1、Copyright 2007 Rockwell Automation,Inc.All rights reserved.机械安全标准及风险评估机械安全标准及风险评估 徐 凯Safety Consultant，CSMContents2.机械安全标准机械安全标准ISO 13849-13.风险评估及风险减少风险评估及风险减少 1.机械安全标准机械安全标准EN954-1Copyright 2007 Rockwell Automation,Inc.All rights reserved.Contents1.机械安全标准机械安全标准EN954-1Copyright 2007 Rockwell Automat
2、ion,Inc.All rights reserved.P1P2P1P2F1F2S1S2风险评估等级B1234控制系统防护措施控制系统防护措施 EN 954 1S_伤害的程度:1=轻伤2=重伤或死亡 F_面临危险的时间和频率:1=从无到经常发生2=从经常发生到持续发生P_避免危险的可能性:1=在特定条件下可能2=几乎不可能根据EN954-1进行风险评估(控制系统安全部分失效）Copyright 2007 Rockwell Automation,Inc.All rights reserved.等级要求摘要风险评估安全原则B控制器的安全相关部分的选择必须根据最新的技术，并且可以承受预期的运行强度，
3、能够承受运行过程中工作介质的影响和相关外部环境的影响。一个故障可以导致安全功能的丢失一些故障依然不会被监测出来通过元器件和安全原理的选择。1在等级B的基础上，必须使用具有安全功能保证的元器件和原理如同等级B,但在安全功能上更加可靠等级描述等级描述,EN 954-1Copyright 2007 Rockwell Automation,Inc.All rights reserved.等级描述等级描述,EN 954-1等级要求摘要风险评估安全原则2符合等级B和1的要求，在适当的时间，控制系统必须监测安全功能在监测中，一个故障会导致安全功能的丧失通过监测故障可以被检查出来通过设计3符合等级B和1的要求
4、，控制系统必须按照以下步骤设计：a.一个单一的故障不会导致安全功能的丧失。b.通过使用适当的方法，可以监测出单一故障（使用最新的技术）如果单一故障出现，安全功能依然可以保持一些但不是所有的故障都可以被监测出来一个累积的监测不出的故障能够导致安全功能的丧失4符合等级B和1的要求，控制系统必须按照以下步骤设计：a.控制系统中的单一故障不会导致安全功能的丧失 b.如果可能，在下一个安全功能实施前，单一错误可以被检测出来 c.如果b不可能实现，一个累积的故障不会导致安全功能的丢失甚至在故障出现的时候，安全功能总是保持故障会被及时检测出来，以防止安全功能的丢失Copyright 2007 Rockwel
5、l Automation,Inc.All rights reserved.接线示例接线示例一一T0T1T1T0O0O1O2O3I0I1I2I3O4O5O6O7I4I5I6I7 等级 4 等级 3 等级 2复位+24 VDCCopyright 2007 Rockwell Automation,Inc.All rights reserved.接线示列二接线示列二等级 4 输出接线 接触器T0T1T1T0O0O1O2O3I0I1I2I3O4O5O6O7I4I5I6I7+24 VDCCR1CR2Copyright 2007 Rockwell Automation,Inc.All rights rese
6、rved.安全控制电路设计安全控制电路设计 一一急停按钮的直接串联主回路不带辅助控制回路EN 954-1F1L1L2L3M1M 3 UVWF0K1K1S2L1(+)N(-)StartS1StopS0E-Stop1 0Copyright 2007 Rockwell Automation,Inc.All rights reserved.M3K1K2K2STARTSTOPK1E-Stop不允许不允许,K1 并没有冗余和监控的安全措施.K1的一个主要的故障就会导致危险状态的出现。急停按钮通过控制辅助回路里中间继电器，来控制主回路里的交流接触器。EN 954-1安全控制电路设计安全控制电路设计 二二Co
7、pyright 2007 Rockwell Automation,Inc.All rights reserved.EN 954-1:等级等级 22符合 等级 B 的要求，并且使用适当的、可靠的安全设计法则:在机器启动的时候，执行一个安全检测功能安全检测功能，若有必要可以周期性的执行该检测功能只有系统是安全的，机器才能够启动.通过一个频繁的检测，故障可以被检测出来 也就是 高等级的安全高等级的安全特性特性单通道输入使用启动检测功能的控制器件等级基本要求系统特性典型应用Copyright 2007 Rockwell Automation,Inc.All rights reserved.外部接线的分
8、类等级 2急停按钮的应用（等级急停按钮的应用（等级2）安全触点根据 EN 60204安全相关控制部分根据 VDE 0100电源控制部分故障评估可检测接地故障 可检测安全回路故障E-StoponCopyright 2007 Rockwell Automation,Inc.All rights reserved.EN 954-1:等级等级 3等级基本要求系统特性典型应用3符合 等级 B 的要求，并且使用适当的、可靠的安全设计法则安全相关部分必须按照以下设计:-在任何部分的单一故障不会单一故障不会导致安全功能的丢失导致安全功能的丢失 并且-任何时候，使用适当的方法，单一故障能够被检测出来单一故障能够
