Υπάρχει ζώνη όπου ο χειριστής μπορεί να φτάσει με το χέρι. Υπάρχει κινούμενο στοιχείο που μπορεί να παγιδεύσει δάχτυλα. Υπάρχει εργασία που κάποιος θα κάνει πραγματικά: αφαίρεση εμπλοκής, καθαρισμός, ρύθμιση, έλεγχος μετά από στάση. Και μετά, στον πίνακα αξιολόγησης, εμφανίζεται η βολική γραμμή: υπολειπόμενος κίνδυνος — πληροφορία στο εγχειρίδιο — μην βάζετε τα χέρια.
Στο χαρτί φαίνεται τακτοποιημένο. Ο κίνδυνος περιγράφηκε. Το ρίσκο ονομάστηκε. Το εγχειρίδιο συμπληρώθηκε. Μόνο που στην ασφάλεια μηχανών αυτή η γραμμή πολύ συχνά δεν τακτοποιεί τίποτα. Απλώς το σκεπάζει.
Γιατί ο υπολειπόμενος κίνδυνος δεν είναι το καλάθι όπου πετάμε ό,τι δεν λύθηκε στον σχεδιασμό. Δεν είναι τρόπος να φύγει η ευθύνη από τον κατασκευαστή και να προσγειωθεί στον χρήστη. Είναι αυτό που μένει αφού έχει γίνει η μηχανολογική δουλειά: αφού εξετάστηκε αν η επικίνδυνη κατάσταση μπορεί να εξαλειφθεί με τον σχεδιασμό, αφού επιλέχθηκαν τεχνικά μέτρα προστασίας, αφού ελέγχθηκε αν οι λύσεις μειώνουν πράγματι την έκθεση του ανθρώπου.
Μόνο τότε μπορείς να πεις καθαρά: εδώ μένει κάτι και ο χρήστης πρέπει να το γνωρίζει.
Στην πράξη, όμως, τα όρια θολώνουν. Ο κατασκευαστής λέει: «το γράψαμε στο εγχειρίδιο». Ο ολοκληρωτής λέει: «ο χρήστης πρέπει να εκπαιδεύσει το προσωπικό». Ο χρήστης ακούει: «είναι θέμα οργάνωσης εργασίας». Όμως το ISO 12100 και ο Κανονισμός (ΕΕ) 2023/1230 για τα μηχανήματα βάζουν την ευθύνη σε συγκεκριμένη σειρά: πρώτα σχεδιασμός, μετά μέτρα προστασίας, στο τέλος πληροφορία.
Το ίδιο πρόβλημα γυρίζει σήμερα και στις συνδεδεμένες μηχανές. Απομακρυσμένη πρόσβαση, λογαριασμοί τεχνικής υποστήριξης, παραμετροποίηση ελεγκτή, HMI, ενημερώσεις και δεδομένα δεν είναι μόνο υπόθεση του IT του χρήστη, όταν μπορούν να επηρεάσουν την ασφάλεια της μηχανής. Δεν αρκεί να γράψεις: «ο χρήστης πρέπει να ασφαλίσει το δίκτυο». Ο κατασκευαστής πρέπει να παραδώσει μηχανή που λαμβάνει αυτά τα ρίσκα υπόψη από την αρχή.
Άρα η ερώτηση δεν είναι αν μπήκε προειδοποίηση στο εγχειρίδιο. Η ερώτηση είναι πιο άβολη: τι έκανε ο κατασκευαστής πριν γράψει αυτή την προειδοποίηση;
Ο υπολειπόμενος κίνδυνος δεν είναι κενό πεδίο στον πίνακα
Στο ISO 12100 αξίζει να σταθεί κανείς σε ένα σχήμα. Όχι μόνο στον ορισμό. Όχι μόνο στη μέθοδο των τριών βημάτων. Στο σχήμα που δείχνει τη μείωση του κινδύνου από την οπτική του σχεδιαστή. Αυτό το σχήμα βάζει τάξη στην ευθύνη: πρώτα υπάρχει ο κίνδυνος που συνδέεται με τη μηχανή, μετά η συμβολή του σχεδιαστή, μετά ο υπολειπόμενος κίνδυνος μετά τα μέτρα που λαμβάνει ο σχεδιαστής, μετά η συμβολή του χρήστη και στο τέλος ο υπολειπόμενος κίνδυνος μετά από όλα τα μέτρα προστασίας.
Δεν είναι διακοσμητικό διάγραμμα για σεμινάριο. Είναι γραμμή στο πάτωμα. Και αυτή τη γραμμή δεν την πατάμε.
Στην πλευρά του σχεδιαστή μπαίνουν οι εγγενώς ασφαλείς σχεδιαστικές λύσεις, τα τεχνικά μέτρα προστασίας, τα συμπληρωματικά μέτρα προστασίας και οι πληροφορίες για τη χρήση. Στην πλευρά του χρήστη μπαίνουν η οργάνωση εργασίας, οι διαδικασίες, η επίβλεψη, τα συστήματα αδειοδότησης εργασιών, τα πρόσθετα τεχνικά μέτρα, τα μέσα ατομικής προστασίας και η εκπαίδευση.
