ISO/TR 14121-2 – hur risk bedöms i praktiken

Processen för att bedöma maskiners överensstämmelse med de grundläggande kraven kräver en noggrann riskanalys enligt gällande standarder. Maskinsäkerhet är en grundpelare vid konstruktion och drift av industriell utrustning – varje tillverkare måste, innan en maskin släpps ut på EU-marknaden, identifiera faror och minska risken till en acceptabel nivå. Standarder som ISO 12100 (Maskinsäkerhet – allmänna konstruktionsprinciper, riskbedömning och riskreducering) samt vägledningen ISO/TR 14121-2 (praktiska metoder för riskbedömning) ger ramarna för arbetssättet. Branschstandarder som SS-EN ISO 13849-1 och SS-EN 62061 fokuserar i sin tur på säkerheten i styrsystem och använder specifika metoder för riskuppskattning för att fastställa nödvändiga nivåer av säkerhetsintegritet (Performance Level, SIL).

I den här artikeln tittar vi närmare på de viktigaste metoderna för riskanalys som används vid bedömning av maskiners överensstämmelse: riskmatriser, riskgrafer, poängbaserade metoder samt kvalitativa och kvantitativa angreppssätt. Vi jämför deras utgångspunkter, pekar på för- och nackdelar med varje metod och illustrerar praktiska tillämpningar (med exempel inspirerade av standardernas dokumentation, men anpassade och modifierade). Avslutningsvis ger vi rekommendationer för hur man kombinerar olika angreppssätt och väljer metod som passar typen av faror, konstruktionsskedet och maskintypen.

Kom ihåg: syftet med riskanalysen är inte bara att uppfylla de formella kraven för CE-märkning, utan framför allt att säkerställa att maskinen är säker under hela livscykeln – från konstruktion, via användning, till underhåll och avveckling. Därför är det klokt att välja metoder för riskanalys så att alla faror kan identifieras effektivt och risken bedömas på ett systematiskt sätt som är begripligt för hela teamet.

ISO/TR 14121-2: Grunderna i riskbedömningsprocessen

Innan vi går in på de konkreta metoderna påminner vi kort om stegen i riskbedömningen enligt SS-EN ISO 12100:2012.

1. Fastställ maskinens omfattning och begränsningar: Förstå maskinens funktion, användningsområde, systemgränser och användare. Klargör under vilka förhållanden maskinen ska arbeta (t.ex. miljö, belastningar, personalens utbildning).
2. Identifiera faror: Lista alla potentiella farokällor i alla faser av maskinens livscykel (installation, normal drift, rengöring, underhåll, fel, demontering). Faror kan vara mekaniska, elektriska, termiska, kemiska, strålningsrelaterade, ergonomiska osv. Det är viktigt att involvera både konstruktörer och framtida operatörer – personalens praktiska erfarenhet gör det möjligt att upptäcka mindre uppenbara risker.
3. Analysera och uppskatta risk: För varje identifierad fara analyserar vi möjliga olycksscenarier: orsaker till händelsen, sannolikheten att den inträffar samt effekter (konsekvenser) för operatörer eller utrustning. Därefter uppskattar vi risknivån – här kommer verktygen in som beskrivs längre fram (matriser, grafer, poängskalor osv.). Målet är att tilldela varje fara en “riskvikt” baserat på bedömd frekvens och allvarlighetsgrad för potentiella skador.
4. Bedöm om risken är acceptabel: Vi jämför den uppskattade risken med acceptanskriterier som fastställts i företaget eller projektet. Till exempel: är risken så låg att den kan tolereras, eller kräver den riskreducering? Många organisationer tillämpar principen att risk som kan leda till dödsfall eller permanent invaliditet är oacceptabel oavsett sannolikhet – om inte särskilda skyddsåtgärder införs.
5. Riskreducering: För risker som bedöms som för höga införs riskreducerande åtgärder enligt den så kallade trestegshierarkin i ISO 12100: (a) eliminera faror genom konstruktion (inbyggd säkerhet), (b) tekniska skyddsåtgärder (skydd, säkerhetsanordningar), (c) organisatoriska åtgärder och personlig skyddsutrustning (instruktioner, utbildning, PPE). Efter att dessa åtgärder har tillämpats upprepas riskanalyscykeln iterativt genom att bedöma kvarvarande risk – tills en acceptabel nivå uppnås.

I den fortsatta delen fokuserar vi på steget riskuppskattning (punkt 3 ovan) och presenterar de vanligaste metoderna. Det är värt att betona att ISO 12100 inte föreskriver en enda specifik teknik – den tillåter både kvalitativa (beskrivande) och kvantitativa (numeriska) angreppssätt, så länge resultatet av bedömningen gör det möjligt att avgöra om riskreducering behövs. Enligt ISO/TR 14121-2 finns det många likvärdiga verktyg, och valet beror på maskinens särdrag och bedömarnas preferenser.

