DI mašinų rizikos vertinime atsirado labai greitai. Ten, kur metų metus karaliavo Excel, kontroliniai sąrašai ir iš projekto į projektą kopijuojami failai, dabar užtenka įrašyti mašinos pavadinimą, kelias bendras eilutes ir po kelių sekundžių turime solidžiai atrodantį rezultatą: pavojai, pasekmės, apsauginės priemonės, rizikos lygiai, liekamoji rizika. Viskas lyg ir vietoje. Tik yra viena problema: tvarkingai atrodantis dokumentas dar nėra rizikos vertinimas pagal ISO 12100.
Rizikos vertinimo vertė neatsiranda iš eilučių skaičiaus, spalvų ar techniškai skambančių sakinių. Ji atsiranda iš to, ar galima atkurti mąstymą, kuris nuvedė iki konkretaus projektinio sprendimo. Kitaip tariant, ar yra sprendimų pėdsakas. O čia jau baigiasi dokumento grožis ir prasideda atsakomybė.
DI mašinų rizikos vertinime: sena problema, tik naujesnis blizgesys
Daug silpnų mašinų rizikos vertinimų egzistavo dar gerokai iki DI. Excel čia nebuvo kaltininkas. Excel buvo tik įrankis. Problema buvo kita: dokumentas buvo supainiotas su procesu.
Schema pažįstama iki skausmo. Yra lentelė. Joje įrašyta: „judančios dalys“, „prispaudimas“, „fiksuota apsauga“, „darbo instrukcija“, „operatoriaus mokymas“. Pavojus įrašytas? Taip. Pradinė rizika įvertinta? Taip. Po apsauginių priemonių rizika sumažėjo? Žinoma. Juk tam lentelė ir pildyta.
Bet ar kas nors iš tikrųjų pažiūrėjo, ką operatorius daro per perderinimą? Ar kas nors suprato, kaip realiai šalinamas strigimas? Ar buvo išnagrinėtas valymas, reguliavimas, techninė priežiūra, rankinis režimas, serviso prieiga ir racionaliai numatomas apsaugų apėjimas? Ar rizikos mažinimas kilo iš analizės, ar tik iš poreikio „uždaryti eilutę“? Čia ir prasideda nepatogūs klausimai.
Prastas Excel dažnai pats save išduodavo. Tekstas būdavo skurdus, pasikartojantis, sulipdytas iš tų pačių formuluočių. DI gali padaryti tą pačią klaidą greičiau, gražiau ir įtikinamiau. Štai kur pavojus. Ne todėl, kad DI visada klysta. Dažnai bendrame lygyje jis neklysta. Bėda ta, kad mašinų rizikos vertinimas nesprendžiamas bendrame lygyje. Jis sprendžiamas detalėje. Toje vienoje prieigoje. Toje vienoje užduotyje. Toje vienoje pavojingoje situacijoje, kuri dokumentacijoje dažnai atrodo smulkmena, o ceche tampa kasdienybe.
Reglamentas (ES) 2023/1230 nekalba apie dokumentą, kuris tik atrodo kaip rizikos vertinimas. Jis kalba apie pareigą atlikti rizikos vertinimą tam, kad būtų nustatyti taikomi esminiai sveikatos ir saugos reikalavimai ir parinktos priemonės rizikai mažinti. Praktikoje tai reiškia mašinos ribas, numatytą naudojimą, racionaliai numatomą netinkamą naudojimą, pavojų nustatymą, rizikos įvertinimą, rizikos vertinimą ir rizikos mažinimą. Jei DI dirba vietoje šio proceso, rezultatas yra iliuzija. Jei dirba su šiuo procesu, gali būti naudingas.
ISO 12100 neprasideda nuo pavojų sąrašo
Vienas dažniausių klaidingų startų yra klausimas: „kokius pavojus turi ši mašina?“ Iš pirmo žvilgsnio skamba logiškai. Yra pavara, vadinasi, yra mechaniniai pavojai. Yra maitinimas, vadinasi, yra elektros pavojai. Yra įkaitę elementai, vadinasi, yra nudegimo rizika. Lentelė pildosi. Tik tai dar nėra rizikos vertinimas.
Čia būtina aiškiai atskirti du dalykus: pavojus nėra rizika. Aštri briauna yra pavojus. Taškas. Rizika atsiranda tada, kai konkretus žmogus per konkrečią užduotį ir konkrečiomis sąlygomis gali su ta briauna kontaktuoti ir patirti žalą. Judantis mechanizmas yra pavojus. Rizika priklauso nuo to, kas, kada, kodėl ir kaip prie jo priartėja.
