Sliktākais riska novērtējums parasti nav haotisks. Sliktākais izskatās pārliecinoši profesionāls: tabula, vērtējuma punkti, standartu ailes, komentāri un beigās kārtīgs PDF, kas komandai rada patīkamu sajūtu, ka viss ir sakārtots. Tikai te ir viens neērts fakts: ISO 12100 nevērtē dokumenta glītumu. Tas vērtē, vai drošuma novērtēšanas process tiešām ir veikts. Tieši tāpēc Riska novērtējuma piemērs pēc ISO 12100 ir vērtīgs tikai tad, ja tas parāda domāšanas ķēdi, nevis tikai gala tabulu.
Problēma sākas tur, kur fails sāk izskatīties gudrāks par pašu procesu. Lapa pati neuzrauga loģiku. Tā nepiespiež pāriet no mašīnas ierobežojumiem uz reāliem darba uzdevumiem, neatgādina pārbaudīt sekundāro risku un neglabā lēmumu pēdu. Un, kad pienāk laiks riska samazināšanai, tieši tur visbiežāk tiek pārkāpta ISO 12100 pamatloģika: no apdraudējuma uzreiz pārlec pie aizsarga, procedūras vai instrukcijas, it kā standarta trīspakāpju loģika būtu dekorācija, nevis pamats.
Riska novērtējuma piemērs pēc ISO 12100: kāpēc Excel vēl nav dokumentācija
Jā, riska novērtējumu var sastādīt Excel failā. To neviens nenoliedz. Tieši tāpat var izveidot dokumentu, kas dažas minūtes izskatās ļoti ticams. Bet ar to vien nepietiek. ISO 12100 neprasa lietot Excel. ISO 12100 prasa sagatavot riska novērtējuma dokumentāciju. Un tā nav viena un tā pati lieta.
Darba lapa var būt ļoti noderīga. Tā var kalpot kā piezīmju bloks, komandas darba skice, ievades vieta bīstamajām situācijām un aizsardzības pasākumiem. Tā var būt kārtīga un disciplinēta. Tomēr, ja tā nespēj pārvērst lēmumu virkni aizstāvamā procesā, tā joprojām ir tikai darba materiāls. Tas ir galvenais punkts, ko praksē sajauc visbiežāk.
Riska novērtējuma dokumentācijai ir jāparāda ne tikai tas, ko komanda ierakstīja, bet arī tas, no kā šie ieraksti izrietēja. Citiem vārdiem sakot, dokumentācijai jāparāda:
- kādi ir mašīnas paredzētie lietošanas apstākļi un ierobežojumi;
- kādi uzdevumi, darbības režīmi un piekļuves veidi tika analizēti;
- kādas bīstamās situācijas un bīstamie notikumi tika ņemti vērā;
- kā tika veikts sākotnējais riska novērtējums;
- kādi aizsardzības pasākumi tika izvēlēti un kādā secībā;
- vai pēc pasākuma ieviešanas parādījās sekundārais risks;
- kā tika noteikts atlikušais risks;
- kurš pieņēma konkrēto lēmumu un uz kāda pamata.
Tātad vaina nav tajā, ka Excel būtu pārāk vienkāršs. Vaina ir sliktāka: Excel pārāk viegli ļauj izlikties, ka riska novērtējuma dokumentācija jau ir gatava, lai gan realitātē ir izveidota tikai glīti noformēta tabula. Un te sākas robeža starp administrēšanu un inženieriju.
Ja dokumentu pēc mēneša nevar atjaunot, izsekot, pārbaudīt un tehniski aizstāvēt, tad jums vēl nav pilnvērtīgas riska novērtējuma dokumentācijas. Jums ir dati. Varbūt sakārtoti. Varbūt iespaidīgi. Bet joprojām tikai dati. ISO 12100 nejautā, vai fails izskatās profesionāli. Tas jautā, vai riska novērtēšanas process ir patiešām veikts un dokumentēts.
Sekundārais risks: brīdis, kad aizsardzības pasākums rada nākamo problēmu
Vai aizsardzības pasākums pats var radīt jaunu apdraudējumu? Protams, var. Tieši tāpēc korekts riska novērtējums nebeidzas brīdī, kad kāds tabulā ieraksta aizsargu, bloķēšanu vai procedūru. Aizsardzības pasākums procesu neaizver. Tas izmaina visu riska izkārtojumu.
