Krok 3 ISO 12100. Instrukcja nie naprawi złego projektu

Podczas odbioru producent pokazuje odpowiedni fragment instrukcji:

„Czyszczenie wyłącznie po odłączeniu wszystkich źródeł energii. Serwis może wykonywać tylko przeszkolony personel. Użytkownik powinien opracować odpowiednią procedurę”.

Trzy zdania. Trzy pozycje odhaczone.

Na hali okazuje się, że maszyna ma dwa zasilania elektryczne, instalację pneumatyczną i akumulator, który nadal potrafi wykonać ruch po odłączeniu wyłącznika głównego. Procedura jeszcze nie powstała, a „przeszkolony personel” oznacza człowieka, który pracuje tu najdłużej.

Maszyna została zabezpieczona za pomocą czasu przyszłego.

Krok 3 ISO 12100 nie polega na wpisaniu do instrukcji wszystkiego, czego nie udało się rozwiązać w projekcie. Informacje dla użytkownika są ostatnim elementem strategii redukcji ryzyka. Pojawiają się po rozwiązaniach konstrukcyjnych oraz technicznych środkach ochronnych — nie zamiast nich.

Jeżeli możliwe było usunięcie zagrożenia, ograniczenie energii, uniemożliwienie dostępu albo zastosowanie odpowiedniej funkcji bezpieczeństwa, producent nie może zastąpić tych działań szkoleniem, piktogramem lub poleceniem zachowania szczególnej ostrożności. Instrukcja ma opisywać ryzyko, którego rzeczywiście nie udało się wystarczająco ograniczyć, a nie przechowywać listę problemów odłożonych na później.

Nie oznacza to jednak, że krok 3 jest tylko dodatkiem do dokumentacji technicznej. To właśnie tutaj spotykają się działania producenta i użytkownika maszyny.

Producent powinien określić, jakie ryzyko pozostało, gdzie występuje, podczas jakich czynności i jakie warunki bezpiecznego użytkowania przyjął w swojej ocenie. Użytkownik musi następnie zamienić te informacje w rzeczywiste działania: procedury, szkolenia, nadzór, systemy zezwoleń, odłączanie energii, dodatkowe zabezpieczenia albo środki ochrony indywidualnej.

Krok 3 nie jest więc przekazaniem odpowiedzialności. Jest przekazaniem informacji, bez której użytkownik nie zorganizuje bezpiecznej pracy — oraz której sama obecność w instrukcji nie gwarantuje jeszcze żadnego efektu.

I właśnie tu zaczyna się najważniejsze pytanie: co musi przekazać producent, co musi zrobić użytkownik i po czym poznać, że ten układ działa również poza salą odbiorową?

1. Krok 3 ISO 12100 nie jest tańszą wersją kroków 1 i 2

Trzy kroki redukcji ryzyka nie są zestawem równorzędnych opcji. Konstruktor nie wybiera pomiędzy zmianą projektu, zastosowaniem zabezpieczenia i dopisaniem ostrzeżenia w zależności od tego, co akurat łatwiej zmieścić w harmonogramie.

Kolejność ma znaczenie.

Najpierw należy sprawdzić, czy zagrożenie można wyeliminować albo ograniczyć przez rozwiązanie konstrukcyjne. Jeżeli to nie wystarczy, stosuje się techniczne i uzupełniające środki ochronne. Dopiero wobec ryzyka, które pozostaje po wykonaniu tej pracy, przygotowuje się informacje dla użytkownika.

Załóżmy, że regulacja wymaga wejścia ręką do strefy ruchu mechanizmu. Producent może rozważyć przeniesienie punktu regulacji poza tę strefę, zmianę geometrii, ograniczenie energii, zastosowanie osłony, blokady albo bezpiecznego trybu nastawiania. Jeżeli zamiast tego od razu wpisze w instrukcji „regulację może wykonywać wyłącznie przeszkolony personel”, nie przeszedł do kroku 3. Po prostu ominął dwa wcześniejsze przystanki i jest zaskoczony, że pociąg nadal stoi na peronie.

Informacje dla użytkownika nie służą do uzasadniania, dlaczego nie zastosowano możliwego środka technicznego. Mają opisywać ryzyko, którego mimo zastosowanych rozwiązań nie udało się wyeliminować albo wystarczająco ograniczyć. To istotna różnica, ponieważ tylko w drugim przypadku rzeczywiście rozmawiamy o ryzyku resztkowym.

Przed wpisaniem kolejnego ostrzeżenia warto więc postawić niewygodne pytanie:

Co konkretnie zrobiono w konstrukcji i zabezpieczeniach, zanim uznano, że dalsze działanie musi podjąć użytkownik?

