我國(guó)自動(dòng)扶梯功能安全應(yīng)用存在的問(wèn)題與對(duì)策

李中興

(廣州特種機(jī)電設(shè)備檢測(cè)研究院，廣東 廣州 510663)

電梯事故持續(xù)成為媒體關(guān)注的焦點(diǎn)，尤其是自動(dòng)扶梯事故。自2010年12月深圳自動(dòng)扶梯逆行事故、2011年7月北京地鐵自動(dòng)扶梯逆行事故和2015年7月湖北“扶梯卷人”事故發(fā)生之后，更是使得自動(dòng)扶梯的安全問(wèn)題不斷升溫，已成為電梯行業(yè)的重中之重。電梯從以實(shí)現(xiàn)基本功能為主到融入多種安全保護(hù)裝置再到往功能安全的方向發(fā)展，可以說(shuō)其安全系數(shù)越來(lái)越高。早在1996年美國(guó)國(guó)家標(biāo)準(zhǔn)學(xué)會(huì)(ANSI)/美國(guó)儀器儀表學(xué)會(huì)(ISA)就發(fā)布了《加工工業(yè)的安全儀器化系統(tǒng)的應(yīng)用》(ANSI/ISA S84.01—1996)標(biāo)準(zhǔn)[1]，2000年國(guó)際電工委員會(huì)(IEC)發(fā)布了《電氣/電子/可編程電子(Electrical/Electronic/Programmable Electronic，E/E/PE)安全相關(guān)系統(tǒng)的功能安全》(IEC 61508)標(biāo)準(zhǔn)[2]，隨著IEC 61508的發(fā)布，有關(guān)功能安全問(wèn)題的研究逐步成為研究的熱點(diǎn)。隨后各行各業(yè)都出臺(tái)了基于IEC 61508的相關(guān)標(biāo)準(zhǔn)，如過(guò)程工業(yè)領(lǐng)域的標(biāo)準(zhǔn) IEC 61511[3]，核工業(yè)領(lǐng)域的標(biāo)準(zhǔn) IEC 61513，機(jī)械工業(yè)領(lǐng)域的標(biāo)準(zhǔn) IEC 62021等[4]。我國(guó)也在2006年發(fā)布了GB/T 20438標(biāo)準(zhǔn)(等同采用IEC 61508)，2007年發(fā)布了GB/T 21109標(biāo)準(zhǔn)(等同于 IEC 61511)[5]。功能安全問(wèn)題越來(lái)越受到各個(gè)國(guó)家的重視，國(guó)外功能安全評(píng)估和認(rèn)證也開(kāi)始逐步完善和成熟，用戶通過(guò)委托第三方評(píng)估和認(rèn)證機(jī)構(gòu)對(duì)所選用的安全相關(guān)系統(tǒng)進(jìn)行評(píng)估和認(rèn)證，以確保其能夠達(dá)到預(yù)期的效果，比如德國(guó)的TUV認(rèn)證機(jī)構(gòu)。

目前，我國(guó)已有少數(shù)功能安全評(píng)估和認(rèn)證機(jī)構(gòu)進(jìn)行功能安全評(píng)估，但還處于起步階段。無(wú)論是電梯還是自動(dòng)扶梯，其出廠時(shí)必須要有安全保護(hù)裝置，這是標(biāo)準(zhǔn)的強(qiáng)制要求。然而這些安全裝置是否能百分之百地發(fā)揮作用，實(shí)現(xiàn)安全保護(hù)，這涉及到功能安全的問(wèn)題，以往的標(biāo)準(zhǔn)中并沒(méi)有明確的規(guī)定。鑒于此，我國(guó)最新的扶梯國(guó)家標(biāo)準(zhǔn)《自動(dòng)扶梯和自動(dòng)人行道的制造與安裝安全規(guī)范》(GB 16899—2011)[6]中提出了用于自動(dòng)扶梯和自動(dòng)人行道的可編程電子安全相關(guān)系統(tǒng)(Programmable Electronic System in Safety Related Applications for Escalators and Moving Walks,PESSRAE)，為使用可編程電子安全相關(guān)系統(tǒng)提供了依據(jù)。自動(dòng)扶梯功能安全產(chǎn)品及功能安全評(píng)估方法也將成為未來(lái)的研究發(fā)展方向。