9、被检测出来双通道触点(或两个分离的)安全输入 设备，连接至两个独立的电路单元。一个单一故障的出现不会导致安全功能的丢失在下一次安全功能实施前，能够检测出该单一故障但并不是所有的故障都但并不是所有的故障都会被检测出来，一个累会被检测出来，一个累计的故障会导致安全功计的故障会导致安全功能的丢失能的丢失Copyright 2007 Rockwell Automation,Inc.All rights reserved.外部接线的分类 等级 3急停按钮的应用（等级急停按钮的应用（等级3）安全触点反馈回路反馈回路E-Stopon根据 EN 60204安全相关控制部分根据 VDE 0100电源控制部分故障
10、评估可检测接地故障 可检测安全电路中的故障可检测急停按钮的故障Copyright 2007 Rockwell Automation,Inc.All rights reserved.EN 954-1:等级等级 4等级基本要求系统特性 典型应用4符合 等级 B 的要求，并且使用适当的、可靠的安全设计法则安全相关部分必须按照以下设计:-在任何部分的单一故障不会单一故障不会导致安全功能的丢失导致安全功能的丢失 并且-任何时候，使用适当的方法，单一故障能够被检测出来单一故障能够被检测出来-一个累计的故障一个累计的故障不会导致安全功能的丢失能够及时检测出单一故障以防止安全功能的丢失.先前的、累计的故障不会
11、导致安全功能的丢失Copyright 2007 Rockwell Automation,Inc.All rights reserved.反馈回路安全触点反馈回路安全触点E-Stopon故障评估可检测接地故障 可检测安全电路中的故障可检测急停按钮的故障可检测急停按钮接线的故障急停按钮的应用（等级急停按钮的应用（等级4）外部接线的分类 等级 4根据 EN 60204安全相关控制部分根据 VDE 0100电源控制部分Copyright 2007 Rockwell Automation,Inc.All rights reserved.Contents2.机械安全标准机械安全标准ISO 13849-1C
12、opyright 2007 Rockwell Automation,Inc.All rights reserved.机器控制系统的安全标准机器控制系统的安全标准2005.9.27 EN IEC61508基本安全出版物国际应用不调整EN IEC62061机器标准部分综合标准多参照 EN IEC 61508EN ISO13849(EN 954)在欧洲调整参考300+C标准13849旧FDIS 200613849修订13849旧200913849修订Copyright 2007 Rockwell Automation,Inc.All rights reserved.EN ISO 13849-1:20
13、06EN 954-1:1996确定性IEC 61508:2000可能性确定性和可能性之间的平衡关系确定性和可能性之间的平衡关系安全功能风险图表类型可靠的原理新的概念分析：可靠性，测试和共同原因的故障软件Copyright 2007 Rockwell Automation,Inc.All rights reserved.PL的定义及其与的定义及其与SIL的关系的关系危险故障的概率（每小时）10-410-5310-610-610-710-8EN ISO13849-1PLabcdeSILIEC61508123无特殊安全要求高风险要求低风险要求Copyright 2007 Rockwell Autom
14、ation,Inc.All rights reserved.EN ISO 13849-1的关键：性能水平的关键：性能水平PL安全功能PLr:必需的性能 水平确定SRP/CS确定PL值PL PLr?验证 类型 软件 MTTFdDCavgCCF200119962005Copyright 2007 Rockwell Automation,Inc.All rights reserved.简单的方法：通过风险图表进行风险分析简单的方法：通过风险图表进行风险分析S:伤害的程度F:危险暴露的频率 和/或时间P:避免危险或限制 伤害的可能性风险评估的起点 低风险必需的性能水平PLr高风险Copyright 2
15、007 Rockwell Automation,Inc.All rights reserved.对于类型发生了什么？对于类型发生了什么？类型（冗余，测试）EN 954-1(1997)CCF2、3、4类需要MTTFd（元件）1+4类需要高MTTFd值 DCavg（测试）2+3类只需低DCavg值，4类需要高DCavg值 Copyright 2007 Rockwell Automation,Inc.All rights reserved.每个类型的特定结构每个类型的特定结构3I1I2L1L2O1O2ILOB 或 1ITELOOTE2 或 4Copyright 2007 Rockwell Autom
16、ation,Inc.All rights reserved.MTTFd 到（危险）故障的平均时间到（危险）故障的平均时间MTTFd:系统的单个通道预计不发生危险故障的平均操作 时间Copyright 2007 Rockwell Automation,Inc.All rights reserved.MTTFd 到（危险）故障的平均时间到（危险）故障的平均时间MTTFd:系统的单个通道预计不发生危险故障的平均操作 时间opddnBMTTF1,010典型值典型值 元件 Copyright 2007 Rockwell Automation,Inc.All rights reserved.MTTFd:系
