AI v hodnocení rizik strojů: pomoc, nebo drahá iluze?
AI v hodnocení rizik strojů vstoupilo do prostoru, kde roky vládly Excel, kontrolní seznamy a dokumenty kopírované z projektu na projekt. Pokušení je obrovské: zadáte název stroje, pár obecných informací a za chvíli dostanete tabulku, která vypadá profesionálně. Nezapomenuté nebezpečí, následky, ochranné opatření, úrovně rizika, zbytkové riziko. Na první pohled všechno sedí. Jenže hezká tabulka není analýza. A už vůbec není hodnocením rizik podle ISO 12100.
Skutečná hodnota nevzniká tím, že dokument má hodně řádků a technicky znějící věty. Vzniká tím, že je možné zpětně pochopit, proč bylo konkrétní riziko vyhodnoceno právě takto a proč bylo zvoleno právě toto ochranné opatření. Právě tady se láme chleba. AI může pomoci. Ale když nahradí proces, začne jen velmi přesvědčivě hádat.
AI v hodnocení rizik strojů: nová technologie, stará chyba
Buďme upřímní. Problém nikdy nebyl samotný Excel. Excel je nástroj. Stejně jako AI je nástroj. Skutečný problém byl jinde: bylo až příliš snadné zaměnit dokument za proces. Řádky byly vyplněné. Barvy seděly. V posledním sloupci riziko hezky kleslo. Jen chyběla vazba na realitu stroje.
V mnoha slabých hodnoceních rizik chybělo to hlavní: skutečné propojení nebezpečí s úkolem člověka, s fází života stroje, s nebezpečnou situací a s nebezpečnou událostí. Bylo nebezpečí zapsané? Ano. Bylo vyhodnocené počáteční riziko? Ano. Kleslo po doplnění ochranného opatření? Samozřejmě. Ale podíval se někdo, co obsluha opravdu dělá při přestavení? Jak vypadá odstraňování zaseknutí? Jak probíhá čištění, seřizování, údržba, ruční režim nebo servisní přístup? Tady už bývá ticho.
Dřív člověk kopíroval staré řádky z předchozího projektu. Dnes model vygeneruje nové řádky během pár sekund. Dřív šlo poznat, že někdo něco opsal. Dnes text vypadá vyzrále, souvisle a odborně. A právě proto je riziko větší. Slabý Excel se často prozradil sám. Tabulka od AI už se prozradit nemusí.
ISO 12100 nezačíná seznamem nebezpečí
Jeden z nejčastějších omylů v praxi je tenhle: začneme otázkou, jaká nebezpečí stroj má. Zní to logicky. Stroj má pohony, tedy mechanická nebezpečí. Má napájení, tedy elektrická nebezpečí. Má horké části, tedy riziko popálení. Má pohyblivé části, tedy zachycení, rozdrcení, pořezání, úder. Tabulka roste. Jenže to pořád není hodnocení rizik. To je teprve katalog možných nebezpečí.
ISO 12100 nechce, abyste se na stroj dívali jako na statickou hromadu nebezpečných dílů. Chce, abyste se dívali na vztah člověk–stroj. Kdo stroj přepravuje? Kdo ho instaluje? Kdo ho uvádí do provozu? Kdo ho obsluhuje, čistí, seřizuje, opravuje, diagnostikuje a odstavuje? Nebezpečí samo o sobě ještě nepopisuje riziko. Riziko vzniká ve chvíli, kdy se konkrétní člověk během konkrétní činnosti může dostat do nebezpečné situace.
Proto je lepší otázka jiná: kdo, při jakém úkolu, v jaké fázi života stroje a za jakých podmínek se může dostat do nebezpečné situace? Teprve potom má smysl ptát se dál: co může vyvolat nebezpečnou událost? Neočekávaný rozběh? Uvolnění energie? Ztrátu stability? Přístup k pohyblivým částem? Chybu v logice řízení? Zaseknutí materiálu? Špatné seřízení? Omezenou viditelnost? Práci jedné osoby tam, kde se v dokumentaci počítá se dvěma?
