Zatrzymanie awaryjne nie czyni maszyny bezpieczną. Nie zapobiega dostępowi do obracającego się uchwytu, nie rozładowuje akumulatora hydraulicznego, nie podtrzymuje osi pionowej i nie neutralizuje gorącego metalu. Podobnie oznakowanie CE nie jest okresowym badaniem konkretnej instalacji po latach przeróbek. Bezpieczeństwo powstaje przez usuwanie zagrożeń, ochronę techniczną, sprawdzoną funkcję sterowania, procedury i kompetencje działające w całym cyklu życia.

Zakład metalowy łączy energię mechaniczną, elektryczną, hydrauliczną, pneumatyczną, cieplną, chemiczną i grawitacyjną. Wióry mogą być ostre, gorące, toksyczne albo palne. Piec łączy temperaturę z gazem, próżnią i ciśnieniem. Ciężki detal ma energię nawet wtedy, gdy maszyna jest wyłączona. Ocena nie może być checklistą nazw urządzeń; musi analizować zadania, osoby, tryby i przewidywalne błędy.

Streszczenie

ISO 12100 porządkuje proces od określenia granic maszyny przez identyfikację zagrożeń, oszacowanie i ocenę ryzyka po trzystopniową redukcję: konstrukcję bezpieczną z natury, środki ochronne i informacje dla użytkownika. Norma typu C dla konkretnej maszyny ma pierwszeństwo w swoim zakresie. W UE w sierpniu 2026 r. trwa przejście: rozporządzenie (UE) 2023/1230 zasadniczo zacznie obowiązywać 20 stycznia 2027 r. i zastąpi dyrektywę 2006/42/WE. Obowiązki producenta oraz użytkownika i pracodawcy trzeba rozdzielać.

Funkcję bezpieczeństwa opisuje się przez zdarzenie inicjujące, bezpieczny stan, czas reakcji, warunki restartu i wymagany poziom. ISO 13849-1:2023 daje metodykę dla części systemu sterowania, ale nie wybiera PLr za projektanta. Osłona z blokadą, STO, safe speed, dwuręczne sterowanie i zatrzymanie awaryjne rozwiązują odmienne problemy. Walidacja obejmuje architekturę, komponenty, oprogramowanie, błędy, odległości i rzeczywisty czas zatrzymania.

LOTO kontroluje wszystkie źródła oraz energię zmagazynowaną i kończy się próbą stanu zerowego. Tryb ustawczy i diagnostyczny wymagają własnej oceny, ograniczenia ruchu i kontroli uprawnień. Dalsze warstwy obejmują ciężki transport, gorący metal, atmosfery kontrolowane, próżnię, pył, chłodziwa, hałas, promieniowanie, odpady, wykonawców i reakcję awaryjną. Tekst nie zastępuje oceny konkretnej maszyny ani wymagań krajowych.

Redukcja ryzyka zaczyna się od konstrukcji, następnie stosuje środki ochronne i dopiero informacje dla użytkownika. Funkcja bezpieczeństwa wymaga zdefiniowanego stanu oraz czasu reakcji, a LOTO obejmuje wszystkie energie i kończy się rzeczywistą próbą stanu zerowego.
Redukcja ryzyka zaczyna się od konstrukcji, następnie stosuje środki ochronne i dopiero informacje dla użytkownika. Funkcja bezpieczeństwa wymaga zdefiniowanego stanu oraz czasu reakcji, a LOTO obejmuje wszystkie energie i kończy się rzeczywistą próbą stanu zerowego.

1. Producent, integrator, pracodawca i operator

Producent odpowiada za projekt, ocenę zgodności, dokumentację i wymagane informacje w zakresie produktu. Integrator łączący robot, obrabiarkę, przenośnik i wygrodzenie może stać się producentem zespołu maszyn. Pracodawca zapewnia bezpieczne użytkowanie, dobór, utrzymanie, szkolenie oraz organizację pracy. Operator wykonuje zadania w przydzielonych granicach, lecz nie przejmuje odpowiedzialności za wadliwy projekt.

