轉(zhuǎn)載。

開場案例

2025年初，華南某五金加工廠發(fā)生了一起值得深思的未遂事故。

一臺(tái)200噸沖床在更換模具后試運(yùn)行，操作工發(fā)現(xiàn)送料機(jī)構(gòu)卡料，伸手去調(diào)整——手指剛碰到模具邊緣，沖頭突然下行。操作工本能地拍向急停按鈕，沖頭在離手指約2cm處停住了。

事后檢查，急停回路確實(shí)切斷了主電源，但問題是：沖頭從拍下急停到真正停止，花了大約680ms。

該工位急停響應(yīng)時(shí)間的設(shè)計(jì)目標(biāo)值是≤100ms（含PLC掃描周期+接觸器斷開時(shí)間+制動(dòng)器動(dòng)作時(shí)間）。而實(shí)際680ms意味著：以操作工手部移動(dòng)速度1.6m/s估算，680ms內(nèi)手已經(jīng)前進(jìn)了約1.09m——遠(yuǎn)遠(yuǎn)超出設(shè)計(jì)余量。

拆開急停控制系統(tǒng)后，審計(jì)人員發(fā)現(xiàn)了四個(gè)嚴(yán)重問題：

1. 急停按鈕接線采用了"菊花鏈"串聯(lián)——4個(gè)急停按鈕串在一個(gè)觸點(diǎn)上，導(dǎo)線總長度超過40m，電磁干擾導(dǎo)致PLC輸入信號(hào)抖動(dòng)。
2. 急停回路中串聯(lián)了一個(gè)中繼繼電器——某位工程師覺得"信號(hào)太弱"，加裝了一個(gè)中間繼電器放大信號(hào)，但該繼電器未通過安全認(rèn)證。
3. 安全接觸器的反饋觸點(diǎn)在三個(gè)月前被短接了——因?yàn)?老是報(bào)錯(cuò)停機(jī)影響產(chǎn)能"，電工直接跳過了反饋回路。
4. 該設(shè)備從投產(chǎn)至今，從未做過急停響應(yīng)時(shí)間測試——所有人都默認(rèn)"按下去機(jī)器會(huì)停"就是正常。

這并非孤例。據(jù)行業(yè)第三方認(rèn)證機(jī)構(gòu)近年對國內(nèi)數(shù)百條產(chǎn)線的功能安全審計(jì)統(tǒng)計(jì)，約67%的產(chǎn)線存在至少三項(xiàng)急停系統(tǒng)不符合項(xiàng)，其中約22%的產(chǎn)線存在可能直接導(dǎo)致人員傷亡的嚴(yán)重不符合項(xiàng)。

今天這篇，我們系統(tǒng)梳理急停系統(tǒng)現(xiàn)場審計(jì)中最常見的50項(xiàng)不符合項(xiàng)，按五大類別逐一拆解。供大家在做安全檢查或設(shè)備驗(yàn)收時(shí)逐條對照參考。

一、審計(jì)方法論說明

本文中的50項(xiàng)不符合項(xiàng)按以下五大維度分類，每類10項(xiàng)：

每項(xiàng)不符合項(xiàng)標(biāo)注嚴(yán)重程度（高/中/低），方便您審計(jì)時(shí)分級(jí)管理。

二、電氣設(shè)計(jì)不符合項(xiàng)（E01–E10）

E01 ? 急停按鈕采用常開觸點(diǎn)（NO）? 嚴(yán)重度：高

現(xiàn)象： 選用常開觸點(diǎn)作為急停輸入信號(hào)。

為什么不行： 急停按鈕必須是常閉（NC）觸點(diǎn)，斷線或觸點(diǎn)失效時(shí)，回路開路可被檢測為急停觸發(fā)。用常開觸點(diǎn)的話，斷線等于"一切正常"——最危險(xiǎn)的失效模式。

正確做法： 選用符合IEC 60947-5-5的急停按鈕，NC觸點(diǎn)（強(qiáng)制斷開機(jī)構(gòu)），直接斷線導(dǎo)向安全狀態(tài)。

E02 ? 多個(gè)急停按鈕串聯(lián)時(shí)線纜過長 ? 嚴(yán)重度：中

現(xiàn)象： 2個(gè)以上急停按鈕在同一個(gè)輸入觸點(diǎn)上串聯(lián)成"菊花鏈"，總導(dǎo)線長度超過30m。

為什么不行： 長線纜的分布電容和電感會(huì)導(dǎo)致PLC輸入信號(hào)抖動(dòng)或延遲，尤其在接觸器通斷產(chǎn)生的電磁干擾環(huán)境中。有同事會(huì)為省I/O點(diǎn)數(shù)把所有急停串在一起，但超過一定長度后可靠性無法保證。

