ISO 12100 w nowej rzeczywistości prawnej – dlaczego projekt rewizji normy jest ważniejszy, niż się wydaje?

Przez wiele lat projektowanie bezpiecznych maszyn opierało się na dość stabilnym układzie: dyrektywie maszynowej, zestawie norm zharmonizowanych oraz procesie oceny ryzyka opartym na normie ISO 12100. Dla wielu inżynierów był to świat doskonale znany. Wystarczyło zidentyfikować zagrożenia, zastosować odpowiednie środki redukcji ryzyka i sumiennie udokumentować zgodność z odpowiednimi normami.

Jednocześnie w praktyce inżynierskiej funkcjonowała pewna ciekawa luka systemowa. Dyrektywa maszynowa pozwalała producentowi deklarować zgodność bez konieczności wskazywania konkretnych norm zharmonizowanych. Teoretycznie możliwe było więc sporządzenie deklaracji zgodności wyłącznie w oparciu o samą dyrektywę i jej wymagania zasadnicze.

W rzeczywistości oczywiście wyglądało to zupełnie inaczej. Każdy doświadczony projektant wiedział, że nie da się sensownie wykazać zgodności z wymaganiami zasadniczymi bez odniesienia do norm zharmonizowanych. Nawet jeśli nie pojawiały się one w oficjalnej deklaracji zgodności, to i tak były obecne w analizie ryzyka, dokumentacji projektowej oraz w samym sposobie projektowania funkcji bezpieczeństwa. Innymi słowy: dobrzy inżynierowie już od dawna pracowali tak, jakby system norm był w pełni obowiązkowy – nawet jeśli formalnie nie zawsze trzeba było go palcem wskazywać.

Sytuacja ta zaczyna się jednak drastycznie zmieniać wraz z wprowadzeniem rozporządzenia maszynowego (EU) 2023/1230, które zastępuje dotychczasową dyrektywę maszynową. W nowym podejściu deklaracja zgodności musi już precyzyjnie wskazywać zastosowane normy, których użyto do spełnienia wymagań zasadniczych. Choć wydaje się to niewielką zmianą formalną, jej konsekwencje są znacznie szersze. Jeśli w deklaracji zgodności pojawia się konkretna norma, automatycznie zaczyna ona odgrywać znacznie większą rolę w całej architekturze wykazania zgodności.

A jedną z najważniejszych z tych norm jest właśnie ISO 12100.

Dlaczego rewizja ISO 12100 jest ważna właśnie teraz?

ISO 12100 od lat funkcjonuje jako norma typu A, stanowiąc absolutny fundament oceny ryzyka dla maszyn. To ona definiuje kluczowe kroki tego procesu:

·         Identyfikację zagrożeń,

·         Szacowanie ryzyka,

·         Ocenę ryzyka,

·         Proces redukcji ryzyka.

Wiele norm typu B i C rozwija później bardzo konkretne aspekty bezpieczeństwa, ale punkt wyjścia niemal zawsze pozostaje ten sam. Dlatego wszelkie zmiany w tej normie – nawet jeśli na pierwszy rzut oka wydają się subtelne – mają potencjalnie ogromny wpływ na sposób projektowania maszyn w całej branży.

Obecnie obowiązującą wersją jest ISO 12100:2010, ale od kilku lat w środowisku normalizacyjnym trwają intensywne prace nad jej rewizją. Jednym z etapów tych prac była publikacja projektu ISO/DIS 12100:2024, który jasno pokazuje kierunek planowanych zmian. Choć projekt normy nie jest jeszcze dokumentem finalnym, pozwala zobaczyć coś niezwykle interesującego. Zmiany nie polegają na całkowitym przebudowaniu procesu oceny ryzyka – ten pozostaje w dużej mierze taki sam. Zmienia się natomiast sposób, w jaki norma opisuje relację między oceną ryzyka, systemami sterowania i funkcjami bezpieczeństwa. A to jest zmiana, która może mieć bardzo realne konsekwencje dla codziennej pracy projektantów.

