Pavojingiausi sprendimai mašinų saugos srityje yra tie, kurie priimami įsitikinus, kad klausimas jau galutinai išspręstas.
Projekte atsiranda pavojus. Kažkas pasiūlo greitą sprendimą: pridėkime apsaugą, įdiekime šviesos užuolaidą, realizuokime saugos funkciją valdyme. Atrodo, kad tema uždaryta. Dokumentacijoje atsiranda apsaugos priemonė, rizikos vertinimo lentelėje reikšmė sumažėja, visi juda toliau.
O vėliau paaiškėja, kad:
- sunki apsauga suformavo naują prispaudimo zoną,
- blokavimo įtaisas apsunkino priėjimą prie reguliavimo ir išprovokavo apėjimą,
- apsauginis įrenginys sureguliuotas nepatikrinus realaus sustojimo laiko,
- papildomas elementas saugos grandinėje pakeitė sistemos dinamiką taip, kaip niekas nebuvo įvertinęs.
Tai nėra klaidos iš nežinojimo.
Tai klaidos, atsirandančios dėl supaprastinimo.
Apsaugos priemonė yra konstrukcinis pakeitimas. Ji keičia mašinos geometriją, erdvės prieinamumą, aptarnavimo būdą, veiksmų seką sutrikimo atveju, pavaros sistemos elgseną ir valdymo reakciją. Kiekvienas toks pakeitimas daro įtaką pavojų struktūrai – kartais akivaizdžiai, kartais labai subtiliai.
Pramoninėje praktikoje dažnai matomas linijinis mąstymas: buvo pavojus A → pridėjome apsaugą → pavojus A „dingo“. Tačiau realybė nėra linijinė. Pakeitimas vienoje vietoje gali perkelti riziką į kitas, mažiau matomas sritis.
Būtent ši sritis – kai apsauga vietoj to, kad stabilizuotų sistemą, sukuria naujas technines įtampas – reikalauja šaltos, inžinerinės analizės.
Pirmoji klaida, kuri dažnai atsiranda „pridėjus apsaugą“, yra prielaida, kad pakeitimas yra lokalus. Kad jis liečia tik vieną pavojų ir neturi įtakos likusiai sistemai.
Iš tikrųjų kiekviena apsaugos priemonė įsikiša į mašinos konstrukciją arba jos valdymą. O tai reiškia, kad ji keičia:
- kinematiką,
- darbo zonos prieinamumą,
- reakcijos laikus,
- reguliavimo ir techninės priežiūros darbų atlikimo būdą,
- reakciją į sutrikimus.
Jei šių pakeitimų neįvertinama kaip visumos, labai lengvai atsiranda rizikos „perkėlimo“ efektas.
1. Apsauga kaip naujų mechaninių pavojų šaltinis
Klasikinis pavyzdys – mechaninė apsauga (gaubtas). Jos paskirtis akivaizdi: apriboti patekimą į pavojingą zoną. Ir dažnai tai veikia.
Problemos prasideda tada, kai projektuojant susitelkiama vien į atskyrimą, o pačios apsaugos fizinės savybės paliekamos nuošalyje.
Sunki atverčiama apsauga reiškia papildomą masę.
Papildoma masė reiškia potencialią energiją.
Potenciali energija reiškia galimą kritimą, prispaudimą, smūgį.
Jeigu neįvertintas apsaugos judėjimo kelias, atrėmimo būdas ir stabilumas atviroje bei uždaroje padėtyse, apsaugos priemonė tampa nauju judančiu sistemos elementu. Ir sukuria savas pavojingas zonas.
Praktikoje tai atrodo visai paprastai: operatorius atidaro apsaugą, viena ranka ją prilaiko, kita siekia į vidų, o kažkas iš šono netyčia ją stumteli. Arba po metų eksploatacijos vyris pradeda „vaikščioti“ dėl laisvumo. Tuomet apsauga nustoja būti „barjeru“ ir tampa dinaminiu elementu.
Tai nėra retas atvejis.
Tai pasekmė to, kad neįvertinama, jog apsaugos priemonė pati savaime gali būti energijos ir judesio šaltinis.