正確做法： 每個(gè)急停按鈕建議使用獨(dú)立輸入點(diǎn)，或按區(qū)域分組后使用安全輸入模塊（帶線路診斷功能）。

E03 ? 急停回路中串聯(lián)非安全繼電器 ? 嚴(yán)重度：高

現(xiàn)象： 在急停信號(hào)路徑中加裝普通中間繼電器作為"信號(hào)放大"或"信號(hào)轉(zhuǎn)接"。

為什么不行： 普通繼電器的觸點(diǎn)可能發(fā)生熔焊失效，且缺乏自檢功能。熔焊后急停信號(hào)被旁路，按了急停也斷不開電路。

正確做法： 需要信號(hào)轉(zhuǎn)接時(shí)，使用帶強(qiáng)制導(dǎo)向觸點(diǎn)（Forcibly Guided Contacts）的安全繼電器，或使用安全PLC的專用安全輸入模塊。

E04 ? 安全接觸器反饋觸點(diǎn)被短接 ? 嚴(yán)重度：高

現(xiàn)象： 安全接觸器的輔助反饋觸點(diǎn)（EDM/反饋回路）被短接跳線，PLC檢測不到接觸器是否正常斷開。

原因： "老報(bào)錯(cuò)停機(jī)，一查是反饋觸點(diǎn)接觸不良，拍一下就好——索性短接了。"——有同事因?yàn)榉答伝芈放紶柟收希瑘D省事直接旁路。

正確做法： 反饋觸點(diǎn)用于監(jiān)控接觸器是否正常吸合/斷開。接觸不良說明接觸器本身需要更換，而不是旁路反饋。

E05 ? 急停輸出驅(qū)動(dòng)非安全接觸器 ? 嚴(yán)重度：高

現(xiàn)象： 急停信號(hào)接入普通PLC輸出模塊，驅(qū)動(dòng)普通接觸器切斷電源。

為什么不行： 普通接觸器可能發(fā)生觸點(diǎn)熔焊，急停觸發(fā)后接觸器仍然吸合，動(dòng)力持續(xù)輸出。PLC輸出模塊也可能故障（輸出卡死在高電平）。

正確做法： 急停信號(hào)必須通過安全繼電器或安全PLC的安全輸出模塊，驅(qū)動(dòng)帶強(qiáng)制導(dǎo)向觸點(diǎn)的安全接觸器。

E06 ? 急停只切斷主電源，不切斷控制電源 ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕只控制主接觸器，伺服驅(qū)動(dòng)、PLC電源、安全模塊電源等控制回路持續(xù)帶電。

為什么不行： 控制回路帶電意味著設(shè)備可能處于"半斷電"狀態(tài)。伺服驅(qū)動(dòng)的儲(chǔ)能電容、氣動(dòng)閥的電磁線圈仍在待機(jī)。維修人員進(jìn)入設(shè)備區(qū)域時(shí)存在電擊和意外啟動(dòng)風(fēng)險(xiǎn)。

正確做法： 急停應(yīng)切斷設(shè)備的所有危險(xiǎn)能源（主電源+控制電源），或至少確保控制電源不會(huì)導(dǎo)致危險(xiǎn)動(dòng)作。

E07 ? 急停回路未遵循冗余架構(gòu)要求 ? 嚴(yán)重度：中

現(xiàn)象： 要求PLr/SILr達(dá)到PL d / SIL 2的急停回路，實(shí)際只用了單通道結(jié)構(gòu)（Category 1）。

為什么不行： ISO 13849-1根據(jù)風(fēng)險(xiǎn)評估確定所需的PL（Performance Level）。Cat 1屬于單通道無診斷覆蓋（DC=none）的結(jié)構(gòu)，無法滿足PL d及以上等級(jí)對診斷能力和抗單點(diǎn)故障的要求。

正確做法： 根據(jù)風(fēng)險(xiǎn)評估結(jié)果選用合適的Category結(jié)構(gòu)。PL d至少需要雙通道（Cat 3或Cat 4）或高DC的單通道（高度可靠元件+自檢）。

E08 ? 急停復(fù)位后設(shè)備自動(dòng)重啟 ? 嚴(yán)重度：高

現(xiàn)象： 急停按鈕拉出復(fù)位后，機(jī)器立即自行啟動(dòng)，不需要操作人員手動(dòng)確認(rèn)。

為什么不行： IEC 60204-1 §9.2.5.4 明確要求：急停復(fù)位不得引發(fā)設(shè)備的任何重新啟動(dòng)。自動(dòng)重啟可能導(dǎo)致操作工在不知道的情況下被卷入。

正確做法： 急停復(fù)位僅解除停止?fàn)顟B(tài)，必須通過單獨(dú)的"啟動(dòng)"指令手動(dòng)確認(rèn)后，設(shè)備才能恢復(fù)運(yùn)行。且恢復(fù)運(yùn)行前應(yīng)發(fā)出聲光警報(bào)。

E09 ? 急停回路中混入其他功能信號(hào) ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕的觸點(diǎn)上額外串聯(lián)了限位開關(guān)、安全門開關(guān)或其他非急停信號(hào)。

