兒童類

檯

單擊下面的鏈接以在文章上下文中查看表格。

1. 偏差分類的分類法
2. 哈登矩陣適用於機動車傷害
3. 哈頓建設十大對策
4. 映射到事故序列的安全信息
5. 選定預警系統內的建議

人物

指向縮略圖以查看圖片標題，單擊以查看文章上下文中的圖片。

點擊返回頁面頂部

查看項目...

檯

單擊下面的鏈接以在文章上下文中查看表格。

1. 質量和安全政策的分層
2. PAS安全審核要素
3. 行為控制方法的評估
4. 一般故障類型和定義
5. 事故現象的概念
6. 表徵事故的變量

人物

指向縮略圖以查看圖片標題，單擊以查看文章上下文中的圖片。

查看項目...

58. 安全應用 (17)

58. 安全應用

章節編輯： Kenneth Gerecke 和 Charles T. Pope

檯

單擊下面的鏈接以在文章上下文中查看表格。

1. 雙按鈕控制電路可能出現的功能障礙
2. 機器護罩
3. 設備
4. 進料和出料方式
5. 機械控制中的電路結構組合
6. 保護系統的安全完整性等級
7. 軟件設計與開發
8. 安全完整性等級：B 類組件
9. 完整性要求：電子系統架構
10. 從高處墜落：魁北克 1982-1987
11.典型的防墜落和防墜落系統
12. 防墜落與防墜落的區別
13. 評估危險情況的樣本表格
14. 樣品入境許可證

人物

指向縮略圖以查看圖片標題，單擊以查看文章上下文中的圖片。

點擊返回頁面頂部

查看項目...

檯

單擊下面的鏈接以在文章上下文中查看表格。

1. 安全氣候措施
2. Tuttava 和其他程序/技術差異
3. 最佳工作實踐示例
4. 印刷油墨廠的績效目標

人物

指向縮略圖以查看圖片標題，單擊以查看文章上下文中的圖片。

查看項目...

檯

單擊下面的鏈接以在文章上下文中查看表格。

1. OBM 與員工激勵的 TQM 模型
2. 印度工廠：就業與傷害

人物

指向縮略圖以查看圖片標題，單擊以查看文章上下文中的圖片。

查看項目...

週五，4月01 2011 00：36

本文考察了人為因素在事故原因過程中的作用，並回顧了可以控制人為錯誤的各種預防措施（及其有效性），以及它們在事故原因模型中的應用。人為錯誤是至少 90 所有工業事故的重要促成因素。雖然純粹的技術錯誤和無法控制的物理環境也可能導致事故，但人為錯誤是失敗的首要來源。機械的複雜性和可靠性的提高意味著隨著事故絕對數量的減少，歸因於人為錯誤的事故原因的比例增加。人為失誤也是許多事故的原因，這些事故雖然沒有造成傷亡，但卻給公司造成了相當大的經濟損失。因此，它是預防的主要目標，而且將變得越來越重要。對於有效的安全管理系統和風險識別程序，重要的是能夠通過使用一般故障類型分析有效地識別人為因素。

人為錯誤的本質

人為錯誤可以被視為由於無意或有意的行為而未能以計劃的方式實現目標，無論是從局部還是更廣泛的角度來看。由於以下四個原因，這些計劃的行動可能無法達到預期的結果：

1. 無意的行為：

行動沒有按計劃進行（失誤）。

操作未執行（失誤）。

2. 故意行為：

計劃本身是不充分的（錯誤）。

與原計劃有偏差（違規）。

偏差可分為三類：基於技能的錯誤、基於規則的錯誤和基於知識的錯誤。

在基於技能的層面上，行為由預編程的行動方案指導。這些任務是例行的和連續的，通常缺乏反饋。
在基於規則的層面上，行為受一般規則的指導。它們很簡單，可以在特定情況下多次應用。這些任務由相對頻繁的動作序列組成，這些動作序列在選擇規則或程序之後開始。用戶有一個選擇：規則不是自動激活的，而是主動選擇的。
基於知識的行為在全新的情況下表現出來，在這些情況下沒有可用的規則並且需要創造性和分析性思維。

在某些情況下，術語 人的局限性 會比更合適 人為錯誤. 預測複雜系統未來行為的能力也存在局限性（Gleick 1987；Casti 1990）。

Reason 和 Embrey 的模型，即通用錯誤建模系統 (GEMS)（Reason 1990），考慮了基於技能、規則和知識級別的錯誤糾正機制。 GEMS 的一個基本假設是日常行為意味著常規行為。常規行為會定期檢查，但在這些反饋循環之間，行為是完全自動的。由於行為是基於技能的，所以錯誤就是失誤。當反饋顯示偏離預期目標時，將應用基於規則的校正。根據可用症狀診斷問題，並在診斷出情況時自動應用更正規則。當應用錯誤的規則時，就會出現錯誤。

當情況完全未知時，應用基於知識的規則。根據有關係統及其組件的知識檢查症狀。這種分析可以導致可能的解決方案，其實施構成基於知識的行為的案例。（也有可能問題無法以給定的方式解決，並且必須應用進一步的基於知識的規則。）此級別上的所有錯誤都是錯誤。當應用已知不合適的特定規則時，就會犯下違規行為：工人的想法可能是應用替代規則會花費更少的時間，或者可能更適合當前的、可能是例外的情況。更惡意的違規行為涉及破壞，這不在本文的討論範圍之內。當組織試圖消除人為錯誤時，他們應該考慮錯誤是基於技能、規則還是基於知識的級別，因為每個級別都需要自己的技術 (Groeneweg 1996)。

影響人類行為：概述

對於某起事故，人們常說的一句話是：“也許那個人當時沒有意識到，但如果他或她沒有採取某種方式，事故就不會發生。” 許多事故預防旨在影響這句話中提到的人類行為的關鍵部分。在許多安全管理系統中，建議的解決方案和政策旨在直接影響人類行為。然而，很少有組織會評估這些方法的實際有效性。心理學家對如何最好地影響人類行為進行了大量思考。在這方面，將提出以下六種控制人為錯誤的方法，並將對這些方法在長期控制人類行為方面的相對有效性進行評估（Wagenaar 1992）。（見表 1。）

表 1. 誘導安全行為的六種方法及其成本效益評估

否。	影響方式	價格	長期效果	評估
1	不要誘發安全行為，而是讓系統“萬無一失”。	高	低	低
2	告訴相關人員該怎麼做。	低	低	Medium
3	賞罰分明。	Medium	Medium	Medium
4	增加動力和意識。	Medium	低	低
5	選擇經過培訓的人員。	高	Medium	Medium
6	改變環境。	高	高	良好

不要試圖誘導安全行為，而是讓系統“萬無一失”

第一種選擇是不做任何影響人們行為的事情，而是設計工作場所，讓員工無論做什麼，都不會導致任何不良結果。必須承認，由於機器人學和人體工程學的影響，設計師在工作場所設備的用戶友好性方面有了很大的改進。然而，幾乎不可能預測人們可能表現出的所有不同類型的行為。此外，工人往往將所謂的萬無一失的設計視為“打敗系統”的挑戰。最後，由於設計師本身也是人，因此即使是非常小心設計的萬無一失的設備也可能存在缺陷（例如，Petroski 1992）。這種方法相對於現有危險水平的額外好處是微不足道的，並且在任何情況下初始設計和安裝成本都可能成倍增加。

告訴相關人員該做什麼

另一種選擇是就每一項活動向所有員工進行指導，以便將他們的行為完全置於管理層的控制之下。這將需要一個廣泛但不太實用的任務清單和指令控制系統。由於所有行為都不再自動化，它將在很大程度上消除失誤和失誤，直到指令成為例程的一部分並且影響逐漸消失。

告訴人們他們所做的事情是危險的並沒有多大幫助——大多數人都非常清楚這一點——因為他們會就風險做出自己的選擇，無論試圖說服他們否則。他們這樣做的動機是為了讓工作更輕鬆、節省時間、挑戰權威，也許是為了提升自己的職業前景或獲得一些經濟回報。指導人員相對便宜，而且大多數組織在開始工作之前都有指導課程。但是除了這樣的指導系統之外，這種方法的有效性被評估為低。

賞罰分明

儘管獎勵和懲罰計劃是控制人類行為的有力且非常流行的手段，但它們並非沒有問題。只有當接受者在收到獎勵時認為獎勵有價值時，獎勵才能發揮最佳作用。員工無法控制的懲罰行為（失誤）不會有效。例如，通過改變交通行為背後的條件來改善交通安全比通過公共運動或懲罰和獎勵計劃更具成本效益。即使被“抓到”的機會增加也不一定會改變一個人的行為，因為違反規則的機會仍然存在，成功違反規則的挑戰也是如此。如果人們工作的情境引發了這種違規行為，那麼無論受到怎樣的懲罰或獎勵，人們都會自動選擇不受歡迎的行為。這種方法的有效性被評為中等質量，因為它通常具有短期有效性。

增加動力和意識

有時人們認為，人們之所以會發生事故，是因為他們缺乏動力或沒有意識到危險。正如研究表明的那樣，這個假設是錯誤的（例如，Wagenaar 和 Groeneweg 1987）。此外，即使工人能夠準確判斷危險，他們也不一定會採取相應的行動（Kruysse 1993）。即使是最有動力和最高安全意識的人也會發生事故。下文“改變環境”部分將討論提高積極性和意識的有效方法。這個選擇是一個微妙的選擇：與進一步激勵人們的困難相比，讓員工失去積極性幾乎太容易了，以至於甚至考慮破壞。

激勵增強計劃的效果只有在與員工參與等行為矯正技術相結合時才會產生積極影響。

選擇訓練有素的人員

對事故的第一反應通常是相關人員一定是不稱職的。事後看來，對於足夠聰明且受過適當培訓的人來說，事故場景似乎很簡單並且很容易預防，但這種表象具有欺騙性：實際上，相關員工不可能預見到事故。因此，再好的培訓和選拔也不會起到應有的效果。然而，基本水平的培訓是安全操作的先決條件。一些行業用沒有經驗和訓練不足的人員取代有經驗的人員的趨勢是不鼓勵的，因為越來越複雜的情況需要基於規則和知識的思維，這需要這種低成本人員通常不具備的經驗水平。

很好地指導人們並只選擇最高級別的人的負面影響是行為會變得自動並且會發生失誤。選材貴，效果一般。

改變環境

大多數行為都是對工作環境中因素的反應：工作時間表、計劃以及管理層的期望和要求。環境的變化導致不同的行為。在有效改變工作環境之前，必須解決幾個問題。首先，必須確定導致不良行為的環境因素。其次，必須控制這些因素。第三，管理層必須允許討論他們在創造不利工作環境中的作用。

通過創造適當的工作環境來影響行為更為實際。在將此解決方案付諸實踐之前應解決的問題是 (1) 必須知道哪些環境因素會導致不良行為，(2) 必須控制這些因素，以及 (3) 先前的管理決策必須考慮 (Wagenaar 1992; Groeneweg 1996)。所有這些條件確實可以滿足，正如本文其餘部分將討論的那樣。行為矯正的有效性可能很高，即使環境的改變可能相當昂貴。

事故因果模型

為了更深入地了解事故原因過程的可控部分，了解安全信息系統中可能的反饋迴路是必要的。在圖 1 中，展示了一個安全信息系統的完整結構，它可以構成對人為錯誤進行管理控制的基礎。它是 Reason 等人提出的系統的改編版本。（1989）。

圖 1. 安全信息系統

事故調查

調查事故時，會生成大量報告，決策者會收到有關事故人為錯誤部分的信息。幸運的是，這在許多公司中正變得越來越過時。分析事故和事故徵候之前的“運行干擾”更為有效。如果將事故描述為操作干擾及其後果，那麼從道路上滑出就是操作干擾，而因為駕駛員沒有係安全帶而死亡就是事故。可能在運行干擾和事故之間設置了障礙，但這些障礙失敗了，或者被突破或規避了。

不安全行為審計

員工的錯誤行為在本文中被稱為“不合格行為”而不是“不安全行為”：“不安全”的概念似乎限制了該術語在安全方面的適用性，但它也可以適用於：例如，環境問題。不合標準的行為有時會被記錄下來，但關於哪些失誤、錯誤和違規行為以及為什麼會發生這些行為的詳細信息幾乎不會反饋給更高的管理層。

調查員工的心理狀態

在做出不合標準的行為之前，相關人員處於某種心理狀態。如果這些心理前兆，如處於匆忙狀態或感到悲傷，能夠得到充分控制，人們就不會發現自己處於一種會做出不合標準行為的心理狀態。由於無法有效控制這些心理狀態，此類前兆被視為“黑匣子”材料（圖1）。

一般故障類型

圖 1 中的 GFT（一般故障類型）框表示事故的產生機制 - 不合標準的行為和情況的原因。因為這些不合標準的行為是無法直接控制的，所以需要改變工作環境。工作環境由 11 種此類機制決定（表 2）。（在荷蘭，縮寫 GFT 已經存在於完全不同的上下文中，並且與生態無害廢物處理有關，為了避免混淆，使用了另一個術語： 基本危險因素 （BRF）（Roggeveen 1994）。）

表 2. 一般故障類型及其定義

一般故障	定義
1.設計（德國）	由於整個工廠以及個別設計不當而導致的失敗設備項目
2.硬件（HW）	由於狀態不佳或設備和工具不可用而導致的故障
3.程序（PR）	由於操作程序質量差而導致的故障關於效用、可用性和綜合性
4.錯誤執行條件（歐共體）	由於工作環境質量差而導致的故障，關於增加錯誤可能性的情況
5.客房服務（香港）	因管理不善而失敗
6. 訓練（TR）	由於培訓不足或經驗不足而導致的失敗
7.不相容的目標（IG）	由於安全和內部福利的不良方式而導致的失敗防禦各種其他目標，例如時間壓力和有限的預算
8. 通訊（CO）	由於質量差或缺乏通信線路而導致的故障各個部門、部門或員工之間
9. 組織（或）	項目管理方式導致的失敗公司經營
10。保養管理（MM）	由於維護程序質量差而導致的故障關於質量、實用性、可用性和全面性
11.防禦（DF）	由於危險防護質量差而導致的故障情況

GFT 框之前是“決策者”框，因為這些人在很大程度上決定了 GFT 的管理情況。管理層的任務是通過管理11個GFT來控制工作環境，從而間接控制人為錯誤的發生。

所有這些 GFT 都可能以微妙的方式促成事故的發生，包括允許不希望的情況和行為組合在一起，增加某些人實施不合標準行為的可能性，以及未能提供中斷已經發生的事故序列的方法。

有兩個 GFT 需要進一步解釋：維護管理和防禦。

維護管理（MM）

由於維護管理是可以在其他 GFT 中找到的因素的組合，嚴格來說，它不是一個單獨的 GFT：這種管理與其他管理職能沒有根本區別。它可能被視為一個單獨的問題，因為維護在如此多的事故場景中起著重要作用，並且因為大多數組織都有單獨的維護功能。

防禦 (DF)

防禦類別也不是真正的 GFT，因為它與事故因果過程本身無關。這個 GFT 與發生的事情有關後操作干擾。它本身不會產生心理心理狀態或不合標準的行為。這是由於一個或多個 GFT 的作用而導致失敗後的反應。雖然安全管理體系確實應該關注事故因果鏈中的可控部分之前並不是後意外事件，然而防禦的概念可用於描述干擾發生後安全屏障的感知有效性，並顯示它們如何未能防止實際事故發生。

管理人員需要一種結構，使他們能夠將已識別的問題與預防措施聯繫起來。在安全屏障或不合標準行為層面採取的措施仍然是必要的，儘管這些措施永遠不可能完全成功。相信“最後一道防線”障礙就是相信在很大程度上不受管理控制的因素。管理層不應試圖管理此類無法控制的外部設備，而必須努力使他們的組織在各個層面都更加安全。

衡量對人為錯誤的控制水平

確定組織中 GFT 的存在將使事故調查員能夠識別組織中的弱點和強點。有了這些知識，人們就可以分析事故並消除或減輕其原因，並確定公司內部的結構性弱點並在它們真正導致事故發生之前解決它們。

事故調查

事故分析員的任務是確定影響因素並對其進行分類。根據 GFT 識別和分類影響因素的次數表明此 GFT 存在的程度。這通常通過清單或計算機分析程序來完成。

將來自不同但相似類型的事故的剖面組合起來是可能的，也是可取的。基於在相對較短時間內積累的事故調查得出的結論遠比根據事故概況基於單一事件的研究得出的結論可靠得多。圖 2 給出了這種組合概況的示例，其中顯示了與一種類型事故的四次發生有關的數據。

圖 2. 事故類型概況

一些 GFT（設計、程序和不相容的目標）在所有四次特定事故中得分始終很高。這意味著在每起事故中，都已確定與這些 GFT 相關的因素。關於事故1的輪廓，設計是個問題。客房服務雖然是事故 1 中的一個主要問題領域，但如果分析的不僅僅是第一起事故，那麼它只是一個小問題。建議在採取影響深遠且可能代價高昂的糾正措施之前，調查大約 1994 起類似類型的事故，並將其合併為一個概況。這樣，可以以非常可靠的方式識別影響因素並對這些因素進行後續分類（Van der Schrier、Groeneweg 和 van Amerongen XNUMX）。

主動識別組織內的 GFT

無論是否發生事故或事件，都可以主動量化 GFT 的存在。這是通過尋找 GFT 存在的指標來完成的。用於此目的的指標是對簡單的是或否問題的回答。如果以不希望的方式回答，則表明某些功能未正常運行。指示性問題的一個例子是：“在過去的三個月裡，你是否參加了一個結果被取消的會議？” 如果員工對問題的回答是肯定的，這並不一定意味著危險，但它表明 GFT 之一——溝通——存在缺陷。但是，如果測試給定 GFT 的足夠多的問題以表明不良趨勢的方式得到回答，則表明管理層對該 GFT 沒有足夠的控制權。

要構建系統安全配置文件 (SSP)，必須回答 20 個 GFT 中每個 GFT 的 11 個問題。每個 GFT 都分配了一個分數，範圍從 0（低控制水平）到 100（高控制水平）。該分數是相對於特定地理區域的行業平均水平計算的。此評分程序的示例在方框中給出。

這些指標是從包含數百個問題的數據庫中偽隨機抽取的。沒有兩個後續的檢查表有共同的問題，並且以涵蓋 GFT 的每個方面的方式提出問題。例如，硬件故障可能是設備缺失或設備有缺陷的結果。清單中應涵蓋這兩個方面。所有問題的答案分佈都是已知的，並且檢查表是平衡的，難度相同。

可以比較不同檢查表獲得的分數，以及不同組織或部門或同一單位在一段時間內獲得的分數。已經進行了廣泛的驗證測試，以確保數據庫中的所有問題都有效，並且它們都表明要衡量的 GFT。分數越高表明控制水平越高——也就是說，以“期望”的方式回答了更多的問題。 70 分錶示該組織在此類行業的同類組織中排名前 30（即 100 減 70）。雖然100分並不一定意味著該組織對某GFT擁有完全控制權，但它確實意味著該組織在該GFT方面是業內最好的。

圖 3 顯示了 SSP 的示例。組織 1 的薄弱環節，如圖中的條形所示，是程序、不兼容的目標和錯誤執行條件，因為它們的得分低於行業平均水平，如深色條所示灰色地帶。組織1在內務、硬件和防禦方面的分數非常好。從表面上看，這個設備齊全、整潔、安全設施齊全的組織似乎是一個安全的工作場所。組織 2 的得分正好達到行業平均水平。沒有重大缺陷，雖然在硬件、內務管理和防禦方面的分數較低，但該公司（平均）管理事故中的人為錯誤部分比組織 1 更好。根據事故因果模型，組織 2 比組織 1 更安全組織 XNUMX，儘管這在比較“傳統”審計中的組織時不一定很明顯。

圖 3. 系統安全配置文件示例

如果這些組織必須決定將其有限資源分配到何處，則 GFT 低於平均水平的四個領域將具有優先權。然而，不能得出這樣的結論：由於其他 GFT 分數如此有利，可以安全地從維護中撤出資源，因為這些資源最有可能首先使它們保持在如此高的水平。

結論

本文涉及人為錯誤和事故預防的主題。對關於控制事故中人為錯誤成分的文獻的概述產生了一組六種方法，人們可以通過這些方法來影響行為。只有一種，即重構環境或改變行為以減少人們容易犯錯的情況的數量，在已經進行了許多其他嘗試的發達工業組織中具有相當有利的效果。管理層需要勇氣才能認識到這些不利情況的存在，並調動所需的資源來實現公司的變革。其他五個選項並不代表有用的替代方案，因為它們的效果很小或沒有效果，而且成本很高。

“控制可控”是支持本文提出的方法的關鍵原則。必鬚髮現、攻擊和消除 GFT。 11 個 GFT 是已被證明是事故因果過程的一部分的機制。其中十項旨在防止運行干擾，一項（防禦）旨在防止運行干擾變成事故。消除 GFT 的影響與減少事故成因有直接關係。檢查表中的問題旨在從一般和安全的角度衡量給定 GFT 的“健康狀況”。安全被視為正常運營不可或缺的一部分：按照應有的方式開展工作。這種觀點符合最近的“以質量為導向”的管理方法。政策、程序和管理工具的可用性不是安全管理的主要關注點：問題是這些方法是否被實際使用、理解和遵守。

本文中描述的方法側重於系統性因素以及將管理決策轉化為工作場所不安全條件的方式，這與傳統觀念認為應將注意力集中在進行不安全行為的個體工人、他們的態度、他們的態度、動機和對風險的看法。

表明您的組織對 GFT“通信”的控制級別

此框中列出了 20 個問題。西歐 250 多家組織的員工已經回答了這份清單中的問題。這些組織在不同領域開展業務，從化學公司到煉油廠和建築公司。通常，這些問題會針對每個分支機構量身定制。此列表僅用作示例，以說明該工具如何適用於其中一個 GFT。只選擇了那些被證明非常“普遍”以至於適用於至少 80% 的行業的問題。

在“現實生活”中，員工不僅必須（匿名）回答問題，還必須激勵他們的回答。例如，對指標回答“是”是不夠的 “過去 4 週您是否必須使用過時的程序工作？” 僱員必須說明它是什麼程序以及必須在什麼條件下應用。這種動機有兩個目標：它提高了答案的可靠性，並為管理層提供了可以據以採取行動的信息。

在解釋百分位數分數時也需要謹慎：在實際測量中，每個組織都將與 11 個 GFT 中每個組織的分支機構相關組織的代表性樣本相匹配。百分位數的分佈是從 1995 年 XNUMX 月開始的，並且該分佈確實隨時間略有變化。

如何衡量“控制水平”

請結合您自己的情況回答所有 20 個指標，並註意問題的時間限制。有些問題可能不適用於您的情況；用“na”回答他們有些問題你可能無法回答；用問號“？”回答他們。

回答完所有問題後，將您的答案與參考答案進行比較。每個“正確”回答的問題都會給你加分。

將點數相加。通過用分數除以您回答“是”或“否”的問題數來計算正確回答問題的百分比。 “吶”和“？” 不考慮答案。結果是 0 到 100 之間的百分比。

讓更多的人回答問題，並通過對他們在組織或可比部門中的級別或職能的分數進行平均，可以使測量更加可靠。

關於 GFT“交流”的二十個問題

問題的可能答案： Y = 是； N = 否； na = 不適用；？ =不知道。

在過去 4 週內，電話簿是否為您提供了不正確或不充分的信息？
在過去 2 週內，您的電話通話是否因電話系統故障而中斷？
您在過去一周收到過與您無關的郵件嗎？
在過去 9 個月中，您的辦公室文件記錄是否進行過內部或外部審計？
在過去 20 週內，您收到的信息中有超過 4% 被標記為“緊急”嗎？
在過去的 4 週內，您是否必須處理難以閱讀的程序（例如，措辭或語言問題）？
在過去的 4 週內，您是否參加過一個會議，但結果根本沒有舉行？
在過去的 4 週內，您是否有一天開過 XNUMX 次或更多的會議？
您的組織中是否有“意見箱”？
在過去的 3 個月裡，您是否曾被要求討論一件後來被證明已經決定的事情？
您在過去 4 週內是否發送過任何從未收到過的信息？
在政策或程序生效一個多月後，您在過去 6 個月內是否收到過有關政策或程序變更的信息？
最近三次安全會議的記錄是否已發送給您的管理層？
上次實地考察時，“辦公室”管理人員是否在該地點停留了至少 4 小時？
在過去的 4 週內，您是否必須處理信息衝突的程序？
在過去 3 週內，您是否在 4 天內收到有關信息請求的反饋？
您組織中的人是否講不同的語言或方言（不同的母語）？
在過去 80 個月中，您從管理層收到（或給出）的反饋中有超過 6% 是“負面”的嗎？
位置/工作場所的某些部分是否由於極端噪音水平而難以相互理解？
在過去 4 週內，是否交付了未訂購的工具和/或設備？

參考答案：

1 = 否； 2 = N; 3 = 不； 4 = 是； 5 = 不； 6 = 不； 7 = 否； 8 = 否； 9 = 不； 10 = 不； 11 = N; 12 = 不； 13 = 是； 14 = 不； 15 = 不； 16 = 是； 17 = 不； 18 = 不； 19 = 是； 20 = N。

為 GFT“溝通”打分

百分比分數 = (a/b）x 100

哪裡 a = 沒有。正確回答的問題

哪裡 b = 沒有。的問題回答“Y”或“N”。

你的分數％	百分位	%	等於或更好
0-10	0-1	100	99
11-20	2-6	98	94
21-30	7-14	93	86
31-40	15-22	85	78
41-50	23-50	79	50
51-60	51-69	49	31
61-70	70-85	30	15
71-80	86-97	14	3
81-90	98-99	2	1
91-100	99-100

出版於 57. 審計、檢查和調查

週五，4月01 2011 00：48

硬件危害

本文涉及“機器”危害，這些危害特定於與壓力容器、加工設備、強大的機器和其他具有內在風險的操作相關的工業過程中使用的附屬物和硬件。本文不涉及工人危害，這些危害涉及個人的行為和行為，例如在工作表面滑倒、從高處墜落以及使用普通工具造成的危害。本文重點關注機器危害，這是工業工作環境的特徵。由於這些危害威脅到在場的每一個人，甚至可能對周圍環境和周圍環境造成威脅，因此分析方法和防控手段與工業活動環境風險的處理方法類似。

機器危害

質量好的硬件是非常可靠的，大多數故障都是由火災、腐蝕、誤用等二次效應引起的。然而，在某些事故中可能會突出顯示硬件，因為發生故障的硬件組件通常是事件鏈中最顯眼或最明顯的環節。雖然術語硬件在廣義上使用，硬件故障的說明性示例及其在事故原因中的直接“環境”已從工業工作場所中獲取。 “機器”危害調查的典型候選人包括但不限於以下內容：

壓力容器和管道

電動機、發動機、渦輪機和其他旋轉機械

化學和核反應堆

腳手架、橋樑等

激光和其他能量輻射器

切割和鑽孔機械等

焊接設備。

能量的影響

硬件危害可能包括錯誤使用、構造錯誤或頻繁超載，因此它們的分析和緩解或預防可能遵循截然不同的方向。然而，逃避人類控制的物理和化學能量形式通常存在於硬件危害的核心。因此，識別硬件危險的一種非常通用的方法是尋找通常由實際設備或機械控制的能量，例如含有氨或氯的壓力容器。其他方法使用實際硬件的用途或預期功能作為起點，然後尋找故障和故障的可能影響。例如，一座橋樑未能實現其主要功能將使橋上的主體面臨墜落的風險；橋樑倒塌的其他影響將是掉落物品的次要影響，無論是橋樑的結構部分還是位於橋上的物體。在後果鏈的下游，可能會產生與系統其他部分的功能相關的派生影響，這些影響取決於橋樑是否正常執行其功能，例如因另一事件中斷應急響應車輛交通。

除了“受控能量”和“預期功能”的概念外，危險物質還必須通過提出諸如“X 劑如何從容器、儲罐或管道系統中釋放以及 Y 劑如何產生？”等問題來解決。（兩者之一或兩者都可能是危險的）。 X 劑可能是加壓氣體或溶劑，Y 劑可能是一種毒性極強的二噁英，在某些化學過程中，“正確”的溫度有利於其形成，或者它可能是由於火災導致的快速氧化而產生的. 然而，可能的危害加起來遠不止危險物質的風險。可能存在允許特定硬件項目對人類造成有害後果的條件或影響。

工業工作環境

機器危險還涉及從長遠來看可能造成危險的負載或壓力因素，例如：

極端工作溫度

高強度的光、噪音或其他刺激

空氣質量差

極端的工作要求或工作量。

可以識別這些危險並採取預防措施，因為危險條件已經存在。它們不依賴於硬件的某些結構變化來產生有害結果，也不依賴於某些特殊事件來造成損壞或傷害。長期危害在工作環境中也有特定的來源，但必須通過觀察工人和工作來識別和評估，而不是僅僅分析硬件結構和功能。

