Kõige hullem riskihindamine ei ole kaootiline. Kõige hullem on see, mis näeb välja täiesti professionaalne: tabel, punktisumma, normiviited, kommentaarid ja lõpuks kena PDF. Meeskond hingab kergendatult, nagu oleks teema suletud. Aga ISO 12100 ei hinda faili esteetikat. See hindab seda, kas ohutuse hindamise protsess päriselt läbi viidi. Just siin muutub ISO 12100 riskihindamise näide väärtuslikuks. See ei õpeta, kuidas teha ilusat vormi, vaid kuidas juhtida protsessi, mida saab hiljem tehniliselt, loogiliselt ja auditijälje abil kaitsta.
Siin jooksebki piir tabeli ja inseneritöö vahel. Excel ei valva loogikat. Ta ei sunni liikuma masina piirangutest tegelike tööülesannete, ohtlike olukordade ja ohtlike sündmusteni. Ta ei meenuta, et pärast kaitsemeetme lisamist võib tekkida teisene risk. Ta ei näita, kes muutis hinnangut, miks jääkrisk loeti vastuvõetavaks või mille alusel otsustati, et konkreetne ohutusfunktsioon peab saavutama PL d. Kui see ahel puudub, on sul hästi vormistatud tööfail, mitte riskihindamise dokumentatsioon.
ISO 12100 riskihindamise näide: miks Excel ei ole riskihindamise dokumentatsioon
Kas riskihindamist saab teha Excelis? Muidugi saab. Täpselt samamoodi nagu Excelis saab teha faili, mis näeb mõnda aega usutav välja. Päris küsimus on mujal: kas see fail hoiab protsessi nii, et seda saab hiljem kaitsta auditil, üleandmisel või pärast intsidenti?
ISO 12100 ei nõua Excelit. ISO 12100 nõuab riskihindamise dokumentatsiooni. See ei ole sõnakõlks. See on väga konkreetne vahe. Tabel võib olla meeskonna märkmik, mustand või töövahend. Ta võib koguda sisendeid ja isegi näha korrektne välja. Aga kui ta ei suuda otsusteahelat muuta kaitstavaks dokumentatsiooniks, jääbki ta ainult tabeliks.
Mida riskihindamise dokumentatsioon peab tegelikult näitama?
Hea riskihindamise dokumentatsioon ei näita ainult seda, mis kirja pandi. Ta peab näitama ka seda, miks see kirja pandi ja kuidas selleni jõuti. Minimaalne loogika peab olema loetav:
- millised olid masina piirangud,
- milleks masin on ette nähtud ja kes seda kasutab,
- milliseid tööülesandeid ja ohtlikke olukordi analüüsiti,
- milliseid ohtlikke sündmusi arvesse võeti,
- kuidas risk hinnati enne muudatusi,
- millised kaitsemeetmed valiti,
- mis järjekorras riski vähendamine tehti,
- kas tekkis teisene risk,
- kuidas hinnati jääkriski,
- kes otsused tegi ja mille alusel.
Just siin komistavad paljud meeskonnad. Mitte seepärast, et Excel oleks liiga lihtne. Vaid seepärast, et Excel lubab liiga kergesti teeselda, et dokumentatsioon on valmis, kuigi tegelikult on valmis ainult viisakas tööleht.
Ja veel üks ebamugav tõde: ISO 12100 loogika ei ole dekoratsioon. Riski vähendamine peab käima järjekorras. Kõigepealt olemuslikult ohutu projekteerimine. Siis tehnilised kaitsemeetmed. Alles lõpuks kasutusteave. Kui keegi hüppab otse ohust juhendini või lisab esimese hooga lihtsalt kaitsepiirde, siis ta ei kiirenda protsessi. Ta lõhub selle loogika ära.
Kui dokument ei võimalda seda loogikat taastada, siis ei ole sul veel riskihindamise dokumentatsiooni. Sul on tööandmed. Vahel hästi korrastatud. Vahel muljet avaldavad. Aga ikkagi ainult tööandmed.
Teisene risk on koht, kus ilus dokument laguneb
Kas kaitsemeede võib ise tekitada uue ohu? Saab küll. Ja palju sagedamini, kui inimesed tahavad tunnistada. Seepärast ei lõpe korralik riskihindamine hetkel, kui keegi kirjutab reale juurde kaitsemeetme. Kaitsemeede ei pane protsessile punkti. Kaitsemeede muudab kogu riskipilti.
See kõlab teoreetiliselt ainult seni, kuni lähed tehasepõrandale. Seal muutub kõik väga konkreetseks: ligipääs kitseneb, nähtavus halveneb, sekkumine muutub pikemaks, hooldus läheb ebamugavamaks ja inimene hakkab otsima lühemaid teid. Just sealt sünnib teisene risk.
Mehaaniline näide: liikuv kaitsepiire vähendas üht riski, aga tegi hoolduse hullemaks
Pakendamisliinil oli oht puutuda kokku ohtliku liikumisega ummistuste eemaldamisel. Meeskond lisas liikuva kaitsepiirde koos blokeeringuga. Esimene pilt oli ilus: automaatrežiimis ligipääs ohtlikku tsooni vähenes. Paberil kõik klappis.