17、统的单个通道预计不发生危险故障的平均操作 时间opddnBMTTF1,010元件计算法iiddMTTFMTTF,11典型值 元件 通道 MTTFd 到（危险）故障的平均时间到（危险）故障的平均时间Copyright 2007 Rockwell Automation,Inc.All rights reserved.MTTFd:系统的单个通道预计不发生危险故障的平均操作 时间opddnBMTTF1,010元件计算法iiddMTTFMTTF,11212111132dCdCdCdCMTTFMTTFMTTFMTTFMTTFd=典型值 综合 元件 通道 系统 MTTFd 到（危险）故障的平均时间到（危险）
18、故障的平均时间Copyright 2007 Rockwell Automation,Inc.All rights reserved.MTTFd:系统的单个通道预计不发生危险故障的平均操作 时间opddnBMTTF1,010元件计算法iiddMTTFMTTF,11212111132dCdCdCdCMTTFMTTFMTTFMTTFMTTFd=典型值 综合 等级元件 通道 系统 MTTFd 到（危险）故障的平均时间到（危险）故障的平均时间Copyright 2007 Rockwell Automation,Inc.All rights reserved.DC 诊断覆盖率诊断覆盖率 已发现的危险故障的
19、概率 所有的危险故障的概率DC=Copyright 2007 Rockwell Automation,Inc.All rights reserved.已发现的危险故障的概率 所有的危险故障的概率DC=典型数值90%99%元件 DC 诊断覆盖率诊断覆盖率Copyright 2007 Rockwell Automation,Inc.All rights reserved.已发现的危险故障的概率 所有的危险故障的概率DC=典型数值90%99%dNdddNNddMTTFMTTFMTTFMTTFDCMTTFDCMTTFDC111212211DCavg=平均元件 系统 DC 诊断覆盖率诊断覆盖率Copyr
20、ight 2007 Rockwell Automation,Inc.All rights reserved.已发现的危险故障的概率 所有的危险故障的概率DC=典型数值90%99%dNdddNNddMTTFMTTFMTTFMTTFDCMTTFDCMTTFDC111212211DCavg=平均等级系统 元件 DC 诊断覆盖率诊断覆盖率Copyright 2007 Rockwell Automation,Inc.All rights reserved.CCF 共同原因的故障共同原因的故障适用于多通道结构（2,3,4类）CCF:以65分为起点的评分方法 25201015555多样性过压等EMC温度等8
21、5O.K.CCFCopyright 2007 Rockwell Automation,Inc.All rights reserved.性能水平与类型性能水平与类型B无无1无无2低低2中中3低低3中中4高高类型类型:DCavg:低中高性性能能水水平平Copyright 2007 Rockwell Automation,Inc.All rights reserved.B无无1无无2低低2中中3低低3中中4高高类型类型:DCavg:低中高 C性能水平与类型性能水平与类型Copyright 2007 Rockwell Automation,Inc.All rights reserved.3类MTTFd
22、=202年DC=90%CCFPL d4类MTTFd=856年DC=99%CCFPL e安全互锁安全继电器#2光耦合器方向阀主阀安全继电器#1接触器 接触器4类MTTFd=570年DC=99%CCFPL e3类MTTFd=139年DC=90,7%CCFPL ePL=d 15674233组合组合Copyright 2007 Rockwell Automation,Inc.All rights reserved.Contents3.风险评估及风险减少风险评估及风险减少 Copyright 2007 Rockwell Automation,Inc.All rights reserved.EN 1050
23、 风险评估风险评估剩余的风险没有采用安全措施时的风险风险危险可接受的风险安全必须要减少的风险真正的风险减少Copyright 2007 Rockwell Automation,Inc.All rights reserved.可能性中的因素有哪些?暴露的时间人数发生的可能性危险 风险 什么是危险?物体或现场可能造成危害的起源 什么是风险?F(严重性 x 可能性)风险分析Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险分析Copyright 2007 Rockwell Automation,Inc.All rights re
