Při přejímce stroje výrobce otevře správnou stránku návodu: „Čištění provádějte pouze po odpojení všech zdrojů energie. Servis smí provádět jen vyškolený personál. Uživatel musí vypracovat odpovídající postup.“ Tři věty, tři odškrtnuté položky.
Ve výrobě se ukáže, že stroj má dva elektrické přívody, pneumatický okruh a akumulátor, který dokáže vyvolat pohyb i po vypnutí hlavního vypínače. Postup zatím neexistuje a „vyškoleným pracovníkem“ je člověk, který ve firmě pracuje nejdéle. Bezpečnost stroje byla vyřešena budoucím časem.
Krok 3 podle ISO 12100 neznamená, že se do návodu přesunou všechny problémy, které se nepodařilo odstranit při návrhu. Informace pro používání jsou poslední částí strategie snižování rizika. Přicházejí až po opatřeních zabudovaných v konstrukci a po technických ochranných opatřeních, nikoli místo nich.
Pokud bylo možné odstranit nebezpečí, omezit energii, zabránit přístupu nebo použít odpovídající bezpečnostní funkci, výrobce to nemůže nahradit školením, výstražným symbolem či pokynem ke zvýšené opatrnosti. Návod má popisovat riziko, které skutečně nebylo možné dostatečně snížit. Nemá sloužit jako sklad odložených konstrukčních problémů.
Třetí krok přesto není jen příloha technické dokumentace. Právě zde se setkává práce výrobce a uživatele. Výrobce určuje, jaké riziko zůstalo, kde a při jakých činnostech vzniká a z jakých podmínek bezpečného používání vycházel. Uživatel tyto informace převádí do pracovních postupů, školení, dozoru, systému povolení, odpojování energií, dodatečných ochranných opatření nebo osobních ochranných pracovních prostředků.
Nejde tedy o předání odpovědnosti. Jde o předání informace, bez níž uživatel bezpečnou práci nezorganizuje — a jejíž pouhá přítomnost v návodu ještě nezaručuje žádný výsledek.
1. Třetí krok není levnější verzí prvních dvou
Tři kroky snižování rizika nejsou rovnocennou nabídkou. Konstruktér si nemůže podle termínu a rozpočtu vybrat mezi úpravou návrhu, použitím ochranných opatření a dopsáním výstrahy. Pořadí je zásadní.
Nejprve se ověřuje, zda lze nebezpečí vyloučit nebo riziko omezit konstrukčním řešením. Pokud to nestačí, následuje bezpečnostní ochrana a doplňková ochranná opatření. Teprve pro riziko, které po této práci zůstalo, se připravují informace pro používání.
Představme si seřizování, při němž musí pracovník vložit ruku do prostoru pohybu mechanismu. Výrobce může přemístit seřizovací místo mimo nebezpečný prostor, změnit geometrii, omezit energii, použít ochranný kryt, blokování nebo bezpečný režim seřizování. Jestliže místo toho rovnou napíše „seřizování smí provádět pouze vyškolený personál“, nepřešel do třetího kroku. Jen minul dvě předchozí zastávky a diví se, že vlak stále stojí na nástupišti.
Informace pro používání nemají obhajovat, proč nebylo použito dostupné technické řešení. Mají popisovat riziko, které se nepodařilo odstranit ani dostatečně snížit navzdory přijatým opatřením. Pouze tehdy skutečně mluvíme o zbytkovém riziku.
Co konkrétně se změnilo v konstrukci a jaká ochranná opatření byla použita dříve, než výrobce rozhodl, že další krok musí udělat uživatel?
Jestliže odpověď obsahuje rozbor řešení, použité opatření, výsledek ověření a popis zbytkového rizika, lze pokračovat. Pokud zní „přidali jsme bod do návodu“, není návod třetím krokem. Je pouze dekorací zakrývající absenci prvních dvou.
První úroveň tvoří konstrukční řešení s inherentní bezpečností. Druhou představují technická ochranná opatření u strojních zařízení. Teprve po jejich vyčerpání se informace pro používání stává výsledkem inženýrského procesu, nikoli jeho literární náhradou.