危險的硬件或機器危險 通常是異常的，在良好的工作環境中很少見，但不能完全避免。幾種不受控制的能量，例如以下風險因素，可能是硬件故障的直接後果：

危險氣體、液體、粉塵或其他物質的有害釋放

火災和爆炸

高壓

墜落物體、導彈等

電場和磁場

切割、陷印等

氧置換

核輻射、X射線和激光

洪水或溺水

熱液體或蒸汽的噴射。

風險代理人

移動物體。 墜落和飛行的物體、液體流動和液體或蒸汽的噴射，如所列，往往是硬件或設備故障的第一個外部後果，它們在事故中佔很大比例。

化學物質。 化學危害還會導致工傷事故並影響環境和公眾。 Seveso 和 Bhopal 事故涉及影響眾多公眾的化學品洩漏，許多工業火災和爆炸將化學品和煙霧釋放到大氣中。涉及汽油或化學品運輸卡車或其他危險品運輸的交通事故，結合了兩個風險因素——移動物體和化學物質。

電磁能量。 電場和磁場、X射線和伽馬射線都是電磁的表現形式，但由於它們在不同的情況下遇到，所以經常被分開對待。然而，電磁的危險有一些普遍的特徵：場和輻射會穿透人體，而不僅僅是接觸應用區域，並且不能被直接感知，儘管非常大的強度會導致受影響的身體部位發熱。磁場是由電流的流動產生的，在大型電動機、電弧焊設備、電解設備、金屬工廠等附近都會發現強磁場。電場伴隨著電壓，即使是 200 至 300 伏的普通電源電壓也會在數年內造成污垢積累，這是電場存在的明顯標誌，這種效應也與高壓電線、電視顯像管有關、電腦顯示器等。

電磁場大多發現在離它們的來源很近的地方，但電磁場輻射是長途旅行者，雷達和無線電波就是例證。電磁輻射在穿過空間並遇到中間物體、表面、不同物質和大氣等時會發生散射、反射和衰減；因此，它的強度以多種方式降低。

電磁 (EM) 危險源的一般特徵是：

需要儀器來檢測 EM 場或 EM 輻射的存在。

EM 不會以“污染”的形式留下主要痕跡。

危險的影響通常是延遲的或長期的，但在嚴重的情況下會立即造成灼傷。

X 射線和伽馬射線會被鉛和其他重元素減弱，但不會被阻止。

當電源斷電或設備關閉時，磁場和 X 射線會立即停止。

關閉發電系統後，電場可以持續很長時間。

伽馬射線來自核過程，這些輻射源無法像許多 EM 源一樣關閉。

核輻射。 與核輻射有關的危害是核電廠和處理核材料的工廠（如燃料製造和放射性物質的後處理、運輸和儲存）的工人特別關注的問題。核輻射源也用於醫學和一些行業的測量和控制。一種最常見的用途是火災報警器/煙霧探測器，它們使用像镅這樣的 α 粒子發射器來監測大氣。

核危害主要圍繞五個因素：

伽馬射線

中子

β粒子（電子）

阿爾法粒子（氦原子核）

污染。

危險來自於 放射性的 核裂變過程和放射性物質的衰變。這種輻射來自反應堆過程、反應堆燃料、反應堆減速劑材料、可能產生的氣態裂變產物，以及因暴露於反應堆運行產生的放射性排放而被激活的某些建築材料。

其他風險代理人。 釋放或發射能量的其他類別的風險因素包括：

紫外線輻射和激光

次聲

高強度聲音

振動。

觸發硬件危害

任何一種突和緩從受控 - 或“安全” - 狀態轉變為危險增加的狀態可以通過以下情況發生，可以通過適當的組織方式來控制，例如用戶體驗、教育、技能、監視和設備測試：

磨損和過載

外部影響（火災或影響）

老化和失敗

供應錯誤（能源、原材料）

維修保養不足

控製或過程錯誤

誤用或誤用

硬件故障

屏障故障。

由於正確的操作不能可靠地彌補不正確的設計和安裝，因此重要的是要考慮從選擇和設計到安裝、使用、維護和測試的整個過程，以評估硬件項目的實際狀態和條件。

危險案例：加壓儲氣罐

氣體可以裝在合適的容器中進行儲存或運輸，例如焊工使用的氣瓶和氧氣瓶。通常，氣體在高壓下進行處理，從而大大增加了存儲容量，但事故風險更高。加壓儲氣罐中的關鍵意外現像是儲罐中突然出現一個洞，結果如下：

坦克的限制功能停止

封閉的氣體可以立即進入周圍的大氣。

這種事故的發展取決於以下因素：

罐中氣體的類型和數量

孔的位置與罐內物品的關係

洞的初始大小和隨後的增長率

氣體和設備的溫度和壓力

直接環境中的條件（火源、人員等）。

儲罐內容物幾乎可以立即釋放或在一段時間內釋放，並導致不同的情況，從破裂的儲罐中游離氣體的爆裂，到小孔的適度且相當緩慢的釋放。

各種氣體在洩漏情況下的行為

在開發釋放計算模型時，最重要的是確定以下影響系統潛在行為的條件：

孔後面的氣相（氣態還是液態？）

溫度和風力條件

其他物質可能進入系統或它們可能存在於周圍環境中

壁壘和其他障礙。

與液化氣體以射流形式從孔中逸出然後蒸發（或者首先變成液滴霧）的釋放過程相關的精確計算是困難的。合成雲的後期擴散的規範也是一個難題。必須考慮氣體釋放的運動和擴散，氣體是形成可見雲還是不可見雲，以及氣體是上升還是停留在地面。

雖然與任何大氣相比，氫氣都是一種輕質氣體，但氨氣 (NH₃, 分子量為 17.0) 在相同溫度和壓力下的普通空氣狀氧氮氣氛中會上升。氯氣（Cl₂, 分子量為 70.9) 和丁烷 (C₄H₁₀，摩爾。 wt.58) 是氣相比空氣密度更大的化學品的例子，即使在環境溫度下也是如此。乙炔（C₂H₂，摩爾。重量26.0）的密度約為0.90g/l，接近空氣的密度（1.0g/l），這意味著在工作環境中，洩漏的焊接氣體不會有明顯的上浮或下沉趨勢；因此它很容易與大氣混合。

但是從壓力容器中釋放出來的液態氨首先會由於蒸發而冷卻，然後可能會通過幾個步驟逸出：

加壓的液態氨從罐中的孔中噴出，呈噴射狀或云狀。

液氨海可以在最近的表面形成。

氨蒸發，從而冷卻自身和附近的環境。

氨氣逐漸與周圍環境進行熱交換並與環境溫度達到平衡。

即使是一團輕質氣體也可能不會因液化氣體釋放而立即升起；它可能首先形成霧——一團水滴——並停留在地面附近。氣體雲的移動和與周圍大氣的逐漸混合/稀釋取決於天氣參數和周圍環境——封閉區域、開放區域、房屋、交通、公眾的存在、工人等。

油箱故障

氣體生產和氣體處理系統（丙烷、甲烷、氮氣、氫氣等）、氨氣或氯氣罐以及氣焊的經驗表明，儲罐故障的後果可能包括火災和爆炸、窒息、中毒和窒息（使用乙炔和氧氣）。究竟是什麼開始在儲罐中形成一個洞，對洞的“行為”有很大的影響——這反過來又會影響氣體的流出——並且對於預防工作的有效性至關重要。壓力容器的設計和製造是為了承受特定的使用條件和環境影響，並用於處理特定的氣體，或者可能是選擇的氣體。坦克的實際能力取決於它的形狀、材料、焊接、保護、使用和氣候；因此，評估其作為危險氣體容器的充分性時，必須考慮設計者的規格、儲罐的歷史、檢查和測試。關鍵區域包括大多數壓力容器上使用的焊縫；入口、出口、支架和儀表等附件與容器的連接點；圓柱形罐體的扁平端，如鐵路罐體；以及更差的幾何形狀的其他方面。

通過 X 射線或樣品的破壞性測試對焊縫進行目視檢查，因為這些可能會揭示局部缺陷，例如強度降低的形式可能危及容器的整體強度，甚至是急性儲罐的觸發點失敗。

儲罐強度受儲罐使用歷史的影響 - 首先是正常磨損過程以及特定行業和應用中典型的划痕和腐蝕侵襲。其他特別感興趣的歷史參數包括：

偶然超壓

極端加熱或冷卻（內部或外部）

機械衝擊

振動和壓力

儲存在或通過儲罐的物質

清潔、維護和修理過程中使用的物質。

建築材料 - 鋼板、鋁板、非加壓應用的混凝土等 - 可能會因這些影響而劣化，而在測試過程中如果不超載或損壞設備則無法始終進行檢查。

事故案例：Flixborough

1974 年在弗利克斯伯勒（英國）發生的大片環己烷爆炸造成 28 人死亡並造成大範圍的工廠破壞，這是一個很有啟發性的案例。觸發事件是用作反應堆裝置替代品的臨時管道破裂。事故是由一個硬件故障“引起”的，但經過仔細調查後發現，故障是由於超載造成的，臨時搭建的設施實際上不能滿足其預期用途。使用兩個月後，由於 10 巴 (10⁶ Pa) 150℃左右的環己烷含量。管道和附近反應器之間的兩個波紋管破裂，釋放出 30 至 50 噸環己烷並很快被點燃，可能是被距離洩漏點一定距離的熔爐點燃。（參見圖 1。）在 Kletz (1988) 中可以找到一個非常易讀的案例說明。

圖 1. Flixborough 儲罐之間的臨時連接

危害分析

為發現可能與設備、化學過程或特定操作相關的風險而開發的方法稱為“危害分析”。這些方法會提出以下問題：“可能會出現什麼問題？” “會不會很嚴重？” 和“我們能做些什麼呢？” 進行分析的不同方法通常會結合起來以實現合理的覆蓋範圍，但除了指導或協助聰明的分析師團隊做出決定外，任何此類方法都無濟於事。危害分析的主要難點如下：

相關數據的可用性

模型和計算的局限性

新的和不熟悉的材料、結構和工藝

系統複雜度

人類想像力的局限

實際測試的限制。

為了在這些情況下產生可用的風險評估，重要的是嚴格定義適合手頭分析的範圍和“雄心”水平；例如，很明顯，保險目的和設計目的，或保護計劃的規劃和應急安排的構建，人們不需要同一類信息。一般而言，必須通過將經驗技術（即統計）與演繹推理和創造性想像相結合來填充風險圖景。

不同的風險評估工具——甚至是用於風險分析的計算機程序——都非常有用。危害和可操作性研究 (HAZOP) 以及失效模式和影響分析 (FMEA) 是調查危害的常用方法，尤其是在化學工業中。 HAZOP方法的出發點是基於一組引導詞追踪可能的風險場景；對於每一種情況，都必須確定可能的原因和後果。在第二階段，人們試圖找到降低概率或減輕那些被認為不可接受的情景的後果的方法。可以在 Charsley (1995) 中找到對 HAZOP 方法的回顧。 FMEA 方法針對每個可能的風險組件提出一系列“假設”問題，以便徹底確定可能存在的任何故障模式，然後確定它們可能對系統性能產生的影響；這種分析將在本文後面介紹的演示示例（針對氣體系統）中進行說明。

故障樹和事件樹和適用於事故因果結構和概率推理的邏輯分析模式絕不是硬件危害分析所特有的，因為它們是系統風險評估的通用工具。

跟踪工業廠房中的硬件危害

要識別可能的危險，可以從以下位置獲取有關結構和功能的信息：

實際設備和廠房

替代品和模型

圖紙、電氣圖、管道和儀表 (P/I) 圖等。

過程描述

控制方案

操作模式和階段

工單、變更單、維護報告等。

通過選擇和消化這些信息，分析人員形成了風險對象本身、其功能和實際用途的圖景。如果事物尚未建造 - 或無法進行檢查 - 則無法進行重要觀察，評估必須完全基於描述、意圖和計劃。這樣的評估可能看起來很差，但實際上，大多數實際風險評估都是這樣進行的，或者是為了申請新建築的權威批准，或者是為了比較替代設計方案的相對安全性。對於正式圖表上未顯示或採訪口頭描述的信息，將參考現實生活過程，並驗證從這些來源收集的信息是否真實並代表實際情況。其中包括：

實踐與文化

額外的故障機制/構造細節

“潛行路徑”（見下文）

常見錯誤原因

來自外部來源/導彈的風險

特定暴露或後果

過去的事件、事故和接近的事故。

大多數這些附加信息，尤其是潛行路徑，只能由富有創造力、技術嫻熟且經驗豐富的觀察者檢測到，而且有些信息幾乎不可能用地圖和圖表追踪。 潛行路徑 表示系統之間意外和不可預見的交互，其中一個系統的操作通過功能性方式以外的其他方式影響另一個系統的狀況或操作。這通常發生在功能不同的部件彼此靠近的地方，或者（例如）洩漏的物質滴在下面的設備上並導致故障。潛行路徑作用的另一種模式可能涉及在操作或維護期間通過儀器或工具將錯誤的物質或部件引入系統：通過潛行路徑改變預期結構及其預期功能。經過 共模故障 一種是指某些情況——如洪水、閃電或停電——會同時擾亂多個系統，可能導致意外的大停電或事故。通常，人們試圖通過適當的佈局和在工作操作中引入距離、絕緣和多樣性來避免潛行路徑效應和共模故障。

危害分析案例：從船到罐的氣體輸送

圖 2 顯示了用於將氣體從運輸船輸送到儲罐的系統。該系統的任何地方都可能出現洩漏：船舶、傳輸線、儲罐或輸出線；鑑於有兩個儲罐，管道上某處的洩漏可能會持續數小時。

圖 2. 將液化氣從船輸送到儲罐的傳輸線

該系統最關鍵的組件如下：

儲罐

油罐與船舶之間的管道或軟管

其他軟管、管線、閥門和連接件

儲罐上的安全閥

緊急關閉閥 ESD 1 和 2。

具有大量液化氣庫存的儲罐位於此列表的頂部，因為很難在短時間內阻止儲罐洩漏。列表中的第二項 - 與船舶的連接 - 至關重要，因為管道或軟管中的洩漏以及連接件或接頭鬆動且墊圈磨損以及不同船舶之間的差異可能會導致產品洩漏。軟管和波紋管等柔性部件比剛性部件更重要，需要定期維護和檢查。儲罐頂部的壓力釋放閥和兩個緊急關閉閥等安全裝置至關重要，因為必須依靠它們來揭示潛在或發展中的故障。

到目前為止，系統組件在可靠性方面的重要性排名只是一般性的。現在，出於分析的目的，將注意系統的特定功能，其中最主要的功能當然是將液化氣體從船運到儲罐，直到連接的船罐為空。最重要的危險是氣體洩漏，可能的促成機制是以下其中一種或多種：

聯軸器或閥門洩漏

油箱破裂

管道或軟管破裂

坦克擊穿。

FMEA方法的應用

FMEA 方法或“假設”分析的中心思想是明確記錄系統的每個組件、其故障模式以及每次故障以找出對系統和環境可能造成的後果。對於儲罐、管道、閥門、泵、流量計等標準組件，故障模式遵循一般模式。例如，對於閥門，故障模式可能包括以下情況：

閥門不能按需關閉（通過“打開”閥門的流量減少）。

閥門洩漏（通過“關閉”的閥門存在殘餘流量）。

閥門不能按需打開（閥位擺動）。

對於管道，故障模式將考慮以下項目：

流量減少

洩漏

流量因阻塞而停止

斷線

洩漏的影響似乎很明顯，但有時最重要的影響可能不是第一個影響：例如，如果閥門卡在半開位置會發生什麼？輸送管路中的開關閥未按需完全打開會延遲儲罐填充過程，這是一種非危險的後果。但是，如果在提出關閉要求的同時出現“半開卡住”情況，則在油箱幾乎滿的時候，可能會導致過滿（除非成功激活緊急關閉閥）。在正確設計和運行的系統中，這兩個閥門被卡住的可能性同時將保持相當低。

顯然，安全閥不能按需運行可能意味著災難；事實上，人們可能有理由說，潛在故障不斷威脅著所有安全裝置。例如，洩壓閥可能會因腐蝕、污垢或油漆（通常是由於維護不善）而出現缺陷，而在液態氣體的情況下，這些缺陷與氣體洩漏時的溫度下降相結合可能會結冰，從而減少或可能停止材料通過安全閥的流動。如果洩壓閥未按需運行，壓力可能會在儲罐或儲罐的連接系統中積聚，最終導致其他洩漏或儲罐破裂。

為簡單起見，圖 2 中未顯示儀器；當然會有與壓力、流量和溫度相關的儀器，這些是監測系統狀態的基本參數，相關信號被傳輸到操作員控制台或控制室以進行控制和監測。此外，除了用於材料運輸的那些之外，還將有供應線 - 用於電力，液壓等 - 以及額外的安全裝置。還必須對這些系統進行綜合分析並尋找故障模式以及這些成分的作用。特別是，共模效應和潛行路徑的檢測工作需要構建主要係統組件、控制、儀器、供應、操作員、工作時間表、維護等的整體圖景。

需要考慮的與氣體系統相關的共模效應示例通過以下問題解決：

輸送閥和緊急關閉閥的激活信號是否在公共線路（電纜、電纜通道）上傳輸？

兩個給定的閥門是否共用同一條電源線？

是否由同一個人根據給定的時間表進行維護？

即使是具有冗餘和獨立電源線的設計精良的系統也可能因維護不當而受到影響，例如，閥門及其備用閥（在我們的案例中為緊急關閉閥）在一次故障後處於錯誤狀態測試。氨處理系統的一個顯著共模效應是洩漏情況本身：由於部署了所需的緊急保護，中度洩漏會使工廠組件上的所有手動操作變得相當尷尬 - 並且會延遲。

總結

硬件組件很少是事故發展的罪魁禍首；相反，有 根本原因 在鏈條的其他環節發現：錯誤的概念、糟糕的設計、維護錯誤、操作錯誤、管理錯誤等等。已經給出了可能導致故障發展的特定條件和行為的幾個示例；廣泛收集此類代理將考慮以下因素：

碰撞

腐蝕、蝕刻

負載過大

失敗的支持和老化或磨損的零件

低質量的焊接工作

導彈

缺少的部分

過熱或過冷

振動

使用了錯誤的建築材料。

控制工作環境中的硬件危害需要審查所有可能的原因，並尊重發現的對實際系統至關重要的條件。這對風險管理計劃的組織的影響在其他文章中進行了處理，但是，正如前面的列表清楚地表明的那樣，硬件條件的監視和控制可能是必要的，一直回溯到概念和設計的選擇選定的系統和流程。

出版於 57. 審計、檢查和調查

週五，4月01 2011 00：53

危害分析：組織因素 - mort

通過工業化，工人在工廠中組織起來，因為蒸汽機等能源的利用成為可能。與傳統手工業相比，機械化生產可支配更高的能源，帶來了新的事故風險。隨著能量的增加，工人不再受這些能量的直接控制。影響安全的決策通常是由管理層做出的，而不是那些直接暴露於這些風險的人做出的。在這個工業化階段，對安全管理的需求變得明顯。

1920 年代後期，海因里希制定了第一個安全管理的綜合理論框架，即安全應通過基於事故原因識別和分析的管理決策來尋求。在安全管理髮展的這一點上，事故被歸因於工人-機器系統層面的故障——即不安全的行為和不安全的條件。

隨後，開發了各種方法來識別和評估事故風險。通過 MORT（管理監督和風險樹），重點轉移到更高級別的事故風險控制，即管理級別的條件控制。開發 MORT 的倡議是在 1960 年代後期由美國能源研究與發展署提出的，該署希望改進他們的安全計劃以減少事故造成的損失。

MORT 圖和基本原則

MORT 的目的是在綜合當時可用的最佳安全計劃要素和安全管理技術的基礎上製定理想的安全管理系統。由於 MORT 倡議的基本原則被應用於安全管理的當代最新技術，大部分非結構化的安全文獻和專業知識呈現出分析樹的形式。該樹的第一個版本於 1971 年發布。圖 1 顯示了 Johnson 於 1980 年發布的樹版本的基本元素。該樹還以修改後的形式出現在後來關於 MORT 概念主題的出版物中（例如，參見 Knox 和 Eicher 1992）。

圖 1. MORT 分析樹的一個版本

MORT 圖

MORT 被用作事故調查和現有安全計劃評估的實用工具。圖 1 中樹的頂部事件 (Johnson 1980) 表示由於事故造成的損失（經歷的或潛在的）。在這個頂級事件之下是三個主要分支：具體疏忽和疏忽 (S)、管理疏忽和疏忽 (M) 以及承擔的風險 (R)。這 R分支 由假定的風險組成，這些風險是管理層已知的事件和條件，並且已經在適當的管理層進行了評估和接受。通過 S 和 M 分支之後的評估揭示的其他事件和條件被表示為“不夠充分”(LTA)。

S分支 著重於實際或潛在發生的事件和條件。（一般來說，時間顯示為從左到右閱讀，原因順序顯示為從下到上閱讀。）Haddon 的事故預防策略（1980 年）是該分支的關鍵要素。當目標（人或物體）暴露於不受控制的能量轉移並遭受損壞時，事件表示為事故。在 MORT 的 S 分支中，事故是通過障礙來預防的。屏障分為三種基本類型：(1) 包圍和限制能源（危險）的屏障，(2) 保護目標的屏障，以及 (3) 在物理上或時間上或空間上將危險與目標分開的屏障. 這些不同類型的障礙存在於偶然事件下面分支的發展中。改善與事故發生後為限制損失而採取的行動有關。

在 S 分支的下一級，識別與工業系統生命週期的不同階段相關的因素。這些是項目階段（設計和計劃）、啟動（運營準備）和運營（監督和維護）。

M分支 支持一種過程，在該過程中，事故調查或安全計劃評估的具體結果變得更加普遍。因此，S 分支的事件和條件通常在 M 分支中有對應的事件和條件。當在 M 分公司處理系統時，分析師的思維擴展到整個管理系統。因此，任何建議也會影響許多其他可能的事故場景。最重要的安全管理功能可以在 M 分支中找到：政策的製定、實施和跟進。這些與我們在國際標準化組織 (ISO) 發布的 ISO 9000 系列質量保證原則中找到的基本要素相同。

當詳細闡述 MORT 圖的分支時，存在來自風險分析、人為因素分析、安全信息系統和組織分析等不同領域的元素。 MORT 圖總共涵蓋了大約 1,500 個基本事件。

MORT圖的應用

如前所述，MORT 圖有兩個直接用途（Knox 和 Eicher 1992）：(1) 分析與已發生事故相關的管理和組織因素，以及 (2) 評估或審計與重大事故相關的安全計劃這有可能發生。 MORT 圖在規劃分析和評估時用作篩選工具。它還用作將實際條件與理想化系統進行比較的清單。在此應用程序中，MORT 有助於檢查分析的完整性並避免個人偏見。

在底部，MORT 由一系列問題組成。指導判斷具體事件和條件是否令人滿意或不夠充分的標準源自這些問題。儘管問題的設計具有指導性，但分析師的判斷部分是主觀的。因此，確保不同分析師進行的 MORT 分析具有足夠的質量和程度的主體間性變得很重要。例如，在美國，有一個培訓計劃可用於 MORT 分析師的認證。

MORT 的經驗

關於 MORT 評估的文獻很少。 Johnson 報告說，在引入 MORT 之後，事故調查的全面性有了顯著改善（Johnson 1980）。更加系統地揭示了監督管理層面的短板。芬蘭工業界對 MORT 應用的評估也獲得了經驗 (Ruuhilehto 1993)。芬蘭的研究發現了一些局限性。 MORT 不支持識別由故障和乾擾引起的直接風險。此外，MORT 概念中沒有內置設置優先級的功能。因此，MORT 分析的結果需要進一步評估以將其轉化為補救措施。最後，經驗表明 MORT 非常耗時並且需要專家參與。

除了能夠專注於組織和管理因素之外，MORT 還具有將安全與正常生產活動和一般管理聯繫起來的優勢。因此，MORT 的應用將支持總體規劃和控制，並有助於減少生產乾擾的頻率。

相關的安全管理方法和技術

隨著 1970 世紀 1975 年代初引入 MORT 概念，一項開發計劃在美國啟動。該計劃的重點是愛達荷福爾斯的系統安全開發中心。該計劃產生了人為因素分析、安全信息系統和安全分析等領域的不同 MORT 相關方法和技術。源自 MORT 開發計劃的方法的早期示例是操作準備計劃 (Nertney 1989)。該程序是在新工業系統的開發和現有系統的修改過程中引入的。目的是確保從安全管理的角度來看，新的或修改後的系統在啟動時就緒。運行就緒條件的前提是在新系統的硬件、人員和程序中安裝了必要的屏障和控制措施。 MORT 程序元素的另一個示例是基於 MORT 的根本原因分析 (Cornelison 27)。它用於識別組織的基本安全管理問題。這是通過將 MORT 分析的具體結果與 XNUMX 個不同的一般安全管理問題相關聯來完成的。

儘管 MORT 並非旨在直接用於事故調查和安全審計期間的信息收集，但在斯堪的納維亞，MORT 問題已作為開髮用於此目的的診斷工具的基礎。它被稱為安全管理和組織審查技術，或 SMORT（Kjellén 和 Tinmannsvik 1989）。 SMORT 分析是逐步倒退的，從具體情況開始，到一般管理水平結束。起點（級別 1）是事故序列或風險情況。在第 2 級，審查與日常操作相關的組織、系統規劃和技術因素。隨後的級別包括新系統的設計（第 3 級）和更高的管理功能（第 4 級）。將一個級別的發現擴展到上面的級別。例如，與事故順序和日常操作相關的結果用於分析公司的組織和項目工作例行程序（第 3 級）。級別 3 的結果不會影響現有操作的安全性，但可應用於新系統和修改的規劃。 SMORT 在發現結果的識別方式上也不同於 MORT。在第 1 級，這些是可觀察到的事件和條件，它們偏離了普遍接受的規範。當將組織和管理因素納入 2 至 4 級分析時，分析小組通過價值判斷確定結果，並通過質量控製程序進行驗證。目的是確保對組織問題的相互理解。

總結

自 1970 年代以來，MORT 在安全管理領域的發展中發揮了重要作用。可以跟踪 MORT 對安全研究文獻、安全管理和審計工具文獻以及自律和內部控制立法等領域的影響。儘管有這種影響，但必須仔細考慮其局限性。 MORT 和相關方法在規定安全管理程序應如何組織和執行的意義上是規範的。理想的是一個結構良好的組織，具有明確和現實的目標以及明確界定的職責和權限。因此，MORT 最適合大型官僚組織。

出版於 57. 審計、檢查和調查

週五，4月01 2011 01：03

工作場所檢查和監管執法

檢測系統

審計被定義為“收集關於整個安全管理系統的效率、有效性和可靠性的獨立信息並製定糾正措施計劃的結構化過程”（成功的健康與安全管理 1991）。

因此，工作場所檢查不僅是建立安全管理計劃的最後階段，而且也是其維護的持續過程。它只能在建立了適當設計的安全管理系統的情況下進行。這樣的系統首先設想來自管理層的正式政策聲明，闡明其創造健康和安全工作環境的原則，然後在組織內建立機制和結構，從而有效實施這些原則。管理層還必須致力於提供充足的人力和財力資源，以支持系統的機制和結構。此後，必須制定詳細的安全和健康計劃，並確定可衡量的目標。必須設計系統以確保實踐中的安全和健康績效可以根據既定規範和以前的成就進行衡量。只有當這種結構到位並運行時，才能應用有效的管理審計系統。

可以利用大型企業的資源來設計、制定和實施完整的安全和健康管理系統。此外，還有許多安全管理控制系統可從顧問、保險公司、政府機構、協會和專業公司獲得。是自己生產系統還是獲取外部服務，是企業自己的事情。如果管理層真正承諾勤奮地應用它們並使它們發揮作用，那麼這兩種選擇都能夠產生出色的結果。但他們的成功在很大程度上取決於審計系統的質量。

管理檢查

檢查程序必須像公司的財務檢查一樣認真和客觀。檢查必須首先確定公司的安全和健康政策聲明是否正確反映在為實施它而創建的結構和機制中；如果沒有，那麼檢查可能會建議重新評估基本政策或建議對現有結構和機制進行調整或更改。類似的過程必須應用於安全和健康規劃、目標設定規範的有效性以及績效衡量。任何檢查的結果都必須由企業的最高管理層考慮，任何糾正措施都必須通過該機構的認可和實施。

在實踐中，一次對系統的所有功能及其在企業每個部門的應用進行全面檢查是不可取的，而且通常是不切實際的。更常見的情況是，檢查程序集中在整個工廠的整個安全管理系統的一個特徵上，或者集中在一個部門甚至子部門的所有特徵的應用上。但目標是在約定的時間內覆蓋所有部門的所有功能，以驗證結果。