24、served.风险分析Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险分析Copyright 2007 Rockwell Automation,Inc.All rights reserved.各种危险的描述:危险热的机械的声音,噪声电的振动辐射化学的功效危险的综合功能性故障保护不足摩擦,卷入,刺穿,碾压,坠落,稳定性,直接&间接的接触,静电,绝缘,过流,风险分析Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险减少的步骤风险减少的步骤步骤一 :通过设
25、计减少风险（一般主要是通过设计消除危险的隐患，如减少引起危险的力或速度，通过优良的人类工效学设计）步骤二 :采用安全防护措施（如防护罩、联锁保险装置）步骤三 :实施个人保护措施步骤四 :采用通知和警告提示信息*Mandatory in some country legislations See also ISO 12100-1Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤一：通过设计减少风险步骤一：通过设计减少风险通过设计来避免危险的接近Copyright 2007 Rockwell Automation,Inc.Al
26、l rights reserved.步骤二：采用安全防护措施步骤二：采用安全防护措施示例 1:a)带互锁装置的可移动安全门*b)固定的安全门*必须使用安全的控制回路Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤二：采用安全防护措施步骤二：采用安全防护措施示例 2:光栅*安全地毯*必须使用安全的控制回路 Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤二：采用安全防护措施步骤二：采用安全防护措施示例 3:紧急停止设备*必须使用安全的控制回路 Cop
27、yright 2007 Rockwell Automation,Inc.All rights reserved.步骤二：采用安全防护措施步骤二：采用安全防护措施示例 4:安全缓冲器*必须使用安全的控制回路 Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤二：采用安全防护措施步骤二：采用安全防护措施示例 5:双手控制*必须使用安全的控制回路 Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤三步骤三 :实施个人保护措施实施个人保护措施听力保护安全眼镜防
28、毒面具Copyright 2007 Rockwell Automation,Inc.All rights reserved.步骤四步骤四 :采用通知和警告提示信息采用通知和警告提示信息固定的危险标志创建安全工作流程培训使用者等等Copyright 2007 Rockwell Automation,Inc.All rights reserved.Derived from website HSE UK机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.安 固定防护罩 全 防护罩 可调试防护罩 防 联锁式防护罩
29、 护 措 保护装置 施 机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.EN 811机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserve
30、d.EN 811机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.75120 max机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.Fixed guard机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All righ
31、ts reserved.EN 294机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.Enclosing guard Example from EN 953 Fixed guard机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.Distance GuardExample from EN 953 Fixed guard机械防护措施机械防护措施Copyright 2007 Rockwell Automation,I
32、nc.All rights reserved.EN 294机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.Fixed guard机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.机械防护措施机械防护措施Copyright 2007 Rockwell Automation,Inc.All rights reserved.P1P2P1P2F1F2S1S2风险评估等级B1234控制系统防护措施控制系统防护措施 EN