為什么不行： 這相當(dāng)于讓非急停功能控制了急停回路。限位開關(guān)故障會(huì)導(dǎo)致急停回路斷開（誤停機(jī)），而不是真正的急停動(dòng)作。

正確做法： 急停回路必須是獨(dú)立的，不含任何其他功能元件的觸點(diǎn)。

E10 ? 使用端子排連接急停信號(hào) ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕的導(dǎo)線通過標(biāo)準(zhǔn)端子排（非防松型）進(jìn)行轉(zhuǎn)接。

為什么不行： 端子排螺絲可能因振動(dòng)而松動(dòng)，導(dǎo)致接觸不良。在急停回路中，松動(dòng)的端子就等于間歇性斷線。

正確做法： 急停信號(hào)線應(yīng)使用壓接端子、防松螺釘或彈簧夾持式端子，并納入每日/每周點(diǎn)檢范圍。

三、機(jī)械安裝不符合項(xiàng)（M01–M10）

M01 ? 急停按鈕安裝位置無法被快速觸及 ? 嚴(yán)重度：高

現(xiàn)象： 急停按鈕安裝在設(shè)備后側(cè)、操作面板下方、或者被管道、料斗遮擋。

為什么不行： ISO 13850 §4.1 要求急停按鈕必須在所有危險(xiǎn)區(qū)域的操作者都能快速觸及的位置。操作工右手正在工作區(qū)域，急停按鈕卻在身后1.5m外——真出了事根本來不及。

正確做法： 每臺(tái)設(shè)備至少安裝一個(gè)急停按鈕，且位于顯眼、無遮擋、操作者在工作姿勢下可直接觸及的位置。大型設(shè)備（長度超過5m）應(yīng)在兩端各裝一個(gè)。

M02 ? 急停按鈕安裝高度不符合人體工學(xué) ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕安裝在離地2m以上（或低于膝蓋位置）。

為什么不行： 人的自然拍擊動(dòng)作范圍在腰部到肩部之間（約0.8m–1.5m）。安裝太高或太低都會(huì)顯著增加反應(yīng)時(shí)間。

正確做法： 急停按鈕安裝高度建議為0.8m–1.5m（站立操作）或0.6m–1.2m（坐姿操作）。

M03 ? 蘑菇頭按鈕直徑過小 ? 嚴(yán)重度：中

現(xiàn)象： 使用直徑小于30mm的蘑菇頭按鈕（或普通平按鈕充當(dāng)急停）。

為什么不行： ISO 13850 §4.2 和 IEC 60947-5-5 要求急停按鈕操作器直徑≥30mm（推薦40mm），確保在緊急情況下手掌拍擊可以可靠觸發(fā)。

正確做法： 選用直徑40mm的蘑菇頭紅色急停按鈕，符合ISO 13850和IEC 60947-5-5。

M04 ? 急停按鈕缺乏防護(hù)環(huán) ? 嚴(yán)重度：低

現(xiàn)象： 急停按鈕直接裸露在面板上，側(cè)面可能被硬物或操作工的身體無意觸碰。

為什么不行： 雖然急停觸發(fā)不是問題（觸發(fā)了就停機(jī)），但頻繁誤觸發(fā)會(huì)影響生產(chǎn)效率，進(jìn)而誘導(dǎo)操作工采取措施"防止誤觸發(fā)"（比如用膠帶粘住急停）。

正確做法： 根據(jù)安裝位置風(fēng)險(xiǎn)，在急停按鈕周圍加裝防護(hù)環(huán)或凹陷安裝，防止誤觸碰。

M05 ? 急停按鈕操作力不達(dá)標(biāo) ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕按下的力超過30N（約3kg），或者力太小完全沒手感就觸發(fā)了。

為什么不行： 常見急停按鈕的操作力在10N–30N之間（具體以產(chǎn)品樣本為準(zhǔn)），既要防止誤觸發(fā)，又要確保緊急情況下可靠按下。太費(fèi)力（如40N以上）在緊急情況下可能按不下去。

正確做法： 選用符合IEC 60947-5-5的急停按鈕，檢查產(chǎn)品手冊確認(rèn)操作力參數(shù)。

M06 ? 急停按鈕未保持在鎖定位置 ? 嚴(yán)重度：高

現(xiàn)象： 按下急停按鈕后，按鈕自動(dòng)彈回（瞬時(shí)動(dòng)作型），不保持鎖定狀態(tài)。

為什么不行： ISO 13850 §4.3 要求急停按鈕必須具有鎖定功能（Push-to-Lock），按下后機(jī)械保持狀態(tài)，不能自動(dòng)復(fù)位。松開手的瞬時(shí)動(dòng)作無法保證安全狀態(tài)持續(xù)保持。