Αυτό σημαίνει ότι ο υπολειπόμενος κίνδυνος βρίσκεται πράγματι στο όριο μεταξύ κατασκευαστή και χρήστη. Όχι όμως με την έννοια ότι ο καθένας γράφει εκεί ό,τι τον βολεύει. Ο κατασκευαστής δεν μπορεί να σπρώξει σε αυτή τη ζώνη έναν κίνδυνο που δεν θέλησε να λύσει με σχεδιασμό. Και ο χρήστης δεν μπορεί να κάνει ότι δεν είδε το εγχειρίδιο, όταν ο κατασκευαστής έχει περιγράψει τίμια κινδύνους που δεν ήταν εφικτό να εξαλειφθούν από τη μηχανή.
Εδώ είναι που η φράση γίνεται επικίνδυνη. Ακούγεται τεχνική, άρα καλύπτει εύκολα την απουσία απόφασης. Κάποιος βλέπει σημείο παγίδευσης. Κάποιος ξέρει ότι ο χειριστής θα αφαιρεί εμπλοκές. Κάποιος ξέρει ότι στον καθαρισμό το χέρι θα πάει κοντά σε κινούμενο στοιχείο. Και παρ’ όλα αυτά στον πίνακα γράφεται: «υπολειπόμενος κίνδυνος — μην βάζετε τα χέρια».
Αυτή η φράση δεν αποδεικνύει ότι έχουμε υπολειπόμενο κίνδυνο. Αποδεικνύει μόνο ότι κάποιος βάφτισε το πρόβλημα έτσι.
Για να χρησιμοποιηθεί σωστά ο όρος, πρέπει να φαίνεται η διαδρομή. Τι έγινε στον σχεδιασμό; Μπορούσε να αλλάξει η γεωμετρία, η απόσταση, η ενέργεια, η ταχύτητα, η πρόσβαση ή ο τρόπος ρύθμισης; Ποιοι προφυλακτήρες, ποιες διατάξεις αλληλομανδάλωσης, ποια ασφάλιση μανδάλωσης, ποιοι τρόποι λειτουργίας και ποιες λειτουργίες ασφαλείας εξετάστηκαν; Γιατί ένα μέρος του κινδύνου πρέπει πράγματι να μεταφερθεί ως πληροφορία στον χρήστη;
Μόνο τέτοια απάντηση ανεβάζει το θέμα από το επίπεδο «το γράψαμε στο εγχειρίδιο» στο επίπεδο αξιολόγησης κινδύνου σύμφωνα με το ISO 12100. Το πρότυπο λέει καθαρά ότι τα μέτρα στο στάδιο του σχεδιασμού προτιμώνται έναντι των μέτρων στην πλευρά του χρήστη, γιατί συνήθως δουλεύουν πιο σταθερά και πιο αποτελεσματικά. Το ίδιο ενισχύει και το ISO/TR 14121-2: η πληροφορία προς τον χρήστη πρέπει να οδηγεί σε σωστή και ασφαλή χρήση της μηχανής και να προειδοποιεί για κινδύνους που έμειναν μετά τη μείωση μέσω σχεδιασμού και προστατευτικών λύσεων.
Οι διαδικασίες, η εκπαίδευση και το LOTO έχουν τη θέση τους. Αλλά δεν υπάρχουν για να σώζουν ό,τι ο κατασκευαστής δεν δούλεψε στη μηχανή. Αλλιώς δεν μιλάμε για υπολειπόμενο κίνδυνο. Μιλάμε για κίνδυνο που έμεινε στον χρήστη σαν λογαριασμός.
Τρεις περιπτώσεις όπου ο υπολειπόμενος κίνδυνος γίνεται βολικό άλλοθι
1. Παγίδευση: το «μην βάζετε τα χέρια» δεν είναι μέτρο προστασίας
Ας το κατεβάσουμε στο πάτωμα του εργοστασίου.
Η μηχανή έχει κινούμενο στοιχείο. Ο χειριστής μπορεί να φτάσει κοντά του όταν αφαιρεί εμπλοκή, καθαρίζει, τροφοδοτεί χειροκίνητα ένα τεμάχιο ή κάνει ρύθμιση. Στην αξιολόγηση κινδύνου εμφανίζεται κίνδυνος παγίδευσης. Στη στήλη των μέτρων προστασίας εμφανίζεται: «προειδοποίηση στο εγχειρίδιο». Και στο εγχειρίδιο η φράση: «μην βάζετε τα χέρια στη ζώνη εργασίας της μηχανής».