Riskmatris (Risk Matrix)

Riskmatris är ett av de enklaste och mest använda verktygen för visuell riskbedömning. Det är en tabell (matris) där kolumnerna vanligtvis representerar sannolikhetskategorier för att en händelse inträffar och raderna – kategorier för konsekvensens allvarlighetsgrad. Genom att hitta skärningspunkten mellan den rad och kolumn som motsvarar bedömningen av en viss fara kan man läsa av tilldelad risknivå (t.ex. låg, medel, hög eller med färg: grön, gul, röd).

Hur bygger man en riskmatris? Först definierar man diskreta skalor för båda dimensionerna. För konsekvenser kan man t.ex. använda: 1 – lindriga skador (ofarliga skador), 2 – skador som kräver medicinsk hjälp, 3 – allvarlig kroppsskada eller bestående men, 4 – dödsfall. För sannolikheten för händelsen kan en exempelsskala vara: A – mycket sällsynt (t.ex. “i praktiken otänkbart”), B – osannolikt (en gång på många år), C – möjligt (några gånger under maskinens livscykel), D – sannolikt (kan inträffa en gång per år eller oftare), E – frekvent (regelbundet, t.ex. en gång i månaden eller kontinuerligt). I praktiken anpassar företag dessa kategorier efter sina behov – viktigt är att bedömningsteamet gemensamt fastställer vad kategorierna betyder, vilket minskar godtyckligheten.

Därefter skapar man tabellen genom att tilldela risknivåer till de olika kombinationerna. Ett exempel på en 4×5-matris illustreras i tabellen nedan (färgerna anger typisk risknivå – grön acceptabel, gul medel, röd hög):

Färg- och risknivålegend:

• 🟢 Låg risk (acceptabel) – inga åtgärder krävs, eller så räcker grundläggande skyddsåtgärder.
• 🟡 Medelrisk (måttlig) – ytterligare riskreducerande åtgärder bör övervägas, kompletterande skyddsåtgärder och uppföljning/övervakning införas.
• 🔴 Hög/Mycket hög/Extremt hög risk – oacceptabel utan ytterligare skydd; kräver skyndsamma och omfattande riskreducerande åtgärder.

Exempel på praktisk användning av riskmatrisen:

Fara:

Exponerad kapskiva i en industrisåg.

Bedömning:

• Konsekvensens allvarlighetsgrad: S4 – Dödsfall (katastrofala följder).
• Sannolikhet: C – Möjligt (några gånger under maskinens livscykel).

Resultat av bedömningen i matrisen:

Skärningspunkten mellan rad S4 och kolumn C visar rutan 🔴 Hög risk.

Konsekvens av resultatet:

• Risken bedöms som oacceptabel utan ytterligare skydd.
• Tillverkaren måste tillämpa skyddsåtgärder, t.ex.:
  • Skydd över kapskivan.
  • Säkerhetsbrytare.
  • Ett spärr-/blockeringssystem som förhindrar oavsiktlig start vid rengöring.

Fortsatta åtgärder:

• När skyddsåtgärderna har införts ska analysen genomföras på nytt.
• Målet är att uppnå minst nivån “Medel” eller helst “Låg”.

Exempel på en (engelskspråkig) riskmatris med 4 kategorier för konsekvensens allvarlighetsgrad (I–IV) och 5 sannolikhetskategorier (A–E). Färgen markerar den resulterande riskbedömningen: från låg (L) via medel (M) och hög (H) till extremt hög (EH). I praktiken kan matriser ha olika storlek, t.ex. 3×3, 5×5 osv., beroende på analysens behov.

Fördelar med riskmatrisen:

• Enkelhet och tydlighet: Matrisen är lätt att förstå och ger en grafisk bild av risken som anknyter till den intuitiva “trafikljuslogiken” (grönt – ok, rött – stopp). Därför kan den vara användbar i kommunikationen med ledning och personer utan teknisk bakgrund – den visar snabbt var de största farorna finns.
• Snabb klassificering: Den möjliggör snabb prioritering – t.ex. vilka risker som är låga (acceptabla) och vilka som kräver skyndsamma åtgärder.

