Oluline muudatus: millal see tegelikult tekib?

Küsime liiga tihti valet küsimust. Mitte „mida me masinale lisasime?”, vaid „mida see muutus tegi riskiga?” Just siin algab oluline muudatus. Määruse (EL) 2023/1230 vaatest ei ole põhipunkt see, kas tegid suure ümberehituse, lisasid ühe platvormi või muutsid ainult programmi. Põhiküsimus on palju ebamugavam: kas muutus lõi uue ohtliku olukorra, suurendas olemasolevat riski või sundis lisama uue kaitsemeetme, muutma ohutusega seotud juhtimissüsteemi või kontrollima uuesti mehaanilist tugevust ja stabiilsust? Kui vastus on jah, siis ei räägi me enam väikesest inseneritööst. Me räägime ohutusest, vastutusest ja sellest, kas suudad hiljem tõendada, et masin on endiselt ohutu.

Oluline muudatus ei alga lisadetailist, vaid riskist

Hindamine läheb sageli vales suunas juba esimese lausega. „Lisati kaitsepiire.” „Vahetati ajam.” „Muudeti tarkvara.” Need on kirjeldused. Need ei ole veel järeldused. Ohutuse seisukohalt ei hinnata üksnes seda, mida masinale juurde pandi. Hinnatakse seda, mis muutus masina funktsioonis, masina piirides, inimese ja masina suhtes ning võimaliku ohtliku sündmuse kulus.

Määrus (EL) 2023/1230 käsitleb muudatusi, mis tehakse pärast turule laskmist või kasutuselevõttu, ning see puudutab nii füüsilisi kui ka digitaalseid muudatusi. Oluline on kolm asja korraga. Esiteks: kas muudatus ei olnud tootja poolt ette nähtud. Teiseks: kas see mõjutas ohutust, luues uue ohtliku olukorra või suurendades olemasolevat riski. Kolmandaks: kas selle ohjamiseks tuli rakendada täiendav kaitsemeede, mis nõuab muudatust ohutusega seotud juhtimissüsteemis, või tuli teha meetmeid mehaanilise tugevuse või stabiilsuse tagamiseks. Alles siis räägime olulisest muudatusest.

See on põhjus, miks lihtne loetelu ei tööta. Kaks näiliselt samasugust muudatust võivad anda täiesti erineva tulemuse. Ühes tehases on lisatud juurdepääs ainult puhastamiseks ja väljaspool ohuala. Teises tehases annab sama lahendus operaatorile otsese ligipääsu liikuvatele osadele. Tehniliselt sarnane. Ohutuse mõttes mitte.

Oluline muudatus: miks kaitsepiire ja hädaseiskamisseade ei ole põhiküsimus

Praktikas tehakse kõige sagedamini üks ja sama viga: hinnatakse kaitsemeedet, mitte muudatust, mis selle kaitsemeetme vajalikuks tegi. See on tagurpidi loogika.

Kaitsepiire ei ole tavaliselt probleemi põhjus. Hädaseiskamisseade ei ole tavaliselt muudatuse sisu. Need on enamasti tagajärg. Kui sul tekkis vajadus lisada uus kaitsepiire, blokeeringuga kaitsepiire või hädaseiskamisseade, siis tasub korraks pidurdada ja küsida: mis täpselt muutus masina kasutamises või inimese juurdepääsus, et see kaitsemeede äkki vajalikuks osutus?

See küsimus on valus, aga aus. Sest kui kaitsemeede muutus vajalikuks, siis oli enne seda juba muutunud ohuala kättesaadavus, masina tööviis, masina piirid või inimese ja masina suhe. Kaitsemeede on reaktsioon. Põhjus on varasem muutus ohutusstruktuuris.

Näide praktikast: lisame ainult hädaseiskamisseadme

Tüüpiline olukord kõlab süütult: „Me lisame liini keskele ainult hädaseiskamisseadme, et ohutust parandada.” Selle lause probleem on lihtne. See ei kirjelda muudatust. See kirjeldab vastust muudatusele.

Kui edasi küsida, selgub sageli, et operaator viiakse nüüd ohualale lähemale või lausa ohuala sisse. Või peab ta tegema käsitsi toimingu kohas, kus varem viibis ainult masin. Sel hetkel on muutunud inimese ja masina suhe ning tekkinud uus ohtlik olukord. Hädaseiskamisseade ei lahenda selle muutuse põhjust. See aitab reageerida siis, kui oht on juba ilmnenud või vahetult tekkimas.

Ja siin on oluline praktiline tõde: hädaseiskamine on reaktsiooniline ohutusfunktsioon. See ei asenda ennetavaid kaitsemeetmeid. Riskihindamine vastavalt standardile ISO 12100 võib näidata, et lisaks hädaseiskamisele on vaja hoopis ennetavat lahendust: näiteks blokeeringuga kaitsepiiret, liikumise piiramist teatud töörežiimis, peatamist kaitsepiirde avamisel või muud ohutusfunktsiooni, mis ei lase ohtlikul olukorral üldse tekkida. Probleem ei olnud nupu puudumine. Probleem oli muutus masina kasutamises.

