Najrizikovejšie rozhodnutia v oblasti bezpečnosti strojových zariadení sú často tie, ktoré sa urobia v presvedčení, že problém je už „definitívne“ vyriešený.
V projekte sa objaví nebezpečenstvo. Niekto navrhne rýchle riešenie: doplňme kryt, dajme svetelnú závoru, urobme bezpečnostnú funkciu v riadení. Vec sa uzavrie. V dokumentácii sa objaví ochranné opatrenie, v tabuľke posúdenia rizika hodnota klesne a ide sa ďalej.
A potom sa ukáže, že:
- ťažký kryt vytvoril nové miesto zovretia,
- blokovanie sťažilo prístup k nastavovaniu a motivovalo k obchádzaniu,
- ochranné zariadenie bolo nastavené bez reálneho overenia času zastavenia,
- ďalší prvok v bezpečnostnom reťazci zmenil dynamiku systému spôsobom, ktorý nikto nevyhodnotil.
Nie sú to chyby z nevedomosti.
Sú to chyby zjednodušovania.
Ochranné opatrenie je konštrukčná zmena. Mení geometriu stroja, dostupnosť priestoru, spôsob obsluhy, postupy pri poruche, správanie pohonov aj reakciu riadenia. Každá takáto zmena zasahuje do štruktúry nebezpečenstiev — niekedy očividne, inokedy veľmi nenápadne.
V priemyselnej praxi sa často stretávame s lineárnym uvažovaním: bolo nebezpečenstvo A → doplnili sme ochranu → nebezpečenstvo A „zmizlo“. Lenže realita je nelineárna. Zmena na jednom mieste vie presunúť riziko inde, do menej viditeľných oblastí.
A práve táto zóna — keď ochrana namiesto stabilizácie systému prinesie nové technické napätia — si vyžaduje vecnú, inžiniersku analýzu.
Prvou chybou, ktorá sa po „doplnení ochrany“ objavuje, je predpoklad, že zmena je len lokálna. Že sa týka jedného nebezpečenstva a zvyšok stroja neovplyvní.
V skutočnosti každé ochranné opatrenie zasahuje do konštrukcie stroja alebo do jeho riadenia. A to znamená, že zasahuje do:
- kinematiky,
- dostupnosti pracovného priestoru,
- časov reakcie,
- spôsobu vykonávania nastavovacích a servisných činností,
- spôsobu reakcie na poruchy a odchýlky v prevádzke.
Ak sa tieto zmeny neposúdia komplexne, veľmi ľahko vznikne tzv. presun rizika.
1. Kryt ako zdroj nových mechanických nebezpečenstiev
Najtypickejším príkladom je mechanický kryt. Jeho účel je zrejmý: obmedziť prístup do nebezpečného priestoru. A často to aj reálne účinne zabezpečí.
Problém nastáva vtedy, keď sa návrh sústredí iba na oddelenie, pričom sa prehliadnu fyzikálne vlastnosti samotného krytu.
Ťažký výklopný kryt je dodatočná hmotnosť.
Dodatočná hmotnosť znamená potenciálnu energiu.
Potenciálna energia znamená možnosť pádu, pritlačenia (pomliaždenia), nárazu.
Ak sa neposúdila dráha pohybu krytu, spôsob jeho podopretia a stabilita v otvorenej aj zatvorenej polohe, ochranný prostriedok sa v systéme zmení na ďalší pohyblivý prvok. A tým si vytvára vlastné nebezpečné priestory.
V praxi to býva až banálne: obsluha otvorí kryt, jednou rukou ho pridržiava, druhou siaha dovnútra, niekto ho zboku neúmyselne zrazí. Alebo pánt po roku prevádzky „chytí“ vôľu. Vtedy kryt prestáva byť len „bariérou“ a začne sa správať ako dynamický prvok.
Nejde o okrajový scenár.
Je to priamy dôsledok toho, že sa zanedbal fakt, že ochranný prostriedok môže byť sám o sebe zdrojom energie a pohybu.
