съществуващия риск и дали е наложила прилагането на допълнителни защитни мерки (изискващи модификация на системата за управление, свързана с безопасността) или на действия за осигуряване на механична якост. Едва тогава говорим за съществена модификация.
На практика това означава едно много важно нещо:
не оценяваме това, което е добавено към машината.
Оценяваме това, което се е променило във взаимодействието човек–машина, във функцията на машината, в нейните ограничения и в последователността от събития, водещи до потенциално опасно събитие.
Това разграничение е ключово, защото много модификации изглеждат на пръв поглед безобидни. Допълнителна площадка. Ново предпазно ограждение. Промяна на параметрите на задвижването. Модификация на програмата за управление. Добавяне на устройство за аварийно спиране. Намерението обикновено е добро — „искаме да повишим безопасността“. Но много често самият факт, че е необходима такава защитна мярка, означава, че по-рано вече се е променила опасната ситуация.
Именно затова съществената модификация не е „техническо“ понятие, а понятие, свързано с безопасността и системния подход. Тя не се отнася до това колко е променено, а до това дали след промяната е трябвало наново да се „изгради безопасността“.
И това е моментът, в който се променя всичко — включително отговорността.
Най-честата грешка: оценяване на защитната мярка вместо оценяване на промяната
В практиката оценката на съществената модификация много често започва с описание на защитната мярка.
„Добавихме предпазно ограждение.“
„Добавихме устройство за аварийно спиране.“
„Инсталирахме светлинна завеса.“
Това е естествен начин на мислене, но от гледна точка на безопасността логиката е обърната.
Защитната мярка не е модификация. Тя е отговор на промяната.
Ако възникне необходимост от прилагане на нова защитна мярка, това означава, че по-рано се е променила опасната ситуация. Променил се е достъпът до опасната зона, променила се е функцията на машината, променили са се нейните ограничения или се е променило взаимодействието човек–машина. Самата защитна мярка е само последица от тази промяна.
Регламент (ЕС) 2023/1230 описва съществената модификация точно по този начин: не чрез списък от технически промени, а чрез тяхното въздействие върху безопасността. Ако промяната води до възникване на нова опасност или до увеличаване на съществуващия риск и изисква прилагането на допълнителни защитни мерки — налице е съществена модификация.
Затова въпросът „дали добавянето на предпазно ограждение е съществена модификация?“ е поставен неправилно.
Правилният въпрос е:
какво се е променило, за да стане това предпазно ограждение необходимо?
Едва отговорът на този въпрос позволява да се премине към правилната оценка — основана не на компонентите, а на промяната в структурата на безопасността на машината.
Казус от практиката: „добавям само устройство за аварийно спиране“
Един от най-честите сценарии изглежда съвсем безобиден.
Клиентът се обръща с въпрос:
„Това съществена модификация ли е? Ние само добавяме устройство за аварийно спиране в средата на линията, за да обезопасим допълнително машината.“
На този етап описанието се отнася единствено до защитната мярка. То не казва нищо за самата промяна.
Следващият въпрос е ключов: какво се е променило, за да стане тази защитна мярка необходима?
В този конкретен случай се оказа, че в опасната зона е бил въведен оператор. Следователно взаимодействието човек–машина се е променило и е възникнала нова опасна ситуация, която преди не е съществувала.
Следователно устройството за аварийно спиране не е било „допълнителна защита“. То е било реакция на промяна, която е повлияла на безопасността.
И именно този момент е ключов от гледна точка на Регламент (ЕС) 2023/1230. Не анализираме самия факт на добавянето на устройството. Анализираме промяната, която не е била предвидена от производителя, която е въвела нова опасна ситуация или е увеличила съществуващия риск и е породила необходимост от прилагане на допълнителни защитни мерки. Именно в такава логика регламентът дефинира съществената модификация.
Тук обаче трябва много ясно да се разграничат две неща. Устройството за аварийно спиране изпълнява функция за аварийно спиране, тоест функция с реактивен характер. То трябва да позволява овладяването на налична или непосредствено заплашваща опасност. Регламентът изисква машината да бъде оборудвана с едно или повече устройства за аварийно спиране именно за да може да се избегне действителна или заплашваща опасност, но същевременно изрично посочва, че тези устройства трябва да представляват подкрепа за други защитни мерки, а не техен заместител.
