4、风险管理与安全要求：危险识别方法（如HAZOP、风险图）、风险评估流程、安全功能分配与安全要求规格（SRS）的编写

在IEC 62061的框架下，风险管理是贯穿机械安全全生命周期的核心主线。本章聚焦于从危险识别到安全要求规格（SRS）输出的完整工程链路。理解这一链路的关键在于：风险评估不是一次性的“打分游戏”，而是为后续安全功能设计提供量化输入的系统工程过程。我们将深入剖析HAZOP与风险图两种主流方法的适用场景与操作细节，并重点讲解如何将评估结果转化为可验证、可追溯的安全功能分配与SRS文档。

4.1 危险识别方法：HAZOP与风险图的工程应用

核心原理：危险识别是风险评估的起点，其目标不是“找到所有可能的事故”，而是系统地识别出与机械相关的危险事件、危险状态和潜在伤害路径。IEC 62061并未强制规定使用某一种特定方法，但要求方法必须系统化、可重复、有文档记录。HAZOP（Hazard and Operability Study）和风险图（Risk Graph）是两种最常用的方法，它们分别适用于不同的工程场景。

HAZOP方法详解：HAZOP起源于化工行业，但完全适用于机械安全领域。其核心是使用引导词（Guide Words）与设计参数组合，激发团队对系统偏离设计意图的想象。在机械安全应用中，典型的引导词包括：

• 无（No/Not）：安全功能未执行，如急停按钮按下后无响应。
• 多于（More）：参数超出上限，如安全光幕响应时间过长。
• 少于（Less）：参数低于下限，如安全距离不足。
• 相反（Reverse）：逻辑反转，如安全门打开时机器反而启动。
• 部分（Part of）：功能不完整，如双通道安全回路只有单通道工作。
• 伴随（As well as）：额外干扰，如电磁干扰导致安全信号误触发。

操作流程：HAZOP通常以团队工作坊形式进行，由机械工程师、电气工程师、操作人员和EHS专家组成3-6人的小组。流程如下：

1. 定义分析范围：明确被分析的机械子系统、运行模式（正常/异常/维护）和边界条件。
2. 划分节点：将机械系统分解为功能单元（如动力传输、物料进给、人员出入口）。
3. 选择参数与引导词组合：例如“流量+无”、“速度+多于”、“逻辑+相反”。
4. 识别偏离后果：分析每个组合可能导致的危险事件，记录伤害严重度（S）、暴露频率（F）和避免概率（P）。
5. 记录与评审：使用标准表格记录所有发现，并标注是否需要进一步的风险降低措施。

风险图方法：风险图是一种半定量的快速分级工具，特别适合标准设备或系列产品的风险评估。它基于三个关键参数：

通过S、F、P的组合，风险图直接映射到所需的SIL等级（SIL1~SIL3）。例如，S2+F2+P2的组合通常对应SIL2或SIL3。风险图的优势在于快速、直观，但缺点是粒度较粗，无法处理复杂的因果链。

4.2 风险评估流程：从定性到定量的完整路径

核心原理：IEC 62061的风险评估流程遵循ISO 12100的框架，但增加了与SIL等级直接关联的量化要求。完整的流程包括：风险分析（Risk Analysis）和风险评价（Risk Evaluation）两个阶段。风险分析是“找出问题”，风险评价是“判断是否可接受”。

风险评估的六步操作流程：

1. 确定机械的边界与限制：包括使用空间、时间限制、预期使用（含误用）、其他使用阶段（运输、组装、维护、报废）。
2. 系统化危险识别：使用4.1节的方法，输出危险事件清单，每个事件需包含“触发原因→危险状态→伤害后果”的完整链路。
3. 风险估计：对每个危险事件，评定S（严重度）、F（暴露频率）、P（避免概率）三个参数。注意：参数评定必须基于现有防护措施已失效的假设，而不是基于当前已安装的安全装置。
4. 风险评价：将S/F/P组合映射到SIL等级，判断当前风险是否可接受。IEC 62061提供了风险图映射表，但允许企业根据自身风险接受准则调整。
5. 风险降低：采用“三步法”——本质安全设计→安全防护→使用信息（警告/培训）。每一步降低后需重新评估残余风险。
6. 残余风险评审：确认所有残余风险均已记录，并判断是否需要额外的补偿措施（如个人防护装备）。

案例拆解：冲压机安全改造项目

某汽车零部件厂的一台1600kN冲压机，原有人工上下料方式，操作员手部需进入模具区。项目目标是实现自动化上下料，并满足SIL2等级的安全要求。

初始现象与目标：现有安全防护仅为机械防护栅栏+双手操作按钮，但生产效率低且仍有手部伤害风险。目标：引入安全光幕+安全PLC，实现SIL2等级的安全功能。

关键输入数据：

• 冲压机滑块行程：300mm，最大速度：0.5m/s
• 操作员暴露频率：每班8小时，每小时上下料120次（F2）
• 伤害后果：手部挤压导致截肢（S2）
• 光幕安装距离：距模具危险区200mm

分析判断过程：

1. 危险识别：HAZOP发现“光幕失效+滑块下行”组合导致手部进入危险区。
2. 风险估计：S2（截肢）、F2（高频暴露）、P2（滑块速度快，无法避免）→ 查风险图映射表，对应SIL2。
3. 风险降低措施：选用Type 4安全光幕（响应时间≤20ms）+安全PLC（处理时间≤50ms）。
4. 验证计算：安全距离S = 2000×T + 8×(d-14) = 2000×(0.02+0.05) + 8×(30-14) = 140 + 128 = 268mm。实际安装距离200mm不满足要求，需调整光幕安装位置至≥268mm。