2. Výrobce má popsat riziko, ne uklidnit vlastní svědomí
Informace pro používání musí umožnit konkrétní rozhodnutí. Pokud po jejím přečtení stále není jasné, co se může stát, při jaké činnosti a jak tomu zabránit, výrobce předal text, ale nikoli použitelnou informaci.
Pokyn „Před zahájením servisních prací odpojte stroj od všech zdrojů energie“ zní rozumně. Hlavní vypínač však neuvolní tlak v hydraulice, nevyprázdní pneumatický zásobník, nepodepře zdviženou část a neodebere energii pružině. Fyzika přejímací protokol nepodepisuje.
Užitečná informace musí uvádět zejména:
- při jaké činnosti riziko vzniká;
- kde se nachází nebezpečný prostor;
- kdo může být ohrožen;
- jaká nebezpečná událost může nastat a s jakými následky;
- jaká opatření provedl výrobce;
- jaké riziko přesto zůstalo;
- co přesně musí udělat uživatel;
- jaké kvalifikace, nástroje, postupy nebo ochranné prostředky jsou nutné.
Místo obecného příkazu k odpojení energie může být nutné stanovit, že před výměnou součásti je třeba vypnout určené napájení, uzavřít a zajistit ventil, uvolnit tlak, ověřit bezenergetický stav a mechanicky podepřít zdviženou sestavu. Teprve takový popis poskytuje podklady pro postup uzamčení a označení zdrojů energie, servisní instrukci a praktické školení.
Důležité je také místo, kde se informace objeví. Riziko vyžadující okamžitou reakci nesmí zůstat ukryté pouze na straně 143 návodu. Podle situace mohou být nutná označení přímo na stroji, výstražné signály, signalizační zařízení nebo hlášení dostupné při dané činnosti. Obsluha nemá provádět knihovnické pátrání ve chvíli, kdy systém právě ztrácí tlak.
Ne každá informace musí být výstrahou. Některé informace vymezují podmínky bezpečného používání: povolené materiály, mezní parametry procesu, způsob instalace, intervaly kontrol, požadovanou odbornou způsobilost nebo zakázané činnosti spojené s konkrétním rizikem. Tyto podmínky musí vycházet z posouzení rizika, nikoli z pozdější potřeby zaplnit kapitolu „Bezpečnost“.
Samotná věta, že existuje zbytkové riziko u stroje, uživateli nepomůže. Uživatel neřídí abstraktní pojem. Řídí konkrétní úkol, člověka, energii a pracovní podmínky. Dobrá informace vede od věty „riziko zůstává“ k rozhodnutí „proto je nutné udělat přesně toto“. Prostor mezi nimi bývá plný nejasností — až do dne, kdy se vysvětlují po úrazu.
3. Výrobce dokončí návrh. Uživatel organizuje práci
Obrázek 2 v ISO 12100 je nepohodlný pro obě strany. Výrobce nemůže ukončit posouzení větou „další opatření zajistí uživatel“. Uživatel zase nemůže předpokládat, že označení CE automaticky vytvořilo postupy, vyškolilo údržbu a ověřilo způsob odstraňování poruch na noční směně.
Norma rozlišuje dvě úrovně zbytkového rizika. První zůstává po opatřeních projektanta: po opatřeních zabudovaných v konstrukci, technických a doplňkových ochranných opatřeních a po poskytnutí informací pro používání. Výrobce musí tuto úroveň rozpoznat, vyhodnotit a popsat.
Druhá úroveň zohledňuje také opatření zavedená uživatelem stroje. Patří sem organizace práce, pracovní postupy, dozor, systémy povolení, dodatečná technická opatření, osobní ochranné pracovní prostředky a školení. Nejde o dva názvy stejného výsledku. Mezi nimi leží skutečné zavedení do provozu.