Σας θυμίζει κάτι;
Με την πρώτη ματιά, ο φάκελος δείχνει πλήρης. Υπάρχει κίνδυνος. Υπάρχει γραμμή. Υπάρχει προειδοποίηση. Μόνο που η ασφάλεια μηχανής δεν είναι παιχνίδι όπου κάθε κενό πεδίο στον πίνακα πρέπει να πάρει κάτι, οτιδήποτε, για να κλείσει.
Η σωστή ερώτηση είναι: τι έγινε πριν από την προειδοποίηση;
Προσπάθησε κάποιος να εξαφανίσει το σημείο παγίδευσης με αλλαγή γεωμετρίας; Περιορίστηκε η δύναμη, η ταχύτητα ή η ενέργεια της κίνησης; Μεταφέρθηκε η ρύθμιση έξω από την επικίνδυνη ζώνη; Προβλέφθηκε τρόπος ρύθμισης με μειωμένο κίνδυνο; Επιλέχθηκε προφυλακτήρας, διάταξη αλληλομανδάλωσης, ασφάλιση μανδάλωσης, χειρισμός συνεχούς ενεργοποίησης ή διάταξη ενεργοποίησης; Ελέγχθηκε πώς ο χειριστής θα αφαιρεί πραγματικά την εμπλοκή, όχι πώς θα έπρεπε να το κάνει σε ένα τέλειο εγχειρίδιο;
Αν η απάντηση είναι: «όχι, αλλά γράψαμε να μην βάζει τα χέρια», τότε δεν μιλάμε ακόμη για υπολειπόμενο κίνδυνο. Μιλάμε για κίνδυνο που ονομάστηκε έτσι επειδή ήταν ο πιο εύκολος τρόπος να κλείσει η γραμμή.
2. Πρόσβαση και πλατφόρμες: αν η εργασία είναι προβλέψιμη, δεν είναι έκπληξη του χρήστη
Δεύτερο παράδειγμα. Συχνά δεν φαίνεται καν σαν θέμα αξιολόγησης κινδύνου μηχανής.
Ένα φίλτρο πρέπει να αλλάζει κάθε εβδομάδα. Ένας αισθητήρας πρέπει να καθαρίζεται σε κάθε αλλαγή μορφής. Ένα σημείο λίπανσης βρίσκεται δύο μέτρα πάνω από το δάπεδο. Ένα εξάρτημα πρέπει περιοδικά να αφαιρείται από το εσωτερικό της μηχανής. Ο κατασκευαστής γράφει στο εγχειρίδιο: «οι εργασίες να εκτελούνται με τήρηση των κανόνων ασφάλειας και με χρήση κατάλληλων μέσων πρόσβασης».
Ωραία. Ποιων μέσων πρόσβασης;
Σκάλα από την αποθήκη; Κινητή πλατφόρμα της συντήρησης; Πάτημα στο πλαίσιο της μηχανής; Πάτημα σε προφίλ αλουμινίου επειδή «έτσι το κάνουμε πάντα»; Ή μήπως ο τεχνικός κρατιέται με το ένα χέρι από τον προφυλακτήρα, ξεβιδώνει με το δεύτερο και με το τρίτο — που δεν έχει — προσέχει το εργαλείο;
Εδώ η θεωρία συναντά την πραγματικότητα. Αν ο κατασκευαστής προβλέπει τακτική εργασία χειρισμού, συντήρησης, καθαρισμού ή ρύθμισης, πρέπει να ρωτήσει: πώς θα φτάσει ο άνθρωπος εκεί με ασφάλεια, πού θα σταθεί και πώς θα δουλέψει χωρίς πατέντες;
Δεν σημαίνει ότι κάθε εργασία σε ύψος απαιτεί τεράστια μεταλλική εξέδρα. Αλλά δεν γίνεται και το αντίθετο: να κάνουμε ότι η πρόσβαση σε συχνό σημείο συντήρησης είναι αποκλειστικά πρόβλημα του χρήστη. Το ISO 12100 δείχνει ότι οι συνήθεις εργασίες χειρισμού, ρύθμισης και συντήρησης πρέπει, όπου είναι εφικτό, να γίνονται από το επίπεδο του δαπέδου. Όταν αυτό δεν γίνεται, πρέπει να προβλέπεται ασφαλής πρόσβαση: πλατφόρμες, σκάλες, διάδρομοι, κιγκλιδώματα ή άλλες λύσεις. Εδώ μπαίνει και η σειρά ISO 14122 για τα μόνιμα μέσα πρόσβασης σε μηχανές.
Και τότε το ερώτημα κόβει: αν υπάρχει τεχνικό μέτρο που επιτρέπει ασφαλή εβδομαδιαία αλλαγή, ρύθμιση ή συντήρηση, γιατί θεωρούμε από την αρχή ότι ο χρήστης θα το λύσει οργανωτικά; Γιατί δεν προβλέφθηκε σταθερή πλατφόρμα στον σχεδιασμό; Γιατί το εγχειρίδιο απαιτεί συχνή εργασία σε δύσκολη θέση, αλλά η μηχανή δεν δίνει στον άνθρωπο ασφαλές σημείο εργασίας;
Αυτά δεν είναι ακαδημαϊκά ερωτήματα. Είναι ερωτήματα παραλαβής, ελέγχου, ατυχήματος, καθημερινής παραγωγής.