2. Apsauginis įtaisas be saugos parametrų patikros
Praktikoje labai dažnai pasitaiko schema: sumontuojame šviesos užuolaidą, prijungiame ją prie saugos valdiklio, atstumą nustatome „pagal katalogą“ ir laikome klausimą uždarytu.
Tačiau vien apsauginio įtaiso pritaikymas dar nėra įrodymas, kad rizika realiai sumažinta.
Kad būtų galima kalbėti apie faktinį veiksmingumą, turi būti įvykdytos bent trys techninės sąlygos.
a) Faktinio sustabdymo laiko patikrinimas
Apsauginio įtaiso atstumas iki pavojingos zonos negali būti parenkamas „iš patirties“. Jis turi būti apskaičiuotas pagal ISO 13855, remiantis:
- faktiniu mašinos sustabdymo laiku (įskaitant sistemos inerciją),
- apsauginio įtaiso ir valdymo sistemos reakcijos laiku,
- žmogaus reakcijos laiku,
- pastoviais geometriniais dydžiais, kylančiais iš įrenginio tipo.
Esminis žodis: realus.
Sustabdymo laikas turi būti nustatytas matavimu, taikant blogiausio atvejo sąlygas, kurios yra reprezentatyvios realiai eksploatacijai: esant maksimaliai apkrovai, didžiausiam greičiui, įvertinant pokyčius laikui bėgant (stabdymo elementų nusidėvėjimą, leistinas paklaidas, temperatūros įtaką). Ne kataloginis. Ne deklaruojamas. Ne „tipinis“.
Jeigu toks matavimas neatliktas, nėra įrodymo, kad saugus atstumas parinktas teisingai. O be teisingo atstumo nėra pagrindo teigti, kad apsauginis įtaisas iš tikrųjų neleidžia pasiekti pavojingos zonos iki judesio sustabdymo.
Tokiu atveju apsauga gali būti logiškai teisinga, tačiau fiziškai neveiksminga.
b) Saugos funkcijos verifikavimas ir Performance Level
Antrasis aspektas – saugos funkcijos verifikavimas pagal ISO 13849-1.
Apsauginis įtaisas yra tik viena grandinės dalis. Saugos funkcija apima:
- jutiklį (pvz., šviesos uždangą),
- loginę dalį (saugos valdiklį, reles),
- vykdomuosius elementus (kontaktorius, vožtuvus, pavaras),
- architektūros struktūrą (kategoriją),
- patikimumo parametrus (MTTFd, DC, CCF).
Jeigu nebuvo atlikti Performance Level skaičiavimai ir neparodyta, kad pasiektas PL ≥ reikalaujamam PLr, nustatytam iš rizikos vertinimo, formaliai nėra patvirtinimo, kad saugos funkcija užtikrina reikiamą rizikos sumažinimo lygį.
Dažna klaida – prielaida: „šviesos uždanga turi PL e, vadinasi, viskas saugu“.
Reikalaujamas lygis taikomas ne pačiai uždangai.
Jį turi atitikti visa saugos funkcija.
Jeigu stabdymo grandinėje yra per mažo patikimumo elementas, naudojamas vienas kontaktorius be stebėsenos arba trūksta diagnostikos, realus PL gali būti mažesnis nei reikalaujamas. Tuomet apsaugos priemonės veiksmingumas tampa prielaida, o ne faktu.
c) Funkcinis nuoseklumas – ne vien elektra
Trečioji sritis – saugos funkcijų integravimas su technologiniu procesu.
Net ir teisingai apskaičiuotas saugus atstumas ir korektiškai patikrintas Performance Level (PL) dar negarantuoja apsaugos veiksmingumo, jeigu:
- atstatymas (reset) galimas iš vietos, iš kurios vėl galima pasiekti pavojingą zoną,
- pakartotinis paleidimas įvyksta automatiškai, atleidus apsauginį įtaisą,
- neįvertintos pereinamosios būsenos (pvz., likutiniai judesiai, ašių inercija),
- nepatikrintas elgesys esant daliniam sistemos gedimui.