1 功能安全的引入

已有調(diào)查顯示，自動(dòng)扶梯的事故中有相當(dāng)一部分并不是沒(méi)有安全保護(hù)裝置，而是由于安全保護(hù)裝置未及時(shí)發(fā)揮其應(yīng)有的作用，這就涉及到保護(hù)裝置的可靠性問(wèn)題，它是另外一個(gè)概念。這不是標(biāo)準(zhǔn)有沒(méi)有、行不行的問(wèn)題，而是功能安全的范疇。功能安全就是為了防止安全設(shè)施的功能失效所導(dǎo)致的危險(xiǎn)，主要解決安全設(shè)施的有效性問(wèn)題。

1. 1 功能安全基本術(shù)語(yǔ)

IEC 61508標(biāo)準(zhǔn)中定義功能安全為：與受控設(shè)備(EUC) 和EUC控制系統(tǒng)有關(guān)的整體安全組成部分，它取決于電氣/電子/可編程電子E/E/PE安全相關(guān)系統(tǒng)、其他技術(shù)安全相關(guān)系統(tǒng)和外部風(fēng)險(xiǎn)降低設(shè)施功能的正確使用[2]。

安全完整性 (safety integrity)為：在規(guī)定的條件下、規(guī)定的時(shí)間內(nèi)，安全系統(tǒng)成功實(shí)現(xiàn)所要求的安全功能的概率[2]。

IEC 61508標(biāo)準(zhǔn)中規(guī)定系統(tǒng)有4種安全完整性水平，SIL4是安全完整性水平最高的等級(jí)，SIL1是安全完整性水平最低的等級(jí)。實(shí)際上，系統(tǒng)能達(dá)到SIL4安全完整性水平等級(jí)是很困難的。安全完整性水平(SIL)等級(jí)對(duì)應(yīng)的風(fēng)險(xiǎn)降低因數(shù)RRF值，見(jiàn)表1[7]。

表1 安全完整性水平(SIL)等級(jí)對(duì)應(yīng)的風(fēng)險(xiǎn)降低因數(shù)RRF值

注：PFD=1/RRF，是衡量功能安全的安全性能水平。

為了實(shí)現(xiàn)上述功能安全的要求，達(dá)到理想的安全完整性水平(SIL)等級(jí)，需要有良好的管理模式、嚴(yán)格的規(guī)章制度、完善的功能安全產(chǎn)品、合理的風(fēng)險(xiǎn)降低措施以及專業(yè)的技術(shù)人員。

1. 2 功能安全管理的框架

整體安全生命周期在IEC 61508標(biāo)準(zhǔn)中給出的定義包含16個(gè)階段，大致分為3個(gè)過(guò)程：1～5階段表示分析過(guò)程；6～13階段表示實(shí)現(xiàn)過(guò)程；14～16階段表示運(yùn)營(yíng)過(guò)程[7-8]，如圖1所示。

功能安全管理貫穿于整個(gè)安全生命周期，從產(chǎn)品的理念到產(chǎn)品的退役。對(duì)于自動(dòng)扶梯，功能安全管理要從扶梯相關(guān)功能安全產(chǎn)品的設(shè)計(jì)理念開(kāi)始，到功能安全的評(píng)估，直到扶梯的完全退役為止都要進(jìn)行嚴(yán)格的管理。

2 自動(dòng)扶梯功能安全的有關(guān)規(guī)范和標(biāo)準(zhǔn)

自動(dòng)扶梯是復(fù)雜的機(jī)電產(chǎn)品，機(jī)械安全和電氣安全都是研究的重點(diǎn)，最新發(fā)布的國(guó)家標(biāo)準(zhǔn)將功能安全相關(guān)條款納入到規(guī)范中， 這表明功能安全在不久的將來(lái)很可能將作為強(qiáng)制要求來(lái)實(shí)施。

圖1 整體安全生命周期Fig.1 Safety life cycle

表2 監(jiān)測(cè)裝置和電氣安全裝置(或功能)的要求

2.1 可編程電子安全相關(guān)系統(tǒng)(PESSRAE)