Šis nav teorētisks sīkums. Tas ir viens no skaidrākajiem testiem, vai komanda patiešām veic riska novērtējumu vai tikai mehāniski piemeklē risinājumus pie katras problēmas. Laba analīze nejautā tikai: vai mēs pievienojām aizsardzības pasākumu? Laba analīze jautā: kas pēc tā ieviešanas notika ar cilvēka, mašīnas, enerģijas un procesa attiecībām?
Mehānisks piemērs: aizsargs palīdz kustībai, bet pasliktina apkopi
Iedomāsimies zonu, kur operatoram ir risks nonākt saskarē ar bīstamu kustību, novēršot iesprūšanu. Komanda pievieno kustīgu aizsargu ar bloķēšanu. Pirmajā skatā viss korekti: automātiskā darba laikā piekļuve bīstamajai zonai ir ierobežota. Papīrā skaisti. Dzīvē ne tik vienkārši.
Pēc izmaiņas izrādās, ka tīrīšanas un iesprūšanas novēršanas laikā operatoram tagad ir jāsniedzas dziļāk, jāstrādā sašaurinātā telpā, jātur roka neveiklā pozā un jādarbojas caur mazāku servisa atveri. Galvenais mehāniskais risks tiešām samazinājās, bet parādījās cits jautājums: vai aizsardzības pasākums nav radījis jaunu problēmu ar piekļuvi, redzamību un ergonomiku? Ja šo nepārbaudāt, dokumentācija parāda tikai pusi patiesības.
Automātikas piemērs: drošības funkcija ir pareiza, bet cilvēks sāk meklēt apkārtceļus
Šis ir ļoti tipisks gadījums. Tiek ieviesta drošības funkcija: aizsarga atvēršana apstādina bīstamo kustību, ir automātiskās atkārtotas palaišanas bloķēšana, nepieciešams manuāls atiestatījums. No tehniskā viedokļa viss pareizi. Varbūt pat ISO 13849 kontekstā ir noteikts PL d. Bet ar to stāsts vēl nebeidzas.
Ja jaunā loģika katru iejaukšanos padara lēnāku, izjauc operatora darba ritmu un pavairo obligātos soļus, parādās organizatoriski uzvedības risks. Cilvēki sāk atiestatījumu veikt mehāniski, neveicot reālu zonas pārbaudi. Pieaug kārdinājums apiet bloķēšanu. Rodas spiediens paātrināt procesu ārpus drošas ieceres. Tātad kļūda nav pašā drošības funkcijā. Kļūda ir tās ieviešanā bez pārbaudes, kā tā ietekmēs reālo darbu.
Elektriskais piemērs: lokāls uzlabojums, kas var pasliktināt kopējo situāciju
Pieņemsim, ka kāds pamana problēmu vienā iekārtas daļā un nolemj uzlabot drošumu, izveidojot ekvipotenciālu savienojumu tikai šim vienam mezglam. Nodoms labs: samazināt elektrotrieciena risku. Bet, ja savienojums tiek veidots fragmentāri, tikai daļai sistēmas, var rasties cita problēma: viena mašīnas daļa iegūst citu references potenciālu nekā pārējā sistēma.
Bojājuma vai pārejas režīma laikā tas var nozīmēt lielāku potenciālu starpības risku. Cilvēks, kurš vienlaikus pieskaras divām daļām, nonāk sliktākā scenārijā nekā pirms it kā uzlabojuma. Formāli aizsardzības pasākums tika ieviests, bet kopējā sistēma kļuva mazāk paredzama. Tas ir klasisks sekundārais risks.
Kāpēc tieši šeit parasta tabula visbiežāk apstājas? Tāpēc, ka tabula ļoti labi glabā gala stāvokli: apdraudējums, aizsardzības pasākums, rezultāts pēc riska samazināšanas. Toties tā ļoti slikti uztur jautājumu par to, kas sistēmā mainījās tālāk. Tā neatgādina pārbaudīt apkopi pēc aizsarga pievienošanas. Tā nepiespiež vēlreiz izvērtēt, vai jaunā atkārtotas palaišanas loģika neprovocē apiešanu. Tā nevada lietotāju uz atkārtotu analīzi pēc organizatorisku izmaiņu ieviešanas elektriskās iejaukšanās laikā.
Ja dokumentācija nespēj uztvert sekundāro risku, tā ļoti ātri sāk aprakstīt pasauli, kas uz papīra izskatās drošāka nekā reālajā darba vietā. Un tas vairs nav sīkums. Tā ir pārrauta riska novērtēšanas loģika.