3. Απομακρυσμένη πρόσβαση: δεν είναι όλα δουλειά του IT
Το τρίτο παράδειγμα μοιάζει πιο σύγχρονο, αλλά ο μηχανισμός είναι ο ίδιος.
Η μηχανή έχει απομακρυσμένη πρόσβαση. Έχει ελεγκτή, HMI, βιομηχανικό υπολογιστή, λογαριασμούς τεχνικής υποστήριξης, δυνατότητα ενημέρωσης, μεταφορά δεδομένων, ίσως σύνδεση με ανώτερο σύστημα. Ο κατασκευαστής λέει: «ο χρήστης πρέπει να ασφαλίσει το δίκτυο». Το IT παίρνει το θέμα μετά την παραλαβή. Η συντήρηση θέλει να συνδέεται γρήγορα ο τεχνικός υποστήριξης. Η παραγωγή θέλει να δουλεύει η γραμμή. Όλοι έχουν δίκιο από τη δική τους πλευρά.
Αλλά ας ρωτήσουμε κάτι απλό: μπορεί παραβίαση αυτής της στρώσης να επηρεάσει την ασφάλεια της μηχανής;
Αν η απομακρυσμένη πρόσβαση επιτρέπει αλλαγή παραμέτρων, τρόπων λειτουργίας, λογικής ελέγχου, διαμόρφωσης HMI ή δεδομένων σημαντικών για λειτουργίες ασφαλείας, δεν είναι απλώς θέμα εταιρικού δικτύου. Αν η μηχανή παραδίδεται με προεπιλεγμένους κωδικούς, ασαφείς λογαριασμούς, ανοιχτή απομακρυσμένη πρόσβαση ή θολή διαδικασία ενημέρωσης, δύσκολα λες ότι όλος ο κίνδυνος κυβερνοασφάλειας ανήκει στον χρήστη.
Ο χρήστης έχει φυσικά υποχρεώσεις. Πρέπει να διαχειρίζεται δίκτυο, λογαριασμούς, προσβάσεις, αντίγραφα ασφαλείας, ενημερώσεις, τμηματοποίηση και διαδικασίες αλλαγών. Αλλά ο κατασκευαστής δεν μπορεί να παραδώσει μηχανή σε κατάσταση «κάπως θα το ασφαλίσετε» και να το ονομάσει υπολειπόμενο κίνδυνο. Ειδικά με τον Κανονισμό (ΕΕ) 2023/1230 για τα μηχανήματα, η κυβερνοασφάλεια πλησιάζει ξεκάθαρα την ασφάλεια μηχανών όταν παραβίαση εξοπλισμού, λογισμικού ή δεδομένων μπορεί να οδηγήσει σε επικίνδυνη κατάσταση.
Η ίδια λογική ισχύει εδώ όπως και στον προφυλακτήρα: πρώτα σχεδιασμός, μετά τεχνικά μέτρα, μετά πληροφορία προς τον χρήστη. Όχι ανάποδα.
Πότε ο υπολειπόμενος κίνδυνος είναι πραγματικά υπολειπόμενος;
Μετά από αυτά τα παραδείγματα φαίνεται καθαρά ένα πράγμα: δεν αξίζει κάθε κίνδυνος που έμεινε στη μηχανή να ονομάζεται αυτόματα υπολειπόμενος κίνδυνος.
Τι σημαίνει δηλαδή «έμεινε»;
Έμεινε μετά από αλλαγή σχεδιασμού; Έμεινε μετά από προφυλακτήρα, διάταξη αλληλομανδάλωσης, ασφάλιση μανδάλωσης ή ειδικό τρόπο ρύθμισης; Έμεινε αφού μεταφέρθηκε σημείο λίπανσης έξω από επικίνδυνη ζώνη; Έμεινε αφού σχεδιάστηκε σταθερή πρόσβαση για συντήρηση; Ή έμεινε επειδή κανείς δεν ήθελε να το αγγίξει και ήταν πιο εύκολο να προστεθεί μια προειδοποίηση;
Αυτές είναι δύο εντελώς διαφορετικές καταστάσεις.
Το ISO 12100 το χωρίζει καθαρά: υπάρχει υπολειπόμενος κίνδυνος μετά τα μέτρα του σχεδιαστή και υπάρχει υπολειπόμενος κίνδυνος μετά από όλα τα μέτρα, δηλαδή και αυτά που λαμβάνει ο χρήστης. Ανάμεσα στα δύο υπάρχει η περιοχή όπου η πληροφορία του κατασκευαστή πρέπει να αξιοποιηθεί πραγματικά από την οργάνωση εργασίας του χρήστη.
