Vastaanotossa valmistaja näyttää käyttöohjeesta sopivan kohdan: ”Puhdistus vain kaikkien energialähteiden erottamisen jälkeen. Huollon saa tehdä ainoastaan koulutettu henkilöstö. Käyttäjän on laadittava asianmukainen menettely.” Kolme virkettä, kolme rastitettua kohtaa.
Tuotannossa käy ilmi, että koneessa on kaksi sähkönsyöttöä, paineilmajärjestelmä ja akku, joka voi liikuttaa mekanismia vielä pääkytkimen avaamisen jälkeen. Menettelyä ei ole laadittu, ja ”koulutettu henkilöstö” tarkoittaa käytännössä pisimpään talossa ollutta työntekijää.
Kone on siis tehty turvalliseksi futuurissa.
ISO 12100:n vaihe 3 ei tarkoita, että käyttöohjeeseen siirretään kaikki se, mitä suunnittelussa ei ratkaistu. Käyttöä koskevat tiedot ovat riskin pienentämisstrategian viimeinen osa. Ne tulevat luontaisesti turvallisten suunnittelutoimenpiteiden sekä suojausteknisten ja täydentävien suojaustoimenpiteiden jälkeen, eivät niiden tilalle.
Jos vaara voidaan poistaa, energiaa rajoittaa, pääsy estää tai tarvittava turvallisuustoiminto toteuttaa, valmistaja ei voi korvata ratkaisua koulutuksella, varoituskuvalla tai kehotuksella erityiseen varovaisuuteen. Ohjeen tehtävä on kuvata riski, jota ei käytetyistä toimenpiteistä huolimatta saatu riittävästi pienennetyksi.
Vaihe 3 ei silti ole pelkkä teknisen tiedoston liite. Tässä kohdassa valmistajan ja koneen käyttäjän toimet liittyvät toisiinsa. Valmistaja määrittää jäljelle jäävän riskin, sen sijainnin, siihen liittyvät työtehtävät ja turvallisen käytön edellytykset. Käyttäjä muuttaa nämä tiedot menettelyiksi, koulutukseksi, valvonnaksi, työluviksi, energianerotukseksi, lisäsuojauksiksi ja tarvittaessa henkilönsuojaimiksi.
Kyse ei ole vastuun siirtämisestä vaan tiedon siirtämisestä. Ilman tietoa käyttäjä ei voi järjestää turvallista työtä, mutta pelkkä tekstin olemassaolo käyttöohjeessa ei vielä muuta mitään tuotantotilassa.
1. Vaihe 3 ei ole vaiheiden 1 ja 2 halvempi vaihtoehto
Riskin pienentämisen kolme vaihetta eivät ole keskenään samanarvoisia valintaruutuja. Suunnittelija ei valitse rakennemuutoksen, suojauksen ja varoitustekstin väliltä sen mukaan, mikä mahtuu helpoimmin aikatauluun. Järjestyksellä on merkitystä.
Ensin selvitetään, voidaanko vaara poistaa tai riskiä pienentää suunnitteluratkaisulla. Jos se ei riitä, toteutetaan tekniset ja täydentävät suojaustoimenpiteet. Vasta tämän työn jälkeen jäljelle jäävästä riskistä annetaan käyttöä koskevat tiedot.
Mitä rakenteessa ja suojauksissa tehtiin konkreettisesti ennen kuin pääteltiin, että seuraava toimenpide kuuluu käyttäjälle?
Oletetaan, että säätö edellyttää käden viemistä liikkuvan mekanismin vaara-alueelle. Valmistajan on arvioitava esimerkiksi säätöpisteen siirtämistä alueen ulkopuolelle, geometrian muuttamista, energian rajoittamista, suojusta, lukintaa tai turvallista asetustilaa.
Jos ohjeeseen kirjoitetaan suoraan ”säädön saa tehdä vain koulutettu henkilöstö”, vaiheeseen 3 ei ole siirrytty asianmukaisesti. Kaksi ensimmäistä pysäkkiä on vain ohitettu, vaikka juna seisoo yhä lähtölaiturilla.
Käyttöä koskevilla tiedoilla ei perustella sitä, miksi toteuttamiskelpoinen tekninen ratkaisu jätettiin tekemättä. Niillä kuvataan riski, jota ei sovelletuilla ratkaisuilla voitu poistaa tai pienentää riittävästi. Vasta silloin kyse on aidosti jäännösriskistä.
Hyvä vastaus sisältää analysoidun vaihtoehdon, toteutetun toimenpiteen, todentamisen tuloksen ja kuvauksen jäljelle jäävästä riskistä. ”Lisäsimme kohdan ohjeeseen” ei ole kolmas vaihe, vaan koriste kahden puuttuvan vaiheen päällä.