最新的扶梯國(guó)家標(biāo)準(zhǔn)GB 16899—2011中，第3.1.22條定義了用于自動(dòng)扶梯和自動(dòng)人行道的可編程電子安全相關(guān)系統(tǒng)(PESSRAE)，其包含用于表2所列安全應(yīng)用的、基于可編程電子裝置的以及用于控制、防護(hù)、監(jiān)測(cè)的系統(tǒng)，包括系統(tǒng)中所有元素(例如電源、傳感器和其他輸入裝置、數(shù)據(jù)高速公路和其他通信途徑以及執(zhí)行器、其他輸出裝置)；第5.12.1.2.6條規(guī)定，如果PESSRAE和一個(gè)與安全無(wú)關(guān)的系統(tǒng)共用同一硬件，則該硬件應(yīng)符合PESSRAE的規(guī)定[6]。PESSRAE是基于軟件的PES在電梯/扶梯安全相關(guān)系統(tǒng)中的應(yīng)用。

表2中，(c)～(n)及(q)所述事件達(dá)到的要求有3種途徑：第一種是滿足5.12.1.2.2的安全開(kāi)關(guān)；第二種是滿足5.12.1.2.3的安全電路；第三種是滿足PESSRAE，并同時(shí)給出了SIL等級(jí)的要求，最高要達(dá)到SIL2等級(jí)。對(duì)于第三種提及的PESSRAE要求應(yīng)符合《電氣/電子/可編程電子安全相關(guān)系統(tǒng)的功能安全》(GB/T 20438)標(biāo)準(zhǔn)的規(guī)定。GB/T 20438等同采用國(guó)際標(biāo)準(zhǔn)IEC 61508[9-11]。

2. 2 自動(dòng)扶梯相關(guān)的功能安全標(biāo)準(zhǔn)

自動(dòng)扶梯相關(guān)的功能安全標(biāo)準(zhǔn)最早且有影響的是IEC在2000年2月發(fā)布的功能安全基礎(chǔ)標(biāo)準(zhǔn)IEC 61508[2]。同時(shí)，還有《機(jī)械安全——控制系統(tǒng)相關(guān)安全部件——第1部分》(ISO 13849-1—2015)標(biāo)準(zhǔn)，它建立在系統(tǒng)風(fēng)險(xiǎn)分析的基礎(chǔ)上，主要應(yīng)用于電氣、液壓、氣動(dòng)系統(tǒng)以及部分電子產(chǎn)品系統(tǒng)[12]；《機(jī)械安全與安全有關(guān)的電氣、電子和可編程電子控制系統(tǒng)的功能安全》(IEC 62061—2012)標(biāo)準(zhǔn)，它提供了采用復(fù)雜的、可由先前非傳統(tǒng)系統(tǒng)結(jié)構(gòu)執(zhí)行的安全功能的方法，適用于電氣系統(tǒng)領(lǐng)域[13]。此外，還有ISO 22201—2017系列標(biāo)準(zhǔn)，其包括三個(gè)部分：ISO 22201-1是針對(duì)電梯安全相關(guān)的PESSRAL的設(shè)計(jì)和開(kāi)發(fā)；ISO 22201-2是針對(duì)自動(dòng)扶梯/自動(dòng)人行道安全相關(guān)的PESSRAL的設(shè)計(jì)和開(kāi)發(fā)；ISO 22201-3是關(guān)于電梯、自動(dòng)扶梯/自動(dòng)人行道安全相關(guān)的PESSRAL的維修與改造活動(dòng)，源于IEC 61508和EN 81標(biāo)準(zhǔn)，并且參考了IEC 61508標(biāo)準(zhǔn)中的風(fēng)險(xiǎn)分析方法[14]，如圖2所示。

圖2 自動(dòng)扶梯相關(guān)的功能安全標(biāo)準(zhǔn)Fig.2 Escalator-related functional safety standards