Γι’ αυτό ο όρος δεν μπαίνει σαν χαλαρή στήλη. Δεν είναι θέση για το «ο χρήστης θα είναι προσεκτικός». Είναι θέση για συγκεκριμένο συμπέρασμα μετά από δουλειά σχεδιασμού.
Το πιο απλό φίλτρο φαίνεται έτσι:
| Ερώτηση | Αν η απάντηση είναι «ναι» | Αν η απάντηση είναι «όχι» |
|---|---|---|
| Περιγράφεται συγκεκριμένα η επικίνδυνη κατάσταση: πού, πότε, ποιος εκτίθεται και σε ποια εργασία; | Μπορούμε να συνεχίσουμε την αξιολόγηση. | Δεν έχουμε ακόμη αξιολόγηση κινδύνου, μόνο γενική περιγραφή. |
| Έλεγξε ο κατασκευαστής αν η επικίνδυνη κατάσταση μπορεί να εξαλειφθεί με σχεδιασμό; | Προχωράμε σύμφωνα με τη λογική του ISO 12100. | Η προειδοποίηση στο εγχειρίδιο μπήκε πολύ νωρίς. |
| Εξετάστηκαν τεχνικά μέτρα προστασίας: προφυλακτήρες, διατάξεις αλληλομανδάλωσης, ασφάλιση μανδάλωσης, τρόποι λειτουργίας, χειρισμός συνεχούς ενεργοποίησης, περιορισμός ενέργειας, ταχύτητας ή δύναμης; | Μπορεί να τεκμηριωθεί γιατί ένα μέρος του κινδύνου μένει. | Ο κίνδυνος μάλλον δεν είναι υπολειπόμενος. Είναι αδούλευτος. |
| Έδειξε ο κατασκευαστής γιατί δεν εφαρμόστηκε συγκεκριμένο μέτρο; | Η τεκμηρίωση δείχνει μηχανολογική απόφαση. | Υπάρχει κενό. Και το κενό δεν γίνεται υπολειπόμενος κίνδυνος επειδή το βαφτίσαμε έτσι. |
| Είναι συγκεκριμένη η πληροφορία προς τον χρήστη; | Ο χρήστης ξέρει τι πρέπει να κάνει: πότε, πώς, με τι και υπό ποιες συνθήκες. | Το «να τηρείται προσοχή» ή «μην βάζετε τα χέρια» δεν αρκεί. |
| Έχει ο χρήστης πραγματικό έλεγχο πάνω στο συγκεκριμένο μέτρο; | Μπορεί να είναι περιοχή ευθύνης του χρήστη: εκπαίδευση, LOTO, επίβλεψη, διαδικασία, συντήρηση, μέσα ατομικής προστασίας, οργάνωση εργασίας. | Δεν επιτρέπεται να προσποιούμαστε ότι ο χρήστης αναλαμβάνει κάτι που δεν μπορεί να ελέγξει αποτελεσματικά. |
| Μπορεί το μέτρο στην πλευρά του χρήστη να διατηρηθεί στην πράξη; | Μπορούμε να μιλήσουμε για κοινή ευθύνη. | Αν απαιτεί μόνιμο «κυνήγι ανθρώπων» ενώ υπήρχε τεχνική λύση, το θέμα επιστρέφει στον κατασκευαστή. |
| Μετά την εφαρμογή του μέτρου προστασίας ελέγχθηκε αν δημιουργήθηκε νέος κίνδυνος; | Η αξιολόγηση κινδύνου έχει κλειστό κύκλο. | Η διαδικασία δεν τελείωσε. Το ISO/TR 14121-2 θυμίζει ότι μετά τα μέτρα πρέπει να ελεγχθεί ξανά αν ο κίνδυνος μειώθηκε και αν εμφανίστηκαν νέες επικίνδυνες καταστάσεις. |
Αυτός ο πίνακας δεν είναι επίσημος αλγόριθμος. Είναι φίλτρο κοινής λογικής. Αν αφού τον περάσουμε μας μένει μόνο η φράση «ο χειριστής να προσέχει», τότε είμαστε πολύ νωρίς. Δεν φτάσαμε ακόμη στον υπολειπόμενο κίνδυνο.
