文 / 應(yīng)露瑤 戴聞杰 汪中亨

寧波緯誠科技股份有限公司/全國機(jī)械安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)智能制造安全工作組

“權(quán)限管理方案，是在物理隔離安全門的基礎(chǔ)上加裝授權(quán)進(jìn)入受控區(qū)域的組件，以確保正確的人在正確的時(shí)間進(jìn)入正確的區(qū)域。本篇簡要介紹了權(quán)限管理方案的構(gòu)成、權(quán)限管理方案的設(shè)計(jì)要點(diǎn)，并著重介紹權(quán)限管理方案實(shí)施中的注意點(diǎn)，供工廠、設(shè)備商、集成商等相關(guān)人員參考?！?/p>

在前兩期文章中，分別介紹了物理隔離方案和聯(lián)鎖保護(hù)方案。物理隔離方案的防護(hù)目標(biāo)是進(jìn)行人機(jī)的物理隔離，防止人員非預(yù)期地進(jìn)入和機(jī)械部件沖擊來減小風(fēng)險(xiǎn)；聯(lián)鎖保護(hù)方案，則是在物理隔離的基礎(chǔ)上加裝各種保護(hù)裝置，以避免設(shè)備的意外啟動(dòng)或危險(xiǎn)運(yùn)動(dòng)對(duì)人造成傷害。

在設(shè)備正常運(yùn)行區(qū)間人員不需要進(jìn)入危險(xiǎn)區(qū)時(shí)，可以只采用物理隔離的方案；若設(shè)備正常運(yùn)行期間人員需要進(jìn)入危險(xiǎn)區(qū)，就需要物理隔離和聯(lián)鎖保護(hù)兩種方案的組合使用。如果需要在設(shè)備進(jìn)行一些特定的操作時(shí)，如機(jī)器設(shè)定、示教、過程轉(zhuǎn)換、故障查找、清洗或維護(hù)時(shí)進(jìn)入危險(xiǎn)區(qū)，除了設(shè)計(jì)安全防護(hù)裝置外，還要確保執(zhí)行任務(wù)的人員有相應(yīng)的能力。確定執(zhí)行任務(wù)的工作人員的能力，可以說是有關(guān)風(fēng)險(xiǎn)減小措施中的主要要求。這種情況下，就需要設(shè)立對(duì)應(yīng)的安全操作規(guī)程，以及在防護(hù)裝置的安全門或其他通道上加裝授權(quán)進(jìn)入的組件，以確保執(zhí)行特定任務(wù)的人員是具備該任務(wù)的操作權(quán)限的。

權(quán)限管理的概念以及對(duì)應(yīng)到標(biāo)準(zhǔn)的設(shè)計(jì)要求并不復(fù)雜，而在實(shí)際項(xiàng)目的實(shí)施中，權(quán)限管理方案是業(yè)主方內(nèi)部管理要求的工程化實(shí)現(xiàn)方式，往往需要根據(jù)不同企業(yè)的管理要求和不同的操作任務(wù)，結(jié)合物理隔離、聯(lián)鎖保護(hù)方案一起來設(shè)計(jì)方案。因此，本篇將著重介紹權(quán)限管理方案實(shí)施中的注意點(diǎn)。

一、什么是權(quán)限管理方案

本文中的“權(quán)限”，主要是指人員進(jìn)入某個(gè)區(qū)域執(zhí)行特定操作任務(wù)的權(quán)限。企業(yè)基于資產(chǎn)安全、信息安全、人員安全的考慮，對(duì)不同的系統(tǒng)都會(huì)有人員權(quán)限管理的需求。本文的“權(quán)限管理方案”，主要是指在物理隔離的安全門上加裝授權(quán)進(jìn)入系統(tǒng)，以確保正確的人在正確的時(shí)間進(jìn)入正確的區(qū)域，降低區(qū)域內(nèi)設(shè)備意外啟動(dòng)或不規(guī)范操作對(duì)人造成傷害的風(fēng)險(xiǎn)，尤其是電氣、機(jī)械、液壓、氣動(dòng)等危險(xiǎn)能量在機(jī)器設(shè)定、示教、過程轉(zhuǎn)換、故障查找、清洗或維護(hù)時(shí)可能造成授權(quán)操作的人員傷害的風(fēng)險(xiǎn)。授權(quán)和對(duì)危險(xiǎn)能量進(jìn)行控制，在這些特定操作中都很重要。在危險(xiǎn)能量控制方法中，一般情況下首選的是上鎖掛牌LOTO，同時(shí)在其中也蘊(yùn)含著一定的權(quán)限管理邏輯。這部分內(nèi)容將在實(shí)施要點(diǎn)章節(jié)中詳細(xì)介紹。

