二、安全工程基础：能量源分级与安全防护原则
IEC 62368-1 标准的核心思想，是将传统的“基于预设故障场景”的安全理念，转变为“基于能量源分级与伤害路径分析”的工程方法。这一转变意味着，工程师不再仅仅依赖“加个绝缘、装个外壳”的固定套路，而是需要从产品内部能量源的固有属性出发，识别其可能造成的伤害类型，并针对性地部署三层防护策略。本章将深入解析能量源分级（Class 1/2/3）、伤害类型（电击、火灾、机械、辐射、热）以及安全防护原则（SOP、FOP、MP），帮助学员建立系统化的安全工程思维。
2.1 能量源分级：从“危险”到“安全”的量化标尺
2.1.1 核心原理：基于人体生理效应的分级逻辑
IEC 62368 不再沿用传统“安全电压”或“安全功率”的单一阈值，而是将能量源按照其可触及性与致伤能力划分为三个等级。分级依据包括电压幅值、电流容量、功率水平、频率特性以及能量源与人体接触的可能性。Class 1 能量源在正常条件下即使被人体直接触及，也不会造成伤害；Class 2 能量源在单一故障条件下可能产生危险，但通过基本防护即可避免；Class 3 能量源则具有内在危险性，即使正常操作也可能导致严重伤害，必须依赖多重防护。
| 等级 | 典型参数范围（示例） | 可触及性 | 防护要求 |
|---|---|---|---|
| Class 1 | 电压 ≤ 2Vrms 或 ≤ 3Vdc，电流 ≤ 0.2mA | 允许直接触及 | 无需额外防护 |
| Class 2 | 电压 ≤ 30Vrms 或 ≤ 60Vdc，电流 ≤ 0.5mA | 正常可触及，故障时危险 | 需 FOP 基本防护 |
| Class 3 | 电压 > 30Vrms 或 > 60Vdc，电流 > 0.5mA | 触及即危险 | 需 SOP+FOP+MP 三层防护 |
值得注意的是，分级并非只看单一参数。例如，一个 12V 的电源在干燥环境下可能属于 Class 2，但在潮湿环境或浸水条件下，由于人体电阻降低，可能被重新评估为 Class 3。因此，工程师必须结合产品的预期使用环境和可合理预见的误用场景进行综合判断。
2.1.2 判断方法：能量源分级评估流程
- 识别能量源：列出产品中所有可能存储或传递电能的部件，包括电源适配器、电池、电容、变压器次级、高压母线等。
- 测量关键参数：在额定负载和空载条件下，分别测量电压（有效值/峰值）、电流（持续/瞬态）、功率和频率。
- 评估可触及性：根据产品外壳开口、可拆卸部件、用户操作方式，判断人体部位（手指、手背、工具）是否可能接触到能量源。
- 应用分级表：对照标准中的分级表（如 Table 4-8），确定每个能量源的等级。
- 记录并标注：在原理图和结构图上明确标注能量源等级，作为后续防护设计的输入。
2.1.3 案例拆解：USB 接口的能量源分级
以一台支持 USB-PD 的显示器为例，其 USB Type-C 接口在 PD 协商前输出 5V/3A，协商后可能输出 20V/5A。从能量源分级角度看：
- 5V/3A 状态：电压低于 60Vdc，但电流 3A 超过 Class 2 的 0.5mA 限值。然而，由于 USB 接口的触点是凹陷的，且人体手指无法直接触及带电部分，因此实际可触及性较低。按照标准，该状态可归类为 Class 2，需要 FOP（如接口外壳接地、限流电路）。
- 20V/5A 状态：电压 20V 仍低于 60Vdc，但功率达到 100W。此时若发生短路，可能产生电弧或过热，需评估火灾风险。该状态应视为 Class 2 至 Class 3 的边界情况，建议按 Class 3 设计，增加 MP（如过流保护、温度监控）。
这个案例说明，能量源分级不是静态的，而是随产品工作状态变化。工程师必须考虑最恶劣工况下的分级，并确保防护措施在所有工作模式下均有效。
2.1.4 常见误区与总结
正确的做法是：将能量源分级视为一个动态评估过程，在产品的每个工作模式、每个故障条件下重新评估，并保留评估记录作为合规证据。
2.2 伤害类型：从能量源到损伤的完整路径
2.2.1 核心原理：伤害路径模型
IEC 62368 将伤害定义为“能量源通过特定耦合机制作用于人体或财产，造成物理损伤或功能丧失”。伤害路径包含四个要素：能量源（如带电导体）、耦合机制（如直接接触、电弧、热传导）、受体（人体组织、可燃材料）和后果（心室颤动、烧伤、火灾）。理解伤害路径的价值在于：防护措施可以作用于路径上的任意环节，而不仅仅是对能量源本身进行隔离。
