第二章 风险评估方法论：危险识别方法、风险矩阵与SIL/PL确定
各位工程师朋友，大家好。我是老张，在自动化安全领域摸爬滚打了十几年。今天咱们聊点硬核的——风险评估。
说实话，我刚入行那会儿，觉得风险评估就是走个过场。直到有一次，我在一个汽车焊装线上，亲眼看到机器人因为一个传感器误报，差点把操作工的手臂夹进去。从那以后，我彻底明白了：风险评估不是纸上谈兵，它是保命的底线。
这一章，我会把我在项目中踩过的坑、总结的经验，掰开了揉碎了讲给你听。咱们从最基础的三个问题开始：危险在哪？风险多大？怎么降到安全水平？
核心逻辑： 识别危险 → 评估风险 → 确定安全等级 → 设计安全措施。每一步都环环相扣，缺一不可。
2.1 危险识别方法：HAZOP 与 FMEA
先说说危险识别。我个人习惯把危险识别比作「给设备做体检」。你总得先知道哪里可能出问题，才能对症下药吧？
2.1.1 HAZOP（危险与可操作性分析）
HAZOP 这玩意儿，说白了就是一群人围在一起，对着工艺管道仪表图（P&ID）或者控制逻辑图，一个节点一个节点地「找茬」。它的核心思路是：如果某个参数偏离了设计值，会发生什么？
我记得在做一个化工项目的多轴机器人防碰撞分析时，我们团队用了 HAZOP。当时分析到机器人的关节速度控制回路，引导词是「过快」。结果发现，如果速度反馈信号丢失，驱动器会以最大速度输出——这直接导致机器人末端执行器撞上了旁边的工装夹具。还好是在分析阶段发现的，不然现场调试时肯定要出大事。
我的经验： HAZOP 的关键在于「引导词」要选对。常用的引导词包括：无、过多、过少、部分、相反、异常等。别小看这几个词，它们能帮你系统性地覆盖所有可能的故障模式。
HAZOP 的典型步骤：
- 定义节点： 把系统拆分成功能单元（比如：机器人关节1、关节2、末端执行器）
- 选择引导词： 针对每个节点，套用引导词
- 分析后果： 如果发生偏离，会有什么后果？
- 识别原因： 什么原因会导致这种偏离？
- 评估现有保护： 现有的安全措施能不能防止或减轻后果？
- 提出建议： 如果现有保护不够，需要增加什么措施？
2.1.2 FMEA（失效模式与影响分析）
FMEA 和 HAZOP 有点像，但侧重点不同。FMEA 更关注「某个部件坏了会怎样」。你想想看，一个电机编码器坏了、一个继电器触点粘连了、一个安全光幕被遮挡了——这些都属于 FMEA 的范畴。
我曾经在一个包装生产线上做 FMEA，分析到安全门锁开关时，发现了一个典型问题：如果门锁开关的常闭触点因为振动而瞬间断开，安全回路会误触发，导致整条线停机。这个故障模式的风险优先级数（RPN）很高，因为发生频率不低，而且后果严重（停机损失）。后来我们加了一个延时滤波电路，问题就解决了。
FMEA 的核心参数：
| 参数 | 含义 | 评分范围 |
|---|---|---|
| 严重度（S） | 失效后果的严重程度 | 1~10（10最严重） |
| 发生度（O） | 失效发生的概率 | 1~10（10最频繁） |
| 探测度（D） | 失效被检测到的难易程度 | 1~10（10最难检测） |
| RPN | 风险优先级数 = S × O × D | 1~1000 |
注意： RPN 只是一个相对指标，别太迷信数字。我见过有人为了降低 RPN，故意把探测度打低，这是自欺欺人。FMEA 的价值在于分析过程，而不是最终的数字。
2.2 风险矩阵与风险降低原则
好，危险识别完了，接下来要回答一个问题：这个风险到底有多大？
风险矩阵是我最常用的工具。它把风险的「可能性」和「严重性」两个维度画成一个表格，一目了然。
举个例子，一个典型的 5×5 风险矩阵：
| 可能性 \ 严重性 | 1（轻微） | 2（较小） | 3（中等） | 4（严重） | 5（灾难） |
|---|---|---|---|---|---|
| 5（极可能） | 中 | 中 | 高 | 高 | 极高 |
| 4（很可能） | 低 | 中 | 中 | 高 | 高 |
| 3（可能） | 低 | 低 | 中 | 中 | 高 |