Jeżeli odpowiedzią jest analiza rozwiązania, zastosowany środek, wynik weryfikacji i opis pozostałego ryzyka, można przejść dalej. Jeżeli odpowiedzią jest „dodaliśmy punkt do instrukcji”, to instrukcja nie jest jeszcze trzecim krokiem. Jest dekoracją zakrywającą brak dwóch pierwszych.

Krok 1 opisaliśmy przy okazji rozwiązań konstrukcyjnych bezpiecznych samych w sobie, a krok 2 w artykule o technicznych środkach ochronnych w maszynach. Dopiero po ich przejściu informacja dla użytkownika staje się wynikiem procesu inżynierskiego, a nie jego literackim zamiennikiem.

2. Producent ma opisać ryzyko, a nie uspokoić własne sumienie

Informacja dla użytkownika ma umożliwić podjęcie konkretnego działania. Jeżeli po jej przeczytaniu nadal nie wiadomo, co może się wydarzyć, podczas jakiej czynności i jak temu zapobiec, producent przekazał tekst, ale niekoniecznie informację.

„Przed rozpoczęciem prac serwisowych odłączyć maszynę od wszystkich źródeł energii” brzmi rozsądnie. Tyle że wyłącznik główny nie rozładuje hydrauliki, nie opróżni zbiornika pneumatycznego, nie podeprze podniesionego zespołu ani nie odbierze energii sprężynie. Fizyka nie podpisuje protokołu odbioru.

Użyteczna informacja powinna wskazywać:

• podczas jakiej czynności występuje ryzyko;
• gdzie znajduje się strefa zagrożenia;
• kto może być narażony;
• jakie zdarzenie może wystąpić i jakie będą jego skutki;
• jakie środki zastosował producent;
• jakie ryzyko mimo tego pozostało;
• co dokładnie musi zrobić użytkownik;
• jakie kwalifikacje, narzędzia, procedury lub środki ochrony są wymagane.

Zamiast ogólnego polecenia odłączenia energii potrzebna może być informacja, że przed wymianą elementu należy wyłączyć określone zasilanie, zamknąć i zablokować zawór, rozładować ciśnienie, sprawdzić jego brak oraz mechanicznie podeprzeć podniesiony zespół. Dopiero taki opis daje użytkownikowi materiał do opracowania procedury LOTO, instrukcji serwisowej i programu szkolenia.

Równie ważne jest miejsce przekazania informacji. Ryzyko wymagające natychmiastowej reakcji nie powinno być ukryte wyłącznie na stronie 143 instrukcji. W zależności od sytuacji potrzebne mogą być oznaczenia na maszynie, sygnały, urządzenia ostrzegawcze albo komunikaty dostępne bezpośrednio przy wykonywaniu czynności. Operator nie powinien prowadzić śledztwa bibliotecznego w chwili, gdy układ właśnie traci ciśnienie.

Nie każda informacja musi mieć formę ostrzeżenia. Część powinna określać warunki bezpiecznego użytkowania: dopuszczone materiały, graniczne parametry procesu, wymagany sposób instalacji, częstotliwość kontroli, niezbędne kompetencje personelu albo czynności zabronione ze względu na konkretne ryzyko. Te warunki muszą wynikać z założeń przyjętych podczas oceny ryzyka, a nie z późniejszej potrzeby zapełnienia rozdziału „Bezpieczeństwo”.

Samo stwierdzenie, że istnieje ryzyko resztkowe w maszynie, również niewiele daje. Użytkownik nie zarządza pojęciem. Zarządza konkretnym zadaniem, człowiekiem, energią i warunkami pracy.

Dobra informacja pozwala przejść od zdania „pozostaje ryzyko” do decyzji „dlatego należy zrobić dokładnie to”. Wszystko pomiędzy jest miejscem, w którym bardzo wygodnie mieszczą się niedopowiedzenia — aż do dnia, w którym trzeba wyjaśnić je po wypadku.

3. Producent kończy projekt. Użytkownik organizuje pracę

Rysunek 2 w ISO 12100 jest niewygodny dla obu stron. Producent nie może zakończyć oceny zdaniem „dalsze działania zapewnia użytkownik”. Użytkownik nie może natomiast uznać, że oznakowanie CE automatycznie opracowało procedury, przeszkoliło serwis i sprawdziło sposób usuwania usterek na trzeciej zmianie.

Norma pokazuje dwa różne poziomy ryzyka resztkowego.

Pierwszy pozostaje po zastosowaniu środków przewidzianych przez projektanta: rozwiązań konstrukcyjnych, technicznych i uzupełniających środków ochronnych oraz informacji dotyczących użytkowania. Producent powinien ten poziom rozpoznać, ocenić i opisać.

