W ocenie ryzyka maszyn bardzo łatwo zakochać się w wyniku. Zielony uspokaja. Czerwony mobilizuje. Średni zaczyna rozmowę, której często nikt nie chce prowadzić. Problem polega na tym, że ISO 12100 nie pyta, czy komórka w tabeli ma ładny kolor. Pyta, czy ryzyko zostało właściwie zmniejszone.
Dlatego metoda Graph, opisana w ISO/TR 14121-2 jako jedno z narzędzi szacowania ryzyka, jest użyteczna — ale tylko wtedy, gdy traktujemy ją jako ścieżkę decyzji, a nie automat do akceptowania ryzyka. Graph prowadzi przez parametry S/F/O/A: ciężkość możliwej szkody, częstotliwość lub czas narażenia, prawdopodobieństwo zdarzenia niebezpiecznego oraz możliwość uniknięcia albo ograniczenia szkody. W efekcie otrzymujemy indeks ryzyka. Ale ten indeks nie jest jeszcze odpowiedzią na pytanie, czy maszyna jest bezpieczna.
To ważne, bo samo szacowanie ryzyka ma charakter jakościowy. Dwie kompetentne osoby albo dwa zespoły mogą spojrzeć na ten sam scenariusz i różnie ocenić częstotliwość narażenia, możliwość uniknięcia szkody albo prawdopodobieństwo zdarzenia niebezpiecznego. ISO/TR 14121-2 wprost zwraca uwagę, że szczegółowe wyniki oceny nie muszą być identyczne przy różnych zespołach analizujących podobne sytuacje. Wartość oceny ryzyka wynika więc nie z pozornej matematycznej precyzji, lecz z dyscypliny procesu: czy dobrze opisano scenariusz, czy uwzględniono wszystkie elementy ryzyka i czy decyzję da się później obronić.
Graph nie jest tabelą akceptacji ryzyka
Największa pułapka metody Graph polega na tym, że wygląda zbyt prosto. Wybieramy ciężkość szkody, częstotliwość narażenia, prawdopodobieństwo zdarzenia niebezpiecznego, możliwość uniknięcia szkody i po chwili otrzymujemy wynik. RI 2 wygląda spokojnie. RI 5 wygląda groźnie. RI 3 albo RI 4 zaczyna dyskusję.
Tylko że ten wynik nie jest pomiarem laboratoryjnym. To nadal jakościowe szacowanie ryzyka. Dwie kompetentne osoby mogą spojrzeć na ten sam scenariusz i inaczej ocenić, czy narażenie jest sporadyczne czy częste, czy operator realnie może uniknąć szkody, albo czy zdarzenie niebezpieczne jest mało prawdopodobne czy jednak możliwe. To nie oznacza, że metoda jest zła. Oznacza, że jej siła nie leży w pozornej matematycznej precyzji, tylko w uporządkowaniu procesu myślenia.
Dlatego wynik Graph nie powinien działać jak wyrok. Powinien działać jak ślad decyzji. Pokazuje, jak zespół oceniający przeszedł od konkretnego scenariusza zagrożenia do konkretnego indeksu ryzyka. A potem trzeba zadać pytanie ważniejsze niż „jaki wyszedł kolor?”: czy ryzyko zostało właściwie zmniejszone?
To właśnie tutaj zaczyna się prawdziwa ocena zgodna z ISO 12100. Ryzyko średnie może być możliwe do obrony, jeżeli zastosowano właściwy środek ochronny wynikający z normy typu C, zgodny ze stanem techniki i poprawnie dobrany do danej maszyny. Z drugiej strony ryzyko niskie nie zawsze powinno zostać bez działania. Jeżeli prosty środek konstrukcyjny usuwa problem praktycznie bez kosztu, bez pogorszenia użyteczności maszyny i bez tworzenia nowych zagrożeń, pozostawienie takiego ryzyka tylko dlatego, że „wyszło niskie”, jest słabą decyzją inżynierską.
Graph nie zwalnia więc z myślenia. On pokazuje, gdzie to myślenie trzeba udokumentować.
W praktyce oznacza to jedno: wynik Graph nie może być traktowany jak wyrok.