2.2.2 主要伤害类型详解
| 伤害类型 | 能量源示例 | 耦合机制 | 典型后果 | 防护切入点 |
|---|---|---|---|---|
| 电击 | 危险电压、漏电流 | 人体直接接触、电容放电 | 心室颤动、肌肉痉挛 | 绝缘、接地、限流 |
| 火灾 | 过载导线、短路电弧 | 焦耳热、电弧引燃 | 财产损失、烧伤 | 熔断器、阻燃材料、温度保护 |
| 机械 | 旋转部件、弹簧机构 | 动能传递、挤压 | 切割伤、骨折 | 防护罩、联锁开关、限位 |
| 辐射 | 激光二极管、射频天线 | 电磁波吸收、光热效应 | 视网膜损伤、皮肤灼伤 | 屏蔽、功率限制、光束阻挡 |
| 热 | 散热器、加热元件 | 接触传导、热辐射 | 低温烫伤、皮肤灼伤 | 隔热层、表面温度限制、警示标识 |
2.2.3 案例拆解：激光打印机的伤害路径分析
一台激光打印机包含多种能量源：高压电晕丝（电击）、定影加热器（热/火灾）、激光扫描单元（辐射）、纸张传送辊（机械）。以激光扫描单元为例：
- 能量源：Class 3 激光二极管，输出功率 5mW，波长 780nm（近红外）。
- 耦合机制：激光束通过扫描镜反射，可能从出纸口或检修口泄漏。
- 受体：用户眼睛的视网膜，红外光不可见，无法触发眨眼反射。
- 后果：视网膜局部灼伤，导致永久性视力缺损。
防护设计：① 在激光扫描单元外壳上安装联锁开关，打开外壳即切断激光电源（SOP）；② 在出纸口设置光束阻挡片，防止激光直接射出（FOP）；③ 将激光功率限制在 Class 1 水平（通过扩散透镜或衰减片），即使泄漏也不构成伤害（MP）。
2.2.4 常见误区与总结
工程师应绘制伤害路径图，标注每个环节的防护措施，并验证措施的有效性。这种系统化方法比单纯依赖经验更可靠，也更容易通过认证机构的审查。
2.3 安全防护原则：SOP、FOP 与 MP 的协同设计
2.3.1 核心原理：三层防护的独立性与冗余性
IEC 62368 要求对 Class 3 能量源提供三层防护：SOP（安全防护）是能量源自身的固有安全设计，如绝缘、限流、能量限制；FOP（基本防护）是防止触及能量源的物理屏障，如外壳、挡板、联锁；MP（附加防护）是当 SOP 和 FOP 均失效时的最后防线，如保护接地、漏电保护器、温度熔断器。三层防护必须相互独立，即任何一层失效不会影响其他层的功能；同时，三层防护应冗余，即单点故障不会导致安全功能完全丧失。
2.3.2 设计方法：防护层级的选择与验证
- 确定能量源等级：按 2.1 节方法评估每个能量源的等级。
- 选择防护层级：Class 1 仅需 SOP；Class 2 需 SOP+FOP；Class 3 需 SOP+FOP+MP。
- 设计 SOP：优先采用“本质安全”设计，如将电压限制在安全范围、使用双重绝缘、设置限流电阻。
- 设计 FOP：考虑机械强度、耐热性、防拆性。FOP 应能承受正常使用中的磨损和可预见的滥用。
- 设计 MP：MP 通常为主动保护电路，需考虑故障自检功能。例如，保护接地线断裂时应能自动切断电源。
- 验证防护有效性：通过故障注入测试（如短路、开路、过载）验证每层防护的独立性和整体安全性。
2.3.3 案例拆解：开关电源的防护设计
以一款 65W 笔记本适配器（输入 100-240VAC，输出 20V/3.25A）为例，其防护设计如下：
- SOP：变压器初次级之间使用三重绝缘线，光耦反馈隔离，Y 电容限制共模干扰。开关管采用电流限制和过温保护，确保任何故障下输出功率不超过安全限值。
- FOP：外壳采用 UL94 V-0 阻燃 PC 塑料，所有开孔尺寸小于手指探入极限。输出线缆使用双重绝缘，连接器设计为凹陷式触点。
- MP：输入级设置保险丝（5A/250V），输出级设置 OVP（过压保护）和 OCP（过流保护）。当检测到输出超过 24V 或 4A 时，立即锁死 PWM 控制器。
验证结果：在短路测试中，保险丝在 0.1 秒内熔断，外壳温度最高 85°C，无火焰产生；在输出过压测试中，OVP 电路在 10ms 内响应，输出电压被钳位在 24V 以下。该设计满足 Class 3 能量源的三层防护要求。
2.3.4 常见误区与总结
正确的防护设计应遵循“纵深防御”原则：每一层防护都独立承担安全功能，且各层之间形成互补。工程师应在设计早期就引入安全分析（如 FMEA），并在样机阶段进行充分的故障测试，确保三层防护在真实工况下均有效。