Ved afleveringen viser fabrikanten det relevante afsnit i brugsanvisningen: „Rengøring må kun udføres, når alle energikilder er afbrudt. Service må kun udføres af oplært personale. Brugeren skal udarbejde en passende procedure.”
Tre sætninger. Tre afkrydsede punkter.
Ude ved maskinen viser virkeligheden sig. Der er to elektriske forsyninger, et pneumatisk anlæg og en akkumulator, som stadig kan skabe bevægelse, efter at hovedafbryderen er slået fra. Proceduren findes endnu ikke, og „oplært personale” betyder i praksis den medarbejder, der har været ansat længst.
Maskinen er blevet sikret med fremtidstid.
Trin 3 i ISO 12100 handler ikke om at skrive alt det ind i brugsanvisningen, som ikke blev løst under konstruktionen. Brugsinformation er sidste led i strategien for risikonedsættelse. Den kommer efter indbygget sikker konstruktion og tekniske beskyttelsesforanstaltninger – ikke i stedet for dem.
Hvis en fare kunne fjernes, energien begrænses, adgang forhindres eller en passende sikkerhedsfunktion etableres, kan fabrikanten ikke erstatte indsatsen med oplæring, et piktogram eller en besked om at være særlig forsigtig. Brugsanvisningen skal beskrive den risiko, som reelt ikke kunne reduceres tilstrækkeligt. Den skal ikke fungere som lager for problemer, der er skubbet til senere.
Det betyder ikke, at trin 3 blot er et bilag til den tekniske dokumentation. Det er netop her, fabrikantens og maskinbrugerens arbejde mødes.
Fabrikanten skal angive, hvilken risiko der er tilbage, hvor og under hvilke opgaver den opstår, samt hvilke forudsætninger for sikker brug risikovurderingen bygger på. Brugeren skal omsætte oplysningerne til konkret praksis: procedurer, oplæring, tilsyn, arbejdstilladelser, energiafbrydelse, supplerende sikring eller personlige værnemidler.
Trin 3 er derfor ikke en overdragelse af ansvar. Det er en overdragelse af den information, som brugeren behøver for at organisere arbejdet sikkert. At teksten står i en brugsanvisning, skaber ikke i sig selv nogen sikkerhed.
Det afgørende spørgsmål er derfor: Hvad skal fabrikanten levere, hvad skal brugeren gøre, og hvordan ser man, om hele kæden også virker ude i produktionen?
1. Trin 3 er ikke en billigere udgave af trin 1 og 2
De tre trin i risikonedsættelsen er ikke tre ligeværdige valgmuligheder. Konstruktøren kan ikke frit vælge mellem at ændre designet, montere beskyttelsesforanstaltninger eller tilføje en advarsel alt efter, hvad der passer bedst i tidsplanen.
Rækkefølgen betyder noget.
Først skal man undersøge, om faren kan fjernes eller reduceres gennem konstruktionen. Hvis det ikke er tilstrækkeligt, anvendes tekniske og supplerende beskyttelsesforanstaltninger. Først for den risiko, der stadig består efter dette arbejde, udarbejdes information til brugeren.
Forestil dig, at en indstilling kræver, at hånden føres ind i en mekanismes bevægelsesområde. Fabrikanten kan flytte indstillingspunktet, ændre geometrien, begrænse energien eller etablere en afskærmning, en tvangskoblet låsning eller en sikker indstillingstilstand. Skriver man i stedet straks „må kun udføres af oplært personale”, er man ikke nået til trin 3. Man har bare sprunget de to første stationer over og undrer sig over, at toget stadig holder ved perronen.
Brugsinformation skal ikke forklare, hvorfor en mulig teknisk løsning blev fravalgt. Den skal beskrive den risiko, der trods de gennemførte foranstaltninger ikke kunne fjernes eller reduceres tilstrækkeligt. Kun i den situation taler vi reelt om restrisiko.
Hvad blev konkret ændret i konstruktionen og sikringen, før man besluttede, at brugeren skulle udføre den næste handling?
