4、机械安全标准核心框架：ISO 12100的风险评估与风险减小流程，以及与其他标准（如ISO 13849、IEC 62061）的衔接

机械安全设计的首要任务不是“如何加防护”，而是“如何系统地识别风险并证明风险已被充分降低”。ISO 12100《机械安全——设计通则——风险评估与风险减小》正是这一过程的顶层框架标准。它不规定具体的安全功能如何实现，也不指定某个安全部件的性能等级，而是提供了一套从危险识别、风险估计、风险评价到风险减小的迭代方法论。理解ISO 12100，是理解整个机械安全标准体系的钥匙——因为无论是ISO 13849（控制系统安全相关部件）还是IEC 62061（功能安全），其目标都是服务于ISO 12100所定义的风险减小闭环。

上图展示了ISO 12100的核心迭代逻辑：从确定机械限制出发，经过危险识别、风险估计、风险评价，若风险不可接受则进入风险减小过程，并再次循环评估，直至风险达到可接受水平。这一流程不仅是设计阶段的工具，更贯穿于机械的全生命周期。下面我们将深入拆解每个环节的具体操作方法和工程实践要点。

4.1 核心原理：风险的三维估计与迭代减小逻辑

ISO 12100将风险定义为“伤害发生的概率和伤害严重度的组合”。在工程实践中，风险估计通常采用三个维度进行量化：伤害的严重度（S）、暴露于危险区的频率或持续时间（F）、避免或限制伤害的可能性（P）。这三个参数并非简单的数学乘积，而是通过逻辑组合来划分风险等级。例如，一个高速旋转的刀具，其S等级高（可能造成断指），F等级高（每循环暴露一次），P等级低（反应时间不足），综合风险等级必然为高风险，必须采用本质安全设计或联锁防护。

风险减小的核心原则是“三步法”，且必须按优先级顺序执行：

• 第一步：本质安全设计措施——通过改变机器设计本身来消除或降低危险。例如，用液压替代机械剪切、减少尖锐边缘、降低运动速度、采用低电压设计等。这是最可靠、最优先的措施。
• 第二步：安全防护与补充保护措施——当本质安全无法完全消除风险时，采用防护罩、联锁装置、光栅、双手控制按钮、急停装置等。这些措施属于“安全功能”，其可靠性需要由ISO 13849或IEC 62061来验证。
• 第三步：使用信息——包括警告标志、信号装置、使用说明书中的安全操作规程。这是最后一道防线，不能替代前两步，但必须提供。

4.2 操作流程：从机械限制到风险评价的完整步骤

在实际执行风险评估时，建议按照以下六个步骤系统化推进，每一步都应有可追溯的记录：

1. 确定机械限制：明确机器的使用范围（预期用途、合理可预见的误用）、空间限制（操作范围、维护空间）、时间限制（机器寿命、部件更换周期），以及使用者群体（普通操作工、维修工、新手或专业技术人员）。
2. 危险识别：系统性地识别所有可能的危险源。常见分类包括：机械危险（挤压、剪切、缠绕）、电气危险（触电、电弧）、热危险（灼伤、冻伤）、噪声危险（听力损伤）、振动危险、辐射危险、材料/化学危险、人体工学危险（重复劳动、姿势不当）以及环境危险（滑倒、跌落）。建议使用“危险清单”或“头脑风暴”结合历史事故数据。
3. 风险估计：对每个已识别的危险，分别评估S、F、P三个参数。S分为1-4级（轻微、严重、极严重、灾难性），F分为1-3级（罕见、频繁、连续），P分为1-3级（可能、不太可能、几乎不可能）。通过风险矩阵（如5x5或4x4矩阵）确定风险等级。
4. 风险评价：将计算出的风险等级与“可接受风险”标准对比。如果风险等级达到“不可接受”或“需要减小”的区间，则必须进入风险减小流程。
5. 风险减小：按“三步法”实施措施。每实施一项措施后，重新评估风险等级，观察是否降至可接受范围。
6. 文件化与验证：记录所有评估过程、决策依据、实施措施和最终残余风险。验证措施的有效性（例如，检查联锁装置的强制动作是否可靠）。

4.3 案例拆解：冲压机风险评估与安全防护升级

某汽车零部件工厂有一台老式160吨冲压机，人工上料，脚踏开关启动。近期发生一起操作员手指压伤事故。工厂决定依据ISO 12100进行系统风险评估并升级安全措施。

背景与约束：该冲压机生产节拍要求为6秒/件，操作员需每循环将金属板料放入模具。原有防护为固定式后挡板，但侧面和前方敞开。事故原因是操作员在模具调整时误踩脚踏开关。工厂要求：不能完全自动化（成本过高），但必须将风险降至可接受水平，且不影响生产节拍。

风险评估过程：

1. 机械限制：预期用途为冲压成型，合理可预见的误用包括手伸入模具调整、在滑块下行时清理废料。
2. 危险识别：主要危险为机械危险——滑块下行造成的挤压和剪切。危险区为模具闭合区域。
3. 风险估计：严重度S2（断指），暴露频率F3（每循环暴露），避免可能性P2（滑块速度极快，无法反应）。查风险矩阵，综合风险等级为“高风险，不可接受”。
4. 风险评价：必须采取风险减小措施。