Nackdelar med riskmatrisen:

• Subjektivt val av kategori: Att definiera vad som exakt menas med “mindre sannolikt” eller “allvarlig skada” beror på teamets bedömning. Olika personer kan värdera detta olika, vilket påverkar resultatet. Standardisering av kategorier inom organisationen är avgörande, men en viss grad av subjektivitet kvarstår.
• Begränsad precision: Matrisen grupperar risk i breda intervall. Två olika faror kan få samma resultat (t.ex. “medelhög risk”), trots att den ena ligger nära den nedre gränsen och den andra nära den övre. Det kan vara ett alltför grovt angreppssätt om det behövs en mer detaljerad analys eller en jämförelse av många faror.

Riskgraf (Risk Graph)

Riskgraf är en grafisk metod, ofta presenterad som ett beslutsträd eller ett logiskt diagram. Den bygger på en sekventiell bedömning av flera riskparametrar, vanligtvis med binära svar (t.ex. låg/hög, ja/nej), som leder oss längs en väg fram till ett resultat. Varje nod i en sådan graf förgrenar sig till ett begränsat antal alternativ (oftast två), vilket gör metoden lättöverskådlig, men mindre detaljerad.

Riskgrafer har fått bred användning i standarder för styrsystem. Exempelvis innehåller SS-EN ISO 13849-1 (säkerhet i maskiners styrsystem) ett grafiskt schema för riskbedömning som gör det möjligt att fastställa den erforderliga säkerhetsnivån PLr för säkerhetsfunktioner. På liknande sätt använder SS-EN 62061 (som avser maskiners funktionella säkerhet) ett närliggande koncept för att bestämma den erforderliga säkerhetsintegritetsnivån SIL. I båda fallen bedömer vi i tur och ordning följande faktorer:

1. S (Severity) – allvarlighetsgrad för möjlig skada: t.ex. S1 = lätt eller reversibel skada, S2 = allvarlig skada (irreversibel) eller dödsfall.
2. F (Frequency/Exposure) – frekvens och exponeringstid för faran: t.ex. F1 = sällan eller kortvarig exponering, F2 = ofta eller långvarig exponering.
3. P (Possibility of Avoidance) – möjlighet att undvika faran eller begränsa skador: t.ex. P1 = möjligt att undvika under gynnsamma omständigheter (operatören har möjlighet att reagera), P2 = i praktiken omöjligt att undvika (händelsen är plötslig eller oundviklig).
4. (Valfritt) W/Pr (Probability of occurrence) – sannolikhet för att en farlig händelse inträffar: denna parameter tas ibland uttryckligen med, t.ex. i IEC 62061 som en fristående faktor (betecknad Pr), vid sidan av exponeringsfrekvens och möjlighet att undvika. I praktiken beaktas den i ISO 13849-1 indirekt vid bedömningen av F och P.

Utifrån ovanstående bedömningar, genom att följa vägen i grafen, kommer vi fram till ett resultat – oftast uttryckt som en risknivå eller en kategori av erforderliga skyddsåtgärder. För ISO 13849-1 är resultatet den erforderliga Performance Level (PLr) från a till e (där a innebär den lägsta erforderliga tillförlitlighetsnivån för styrsystemet och e den högsta). I ISO 14121-2 förekommer i sin tur en graf som ger ett riskindex på en numerisk skala, t.ex. från 1 till 6 – värdena 1–2 innebär låg risk, medan högre värden indikerar behov av ytterligare riskreducerande åtgärder.

START
  │
  ├─ Allvarlighetsgrad (S)
  │   ├─ S1: lätt skada (reversibel)
  │   │   └─ Exponeringsfrekvens (F)
  │   │       ├─ F1: sällan eller kortvarigt
  │   │       │   └─ Möjlighet att undvika (P)
  │   │       │       ├─ P1: kan undvikas → PLr = a
  │   │       │       └─ P2: svårt att undvika → PLr = b
  │   │       └─ F2: ofta eller långvarigt
  │   │           └─ Möjlighet att undvika (P)
  │   │               ├─ P1: kan undvikas → PLr = b
  │   │               └─ P2: svårt att undvika → PLr = c
  │   └─ S2: allvarliga skador (irreversibla) eller dödsfall
  │       └─ Exponeringsfrekvens (F)
  │           ├─ F1: sällan eller kortvarigt
  │           │   └─ Möjlighet att undvika (P)
  │           │       ├─ P1: kan undvikas → PLr = c
  │           │       └─ P2: svårt att undvika → PLr = d
  │           └─ F2: ofta eller långvarigt
  │               └─ Möjlighet att undvika (P)
  │                   ├─ P1: kan undvikas → PLr = d
  │                   └─ P2: svårt att undvika → PLr = e