Ας χωρίσουμε και την ευθύνη χωρίς ομίχλη:
| Πεδίο | Τι πρέπει να κάνει ο κατασκευαστής | Τι αναλαμβάνει ρεαλιστικά ο χρήστης |
|---|---|---|
| Παγίδευση, σύνθλιψη, επαφή με κίνηση | Σχεδιασμός, γεωμετρία, περιορισμός ενέργειας, προφυλακτήρες, διατάξεις αλληλομανδάλωσης, τρόποι λειτουργίας, λειτουργίες ασφαλείας, σαφής περιγραφή του κινδύνου που δεν εξαλείφθηκε. | Εκπαίδευση, επίβλεψη, διατήρηση προφυλακτήρων και διατάξεων αλληλομανδάλωσης, διαδικασίες αφαίρεσης εμπλοκών, απαγόρευση παράκαμψης μέτρων προστασίας. |
| Καθαρισμός, ρύθμιση, συντήρηση | Πρόβλεψη αυτών των εργασιών στην αξιολόγηση κινδύνου, περιορισμός πρόσβασης σε επικίνδυνες ζώνες, τρόποι λειτουργίας συντήρησης, σημεία ρύθμισης έξω από τη ζώνη, ασφαλής πρόσβαση. | Οργάνωση εργασιών, προσόντα προσωπικού, LOTO, πρόγραμμα συντήρησης, έλεγχος κατάστασης μέτρων προστασίας. |
| Πρόσβαση σε ύψος, πλατφόρμες, διάδρομοι | Εκτίμηση αν η εργασία είναι συχνή και προβλέψιμη· σχεδιασμός ή σαφής καθορισμός απαιτήσεων για μόνιμο μέσο πρόσβασης, όταν χρειάζεται. | Διατήρηση προσβάσεων, τάξη και καθαριότητα, χρήση κατάλληλου προσωπικού, εφαρμογή διαδικασιών και μέτρων που όρισε ο κατασκευαστής. |
| Κυβερνοασφάλεια και απομακρυσμένη πρόσβαση | Ασφαλής αρχιτεκτονική, περιορισμός πρόσβασης, έλεγχος λογαριασμών, περιγραφή διεπαφών, κανόνες ενημερώσεων, προστασία δεδομένων και λογισμικού που σχετίζονται με την ασφάλεια. | Τμηματοποίηση δικτύου, διαχείριση λογαριασμών, διαδικασίες αλλαγών, αντίγραφα ασφαλείας, επίβλεψη πρόσβασης τεχνικής υποστήριξης. |
| Πληροφορία στο εγχειρίδιο | Συγκεκριμένες προειδοποιήσεις, περιγραφή κινδύνου, συνθήκες ασφαλούς χρήσης, απαιτούμενα μέτρα στην πλευρά του χρήστη, απαγορεύσεις και περιορισμοί χρήσης. | Εφαρμογή της πληροφορίας στην πράξη: εκπαίδευση, οδηγίες θέσης εργασίας, επίβλεψη, επιβολή κανόνων. |
Εδώ είναι η ουσία. Ο υπολειπόμενος κίνδυνος μπορεί να είναι κοινός. Αλλά κοινός δεν σημαίνει θολός. Κοινός δεν σημαίνει: «ο κατασκευαστής έγραψε, ο χρήστης φταίει». Κοινός δεν σημαίνει: «το τμήμα ασφάλειας θα γράψει διαδικασία, άρα ο σχεδιασμός είναι εντάξει».
Κοινός σημαίνει κάτι πολύ πιο απαιτητικό: ο κατασκευαστής δείχνει τι έκανε στην πλευρά της μηχανής και ο χρήστης αναλαμβάνει ό,τι πραγματικά εξαρτάται από την οργάνωση εργασίας, την επίβλεψη, τη συντήρηση και τις συνθήκες λειτουργίας.
Ο πίνακας βάζει τάξη, αλλά δεν αντικαθιστά την πραγματική δουλειά
Οι πίνακες βοηθούν. Δεν κάνουν όμως τη δουλειά του μηχανικού. Το θέμα γίνεται σοβαρό μόνο όταν κατεβαίνει από τις γενικές φράσεις στην πραγματική εργασία πάνω στη μηχανή.
Είναι εύκολο να γράψεις: «ο χρήστης εξασφαλίζει την οργάνωση εργασίας», «ο χρήστης χρησιμοποιεί κατάλληλα μέσα πρόσβασης», «ο χρήστης ασφαλίζει το δίκτυο». Είναι πιο δύσκολο να ελέγξεις αν ο χρήστης πήρε μηχανή που μπορεί να χειριστεί, να καθαρίσει και να συντηρήσει με ασφάλεια.
Για να μην μένει το θέμα σε συνθήματα, ο πρακτικός έλεγχος μοιάζει κάπως έτσι:
Πλατφόρμα συντήρησης: πρόσβαση ή πραγματική θέση εργασίας;
Πάρτε μια πλατφόρμα συντήρησης. Στο σχέδιο φαίνεται σωστή. Μεταλλική κατασκευή, σχάρα, κιγκλίδωμα, είσοδος. Προβλέφθηκε πρόσβαση; Ναι. Έκλεισε το θέμα; Όχι απαραίτητα.
Πρώτα ρωτάμε: για ποια εργασία υπάρχει αυτή η πλατφόρμα;
Αν ένας εργαζόμενος ανεβαίνει μία φορά τον χρόνο για να διαβάσει ένδειξη ή να δει πινακίδα, έχουμε μία κατάσταση. Αν όμως από την ίδια πλατφόρμα πρέπει να αλλάζει τακτικά μοτέρ, μειωτήρας, κύλινδρος, ράουλο, κεφαλή, φίλτρο ή άλλο αναλώσιμο εξάρτημα, δεν μιλάμε απλώς για «πρόσβαση». Μιλάμε για θέση εργασίας συντήρησης.
