Automatyka, czujniki i monitoring — działanie BHP czy tylko oszczędność energii

Automatyka w zakładzie prawie nigdy nie jest jednorodna. W jednej szafie stoją obok siebie: moduł wyłączający napęd przy przekroczeniu temperatury łożyska, przekaźnik zmierzchowy ograniczający pobór energii na hali oraz licznik wysyłający raz na dobę raport zużycia. Trzy elementy, trzy różne statusy w opisie inwestycji poprawiającej warunki pracy. Ocena ich łącznie prowadzi do opisu, którego nie da się obronić przy weryfikacji.

Dlatego jednostką rozstrzygnięcia jest pojedyncza funkcja: jeden kanał pomiarowy, jedna pętla sterowania, jeden moduł wykonawczy. Punktem odniesienia jest stanowisko pracy i występujące na nim narażenie, a nie nazwa handlowa systemu ani deklaracja producenta o „poprawie bezpieczeństwa”. Ta sama centrala BMS może obsługiwać funkcję, która realnie ogranicza ekspozycję, i pięć funkcji czysto energetycznych.

Praktyczna konsekwencja jest taka, że zestawienie zakupu rozbijasz na pozycje odpowiadające funkcjom, a nie dostawom. Zamiast pozycji „system monitoringu — 1 kpl.” opisujesz: czujnik podciśnienia w kanale odciągu przy stanowisku szlifowania, moduł sterujący falownikiem wentylatora, panel sygnalizacji lokalnej przy stanowisku. Każda z tych pozycji przechodzi test osobno i osobno dostaje uzasadnienie.

Takie rozbicie ma jeszcze jeden skutek: ujawnia elementy, których nikt nie potrafi przypisać do żadnego stanowiska. Jeżeli po rozbiciu zostaje moduł, przy którym nie umiesz wskazać ani narażenia, ani osoby na nie narażonej, to jest sygnał, że jego funkcja jest wyłącznie techniczna albo kosztowa. Nie znaczy to, że jest zbędny — znaczy, że nie jest argumentem BHP i nie powinien nieść ciężaru uzasadnienia.

Integracja detekcji z wentylacją i z procedurami awaryjnymi ma własny poradnik; tutaj interesuje nas wyłącznie sam moment rozstrzygnięcia o pojedynczym elemencie.

Element automatyki ogranicza narażenie tylko wtedy, gdy zamyka pełny łańcuch. Zerwanie któregokolwiek ogniwa oznacza, że system dostarcza informacji albo oszczędności, ale nie zmienia tego, co dzieje się z człowiekiem na stanowisku. Łańcuch ma trzy ogniwa i sprawdza się je w ustalonej kolejności — sprawdzanie od końca prowadzi do uzasadnień typu „system wyłącza urządzenie, więc jest bezpieczny”, bez wskazania, przed czym.

Ogniwo pierwsze wymaga danych wejściowych, a nie deklaracji. Jeżeli w dokumentacji nie ma pomiaru, protokołu z oceny ryzyka albo choćby zapisu zgłoszeń pracowników, to nie ma czego ograniczać — jest tylko przypuszczenie. Ogniwo drugie odsiewa najwięcej elementów, bo bardzo wiele czujników mierzy wielkości techniczne, które z narażeniem człowieka nie mają związku przyczynowego.

Ogniwo trzecie rozstrzyga o skali. System, który tylko powiadamia, przenosi całą odpowiedzialność na czas reakcji człowieka. Jest to dopuszczalny wariant przy narażeniach wolnozmiennych, natomiast przy zagrożeniach o dynamice sekundowej jest fikcją. Ta zależność jest opisana liczbowo w dalszej części.

Pierwszy krok wykonuje się na hali, a nie przy komputerze. Wybierasz stanowisko, wypisujesz czynniki, na które osoba jest tam narażona, i przy każdym podajesz źródło wiedzy: wynik pomiaru, kartę charakterystyki, protokół oceny ryzyka, ewidencję zdarzeń albo obserwację z opisem częstotliwości. Bez tego zestawienia nie ma jak sprawdzić drugiego ogniwa testu, bo nie wiadomo, do czego przykładać wielkość mierzoną.

Nazwa narażenia musi być czynnikiem, a nie skutkiem organizacyjnym. „Przestój linii” nie jest narażeniem. „Awaria sprężarki” też nie — narażeniem jest to, co po tej awarii dzieje się z człowiekiem: wzrost stężenia rozpuszczalnika przy stanowisku, zanik ciągu w odciągu, przegrzanie strefy, ciemność w ciągu komunikacyjnym po zaniku zasilania.