Hvis svaret omfatter en analyseret løsning, en gennemført foranstaltning, et verificeret resultat og en beskrivelse af den tilbageværende risiko, kan processen gå videre. Hvis svaret er „vi tilføjede et punkt i brugsanvisningen”, er teksten ikke trin 3. Den er pynt over manglende ingeniørarbejde.
Trin 1 behandles gennem indbyggede sikre konstruktionsløsninger, mens trin 2 omfatter tekniske beskyttelsesforanstaltninger på maskiner. Først derefter bliver informationen til brugeren resultatet af en teknisk proces frem for en sproglig erstatning for den.
2. Fabrikanten skal beskrive risikoen – ikke berolige sin samvittighed
Informationen skal gøre en konkret handling mulig. Hvis læseren stadig ikke ved, hvad der kan ske, under hvilken opgave det kan ske, og hvordan hændelsen forhindres, har fabrikanten leveret tekst, men ikke nødvendigvis brugbar information.
„Afbryd maskinen fra alle energikilder før service” lyder fornuftigt. Men hovedafbryderen aflaster ikke hydraulikken, tømmer ikke trykluftbeholderen, understøtter ikke en hævet maskindel og fjerner ikke energien fra en spændt fjeder. Fysikken underskriver ikke afleveringsprotokollen.
Brugbar information bør angive:
- under hvilken opgave risikoen opstår;
- hvor fareområdet befinder sig;
- hvem der kan blive udsat;
- hvilken hændelse der kan indtræffe, og hvilke følger den kan få;
- hvilke foranstaltninger fabrikanten har gennemført;
- hvilken risiko der fortsat består;
- hvad brugeren konkret skal gøre;
- hvilke kompetencer, værktøjer, procedurer eller værnemidler der kræves.
I stedet for en generel besked om energiafbrydelse kan det være nødvendigt at angive, at en bestemt forsyning skal afbrydes, en ventil lukkes og låses, trykket aflastes og kontrolleres, og en hævet enhed understøttes mekanisk. Det giver brugeren et reelt grundlag for en procedure for sikker afbrydelse og sikring mod genindkobling, en serviceinstruktion og målrettet oplæring.
Oplysningens placering er lige så vigtig. En risiko, som kræver øjeblikkelig reaktion, må ikke gemmes alene på side 143. Situationen kan kræve mærkning på maskinen, signaler, advarselsudstyr eller beskeder direkte ved arbejdsstedet. Operatøren skal ikke udføre biblioteksarbejde, mens anlægget er ved at miste trykket.
Ikke al information behøver være en advarsel. Noget skal fastlægge betingelserne for sikker brug: tilladte materialer, procesgrænser, installationskrav, kontrolintervaller, nødvendige kompetencer eller handlinger, som er forbudt på grund af en bestemt risiko. Betingelserne skal komme fra risikovurderingens forudsætninger – ikke fra et sent behov for at fylde kapitlet om sikkerhed.
Det hjælper heller ikke blot at skrive, at der findes restrisiko ved maskinen. Brugeren styrer ikke et abstrakt begreb. Brugeren styrer en konkret opgave, et menneske, en energikilde og faktiske arbejdsforhold.
God information fører fra „der består en risiko” til „derfor skal præcis dette gøres”. Alt derimellem er bekvem plads til uklarheder – lige indtil de skal forklares efter en ulykke.
3. Fabrikanten afslutter konstruktionen. Brugeren organiserer arbejdet
Figur 2 i ISO 12100 er ubekvem for begge parter. Fabrikanten kan ikke afslutte vurderingen med „resten sørger brugeren for”. Brugeren kan heller ikke tro, at CE-mærkningen automatisk har skrevet procedurerne, oplært serviceteknikerne og undersøgt, hvordan fejl bliver afhjulpet på natholdet.
Standarden viser to forskellige niveauer af restrisiko. Det første består efter de foranstaltninger, konstruktøren har fastlagt: indbygget sikker konstruktion, tekniske og supplerende beskyttelsesforanstaltninger samt brugsinformation. Fabrikanten skal identificere, vurdere og beskrive dette niveau.
Det andet niveau tager også højde for brugerens foranstaltninger. Det kan være arbejdsorganisering, procedurer, tilsyn, arbejdstilladelser, supplerende teknisk sikring, personlige værnemidler og oplæring.