Saugos funkcija turi būti ne tik „prijungta“, bet ir logiškai teisinga bei patikrinta visame mašinos darbo scenarijuje.
Jeigu bent vienas iš šių elementų (sustabdymo laikas, atstumas pagal ISO 13855, PL/PLr pagal ISO 13849-1, atstatymo ir pakartotinio paleidimo logika) nebuvo patikimai patikrintas, neturime pagrindo teigti, kad rizika realiai sumažinta.
Ir tai dar ne viskas.
Tokioje situacijoje ne tik neįrodytas apsaugos priemonės veiksmingumas. Šiame etape sukuriamos naujos pavojingos situacijos. Operatorius gauna signalą, kad erdvė yra apsaugota. Pasikeičia elgsena — priartėjama greičiau, atstumas mažesnis, veiksmai ryžtingesni. Tačiau jeigu realus sustabdymo laikas yra ilgesnis, nei buvo priimta projekte, susidaro situacija, kai žmogus patenka į pavojaus poveikio zoną dar prieš sustabdant pavojingą judėjimą.
Tai yra norminiu požiūriu pavojinga situacija: aplinkybė, kai asmuo yra veikiamas bent vieno pavojaus.
Panašiai ir netinkamai patikrinto Performance Level atveju: jeigu saugos funkcija nepasiekia reikalaujamo PLr, esant vienkartiniam gedimui arba praradus diagnostiką gali būti prarasta stabdymo funkcija. Tuomet susiduriame su situacija, kai:
- pavojus vis dar egzistuoja,
- žmogus daro prielaidą, kad jis sumažintas,
- o sistema neįgyvendina saugos funkcijos pagal numatytą veikimą.
Tai nėra „nepilna dokumentacija“.
Tai yra struktūriškai nauja pavojinga situacija, sukurta projektavimo etape.
3. Kai apsauga pakeičia darbo būdą — o kartu ir rizikos struktūrą
Kiekviena apsaugos priemonė keičia ne tik mašinos geometriją ar sustabdymo parametrus. Ji taip pat keičia ir darbo atlikimo būdą.
Būtent šioje vietoje labai dažnai atsiranda naujos pavojingos situacijos – ne todėl, kad apsauginis įtaisas „neveikia“, o todėl, kad projektuojant nebuvo numatyta, kaip jis bus naudojamas realiomis eksploatavimo sąlygomis.
a) Apsunkinta prieiga = improvizuotas įsikišimas
Kai apsauga reikšmingai apsunkina prieigą prie reguliavimo, valymo ar perstatymo darbų, operatorius pradeda trumpinti procedūras:
- palieka apsaugą iš dalies atidarytą,
- užblokuoja galinį jungiklį,
- atlieka veiksmus esant liekamiesiems judesiams,
- įsikiša esant nepatikimam sustojimui.
Tai nėra „nedrausmingo darbuotojo“ problema.
Tai projekto pasekmė – sprendimo, kuris neįvertino realaus užduoties dažnio ir pobūdžio.
Šiuo momentu susiformuoja pavojinga situacija: žmogus atsiduria erdvėje, kuri pagal prielaidas turėjo būti nepasiekiama judėjimo metu, o sistema nebegali priverstinai užtikrinti saugių sąlygų.
Apsauga nebuvo pašalinta.
Aplinkkelis buvo „įdiegtas“ pačiame procese.
b) Apsauga, kuri išbalansuoja darbo seką
Kiekviena saugos funkcija įveda logines sąlygas:
- sustabdymą pažeidimo atveju,
- paleidimo blokadą,
- atstatymą (reset),
- pradinių sąlygų patvirtinimą.
Jei grįžimo į darbą seka yra per sudėtinga, nelogiška arba neaiški, didėja tikimybė, kad veiksmai bus atliekami ne pagal numatytą scenarijų.
Pavyzdžiui:
- atstatymas (reset) atliekamas vizualiai nepatikrinus zonos,
- pakartotinis paleidimas esant liekamiesiems judesiams,
- įsikišimas servisiniu režimu neatlikus pilnos energijos išjungimo.
Kiekvienas iš šių atvejų yra pavojinga situacija: žmogus atsiduria pavojaus veikimo zonoje, kai saugos sąlygos nėra užtikrintos.
