今日头条
官方微信
官方抖音
案例频道
陈开泰（1941－）
男，现任罗克韦尔自动化公司全球标准和贸易部高级技术顾问。
1 序言
通常提高机械的自动控制水平是为了提高劳动生产率，最大限度生产优质产品；而机械的安全控制则主要关注于防止对人身或设备本身产生伤害的危险事件的发生。这两方面的关注点是有所不同的。当西方世界工业革命期间开始出现机器生产时，工人的人身安全总是不如生产效率重要。更直接地说，是不如金钱利润重要。虽然那时经常发生意外，但是企业主们却没有任何考虑将安全放到第一位。伴随生产力发展、社会进步而来的是观念的更新，机械安全的重要性也被政府部门、制造业界及用户单位越来越清楚地认识，并且逐渐成为首要条件。与此同时伴随工业自动化技术的提升，当前采用最新的机械安全产品集成的安全系统设计已经可以提高生产效率。安全也逐渐被当作一种实际上可以增加生产效率的投资。
本文将讨论安全，功能安全，机械安全标准等，并介绍若干机械安全产品。
2 安全、功能安全、机械安全标准的分类简介
安全，按一般的概念是没有危险，不受威胁。再稍想一下，就会同意，这里应该有针对什么情况的安全和安全到什么程度的考虑。在IEC61508标准中，把安全定义为对不可接受的风险的摆脱(freedom from unacceptable risk)。这里，风险（risk）定义为出现伤害的概率及该伤害严重性的组合(combination of the probability of occurrence of harm and the severity of that harm)。
有的关于产品安全标准的技术文本中，把安全看作为减少有危险故障的风险的方法(Methods to decrease the risk of having dangerous failures)。
安全工作本质上就是控制风险
（1）通常，在设备和系统的设计中就己经考虑了安全的因素，并相应采取一些措施。例如，在电动机及一些电动工具中放入特殊的绝缘介质进行电绝缘或热绝缘。这是嵌入在产品的结构、材料、工艺选择中内在的，固有的安全措施（inherent safety through design）。
（2）另外，在设备和系统中还常使用“安全相关”的系统(safety-related systems)来完成/执行一个或一些特定的功能（称之为安全功能）以达到安全。安全相关的系统在收到有关的信号或指令时，可靠地、正确地作出反应，及时地执行这些特定的安全功能，把设备或系统置于“安全”状态，保证人身和设备的安全。例如，常规的急仃开关，安全阀都是安全相关系统。一般地，能执行安全功能的，以任何技术实现的任何系统都是安全相关的系统。
（3）此外，为了达到安全，还可以采用“外部的”风险降低设施或保护措施。如安全帽、网罩、对操作人员进行培训等。
功能安全(functional safety)是整个安全中的一部分，它依赖于一个系统或设备在收到信号输入时能正确地响应/执行，来实现安全。如上述三个方面中（2）讨论的就是用安全相关系统来实现功能安全。早期的用来实现功能安全的安全相关系统主要采用机械的，电磁的技术（如电磁继电器），伴随着电子技术、微电子技术和控制系统可靠性技术的发展，使用电气/电子/可编程电子系统等相关技术的安全相关系统在安全解决方案中使用的越来越多，重要性日渐明显。1998年至2002年，国际电工委员会第65技术委员会（IEC TC65）在欧、美有关安全标准的基础上制订了IEC61508系列标准：《电气/电子/可编程电子安全相关系统的功能安全》。这是一个十分重要的基础安全标准。
机械安全标准的分类
正是由于机械安全的重要性越来越高，各国政府的监管部门（如美国职业安全与健康管理局-OSHA，我国的国家安全生产监督管理总局）都制订了有关的法规要求。在机械安全方面，最重要的发展之一就是1989年6月欧盟推出了《机械指令(Machinery Directive)》及其相应的CE标识要求。
《机械指令》（按照欧盟内的协议，指令被欧盟各国转换成各国相关的法规）规定了投放到欧盟市场的机械产品必须满足基本的健康和安全要求(essential health and safety requirements)。这些基本的健康和安全要求在技术上要通过制订和实施标准来实现。
按照欧盟于1985年颁布实施的《技术协调与标准化新方法》决议，欧盟通过发出Mandate(书面指令)，指定两个欧洲标准化机构CEN（欧洲标准化技术委员会）和CENELEC（欧洲电工技术标准化委员会）制订《机械指令》相关的“协调标准”。由于指令中涉及的机械范围大，且相关技术不断发展并有各种交叉运用。在多个Mandate的实践中逐步地形成了A，B，C三类标准分类，也明确了机械安全标准要同时考虑另一个欧盟指令-低电压指令的要求。