Det er ikke to navne for samme resultat. Mellem dem ligger implementeringen.
| Fabrikanten leverer | Brugeren gennemfører |
|---|---|
| Beskrivelse af restrisiko og hændelsesforløb | Procedure for udførelse af opgaven |
| Betingelser for sikker brug | Arbejdsorganisering, der opfylder betingelserne |
| Krav til personalets kvalifikationer | Udvælgelse af personer og dokumentation af kompetencer |
| Krav til energiafbrydelse | Procedure for sikker afbrydelse samt system for tilladelser |
| Behov for supplerende foranstaltninger | Valg, installation og vedligeholdelse af dem |
| Krav til personlige værnemidler | Tilrådighedsstillelse, anvendelse og kontrol |
| Regler for kontrol og vedligeholdelse | Planlægning og dokumentation af udførelsen |
Ordet „bruger” skal også præciseres. Det er ikke kun operatøren ved startknappen. På brugersiden findes arbejdsgiveren, den vedligeholdelsesansvarlige, arbejdslederen, serviceteknikeren og operatøren. De har forskellige opgaver og behøver forskellige oplysninger.
Vedligeholdelseslederen skal kende kravene til energiafbrydelse og kontrol af sikringer. Arbejdslederen skal vide, hvem der må udføre bestemte opgaver. Operatøren skal have klare regler for normal drift, indstilling og fejl. At placere det hele i et afsnit med overskriften „Generelle bemærkninger” skaber ikke et sikkerhedssystem. Det skaber et afsnit, som ingen ønsker at læse.
Her mødes også fabrikantens risikovurdering af maskinen og arbejdsgiverens vurdering af det konkrete arbejde. De hænger sammen, men erstatter ikke hinanden. Fabrikanten vurderer maskinen inden for den tilsigtede anvendelse og det rimeligt forudsigelige misbrug. Arbejdsgiveren skal tage højde for arbejdsstedet, omgivelserne, organisationen, personalet og den proces, maskinen indgår i.
Samarbejde betyder derfor ikke, at ansvaret deles i to og afsluttes med en fælles underskrift. Hver part skal udføre sin del, og fabrikantens information skal gøre det muligt for brugeren at handle på et oplyst grundlag.
4. En procedure virker kun, når nogen faktisk bruger den
Selv den mest præcise information lukker ingen ventil, monterer ingen lås, kontrollerer ingen restenergi og forhindrer ingen genstart. Det skal brugeren organisere i praksis.
Hvis fastklemte emner kun må fjernes efter energiafbrydelse, skal virksomheden som minimum fastlægge:
- hvem der må standse maskinen;
- hvilke energikilder der skal afbrydes;
- hvor afbrydelsespunkterne findes;
- hvordan de sikres mod genindkobling;
- hvordan fravær af energi kontrolleres;
- hvem der må fjerne låsene;
- hvordan maskinen frigives til drift igen.
Uden disse beslutninger er „anvend LOTO” navnet på en procedure, ikke en procedure.
Dokumentet skal passe til den virkelige opgave. Hvis en blokering fjernes adskillige gange pr. skift, mens proceduren kræver tyve minutters stop af hele linjen, er fortsættelsen forudsigelig. Først kommer genvejen. Derefter en uofficiel praksis, som kun de erfarne kender. Til sidst fastgør nogen en lås med tape, så den „ikke er i vejen”.
Det er ikke et argument for at forenkle på bekostning af sikkerheden. Hyppige indgreb kan vise, at konstruktionen, processtabiliteten eller de tekniske foranstaltninger skal vurderes igen. Et velfungerende trin 3 sender sådanne erfaringer tilbage til risikovurderingen.
Det samme gælder oplæring. En deltagerliste dokumenterer, at bestemte personer opholdt sig i samme lokale i et bestemt tidsrum. Den dokumenterer ikke, at de kan udføre indstilling, rengøring eller service sikkert.
Oplæringen skal omfatte de virkelige opgaver, farerne, korrekt brug af beskyttelsesudstyret og håndtering af unormale situationer. Kompetencen skal kontrolleres i praksis, og oplæringen gentages efter væsentlige ændringer af maskinen, processen, proceduren eller ansvarsområdet.