就此而言，管理檢查應被視為一個持續的警惕過程。客觀性的需要顯然相當重要。如果在內部進行檢查，則必須有標準化的檢查程序；檢查應由為此目的接受過適當培訓的工作人員進行；那些被選為檢查員的人不得評估他們通常工作的部門，也不應評估他們親自參與的任何其他工作。在依賴顧問的地方，這個問題就會最小化。

許多大公司都採用了這種類型的系統，要么是內部設計的，要么是作為專有方案獲得的。當系統從政策聲明到檢查、反饋和糾正措施都得到認真遵循時，事故率將大幅降低，這是該程序的主要理由，盈利能力的提高，這是一個受歡迎的次要結果，應該會產生。

督察團的檢查

如果要實現監管立法的目的，必須妥善管理和有效應用旨在保護工作人員的法律框架。因此，大多數國家都採用了檢查服務的廣泛模式，其職責是確保安全和健康立法得到執行。許多國家將安全和健康問題視為包括勞資關係、工資和假期協議以及社會福利在內的完整勞資關係計劃的一部分。在這個模型中，安全和健康檢查是勞動監察員職責的一個組成部分。還存在一種不同的模式，在這種模式中，國家監察員專門負責安全和健康立法，因此工作場所檢查只集中在這方面。在國家監察機構或地區/省監察機構之間，或者實際上，例如在意大利和英國，作為國家和地區監察機構的工作組合，監察職能的劃分顯然存在更多差異。但無論採用哪種模式，監察局的基本職能都是通過在工作場所進行的有計劃的監察和調查計劃來確定是否遵守了立法。

除非賦予承擔這項工作的人足夠的權力來執行這項工作，否則不可能有有效的檢查系統。關於立法者賦予他們的權力，監察員之間有很多共同點。必須始終有進入場所的權利，這顯然是檢查的基礎。此後，就有合法權利檢查相關文件、登記冊和報告，單獨或集體採訪員工，不受限制地接觸工作場所的工會代表，對工作場所使用的物質或材料進行取樣, 拍照，並在適當的情況下，從在該處所工作的人那裡獲取書面陳述。

通常會提供額外的權力，使檢查員能夠糾正可能對員工造成直接危險或健康不良的情況。同樣，有各種各樣的做法。如果標準太差以至於對員工造成迫在眉睫的危險，則可以授權檢查員當場送達法律文件，禁止使用機器或工廠，或停止流程，直到風險得到有效消除受控。對於較低級別的風險，檢查員可以正式發布法律通知，要求在給定時間內採取措施提高標準。這些是快速改善工作條件的有效方法，而且通常是一種比正式法庭程序更可取的執法形式，因為正式法庭程序在確保補救方面可能既麻煩又緩慢。

法律程序在執法體系中佔有重要地位。有一種觀點認為，由於法庭程序只是懲罰性的，並不一定會改變人們對工作安全和健康的態度，因此只有在所有其他確保改進的嘗試都失敗時，才應將它們作為最後的手段援引。但這種觀點必須與這樣一個事實相對照，即在法律要求被忽視或漠視的情況下，以及人們的安全和健康受到嚴重威脅的情況下，必須執行法律，並且必須由法院來決定這個問題。還有一種觀點認為，那些無視安全和健康立法的企業可能因此比其競爭對手享有經濟優勢，後者提供足夠的資源來履行其法律義務。因此，對那些頑固地不履行職責的人進行起訴是對不法分子的威懾，也是對那些努力遵守法律的人的鼓勵。

每個檢查服務都必須在檢查工作過程中確定提供建議和執法之間的適當平衡。小企業的檢查出現了一個特殊的困難。地方經濟，乃至國家經濟，往往由僱用不到 20 人的工業廠房支撐；就農業而言，單位就業人數要少得多。在這些情況下，監察局的職能是利用工作場所監察不僅提供有關法律要求的信息和建議，還提供有關實際標準和滿足這些標準的有效方法的信息和建議。該技術必須是鼓勵和刺激，而不是通過懲罰行動立即執行法律。但即使在這裡，平衡也很困難。無論企業規模大小，工作人員都有權獲得安全和健康標準，因此，如果檢驗機構忽視風險或將風險降至最低並減少甚至放棄執法，只是為了扶助經濟脆弱的群體，那將是完全錯誤的小型企業。

檢查的一致性

鑑於他們工作的複雜性——需要法律、審慎、技術和科學技能的綜合需要，檢查員不會——實際上不應該——採用機械化的檢查方法。這種限制，加上諮詢和執法職能之間難以平衡，造成了另一個問題，即檢查服務的一致性問題。工業家和工會有權期望全國各地的檢查員一致應用標準，無論是技術標準還是法律標準。在實踐中，這並不總是容易實現，但執法當局必須始終為之努力。

有多種方法可以達到可接受的一致性。首先，監察機構在發布其技術標準和公開制定其執法政策時應盡可能公開。其次，通過培訓、同行評審練習的應用和內部指導，它應該能夠識別問題並提供系統來處理它。最後，它應該確保工業界、勞動力、公眾和社會夥伴有程序在對不一致或與檢查相關的其他形式的管理不善有合法申訴時獲得補救。

檢查頻率

監察員應多久對工作場所進行一次檢查？同樣，回答這個問題的方式也有很大差異。國際勞工組織（ILO）認為，最低要求應該是每個工作場所每年至少接受一次執法當局的檢查。實際上，很少有國家能夠制定出符合這一目標的工作檢查計劃。事實上，自 1980 世紀 XNUMX 年代後期的重大經濟蕭條以來，一些政府一直在通過預算限制減少檢查服務，這導致檢查員人數減少，或者通過限制招聘新員工來接替退休人員。

有不同的方法來確定檢查的頻率。一種方法是純粹週期性的。已部署資源以每 2 年一次（或更可能是 4 年一次）對所有場所進行檢查。但是這種方法，雖然可能具有公平的外觀，但無論大小或風險如何，都將所有前提視為相同。然而，企業在安全衛生條件方面存在明顯差異，差異之大可說是機制性、缺陷性的製度。

一些檢查機構採用的另一種方法是嘗試根據危害制定工作計劃；對安全或健康的危害越大，檢查的頻率就越高。因此，監察局將資源用於那些對勞動力造成傷害的可能性最大的地方。儘管這種方法有其優點，但仍然存在與其相關的相當大的問題。一是難以準確、客觀地評估危害和風險。其次，它大大延長了對危險和風險被認為較低的場所進行檢查的間隔時間。因此，可能會經歷很長一段時間，在此期間，許多員工可能不得不放棄檢查可以提供的安全感和保證。此外，該系統傾向於假定危險和風險一旦被評估，就不會發生根本性的變化。事實遠非如此，低評級企業可能會改變或發展其生產方式，從而增加危害和風險，而監察員卻沒有意識到這種發展。

其他方法包括根據特定行業高於全國平均水平的設施傷害率進行檢查，或者在發生致命傷害或重大災難後立即進行檢查。確定檢查頻率的問題沒有簡單易行的答案，但似乎正在發生的是，許多國家的檢查服務往往資源嚴重不足，結果是，對勞動力提供的真正保護該服務正在逐漸受到侵蝕。

檢查目標

工作場所的檢查技術因企業的規模和復雜程度而異。在較小的公司中，檢查將是全面的，並將評估所有危害以及由危害引起的風險已被最小化的程度。因此，檢查將確保雇主充分了解安全和健康問題，並就如何解決這些問題提供實用指導。但即使是在最小的企業中，監察員也不應給人這樣的印象，即發現錯誤和採取適當的補救措施是監察員的職責，而不是雇主的職責。必須通過檢查鼓勵雇主控制和有效管理安全和健康問題，他們不得在採取必要行動之前等待執法部門的檢查而推卸責任。

在較大的公司中，檢查的重點是相當不同的。這些公司擁有處理安全和健康問題的技術和財政資源。他們應該設計有效的管理系統來解決問題，以及檢查系統是否正常工作的管理程序。因此，在這些情況下，檢查重點應放在檢查和驗證工作場所的管理控制系統上。因此，檢查不應是對工廠和設備的所有項目進行詳盡檢查以確定其安全性，而是使用選定的示例來測試管理系統的有效性或其他方面，以確保工作中的安全和健康。

工人參與檢查

無論在什麼場所，任何類型的檢查中的一個關鍵因素是與員工的聯繫。在許多較小的場所，可能根本沒有正式的工會結構或任何勞動力組織。但是，為確保檢查服務的客觀性和可接受性，與個別工人的接觸應該是檢查的一個組成部分。在較大的企業中，應始終與工會或其他公認的工人代表聯繫。一如果迫在眉睫的危險，請停止工廠機械或生產過程。從這些與工人的接觸中可以獲得很多有用的信息，這些信息應該出現在每次檢查中，當然也應該出現在檢查團因事故或投訴而進行檢查時。

檢查結果

檢查的最後一個要素是與現場最高級的管理人員一起審查檢查結果。管理層負有遵守有關安全和健康的法律要求的主要責任，因此，如果管理層未充分了解其履行這些職責的程度以及需要採取哪些措施來確保和維持適當的標準，則任何檢查都不應是完整的. 當然，如果檢查結果發出任何法律通知，或者可能會提起法律訴訟，那麼高級管理層必須儘早了解這種情況。

公司視察

公司檢查是維持良好的工作安全和健康標準的重要組成部分。它們適用於所有企業，在較大的公司中，它們可能是管理檢查程序中的一個要素。對於較小的公司，必須採用某種形式的定期公司檢查。不應依賴執法機關檢查機構提供的檢查服務。這些通常太少見，應該主要作為改進或維護標準的刺激因素，而不是評估標準的主要來源。公司檢查可由顧問或專門從事此項工作的公司承擔，但目前的討論將集中在企業自身人員的檢查上。

公司檢查應該多久進行一次？在某種程度上，答案取決於與工作相關的危險和工廠的複雜性。但即使是在低風險場所，也應該定期（每月、每季度等）進行某種形式的檢查。如果公司僱用了安全專業人員，那麼顯然檢查的組織和實施必須是該職能的重要組成部分。檢查通常應由安全專業人員、部門經理或領班以及工會代表或合格工人（例如安全委員會成員）共同參與。檢查要全面；也就是說，無論是安全軟件（如係統、程序和工作許可）還是硬件（如機械防護、消防設備、排氣通風和個人防護設備），都應該進行仔細檢查。應特別注意“有驚無險”——那些沒有造成損害或人身傷害但有可能造成嚴重意外傷害的事件。期望在發生事故導致曠工後，檢查組會立即召集調查情況，這是正常檢查週期之外的事情。但即使在例行車間檢查期間，團隊也應考慮自上次檢查以來該部門發生的輕微意外傷害的程度。

重要的是，公司檢查不應看起來總是負面的。如果存在故障，發現並糾正它們很重要，但同樣重要的是要表揚保持良好標準，積極評價整潔和良好的內務管理，並通過鼓勵那些使用個人防護設備來保障自身安全的人. 為完成檢查，應對所發現的重大缺陷做出正式的書面報告。應特別注意在以往檢查中發現但尚未糾正的任何缺陷。如果存在工廠安全委員會或管理層-工人安全聯合委員會，檢查報告應作為委員會議程的常設項目。檢查報告必須送交企業高級管理人員討論，由高級管理人員決定是否需要採取行動，如果需要，授權和支持這種行動。

即使是沒有安全專業人員且可能不存在工會的最小公司，也應該考慮對公司進行檢查。許多檢查機構制定了非常簡單的指南，說明了安全與健康的基本概念、它們在一系列行業中的應用，以及即使是最小的企業也可以應用的實用方法。許多安全協會專門針對小型企業提供出版物（通常是免費的），這些出版物提供建立安全和健康工作條件的基本信息。有了這些信息並花費很少的時間，小企業的所有者就可以建立合理的標準，從而或許可以避免即使在最小的企業中也可能發生在員工身上的那種事故。

出版於 57. 審計、檢查和調查

週五，4月01 2011 01：05

分析和報告：事故調查

矛盾的是，工作相關事故的預防並沒有作為絕對必要性很早就出現，因為健康和安全是工作本身的基礎。事實上，直到 XNUMX 世紀初，工傷事故才不再被認為是不可避免的，其因果關係成為需要調查的主題，並用作預防的基礎。然而，事故調查長期以來一直是粗略和經驗主義的。從歷史上看，事故最初被認為是簡單的現象，即由單一（或主要）原因和少量次要原因引起的。現在人們認識到，旨在查明現象原因以避免其再次發生的事故調查既取決於調查過程所依據的概念，也取決於調查過程所應用的情況的複雜性。

事故原因

的確，在最危險的情況下，事故往往是一系列相當簡單的原因的結果，這些原因可以迅速追溯到基本的技術問題，即使是簡單的分析也能揭示出來（設備設計不當、工作方法不明確、 ETC。）。另一方面，工作的物質要素（機器、裝置、工作場所的佈置等）越符合安全工作程序、標準和法規的要求，工作環境就越安全。結果是，只有當一組異常情況同時出現時，事故才會發生——這些情況越來越多。在這種情況下，傷害或損害似乎是複雜的原因網絡的最終結果。這種複雜性實際上是預防進展的證據，需要適當的調查方法。表 1 列出了事故現象的主要概念、特徵和預防意義。

表 1. 事故現象的主要概念、特徵和預防意義

概念或“事故現象”	重要要素（目標、程序、限制等）	預防的主要後果
基本概念（事故為很少或只有一個原因的現象）	目標是確定“那個”單一或主要原因沒有特別的方法花在調查上的時間很少機會和命運的作用經常被提及	關於傷害發生前的簡單預防措施（個人保護、注意事項說明、危險機器的保護）
以監管措施為重點的概念	重點尋找責任人； “查詢”本質上是識別侵權和過錯很少關注產生所檢查情況的條件	預防通常僅限於提醒有關現有監管要求或正式指示
線性（或準線性）概念（“多米諾骨牌”模型）	識別按時間順序排列的“危險情況”和“危險行為” 經常使用清單調查在很大程度上取決於調查員的經驗預防措施薄弱（確定行為的危險性質事後)	一般與危險行為有關的結論
多因素概念	詳盡的研究以收集事實（情況、原因、因素等）重點放在每個事故情況的偶然性上收集的事實沒有相關性標準需要復雜的統計處理	概念不利於逐案尋找解決方案（臨床分析），更適合統計方面的識別（趨勢、表格、圖表等）
系統概念（原因樹，STEP）	確定每起事故的因素網絡邏輯關係的使用需要對調查員進行培訓	以臨床分析為中心的方法（以參與方式進行）可用於所有不希望發生的事件（事故、故障）

如今，工傷事故通常被視為由單一生產單元組成的系統（如工廠、車間、班組或工位）出現功能障礙的指標（或徵兆）。系統的性質要求研究者不僅要檢查構成系統的元素，還要檢查它們之間以及它們與工作環境的關係。在一個系統的框架內，事故調查試圖追溯其起源導致事故的基本功能障礙的順序，更一般地說，追溯意外事件（事故、準事故或事故徵候）的前因網絡。

此類方法的應用，例如 STEP 方法（順序計時事件繪圖程序）和“原因樹”方法（類似於故障或事件樹分析），可以使事故過程以調整後的圖表，說明現象的多重因果關係。因為這兩種方法非常相似，所以描述它們是重複的工作；因此，本文重點介紹原因樹方法，並在適用的情況下指出其與 STEP 方法的主要區別。

對調查有用的信息

調查的初始階段，即信息收集，必須允許以具體、準確和客觀的方式描述事故過程。因此，調查著手確定有形事實，注意不要對其進行解釋或發表意見。這些是事故的前因，其中有兩種：

與工作的“正常”或預期過程相關的不尋常性質（變化或變化）
那些通過不尋常的前因媒介或與不尋常的前因結合在事故的發生中發揮積極作用的永久性的。

例如，如果機器保護不足（永久性前因）允許操作員在危險區域佔據一個位置以處理特定事件（異常前因），則可能會成為事故的一個因素。

信息收集在事故發生後儘快在事故現場進行。它最好由了解操作或過程的人員執行，並試圖獲得對工作的準確描述，而不會將自己局限於損壞或傷害的直接情況。調查最初主要通過面談的方式進行，如果可能的話，與工人或操作者、受害者和目擊者、工作團隊的其他成員以及層級主管進行面談。如果合適，它可以通過技術調查和使用外部專業知識來完成。

調查旨在按優先順序確定不尋常的前因，並確定它們的邏輯聯繫。同時努力揭示導致事故發生的永久前因。通過這種方式，調查能夠追溯到比事故的直接前因更遙遠的階段。這些更遙遠的前因可能涉及個人、他們的任務、他們使用的設備、他們工作的環境和安全文化。按照剛才描述的方式進行，通常可以列出一長串前因，但通常很難立即使用這些數據。由於事故發生的所有前因的圖形表示，即原因樹，使得數據的解釋成為可能。

構建原因樹

原因樹顯示了所有已收集的導致事故的前因，以及連接它們的邏輯和時間聯繫；它代表了直接或間接造成傷害的前因網絡。原因樹是從事件的終點（即傷害或損壞）開始構建的，並通過系統地針對已收集的每個前因詢問以下問題來回溯原因：

由哪個先行詞 X 直接導致先行詞 Y？

前提 X 本身是否足以產生前提 Y？

如果不是，是否有其他前提條件（X1，X2  Xn）對於直接產生前提條件 Y 是同樣必要的？

這組問題可以揭示前因之間的三種邏輯聯繫，如圖 1 所示。

圖 1. “原因樹”方法中使用的邏輯鏈接

通過對每個先行詞提出以下問題來檢查樹的邏輯連貫性：

如果 X 沒有發生，Y 還會發生嗎？

為了使 Y 發生，X 是必需的，而且只有 X 是必要的嗎？

此外，原因樹的構建本身會促使調查人員在事故發生之前進行信息收集，從而進行調查。完成後，這棵樹代表了導致傷害的前因網絡——它們實際上是事故因素。例如，下面總結的事故產生了圖 2 所示的原因樹。

圖 2. 學徒機械師在汽車中重新安裝發動機時發生事故的原因樹

事故總結報告： 最近招聘的學徒機械師在緊急情況下不得不獨自工作。一條破舊的吊帶被用來懸掛必須重新安裝的發動機，在這次操作中吊帶斷裂，發動機掉落並傷到了機械師的手臂。

STEP法分析

根據 STEP 方法（圖 3），每個事件都以圖形方式列出，以顯示其出現的時間順序，每個相關“代理人”保留一行（代理人是決定構成事件過程的人或事物）事故過程）。每個事件都通過指出其開始、持續時間、開始和結束地點等來精確描述。當有幾個似是而非的假設時，研究者可以用“或”的邏輯關係將它們展示在事件網絡中。

圖 3. STEP 方法可能的表示示例

原因樹法分析

使用原因樹進行事故分析有兩個目的：

使同樣的事故不可能再次發生

避免或多或少類似事故的發生——即，其調查將揭示與已經發生的事故的共同因素的事故。

給定樹的邏輯結構，如果沒有單一的前因，就可以避免事故的發生。因此，一項明智的預防措施原則上足以通過防止同一事故再次發生來滿足第一個目標。第二個目標要求消除所有發現的因素，但在實踐中，對於預防目的而言，前因並非都同等重要。因此，有必要擬定一份需要採取合理和現實的預防行動的前因清單。如果此列表很長，則必須做出選擇。如果該選擇是在事故相關夥伴之間的辯論框架內做出的，則該選擇更有可能是合適的。此外，如果可以評估所提議的每項措施的成本效益，辯論將變得更加清晰。

預防措施的有效性

可以藉助以下標準來判斷預防措施的有效性：

測量的穩定性。 預防措施的效果不能隨時間消失：通知操作員（特別是提醒他們注意事項）不是一個非常穩定的措施，因為它的效果通常是短暫的。此外，對於一些易於拆卸的保護裝置也是如此。

集成安全的可能性. 當添加安全措施時——即當它不直接對生產做出貢獻時——可以說安全沒有集成。每當出現這種情況時，就會觀察到該措施趨於消失。一般來說，應避免任何給操作員帶來額外成本的預防措施，無論是生理成本（增加身體或神經負荷）、心理成本、財務成本（在工資或產出的情況下）甚至一個簡單的時間損失。

不轉移風險. 一些預防措施可能會產生不利於安全的間接影響。因此，始終有必要預見預防措施對其所在系統（工作、團隊或車間）可能產生的影響。

一般應用的可能性 （潛在事故因素的概念）。 這一標準反映了同樣的預防措施可能適用於受調查事故影響的其他工作的擔憂。只要有可能，就應該努力超越引起調查的特定案例，這種努力通常需要重新表述所發現的問題。因此，從事故中獲得的信息可能導致採取與未知因素相關的預防措施，但這些因素存在於尚未引起事故的其他工作情況中。因此，它們被稱為“潛在事故因素”。這個概念為早期發現風險開闢了道路，稍後會提到。

對根本“原因”的影響。 作為一般規則，預防接近傷害點的事故因素可以消除危險情況的某些影響，而在傷害發生之前採取良好的預防措施往往可以消除危險情況本身。在預防措施同樣關注上游因素的情況下，對事故進行深入調查是合理的。

申請所需時間. 在事故發生後儘快採取行動以避免事故再次發生的需要通常反映在應用簡單的預防措施（例如指示）中，但這並不能消除其他更持久的需要和更有效的行動。因此，每起事故都必須提出一系列建議，這些建議的實施是後續行動的主題。

上述標準旨在更好地評估每次事故調查後提出的預防措施的質量。然而，最終的選擇並不僅僅基於此，還必須考慮其他因素，例如經濟、文化或社會因素。最後，所決定的措施必須明顯遵守現行法規。

事故因素

從每次事故分析中汲取的教訓都應該系統地記錄下來，以促進知識轉化為行動。因此圖 4 由三列組成。左欄中註明了需要採取預防措施的事故因素。對於每個決定的因素，中間欄中描述了可能的預防措施。經過上述討論，選擇的動作記錄在文件的這一部分。

圖 4. 從事故中吸取的教訓和這些教訓的使用

右欄涵蓋了左欄所列因素所暗示的潛在事故因素：認為發現的每個事故因素往往只是一個更普遍的因素的特例，稱為潛在事故因素。從特殊情況到更一般情況的過渡通常是自發發生的。然而，每當意外因素以這樣一種方式表達時，即不可能在出現它的情況之外的其他地方遇到它，就必須考慮更一般的表述。在這樣做時，有必要避免兩個相反的陷阱，以便在早期發現以後出現的風險時有效地利用潛在事故因素的概念。過於局限的表述無法系統地檢測因素，而過於寬泛的表述則使概念無法實施，並且沒有進一步的實際意義。因此，潛在事故因素的檢測以它們被很好地表述為前提。這種檢測可以通過兩種方式進行，而且它們是互補的：

通過尋找工作層面或更廣泛領域（車間、服務）已知的潛在因素的可能存在
或者通過尋找可以觀察到已經確定的因素的工作。

事故調查的用處、有效性和局限性

用處。 與非系統調查相比，基於系統概念的事故調查方法具有許多優點，其中包括：

它們允許對每起事故的因果網絡進行集體定義，從中更容易制定新的預防措施並預見其影響，而不僅限於傷害的直接原因。

它們為參與分析的人員提供了對“事故現象”的更豐富、更真實的心理表徵，從而可以全面了解工作情況。

深入的事故調查（特別是當它們擴展到涵蓋事件和意外事件時）可以成為管理層和運營商之間對話的一種方式和適當的場合。

效力。 為了有效，事故調查需要同時滿足四個條件：

機構最高管理層的明確承諾，他們必須能夠確保系統地實施此類程序
調查員培訓
管理層、主管和工人充分了解調查的目的、原則、方法要求和預期結果
安全條件的真正改善將鼓勵那些參與未來調查的人。

限制。 即使進行得很好，事故調查也有雙重局限性：

它仍然是調查風險的程序事後（以系統分析的方式），目的是糾正現有情況。因此，它並不免除對先驗（前瞻性）調查，例如工作的人體工程學調查或複雜系統的安全調查。

事故調查的有用性還因應用它們的機構的安全級別而異。尤其是在安全等級高（事故率低或極低）的情況下，很明顯，重大事故是眾多獨立的隨機因素共同作用的結果，這些因素在調查範圍之外，從安全的角度來看是相對無害的。 .

出版於 57. 審計、檢查和調查

週五，4月01 2011 01：15

報告和編制事故統計

報告和編制事故數據的必要性

收集和分析職業事故數據的主要目的是提供知識，用於預防職業傷害、死亡和其他形式的傷害，例如具有長期影響的有毒物質暴露。這些數據也可用於評估對受害者先前所受傷害的賠償需求。此外，編制事故統計數據的更具體目的包括：

估計事故問題的原因和嚴重程度

確定預防措施的需要並確定優先順序

評估預防措施的有效性

監測風險、發出警告並開展宣傳活動

為參與預防的人員提供反饋。

通常，需要了解每年發生的事故數量。為此經常使用一個頻率，將事故數量與風險組相關的衡量標准進行比較，並表示為例如每 100,000 名工人或每 100,000 個工作小時發生的事故。此類年度計數的目的是揭示事故率從一年到另一年的變化。然而，儘管它們可能表明需要採取最緊急的預防措施的事故類型，但它們本身並沒有提供關於採取這種措施的形式的指導。

對事故信息的需求涉及以下三個使用它的功能級別：

在單個企業的工作場所層面，事故數據用於當地的安全活動。可以立即在工作場所找到解決特定風險因素的最佳機會。

在負責立法的當局層面，事故數據用於規範工作環境並促進工作場所的安全。不僅可以在此級別對工作場所施加控制，還可以進行一般統計分析以用於整體預防工作。

在負責向事故受害者支付賠償金的當局層面，事故數據用於幫助確定費率。

組織在編制事故信息中的作用

在許多國家/地區，法律要求企業保留導致工人受傷、死亡或接觸有毒物質的職業事故的統計數據。這樣做的目的通常是引起人們對實際導致此類事故的風險的注意，安全活動主要集中在特定事故和事件本身的研究上。然而，系統地收集和記錄事故信息更為常見，該功能通常在更高級別執行。

由於大多數事故的實際情況特殊，完全相同的事故很少發生，基於個別事故分析的預防很容易成為一個高度具體的事情。通過系統地收集事故信息，可以更全面地了解可能發現特定風險的區域，並發現導致事故的不太明顯的因素。特定的工作流程、特定的工作團隊或使用特定的機器工作可能會導致高度偶然的事故。然而，仔細研究與給定類別的製服工作相關的事故類型可以揭示諸如工作流程不方便、材料使用不當、工作條件困難或缺乏足夠的工人指導等因素。對大量反復發生的事故進行分析將揭示採取預防措施時需要處理的基本因素。

向安全部門報告事故信息

要求報告職業事故的立法因國家而異，主要與雇主類別和法律適用的其他人有關。高度重視工作場所安全的國家通常要求將事故數據報告給負責監督安全法規遵守情況的當局。（在某些情況下，立法要求報告導致缺勤的工傷事故，這種缺勤的持續時間在事故發生當天之外的 1 到 3 天不等。）大多數立法的共同點是報告與對事故後果進行某種處罰或賠償。

為了為預防職業事故奠定堅實的基礎，有必要確保與所有部門和所有類型的行業有關的事故信息。應在國家層面提供比較基礎，以便優先採取預防行動，並使與不同部門任務相關的風險知識可以在預防工作中得到充分利用。因此，建議在國家層面編制職業事故信息的義務適用於指定嚴重程度的所有職業事故，無論它們是否涉及公司僱員或個體經營者、從事臨時工作的人員或固定工資收入者，或公共或私營部門的工人。

雖然一般來說，雇主有責任報告事故，但這項責任的履行程度各不相同。遵守報告事故義務的程度取決於促使雇主這樣做的動機。例如，一些國家有規定，雇主將根據事故受害者的誤工工資獲得補償，這種安排使他們有充分的理由報告工傷。其他國家/地區對被發現不報告事故的雇主進行處罰。如果不存在這些類型的激勵措施，則並不總是遵守僅對雇主具有約束力的法律義務。此外，建議將用於預防應用的職業事故信息提供給負責預防活動的當局，並與補償當局分開保存。

需要編制哪些信息？

通過事故記錄可以獲得三類基本信息：

信息識別哪裡事故發生——即部門、行業、工作流程等。這些知識可以用來確定哪裡需要採取預防措施。

信息展示如何事故的發生、事故發生的情況以及造成傷害的方式。這些知識可用於確定類型所需的預防措施。

相關信息 性質和嚴重性 傷害的描述，例如描述受影響的身體部位和傷害對健康的影響。這些知識將用於優先預防措施，以確保在風險最高的地方採取行動。

有必要編制一定的基本數據補充，以正確記錄事故發生的時間和地點，並分析事故是如何發生的。在企業層面，收集的數據比在國家層面收集的數據更詳細，但在地方層面生成的報告將包含各級有價值的信息項。表 1 說明了可能通過描述單個事故的方式記錄的特定類型的信息。下文更全面地描述了與編制事故相關統計數據任務特別相關的項目。