2. Ochranné zariadenie bez overenia bezpečnostných parametrov
V praxi sa veľmi často opakuje rovnaký postup: namontuje sa svetelná clona, zapojí sa do bezpečnostného riadenia, nastaví sa vzdialenosť „podľa katalógu“ a tým sa to považuje za vyriešené.
Lenže samotná inštalácia ochranného zariadenia ešte nie je dôkazom účinnej redukcie rizika.
Aby sa dalo hovoriť o skutočnej účinnosti, musia byť splnené minimálne tri technické podmienky.
a) Overenie reálneho času zastavenia
Vzdialenosť ochranného zariadenia od nebezpečného priestoru sa nedá určiť „odhadom“ ani „zo skúsenosti“. Musí vyplývať z výpočtov podľa ISO 13855, ktoré vychádzajú z:
- reálneho času zastavenia stroja (vrátane dobehu a zotrvačnosti mechanizmu),
- času reakcie ochranného zariadenia a riadiacej časti,
- reakčnom čase človeka,
- pevných geometrických parametroch vyplývajúcich z typu zariadenia.
Kľúčové slovo: skutočný.
Čas zastavenia sa má určiť meraním v podmienkach reprezentujúcich najhorší prípad: pri maximálnom zaťažení, pri najvyššej rýchlosti, so zohľadnením zmien v čase (opotrebovanie brzdných prvkov, tolerancie, teplota). Nie katalógový. Nie deklarovaný. Nie „typický“.
Ak sa toto meranie nevykonalo, neexistuje dôkaz, že bezpečnostná vzdialenosť bola stanovená správne. A bez správnej vzdialenosti nie je možné preukázať, že ochranné zariadenie v praxi reálne zabráni dosiahnutiu nebezpečnej zóny skôr, než sa pohyb úplne zastaví.
V takom prípade môže ochrana fungovať logicky správne, ale fyzicky byť neúčinná.
b) Overenie bezpečnostnej funkcie a Performance Level
Druhým krokom je overenie bezpečnostnej funkcie podľa ISO 13849-1.
Ochranné zariadenie je iba jedným článkom reťazca. Bezpečnostná funkcia zahŕňa:
- snímač (napr. svetelnú závoru/kurtynu),
- logickú časť (bezpečnostný riadiaci systém, relé),
- výkonné prvky (stykače, ventily, pohony),
- architektúru (kategóriu),
- parametre spoľahlivosti (MTTFd, DC, CCF).
Ak neboli vykonané výpočty Performance Level a nebolo preukázané, že dosiahnutý PL ≥ požadovaný PLr vyplývajúci z posúdenia rizika, formálne chýba potvrdenie, že bezpečnostná funkcia zabezpečuje požadovanú úroveň zníženia rizika.
Častou chybou je predpoklad: „kurtyna má PL e, teda sme v bezpečí“.
Požadovanú úroveň nemá „splniť“ samotná kurtyna.
Musí ju splniť celá bezpečnostná funkcia.
Ak reťazec zastavenia obsahuje prvok s príliš nízkou spoľahlivosťou, napríklad jeden stykač bez monitorovania, alebo chýba diagnostika, skutočný PL môže vyjsť nižší než požadovaný. Potom je účinnosť ochranného opatrenia len predpokladom, nie preukázaným faktom.
c) Funkčná súdržnosť — nielen elektrická
Treťou oblasťou je integrácia bezpečnostnej funkcie s technologickým procesom.
Ani správne vypočítaná bezpečnostná vzdialenosť, ani korektne overený Performance Level ešte nezaručujú účinnosť riešenia, ak platí niektorý z nasledujúcich bodov:
- reset je možné vykonať z miesta, ktoré zároveň umožňuje opätovný prístup do nebezpečnej zóny,
- opätovné spustenie prebehne automaticky po uvoľnení ochranného zariadenia,
- nie sú zohľadnené prechodové stavy (napr. dobehové pohyby, zotrvačnosť osí),
- nebolo overené správanie pri čiastočnej poruche systému.