正確做法： 急停按鈕必須具有機(jī)械鎖存功能，按下后保持?jǐn)嚅_狀態(tài)，需手動(dòng)旋轉(zhuǎn)/拉出復(fù)位。

M07 ? 旋轉(zhuǎn)復(fù)位方向不一致 ? 嚴(yán)重度：低

現(xiàn)象： 同一產(chǎn)線上，部分急停按鈕順時(shí)針旋轉(zhuǎn)復(fù)位，部分逆時(shí)針旋轉(zhuǎn)復(fù)位。

為什么不行： ISO 13850 §4.5 建議復(fù)位操作方向應(yīng)統(tǒng)一為順時(shí)針旋轉(zhuǎn)（或拉出復(fù)位），統(tǒng)一方向有助于緊急情況下的直覺操作。

正確做法： 選型時(shí)統(tǒng)一復(fù)位方式，建議采用拉出復(fù)位（Pull-to-Release）或順時(shí)針旋轉(zhuǎn)復(fù)位，并確保全廠統(tǒng)一。

M08 ? 急停按鈕防護(hù)等級(jí)不足 ? 嚴(yán)重度：中

現(xiàn)象： 急停按鈕的IP防護(hù)等級(jí)低于設(shè)備所在環(huán)境的粉塵/濕度要求。

為什么不行： 粉塵車間（IP6X環(huán)境下）使用IP54的急停按鈕，粉塵進(jìn)入按鈕內(nèi)部后可能卡住機(jī)械機(jī)構(gòu)，導(dǎo)致按下后無法保持或復(fù)位后觸點(diǎn)不能恢復(fù)。

正確做法： 根據(jù)設(shè)備環(huán)境選擇IP等級(jí)。一般工業(yè)環(huán)境≥IP54，粉塵/潮濕環(huán)境≥IP65，沖洗環(huán)境≥IP67。

M09 ? 急停按鈕數(shù)量不足 ? 嚴(yán)重度：高

現(xiàn)象： 長輸送線（15m）只在設(shè)備起點(diǎn)安裝了一個(gè)急停按鈕。

為什么不行： ISO 13850 §4.1 要求"每個(gè)危險(xiǎn)區(qū)域都應(yīng)有至少一個(gè)急停裝置"。在中段或末端發(fā)生事故時(shí)，操作工需要跑到起點(diǎn)才能觸發(fā)急停，幾秒鐘的跑動(dòng)時(shí)間可能就是受傷和安全的區(qū)別。

正確做法： 輸送線每5–8m設(shè)一個(gè)急停拉線或按鈕。大型設(shè)備按每個(gè)操作工位一個(gè)的原則配置。

M10 ? 急停拉線（Rope Pull）張緊不當(dāng) ? 嚴(yán)重度：中

現(xiàn)象： 拉線式急停的鋼絲繩張緊力過松（垂度過大）或過緊（接近斷裂）。

為什么不行： 張緊力不足時(shí)拉動(dòng)拉線無法觸發(fā)急停，過緊則鋼絲繩易斷或加速滾輪磨損。

正確做法： 按產(chǎn)品手冊設(shè)定張緊力（一般30N–100N之間），定期檢查鋼絲繩磨損和張力。

四、程序邏輯不符合項(xiàng)（P01–P10）

P01 ? 急停在PLC程序中被"延時(shí)處理" ? 嚴(yán)重度：高

現(xiàn)象： PLC程序中對急停輸入信號(hào)施加了定時(shí)器延時(shí)（如TON 200ms），理由是"防止振動(dòng)誤觸發(fā)"。

為什么不行： 急停信號(hào)必須立即響應(yīng)，任何有意施加的延遲都可能導(dǎo)致安全距離不足。真正的防抖動(dòng)應(yīng)在硬件層面處理，而不是軟件延遲。

正確做法： 急停輸入在PLC程序中使用即時(shí)中斷處理（或安全PLC的專用安全輸入點(diǎn)），不得施加軟件延時(shí)。

P02 ? 急停信號(hào)在程序中被"取反" ? 嚴(yán)重度：高

現(xiàn)象： 程序中將急停NC輸入的信號(hào)取反（NOT），用于指示"急停被觸發(fā)"的狀態(tài)位。

為什么不行： 急停信號(hào)取反本身不是問題（NC斷開=急停觸發(fā)），但急停邏輯分散在多個(gè)程序段、多個(gè)FB/FC中各自處理時(shí)，容易出現(xiàn)版本不一致或邏輯覆蓋。尤其在遠(yuǎn)程I/O通信中斷時(shí)，非安全程序段處理過的信號(hào)可能被誤判為"一切正常"，而真正的急停觸發(fā)卻被程序邏輯屏蔽。

正確做法： 急停信號(hào)在程序中使用專用功能塊封裝，統(tǒng)一處理觸發(fā)、保持和復(fù)位邏輯，不分散在多個(gè)程序段中手動(dòng)取反。