Ensimmäistä vaihetta käsitellään tarkemmin luontaisesti turvallisia suunnitteluratkaisuja koskevassa artikkelissa ja toista vaihetta koneiden teknisiä suojaustoimenpiteitä käsittelevässä artikkelissa. Vasta niiden jälkeen käyttäjälle annettava tieto on suunnitteluprosessin tulos eikä sen kirjallinen korvike.
2. Valmistajan on kuvattava riski, ei rauhoitettava omaatuntoaan
Käyttöä koskevan tiedon on johdettava konkreettiseen toimintaan. Jos lukija ei ymmärrä, mitä voi tapahtua, missä työtehtävässä ja miten tapahtuma estetään, valmistaja on toimittanut tekstiä mutta ei välttämättä käyttökelpoista tietoa.
Ohje ”erota kone kaikista energialähteistä ennen huoltoa” kuulostaa järkevältä. Pääkytkin ei kuitenkaan pura hydraulipainetta, tyhjennä paineilmasäiliötä, tue ylös nostettua koneenosaa eikä poista jouseen varastoitunutta energiaa. Fysiikka ei allekirjoita vastaanottopöytäkirjaa.
Hyödyllisen tiedon pitää yksilöidä ainakin:
- työtehtävä, jossa riski esiintyy;
- vaara-alueen sijainti ja altistuvat henkilöt;
- mahdollinen vaarallinen tapahtuma ja sen seuraukset;
- valmistajan toteuttamat riskin pienentämistoimenpiteet;
- niiden jälkeen jäljelle jäävä riski;
- käyttäjältä edellytettävät toimet;
- tarvittava osaaminen, työvälineet, menettelyt ja henkilönsuojaimet.
Yleisen energianerotusohjeen sijasta voidaan joutua kertomaan, mikä syöttö katkaistaan, mikä venttiili suljetaan ja lukitaan, miten paine puretaan ja energiaton tila todetaan sekä mistä kohdasta nostettu koneenosa tuetaan mekaanisesti. Vasta tällainen kuvaus antaa käyttäjälle pohjan energianerotus-, lukitus- ja merkintämenettelylle, huolto-ohjeelle ja koulutukselle.
Myös tiedon sijainti ratkaisee. Välitöntä reagointia vaativaa vaaraa ei pidä piilottaa ainoastaan käyttöohjeen sivulle 143. Tilanteen mukaan tarvitaan koneeseen sijoitettu merkintä, varoitussignaali, varoituslaite tai työpisteessä näkyvä viesti. Käyttäjän ei pitäisi tehdä kirjallisuustutkimusta samalla hetkellä, kun järjestelmä menettää painetta.
Kaiken tiedon ei tarvitse olla varoitus. Osa määrittää turvallisen käytön ehdot: sallitut materiaalit, prosessin raja-arvot, asennustavan, tarkastusvälit, henkilöstön osaamisvaatimukset ja tiettyyn riskiin perustuvat kiellot. Ehtojen on perustuttava riskin arvioinnissa tehtyihin oletuksiin, ei myöhempään tarpeeseen täyttää turvallisuuslukua.
Pelkkä maininta koneen jäännösriskistä ei riitä. Käyttäjä ei hallitse käsitettä, vaan tiettyä työtehtävää, ihmistä, energiaa ja työolosuhdetta. Hyvä tieto muuttaa lauseen ”riskiä jää” päätökseksi ”siksi on tehtävä täsmälleen näin”. Epämääräisyydet säilyvät yleensä ongelmattomina vain siihen päivään asti, jolloin niitä selvitetään tapaturman jälkeen.
3. Valmistaja päättää suunnittelun, käyttäjä järjestää työn
ISO 12100:n kuva 2 on molemmille osapuolille epämukava. Valmistaja ei voi lopettaa arviointia lauseeseen ”käyttäjä huolehtii jatkotoimista”. Käyttäjä ei puolestaan voi olettaa, että CE-merkintä olisi laatinut menettelyt, kouluttanut kunnossapidon ja tarkastanut kolmannen vuoron häiriönpoiston.
Standardi erottaa kaksi jäännösriskin tasoa. Ensimmäinen jää jäljelle suunnittelijan toteuttamien suunnittelu- ja suojaustoimenpiteiden sekä käyttöä koskevien tietojen jälkeen. Valmistajan on tunnistettava, arvioitava ja kuvattava tämä taso.