Това означава, че самото добавяне на бутон за аварийно спиране в много случаи не решава проблема с безопасността. От оценката на риска, извършена съгласно логиката на ISO 12100, може да следва, че освен функцията за аварийно спиране е необходима и превантивна функция за безопасност, реализирана от система, свързана с безопасността. С други думи: не е достатъчна мярка, която позволява процесът да бъде спрян, когато опасността вече се е проявила. Често е нужна мярка, която няма да допусне възникването на опасна ситуация или ще ограничи възможността човек да влезе в контакт с източника на опасност. Този извод е в съответствие с европейския принцип за намаляване на риска: първо проектиране, безопасно по самото си естество, след това защитни мерки, и едва след това информиране за остатъчния риск.
На практика това може да означава необходимост от реализиране на допълнителна функция за безопасност, например спиране при отваряне на предпазител с блокировка, спиране при нарушаване на полето на оптоелектронна светлинна завеса, ограничаване на параметрите на движение в определен режим на работа или друга функция, свързана с безопасността, която действа превантивно, а не само реактивно.
И именно това още по-ясно показва къде е същността на проблема. Проблемът не беше липсата на бутон. Проблемът беше промяната в начина на използване на машината и в отношението човек–машина, която наруши първоначалната структура на безопасността. Бутонът за аварийно спиране беше само една от видимите последици от тази промяна.
Привидно безобидни физически промени
На практика много съществени модификации започват с промени, които от техническа гледна точка изглеждат рационални и дори „в полза на безопасността“. Допълнителен достъп, по-добра ергономия, улеснено обслужване, подобрена производителност. Намерението е добро.
Проблемът е в това, че всяка такава промяна влияе върху начина на използване на машината, нейните ограничения и върху отношението човек–машина. А именно тези елементи определят опасните ситуации.
Ако промяната води до възникване на нова опасна ситуация или до увеличаване на съществуващия риск и изисква прилагане на нови защитни мерки — навлизаме в областта на съществената модификация.
Площадка към опасната зона
Добавянето на площадка много често се разглежда като чисто експлоатационна промяна. Целта ѝ е да улесни достъпа, да подобри ергономията и да съкрати времето за обслужване.
В действителност такава промяна може напълно да промени условията за безопасност.
Площадката може да:
- да осигури достъп на човек до опасна зона, до която преди това не е имало достъп,
- да промени начина на извършване на операциите по обслужване,
- да съкрати разстоянието до подвижни части или други източници на опасност,
- да промени видимостта и контрола върху процеса.
Това означава, че опасната ситуация се променя. Човекът се появява там, където преди не е бил, или се появява по-близо до източника на опасност.
В такъв случай много често става необходимо прилагането на превантивни защитни мерки, например:
- предпазител с блокировка и функция за заключване,
- защитно устройство, напр. оптоелектронна светлинна завеса,
- функция за безопасност, която ограничава движението на машината в определен режим на работа.
И именно този момент е решаващ.
Не анализираме факта, че „е добавена площадка“.
Анализираме това, че промяната на достъпа до опасната зона е наложила нови защитни мерки, реализирани от система, свързана с безопасността.
Това пряко съответства на определението за съществена модификация: появява се нова опасна ситуация, а овладяването ѝ изисква прилагане на допълнителни защитни мерки.
„Невинен“ предпазител, който създава нов риск
Друг често срещан сценарий е добавянето на предпазител.
На пръв поглед това е еднозначно правилно действие — предпазителите са основна защитна мярка. Проблемът възниква тогава, когато предпазителят е проектиран като допълнение към съществуваща машина, без пълна оценка на въздействието на тази промяна.
Такъв предпазител може:
- да промени начина на достъп до опасната зона,
- да наложи нови операции (напр. по-често отваряне),
- да влоши ергономията и да увеличи експозицията на оператора,
- да ограничи видимостта на процеса,
- да въведе допълнителни натоварвания върху конструкцията.
