Der er en zone, hvor operatøren kan række hånden ind. Der er en bevægelig del, der kan gribe en hånd. Der er en opgave, som nogen faktisk skal udføre: fjerne et stop, gøre rent, indstille, kontrollere efter et stop.
Og så dukker linjen op i risikovurderingen: restrisiko — information i brugsanvisningen — ræk ikke hænderne ind.
På papiret ser det pænt ud. Faren er beskrevet. Risikoen har fået navn. Brugsanvisningen er opdateret. Men i maskinsikkerhed rydder sådan en linje meget ofte ikke op i problemet. Den skjuler det.
Restrisiko er ikke en fælles sæk til alt det, man ikke fik løst i konstruktionen. Og det er ikke en smart måde at skubbe ansvaret fra producent til bruger. Det er den risiko, der er tilbage efter det egentlige ingeniørarbejde: efter at man har undersøgt, om faren kan fjernes konstruktivt, efter valg af tekniske beskyttelsesforanstaltninger og efter kontrol af, om løsningen faktisk reducerer menneskets eksponering.
Først dér kan man ærligt sige: her er der stadig noget tilbage, og brugeren skal vide det.
I praksis bliver grænsen ofte gjort tåget. Producenten siger: vi har skrevet det i brugsanvisningen. Integratoren siger: brugeren skal uddanne folk. Brugeren hører: så er det jeres arbejdsorganisation. Men ISO 12100 og Maskinforordningen (EU) 2023/1230 lægger ansvaret i en helt bestemt rækkefølge: først konstruktion, derefter beskyttelsesforanstaltninger, til sidst information.
Det samme gælder nu for netværksforbundne maskiner. Fjernadgang, servicekonti, PLC-konfiguration, opdateringer og data er ikke kun brugerens IT-problem, hvis de kan påvirke maskinens sikkerhed. Her er det heller ikke nok at skrive: brugeren skal sikre netværket. Producenten skal levere en maskine, hvor sådanne risici er tænkt ind fra starten.
Spørgsmålet er derfor ikke, om der står en advarsel i brugsanvisningen. Spørgsmålet er: hvad gjorde producenten, før advarslen blev skrevet?
Restrisiko er ikke en fri rubrik i risikovurderingen
I ISO 12100 er der én figur, man bør standse ved. Ikke kun definitionen. Ikke kun tretrinsmetoden. Figuren, der viser risikoreduktion set fra konstruktørens side, er langt mere ubehagelig for dovne løsninger.
Den viser rækkefølgen: først risikoen ved maskinen, derefter konstruktørens bidrag, så restrisiko efter de beskyttelsesforanstaltninger, konstruktøren har valgt, derefter brugerens bidrag og til sidst restrisiko efter alle beskyttelsesforanstaltninger.
Det er ikke en pyntet kursusgrafik. Det er en skillelinje. Den må ikke viskes ud.
På konstruktørens side ligger den iboende sikre konstruktion, tekniske beskyttelsesforanstaltninger, supplerende beskyttelsesforanstaltninger og information om brug. På brugerens side ligger arbejdsorganisation, procedurer, tilsyn, tilladelsessystemer, ekstra tekniske foranstaltninger, personlige værnemidler og uddannelse.
Det betyder, at restrisiko faktisk ligger i grænsefladen mellem producent og bruger. Men ikke på den måde, at alle kan lægge det dér, der passer dem. Producenten kan ikke skubbe en fare ind i den zone, bare fordi den var besværlig at løse konstruktivt. Brugeren kan omvendt ikke lade som om brugsanvisning og uddannelse er ligegyldige, hvis producenten seriøst har beskrevet de risici, der ikke kunne fjernes i projektet.
Netop derfor er ordet restrisiko farligt, når det bruges løst. Det lyder teknisk. Det lyder modent. Det kan nemt dække over, at ingen traf den svære konstruktionsbeslutning.
Nogen ser et indtrækningspunkt. Nogen ved, at operatøren vil fjerne stop. Nogen ved, at hånden under rengøring kommer tæt på en bevægelig del. Alligevel står der i tabellen: restrisiko — ræk ikke hænderne ind.