Dobrzy inżynierowie robili to już wcześniej

Warto postawić sprawę uczciwie: dla wielu doświadczonych projektantów te zmiany nie będą trzęsieniem ziemi. Kto rzeczywiście rozumiał system norm zharmonizowanych, ten już dawno wiedział, że ocena ryzyka według ISO 12100 musi prowadzić do konkretnych rozwiązań technicznych opisanych w innych normach.

Przykładowo:

• Projekt osłon niemal zawsze odwoływał się do wytycznych z ISO 14120.
• Funkcje bezpieczeństwa systemów sterowania były projektowane według ISO 13849-1.
• Wiele rozwiązań mechanicznych korzystało z norm typu B dotyczących konkretnych, specyficznych zagrożeń.

ISO 12100 była więc w praktyce początkiem procesu, a nie jego końcem. Różnica polega na tym, że w materiałach projektowych nowej rewizji normy ten związek staje się znacznie bardziej czytelny, jawny i wręcz wymagany. Norma typu A zaczyna wyraźniej podkreślać, że ocena ryzyka nie jest tylko oderwanym ćwiczeniem dokumentacyjnym czy formalnością na papierze. Jest punktem startowym dla całego inżynieryjnego systemu projektowania bezpieczeństwa maszyny.

Jak wygląda to w rzeczywistym projekcie maszyny?

Rozważmy bardzo typową sytuację projektową. Mamy maszynę, w której operator musi mieć dostęp do strefy roboczej – na przykład do przezbrajania, czyszczenia albo usuwania zaciętego materiału. Najczęściej stosowanym rozwiązaniem jest w takim przypadku instalacja drzwi ochronnych wyposażonych w blokadę bezpieczeństwa.

Na pierwszy rzut oka może się wydawać, że to banalne zadanie: instalujemy drzwi, montujemy wyłącznik bezpieczeństwa i problem mamy z głowy. W rzeczywistości jednak taki projekt natychmiast prowadzi nas przez kilka poziomów norm.

Najpierw pojawia się pytanie wynikające bezpośrednio z ISO 12100: jakie zagrożenie chcemy zredukować? W tym przypadku chodzi o możliwość kontaktu operatora z elementami ruchomymi maszyny podczas jej pracy. Ocena ryzyka prowadzi więc do wniosku, że konieczne jest zastosowanie środka redukcji ryzyka polegającego na uniemożliwieniu dostępu do strefy niebezpiecznej w trakcie cyklu pracy maszyny. Na tym etapie ISO 12100 wskazuje kierunek, ale nie mówi jeszcze dokładnie, jak taki system ma być zaprojektowany od strony technicznej.

Dopiero w następnym kroku do gry wchodzą inne normy. Projektant zaczyna korzystać z normy ISO 14120, która opisuje wymagania dotyczące konstrukcji osłon. Dzięki niej wiadomo, jak powinna być zaprojektowana sama osłona: jakie ma mieć właściwości mechaniczne, w jaki sposób powinna być trwale zamocowana, oraz jak zapobiec jej łatwemu demontażowi przez personel.

Jednocześnie drzwi ochronne są tylko fizyczną częścią rozwiązania. Równie ważna jest blokada bezpieczeństwa, która ma bezbłędnie zatrzymywać maszynę w momencie otwarcia drzwi. I tu wchodzimy na kolejny poziom systemu norm. Blokada drzwi nie jest już elementem czysto mechanicznym – staje się częścią systemu sterowania realizującego funkcję bezpieczeństwa. Oznacza to, że projektant musi określić, jak niezawodnie ta funkcja ma działać w warunkach przemysłowych. W praktyce prowadzi to do normy ISO 13849-1, która pozwala określić wymagany poziom niezawodności funkcji bezpieczeństwa, czyli tak zwany Performance Level (PL).