Регламентът ясно посочва, че предпазителите не могат сами по себе си да създават допълнителна опасност. Ако следователно прилагането им поражда нови опасни ситуации или изисква реализиране на допълнителни функции за безопасност (напр. заключване, мониторинг на положението), това вече не е „просто допълнение“.
Това е промяна, която влияе върху безопасността и може да покрива предпоставките за съществена модификация.
Промяна на задвижването или на параметрите на задвижването
Още по-коварни са промените, които не влияят пряко върху достъпа на човека, но променят условията на работа на машината.
Типичен пример: подмяна на задвижването или промяна на неговите параметри — по-голям въртящ момент, други рампи на ускорение, променени граници на претоварване.
От техническа гледна точка машината продължава „да работи по същия начин“.
От гледна точка на безопасността тя може да работи съвсем различно.
Ако по-рано системата спираше при претоварване (напр. поради токова защита), а след смяната на задвижването може да продължи да генерира сила, развитието на потенциалното опасно събитие се променя.
В случая на конвейер това може да означава, че вместо спиране се появяват деформация на конструкцията, загуба на устойчивост или повреда на носещите елементи.
Това е точно ситуацията, за която говори определението за съществена модификация: промяната налага прилагането на допълнителни защитни мерки, свързани с устойчивостта или механичната якост.
На практика това може да означава необходимост от:
- въвеждане на нови функции за безопасност, ограничаващи въртящия момент или силата,
- промяна на логиката за спиране,
- верификация на якостта на конструкцията,
- или преустройство на механичната част.
И отново — проблемът не е „новият двигател“.
Проблемът е промяната в условията на работа, която влияе върху безопасността.
Привидно безобидни цифрови промени (софтуер)
Много организации все още възприемат съществената модификация главно през призмата на механичните промени: предпазни ограждения, конструкция, задвижвания или достъп до опасната зона.
Междувременно Регламент (ЕС) 2023/1230 изрично обхваща и промените, въведени с цифрови средства.
Това означава, че модификация на програмата за управление, на работните параметри, на логиката на функциите за безопасност или интеграция с друга система може да доведе до съществена модификация точно по същия начин, както физическата промяна.
Проблемът е, че софтуерните промени много често се третират като „невидими“ и поради това се подценяват.
Конструкцията на машината не се променя.
Не се появява нов механичен елемент.
„Машината прави същото.“
От гледна точка на безопасността това може да не е вярно.
Промяна на логиката на управление, на параметрите или на начина на взаимодействие с машината може:
- да промени развитието на опасното събитие,
- да съкрати времето за реакция, с което операторът разполага,
- да промени условията на работа в ръчни и сервизни режими,
- да въведе нови опасни ситуации,
- или да отслаби ефективността на съществуващите защитни мерки.
И точно тук започва съществената модификация.
Промяна на логиката за рестартиране и повторно пускане
Една от най-честите и най-подценявани промени засяга логиката за рестартиране.
Промяната може да изглежда малка:
автоматично възобновяване на работата след затваряне на предпазното ограждение, след възстановяване на захранването, след възстановяване на комуникацията.
От функционална гледна точка — удобство.
От гледна точка на безопасността — потенциално критична промяна.
Регламентът изисква машината да не се пуска по неочакван начин и възстановяването на захранването или комуникацията да не води до опасна ситуация.
Ако промяната на логиката води до това, че операторът губи контрол върху момента на пускане на машината, тогава опасната ситуация се променя — дори ако механично нищо не се е променило.
Промяна на работните параметри
Следващият класически случай е промяна на параметрите:
- скорост,
- въртящ момент,
- ускорение,
- обхват на движение,
- време за реакция на системите.
Такива промени често се въвеждат с цел оптимизация на процеса.
Проблемът е, че те променят динамиката на машината, а с това и:
- времето, налично за реакция,
- ефективността на съществуващите защитни мерки,
- както и потенциалните последици от опасното събитие.
От гледна точка на оценката на риска това не е „настройка на параметри“.