A ještě jedna věc, která se často zjednodušuje až k nebezpečné karikatuře: ne každá nebezpečná situace musí být popsána jednou samostatnou nebezpečnou událostí a ne každá nebezpečná událost vychází přímo z úkolu obsluhy. Někdy je výchozím bodem činnost člověka. Jindy je výchozím bodem událost na stroji, v řízení, v instalaci nebo v okolí. Dobré hodnocení rizik musí umět pracovat oběma směry. Špatné hodnocení všechno násilím nacpe do jedné lineární šablony.
AI v hodnocení rizik strojů bez kontextu jen hádá
Když zadáte modelu instrukci typu: připrav hodnocení rizik pro balicí stroj, dostanete něco, co hodnocení rizik připomíná. Často dokonce velmi věrohodně. Budou tam mechanická, elektrická, tepelná i ergonomická nebezpečí. Možná hluk. Možná pneumatika. Možná několik rozumně znějících ochranných opatření. Problém je v tom, že taková odpověď nebude hodnocením konkrétního stroje. Bude to statisticky pravděpodobný popis typického stroje daného typu. A mezi tím je propast.
Konkrétní stroj má konkrétní meze. Konkrétní přístupy. Konkrétní pracovní režimy. Konkrétní sekvence pohybu. Konkrétní místa zaseknutí. Konkrétní zásahy údržby. Konkrétní tlak výroby. Konkrétní zvyky obsluhy. AI neví, že panel je na špatné straně a člověk proto sleduje pohyb z místa, které nikdo nepředpokládal. Neví, že kryt je těžký, a tak ho po dvou týdnech nechávají otevřený. Neví, že přestavení, které mělo být jen občas, probíhá pětkrát za směnu. Neví, že porucha, již konstruktér považoval za výjimečnou, je pro údržbu úplně běžný pondělek.
Právě proto je AI bez kontextu nebezpečně přesvědčivé. Ne proto, že by se vždy mýlilo. Na obecné úrovni se často nemýlí. Jenže hodnocení rizik se nerozhoduje v obecných větách. Rozhoduje se v detailu. V tom jednom přístupu. V tom jednom zásahu. V tom jednom režimu. V té jedné situaci, kdy člověk udělá něco trochu jinak, než předpokládala dokumentace.
Tady nestačí zapsat do tabulky nebezpečí: rozdrcení. Musíte vědět čím, kdy, komu, při jaké činnosti, po jaké sekvenci událostí, s jakým možným následkem a proč zvolené ochranné opatření skutečně dává smysl. Bez těchto dat AI neanalyzuje. Jen odhaduje. A hádání v bezpečnosti stroje končí ve chvíli, kdy dojde k první nehodě.
Zadání pro model není metodika ISO 12100
Další časté pokušení vypadá chytřeji, ale problém neřeší. Stačí přece napsat lepší zadání: zohledni ISO 12100, celý životní cyklus stroje, rozumně předvídatelné nesprávné použití, počáteční riziko, snižování rizika i zbytkové riziko. Výsledek pak bývá lepší. Jenže pořád platí stejné pravidlo: zadání pro model není metodika.
Můžete chtít tabulku s patnácti sloupci. Můžete přikázat, aby AI respektovalo hierarchii snižování rizika. Můžete dostat výstup, který vypadá lépe než polovina ručně dělaných formulářů na trhu. Ale když jsou vstupy obecné, prázdné nebo odtržené od reality stroje, výstup bude jen elegantické rozvedení předpokladů. AI nepřidá fakta, která nezná.
To je přesně ten starý problém v novém obalu. Dřív jsme měli tabulku bez procesu. Dnes můžeme mít tabulku bez procesu napsanou lepší češtinou. Chyba je stejná. Jen vypadá profesionálněji.