Exempel på hur riskgrafen används: Anta att det finns en risk att en industrirobot slår till en människa om personen går in i robotens arbetsområde utan lämpliga skydd. Vi använder metoden enligt ISO 13849-1 och bedömer för detta scenario: S = S2 (allvarliga skador eller dödsfall), F = F2 (frekvent åtkomst – t.ex. att operatören ofta går in i cellen och att roboten arbetar många timmar per dag), P = P2 (det är osannolikt att faran kan undvikas – roboten rör sig snabbt och ger ingen tid att ta sig undan). När vi följer riskgrafen i standarden leder kombinationen (S2, F2, P2) till ett krävt PLr = e – den högsta skyddsnivån. Det innebär att vi måste implementera mycket tillförlitliga säkerhetsåtgärder (t.ex. ljusridåer i högsta kategori eller dörrlås med övervakning, redundans i styrsystemen osv.) för att reducera risken för att bli träffad av roboten till en acceptabel nivå. Som jämförelse: om scenariot vore mindre kritiskt – t.ex. en robot med liten kraft, som människor sällan har tillträde till – skulle bedömningen (S1, F1, P1) kunna ge PLr = c eller lägre, vilket innebär lägre krav på skyddens komplexitet.

START → S2 → F2 → P2 → PLr = e

Fördelar med riskgrafen:

• Logisk, styrd analysstruktur: Grafen leder användaren steg för steg genom centrala frågor om faran. Det säkerställer ett systematiskt arbetssätt – man missar inte en viktig faktor. Metoden är ofta framtagen av experter (t.ex. standardförfattare) med fokus på typiska maskiner och utgör därför god branschpraxis.
• Gemensam förståelse för kategorierna: Eftersom värdena (t.ex. S1/S2, F1/F2, P1/P2) är definierade i standarden kan teamet hänvisa till dem, vilket minskar tolkningsdiskussioner. Därmed bör olika personer som använder samma graf komma fram till liknande slutsatser för likartade faror.
• Direkt koppling till säkerhetskrav: Resultatet i form av PLr eller SIL talar direkt om för konstruktören vilka avancerade tekniska åtgärder som måste tillämpas. Det kopplar riskanalysen till konstruktionskriterier (t.ex. val av styrsystemarkitektur, komponenternas tillförlitlighetsnivå).

Nackdelar med riskgrafen:

• Begränsad detaljnivå: Metoden arbetar i regel med bara några få kategorier (t.ex. två alternativ för S, F, P). Det innebär att många olika scenarier kan förenklas till samma kategorier. Grafen klassar risken grovt och ger t.ex. resultatet “hög/medel/låg” eller en krävd skyddsnivå, men visar inte små skillnader mellan risker som hamnar i samma kategori.
• Inget explicit numeriskt värde: Medan en matris eller en poängmetod kan ge ett relativt “värde”, slutar grafen oftast med en etikett (t.ex. PLr = d). Det blir svårare att jämföra många olika faror med varandra, eftersom resultaten är kvalitativa och inte visar “hur mycket” en risk är större än en annan – utöver att den hamnar på en annan gren i trädet.
• Tillämpningsspecifik: Grafer är ofta anpassade för specifika standarder eller branscher. Grafen i ISO 13849-1 avser främst risk kopplad till felaktig funktion i styrsystemet. För bedömning av andra typer av risker (t.ex. ergonomi, buller) är den kanske inte direkt användbar. Därför används ibland olika grafer beroende på vilken typ av faror som ska bedömas.

Poängmetoder (poängbaserad riskbedömning)

Poängmetoder, även kallade risk scoring eller numeriska metoder, bygger på att man tilldelar numeriska värden till riskkategorier och därefter beräknar en riskindikator utifrån dem. I praktiken är detta en vidareutveckling av matrisidén: i stället för att enbart använda beskrivningar eller färger ger man varje kategori (t.ex. sannolikhet, konsekvens, exponering) ett visst antal poäng. Därefter kombineras poängen – ofta genom multiplikation eller addition – för att få fram ett slutvärde. Ett sådant värde gör det möjligt att rangordna faror från högst risk till lägst och att fastställa acceptansgränser.

Den vanligast använda formeln bygger på att man multiplicerar flera faktorer, till exempel:

Risk Score=P×S×E

där:

• P (Probability) – poängsatt bedömning av sannolikheten att faran inträffar (t.ex. på en skala 1–5, där 1 är nästan aldrig och 5 är mycket ofta)
• S (Severity) – poängsatt bedömning av konsekvensens allvarlighetsgrad (t.ex. 1 – försumbar skada, 5 – dödsfall eller katastrof)
• E (Exposure) – poängsatt bedömning av exponering, dvs. hur ofta eller hur länge man utsätts för faran (t.ex. 1 – sporadisk kontakt, 5 – kontinuerlig/daglig kontakt)

Vissa varianter av poängmetoder använder andra faktorer – till exempel Avoidance (A), dvs. att ta hänsyn till operatörens möjlighet att undvika händelsen, eller Detectability (D), dvs. möjligheten att upptäcka faran innan den orsakar skada. Grundidén är dock densamma: slutresultatet Risk Score är ett tal (t.ex. i intervallet 1–100 eller 1–1 000) som ju högre det är, desto större risk innebär det.