Do każdego czynnika dopisz trzy liczby: ile osób jest narażonych, przez ile godzin w zmianie i jak często zdarzenie występuje. Te trzy wartości niosą całą wagę uzasadnienia i to one później decydują o tym, czy proponowany element automatyki jest proporcjonalny do problemu. Element sterujący warty kilkadziesiąt tysięcy złotych, przypisany do zdarzenia występującego raz na kilka lat i dotyczącego jednej osoby, wygląda inaczej niż ten sam element przy narażeniu ciągłym dla piętnastu osób.

Ostatnia część kroku pierwszego to wskazanie, co dziś ogranicza to narażenie. Jeżeli działa już odciąg, procedura albo środki ochrony indywidualnej, opisz ich ograniczenie: co konkretnie zawodzi. Automatyka niemal zawsze uzupełnia istniejące rozwiązanie i najmocniejsze uzasadnienie brzmi „odciąg działa, ale nikt nie wie, kiedy przestaje działać”, a nie „nie mamy monitoringu”.

To jest miejsce, w którym najczęściej pęka argument. Czujnik mierzy wielkość fizyczną, a narażenie jest cechą środowiska pracy w punkcie, w którym stoi człowiek. Związek między nimi musi być przyczynowy i musi działać w tę stronę, o którą chodzi: wzrost wartości mierzonej ma oznaczać wzrost narażenia, a nie odwrotnie ani niezależnie.

Kolumna „warunek uznania związku” jest ważniejsza niż sama nazwa czujnika. Ten sam detektor umieszczony w strefie oddychania operatora i przy stropie hali daje dwa różne wyniki testu. Ten sam licznik prądu wpięty w obwód, w którym wyzwala zabezpieczenie, i wpięty wyłącznie do rejestratora — również.

Wielkości oznaczone jako efekt kosztowy nie są bezwartościowe. Są jednak korzyścią finansową, nie ograniczeniem ekspozycji, i przypisywanie im roli argumentu BHP osłabia opis, bo weryfikujący łatwo wykaże, że tę samą wartość osiąga się bez jakiejkolwiek zmiany warunków pracy. Sposób liczenia i raportowania samego efektu energetycznego opisuje odrębny poradnik.

Pętla może być zamknięta na pięciu poziomach. Im wyższy poziom, tym mniej zależy od dyspozycyjności człowieka i tym mocniejszy jest argument o ograniczeniu narażenia. Poziom trzeba podać wprost w opisie, bo z nazwy urządzenia nie wynika, czy cokolwiek robi ono samodzielnie.

Poziom L0 nie kwalifikuje się jako ograniczenie narażenia, choć bywa niezbędny jako dowód stanu wyjściowego przed inwestycją. Poziom L1 jest akceptowalny wyłącznie razem z opisaną obsadą i czasem dojścia — jeżeli na drugiej zmianie nie ma nikogo, kto mógłby zareagować, powiadomienie nie zmienia niczego przez osiem godzin.

Poziom L2 jest najczęściej niedoceniany. Prosta sygnalizacja przy stanowisku, informująca operatora, że odciąg pracuje poniżej wymaganej wydajności, przenosi decyzję do osoby, która narażeniu podlega, i skraca czas reakcji z godzin do sekund. Warunkiem jest procedura mówiąca, co operator ma zrobić, oraz umiejscowienie sygnalizatora w polu widzenia z pozycji roboczej. Po stronie kosztowej przyjmij od razu ograniczenie z pkt 2 Katalogu działań: dofinansowanie urządzeń i elementów sygnalizacji, ostrzegania i informowania pracowników o zagrożeniach nie może przekroczyć łącznie 30.000 zł na projekt. Po stronie kosztowej przyjmij od razu ograniczenie z pkt 2 Katalogu działań: dofinansowanie urządzeń i elementów sygnalizacji, ostrzegania i informowania pracowników o zagrożeniach nie może przekroczyć łącznie 30.000 zł na projekt.

Przy poziomach L3 i L4 opis musi zawierać stan bezpieczny, do którego układ przechodzi przy awarii samego czujnika. Układ, który przy uszkodzeniu toru pomiarowego pozostawia proces w biegu bez odciągu, w praktyce obniża poziom bezpieczeństwa, bo obsługa przestaje kontrolować to, co wcześniej kontrolowała ręcznie.