Και τότε η γενική φράση στο εγχειρίδιο δεν φτάνει.
Ποιος ανεβαίνει; Ένας εργαζόμενος ή δύο τεχνικοί συντήρησης; Τι θα πάρουν μαζί τους; Εργαλειοθήκη, δυναμόκλειδο, ιμάντες ανάρτησης, ανταλλακτικό; Τι θα αποσυναρμολογήσουν; Κάλυμμα 20 kg, μοτέρ 80 kg, μειωτήρα 150 kg ή κινητήρα 500 kg; Πού θα ακουμπήσει το εξάρτημα αφού λυθεί; Στην πλατφόρμα; Σε καρότσι; Σε ανάρτηση; Υπάρχει πύλη μεταφοράς, σημείο ανάρτησης, ανυψωτικό μέσο, διαδρομή εξαγωγής και χώρος για δύο ανθρώπους; Η φέρουσα ικανότητα αφορά μόνο άνθρωπο ή και εργαλεία, ανταλλακτικά, τοπικά φορτία και δυνάμεις αποσυναρμολόγησης;
Αυτές είναι ερωτήσεις από το εργοστάσιο. Όχι από παρουσίαση.
Αν το εγχειρίδιο λέει ότι κινητήρας 500 kg αλλάζει από την πλατφόρμα, η πλατφόρμα πρέπει να αντέχει και να εξυπηρετεί αυτή την εργασία. Όχι έναν «χειριστή με κλειδί». Την πραγματική εργασία: δύο άνθρωποι, εργαλεία, αποσυναρμολογούμενο εξάρτημα, χειρισμοί, προστασία από πτώση, μεταφορά και ασφαλής κάθοδος στο δάπεδο.
Αλλιώς έχουμε ψευδαίσθηση λύσης. Η πλατφόρμα υπάρχει, αλλά δεν λύνει την εργασία. Η πρόσβαση υπάρχει, αλλά δεν εξασφαλίζει ασφαλή συντήρηση. Το εγχειρίδιο περιγράφει τη δουλειά, αλλά ο σχεδιασμός δεν δίνει τις συνθήκες για να γίνει.
Και τώρα η κρίσιμη ερώτηση: είναι αυτό υπολειπόμενος κίνδυνος;
Αν ο κατασκευαστής προέβλεψε τακτική εργασία συντήρησης αλλά δεν προέβλεψε τρόπο ασφαλούς εκτέλεσης, δύσκολα μιλάμε για τίμια περιγραφή υπολειπόμενου κινδύνου. Μάλλον μιλάμε για μισοτελειωμένη ιδέα χειρισμού και συντήρησης της μηχανής. Ο χρήστης ευθύνεται για την οργάνωση εργασίας, τα προσόντα των ανθρώπων, το LOTO, την επίβλεψη και τη διατήρηση της πλατφόρμας σε καλή κατάσταση. Δεν πρέπει όμως να ανακαλύπτει μετά την παραλαβή ότι για να αλλάξει ένα βαρύ συγκρότημα χρειάζεται αυτοσχεδιασμό.
admin/admin: το ψηφιακό ισοδύναμο της αδύναμης πλατφόρμας
Παρόμοια είναι η εικόνα στην κυβερνοασφάλεια.
Η μηχανή φτάνει με λογαριασμό τεχνικής υποστήριξης. Όνομα χρήστη: admin. Κωδικός: admin. Η απομακρυσμένη πρόσβαση λειτουργεί, γιατί «η υποστήριξη πρέπει κάπως να συνδέεται». Η τεκμηρίωση λέει ότι ο χρήστης πρέπει να ασφαλίσει το δίκτυο. Το IT το βλέπει μετά την εκκίνηση. Η συντήρηση δεν θέλει εμπόδια, γιατί η μηχανή πρέπει να παράγει. Η τεχνική υποστήριξη θέλει γρήγορη επέμβαση.
Η ερώτηση, πάλι, είναι απλή: παρέδωσε ο κατασκευαστής μηχανή σε ασφαλή προεπιλεγμένη διαμόρφωση;
Δεν ζητάμε από τον κατασκευαστή να αναλάβει όλο το δίκτυο του εργοστασίου. Αυτό θα ήταν εκτός πραγματικότητας. Ο χρήστης πρέπει να διαχειρίζεται προσβάσεις, τμηματοποίηση, αντίγραφα ασφαλείας, διαδικασίες αλλαγών, λογαριασμούς, ενημερώσεις και επίβλεψη συνδέσεων τεχνικής υποστήριξης.
Αλλά ο κατασκευαστής δεν μπορεί να παραδώσει μηχανή με προφανή αδυναμία και να πει: «αυτό είναι θέμα του IT σας». Αν απομακρυσμένη πρόσβαση, λογαριασμοί, λογισμικό, διαμόρφωση HMI ή δεδομένα μπορούν να επηρεάσουν τη συμπεριφορά της μηχανής, αυτή η στρώση ανήκει στην αξιολόγηση ασφάλειας. Όπως ανήκει ο προφυλακτήρας. Όπως ανήκει η διάταξη αλληλομανδάλωσης. Όπως ανήκει ο τρόπος λειτουργίας συντήρησης.