Role nie mogą tworzyć luki. Deklaracja zgodności maszyny nie obejmuje automatycznie nowego chwytaka, wspólnego robota i logiki celi. Instrukcja producenta nie zwalnia pracodawcy z oceny stanowiska, materiału i otoczenia. Modyfikacja istotna dla bezpieczeństwa wymaga formalnej analizy zakresu obowiązków przed uruchomieniem.

2. Stan prawny UE w okresie przejściowym

Rozporządzenie (UE) 2023/1230 zostało przyjęte w 2023 r., ale jego zasadnicze stosowanie rozpocznie się 20 stycznia 2027 r. Do tego czasu reżim wprowadzania maszyn na rynek pozostaje zasadniczo związany z dyrektywą 2006/42/WE i przepisami wdrażającymi, z wyjątkami czasowymi zapisanymi w rozporządzeniu. Projekt w 2026 r. powinien już uwzględniać datę udostępnienia produktu i nadchodzące wymagania.

Prawo produktowe różni się od wymagań użytkowania sprzętu przez pracowników, prawa pracy, ochrony przeciwpożarowej, środowiska, urządzeń ciśnieniowych, ATEX i dozoru technicznego. Konkretna instalacja może podlegać kilku aktom. Lista norm nie jest automatycznie listą obowiązkową; normy zharmonizowane mogą dawać domniemanie zgodności w odpowiednim zakresie i wydaniu, ale nie zastępują oceny ryzyka.

3. Granice maszyny i zadania

Granice obejmują przeznaczenie, przewidywalne niewłaściwe użycie, przestrzeń, czas życia, osoby, materiały i warunki środowiskowe. Trzeba opisać transport, montaż, normalną pracę, przezbrojenie, ustawianie, czyszczenie, usuwanie zacięcia, konserwację, diagnozę, awarię i demontaż. Większość dostępu człowieka występuje poza stabilnym cyklem automatycznym.

Przewidywalne zachowanie nie jest tym samym co autoryzowane. Operator może sięgnąć po spadniętą część, ominąć czujnik dla diagnostyki albo wejść pod ładunek, jeśli system produkcyjny nagradza szybkość i nie daje narzędzia. Ocena nie może zakładać idealnego przestrzegania instrukcji. Projekt utrudnia błąd i zapewnia bezpieczny sposób wykonania potrzebnego zadania.

4. Identyfikacja zagrożenia

Zagrożenie jest potencjalnym źródłem szkody. Należy szukać ścinania, zgniatania, wciągnięcia, uderzenia, odrzutu, przecięcia, przebicia, upadku, wysokiej temperatury, prądu, ciśnienia, hałasu, drgań, promieniowania, chemii, pyłu i obciążenia ergonomicznego. Istotne są kombinacje: otwarcie pieca plus tlen, wyciek hydrauliki na gorącą powierzchnię, ciężki detal na obracanym stole.

Źródło wiąże się ze scenariuszem ekspozycji. Obracający się uchwyt jest zagrożeniem; ryzyko zależy od dostępu, prędkości, możliwości uniknięcia i skutku. Lista kontrolna pomaga, ale warsztat powinien przejść rzeczywistą sekwencję oraz warianty błędu. Do zespołu włącza się operatora i utrzymanie, którzy znają nietypowe tryby.

5. Oszacowanie i ocena ryzyka

Ryzyko łączy ciężkość możliwej szkody z prawdopodobieństwem jej wystąpienia, na które wpływają ekspozycja, możliwość zdarzenia i uniknięcia. Macierz jest narzędziem porządkującym, nie pomiarem fizycznym. Punkty nie powinny uśredniać śmierci z rzadkością bez jawnej polityki. Niepewność oraz osoby szczególnie narażone trzeba opisać.

