3. 风险分析与评估：危险识别、风险矩阵、风险降低原则（三步法）
各位工程师，咱们今天聊点实在的。做PLC安全程序，最怕什么？最怕你程序写完了，现场一跑，出事了。我见过太多项目，功能逻辑完美，但安全设计一塌糊涂。说白了，安全设计不是靠感觉，而是靠一套严谨的方法论。
今天要讲的这套「三步法」，是我个人习惯用的核心框架。你把它吃透了，至少能避开80%的坑。
3.1 第一步：危险识别——你得知道「敌人」在哪
危险识别，听着玄乎，其实就是问自己一个问题：「如果这个设备失控，人会怎样？」
我建议你拿张纸，把设备从头到尾走一遍。别光想正常情况，专门想「不正常」的情况。比如：
- 机械臂突然加速，会不会打到人？
- 传送带卡住，电机堵转会不会起火？
- 急停按了，但程序没响应，怎么办？
嗯，这里要注意。危险识别不是一次性的。我在项目中遇到过，客户说「我们设备很安全，没危险」。结果我蹲在现场一看，安全门连锁用的是普通限位开关，不是安全门锁。这就是典型的「没识别出来」。
3.2 第二步：风险矩阵——给危险「打分」
识别出危险了，然后呢？你得排个优先级。不是所有危险都要立刻解决，资源有限嘛。这时候就要用风险矩阵。
风险矩阵说白了就两个维度：严重性和可能性。
| 严重性 | 描述 | 分值 |
|---|---|---|
| 灾难性 | 可能导致死亡或永久性伤害 | 4 |
| 严重 | 可能导致严重伤害或职业病 | 3 |
| 中等 | 可能导致需就医的伤害 | 2 |
| 轻微 | 可能导致轻微擦伤或不适 | 1 |
| 可能性 | 描述 | 分值 |
|---|---|---|
| 极可能 | 几乎肯定发生，或频繁发生 | 4 |
| 可能 | 有时会发生 | 3 |
| 不太可能 | 很少发生 | 2 |
| 几乎不可能 | 理论上可能，但实际几乎不会 | 1 |
然后，风险等级 = 严重性 × 可能性。你想想看，一个「灾难性×极可能」的风险，得分16，你不优先处理它，处理谁？
我曾经在一个项目里，客户非要用PLC程序代替急停回路。我拿风险矩阵一算，急停失效的可能性是「可能」，严重性是「灾难性」，得分12。我跟客户说：「这分你扛不起。」最后乖乖加了硬接线急停。
3.3 第三步：风险降低原则（三步法）——怎么把风险降下来
风险矩阵打完了分，接下来就是「降风险」。国际标准ISO 12100里讲得很清楚，我把它总结成三步：
- 本质安全设计——从源头消除危险
- 安全防护——加物理屏障或安全装置
- 使用信息——警告标识、操作手册、培训
注意顺序不能乱。你想想看，如果能把危险源头去掉，干嘛还要加一堆防护？
第一步：本质安全设计。 说白了就是「让危险不存在」。比如：
- 用低压电代替高压电
- 用机械限位代替软件限位
- 把尖锐边角改成圆角
这一步最理想，但有时候做不到。比如冲压机，你不可能把冲头去掉。
第二步：安全防护。 这是PLC工程师的主战场。包括：
- 安全门锁、光幕、安全地毯
- 急停按钮、双手启动装置
- 安全PLC程序（比如双通道比较、冗余输出）
嗯，这里要特别提醒。安全防护不是「加个传感器就完事」。我见过有人把光幕信号直接接到普通PLC的输入点，然后靠程序判断。这其实不靠谱。为什么？因为普通PLC的CPU如果死机了，程序判断就失效了。安全信号必须走安全PLC或安全继电器。
第三步：使用信息。 这一步是兜底的。如果前两步都做了，还有残余风险，那就靠：
- 设备上贴警告标识（比如「高温表面，请勿触摸」）
- 操作手册里写清楚安全注意事项
- 对操作工进行安全培训
但说实话，这一步最弱。人总会犯错，你不能指望操作工永远保持警惕。
3.4 三步法在PLC程序中的落地
理论讲完了，咱们看看实际怎么写程序。假设你有一个液压机，需要做安全防护。
第一步（本质安全）： 你发现液压机可以用双手启动按钮，这样操作工的手必须离开危险区。好，这个设计从源头避免了手被压到。
第二步（安全防护）： 你加了一个安全光幕，如果手伸进去，光幕触发，机器立即停止。光幕信号接到安全PLC的专用输入模块。
程序怎么写？我习惯用双通道比较：
// 安全光幕双通道输入比较
IF (Safety_LightCurtain_Ch1 = TRUE) AND (Safety_LightCurtain_Ch2 = TRUE) THEN
// 光幕未被遮挡，允许运行
LightCurtain_OK := TRUE;
ELSE
// 光幕被遮挡或通道不一致，立即停止
LightCurtain_OK := FALSE;
// 触发安全停止
Safety_Stop := TRUE;
END_IF
// 注意：这里必须用安全PLC的专用指令，不能用普通AND第三步（使用信息）： 你在操作面板上贴了「光幕保护区域，请勿绕过」的标识，并在操作手册里写了「禁止用任何物体遮挡光幕」。嗯，这一步虽然弱，但合规必须做。
3.5 我的经验总结
做风险分析，最忌讳「想当然」。我见过太多工程师，觉得「我程序写得好，不会出问题」。但现实是，硬件会老化，传感器会失效，操作工会疲劳。安全设计不是证明「正常情况没问题」，而是证明「所有异常情况都有应对」。
最后送你一句话：风险分析不是找麻烦，而是帮你自己省麻烦。 你花一天做分析，可能省下后面一个月的整改时间。
好，今天就聊到这。下一章咱们讲急停回路的具体设计，包括怎么选型、怎么接线、怎么测试。到时候我会拿一个真实项目的图纸出来拆解。