Největší hodnota je v otázkách, ne v automatických odpovědích
Dobré hodnocení rizik nezačíná slibem hotového výsledku. Začíná nepříjemnými otázkami. Jaké jsou meze stroje? Kdo jej bude obsluhovat? Kdo ho bude čistit? Kdo bude odstraňovat zaseknutí? Kdo bude pracovat v ručním režimu? Které činnosti se dělají denně a které jen při poruše? Které zásahy vyžadují obejití běžných ochranných opatření? Které úkony jsou v návodu popsané jako servisní, ale v reálu je dělá obsluha? Které problémy byly v dokumentaci jen popsané, ale ne skutečně vyřešené?
Tohle jsou otázky, které bolí. A právě proto mají cenu. AI může pomoci tyto otázky vytvořit, doplnit kontrolní body a upozornit na slepá místa. Může se zeptat, zda jste zohlednili čištění, ztrátu stability, zbytkovou energii, chyby řízení, ruční manipulaci, hluk, prach, přístup do pracovního prostoru nebo servis na plošinách. To je užitečné. Smysl tomu ale dávají až odpovědi konstruktéra, uživatele, integrátora a hodnotícího týmu.
Jinými slovy: správná role AI není vymyslet hodnocení rizik. Správná role AI je pomoct inženýrovi zkontrolovat, jestli něco podstatného nepřehlédl.
Rozhodovací stopa je důležitější než hezká tabulka
Každé seriózní hodnocení rizik musí jít zpětně rekonstruovat. Nestačí, že se dá přečíst. Musí být jasné, proč byla určitá nebezpečná situace považována za významnou, proč byla zvolena daná závažnost možné újmy, proč byla odhadnuta určitá četnost expozice, proč bylo vybráno právě toto ochranné opatření a proč bylo zbytkové riziko nakonec považováno za přijatelné.
Bez této rozhodovací stopy je dokument slabý. Tabulka ukáže výsledek, ale neukáže myšlení. A právě myšlení je u strojů rozhodující. Zvlášť když se po měsících někdo vrátí k projektu a zeptá se: proč jsme to tehdy udělali takto? Může jít o audit. O modernizaci. O kontrolu. O spor se zákazníkem. O vyšetřování po úrazu. Odpověď typu AI to tak vygenerovalo nemá žádnou váhu. Stejně jako ji neměla věta tak to vyšlo v Excelu.
Jestli bylo riziko snižováno krytem, musíte vědět, před jakým přístupem chrání a jaký úkol člověka při tom zohledňuje. Jestli byla použita bezpečnostní funkce, musíte vědět, jakou nebezpečnou událost má přerušit a jaké technické požadavky musí splnit. Jestli zůstalo zbytkové riziko, musíte vědět, proč nešlo rozumněji snížit inherentně bezpečným návrhem nebo dalším ochranným opatřením. Bez toho jste v dokumentační mlze.
Opakovatelný proces místo dojmu
Hodnocení rizik stroje nesmí být věcí nálady člověka, který právě vyplňuje formulář. Jeden inženýr je opatrnější, druhý benevolentnější. Jeden rozepíše scénáře do hloubky, druhý je shrne do dvou vět. Část rozdílů plyne ze zkušenosti. Část ale plyne čistě z toho, že chybí pevný proces.
AI tu může pomoci i škodit. Pomůže, když pracuje v rámci stálé struktury: meze stroje, fáze života, úkoly, nebezpečné situace, nebezpečné události, nebezpečí, možné škody, odhad rizika, vyhodnocení, snižování rizika, zbytkové riziko a zdůvodnění. Uškodí, když každý uživatel napíše jiné zadání a model pokaždé vytvoří trochu jinou logiku, jinou terminologii a jiné předpoklady.
Bezpečnost stroje nesmí záviset na tom, zda bylo dnešní zadání formulováno lépe než včerejší. Proces má být opakovatelný. Ne proto, aby všechna hodnocení vypadala stejně, ale proto, aby rozdíly mezi nimi vycházely ze skutečných rozdílů mezi stroji, ne z nahodilosti při tvorbě dokumentu.