ISO机械安全技术委员会（TC199）成立于1991年，开始时与欧洲标准化技术委员会有紧密的联系与合作，常以欧洲标准为基础并转化为ISO标准。
目前ISO/TC 199、CEN/TC 114及我国的机械安全标委会（SAC/TC 208）对机械安全标准均分为三类，如图1所示。
A类标准，也称为基础安全标准。该类标准给出了适用于所有机械的基本概念、设计原则和一般特征。如：GB/T 15706（EN ISO 12100）机械安全 基本概念与设计通则—基本术语和方法。
B类标准，也称为通用安全标准。该类标准涉及一种安全特征或使用范围较宽的一类安全装置。
在该类标准中又分为B1类和B2类标准。
B1类，特定的安全特征（如安全距离、表面温度、噪声）标准。
如：GB 12265.1（EN 294，ISO 13852）机械安全 防止上肢触及危险区的安全距离。
B2类，安全装置（如双手操纵装置、联锁装置、防护装置）标准。
如：GB/T 19671（EN 574，ISO 13851）机械安全 双手操纵装置 功能状况及设计原则。
C类标准，即专业机械安全标准。该类标准对一种特定的机械或一组机器规定出详细的安全要求。
图1 三类标准之间的关系
图1中所示标准及其对应的中国国家标准:
EN292(ISO 12100) GB/T 15706 机械安全 基本概念与设计通则—基本术语和方法
EN1050(ISO 14121) GB/T 16856 机械设备的安全性 危险评估的原则
EN414 GB/T 16755 机械安全 安全标准的起草与表述规则
EN60204(IEC 60204) GB 5226 机械(电气)安全 机械的电气设备
EN954(ISO 13849) GB/T 16855 机械安全 控制系统有关安全部件
EN999(ISO 13855) GB/T 19876 机械安全 考虑到接近人体时速度的防护设备的定位
EN1037(ISO 14118) GB/T 19670 机械安全 防止意外启动
EN418(ISO 13850) GB 16754 机械安全 急停 设计原则
EN1760 GB/T 17454 机械安全 压力敏感防护装置 压力敏感垫和敏感地板
EN1088(ISO 14119) GB/T 18831 机械安全 带防护装置的联锁装置 设计和选择原则
EN574(ISO 13851） GB/T 19671 机械安全 双手操纵装置 功能状况及设计原则
其中，IEC 60204 (GB 5226)是用于机械的电气设备的安全，由于现代机械中电气设备的量大面广，这是一个比较重要的B2标准。由于机械中控制系统的重要性，及EN954-1标准对机械的控制系统的安全功能引入了风险评估和风险等级类别B，1，2，3，4 (Category B，1，2，3，4)对应的要求，在机械安全的实现中常用作重要的参考依据。这是一个比较重要的B1标准。EN954-1标准中的类别和相应的要求摘要，如下：
Category B 单个故障导致安全功能的丢失要考虑特定应用的可靠性，除了安全相关的控制之外可能需要其他措施
Category 1 Category B 的所有要求更高可靠性的器件用于安全功能降低了故障的可能
Category 2 Category B 的所有要求更高可靠性的器件用于安全功能安全功能的检查 (自动或手动); 在测试间隔可能会丢失安全功能
Category 3 Category B 的所有要求单个的故障 应该不会 导致安全功能的丢失(需要冗余)合理地实施时, 安全相关的关键故障会在下次需要安全功能时或之前被检测到累积的故障可能导致安全功能的丢失
Category 4 Category B 的所有要求安全相关的关键故障会在下次需要安全功能时或之前被检测到累积的故障可能不会导致安全功能的丢失脉冲测试会用来实现该等级的检测
安全产品要按照标准来设计和制造，并常要经过第三方认证机构的测试认定。TUV是比较权威的安全产品认证机构之一。如标有TUV/CAT3的产品表示它有己经过TUV认证的CAT3安全性能。近年来，也常有用TUV/SIL3（SIL -安全完整性等级，见下面）等来表示产品有经TUV认证的SIL3安全性能。
3 机械危险
一般的机械危险主要来自以下四部分：
——正常使用加工机械时，如加工件易反弹并伤及工作人员，则加工机械的设计与制造应能防止加工件的反弹，以免造成危害。
——如加工机械停止运转后，与刀具的接触仍存在危险，加工机械则必须带有自动停止装置，以保证刀具在极短的时间内处于停止状态。
——如带刀具的加工机械不是全自动化设备，其设计与制造则应防止伤人事件的发生；或使用圆形截面的刀具并限制其切削厚度，将危害保持在最低限度内。
