2. 急停功能概述
急停功能（Emergency Stop Function）是工业机械安全防护体系中最高优先级的主动保护措施之一。它并非简单的“停止按钮”，而是一套从操作者意图识别、控制逻辑处理到动力源切断的完整功能链。理解急停的定义边界、功能目的及其在风险管理中的定位，是正确设计、选型和验证急停系统的前提。本章将厘清急停与正常停机、紧急停止的本质区别，并深入剖析其在ISO 12100风险减缩策略中的具体角色。
2.1 急停功能的定义与核心原理
根据ISO 13850:2015《机械安全——急停功能——设计原则》的定义，急停功能是一种附加保护措施，用于应对人员暴露于危险中或即将发生危险的情况，通过人为主动触发，使机器停止或进入安全状态。其核心特征包括：人为触发（非自动检测）、优先于所有其他功能（除安全防护装置外）、消除或降低风险（不要求完全停止所有运动）。
急停功能的设计必须遵循“去能量化”原则，即切断危险运动的动力源或施加制动，使危险能量被隔离或耗散。这不同于简单的“停止指令”，急停必须直接作用于动力回路或安全相关控制回路，而非仅通过软件逻辑实现。例如，对于伺服电机驱动的运动轴，急停应触发抱闸并切断驱动使能信号，而非仅发送一个“停止”指令。
2.2 急停与正常停机、紧急停止的本质区别
在工程实践中，常将“正常停机”、“紧急停止”与“急停”混为一谈，但三者在触发条件、控制逻辑、安全等级和恢复方式上存在显著差异。下表从多个维度进行对比：
| 对比维度 | 正常停机（Normal Stop） | 紧急停止（Emergency Stop） | 急停功能（Emergency Stop Function） |
|---|---|---|---|
| 触发原因 | 生产计划、工艺完成、操作员指令 | 设备异常、产品质量问题、人员误操作 | 人员面临危险或即将发生伤害 |
| 控制逻辑 | PLC程序控制，按顺序减速停止 | PLC程序控制，快速停止但保留部分功能 | 独立于PLC的安全回路，直接切断动力 |
| 安全等级 | 无特定安全要求 | 可能要求PL c或SIL 1 | 通常要求PL d或PL e（ISO 13849-1） |
| 恢复方式 | 直接重新启动 | 排除故障后复位 | 手动复位+重新启动确认 |
| 典型器件 | 普通按钮、触摸屏指令 | 普通急停按钮（非安全认证） | 安全认证急停按钮+安全继电器/安全PLC |
需要特别指出的是，紧急停止（Emergency Stop）在中文语境中常被误用为“急停”，但ISO 13850明确区分了“急停功能”（Emergency Stop Function）与“紧急停止”（Emergency Stop）。前者是经过风险评估后设计的完整安全功能，后者可能只是操作者的一种应急反应动作。在安全评估中，只有符合ISO 13850要求的急停功能才能作为风险减缩措施。
2.3 急停在风险管理中的角色定位
根据ISO 12100:2010《机械安全——设计通则——风险评估与风险减缩》，风险减缩措施遵循“三步法”：本质安全设计 → 安全防护与补充保护措施 → 使用信息。急停功能属于补充保护措施，位于第二层级，与防护装置（如固定护罩、联锁门、光栅）并列，但优先级低于本质安全设计。
急停功能在风险管理中的具体角色体现在以下四个方面：
- 残余风险控制：当本质安全设计无法消除风险，且防护装置不能完全防止人员暴露时，急停作为最后一道主动保护屏障。
- 风险降低贡献：急停不能降低危险发生的概率，但能显著降低伤害的严重程度（例如，缩短停止时间以减少挤压伤害）。
- 辅助保护作用：在设置、示教、排障等非生产模式下，急停是操作者最直接的保护手段。