P03 ? 復(fù)位邏輯未要求手動(dòng)確認(rèn) ? 嚴(yán)重度：中

現(xiàn)象： 急停復(fù)位后，PLC自動(dòng)恢復(fù)輸出，不需要操作人員按"啟動(dòng)/確認(rèn)"按鈕。

為什么不行： 同上E08，IEC 60204-1 §9.2.5.4 要求急停復(fù)位不得自動(dòng)重啟。

正確做法： 急停復(fù)位后，必須有一個(gè)獨(dú)立的手動(dòng)操作（如按"啟動(dòng)"按鈕）才能恢復(fù)運(yùn)行。且啟動(dòng)前應(yīng)有聲音或視覺警示（如蜂鳴器+指示燈閃爍）。

P04 ? 急停功能未做周期性自檢 ? 嚴(yán)重度：高

現(xiàn)象： 安全PLC的安全功能自檢周期（Test Pulse Interval）配置過長（如超過1小時(shí)），或未開啟自檢功能。

為什么不行： 根據(jù)IEC 61508和ISO 13849-1，安全功能需要定期執(zhí)行自檢以發(fā)現(xiàn)潛在故障（Latent Fault）。自檢周期過長意味著故障從發(fā)生到被發(fā)現(xiàn)的時(shí)間（Mean Time To Detection）過長。

正確做法： 安全PLC的安全功能自檢周期應(yīng)根據(jù)診斷覆蓋率（DC）和系統(tǒng)類別設(shè)定。以Siemens F-PLC為例，默認(rèn)自檢周期應(yīng)≤對應(yīng)安全等級(jí)的要求。

P05 ? 安全PLC未做F-Runtime監(jiān)控 ? 嚴(yán)重度：中

現(xiàn)象： 使用安全PLC但未配置故障安全運(yùn)行時(shí)間監(jiān)控（F-monitoring time）。安全PLC程序運(yùn)行異常時(shí)不會(huì)觸發(fā)安全關(guān)閉。

正確做法： 配置F-Runtime監(jiān)控，設(shè)置合理的看門狗時(shí)間，確保程序跑飛時(shí)可被檢測。

P06 ? 急停觸發(fā)了非必要的設(shè)備停機(jī) ? 嚴(yán)重度：低

現(xiàn)象： 按下A設(shè)備急停，導(dǎo)致整條生產(chǎn)線（B、C、D設(shè)備）全部停機(jī)，即使B/C/D設(shè)備有獨(dú)立的安全防護(hù)。

為什么不行： 雖然安全（停機(jī)了比不停安全），但整線急停導(dǎo)致的反復(fù)重新啟動(dòng)（包括烘箱升溫、真空泵排氣、坐標(biāo)歸零等）浪費(fèi)大量時(shí)間，影響產(chǎn)能。這反過來會(huì)誘導(dǎo)現(xiàn)場人員規(guī)避急停使用。

正確做法： 按區(qū)域和設(shè)備獨(dú)立設(shè)置急停范圍。A設(shè)備急停只切斷A設(shè)備的危險(xiǎn)能源，并通過聯(lián)鎖信號(hào)通知上下游設(shè)備"A已停止"，上下游設(shè)備根據(jù)自身安全邏輯決定是否繼續(xù)運(yùn)行。

P07 ? 急停動(dòng)作后未記錄事件 ? 嚴(yán)重度：低

現(xiàn)象： 每次急停觸發(fā)后，PLC中無事件記錄、無時(shí)間戳、無歸屬識(shí)別（誰按的/為什么按）。

為什么不行： 缺乏急停事件記錄就無法分析急停使用模式和趨勢。頻繁的急停可能暗示設(shè)備本身存在安全設(shè)計(jì)缺陷（操作工用急停來"正常停機(jī)"）。

正確做法： 在HMI或上位機(jī)中記錄急停觸發(fā)時(shí)間、復(fù)位時(shí)間、觸發(fā)源（哪個(gè)按鈕），定期分析急停事件分布。

P08 ? 安全PLC程序中混用了非安全指令 ? 嚴(yán)重度：高

現(xiàn)象： 在安全PLC的F-Runtime（故障安全運(yùn)行時(shí)）中使用MOVE、JMP等非安全認(rèn)證的標(biāo)準(zhǔn)指令。

為什么不行： 安全PLC的F-Runtime只能使用安全認(rèn)證的指令集（如Siemens F-LAD/FBD中的SFxxx指令），非安全指令未經(jīng)過安全評估，可能在特定條件下產(chǎn)生非預(yù)期行為。

正確做法： 嚴(yán)格區(qū)分F-Runtime和Standard Runtime。安全功能只使用安全認(rèn)證指令。

P09 ? 急停響應(yīng)時(shí)間未經(jīng)驗(yàn)證 ? 嚴(yán)重度：高

現(xiàn)象： 設(shè)計(jì)階段的急停響應(yīng)時(shí)間計(jì)算值是100ms，但從未在實(shí)際設(shè)備上做過響應(yīng)時(shí)間測量。