Aga pärast muudatust selgus, et puhastuse ja ummistuste eemaldamise ajal peab operaator:
- sirutama käe sügavamale masina sisse,
- töötama kitsamas ruumis,
- tegema liigutusi ebamugavas asendis,
- tegutsema läbi väiksema hooldusava.
Mis juhtus? Põhirisk vähenes, kuid tekkis uus küsimus: kas kaitsemeede ei loonud uut probleemi ligipääsu, nähtavuse ja ergonoomiaga? Kui seda uuesti ei hinda, näitab dokument ainult poolt tõde.
Automaatika näide: õige ohutusfunktsioon, vale mõju inimesele
Jaamas lisati blokeering, käsitsi lähtestus ja automaatse taaskäivituse keeld pärast kaitse avamist. Tehniliselt täiesti mõistlik. Ohutusfunktsioon võib olla isegi laitmatu. Aga kui uus järjestus pikendab iga sekkumist, lõhub operaatori töövoo ja lisab mitu kohustuslikku sammu, siis tekib uus käitumuslik surve.
Tulemus võib olla väga tuttav:
- lähtestus tehakse harjumusest, mitte kontrolli järel,
- tsooni tegelik kontroll enne taaskäivitust jääb pealiskaudseks,
- tekib kiusatus kaitseid mööda minna,
- tootmissurve surub ohutusest üle.
Viga ei pruugi olla ohutusfunktsioonis. Viga on selles, et keegi ei kontrollinud, mida see muudatus teeb inimese päris käitumisega.
Elektrinäide: hea kavatsus, halb süsteemimõju
Juhtimiskapis tuvastati elektrilöögi oht rikete diagnostika ajal. Meeskond parandas korpust, eraldas vooluringid selgemalt, lisas pinge puudumise kontrolli ja piiras ligipääsu volitatud isikutele. Kõik tundub õige. Aga see muutis diagnostika pikemaks, sammurohkemaks ja järjestusest sõltuvamaks. Sealt sünnib uus organisatsiooniline risk: samm jäetakse vahele, vastutus jääb häguseks või keegi võtab lühikese tee.
Veel karmim näide on valikuline potentsiaaliühtlustusühendus ainult ühele masina osale. Kavatsus on hea, aga kui ülejäänud süsteem jääb teise viitesse, võib rikke või üleminekuoleku ajal tekkida suurem potentsiaalide vahe kui enne parandust. See tähendab, et kaitsemeetmena mõeldud lahendus võib elektriohutust hoopis halvendada, kui seda rakendatakse tükiti ja ilma süsteemset pilti nägemata.
See ongi põhjus, miks teisene risk ei ole pedantide kõrvalmärkus. See on üks tugevamaid teste, kas meeskond teeb päriselt riskihindamist või lihtsalt kleebib probleemidele vastuseid külge.
Auditijälg pole lisavidin. See on tõend, et keegi mõtles
Paljud alahindavad auditijälge, kuni tekib esimene ebamugav küsimus. Tulemus on tavaliselt olemas: tabel on olemas, punktid on olemas, kaitsemeede on olemas. Aga kuu aja pärast ei oska keegi enam vastata palju lihtsamale küsimusele: kes selle otsuse tegi ja miks?
Lõplik PDF näitab tulemust. Auditijälg näitab teed tulemuseni. Riskihindamises on just see tee kriitiline, sest sealt tuleb välja, kas otsused olid järjepidevad, kas varasemate eelduste juurde tuldi tagasi, kas pärast kaitsemeetme lisamist tehti uuesti hindamine ja kas teisene risk märgati või pühiti vaiba alla.
Näide 1: hinnang muudeti keskmiselt madalaks, aga põhjus kadus ära
Tabelis on näha ainult lõppseis: enne oli keskmine, nüüd on madal, risk vastuvõetav. Väga kena. Aga mis tegelikult muutus? Kas lisati uus kaitsemeede? Kas täpsustati tööülesannet? Kas ekspositsioon vähenes? Või oli vaja lihtsalt dokument ära lõpetada? Ilma auditijäljeta ei erista sa teadlikku inseneriotsust kosmeetilisest parandusest.
Näide 2: madal risk aktsepteeriti, kuid alus puudub
See juhtub pidevalt. Kirjas on madal, vastuvõetav, teema lõpetatud. Aga miks see aktsepteeriti ilma täiendava riski vähendamiseta? Kas seetõttu, et kokkupuude oli harv, tagajärg piiratud ja töötingimused kontrollitud? Või ainult seetõttu, et numbriline tulemus tuli väike? Ilma auditijäljeta näevad need kaks olukorda paberil samasugused välja. Tegelikult ei ole need isegi lähedased.