Rizikos vertinimo požiūriu tai nėra „naudotojo klaida“.
Tai yra neįvertinta, kaip apsaugos priemonė pakeitė sistemos dinamiką.
c) Konfliktas tarp saugos ir ergonomikos
Jeigu apsaugos priemonė:
- apriboja darbo zonos matomumą,
- verčia užimti nepatogias, nenatūralias kūno padėtis,
- padidina fizinį krūvį,
- reikšmingai (operaciniu požiūriu) pailgina ciklo laiką,
tuomet didėja nepageidaujamo elgesio tikimybė.
O tikimybės padidėjimas yra vienas iš dviejų rizikos apibrėžimo dėmenų.
Praktikoje tai dažniausiai atrodo taip:
Projektas numato saugų priėjimą tik uždarius apsauginį gaubtą.
Operatorius, kad matytų detalę, pasilenkia ir pakiša ranką po apatine briauna.
Apsauga fiziškai yra.
Pavojinga situacija vis tiek susidaro.
Apsauga rizikos nepašalino.
Ji pakeitė jos konfigūraciją.
4. Linijinis mąstymas prieš sisteminę analizę
Visus aprašytus atvejus sieja ta pati priežastis: linijinis požiūris į rizikos mažinimą.
Pavojus → apsaugos priemonė → problema išspręsta.
Tačiau kiekvienas konstrukcinis pakeitimas techninėje sistemoje turi būti vertinamas kaip nauja sistemos konfigūracija.
Nauja konfigūracija reiškia:
- naujas darbo sąlygas,
- naujus priėjimo taškus,
- naujas judėjimo trajektorijas,
- naujus sutrikimų scenarijus,
- naujos pavojingos situacijos.
Jeigu, įdiegus apsaugos priemonę, projekte negrįžtama prie pavojų identifikavimo, tokia analizė lieka nepatikima — net jei dokumentacija formaliai atrodo tvarkinga.
Čia ir slypi esminis skirtumas tarp „turėti apsaugą“ ir realiai sumažinti riziką.
5. Kodėl iš esmės saugūs sprendiniai yra stabilesni
Pažvelgus į projektavimo klaidų struktūrą be emocijų, matyti aiški tendencija: daugiausia problemų atsiranda tuomet, kai sauga yra „pridedama“ vėliau, o ne suprojektuojama kaip integrali sprendinio dalis.
Iš esmės saugūs konstrukciniai sprendiniai veikia kitaip nei apsaugos priemonės. Jie ne tiek riboja priėjimą prie pavojaus, kiek mažina arba pašalina patį pavojų jo kilmės vietoje.
Pavyzdžiai gana paprasti:
- kinetinės energijos sumažinimas ribojant greitį arba masę,
- sukimo momento apribojimas iki lygio, kuris susidūrimo atveju laikomas saugesniu,
- prispaudimo jėgos sumažinimas,
- briaunų suapvalinimas vietoje jų uždengimo,
- geometrijos pakeitimas, pašalinantis prispaudimo / sutraiškymo tašką,
- pavaros taikymas su kontroliuojama stabdymo charakteristika.
Tokiais atvejais rizika mažėja todėl, kad pavojingoje situacijoje sumažėja prieinama energija arba išnyksta jos išsiskyrimo mechanizmas.
Tai kokybiškai kitoks rizikos mažinimas nei tiesiog įrengti barjerą.
Kai mažini greitį, mažini energiją visiems scenarijams.
Kai mažini jėgą, mažini galimos žalos sunkumą.
Kai geometrijoje pašalini sutraiškymo tašką, nebelieka konkretaus žalos atsiradimo mechanizmo.
Daugeliu atvejų tuomet nebereikia „statyti“ saugos ant papildomos valdymo logikos, atstatymų ir sudėtingų sekų. Rizika mažėja struktūriškai.
Todėl tokie sprendiniai iš prigimties yra stabilesni.
6. Ar iš esmės saugūs sprendiniai gali sukurti naujas pavojingas situacijas?
Įmanoma. Tačiau mechanizmas kitoks – ir dažniausiai pasitaiko rečiau.