Den linje beviser ikke, at der er tale om restrisiko. Den beviser kun, at nogen har kaldt problemet restrisiko.
Hvis begrebet skal bruges ærligt, skal vejen dertil kunne vises. Hvad blev ændret i konstruktionen? Kunne geometri, afstand, energi, hastighed, adgang eller indstillingsmetode ændres? Hvilke afskærmninger, interlock/låsning, driftstilstande eller sikkerhedsfunktioner blev overvejet? Hvorfor skal en del af risikoen reelt beskrives for brugeren?
Først sådan flytter man emnet fra vi skrev det i brugsanvisningen til en risikovurdering efter ISO 12100. Standarden siger klart, at foranstaltninger i konstruktionsfasen foretrækkes frem for foranstaltninger hos brugeren, fordi de normalt virker bedre. ISO/TR 14121-2 understøtter det samme: information til brugeren skal hjælpe til korrekt og sikker brug og advare mod de risici, der er tilbage efter reduktion gennem design og beskyttelse.
Procedurer, uddannelse og LOTO har deres plads. Men de er ikke plastre til en konstruktion, som producenten ikke har arbejdet færdig med. Ellers taler vi ikke om restrisiko. Vi taler om risiko efterladt til brugeren.
Tre situationer hvor restrisiko bliver et bekvemt alibi
Restrisiko ved indgreb i bevægelig zone
Lad os tage den enkle situation. Maskinen har en bevægelig del. Operatøren kan nå ind i området ved fjernelse af stop, rengøring, manuel ilægning af emne eller indstilling. Risikovurderingen nævner fare for indtrækning. I kolonnen med beskyttelsesforanstaltninger står der: advarsel i brugsanvisningen. I brugsanvisningen står der: ræk ikke hænderne ind i maskinens arbejdsområde.
Lyder det bekendt?
Ved første blik ser dokumentet udfyldt ud. Fare: ja. Risiko: ja. Advarsel: ja. Men maskinsikkerhed handler ikke om, at hver tom celle i tabellen har fået en tekst. Det rigtige spørgsmål er: hvad skete der før advarslen?
Prøvede nogen at fjerne indtrækningspunktet ved at ændre geometrien? Blev kraft, hastighed eller bevægelsesenergi begrænset? Kunne indstillingsopgaven flyttes ud af fareområdet? Blev der etableret en service-/indstillingstilstand med lavere risiko? Blev der valgt afskærmning, interlock/låsning, hold-to-run-styring eller en frigivelsesanordning? Undersøgte man, hvordan operatøren faktisk fjerner et stop, og ikke kun hvordan det bør gøres i en perfekt brugsanvisning?
Hvis svaret er: nej, men vi skrev, at man ikke må række hånden ind, så er vi ikke nået til restrisiko. Vi taler om en risiko, der fik navnet restrisiko, fordi det var lettest.
Her er ISO 12100 ubekvem. Den skelner mellem konstruktørens bidrag og brugerens bidrag. På konstruktørens side ligger konstruktion, tekniske foranstaltninger og information. På brugerens side ligger arbejdets organisering, procedurer, tilsyn, tilladelser, personlige værnemidler og uddannelse.
Ja, restrisiko har en grænsefladekarakter. Den berører begge parter. Men fælles betyder ikke udefineret. Fælles betyder ikke, at producenten skriver en advarsel, og brugeren må klare resten. Fælles betyder: producenten viser, hvad der er gjort på maskinsiden, hvad der ikke kan fjernes, og hvilke krav der sendes videre. Brugeren organiserer arbejdet efter de oplysninger.
Restrisiko ved adgang, platforme og vedligehold
Det næste eksempel virker mindre dramatisk, men i praksis giver det mange skader og mange dårlige afleveringer.
Forestil dig en maskine, hvor et filter skal skiftes hver uge. En sensor skal renses ved hvert formatskift. Et smørepunt sidder to meter over gulv. En komponent skal med jævne mellemrum tages ud fra maskinens indre. Producenten skriver i brugsanvisningen: opgaver udføres efter gældende arbejdsmiljøregler, brug egnede adgangsmidler.
Fint. Men hvilke adgangsmidler?