為什么不行： 一個(gè)"100ms"的急停系統(tǒng)，經(jīng)過老化后可能變成500ms。接觸器線圈老化、制動(dòng)器磨損、PLC掃描周期漂移等因素都會(huì)導(dǎo)致響應(yīng)時(shí)間延長。

正確做法： 使用示波器或安全分析儀測量從急停按下到動(dòng)力完全切斷的總時(shí)間（ESTOP Response Time）。至少每年測試一次并記錄。

P10 ? 安全PLC與非安全PLC共享機(jī)架時(shí)隔離不足 ? 嚴(yán)重度：中

現(xiàn)象： 安全PLC模塊和非安全PLC模塊在同一機(jī)架上混裝，未做電氣隔離。

為什么不行： 非安全I(xiàn)/O模塊的故障（如短路、過壓）可能通過背板總線影響安全PLC模塊。

正確做法： 安全PLC和非安全PLC建議使用獨(dú)立機(jī)架，或使用隔離模塊（如Siemens的電源隔離器）。

五、管理維護(hù)不符合項(xiàng)（A01–A10）

A01 ? 急停按鈕從未做過功能測試 ? 嚴(yán)重度：高

現(xiàn)象： 設(shè)備投產(chǎn)3年，急停按鈕從未被實(shí)際按下測試過（"按了怕停，停了怕起不來"）。

為什么不行： 一個(gè)3年沒被按下過的急停按鈕，內(nèi)部的觸點(diǎn)可能已經(jīng)氧化、腐蝕或卡滯。真正需要它的時(shí)候，可能按下去了但觸點(diǎn)沒有斷開。

正確做法： 每周至少進(jìn)行一次急停功能測試——實(shí)際按下按鈕，確認(rèn)設(shè)備完全停止，確認(rèn)復(fù)位后不能自動(dòng)重啟。

A02 ? 測試時(shí)只按按鈕不驗(yàn)證實(shí)際停機(jī) ? 嚴(yán)重度：中

現(xiàn)象： 測試人員只在操作面板上按下急停按鈕，面板上的指示燈滅了就認(rèn)為"測試通過"，不去檢查設(shè)備是否真的停機(jī)。

為什么不行： 指示燈滅只意味著PLC收到了信號(hào)，不等于主接觸器真正斷開了。接觸器可能熔焊。

正確做法： 測試時(shí)必須在安全距離外觀察或通過設(shè)備反饋（電流表歸零、電機(jī)停止轉(zhuǎn)動(dòng)、制動(dòng)器動(dòng)作聲音）確認(rèn)動(dòng)力已完全切斷。

A03 ? 急停測試記錄缺失或不完善 ? 嚴(yán)重度：中

現(xiàn)象： 沒有書面記錄證明什么時(shí)間、誰做了急停測試、測試結(jié)果如何。

為什么不行： 審計(jì)時(shí)無法證明急停功能處于持續(xù)受控狀態(tài)。出了事故在法律和標(biāo)準(zhǔn)上難以自證清白。

正確做法： 建立急停測試臺(tái)賬，記錄每次測試的日期、測試人、測試方法、測試結(jié)果和異常處理情況。

A04 ? 急停按鈕外觀檢查走過場 ? 嚴(yán)重度：低

現(xiàn)象： 點(diǎn)檢表上寫著"檢查急停按鈕外觀是否完好"，檢查員看了一眼"按鈕還在"就勾了正常。

為什么不行： 按鈕外觀完好不等于內(nèi)部觸點(diǎn)正常、彈簧正常、閉鎖機(jī)構(gòu)正常。

正確做法： 外觀檢查應(yīng)包括：蘑菇頭無裂紋/損壞、標(biāo)牌清晰、復(fù)位操作力正常、按下后可靠鎖定、接線端子無松動(dòng)。

A05 ? 急停按鈕被"違停裝置"遮擋/包圍 ? 嚴(yán)重度：高

現(xiàn)象： 急停按鈕周圍堆滿了工具、物料、包裝箱，甚至被操作工用膠帶貼了"別按"的字條。

為什么不行： 任何阻礙快速觸及急停裝置的行為都是嚴(yán)重的違規(guī)。有同事為了方便作業(yè)，會(huì)在急停按鈕前方臨時(shí)放一個(gè)料箱——但真出了事，這幾秒鐘的搬箱時(shí)間可能就是截肢和安全的區(qū)別。

正確做法： 急停按鈕前方和周圍至少保持300mm無障礙空間。定期巡查，發(fā)現(xiàn)遮擋立即清除。

A06 ? 急停按鈕被人為固定/旁路 ? 嚴(yán)重度：高

現(xiàn)象： 急停按鈕用扎帶綁住、用膠帶粘住、或用工具卡住使其處于"按下"或"釋放"狀態(tài)。

為什么不行： 這是最嚴(yán)重的人為繞過安全功能行為之一。常見原因是"急停太容易誤觸了"或"維修完了忘了恢復(fù)"。

正確做法： 急停誤觸問題是設(shè)計(jì)缺陷（位置/防護(hù)環(huán)/操作力不匹配），應(yīng)從設(shè)計(jì)層面解決，而不是人為旁路急停功能。