För att metoden ska vara användbar måste man definiera resultatintervall som motsvarar risknivåer. Exempelvis kan en anläggning fastställa: resultat 1–20 = låg risk (acceptabel), 21–50 = medel (kräver uppföljning och förbättring om det är lätt att uppnå), >50 = hög risk (oacceptabel, omedelbara åtgärder krävs). Sådana tröskelvärden bör utgå från företagets säkerhetspolicy och en rimlig analys (t.ex. kan de kalibreras utifrån tidigare riskbedömningar).

Exempel på tillämpning av poängmetoden: Ta faran att bränna handen på en varm maskindel (t.ex. ett värmeblock som blir upphettat till 150°C och som operatören kan råka komma i kontakt med). Vi använder en enkel poängmodell P×S×E:

• Konsekvensens allvar (S): En brännskada kan vara besvärlig, men är sannolikt inte livshotande – vi bedömer den som 3 på skalan 1–5 (måttlig skada, t.ex. en allvarlig brännskada som kräver medicinsk vård, men utan bestående men).
• Sannolikhet (P): Kan kontakt med den varma delen inträffa ofta? Anta att delen sitter svåråtkomligt, så oavsiktlig beröring är sällsynt, men ändå möjlig t.ex. vid underhåll – vi sätter 2 (på skalan 1–5, motsvarande “låg sannolikhet”).
• Exponering (E): Hur ofta befinner sig operatören nära denna del? Om maskinen körs dagligen och operatören måste byta material varje timme i närheten av värmaren, kan exponeringen anses vara frekvent – vi sätter 4 (på skalan 1–5, där 5 är ständig exponering och 4 är frekvent, t.ex. många gånger per dag).

Vi beräknar Risk Score = 3 × 2 × 4 = 24. Därefter tolkar vi resultatet: med antagandet att tröskeln t.ex. är >20 för hög risk, visar värdet 24 att risken är oacceptabel eller åtminstone “betydande”. Företaget bör därför vidta åtgärder – t.ex. montera ett värmeskydd, isolera värmeelementet eller förse operatören med lämpliga handskar och utbilda honom/henne. Efter att dessa åtgärder införts kan en ny poängbedömning bli lägre (t.ex. minskad exponering tack vare skydd – E från 4 till 1, vilket skulle ge ett nytt Risk Score 3×2×1 = 6, dvs. låg risk).

Det är värt att notera att talet 24 i sig saknar enhet och absolut betydelse – det får mening först mot bakgrund av fastställda kriterier (här: 24 överskrider acceptanströskeln) och i jämförelse med resultaten för andra faror. Om andra faror i samma maskin till exempel ligger på nivåer runt 5–10 och en ligger på 24, vet vi vad som ska prioriteras.

Fördelar med poängmetoden:

• Högre relativ precision: Till skillnad från “stela” kategorier i en matris gör Risk Score det möjligt att skilja mellan risker. Resultat 24 vs 18 vs 36 ger mer information än bara “medel” vs “hög”. Det underlättar systematiska jämförelser av faror och prioritering av åtgärder
• Minskad subjektivitet genom numeriska kriterier: Själva valet av delbetyg är subjektivt, men användningen av tal kräver en viss konsekvens. Om vi tydligt definierar skalan (t.ex. vad 1 respektive 5 betyder för varje faktor) och följer den, blir bedömningarna mer objektiva inom organisationen. Beslut som “är 24 en acceptabel risk?” blir också enklare, eftersom man kan hänvisa till överenskomna tröskelvärden – diskussionen blir mindre känslostyrd och mer saklig.
• Användbar vid ett stort antal faror: I komplexa projekt, där vi identifierar tiotals potentiella faror, visar en lista sorterad fallande efter Risk Score tydligt vad man ska ta tag i först. Det underlättar riskhantering och resursfördelning (tid, pengar) till säkerhetsåtgärder där de behövs mest.