风险减小措施实施：

• 本质安全设计：将脚踏开关改为双手控制按钮（需同时按下两个按钮，且间距大于手掌宽度），消除了误踩的可能性。这是本质安全设计措施，因为操作员的双手必须离开危险区去按按钮。
• 安全防护：在模具前方安装固定式透明防护罩，仅留出上料口，上料口宽度限制为只能通过板料，无法伸入手指。同时安装安全联锁开关，防护罩打开时滑块无法启动。
• 补充保护：在模具区域安装安全光幕（分辨率14mm），当光幕被遮挡时，滑块立即停止。
• 使用信息：在操作面板上增加“双手控制模式”指示灯，并在作业指导书中明确禁止使用单手操作或绕过光幕。

结果对比：改造后，重新进行风险评估。严重度仍为S2，但暴露频率降至F1（仅在更换模具时进入危险区），避免可能性提升至P1（双手控制按钮强制手离危险区，光幕提供二次保护）。综合风险等级降至“可接受”。生产节拍未受影响，因为双手按钮操作时间与原脚踏开关时间相当。

复盘经验：该案例的关键在于优先采用了本质安全设计（双手控制），而非单纯增加防护罩。同时，安全光幕作为补充保护，提供了冗余。但需注意，双手控制按钮必须符合ISO 13851的要求，且按钮的安装位置必须确保操作员无法用肘部或身体其他部位同时触发。

4.4 与其他标准的衔接：从风险评估到安全功能实现

ISO 12100是“框架标准”，它不告诉你如何设计一个具体的联锁电路。当风险评估确定了需要某个安全功能（如“当防护罩打开时，停止危险运动”）时，就需要引用ISO 13849或IEC 62061来设计、验证该安全功能的可靠性。

ISO 13849（控制系统安全相关部件）：适用于所有类型的机械控制系统，无论是液压、气动、电气还是机械。它引入了“性能等级（PL）”的概念，分为PLa到PLe五个等级。PL等级取决于结构类别（Cat. B, 1, 2, 3, 4）、平均危险失效时间（MTTFd）、诊断覆盖率（DC）和共因失效（CCF）。例如，一个简单的急停回路，如果要求PLd等级，可能需要采用双通道结构（Cat. 3）并具备诊断功能。

IEC 62061（功能安全）：主要适用于电气/电子/可编程电子控制系统。它使用“安全完整性等级（SIL）”来量化安全功能。SIL1到SIL4，其中SIL3为最高（机械行业通常用到SIL3）。IEC 62061更侧重于系统性的失效分析和硬件故障裕度（HFT）。

衔接逻辑：ISO 12100的风险评估结果会输出一个“所需的安全性能等级”（PLr或SILr）。例如，风险评估认为某个安全功能需要PLr = d，那么设计人员必须按照ISO 13849的要求，通过计算MTTFd、DC等参数，证明所设计的电路达到PLd。如果采用IEC 62061路线，则需要证明达到SIL2（通常PLd与SIL2相当）。

在实际项目中，通常先由安全工程师依据ISO 12100完成风险评估，确定每个安全功能所需的PLr/SILr。然后，控制系统设计人员根据ISO 13849或IEC 62061进行具体设计。例如，一个安全光幕连接到安全PLC，再控制接触器切断电机电源，这个安全功能链路的每个部件（光幕、PLC、接触器）都需要有相应的PL/SIL认证，且组合后的整体PL必须不低于PLr。

4.5 常见误区与总结复盘

在辅导企业实施ISO 12100的过程中，以下误区最为常见，需要特别警惕：

• 误区一：将风险评估视为一次性工作。实际上，当机器发生重大改造、使用条件变化或发生事故后，必须重新进行风险评估。例如，将手动上料改为自动上料，危险源和暴露频率都会改变。
• 误区二：过度依赖防护装置而忽视本质安全。防护装置可能失效或被拆除，而本质安全设计是从源头消除危险。例如，用圆角代替尖角、降低运动部件质量，远比加装防护罩更可靠。
• 误区三：混淆“风险减小”与“风险消除”。风险减小到可接受水平即可，不必追求零风险。但“可接受”必须有明确标准，不能主观臆断。建议参考行业惯例或与安全监管机构沟通。
• 误区四：安全功能验证不足。设计完成后，必须进行验证测试，例如模拟故障（断开一个通道）确认安全功能仍能动作。验证记录应存档。
• 误区五：忽视使用信息的作用。即使有完善的安全防护，也必须提供清晰的操作规程和警告标识。在风险评价中，使用信息不能作为降低S或F等级的依据，只能作为补充措施。

总结复盘：ISO 12100的核心价值在于提供了一套系统化的风险管理语言。它要求工程师从“被动应对事故”转向“主动识别风险”。掌握这一框架后，你会发现，无论是ISO 13849的PL计算，还是IEC 62061的SIL分析，都是在为“风险是否被充分减小”这一核心问题提供量化证据。建议在机械设计立项之初就启动风险评估，并将风险评估报告作为设计输入文件之一，而非在样机完成后补做。