Wymagany poziom domknięcia pętli wynika z tego, jak szybko rośnie narażenie. Ta jedna zależność rozstrzyga większość spornych przypadków: przy zagrożeniach o dynamice sekundowej wyłącznie poziomy L3 i L4 mają sens, przy narażeniach narastających tygodniami wystarczy rejestracja i przegląd okresowy.

W kolumnie pierwszej wiersz o uwolnieniu gazu ma dopisany parametr t90 — czas, po którym czujnik osiąga 90 procent wartości docelowej. Jest to parametr katalogowy i przy zagrożeniach szybkich trzeba go podać, bo dla tego samego gazu różne technologie detekcji różnią się o rząd wielkości. Deklarowanie reakcji szybszej niż t90 czujnika jest wewnętrznie sprzeczne.

Ta tabela jest też narzędziem do obcinania przewymiarowanych rozwiązań. Jeżeli narażenie narasta tygodniami, a proponowany element to rozbudowany układ automatycznego wyłączania z redundancją, to koszt nie odpowiada dynamice zagrożenia. Odwrotnie: jeżeli zagrożenie jest sekundowe, a proponowany zakres kończy się na raporcie dobowym, opis nie broni się niezależnie od kwoty.

Próg jest jedyną liczbą, która zamienia czujnik w narzędzie decyzyjne, i jednocześnie najczęściej pomijaną pozycją w opisie. Trzy poziomy w zupełności wystarczają: ostrzegawczy, alarmowy i krytyczny. Każdy z nich musi mieć podane źródło wartości, okno uśredniania i histerezę, bo bez nich system albo milczy, albo generuje tyle powiadomień, że po tygodniu nikt ich nie czyta.

Dla czynników szkodliwych wygodnym punktem odniesienia jest logika stosowana w ocenie narażenia: wartość średnia ważona dla całej zmiany oraz wartość dla krótkiego, piętnastominutowego okresu. Ta sama dwoistość przydaje się przy progach — inne okno uśredniania służy do wykrywania trwałego pogorszenia, a inne do wychwycenia krótkich pików, które w średniej dobowej znikają.

Histereza jest parametrem, o którym pamięta się dopiero po pierwszym tygodniu pracy systemu. Bez niej wartość oscylująca wokół progu generuje ciąg alarmów i odwołań, a personel wyłącza powiadomienia. W opisie inwestycji podaj wartość histerezy liczbowo, tak jak podajesz sam próg.

Ostatnia rzecz: progi muszą być zapisane w dokumencie, który da się okazać po wdrożeniu, razem z datą ostatniej zmiany i osobą, która ją wprowadziła. Zmiana progu bez śladu w dokumentacji unieważnia całą argumentację o ograniczeniu narażenia, bo nie da się wykazać, w jakim stanie system pracował.

Poniższa tabela zbiera wynik testu dla elementów, które pojawiają się w zestawieniach najczęściej. Kolumna środkowa jest istotniejsza od werdyktu: podaje warunek, po którego spełnieniu element przechodzi do kategorii działań ograniczających narażenie. Kwalifikowalność wydatku rozstrzyga ZUS na podstawie regulaminu i katalogu; tabela porządkuje wyłącznie merytoryczne uzasadnienie. Warto przy tym pamiętać, że dofinansowaniu podlegają wyłącznie działania wskazane w Katalogu działań, a Katalog część elementów z poniższej tabeli wprost wyłącza — systemy sterowania oświetleniem w pkt 8 oraz przyrządy do pomiaru wielkości elektrycznych i nieelektrycznych w pkt 2 i pkt 10. Mocne uzasadnienie merytoryczne nie omija tych wyłączeń. Warto przy tym pamiętać, że dofinansowaniu podlegają wyłącznie działania wskazane w Katalogu działań, a Katalog część elementów z poniższej tabeli wprost wyłącza — systemy sterowania oświetleniem w pkt 8 oraz przyrządy do pomiaru wielkości elektrycznych i nieelektrycznych w pkt 2 i pkt 10. Mocne uzasadnienie merytoryczne nie omija tych wyłączeń.

