4、电气设备的设计原则：基于风险评估的安全设计流程
IEC 60204-1 的核心设计哲学并非“按清单堆砌安全装置”，而是建立一套以风险评估为起点、以风险减缓和验证为闭环的系统化设计流程。该标准明确要求：电气设备的安全相关设计决策必须基于对机器全生命周期内潜在危险的系统识别与评价。本章将深入解析这一流程的三个核心阶段——危险识别、风险减缓与验证，并阐明其与 ISO 12100 的关系，帮助工程师从“被动符合条款”转向“主动控制风险”。
上图展示了 IEC 60204-1 所倡导的闭环设计流程。与传统的“先设计后检查”不同，该流程要求安全设计贯穿于概念设计、详细设计、调试和运行维护的全过程。其核心逻辑是：风险识别不彻底，后续的减缓措施就是“无的放矢”；验证环节缺失，则无法证明安全措施的有效性。下面我们将逐一拆解每个阶段的具体实施方法。
4.1 危险识别：系统化“找茬”是安全设计的基石
核心原理
危险识别是风险评估的输入，其目标是全面列出机器在所有可预见的生命周期阶段（运输、安装、设定、操作、清洁、故障排查、报废）可能产生的伤害源。IEC 60204-1 并非孤立地看待电气危险，而是要求将电气系统作为整机的一部分，识别其与机械、气动、液压系统交互时产生的复合危险。例如，一个伺服驱动器的意外启动，不仅可能造成电击，更可能引发机械臂的意外移动导致挤压伤害。
操作流程与方法
- 边界界定：明确设备范围，包括控制柜、现场按钮站、执行机构、传感器及电缆布线路径。
- 任务分解：列出操作人员、维修人员可能执行的每一项任务（如更换刀具、调整传感器、手动盘车）。
- 危险源清单：对照 ISO 12100 附录 B 的八大类危险（机械、电气、热、噪声、振动、辐射、材料、人体工学），逐项排查。重点关注：
- 电气危险：直接接触（带电部件）、间接接触（绝缘失效）、静电放电、电弧闪络。
- 功能危险：意外启动、速度/力矩超限、急停失效、控制电路逻辑错误。
- 能量危险：残余电压（电容储能）、气动/液压残余压力、弹簧储能。
案例拆解：包装线热封机的“意外合模”事件
背景与现象：某食品包装线热封机在操作员伸手调整封口温度传感器时，热封模具突然闭合，造成手指压伤。初步调查显示，操作员并未触碰启动按钮。
关键输入数据：设备采用 PLC 控制，热封气缸由双电控电磁阀驱动。现场实测发现，电磁阀线圈 Y1 的 24V 控制线因长期弯折，绝缘层破损，与设备框架（接地）短路。
分析判断过程：由于 PLC 输出端采用漏型接法（NPN），当 Y1 控制线对地短路时，电流经破损点→框架→PE→PLC 内部 COM 端形成回路，导致 Y1 被意外励磁。这正是 IEC 60204-1 第 9.4.3 条所警示的“控制电路接地故障”风险。
整改措施：① 在控制回路中增加 24V 直流隔离变压器，并采用悬浮接地方式；② 将电磁阀线圈改为“源型接法（PNP）”，使短路点无法形成励磁回路；③ 增加 PLC 输出点短路诊断功能。
复盘经验：危险识别不能只看原理图，必须结合现场布线路径、线缆防护等级和操作行为。控制电路的设计必须考虑“单点接地故障”的最坏情况。
4.2 风险估计与评价：用参数量化“安全程度”
核心原理
风险估计并非精确的数学计算，而是基于逻辑推理的半定量评估。IEC 60204-1 引用了 ISO 13849-1 的风险图法，通过三个关键参数确定风险等级：伤害严重度（S）、暴露于危险的频率/持续时间（F）、避免危险的可能性（P）。风险等级决定了所需安全控制系统的性能等级（PLr）。
| 参数 | 选项 | 说明 | 示例 |
|---|---|---|---|
| S（严重度） | S1 / S2 | S1=轻微伤害（可逆）；S2=严重伤害（不可逆或死亡） | 手指擦伤 vs. 断指 |
| F（暴露） | F1 / F2 | F1=很少暴露；F2=频繁/持续暴露 | 每月维护 vs. 每循环上料 |