W tym momencie widać bardzo wyraźnie, jak nierozerwalnie łączą się ze sobą różne elementy systemu norm:

1.      ISO 12100 wskazuje, jakie zagrożenie trzeba zredukować.

2.      ISO 14120 pomaga prawidłowo zaprojektować fizyczną osłonę.

3.      ISO 13849-1 określa zasady projektowania i integracji części systemów sterowania związanych z bezpieczeństwem (SRP/CS), które realizują funkcje bezpieczeństwa.

4.      ISO 14119 określa zasady projektowania i doboru urządzeń blokujących związanych z osłonami, a ISO 13857 podaje odległości bezpieczeństwa zapobiegające dosięgnięciu stref zagrożenia kończynami górnymi i dolnymi.

To właśnie w taki spójny sposób powstaje w praktyce przemyślana architektura bezpieczeństwa maszyny.

Dlaczego ISO 12100 zaczyna mówić o tym wprost?

Dla doświadczonych inżynierów powyższy sposób pracy nie jest niczym odkrywczym. Projektanci, którzy od zawsze rozumieli logikę systemu norm zharmonizowanych, wiedzieli, że ocena ryzyka jest dopiero zapłonem całego procesu projektowania bezpieczeństwa. Jednak przez lata ta ścisła relacja między normami była w przepisach raczej dorozumiana niż transparentnie nakazana.

Materiały związane z projektem rewizji ISO 12100 pokazują, że norma typu A zaczyna tę relację wyraźniej artykułować. W dokumentach pojawiają się schematy pokazujące palcem, jak ocena ryzyka prowadzi do projektowania funkcji bezpieczeństwa i jak w tym procesie należy korzystać z norm typu B. To z pozoru niewielka zmiana redakcyjna, która ma kolosalne znaczenie praktyczne. Udowadnia bowiem, że ocena ryzyka nie jest i nie może być oddzielnym etapem wypełniania formularzy na końcu projektu. W nowym ujęciu ISO 12100 staje się oficjalnym punktem startowym architektury bezpieczeństwa.

Kiedy bezpieczeństwo zależy od systemu sterowania

W wielu nowoczesnych maszynach to właśnie zintegrowany system sterowania realizuje kluczowe środki redukcji ryzyka. Kurtyny świetlne zatrzymujące ruch maszyny, funkcje bezpiecznego ograniczania prędkości robotów, monitorowanie pozycji osi czy zaawansowane blokady drzwi bezpieczeństwa – wszystkie te rozwiązania opierają się na działaniu skomplikowanych systemów elektronicznych i programowalnych.

Oznacza to, że bezpieczeństwo operatora zależy nie tylko od tego, czy funkcja została na etapie projektu uwzględniona, ale przede wszystkim od tego, jak niezawodnie dany system zachowa się w wymagających, rzeczywistych warunkach pracy. Właśnie dlatego w materiałach dotyczących rewizji ISO 12100 pojawia się coraz więcej odniesień do pojęć znanych z inżynierii niezawodności, takich jak awaria, uszkodzenie czy wspólna przyczyna awarii (CCF). To dobitny sygnał, że bezpieczeństwo maszyn jest dziś analizowane nie tylko w sztywnych kategoriach konstrukcji mechanicznej, lecz coraz częściej w kategoriach zachowania systemów technicznych w sytuacjach kryzysowych i nieidealnych.

To nie jest rewolucja. To doprecyzowanie

Warto w tym miejscu powiedzieć coś wprost: kierunek widoczny w projekcie rewizji ISO 12100 nie powinien być odczytywany jako całkowite odwrócenie dotychczasowego podejścia do bezpieczeństwa maszyn. Nie widać tu żadnej próby zburzenia fundamentu, na którym branża opiera się od lat.

Nadal punktem wyjścia pozostaje identyfikacja zagrożeń, szacowanie ryzyka, jego ocena oraz iteracyjna redukcja. Nadal obowiązuje ta sama, sprawdzona logika hierarchii środków bezpieczeństwa. Podstawowym zadaniem projektanta wciąż jest doprowadzenie do tego, aby maszyna była bezpieczna w całym dającym się rozsądnie przewidzieć cyklu jej życia.