3 我國(guó)自動(dòng)扶梯功能安全應(yīng)用存在的問(wèn)題及未來(lái)的研究發(fā)展方向

3. 1 存在的問(wèn)題

自動(dòng)扶梯在安全方面的設(shè)計(jì)是基于機(jī)械和電氣的，通過(guò)增加安全部件或增加電氣相應(yīng)安全措施來(lái)實(shí)現(xiàn)。但是，這些措施的可靠性并未設(shè)計(jì)得很理想，而采用PESSRAE可以從根本上減少故障和事故的發(fā)生，從而提高電梯的可靠性和安全性。目前我國(guó)自動(dòng)扶梯行業(yè)在功能安全應(yīng)用方面主要存在如下問(wèn)題：

3.1.1 自動(dòng)扶梯功能安全標(biāo)準(zhǔn)體系與國(guó)際水平存在差距

功能安全基礎(chǔ)標(biāo)準(zhǔn)IEC 61508于2000年正式發(fā)布，隨后陸續(xù)出臺(tái)了以它為基礎(chǔ)的各行業(yè)標(biāo)準(zhǔn)。2011年，設(shè)置符合功能安全要求的用于自動(dòng)扶梯和自動(dòng)人行道的PESSRAE，被寫(xiě)入了我國(guó)自動(dòng)扶梯的國(guó)家標(biāo)準(zhǔn)當(dāng)中，這說(shuō)明我國(guó)扶梯行業(yè)的功能安全意識(shí)已經(jīng)形成，然而在功能安全標(biāo)準(zhǔn)制定方面，我國(guó)等同或等效采用國(guó)際標(biāo)準(zhǔn)，大部分相關(guān)標(biāo)準(zhǔn)還是靠翻譯，因此急需要真正理解功能安全標(biāo)準(zhǔn)的理念與方法，并結(jié)合我國(guó)國(guó)情和行業(yè)的特點(diǎn)，制定出適合我國(guó)的功能安全標(biāo)準(zhǔn)體系。目前我國(guó)自動(dòng)扶梯功能安全相關(guān)的標(biāo)準(zhǔn)與國(guó)際水平差距較大，詳見(jiàn)表3。

由表3可知：從標(biāo)準(zhǔn)產(chǎn)生數(shù)量的差距來(lái)看，電梯和自動(dòng)扶梯功能安全相關(guān)的國(guó)際標(biāo)準(zhǔn)有7個(gè)，而國(guó)內(nèi)標(biāo)準(zhǔn)只有4個(gè)，且全部是等同或等效采用的國(guó)際標(biāo)準(zhǔn)，等效采用率為100%，還有3個(gè)標(biāo)準(zhǔn)至今仍未轉(zhuǎn)化為我國(guó)標(biāo)準(zhǔn)，轉(zhuǎn)化率為57.1%，這意味著我國(guó)自有標(biāo)準(zhǔn)還處于空白狀態(tài)；從標(biāo)準(zhǔn)產(chǎn)生年代的差距來(lái)看，已轉(zhuǎn)化的標(biāo)準(zhǔn)中差距最小的是6年，最大的是14年，平均差距為9年，可見(jiàn)我國(guó)標(biāo)準(zhǔn)滯后的時(shí)間較長(zhǎng)，另外還有3個(gè)標(biāo)準(zhǔn)未進(jìn)行轉(zhuǎn)化和應(yīng)用。

表3 國(guó)內(nèi)外電梯和自動(dòng)扶梯功能安全相關(guān)標(biāo)準(zhǔn)的差距

3.1.2 自動(dòng)扶梯功能安全的評(píng)估方法具有局限性

成熟的功能安全理念針對(duì)的是E/E/PES安全相關(guān)系統(tǒng)，而對(duì)于自動(dòng)扶梯很多機(jī)械安全部件安全功能的驗(yàn)證無(wú)法通過(guò)像表1一樣的計(jì)算來(lái)獲得，需要尋找另外的評(píng)估方法，比如通過(guò)失效模式與影響分析等方法來(lái)評(píng)估該部件的安全可靠性(Safety Reliability,SR)等級(jí)，從而獲得等效的功能安全完整性水平(SIL)等級(jí)[15-16]。