| Výrobce předává | Uživatel zavádí |
|---|---|
| Popis zbytkového rizika a jeho scénáře | Postup bezpečného provedení úkolu |
| Podmínky bezpečného používání | Organizaci práce odpovídající těmto podmínkám |
| Požadavky na kvalifikaci personálu | Výběr pracovníků a ověření jejich způsobilosti |
| Požadavky na odpojení energií | Postup uzamčení a označení zdrojů a systém povolení |
| Požadavek na dodatečná opatření | Jejich výběr, instalaci, kontrolu a údržbu |
| Požadavky na osobní ochranné pracovní prostředky | Jejich zajištění, používání a kontrolu |
| Pravidla kontrol a údržby | Harmonogram a doklady o provedení |
Pojem „uživatel“ neoznačuje pouze obsluhu, která stiskne tlačítko spuštění. Na straně uživatele stojí zaměstnavatel organizující práci, vedoucí údržby, vedoucí pracovník vykonávající dozor, servisní technik i obsluha, která dodržuje stanovená opatření a hlásí závady.
Každý potřebuje jinou informaci. Vedoucí údržby musí znát požadavky na odpojování energií a kontrolu ochranných zařízení. Vedoucí směny musí vědět, kdo smí provádět jednotlivé úkoly. Obsluha potřebuje jasná pravidla pro běžný provoz, seřizování i poruchové stavy. Smíchat vše do kapitoly „Všeobecná upozornění“ nevytváří systém bezpečnosti. Vytváří kapitolu, kterou nikdo nechce číst.
Zde se setkávají také dva procesy: posouzení rizik provedené výrobcem a vyhledávání a hodnocení rizik při práci na straně zaměstnavatele. Procesy spolu souvisejí, ale vzájemně se nenahrazují. Výrobce posuzuje stroj v mezích určeného použití a důvodně předvídatelného nesprávného použití. Zaměstnavatel musí zohlednit skutečné pracoviště, okolí, personál, organizaci práce a proces, do něhož byl stroj začleněn.
Spolupráce neznamená rozdělit odpovědnost napůl a uzavřít věc společným podpisem. Každá strana musí vykonat vlastní část práce a informace výrobce musí uživateli umožnit jednat vědomě.
4. Postup funguje jen tehdy, když jej někdo skutečně používá
Ani nejpřesnější informace výrobce neuzavře ventil, nenasadí zámek, neověří nepřítomnost energie a nezabrání opětovnému spuštění stroje. Tuto část musí zorganizovat uživatel.
Pokud výrobce požaduje před odstraněním zaseknutí odpojit energie, musí provoz určit alespoň:
- kdo smí stroj zastavit;
- které zdroje energie je nutné odpojit;
- kde se nacházejí odpojovací místa;
- jak se zajistí proti opětovnému připojení;
- jak se ověří bezenergetický stav;
- kdo smí odstranit zajištění;
- za jakých podmínek lze stroj znovu uvést do provozu.
Bez těchto pravidel je pokyn „použijte systém uzamčení a označení“ pouze názvem postupu, nikoli postupem.
Dokument musí odpovídat skutečnému úkolu. Jestliže se zaseknutí odstraňuje několikrát za směnu, ale předepsaný postup vyžaduje dvacetiminutové odstavení celé linky, lze jeho osud snadno předvídat. Nejprve vznikne zkratka. Potom nepsaná praxe známá jen nejzkušenějším pracovníkům. Nakonec někdo přelepí blokovací prvek páskou, aby „nepřekážel“.
To není argument pro zjednodušení postupu na úkor bezpečnosti. Časté zásahy mohou znamenat, že je nutné znovu prověřit konstrukci, spolehlivost procesu nebo použitá technická opatření. Dobře zpracovaný třetí krok musí umožnit vrátit takovou zkušenost zpět do posouzení rizika.
Stejné je to se školením. Prezenční listina dokazuje, že určití lidé strávili určitou dobu v jedné místnosti. Nedokazuje, že umějí bezpečně provést seřízení, čištění nebo servisní zásah. Školení musí pokrývat skutečné úkoly, existující nebezpečí, používání ochranných opatření a reakci na odchylky od normálního provozu. Způsobilost je třeba ověřit prakticky a školení zopakovat po významné změně stroje, procesu, postupu nebo pracovních povinností.