Zmienia się natomiast akcentowanie. Projekt normy kładzie na stół to, co dobrzy inżynierowie i tak wiedzieli z doświadczenia: samej zgodności z ogólnymi wymaganiami nie da się obronić w oderwaniu od systemu norm zharmonizowanych i od rzeczywistego działania układów sterowania maszyny. Inaczej mówiąc – to nie projekt rewizji ISO 12100 wymyśla nowe zasady gry. On raczej nazywa po imieniu i prawnie porządkuje to, co w inżynierskim rzemiośle było konieczne od dekad.

Koniec chowania się za ogólnikami

W realiach starej dyrektywy maszynowej istniała pewna wygodna furtka. Producent mógł formalnie zadeklarować zgodność z wymaganiami zasadniczymi, nie wymieniając na deklaracji konkretnych norm zharmonizowanych. Oczywiście przy rzetelnym projekcie nie oznaczało to, że norm nie stosowano – po prostu system norm mógł bezpiecznie pozostawać „w tle” dokumentacji.

Dla części rynku było to bardzo wygodne ułatwienie:

• Można było mówić o zgodności z dyrektywą, nie obnażając od razu, w jaki sposób technicznie ta zgodność została zbudowana.
• Można było powołać się na dokument oceny ryzyka, nie wskazując od razu, z jakich norm szczegółowych wynikają zaimplementowane rozwiązania.
• Można było opisać funkcję bezpieczeństwa bez udowadniania, jak powiązano ją z rygorystycznymi wymaganiami dla części systemów sterowania (SRP/CS).

Choć dobre projekty i tak były oparte na normach typu B i C, to na rynku brakowało wystarczającej przejrzystości. I właśnie dlatego nowa rzeczywistość prawna uderza w te "szare strefy". Wraz z wejściem w życie rozporządzenia (UE) 2023/1230 zmienia się waga deklaracji zgodności. Jeżeli trzeba w niej wprost wskazać normy użyte do spełnienia wymagań zasadniczych, przestają one być tylko inżynieryjnym zapleczem technicznym. Stają się publicznym elementem jawnej logiki wykazania zgodności.

Jeżeli producent wskaże ISO 12100, naturalnie rodzi się pytanie: czy ta jedna norma rzeczywiście pokrywa wszystkie rozwiązania użyte do redukcji ryzyka? W przypadku nowoczesnych maszyn, wyposażonych w zaawansowane sterowanie, odpowiedź zawsze brzmi: nie. Oznacza to, że znaczenie norm typu B (rozwijających konkretne środki bezpieczeństwa) w deklaracjach i audytach drastycznie wzrośnie.

Większa przejrzystość to większa odpowiedzialność

Dla rzetelnych producentów i projektantów to nie jest zła wiadomość. Wręcz przeciwnie – jeżeli proces projektowy był prowadzony prawidłowo od pierwszej kreski, nowa przejrzystość przepisów tylko obroni jakość ich pracy i wyeliminuje nieuczciwą konkurencję.

Prawdziwy problem mogą mieć natomiast ci, którzy przez lata traktowali ocenę ryzyka jako "papierkologię" robioną na sam koniec, a nie realny mechanizm budowania bezpieczeństwa od podstaw. Kiedy norma typu A zacznie prawnie wymuszać relację z normami typu B i C, znacznie trudniej będzie utrzymać fikcję, że zgodność wykazano wyłącznie przez ogólne odniesienie do wymagań dyrektywy. Dokumentacja techniczna będzie musiała precyzyjnie odpowiadać na pytania:

• Jakie konkretnie zagrożenie zidentyfikowano?
• Jaki środek redukcji ryzyka zastosowano?
• Z jakiej normy inżynierskiej wynika ten środek?
• Według jakiego standardu zaprojektowano część systemu sterowania odpowiedzialną za jego niezawodność?

To przestaje być tylko kwestią formalną. Staje się to ostatecznym testem jakości całego projektu inżynieryjnego.