| P（避免） | P1 / P2 | P1=在特定条件下可避免；P2=几乎不可避免 | 有足够反应时间 vs. 高速冲压 |
判断方法
根据上述参数组合，可查风险图得到所需 PLr（a、b、c、d、e 五级，e 为最高）。例如：
- 冲压机双手按钮（S2 + F2 + P2）→ 通常要求 PLr = d 或 e。
- 仅用于设定模式的慢速点动（S1 + F1 + P1）→ 可能仅需 PLr = b 或 c。
关键原则：风险估计必须考虑“合理可预见的误用”，例如操作员为省事而拆除防护罩、屏蔽安全光幕等行为。
4.3 风险减缓：遵循“三步法”优先顺序
核心原理
风险减缓必须严格遵循以下优先顺序，不能随意跳级：
第一步：本质安全设计——通过设计消除危险或降低风险。例如：采用 24V 安全特低电压（SELV）供电消除电击风险；设计机械互锁结构防止在防护罩打开时进入危险区；使用“降速运行”模式替代“全速+光幕”方案。
第二步：安全防护与补充保护措施——当本质安全无法实现时，采用防护罩、联锁装置、安全光幕、双手控制、急停装置等。此时必须考虑安全功能对控制系统性能等级的要求。
第三步：使用信息——在设备上设置警告标志、残余风险说明、操作手册中的安全提示。注意：使用信息不能替代前两步措施，仅用于告知残余风险。
操作流程
- 电气停机类别选择：根据风险评估结果，确定安全功能（如急停）的停机类别。IEC 60204-1 定义了三种停机类别：
- 类别 0：立即切断动力电源（不可控停机，用于紧急情况）。
- 类别 1：受控停机，动力电源在停机完成后切断（用于需要控制减速过程的场合）。
- 类别 2：受控停机，动力电源保持接通（用于可安全暂停的场合，如伺服定位）。
- 安全电路架构：根据所需 PLr 等级，选择单通道、双通道或带诊断的架构。例如，PLr=d 通常要求双通道冗余结构，且需对两个通道进行差异化和交叉监控。
4.4 验证与确认：证明“安全”不是口头承诺
核心原理
验证（Verification）是确认设计措施是否正确实现了风险降低目标；确认（Validation）是确认措施在实际工况和可预见误用下是否仍然有效。IEC 60204-1 要求对安全相关电气控制系统进行验证，包括：检查、测量、功能测试和故障注入测试。
验证方法清单
| 验证对象 | 方法 | 通过标准 |
|---|---|---|
| 急停功能 | 按下急停按钮，测量动力接触器断开时间 | 断开时间 ≤ 200ms（典型值） |
| 安全门联锁 | 打开防护门，模拟 PLC 输入信号丢失 | 危险动作停止，且不能自动重启 |
| 残余电压放电 | 断电后 5 秒，用万用表测量电源端子对地电压 | 电压 ≤ 60V DC 或 25V AC |
| 控制电路接地故障 | 人为将控制线对地短路 | 机器不启动，或安全功能触发 |
案例拆解：注塑机安全光幕的“失效验证”
背景与约束：某注塑机使用安全光幕保护操作员取件区域。光幕输出接至安全继电器，安全继电器控制液压阀电源。客户投诉“光幕偶尔失灵”。
初始现象：使用标准测试棒（直径 14mm）遮挡光幕，液压阀能正常停止。但使用直径 8mm 的细棒快速扫过光幕时，液压阀未停止。
分析过程：查阅光幕说明书，其最小检测物体为 14mm。但现场操作员常手持细长工具伸入模区。进一步检查发现，安全继电器设置为“自动复位”模式，且光幕的 PNP 输出线缆与动力线平行走线，存在电磁干扰风险。
实际操作步骤：① 将光幕更换为最小检测物体 8mm 的型号；② 将安全继电器改为“手动复位”，防止光幕瞬间遮挡后自动复位导致意外启动；③ 将光幕信号线改为屏蔽双绞线，并单独穿管敷设，与动力线保持 200mm 以上距离。
结果对比：整改后，使用 8mm 测试棒快速扫过，液压阀可靠停止。故障率从每月 3 次降为 0。
复盘经验：验证不能仅使用标准测试工具，必须结合现场实际可能出现的“非标”操作行为。同时，安全电路的抗干扰能力（EMC）是验证的重要环节，IEC 60204-1 第 4.4 节对此有明确要求。