Toisessa tasossa huomioidaan myös käyttäjän toteuttamat toimet, kuten työn organisointi, menettelyt, valvonta, työluvat, täydentävät tekniset ratkaisut, henkilönsuojaimet ja koulutus. Kyse ei ole saman tuloksen kahdesta nimestä. Tasojen välissä on käytännön toimeenpano.
| Valmistaja toimittaa | Käyttäjä toteuttaa |
|---|---|
| Jäljelle jäävän riskin ja tapahtumakulun kuvaus | Työtehtäväkohtainen menettely |
| Turvallisen käytön ehdot | Ehtojen mukainen työn organisointi |
| Henkilöstön osaamisvaatimukset | Henkilövalinnat ja osaamisen varmistaminen |
| Energianerotuksen vaatimukset | Lukitus- ja merkintämenettely sekä tarvittavat työluvat |
| Lisätoimenpiteiden tarve | Toimenpiteiden valinta, asennus ja ylläpito |
| Henkilönsuojaimia koskevat vaatimukset | Suojainten hankinta, käyttö ja käytön valvonta |
| Tarkastus- ja kunnossapitoperiaatteet | Aikataulu sekä toteutuksen dokumentointi |
”Käyttäjä” ei tarkoita vain käynnistyspainiketta painavaa käyttäjää. Käyttäjäorganisaatiossa ovat mukana työn järjestävä työnantaja, kunnossapidosta vastaava henkilö, työnjohto, huoltotyön tekijä ja koneenkäyttäjä. Jokainen tarvitsee eri tietoa.
Kunnossapidon vastuuhenkilön on tunnettava energianerotuksen ja suojausten tarkastamisen vaatimukset. Työnjohdon on tiedettävä, kuka saa suorittaa eri tehtävät. Koneenkäyttäjä tarvitsee selkeät toimintatavat normaalikäyttöön, säätöön ja häiriötilanteisiin. Kaiken sijoittaminen yhteen ”Yleisiä huomautuksia” -lukuun ei luo turvallisuusjärjestelmää. Se luo luvun, jota kukaan ei halua lukea.
Tässä kohtaavat myös valmistajan tekemä koneen riskin arviointi ja työnantajan työpaikalla tekemä vaarojen selvittäminen ja arviointi. Prosessit liittyvät toisiinsa, mutta eivät korvaa toisiaan. Valmistaja tarkastelee konetta käyttötarkoituksen ja kohtuudella ennakoitavissa olevan väärinkäytön rajoissa. Työnantajan on huomioitava todellinen työpiste, ympäristö, henkilöstö, työjärjestelyt ja prosessi, johon kone liitetään.
Yhteistyö ei tarkoita vastuun puolittamista yhteisellä allekirjoituksella. Molempien on tehtävä oma osuutensa, ja valmistajan tietojen on mahdollistettava käyttäjän tietoinen toiminta.
4. Menettely toimii vain, jos sitä todella noudatetaan
Täsmällisinkään valmistajan ohje ei sulje venttiiliä, aseta lukkoa, totea energiatonta tilaa tai estä koneen uudelleenkäynnistystä. Käyttäjän on järjestettävä nämä toimet.
Jos tukoksen poistaminen edellyttää energian erottamista, työpaikalla on määritettävä vähintään:
- kuka saa pysäyttää koneen;
- mitkä energialähteet erotetaan ja missä erotuspisteet sijaitsevat;
- miten uudelleenkytkentä estetään;
- miten energiaton tila todetaan;
- kuka saa poistaa lukitukset;
- millä ehdoilla kone palautetaan käyttöön.
Ilman näitä tietoja kehotus käyttää lukitus- ja merkintämenettelyä on vain menettelyn nimi, ei itse menettely.
Asiakirjan on myös vastattava todellista tehtävää. Jos tukos poistetaan kymmeniä kertoja työvuoron aikana mutta ohje vaatii koko linjan kahdenkymmenen minuutin pysäytyksen, lopputulos on ennakoitavissa. Ensin syntyy oikopolku, sitten vain kokeneimpien tuntema ”hyvä käytäntö”. Lopulta joku teippaa lukituksen sivuun, jotta se ei häiritse.
Tämä ei tarkoita, että menettelyä pitäisi helpottaa turvallisuuden kustannuksella. Toistuva puuttumistarve voi kertoa rakenteen, prosessin luotettavuuden tai teknisten suojaustoimenpiteiden ongelmasta. Hyvin toteutetun vaiheen 3 pitää palauttaa tällainen tieto takaisin riskin arviointiin.
Sama pätee koulutukseen. Läsnäololista todistaa lähinnä, että joukko ihmisiä oli tietyn ajan samassa tilassa. Se ei osoita, että he osaavat suorittaa säädön, puhdistuksen tai huoltotoimen turvallisesti.
Koulutuksessa on käsiteltävä todellisia tehtäviä, vaaroja, suojausten käyttöä ja poikkeustilanteita. Osaaminen pitää varmistaa käytännössä. Koulutus on uusittava, kun kone, prosessi, menettely tai vastuualue muuttuu olennaisesti.
Valvonta ei saa rajoittua allekirjoitusten tarkastamiseen. Siihen kuuluu työn havainnointi, menettelyjen noudattamisen seuranta, suojausten ohittamiseen puuttuminen ja oikopolkujen syiden analysointi. Yksi ohitettu lukinta voi johtua käyttäjän virheestä. Viisi ohitettua lukintaa samalla linjalla kertoo jo jotakin myös koneen suunnittelusta ja tuotannon organisoinnista.