3.1.3 功能安全評(píng)估人才缺乏

目前，我國(guó)具有功能安全工程師培訓(xùn)資質(zhì)的機(jī)構(gòu)非常稀少，北京的“機(jī)械工業(yè)儀器儀表綜合技術(shù)經(jīng)濟(jì)研究所”是較早的具有功能安全工程師培訓(xùn)資質(zhì)的機(jī)構(gòu)，由于國(guó)內(nèi)對(duì)功能安全的認(rèn)識(shí)不足，加上培訓(xùn)師數(shù)量有限，早幾年在該機(jī)構(gòu)參加培訓(xùn)的功能安全工程師人數(shù)每期不足10人，可見(jiàn)我國(guó)這方面人才的缺口之大。近幾年，隨著人們對(duì)功能安全認(rèn)識(shí)的提高，一些機(jī)構(gòu)開(kāi)始開(kāi)展功能安全評(píng)估與認(rèn)證業(yè)務(wù)，也積極培養(yǎng)相關(guān)人才，但是這些人員在短期內(nèi)很難系統(tǒng)掌握功能安全的技術(shù)和知識(shí)，更談不上對(duì)其熟練應(yīng)用。

3. 2 未來(lái)的研究發(fā)展方向

針對(duì)我國(guó)自動(dòng)扶梯行業(yè)在功能安全應(yīng)用方面存在的問(wèn)題，本文提出了未來(lái)的研究發(fā)展方向，具體如下：

3.2.1 建立和完善適合我國(guó)的自動(dòng)扶梯行業(yè)功能安全的標(biāo)準(zhǔn)體系

(1) 建立自動(dòng)扶梯行業(yè)功能安全的相關(guān)標(biāo)準(zhǔn)。要根據(jù)我國(guó)的國(guó)情及行業(yè)特點(diǎn)，并參照國(guó)際標(biāo)準(zhǔn)，建立適合我國(guó)的自動(dòng)扶梯行業(yè)的功能安全標(biāo)準(zhǔn)體系和功能安全評(píng)估方法。由于自動(dòng)扶梯具有產(chǎn)品種類繁多、系統(tǒng)復(fù)雜、集成度高、對(duì)安全的要求高、事故后果嚴(yán)重(即涉及人民生命和財(cái)產(chǎn)安全)等特點(diǎn)，且使用者素質(zhì)參差不齊，加之我國(guó)功能安全的標(biāo)準(zhǔn)缺乏，因此需要結(jié)合這些因素，編制適合我國(guó)的自動(dòng)扶梯行業(yè)功能安全的標(biāo)準(zhǔn)，尤其是功能安全的評(píng)估標(biāo)準(zhǔn)。隨著功能安全研究的深入，功能安全完整性水平等級(jí)高且系統(tǒng)復(fù)雜程度低的控制系統(tǒng)是自動(dòng)扶梯功能安全產(chǎn)品研究的重點(diǎn)，而自動(dòng)扶梯功能安全評(píng)估方法則是應(yīng)用過(guò)程中標(biāo)準(zhǔn)研究的重點(diǎn)。此外，我國(guó)在扶梯安全宣傳力度方面還有待完善。

(2) 建立自動(dòng)扶梯行業(yè)功能安全的管理體系。安全靠技術(shù)和管理來(lái)共同保障，先進(jìn)的技術(shù)缺乏完善的管理體制，也會(huì)存在巨大的安全隱患，自動(dòng)扶梯尤其是車站人流量大的場(chǎng)所，更需要良好的管理來(lái)減少事故的發(fā)生率，而思想意識(shí)和計(jì)劃是良好管理不可缺少的部分。自動(dòng)扶梯功能安全產(chǎn)品的設(shè)計(jì)要從設(shè)計(jì)思想上融入功能安全的理念，從產(chǎn)品設(shè)計(jì)開(kāi)始，時(shí)時(shí)刻刻以功能安全理念來(lái)驅(qū)動(dòng)產(chǎn)品的設(shè)計(jì)；功能安全管理不只是管理人和設(shè)備，在整個(gè)安全生命周期的所有活動(dòng)中都需要管理，這就必須要制定詳細(xì)的功能安全管理工作計(jì)劃，確定人員、部門和機(jī)構(gòu)的責(zé)任，包括哪些機(jī)構(gòu)和人員參與、協(xié)調(diào)機(jī)制、階段總結(jié)計(jì)劃、糾錯(cuò)機(jī)制、歸檔等[17-18]。