Tilsyn er heller ikke kontrol af underskrifter. Det kræver observation af arbejdet, reaktion på omgåelse af sikringer og undersøgelse af, hvorfor medarbejdere vælger genveje. Én omgået lås kan skyldes en operatørfejl. Fem omgåede låse på samme linje siger også noget om maskinens design og produktionens organisering.
Personlige værnemidler kræver tilsvarende præcision. „Brug beskyttelseshandsker” fortæller ikke, hvad de skal beskytte imod, hvilke egenskaber de skal have, eller om de kan skabe en ny fare ved at blive grebet af bevægelige dele. Værnemidlet skal vælges til den konkrete opgave og dens faktiske betingelser.
Effekten kommer ikke af, at foranstaltningerne står i proceduren. Den kommer af, at de kan udføres, forstås, får den nødvendige tid og bliver kontrolleret. Et lamineret ark kan holde sig imponerende pænt i mange år – især hvis ingen rører ved det.
5. Et godt trin 3 efterlader et spor
Ved afleveringen husker konstruktøren, hvorfor brugsanvisningen kræver en bestemt procedure. Seks måneder senere ligger maskinen på en anden linje, dokumentationen har fået en ny ejer, og risikovurderingens forfatter arbejder på næste projekt.
„Service må kun udføres, efter at enheden er sikret mekanisk.”
Hvorfor kræves understøtning? Hvilken bevægelse kan forekomme? Hvilke andre foranstaltninger blev gennemført? Hvilken del skal understøttes, og i hvilken position? Svarene findes sandsynligvis et sted – måske i filen ENDELIG_risikovurdering_v8_rettet_2.xlsx.
Brugsinformationen skal kunne føres tilbage til et konkret risikoscenarie: fra den identificerede fare gennem de konstruktive og tekniske foranstaltninger til restrisikoen og den handling, brugeren skal udføre.
Sporet kan omfatte:
- opgaven og maskinens livsfase;
- farekilden og den mulige hændelse;
- udsatte personer og forventede konsekvenser;
- gennemførte risikonedsættende foranstaltninger;
- resultatet af verifikationen;
- beskrivelsen af restrisikoen;
- informationen i brugsanvisningen eller på maskinen;
- den handling, brugeren skal gennemføre;
- den ansvarlige for implementeringen;
- dokumentation for udførelse og kontrol af effekten.
Dokumentationen behøver ikke være endnu en stor rapport. Den kan være en godkendt procedure, et resultat fra funktionskontrol, en måleprotokol, en kompetencegodkendelse, et eftersynsnotat, et foto af mærkningen eller en teknisk beslutning med begrundelse. Beviset skal knytte sig til det konkrete krav – ikke blot erklære, at „sikkerheden er gennemgået”.
En mappe med dokumenter giver ikke automatisk sporbarhed. Hundrede filer ved siden af hinanden forklarer stadig ikke nødvendigvis, hvorfor beslutningen blev taget. Det afgørende er forbindelsen mellem scenariet, foranstaltningen, verifikationen, brugsinformationen og den efterfølgende handling.
Sporet skal også kunne overleve ændringer. Et nyt materiale, et andet værktøj, højere hastighed, flytning af maskinen eller en ny rengøringsmetode kan bryde fabrikantens forudsætninger. Brugeren skal kunne se, hvilke scenarier der skal vurderes igen. At gennemlæse alt fra første side er én metode – ligesom man kan finde en lækage ved at vente, til trykket er væk.
I sikkerhedssoftwaren bør kæden ikke slutte, når rapporten er genereret. Risikoscenariet, foranstaltningen, verifikationen, restrisikoen og dokumentationen skal forblive dele af samme proces. Så kan man genskabe både beslutningen, grundlaget, den ansvarlige og det, der efterfølgende blev gjort.
Kan en person, som ikke deltog i projektet, ud fra dokumentationen fastslå, hvilken risiko der er tilbage, og hvilken handling der skal gennemføres?
Hvis svaret er ja, har fabrikanten overdraget brugbar information. Hvis svaret er nej, har brugeren fået en teknisk gåde med bilag.