Nackdelar med poängmetoden:

• Behov av kalibrering och rätt skala: För att metoden ska fungera måste poängskalorna vara genomtänkta. Dessutom bör organisationen anpassa dem till sin egen verksamhet – t.ex. kan skalan se annorlunda ut för projektrisk än för maskinsäkerhet. Teamet behöver också utbildas så att alla tolkar värdena på liknande sätt. Det kräver en viss insats och disciplin i att följa de fastställda reglerna
• Skenbar exakthet: Även om siffror signalerar precision ska vi komma ihåg att de fortfarande bygger på experters subjektiva bedömningar. Skillnaden mellan en fara som bedömts till 15 respektive 16 poäng kan i praktiken vara tveksam – det är ingen fysisk mätning, utan en uppskattning. Det finns en risk att att få fram “en enda siffra” skymmer helhetsbilden – människor kan fästa för stor vikt vid själva talet och glömma sammanhanget. Därför bör poängresultatet alltid tolkas kvalitativt och med viss kritisk blick
• Komplexitet vid många faktorer: Mer omfattande metoder (t.ex. HRN – Hazard Rating Number) kan ta hänsyn till 4 eller 5 faktorer och ge ett mycket brett spann av resultat. Det ger i teorin en mer exakt bild, men blir mindre överskådligt för användaren. Att lägga till fler parametrar (t.ex. upptäckbarhet, möjlighet att undvika osv.) ökar arbetet som krävs för att bedöma varje fara och kan försvåra kommunikationen av resultaten till utomstående.

Praktiskt exempel på tillämpning

Fara: Brännskada på operatörens hand från en varm maskindel (värmeblock 150°C).

Bedömning av faran:

• P (Sannolikhet): Delen är svår att komma åt, kontakt möjlig endast sporadiskt (underhåll), bedömning: 2
• S (Konsekvensens allvarlighetsgrad): Måttliga skador som kräver medicinsk vård, utan bestående men, bedömning: 3
• E (Exponering): Operatören befinner sig ofta nära delen (dagligen, varje timme), bedömning: 4

Risk Score = P × S × E = 2 × 3 × 4 = 24

Tolkning av resultatet:

• Risk Score = 24, dvs. medelhög risk (🟡), kräver ytterligare skyddsåtgärder eller övervakning.

Förebyggande åtgärder:

• Montering av värmeisolering eller skydd.
• Tillhandahållande av lämpliga skyddshandskar.
• Utbildning av operatörer.

Ny riskbedömning efter införda åtgärder:
Exponeringen minskar t.ex. från 4 till 1 (sällan kontakt):

Nytt Risk Score = 2 × 3 × 1 = 6, dvs. låg risk (🟢).

ISO/TR 14121-2: Kvalitativt kontra kvantitativt angreppssätt i riskanalys

I riskanalys för maskiner kan vi urskilja två övergripande angreppssätt: kvalitativt (qualitative) och kvantitativt (quantitative). I praktiken hamnar de flesta metoder som beskrivs ovan någonstans mellan dessa ytterligheter – men det är bra att förstå vad som skiljer dem åt:

• Kvalitativa metoder bygger på beskrivande kategorier och expertbedömning. Resultatet blir oftast en viss riskklass (t.ex. “låg”, “måttlig”, “hög”) eller en nödvändig åtgärd (“acceptabel” kontra “oacceptabel”). Ett exempel på ett rent kvalitativt angreppssätt är ett beskrivande påstående: “risken för elchock bedömdes som hög eftersom konsekvenserna är allvarliga och exponeringen frekvent, trots att sannolikheten är måttlig”. Riskmatriser och riskgrafer hör i de flesta fall till den här gruppen – man använder verbala benämningar eller bokstavssymboler, inte konkreta tal. Fördel: lätt att förstå för alla som deltar i processen (alla förstår intuitivt vad “hög risk” betyder, mer än t.ex. “risk = 3,7×10^-5”!). Dessutom är ett kvalitativt angreppssätt det enda möjliga när det saknas numeriska data – vilket ofta är fallet för nya maskiner eller sällsynta händelser. Nackdel: kvalitativa resultat är svårare att jämföra och kan vara subjektiva. Två experter kan beskriva samma risk på olika sätt, medan ett tal skulle tvinga fram en form av sammanvägning av deras bedömningar.
• Kvantitativa metoder syftar till att uttrycka risk i numeriska värden, ofta i absoluta enheter (t.ex. sannolikhet 1 på en miljon operationer, förväntad olycksfrekvens 0,001/år, förväntad kostnad för förluster i kronor). En fullt kvantitativ riskanalys försöker utnyttja data – felstatistik, olycksfrekvens i branschen, data om komponenters tillförlitlighet – för att objektivt beräkna risken. Ett exempel kan vara: “sannolikheten för sensorfel och att säkerhetsbromsen samtidigt inte löser ut är 2,3 × 10^-8 per drifttimme; med 2 000 h drift per år blir risken för en dödsolycka ~4,6 × 10^-5 per år, vilket är lägre än kriteriet $10^{-4}$/år – vi bedömer risken som acceptabel.” Ett sådant angreppssätt förekommer t.ex. vid analys av funktionell säkerhet (beräkning av PFH – Probability of a Dangerous Failure per Hour för styrsystem) eller vid processriskbedömning med metoder som LOPA, där risken uttrycks numeriskt. Fördelar: ger ett intryck av hög precision och möjlighet att jämföra mot formella kriterier (t.ex. ALARP-nivåer eller lagkrav om sådana finns). Det möjliggör också kostnad–nyttooptimering – man kan uppskatta vad en viss risk statistiskt “kostar” och om det lönar sig att reducera den ytterligare. Nackdelar: en fullständig kvantitativ analys är tidskrävande och kräver data som inte alltid finns tillgängliga. För många maskiner saknas exakta statistiska underlag för fel- eller olycksfrekvens – då kan siffrorna bygga på gissningar, vilket gör beräkningarna meningslösa. Dessutom kan den skenbara objektiviteten vara bedräglig: riskmodellering kräver ofta förenklade antaganden, och slutresultatet kan vara behäftat med osäkerhet på flera tiopotenser (även om det presenteras med många signifikanta siffror). Maskinstandarder kräver i de allra flesta fall inte en fullt kvantitativ bedömning – de tillåter den, men påpekar att en verbal riskbeskrivning oftast är lättare att förstå än att arbeta med numeriska indikatorer.