Ocena odpowiada, czy redukcja jest wystarczająca po zastosowaniu środków. Ryzyko resztkowe dokumentuje się z dowodem, nie przenosi automatycznie do instrukcji. Jeżeli zagrożenie można usunąć konstrukcyjnie, znak ostrzegawczy nie jest równoważną alternatywą. Każda zmiana i incydent mogą wymagać przeglądu.

6. Trzystopniowa redukcja ryzyka

Pierwszy stopień to rozwiązanie bezpieczne z natury: mniejsza energia, brak ostrej krawędzi, stabilna geometria, ograniczona siła, eliminacja dostępu i dobór materiału. Drugi to osłony oraz dodatkowe środki ochronne. Trzeci obejmuje informację, instrukcję, oznakowanie, szkolenie i PPE dla ryzyka resztkowego.

Kolejność ma znaczenie. Rękawica nie chroni przed wciągnięciem przez wrzeciono i może zwiększyć ryzyko. Kurtyna nie zatrzyma ciężkiej osi, jeśli odległość jest zbyt mała. Procedura nie naprawi dostępnej strefy ścinania w automatycznym cyklu. Środki organizacyjne są potrzebne, ale mniej odporne na pojedynczy błąd.

7. Normy typu A, B i C

ISO 12100 jest normą typu A z zasadami ogólnymi. Normy typu B obejmują aspekty lub środki wspólne, jak odległości, blokady i systemy sterowania. Norma typu C dotyczy konkretnej rodziny maszyny i zawiera szczegółowe wymagania. Gdy norma C odchodzi od ogólnej B dla swojego zakresu, jej postanowienia mają pierwszeństwo.

Zespół powinien zbudować rejestr norm z wydaniem, zakresem i statusem harmonizacji. Cytowanie starego numeru bez sprawdzenia nie daje dowodu. Maszyna zintegrowana może wymagać norm dla obrabiarki, robota, przenośnika, elektryki i funkcji sterowania. Granice odpowiedzialności muszą odpowiadać granicom technicznym.

8. Osłona stała i ruchoma

Osłona stała oddziela zagrożenie i wymaga narzędzia do demontażu. Powinna pozostawać zamocowana na ile praktyczne, nie tworzyć ostrych krawędzi ani dodatkowych pułapek. Otwory oraz odległość muszą uniemożliwiać dosięgnięcie. Blacha cienka, którą można odgiąć ręką, nie zapewnia deklarowanej bariery.

Osłona ruchoma jest potrzebna przy częstym dostępie. Blokada zapobiega niebezpiecznej funkcji przy otwarciu lub zatrzymuje ją. Gdy czas do ustania zagrożenia jest długi, potrzebne może być ryglowanie do osiągnięcia bezpiecznego stanu. Sam czujnik położenia nie rozstrzyga architektury, odporności na obejście ani PLr.

9. Odległość ochronna i czas zatrzymania

Kurtyna, skaner albo mata muszą być umieszczone tak, by człowiek nie dotarł do zagrożenia przed jego ustaniem. Odległość zależy od prędkości zbliżania, czasu reakcji czujnika, logiki, napędu, mechaniki i marginesu. Katalogowy czas wejścia STO nie jest całkowitym czasem zatrzymania masy.

Czas mierzy się w najgorszych przewidywanych warunkach: obciążenie, prędkość, temperatura, zużycie hamulca i tryb. Wynik podlega okresowej kontroli, jeśli wpływa na odległość. Zmiana napędu, programu hamowania lub masy narzędzia może unieważnić pomiar. Pole ochronne uwzględnia możliwość obejścia bokiem oraz przejścia pod nim.

10. Funkcja bezpieczeństwa

Opis zawiera zdarzenie inicjujące, reakcję, elementy objęte, stan końcowy, czas, reset i zachowanie przy błędzie. „Drzwi bezpieczeństwa” to za mało. Poprawny opis może brzmieć: otwarcie drzwi w trybie automatycznym zatrzymuje wrzeciono i osie, zapobiega ponownemu uruchomieniu, a dostęp jest możliwy po ustaniu ruchu.