Kategoria „warunkowo” nie oznacza słabszego rozwiązania. Oznacza, że werdykt zależy od jednego, sprawdzalnego szczegółu wdrożenia — i że ten szczegół trzeba opisać, zamiast liczyć, że zostanie domyślony. Element z tej kategorii, opisany razem z warunkiem i sposobem jego weryfikacji, jest lepiej udokumentowany niż element z kategorii pierwszej opisany hasłowo.

Trzy elementy wracają w rozmowach najczęściej, bo w każdym z nich korzyść energetyczna jest oczywista, a korzyść dla warunków pracy wymaga warunku. Warto je rozpisać osobno, żeby nie rozstrzygać ich za każdym razem od nowa.

Licznik i monitoring energii

Sam pomiar zużycia nie zmienia ekspozycji nikogo. Zmienia ją dopiero to, co jest wpięte za pomiarem: zabezpieczenie wyzwalane przy przeciążeniu obwodu, blokada uruchomienia kolejnego odbiornika, sygnał o zatrzymaniu wentylatora odciągu. Jeżeli monitoring energii służy w projekcie do wykrycia, że urządzenie ochronne przestało pracować, to argument brzmi „wykrywam postój odciągu”, a nie „mierzę energię”. Tak sformułowany opis przechodzi test drugiego ogniwa. Osobno trzeba jednak sprawdzić samą pozycję w Katalogu działań: pkt 2 i pkt 10 wyłączają z dofinansowania przyrządy do pomiaru wielkości elektrycznych i nieelektrycznych, a pkt 10 wyłącza dodatkowo wyłączniki różnicowoprądowe oraz urządzenia AFDD. Domknięcie pętli wzmacnia uzasadnienie merytoryczne, ale nie znosi tych wyłączeń. Osobno trzeba jednak sprawdzić samą pozycję w Katalogu działań: pkt 2 i pkt 10 wyłączają z dofinansowania przyrządy do pomiaru wielkości elektrycznych i nieelektrycznych, a pkt 10 wyłącza dodatkowo wyłączniki różnicowoprądowe oraz urządzenia AFDD. Domknięcie pętli wzmacnia uzasadnienie merytoryczne, ale nie znosi tych wyłączeń.

BMS

BMS jest platformą, nie funkcją. Do testu bierzesz konkretne pętle: utrzymanie temperatury w strefie pracy, sterowanie nawiewem powiązane z pomiarem jakości powietrza, blokada uruchomienia procesu przy niesprawnej wentylacji. Reszta funkcji, w tym harmonogramy pracy i optymalizacja kosztowa, pozostaje po stronie efektu kosztowego i tak powinna być opisana.

Sterowanie oświetleniem

Czujnik zmierzchowy i harmonogram to funkcje kosztowe. Funkcją związaną z warunkami pracy jest utrzymanie wymaganego natężenia oświetlenia na stanowisku niezależnie od pory dnia, doświetlanie stref pracy wysokiego składowania w chwili wjazdu wózka oraz przejęcie oświetlenia dróg ewakuacyjnych. Warunek jest zawsze ten sam: podaj wymagane natężenie w luksach na płaszczyźnie pracy i sposób, w jaki układ je utrzymuje, a nie samo istnienie sterownika. Niezależnie od siły tego argumentu w pkt 8 Katalogu działań, który obejmuje elektryczne systemy oświetleniowe, wyłączone z dofinansowania są systemy sterowania oświetleniem — wymienione wprost jako DALI, 0-10 V i czujniki ruchu. Sam sterownik nie jest więc pozycją, o którą można wnioskować w tym punkcie. Niezależnie od siły tego argumentu w pkt 8 Katalogu działań, który obejmuje elektryczne systemy oświetleniowe, wyłączone z dofinansowania są systemy sterowania oświetleniem — wymienione wprost jako DALI, 0-10 V i czujniki ruchu. Sam sterownik nie jest więc pozycją, o którą można wnioskować w tym punkcie.

Częsty wynik testu brzmi: ta sama dostawa zawiera funkcje po obu stronach granicy. Nie jest to problem, dopóki podział jest zapisany. Problemem staje się dopiero wtedy, gdy całość zostaje opisana jednym uzasadnieniem BHP, bo wtedy jedna słaba pozycja podważa wiarygodność całego zestawienia.

Podział przeprowadza się według funkcji, a następnie przypisuje mu koszty. Kolejność jest ważna: najpierw ustalasz, ile funkcji ma element, potem, które przechodzą test, a dopiero na końcu dzielisz kwotę. Podział odwrotny — najpierw kwota, potem szukanie uzasadnienia — daje proporcje, których nie da się obronić żadnym argumentem technicznym.