Ryzyko średnie nie zawsze musi oznaczać, że projekt jest zły. Jeżeli dla danej maszyny istnieje norma zharmonizowana typu C, która przewiduje określony środek ochronny dla danej sytuacji, a producent zastosował go prawidłowo, zweryfikował i udokumentował, to ryzyko resztkowe może być możliwe do obrony. Nie dlatego, że „średnie” brzmi akceptowalnie. Dlatego, że za decyzją stoi stan techniki, właściwa norma, konkretna redukcja ryzyka i udokumentowane uzasadnienie.
Z drugiej strony ryzyko niskie też nie daje automatycznego alibi. Jeżeli prosty środek ochronny usuwa problem praktycznie bez kosztu, bez pogorszenia użyteczności maszyny i bez tworzenia nowych zagrożeń, pozostawienie tego ryzyka tylko dlatego, że wyszło „niskie”, jest słabą decyzją inżynierską. ISO 12100 mówi o zmniejszaniu ryzyka do najniższego poziomu możliwego do osiągnięcia w praktyce, a nie o szukaniu najniższego koloru, przy którym można przestać myśleć.
W tym sensie Graph dobrze pokazuje dojrzałość całego procesu oceny ryzyka. Słaba ocena kończy się na indeksie. Dobra ocena pokazuje, dlaczego wybrano dane S/F/O/A, który parametr ryzyka zmienił środek ochronny i dlaczego po redukcji dalsze działania są albo potrzebne, albo już nieuzasadnione technicznie, funkcjonalnie lub ekonomicznie.
Największe pytanie w ocenie ryzyka nie brzmi więc: „czy wyszło niskie?”. Brzmi: czy potrafimy obronić decyzję, że ryzyko zostało właściwie zmniejszone?
Zanim wybierzesz S/F/O/A, musisz mieć scenariusz
Metoda Graph zaczyna mieć sens dopiero wtedy, gdy wiemy, co właściwie oceniamy. I tu pojawia się jeden z najczęstszych błędów w ocenie ryzyka maszyn: ocenianie samego zagrożenia zamiast konkretnego scenariusza.
„Ruchome części”, „napęd pneumatyczny”, „ostre krawędzie”, „wysoka temperatura” albo „energia zgromadzona” to jeszcze nie scenariusze ryzyka. To źródła zagrożeń. Same w sobie nie mówią, kto jest narażony, kiedy dochodzi do narażenia, w jakiej fazie życia maszyny, przy jakim zadaniu i w jaki sposób może powstać szkoda.
Dlatego przed wyborem parametrów S/F/O/A trzeba opisać kilka elementów:
zagrożenie, czyli potencjalne źródło szkody,
sytuację zagrożenia i/lub zdarzenie niebezpieczne, zgodnie z podejściem opisanym w pkt 5.4 normy ISO 12100,
możliwą szkodę, czyli uraz lub pogorszenie stanu zdrowia,
zadanie wykonywane przez człowieka,
fazę życia maszyny oraz osobę narażoną.
W praktyce sytuacja zagrożenia opisuje okoliczności, w których człowiek znajduje się w kontakcie ze źródłem zagrożenia, natomiast zdarzenie niebezpieczne opisuje zdarzenie mogące doprowadzić do powstania szkody. W zależności od analizowanego przypadku można opisać sytuację zagrożenia, zdarzenie niebezpieczne albo oba te elementy.
Bez tego Graph staje się tylko eleganckim formularzem. Można uzyskać wynik, ale trudno będzie później obronić, co ten wynik naprawdę oznacza.
Przykład? Inaczej ocenimy ryzyko związane z ruchomym elementem podczas normalnej pracy, gdy operator stoi poza strefą zagrożenia i dostęp blokuje osłona. Inaczej ocenimy ten sam ruchomy element podczas usuwania zacięcia, gdy operator musi wejść do strefy, otworzyć osłonę i pracować blisko napędu. Źródło zagrożenia może być to samo. Ryzyko już nie.
To właśnie dlatego w dobrej ocenie ryzyka nie zaczynamy od pytania: „czy to będzie S1 czy S2?”. Zaczynamy od pytania: „jaki scenariusz naprawdę opisujemy?”.
