Az ISO 12100 szerinti kockázatértékelés példa akkor ér valamit, ha nemcsak jól néz ki, hanem műszakilag, logikailag és audit szempontból is védhető. A legrosszabb kockázatértékelés nem kusza. A legrosszabb kockázatértékelés kifejezetten profi benyomást kelt. Van benne táblázat, pontozás, szabványhivatkozás, megjegyzés, a végén pedig egy rendezett PDF. A csapat fellélegzik, a téma kipipálva. Csakhogy az ISO 12100-ot nem érdekli a kozmetika. Azt nézi, hogy a biztonsági értékelés folyamata tényleg végig lett-e vezetve.
És itt kezdődnek a gondok. Mert egy munkalap nem őrzi meg helyetted a logikát. Nem kényszerít rá, hogy a gép korlátaitól eljuss a valós feladatszcenáriókig. Nem figyelmeztet, hogy egy védőintézkedés után megjelenhet másodlagos kockázat. Nem tartja meg a döntések nyomát. És amikor kockázatcsökkentésre kerül a sor, túl könnyen engedi azt a tipikus ipari rövidítést, amit mindenki ismer: veszély, aztán gyorsan burkolat, eljárás vagy kezelési utasítás. Mintha az ISO 12100 háromlépcsős logikája csak dísz lenne, nem pedig az egész folyamat gerince.
ISO 12100 szerinti kockázatértékelés példa: hol bukik el a legtöbb táblázat?
Lehet kockázatértékelést Excelben készíteni? Persze. Ugyanúgy, ahogy lehet benne egy első ránézésre hitelesnek tűnő anyagot is összerakni. A valódi kérdés nem ez. A valódi kérdés az, hogy a táblázat képes-e fegyelmezetten végigvinni egy olyan folyamatot, amit később műszakilag, logikailag és auditon is meg tudsz védeni.
Ez a különbség a táblázat és a mérnöki munka között.
Az ISO 12100 nem Excel-fájlt kér. Kockázatértékelési dokumentációt kér. A kettő nem ugyanaz. Egy munkalap lehet jó jegyzet. Lehet jó gyűjtőhely. Lehet jó csapatmunka-eszköz. De ha nem tudja megmutatni, hogy miből következett egy döntés, ki hozta meg, mikor változott, és miért fogadható el végül a maradékkockázat, akkor még mindig csak munkalap.
Egy használható kockázatértékelési dokumentációnak legalább ezekre kell választ adnia:
- mi a gép rendeltetése és mik a korlátai,
- kik a felhasználók és milyen feladatokat végeznek,
- milyen veszélyeket, veszélyhelyzeteket és veszélyes eseményeket vizsgáltak,
- hogyan történt a kockázat becslése,
- milyen védőintézkedést választottak,
- milyen sorrendben alkalmazták a kockázatcsökkentést,
- keletkezett-e másodlagos kockázat,
- hogyan értékelték a maradékkockázatot,
- ki döntött, és mire alapozta a döntést.
Itt jön be az audit trail / döntési nyomvonal. Nem extra. Nem kényelmi funkció. Ez az a bizonyíték, amely megmutatja, hogy valaki tényleg gondolkodott. Ha ez nincs, nagyon gyorsan ott találod magad egy szép végső PDF-fel, amely eredményt mutat, de nem mutatja az odavezető utat. Baleset után, vevői átvételen vagy CE dokumentációellenőrzésnél ez szokott az első repedés lenni.
És még valami. Az ISO 12100 szerinti kockázatcsökkentés sorrendje nem ajánlás, hanem logika:
- eleve biztonságos tervezési intézkedések,
- védőintézkedések és kiegészítő műszaki intézkedések,
- használati tájékoztatás.
Ha a csapat ebből rendszeresen az első lépést átugorja, és rögtön a burkolatra vagy az utasításra ugrik, ott már nem a dokumentum a gond. Ott a gondolkodás csúszott félre.
ISO 12100 szerinti kockázatértékelés példa: a másodlagos kockázat a vakfolt
A védőintézkedés nem zárja le automatikusan a történetet. Inkább átírja a történetet. Ettől fontos. És ettől veszélyes is, ha felületesen kezelik. Egy jó kockázatértékelés nem áll meg ott, hogy bekerült egy burkolat, egy interlock, egy reset vagy egy eljárás. Utána azt kell megnézni, hogy ezzel mi változott az egész ember-gép-folyamat rendszerben.
Mechanikai példa: a burkolat javítja a védelmet, de rontja a hozzáférést
Tegyük fel, hogy egy mozgó szerkezeti elem közelében az operátor időnként beavatkozik elakadáselhárítás miatt. A csapat beépít egy mozgó burkolatot interlockkal. Papíron jól néz ki: normál automata üzemben korlátozott a hozzáférés a veszélyzónához. Csakhogy utána a tisztítás és az elakadás megszüntetése nehezebb lesz. Mélyebbre kell benyúlni. Rosszabb a rálátás. Szűkebb a szerviznyílás. Kényelmetlenebb testhelyzetben kell dolgozni.