1. Wypisz funkcje realizowane przez dostawę, każdą w jednym zdaniu.
2. Zaznacz te, które przeszły test trzech ogniw, i dopisz do nich narażenie oraz stanowisko.
3. Wskaż elementy sprzętowe niezbędne wyłącznie dla funkcji z punktu drugiego: czujniki, moduły wykonawcze, okablowanie, sygnalizatory. Osprzęt montażowy — przewody, elementy złączne, rynienki, prowadnice — jest wyłączony z dofinansowania w pkt 1 i pkt 2 Katalogu, a pkt 2 wyłącza dodatkowo zasilacze i dodatkowe baterie, więc te pozycje planuj od razu jako wydatek własny.
4. Wskaż elementy wspólne, bez których żadna funkcja nie działa: zasilanie, sterownik, licencja podstawowa.
5. Dla elementów wspólnych przyjmij klucz podziału i zapisz go — najprościej według liczby wejść lub wyjść przypisanych do każdej grupy funkcji.
6. Pozycje wyłącznie kosztowe zostaw w zestawieniu jako wydatek własny albo osobną część inwestycji, bez uzasadnienia BHP.

Klucz podziału jest jawną decyzją, nie ukrytym założeniem. Zapisany w jednym zdaniu — na przykład „sterownik obsługuje 16 wejść, z czego 6 przypisano funkcjom ograniczającym narażenie, stąd udział 37,5 procent” — jest wystarczająco jednoznaczny, żeby ktoś z zewnątrz mógł go sprawdzić lub zakwestionować w merytoryczny sposób.

Opis, w którym pojawia się nazwa handlowa i słowo „monitoring”, nie daje się zweryfikować. Poniższy zestaw parametrów zamienia go w dokument techniczny. Nie wszystkie pozycje dotyczą każdego elementu, ale każda pominięta pozycja powinna być pominięta świadomie. Odrębnie potraktuj elementy wpinane w układ sterowania maszyny: pkt 1 Katalogu działań wymaga przy wniosku schematu podłączenia do układu sterowania maszyny wraz z danymi technicznymi elementów składowych i z określeniem poziomu zapewnienia bezpieczeństwa (PL) lub poziomu nienaruszalności bezpieczeństwa (SIL), a także dokumentacji z walidacji elementów systemu sterowania związanych z bezpieczeństwem. Odrębnie potraktuj elementy wpinane w układ sterowania maszyny: pkt 1 Katalogu działań wymaga przy wniosku schematu podłączenia do układu sterowania maszyny wraz z danymi technicznymi elementów składowych i z określeniem poziomu zapewnienia bezpieczeństwa (PL) lub poziomu nienaruszalności bezpieczeństwa (SIL), a także dokumentacji z walidacji elementów systemu sterowania związanych z bezpieczeństwem.

Wysokość punktu pomiaru nad posadzką wygląda na szczegół, a jest jednym z najczęstszych powodów, dla których pomiar nie odpowiada narażeniu. Gazy cięższe od powietrza gromadzą się przy podłodze, lżejsze pod stropem, a strefa oddychania operatora jest gdzieś pomiędzy. Ten sam czujnik zamontowany trzy metry wyżej mierzy inne zjawisko.

Test porównuje dwa stany: przed i po. Jeżeli stan wyjściowy nie jest udokumentowany, ostaje się wyłącznie deklaracja, że będzie lepiej. Dokumentowanie stanu wyjściowego nie wymaga rozbudowanego aparatu — wymaga natomiast wykonania go przed inwestycją, bo po wdrożeniu jest już nieodtwarzalne.

• Pomiar czynnika w punkcie odpowiadającym stanowisku, z datą, metodą i warunkami procesu w trakcie pomiaru.
• Zapis zdarzeń: postoje urządzeń ochronnych, zgłoszenia pracowników, wpisy w książce awarii z ostatnich kilkunastu miesięcy.
• Ocena ryzyka zawodowego dla stanowiska, w części dotyczącej tego czynnika, wraz z datą ostatniej aktualizacji.
• Dokumentacja istniejącej instalacji: co dziś ogranicza narażenie i w jaki sposób jest kontrolowane.
• Czas reakcji w stanie obecnym: kto i po jakim czasie dowiaduje się o nieprawidłowości, w rozbiciu na zmiany.