普通的授權(quán)進(jìn)入系統(tǒng)由識(shí)別組件和邏輯單元構(gòu)成，人員由識(shí)別組件識(shí)別后，經(jīng)由邏輯單元與數(shù)據(jù)庫中預(yù)先錄入的授權(quán)數(shù)據(jù)比對(duì)后，授予人員進(jìn)入?yún)^(qū)域的權(quán)限。常見的授權(quán)進(jìn)入系統(tǒng)，如圖1和圖2所示。

圖1 一種常用的權(quán)限管理系統(tǒng) PITreader

圖2 一種常用的權(quán)限管理系統(tǒng) Trapped Key 截留鑰匙

此外，因其模式選擇、事件日志等功能滿足了管理需要，安全防護(hù)的智能授權(quán)系統(tǒng)成為應(yīng)用趨勢。國標(biāo)《機(jī)械安全 安全防護(hù)智能授權(quán)系統(tǒng)設(shè)計(jì)通則》已在擬立項(xiàng)階段。除了識(shí)別組件和邏輯單元之外，智能授權(quán)系統(tǒng)還有人機(jī)交互模塊，如觸摸顯示屏，人員由識(shí)別組件識(shí)別后，經(jīng)由邏輯單元與授權(quán)數(shù)據(jù)庫中預(yù)先錄入的授權(quán)數(shù)據(jù)比對(duì)后，授予人員通過人機(jī)交互模塊操作的相應(yīng)權(quán)限，交互界面則通過控制系統(tǒng)安全相關(guān)部件SRP/CS，按授權(quán)對(duì)系統(tǒng)進(jìn)行控制并接受其數(shù)據(jù)反饋。結(jié)構(gòu)完整的智能授權(quán)系統(tǒng)，如圖3所示。

圖3 一種帶智能LOTO功能的智能授權(quán)系統(tǒng)

其中，識(shí)別組件包括人員身份標(biāo)識(shí)和識(shí)別裝置。人員身份標(biāo)識(shí)可以是生物特征標(biāo)識(shí)（如視網(wǎng)膜掃描、指紋）和/或分配給其使用的識(shí)別符（如射頻標(biāo)簽、識(shí)別卡、密匙）。識(shí)別方式應(yīng)根據(jù)實(shí)際需求和場景進(jìn)行選擇，常見的識(shí)別方式優(yōu)缺點(diǎn)對(duì)比表，如表1所示。

表1 常見的人員身份識(shí)別方式對(duì)比表

值得注意的是，普通的授權(quán)系統(tǒng)和智能的授權(quán)系統(tǒng)都需要與安全防護(hù)裝置一起使用，不能取代防護(hù)裝置和保護(hù)裝置。

二、權(quán)限管理方案的設(shè)計(jì)要求

作為普通與智能系統(tǒng)通用組件的識(shí)別組件，可采用任何能夠?qū)崿F(xiàn)身份驗(yàn)證的技術(shù)。智能授權(quán)系統(tǒng)的識(shí)別組件應(yīng)能夠用來記錄控制區(qū)的人員出入情況。

識(shí)別組件的人員身份標(biāo)識(shí)宜使用生物特征標(biāo)識(shí)，如視網(wǎng)膜掃描、指紋；宜根據(jù)具體應(yīng)用場景選擇適合的人員身份標(biāo)識(shí)，如需要戴手套的場合宜避免采用指紋，戴防護(hù)面罩的場合宜避免采用視網(wǎng)膜掃描。

識(shí)別組件的識(shí)別裝置應(yīng)能夠識(shí)別所采用的人員身份標(biāo)識(shí)，并將信息傳輸至邏輯單元。識(shí)別裝置的位置應(yīng)便于人員執(zhí)行任務(wù)，并應(yīng)考慮人類工效學(xué)要求。

智能授權(quán)系統(tǒng)設(shè)計(jì)前，集成商應(yīng)審查機(jī)器的風(fēng)險(xiǎn)評(píng)估文件，并考慮任務(wù)分區(qū)以及相應(yīng)的控制范圍。