表 1. 表徵事故的信息變量

動態	項目
步驟 1
受害者的活動：例如，操作機器、進行維護、駕駛、步行等。	與受害者活動相關的組件：例如，壓力機、工具、車輛、地板等。
步驟 2
異常行為：例如，爆炸、結構故障、絆倒、失控等。	與偏差作用相關的構件：例如，壓力容器、牆壁、電纜、車輛、機器、工具等。
步驟 3
導致傷害的行為：例如，被擊中、壓碎、被困、接觸、咬傷等。	傷害因素：例如，磚塊、地面、機器等。

事故識別號碼。 所有職業事故都必須分配一個唯一的識別號碼。為了計算機化歸檔和後續處理的目的，使用數字標識符特別有利。

個人身份證號碼和日期. 受害者登記是事故鑑定的重要組成部分。該號碼可以是工人的生日、就業號碼、社會安全號碼或其他一些唯一標識符。記錄個人識別號碼和事故發生日期將防止重複登記同一事故事件，還可以檢查事故是否已報告。為了安全起見，可以保護事故報告中包含的信息與個人識別號之間的鏈接。

國籍。 在擁有大量外國勞動力的國家，受害人的國籍可能是一項特別重要的信息。可以從 DS/ISO 標準 3166 中列出的代碼中選擇兩位數代碼。

佔用。 可以從國際標準職業分類 (ISCO) 提供的四位數國際職業代碼列表中選擇職業註冊號。

企業。 企業的名稱、地址和標識號用於國家層面的事故記錄（但名稱和地址不能用於計算機記錄）。企業的生產部門通常會在其工傷保險承保人處進行登記，或在其勞動力登記方面進行備案。可以根據五位 NACE 國際分類系統分配一個數字扇區標識符。

工作流程. 與職業事故有關的信息的一個重要組成部分是對事故發生時所進行的工作過程的描述。識別工作過程是準確針對性預防的前提。應該注意的是，工作過程是受害人在事故發生時正在執行的實際工作職能，不一定與造成傷害、死亡或暴露的工作過程相同。

事故事件. 事故事件通常包括一系列事件。調查人員通常傾向於關注事件週期中實際發生傷害的部分。然而，從預防的角度來看，描述事件週期中出現問題的那部分，以及事件發生時受害者正在做什麼，同樣重要。

事故的後果。 在指定身體的受傷部位並描述傷害類型後（這部分通過清單編碼，部分通過事件週期中的描述完成），記錄描述傷害嚴重程度的信息，是否導致缺勤（以及缺勤多長時間），或者它是否致命或涉及無效。有關長期缺勤、住院或殘疾的詳細信息通常可從補償辦公室和社會保障系統獲得。

因此，出於記錄目的，事故事件的審查分為以下三個信息部分：

活動與事故相關的是受害者在事故發生時所做的事情。它通過操作代碼和技術代碼記錄。在這方面，技術的概念是廣泛的，涵蓋機器、材料、建築構件甚至動物等工具。目前，沒有國際技術分類，儘管丹麥為此目的製定了分類方案。

傷害事件 是導致事故的異常事件。這通過偏差代碼和構成偏差一部分的技術的一個或兩個代碼來記錄。

受傷方式 通過使用受害者接觸致傷因素的方式的代碼和造成傷害的技術的另一個代碼來記錄。

以下示例說明了這些分析類別的應用：

如果一名工人在行走時被軟管絆倒並摔倒，頭部撞到桌子上，則活動為行走，傷害事件為被軟管絆倒，受傷方式為撞擊頭靠在桌子上。
當一名工人站在牆邊時，一個坦克爆炸，導致牆壁倒塌壓在受害者身上。活動僅靠牆站立，傷害事件為坦克爆炸，傷害方式為牆壁對受害人的衝擊。

報告事故信息

可以將每次事故要獲取的信息記錄在類似於圖 1 所示的報告表中。

圖 1. 示例報表

可以使用分類鍵將報告表中的信息記錄在計算機上。（在可以推薦國際分類系統的情況下，這些在上面給出的各個信息變量的描述中提到。）建立統一的記錄系統是歐盟起草的提案的一部分。

事故統計的使用

事故統計在廣泛的背景下形成了一個有價值的工具：繪圖、監測和警告、優先預防領域、具體預防措施以及信息檢索和研究。一個領域可能與另一個領域重疊，但應用原則各不相同。

映射

映射職業事故數據涉及從註冊數據的積累中提取預定種類的信息，並分析它們之間的相互關係。以下示例將說明映射應用程序的實用程序。

工業部門的映射。 與工業部門相關的數據可以通過提取數據寄存器中包含的報告的適當選擇並進行所需的分析來映射。如果對建築行業等行業特別感興趣，可以選擇在國際標準行業分類 (ISIC) 中註冊並編碼為 50,000 至 50,199（建築和施工）的報告。該行業的報告然後可以映射以顯示，例如，企業的地理位置，以及每個事故受害者的年齡、性別和職業。

傷害映射。 如果選擇是基於特定的傷害類別，則可以提取報告並繪製圖表以顯示，例如，發生這些事故的行業、涉及的職業類別、受影響的年齡組、發生事故的活動以及最常涉及的技術類型。

企業測繪。 可以通過映射給定時間段內發生的已通報職業事故，對企業層面的事故趨勢（以及企業內部工作環境）進行評估。此外，企業還可以將其在技術、人員構成等方面的個體地位與行業整體進行比較，從而確定其在這些方面的地位是否具有行業典型性。此外，如果一個行業被證明包含一些典型的工作環境問題，那麼最好調查這些問題是否存在於單個企業中。

監控預警

監控是一個持續的監視過程，伴隨著警告主要風險，特別是此類風險的變化。在收到的事故報告中觀察到的變化可能表明報告模式發生了變化，或者更嚴重的是，可能反映了風險因素的真實變化。可以說，主要風險存在於傷害發生頻率高、嚴重傷害發生率高和人類暴露群體大的地方。

確定優先事項

確定優先事項 是選擇最重要的風險區域或工作環境問題採取預防措施。通過測繪調查和監測及預警活動的結果，可以建立職業事故登記冊，這有助於確定優先事項，其要素可能包括以下內容：

涉及嚴重後果的風險

對大部分暴露組造成傷害的可能性很高的風險

大量人群面臨的風險。

從職業事故登記冊中提取的數據可用於確定多個級別的優先級，可能是在整個國家級別，也可能是在更具體的企業級別。無論在哪個層面，都可以根據相同的原則進行分析和評估。

預防

用於預防目的的分析和文件通常是高度具體的，集中在有限的領域，然而，這些領域得到了深入的處理。這種分析的一個例子是丹麥國家勞動監察局開展的防止致命事故的運動。初步繪圖調查確定了發生致命事故的行業和工作職能。農用拖拉機被選為分析的重點領域。分析的目的是確定是什麼讓拖拉機如此危險。調查的問題包括誰駕駛它們，它們在哪裡操作，事故發生的時間，特別是什麼類型的情況和事件導致了事故。分析產生了最常導致事故的七種典型情況的描述。在此分析的基礎上製定了預防計劃。

單個企業的職業事故數量往往太少，無法產生用於預防性分析的可行統計數據。對事故模式的分析可能能夠用於防止特定傷害的重複發生，但很難成功地防止以某種方式與以前的情況不同的事故的發生。除非調查的重點是相當大的企業，否則最好對一組性質非常相似的企業或一組相同類型的生產過程進行此類分析。例如，對木材行業的分析表明，切割機發生的事故主要涉及手指受傷。運輸事故主要包括腳和腿受傷，腦損傷和濕疹是表面處理行業中最常見的危害。對行業內相關工作流程進行更詳細的分析可以揭示哪些情況通常會導致事故。基於這些信息，相關行業的專家可以確定何時可能出現這種情況，以及預防的可能性。

信息檢索與研究

諸如歸檔和圖書館系統之類的信息系統最常見的用途之一是為了安全研究的目的檢索具有特定和明確定義性質的信息。例如，在一項旨在製定有關屋頂工作的法規的研究中，有人懷疑此類工作是否存在任何特定風險。人們普遍認為，人們在工作時很少會因從屋頂墜落而受傷。但是，這次通過工傷事故登記簿，檢索了所有人員從屋頂墜落受傷的報告，確實發現了相當數量的案例，證實了繼續制定這方面法規的重要性。

出版於 57. 審計、檢查和調查

週一，4月04 2011 16：56

系統分析

A 系統可以定義為一組相互依賴的組件，這些組件以在指定條件下執行給定功能的方式組合在一起。從這個意義上說，機器是系統的有形且特別明確的例子，但還有其他系統，涉及團隊或車間或工廠中的男性和女性，這些系統要復雜得多，也不容易定義。 安全指引 表示不存在事故或傷害的危險或風險。為了避免歧義，一個的一般概念 不想要的發生 將被雇用。絕對的安全，從或多或少的不幸事件不可能發生的意義上說，是不可能實現的；實際上，人們必須以非常低而不是零的意外事件概率為目標。

一個給定的系統可能被認為是安全的或不安全的，僅就其實際預期的性能而言。考慮到這一點，系統的安全級別可以定義如下：“對於任何給定的意外事件集，系統的安全（或不安全）級別取決於這些事件在給定時間內發生的概率。一段的時間”。在目前的聯繫中會引起關注的意外事件的例子包括：多人死亡、一人或多人死亡、重傷、輕傷、環境破壞、對生物的有害影響、工廠或建築物的破壞以及重大或有限的材料或設備損壞。

安全系統分析的目的

系統安全分析的目的是確定影響意外事件發生概率的因素，研究這些事件發生的方式，並最終制定預防措施以降低其發生概率。

問題的分析階段可以分為兩個主要方面：

的識別和描述類型功能障礙或失調
的識別序列一種與另一種（或更多“正常”事件）相結合最終導致不希望的事件本身的功能障礙，以及對其可能性的評估。

一旦研究了各種功能障礙及其後果，系統安全分析師就可以將注意力轉移到預防措施上。該領域的研究將直接基於早期的發現。預防措施的調查遵循系統安全分析的兩個主要方面。

分析方法

系統安全分析可以在事件發生之前或之後進行（先驗或後驗）；在這兩種情況下，所使用的方法可能是直接的，也可能是相反的。先驗分析發生在意外發生之前。分析家採取一定數量的此類事件，並著手發現可能導致這些事件發生的各個階段。相比之下，後驗分析是在意外事件發生後進行的。其目的是為未來提供指導，特別是得出可能對任何後續先驗分析有用的任何結論。

雖然看起來先驗分析比後驗分析更有價值，因為它先於事件發生，但兩者實際上是互補的。使用哪種方法取決於所涉及系統的複雜性以及關於該主題的已知信息。對於機器或工業設施等有形系統，以前的經驗通常可以用來準備相當詳細的先驗分析。然而，即便如此，該分析也不一定是萬無一失的，並且肯定會受益於主要基於對操作過程中發生的事件的研究的後續後驗分析。對於更複雜的涉及人的系統，如輪班、車間或工廠，後驗分析就更為重要。在這種情況下，過去的經驗並不總是足以進行詳細和可靠的先驗分析。

後驗分析可能會發展成先驗分析，因為分析人員會超越導致所討論事件的單一過程，並開始調查可能合理地導致此類事件或類似事件的各種事件。

後驗分析成為先驗分析的另一種方式是，重點不是放在發生的事件上（其預防是當前分析的主要目的），而是放在不太嚴重的事件上。這些事件，例如技術故障、材料損壞和潛在或輕微事故，本身意義不大，但可被識別為更嚴重事件的警告信號。在這種情況下，雖然是在小事件發生之後進行的，但分析將是對尚未發生的更嚴重事件的先驗分析。

研究兩個或多個事件序列背後的機製或邏輯有兩種可能的方法：

直接，或者 感應的, 方法從原因開始，以預測其影響。
反轉，或者演繹, 方法著眼於結果並回溯到原因。

圖1是需要兩個按鈕的控制電路圖（B₁ 和B.₂) 同時按下以激活繼電器線圈 (R) 並啟動機器。這個例子可以用來說明，在實踐中，直接和反轉系統安全分析中使用的方法。

圖 1. 雙按鈕控制電路

直接法

在 直接法，分析人員首先 (1) 列出故障、功能障礙和失調，(2) 研究它們的影響，以及 (3) 確定這些影響是否對安全構成威脅。在圖1的情況下，可能會出現以下故障：

2 和 2' 之間的導線斷裂

C 處的無意接觸₁ （或 C₂) 由於機械阻塞

B 意外關閉₁ （或乙₂)

1 和 1´ 之間短路。

然後，分析人員可以推斷出這些故障的後果，並且可以以表格形式列出結果（表 1）。

表 1. 雙按鈕控制電路可能出現的功能障礙及其後果

故障	後果
在 2 和 2' 之間斷開電線	無法啟動機器*
B 意外關閉₁ （或乙₂ )	沒有直接後果
C處聯繫₁ （或 C₂ ）後果機械阻塞	沒有直接後果，但有可能機器被簡單地通過壓力啟動按鈕 B₂ （或乙₁ ）**
1和1'之間短路	繼電器線圈R的激活——意外啟動機器***

* 對系統可靠性有直接影響的事件
** 導致系統安全級別嚴重降低的事件
*** 要避免的危險事件

見正文和圖 1。

在表 1 中，危險的或可能嚴重降低系統安全等級的後果可以用 *** 等常規符號表示。

注意： 在表 1 中，2 和 2' 之間的導線斷裂（如圖 1 所示）會導致不被視為危險的情況。對系統安全無直接影響；然而，此類事件發生的概率直接關係到系統的可靠性。

直接法特別適用於模擬。圖 2 顯示了設計用於研究沖壓控制電路安全性的模擬模擬器。控制電路的仿真可以驗證，只要沒有故障，電路實際上能夠在不違反安全標準的情況下確保所需的功能。此外，模擬器可以讓分析人員在電路的各個組件中引入故障，觀察它們的後果，從而區分那些設計正確（很少或沒有危險故障）的電路和那些設計不當的電路。這種類型的安全分析也可以使用計算機進行。

圖 2. 用於研究壓力控制電路的模擬器

逆向法

在 逆向法，分析人員從不希望發生的事件、事件或事故向後工作，朝著各種先前的事件確定哪些事件可能導致要避免的事件。在圖 1 中，要避免的最終情況是機器意外啟動。

機器的啟動可能是由於繼電器線圈 (R) 不受控制地激活而引起的。

反過來，線圈的激活可能是由於 1 和 1' 之間的短路或開關 C 的無意同時閉合引起的₁ 和C.₂.

意外關閉 C₁ 可能是 C 的機械阻塞的結果₁ 或意外按下 B₁. 類似的推理適用於 C₂.

這種分析的結果可以用類似於樹的圖表表示（因此反向方法被稱為“故障樹分析”），如圖 3 所示。

圖 3. 可能的事件鏈

該圖遵循邏輯運算，其中最重要的是“或”和“與”運算。 “或”運算表示 [X₁] 將在 [A] 或 [B]（或兩者）發生時發生。 “AND”運算表示在 [X₂] 可能發生，[C] 和 [D] 都必鬚髮生（見圖 4）。

圖 4. 兩個邏輯操作的表示

反向方法經常用於有形系統的先驗分析，特別是在化學、航空、航天和核工業中。還發現它作為調查工業事故的方法非常有用。

儘管它們有很大不同，但正向和反向方法是相輔相成的。直接方法基於一組故障或功能障礙，因此這種分析的價值在很大程度上取決於開始時考慮的各種功能障礙的相關性。這樣看來，逆向法似乎更系統一些。鑑於可能發生什麼類型的事故或事故，分析人員理論上可以應用這種方法來回溯所有能夠導致它們發生的功能障礙或功能障礙的組合。然而，由於一個系統的所有危險行為都不一定事先知道，它們可以通過直接方法發現，例如應用模擬。一旦發現這些，就可以通過逆向方法更詳細地分析危害。

系統安全分析問題

上述分析方法不僅僅是機械過程，只需自動應用即可得出有用的結論以提高系統安全性。相反，分析師在他們的工作過程中會遇到很多問題，他們分析的有用性在很大程度上取決於他們如何著手解決這些問題。下面描述了可能出現的一些典型問題。

了解要研究的系統及其運行條件

任何系統安全分析中的基本問題都是要研究的系統的定義、它的局限性以及它在整個存在期間應該運行的條件。

如果分析人員考慮的子系統過於有限，結果可能是採取一系列隨機預防措施（在這種情況下，一切都是為了防止某些特定類型的事件發生，而忽略或低估同樣嚴重的危害). 另一方面，如果所考慮的系統對於給定的問題過於全面或籠統，則可能導致概念和責任過於模糊，並且分析可能無法導致採取適當的預防措施。

一個典型的例子說明了定義要研究的系統的問題是工業機器或工廠的安全。在這種情況下，分析人員可能只想考慮實際設備，而忽略了它必須由一個或多個人操作或控制的事實。這種簡化有時是有效的。然而，必須分析的不僅僅是機器子系統，而是整個工人加機器系統在設備生命週期的各個階段（包括，例如，運輸和搬運、組裝、測試和調整、正常運行）、維護、拆卸以及在某些情況下銷毀）。在每個階段，機器都是特定係統的一部分，該系統的目的和運行及故障模式與其他階段的系統完全不同。因此，它的設計和製造方式必須能夠在每個階段都在良好的安全條件下執行所需的功能。

更一般地說，關於公司的安全研究，有幾個系統級別：機器、工作站、輪班、部門、工廠和整個公司。根據所考慮的系統級別，可能的功能障礙類型以及相關的預防措施大不相同。一項好的預防政策必須考慮到可能在各個層面發生的功能障礙。

系統的運行條件可以根據系統假定運行的方式以及它可能受到的環境條件來定義。該定義必須足夠現實，以考慮系統可能運行的實際條件。如果用戶無法保持在規定的理論操作範圍內，則僅在非常有限的操作範圍內非常安全的系統可能就不那麼安全了。因此，安全系統必須足夠穩健，能夠承受其運行條件的合理變化，並且必須容忍操作員方面的某些簡單但可預見的錯誤。

系統建模

通常需要開發模型以分析系統的安全性。這可能會引發某些值得研究的問題。

對於像常規機器這樣簡潔且相對簡單的系統，模型幾乎可以直接從材料組件及其功能（電機、傳動等）的描述以及這些組件相互關聯的方式中推導出來。可能的組件故障模式的數量同樣受到限制。

計算機和機器人等現代機器包含微處理器和大規模集成的電子電路等複雜組件，這帶來了一個特殊問題。這個問題在建模或預測不同的可能故障模式方面尚未完全解決，因為每個芯片中有如此多的基本晶體管並且使用了多種軟件。

當被分析的系統是一個人類組織時，建模中遇到的一個有趣的問題在於某些非物質或不完全物質的組件的選擇和定義。例如，一個特定的工作站可以由一個包括工人、軟件、任務、機器、材料和環境的系統來表示。（“任務”部分可能難以定義，因為重要的不是規定的任務，而是實際執行的任務）。

在為人類組織建模時，分析師可能會選擇將所考慮的系統分解為一個信息子系統和一個或多個行動子系統。分析信息子系統不同階段（信息獲取、傳輸、處理和使用）的故障具有很高的指導意義。

與多層次分析相關的問題

與多層次分析相關的問題通常會出現，因為分析人員可能會從不希望發生的事件開始，回溯到時間上越來越遙遠的事件。根據所考慮的分析水平，發生的功能障礙的性質會有所不同；這同樣適用於預防措施。重要的是能夠決定在什麼水平上應該停止分析，在什麼水平上應該採取預防措施。一個簡單的例子就是在非正常情況下重複使用機器而導致機械故障導致事故的簡單案例。這可能是由於缺乏操作員培訓或工作組織不當造成的。根據所考慮的分析級別，所需的預防措施可能是用另一台能夠承受更惡劣使用條件的機器更換機器，僅在正常條件下使用機器，改變人員培訓，或重組工作。

預防措施的有效性和範圍取決於其實施的水平。在意外事件附近採取預防措施更有可能產生直接和迅速的影響，但其效果可能有限；另一方面，通過在事件分析中進行合理程度的回溯，應該有可能找到許多事故中常見的功能障礙類型。在此級別採取的任何預防措施的範圍都會更廣，但其有效性可能不那麼直接。

請記住，存在多個層次的分析，也可能存在多種預防行動模式，每一種模式都在預防工作中發揮著自己的作用。這是非常重要的一點，人們只需回到目前正在考慮的事故例子中就可以理解這一事實。提議用另一台能夠承受更嚴酷使用條件的機器替換該機器會使機器承擔預防責任。決定機器只應在正常條件下使用意味著將責任推給用戶。同樣，責任可能放在人員培訓、工作組織上，或者同時放在機器、用戶、培訓功能和組織功能上。

對於任何給定的分析水平，事故通常似乎是多種功能障礙或失調共同作用的結果。根據是針對一種或另一種功能障礙採取行動，還是同時針對多種功能障礙採取行動，所採取的預防措施的模式會有所不同。

出版於 58. 安全應用

週一，4月04 2011 17：06

手持和便攜式電動工具安全

工具是我們生活中如此常見的一部分，以至於有時很難記住它們可能會帶來危險。所有工具在製造時都牢記安全性，但偶爾可能會在認識到與工具相關的危險之前發生事故。工人必須學會識別與不同類型工具相關的危險以及防止這些危險所需的安全預防措施。應佩戴適當的個人防護裝備，例如安全護目鏡或手套，以防止在使用便攜式電動工具和手動工具時可能遇到的潛在危險。

手工具

手動工具是非動力的，包括從斧頭到扳手的所有東西。手動工具造成的最大危害是誤用、使用錯誤的工具以及維護不當造成的。與使用手動工具相關的一些危險包括但不限於以下內容：

將螺絲刀當鑿子使用可能會導致螺絲刀的尖端折斷飛出，擊中用戶或其他員工。

如果錘子或斧頭等工具的木柄鬆動、開裂或破裂，工具的頭部可能會飛出並砸到使用者或其他工人。

如果鉗口有彈簧，則不得使用扳手，因為它可能會打滑。

鑿子、楔子或沖頭等衝擊工具如果有蘑菇狀的頭部，可能會在衝擊時破碎，尖銳的碎片飛濺，因此是不安全的。

雇主對提供給員工的工具和設備的安全狀況負責，但員工有責任正確使用和維護這些工具。工人應將鋸條、刀具或其他工具遠離過道區域和在附近工作的其他員工。刀子和剪刀必須保持鋒利，因為鈍的工具比鋒利的工具更危險。（見圖 1。）

圖 1. 螺絲刀

安全要求地板盡可能保持清潔和乾燥，以防止在使用危險的手動工具或在危險的手動工具周圍工作時意外滑倒。雖然鋼鐵手動工具產生的火花通常不會熱到足以成為點火源，但在使用易燃材料或在易燃材料周圍工作時，可以使用由黃銅、塑料、鋁或木材製成的防火花工具來防止火花形成。

電動工具

電動工具使用不當會造成危險。電動工具有幾種類型，通常根據動力源分類（電動、氣動、液體燃料、液壓、蒸汽和炸藥驅動）。員工應具備使用其工作中使用的所有電動工具的資格或經過培訓。他們應了解與使用電動工具相關的潛在危險，並遵守以下一般安全預防措施以防止發生這些危險：

切勿通過繩索或軟管攜帶工具。
切勿猛拉電源線或軟管以將其與插座斷開。
使電線和軟管遠離熱源、油和鋒利的邊緣。
在不使用工具時、維修前以及更換刀片、鑽頭和刀具等附件時，斷開工具。
所有觀察者都應與工作區域保持安全距離。
使用夾具或虎鉗固定工作，騰出雙手來操作工具。
避免意外啟動。工人在攜帶插入式工具時不應將手指放在開關按鈕上。帶有鎖定控制裝置的工具在電源中斷時應脫開，以免它們在電源恢復時自動啟動。
應小心維護工具並保持鋒利和清潔以獲得最佳性能。應按照用戶手冊中的說明進行潤滑和更換附件。
工人在使用電動工具時應確保他們站穩腳跟並保持平衡。應穿著合適的衣服，因為寬鬆的衣服、領帶或首飾可能會被運動部件纏住。
所有損壞的便攜式電動工具都應停止使用並貼上“請勿使用”標籤以防止觸電。

防護罩

需要保護電動工具的危險運動部件。例如，皮帶、齒輪、軸、皮帶輪、鏈輪、心軸、鼓、飛輪、鏈條或設備的其他往復運動、旋轉或運動部件如果工人接觸這些部件，則必須對其進行防護。必要時，應提供防護裝置以保護操作員和其他人免受與以下相關的危險：

操作點
運行夾點
旋轉和往復運動部件
飛濺的切屑和火花，以及金屬加工液產生的霧氣或噴霧。

使用工具時，切勿拆除安全防護裝置。例如，便攜式圓鋸必須配備防護裝置。上護罩必須覆蓋整個鋸片。可伸縮的下防護罩必須蓋住鋸齒，除非它與工作材料接觸。當工具從工作中撤出時，下護罩必須自動返回到覆蓋位置。請注意電鋸插圖中的鋸片護罩（圖 2）。

圖 2. 帶護罩的圓鋸

安全開關和控制器

以下是必須配備瞬時接觸式“通斷”控制開關的手持式電動工具的示例：

鑽頭、攻絲機和緊固件司機
砂輪直徑大於 2 英寸（5.1 厘米）的臥式、立式和角磨機
圓盤和帶式砂光機
往復鋸和馬刀鋸。

這些工具還可以配備鎖定控制，前提是關閉可以通過打開它的同一根手指或手指的單個動作來完成。

以下手持式電動工具可能僅配備一個正向“開-關”控制開關：

砂光機
圓盤砂光機，圓盤直徑為 2 英寸（5.1 厘米）或更小
砂輪直徑為 2 英寸（5.1 厘米）或更小的研磨機
刳鉋機
層壓板修整器、沖切器和剪板機
刀柄寬度為 ¼ 英寸（0.64 厘米）或更小的線鋸和線鋸。

其他必須配備恆壓開關以在壓力釋放時切斷電源的手持式電動工具包括：

刀片直徑大於 2 英寸（5.1 厘米）的圓鋸
鏈鋸
沒有正附件固定裝置的衝擊工具。

電動工具

使用電動工具的工人必須意識到幾種危險。其中最嚴重的是觸電的可能性，其次是燒傷和輕微電擊。在某些情況下，即使是少量電流也可能導致心臟顫動，從而導致死亡。電擊還可能導致工人從梯子或其他高架工作台上掉下來。

為減少工人因電擊而受傷的可能性，必須至少通過以下一種方式保護工具：

接地通過三芯線（帶地線）。三芯電線包含兩根載流導體和一根接地導體。接地導體的一端連接到工具的金屬外殼。另一端通過插頭上的插腳接地。任何時候使用適配器來容納兩孔插座時，適配器線都必須連接到已知的接地點。第三個插腳絕不能從插頭上拔下。（見圖 3。）
雙重絕緣。 工人和工具通過兩種方式得到保護：(1) 通過內部電線的正常絕緣，以及 (2) 通過在發生故障時無法向操作員導電的外殼。
由低壓隔離變壓器供電.
通過接地故障斷路器連接. 這些是永久性和便攜式設備，當它通過工人的身體或接地物體尋求接地時，它們會立即斷開電路。

圖 3. 電鑽

使用電動工具時應遵循以下一般安全慣例：

電動工具應在其設計限制範圍內運行。
在使用電動工具時，建議佩戴手套和安全鞋。
不使用時，工具應存放在乾燥的地方。
如果電線或連接器磨損、彎曲或損壞，則不應使用工具。
不應在潮濕或潮濕的地方使用電動工具。
工作區域應光線充足。

動力砂輪

動力研磨輪、切割輪、拋光輪和線磨輪會產生特殊的安全問題，因為輪子可能會分解並拋出飛濺的碎片。

在安裝砂輪之前，應對它們進行仔細檢查，並用輕型非金屬儀器輕輕敲擊進行聲音（或環）測試，以確保它們沒有裂紋或缺陷。如果輪子有裂紋或聲音死了，它們可能會在運行中飛散，不得使用。完好無損的車輪會發出清晰的金屬音或“鈴聲”。

為防止砂輪破裂，用戶應確保砂輪自由安裝在主軸上。主軸螺母必須擰緊到足以將車輪固定到位而不會扭曲法蘭。遵循製造商的建議。必須小心確保主軸輪不會超過砂輪規格。由於車輪在啟動過程中可能會解體（爆炸），因此在車輪加速至全速運行時，工人切勿直接站在車輪前方。便攜式研磨工具需要配備安全防護裝置，以保護工人不僅免受移動的輪子表面的傷害，而且在發生破損時也能防止飛散的碎片。此外，在使用電動研磨機時，應遵守以下注意事項：