Příklad z praxe: vidlicový snímač na slitteru
Vezměme jednoduchý, ale typický případ. Na slitteru vidlicový snímač sleduje polohu pásu. Při změně šířky materiálu musí obsluha snímač přestavit. Jenže seřízení je umístěné v nebezpečném prostoru. Aby člověk snímač posunul, musí vstoupit do oblasti s pohyblivými částmi, válci, vtažnými místy, napnutým pásem nebo prvky řezacího systému.
Co udělá obecně zadané AI? Velmi pravděpodobně nabídne klasický balík: nebezpečí přístupu obsluhy do nebezpečného prostoru při přestavení, možný následek zachycení, rozdrcení nebo pořezání, ochranné opatření LOTO, školení obsluhy, označení prostoru, osobní ochranné prostředky, návod pro přestavení, kryty a nouzové zastavení. Zní to dobře. A přesně tady začíná problém.
Správná otázka totiž nezní, jak popsat riziko vstupu do prostoru. Správná otázka zní: proč vůbec musí obsluha při běžném a opakovaném přestavení vstupovat do nebezpečného prostoru? Pokud je změna šířky pásu běžná provozní činnost, nejde ji schovat do kolonky servis. Nestačí připsat LOTO a odškrtnout řádek. Musíte zjistit, jestli je takový postup v reálném cyklu práce vůbec proveditelný. Bude obsluha energii odpojovat při každém přestavení? Musí být stroj úplně zastaven? Lze snímač nastavit bez materiálu? Vyžaduje se při seřizování sledování polohy pásu? Není současné řešení přímo pozvánkou k obcházení ochranných opatření?
Možná je skutečnou příčinou rizika špatně navržené seřízení. Možná má být vidlicový snímač posouván zvenku mimo nebezpečný prostor. Možná pomůže vodítko přístupné mimo kryt, mechanická stupnice, polohování podle receptury nebo úplně jiný princip detekce. To je přesně logika, kterou požaduje ISO 12100: nejdřív se ptejte, zda lze riziko odstranit nebo snížit inherentně bezpečným návrhem. Teprve když to rozumně nejde, přichází na řadu další ochranné opatření, technické prostředky, informace pro uživatele a školení.
Tady je hranice mezi generováním dokumentace a skutečnou analýzou. Generátor napíše: použít LOTO a proškolit obsluhu. Asistent procesu se zeptá: musí člověk tuto činnost vůbec dělat uvnitř nebezpečného prostoru? Jedna taková otázka má větší hodnotu než dvacet perfektně vyplněných řádků.
AI jako asistent inženýra, ne autor odpovědnosti
To všechno neznamená, že AI v této oblasti nemá místo. Má. Ale jeho role musí být nastavená přesně. AI může pomoci najít mezery, uspořádat informace, navrhnout kontrolní otázky, porovnat typické scénáře, zkontrolovat konzistenci dokumentace a zrychlit přípravu textové části zprávy. To je legitimní a praktické.
Co ale AI nemůže převzít, je odpovědnost. Ta zůstává na výrobci, konstruktérovi, integrátorovi, týmu, který dokument připravuje, a na subjektu, který stroj uvádí na trh nebo do provozu. Tito lidé musí prokázat, že hodnocení rizik není jen pěkně napsaný text, ale výsledek skutečného procesu.
AI může napsat větu: použít blokovací kryt s jištěním. Někdo ale musí rozhodnout proč právě takový, pro jaký přístup, při jaké době zastavení, pro jakou bezpečnostní funkci, při jaké četnosti vstupů a zda toto řešení nevytváří nové riziko. AI může napsat: proškolit obsluhu. Někdo ale musí poctivě posoudit, zda školení v daném případě skutečně snižuje riziko, nebo jen zakrývá konstrukční problém. AI může napsat: použít LOTO. Někdo ale musí ověřit, zda mluvíme o údržbě jednou za měsíc, nebo o odstraňování zaseknutí několikrát za směnu.