3.2.2 研究自動(dòng)扶梯非E/E/PES安全相關(guān)系統(tǒng)功能安全的評(píng)估方法

自動(dòng)扶梯非E/E/PES安全相關(guān)系統(tǒng)的功能安全評(píng)估無(wú)法采用功能安全的評(píng)估方法來(lái)劃分功能安全完整性水平SIL等級(jí)，可以考慮通過(guò)失效模式與影響分析的方法來(lái)評(píng)估安全可靠性SR等級(jí)，即對(duì)一定年限自動(dòng)扶梯非E/E/PES安全相關(guān)系統(tǒng)的危險(xiǎn)狀況進(jìn)行半定量分析，得到其風(fēng)險(xiǎn)值，具體數(shù)學(xué)模型如下：

R=f(S,P)=SP

式中：P為危險(xiǎn)狀態(tài)導(dǎo)致事故發(fā)生的難易程度；S為事故的嚴(yán)重程度。

將事故發(fā)生的可能性分為A、B、C、D、E五個(gè)等級(jí)，事故的嚴(yán)重程度分為5、4、3、2、1五個(gè)等級(jí)，詳見(jiàn)表4。

表4 風(fēng)險(xiǎn)等級(jí)表

通過(guò)對(duì)非E/E/PES安全相關(guān)系統(tǒng)的指標(biāo)分析，得到非E/E/PES安全相關(guān)系統(tǒng)的SR等級(jí)，并與SIL等級(jí)相結(jié)合，最終可得到自動(dòng)扶梯功能安全的評(píng)估等級(jí)。

3.2.3 培養(yǎng)高水平的功能安全人才

我國(guó)人口眾多，但功能安全人才缺乏，準(zhǔn)確運(yùn)用功能安全進(jìn)行設(shè)計(jì)、評(píng)估的人員遠(yuǎn)遠(yuǎn)不足，需要行業(yè)引導(dǎo)并建立適合我國(guó)行業(yè)特點(diǎn)的功能安全應(yīng)用體系，以保證功能安全應(yīng)用在我國(guó)的順利實(shí)施。

功能安全產(chǎn)品的設(shè)計(jì)和管理，需要具備專業(yè)知識(shí)的人員，他們應(yīng)熟練掌握功能安全的理論知識(shí)和自動(dòng)扶梯的專業(yè)技術(shù)。但由于功能安全在我國(guó)自動(dòng)扶梯行業(yè)的應(yīng)用處于起步階段，該行業(yè)同時(shí)具備功能安全理論知識(shí)和扶梯專業(yè)知識(shí)的人才極為缺乏，因此需要定期對(duì)相關(guān)人員進(jìn)行系統(tǒng)的培訓(xùn)，必要時(shí)可為他們提供出國(guó)考察和交流的機(jī)會(huì)，以培養(yǎng)高水平的自動(dòng)扶梯行業(yè)功能安全的技術(shù)和管理人才。

4 結(jié) 論

(1) 實(shí)現(xiàn)自動(dòng)扶梯國(guó)家標(biāo)準(zhǔn)GB 16899—2011中定義的事件，有3種途徑：第一是滿足特定要求的安全開(kāi)關(guān)；第二是滿足特定要求的安全電路；第三是符合SIL等級(jí)的功能安全產(chǎn)品，這將成為我國(guó)自動(dòng)扶梯功能安全應(yīng)用未來(lái)的研究發(fā)展方向。

(2) 針對(duì)非E/E/PES安全相關(guān)系統(tǒng)無(wú)法采用功能安全評(píng)估方法的機(jī)械安全部件，可以采用SR等級(jí)等效的評(píng)估方法。

(3) 自動(dòng)扶梯功能安全的標(biāo)準(zhǔn)體系包括標(biāo)準(zhǔn)體系和管理體系，要結(jié)合我國(guó)國(guó)情及自動(dòng)扶梯行業(yè)的特點(diǎn)，研究適合我國(guó)的自動(dòng)扶梯行業(yè)功能安全的標(biāo)準(zhǔn)體系和評(píng)估方法。

(4) 高水平功能安全專業(yè)人才的培養(yǎng)是目前急需要解決的問(wèn)題。