始終使用護目鏡。
不使用工具時關閉電源。
切勿用虎鉗夾住手持式磨床。

氣動工具

氣動工具由壓縮空氣提供動力，包括削片機、鑽頭、錘子和打磨機。儘管在使用氣動工具時會遇到一些潛在的危險，但主要的危險是被工具的附件之一或工人與工具一起使用的某種緊固件擊中的危險。使用氣動工具時，需要保護眼睛並建議保護面部。噪音是另一種危害。使用電鑽等嘈雜工具工作需要正確、有效地使用適當的聽力保護裝置。

使用氣動工具時，工人必須檢查以確保它牢固地固定在軟管上以防止斷開連接。將空氣軟管連接到工具的短線或強制鎖定裝置將作為額外的保障。如果空氣軟管的直徑超過 ½ 英寸（1.27 厘米），則應在氣源處安裝一個安全過流閥，以在軟管破裂時自動關閉空氣。通常，對於推薦用於電線的空氣軟管，應採取相同的預防措施，因為軟管會受到相同類型的損壞或意外撞擊，並且還存在絆倒的危險。

絕不能將壓縮空氣槍對準任何人。工人不應該讓噴嘴對自己或任何其他人造成“死胡同”。應安裝安全夾或固定器，以防止附件（例如鑿子上的鑿子）無意中從槍管中射出。應設置防護屏以保護附近的工人免受削片機、鉚槍、空氣錘、訂書機或氣鑽周圍的飛濺碎片的撞擊。

在高壓（每平方英寸 1,000 磅或更多）下霧化油漆和液體的無氣噴槍必須配備自動或手動視覺安全裝置，以防止激活，直到手動釋放安全裝置。重型手提鑿岩機可能會導致疲勞和拉傷，使用可提供穩固手柄的重型橡膠握把可以減輕疲勞和拉傷。操作手提鑽的工人必須佩戴安全眼鏡和安全鞋，以防止在錘子打滑或掉落時受傷。還應使用面罩。

燃料動力工具

燃油動力工具通常使用小型汽油動力內燃機運行。與使用燃料動力工具相關的最嚴重的潛在危險來自危險的燃料蒸氣，它們會燃燒或爆炸並散發出危險的廢氣。工人必須按照適用於易燃液體的適當程序，小心處理、運輸和儲存汽油或燃料，只能將其放在經批准的易燃液體容器中。在為燃油動力工具的油箱重新加註之前，用戶必須關閉發動機並使其冷卻，以防止意外點燃有害蒸氣。如果在封閉區域內使用燃料動力工具，則需要有效通風和/或防護設備以防止接觸一氧化碳。該區域必須備有滅火器。

炸藥驅動工具

炸藥驅動的工具就像一把裝滿子彈的槍，應該受到同樣的尊重和預防。事實上，它們非常危險，只能由經過專門培訓或合格的員工操作。使用火藥驅動工具時，適當的耳朵、眼睛和麵部保護裝置必不可少。所有火藥驅動工具都應針對不同的火藥裝藥量進行設計，以便用戶無需過度用力即可選擇完成工作所需的火藥量。

工具的槍口端應有一個防護罩或護罩，垂直居中於槍管，以保護用戶免受任何飛散的碎片或顆粒的傷害，這些碎片或顆粒在工具發射時可能會造成危險。工具的設計必須使其在沒有這種安全裝置的情況下不會開火。為防止工具意外開火，開火需要兩個獨立的動作：一個是將工具放到位，另一個是扣動扳機。在用至少比工具總重量大 5 磅的力將工具壓在工作表面上之前，工具不得運行。

如果火藥驅動的工具失火，用戶應至少等待 30 秒，然後再嘗試發射它。如果仍然不點火，用戶應至少再等待 30 秒，以降低故障墨盒爆炸的可能性，然後小心地卸下負載。應將損壞的墨盒放入水中或按照雇主的程序以其他方式安全處置。

如果火藥驅動工具在使用過程中出現缺陷，則應立即對其進行標記並停止使用，直到得到妥善維修。安全使用和處理火藥驅動工具的預防措施包括以下內容：

不得在爆炸性或易燃性環境中使用火藥驅動工具，除非獲得授權人員頒發的高溫作業許可證。
在使用該工具之前，工人應該檢查它以確定它是乾淨的，所有活動部件都可以自由操作並且槍管沒有障礙物。
該工具絕不能指向任何人。
除非立即使用，否則不應加載工具。已裝載的工具不應無人看管，尤其是在未經授權的人可能使用的地方。
手應遠離槍管末端。

在使用火藥驅動工具應用緊固件時，應考慮以下安全預防措施：

不要將緊固件燒入會讓它們穿過另一側的材料中。
請勿將緊固件打入距邊緣或角 3 英寸（7.6 厘米）以內的磚塊或混凝土等材料，或距角或邊緣 ½ 英寸（1.27 厘米）以內的鋼材。
不要將緊固件擰入非常堅硬或易碎的材料中，否則可能會碎裂、破碎或使緊固件彈跳。
將緊固件射入現有孔中時使用對齊指南。不要將緊固件打入因緊固不當而導致的剝落區域。

液壓動力工具

液壓動力工具中使用的流體必須經過預期用途批准，並且必須在將要暴露的最極端溫度下保持其工作特性。不得超過製造商建議的軟管、閥門、管道、過濾器和其他配件的安全操作壓力。如果在可能存在火源（例如明火或熱表面）的區域中存在高壓洩漏的可能性，則應考慮使用耐火流體作為液壓介質。

千斤頂

所有的千斤頂——槓桿和棘輪千斤頂、螺旋千斤頂和液壓千斤頂——都必須有一個裝置來防止它們頂升得太高。製造商的負載限制必須永久標記在千斤頂的顯著位置，並且不得超過。如有必要，請在底座下方使用木塊，以使千斤頂水平並固定。如果升降機表面是金屬的，請在表面下側和金屬千斤頂頭之間放置一塊 1 英寸（2.54 厘米）厚的硬木塊或類似物，以減少打滑的危險。切勿使用千斤頂來支撐提升的負載。一旦負載被提升，它應該立即被塊支撐。

要設置千斤頂，請確保滿足以下條件：

底座位於堅固的水平表面上。
千斤頂正確居中。
千斤頂頂在水平面上。
升力均勻施加。

正確維護千斤頂對於安全至關重要。每次使用前必須檢查所有千斤頂並定期潤滑。如果千斤頂受到異常負載或衝擊，應徹底檢查以確保它沒有損壞。暴露在冰凍溫度下的液壓千斤頂必須充滿足夠的防凍液。

總結

必須為使用手動和電動工具以及暴露於墜落、飛濺、磨蝕和飛濺物體和材料的危險，或暴露於有害粉塵、煙霧、薄霧、蒸汽或氣體危險的工人提供必要的適當個人設備以保護他們免受危害。工人遵循五項基本安全規則可以預防電動工具使用中涉及的所有危險：

定期維護，使所有工具保持良好狀態。
為工作使用正確的工具。
使用前檢查每個工具是否損壞。
根據製造商的說明操作工具。
選擇和使用適當的防護設備。

僱員和雇主有責任共同努力，以維持既定的安全工作實踐。如果遇到不安全的工具或危險情況，應立即引起相關人員的注意。

出版於 58. 安全應用

週一，4月04 2011 17：11

機器的運動部件

本文討論了因接觸機器運動部件而導致事故的情況和事件鏈。操作和維護機器的人冒著捲入嚴重事故的風險。美國統計數據表明，美國每年有 18,000 例截肢和 800 多例死亡可歸因於此類原因。根據美國國家職業安全與健康研究所 (NIOSH) 的數據，在 1979 年最重要的職業傷害類別中，“夾在裡面、下面或中間”類別的傷害排名最高。此類傷害通常涉及機器 (埃瑟頓和邁爾斯 1990 年）。自 10 年該類別被引入瑞典職業傷害統計以來，“接觸移動的機器部件”已被報告為略高於 1979% 的職業事故的主要傷害事件。

大多數機器都有可能造成傷害的運動部件。在對材料進行工作的操作點可能會發現此類移動部件，例如進行切割、成型、鑽孔或變形的位置。它們可能存在於將能量傳輸到執行工作的機器部件的設備中，例如飛輪、皮帶輪、連桿、聯軸器、凸輪、主軸、鏈條、曲柄和齒輪。它們可能存在於機器的其他運動部件中，例如移動設備上的輪子、齒輪馬達、泵、壓縮機等。危險的機器運動也存在於其他類型的機械中，特別是在處理和運輸工件、材料、廢物或工具等負載的設備的輔助部件中。

機器在工作過程中移動的所有部件都可能導致事故，造成傷害和損壞。旋轉和線性機器運動及其動力來源都可能是危險的：

旋轉運動。 即使是光滑的旋轉軸也會夾住一件衣服，例如，將人的手臂拉到危險的位置。如果旋轉軸有突出部分或不平整或鋒利的表面，例如調節螺釘、螺栓、狹縫、槽口或切削刃，則危險會增加。旋轉的機器零件以三種不同的方式產生“咬合點”：

在兩個旋轉部件之間有一些點，它們以相反的方向旋轉並且具有平行的軸，例如齒輪或嵌齒輪，托架輥或軋機。
旋轉部件與直線運動部件之間存在接觸點，例如傳動帶與其滑輪、鏈條與鏈輪或齒條與小齒輪之間的接觸點。
旋轉的機器運動在靠近靜止物體時會產生割傷和擠壓傷的風險——這種情況存在於蜗杆輸送機與其外殼之間、輪輻與機床床身之間，或者在砂輪和工具夾具之間。

直線運動. 垂直、水平和往復運動可能會以多種方式造成傷害：人可能會受到機器部件的推擠或打擊，並可能被機器部件和其他物體夾住，或者可能被鋒利的邊緣割傷，或受到傷害由於被夾在移動部件和另一個物體之間而造成的咬傷（圖 1）。

圖 1. 可能傷人的機械運動示例

電源。 通常，使用外部電源來運行可能涉及大量能量的機器。其中包括電力、蒸汽、液壓、氣動和機械動力系統，所有這些系統如果被釋放或不受控制，都可能導致嚴重傷害或損壞。對印度北部 1987 個村莊的農民一年多來（1988 年至 5.1 年）發生的事故的研究表明，飼料切割機在其他方面都具有相同的設計，但在由電動機或拖拉機驅動時更危險。涉及超過輕傷（每台機器）的事故的相對頻率對於手動切割機為 8.6‰，對於電動切割機為 1992‰（Mohan 和 Patel XNUMX）。

與機器運動相關的傷害

由於與機器運動相關的力通常非常大，因此可以推測它們造成的傷害會很嚴重。這一假設得到了多個消息來源的證實。根據英國統計數據（HSE 5），“接觸移動的機器或正在加工的材料”僅佔所有職業事故的 10%，但在致命和重大事故（骨折、截肢等）中卻佔 1989%。對瑞典兩個汽車製造廠的研究指向同一個方向。與非機器相關事故相比，以中值衡量，由機器運動引起的事故導致病假天數增加一倍。機器相關事故在身體部位受傷方面也不同於其他事故：結果表明，“機器”事故中 80% 的傷害是手和手指，而“其他”事故中相應的比例是40%（Backström 和 Döös 1995）。

事實證明，自動化裝置的風險情況既不同（在事故類型、事件順序和傷害嚴重程度方面）也比在自動化裝置中更複雜（在技術術語和專業技能需求方面）使用傳統機械的裝置。期限 自動化 “機械”在本文中指的是無需人的直接干預即可啟動機器運動或改變其方向或功能的設備。此類設備需要傳感器設備（例如，位置傳感器或微動開關）和/或某種形式的順序控制（例如，計算機程序）來指導和監控它們的活動。近幾十年來，一個 可編程邏輯控制器 (PLC) 越來越多地被用作生產系統中的控制單元。小型計算機現在是工業化世界中用於控制生產設備的最常用手段，而其他控製手段，如機電單元，則越來越不常見。在瑞典製造業中，數控 (NC) 機器的使用在 11 年代以每年 12% 到 1980% 的速度增長（Hörte 和 Lindberg 1989）。在現代工業生產中，被“機器運動部件”傷害越來越等同於被“計算機控制的機器運動”傷害。

自動化裝置出現在越來越多的工業領域，它們的功能也越來越多。商店管理、材料處理、加工、組裝和包裝都實現了自動化。系列生產已經變得類似於過程生產。如果工件的進料、加工和頂出實現機械化，操作人員在正常、不受干擾的生產過程中不再需要處於危險區域。自動化製造的研究表明，事故主要發生在處理影響生產的干擾時。然而，在執行其他任務（例如清潔、調整、重置、控制和維修）時，人也會妨礙機器運動。

當生產實現自動化並且流程不再受人的直接控制時，意外機器運動的風險就會增加。大多數使用互連機器組或生產線的操作員都經歷過這種意外的機器運動。許多 自動化事故 正是由於這種運動而發生的。自動化事故是指自動化設備控制（或應當控制）引起傷害的能量的事故。這意味著傷害人的力量來自機器本身（例如，機器運動的能量）。在對瑞典 177 起自動化事故的研究中，發現在 84% 的案例中，傷害是由機器部件的“意外啟動”造成的（Backström 和 Harms-Ringdahl 1984）。由計算機控制的機器運動造成傷害的典型示例如圖 2 所示。

圖 2. 由計算機控制的機器運動造成傷害的典型示例

上面提到的一項研究（Backström 和 Döös 1995）表明，與其他類型的機器運動造成的傷害相比，自動控制的機器運動與更長的病假時間有因果關係，其中一個工作場所的中值高四倍. 自動化事故的傷害模式與其他機器事故（主要涉及手和手指）相似，但前一種傷害有更嚴重的趨勢（截肢、壓傷和骨折）。

計算機控制與手動控制一樣，從可靠性的角度來看也存在弱點。無法保證計算機程序將無錯誤地運行。如果沒有適當保護，信號電平較低的電子設備可能對乾擾敏感，並且無法始終預測由此產生的故障的後果。此外，編程更改通常沒有記錄在案。例如，用於彌補此弱點的一種方法是通過運行“雙”系統，其中有兩個獨立的功能組件鍊和一種監視方法，以便兩個鏈顯示相同的值。如果系統顯示不同的值，則表示其中一個出現故障。但是有可能兩個組件鏈都可能出現相同的故障，並且它們都可能因相同的干擾而出現故障，從而給出誤報讀數（正如兩個系統都同意的那樣）。然而，在調查的少數案例中，有可能將事故追溯到計算機故障（見下文），儘管事實上通常由一台計算機控制一個裝置的所有功能（甚至停止作為安全裝置激活的結果的機器）。作為替代方案，可以考慮提供一個經過試驗和測試的系統，該系統具有用於安全功能的機電組件。

技術問題

總的來說，可以說一次事故的原因是多方面的，包括技術原因、個人原因、環境原因和組織原因。出於預防目的，最好不要將事故視為孤立事件，而應視為序列事件或過程 (Backström 1996)。在自動化事故的情況下，已經表明技術問題經常是此類序列的一部分，並且發生在過程的早期階段之一或接近事故的傷害事件。對自動化事故中涉及的技術問題進行檢查的研究表明，75% 到 85% 的事故都是由這些問題引起的。同時，在任何具體情況下，通常還有其他原因，例如組織性質的原因。只有十分之一的案例被發現導致傷害的直接能量來源可歸因於技術故障——例如，儘管機器處於停止位置但機器仍在運動。其他研究也報導了類似的數字。通常，技術問題會導致設備出現故障，因此操作員不得不轉換任務（例如，重新定位處於彎曲位置的零件）。事故隨後發生在執行任務期間，由技術故障引起。四分之一的自動化事故發生在物料流出現紊亂之前，例如零件卡住或進入彎曲或其他故障位置（見圖 3）。

圖3. 自動化事故涉及的技術問題類型（事故數=127）

在對 127 起涉及自動化的事故的研究中，對其中 28 起事故（如圖 4 中的描述）進行了進一步調查，以確定作為起因的技術問題的類型（Backström 和 Döös，出版中）。事故調查中指出的問題最常由卡住、有缺陷或磨損的部件引起。在兩種情況下，問題是由計算機程序錯誤引起的，另一種是由電磁干擾引起的。在超過一半的案例中（17 個中的 28 個），故障已經存在一段時間但沒有得到糾正。在提及技術故障或偏差的 5 個案例中，只有 28 個存在缺陷 任何監管機構都不批准 之前就表現出來了。一些故障已經被修復只是後來重新出現。某些缺陷從安裝之時就已經存在，而其他缺陷則是由於磨損和環境影響造成的。

根據大多數研究，在糾正生產乾擾過程中發生的自動化事故比例佔所有案例的三分之一到三分之二。換句話說，人們普遍認為處理生產乾擾是一項危險的職業任務。此類事故發生程度的差異有多種解釋，其中包括與生產類型和職業任務分類方式有關的解釋。在一些干擾研究中，只考慮了正常生產過程中的問題和機器停機；在其他情況下，處理的問題範圍更廣——例如，那些與工作安排有關的問題。

預防自動化事故的一項非常重要的措施是準備消除生產乾擾原因的程序，以免它們再次發生。在事故發生時對生產乾擾的專門研究中（Döös 和 Backström 1994），發現干擾引起的最常見任務是釋放或糾正被卡住或錯誤的工件的位置放置。此類問題引發了兩個相當相似的事件序列之一：(1) 零件被釋放並進入正確位置，機器收到自動啟動信號，人因機器運動開始受傷，(2 ) 在人員因意外、更快或比操作員預期更大的力的機器運動受傷之前，沒有時間釋放或重新定位零件。其他干擾處理包括觸發傳感器脈衝、釋放卡住的機器部件、執行簡單類型的故障跟踪以及安排重啟（見圖 4）。

圖 4. 事故發生時的干擾處理類型（事故數 =76）

工人安全

容易在自動化事故中受傷的人員類別取決於工作的組織方式，即執行危險任務的職業群體。在實踐中，這是工作場所的哪個人被指派來例行處理問題和乾擾的問題。在現代瑞典工業中，通常需要操作機器的人員進行積極干預。這就是為什麼在前面提到的瑞典汽車製造工作場所研究（Backström 和 Döös，接受發表）中，發現 82% 因自動化機器受傷的人是生產工人或操作員。操作員的相對事故頻率（每年每 15 名操作員發生 1,000 起自動化事故）也高於維修工人（每 6 名發生 1,000 起）。研究結果表明維修工人受到的影響更大，這至少可以部分解釋為某些公司不允許操作員進入機加工區域。在具有不同類型任務分配的組織中，其他類別的人員（例如設置人員）可能會被賦予解決出現的任何生產問題的任務。

為了提高人身安全水平，在這方面採取的最常見的糾正措施是通過使用某種安全裝置（例如機器防護裝置）來保護人員免受危險機器運動的傷害。這裡的主要原則是“被動”安全——即提供不需要工人採取行動的保護。然而，如果不非常了解相關機器的實際工作要求，就不可能判斷保護裝置的有效性，這種知識通常只有機器操作員自己才具備。

有許多因素甚至可能使看似良好的機器保護失效。為了執行他們的工作，操作員可能需要脫離或繞過安全裝置。在一項研究中（Döös 和 Backström 1993），發現在所涵蓋的 12 起自動化事故中，有 75 起發生了這種脫離或規避。這通常是操作員雄心勃勃的問題，並且不再願意接受生產問題或根據指令糾正干擾所涉及的生產過程的延遲。避免此問題的一種方法是使保護裝置不易察覺，使其不影響生產節奏、產品質量或任務績效。但這並不總是可能的。在生產反复受到干擾的地方，即使是輕微的不便也會促使人們不使用安全裝置。同樣，應該制定例行程序來消除生產乾擾的原因，以免重複發生。缺乏確認安全裝置是否真正按照規范運行的方法是另一個重要的風險因素。錯誤的連接、留在系統中的啟動信號隨後會導致意外啟動、氣壓升高以及鬆動的傳感器都可能導致保護設備失效。

總結

正如已經表明的那樣，問題的技術解決方案可能會引起新的問題。儘管傷害是由機器運動造成的，本質上是技術性的，但這並不意味著它們的根除潛力就在於純粹的技術因素。技術系統將繼續出現故障，人們將無法處理這些故障引起的情況。風險將繼續存在，只能通過多種手段加以控制。立法和控制、個別公司的組織措施（以培訓、安全巡視、風險分析和乾擾和險情報告的形式）以及對穩定、持續改進的強調都需要作為純技術開發的補充。

出版於 58. 安全應用

週一，4月04 2011 17：19

機器防護

移動機器部件所造成的潛在危險似乎與不同類型的機器一樣多。安全措施對於保護工人免受不必要和可預防的機械相關傷害至關重要。因此，應保護可能造成傷害的任何機器部件、功能或過程。如果機器的操作或意外接觸機器可能會傷害操作員或附近的其他人，則必須控製或消除危險。

機械運動和動作

機械危險通常涉及以下三個基本領域的危險運動部件：

操作點， 對材料進行加工的位置，例如切割、成型、沖孔、沖壓、鑽孔或坯料成型
動力傳動裝置， 將能量傳輸到執行工作的機器部件的機械系統的任何組件。這些部件包括飛輪、皮帶輪、皮帶、連桿、聯軸器、凸輪、主軸、鏈條、曲柄和齒輪
其他運動部件， 機器工作時運動的所有零件，如往復運動、旋轉和橫向運動的零件，以及進給機構和機器的輔助零件。

可能對工人造成危害的各種機械運動和動作包括旋轉部件、往復運動臂、移動皮帶、嚙合齒輪、切割齒和任何衝擊或剪切部件的運動。這些不同類型的機械運動和動作是幾乎所有機器的基礎，認識它們是保護工人免受它們可能帶來的危害的第一步。

議案

存在三種基本運動類型：旋轉、往復運動和橫向運動。

旋轉運動 可能很危險；即使是平滑、緩慢旋轉的軸也會夾住衣服並迫使手臂或手處於危險位置。因接觸旋轉部件而造成的傷害可能很嚴重（見圖 1）。

圖 1. 機械沖床

軸環、聯軸器、凸輪、離合器、飛輪、軸端、主軸和水平或垂直軸係是可能存在危險的常見旋轉機構的一些示例。當螺栓、刻痕、磨損和突出的鍵或固定螺釘暴露在機械的旋轉部件上時，會增加危險，如圖 2 所示。

圖 2. 旋轉部件上的危險投影示例

運行夾點s 是由機器上的旋轉部件產生的。運行夾點主要有以下三種類型：

具有平行軸的零件可以沿相反方向旋轉。這些部分可能相互接觸（從而產生咬合點）或彼此靠近，在這種情況下，在輥之間進給的原料會產生咬合點。如圖 3 所示，這種危險在齒輪嚙合的機械、軋機和壓延機上很常見。
另一種咬合點是在旋轉和切向運動的部件之間產生的，例如傳動帶與其滑輪、鏈條和鏈輪或齒條和小齒輪之間的接觸點，如圖 4 所示。
夾點也可能出現在旋轉和固定部件之間，從而產生剪切、壓碎或研磨作用。示例包括帶輻條的手輪或飛輪、螺旋輸送機或砂輪的外圍以及調整不當的工件架，如圖 5 所示。

圖 3. 旋轉部件上的常見咬合點

圖 4. 旋轉元件和縱向運動部件之間的咬合點

圖 5. 旋轉機器部件之間的咬合點

往復運動 可能是危險的，因為在來回或上下運動期間，工人可能會被移動部件和靜止部件撞擊或夾在中間。圖 6 顯示了一個示例。

圖 6. 危險的往復運動

橫向運動 （沿直線、連續的直線運動）會造成危險，因為工人可能會被運動部件撞擊或夾在夾點或剪切點。圖 7 顯示了橫向運動的示例。

圖 7. 橫向運動示例

動態

有四種基本的動作類型：切割、沖孔、剪切和彎曲。

切割動作 包括旋轉、往復或橫向運動。切割動作會在操作點產生危險，手指、頭部和手臂可能會受傷，飛屑或廢料可能會撞擊眼睛或面部。具有切割危險的機器的典型示例包括帶鋸、圓鋸、鏜床或鑽床、車床（車床）和銑床。（見圖 8。）

圖 8. 切割危險示例

沖壓動作 為沖裁、拉拔或沖壓金屬或其他材料而對滑塊（沖頭）施加電源時產生的結果。此類操作的危險發生在用手插入、保持和取出庫存的操作點。使用沖壓動作的典型機器是動力壓力機和鐵工。（見圖 9。）

圖 9. 典型的打孔操作

剪切動作 涉及向滑塊或刀具施加動力以修剪或剪切金屬或其他材料。危險發生在實際插入、保存和取出庫存的操作點。用於剪切操作的機械的典型示例是機械、液壓或氣動剪切機。（見圖 10。）

圖 10. 剪切操作

彎曲動作 將電源施加到滑塊以對金屬或其他材料進行成型、繪製或沖壓時產生的結果。危險發生在插入、保存和取出庫存的操作點。使用彎曲動作的設備包括動力壓力機、折彎機和彎管機。（見圖 11。）

圖 11. 彎曲操作

保障要求

安全措施必須滿足以下最低一般要求，以保護工人免受機械危害：

防止接觸。 防護裝置必須通過消除操作員或其他工人將其身體部位靠近危險運動部件的可能性來防止手、手臂或工人身體或衣服的任何部位接觸危險運動部件。

提供安全保障。 工人不應輕易移除或篡改防護裝置。防護裝置和安全裝置應由耐用材料製成，能夠承受正常使用條件並牢固固定在機器上。

防止掉落的物體。 安全裝置應確保沒有物體會落入運動部件並損壞設備或成為可能撞擊和傷害人員的拋射物。

不產生新的危害. 如果安全措施本身會造成危險，例如剪切點、鋸齒狀邊緣或未完成的表面，那麼它就失去了它的目的。例如，防護裝置的邊緣應該捲起或用螺栓固定，以消除鋒利的邊緣。

不產生干擾. 阻礙工人完成工作的保障措施可能很快就會被推翻或忽視。如果可能，工人應該能夠在不脫離或移除防護裝置的情況下潤滑機器。例如，將儲油器置於防護罩外，並用一條線連接到潤滑點，將減少進入危險區域的需要。

保障培訓

除非工人知道如何使用它以及為什麼使用它，否則即使是最完善的保護系統也無法提供有效的保護。專門和詳細的培訓是任何實施機器相關危險防護措施的重要組成部分。適當的保護可以提高生產率和效率，因為它可以減輕工人對傷害的擔憂。當任何新的或改變的防護裝置投入使用時，或者當工人被分配到新機器或操作時，新操作員和維護或設置人員都需要進行防護培訓；它應包括以下方面的指導或實踐培訓：

與特定機器相關的危險的描述和識別以及針對每種危險的具體防護措施
保障措施如何提供保護；如何使用保障措施以及為什麼
如何以及在什麼情況下可以移除防護裝置，以及由誰移除（在大多數情況下，僅限維修或維護人員）
如果防護裝置損壞、丟失或無法提供足夠的保護，該怎麼辦（例如，聯繫主管）。

機器保護方法

有許多方法可以保護機器。操作類型、庫存的大小或形狀、處理方法、工作區域的物理佈局、材料類型和生產要求或限制將有助於確定適合單個機器的保護方法。機器設計師或安全專家必須選擇最有效和最實用的安全措施。

防護措施可分為五個一般類別：(1) 防護裝置，(2) 裝置，(3) 分離，(4) 操作和 (5) 其他。

與警衛一起保護

有四種一般類型的警衛（防止進入危險區域的屏障），如下所示：

固定守衛。 固定防護裝置是機器的永久部件，不依賴於移動部件來執行其預期功能。它可以由金屬板、篩網、金屬絲布、棒材、塑料或任何其他足夠堅固以承受其可能受到的任何衝擊並經得起長時間使用的材料構成。固定防護裝置通常優於所有其他類型，因為它們相對簡單且持久（見表 1）。

表 1. 機器防護罩

選項	保障行動	優點	限制
固定	· 提供障礙	· 適合多種特定應用 · 通常可以進行廠內施工 · 提供最大程度的保護 · 通常需要最少的維護 · 適合高產量、重複性作業	· 可能影響能見度 · 限於特定操作 · 機器調整和維修往往需要將其拆除，因此需要其他保護措施進行維護人員
聯鎖	· 關閉或斷開電源並防止在防護罩打開時啟動機器；應要求機器在工人能夠進入危險區域之前停止	· 提供最大程度的保護 · 無需費時拆除固定防護裝置即可進入機器清除堵塞	· 需要仔細調整和維護 · 可能很容易脫離或繞過
可調整	· 提供一個可以調整以促進各種生產操作的屏障	· 可以構造成適合許多特定應用 · 可以調整以接受不同尺寸的庫存	· 操作員可能進入危險區域：保護可能並非始終完備 · 可能需要經常維護和/或調整 · 可能被操作員設置為無效 · 可能影響能見度
自我調整	· 提供根據進入危險區域的股票大小移動的屏障	· 市售現成的防護裝置	· 並不總是提供最大程度的保護 · 可能影響能見度 · 可能需要經常維護和調整