Trzy przykłady, w których sam wynik Graph może wprowadzać w błąd
Metoda Graph porządkuje ocenę ryzyka, ale nie podejmuje decyzji za projektanta. To ważne, bo w praktyce można popełnić dwa przeciwne błędy. Pierwszy polega na pozostawieniu ryzyka tylko dlatego, że wynik wyszedł niski. Drugi polega na mechanicznym odrzuceniu rozwiązania tylko dlatego, że po redukcji ryzyko nadal wygląda jako średnie. W obu przypadkach problemem nie jest sama metoda Graph. Problemem jest traktowanie wyniku jak wyroku.
Przykład 1: niskie ryzyko, którego nie warto zostawiać
Wyobraźmy sobie prostą sytuację. Przy osłonie maszyny znajduje się ostra krawędź blachy. Operator może mieć z nią kontakt podczas codziennego czyszczenia, nastawiania albo uzupełniania materiału. Możliwa szkoda to najczęściej drobne skaleczenie. Czas narażenia jest krótki. Sytuacja zagrożenia, czyli kontakt dłoni lub przedramienia z ostrą krawędzią podczas wykonywania czynności obsługowych, nie występuje często. Możliwość uniknięcia szkody jest dość duża.
Przykładowa ocena metodą Graph może wyglądać następująco:
| Parametr | Ocena | Uzasadnienie |
|---|---|---|
| S | S1 | Możliwa szkoda jest lekka – niewielkie skaleczenie wymagające co najwyżej podstawowej pomocy |
| F | F2 | Operator wykonuje czynności obsługowe regularnie, ale czas pojedynczego narażenia jest krótki |
| O | O3 | Kontakt z ostrą krawędzią jest możliwy, lecz nie występuje często i wymaga określonego ruchu operatora |
| A | A1 | W klasycznym Graph z EN 1050 / ISO 14121 parametr A obejmuje zarówno możliwość uniknięcia szkody, jak i możliwość ograniczenia jej skutków. W tym przypadku operator zwykle może zauważyć zagrożenie i odsunąć rękę, dlatego przyjmujemy A1. Formalnie oznacza to 2 punkty, mimo że w praktyce granica między „łatwe do uniknięcia” i „trudne do uniknięcia” bywa nieostra, ponieważ obie ścieżki są w tej wersji Graph częściowo scalone. |
Dla takiej kombinacji parametrów (S1, F2, O3, A2) metoda Graph daje niski poziom ryzyka – LOW, RI = 2.
W metodzie Graph taki scenariusz może dać niski indeks ryzyka. I właśnie tutaj pojawia się pułapka. Niski wynik nie oznacza automatycznie, że temat można zostawić.
Jeżeli redukcja polega na sfazowaniu krawędzi, zastosowaniu listwy ochronnej, zmianie promienia gięcia albo poprawieniu wykończenia elementu, to koszt działania jest praktycznie pomijalny. Nie pogarszamy funkcji maszyny. Nie utrudniamy obsługi. Nie tworzymy nowego zagrożenia. W takiej sytuacji pozostawienie ryzyka tylko dlatego, że „wyszło niskie”, jest słabą decyzją inżynierską.
Poprawny tok myślenia wygląda inaczej:
| Element | Błędne podejście | Lepsze podejście |
|---|---|---|
| Wynik Graph | RI niskie, więc zostawiamy | RI niskie, ale redukcja jest prosta |
| Środek ochronny | Brak działania | Usunięcie ostrej krawędzi przez zmianę konstrukcyjną |
| Uzasadnienie | „Nie ma dużego ryzyka” | „Ryzyko zmniejszono prostym środkiem konstrukcyjnym bez negatywnego wpływu na maszynę” |
| Wniosek | Kolor zamknął temat | Decyzja wynika z logiki redukcji ryzyka |
To jest dobry przykład na to, że ocena ryzyka nie służy do szukania najniższego koloru, przy którym można przestać działać. Jeżeli ryzyko można zmniejszyć łatwo, tanio i bez skutków ubocznych, to należy poważnie rozważyć jego zmniejszenie.