Dlaczego projektant musi zakładać, że zabezpieczenia będą obchodzone

W materiałach związanych z projektem rewizji ISO 12100 pojawia się niezwykle ciekawy i jednocześnie bardzo „życiowy” wątek: projektant powinien brać pod uwagę możliwość celowego obchodzenia środków redukcji ryzyka przez użytkowników. W literaturze normatywnej zjawisko to określane jest jako defeat lub circumvention.

Na pierwszy rzut oka może to brzmieć dość prowokacyjnie. W końcu bezpieczeństwo maszyn opiera się na założeniu, że operator korzysta z urządzenia zgodnie z przeznaczeniem. Dlaczego więc norma miałaby zakładać, że zabezpieczenia będą obchodzone?

Odpowiedź jest bardzo prosta: ponieważ w rzeczywistym środowisku pracy takie sytuacje zdarzają się niezwykle często.

Każdy, kto uczestniczył w uruchomieniach lub serwisie maszyn, widział zapewne podobne scenariusze. Osłona, która musi być otwierana kilkadziesiąt razy dziennie. Blokada drzwi, która zatrzymuje całą linię produkcyjną przy każdej drobnej interwencji. Kurtyna świetlna, która powoduje częste nieplanowane zatrzymania procesu.

W takich warunkach presja czasu zaczyna działać bardzo szybko. Operatorzy próbują znaleźć sposób, aby wykonać zadanie szybciej. Czasem oznacza to przytrzymanie blokady w pozycji zamkniętej, czasem użycie trybu serwisowego w sposób nieprzewidziany przez projektanta, a czasem zwykłe „obejście” zabezpieczenia.

Z punktu widzenia projektanta najważniejsza jest jednak nie sama próba obejścia zabezpieczenia, lecz powód, dla którego do niej dochodzi.

Jeżeli środek bezpieczeństwa utrudnia wykonywanie pracy w sposób akceptowalny dla użytkownika, staje się w praktyce elementem konfliktu między bezpieczeństwem a produktywnością. W takiej sytuacji system bezpieczeństwa przestaje być częścią rozwiązania, a zaczyna być postrzegany jako problem.

To właśnie dlatego w projektach nowych zapisów normy pojawia się wyraźna sugestia, aby w procesie oceny ryzyka uwzględniać także prawdopodobieństwo celowego obejścia zastosowanych środków redukcji ryzyka.

Nie chodzi przy tym o zakładanie złej woli użytkownika. Chodzi raczej o realistyczne podejście do tego, jak maszyny funkcjonują w praktyce przemysłowej.

W dobrze zaprojektowanym systemie bezpieczeństwa środek redukcji ryzyka powinien być nie tylko skuteczny technicznie, ale również akceptowalny w codziennej pracy operatora. Jeżeli rozwiązanie jest zbyt uciążliwe, zbyt czasochłonne lub zbyt skomplikowane, prawdopodobieństwo jego obchodzenia rośnie – a wraz z nim rośnie również ryzyko.

W tym sensie analiza możliwości defeat lub circumvention nie jest krytyką użytkownika. Jest raczej elementem dojrzałego projektowania systemów bezpieczeństwa, które uwzględniają realne zachowania ludzi pracujących z maszyną.

Kilka przykładów z rzeczywistej praktyki przemysłowej

Dobrym sposobem na zrozumienie problemu jest spojrzenie na kilka bardzo typowych sytuacji z rzeczywistych instalacji przemysłowych.

Jednym z najczęściej spotykanych przykładów są drzwi ochronne wyposażone w blokadę bezpieczeństwa. W wielu maszynach operator musi regularnie otwierać taką osłonę, aby usunąć zacięty materiał, oczyścić element roboczy lub dokonać szybkiej regulacji. Jeżeli każdorazowe otwarcie drzwi powoduje długie zatrzymanie całej linii technologicznej, operatorzy bardzo szybko zaczynają szukać sposobu na skrócenie tego procesu. W praktyce może to oznaczać przytrzymanie elementu blokującego w pozycji „zamkniętej”, zastosowanie dodatkowego magnesu przy czujniku bezpieczeństwa albo korzystanie z trybu serwisowego w sposób, którego projektant w ogóle nie przewidział.