在圖 12 中，壓力機上的固定防護裝置完全封閉了操作點。原料通過防護裝置的一側進入模具區域，廢料從另一側排出。

圖 12. 壓力機上的固定防護裝置

圖 13 描繪了一個固定的外殼防護裝置，它保護動力傳輸單元的皮帶和皮帶輪。頂部提供了一個檢查面板，以最大限度地減少移除防護裝置的需要。

圖 13. 封閉皮帶和皮帶輪的固定防護裝置

在圖 14 中，固定外殼防護裝置顯示在帶鋸上。這些防護裝置保護操作員免受轉動的輪子和移動的鋸片的傷害。通常，防護裝置打開或移除的唯一時間是更換刀片或進行維護。在使用鋸時將它們牢固地固定非常重要。

圖 14. 帶鋸固定防護裝置

互鎖守衛。 當聯鎖防護裝置打開或移除時，跳閘機構和/或電源會自動關閉或斷開，機器無法循環或啟動，直到聯鎖防護裝置回到原位。但更換聯鎖防護罩不應自動重啟機器。聯鎖防護裝置可以使用電力、機械、液壓或氣動動力，或這些動力的任意組合。如果需要，互鎖不應阻止遠程控制的“點動”（即漸進運動）。

圖 15 顯示了聯鎖防護裝置的示例。在該圖中，採摘機（用於紡織行業）的打手機構被聯鎖屏障防護裝置覆蓋。該防護裝置在機器運行時不能升起，機器也不能在防護裝置處於升起位置時重新啟動。

圖 15. 拾取機上的聯鎖防護裝置

可調節的防護罩。 可調式防護裝置可以靈活地適應各種尺寸的庫存。圖 16 顯示了帶鋸上的可調節外殼防護裝置。

圖 16. 帶鋸上的可調護罩

自我調整的警衛。 自調整防護裝置的開口由庫存的運動決定。當操作員將庫存移入危險區域時，防護裝置被推開，提供一個足夠大的開口以僅允許庫存進入。移除庫存後，防護裝置返回到靜止位置。該防護裝置通過在危險區域和操作員之間設置屏障來保護操作員。防護裝置可由塑料、金屬或其他堅固材料製成。自調節防護裝置提供不同程度的保護。

圖 17 顯示了帶有自調節護罩的搖臂鋸。當刀片被拉過槍托時，防護裝置向上移動，與槍托保持接觸。

圖 17. 搖臂鋸上的自調節防護裝置

用設備保護

如果手或身體的任何部分無意中放在危險區域，安全裝置可能會停止機器，可能會在操作過程中限製或撤回操作員的手從危險區域，可能要求操作員同時用雙手控制機器（從而使雙手和身體遠離危險）或者可以提供與機器的操作週期同步的屏障，以防止在周期的危險部分進入危險區域。安全裝置有以下五種基本類型：

存在感測設備

下面描述了三種類型的傳感裝置，它們可以在工人處於危險區域內時停止機器或中斷工作循環或操作：

光電（光學）存在感測裝置 使用可以中斷機器運行週期的光源和控制系統。如果光場被破壞，機器將停止並且不會循環。該設備只能用於在工人到達危險區域之前可以停止的機器上。圖 18 顯示了與折彎機一起使用的光電存在感測設備。該設備可以上下擺動以適應不同的生產要求。

圖 18. 折彎機上的光電存在傳感裝置

射頻（電容）存在感測設備 使用作為控制電路一部分的無線電波束。當電容場被破壞時，機器將停止或不會啟動。該設備只能用於在工人到達危險區域之前可以停止的機器上。這就要求機器有摩擦離合器或其他可靠的停止裝置。圖 19 顯示了安裝在部分旋轉動力壓力機上的射頻存在感測設備。

圖 19. 電鋸上的射頻存在感測設備

機電傳感裝置 有一個探頭或接觸桿，當操作員啟動機器循環時，它會下降到預定的距離。如果有障礙物阻止它下降完整的預定距離，則控制電路不會啟動機器循環。圖 20 顯示了孔眼上的機電傳感裝置。還顯示了與操作員手指接觸的傳感探頭。

圖 20. 眼字機上的機電感應裝置

回拉裝置

回拉裝置利用連接到操作員的手、手腕和/或手臂的一系列電纜，主要用於具有衝程動作的機器。當滑塊/推桿升起時，允許操作員進入操作點。當滑塊/推桿開始下降時，機械聯動裝置會自動確保手從操作點撤回。圖 21 顯示了小型壓力機上的回拉裝置。

圖 21. 壓力機上的回拉裝置

約束裝置

一些國家已經使用了利用連接在固定點和操作者手之間的電纜或帶子的約束裝置。這些設備通常不被認為是可接受的安全措施，因為它們很容易被操作員繞過，從而使手進入危險區域。（見表 2。）

表 2. 設備

選項	保障行動	優點	限制
光電（光學的）	· 光場中斷時機器不會開始循環 · 在騎行過程中，當光場被操作者身體的任何部位遮擋時，立即啟動機器製動	· 可以讓操作者活動自如	· 不能防止機械故障 · 可能需要頻繁對齊和校準 · 過度振動可能導致燈絲損壞和過早燒毀 · 僅限於無需完成循環即可停止的機器
無線電頻率（電容）	· 電容場中斷時機器循環不會啟動 · 在騎行過程中，當電容場受到操作者身體任何部位的干擾時，立即啟動機器製動	· 可以讓操作者活動自如	· 不能防止機械故障 · 天線靈敏度必須適當調整 · 僅限於無需完成循環即可停止的機器
機電式	· 接觸棒或探針在操作員和危險區域之間移動預定距離 · 中斷此運動會阻止機器循環的啟動	· 允許在操作點訪問	· 必須針對每個應用適當調整接觸棒或探針；必須妥善維護此調整
拉回來	· 當機器開始循環時，操作者的手被拉出危險區域	· 無需在危險區域設置輔助屏障或其他干擾	· 限制操作員的移動 · 可能會阻礙操作員周圍的工作空間 · 必須針對特定操作和每個人進行調整 · 需要經常檢查和定期維護 · 需要密切監督操作者對設備的使用
安全跳閘控制： · 壓敏身體欄 · 安全跳閘桿 · 安全絆線	· 絆倒時停止機器	· 使用簡單	· 所有控制必須手動激活 · 由於位置原因可能難以激活控件 · 只保護操作者 · 可能需要特殊的固定裝置來保持工作 · 可能需要機械制動器
雙手控制	· 需要雙手同時使用，防止操作者進入危險區域	· 操作者的手在遠離危險區域的預定位置 · 前半個週期完成後，操作員的手可以自由拿起新零件	· 需要帶剎車的部分循環機器 · 一些雙手控制可能會因用手臂握住或阻擋而變得不安全，從而允許單手操作 · 只保護操作者
雙手旅行	· 同時使用兩隻手控制不同的控件，防止機器循環啟動時雙手處於危險區域	· 操作者的手遠離危險區域 · 可適應多種操作 · 不妨礙手餵食 · 不需要為每個操作進行調整	· 操作員可能會在跳閘後嘗試進入危險區域 · 一些行程可能會因為用手臂抓住或阻擋而變得不安全，從而允許單手操作 · 只保護操作者 · 可能需要特殊固定裝置
門	· 在危險區域和操作員或其他人員之間提供一道屏障	· 可以防止伸手進入或走進危險區域	· 可能需要經常檢查和定期維護 · 可能會干擾操作員查看工作的能力

安全控制裝置

所有這些安全控制裝置都是手動啟動的，必須手動重置才能重新啟動機器：

安全行程控制 壓力桿、跳閘桿和絆線等都是手動控制裝置，可在緊急情況下提供快速停用機器的方法。

壓敏身體棒, 按下時，如果操作員或任何人絆倒、失去平衡或被機器吸引，機器將停用。桿的位置至關重要，因為它必須在身體的一部分到達危險區域之前停止機器。圖 22 顯示了位於橡膠磨前部的壓敏體桿。

圖 22. 橡膠磨上的壓敏體桿

安全跳閘裝置 用手按下時停用機器。由於它們必須在緊急情況下由操作員啟動，因此它們的正確位置至關重要。圖 23 顯示了位於橡膠磨機上方的跳閘桿。

圖 23. 橡膠磨機上的安全跳閘桿

安全絆線電纜 位於危險區域周邊或附近。操作員必須能夠用任何一隻手夠到電纜才能停止機器。圖 24 顯示了配備此類控件的壓光機。

圖 24. 壓延機上的安全絆線電纜

雙手控制 操作員需要恆定的並發壓力來啟動機器。當安裝在動力壓力機上時，這些控件使用部分旋轉離合器和製動器監控器，如圖 25 所示。對於此類設備，要求操作員的手位於安全位置（在控制按鈕上）並且在機器完成其關閉週期時與危險區域保持安全距離。

圖 25. 部分旋轉離合器動力壓力機上的雙手控制按鈕

雙手旅行. 圖 26 所示的雙手行程通常用於配備全速離合器的機器。它需要同時使用操作員的兩個控制按鈕來激活機器循環，之後雙手就可以騰出手來了。脫扣器必須放置在離操作點足夠遠的位置，以使操作員無法在循環的前半部分完成之前將手從脫扣按鈕或手柄移到操作點。操作員的手保持足夠遠的距離，以防止他們在滑塊/推桿或刀片到達完全向下位置之前被意外放在危險區域。

圖 26. 全旋轉離合器動力壓力機上的雙手控制按鈕

蓋茨是安全控制裝置，它提供了一個可移動的屏障，在機器循環開始之前在操作點保護操作員。門通常設計為在每個機器週期內運行。圖 27 顯示了動力壓力機上的澆口。如果不允許門下降到完全關閉位置，壓力機將無法運行。門的另一個應用是用作周邊防護系統的組成部分，其中門為操作員和行人交通提供保護。

圖 27. 帶門的強力按壓

按位置或距離保護

要按位置保護機器，必須將機器或其危險運動部件放置在危險區域無法進入或在機器正常運行期間不會對工人造成危險的位置。這可以通過限制進入機器的圍牆或圍欄來實現，或者通過放置機器來實現，以便工廠設計特徵（例如牆壁）保護工人和其他人員。另一種可能性是將危險部件放置在足夠高的位置，使任何工人都無法正常觸及。在嘗試這種保護技術之前，必須對每台機器和特定情況進行徹底的危險分析。下面提到的例子是按位置/距離保護原則的眾多應用中的幾個。

餵食過程。 如果可以保持安全距離以保護工人的手，則可以通過位置來保護餵食過程。正在加工的原料的尺寸可以提供足夠的安全性。例如，在操作單端沖孔機時，如果坯料有幾英尺長，並且只有坯料的一端正在加工，則操作員可以在進行工作時握住另一端。但是，根據機器的不同，其他人員可能仍需要保護。

定位控制。 操作員控制站的定位提供了一種按位置進行保護的潛在方法。如果操作員沒有理由看管機器，則操作員控件可以位於與機器保持安全距離的位置。

進出料保障方法

許多進料和出料方法不需要操作人員將手放在危險區域。在某些情況下，機器設置後不需要操作員參與，而在其他情況下，操作員可以在進料機構的幫助下手動進料。此外，可以設計出在機器開始運行後不需要任何操作員參與的彈出方法。一些進給和彈出方法本身甚至可能會產生危險，例如機器人可能不需要操作員靠近機器，但可能會因其手臂的運動而產生新的危險。（見表 3。）

表 3. 進給和彈出方法

選項	保障行動	優點	限制
自動送紙	· 庫存由捲筒進料，由機器機構等分度。	· 無需操作員介入危險區域	· 還需要其他防護裝置來保護操作員——通常是固定式屏障防護裝置 · 需要經常維護 · 可能無法適應庫存變化
半自動飼料	· 原料由滑槽、活動模具、刻度盤進給飼料，柱塞，或滑動枕	· 無需操作員介入危險區域	· 還需要其他防護裝置來保護操作員——通常是固定式屏障防護裝置 · 需要經常維護 · 可能無法適應庫存變化
Automatic 自動錶彈射	· 工件通過空氣或機械方式彈出	· 無需操作員介入危險區域	· 可能會產生吹屑或碎屑的危險 · 庫存量限制了此方法的使用 · 空氣噴射可能會帶來噪音危害
半自動彈射	· 工件由機械頂出由運營商發起的手段	· 操作員不必進入危險區域來移除完成的工作	· 操作人員需要的其他防護措施保護 · 可能無法適應庫存變化
機器人	· 他們執行通常由操作員完成的工作	· 操作員不必進入危險區域 · 適用於存在高壓力因素（例如熱量和噪音）的操作	· 會自己製造危險 · 需要最大程度的維護 · 只適用於特定的操作

使用以下五種進給和彈出方法之一來保護機器並不能消除對防護裝置和其他裝置的需求，必須在必要時使用這些裝置來提供保護，以免暴露於危險中。

自動送紙. 自動進給減少了操作員在工作過程中的暴露，並且在機器設置和運行後通常不需要操作員的任何努力。圖 28 中的壓力機有一個自動進給機構，在危險區域有一個透明的固定外殼防護罩。

圖 28. 帶自動進給的動力壓力機

半自動送料. 對於半自動進給，就像在動力壓力機的情況下一樣，操作員使用一種機制在每個衝程中將正在加工的工件放置在沖壓機下方。操作者無需將手伸入危險區域，危險區域完全封閉。圖 29 顯示了一個滑槽進料器，每個工件都被手動放入其中。在傾斜壓力機上使用斜槽進料不僅有助於在零件滑入模具時將其居中，而且還可以簡化頂出問題。

圖 29. 帶斜槽進料的動力壓力機

自動彈出. 自動頂出可以採用氣壓或機械設備從壓力機上移除完成的零件，並且可以與操作控制互鎖以防止操作直到零件頂出完成。當滑塊朝上位置移動時，圖 30 中所示的平移梭機構在成品部件下方移動。然後，穿梭車接住被頂出銷從滑塊上剝離的零件，並將其偏轉到滑槽中。當壓頭向下移動到下一個毛坯時，盤梭從模具區域移開。

圖 30. 穿梭彈射系統

半自動頂出. 圖 31 顯示了用於動力壓力機的半自動頂出機構。當柱塞從模具區域撤回時，與柱塞機械連接的頂出腿將完成的工作踢出。

圖 31. 半自動彈出機制

機器人. 機器人是複雜的設備，可以裝載和卸載庫存、組裝零件、轉移物體或執行操作員以其他方式完成的工作，從而消除操作員暴露在危險中的風險。它們最適合用於需要重複例行程序的高生產過程，在這些過程中它們可以防止對員工造成其他危害。機器人可能會造成危險，因此必須使用適當的防護裝置。圖 32 顯示了機器人為壓力機送料的示例。

圖 32. 使用護欄保護機器人外殼

雜項保護輔助工具

儘管各種防護輔助工具不能完全保護機器免受危險，但它們可以為操作員提供額外的安全邊際。在應用和使用它們時需要做出明智的判斷。

意識障礙. 意識障礙不提供物理保護，而只是提醒操作員他們正在接近危險區域。通常，當持續暴露於危險中時，意識障礙被認為是不夠的。圖 33 顯示了一根繩索，用作電動平角剪後部的意識屏障。障礙物並不能從物理上阻止人們進入危險區域，而只是提供危險意識。

圖 33. 動力剪切方塊的後視圖

盾. 防護罩可用於防止飛揚的顆粒、飛濺的金屬加工液或冷卻劑。圖 34 顯示了兩個潛在的應用。

圖 34. 屏蔽的應用

持有工具. 固定工具放置和移除庫存。典型的用途是伸入壓力機或折彎機的危險區域。圖 35 顯示了用於此目的的各種工具。不應使用固定工具代替其他機器安全措施；它們只是對其他警衛提供的保護的補充。

圖 35. 固定工具

推棒或積木，如圖 36 所示，可以在將原料送入機器（例如鋸片）時使用。當需要將手靠近刀片時，推桿或推塊可以提供安全邊際並防止受傷。

圖 36. 使用推桿或推塊

出版於 58. 安全應用

存在檢測器

微電子學和傳感器技術的普遍發展使人們有理由希望，通過可靠、耐用、低維護和廉價的存在和接近探測器的可用性，可以實現職業安全的改善。本文將介紹傳感器技術、不同的檢測程序、適用於傳感器系統使用的條件和限制，以及在德國完成的一些研究和標準化工作。

存在探測器標準

存在檢測器的開發和實際測試是未來提高職業安全和保護一般人員的技術努力的最大挑戰之一。 存在檢測器 是可靠和確定地發出信號的傳感器 接近一個人的存在或方法。 此外，該警告必須迅速發生，以便在預測的接觸發生之前可以採取規避行動、制動或關閉固定機器。人是大還是小，無論他們的姿勢如何，或者他們穿著如何，都不會對傳感器的可靠性產生影響。此外，傳感器必須具備可靠的功能、堅固且價格低廉，以便可以在最苛刻的條件下使用，例如建築工地和移動應用，並且只需最少的維護。傳感器必須像安全氣囊一樣免維護且隨時可用。鑑於一些用戶不願意維護他們認為不重要的設備，傳感器可能會多年無人維修。存在檢測器的另一個更可能被要求的功能是，它們還可以檢測除人類以外的障礙物，並及時提醒操作員採取防禦措施，從而降低維修成本和材料損壞。這是安裝不應被低估的存在檢測器的原因。

探測器應用

如果存在檢測器在職業安全領域作為一種預防措施得到越來越多的接受，那麼無數死亡事故和重傷似乎是不可避免的、個人的命運行為，可以避免或減少到最低限度。報紙經常報導這些事故：這裡有人被向後移動的裝載機撞到，那裡操作員沒有看到有人被電鏟的前輪碾過。卡車在街道、公司場所和建築工地上倒退是許多人發生事故的原因。今天徹底合理化的公司不再提供副駕駛或其他人作為倒車司機的嚮導。這些移動事故的例子可以很容易地擴展到其他移動設備，例如叉車。然而，迫切需要使用傳感器來防止涉及半移動和純固定設備的事故。一個例子是大型裝載機的後部區域，安全人員已將其確定為潛在危險區域，可以通過使用廉價傳感器來改善這些區域。許多存在檢測器的變體可以創新地適用於其他車輛和大型移動設備，以防止本文討論的事故類型，這些事故通常會造成廣泛的損壞和嚴重的傷害，如果不是致命的話。

創新解決方案越來越普遍的趨勢似乎預示著存在檢測器將成為其他應用中的標準安全技術；然而，情況並非如此。受事故和高物質損失的推動，有望在貨車和重型卡車後方監控以及“新技術”最具創新性的領域——未來的移動機器人機器方面取得突破。

存在檢測器應用領域的變化和任務的變化——例如，容忍屬於檢測領域且不應觸發信號的物體（甚至是移動物體，在某些條件下）——需要傳感器，其中“智能”評估技術支持傳感器功能機制。這項技術是未來發展的問題，可以從人工智能領域的方法中得到闡述（Schreiber 和 Kuhn 1995）。迄今為止，有限的通用性嚴重限制了傳感器的當前使用。有光幕；燈條；接觸墊；被動紅外傳感器；使用多普勒效應的超聲波和雷達運動探測器；對超聲波、雷達和光脈衝進行經過時間測量的傳感器；和激光掃描儀。連接到監視器的普通電視攝像機不包括在此列表中，因為它們不是存在檢測器。但是，包括那些在檢測到人的存在時會自動啟動的相機。

傳感器技術

今天的主要傳感器問題是 (1) 優化物理效應（紅外線、光、超聲波、雷達等）的使用和 (2) 自我監控。激光掃描儀正在集中開髮用作移動機器人的導航儀器。為此，必須解決原則上部分不同的兩項任務：機器人的導航和對在場人員（以及材料或設備）的保護，以免他們被撞到、碾過或被抓住（Freund、Dierks 和 Rossman，1993 年） ). 未來的移動機器人無法保留嚴格應用於當今固定式工業機器人的“機器人與人的空間分離”的相同安全理念。這意味著要高度重視所用存在檢測器的可靠功能。

“新技術”的使用通常與接受問題有關，可以假設在工廠、公共交通區域、甚至家庭或娛樂區的人群中，可以移動和抓取的移動機器人的普遍使用, 只有配備非常發達、精密和可靠的存在檢測器，才會被接受。必須不惜一切代價避免重大事故，以避免加劇可能的驗收問題。目前開發此類職業保護傳感器的支出水平並未考慮到這一點。為了節省大量成本，存在檢測器應該與移動機器人和導航系統同時開發和測試，而不是事後進行。

對於機動車輛，安全問題變得越來越重要。創新的汽車乘客安全包括三點式安全帶、兒童座椅、安全氣囊和通過系列碰撞測試驗證的防抱死制動系統。這些安全措施占生產成本的比例相對增加。用於測量與前方車輛距離的側面安全氣囊和雷達傳感器系統是乘客保護方面的進化發展。

外部機動車安全——即對第三方的保護——正受到越來越多的關注。最近，主要針對卡車需要側面保護，以防止騎摩托車的人、騎自行車的人和行人免受後輪跌落的危險。下一個合乎邏輯的步驟是使用存在檢測器監控大型車輛後面的區域並安裝後方區域警告設備。這將產生積極的副作用，即提供開發、測試和提供最大性能、自我監控、免維護和可靠運行、用於職業安全目的的廉價傳感器所需的資金。與傳感器或傳感器系統的廣泛實施相伴的試驗過程將大大促進其他領域的創新，例如電鏟、重型裝載機和其他大型移動機器，這些機器在運行期間有一半的時間是倒車的。從靜止機器人到移動機器人的進化過程是存在檢測器的另一條發展路徑。例如，可以對目前用於移動機器人物料搬運車或“無人駕駛工廠車間拖拉機”的傳感器進行改進，它們遵循固定路徑，因此安全要求相對較低。使用存在檢測器是提高物料和客運領域安全性的下一個合乎邏輯的步驟。

檢測程序

與電子測量和自我監測方法以及在一定程度上的高性能計算程序相關的各種物理原理可用於評估和解決上述任務。在科幻電影中如此常見的自動機器（機器人）顯然毫不費力和可靠的操作，可能會在現實世界中通過使用成像技術和高性能模式識別算法以及類似於那些的距離測量方法來實現受僱於激光掃描儀。必須認識到對人來說似乎很簡單的一切對機器人來說都很困難的矛盾情況。例如，與直立行走或進行手眼和其他運動協調（由中腦和後腦）。以下描述了適用於傳感器應用的一些原則、方法和程序。除了這些之外，還有大量用於非常特殊任務的特殊程序，這些程序在一定程度上結合了各種類型的物理效果。

光障窗簾和酒吧。 最早的存在檢測器包括光幕和光柵。它們具有平坦的監控幾何結構；也就是過了關卡的人就不會再被發現了。例如，可以使用這些設備快速可靠地檢測操作員的手，或操作員手中所持工具或零件的存在。它們為需要手動放入材料的機器（如壓力機和沖壓機）的職業安全做出了重要貢獻。統計上的可靠性必須非常高，因為當手每分鐘僅伸手兩到三次時，短短幾年內就會執行大約一百萬次操作。發送器和接收器組件的相互自我監控已經發展到如此高的技術水平，它代表了所有其他存在檢測程序的標準。

接觸墊（開關墊）. 電動和氣動接觸墊和地板有被動和主動（泵）類型，最初大量用於服務功能（開門器），直到它們被運動檢測器取代。隨著在各種危險區域中使用存在檢測器，進一步的發展得到了發展。例如，自動化製造的發展伴隨著工人功能的改變——從操作機器到嚴格監控其功能——產生了對合適檢測器的相應需求。這種使用的標準化非常先進（DIN 1995a），特殊限制（佈局、尺寸、最大允許“死區”）需要開發在該使用領域安裝的專業知識。

接觸墊的有趣可能用途與計算機控制的多機器人系統一起出現。操作員切換一個或兩個元件，以便存在檢測器可以拾取他或她的確切位置並通知計算機，計算機管理帶有內置防撞系統的機器人控制系統。在德國聯邦安全研究所 (BAU) 推進的一項測試中，為此目的，在機器人手臂的工作區域下方建造了一個由小型電氣開關墊組成的接觸墊地板（Freund、Dierks 和 Rossman，1993 年）。該存在檢測器具有棋盤的形式。分別激活的墊子區域告訴計算機操作員的位置（圖 1），當操作員離機器人太近時，它就會離開。如果沒有存在檢測器，機器人系統將無法確定操作員的位置，從而無法保護操作員。

圖 1. 計算包裝體中的一個人（右）和兩個機器人

反射器（運動傳感器和存在檢測器）。 無論到目前為止討論的傳感器多麼有價值，它們都不是廣義上的存在檢測器。它們對大型車輛和大型移動設備的適用性——主要是出於職業安全的原因——以兩個重要特徵為先決條件：(1) 能夠從一個位置監控一個區域，以及 (2) 無差錯運行，無需額外措施的一部分——例如，反射裝置的使用。檢測進入監控區域的人的存在並保持停止直到此人離開也意味著需要檢測絕對靜止不動的人。這將所謂的運動傳感器與存在檢測器區分開來，至少與移動設備有關；運動傳感器幾乎總是在車輛啟動時觸發。

運動傳感器。 運動傳感器的兩種基本類型是：(1)“被動紅外傳感器”(PIRS)，它對監控區域中紅外光束的最小變化做出反應（最小可檢測光束約為 10^-9 W，波長范圍約為 7 至 20 μm）； (2) 超聲波和微波傳感器利用多普勒原理，根據頻率變化確定物體的運動特性。例如，多普勒效應會在機車靠近時為觀察者增加機車喇叭的頻率，並在機車遠離時降低頻率。多普勒效應使得構建相對簡單的接近傳感器成為可能，因為接收器只需要監測相鄰頻段的信號頻率以了解多普勒頻率的出現。

在 1970 世紀 1980 年代中期，運動檢測器的使用在諸如開門器、盜竊安全和物體保護等服務功能應用中變得普遍。對於固定使用，檢測到有人接近危險點足以及時發出警告或關閉機器。這是研究運動檢測器在職業安全中的適用性的基礎，尤其是通過 PIRS（Mester 等人，34 年）。由於穿著衣服的人的體溫通常高於周圍區域（頭部 31°C，手部 XNUMX°C），因此檢測接近的人比檢測無生命的物體要容易一些。在一定程度上，機器部件可以在不觸發檢測器的情況下在監控區域內移動。

被動方法（沒有發射器）有優點也有缺點。優點是 PIRS 不會增加噪音和電氣煙霧問題。對於盜竊安全和物品保護，探測器不易被發現尤為重要。然而，純粹作為接收器的傳感器幾乎無法監測其自身的有效性，而這對於職業安全至關重要。克服此缺點的一種方法是測試小型調製（5 至 20 赫茲）紅外發射器，這些發射器安裝在受監控區域並且不會觸發傳感器，但其光束通過設置為調製頻率的固定電子放大進行記錄。這種修改將其從“被動”傳感器轉變為“主動”傳感器。通過這種方式，還可以檢查監控區域的幾何精度。鏡子可能有盲點，而被動傳感器的方向可能會因植物中的粗暴活動而偏離。圖 2 顯示了一個帶有 PIRS 的測試佈局，該 PIRS 具有金字塔地幔形式的受監測幾何形狀。由於其覆蓋範圍廣，被動紅外傳感器被安裝在例如貨架存儲區域的通道中。

圖 2. 被動紅外傳感器作為危險區域中的接近檢測器

總的來說，測試表明運動探測器不適合職業安全。博物館的夜間樓層無法與工作場所的危險區域相提並論。

超聲波、雷達和光脈衝探測器。 使用脈衝/回波原理的傳感器——即超聲波、雷達或光脈衝的經過時間測量——具有作為存在檢測器的巨大潛力。使用激光掃描儀，光脈衝可以快速連續掃描（通常以旋轉方式），例如，水平掃描，並且在計算機的幫助下，人們可以獲得反射光平面上物體的距離輪廓。例如，如果不僅需要一條線，還需要移動機器人前面 2 米高的區域的全部內容，則必須處理大量數據以描繪周圍區域。未來的“理想”存在檢測器將包含以下兩個過程的組合：

將採用模式識別過程，由相機和計算機組成。後者也可以是“神經網絡”。
還需要激光掃描過程來測量距離；這需要從模式識別過程中選擇的多個獨立點在三維空間中產生方位，這些點的建立是為了通過速度和方向獲得距離和運動。