Drugi poziom uwzględnia także środki zastosowane przez użytkownika maszyny. Należą do nich organizacja pracy, procedury, nadzór, systemy zezwoleń, dodatkowe zabezpieczenia techniczne, środki ochrony indywidualnej i szkolenia.

To nie są dwa określenia tego samego wyniku. Pomiędzy nimi znajduje się wdrożenie.

Słowo „użytkownik” również wymaga doprecyzowania. Nie chodzi wyłącznie o operatora naciskającego przycisk start. Po stronie użytkownika znajduje się pracodawca organizujący pracę, osoba odpowiedzialna za utrzymanie ruchu, przełożony sprawujący nadzór, serwisant wykonujący interwencję oraz operator, który stosuje ustalone środki i zgłasza nieprawidłowości.

Każda z tych osób potrzebuje innej informacji. Kierownik utrzymania ruchu musi znać wymagania dotyczące odłączania energii i kontroli zabezpieczeń. Przełożony powinien wiedzieć, kto może wykonywać określone zadania. Operator potrzebuje jasnych zasad działania podczas normalnej pracy, regulacji i awarii. Wrzucenie wszystkiego do jednego rozdziału instrukcji zatytułowanego „Uwagi ogólne” nie tworzy jeszcze systemu bezpieczeństwa. Tworzy rozdział, którego nikt nie chce czytać.

W tym miejscu spotykają się także dwa procesy: ocena ryzyka przeprowadzona przez producenta maszyny oraz ocena ryzyka zawodowego po stronie pracodawcy. Są ze sobą powiązane, lecz jedna nie zastępuje drugiej. Producent ocenia maszynę w granicach przyjętego przeznaczenia i przewidywalnego niewłaściwego użycia. Pracodawca musi uwzględnić rzeczywiste stanowisko, otoczenie, organizację pracy, personel oraz proces, do którego maszyna została włączona.

Współpraca producenta i użytkownika nie oznacza więc, że odpowiedzialność można podzielić na pół i rozliczyć wspólnym podpisem. Oznacza, że każdy musi wykonać własną część pracy, a informacje przekazane przez producenta muszą pozwalać użytkownikowi zrobić to świadomie.

4. Procedura działa tylko wtedy, gdy ktoś naprawdę jej używa

Najdokładniejsza informacja producenta nie wykona żadnej czynności na hali. Nie zamknie zaworu, nie założy blokady, nie sprawdzi braku energii i nie powstrzyma ponownego uruchomienia maszyny. Tę część pracy musi zorganizować użytkownik.

Jeżeli producent wymaga odłączenia energii przed usunięciem zacięcia, zakład powinien określić przynajmniej:

• kto może zatrzymać maszynę;
• które źródła energii należy odłączyć;
• gdzie znajdują się punkty odłączenia;
• w jaki sposób zabezpiecza się je przed ponownym załączeniem;
• jak sprawdza się brak energii;
• kto może zdjąć blokady;
• na jakich zasadach maszyna wraca do pracy.

Bez tych ustaleń polecenie „stosować LOTO” jest nazwą procedury, nie procedurą.

Dokument musi również pasować do rzeczywistego zadania. Jeżeli usuwanie zacięcia występuje kilkanaście razy podczas jednej zmiany, a przewidziana procedura wymaga dwudziestominutowego zatrzymania całej linii, można łatwo przewidzieć jej dalszy los. Najpierw pojawi się skrót. Potem dobra praktyka znana wyłącznie najbardziej doświadczonym pracownikom. Na końcu ktoś przyklei blokadę taśmą, aby „nie przeszkadzała”.

Nie jest to argument za uproszczeniem procedury kosztem bezpieczeństwa. Częsta potrzeba ingerencji może oznaczać, że trzeba ponownie przyjrzeć się konstrukcji, niezawodności procesu albo zastosowanym środkom technicznym. Dobrze zaprojektowany krok 3 powinien umożliwiać przekazanie takich informacji z powrotem do oceny ryzyka.

Podobnie wygląda kwestia szkoleń. Lista obecności potwierdza, że określone osoby znajdowały się przez pewien czas w jednym pomieszczeniu. Nie potwierdza jeszcze, że potrafią bezpiecznie wykonać regulację, czyszczenie albo interwencję serwisową.

Szkolenie powinno obejmować rzeczywiste zadania, występujące zagrożenia, sposób stosowania zabezpieczeń oraz działanie w sytuacjach odbiegających od normalnej pracy. Kompetencję trzeba sprawdzić w praktyce, a szkolenie powtórzyć po istotnej zmianie maszyny, procesu, procedury lub zakresu obowiązków.