Reset nie może inicjować niebezpiecznego ruchu i powinien być wykonywany z miejsca pozwalającego sprawdzić strefę. Powrót zasilania nie może samoczynnie wznowić cyklu. Funkcja musi obejmować wszystkie energie potrzebne do bezpiecznego stanu; zatrzymanie elektryczne nie zamyka ciśnienia hydraulicznego, jeśli ono nadal porusza zacisk.

11. PLr i ISO 13849-1

ISO 13849-1:2023 daje metodykę projektowania i integracji SRP/CS dla trybu wysokiego zapotrzebowania lub ciągłego. Wymagany poziom zapewnienia PLr wynika z oceny konkretnej funkcji, nie z typu czujnika. Osiągnięty PL zależy od kategorii architektury, MTTFd, pokrycia diagnostycznego, uszkodzeń wspólnych i środków systematycznych.

Dwa styki nie tworzą automatycznie redundancji, jeśli wspólny przewód, mocowanie lub zasilanie może unieważnić oba. Oprogramowanie, parametry i komunikacja są częścią funkcji. Obliczenie narzędziem nie zastępuje schematu, analizy błędów i walidacji. Norma nie określa funkcji ani PLr właściwych dla każdej maszyny; projektant korzysta też z normy typu C.

12. Walidacja funkcji sterowania

Walidacja potwierdza analizą i testem, że funkcja spełnia wymagania. Obejmuje normalne działanie, przerwanie przewodu, zwarcie, utratę zasilania, błąd czujnika, reset, restart, kolejność i czas. Zakres błędów wynika z architektury oraz norm. Nie wystarcza kilkukrotne otwarcie drzwi.

Dokumentacja wiąże wymaganie, schemat, komponent, oprogramowanie, obliczenie i wynik testu. Tester powinien być odpowiednio niezależny od projektu. Po zmianie kodu, komponentu, parametru napędu lub czasu zatrzymania ocenia się wpływ i powtarza właściwą część walidacji. Test okresowy ma zdefiniowaną częstotliwość i wynik.

13. Zatrzymanie robocze, ochronne i awaryjne

Zatrzymanie robocze jest normalnym elementem procesu. Zatrzymanie ochronne wynika z naruszenia środka ochronnego. Zatrzymanie awaryjne daje człowiekowi możliwość szybkiego zatrzymania w sytuacji zagrożenia. E-stop jest środkiem uzupełniającym; nie zastępuje osłon i nie zawsze odłącza energię.

Kategoria zatrzymania i zachowanie napędów zależą od ryzyka. Kontrolowane hamowanie może być bezpieczniejsze niż natychmiastowe odebranie mocy, po czym następuje właściwy stan. Po użyciu grzyb pozostaje zaryglowany do ręcznego zwolnienia, ale zwolnienie nie uruchamia ruchu. Rozmieszczenie wynika z stanowisk oraz stref interwencji.

14. Tryb ustawczy, teach i diagnostyka

Ustawianie często wymaga otwartej osłony, widoczności i ograniczonego ruchu. Tryb wybiera się świadomie, ogranicza prędkość lub energię i stosuje urządzenie zezwalające, jeśli wynika to z projektu. Dostęp do wyboru trybu jest kontrolowany. Ruch krokowy nie jest bezpieczny tylko dlatego, że jest krótki.

Diagnostyka pod napięciem jest wyjątkiem opartym na ocenie zadania, kompetencji, narzędziach i zabezpieczeniu. Tam, gdzie nie trzeba energii, stosuje się izolację. Obchodzenie blokady przewodem lub magnesem usuwa dowód położenia i jest nieakceptowalną metodą. Projekt powinien zapewnić zatwierdzony tryb serwisowy i punkty pomiarowe.