En stige fra hallen? En løs platform fra vedligehold? At kravle op på maskinrammen? At stå på en konstruktionsprofil, fordi sådan har vi altid gjort? Eller skal operatøren holde i afskærmningen med den ene hånd, skrue med den anden og styre værktøjet med en tredje hånd, som ingen har?
Det er her, teori møder værkstedsgulv.
Hvis producenten forudser regelmæssig betjening, rengøring, service eller justering, skal producenten spørge: hvordan kommer mennesket sikkert derhen, hvor skal personen stå, og hvordan udføres arbejdet uden improvisation?
Ikke alt arbejde i højden ved en maskine betyder, at producenten skal bygge en stor serviceplatform. Men man kan heller ikke gå i den modsatte grøft og lade som om adgang til et hyppigt servicepunkt kun er brugerens problem. ISO 12100 peger på, at rutinemæssig betjening, indstilling og vedligehold så vidt muligt bør kunne udføres fra gulvniveau. Når det ikke kan lade sig gøre, skal der tænkes sikker adgang ind: platforme, trapper, gangbroer, rækværk eller andre løsninger. Her kommer ISO 14122-serien om faste adgangsveje til maskiner ind.
Så bliver spørgsmålet skarpt: hvis der findes en teknisk løsning, der gør hyppige skift, justeringer og vedligehold sikre, hvorfor antager vi så automatisk, at brugeren skal løse det organisatorisk? Hvorfor blev en fast platform ikke tænkt ind? Hvorfor kræver brugsanvisningen en ugentlig opgave på et svært tilgængeligt sted, mens konstruktionen ikke giver et sikkert arbejdssted?
Det er ikke akademiske spørgsmål. Det er spørgsmål fra FAT, modtagelseskontrol, audit og produktion. Hvis brugeren regelmæssigt skal udføre en opgave, er adgang ikke pynt. Den er en del af maskinsikkerheden eller i det mindste en del af de installationskrav, producenten skal angive tydeligt.
Ellers ender vi igen i den bekvemme sætning: restrisiko — brugeren skal anvende egnede adgangsmidler. Men ofte beskriver den sætning ikke restrisiko. Den beskriver en manglende konstruktionsbeslutning.
Restrisiko ved fjernadgang og cybersikkerhed
Det tredje eksempel ser mere moderne ud, men mekanismen er den samme.
Maskinen har fjernadgang. Den har styring, HMI, industripc, servicekonti, mulighed for opdateringer, dataudveksling og måske forbindelse til et overordnet system. Producenten siger: brugeren skal sikre netværket. IT får opgaven efter indkøring. Vedligehold vil have hurtig serviceadgang. Produktion vil bare have maskinen i drift. Alle har en pointe.
Men spørgsmålet er simpelt: kan et brud på denne digitale del påvirke maskinens sikkerhed?
Hvis fjernadgang kan ændre parametre, driftstilstande, styringslogik, HMI-konfiguration eller data, der har betydning for sikkerhedsfunktioner, er det ikke kun et spørgsmål om virksomhedens firewall. Hvis maskinen leveres med standardadgangskoder, utydelige konti, åben fjernadgang eller uklar opdateringsprocedure, er det svært at sige, at hele cybersikkerhedsrisikoen ligger hos brugeren.
Brugeren har selvfølgelig ansvar. Brugeren skal styre netværk, konti, adgangsrettigheder, backup, opdateringer, segmentering og ændringsprocedurer. Men producenten kan ikke levere en maskine i tilstanden I kan nok sikre den selv og kalde det restrisiko.
Det gælder især efter Maskinforordningen (EU) 2023/1230, hvor cybersikkerhed flyttes tættere på maskinsikkerhed, når manipulation med hardware, software eller data kan føre til en farlig situation.
Logikken er den samme: først design, derefter tekniske foranstaltninger, til sidst information til brugeren. Ikke omvendt.
I alle tre eksempler — indtrækning, adgangsplatforme og cybersikkerhed — skal vi derfor tilbage til ét spørgsmål: begrænsede producenten faktisk risikoen, eller blev den bare beskrevet for brugeren?