ISO 12100 verčia žiūrėti ne į statišką „pavojingų detalių katalogą“, o į mašiną santykyje su žmogumi per visą gyvavimo ciklą: transportavimą, montavimą, paleidimą, eksploatavimą, valymą, techninę priežiūrą, remontą, perderinimą, diagnostiką ir eksploatacijos nutraukimą. Tik tada matosi, kur iš tikrųjų atsiranda pavojinga situacija ir koks pavojingas įvykis gali nuvesti iki žalos.
DI mašinų rizikos vertinime neatsako į klausimą „kas, kada ir kaip?“
Kalbinis modelis labai lengvai sugeneruos tipišką sąrašą. Konvejeris? Bus įtraukimo, sugriebimo ir prispaudimo pavojai. Presas? Bus įrankio zona, darbinis judesys ir likutinė energija. Robotas? Bus susidūrimas, įėjimas į zoną ir netikėtas judesys. Pakavimo linija? Bus pavaros, juostos, cilindrai, peiliai, kaitinimo elementai, serviso zonos. Visa tai įmanoma sugeneruoti per kelias sekundes.
Ir kas iš to? Vien pavojus lentelėje dar nieko nepaaiškina. Jis nepasako, kas yra veikiamas. Nepasako, per kokią užduotį. Nepasako, ar prieiga vyksta kasdien, kartą per savaitę ar tik gedimo metu. Nepasako, ar žmogus dirba su sustabdyta mašina, rankiniu režimu, su neatjungta energija, su atidaryta apsauga, spaudžiant laikui ar esant prastam matomumui. Nepasako ir to, ar parinkta apsauginė priemonė realiai sprendžia problemą, ar tik gerai atrodo lentelės langelyje.
Geras vertinimas neturi grūsti visų scenarijų į vieną kietą grandinę. Kartais analizė prasideda nuo užduoties: valymas, reguliavimas, strigčių šalinimas, techninė priežiūra. Tada klausimas yra toks: ar žmogus gali patekti į pavojingą situaciją ir kas gali inicijuoti scenarijų, vedantį į žalą? Bet kartais pradžia yra pavojingas įvykis: netikėtas paleidimas, slėgio kritimas, apkrovos kritimas, valdymo klaida, energijos išsiskyrimas, stabilumo praradimas. Toks įvykis pats sukuria pavojingą situaciją. Jei vertinimas mato tik užduočių sąrašą, dalies scenarijų jis tiesiog nepamatys.
Todėl geras procesas turi leisti identifikuoti pavojingas situacijas ir (arba) pavojingus įvykius, o ne mechaniškai versti kiekvieną atvejį į vienodą eilutę. Kitaip gauname tvarkingą formą be logikos.
Kaip naudoti DI mašinų rizikos vertinime, kad jis nepakenktų
Blogiausia pradžia yra paprasta užklausa: „parengk rizikos vertinimą pakavimo mašinai“. Tokiu atveju DI pateiks statistiškai tikėtiną tipinės pakavimo mašinos aprašą. Ne konkrečios mašinos vertinimą. Tarp šių dviejų dalykų yra bedugnė.
Konkreti mašina turi konkrečias ribas. Konkretų prieigos išdėstymą. Konkrečius darbo režimus. Konkrečias judesio sekas. Konkrečias strigčių vietas. Konkrečius techninės priežiūros veiksmus. Konkrečią aplinką. Konkretų operatorių, kuris dirba konkrečioje gamykloje ir dažnai su labai konkrečiu spaudimu. DI to nežino, jei jam to niekas nedavė.
Jei norima, kad DI būtų naudingas, pirma reikia surinkti kontekstą. Bent jau šiuos duomenis:
- mašinos ribas ir numatytą paskirtį;
- gyvavimo ciklo fazes;
- operatoriaus, techninės priežiūros ir serviso užduotis;
- prieigas prie pavojingų zonų ir jų dažnį;
- darbo režimus, įskaitant rankinį ir derinimo režimą;
- energijos šaltinius ir likutinės energijos scenarijus;
- strigčių, valymo ir reguliavimo veiksmus;
- racionaliai numatomą netinkamą naudojimą;
- aplinkos veiksnius: dulkes, drėgmę, triukšmą, temperatūrą, matomumą, gretimas mašinas.
Tik tada DI gali duoti vertę. Ne kaip „atsakymų automatas“, o kaip proceso pagalbininkas. Jis gali:
- priminti neapleisti valymo, strigčių šalinimo ar rankinio režimo;
- padėti palyginti skirtingus scenarijus;
- parodyti, kur trūksta duomenų arba paaiškinimo;
- aptikti nenuoseklumą tarp pavojingos situacijos, apsauginės priemonės ir liekamosios rizikos;
- padėti aiškiau suredaguoti pagrindimą.