Innym klasycznym przykładem są kurtyny świetlne stosowane przy ręcznym podawaniu materiału. Jeżeli operator musi wielokrotnie wkładać ręce w obszar pracy maszyny, a kurtyna zatrzymuje cykl przy każdym naruszeniu strefy, naturalną reakcją bywa próba jej obejścia. W praktyce widuje się wtedy różne rozwiązania improwizowane: przesunięcie kurtyny poza rzeczywistą strefę pracy, montaż elementów odbijających wiązkę albo praca w trybie ustawień przez dłuższy czas niż przewidziano w projekcie.

Podobny problem pojawia się przy robotach przemysłowych pracujących w trybie nastaw i programowania. W wielu instalacjach operator musi wejść do strefy robota, aby skorygować trajektorię lub wykonać test programu. Jeżeli procedura przełączania trybów pracy jest zbyt skomplikowana albo wymaga udziału kilku osób, pojawia się pokusa skrócenia drogi – na przykład pozostawienia systemu w trybie serwisowym na dłuższy czas.

W każdym z tych przypadków mechanizm jest bardzo podobny. Zabezpieczenie zostało zaprojektowane poprawnie z punktu widzenia technicznego, ale w praktyce zaczyna kolidować z rytmem pracy operatora. W efekcie użytkownicy próbują znaleźć sposób na obejście systemu, aby przywrócić płynność pracy.

Z punktu widzenia projektanta najważniejszy wniosek jest prosty: jeżeli środek bezpieczeństwa utrudnia wykonywanie pracy, istnieje realne ryzyko, że ktoś będzie próbował go obejść. Dlatego nowoczesne podejście do oceny ryzyka zakłada, że możliwość takiego zachowania powinna być uwzględniona już na etapie projektowania systemu.

Cyberbezpieczeństwo jako nowy element bezpieczeństwa maszyny

W materiałach projektowych rewizji ISO 12100 pojawia się również wątek, który jeszcze kilkanaście lat temu w ogóle nie był kojarzony z bezpieczeństwem maszyn – cyberbezpieczeństwo systemów sterowania.

Coraz więcej współczesnych maszyn jest wyposażonych w systemy zdalnej diagnostyki, komunikację sieciową oraz możliwość aktualizacji oprogramowania. W takich warunkach integralność systemu sterowania staje się elementem bezpieczeństwa maszyny. Nieautoryzowana zmiana parametrów, ingerencja w oprogramowanie lub manipulacja komunikacją mogą w skrajnych przypadkach doprowadzić do nieprzewidzianego zachowania systemu.

Dlatego w materiałach związanych z rewizją normy pojawiają się odniesienia do ochrony systemów sterowania przed nieautoryzowanymi zmianami, kontroli dostępu oraz zabezpieczenia komunikacji. Nie jest to jeszcze pełna metodologia cyberbezpieczeństwa, ale wyraźny sygnał, że bezpieczeństwo maszyn coraz częściej obejmuje także integralność cyfrowych systemów sterowania.

Podsumowanie: Systemowe myślenie o maszynie

Być może najważniejsza zmiana wynikająca z rewizji ISO 12100 nie dotyczy samej treści dokumentu, lecz sposobu, w jaki wymusi on zmianę kultury pracy. Coraz trudniej będzie udawać, że bezpieczeństwo maszyny to sprawa ogólnych deklaracji. Projektant będzie musiał myśleć systemowo, dokumentacja będzie musiała być spójna, a deklaracja zgodności stanie się lustrem rzeczywistej logiki projektu. Z tej perspektywy projekt rewizji ISO 12100 jest ważny już dziś. Zaczyna on od konstrukcji, ale ostatecznie rozstrzyga bezpieczeństwo w systemie.