Näiliselt süütud füüsilised muudatused

Kõige petlikumad muudatused on sageli need, mis näevad välja mõistlikud, praktilised ja isegi ohutust parandavad. Lisajuurdepääs, parem ergonoomika, kiirem hooldus, tõhusam töö. Kavatsus on hea. Aga ohutus ei hinda kavatsust. Ohutus hindab tagajärge.

Platvorm või trepp ohualasse

Platvorm tundub kasutusmugavuse lahendusena. Tegelik mõju võib olla palju suurem. Platvorm võib anda inimesele juurdepääsu kohta, kuhu tal varem ligipääsu ei olnud. See võib lühendada vahemaad liikuvate osadeni, muuta hooldusoperatsioonide järjekorda, halvendada nähtavust või suurendada viibimisaega ohuala läheduses. Tulemuseks on uus ohtlik olukord.

Kui selle olukorra ohjamiseks tuleb lisada blokeeringuga kaitsepiire, uus ohutusfunktsioon või muuta ohutusega seotud juhtimissüsteemi, siis ei ole tegu enam lihtsalt mugavusplatvormiga. See võib olla oluline muudatus.

Kaitsepiire, mis ise tekitab uue riski

Kaitsepiire on põhiolemuselt kaitsemeede. Aga halvasti läbi mõeldud lisandus võib tekitada uue probleemi. Kui kaitsepiire sunnib tegema sagedasemaid avamisi, halvendab ergonoomikat, piirab nähtavust, tekitab uusi kinnijäämiskohti või koormab olemasolevat konstruktsiooni, siis muutub pilt kohe. Määruse loogika on siin väga selge: kaitsemeede ei tohi ise luua täiendavat ohtu.

Kui uus kaitsepiire nõuab asendi seiret, blokeeringut või muud täiendavat ohutusfunktsiooni, siis tuleb hinnata mitte üksnes piiret ennast, vaid kogu muudatuse mõju masina ohutusele.

Ajam või ajami parameetrid

Ajami vahetus on klassikaline koht, kus eksitakse. Masin teeb justkui sama tööd, ainult „natuke kiiremini” või „natuke jõulisemalt”. Aga ohutuse seisukohalt võib muutus olla järsk. Kui muutuvad ajami parameetrid, näiteks pöördemoment, kiirendus, pidurdusramp, ülekoormuspiir või liikumisulatus, siis muutub ka ohtliku sündmuse kulg.

Näiteks kui süsteem peatus varem ülekoormuse korral, kuid pärast muudatust suudab edasi jõudu arendada, ei pruugi tagajärg olla enam lihtne seiskumine. Tagajärg võib olla konstruktsiooni deformeerumine, stabiilsuse kadu või kandeelementide kahjustus. Siin tuleb mängu mehaaniline tugevus ja stabiilsus. Ja just see on üks määruse (EL) 2023/1230 kriteeriumidest.

Oluline muudatus tarkvaras kaalub sama palju kui teras

Paljud organisatsioonid tunnevad end turvaliselt seni, kuni keegi pole lõiganud, keevitanud ega ümber ehitanud. See on ohtlik eksiarvamus. Digitaalne muudatus võib mõjutada masinaohutust sama tugevalt kui metallist ümberehitus.

Tarkvara, konfiguratsioon, sidestus teiste süsteemidega, võrguühendus ja juhitava loogika muutmine võivad muuta masina käitumist viisil, mille jaoks olemasolevad kaitsemeetmed ei ole enam piisavad. Kui muutub masina käitumine, muutub ka risk.

Taaskäivituse loogika

Üks alahinnatumaid muudatusi on taaskäivituse loogika. Automaatne käivitumine pärast toite taastumist, side taastumist või kaitsepiirde sulgemist võib tunduda mugava funktsioonina. Funktsionaalsuse seisukohalt on see mugav. Ohutuse seisukohalt võib see olla kriitiline.

Masin ei tohi käivituda ootamatult. Kui operaator kaotab kontrolli käivitumise hetke üle, on ohtlik olukord muutunud, isegi siis, kui ükski polt ei liikunud. See ei ole tarkvaraline iluparandus. See on muudatus masina ohutuskäitumises.

Tööparameetrite muutmine

Kiirus, jõud, kiirendus, pidurdus, liikumisvahemik, reaktsiooniaeg. Need ei ole ainult protsessi parameetrid. Need on ohutuse parameetrid. Kui neid muudetakse tootlikkuse pärast, võib lüheneda operaatori reageerimisaeg, väheneda olemasoleva kaitsemeetme tõhusus ja suureneda võimaliku vigastuse raskus.

Seepärast ei tohiks keegi nimetada seda lihtsalt häälestamiseks. Riskihindamise mõttes on see töötingimuste muutmine.