——机械危险：主要来自运动组件，包括运动轴与传动机构所造成之挤压、剪切或绞入等危险。建议采用固定或移动式护罩来防止人员接近危险区域。
4 机械设备安全应该考虑的几点
（1）元器件要求
与安全功能有关的控制电路在设计上应使用成熟的技术方案，器件选型上须使用技术成熟的元器件，即在相似的应用领域中有过广泛和成功的使用，或是根据可靠的安全标准制造的元器件。采用工作极其安全可靠的元器件,可以不考虑这种元器件本身发生故障的可能性。
同时，为了避免短路，减少故障的发生率，确定故障的类别，准确地检测故障以及避免二次故障的发生，可以采用诸如：隔离电路，容余功能，线路保护，遇故障时及时断电，良好的接地等措施。
安全控制电路要能够承受预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响。
（2）机器安全停止要求
机器设备的安全保护，其核心就是使机器设备的危险动作停止下来。根据所使用的安全保护装置的不同，可以有不同的安全停止功能。
在正常运行中使用的停止功能，必须要能够避免机器设备、产品和加工过程被破坏，同时要能够防止机器设备的重新启动，这就是对安全停止功能的要求。
在IEC 60204标准中，规定了三种停止类别：
- 停止类别0：通过立即切断供给机器设备的电源来实现停止，也就是停止不受控制。
- 停止类别1：受控制的停止，供给机器设备执行机构的电源一直保持，以使机器设备逐渐停止下来。
只有当机器设备完全停止后电源才被切断。
- 停止类别2：受控制的停止，供给机器设备驱动装置的电源一直保持。
正确的停止类别的选择，必须建立在对机器设备所进行的危险性分析的基础之上，这在ISO 13849标准中有所规定。
所有的机器设备都必须具有停止类别0的停止功能。
停止类别1和/或2的停止功能只有在机器设备的安全和功能要求有必要时才可使用。
（3）安全距离解决方法
a. 可用安全门开关锁、电敏式安全保护装置、安全地毯和双手控制器等实现。
b. 在机器设备的安全保护中，除了要使用安全可靠的保护元件外，对于非常危险的机器设备，还要对其安全保护控制电路做出一定的要求，以提高安全保护的等级，如：安全监控器模块。
（4）安全地毯的使用
在机器设备的安全保护中，有些场合是无法用安全围栏和安全防护门对危险区域进行安全保护的，如在一些大型注塑机械、冶金机械中，经常需要到机器内部进行维护和调整，此时需要保证在外部无法启动机器，这种情况下显然无法使用安全防护门。
另外，在有些需要且可以使用安全防护门的场合，出于方便和美观的考虑， 也有可能不愿意采用安全防护门。
在以上两种情况中，为了实现对危险区域的安全保护，可以使用接触式的安全保护装置。在这一类安全保护装置中，安全地毯是很有特色，也是应用非常广泛的一种。
（5）安全光栅的应用
安全光栅工作原理是：通过发射红外线，产生保护光栅，当光栅被遮挡时，装置发出遮光信号，控制具有潜在危险的机械设备停止工作，以降低作业人员在工作环境中受到伤害的可能性，有效保护作业人员的人身安全。它是人员需要频繁而方便地进出操作区域的理想选择。主要应用有机器人焊接、机器定位、贴标，冲锻压机床，包装设备等场合。按保护对象（手指、手腕、身体）不同有不同的分辨率、保护高度选择。
（6）安全联锁开关的应用
安全联锁开关对很少进出操作区域的应用提供一种经济的解决方案，它分接触式和非接触式，用于当防护门或受保护的通道被移动时停止危险区域的机器。
（7）传感器的使用
包括光电开关，电容式/电感式接近开关，限位开关等。传感器产品是成功的自动化安全解决方案的基础。通过对生产过程中的各个安全相关参数的采集并分析，可以精准地控制设备的工作状态。
（8）监测型安全继电器的使用
监测型安全继电器的基本任务是要实现:
a. 检测出安全相关的电气控制线路上的故障，如传感器/接触器/线路连接等上发生的故障。
b. 提供可靠的开关动作，如作为中间继电器来放大信号或传输到多个装置上去。
c. 提供手工复位功能。
这些任务的实现有赖于其内部的冗余及监测功能。至于监测型安全继电器具体在系统中实现如延时，动作传感，双手控制监测等哪些功能由设计使用情况决定。
（9）双手控制装置的运用
在许多危险性很高的机器设备中，如锻压设备、冲剪设备等，都会使用双手控制装置。双手控制装置属于电敏式安全保护装置，其作用是当有人在操作机器设备，给机器设备一个产生危险动作的信号时，迫使其同时使用双手，从而必须待在一个地方，这样可以确保安全。
（10）安全PLC（可编程逻辑控制器）的应用
安全继电器在小型的系统中是较好运用的器件。但安全继电器的灵活性不够好，当机械的控制系统的安全逻辑较复杂时，用安全继电器就不易实现或使得安全系统变得过于庞大，设计和调试的周期及难度都会增加很多。这时就常采用安全可编程控制器，它是采用双处理器的冗余结构，并在内部对数据，逻辑控制有定时的比较、诊断扦查。