Lēmumu pēda (audit trail): pierādījums, ka kāds tiešām domāja
Daudzi uzskata, ka lēmumu pēda ir birokrātisks luksuss. Patiesībā tā ir viena no svarīgākajām daļām visā procesā. Problēma praksē reti ir tā, ka dokumentācijā nav gala rezultāta. Rezultāts parasti ir. Ir tabula, ir punkti, ir ieraksts par aizsardzības pasākumu. Bet pēc nedēļas, mēneša vai pie nodošanas pēkšņi neviens vairs nespēj atbildēt uz daudz vienkāršākiem jautājumiem.
- Kurš mainīja sākotnējo novērtējumu?
- Kad tas tika mainīts?
- Kāpēc risks pēkšņi tika atzīts par pieņemamu?
- Kāpēc vienā vietā pietika ar instrukciju, bet citā bija vajadzīga drošības funkcija?
- Uz kāda pamata konkrētai funkcijai tika noteikts tieši PL d?
Gala dokuments rāda rezultātu. Lēmumu pēda rāda ceļu līdz rezultātam. Tieši šis ceļš atklāj, vai lēmumi bija konsekventi, vai pēc aizsardzības pasākuma ieviešanas tika veikts atkārtots novērtējums, vai sekundārais risks tika pamanīts un vai kāds nav vienkārši pielabojis skaitli, lai dokumentu varētu aizvērt.
Praksē tas izskatās ļoti konkrēti. Piemēram, sākotnēji bīstamā situācija ir novērtēta kā vidēja, vēlāk gala versijā tā ir zema. Bez lēmumu pēdas nav zināms, vai izmaiņa notika tāpēc, ka tika ieviests efektīvs aizsardzības pasākums, tāpēc, ka tika precizēts scenārijs, vai vienkārši tāpēc, ka kādam vajadzēja skaistāku rezultātu.
Cits gadījums: dokumentā redzams ieraksts, ka risks ir zems un pieņemams. Bet kāpēc? Vai tādēļ, ka ekspozīcija ir reta, sekas ir vieglas, uzdevumu veic apmācīts personāls un apstākļi ir kontrolēti? Vai tikai tādēļ, ka skaitlis tabulā sanāca mazs? Bez lēmumu pēdas starp abiem scenārijiem nav atšķirības, lai gan tehniski tā ir milzīga.
Vēl bīstamāks ir gadījums ar drošības funkcijām. Dokumentā parādās ieraksts: drošības funkcija, ISO 13849, PL d. Izskatās iespaidīgi. Taču pēc laika neviens vairs nespēj paskaidrot, ko tieši funkcija uzrauga, ko atslēdz, kādā situācijā tā darbojas un kāpēc prasība noteikta tieši šāda. Tad ieraksts vairs nav tehnisks pamatojums. Tā ir dekorācija.
Tieši tāpēc lēmumu pēda nav tikai izmaiņu vēsture. Tā ir projekta inženieriskā atmiņa. Bez tās riska novērtējums ļoti ātri saplok līdz pēdējai PDF versijai, kas izskatās kārtīgi, bet nesniedz atbildi, kā komanda līdz šim rezultātam nonāca. Un, ja procesu nevar atjaunot, pie 2006/42/EK prasību izvērtēšanas vai incidenta izmeklēšanas jūs neaizstāvat riska novērtējumu. Jūs aizstāvat tikai tā pēdējo redakciju.
Riska novērtējuma piemērs pēc ISO 12100 praksē
Lai nepaliktu teorijā, paņemam reālistisku piemēru: automatizētu pakošanas staciju. Nevis abstraktu mašīnu, bet sistēmu ar bīstamām kustībām, operatora iejaukšanos, iesprūšanas novēršanu, apkopes darbiem, piekļuvi elektroenerģijai un pneimatiskajai enerģijai, kā arī drošības funkcijām, kas balstās vadības loģikā. Tieši šādās iekārtās kļūst skaidrs, kāpēc labs riska novērtējums neietilpst vienkāršā apdraudējumu sarakstā.
Šajā piemērā analīze neapstājās pie diviem vai trim vispārīgiem ierakstiem. Tika izdalītas sešpadsmit atsevišķas bīstamās situācijas: trīspadsmit uzdevumu scenāriji un trīs bīstamie notikumi atbilstoši ISO 12100 loģikai. Atsevišķi tika vērtētas:
- nelielas operatora iejaukšanās darba laikā;
- iesprūšanas novēršana;
- aizsardzības ierīču regulēšana;
- funkcionālie testi;
- enerģijas atslēgšana un pārbaude;
- detaļu nomaiņa un nolietojamo elementu apkope;
- bojājumu diagnostika elektriskajā aprīkojumā;
- negaidīta iedarbināšana;
- objektu izsviešana;
- pneimatiskās enerģijas neplānota atbrīvošanās.