Ko DI neturėtų daryti vienas? Savarankiškai spėlioti užduočių, parinkti apsauginių priemonių be mašinos duomenų ar automatiškai „numušti“ riziką vien dėl to, kad įrašyti mokymai, instrukcija ar LOTO. Saugumo srityje spėjimas yra blogas įprotis. Labai blogas.
Čia svarbi ir rizikos mažinimo hierarchija. ISO 12100 neleidžia pradėti nuo mokymų. Pirma klausiama, ar pavojų galima pašalinti arba sumažinti taikant iš esmės saugų projektavimą. Tik po to vertinamos techninės apsauginės priemonės. Tik pačioje pabaigoje lieka informacija naudotojui, įspėjimai, instrukcijos, mokymai ar asmeninės apsaugos priemonės. Jei DI šią seką apverčia, jis padeda ne vertinti riziką, o slėpti projektinę problemą po dokumentu.
Sprendimų pėdsakas svarbesnis už gražią lentelę
Kiekvienas rimtas mašinų rizikos vertinimas turi būti atkuriamas. Ne tik perskaitomas. Atkuriamas. Po metų, po audito, po modernizacijos, po incidento turi būti aišku, kodėl konkretus scenarijus buvo įvertintas būtent taip.
Kodėl nuspręsta, kad prieiga yra reta? Kodėl priimtas toks galimos žalos sunkumas? Kodėl nebuvo įvertintas valymas? Kodėl strigčių šalinimas laikytas techninės priežiūros darbu, nors jį penkiolika kartų per pamainą daro operatorius? Kodėl rizika sumažėjo vien dėl instrukcijos, jei projektas vis dar verčia žmogų artėti prie judančių dalių? Jei dokumentacija į tai negali atsakyti, sprendimų pėdsako nėra.
Ir čia DI gali padėti arba labai stipriai pakenkti. Jei procesas tvarkingas, DI gali sustiprinti kokybę: padėti vienodai formuluoti pagrindimus, rasti spragas, parodyti prieštaravimus. Jei proceso nėra, DI pagamins tik elegantiškesnę miglą. Daugiau teksto, geresnis stilius, daugiau techninių žodžių. Mažiau tikro aiškumo.
Saugumas nemėgsta „maždaug“. Vienas inžinierius riziką įvertins kaip didelę, kitas kaip vidutinę. Vienas pasitenkins mokymu, kitas paklaus, kodėl nepakeista konstrukcija. Ši skirtis kartais kyla iš patirties, bet labai dažnai ji kyla iš proceso nebuvimo. Todėl vertinimui reikia pakartojamos logikos: mašinos ribos, gyvavimo ciklo fazės, užduotys, pavojingos situacijos ir pavojingi įvykiai, pavojai, galima žala, rizikos įvertinimas, rizikos vertinimas, rizikos mažinimas, liekamoji rizika ir pagrindimas. DI gali pagreitinti šį kelią. Bet kelio jis nesukuria.
Pavyzdys: šakinis jutiklis ant slitterio
Imkime labai žemišką pavyzdį. Slitteryje (išilginio pjaustymo įrenginyje) šakinis jutiklis stebi juostos padėtį. Keičiant medžiagos plotį operatoriui reikia perstatyti jutiklį. Bėda ta, kad reguliavimo vieta yra pavojingoje zonoje: ten yra judantys velenai, ritinėliai, įtraukimo taškai, įtempta juosta ar pjovimo sistemos dalys.
Ką pasakys bendrą užklausą gavęs DI? Labai tikėtiną rinkinį: taikyti LOTO, apmokyti operatorių, pažymėti pavojingą zoną, naudoti apsaugas, pateikti instrukciją, įrengti avarinį stabdymą. Skamba protingai? Skamba. Tik tai gali būti klasikinis pabėgimas nuo tikros problemos.
Nes teisingas klausimas nėra „kaip aprašyti įėjimo į pavojingą zoną riziką?“. Teisingas klausimas yra: kodėl operatorius apskritai turi patekti į pavojingą zoną, kad atliktų normalų mašinos perderinimą? Jei juostos pločio keitimas yra įprasta gamybinė operacija, jos negalima apsimesti esant reta serviso intervencija. Vien įrašyti LOTO čia neužtenka. Reikia patikrinti, ar tokia procedūra apskritai reali gamybos cikle.
Gal jutiklį galima perstatyti iš išorės, ant kreipiančiosios, pasiekiamos neįeinant į pavojingą zoną? Gal galima numatyti mechaninę skalę arba receptinį pozicionavimą? Gal reikia keisti jutiklio laikiklį, vietą ar net visą aptikimo principą? Gal dabartinis sprendimas tiesiog blogai suprojektuotas?