罗克韦尔自动化在各种安全产品方面有20多年的工作经验，包括在1999-2002年间并购了英国的EJA-Guardmaster公司，德国的TESCH GmbH公司等著名的安全产品公司。目前有包括急停开关，安全光栅，安全地毯，安全互锁开关，安全继电器，安全可编程控制器等全系列的安全产品，并都经过TUV的安全认证。如罗克韦尔自动化的模块化的安全继电器MSR300系列产品满足EN954-1 Category 4和IEC61508 SIL3的TUV认证，并支持RS232和CIP（通用工业协议）的通讯。罗克韦尔自动化的GuardLogix是采用双处理器结构（1002结构）的安全可编程控制器，达到EN954-1 Category 4和IEC61508 SIL3的TUV认证，还符合美国标准NFPA 79和ANSI B11.19的认证。
5 关于IEC61508及相关的机械安全标准的发展
IEC61508标准引入了安全完整性(Safety integrity)，其定义为：在规定的条件下，在规定的时间内，安全相关系统成功实现所要求的安全功能的概率(probability of a safety-related system satisfactorily performing the required safety function under all the stated conditions within a stated period of time)。并引入了4个安全完整性等级(safety integrity level－ SIL)。安全完整性等级4 (SIL4) 是最高的，安全完整性等级1 (SIL1) 是最低的。IEC61508中定义的安全完整性等级划分与功能安全危险失效概率范围的对照如表1所示。
表1 EN/IEC61508标准中SIL等级与PFHd：
IEC61508标准要求从全生命周期的各个阶段的风险评估出发，从系统的角度采取各种措施（包括对硬件、软件的功能安全要求，安全完整性要求，失效模式分析，诊断覆盖，测试和证实等等）降低各个阶段的风险至可以允许的范围内。机械工业仪器仪表综合技术经济研究所的冯晓升教授在“仪器仪表标准化与计量”杂志的2007年第1期至第6期的“功能安全技术系列讲座”中对IEC61508作了仔细、深入的讲述。本文由于篇幅所限不准备详述此标准。
IEC61508讨论的是“电气/电子/可编程电子安全相关系统的功能安全”。由于近年来电气/电子/可编程电子安全相关系统的广泛使用及控制系统中功能安全的重要性，这个标准原则上适用于包括过程工业，化学，石油化工，机械工业等几乎所有工业，是十分重要的基础安全标准。以IEC61508为基础，关于过程工业，己制订出了一个重要的基础安全标准：IEC61511——功能安全-用于过程工业的安全仪表系统。以IEC61508为基础，关于机械工业，己发展、制订出了一个重要的机械工业基础安全标准：IEC62061——机械安全-安全相关的电气，电子，可编程电子控制系统的功能安全。
图2 EN954-1，IEC62061，ISO13849-1，IEC/EN61508几个
标准之间的关系示意图
1999年版的ISO13849-1(机械安全 控制系统有关安全部件，由EN954-1发展而来)根据安全系统有故障存在时的性能把安全系统归成五个类别B，1，2，3，4之一。2006年发表的新版的ISO13849-1结合采用了IEC62061和IEC61508的处理方法，依据：危险失效的平均时间（mean time to dangerous failure - MTTFd）；诊断覆盖(diagnostic coverage)；共因失效（common-cause failures）；系统失效（systematic failures）；软件分析（software analysis）等引入了一个新的安全功能分类级别，称为性能等级（Performance Level - PL）：a，b，c，d 或 e，PL与IEC62061的安全完整性等级(safety integrity level— SIL)是可比较的。2006年版的ISO13849-1可用于采用各种技术（包括电，机械，风力，水力）的安全相关系统的机械，但对于采用高度复杂的、可编程电子技术的安全相关系统的应用有些限制。（IEC62061和IEC61508把重点放在采用高度复杂的、可编程电子技术的安全相关系统）。有些人认为，2006年版的ISO13849-1基本上是一个IEC61508的简化版本。可以用图2表示这几个标准之间的相对关系。
作者信息：
陈开泰，朱春标，黄松杰（罗克韦尔自动化研究（上海）有限公司，上海 200233）
北京市公安局海淀分局备案号：11010802023656号