I praktiken används vid riskanalys av maskiner ofta ett semi-kvantitativt angreppssätt (semi-quantitative), t.ex. en poängmetod som tilldelar tal till kvalitativa kategorier, men utan att hävda att det rör sig om “verkliga” sannolikheter eller kostnader. Det ger något högre upplösning i bedömningen än rent beskrivande kategorier, samtidigt som man undviker skenprecision. Val av angreppssätt bör ta hänsyn till projektets behov: om det krävs dokumentation av överensstämmelse med standarder (t.ex. beräkning av PL eller SIL för ett styrsystem) behöver man använda de metoder som anges i standarden (vanligen kvalitativa eller poängbaserade). Om företaget däremot fokuserar på intern riskuppskattning ur ett affärsperspektiv kan man välja mer kvantitativa analyser för de mest kritiska farorna.

ISO/TR 14121-2: Kombinera metoder och välja rätt angreppssätt

Det finns ingen universell metod för riskanalys som passar i alla situationer. Erfarna säkerhetsingenjörer kombinerar ofta olika angreppssätt för att få en mer heltäckande bild och fatta bättre beslut. Nedan följer några riktlinjer för när man bör använda vilken metod och hur de kan kombineras:

• Projektets konceptfas (tidig konstruktion): I början, när maskinen fortfarande är på skiss- eller prototypstadiet, saknas det ofta detaljerade sifferdata. Här fungerar snabba, kvalitativa metoder bra – t.ex. brainstorming med en riskmatris för de identifierade farorna. Matrisen hjälper till att fånga upp de mest kritiska områdena redan från start. Man kan också använda en checklista över faror från ISO 12100 och för varje fara ange en bedömning i kategorierna “låg/medel/hög risk”. I det här skedet är det viktigare att inte missa någon fara än att exakt uppskatta sannolikheten – därför räcker beskrivande metoder gott. Resultaten från en sådan inledande analys kan påverka konstruktionsbeslut (t.ex. ändrad maskinlayout, att lägga in ett skydd redan i konstruktionen, att sänka rörelsehastigheten om risken är hög).
• Detaljkonstruktionsfas: När vi redan känner till mer data om maskinen – dess tekniska parametrar, cykeltider, planerade skyddsåtgärder – är det lämpligt att genomföra en mer noggrann analys. Här kan poängmetoden komma in. Den lämpar sig för att systematiskt analysera tiotals konkreta faror. Den gör det också möjligt att jämföra olika lösningsalternativ: om vi t.ex. överväger om vi ska använda ett fast skydd eller en ljusridå kan vi uppskatta Risk Score för scenarier med respektive åtgärd – vilket visar vilken som reducerar risken bättre. Under detaljkonstruktionen använder man också ofta riskgrafer för säkerhetsfunktioner. För varje identifierad funktion (t.ex. nödstopp, frånkoppling av drivning när skyddsdörren öppnas, hastighetsbegränsning i inställningsläge) använder vi grafen enligt ISO 13849-1 eller IEC 62061 för att fastställa erforderligt PLr/SIL. Den informationen påverkar sedan komponentvalet (t.ex. om ett säkerhetsrelä i kategori 2 PL=c räcker eller om en tvåkanalig styrning PL=e behövs). I praktiken använder vi därför flera metoder parallellt i samma projekt: en övergripande riskbedömning med matris/poäng för hela maskinen samt dedikerade grafer för specifika faror som kräver kontrollerade säkerhetssystem.
• Maskiner med komplexa, varierande faror: Om vi har att göra med en omfattande anläggning (t.ex. en integrerad produktionslinje, samverkande robotar, maskiner med många delsystem) kan en enda metod vara otillräcklig. Exempel: i en förpackningslinje kan det samtidigt förekomma allvarliga mekaniska faror (t.ex. klämning av robotgripdon), elektriska faror (högspänningsställverk), ergonomiska faror (manuella tunga lyft) och programvaru-/cyberrelaterade faror (felaktig styrprogramvara). I en sådan situation är det lämpligt att:
  • För mekaniska/elektriska faror – använda riskmatris eller poängsättning för riskbedömning och för att visa behov av skydd, förreglingar, lock-out etc. För faror kopplade till styrsystemet (t.ex. ett givarfel som leder till kollision) – använda riskgraf enligt standarderna för att få fram PLr/SIL, vilket översätts till krav på styrsystemets arkitektur. För ergonomiska risker – i högre grad basera sig på kvalitativ bedömning (t.ex. använda ergonomistandarder eller arbetsmiljöriktlinjer, eftersom det är svårt att få fram siffror; man kan använda en riskmatris, men med fokus på samråd med personalen, belastningsenkäter m.m.). För digitala/IT-relaterade risker – överväga separata angreppssätt (cybersäkerhetsanalys, programvaru-FMEA), eftersom klassiska säkerhetsmatriser kanske inte fångar t.ex. risken för att systemet hackas. Vid behov kan sådana risker bedömas separat av IT-specialister och deras slutsatser integreras i den övergripande analysen.