Bezpečnostná funkcia nemá byť len „zapojená“, ale musí byť logicky správne navrhnutá a overená v celom pracovnom scenári stroja.
Ak niektorý z týchto prvkov (čas zastavenia, vzdialenosť podľa ISO 13855, PL/PLr podľa ISO 13849-1, logika resetu a opätovného spustenia) nebol dôsledne overený, nemáme potvrdené, že došlo k účinnému zníženiu rizika.
A problém je ešte zásadnejší.
V takom prípade nie je len nepreukázaná účinnosť ochranného opatrenia. V tejto fáze si do návrhu zavádzame nové nebezpečné situácie. Obsluha dostane signál, že priestor je „chránený“. Tomu sa prispôsobí správanie — prístup býva rýchlejší, odstup menší, reakcia rozhodnejšia. Ak je však skutočný čas zastavenia dlhší, než sa uvažovalo v návrhu, vznikne stav, keď sa človek dostane do zóny pôsobenia nebezpečenstva skôr, než sa nebezpečný pohyb reálne zastaví.
Ide o normovú nebezpečnú situáciu: okolnosť, v ktorej je osoba vystavená aspoň jednému nebezpečenstvu.
Podobne pri nesprávne overenom Performance Level: ak bezpečnostná funkcia nedosahuje požadovaný PLr, potom pri podmienkach jednej poruchy alebo pri strate diagnostiky môže dôjsť k strate funkcie zastavenia. Vtedy nastáva situácia, v ktorej:
- nebezpečenstvo naďalej existuje,
- človek predpokladá jeho zníženie,
- no systém neplní bezpečnostnú funkciu podľa zámeru.
Toto nie je „neúplná dokumentácia“.
Toto je štrukturálne nová nebezpečná situácia, vytvorená už v štádiu návrhu.
3. Keď zabezpečenie mení spôsob práce — a spolu s tým aj štruktúru rizika
Každé ochranné opatrenie nemení len geometriu stroja alebo parametre zastavenia. Mení aj to, ako sa práca reálne vykonáva.
Práve v tomto bode veľmi často vznikajú nové nebezpečné situácie — nie preto, že ochranné zariadenie „nefunguje“, ale preto, že návrh nepočítal s tým, ako sa bude používať v reálnej prevádzke.
a) Sťažený prístup = improvizované zásahy
Ak kryt alebo ochranný prvok výrazne sťažuje prístup k nastavovaniu, čisteniu alebo prestavovaniu, obsluha začne skracovať postupy:
- ponechá kryt čiastočne otvorený,
- zablokuje koncový spínač,
- vykonáva úkony pri zvyškových pohyboch,
- zasahuje pri neistej alebo nedokončenej zastávke.
Nie je to problém „nedisciplinovaného pracovníka“.
Je to dôsledok návrhu, ktorý nezohľadnil skutočnú frekvenciu a charakter daného úkonu.
Vtedy vzniká nebezpečná situácia: človek sa nachádza v priestore, ktorý mal byť podľa predpokladov počas pohybu neprístupný, a systém už nevie spoľahlivo vynútiť bezpečné podmienky.
Ochrana nebola odstránená.
Obchádzanie sa stalo „súčasťou“ procesu.
b) Ochrana, ktorá narúša pracovnú sekvenciu
Každá bezpečnostná funkcia zavádza určité logické podmienky:
- zastavenie pri narušení,
- blokovanie štartu,
- reset,
- potvrdenie počiatočných podmienok.
Ak je návrat do práce príliš zložitý, nelogický alebo pre obsluhu neprehľadný, rastie pravdepodobnosť úkonov mimo uvažovaného scenára.
Napríklad:
- reset bez vizuálnej kontroly zóny,
- opätovné spustenie pri prítomnosti zvyškových pohybov,
- zásah v servisnom režime bez úplného odpojenia energií.
Každý z týchto prípadov predstavuje nebezpečnú situáciu: osoba sa nachádza v priestore pôsobenia nebezpečenstva pri nesplnených bezpečnostných podmienkach.