圖 3 顯示，來自先前引用的 BAU 項目（Freund、Dierks 和 Rossman 1993），在移動機器人上使用激光掃描儀，該機器人還承擔導航任務（通過方向感應光束）和對附近物體的碰撞保護附近（通過地面測量光束進行存在檢測）。鑑於這些特點，移動機器人有能力 主動自動自由駕駛 （即繞過障礙物的能力）。從技術上講，除了向前旋轉 45° 角之外，還可以利用掃描儀在兩側（機器人的左舷和右舷）向後旋轉 180° 角來實現。這些光束與一個特殊的鏡子相連，該鏡子充當移動機器人前面地板上的光幕（提供地面視線）。如果激光反射來自那裡，機器人就會停止。雖然市場上有經過職業安全使用認證的激光和光掃描儀，但這些存在檢測器具有進一步發展的巨大潛力。

圖 3. 帶有用於導航和存在檢測的激光掃描儀的移動機器人

超聲波和雷達傳感器使用從信號到響應所經過的時間來確定距離，從技術角度來看要求不高，因此生產成本更低。感應區呈球桿狀，有一個或多個較小的側球桿，對稱排列。信號傳播的速度（聲音：330 米/秒；電磁波：300,000 公里/秒）決定了所用電子設備的必要速度。

後方警告裝置。 在 1985 年的漢諾威博覽會上，BAU 展示了使用超聲波傳感器確保大型車輛後方區域安全的初始項目的結果（Langer 和 Kurfürst 1985）。由 Polaroid™ 傳感器製成的全尺寸傳感器頭模型安裝在供應卡車的後牆上。圖 4 示意性地顯示了它的功能。該傳感器的大直徑產生相對小角度（約 18°）、長距離的棒狀測量區域，彼此相鄰排列並設置為不同的最大信號範圍。在實踐中，它允許人們設置任何所需的監控幾何形狀，傳感器大約每秒掃描四次以檢測人員的存在或進入。其他展示的後方區域警告系統有幾個平行的單獨排列的傳感器。

圖 4 貨車後側測頭佈置及監測區域

這種生動的演示在展會上取得了巨大的成功。它表明，許多地方正在研究保護大型車輛和設備的後方區域——例如，工業貿易協會的專門委員會 (Berufsgenossenschaften)、市政事故保險公司（負責市政車輛）、國家工業監督官員和傳感器生產商，他們更多地考慮將汽車作為服務車輛（在關注停車系統以防止車身損壞）。自發成立了一個從各團體中抽調出來的後方區域警告裝置推廣特設委員會，並將從職業安全的角度準備一份要求清單作為首要任務。十年過去了，在此期間，在後方區域監控方面取得了很大進展——這可能是存在檢測器最重要的任務；但仍未取得重大突破。

許多項目都使用了超聲波傳感器——例如，圓木分揀起重機、液壓挖掘機、市政專用車輛和其他多用途車輛，以及叉車和裝載機 (Schreiber 1990)。後方區域警告裝置對於大部分時間倒車的大型機械尤為重要。例如，超聲波存在檢測器用於保護專門的無人駕駛車輛，例如機器人物料搬運機。與橡膠緩衝器相比，這些傳感器具有更大的檢測區域，可在機器與物體接觸之前提供製動。用於汽車的相應傳感器是適當的開發並且涉及相當不嚴格的要求。

同時，DIN 運輸系統技術標準委員會制定了標準 75031，“倒車時的障礙物檢測裝置”（DIN 1995b）。要求和測試針對兩個範圍設定：1.8 m 用於補給卡車，3.0 m（額外警告區域）用於大型卡車。通過識別圓柱形測試體來設置監控區域。 3 米範圍也是目前技術上可能的極限，因為考慮到其惡劣的工作條件，超聲波傳感器必須具有封閉的金屬膜。正在設置傳感器系統自我監控的要求，因為所需的監控幾何結構只能通過三個或更多傳感器的系統來完成。圖 5 顯示了一個由三個超聲波傳感器組成的後方區域警告裝置 (Microsonic GmbH 1996)。這同樣適用於駕駛室中的通知裝置和警告信號的類型。 DIN 標準 75031 的內容也在國際技術 ISO 報告 TR 12155“商用車輛——倒車時的障礙物檢測裝置”(ISO 1994) 中列出。各種傳感器生產商已根據此標准開發了原型。

圖 5. 配備後方區域警告裝置的中型卡車（Microsonic 照片）。

結論

自 1970 世紀 75031 年代初以來，多家機構和傳感器製造商致力於開發和建立“存在檢測器”。在“後方警告裝置”的特殊應用方面，有DIN標準12155和ISO報告TR XNUMX。目前德國郵政公司正在進行一項重大測試。幾家傳感器製造商分別為五輛中型卡車配備了此類設備。該測試的積極結果非常有利於職業安全。正如一開始所強調的那樣，所需數量的存在檢測器對於提到的許多應用領域中的安全技術來說是一個巨大的挑戰。因此，如果設備、機器和材料的損壞，尤其是人身傷害（通常非常嚴重）將成為過去，那麼它們必須能夠以低成本實現。

出版於 58. 安全應用

週一，4月04 2011 17：53

用於控制、隔離和轉換能量的設備

用於隔離和開關的控制設備和設備必須始終與 技術系統，本文中使用的一個術語，包括機器、裝置和設備。每個技術系統都完成特定的和分配的實際任務。如果要在安全條件下執行或什至可能執行此實際任務，則需要適當的安全控制和開關設備。這些裝置用於啟動控制、中斷或延遲電流和/或電、液壓、氣動以及勢能的脈衝。

隔離和節能

隔離裝置用於通過斷開能源和技術系統之間的供電線路來隔離能源。隔離裝置通常必須產生明確可確定的實際能量供應斷開。能源供應的斷開也應始終與技術系統所有部分中存儲的能量減少相結合。如果技術系統由多個能源供電，則所有這些供電線路都必須能夠可靠地隔離。受過處理相關類型能源培訓的人員以及在技術系統的能源端工作的人員使用隔離裝置來保護自己免受能源的危害。出於安全原因，這些人員將始終檢查以確保技術系統中沒有存在潛在危險的能量——例如，在電能的情況下確定不存在電勢。只有經過培訓的專家才能無風險地操作某些隔離裝置；在這種情況下，必須使未經授權的人員無法接觸隔離裝置。（見圖 1。）

圖 1 電動和氣動隔離裝置的原理

主開關

主開關裝置將技術系統與能源供應斷開。與隔離裝置不同，即使“非能源專家”也可以毫無危險地操作它。總開關設備用於在給定時刻斷開未使用的技術系統，例如，它們的操作被未經授權的第三方阻礙。它還用於實現斷開連接，用於維護、故障維修、清潔、重置和改裝等目的，前提是這些工作可以在系統中沒有能量的情況下完成。自然地，當主開關裝置也具有隔離裝置的特性時，它也可以承擔和/或分擔其功能。（見圖 2。）

圖 2. 電動和氣動主開關設備的示例圖

安全斷開裝置

安全斷開裝置不會斷開整個技術系統與能源的連接；相反，它從對特定操作子系統至關重要的系統部分中移除能量。可以為操作子系統指定短期干預——例如，用於系統的設置或重置/改裝、故障維修、定期清潔以及課程期間所需的必要和指定的動作和功能序列設置、重置/改裝或試運行。在這些情況下，複雜的生產設備和工廠不能簡單地用主開關裝置關閉，因為在故障修復後，整個技術系統無法從停止的地方再次啟動。此外，在更廣泛的技術系統中，主開關設備很少位於必須進行干預的地方。因此，安全斷開裝置必須滿足多項要求，例如：

它可靠地中斷能量流，從而使危險的運動或過程不會被錯誤輸入或錯誤生成的控制信號觸發。
它精確地安裝在技術系統運行子系統的危險區域中必須中斷的位置。如有必要，可以在多個地方安裝（例如，在不同的樓層、不同的房間或機器或設備的不同接入點）。
它的控制裝置有一個清晰標記的“關閉”位置，在能量流被可靠地切斷後僅記錄一次。
一旦處於“關閉”位置，其控制裝置可以防止未經授權重新啟動（a）如果無法從控制區域可靠地監督相關危險區域，以及（b）如果位於危險區域的人員自己無法看到隨時隨時控制設備，或 (c) 如果法規或組織程序要求上鎖/掛牌。
如果其他功能單元能夠繼續獨立工作而不會對乾預人員造成危險，則應該僅斷開擴展技術系統的單個功能單元。

在給定技術系統中使用的主開關裝置能夠滿足安全斷開裝置的所有要求的情況下，它也可以承擔此功能。但這當然只有在非常簡單的技術系統中才是可靠的權宜之計。（見圖 3。）

圖 3. 安全斷開裝置的基本原理圖示

操作子系統的控制裝置

控制裝置允許安全地實施和控制技術系統的操作子系統所需的運動和功能序列。設置可能需要操作子系統的控制裝置（當要執行試運行時）；用於調節（當系統運行中的故障需要修理或必須清除堵塞時）；或培訓目的（示範操作）。在這種情況下，系統的正常運行不能簡單地重新啟動，因為乾預人員會因錯誤輸入或錯誤生成的控制信號觸發的動作和過程而受到威脅。操作子系統的控制裝置必須符合以下要求：

它應該允許安全執行技術系統的操作子系統所需的運動和過程。例如，某些動作將以降低的速度、逐漸或以較低的功率水平（取決於適當的情況）執行，並且如果不再有人看管控制面板，通常會立即中斷過程。
其控制面板應位於其操作不會危及操作員的區域，並且從中可以完全看到所控制的過程。
如果控制各種過程的多個控制面板出現在一個位置，則必須清楚地標記並以獨特且易於理解的方式排列。
運行子系統的控制裝置只有在正常運行可靠地脫離時才有效；也就是說，必須保證沒有控制命令可以從正常操作中有效地發出並越過控制裝置。
應該可以防止未經授權使用操作子系統的控制裝置，例如，通過要求使用特殊密鑰或代碼來釋放相關功能。（見圖 4。）

圖 4. 可移動和固定操作子系統的控制裝置中的執行裝置

緊急開關

如果技術系統的正常運行可能導致危險，而適當的系統設計或採取適當的安全預防措施都無法避免，則需要緊急開關。在操作子系統中，緊急開關通常是操作子系統控制裝置的一部分。當在危險情況下操作時，緊急開關執行使技術系統盡快返回到安全操作狀態的過程。關於安全優先事項，人身保護是首要問題；防止材料損壞是次要的，除非後者也可能危及人身安全。緊急開關必須滿足以下要求：

它必須盡快帶來技術系統的安全運行條件。
其控制面板必須易於識別、放置和設計，以便受到威脅的人員可以毫無困難地操作，也可以讓其他響應緊急情況的人夠到。
其觸發的應急過程不得帶來新的危害；例如，他們不得鬆開夾緊裝置或斷開磁性固定裝置或阻擋安全裝置。
在觸發緊急開關過程後，技術系統不得通過緊急開關控制面板的複位自動重啟。相反，必須要求有意識地輸入新的功能控制命令。（見圖 5。）

圖 5. 緊急開關中控制面板的原理圖示

功能開關控制裝置

功能開關控制裝置用於打開技術系統以進行正常操作，並啟動、執行和中斷指定用於正常操作的動作和過程。功能開關控制裝置僅在技術系統的正常運行過程中使用，即在不受干擾地執行所有指定功能期間使用。它由運行技術系統的人員相應地使用。功能開關控制設備必須滿足以下要求：

他們的控制面板必須易於訪問且易於使用，不會造成危險。
他們的控制面板必須清晰合理地佈置；例如，控制旋鈕在上下左右的受控運動方面應該“合理”地操作。（“理性的”控制運動和相應的效果可能會因地區而異，有時會由規定定義。）
他們的控制面板應清晰易懂地標記，並帶有易於理解的符號。
需要用戶全神貫注才能安全執行的過程必須不能由錯誤生成的控制信號或管理它們的控制設備的無意操作觸發。控制面板信號處理必須適當可靠，並且必須通過控制裝置的適當設計來防止意外操作。（見圖 6）。

圖 6. 操作控制面板的示意圖

監控開關

只要監控的安全條件不滿足，監控開關就會阻止技術系統啟動，一旦安全條件不再滿足，它們就會中斷運行。例如，它們用於監控保護室的門、檢查安全防護裝置的正確位置或確保不超過速度或路徑限制。監控開關必須相應地滿足以下安全和可靠性要求：

用於監控目的的開關設備必須以特別可靠的方式發出保護信號；例如，機械監控開關可能被設計為自動中斷信號流，並且具有特別的可靠性。
當不滿足安全條件時（例如，當帶有自動中斷功能的監控開關的柱塞被機械地自動強制進入中斷位置時），用於監控目的的開關工具應以特別可靠的方式運行。
監控開關一定不能被不當關閉，至少不能無意或不費吹灰之力；例如，當開關和操作元件牢固安裝時，可以通過具有自動中斷功能的機械自動控制開關來滿足此條件。（見圖 7）。

圖 7. 具有正向機械操作和正向斷開的開關示意圖

安全控制電路

上述幾種安全開關裝置並不直接執行安全功能，而是通過發出信號，然後由安全控制電路傳輸和處理，最終到達技術系統中執行實際安全功能的那些部分。例如，安全斷路裝置經常會間接導致關鍵點的能量斷開，而主開關通常會直接斷開技術系統的電流供應。

由於安全控制電路必須可靠地傳輸安全信號，因此必須考慮以下原則：

即使在外部能量缺乏或不足時，例如在斷開或洩漏期間，也應保證安全。
通過中斷信號流，保護信號功能更可靠；例如，帶開啟器觸點或開放式繼電器觸點的安全開關。
放大器、變壓器等的保護功能無需外界能量即可更可靠地實現；這種機制包括，例如，電磁開關裝置或在靜止時關閉的通風口。
安全控制電路中錯誤和洩漏的連接不得導致錯誤啟動或阻礙停止；特別是在進線和出線之間的短路、漏電或接地的情況下。
在不超過用戶預期的情況下影響系統的外部影響不應干擾安全控制電路的安全功能。

安全控制電路中使用的組件必須以特別可靠的方式執行安全功能。不滿足此要求的部件的功能應通過安排盡可能多樣化的冗餘來實現，並應受到監視。

出版於 58. 安全應用

週一，4月04 2011 18：00

安全相關應用

在過去幾年中，微處理器在安全技術領域發揮著越來越重要的作用。由於整個計算機（即中央處理器、存儲器和外圍組件）現在都可以作為“單片機”的單個組件使用，微處理器技術不僅用於復雜的機器控制，而且用於相對簡單設計的安全保障（例如，光柵、雙手控制裝置和安全邊緣）。控制這些系統的軟件包含一千到幾萬條單個命令，通常由數百個程序分支組成。這些程序是實時運行的，大部分是用程序員的彙編語言編寫的。

在安全技術領域引入計算機控制系統的同時，所有大型技術設備不僅進行了昂貴的研發項目，而且還進行了旨在提高安全性的重大限制。（這裡可以引用航空航天技術、軍事技術和原子能技術作為大規模應用的例子。）工業大規模生產的集體領域迄今僅以非常有限的方式得到處理。這部分是因為工業機器設計的創新特徵的快速循環使得很難以非常有限的方式繼承這種知識，這些知識可能來自與大規模最終測試有關的研究項目安全設備。這使得開發快速和低成本的評估程序成為迫切需要（Reinert 和 Reuss 1991）。

本文首先檢查計算機系統目前執行安全任務的機器和設施，使用主要發生在機器保障領域的事故示例來描述計算機在安全技術中發揮的特殊作用。這些事故表明必須採取哪些預防措施，以便目前越來越廣泛使用的計算機控制的安全設備不會導致事故數量的增加。本文的最後一節概述了一個過程，該過程將使即使是小型計算機系統也能以合理的費用在可接受的時間段內達到適當的技術安全水平。最後一部分中指出的原則目前正被引入國際標準化程序，並將對計算機應用的所有安全技術領域產生影響。

在機器保障領域使用軟件和計算機的例子

以下四個例子清楚地表明，軟件和計算機目前越來越多地進入商業領域的安全相關應用。

個人緊急信號裝置通常由一個中央接收站和多個個人緊急信號裝置組成。設備由現場工作人員自行攜帶。如果這些單獨工作的人中的任何一個發現自己處於緊急情況下，他們可以使用該設備通過中央接收站的無線電信號觸發警報。這種依賴於意志的警報觸發器也可以由內置於個人應急設備中的傳感器激活的獨立於意志的觸發機制來補充。單個設備和中央接收站都經常由微型計算機控制。可以想像，在緊急情況下，內置計算機的特定單一功能故障可能會導致無法觸發警報。因此，必須採取預防措施及時發現並修復這種功能喪失。

今天用於印刷雜誌的印刷機是大型機器。紙幅通常由單獨的機器以能夠無縫過渡到新紙捲的方式製備。印刷的頁面由折疊機折疊，然後通過一系列進一步的機器進行加工。這導致貨盤上裝滿了完全縫合的雜誌。儘管此類設備是自動化的，但有兩點必須進行人工干預：(1) 紙張路徑的穿線，以及 (2) 清除旋轉輥上危險點處紙張撕裂造成的障礙物。出於這個原因，在調整壓力機時，控制技術必須確保降低操作速度或路徑或時間限制的點動模式。由於涉及復雜的控製程序，每個印刷站都必須配備自己的可編程邏輯控制器。必須防止在防護柵打開時印刷廠控制中發生的任何故障導致停止的機器意外啟動或超過適當降低的速度運行。

在大型工廠和倉庫中，無人駕駛、自動引導的機器人車輛在特別標記的軌道上移動。這些軌道可以隨時被人行走，或者材料和設備可能會不經意地留在軌道上，因為它們在結構上沒有與其他交通線路分開。出於這個原因，必須使用某種防撞設備來確保車輛在與人或物體發生任何危險碰撞之前停下來。在最近的應用中，碰撞預防是通過與安全保險槓結合使用的超聲波或激光掃描儀來實現的。由於這些系統在計算機控制下工作，因此可以配置多個永久檢測區域，以便車輛可以根據人員所在的特定檢測區域修改其反應。保護裝置的故障不得導致與人的危險碰撞。

切紙控制裝置絞刀用於壓切厚紙垛。它們由雙手控制裝置觸發。每次切割後，用戶必須將手伸入機器的危險區域。非物質防護裝置（通常是光柵）與雙手控制裝置和安全機器控制系統結合使用，以防止在切割操作期間進紙時受傷。當今使用的幾乎所有更大、更現代的斷頭台都是由多通道微型計算機系統控制的。雙手操作和光柵也必須保證安全運行。

計算機控制系統事故

在幾乎所有的工業應用領域，都有軟件和計算機事故的報導（Neumann 1994）。在大多數情況下，計算機故障不會導致人身傷害。在任何情況下，此類失敗只有在涉及公眾利益時才會公開。這意味著與計算機和軟件相關的故障或事故中涉及人身傷害的案例在所有公開案例中所佔比例較高。不幸的是，對於不會引起公眾強烈轟動的事故，其原因的調查強度與更突出的事故（通常是大型工廠中的事故）的強度完全相同。出於這個原因，下面的示例參考了機器安全防護領域以外的計算機控制系統的四種典型故障或事故描述，用於建議在做出有關安全技術的判斷時必須考慮的因素。

硬件隨機故障導致的事故

以下事故是由硬件中的隨機故障集中和編程故障引起的：化工廠中的反應器過熱，於是安全閥打開，反應器中的內容物被排放到大氣中。在收到變速箱油位過低的警告後不久，就發生了這一事故。對事故的仔細調查表明，催化劑在反應器中引發反應後不久——因此反應器需要更多的冷卻——計算機根據齒輪箱中低油位的報告，凍結了所有在其控制下的幅度為固定值。這使冷水流量保持在過低的水平，結果反應堆過熱。進一步調查表明，低油位指示是由故障部件發出的。

該軟件已根據規範做出響應，觸發警報並修復所有操作變量。這是事件發生前進行的 HAZOP（危害和可操作性分析）研究（Knowlton 1986）的結果，該研究要求在發生故障時不得修改所有受控變量。由於程序員不熟悉該程序的細節，這一要求被解釋為受控執行器（在本例中為控制閥）不得修改；沒有註意到溫度升高的可能性。程序員沒有考慮到在收到錯誤信號後，系統可能會發現自己處於一種需要計算機主動干預以防止事故發生的動態情況。此外，導致事故的情況不太可能在 HAZOP 研究中對其進行詳細分析（Levenson 1986）。此示例提供了向第二類軟件和計算機事故原因的過渡。這些是系統從一開始就存在的系統性故障，但僅在開發人員未考慮的某些非常具體的情況下才會出現。

操作失誤引發的事故

在機器人最終檢查期間的現場測試中，一名技術人員借用了相鄰機器人的卡帶並更換了另一個，但沒有通知他的同事他已經這樣做了。回到工作場所後，這位同事插入了錯誤的磁帶。由於他站在機器人旁邊，並期望它有一個特定的動作序列——這個序列由於交換的程序而不同——所以機器人和人之間發生了碰撞。這個事故描述了操作故障的經典例子。由於計算機控制的安全機制的應用越來越複雜，此類故障在故障和事故中的作用目前正在增加。

由硬件或軟件系統故障引起的事故

一枚帶有彈頭的魚雷是為了訓練目的從公海上的一艘軍艦上發射的。由於驅動裝置出現故障，魚雷留在魚雷發射管中。船長決定返回母港打撈魚雷。在這艘船開始返航後不久，魚雷爆炸了。對事故的分析表明，魚雷的開發人員不得不在魚雷中安裝一種機制，以防止魚雷在發射後返回發射台，從而摧毀發射它的船隻。為此選擇的機制如下：在魚雷發射後，使用慣性導航系統進行檢查，看它的航向是否改變了 180°。魚雷一感應到自己轉了180°，就立刻引爆了，據說是在離發射台安全距離的地方。這種檢測機制是在魚雷沒有正確發射的情況下啟動的，結果魚雷在船改變航向 180° 後爆炸。這是一個典型的因規格不符而發生事故的例子。規範中要求魚雷在航向改變時不應摧毀自己的船隻的要求不夠準確；預防措施因此被錯誤地編程。該錯誤僅在特定情況下變得明顯，而程序員沒有考慮到這種可能性。

14 年 1993 月 320 日，漢莎航空公司的一架空客 A 1 在華沙著陸時墜毀（圖 767）。對事故的仔細調查表明，在 1991 年勞達航空公司的一架波音 1991 飛機發生事故後，對機載計算機的著陸邏輯進行了修改，這是造成這次迫降的部分原因。在 XNUMX 年的事故中發生的事情是推力偏轉，它轉移了部分發動機氣體以在著陸期間制動飛機，在飛機仍在空中時已經接合，從而迫使機器進入無法控制的俯衝狀態。出於這個原因，推力偏轉的電子鎖定已內置到空客機器中。只有在兩組起落架上的傳感器發出減震器在機輪著陸壓力下壓縮的信號後，該機制才允許推力偏轉生效。根據不正確的信息，華沙飛機的飛行員預計會有強側風。

圖 1. 1993 年在華沙發生事故後的漢莎空中客車公司

出於這個原因，他們將機器稍微傾斜，空中客車只用右輪著陸，左軸承重量不足。由於推力偏轉的電子鎖定，機載計算機在 XNUMX 秒的時間裡拒絕飛行員進行這樣的操作，儘管這種操作本可以讓飛機在不利的情況下安全著陸。這起事故非常清楚地表明，如果不事先考慮其可能後果的範圍，對計算機系統的修改可能會導致新的危險情況。

下面的故障示例也說明了修改單個命令可能對計算機系統造成的災難性影響。在化學測試中，血液中的酒精含量是使用預先從中離心出血球的清澈血清來確定的。因此，血清的酒精含量比較稠的全血高（1.2 倍）。出於這個原因，血清中的酒精值必須除以 1.2，才能確定法律和醫學上關鍵的千分率。在 1984 年舉行的實驗室間測試中，將在不同研究機構使用血清進行的相同測試中確定的血液酒精值相互比較。由於這只是一個比較問題，除以 1.2 的命令在實驗期間從其中一個機構的程序中刪除。實驗室間測試結束後，此時程序中錯誤地引入了乘以 1.2 的命令。結果，在 1,500 年 1984 月至 1985 年 1.0 月期間，計算出了大約 1.3 個不正確的千分率值。這個錯誤對於血液酒精含量在千分之 1.3 到 XNUMX 之間的卡車司機的職業生涯至關重要，因為導致長時間沒收駕駛執照的法律處罰是 XNUMX 的價值的結果。

由操作壓力或環境壓力的影響引起的事故

由於在CNC（計算機數控）衝步沖床的有效區域收集廢物引起的干擾，用戶實施了“程序停止”。當他試圖用手清除廢物時，機器的推桿開始移動，儘管已按程序停止，並嚴重傷害了用戶。對事故的分析表明，這不是程序錯誤的問題。無法重現意外啟動。過去在同類型的其他機器上也觀察到類似的異常情況。從這些似乎可以推斷出事故一定是由電磁干擾引起的。日本報導了類似的工業機器人事故（Neumann 1987）。

2 年 18 月 1986 日，航海者 2 號太空探測器發生故障，更清楚地表明了環境壓力對計算機控制系統的影響。在距離天王星最近的六天前，航海者 1987 號拍攝的照片上覆蓋著大片黑白線條。精確的分析表明，飛行數據子系統命令字中的一位導致了故障，觀察到圖片在探測器中被壓縮。該位很可能是由於宇宙粒子的影響而在程序存儲器中被撞錯了位置。僅在兩天后，使用能夠繞過故障記憶點的替換程序，來自探測器的壓縮照片的無差錯傳輸就實現了（Laeser、McLaughlin 和 Wolff XNUMX）。

所呈現的事故摘要

分析的事故表明，在使用簡單機電技術的條件下可能會忽略的某些風險在使用計算機時會變得更加重要。計算機允許處理複雜的和特定情況的安全功能。因此，所有安全功能的明確、無差錯、完整和可測試的規範變得尤為重要。規範中的錯誤很難發現，並且經常是複雜系統中事故的原因。通常引入可自由編程的控件，目的是能夠靈活快速地對不斷變化的市場做出反應。然而，修改——尤其是在復雜系統中——會產生難以預見的副作用。因此，所有修改都必須遵循嚴格正式的變更程序管理，其中將安全功能與與安全無關的部分系統明確分開，這將有助於使安全技術修改的後果易於調查。

計算機在低電量下工作。因此，它們容易受到外部輻射源的干擾。由於數以百萬計的單個信號的修改會導致故障，因此值得特別注意與計算機相關的電磁兼容性主題。

計算機控制系統的服務目前變得越來越複雜，因此也越來越不清楚。因此，從安全技術的角度來看，用戶和配置軟件的軟件人體工程學變得越來越有趣。

沒有計算機系統是 100% 可測試的。具有 32 個二進制輸入端口和 1,000 個不同軟件路徑的簡單控制機制需要 4.3 × 10¹² 進行全面檢查的測試。以每秒執行和評估 100 個測試的速度計算，一個完整的測試需要 1,362 年。

改進計算機控制安全裝置的程序和措施

在過去 10 年內開發了程序，允許掌握與計算機相關的特定安全相關挑戰。這些過程解決了本節中描述的計算機故障。所描述的機器防護中的軟件和計算機示例以及所分析的事故表明，損壞的程度以及各種應用所涉及的風險是極其可變的。因此很明顯，應該針對風險制定必要的預防措施，以改進安全技術中使用的計算機和軟件。

圖 2 顯示了一個定性程序，通過該程序可以獨立於損壞發生的程度和頻率來確定使用安全系統可獲得的必要風險降低（Bell 和 Reinert 1992）。在“計算機控制系統事故”（上文）部分中分析的計算機系統故障類型可能與所謂的安全完整性等級（即用於降低風險的技術設施）相關。

圖 2. 風險確定的定性程序

圖 3 清楚地表明，在任何給定情況下，為減少軟件和計算機中的錯誤而採取的措施的有效性需要隨著風險的增加而提高（DIN 1994；IEC 1993）。

圖 3，獨立於風險的錯誤預防措施的有效性

對上述事故的分析表明，計算機控制的安全裝置失效不僅是由隨機組件故障引起的，而且是由程序員沒有考慮到的特定操作條件引起的。在系統維護過程中進行的程序修改的不明顯後果構成了進一步的錯誤來源。因此，由微處理器控制的安全系統可能會出現故障，儘管這些故障是在系統開發期間發生的，但只有在運行期間才會導致危險情況。因此，在安全相關係統處於開發階段時，必須採取預防措施來防止此類故障。這些所謂的故障避免措施不僅在概念階段必須採取，而且在開發、安裝和修改過程中也必須採取。如果在此過程中發現並糾正某些故障，則可以避免它們 (DIN 1990)。