Det slutliga resultatet blir en heltäckande riskbild. Det är viktigt att samla alla bedömningar i en sammanhållen rapport, t.ex. som en tabellbaserad farolista med kolumnerna: beskrivning av faran, bedömningsmetod (matris/diagram/poängsättning), bedömningsresultat, riskreducerande åtgärder, risk efter riskreducering. På så sätt ser en revisor eller den som verifierar maskinens överensstämmelse att ingen risktyp har förbises och att lämpliga analysmetoder har använts för var och en.

Sammanfattningsvis är att kombinera metoder bästa praxis, eftersom varje metod ger ett något annat perspektiv. Matris eller diagram kan visa helhetsbilden och minimikraven, medan poängsättning eller kvantitativ analys kan precisera detaljer och stödja ekonomiska beslut (var det lönar sig mest att investera i säkerhet). Det är viktigt att behålla konsekvens i dokumentationen – tydligt notera med vilken metod en viss fara bedömts och varför just den valdes. Då ser en granskare av överensstämmelsebedömningen (t.ex. ett anmält organ som kontrollerar CE-dokumentationen) att analysen har genomförts kompetent och heltäckande, i linje med normernas intention och god ingenjörspraxis.

Riskanalysen är hjärtat i processen för maskinens överensstämmelsebedömning, obligatorisk enligt Maskindirektivet/Maskinförordningen i EU samt harmoniserade standarder. Den gör det möjligt för konstruktörer att identifiera faror, uppskatta den risk som är kopplad till dem och vidta åtgärder som minskar risken innan en olycka inträffar.

Det finns ingen enda “bästa” metod – varje metod har sina styrkor och svagheter. Därför handlar säkerhetsingenjörens kompetens om att välja rätt verktyg för uppgiften: ibland räcker en enkel matris, andra gånger behövs en noggrann poängsättning eller en SIL-analys. Ofta ger en kombination av metoder bäst resultat, där de kompletterar varandra. Till exempel kan vi börja med en kvalitativ identifiering av faror, därefter kvantitativt (med poäng) bedöma de viktigaste, och för frågor kopplade till styrsystemet använda normativa diagram – på så sätt missar vi ingen aspekt.

Avslutningsvis: målet är inte att i sig fylla i en tabell eller ett diagram, utan att faktiskt förbättra säkerheten. Riskanalys är iterativ och kreativ. Den uppmuntrar till att ställa frågor som “vad händer om …?” och att söka lösningar som eliminerar faror vid källan. Metoderna vi har beskrivit här är verktyg som hjälper till att strukturera detta arbete. När vi använder dem ska vi hålla oss till principerna i standarderna (ISO 12100 och relaterade) samt god ingenjörspraxis, och dessutom involvera flera perspektiv i processen (konstruktörer, operatörer, underhåll, arbetsmiljö). En riskanalys som genomförs på detta sätt blir trovärdig, komplett och effektiv, vilket leder till en säker maskin med CE-märkning och trygghet för både tillverkaren och slutanvändaren.