Z pohľadu posúdenia rizika nejde o „chybu obsluhy“.
Ide o to, že nebola vyhodnotená zmena správania systému po použití ochranného opatrenia – teda ako ochrana zmenila dynamiku celého usporiadania.
c) Konflikt medzi bezpečnosťou a ergonómiou
Ak ochranné opatrenie:
- obmedzuje výhľad do pracovnej zóny,
- núti obsluhu do neprirodzených polôh tela,
- zvyšuje fyzickú záťaž,
- významne (z pohľadu prevádzky) predlžuje čas cyklu,
zvyšuje sa pravdepodobnosť nežiaducich postupov a „obchádzania“ ochrany.
A práve pravdepodobnosť je jednou z dvoch zložiek definície rizika.
V praxi to často vyzerá takto:
Návrh počíta s bezpečným prístupom pri zatvorenom kryte.
Obsluha sa však kvôli kontrole dielu predkloní a vsunie ruku popod spodnú hranu.
Ochrana fyzicky existuje.
Nebezpečná situácia aj tak vzniká.
Ochrana riziko neodstránila.
Len zmenila jeho usporiadanie.
4. Lineárne uvažovanie verzus systémová analýza
Všetky opísané situácie majú spoločnú príčinu: lineárny prístup k znižovaniu rizika.
Nebezpečenstvo → ochranné opatrenie → problém vyriešený.
Lenže každú konštrukčnú zmenu v technickom systéme treba vnímať ako nové usporiadanie systému.
Nové usporiadanie znamená:
- nové pracovné podmienky,
- nové prístupové miesta,
- nové trajektórie pohybu,
- nové scenáre porúch a vybočení,
- nové nebezpečné situácie.
Ak sa návrh po zavedení ochranného opatrenia nevracia späť k identifikácii nebezpečenstiev, výsledná analýza je neúplná a neistá — aj keď dokumentácia navonok pôsobí bezchybne.
Práve v tom je zásadný rozdiel medzi tým, že „nejaké zabezpečenie existuje“, a tým, že sa riziko reálne znížilo.
5. Prečo sú inherentne bezpečné riešenia stabilnejšie
Keď sa na štruktúru konštrukčných pochybení pozrieme vecne, objaví sa jasný vzorec: najviac problémov vzniká vtedy, keď sa bezpečnosť „doliepa“ dodatočne, namiesto toho, aby bola od začiatku integrovaná do návrhu.
Inherentne bezpečné konštrukčné riešenia fungujú inak než ochranné opatrenia. Nejde v nich o to, že sa obmedzí prístup k nebezpečenstvu. Ich podstatou je zníženie alebo odstránenie samotného nebezpečenstva priamo pri zdroji.
Príklady sú priamočiare:
- zníženie kinetickej energie obmedzením rýchlosti alebo hmotnosti,
- obmedzenie krútiaceho momentu na úroveň bezpečnú pri náraze/kolízii,
- zníženie prítlačnej sily,
- zaoblenie hrán namiesto ich dodatočného zakrývania,
- úprava geometrie tak, aby sa odstránilo miesto privretia/rozdrvenia,
- použitie pohonu s riadenou charakteristikou zastavenia.
V takýchto prípadoch riziko klesá preto, lebo sa znižuje energia dostupná v nebezpečnej situácii, prípadne zanikne mechanizmus jej uvoľnenia.
Ide o kvalitatívne odlišnú redukciu oproti samotnému vloženiu bariéry.
Ak znížiš rýchlosť, znížiš energiu pre každý scenár.
Ak znížiš silu, znížiš závažnosť potenciálnej ujmy.
Ak odstrániš v geometrii miesto privretia, prestane existovať konkrétny mechanizmus vzniku škody.
V mnohých prípadoch potom nie je potrebné „stavať“ bezpečnosť na dodatočnej riadiacej logike, resetoch a zložitých sekvenciách. Riziko klesá konštrukčne — už samotnou podstatou riešenia.