- 安全功能组合：急停常与安全门联锁、光栅等组合使用，形成多层级保护，但急停必须独立于其他安全功能。
2.4 急停功能设计的关键判断方法
在工程实践中，判断是否需要急停以及如何设计急停，应遵循以下流程：
- 步骤1：风险评估——识别所有危险场景，评估严重程度和暴露概率。
- 步骤2：判断必要性——若存在“人员可能暴露于危险且需要快速响应”的场景，则必须设置急停。
- 步骤3：确定停止类别——根据ISO 13850，选择停止类别0（立即切断动力）或类别1（受控停止后切断动力）。
- 步骤4：选择安全等级——根据风险降低需求，确定PLr（所需性能等级），通常为PL d或PL e。
- 步骤5：验证与确认——通过计算MTTFd、DCavg等参数验证PL，并进行功能测试。
对于高速旋转设备（如离心机），应选择停止类别0，立即切断动力并施加制动；对于大型惯性设备（如造纸机），可选择类别1，先受控减速再切断动力，避免机械冲击。
2.5 案例拆解：注塑机急停功能设计
背景与约束：某注塑机厂生产500T注塑机，合模单元最大锁模力5000kN，模板行程800mm，最大移模速度0.5m/s。操作者需定期进入模具区域进行清理和调整。风险评估显示：合模区域存在挤压风险，严重程度为S2（不可逆伤害），暴露频率为F2（频繁），避免可能性为P2（几乎不可能）。
初始目标：设计一套符合ISO 13850的急停功能，使操作者在任何位置都能快速触发停止，且停止时间满足安全距离要求。
关键参数与计算：
- 所需性能等级PLr = PL d（根据风险图评估）
- 停止类别：类别0（立即切断液压动力并锁定）
- 最大停止时间要求：≤0.5s（从触发到危险运动完全停止）
- 急停按钮布置：操作面板1个、前后安全门各1个、模具区两侧各1个，共5个
实施过程：
- 选用符合ISO 13850的蘑菇头急停按钮（红色，黄色背景，自锁式），每个按钮双通道常闭触点。
- 采用安全继电器（如Pilz PNOZ X3）监控双通道信号，实现交叉短路检测。
- 急停回路直接控制液压安全阀（断电失压型）和伺服泵使能信号，不经过PLC。
- 增加停止时间监测功能，通过编码器实时监测模板位置变化。
结果对比：改造前，急停仅通过PLC程序停止伺服泵，实测停止时间1.2s；改造后，直接切断安全阀和泵使能，停止时间降至0.3s，满足安全距离要求。同时，急停回路独立于PLC，即使PLC死机，急停仍有效。
风险与代价：增加安全继电器和双通道布线成本约2000元/台；急停误触发可能导致生产中断，但通过合理布置和防误触设计（如按钮保护环）将误触发率控制在每月≤1次。
复盘经验：急停设计的关键在于“直接作用于动力切断”，而非依赖程序逻辑。同时，急停按钮的布置必须覆盖所有操作位置，且标识清晰。该案例中，通过在模具区两侧增加急停按钮，消除了操作者的“盲区”。
2.6 常见误区与总结复盘
在急停功能的设计与实施中，以下误区需要特别警惕：
误区2：“急停后设备完全断电”——对于需要制动保持的设备（如垂直轴），完全断电可能导致重力坠落，应设计为“切断动力+保持制动”。
误区3：“急停回路接入PLC就足够”——PLC程序可能因死机、扫描周期延迟等原因失效，急停必须采用硬接线安全回路。
误区4：“急停复位后可直接启动”——ISO 13850要求急停复位后必须手动确认，且重新启动需单独操作，防止意外启动。
总结：急停功能是机械安全防护体系中的“最后一道防线”，其设计必须基于风险评估，遵循ISO 13850和ISO 12100的要求。核心要点包括：独立于常规控制、直接切断动力、满足所需性能等级、覆盖所有操作位置。在风险管理中，急停是补充保护措施，不能替代本质安全设计和防护装置。正确理解急停的定义、目的和角色，是构建完整机械安全体系的基础。