Това е промяна в условията на работа на машината.
Интеграция с външни системи и достъп до мрежата
Един от най-подценяваните случаи е интеграцията на машина или на цяла линия с външни системи, напр. ERP, MES, системи за отчетност, аналитични системи или междинни слоеве от типа middleware.
От техническа гледна точка такава промяна често изглежда безобидно.
„Нали само свързваме линията към ERP.“
„Това е само обмен на данни.“
„Машината продължава да прави същото.“
От гледна точка на безопасността такъв извод може да е погрешен.
В момента на свързване на машината към мрежата нейната работна среда се променя. Появява се нов комуникационен слой, както и нови източници на сигнали, нови точки за достъп и потенциално нови възможности за намеса в начина на работа на машината.
Ако производителят не е предвидил такава архитектура — по-специално:
- междинни слоеве (middleware),
- начина на валидиране на данните,
- управлението на достъпа,
- целостта на софтуера,
- както и влиянието на външните системи върху логиката на управление,
машината може да започне да се държи по различен начин, отколкото е било първоначално предвидено.
На практика това може да означава, че:
- работните параметри се променят от висшестоящата система,
- появяват се команди или данни, които производителят не е предвидил,
- междинният слой влияе върху логиката на работа на машината,
- настъпва промяна на кода или конфигурацията,
- а в крайния случай машината започва да реагира по начин, за който защитните мерки не са били проектирани.
И тук възниква ключовият проблем.
Защитните мерки, включително функциите за безопасност, реализирани от система, свързана с безопасността, се проектират за определено поведение на машината, в рамките на определени ограничения на машината и за определени работни сценарии.
Ако това поведение се променя, променя се и ефективността на тези мерки.
Това означава, че:
- допусканията, приети в оценката на риска, може да престанат да бъдат валидни,
- потенциалното опасно събитие може да протече различно от първоначално предвиденото,
- а функциите за безопасност може да не съответстват на действителните работни условия.
И именно тук може да се появи съществена модификация.
Не защото „свързахме ERP”.
А защото променихме начина на работа на машината в област, която влияе върху безопасността.
Промяна на софтуера или конфигурацията на функциите за безопасност
Най-прекият случай се отнася до промени в системите, свързани с безопасността.
Промяна на програмата на safety PLC, конфигурацията на функциите за безопасност, логиката на блокировките, нулиранията или условията за разрешаване на движение — това не са „ИТ“ промени.
Това са промени в начина на реализиране на функциите за безопасност.
Ако такава промяна:
- влияе върху ефективността на функцията за безопасност,
- променя поведението ѝ,
- или изисква нейното преработване,
тогава пряко навлизаме в областта на съществената модификация.
Струва си да се помни, че регламентът се отнася и до целостта на софтуера и влиянието му върху безопасността. Това означава, че цифровите промени не са „по-малко съществени” от механичните — те просто са по-малко видими.
Защо не може честно да се каже: „това със сигурност не е съществена модификация”
Това е моментът, в който повечето компании искат да чуят прост отговор:
„спокойно, това не е съществена модификация”.
Проблемът е, че в много случаи това не може честно да се каже без извършване на оценка на риска.
И това не произтича от предпазливостта на консултанта.
Това е следствие от начина, по който е изградена самата дефиниция на съществената модификация.
Регламент (ЕС) 2023/1230 не я определя чрез списък на технически промени. Той я определя чрез въздействието на промяната върху безопасността:
- дали е възникнала нова опасна ситуация,
- дали е нараснал съществуващ риск,
- дали е било необходимо прилагането на допълнителни защитни мерки.
А това не може надеждно да се оцени „на око”.
Това не може да се оцени въз основа на едно изречение:
„добавихме предпазно ограждение”,
„променихме програмата”,
„свързахме ERP”,
„увеличихме въртящия момент на двигателя”.
Защото ключовият въпрос винаги е:
какво направи тази промяна с риска?
А отговорът на този въпрос изисква:
- определяне на ограниченията на машината,
- идентифициране на опасните ситуации,
- анализ на възможните опасни събития,
- оценяване и преценка на риска,
- а след това преценка дали приложените защитни мерки са адекватни на променените работни условия.