15. LOTO i stan energii zerowej

Procedura identyfikuje źródła, informuje osoby, zatrzymuje, izoluje, blokuje, oznacza, rozładowuje energię zmagazynowaną i weryfikuje. Elektryka, hydraulika, pneumatyka, grawitacja, sprężyny, temperatura, próżnia i ruch bezwładny mogą wymagać innych działań. Przycisk stop nie jest urządzeniem izolującym.

Weryfikacja obejmuje próbę uruchomienia i pomiar, gdy właściwy, po sprawdzeniu że próba sama nie tworzy zagrożenia. Każda osoba zakłada własną blokadę w pracy grupowej albo korzysta z zatwierdzonego systemu skrzynki. Przekazanie zmiany i usunięcie cudzej blokady mają rygorystyczną procedurę. Po pracy przywraca się osłony i kontroluje strefę.

16. Energia grawitacyjna i ciężki detal

Oś pionowa, stół uchylny, suwak, głowica i podwieszony ładunek mogą opaść po utracie ciśnienia lub hamulca. Zawór zwrotny i hamulec roboczy nie zawsze są mechanicznym podparciem do pracy człowieka. Stosuje się certyfikowane podpory, blokady, sworznie i procedurę ich montażu bez wejścia pod niezabezpieczony ciężar.

Plan podnoszenia obejmuje masę, środek, punkty, zawiesia, kąty, urządzenie below-the-hook, trasę, komunikację i strefę wyłączenia. Nikt nie stoi pod ładunkiem ani między nim a stałą konstrukcją. Próbne uniesienie potwierdza równowagę. Obrót detalu zmienia środek masy i reakcje, więc pozycja pośrednia może być najgorsza.

17. Uchwyty, mocowanie i odrzut

Siła zacisku musi przenieść siły skrawania, moment, bezwładność i ciężar przy najgorszym położeniu. Uchwyt tokarski traci zdolność przy błędnym ciśnieniu, zużytych szczękach albo nadmiernym wysunięciu. Odrzut części lub narzędzia ma dużą energię. Osłona powinna być oceniona pod kątem przewidywalnego pocisku i procesu.

Ciśnienie wskazane nie gwarantuje siły na detalu. Potrzebne są kontrola kontaktu, czystości, zużycia i potwierdzenie zamknięcia. Mocowanie tymczasowe albo nietypowy ciężki analog wymaga obliczenia i próby, nie „mocniejszego dokręcenia”. Niebezpieczna konfiguracja nie może być zapisana jako domyślna recepta.

18. Wióry, ostrza i czynności ręczne

Wiór może ciąć, parzyć, sprężynować i wciągać odzież. Nie usuwa się go ręką ani przy ruchomym wrzecionie. Haki, szczotki, odkurzacze i transportery dobiera się do postaci oraz materiału. Sprężone powietrze może rozpylać ostre cząstki i chłodziwo, wtłaczać je pod skórę oraz rozprzestrzeniać skażenie.

Gratowanie i wymiana płytki wymagają uchwytu, ochrony dłoni oraz oczu, ale rękawice są zakazane w pobliżu obracających się elementów, jeśli tworzą ryzyko wciągnięcia. Złamane narzędzie może być napięte i ostre. Czyszczenie wnętrza następuje po bezpiecznym zatrzymaniu oraz izolacji odpowiedniej do zadania.

19. Gorący metal, piec i atmosfera kontrolowana

Ryzyko obejmuje promieniowanie cieplne, kontakt, rozprysk, pęknięcie tygla, parę, pożar, gaz i brak tlenu. Wilgotny wsad w ciekłym metalu może gwałtownie wytworzyć parę. Materiał, narzędzia i dodatki muszą być przygotowane zgodnie z procesem. Odzież oraz osłona twarzy uzupełniają, nie zastępują bariery, odległości i zdalnej obsługi.