Tikai šāds detalizācijas līmenis parāda reālo riska ainu. Pareizā analīzē netiek vērtēta mašīna kopumā. Tiek vērtētas konkrētas cilvēka un mašīnas attiecības: pie konkrēta uzdevuma, konkrētā zonā, pie konkrēta apdraudējuma avota un konkrētos piekļuves apstākļos.
Ko šis piemērs parādīja praksē? Pirmkārt, galvenais risks neradās no paša bīstamās kustības fakta, bet no piekļuves tai iejaukšanās, iesprūšanas novēršanas un diagnostikas laikā. Otrkārt, ne visas situācijas bija vienādi kritiskas. Daļu scenāriju varēja pamatoti pieņemt kā zemu risku, bet tikai tāpēc, ka bija skaidri definēta ekspozīcijas biežuma robeža, darba nosacījumi un lietotāja loma. Tas nebija automātisks secinājums no neliela skaitļa.
Treškārt, vairākus scenārijus vienkārši nevarēja aizstāvēt ar ierakstu 'aizsargs + instrukcija'. Vajadzēja aprakstīt, kāda drošības funkcija samazina risku, ko tieši tā dara, kad tā bloķē bīstamo kustību, kā izskatās atkārtotas palaišanas loģika, kad vajadzīgs manuāls atiestatījums un kāpēc noteikts konkrētais uzticamības līmenis. Tieši te atšķirība starp tabulu un inženieriju kļūst ļoti neērta, bet ļoti skaidra.
Ceturtkārt, pilna lēmumu pēda parādīja, kuri scenāriji tika atzīti par pieņemamiem un kuri tika novirzīti riska samazināšanai, kā arī uz kāda pamata tas notika. Bez šī slāņa gala fails būtu izskatījies kārtīgs, taču tas nebūtu aizstāvams.
Kā izskatās labs Riska novērtējuma piemērs pēc ISO 12100
Labs piemērs nesākas ar apdraudējumu ievadīšanu tabulā. Tas sākas ar disciplinētiem jautājumiem par mašīnas paredzēto lietojumu, ierobežojumiem un reālajiem uzdevumiem. Ja dokumentā šīs lietas nevar nolasīt, tad tas nav labs piemērs, pat ja tur ir daudz ailīšu un standartu numuru.
Praksē labs riska novērtējuma piemērs parāda vismaz sekojošo:
- mašīnas paredzēto lietošanu un saprātīgi paredzamu nepareizu lietošanu;
- lietotāju grupas un viņu piekļuves veidus;
- darba režīmus, apkopes režīmus un iejaukšanās scenārijus;
- konkrētas bīstamās situācijas, nevis tikai vispārīgus virsrakstus;
- sākotnējo riska novērtējumu un tā pamatojumu;
- riska samazināšanu pareizā secībā, neapejot ISO 12100 loģiku;
- pārbaudi, vai ieviestais aizsardzības pasākums nav radījis sekundāro risku;
- atkārtotu novērtējumu pēc izmaiņām;
- atlikušā riska pamatojumu;
- lēmumu pēdu par būtiskajām izmaiņām un pieņēmumiem.
Te ir būtiska nianse: nevienu mašīnu nevar godīgi novērtēt vispārīgi. Var novērtēt tikai konkrētas cilvēka un mašīnas attiecības. Tāpēc viens vispārīgs ieraksts par mehānisko risku vai elektrisko risku parasti ir pārāk vājš. Tas var izskatīties glīti, bet nepasaka, kur tieši ir problēma, kad cilvēks tai tiek klāt un kas pēc aizsardzības pasākuma ieviešanas patiesībā mainījās.
Secinājums ir vienkāršs. Ja dokuments rāda tikai gala rezultātu, tad jums ir tabula. Ja tas rāda ierobežojumus, scenārijus, izvēlētos aizsardzības pasākumus, sekundāro risku, atkārtotu novērtējumu, atlikušo risku un lēmumu pēdu, tad jums ir riska novērtējuma dokumentācija. Tieši šī ir robeža starp failu, kas izskatās profesionāli, un dokumentu, ko var tehniski aizstāvēt.
Un tas arī ir galvenais, ko māca Riska novērtējuma piemērs pēc ISO 12100: nevis kā aizpildīt ailītes, bet kā saglabāt loģiku no pirmā pieņēmuma līdz pēdējam secinājumam. Drošums mašīnās necieš kosmētiku. Tas prasa skaidru domāšanu, disciplinētu procesu un dokumentāciju, kas iztur ne tikai prezentāciju, bet arī pārbaudi.