Mi történt valójában? A fő mechanikai kockázat csökkent, de közben megjelent egy új probléma a hozzáférés, az ergonómia és az irányítható beavatkozás oldalán. Ha ezt nem értékeled újra, a dokumentáció csak a fél igazságot mutatja.
Automatizálási példa: a jó biztonsági funkció rossz viselkedést provokálhat
Ez különösen alattomos. A csapat bevezet egy interlockot, kézi resetet és megakadályozza az automatikus újraindulást ajtónyitás után. Maga a biztonsági funkció lehet teljesen helyes. A gond ott indul, amikor az új szekvencia minden beavatkozást lelassít, kizökkenti az operátort a ritmusból, és több lépést követel meg ugyanahhoz a feladathoz.
Ha ezt a valós üzemmenet ismerete nélkül vezetik be, kialakul a másodlagos kockázat: reflexből végzett reset, a zóna valódi ellenőrzésének elmaradása, védőeszközök áthidalásának kísértése, szervezeti nyomás a gyorsításra. Ilyenkor nem maga a biztonsági funkció hibás. Az a hiba, hogy valaki nem nézte meg, hogyan hat a valós emberi viselkedésre.
Villamos példa: a részleges egyenpotenciálra hozó összekötés visszaüthet
Jó szándékkal is lehet rosszat csinálni. Valaki észlel egy problémát a gép egyik részén, és egyenpotenciálra hozó összekötést készít csak arra az egy elemre. A cél korrektnek tűnik: jobb érintésvédelem, jobb folytonosság. Csakhogy ha ez csak a rendszer egy töredékére történik meg, könnyen előállhat olyan állapot, ahol egyes részek eltérő referencia-potenciálon vannak. Hiba vagy átmeneti állapot esetén nőhet a potenciálkülönbség kockázata, és az ember, aki egyszerre két részt érint, veszélyesebb helyzetbe kerülhet, mint a módosítás előtt.
Ez a másodlagos kockázat lényege. A védőintézkedés önmagában nem szent tehén. Azt kell nézni, hogy az egész rendszert végül valóban biztonságosabbá tette-e.
A sima táblázat itt szokott elfogyni. Mert a végállapotot jól tárolja: veszély, védőintézkedés, eredmény. Azt viszont rosszul kezeli, hogy a védőintézkedés mit változtatott tovább. Pedig éppen itt dől el, hogy valódi kockázatértékelésről beszélünk-e, vagy csak jól kinéző adminisztrációról.
Audit trail: itt derül ki, gondolkodott-e valaki
Sokan még mindig úgy kezelik a döntési nyomvonalat, mint valami auditkedvenc adminisztratív kiegészítést. Ez tévedés. A döntési nyomvonal a projekt műszaki memóriája. Enélkül nagyon gyorsan minden összelapul a végső állapotra. Azt látod, hogy a táblázatban ma mi szerepel. Azt nem látod, hogyan jutott oda.
Nézzünk három tipikus helyzetet.
1. Valaki átírta a kockázatot közepesről alacsonyra
A végső állapotban csak annyi látszik, hogy most már alacsony, tehát elfogadható. Rendben. De ki írta át? Miért? Új védőintézkedés került be? Változott a feladat? Javult a hozzáférés korlátozása? Vagy egyszerűen közeledett az átadás, és valakinek útban volt a nyitott tétel? Döntési nyomvonal nélkül ezt nem tudod megkülönböztetni.
2. Valaki elfogadta az alacsony kockázatot, de nincs indoklás
Ez is klasszikus. Alacsony. Elfogadható. Kész. Csakhogy az elfogadhatóságot nem maga a címke teszi védhetővé, hanem az indoklás. Ritka volt az expozíció? Kicsi a várható sérülés súlyossága? Csak képzett személyzet fér hozzá? Ellenőrzött körülmények vannak? Ha ez nincs leírva, az anyag nem erős, csak rövid.
3. Valaki beírta, hogy PL d
Ez az egyik legveszélyesebb pont. A dokumentumban szerepel a biztonsági funkció, ott az ISO 13849, ott a PL d, és minden elsőre meggyőző. De később senki nem tudja megmondani, pontosan melyik biztonsági funkcióra vonatkozott, mit felügyelt, mit tiltott le, miért éppen ez a követelmény, és valódi kockázatértékelésből jött-e, vagy puszta megszokásból.
Ilyenkor derül ki, miért nem elég a végső táblázat. A végeredmény nem ugyanaz, mint az odavezető mérnöki tartalom. Ha a logika nincs megőrizve, utólag már csak a legutóbbi verziót tudod védeni, nem magát a folyamatot.
