Polityki bezpieczeństwa to nie ocena ryzyka

Każda instalacja robota przemysłowego ma ocenę ryzyka. Jest rzetelna, napisał ją ktoś kompetentny i mieszka w segregatorze albo pliku PDF, którego nikt nie otwierał od uruchomienia. W tym czasie kod robi to, co robi. Nic w normalnym biegu spraw nie sprawdza, czy drugie nadal odpowiada pierwszemu — i ta luka, a nie jakość któregokolwiek z dokumentów, jest źródłem większości niespodzianek.

Dwa artefakty, które powinny być jednym

Ocena ryzyka mówi: w tej celi, przy tej prędkości, przy tych osłonach, przy uwzględnieniu tych przewidywalnych niewłaściwych zastosowań, ryzyko resztkowe jest akceptowalne.

Oprogramowanie sterujące mówi: jedź tam, z taką prędkością, chyba że to wejście jest wysokie.

Opisują ten sam system, napisane są w różnych językach, przez różnych ludzi, w różnym czasie, a wykonywalne jest tylko jedno z nich. Gdy zachowanie maszyny i papiery się rozjeżdżają, wygrywa maszyna — po cichu.

Trzy sposoby, w jakie się rozjeżdżają

Pełzanie parametrów. Limit prędkości zostaje podniesiony z uzasadnionego powodu w intensywnym tygodniu. Zmiana jest realna i natychmiastowa; wersja tego limitu w papierach nie zostaje zaktualizowana, bo aktualizacja to osobny proces, którego właścicielem jest ktoś inny.

Zmiana otoczenia. Nowe regały, przełożone przejście, nowy produkt o innym obrysie. Ocena opisywała układ, który już nie istnieje. Nic w oprogramowaniu tego nie zauważyło, bo nigdy nie powiedziano mu, po co ten układ był.

Zmiana ludzi. Inżynier, który wiedział, dlaczego dany limit ustawiono właśnie tak, odszedł. Limit zostaje jako liczba bez uzasadnienia — co znaczy, że następna osoba, której będzie przeszkadzał, go zmieni.

Co naprawdę naprawiają polityki jako kod

Zapisanie obwiedni jako wersjonowanych, testowalnych danych nie zastępuje oceny ryzyka. Daje ocenie coś, do czego może się przypiąć.

Powód mieszka razem z regułą. Limit niesie komentarz, autora, datę i odniesienie do punktu oceny, który realizuje. Następny inżynier znajduje uzasadnienie przyklejone do liczby, zamiast go szukać.

Zmiany są do przejrzenia. Korekta tego, co maszyna może robić, staje się różnicą z recenzentem, a nie edycją działającej konfiguracji. Ta jedna zmiana przenosi „ktoś podniósł limit” z pytania archeologicznego do linijki w historii.

Rozjazd jest testowalny. Możesz odtworzyć miesiąc zarejestrowanej pracy wobec obwiedni i sprawdzić, czy maszyna kiedykolwiek zbliżyła się do granicy, o której ocena zakładała, że jest nieosiągalna. To zamienia coroczny przegląd dokumentu w ciągłą kontrolę.

Odmowy stają się danymi. Za każdym razem, gdy uprząż coś zatrzyma, jest to dowód na lukę między założoną a faktyczną eksploatacją. Rosnący wskaźnik odmów w jednej strefie znaczy, że obraz tej strefy w ocenie jest nieaktualny — i dowiadujesz się tego w tygodnie, a nie przy następnym audycie.

Czego to nie robi

Nie certyfikuje niczego, samo w sobie nie spełnia żadnej normy i nie zastępuje osądu inżyniera bezpieczeństwa. Obowiązki wiążące się z postawieniem maszyny obok ludzi — ocena, osłony, sterowanie o certyfikowanym poziomie bezpieczeństwa, walidacja — leżą dokładnie tam, gdzie leżały, a odpowiednie normy mówią, kto co ma zrobić.

To, co ta zmiana robi, to zamknięcie pętli między dokumentem a maszyną — tak, żeby ocena przestała być artefaktem uruchomienia, a stała się czymś, czego zgodność system nieustannie demonstruje.

Pytanie warte zadania

Na najbliższym przeglądzie zapytaj o jedno: czy potrafisz wykazać, że bieżące limity maszyny odpowiadają tym, które zakładała ocena?

Jeśli odpowiedź wymaga, żeby ktoś wszedł do kontrolera, odczytał parametry i porównał je ręcznie z plikiem PDF — to właśnie jest wynik przeglądu. Nie dlatego, że ktokolwiek zrobił coś źle, tylko dlatego, że kontrola tak kosztowna jest kontrolą, której nikt nie powtórzy — a niepowtarzana kontrola jest przekonaniem, a nie zabezpieczeniem.