Nadzór nie może ograniczać się do sprawdzenia podpisów. Powinien obejmować obserwację pracy, kontrolę stosowania procedur, reagowanie na obchodzenie zabezpieczeń i analizę powodów, dla których pracownicy wybierają skróty. Ominięta blokada może świadczyć o błędzie operatora. Pięć ominiętych blokad na jednej linii mówi już coś również o projekcie maszyny i organizacji produkcji.

Także środki ochrony indywidualnej wymagają konkretu. Informacja „stosować rękawice ochronne” nie rozstrzyga, przed czym mają chronić, jakie powinny mieć właściwości ani czy ich użycie nie stworzy dodatkowego zagrożenia, na przykład pochwycenia przez ruchome części. Użytkownik musi dobrać właściwy środek do konkretnego zadania i warunków jego wykonania.

Skuteczność działań po stronie użytkownika nie wynika więc z ich wpisania do procedury. Wynika z tego, czy można je wykonać, czy pracownicy je rozumieją, czy organizacja zapewnia na nie czas i czy ktoś sprawdza ich stosowanie. Laminowana kartka może długo zachować idealny stan. Zwłaszcza jeśli nikt jej nie dotyka.

5. Dobry krok 3 zostawia ślad

Podczas odbioru projektant pamięta, dlaczego w instrukcji pojawił się wymóg stosowania określonej procedury. Sześć miesięcy później dokumentacją zarządza ktoś inny, maszyna pracuje na innej linii, a autor oceny ryzyka realizuje kolejny projekt.

Pozostaje zapis: „serwis wyłącznie po mechanicznym zabezpieczeniu zespołu”.

Dlaczego wymagane jest podparcie? Jaki ruch może wystąpić? Czy producent zastosował wcześniej inne środki? Który element trzeba podeprzeć i w jakim położeniu? Odpowiedzi prawdopodobnie istnieją. Trzeba tylko odnaleźć plik OSTATECZNA_ocena_v8_po_poprawkach_2.xlsx.

Informacja dla użytkownika powinna wynikać z konkretnego scenariusza oceny ryzyka. Musi dać się prześledzić od zidentyfikowanego zagrożenia, przez zastosowane środki konstrukcyjne i techniczne, aż do ryzyka resztkowego oraz działania wymaganego po stronie użytkownika.

Taki ślad może obejmować:

• zadanie i fazę życia maszyny;
• źródło zagrożenia oraz możliwe zdarzenie;
• osoby narażone i przewidywane skutki;
• zastosowane środki redukcji ryzyka;
• wynik ich weryfikacji;
• opis pozostałego ryzyka;
• informację przekazaną w instrukcji lub na maszynie;
• wymagane działanie użytkownika;
• osobę odpowiedzialną za jego wdrożenie;
• dowód wykonania i sprawdzenia skuteczności.

Dowodem nie musi być kolejny rozbudowany raport. Może nim być zatwierdzona procedura, wynik sprawdzenia funkcji, protokół pomiaru, potwierdzenie kompetencji, zapis przeglądu, zdjęcie oznaczenia albo decyzja techniczna z uzasadnieniem. Ważne, aby dowód odpowiadał konkretnemu wymaganiu, zamiast potwierdzać ogólnie, że „temat bezpieczeństwa został omówiony”.

Sam folder z dokumentacją nie zapewnia identyfikowalności. Sto plików leżących obok siebie nadal może nie wyjaśniać, dlaczego podjęto określoną decyzję. Liczy się połączenie między scenariuszem, środkiem, wynikiem weryfikacji, informacją dla użytkownika i późniejszym działaniem.

Ślad powinien także przetrwać zmianę. Inny materiał, nowe narzędzie, zmiana prędkości, przeniesienie maszyny albo nowy sposób czyszczenia mogą naruszyć założenia przyjęte przez producenta. Wtedy użytkownik musi mieć możliwość ustalenia, które scenariusze wymagają ponownej oceny. Przeglądanie całej dokumentacji od pierwszej strony jest metodą. Podobnie jak szukanie nieszczelności przez czekanie, aż zabraknie ciśnienia.

W Safety Software ten łańcuch nie powinien kończyć się na wygenerowaniu raportu. Scenariusz ryzyka, zastosowany środek, jego weryfikacja, ryzyko resztkowe i dowody pozostają elementami jednego procesu. Dzięki temu można odtworzyć nie tylko to, co wpisano do dokumentacji, lecz także kto podjął decyzję, na jakiej podstawie i co później zrobiono.

Dobry krok 3 można więc rozpoznać po prostym teście:

Czy osoba, która nie uczestniczyła w projekcie, potrafi na podstawie dokumentacji ustalić, jakie ryzyko pozostało i jakie działanie musi zostać wykonane?

Jeżeli tak, producent przekazał informację. Jeżeli nie, przekazał użytkownikowi zagadkę techniczną z załącznikiem.