Ostatnia pozycja bywa najmocniejszym dowodem. Wykazanie, że dziś awaria urządzenia ochronnego ujawnia się dopiero przy przeglądzie okresowym, opisuje lukę, której nie da się zamknąć procedurą, i uzasadnia sam pomiar jako element ograniczający narażenie. Jednocześnie porządkuje oczekiwania: po wdrożeniu tę samą wielkość trzeba umieć zmierzyć ponownie.

Wskaźnik efektu określaj w tych samych jednostkach, w których udokumentowałeś stan wyjściowy. Jeżeli punktem wyjścia jest czas wykrycia postoju odciągu liczony w godzinach, to efektem jest ten sam czas liczony w sekundach — a nie ogólna poprawa warunków pracy, której nikt nie potrafi zmierzyć.

Element automatyki traci wartość ochronną szybciej niż większość wyposażenia, bo jego niesprawność nie jest widoczna. Wentylator, który stanął, słychać. Czujnik, który od pół roku pokazuje stałą wartość, wygląda dokładnie tak samo jak czujnik sprawny. Dlatego plan utrzymania jest częścią rozwiązania, nie dodatkiem do niego. Ma to także wymiar umowny: Okres trwałości Projektu to 3 lata liczone od zatwierdzenia odbioru, a wnioskodawca zobowiązuje się w tym czasie utrzymać wartości czynników charakteryzujących warunki pracy objęte projektem na co najmniej takim samym poziomie, jak w dniu odbioru. Same częstotliwości z poniższej tabeli są praktycznym punktem odniesienia, a nie wymogiem konkursu. Ma to także wymiar umowny: Okres trwałości Projektu to 3 lata liczone od zatwierdzenia odbioru, a wnioskodawca zobowiązuje się w tym czasie utrzymać wartości czynników charakteryzujących warunki pracy objęte projektem na co najmniej takim samym poziomie, jak w dniu odbioru. Same częstotliwości z poniższej tabeli są praktycznym punktem odniesienia, a nie wymogiem konkursu.

Test wyzwolenia progu jest jedyną czynnością, która potwierdza, że pętla działa w całości: od czujnika, przez logikę, po urządzenie wykonawcze. Wykonuje się go przez wymuszenie sygnału i obserwację skutku, a nie przez sprawdzenie w oprogramowaniu, że próg jest wpisany. Protokół z takiego testu jest najlepszym dowodem trwałości efektu.

Przegląd nastaw po zmianie procesu bywa pomijany, a jest krytyczny. Zmiana technologii, materiału albo obsady zmienia zarówno narażenie, jak i normalny zakres zmienności mierzonej wielkości. Progi ustawione dla poprzedniego stanu albo milczą, albo alarmują bez powodu — i w obu przypadkach system przestaje ograniczać ekspozycję.

Wszystkie cztery wynikają z pominięcia jednego z kroków testu i wszystkie da się wyłapać przed złożeniem dokumentów.

Pierwszy: uzasadnienie oparte na oszczędności. Zdanie „system obniży zużycie energii, co poprawi bezpieczeństwo” nie ma treści. Oszczędność jest korzyścią kosztową i tak powinna być zapisana — osobno, bez łączenia z warunkami pracy. Zlepienie obu korzyści w jednym zdaniu osłabia obie.

Drugi: brak wskazania stanowiska. Opis odnoszący się do „hali”, „zakładu” albo „instalacji” nie pozwala sprawdzić drugiego ogniwa. Narażenie jest cechą stanowiska, więc również element automatyki musi być do stanowiska przypisany, choćby obsługiwał całą halę.

Trzeci: pętla otwarta przy zagrożeniu szybkim. Powiadomienie SMS przy uwolnieniu gazu palnego to poziom L1 przy dynamice sekundowej. Rozwiązanie może być poprawne technicznie i jednocześnie nieadekwatne do zagrożenia — a takie zestawienie jest łatwe do zakwestionowania.

Czwarty: brak progów i planu ich testowania. System bez zapisanych wartości progowych nie ma stanu, do którego można się odnieść przy weryfikacji. Po roku pracy nikt nie odtworzy, przy jakich nastawach pracował, i cała argumentacja o ograniczeniu narażenia traci punkt odniesienia.

Jeżeli chcesz, żeby ktoś sprawdził wynik tego testu na Twoim zestawieniu, prześlij listę funkcji wraz z parametrami z tabeli w rozdziale o opisie elementu przez formularz.