Nie trzeba przy tym odwoływać się do pojęcia ALARP, które nie jest terminem stosowanym w normach dotyczących projektowania maszyn. Wystarczy użyć języka ISO 12100: ryzyko powinno zostać zmniejszone tak dalece, jak jest to możliwe poprzez zastosowanie odpowiednich środków redukcji ryzyka, z uwzględnieniem funkcji maszyny, użyteczności, stanu techniki i ograniczeń praktycznych.
Przykład 2: średnie ryzyko, które może być właściwie zredukowane
Druga sytuacja jest odwrotna. Mamy maszynę, w której element roboczy z powodów funkcjonalnych musi pozostać aktywny i dostępny w określonych sytuacjach eksploatacyjnych. Możliwa szkoda jest ciężka, więc parametr S w metodzie Graph pozostaje wysoki. Możemy ograniczyć dostęp, zmniejszyć prawdopodobieństwo kontaktu, zastosować osłony, bariery, blokady, wymagane odległości, funkcje sterowania i informacje o ryzyku resztkowym. Nie zawsze jednak da się sprowadzić wynik do najniższego poziomu w tabeli, nie niszcząc przy tym funkcji maszyny.
Dobrym przykładem są normy typu C dla maszyn rolniczych, np. dotyczące kombajnów zbożowych, zielonkowych i podobnych maszyn. To może wydawać się dalekie od typowej maszyny przemysłowej, ale mechanizm jest bardzo czytelny. Dla takich maszyn norma nie ogranicza się do ogólnego stwierdzenia: „zmniejszyć ryzyko”. Ona opisuje konkretne środki ochronne dla konkretnych zagrożeń.
Zamiast analizować abstrakcyjny scenariusz, spójrzmy na przykład z normy typu C dla kombajnów zbożowych: tylny szarpacz słomy, rozrzutnik słomy albo rozrzutnik plew. W takich układach mamy ruchome narzędzia robocze, możliwość kontaktu z elementami wirującymi oraz ryzyko wyrzucenia przedmiotów. Możliwa szkoda może być ciężka, więc parametr S w metodzie Graph pozostaje wysoki.
Norma typu C nie mówi jednak: „doprowadź wynik do zielonego koloru”. Opisuje konkretne środki ochronne: osłony, bariery, stałe części maszyny, minimalne odległości od toru narzędzi roboczych, znaki bezpieczeństwa, informacje w instrukcji obsługi oraz sposób weryfikacji tych rozwiązań. To są środki, które ograniczają narażenie i prawdopodobieństwo kontaktu, ale nie zmieniają samej ciężkości możliwej szkody.
Przykładowa ocena ryzyka resztkowego po zastosowaniu środków ochronnych wymaganych przez normę typu C może wyglądać następująco:
| Parametr | Ocena | Uzasadnienie |
|---|---|---|
| S | S2 | Kontakt z wirującym narzędziem lub wyrzuconym przedmiotem może prowadzić do ciężkich obrażeń |
| F | F1 | Dostęp do strefy zagrożenia podczas normalnej pracy jest ograniczony przez osłony, bariery i konstrukcję maszyny |
| O | O2 | Wystąpienie zdarzenia niebezpiecznego jest mało prawdopodobne dzięki zastosowanym środkom ochronnym, ale nie można go całkowicie wykluczyć |
| A | A2 | W przypadku kontaktu z szybko poruszającymi się elementami lub wyrzuconym przedmiotem możliwość uniknięcia szkody jest ograniczona |
Dla takiej kombinacji parametrów Graph może nadal wskazać poziom ryzyka 3 (medium). Nie oznacza to automatycznie błędu projektu. Oznacza, że po zastosowaniu środków ochronnych pozostaje ryzyko resztkowe, które trzeba umieć uzasadnić.
Błędem byłoby zapisanie w dokumentacji: „ryzyko średnie — akceptowalne”.
Lepszy zapis wygląda tak:
Po zastosowaniu środków ochronnych przewidzianych przez właściwą normę typu C ryzyko resztkowe pozostaje na poziomie średnim (poziom 3 według przyjętej metody Graph). Wynika to głównie z ciężkości możliwej szkody oraz funkcjonalnej konieczności pracy elementu roboczego. Zastosowane środki ograniczają dostęp do strefy zagrożenia, zmniejszają prawdopodobieństwo przypadkowego kontaktu i zapewniają wymagane informacje o ryzyku resztkowym. Dalsza redukcja została przeanalizowana, ale nie wskazano środka, który zmniejszyłby ryzyko bez naruszenia funkcji maszyny, pogorszenia użyteczności albo wprowadzenia nowych zagrożeń.