Näide 3: PL d on kirjas, aga loogikat ei ole
See on eriti ohtlik koht. Dokumendis on olemas ohutusfunktsioon, viide standardile ISO 13849 ja nõue PL d. Kõik näeb professionaalne välja. Aga hiljem ei suuda keegi enam seletada:
- millist ohtu see ohutusfunktsioon täpselt käsitles,
- mida ta jälgis või katkestas,
- miks just siin oli vaja seda usaldusväärsuse taset,
- kas nõue tuli tegelikust riskihindamisest või harjumusest.
Siin muutub auditijälg muudatuste ajaloost millekski palju olulisemaks. See muutub tõendiks, et otsusel oli tehniline sisu.
Miks Excel sellega nii halvasti toime tuleb? Sest ta salvestab hästi lõpptulemuse, aga halvasti muudatuste loogika. Lahtri saab üle kirjutada. Väärtuse saab ära muuta. Kommentaari saab lisada hiljem. Mõne aja pärast on väga raske aru saada, kas näed analüüsi loomulikku arengut või dokumenti, mida tagantjärele korrastati soovitud järelduse suunas.
ISO 12100 riskihindamise näide: üks masin, 16 ohtlikku olukorda
Et asi ei jääks teooriaks, võtame automatiseeritud pakendamisjaama. Mitte abstraktse masina, vaid päris süsteemi, kus on ohtlik liikumine, operaatori sekkumised, ummistuste eemaldamine, hooldustoimingud, ligipääs elektri- ja pneumaatilisele energiale ning juhtloogikast sõltuvad ohutusfunktsioonid.
Selles näites ei piirdutud paari üldise reaga. Tulemuseks oli kuusteist eraldi käsitletud juhtumit: kolmteist tööülesandega seotud ohtlikku olukorda ja kolm ohtlikku sündmust ISO 12100 loogika järgi. Eraldi hinnati väikesed sekkumised töö ajal, ummistuste eemaldamine, kaitse seadistamine, funktsionaalsed testid, energia lahutamine, kuluvosade vahetamine, rikete diagnostika, tahtmatu käivitumine, esemete väljalend ja pneumaatilise energia vabanemine.
Alles selline lahtivõtmine näitab päris riskipilti. Hästi tehtud analüüs ei hinda masinat üldiselt. Ta hindab inimese ja masina suhet konkreetse tööülesande, tsooni, energiaallika ja ligipääsutingimuse kaupa. Just see eristab sisulist analüüsi tabelist, mis ainult jätab täielikkuse mulje.
Mida see näide päriselus näitas?
- Põhirisk ei tulenenud ainult ohtliku liikumise olemasolust, vaid ligipääsust sellele sekkumise, ummistuste eemaldamise ja rikete diagnostika ajal.
- Osa juhtumeid sai hinnata madalaks riskiks ainult seetõttu, et nende sagedus, tingimused ja kasutaja roll olid selgelt piiratud.
- Mitut juhtumit ei saanud kaitsta lihtsa kombinatsiooniga kaitsemeede plus juhend. Vaja oli kirjeldada ohutusfunktsiooni loogikat, liikumise blokeerimist, taaskäivituse tingimusi, käsitsi lähtestust ja jääkriski põhjendust.
- Täielik auditijälg näitas ära, kes luges mõne stsenaariumi vastuvõetavaks ja kes suunas teised riski vähendamisele.
See ongi koht, kus hästi tehtud näide muutub päriselt kasulikuks. Mitte seetõttu, et seal on palju ridu. Vaid seetõttu, et seal on näha kogu põhjendatud otsustusahel.
Hea ISO 12100 riskihindamise näide ei alga tabelist
Hea ISO 12100 riskihindamise näide ei alga ohtude sisestamisest lahtritesse. See algab põhimõttelistest küsimustest. Milleks masin on mõeldud? Kes seda kasutab? Millised on masina piirangud? Milliseid tööülesandeid päriselt tehakse? Millised ohtlikud olukorrad ja ohtlikud sündmused on reaalsed, mitte kujuteldavad? Kus on vaja riski vähendamist ja millises järjekorras kaitsemeetmed valitakse? Kas pärast muudatusi tekkis teisene risk? Kuidas hinnati jääkriski?
Kui dokument ei lase neid vastuseid välja lugeda, siis ei ole see hea näide. See on lihtsalt täidetud vorm. Ja täidetud vorm ei kaitse sind siis, kui keegi küsib, miks üks risk aktsepteeriti, miks teine suunati tehnilisse muudatusse või mille alusel otsustati ohutusfunktsiooni nõue.
Praktiline järeldus on lihtne. Kui sa ei suuda mõne aja pärast taastada otsuste teekonda, siis sa ei kaitse enam riskihindamist. Sa kaitsed ainult selle viimast versiooni. Sellest on vähe. Hea riskihindamise dokumentatsioon peab näitama mitte ainult lõpptulemust, vaid ka loogikat, mis selleni viis: oht, kaitsemeede, teisene risk, uus hindamine ja põhjendatud jääkrisk.
Tehases on üks eriti kallis illusioon: usk, et korralik tabel tähendab valmis tööd. Ei tähenda. Kui töövahend ei sunni protsessi, juhib protsessi lõpuks harjumus. Ja ohutuses on halb harjumus alati kallim kui korralik inseneritöö.