ERP, MES ja middleware

Väga sageli alahinnatakse liini ühendamist väliste süsteemidega. Lause „ühendame ainult ERP või MES külge” kõlab süütult, kuid ei pruugi olla ohutu. Hetkel, kui masin ühendatakse võrku või selle tööd hakatakse mõjutama teise süsteemi kaudu, muutub töökeskkond. Tekivad uued signaaliallikad, uued juurdepääsupunktid, uus sidekiht ja uus võimalus mõjutada masina käitumist.

Kui tootja ei näinud sellist arhitektuuri ette, eriti middleware kasutamist, andmete valideerimist, juurdepääsuhaldust, tarkvara terviklust ja väliste süsteemide mõju juhtimisloogikale, võib masin hakata käituma teisiti, kui algselt kavandati. Tulemuseks võib olla see, et riskihindamise eeldused ei kehti enam ja olemasolev ohutusfunktsioon ei vasta tegelikule olukorrale.

Safety PLC ja ohutusfunktsioonide tarkvara

Kõige otsesem juhtum on muudatus ohutusega seotud juhtimissüsteemis endas. Kui muudetakse safety PLC programmi, lukustuste loogikat, lähtestamise tingimusi, lubasid või muid ohutusfunktsiooni käitumist mõjutavaid seadistusi, siis ei ole tegu tavapärase IT-tööga. See on otsene sekkumine sellesse, kuidas masin ohutust tagab.

Kui muudatus mõjutab ohutusfunktsiooni tõhusust või nõuab selle ümberkujundamist, siis ollakse väga lähedal olulise muudatuse järeldusele või juba selle sees.

Miks sa ei saa ausalt öelda: see kindlasti ei ole oluline muudatus

Enamik ettevõtteid tahab kiiret vastust. Jah või ei. Rahustavat kinnitust, et kõik on korras. Päriselus ei ole see nii lihtne. Määrus (EL) 2023/1230 ei määra olulist muudatust tehniliste võtmesõnade loeteluga. See määratleb selle mõju kaudu ohutusele. Kas tekkis uus ohtlik olukord? Kas olemasolev risk kasvas? Kas tuli lisada täiendav kaitsemeede? Neid küsimusi ei lahenda kõhutunne.

Aus vastus eeldab riskihindamist. Ja mitte vormitäidet, vaid päris analüüsi vastavalt standardile ISO 12100. Tuleb määrata masina piirid, tuvastada võimalikud ohtlikud olukorrad, kirjeldada ohusündmuste võimalik kulg, hinnata riski ning kontrollida, kas rakendatud kaitsemeetmed on muudetud tingimustes piisavad.

Kui seda tööd ei ole tehtud, siis puudub kindel alus väita, et olulist muudatust ei toimunud. Võib olla kogemus. Võib olla tugev inseneritunnetus. Aga vastutuse seisukohalt ei piisa sellest. Kogenud insener märkab sageli üsna kiiresti, millal põhjus-tagajärg viitab olulisele muudatusele. Palju rohkem ettevaatust on vaja siis, kui tahetakse väita vastupidist.

Ja veel üks ebamugav tõde: ükski lihtne kontrollnimekiri ei anna 100% kindlust. Parimal juhul aitab see märgata juhtumeid, kus risk on ilmne ja põhjalikum hindamine on vältimatu. See ei asenda riskihindamist ega nõuetekohast hoolsust.

Oluline muudatus tähendab vastutuse muutust

Paljudes ettevõtetes käsitletakse seda teemat endiselt tehnilise detailina. Midagi, mis tuleb üle vaadata, kooskõlastada ja linnuke kirja panna. Tegelikult on oluline muudatus eeskätt vastutuse küsimus.

Kui muudatus vastab määruse (EL) 2023/1230 tingimustele, siis ei ole see enam lihtsalt hooldus, optimeerimine ega kohandamine. Muudatuse tegija võib sattuda tootja rolli selle muudatuse ulatuses. See tähendab kohustust tagada, et muudetud masin või muudetud masinaosa vastab ohutusnõuetele, et hinnang on tehtud ja et ohutus ei ole eeldus, vaid tõendatav seisund.

Siin muutub kogu vaatenurk. Küsimus ei ole enam selles, kas muudatus oli tehniliselt mõistlik. Küsimus on selles, kas pärast muudatust hinnati ohutus uuesti läbi ja kavandati teadlikult. Sest iga muudatus, olgu see juurdepääs, kaitsepiire, ajam, ajami parameetrid, juhtimisloogika või ühendus ERP, MES või muu süsteemiga, muudab midagi enamat kui ainult konfiguratsiooni. See muudab kasutusviisi, masina piire, inimese ja masina suhet, võimalike ohtlike sündmuste kulgu ja olemasolevate kaitsemeetmete tõhusust.

Seega tasub lõpetuseks küsida ainult üks küsimus: kas sa suudad pärast seda muudatust põhjendada, et masin on endiselt ohutu mitte sisetunde põhjal, vaid tõendatavalt? Kui jah, siis juhid olukorda. Kui ei, siis algab päris risk just sealt.