To jest zupełnie inna jakość decyzji. Nie uzasadniamy pozostawienia ryzyka tym, że „średni kolor jeszcze przejdzie”. Uzasadniamy ryzyko resztkowe, bo zastosowaliśmy właściwy środek ochronny, zweryfikowaliśmy jego wykonanie i pokazaliśmy, dlaczego dalsza redukcja nie ma już technicznego, funkcjonalnego albo praktycznego uzasadnienia.
Przykład 3: ten sam scenariusz, dwa różne wyniki
Trzeci przykład dotyczy subiektywności samego szacowania. Załóżmy, że analizujemy usuwanie zacięcia w maszynie. Źródłem zagrożenia są ruchome elementy. Sytuacja zagrożenia pojawia się wtedy, gdy operator ingeruje w strefę maszyny. Zdarzeniem niebezpiecznym może być nieoczekiwany ruch elementu, utrata energii podtrzymującej, ponowne uruchomienie albo kontakt z elementem, który nie zatrzymał się natychmiast. Możliwa szkoda to zgniecenie, pochwycenie, przecięcie albo uraz dłoni.
Jeden zespół może przyjąć, że zacięcia występują rzadko, operatorzy są doświadczeni, procedura wymaga zatrzymania i odłączenia energii, a dostęp do strefy zagrożenia jest ograniczony. W takim przypadku częstotliwość narażenia i prawdopodobieństwo zdarzenia niebezpiecznego zostaną ocenione niżej.
Drugi zespół może spojrzeć na ten sam proces inaczej. Jeżeli w praktyce operatorzy usuwają drobne zacięcia kilka razy na zmianę, robią to pod presją utrzymania produkcji, osłona przeszkadza w dostępie, a procedura odłączenia energii jest omijana, to częstotliwość narażenia i prawdopodobieństwo niewłaściwego zachowania człowieka mogą zostać ocenione wyżej.
Kto ma rację?
Nie da się tego rozstrzygnąć samym kliknięciem w Graph. Trzeba wrócić do faktów:
| Pytanie | Dlaczego jest ważne? |
| Jak często naprawdę występują zacięcia? | Bo wpływa to na F, czyli narażenie |
| Czy operator musi wejść do strefy zagrożenia? | Bo samo zatrzymanie maszyny nie zawsze eliminuje narażenie |
| Czy energia została odłączona i rozproszona? | Bo ryzyko może wynikać z energii zgromadzonej |
| Czy element roboczy zatrzymuje się natychmiast? | Bo ruch do zatrzymania może nadal tworzyć zagrożenie |
| Czy środek ochronny można łatwo obejść? | Bo realna użyteczność środka wpływa na zachowanie ludzi |
| Czy procedura jest faktycznie stosowana? | Bo dokument nie zawsze opisuje rzeczywisty sposób pracy |
| Czy można zmienić konstrukcję, aby ograniczyć liczbę zacięć? | Bo najlepsza redukcja często polega na usunięciu potrzeby ingerencji |
Ten przykład dobrze pokazuje, że Graph nie jest narzędziem do udowadniania racji osoby oceniającej. Jest narzędziem do porządkowania założeń. Jeżeli dwa zespoły dochodzą do różnych wyników, to nie zawsze oznacza błąd. Często oznacza, że trzeba lepiej opisać scenariusz, zebrać dane z eksploatacji i doprecyzować, co naprawdę dzieje się przy maszynie.
Najważniejsze pytanie nadal pozostaje takie samo: czy ryzyko zostało właściwie zmniejszone?
Co te przykłady mówią o metodzie Graph?