33、954 1S_伤害的程度:1=轻伤2=重伤或死亡 F_面临危险的时间和频率:1=从无到经常发生2=从经常发生到持续发生P_避免危险的可能性:1=在特定条件下可能2=几乎不可能根据EN954-1进行风险评估(控制系统安全部分失效）Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险评估、风险减少风险评估、风险减少 示例示例机器人单元 PLC 控制机械手以较慢的速度运行，会对操作人员造成较小的伤害。每一个工作循环，操作人员需要把金属加工件放入剪板机。金属加工件被剪切为2部分，同时机械手取走需要的部分。当操作人员放入金属加工件时，
34、需要将手直接放入剪板机之下。Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险评估、风险减少风险评估、风险减少 示例示例A 剪板机部分 能够切断手/手臂，导致致命的伤害。每一个工作循环，操作人员需要手动地把金属加工件放入剪板机轧刀下，并且需要持续地操作，一天24小时。剪板机轧刀的剪切速度约为0.5秒；操作人员几乎不可能避免此危险情况。剪板机轧刀部分剪板机轧刀部分 机械手机械手 P1P2P1P2F1F2S1S2风险评估等级B1234Copyright 2007 Rockwell Automation,Inc.All righ
35、ts reserved.风险评估、风险减少风险评估、风险减少 示例示例B 机械手部分 能够导致严重的、不可恢复伤害。操作人员需要清洗工作单元，频率为每天一次，每次历时10分钟。可以避免危险剪板机轧刀部分剪板机轧刀部分 机械手机械手 P1P2P1P2F1F2S1S2风险评估等级B1234Copyright 2007 Rockwell Automation,Inc.All rights reserved.风险评估、风险减少风险评估、风险减少 示例示例 光栅光栅 演示台演示台 安全门（带锁，受限制的进入）安全门（带锁，受限制的进入）急停按钮急停按钮 隔离栅栏隔离栅栏 隔离锁隔离锁 压力地毯压力地毯
36、Copyright 2007 Rockwell Automation,Inc.All rights reserved.安全系统安全系统:安全输入信号安全输入信号急停按钮安全门双手按钮光栅安全地毯和安全缓冲器Copyright 2007 Rockwell Automation,Inc.All rights reserved.安全系统安全系统:控制电路控制电路安全继电器可编程安全继电器安全PLCCopyright 2007 Rockwell Automation,Inc.All rights reserved.等级要求摘要风险评估安全原则B控制器的安全相关部分的选择必须根据最新的技术，并且可以承受
37、预期的运行强度，能够承受运行过程中工作介质的影响和相关外部环境的影响。一个故障可以导致安全功能的丢失一些故障依然不会被监测出来通过元器件和安全原理的选择。1在等级B的基础上，必须使用具有安全功能保证的元器件和原理如同等级B,但在安全功能上更加可靠等级描述等级描述,EN 954-1Copyright 2007 Rockwell Automation,Inc.All rights reserved.等级描述等级描述,EN 954-1等级要求摘要风险评估安全原则2符合等级B和1的要求，在适当的时间，控制系统必须监测安全功能在监测中，一个故障会导致安全功能的丧失通过监测故障可以被检查出来通过设计3符合
38、等级B和1的要求，控制系统必须按照以下步骤设计：a.一个单一的故障不会导致安全功能的丧失。b.通过使用适当的方法，可以监测出单一故障（使用最新的技术）如果单一故障出现，安全功能依然可以保持一些但不是所有的故障都可以被监测出来一个累积的监测不出的故障能够导致安全功能的丧失4符合等级B和1的要求，控制系统必须按照以下步骤设计：a.控制系统中的单一故障不会导致安全功能的丧失 b.如果可能，在下一个安全功能实施前，单一错误可以被检测出来 c.如果b不可能实现，一个累积的故障不会导致安全功能的丢失甚至在故障出现的时候，安全功能总是保持故障会被及时检测出来，以防止安全功能的丢失Copyright 2007
39、 Rockwell Automation,Inc.All rights reserved.Rockwell 机械安全服务机械安全服务1.风险评估风险评估 2.危险评估危险评估 3.机械安全培训机械安全培训 4.安全控制回路分析安全控制回路分析5.机器停止时间计算服务机器停止时间计算服务 7.安全系统检查安全系统检查 8.弧闪评估服务弧闪评估服务9.LOTO 服务服务 10.一致性一致性/符合性检查符合性检查 11.CE 机械指令支持机械指令支持12.安全系统交钥匙项目安全系统交钥匙项目6.安全系统设计安全系统设计Copyright 2007 Rockwell Automation,Inc.Al
40、l rights reserved.机械安全服务周期机械安全服务周期STEP 2选择减少风险的方法选择减少风险的方法 基于风险评估、系统性能和安全标准。STEP 1风险评估风险评估 识别风险点，确定风险等级。STEP 5运行运行 检查系统是否按要求运行，系统是否达到相关标准的要求。投入正常生产 预防性维护Life CycleSTEP 3安全装置设计安全装置设计 安全系统的功能 设计系统构架 安全控制回路设计 方案确认 防护设计STEP 4项目管理项目管理 材料准备 系统集成 综合测试 试运行 培训Copyright 2007 Rockwell Automation,Inc.All rights reserved.CSM Safety SolutionsCopyright 2007 Rockwell Automation,Inc.All rights reserved.