Jestliže konstrukce nutí člověka každý den sahat do blízkosti pohybu, problém není v nedostatku školení. Problém je v návrhu.
AI v hodnocení rizik strojů a AI v bezpečnostní funkci nejsou totéž
Tady je potřeba udělat ostrou čáru. Jedna věc je použít AI jako podporu pro inženýra při hodnocení rizik. Druhá věc je nasadit AI nebo strojové učení přímo do stroje tak, aby zajišťovalo bezpečnostní funkci. To už není stejná disciplína. To je úplně jiná liga.
Nařízení (EU) 2023/1230 říká jasně, že výrobce musí provést hodnocení rizik, určit příslušné základní požadavky na ochranu zdraví a bezpečnost a podle výsledků navrhnout a vyrobit stroj tak, aby nebezpečí odstranil nebo rizika minimalizoval. To není povinnost modelu. To je povinnost výrobce. A nařízení jde ještě dál: výslovně zmiňuje systémy, jejichž chování se plně nebo částečně samo mění a které zajišťují bezpečnostní funkce. Právě kvůli závislosti na datech, neprůhlednosti, autonomii a konektivitě mohou zvyšovat pravděpodobnost i závažnost škody. Proto se posuzování shody takových bezpečnostních prvků nebo systémů provádí za účasti třetí strany.
Jinými slovy: AI, které pomáhá formulovat otázky pro hodnocení rizik, je jedna věc. AI, které rozhoduje o bezpečném chování stroje v nebezpečné situaci, je věc druhá. Tam už nestačí marketingová věta, že algoritmus funguje ve většině případů správně.
AI Act tuto logiku ještě posiluje. Systém AI je považován za vysoce rizikový mimo jiné tehdy, když má být použit jako bezpečnostní prvek produktu spadajícího pod harmonizační právní předpisy EU uvedené v příloze I nebo je sám takovým produktem, a současně produkt nebo systém vyžaduje posuzování shody třetí stranou. Pro vysoce rizikové systémy AI Act vyžaduje systém řízení rizik jako průběžný a iterativní proces po celý životní cyklus. Ne deklaraci. Proces. K tomu přidává požadavky na lidský dohled, přesnost, robustnost a kybernetickou bezpečnost.
To je důležité i technicky. V bezpečnosti stroje totiž není hlavní otázka, zda má model přesnost 95 nebo 99 procent. Hlavní otázka zní: co se stane v tom zbytku případů? Co se stane, když model nerozpozná člověka? Co když jsou vstupy jiné než při testech? Co když se změní osvětlení, znečištění, vibrace, materiál, chování obsluhy nebo stav snímače? Co když se systém po nasazení dál učí nebo mění své chování? Tohle nejsou filozofické úvahy. Tohle jsou tvrdé inženýrské otázky.
Závěr: dokument není proces
Nejnebezpečnější iluze v tomto oboru jsou dvě. První: AI vygenerovalo dokument, takže máme hodnocení rizik. Druhá: AI funguje dobře v testech, takže může převzít bezpečnostní funkci. Obě jsou nebezpečné, protože zaměňují dojem za důkaz.
V bezpečnosti strojů nestačí, že něco zní chytře. Musíte být schopni ukázat, jak jste k rozhodnutí došli, jaká data jste použili, jaké alternativy jste zvažovali, proč jste zvolili právě toto ochranné opatření a jak jste posoudili zbytkové riziko. Tomu se říká rozhodovací stopa. Bez ní je i nejhezčí dokument jen dekorace.
Takže ano, AI v hodnocení rizik strojů může být užitečné. Ale jen tehdy, když posiluje proces, ne když ho nahrazuje. Dokument je stopa procesu. Ne jeho náhražka. A kdo si tyhle dvě věci splete, ten si nehraje s textem. Ten si hraje s bezpečností lidí.