A07 ? 同一臺(tái)設(shè)備多個(gè)急停按鈕動(dòng)作不一致 ? 嚴(yán)重度：中

現(xiàn)象： 某臺(tái)設(shè)備有3個(gè)急停按鈕，按下A急停設(shè)備完全停止，按下B急停只停了電機(jī)但氣缸還在動(dòng)。

為什么不行： 所有急停按鈕必須實(shí)現(xiàn)相同的安全停止等級(jí)（Stop Category 0或Category 1一致性）。

正確做法： 統(tǒng)一全設(shè)備急停系統(tǒng)的停止等級(jí)（通常為Stop Category 0——立即切斷動(dòng)力），所有急停按鈕觸發(fā)相同的安全動(dòng)作。

A08 ? 急停按鈕改造后未重新驗(yàn)證 ? 嚴(yán)重度：高

現(xiàn)象： 設(shè)備改造（加裝工位、延長輸送線、更換電控柜）后增加了新的急停按鈕，但沒有重新做整個(gè)急停系統(tǒng)的功能驗(yàn)證。

為什么不行： 新增加的一個(gè)按鈕可能改變了整個(gè)回路的電阻、引入了新的故障模式。不只是測試新按鈕——新按鈕加入后，原有急停按鈕的響應(yīng)時(shí)間也可能變化。

正確做法： 每次涉及急停系統(tǒng)的改造（增加/更換按鈕、更換接觸器、修改安全程序），必須對整個(gè)急停系統(tǒng)做完整的功能測試和響應(yīng)時(shí)間驗(yàn)證。

A09 ? 急停備件管理混亂 ? 嚴(yán)重度：低

現(xiàn)象： 備件庫里的急停按鈕型號(hào)與現(xiàn)場不一致（蘑菇頭直徑不同、觸點(diǎn)配置不同、復(fù)位方式不同）。

為什么不行： 更換時(shí)可能裝不上，或者裝上后與原有按鈕不統(tǒng)一（部分順時(shí)針復(fù)位部分拉出復(fù)位），給使用造成混淆。

正確做法： 建立急停按鈕備件清單，確保備件型號(hào)與現(xiàn)場一致。更換時(shí)記錄更換原因和日期。

A10 ? 操作工未經(jīng)培訓(xùn)使用急停 ? 嚴(yán)重度：中

現(xiàn)象： 新員工上崗培訓(xùn)中不包含急停系統(tǒng)的使用說明。

為什么不行： 操作工不知道哪些情況應(yīng)該使用急停（"感覺不對就拍"）和哪些情況不應(yīng)該使用急停（正常停機(jī)使用正常停機(jī)程序）。該用不敢用、不該用亂用，都會(huì)引發(fā)安全風(fēng)險(xiǎn)。

正確做法： 上崗培訓(xùn)中至少應(yīng)包括：急停按鈕的位置、使用場景、按下后做什么、復(fù)位流程。

六、標(biāo)識(shí)文檔不符合項(xiàng)（D01–D10）

D01 ? 急停按鈕顏色不符合標(biāo)準(zhǔn) ? 嚴(yán)重度：中

現(xiàn)象： 使用了黃色、藍(lán)色或綠色的按鈕作為急停裝置。

為什么不行： IEC 60204-1 §10.2.1 和 ISO 13850 §5.1 明確要求：急停按鈕操作器必須是紅色，背景/底色必須是黃色。這是全球統(tǒng)一的顏色標(biāo)識(shí)，用于快速識(shí)別。

正確做法： 急停按鈕選擇紅色蘑菇頭+黃色底板/背景圈。

D02 ? 急停按鈕缺少功能標(biāo)識(shí)標(biāo)牌 ? 嚴(yán)重度：低

現(xiàn)象： 急停按鈕附近沒有文字標(biāo)識(shí)，或標(biāo)識(shí)已模糊不清。

為什么不行： 雖然沒有標(biāo)牌有經(jīng)驗(yàn)的操作工也知道是急停，但訪客、審計(jì)人員、新員工或應(yīng)急響應(yīng)人員可能無法第一時(shí)間確認(rèn)。

正確做法： 每個(gè)急停按鈕附近應(yīng)有清晰的標(biāo)牌（中文/英文），如"急停 / EMERGENCY STOP"。

D03 ? 急停按鈕在電氣圖上的標(biāo)注與實(shí)際不符 ? 嚴(yán)重度：中

現(xiàn)象： 電氣原理圖上標(biāo)注的急停按鈕編號(hào)與實(shí)際設(shè)備上的按鈕編號(hào)不一致，或圖紙上標(biāo)注了3個(gè)急停但對不上現(xiàn)場位置。

