4. 包装线危险源识别与风险评估

电气联锁设计不是先画电路再找理由，而是从危险源出发倒推“哪些动作必须被禁止、哪些状态必须被检测”。灌装、封口、贴标、码垛四个工位的危险性质差异很大：灌装以液体喷溅、清洗化学灼伤和液位失控为主；封口以高温烫伤、夹手和刀具切割为主；贴标以旋转部件卷入和标签剥离机构夹伤为主；码垛则以重物坠落、机器人高速运动撞击和托盘输送挤压为主。危险源识别要先把这些“能量与有害物质”找全，再谈联锁。

一、危险源辨识：从能量源与作业活动两条线切入

工程上常用两条互补的线索。第一条是能量源清单法：逐一列出电能、热能、机械动能、压力能、化学能、势能（重力），标注其在工位上的具体载体，例如封口模具的 180 ℃ 热表面、码垛机器人 2 m/s 的末端速度、灌装阀前 0.3 MPa 的物料压力。第二条是作业活动分解法：把工位动作拆成上料、运行、换型、清洗、排故、维护等任务，对每个任务问“人会在什么位置、身体哪部分可能进入危险区”。两条线索交叉，才能覆盖正常生产与异常处置两类场景。

HAZOP 在这里的价值是把“偏差”系统化。以灌装工位为例，选取节点“灌装阀—输送带—瓶检测”，引导词取“无、多、少、反向、部分、伴随”，得到偏差如“无瓶仍有灌装”“液位高于设定”“瓶未到位即灌装”“清洗时阀门误开”。每个偏差再追原因（传感器失效、PLC 输出粘连、程序时序错误）、后果（物料外溢、地面湿滑、操作员滑倒、清洗液喷溅）与现有防护（防护罩、急停、联锁）。封口工位可得到“无料仍下压”“温度超限”“护罩打开仍运行”；贴标工位可得到“标签用完仍高速运行”“剥离板处手进入”；码垛工位可得到“人进入机器人工作区”“托盘未到位仍码垛”“垛型超高”。HAZOP 会议记录应保留偏差、原因、后果、现有措施、建议措施五列，作为后续联锁需求输入。

二、风险等级确定：严重度与可能性的二维矩阵

识别出的危险源需要排序，否则联锁设计会失去重点。推荐使用 S×L 风险矩阵：严重度 S 取 1～4（1 轻微擦伤、2 需急救的伤害、3 致残或重大设备损失、4 死亡），可能性 L 取 1～4（1 极少、2 偶尔、3 可能、4 频繁）。风险值 R=S×L，划分三级：R≥9 为高风险，必须采用本质安全或可靠联锁并验证；4≤R≤8 为中风险，需联锁或工程防护；R≤3 为低风险，以管理措施与警示为主。示例：封口模具烫伤 S=2、L=3，R=6，中风险；码垛机器人工作区内有人 S=4、L=2，R=8，接近高风险，应通过安全门联锁与区域扫描仪降为可接受；灌装清洗液误喷入眼 S=3、L=2，R=6，中风险，需加清洗模式联锁。

需要强调，矩阵中的 L 是“现有防护失效后发生伤害的可能性”，不是设备故障率。评估时应假设操作员按最不利但合理的路径行动，例如为处理卡瓶而伸手越过输送带。风险等级确定后，每个高风险项都要落到具体联锁功能：安全门开关断开码垛机器人使能、封口护罩打开切断加热与下压、灌装清洗模式禁止生产阀开启、贴标剥离板处光电检测到人手即降速停机。

三、从评估结果到联锁需求：把风险项写成可验证的功能

风险等级只是排序工具，真正进入电气设计的是“联锁功能需求”。建议每条需求写成四要素：触发条件、响应动作、安全状态、验证方法。以码垛工位安全门为例：触发条件为安全门开关断开（双通道，常闭触点）；响应动作为安全继电器立即切断机器人 STO 使能与输送机运行接触器；安全状态为机器人停止、输送机停转、门未关闭不能复位；验证方法为手动开门测试停机时间并测量停止距离是否在安全区内。再以封口护罩为例：触发条件为护罩开启到位开关断开；响应动作为切断加热器接触器与下压电磁阀电源，并保持气路排气；安全状态为模具降温、压头靠重力或弹簧复位；验证方法为红外测温确认加热断电后温升停止、手动按压确认无下压动作。

这里有一个容易被忽略的细节：联锁的“安全状态”必须由失效分析确认。例如灌装阀若为常开型电磁阀，断电反而开启，则不能用“断电关闭”作为安全动作，应改用常闭阀或增加独立切断阀。同理，码垛机器人抱闸失电抱紧属于安全状态，但若抱闸磨损则需定期测试。风险评估阶段就应标注每个执行元件的失电行为，避免联锁逻辑设计完成后才发现方向错误。

四、实操示例：一张可填写的危险源与联锁评估表

下表给出一份可直接用于现场走线的评估表样例，字段刻意精简，只保留与联锁设计直接相关的信息。表中数据为教学示例，实际项目应结合设备说明书、现场暴露频次与防护现状重新填写。

最后要提醒的是，HAZOP 与风险矩阵解决的是“识别与排序”，联锁设计解决的是“把风险降到可接受”。两者之间必须有一份可追溯的映射：每个高风险项都能找到对应的联锁功能，每个联锁功能都能找到验证记录。缺少这份映射，图纸上的联锁就可能只是习惯性配置，而不是针对真实危险源的防护。