Tik tada, kai poreikio patekti į zoną neįmanoma panaikinti projektiniu sprendimu, verta eiti toliau: blokuojanti apsauga su užraktu, derinimo režimas, ribotas greitis, valdymas išlaikant valdymo organą, leidimo įtaisas, saugus sustabdymas, energijos atjungimo procedūra, instrukcija, mokymas. Tvarka čia svarbi. Jei DI iš karto šoka prie mokymo ir LOTO, o neklausia apie konstrukcijos keitimą, jis ne padeda, o nukreipia analizę į šalį.
Šis pavyzdys gerai parodo ribą. Dokumento generatorius rašo: „taikyti LOTO ir apmokyti operatorių“. Proceso pagalbininkas klausia: „ar ši užduotis apskritai turi reikalauti įėjimo į pavojingą zoną?“ Vien tas klausimas dažnai vertesnis už dvidešimt gražiai užpildytų eilučių.
Kai DI tampa saugos funkcijos dalimi, taisyklės pasikeičia
Labai svarbu atskirti du visiškai skirtingus atvejus. Pirmas: DI padeda inžinieriui tvarkyti informaciją, užduoti kontrolinius klausimus, rasti spragas dokumentacijoje. Antras: DI arba mašininis mokymas tampa pačios mašinos dalimi ir atlieka saugos funkciją. Čia jau visai kita lyga.
Reglamentas (ES) 2023/1230 aiškiai išskiria saugos komponentus ir sistemas, turinčias visiškai arba iš dalies savaime kintančią elgseną, kai jos užtikrina saugos funkcijas. Tokiais atvejais kalbame ne apie gražų techninį aprašą, o apie atitikties vertinimą su trečiosios šalies dalyvavimu. Kitaip tariant, įsijungia notifikuotoji įstaiga. Ir tai nėra biurokratinis kaprizas. Priežastis paprasta: kai sistema, nuo kurios priklauso sauga, kinta pagal duomenis ar modelį, atsiranda papildomas neapibrėžtumas, kurio neleidžiama ignoruoti.
AI Act tą pačią logiką dar sustiprina. Jei DI sistema naudojama kaip produkto saugos komponentas arba pats produktas patenka į sritį, kur reikia trečiosios šalies atitikties vertinimo, tai gali būti didelės rizikos sistema. O didelė rizika reiškia ne pažadą, kad „modelis paprastai veikia gerai“, o nuolatinį rizikos valdymo procesą per visą gyvavimo ciklą, žmogaus priežiūrą, aiškiai apibrėžtas ribas, tikslumo, atsparumo ir kibernetinio saugumo reikalavimus.
Čia labai pravartu vienas nemalonus klausimas: kas vyksta tuo likusiu procentu, kai sistema neatpažįsta žmogaus, neteisingai interpretuoja signalą arba susiduria su sąlygomis, kurių testuose nebuvo? Dulkės, apšvietimo pokytis, vibracija, nestandartinė medžiaga, jutiklio gedimas, neįprastas operatoriaus elgesys. Saugos funkcija negali būti grindžiama tikėjimu, kad „dažniausiai pavyksta“.
Todėl DI, kuris padeda rengti klausimus rizikos vertinimui, yra viena. DI, kuris sprendžia, ar mašina sustos laiku, ar atpažins žmogų pavojingoje zonoje, yra visai kas kita. Pirmu atveju kalbame apie pagalbinį įrankį. Antru atveju kalbame apie techninį sprendimą, kurio klaida gali sukelti žalą. Ir tada vien gero stiliaus dokumentacijoje nepakanka. Reikia įrodyti, kad sprendimas yra valdomas, numatomas, pakankamai atsparus ir tinkamai prižiūrimas.
Išvada: problema ne DI, o dokumento imitacija
DI mašinų rizikos vertinime nėra savaiminė problema. Problema prasideda tada, kai iš jo tikimasi ne pagalbos, o atsakomybės. Kai norima ne geresnio proceso, o greitesnio dokumento. Kai vietoj mašinos pažinimo pasirenkamas įtikinamai skambantis tekstas.
Praktinė taisyklė paprasta:
- jei DI kuria lentelę be realaus konteksto, jis spėlioja;
- jei DI padeda patikrinti pilnumą, nuoseklumą ir pagrindimą, jis gali būti labai naudingas;
- jei DI artėja prie saugos funkcijos, įsijungia visai kita inžinerinė ir reguliacinė disciplina.
Mašinų sauga neprasideda nuo gražios lentelės ir nesibaigia ties geru sakiniu. Ji prasideda nuo nepatogaus klausimo: kodėl žmogus apskritai turi atsidurti pavojingoje situacijoje? Jei DI padeda tą klausimą užduoti anksčiau ir tiksliau, verta jį naudoti. Jei jis tik padeda gražiau paslėpti, kad klausimo niekas neuždavė, geriau sustoti dar prieš paspaudžiant „generuoti“.