Atmosfera obojętna może powodować uduszenie bez zapachu. Gaz palny tworzy ryzyko wybuchu. System potrzebuje wentylacji, detekcji właściwej dla gazu, zaworów, sekwencji purge, kontroli zapłonu i reakcji po zaniku zasilania. Wejście do przestrzeni mogącej mieć zmienioną atmosferę podlega procedurze dla przestrzeni zamkniętej, jeśli spełnia jej kryteria.

20. Próżnia i ciśnienie

Komora próżniowa jest obciążona zewnętrznym ciśnieniem i może implodować po utracie stateczności, pęknięciu wizjera lub błędnym zamknięciu. Naczynie ciśnieniowe magazynuje energię wewnętrzną. Elementy, kołnierze, okna i przepusty muszą mieć właściwą kwalifikację. Domowa modyfikacja otworu może unieważnić obliczenia oraz zgodność.

Procedura otwarcia potwierdza wyrównanie ciśnienia, temperaturę i stan gazu. Pompa próżniowa może emitować olej lub produkt procesu; potrzebuje filtracji i bezpiecznego odpowietrzenia. Akumulatory hydrauliczne izoluje się i rozładowuje. Manometr nie jest jedynym dowodem braku energii, jeśli zawór może uwięzić ciśnienie lokalnie.

21. Pył palny i pożar metalu

Pył aluminium, magnezu, tytanu, cyrkonu i wielu innych materiałów może tworzyć atmosferę wybuchową; zachowanie zależy od wielkości cząstek, wilgoci, stopu i procesu. Warstwa osadu jest paliwem oraz źródłem wtórnego obłoku. Ocenę opiera się na reprezentatywnych badaniach i właściwych wymaganiach ochrony przeciwwybuchowej, nie na nazwie litego metalu.

Nie każdy pożar metalu można gasić wodą lub zwykłym środkiem. Plan określa zgodny środek klasy D dla konkretnego materiału, odcięcie energii, ewakuację i rolę straży. Odpylacz jest częścią systemu ochronnego: lokalizacja, odciążenie, izolacja wybuchu, uziemienie i sprzątanie wymagają projektu. Mieszanie pyłów zmienia charakterystykę.

22. Chłodziwo, mgła i chemia

Ciecz obróbkowa może drażnić skórę i drogi oddechowe, tworzyć mgłę, bioaerozol oraz reagować z materiałem. Karta charakterystyki opisuje produkt, ale mieszanina używana zmienia się przez wodę, olej obcy, metale i mikroorganizmy. Kontrola obejmuje obudowę, odciąg, stężenie, pH, filtrację, czyszczenie i higienę.

Biocyd, odtłuszczacz i kąpiel powierzchniowa wymagają kompatybilności, oznakowania, dozowania i planu rozlania. Nie miesza się chemikaliów bez zatwierdzenia. Prysznic oraz płukanie oczu muszą być dostępne, jeśli wynika to z oceny, i okresowo sprawdzane. Odpady klasyfikuje się według rzeczywistej zawartości.

23. Materiały toksyczne, reaktywne i promieniotwórcze

Forma materiału jest kluczowa. Lity stop, gorący wiór, drobny pył i mokry szlam mają odmienne drogi narażenia oraz reaktywność. Identyfikacja opiera się na dokumentacji i badaniu, nie na wyglądzie. Proces planuje zamknięcie, odciąg, monitoring, segregację, dekontaminację i odpady przed pierwszą próbą.

Materiał promieniotwórczy wymaga zezwolenia, ochrony radiologicznej, ewidencji, kontroli skażenia i nadzoru kompetentnych osób zgodnie z prawem. Neutralny analog może służyć do nauki geometrii, mocowania i pomiaru, lecz nie kwalifikuje ochrony radiologicznej. Uran nisko wzbogacony i uran o wysokim wzbogaceniu pozostają materiałami regulowanymi; artykuł techniczny nie jest instrukcją ich pozyskania ani obróbki.