Det er et ubehageligt spørgsmål. Og netop derfor er det nødvendigt. Restrisiko skal ikke lukke tabellen pænt. Den skal vise, hvad der reelt er tilbage på maskinsiden, i arbejdsorganisationen og i grænsefladen mellem de to.
Hvornår er restrisiko faktisk restrisiko?
Efter de eksempler bør én ting stå klart: ikke enhver risiko, der stadig findes ved maskinen, fortjener navnet restrisiko.
For hvad betyder egentlig, at noget er tilbage?
Er det tilbage efter en konstruktionsændring? Er det tilbage efter afskærmning, interlock/låsning eller service-/indstillingstilstand? Er det tilbage efter at smørepunktet blev flyttet ud af farezonen? Er det tilbage efter, at der blev projekteret fast adgang til vedligehold? Eller er det tilbage, fordi ingen ville røre ved problemet, og det var nemmest at skrive en advarsel?
Det er to helt forskellige situationer.
ISO 12100 opdeler dette præcist. Der er restrisiko efter konstruktørens foranstaltninger, og der er restrisiko efter alle foranstaltninger, også brugerens. Mellem de to ligger det område, hvor information fra producenten skal omsættes til reel arbejdsorganisation hos brugeren.
Derfor må restrisiko ikke behandles som en løs rubrik. Det er ikke stedet for sætningen brugeren skal være forsigtig. Det er stedet for en konkret konklusion efter gennemført konstruktionsarbejde.
| Spørgsmål | Hvis svaret er ja | Hvis svaret er nej |
|---|---|---|
| Er faren beskrevet konkret: hvor, hvornår, hvem udsættes, og ved hvilken opgave? | Så kan man gå videre og vurdere, om der er tale om restrisiko. | Så er det endnu ikke en risikovurdering, men kun en generel farebeskrivelse. |
| Har producenten undersøgt, om faren kan fjernes konstruktivt? | Så følger man logikken i ISO 12100. | Advarslen i brugsanvisningen kommer for tidligt. |
| Er tekniske beskyttelsesforanstaltninger overvejet: afskærmning, interlock/låsning, driftstilstande, hold-to-run-styring, begrænsning af energi, hastighed eller kraft? | Så kan man begrunde, hvorfor en del af risikoen stadig er tilbage. | Risikoen er sandsynligvis ikke restrisiko, men et uafsluttet konstruktionsproblem. |
| Har producenten dokumenteret, hvorfor en bestemt foranstaltning ikke blev valgt? | Dokumentationen viser en ingeniørmæssig beslutning. | Der er et hul. Et hul bliver ikke til restrisiko, fordi nogen kalder det det. |
| Er informationen til brugeren konkret? | Brugeren ved, hvad der skal gøres, hvornår, hvordan, med hvad og under hvilke forhold. | Vær forsigtig og ræk ikke hænderne ind er ikke nok. |
| Har brugeren reel indflydelse på foranstaltningen? | Så kan det være et brugerområde: uddannelse, LOTO, tilsyn, procedure, vedligehold og arbejdsorganisation. | Man må ikke lade som om brugeren overtager noget, brugeren ikke effektivt kan styre. |
| Kan brugerens foranstaltning fastholdes i praksis? | Så kan man tale om fælles ansvar. | Hvis løsningen kræver konstant overvågning af mennesker, mens en teknisk løsning var mulig, ryger problemet tilbage til producenten. |
| Er det kontrolleret, om en valgt beskyttelsesforanstaltning skaber ny risiko? | Risikovurderingen har en lukket sløjfe. | Processen er ikke færdig. ISO/TR 14121-2 minder om, at man skal kontrollere, om risikoen faktisk er reduceret, og om nye farer er opstået. |
Tabellen er ikke en formel algoritme. Den er et filter for sund ingeniørfornuft. Hvis man efter den gennemgang kun står med sætningen operatøren skal passe på, er man for tidligt ude. Man er ikke nået til restrisiko.