Henkilönsuojaimista on annettava yhtä täsmälliset tiedot. ”Käytä suojakäsineitä” ei kerro, miltä käsineiden pitää suojata, mitä ominaisuuksia niiltä vaaditaan tai voiko käsine lisätä liikkuviin osiin tarttumisen vaaraa. Suojain on valittava tehtävän ja todellisten käyttöolosuhteiden perusteella.
Toimenpiteen tehokkuus ei synny siitä, että se on kirjoitettu menettelyyn. Ratkaisevaa on, voidaanko se toteuttaa, ymmärtääkö henkilöstö sen, antaako organisaatio siihen aikaa ja valvotaanko käyttöä. Laminoitu ohje säilyy pitkään virheettömänä, varsinkin jos kukaan ei koske siihen.
5. Hyvä vaihe 3 jättää jäljitettävän ketjun
Vastaanotossa suunnittelija muistaa, miksi ohjeessa vaaditaan tiettyä menettelyä. Puolen vuoden kuluttua asiakirjoja hallinnoi toinen henkilö, kone on siirretty toiselle linjalle ja riskin arvioinnin laatija työskentelee jo seuraavan hankkeen parissa.
Jäljellä on merkintä: ”Huolto vain koneenosan mekaanisen varmistamisen jälkeen.” Miksi tuki tarvitaan? Mikä osa voi liikkua? Mitä muita toimenpiteitä valmistaja teki? Mistä kohdasta ja missä asennossa osa tuetaan? Vastaukset saattavat olla tiedostossa nimeltä LOPULLINEN_arviointi_v8_korjattu_2.
Käyttöä koskevan tiedon on johduttava yksilöidystä riskiskenaariosta. Ketjun pitää ulottua tunnistetusta vaarasta suunnittelu- ja suojaustoimenpiteisiin, niiden todentamiseen, jäännösriskiin ja käyttäjältä vaadittuun toimintaan.
Jäljitettävä kokonaisuus voi sisältää:
- työtehtävän ja koneen elinkaaren vaiheen;
- vaaran lähteen ja mahdollisen vaarallisen tapahtuman;
- altistuvat henkilöt ja ennakoitavat seuraukset;
- toteutetut riskin pienentämistoimenpiteet;
- todentamisen tuloksen;
- jäljelle jäävän riskin kuvauksen;
- käyttöohjeessa tai koneessa annetun tiedon;
- käyttäjältä vaaditun toimenpiteen ja vastuuhenkilön;
- näytön toteutuksesta ja tehokkuuden tarkastamisesta.
Näytön ei tarvitse olla uusi laaja raportti. Se voi olla hyväksytty menettely, turvallisuustoiminnon tarkastustulos, mittauspöytäkirja, osaamisen varmistus, huoltotallenne, valokuva merkinnästä tai perusteltu tekninen päätös. Sen on kuitenkin vastattava tiettyyn vaatimukseen. Yleinen merkintä siitä, että ”turvallisuusasiat käsiteltiin”, ei vielä todista mitään.
Pelkkä asiakirjakansio ei takaa jäljitettävyyttä. Sata vierekkäistä tiedostoa ei välttämättä selitä, miksi tietty päätös tehtiin. Olennaista on yhteys skenaarion, toimenpiteen, todentamisen, käyttäjälle annetun tiedon ja myöhemmän toteutuksen välillä.
Ketjun on kestettävä myös muutoksia. Uusi materiaali, työväline, nopeus, sijoituspaikka tai puhdistusmenetelmä voi rikkoa valmistajan käyttämät oletukset. Käyttäjän pitää silloin pystyä tunnistamaan uudelleen arvioitavat skenaariot. Koko aineiston lukeminen ensimmäiseltä sivulta alkaen on toki menetelmä, aivan kuten vuodon etsiminen odottamalla paineen loppumista.
Turvallisuusohjelmistossa ketjun ei pidä päättyä raportin muodostamiseen. Riskiskenaarion, toimenpiteen, todentamisen, jäännösriskin ja näytön on säilyttävä saman prosessin osina. Silloin voidaan selvittää paitsi se, mitä asiakirjoihin kirjoitettiin, myös kuka teki päätöksen, millä perusteella ja mitä sen jälkeen toteutettiin.
Pystyykö hankkeeseen osallistumaton henkilö selvittämään asiakirjoista, mikä riski jäi jäljelle ja mikä toimenpide sen vuoksi on tehtävä?
Jos pystyy, valmistaja on välittänyt käyttökelpoista tietoa. Jos ei, käyttäjä on saanut ratkaistavakseen teknisen arvoituksen liitteineen.