為什么不行： 維修時(shí)如果按圖紙查找急停位置，找不到對應(yīng)按鈕——導(dǎo)致維修人員不能準(zhǔn)確操作。

正確做法： 定期核對電氣原理圖與實(shí)際設(shè)備的一致性，圖紙變更后及時(shí)更新。

D04 ? 急停回路在圖紙上未標(biāo)記安全等級(jí) ? 嚴(yán)重度：低

現(xiàn)象： 急停回路在電氣圖紙上未標(biāo)明所要求的PLr或SIL等級(jí)。

為什么不行： 后續(xù)維護(hù)和改造人員無法知道原始設(shè)計(jì)的可靠性要求，可能隨意更換為低等級(jí)元件。

正確做法： 在圖紙上標(biāo)注急停回路的安全等級(jí)要求（如"PL d / SIL 2"）。

D05 ? 急停按鈕功能描述不明確 ? 嚴(yán)重度：低

現(xiàn)象： 設(shè)備說明書或操作手冊中僅寫了"按下急停按鈕停機(jī)"，未說明急停的停止等級(jí)和停機(jī)范圍。

正確做法： 手冊中應(yīng)明確：急停停止等級(jí)（Cat 0/Cat 1）、停機(jī)的設(shè)備范圍、停機(jī)后需人工復(fù)位。

D06 ? 急停測試標(biāo)簽/合格證缺失 ? 嚴(yán)重度：低

現(xiàn)象： 設(shè)備上未貼最近一次急停功能測試的合格標(biāo)簽，或標(biāo)簽上日期已過期。

正確做法： 每次急停功能測試通過后，在設(shè)備控制柜或操作面板上粘貼測試標(biāo)簽，標(biāo)注測試日期和下次測試日期。

D07 ? 急停按鈕位置在布局圖上未標(biāo)注 ? 嚴(yán)重度：低

現(xiàn)象： 車間布局圖/逃生路線圖上未標(biāo)注急停按鈕位置。

正確做法： 在車間應(yīng)急響應(yīng)圖和逃生路線圖上標(biāo)注所有急停按鈕位置，便于緊急情況下應(yīng)急人員快速找到操作點(diǎn)。

D08 ? 急停系統(tǒng)的風(fēng)險(xiǎn)評估報(bào)告缺失 ? 嚴(yán)重度：中

現(xiàn)象： 急停系統(tǒng)的風(fēng)險(xiǎn)評估（PLr/SILr確定依據(jù)）沒有任何書面文件。

為什么不行： 沒有風(fēng)險(xiǎn)評估就無法證明"設(shè)計(jì)了急停"和"設(shè)計(jì)的急停級(jí)別夠用"。如果出了事故，監(jiān)管和司法人員會(huì)問：你憑什么認(rèn)為這個(gè)急停夠安全？

正確做法： 保存設(shè)備的風(fēng)險(xiǎn)評估文檔，其中應(yīng)包含急停功能對應(yīng)的危險(xiǎn)識(shí)別、風(fēng)險(xiǎn)參數(shù)評定、PLr/SILr確定過程和依據(jù)。

D09 ? 急停系統(tǒng)的驗(yàn)證報(bào)告缺失 ? 嚴(yán)重度：中

現(xiàn)象： 有風(fēng)險(xiǎn)評估和設(shè)計(jì)計(jì)算，但沒有功能安全驗(yàn)證報(bào)告。

為什么不行： 設(shè)計(jì)計(jì)算是紙面上的，實(shí)際安裝后的功能驗(yàn)證才是證明。缺少驗(yàn)證報(bào)告，審計(jì)時(shí)無法證明系統(tǒng)實(shí)際達(dá)到了設(shè)計(jì)的安全等級(jí)。

正確做法： 保存急停系統(tǒng)的功能安全驗(yàn)證報(bào)告，包括：架構(gòu)驗(yàn)證、響應(yīng)時(shí)間測試、故障注入測試、PL/SIL驗(yàn)證計(jì)算。

D10 ? 外文說明書沒有中文對照 ? 嚴(yán)重度：低

現(xiàn)象： 進(jìn)口設(shè)備的急停系統(tǒng)說明書只有英文/德文，現(xiàn)場操作工和管理人員看不懂。

為什么不行： 看不懂說明書就無法正確測試、維護(hù)和整改。

正確做法： 進(jìn)口設(shè)備應(yīng)提供中文版急停系統(tǒng)使用和維護(hù)說明書，或由廠家/本地代理提供中文培訓(xùn)。

七、審計(jì)速查清單（50項(xiàng)一覽）

八、審計(jì)結(jié)果的分級(jí)處理建議

在完成急停系統(tǒng)審計(jì)后，建議對發(fā)現(xiàn)的50項(xiàng)不符合項(xiàng)進(jìn)行分級(jí)處理：