结果对比：调整光幕位置后，安全距离满足要求，SIL2等级验证通过。项目完成后，生产效率提升30%，且消除了手部伤害风险。

复盘经验：风险评估不是“一次性”工作。在光幕选型时，团队最初选择了Type 2光幕（响应时间50ms），但计算后发现安全距离需增加至400mm，影响操作空间。最终改用Type 4光幕，虽然成本增加15%，但避免了产线布局的大幅调整。这提示我们：风险评估参数（尤其是响应时间）直接影响设备选型和布局，必须在项目早期完成。

4.3 安全功能分配：从风险等级到功能架构

核心原理：安全功能分配是将风险评估得到的SIL等级，转化为具体的安全功能及其在控制系统中的实现方式。IEC 62061引入了两个关键概念：SRCF（Safety-Related Control Function，安全相关控制功能）和SRECS（Safety-Related Control System，安全相关控制系统）。每个SRCF必须明确其SIL等级，而SRECS则是实现这些SRCF的硬件/软件组合。

安全功能分配的操作流程：

1. 列出所有需要降低风险的危险事件：从风险评估输出中筛选出需要安全功能介入的事件。
2. 定义每个危险事件对应的安全功能：例如“急停功能”、“安全门联锁功能”、“光幕保护功能”。
3. 确定每个安全功能的SIL等级：直接采用风险评估中该危险事件对应的SIL等级。
4. 识别功能间的依赖关系：例如，光幕触发后需要同时停止滑块运动和夹紧机构，这两个动作可能由同一个SRCF或两个独立的SRCF实现。
5. 分配SRCF到SRECS架构：决定哪些SRCF由同一个安全PLC实现，哪些需要独立的硬件回路。

4.4 安全要求规格（SRS）的编写：从“做什么”到“如何验证”

核心原理：SRS（Safety Requirements Specification）是连接风险评估与安全系统设计的“契约文档”。它必须完整、精确、可验证、可追溯。IEC 62061要求SRS至少包含功能要求、性能要求、约束条件和验证标准四个维度。SRS的编写质量直接决定了后续硬件设计、软件开发和验证活动的有效性。

SRS编写的七要素：

1. 功能描述：每个安全功能的行为定义，包括触发条件、执行动作、复位方式。例如：“当安全光幕被遮挡时，滑块必须在20ms内停止，且停止后保持静止直到光幕复位。”注意：描述必须无歧义，避免使用“尽快”、“适当”等模糊词汇。
2. SIL等级与PFHd值：明确每个SRCF的目标SIL等级，以及对应的PFHd（每小时危险失效概率）上限。例如：SIL2对应PFHd在10⁻⁷~10⁻⁶之间。
3. 响应时间要求：从传感器检测到执行器动作的总时间，包括传感器响应、PLC处理、执行器动作时间。必须给出具体数值，如“≤100ms”。
4. 操作模式与状态转换：定义安全功能的操作模式（如自动/手动/维护），以及模式切换时的安全行为。例如：“从自动模式切换到维护模式时，必须通过钥匙开关，且切换后所有安全功能保持有效。”
5. 接口与通信要求：安全功能与外部系统（如HMI、上位机、其他PLC）的接口定义，包括通信协议、数据格式、故障行为。特别注意：安全相关通信必须采用安全协议（如PROFIsafe、CIP Safety）。
6. 诊断与故障反应：定义系统的自诊断要求，以及检测到故障后的行为。例如：“安全PLC必须每100ms执行一次自检，检测到CPU故障时，所有安全输出必须在50ms内进入安全状态。”
7. 环境条件与EMC要求：明确系统工作的温度、湿度、振动、电磁干扰等环境条件，以及对应的抗扰度等级。

安全功能编号：SF-03
功能名称：安全光幕保护
SIL等级：SIL2
PFHd目标：≤1.0×10⁻⁶ /小时
响应时间：≤70ms（光幕20ms + PLC 30ms + 接触器20ms）
触发条件：光幕光束被完全遮挡（≥30mm物体）
执行动作：断开滑块驱动接触器，同时激活抱闸
复位方式：手动复位，复位按钮位于危险区外
故障反应：光幕自检故障时，输出安全状态（断开）
诊断覆盖率：≥90%（光幕内部自检）
环境条件：0~55℃，IP54防护等级
EMC要求：IEC 61000-6-2 工业环境抗扰度

SRS的验证与追溯：SRS不仅是设计输入，也是验证活动的基准。每个SRS条款必须能够被测试或分析所覆盖。建议建立追溯矩阵，将SRS条款与设计文档、测试用例一一对应。例如，SF-03的响应时间要求，对应测试用例“模拟光幕遮挡，测量滑块停止时间”，验收标准为“≤70ms”。

总结复盘：本章从危险识别、风险评估、安全功能分配到SRS编写，构成了IEC 62061功能安全的“前端工程”。这一链路的输出质量，直接决定了后续硬件选型、软件开发和验证活动的成本与效率。核心要点：HAZOP保证识别完整性，风险图保证分级合理性，功能分配保证架构清晰性，SRS保证设计可验证性。在实际项目中，这四个环节需要反复迭代——当SRS编写过程中发现某个安全功能的实现成本过高时，可能需要回到风险评估阶段重新考虑风险降低方案（如增加机械防护以降低SIL等级）。这种迭代不是“失败”，而是功能安全工程中正常的优化过程。