Preto sú tieto riešenia prirodzene stabilnejšie.
6. Môžu inherentne bezpečné riešenia vytvárať nové nebezpečné situácie?
Môže. Len mechanizmus je odlišný – a spravidla menej častý.
Príklad: zníženie rýchlosti alebo sily v procese, ktoré vedie k vyššiemu počtu porúch (prešmykovanie, posuny obrobku, častejšie zasekávanie). Následne rastie počet manuálnych zásahov. A čím viac zásahov, tým viac momentov, keď človek vstupuje do zóny pôsobenia nebezpečenstiev – teda vznikajú nové nebezpečné situácie.
Nejde o priamy „vedľajší účinok“ konštrukcie.
Ide o dôsledok zmeny stability procesu a frekvencie zásahov.
Rozdiel je však v tom, že pri riešeniach bezpečných svojou podstatou sa mení zdroj energie alebo geometria, nie samotný prístup. Preto býva počet nových nebezpečných situácií zvyčajne nižší než pri dodatočne dopĺňaných ochranných opatreniach.
7. Zásadný rozdiel
Ochranné opatrenie hovorí:
„Nebezpečenstvo existuje, obmedzíme k nemu prístup.“
Riešenie bezpečné svojou podstatou hovorí:
„Nebezpečenstvo zmeníme alebo odstránime.“
Prvý prístup nastavuje podmienky.
Druhý mení fyziku systému.
Preto je v praxi navrhovania najbezpečnejšie začínať znížením energie, úpravou geometrie a odstránením mechanizmu nebezpečenstva a až následne – ak je to nevyhnutné – siahnuť po technických a doplnkových ochranných opatreniach.
Nie je to otázka filozofie.
Je to otázka stability.
8. Nové nebezpečenstvá sú súčasťou procesu. Nemožno ich ignorovať.
Problém tzv. „sekundárnych rizík“ je v tom, že sa často berú ako niečo nepodstatné. Ako drobná nepríjemnosť po zavedení ochrany. Ako niečo, čo sa dá „doriešiť neskôr“.
Z pohľadu metódy posudzovania rizika to však nie je detail.
Je to kritický moment procesu.
Každé zavedenie ochranného opatrenia mení konfiguráciu systému. A zmena konfigurácie znamená možnosť vzniku nových nebezpečných situácií.
Ak sa po znížení rizika nevrátime k identifikácii nebezpečenstiev, proces je prerušený. Nie je ukončený – je otvorený a nedotiahnutý.
V praxi práve tu vzniká medzera: riziko A bolo formálne znížené, no zároveň sa objavilo riziko B – menej zjavné, ťažšie identifikovateľné, často súvisiace s obsluhou, resetom, prístupom a dynamikou zastavenia.
Ak sa tento krok podcení alebo preskočí, zníženie rizika zostáva iba čiastočné.
9. Iterácia, ktorú sa nedá „len odklikať“
Preto by v správne nastavenom procese znižovania rizika mala po každom kroku zaznieť jedna zásadná otázka:
Vzniklo v dôsledku použitých ochranných opatrení nové riziko?
Ak je odpoveď „áno“ – analýza sa vracia späť k identifikácii.
Ak je odpoveď „nie“ – musí ísť o vedomé rozhodnutie, nie o automatické „pokračovať“.
Presne tento mechanizmus SafetySoftware.eu v praxi stráži: po kroku znižovania rizika systém vyžaduje rozhodnutie, či prijaté ochranné opatrenia nevytvorili nové riziká. Bez jasného stanoviska nepustí proces ďalej.
Nie je to kozmetická funkcia.
Je to ochrana procesu pred nebezpečným, lineárnym zjednodušením.
Najväčšie chyby totiž nevznikajú z toho, že by ochranné opatrenia chýbali.
Vznikajú z toho, že chýba iterácia.
A bezpečnosť strojov sa začína presne tam, kde končí pohodlné uvažovanie: „pridali sme ochranu, takže je to bezpečné“.