Wynik Graph nie jest zgodą na pozostawienie ryzyka. Jest zapisem decyzji. Dlatego po uzyskaniu wyniku trzeba zapytać:
- czy scenariusz został dobrze opisany,
- czy przyjęte S/F/O/A odpowiada rzeczywistemu użyciu maszyny,
- czy zastosowano właściwą hierarchię redukcji ryzyka,
- czy istnieje prosty środek, którego nie zastosowano,
- czy właściwa norma typu C wskazuje konkretny środek ochronny,
- czy środek został zweryfikowany,
- czy ryzyko resztkowe zostało opisane i uzasadnione.
Dopiero wtedy Graph zaczyna działać tak, jak powinien. Nie jako kolorowa tabela do zamykania tematów, ale jako ślad decyzji, który można obronić technicznie, normowo i zdroworozsądkowo.
Jak dokumentować wynik Graph, żeby nie był tylko kolorem?
W praktyce największą wartością metody Graph nie jest sam indeks ryzyka. Największą wartością jest ścieżka, która prowadzi do tego indeksu.
Dlatego w dokumentacji oceny ryzyka nie powinno zabraknąć kilku elementów:
opisu scenariusza, a nie tylko nazwy zagrożenia,
wskazania osoby narażonej i zadania, przy którym powstaje narażenie,
rozróżnienia sytuacji zagrożenia i/lub zdarzenia niebezpiecznego,
uzasadnienia każdego parametru S/F/O/A,
wskazania środków redukcji ryzyka,
ponownej oceny po zastosowaniu tych środków,
opisu ryzyka resztkowego,
informacji, czy zastosowano wymagania normy typu C, normy typu B albo inne uzasadnione rozwiązanie techniczne,
wyjaśnienia, dlaczego dalsza redukcja ryzyka nie została zastosowana.
Dopiero taki zapis pozwala ocenić, czy wynik Graph ma sens. Bez tego metoda może wyglądać profesjonalnie, ale w rzeczywistości będzie tylko tabelą z punktami.
W Safety Software ścieżka Graph może pełnić właśnie taką funkcję: pokazuje, jak oceniający przeszedł przez parametry S/F/O/A i jaki wynik uzyskał. Ale ten wynik powinien być początkiem rozmowy o redukcji ryzyka, a nie jej końcem.
Podsumowanie: Graph nie daje alibi. Graph daje ślad decyzji
Metoda Graph jest dobrym narzędziem do oceny ryzyka maszyn, jeżeli używamy jej zgodnie z logiką ISO 12100. Pomaga uporządkować szacowanie ryzyka, ogranicza liczbę przypadkowych decyzji i wymusza przejście przez cztery ważne pytania: jak ciężka może być szkoda, jak często człowiek jest narażony, jak prawdopodobne jest zdarzenie niebezpieczne i czy można uniknąć albo ograniczyć szkodę.
Ale Graph nie odpowiada samodzielnie na pytanie, czy maszyna jest bezpieczna.
Niski wynik nie zawsze oznacza, że można nic nie robić. Jeżeli ryzyko da się zmniejszyć prostym środkiem konstrukcyjnym, bez kosztownych skutków ubocznych, to pozostawienie go tylko dlatego, że „wyszło niskie”, trudno obronić.
Średni wynik też nie zawsze oznacza błąd projektu. Jeżeli zastosowano właściwy środek ochronny, wynikający ze stanu techniki albo z normy typu C, a dalsza redukcja ryzyka nie ma technicznego lub funkcjonalnego uzasadnienia, ryzyko resztkowe może być możliwe do obrony. Trzeba jednak pokazać, dlaczego tak jest.
Najgorsze, co można zrobić, to potraktować kolor jako decyzję.
Dobra ocena ryzyka nie kończy się na RI 1, RI 2 albo RI 3. Kończy się wtedy, gdy projektant potrafi odpowiedzieć na kilka trudnych pytań: co dokładnie oceniono, dlaczego przyjęto takie parametry, jaki środek ochronny zastosowano, które elementy ryzyka zostały zmniejszone i dlaczego po redukcji ryzyko resztkowe uznano za możliwe do przyjęcia.
Graph nie ma zastępować myślenia. Ma je uporządkować.
I właśnie dlatego dobrze wdrożona metoda Graph nie jest tylko kolejnym sposobem na kolorowanie tabeli. Jest sposobem na pokazanie, że za oceną ryzyka stoi konkretna, techniczna i możliwa do obrony decyzja.