| 2（不太可能） | 低 | 低 | 低 | 中 | 中 |
| 1（几乎不可能） | 低 | 低 | 低 | 低 | 中 |
颜色说明：绿色（低风险）→ 黄色（中风险）→ 红色（高风险/极高风险）。
风险降低原则其实就一句话：把红色变成黄色，把黄色变成绿色。怎么变？
- 消除： 从设计上把危险源去掉。比如用伺服电机代替气缸，消除气动夹爪的夹伤风险。
- 替代： 用更安全的方式替代。比如用低压电代替高压电。
- 工程控制： 加装安全防护装置。比如安全光幕、安全门锁、双手启动按钮。
- 管理控制： 培训、操作规程、警示标识。
- 个人防护： 安全帽、护目镜、防护手套。
核心原则： 优先采用「消除」和「替代」，实在不行才用「工程控制」。管理控制和 PPE 是最后一道防线，千万别把它们当主力。
2.3 安全完整性等级（SIL/PL）的确定
说到 SIL 和 PL，很多新手容易搞混。我简单解释一下：
- SIL（安全完整性等级）： 来自 IEC 61508 / IEC 62061 标准，主要用于过程工业、机械安全领域。分 SIL 1~4 四个等级，SIL 4 最高。
- PL（性能等级）： 来自 ISO 13849-1 标准，主要用于机械安全控制系统。分 PL a~e 五个等级，PL e 最高。
说白了，SIL 和 PL 都是用来衡量安全控制系统可靠性的指标。它们之间有个大致的对应关系：
| SIL | PL | 每小时危险失效概率（PFHd） | 典型应用 |
|---|---|---|---|
| SIL 1 | PL c | ≥ 10⁻⁶ 且 < 10⁻⁵ | 简单安全门锁 |
| SIL 2 | PL d | ≥ 10⁻⁷ 且 < 10⁻⁶ | 机器人安全监控 |
| SIL 3 | PL e | ≥ 10⁻⁸ 且 < 10⁻⁷ | 高速冲压机安全控制 |
| SIL 4 | — | ≥ 10⁻⁹ 且 < 10⁻⁸ | 核电、航空（极少用到） |
怎么确定需要哪个等级？我一般用「风险图法」或「风险矩阵法」。以 ISO 13849-1 的 PL 确定为例，需要考虑三个参数：
- S（伤害严重度）： S1（轻微，可逆）、S2（严重，不可逆）
- F（暴露频率/时间）： F1（很少/短时间）、F2（频繁/长时间）
- P（避免可能性）： P1（可能避免）、P2（几乎不可能避免）
举个例子：一个多轴机器人的工作区域，操作工需要频繁进入（F2），一旦发生碰撞，后果严重（S2），而且机器人速度快，操作工很难躲开（P2）。查风险图，对应的 PL 等级是 PL d 或 PL e。嗯，这时候你就得用 SIL 2 或 SIL 3 级别的安全控制器了。
避坑指南： 我曾经在一个项目中，客户坚持要用 SIL 3 的安全继电器来控制一个简单的传送带安全门。我告诉他，这就像用大炮打蚊子——成本高、维护复杂，而且没必要。后来我们用风险矩阵一算，SIL 1 就足够了。记住：安全等级不是越高越好，够用就行。过高的安全等级会带来不必要的成本和复杂性。
2.4 实战中的注意事项
最后，分享几个我在项目中总结的要点：
- 文档要留痕： 风险评估不是做完就完了。所有分析记录、风险矩阵、SIL 计算书都要存档。万一出了事故，这些文档能证明你尽到了责任。
- 团队要多元： 做 HAZOP 或 FMEA 时，别只有电气工程师。叫上机械工程师、工艺工程师、甚至操作工一起。操作工最清楚设备在实际使用中会出什么幺蛾子。
- 迭代是常态： 风险评估不是一次性的。设备改造、工艺变更、甚至操作人员更换，都可能引入新的风险。我习惯每年至少做一次风险评估回顾。
- 别忽视软件： 现在的多轴机器人系统，很多安全功能是靠软件实现的。软件的安全完整性等级（SW-SIL）同样重要，别只盯着硬件。
好了，这一章的内容就到这里。风险评估是个实践性很强的工作，光看书没用，得动手做。下次你在现场看到一台机器人，不妨试着用 HAZOP 的思路分析一下：如果它的速度反馈丢了会怎样？如果安全光幕被遮挡了会怎样？多练几次，你就能形成条件反射了。