正如所描述的最後一個事故所表明的那樣，單個晶體管的擊穿可能會導致高度複雜的自動化設備出現技術故障。由於每個單獨的電路都由數千個晶體管和其他組件組成，因此必須採取多種故障避免措施來識別運行中出現的故障並在計算機系統中啟動適當的反應。圖 4 描述了可編程電子系統中的故障類型以及為避免和控制計算機系統中的故障而可能採取的預防措施示例（DIN 1990；IEC 1992）。

圖 4. 為控制和避免計算機系統錯誤而採取的預防措施示例

安全技術中可編程電子系統的可能性和前景

現代機器和工廠變得越來越複雜，必須在越來越短的時間內完成越來越全面的任務。出於這個原因，自 1970 世紀 XNUMX 年代中期以來，計算機系統已經接管了幾乎所有的工業領域。僅這種複雜性的增加就大大增加了改進此類系統中安全技術所涉及的成本。儘管軟件和計算機對工作場所的安全提出了巨大挑戰，但它們也使在安全技術領域實施新的錯誤友好系統成為可能。

Ernst Jandl 的一首滑稽但富有啟發性的詩句將有助於解釋這個概念的含義 錯誤友好. “Lichtung：Manche meinen lechts und rinks kann man nicht velwechsern，werch ein Illtum”。（“方言：許多人認為光和反射不能交換，真是個笑話。”）儘管交換了信件 r 和 l，這個短語很容易被一個正常的成年人理解。即使英語流利程度不高的人也可以將其翻譯成英語。然而，單靠一台翻譯計算機幾乎不可能完成這項任務。

這個例子表明，與語言計算機相比，人類可以以更容易出錯的方式做出反應。這意味著人類和所有其他生物一樣，可以通過將失敗引向經驗來容忍失敗。如果觀察當今使用的機器，就會發現大多數機器對用戶故障的懲罰不是意外，而是產量下降。此屬性導致操縱或逃避保障措施。現代計算機技術將系統置於工作安全的支配之下，這些系統可以智能地做出反應——也就是說，以一種改進的方式。因此，此類系統使新型機器中的錯誤友好行為模式成為可能。他們首先在錯誤操作時警告用戶，只有在這是避免事故的唯一方法時才關閉機器。事故分析表明，該領域存在減少事故的巨大潛力（Reinert 和 Reuss 1991）。

出版於 58. 安全應用

週一，4月04 2011 18：16

軟件和計算機：混合自動化系統

混合自動化系統 (HAS) 旨在將人工智能機器（基於計算機技術）的能力與在工作活動過程中與這些機器交互的人員的能力相集成。 HAS 利用率的主要關注點涉及應如何設計人機子系統以充分利用混合系統兩部分的知識和技能，以及人類操作員和機器組件應如何相互交互以確保它們的功能相互補充。許多混合自動化系統已經發展成為基於現代信息和控制的方法的應用產品，以自動化和集成通常複雜的技術系統的不同功能。 HAS 最初被確定為基於計算機的系統的引入，該系統用於核動力反應堆、化學加工廠和離散零件製造技術的實時控制系統的設計和操作。 HAS現在也可以在許多服務行業中找到，例如民航領域的空中交通管制和飛機導航程序，以及道路交通中智能車輛和高速公路導航系統的設計和使用。

隨著基於計算機的自動化的不斷進步，現代技術系統中人類任務的性質從需要感知運動技能的任務轉變為需要認知活動的任務，這些活動是解決問題、系統監控中的決策制定以及監督控制任務。例如，計算機集成製造系統中的人類操作員主要充當系統監控器、問題解決者和決策者。在任何 HAS 環境中，人類主管的認知活動是 (1) 計劃在給定時間段內應該做什麼，(2) 設計程序（或步驟）以實現既定目標集，(3) 監控進度（技術）過程，（4）通過人機交互的計算機“教導”系統，（5）如果系統行為異常或控制優先級發生變化，則進行干預，以及（6）通過系統的反饋學習監督行動（Sheridan 1987）。

混合系統設計

HAS 中的人機交互涉及利用人類操作員和智能機器之間的動態通信迴路——一個包括信息感知和處理以及控制任務和決策制定的啟動和執行的過程——在給定的功能分配結構內人類和機器。至少，人與自動化之間的交互應反映混合自動化系統的高度複雜性，以及人類操作員和任務要求的相關特徵。因此，混合自動化系統可以正式定義為以下公式中的五元組：

有= （T、U、C、E、I）

哪裡 T = 任務要求（身體和認知）； U = 用戶特徵（身體和認知）； C = 自動化特性（硬件和軟件，包括計算機接口）； E = 系統環境； I = 上述元素之間的一組相互作用。

交互集合 I 體現了所有可能的相互作用 T, U 和 C in E 無論其性質或關聯強度如何。例如，其中一種可能的交互可能涉及存儲在計算機內存中的數據與人類操作員的相應知識（如果有的話）之間的關係。相互作用 I 可以是基本的（即僅限於一對一的關聯）或複雜的，例如涉及人類操作員、用於實現所需任務的特定軟件以及與計算機的可用物理接口之間的交互。

許多混合自動化系統的設計者主要關注作為基於計算機技術的一部分的複雜機器和其他設備的計算機輔助集成，很少關注在此類系統中有效的人為集成的最重要需求。因此，目前，許多計算機集成（技術）系統與人類操作員的固有能力不完全兼容，這些能力由有效控制和監視這些系統所需的技能和知識所表達。這種不兼容性出現在人、機器和人機功能的各個層面，並且可以在個人和整個組織或設施的框架內定義。例如，先進製造企業的人與技術整合問題，早在HAS設計階段就出現了。這些問題可以使用以下交互複雜性的系統集成模型來概念化， I, 在系統設計者之間, D, 人工操作員, H，或潛在的系統用戶和技術， T:

我 (H, T) = F [ 我 (H, D), 我 (D, T)]

哪裡 I 代表在給定的 HAS 結構中發生的相關相互作用，而 F 表示設計師、操作員和技術之間的功能關係。

上述系統集成模型強調了這樣一個事實，即用戶和技術之間的交互是由兩個早期交互的集成結果決定的——即 (1) HAS 設計者和潛在用戶之間的交互，以及 (2) 設計者之間的交互和 HAS 技術（在機器及其集成級別）。應該注意的是，儘管設計師和技術之間通常存在強烈的互動，但在設計師和操作員之間同樣強烈的相互關係的例子卻很少見。

可以說，即使在自動化程度最高的系統中，人的角色對於在操作層面成功實現系統性能仍然至關重要。 Bainbridge (1983) 確定了一系列與 HAS 操作相關的問題，這些問題是由於自動化本身的性質造成的，如下所示：

操作員“脫離控制迴路”。 人工操作員出現在系統中以在需要時進行控制，但由於“處於控制迴路之外”，他們無法保持在緊急情況下通常需要的手動技能和長期系統知識。
過時的“心理圖片”。 如果人類操作員沒有非常密切地關注其操作事件，則他們可能無法快速響應系統行為的變化。此外，操作員對系統功能的了解或心理想像可能不足以啟動或執行所需的響應。
消失的一代技能。 新的操作員可能無法獲得足夠的關於通過經驗獲得的計算機化系統的知識，因此將無法在需要時進行有效的控制。
自動裝置的權威。 如果實施計算機化系統是因為它可以比人類操作員更好地執行所需的任務，那麼問題就出現了，“操作員應該根據什麼來決定自動化系統正在做出正確或錯誤的決定？”
自動化導致新型“人為錯誤”的出現。 自動化系統會導致新型錯誤，從而導致無法在傳統分析技術框架內進行分析的事故。

任務分配

HAS 設計的重要問題之一是確定應將多少功能或職責分配給人類操作員，以及將哪些功能或職責分配給計算機。通常，應考慮三類基本的任務分配問題：(1) 人類監督員-計算機任務分配，(2) 人類-人類任務分配和 (3) 監督計算機-計算機任務分配。理想情況下，分配決策應該在基本系統設計開始之前通過一些結構化的分配程序做出。不幸的是，這樣一個系統化過程幾乎不可能，因為要分配的功能可能需要進一步檢查，或者必須在人機系統組件之間交互執行——也就是說，通過應用監督控制範例。混合自動化系統中的任務分配應側重於人類和計算機監督責任的範圍，並應考慮人類操作員與計算機化決策支持系統之間交互的性質。還應考慮機器與人類輸入輸出接口之間的信息傳遞方式以及軟件與人類認知問題解決能力的兼容性。

在混合自動化系統的設計和管理的傳統方法中，工人被認為是確定性的輸入輸出系統，並且傾向於忽視人類行為的目的論性質——即依賴於獲得的目標導向行為相關信息和目標選擇 (Goodstein et al. 1988)。為了取得成功，高級混合自動化系統的設計和管理必須基於對特定任務所需的人類心理功能的描述。 “認知工程”方法（下文進一步描述）提出需要根據人類心理過程來構思、設計、分析和評估人機（混合）系統（即，自適應系統的操作者心理模型被納入帳戶）。以下是 Corbett (1988) 制定的以人為本的 HAS 設計和操作方法的要求：

相容性. 系統操作不應要求與現有技能無關的技能，而應允許現有技能發展。人類操作員應該輸入和接收與傳統實踐兼容的信息，以便界面符合用戶的先驗知識和技能。
透明度. 不了解系統就無法控制它。因此，如果要促進學習，人類操作員必須能夠“看到”系統控制軟件的內部過程。透明的系統使用戶可以輕鬆地建立系統可以執行的決策和控制功能的內部模型。
最小震動. 系統不應該做任何操作員根據他們可用的信息發現意外的事情，這些信息詳細說明了系統的當前狀態。
干擾控制. 不確定的任務（由選擇結構分析定義）應該在計算機決策支持下由操作員控制。
易錯性. 人類操作員的隱含技能和知識不應在系統之外設計。永遠不要讓操作員無助地看著軟件指導錯誤操作。
錯誤可逆性. 軟件應提供足夠的信息前饋，以告知操作員特定操作或策略的可能後果。
操作靈活. 該系統應為操作人員提供在不失去控制軟件支持的情況下通過改變操作策略來權衡需求和資源限制的自由。

認知人因工程

認知人因工程側重於人類操作員如何在工作場所做出決策、解決問題、制定計劃和學習新技能（Hollnagel 和 Woods 1983）。可以使用 Rasmussen 的方案 (1983) 將在任何 HAS 中發揮作用的人工操作員的角色分為三大類：

基於技能的行為 是在沒有意識控制的情況下發生的行為或活動中執行的感覺運動表現，作為流暢、自動化和高度整合的行為模式。屬於這一類的人類活動被認為是為給定情況而組成的一系列技能行為。因此，基於技能的行為是時空域中或多或少存儲的行為模式或預編程指令的表達。
基於規則的行為 是一種以目標為導向的性能類別，它通過存儲規則或過程的前饋控制來構建——也就是說，一種有序的性能允許在熟悉的工作環境中組合一系列子程序。該規則通常是從以前的經驗中選擇的，並反映了約束環境行為的功能屬性。基於規則的性能基於關於使用相關規則的明確知識。決策數據集包含用於識別和識別狀態、事件或情況的參考。
基於知識的行為 是一種目標控制的表現，其中目標是根據對環境的了解和個人的目標明確制定的。系統的內部結構用“心智模型”表示。這種行為允許在不熟悉且因此不確定的控制條件下開發和測試不同的計劃，並且在技能或規則不可用或不充分時需要這種行為，因此必須調用問題解決和計劃。

在 HAS 的設計和管理中，應考慮工作者的認知特徵，以確保系統操作與描述其功能的工作者內部模型的兼容性。因此，系統的描述級別應該從基於技能的人類功能方面轉移到基於規則和知識的人類功能方面，並且應該使用適當的認知任務分析方法來識別系統的操作員模型。 HAS 開發中的一個相關問題是在物理和認知層面上設計人類操作員和自動化系統組件之間的信息傳輸方式。這種信息傳輸應該與在不同級別的系統操作中使用的信息模式兼容，即視覺、口頭、觸覺或混合。這種信息兼容性確保不同形式的信息傳輸將要求介質與信息性質之間的不兼容性最小。例如，視覺顯示最適合傳輸空間信息，而聽覺輸入可用於傳達文本信息。

人類操作員經常根據他或她的經驗、培訓和與給定類型的人機界面相關的說明開發描述系統操作和功能的內部模型。鑑於這一現實，HAS 的設計者應該嘗試在機器（或其他人工系統）中構建一個人類操作員的身體和認知特徵的模型，即操作員的系統形象（Hollnagel 和 Woods 1983） . HAS 的設計者還必須考慮系統描述中的抽象級別以及人類操作員行為的各種相關類別。這些用於在工作環境中模擬人類功能的抽象級別如下（Rasmussen 1983）：（1）物理形式（解剖結構），（2）物理功能（生理功能），（3）廣義功能（心理機制和認知和情感過程），（4）抽像功能（信息處理）和（5）功能目的（價值結構、神話、宗教、人類互動）。設計人員必須同時考慮這五個級別，以確保有效的 HAS 性能。

系統軟件設計

由於計算機軟件是任何 HAS 環境的主要組成部分，因此在 HAS 開發的早期階段也必須考慮軟件開發，包括設計、測試、操作和修改，以及軟件可靠性問題。通過這種方式，應該能夠降低軟件錯誤檢測和消除的成本。然而，由於我們模擬人工任務性能、相關工作量和潛在錯誤的能力有限，因此很難估計 HAS 人工組件的可靠性。過多或不足的腦力工作量可能分別導致信息過載和無聊，並可能導致人的績效下降，從而導致錯誤和事故發生的可能性增加。 HAS 的設計者應該採用自適應接口，利用人工智能技術來解決這些問題。除了人機兼容性之外，還必須考慮人機相互適應的問題，以減少人的能力可能被超越時的壓力水平。

由於許多混合自動化系統的高度複雜性，識別與這些系統的硬件、軟件、操作程序和人機交互相關的任何潛在危險對於旨在減少傷害和設備損壞的努力取得成功至關重要. 與復雜的混合自動化系統相關的安全和健康危害，例如計算機集成製造技術 (CIM)，顯然是系統設計和操作的最關鍵方面之一。

系統安全問題

混合自動化環境在系統干擾條件下具有控制軟件不穩定行為的巨大潛力，會產生新一代的事故風險。隨著混合自動化系統變得更加通用和復雜，系統干擾（包括啟動和關閉問題以及系統控制中的偏差）會顯著增加對人類操作員造成嚴重危險的可能性。具有諷刺意味的是，在許多異常情況下，操作員通常依賴於自動安全子系統的正常運行，這種做法可能會增加嚴重傷害的風險。例如，一項與技術控制系統故障相關的事故研究表明，大約三分之一的事故序列包括人為乾預受干擾系統的控制迴路。

由於傳統的安全措施不能輕易適應 HAS 環境的需要，因此需要根據這些系統的固有特性重新考慮傷害控制和事故預防策略。例如，在先進製造技術領域，許多過程的特點是存在大量的能量流，人類操作員無法輕易預測到這些能量流。此外，安全問題通常出現在子系統之間的接口處，或者當系統干擾從一個子系統發展到另一個子系統時。根據國際標準化組織 (ISO 1991)，工業自動化帶來的危害相關風險因特定製造系統中的工業機器類型以及系統的安裝、編程、操作和維護方式而異並修好。例如，瑞典的機器人相關事故與其他類型事故的比較表明，機器人可能是先進製造業中使用的最危險的工業機器。工業機器人的估計事故率為每 45 個機器人年發生一次嚴重事故，高於工業壓力機的事故率，據報導為每 50 個機器年發生一次事故。此處應注意，在 23 年至 1980 年期間，美國的工業壓力機約佔所有金屬加工機械相關死亡人數的 1985%，其中動力壓力機在非致命傷害的嚴重頻率乘積方面排名第一。

在先進製造技術領域，有許多運動部件在人類操作員的視野之外以復雜的方式改變位置，對工人造成危險。計算機集成製造技術的快速發展催生了研究先進製造技術對工人影響的迫切需要。為了識別這種 HAS 環境的各種組成部分造成的危害，需要仔細分析過去的事故。不幸的是，涉及機器人使用的事故很難從人為操作的機器相關事故的報告中分離出來，因此，未記錄事故的比例可能很高。日本的職業健康和安全規則指出，“工業機器人目前沒有可靠的安全手段，除非對它們的使用進行規範，否則無法保護工人免受它們的傷害”。例如，日本勞動省（Sugimoto 1987）對 190 家被調查工廠（4,341 台工作機器人）的工業機器人相關事故進行的調查結果顯示，有 300 起與機器人有關的騷亂，其中 37 起不安全行為造成的險情9起，傷亡事故2起。其他研究的結果表明，基於計算機的自動化不一定會提高整體安全水平，因為系統硬件不能僅通過計算機軟件中的安全功能實現故障安全，而且系統控制器並不總是高度可靠的。此外，在復雜的 HAS 中，不能完全依賴安全傳感設備來檢測危險情況並採取適當的危險規避策略。

自動化對人類健康的影響

如上所述，許多 HAS 環境中的工人活動基本上是監督控制、監視、系統支持和維護。這些活動也可以分為以下四個基本組：(1) 編程任務，即對指導和指導機器操作的信息進行編碼，(2) 監控 HAS 生產和控制組件，(3) 維護 HAS 組件以防止或減輕機器故障，以及 (4) 執行各種支持任務等。最近許多關於 HAS 對工人福祉影響的評論得出的結論是，儘管在製造區域使用 HAS 可以消除繁重和危險的任務，在 HAS 環境中工作可能會讓工人感到不滿和壓力。壓力來源包括許多 HAS 應用程序所需的持續監控、分配活動的有限範圍、系統設計允許的低水平工人互動，以及與設備不可預測和不可控制的性質相關的安全隱患。儘管一些參與編程和維護活動的工人感受到挑戰的因素，這可能對他們的幸福產生積極影響，但這些影響往往被這些活動的複雜性和要求性以及壓力所抵消管理層施加壓力以快速完成這些活動。

儘管在某些 HAS 環境中，人類操作員在正常操作條件下遠離傳統能源（機器的工作流和運動），但自動化系統中的許多任務仍然需要與其他能源直接接觸來執行。由於不同 HAS 組件的數量不斷增加，必須特別強調工人的舒適性和安全性以及製定有效的傷害控制措施，特別是考慮到工人不再能夠跟上此類系統的精密性和復雜性。

為了滿足當前在計算機集成製造系統中對傷害控制和工人安全的需求，ISO 工業自動化系統委員會提出了名為“集成製造系統安全”(1991) 的新安全標準。這項新的國際標準是為了認識到集成工業機器和相關設備的集成製造系統中存在的特殊危險而製定的，旨在最大限度地減少人員在集成製造系統上或附近工作時受傷的可能性。本標準確定的 CIM 中對操作人員潛在危害的主要來源如圖 1 所示。

圖 1. 計算機集成製造 (CIM) 中的主要危害源（根據 ISO 1991）

人為和系統錯誤

一般來說，HAS 中的危險可能來自系統本身、它與物理環境中存在的其他設備的關聯，或者來自人員與系統的交互。事故只是危險條件下可能出現的人機交互的幾種結果之一；附近事故和損壞事件更為常見（Zimolong 和 Duda 1992）。錯誤的發生可能導致以下後果之一：(1) 錯誤未被注意到，(2) 系統可以補償錯誤，(3) 錯誤導致機器故障和/或系統停止，或 (4 ) 錯誤導致事故。

由於並非導致重大事件的每個人為錯誤都會導致實際事故，因此進一步區分結果類別如下是適當的：(1) 不安全事件（即任何意外事件，無論它是否導致傷害、損壞或損失），(2) 事故（即導致傷害、損壞或損失的不安全事件），(3) 損壞事件（即僅導致某種物質損壞的不安全事件），(4)未遂事故或“險些發生”（即意外地以微弱優勢避免了傷害、損害或損失的不安全事件）和 (5) 存在事故隱患（即可能導致傷害、損害的不安全事件, 或損失, 但由於情況的原因, 甚至沒有導致事故)。

可以區分 HAS 中三種基本類型的人為錯誤：

基於技能的失誤
基於規則的錯誤
基於知識的錯誤。

這種由 Reason (1990) 設計的分類法是基於對上述 Rasmussen 的技能-規則-知識的人類績效分類的修改。在基於技能的層面上，人類的表現取決於存儲的預編程指令模式，這些指令表示為時空域中的模擬結構。基於規則的級別適用於解決熟悉的問題，其中解決方案由存儲的規則（稱為“生產”，因為它們是按需要訪問或生產的）管理的。這些規則要求做出某些診斷（或判斷），或採取某些補救措施，前提是出現了需要適當響應的某些情況。在這個層面上，人為錯誤通常與情況的錯誤分類有關，導致錯誤規則的應用或對後續判斷或程序的不正確回憶。基於知識的錯誤發生在必須使用有意識的分析過程和存儲的知識“在線”（在給定時刻）計劃行動的新情況中。此級別的錯誤源於資源限制和不完整或不正確的知識。

Reason (1990) 提出的通用錯誤建模系統 (GEMS) 試圖定位基本人為錯誤類型的起源，可用於推導 HAS 中人類行為的總體分類。 GEMS 尋求整合錯誤研究的兩個不同領域：(1) 失誤和失誤，其中由於執行失敗和/或存儲失敗導致行為偏離當前意圖，以及 (2) 錯誤，其中行為可能按計劃運行，但該計劃不足以實現其預期結果。

CIM 中的風險評估和預防

根據 ISO (1991)，應在 CIM 中進行風險評估，以盡量減少所有風險，並作為確定安全目標和製定計劃或計劃的基礎，以創造安全的工作環境並確保以及人員的安全和健康。例如，基於製造的 HAS 環境中的工作危險可表徵如下：(1) 操作人員在干擾恢復、服務和維護任務期間可能需要進入危險區域，(2) 危險區域難以確定，感知和控制，（3）工作可能是單調的，（4）計算機集成製造系統中發生的事故往往很嚴重。應評估每個已識別的危險的風險，並應確定和實施適當的安全措施以將風險降至最低。還應確定任何給定過程的以下所有方面的危害：單個單元本身；單個單元之間的交互；系統的操作部分；以及整個系統在所有預期操作模式和條件下的操作，包括正常安全措施因編程、驗證、故障排除、維護或修理等操作而暫停的條件。

CIM 的 ISO (1991) 安全策略的設計階段包括：

系統參數限制的規範
安全策略的應用
危害識別
評估相關風險
盡可能消除危害或降低風險。

系統安全規範應包括：

系統功能說明
系統佈局和/或模型
為調查不同工作流程和體力活動的相互作用而進行的一項調查的結果
過程序列分析，包括人工交互
與輸送機或運輸線的接口的描述
工藝流程圖
基礎計劃
供應和處置設備的計劃
確定供應和處置材料所需的空間
可用的事故記錄。

根據 ISO (1991)，在系統安全規劃程序的設計中需要考慮確保 CIM 系統安全運行的所有必要要求。這包括所有有效減少危害的保護措施，並要求：

人機界面整合
早期定義系統工作人員的位置（時間和空間）
儘早考慮減少孤立工作的方法
環境方面的考慮。

安全規劃程序應解決以下 CIM 安全問題：

系統運行模式的選擇. 控制設備應至少提供以下操作模式：(1) 正常或生產模式（即所有正常安全裝置連接並運行），(2) 一些正常安全裝置暫停運行，以及 (3) 在正常運行模式下運行哪個系統或遠程手動啟動危險情況被阻止（例如，在本地操作或電源隔離或危險情況的機械阻塞的情況下）。
培訓、安裝、調試和功能測試. 當需要人員進入危險區域時，控制系統應提供以下安全措施：（1）保持運行，（2）啟動裝置，（3）減速，（4）減小功率和（5） ) 可移動的急停裝置。
系統編程、維護和維修中的安全. 在編程期間，只允許程序員進入受保護的空間。系統應有適當的檢查和維護程序，以確保系統持續按預期運行。檢查和維護計劃應考慮系統供應商和系統各要素供應商的建議。幾乎無需提及，對系統進行維護或修理的人員應該接受執行所需任務所需程序的培訓。
故障排除. 如果需要從安全空間內部排除故障，則應在安全斷開後（或者，如果可能，在啟動鎖定機制後）執行。應採取額外措施防止危險情況的錯誤啟動。如果系統的某些部分或相鄰系統的機器或機器在故障消除過程中可能發生危險，則這些機器也應停止運行並防止意外啟動。對於不能完全觀察的系統部件，應通過指示和警示標誌注意排除故障。

系統干擾控制

在計算機集成製造領域中使用的許多 HAS 安裝中，通常需要人工操作員來執行控制、編程、維護、預設、維修或故障排除任務。系統中的干擾導致工人必須進入危險區域的情況。在這方面，可以假設干擾仍然是 CIM 中人為乾擾的最重要原因，因為系統通常是從限制區域之外進行編程的。 CIM 安全最重要的問題之一是防止干擾，因為大多數風險發生在系統的故障排除階段。就安全性和成本效益而言，避免干擾是共同的目標。

CIM 系統中的干擾是偏離計劃或期望狀態的系統狀態或功能。除了生產力之外，CIM 運行期間的干擾還會直接影響系統運行人員的安全。芬蘭的一項研究（Kuivanen 1990）表明，自動化製造中大約一半的干擾會降低工人的安全。干擾的主要原因是系統設計錯誤（34%）、系統組件故障（31%）、人為錯誤（20%）和外部因素（15%）。大多數機器故障是由控制系統引起的，而在控制系統中，大多數故障發生在傳感器上。提高 CIM 裝置安全級別的有效方法是減少干擾次數。儘管受干擾系統中的人為行為防止了 HAS 環境中事故的發生，但他們也助長了事故。例如，一項與技術控制系統故障相關的事故研究表明，大約三分之一的事故序列包括人為乾預受干擾系統的控制迴路。

CIM干擾預防的主要研究問題涉及（1）干擾的主要原因，（2）不可靠的組件和功能，（3）干擾對安全的影響，（4）干擾對系統功能的影響，（ 5) 材料損壞和 (6) 修理。 HAS 的安全性應在系統設計階段儘早規劃，適當考慮技術、人員和組織，並成為整個 HAS 技術規劃過程的組成部分。

HAS 設計：未來的挑戰

為確保上述混合自動化系統的最大優勢，需要更廣闊的系統開發願景，即基於人員、組織和技術集成的願景。此處應應用三種主要類型的系統集成：

人的整合，通過確保他們之間的有效溝通
人機一體化，通過設計合適的界面和人機交互
技術整合，通過確保機器之間的有效接口和交互。

混合自動化系統的最低設計要求應包括以下內容：(1) 靈活性，(2) 動態適應性，(3) 改進的響應能力，以及 (4) 激勵人們並更好地利用他們的技能、判斷力和經驗的需要. 上述還要求開發 HAS 組織結構、工作實踐和技術，以允許系統各個級別的人員調整他們的工作策略以適應各種系統控制情況。因此，HAS 的組織、工作實踐和技術必須作為開放系統進行設計和開發（Kidd 1994）。

開放式混合自動化系統 (OHAS) 是一種從其環境接收輸入並將輸出發送到其環境的系統。開放系統的思想不僅可以應用於系統架構和組織結構，還可以應用於工作實踐、人機界面以及人與技術之間的關係：例如，可以提到調度系統、控制系統和決策支持系統。當一個開放系統允許人們有很大的自由度來定義操作系統的模式時，它也是一個自適應系統。例如，在先進製造領域，開放式混合自動化系統的需求可以通過以下概念實現 人機一體化製造 (HCIM)。在這種觀點下，技術設計應解決整體 HCIM 系統架構，包括以下內容：（1）組網絡的考慮，（2）每個組的結構，（3）組之間的交互，（4）支撐軟件的性質和（5）支撐軟件模塊之間的技術交流和集成需求。

與封閉系統相反，自適應混合自動化系統不限制人工操作員可以做什麼。 HAS 設計者的角色是創建一個系統，該系統將滿足用戶的個人喜好並允許其用戶以他們認為最合適的方式工作。允許用戶輸入的先決條件是開發適應性設計方法——即允許在設計過程中實施啟用的、計算機支持的技術的 OHAS。開發適應性設計方法的需要是在實踐中實現 OHAS 概念的直接要求之一。還需要開發新水平的自適應人類監督控制技術。這種技術應該允許人類操作員“看透”原本看不見的 HAS 控制系統的功能——例如，通過在系統控制和操作的每個點應用交互式高速視頻系統。最後，還非常需要一種用於在混合自動化系統中開發智能和高度適應性、基於計算機的人類角色和人類功能支持的方法。

出版於 58. 安全應用

第2頁

" 免責聲明：國際勞工組織不對本門戶網站上以英語以外的任何其他語言呈現的內容負責，英語是原始內容的初始製作和同行評審所使用的語言。自此以來，某些統計數據尚未更新百科全書第 4 版的製作（1998 年）。”

兒童類

目錄

檯

人物

目錄

檯

人物

目錄

檯

人物

目錄

檯

人物

目錄

檯

人物

更多...

內容