Το admin/admin δεν είναι λεπτομέρεια. Είναι το ψηφιακό ισοδύναμο πλατφόρμας που φαίνεται να υπάρχει, αλλά δεν έχει φέρουσα ικανότητα για την πραγματική δουλειά. Στην τεκμηρίωση υπάρχει κάτι. Στην πραγματικότητα ο χρήστης παίρνει πρόβλημα για επισκευή.
Καλή πληροφορία προς τον χρήστη δεν είναι το «ασφαλίστε το δίκτυο». Καλή πληροφορία λέει ποιοι λογαριασμοί υπάρχουν, ποιοι ρόλοι πρόσβασης προβλέπονται, τι πρέπει να αλλάξει στην πρώτη εκκίνηση, πώς λειτουργεί η απομακρυσμένη τεχνική υποστήριξη, ποιος μπορεί να ενημερώνει λογισμικό, ποια στοιχεία διαμόρφωσης έχουν σημασία για την ασφάλεια, πώς αποκαθίστανται οι ρυθμίσεις και ποιες δικτυακές συνθήκες έλαβε υπόψη ο κατασκευαστής για ασφαλή λειτουργία.
Μόνο τότε μπορούμε να μιλήσουμε καθαρά για ευθύνη χρήστη. Τότε ο χρήστης ξέρει τι αναλαμβάνει. Τότε ο υπολειπόμενος κίνδυνος βρίσκεται πράγματι στο όριο μηχανής και οργάνωσης εργασίας.
Χωρίς αυτό, έχουμε απλώς μεταφορά προβλήματος.
Η τελική δοκιμή: τι έκανε ο κατασκευαστής πριν γράψει την προειδοποίηση;
Αυτό είναι το ερώτημα που αξίζει να μπαίνει σε κάθε αξιολόγηση κινδύνου, σε κάθε παραλαβή μηχανής και σε κάθε συζήτηση με προμηθευτή.
Ο κατασκευαστής μείωσε πραγματικά τον κίνδυνο ή απλώς τον περιέγραψε στον χρήστη;
Η διαφορά είναι τεράστια. Αν ο κατασκευαστής έκανε τη δουλειά του, ο χρήστης πρέπει να πάρει τις πληροφορίες σοβαρά. Να εκπαιδεύσει ανθρώπους. Να διατηρήσει τα μέτρα προστασίας. Να οργανώσει εργασίες. Να μη παρακάμπτει προφυλακτήρες και διατάξεις αλληλομανδάλωσης. Να εφαρμόζει LOTO. Να ελέγχει προσβάσεις. Να κρατά τη μηχανή στην κατάσταση για την οποία αξιολογήθηκε.
Αν όμως ο κατασκευαστής δεν έκανε τη δουλειά του, το εγχειρίδιο δεν επισκευάζει τον σχεδιασμό.
Οι φράσεις «μην βάζετε τα χέρια», «χρησιμοποιήστε κατάλληλη πλατφόρμα» και «ασφαλίστε το δίκτυο» μπορεί να είναι χρήσιμες. Μπορεί να είναι μέρος του τελικού πακέτου ασφάλειας. Δεν μπορούν όμως να παριστάνουν ότι πριν από αυτές δεν έπρεπε να γίνουν πιο δύσκολες ερωτήσεις.
Ο υπολειπόμενος κίνδυνος δεν υπάρχει για να κλείνει όμορφα ένας πίνακας. Υπάρχει για να δείχνει τι πραγματικά μένει στην πλευρά της μηχανής, τι περνά στην πλευρά της οργάνωσης εργασίας και ποιοι όροι πρέπει να τηρηθούν και από τις δύο πλευρές ώστε η μηχανή να παραμένει ασφαλής σε κανονική λειτουργία, ρυθμίσεις, καθαρισμούς, συντηρήσεις, βλάβες, ενημερώσεις και τεχνικές επεμβάσεις.
Γιατί η μηχανή δεν τελειώνει στη δήλωση συμμόρφωσης CE.
Συνεχίζει να δουλεύει. Σε αλλαγές προϊόντος. Σε καθαρισμούς. Σε εμπλοκές. Σε συντήρηση. Σε απομακρυσμένες συνδέσεις. Σε αντικατάσταση βαριών συγκροτημάτων. Σε βάρδιες όπου ο κόσμος βιάζεται, κουράζεται και ψάχνει τον γρήγορο δρόμο.
Αν ο σχεδιασμός δεν προβλέπει αυτές τις στιγμές, η οδηγία «μην βάζετε τα χέρια» δεν τις διορθώνει. Απλώς αφήνει τον κίνδυνο εκεί που ήταν.