24. Hałas, drgania i ergonomia

Hałas ocenia się jako ekspozycję i wartości szczytowe przy rzeczywistym miksie, nie tylko katalog maszyny. Źródłem może być skrawanie, sprężone powietrze, odciąg, transporter i uderzenie materiału. Najpierw redukuje się u źródła i na drodze, potem organizuje pracę oraz ochronę słuchu. Ochronnik utrudniający komunikację alarmową wymaga właściwego doboru.

Ergonomia obejmuje siłę, pozycję, zasięg, powtarzalność, masę, widoczność i pracę umysłową. Podnośnik może usunąć ciężar, ale stworzyć strefę zgniotu. Interfejs z wieloma alarmami i niejasnym resetem zwiększa błąd. Projekt stanowiska powinien obejmować najniższego i najwyższego użytkownika oraz PPE.

25. Wykonawcy i prace jednoczesne

Serwis zewnętrzny zna swoją specjalność, ale nie lokalne media, ruch i materiały. Przed pracą uzgadnia się zakres, zagrożenia, izolacje, pozwolenia, strefę, nadzór i odpowiedzialność za restart. Wykonawca informuje o własnych zagrożeniach. Podwykonawstwo nie przenosi automatycznie obowiązku koordynacji.

Prace jednoczesne mogą się wzajemnie unieważniać: spawanie obok rozpuszczalnika, podnoszenie nad serwisem, wentylacja wyłączona podczas czyszczenia. Koordynator ocenia interfejsy i kolejność. Przekazanie maszyny do oraz z serwisu ma protokół stanu, blokad, osłon i testu.

26. Reakcja awaryjna

Plan odpowiada na pożar, wyciek, utratę gazu, awarię chłodzenia, uwięzienie, upadek ładunku, źródło promieniowania, incydent cyberfizyczny i przerwę energii. Określa alarm, ewakuację, odcięcie, pierwszą pomoc, komunikację i kontakt z służbami. Nie każda osoba ma podejmować interwencję; granice muszą być jasne.

Ćwiczenie sprawdza realny czas, drogi, łączność, dostęp do zaworów i kompletność informacji. Maszyna może przejść w niebezpieczny stan po zaniku zasilania, dlatego scenariusz obejmuje bezpieczne zatrzymanie i kontrolowany restart. Po zdarzeniu zabezpiecza się dowody, ale pierwszeństwo ma ratowanie ludzi oraz ograniczenie eskalacji.

27. Kontrola przed zmianą i odbiór okresowy

Przed uruchomieniem potwierdza się kompletność osłon, funkcji, mediów, instrukcji, oznaczeń, narzędzi i kompetencji. Pre-use check nie zastępuje okresowej inspekcji przez kompetentną osobę. Częstotliwość zależy od ryzyka, wykorzystania, środowiska, danych producenta i prawa. Wynik ma identyfikator maszyny oraz działania.

Po kolizji, pożarze, przeniesieniu, zmianie sterowania lub zabezpieczenia potrzebny jest odbiór zdarzeniowy. Test produkcyjny nie potwierdza automatycznie bezpieczeństwa. Funkcja ochronna może być uszkodzona przy zachowanej jakości części. Zmiana częstotliwości testu wymaga dowodu i zatwierdzenia.

28. Dokumentacja i żywa ocena ryzyka

Rekord zawiera granice, zadania, zagrożenia, osoby, oszacowanie, środki, ryzyko resztkowe, walidację i odpowiedzialność. Zdjęcia pomagają, ale muszą mieć datę oraz konfigurację. Ocena jest aktualizowana po zmianie, incydencie, nowej wiedzy, materiale i zmianie użycia. Kopia z innej maszyny jest tylko punktem startu.

Najlepszy dowód bezpieczeństwa tworzy łańcuch: zagrożenie — wymaganie — projekt — walidacja — utrzymanie — kontrola zmiany. Jeśli jeden element istnieje tylko w głowie specjalisty, system jest kruchy. Dokumentacja powinna być dostępna dla ról, które podejmują decyzję, ale chroniona przed nieautoryzowaną modyfikacją.

Źródła i dalsza lektura