Dozor nesmí skončit kontrolou podpisů. Má zahrnovat pozorování práce, ověřování dodržování postupů, reakci na vyřazování ochranných zařízení a hledání důvodů, proč pracovníci volí zkratky. Jedno obejité blokování může být pochybením obsluhy. Pět obejitých blokování na stejné lince už vypovídá také o konstrukci stroje a organizaci výroby.
Konkrétní musí být i požadavky na osobní ochranné pracovní prostředky. Pokyn „používejte ochranné rukavice“ neříká, před čím mají chránit, jaké vlastnosti potřebují ani zda nevytvoří další nebezpečí, například zachycení pohybujícími se částmi. Uživatel musí zvolit prostředek podle úkolu a podmínek jeho provádění.
Účinnost opatření nevzniká jejich zapsáním do postupu. Vzniká tehdy, když je lze reálně provést, pracovníci jim rozumějí, organizace na ně poskytuje čas a někdo kontroluje jejich používání. Zalaminovaný list může zůstat velmi dlouho v dokonalém stavu — zejména pokud se ho nikdo nedotýká.
5. Dobrý třetí krok zanechává stopu
Při přejímce si projektant pamatuje, proč návod požaduje mechanické zajištění určité části. Za půl roku dokumentaci spravuje někdo jiný, stroj pracuje na jiné lince a autor posouzení rizika řeší další projekt.
Zůstane věta: „Servis provádějte pouze po mechanickém zajištění sestavy.“ Proč je podepření nutné? Jaký pohyb může nastat? Který díl se podpírá a v jaké poloze? Jaká opatření výrobce použil předtím? Odpovědi pravděpodobně existují. Jen je nutné najít soubor nazvaný KONECNE_posouzeni_verze8_po-oprave2.
Informace pro používání musí vycházet z konkrétního scénáře posouzení rizika. Musí být dohledatelná cesta od identifikovaného nebezpečí přes konstrukční a technická opatření až ke zbytkovému riziku a požadované činnosti uživatele.
Taková stopa může zahrnovat:
- úkol a fázi životního cyklu stroje;
- zdroj nebezpečí a možnou nebezpečnou událost;
- ohrožené osoby a předpokládané následky;
- použitá opatření ke snížení rizika;
- výsledek jejich ověření;
- popis zbytkového rizika;
- informaci uvedenou v návodu nebo na stroji;
- požadované opatření uživatele;
- osobu odpovědnou za jeho zavedení;
- doklad o provedení a kontrole účinnosti.
Dokladem nemusí být další rozsáhlá zpráva. Může jít o schválený postup, výsledek zkoušky bezpečnostní funkce, protokol měření, potvrzení způsobilosti, záznam o kontrole, fotografii označení nebo odůvodněné technické rozhodnutí. Podstatné je, aby doklad odpovídal konkrétnímu požadavku a pouze obecně netvrdil, že „bezpečnost byla projednána“.
Samotná složka dokumentace nezajišťuje sledovatelnost. Ani sto souborů položených vedle sebe nemusí vysvětlit, proč bylo přijato určité rozhodnutí. Rozhodující je vazba mezi scénářem, opatřením, výsledkem ověření, informací pro používání a následnou činností uživatele.
Stopa musí přežít také změnu. Jiný materiál, nový nástroj, vyšší rychlost, přemístění stroje nebo změna způsobu čištění mohou porušit předpoklady výrobce. Uživatel pak musí umět určit, které scénáře je nutné znovu posoudit. Procházet pokaždé celou dokumentaci od první strany je sice metoda — stejně jako hledat netěsnost čekáním, až dojde tlak.
V bezpečnostním softwaru by tento řetězec neměl končit vytvořením zprávy. Scénář rizika, přijaté opatření, jeho ověření, zbytkové riziko a související doklady mají zůstat částmi jednoho procesu. Potom lze zpětně určit nejen to, co bylo zapsáno, ale také kdo rozhodl, na jakém základě a co se následně provedlo.
Dokáže člověk, který se projektu neúčastnil, z dokumentace určit, jaké riziko zůstalo a jaké konkrétní opatření musí být provedeno?
Pokud ano, výrobce předal použitelnou informaci. Pokud ne, předal uživateli technickou hádanku s přílohou.