Ansvarsdelingen skal også være tydelig. Ellers bliver restrisiko igen en fælles sæk, hvor alle lægger det ubehagelige ned.
| Område | Hvad producenten skal gøre | Hvad brugeren reelt overtager |
|---|---|---|
| Indtrækning, klemning, kontakt med bevægelse | Konstruktion, geometri, energibegrænsning, afskærmninger, interlock/låsning, driftstilstande, sikkerhedsfunktioner og klar beskrivelse af risiko, der ikke kunne fjernes. | Uddannelse, tilsyn, vedligehold af afskærmninger og interlock/låsning, procedurer for fjernelse af stop og forbud mod omgåelse af beskyttelsesforanstaltninger. |
| Rengøring, indstilling, vedligehold | Medtage opgaverne i risikovurderingen, begrænse adgang til farezoner, etablere service-/indstillingstilstande, placere indstillingspunkter uden for farezonen og sikre adgang. | Planlægning af arbejdet, kvalifikationer, LOTO, vedligeholdsplan og kontrol af beskyttelsesforanstaltningernes tilstand. |
| Adgang i højden, platforme, gangveje | Vurdere om opgaven er hyppig og forudsigelig; projektere eller definere krav til fast adgang, hvis det er nødvendigt. | Holde adgangsveje frie, sikre orden, anvende korrekt personale og følge procedurer og midler angivet af producenten. |
| Cybersikkerhed og fjernadgang | Sikker arkitektur, begrænset adgang, kontostyring, beskrivelse af grænseflader, opdateringsregler og beskyttelse af software og data med sikkerhedsbetydning. | Netværkssegmentering, kontostyring, ændringsprocedurer, backup og tilsyn med serviceadgang. |
| Information i brugsanvisningen | Konkrete advarsler, risikobeskrivelse, betingelser for sikker brug, krav til brugerens foranstaltninger samt forbud og brugsbegrænsninger. | Omsætte information til praksis: uddannelse, lokale instruktioner, tilsyn og håndhævelse. |
Her ligger kernen. Restrisiko kan være fælles. Men fælles betyder ikke uklart. Fælles betyder ikke, at producenten skrev noget, og brugeren nu hænger på resten. Fælles betyder heller ikke, at arbejdsmiljøafdelingen laver en procedure, og så er konstruktionen i orden.
Fælles betyder noget langt mere krævende: producenten viser, hvad der er gjort på maskinsiden, og brugeren overtager det, der faktisk afhænger af arbejdsorganisation, tilsyn, vedligehold og driftsforhold.
I en god risikovurdering bør posten restrisiko derfor ikke være sidste redningsplanke. Den bør være slutningen på et ærligt ræsonnement: her var faren, dette gjorde vi konstruktivt, dette gjorde vi teknisk, dette kan ikke fjernes fornuftigt uden at skabe et større problem, og disse oplysninger og krav overdrages til brugeren.
Først dér lyder restrisiko som en konklusion fra risikovurderingen. Ikke som et dække over beslutninger, der manglede.
En tabel rydder op, men den erstatter ikke virkelig ingeniørarbejde
Ansvarsdelingen ser først god ud, når den kommer ned fra generelle slogans til den konkrete opgave ved maskinen. Det er let at skrive, at brugeren sikrer arbejdsorganisationen, anvender egnede adgangsmidler og beskytter netværket. Det er sværere at kontrollere, om brugeren faktisk har fået en maskine, der kan betjenes, serviceres og vedligeholdes sikkert.
Tag en serviceplatform. På tegningen ser alt rigtigt ud. Stålkonstruktion, rist, rækværk, adgang. Er adgang tænkt ind? Ja. Er sagen lukket? Ikke nødvendigvis.
Først skal man spørge: hvilken opgave skal platformen bruges til?
Hvis en medarbejder én gang om året går derop for at aflæse en indikator eller kontrollere et typeskilt, er det én situation. Hvis den samme platform bruges til regelmæssigt at skifte motor, gear, cylinder, rulle, hoved, filter eller en anden slidkomponent, taler vi ikke længere kun om adgang. Vi taler om en servicearbejdsplads.
Så er en generel sætning i brugsanvisningen ikke nok.