Тоест точно това, което описва ISO 12100.
И тук идва най-важното:
ако не е извършена оценка на риска, няма основание с пълна отговорност да се твърди, че не е налице съществена модификация.
Може да имате интуиция.
Може да имате опит.
Може да сте убедени, че промяната е била малка.
Но от гледна точка на безопасността и отговорността това все още не е достатъчно.
Относително бързо може да се отговори утвърдително, защото опитният инженер бързо ще забележи последицата, но професионалната предпазливост изисква два пъти по-внимателно да се обмисли твърдението, че нещо не е съществена модификация.
Затова нашият инструмент не казва „това не е съществена модификация”
Повечето контролни списъци и прости инструменти се опитват да дадат удобен отговор: да или не.
Това е удобно.
Но в много случаи е нечестно опростяване.
Нашият подход е различен.
Проверете дали имате съществена модификация
Този инструмент не служи за това да дава успокояващо послание, че „със сигурност нищо не се е случило“. Целта му е да улови случаите, в които предпоставките за съществена модификация вече са налице и в които трябва съзнателно да се приеме, че промяната може да ангажира отговорността на субекта, който я въвежда.
Ако резултатът показва, че е налице съществена модификация, това не означава автоматично „проблем“ в технически или бизнес смисъл. То обаче означава нещо много по-важно:
означава навлизане в сферата на отговорността за безопасността и съответствието на модифицираната машина или на модифицираната част от комплект машини.
Ако обаче инструментът не дава еднозначен отговор, това все още не означава, че със сигурност няма съществена модификация. Това означава само, че без надлежна оценка на риска това не може да се прецени коректно.
И именно затова инструментът не трябва да замества анализа.
Той трябва да бъде входна точка към правилния процес на оценка.
Защото съществената модификация не е етикет, поставян „по усет“.
Тя е извод, който трябва да можете да обосновете.
Във всеки случай е важно т.нар. полагане на дължимата грижа (due diligence), а извършването на оценка на риска съгласно ISO 12100 позволява тази дължима грижа да бъде доказана.
Съществената модификация не е технически детайл. Тя е промяна на отговорността
В много организации темата за съществената модификация все още се разглежда като технически въпрос. Нещо, което трябва да се „провери“, „отметне“, „консултира“.
Съществената модификация обаче не е техническа категория.
Тя е категория на отговорността.
Това е моментът, в който промяната в машината — физическа или цифрова — престава да бъде само инженерна промяна и започва да има правни последици и последици за безопасността.
Ако модификацията отговаря на предпоставките, определени в Регламент (ЕС) 2023/1230, субектът, който я въвежда, влиза в ролята на производител по отношение на тази промяна. А това означава задължение да се осигури съответствие, да се извърши подходяща оценка и да се потвърди, че машината — в променената конфигурация — продължава да отговаря на изискванията за безопасност.
И това е ключово.
Въпросът не е дали промяната е била голяма.
Въпросът не е дали е била технически „смислена“.
Въпросът не е дали „така се прави в бранша“.
Въпросът е дали след тази промяна безопасността на машината е била преоценена и съзнателно проектирана наново.
Защото всяка промяна — достъп, площадка, задвижване, логика на управление, интеграция с външна система — променя нещо повече от самата конфигурация на машината.
Променя:
- начина на използване,
- ограниченията на машината,
- взаимодействието човек–машина,
- протичането на потенциалните опасни събития,
- и ефективността на защитните мерки.
А това са точно елементите, на които се основава оценката на риска.
Затова съществената модификация не започва с решение, че „правим преустройство“.
Тя започва в момента, в който промяната влияе на безопасността.
И приключва едва тогава, когато тази безопасност е била анализирана и потвърдена наново.
Накрая си струва да се зададе един прост въпрос:
можеш ли след тази промяна да обосновеш, че машината все още е безопасна — не интуитивно, а така, че при необходимост да можеш да го докажеш?
Ако да — контролираш ситуацията.
Ако не — именно там започва реалният риск.