Pavyzdys: proceso greičio arba jėgos sumažinimas, dėl kurio padaugėja sutrikimų (praslydimų, ruošinio pasislinkimų, dažnesnių užstrigimų). Rezultatas – didėja rankinių įsikišimų skaičius. O kuo daugiau rankinių įsikišimų, tuo daugiau momentų, kai žmogus patenka į pavojų veikimo zoną – vadinasi, atsiranda naujos pavojingos situacijos.
Tai nėra tiesioginis konstrukcijos „šalutinis poveikis“.
Tai proceso stabilumo pokyčio ir įsikišimų dažnio padidėjimo pasekmė.
Skirtumas tas, kad „iš prigimties saugiuose“ sprendimuose keičiamas energijos šaltinis arba geometrija, o ne pats priėjimas. Todėl naujų pavojingų situacijų paprastai susidaro mažiau nei taikant vėliau „pridedamas“ apsaugos priemones.
7. Esminis skirtumas
Apsaugos priemonė sako:
„Pavojus yra – apribosime prieigą prie jo.“
Iš prigimties saugus sprendimas sako:
„Pavojų pakeisime arba pašalinsime.“
Pirmasis požiūris sukuria sąlygas.
Antrasis keičia pačios sistemos fiziką.
Todėl projektavimo praktikoje saugiausia pradėti nuo energijos mažinimo, geometrijos pakeitimo ir pavojų mechanizmo eliminavimo, o tik po to – jei būtina – taikyti technines ir papildomas apsaugos priemones.
Tai ne filosofijos klausimas.
Tai stabilumo klausimas.
8. Nauji pavojai yra proceso dalis. Jų ignoruoti negalima.
Visa vadinamųjų „antrinių rizikų“ problema ta, kad jos dažnai laikomos nereikšmingomis. Tarsi nedidelis nepatogumas po apsaugos įdiegimo. Tarsi kažkas, ką galima „patikslinti vėliau“.
Tačiau rizikos vertinimo metodikos požiūriu tai nėra smulkmena.
Tai kritinis proceso momentas.
Kiekviena naujai įdiegta apsaugos priemonė pakeičia sistemos konfigūraciją. O konfigūracijos pokytis reiškia galimybę atsirasti naujoms pavojingoms situacijoms.
Jeigu po rizikos sumažinimo negrįžtama prie pavojų identifikavimo, procesas nutrūksta. Jis nėra užbaigtas – jis lieka neuždarytas.
Praktikoje būtent šioje vietoje dažniausiai atsiranda spraga: pavojus A formaliai sumažintas, tačiau atsiranda pavojus B – mažiau akivaizdus, sunkiau pastebimas, dažnai susijęs su valdymu, atstatymu (reset), prieiga ir sustabdymo dinamikos ypatumais.
Šio žingsnio ignoravimas reiškia, kad rizikos mažinimas lieka tik dalinis.
9. Iteracija, kurios neįmanoma „praspausti“
Todėl teisingai suprojektuotame rizikos mažinimo procese po kiekvieno etapo turi būti užduotas vienas klausimas:
Ar pritaikius apsaugos priemones atsirado naujas pavojus?
Jei atsakymas „taip“ – analizė grįžta į identifikavimo etapą.
Jei atsakymas „ne“ – tai turi būti sąmoningas sprendimas, o ne numatytasis „toliau“.
Būtent tokį mechanizmą SafetySoftware.eu tiesiogiai užtikrina: po rizikos mažinimo etapo sistema priverstinai prašo priimti sprendimą, ar taikytos apsaugos priemonės nesukūrė naujų pavojų. Be aiškios pozicijos neleidžiama judėti toliau.
Tai nėra kosmetinė funkcija.
Tai proceso apsauga nuo pernelyg linijinio supaprastinimo.
Nes didžiausios klaidos kyla ne dėl to, kad trūksta apsaugų.
Jos kyla dėl to, kad nėra iteracijos.
O mašinų sauga prasideda būtent ten, kur baigiasi mąstymas: „įdėjome apsaugą, vadinasi, jau saugu“.