Hvem skal derop? Én person eller to fra vedligehold? Hvad tager de med? Værktøjskasse, momentnøgle, løftegrej, reservedel? Hvad skal demonteres? Et dæksel på 20 kg, en gearmotor på 80 kg, et gear på 150 kg eller en motor på 500 kg? Hvor skal delen placeres efter løsning? På platformen? På en vogn? I et ophæng? Er der transportlåge, ophængspunkt, talje, udtagningsvej og arbejdsplads til to personer? Dækker platformens bæreevne kun et menneske, eller også værktøj, dele, punktbelastninger og kræfter under demontering?
Det er spørgsmål fra hallen. Ikke fra en pæn præsentation.
Hvis brugsanvisningen siger, at en motor på 500 kg udskiftes fra platformen, skal platformen svare til den opgave. Ikke til billedet af en operatør med en skruenøgle. Til den virkelige opgave: to personer, værktøj, demonteret enhed, manøvrering, faldsikring, transport og sikker nedtagning til gulv.
Ellers har man kun en illusion af løsning. Platformen findes, men løser ikke opgaven. Adgangen findes, men giver ikke sikker vedligehold. Brugsanvisningen beskriver arbejdet, men konstruktionen giver ikke betingelserne for at udføre det.
Er det restrisiko? Hvis producenten har forudset en regelmæssig serviceopgave, men ikke forudset en sikker måde at udføre den på, er det svært at kalde det ærligt beskrevet restrisiko. Det ligner mere en uafsluttet drifts- og vedligeholdelseskoncept.
Brugeren har ansvar for arbejdsorganisation, kompetencer, LOTO, tilsyn og vedligehold af platformens tilstand. Men brugeren bør ikke først efter overtagelse opdage, at udskiftning af en tung enhed kræver improvisation.
Cybersikkerhed ser næsten identisk ud. Maskinen ankommer med en servicekonto. Login er admin. Kodeord er admin. Fjernadgang virker, fordi service jo skal kunne komme på. Dokumentationen siger, at brugeren skal sikre netværket. IT får sagen efter idriftsættelse. Vedligehold vil ikke blokere adgangen, for maskinen skal producere. Service vil reagere hurtigt. Alle har deres argumenter.
Men spørgsmålet er simpelt: blev maskinen leveret i en sikker standardkonfiguration?
Det handler ikke om, at producenten skal overtage ansvaret for hele brugerens fabriksnetværk. Det ville være virkelighedsfjernt. Brugeren skal styre adgang, segmentering, backup, ændringsprocedurer, konti, opdateringer og serviceforbindelser.
Men producenten kan ikke levere en åbenlys svaghed og sige: det er jeres IT. Hvis fjernadgang, konti, software, HMI-konfiguration eller data kan påvirke maskinens adfærd, hører laget med i sikkerhedsvurderingen. Ligesom afskærmning, interlock/låsning eller service-/indstillingstilstand.
Admin/admin er ikke en detalje. Det er den digitale pendant til en platform, der findes på tegningen, men ikke har bæreevne til det virkelige arbejde. I dokumentationen er der noget. I virkeligheden får brugeren et problem at reparere.
God information til brugeren lyder derfor ikke: sikr netværket. God information siger, hvilke konti der findes, hvilke adgangsroller der er tænkt, hvad der skal ændres ved første opstart, hvordan fjernservice fungerer, hvem der må opdatere software, hvilke konfigurationselementer der har betydning for sikkerhed, hvordan indstillinger kan genskabes, og hvilke netværksforudsætninger producenten har lagt til grund for sikker drift.
Først da kan man ærligt tale om brugerens ansvar. Først da ved brugeren, hvad der overtages. Først da ligger restrisikoen faktisk i grænsefladen mellem maskine og arbejdsorganisation.
Uden det har vi kun flyttet problemet.
Derfor må begrebet restrisiko ikke bruges let. Det skal ikke lukke de ubehagelige spørgsmål. Det skal vise, hvad der er tilbage hos producenten, hvad der går videre til brugeren, og hvilke betingelser begge parter skal opfylde, for at maskinen forbliver sikker under normal drift.
For en maskine slutter ikke ved CE-mærkning eller overensstemmelseserklæring. Den arbejder videre: ved omstilling, rengøring, vedligehold, fejl, opdateringer, serviceadgang og udskiftning af tunge enheder.
Hvis konstruktionen ikke forudser de situationer, reparerer brugsanvisningen dem ikke.