ISO 12100 szerinti kockázatértékelés példa egy automatizált csomagolóállomásra
Hogy ne maradjunk az elméletnél, nézzünk egy valós gépes logikát. Egy automatizált csomagolóállomást vizsgálunk, ahol van veszélyes mozgás, operátori beavatkozás, elakadáselhárítás, karbantartás, villamos és pneumatikus energia, valamint vezérlési logikától függő biztonsági funkciók.
Egy gyenge anyag itt csinálna két-három általános sort: mechanikai veszély, villamos veszély, kezelői beavatkozás. Kész. Egy használható kockázatértékelés viszont szétbontja a valós helyzeteket. Ebben a példában tizenhat különálló veszélyhelyzet készült: tizenhárom feladatszcenárió és három veszélyes esemény az ISO 12100 logikája szerint.
Külön értékelést kapott például:
- a kisebb beavatkozás automata működés közben,
- az elakadás megszüntetése,
- a védőeszköz beállítása,
- a funkcionális teszt,
- az energia leválasztása,
- a kopóalkatrész cseréje,
- a hibadiagnosztika,
- az akaratlan elindulás,
- a tárgykivetődés,
- a pneumatikus energia felszabadulása.
Miért fontos ez a bontás? Mert gépet nem lehet tisztességesen általánosságban értékelni. Csak az ember-gép kapcsolatot lehet értékelni konkrét feladatra, konkrét zónára, konkrét veszélyforrásra és konkrét hozzáférési feltételre. Itt válik el a valós elemzés a dísznek jó, de műszakilag üres táblázattól.
Mit mutatott ez a példa a gyakorlatban?
Először: a fő probléma nem maga a veszélyes mozgás volt, hanem az ember hozzáférése ehhez a mozgáshoz beavatkozás, elakadáselhárítás és hibakeresés közben.
Másodszor: nem minden szcenárió volt egyformán súlyos. Néhány helyzet tényleg elfogadható alacsony kockázatnak bizonyult, de csak azért, mert ez védhető volt a ritka expozícióval, a korlátozott feladattal, az alacsony várható következménnyel és a kontrollált körülményekkel.
Harmadszor: több helyzetnél teljesen védhetetlen lett volna az a tipikus bejegyzés, hogy burkolat plusz utasítás. Az elakadáselhárításnál, az akaratlan elindulásnál, a villamos hibadiagnosztikánál vagy az energia leválasztásánál le kellett írni, milyen biztonsági funkció csökkenti ténylegesen a kockázatot, mit figyel, mikor akadályozza meg a veszélyes mozgást, mikor kell kézi reset, és miért pont az adott megbízhatósági szint szükséges.
Negyedszer: a folyamat nem ért véget az első becslésnél. Végig kellett menni ezen a láncon: kezdeti becslés, döntés az elfogadhatóságról, védőintézkedés kiválasztása, másodlagos kockázat ellenőrzése, ismételt értékelés, majd a maradékkockázat megítélése. Ezt a lépésláncot szokták a leegyszerűsített anyagok egyszerűen lenyelni.
Ötödször: csak a teljes döntési nyomvonalból látszott, ki miért fogadott el egyes helyzeteket, és miért irányított másokat további kockázatcsökkentésre. Ez nélkül az egész anyag csak állítások gyűjteménye lenne.
Mitől lesz valóban jó egy ilyen dokumentáció?
Ha röviden kell mondani: attól, hogy nemcsak az eredményt mutatja, hanem a gondolkodást is. Egy erős kockázatértékelési dokumentációban látszik:
- a gép rendeltetésszerű és ésszerűen előre látható használata,
- a gép korlátainak rögzítése,
- a feladatalapú bontás,
- a veszély, a veszélyhelyzet és a veszélyes esemény kapcsolata,
- a kockázatcsökkentés helyes sorrendje,
- a védőintézkedések műszaki tartalma,
- a másodlagos kockázatok újbóli értékelése,
- a maradékkockázat indokolt elfogadása vagy el nem fogadása,
- a döntési nyomvonal.
Ha ebből bármelyik hiányzik, attól még lehet szép a fájl. Lehet rendezett. Lehet meggyőző első pillantásra. De az még nem jelenti azt, hogy a gép valóban biztonságosabb lett, vagy hogy a dokumentáció megállja a helyét, amikor valaki kemény kérdéseket tesz fel.
Ezért egy jó ISO 12100 szerinti kockázatértékelés példa nem attól jó, hogy hosszú vagy tele van szabványkódokkal. Attól jó, hogy vissza lehet olvasni belőle a teljes mérnöki logikát. Honnan indult a csapat. Mit látott veszélynek. Mit tekintett elfogadhatónak. Mit vitt kockázatcsökkentésre. Milyen védőintézkedést választott. Milyen másodlagos kockázat jelent meg. És végül miért lett a maradékkockázat elfogadható.
Ha ez nincs meg, akkor nincs kész kockázatértékelés. Van egy jól kinéző fájl. A kettő nem ugyanaz.