智能授權(quán)系統(tǒng)應(yīng)能控制所有需要在危險(xiǎn)區(qū)執(zhí)行任務(wù)的操作模式，例如調(diào)節(jié)、設(shè)定、示教及故障排除。相應(yīng)地，智能授權(quán)系統(tǒng)的功能應(yīng)以GB/T 16655－2008《 機(jī)械安全 集成制造系統(tǒng) 基本要求》中5.1.3、8.2.2和8.4以及GB/T 15706－2012《機(jī)械安全設(shè)計(jì)通則 風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)減小》中6.2.11.9所描述IMS操作模式為基礎(chǔ)。

智能授權(quán)系統(tǒng)是額外增加的層級(jí)，其作用是向SRP/CS的邏輯單元提供輸入，然后根據(jù)授權(quán)針對(duì)所需執(zhí)行的任務(wù)激活相應(yīng)的控制或操作模式。智能授權(quán)系統(tǒng)從本質(zhì)上說實(shí)現(xiàn)的是使能控制，屬于安全功能，因此其設(shè)計(jì)應(yīng)符合GB/T 16855.1規(guī)定的性能等級(jí)。智能授權(quán)系統(tǒng)可以是控制系統(tǒng)安全相關(guān)部件SRP/CS的一部分，也可以獨(dú)立存在。

智能授權(quán)系統(tǒng)，宜提供以下功能：

1.識(shí)別人員；

2.查驗(yàn)所選擇任務(wù)的授權(quán)與所識(shí)別人員是否匹配；

3.告知人員其被授權(quán)的任務(wù)；

4.激活與所選擇任務(wù)對(duì)應(yīng)的操作模式；

5.指示人員將要進(jìn)入的區(qū)域。

智能授權(quán)系統(tǒng)的設(shè)計(jì)，宜至少考慮以下方面：

1.適合具體應(yīng)用的識(shí)別組件；

2.識(shí)別裝置相對(duì)于進(jìn)出區(qū)域/路徑的位置；

3.與授權(quán)卡片數(shù)據(jù)庫的接口；

4.要求本地操作的任務(wù)；

5.用于本地操作的相關(guān)保護(hù)裝置（如使能裝置、SPE）；

6.顯示的信息（如申請的任務(wù)、進(jìn)出路徑）。

人機(jī)交互模塊應(yīng)能夠接受人員提出的請求并與邏輯單元進(jìn)行信息交換，并根據(jù)邏輯單元的授權(quán)允許人員執(zhí)行操作請求。根據(jù)具體需要，人機(jī)交互模塊宜顯示以下信息：

1.人員可以進(jìn)入的任務(wù)區(qū)，任務(wù)區(qū)的進(jìn)入路徑以及必要時(shí)的離開路徑；

2.所選擇任務(wù)；

3.允許人員執(zhí)行的任務(wù)；

4.響應(yīng)執(zhí)行安全相關(guān)操作請求的授權(quán)結(jié)果；

5.如果會(huì)發(fā)生自動(dòng)/意外重新啟動(dòng)（見GB/T 15706－2012的6.3.3.2.5），則宜顯示可進(jìn)入的相鄰任務(wù)區(qū)的主要信息，如操作模式。

智能授權(quán)系統(tǒng)可激活/禁止的安全功能，宜包括但不限于：

1.模式選擇

2.重新啟動(dòng)；

3.復(fù)位；

4.釋放將防護(hù)裝置鎖定在關(guān)閉位置的防護(hù)鎖定裝置（見GB/T 18831）。

智能授權(quán)系統(tǒng)集成商宜根據(jù)GB/T 16855.1和GB/T 16855.2，驗(yàn)證并確認(rèn)智能授權(quán)系統(tǒng)整體作為使能/授權(quán)裝置是否滿足安全功能的要求。

權(quán)限管理的主要目標(biāo)是，減少授權(quán)進(jìn)入受控區(qū)進(jìn)行機(jī)器特定操作人員受到危險(xiǎn)能量傷害的風(fēng)險(xiǎn)。授權(quán)方案設(shè)計(jì)前，設(shè)計(jì)授權(quán)人員在危險(xiǎn)區(qū)作業(yè)的危險(xiǎn)能量控制方案非常重要。

三、權(quán)限管理方案實(shí)施中的注意點(diǎn)

權(quán)限管理的主要目標(biāo)是，減少授權(quán)進(jìn)入受控區(qū)進(jìn)行機(jī)器特定操作人員受到危險(xiǎn)能量傷害的風(fēng)險(xiǎn)。授權(quán)方案設(shè)計(jì)前，設(shè)計(jì)授權(quán)人員在危險(xiǎn)區(qū)作業(yè)的危險(xiǎn)能量控制方案非常重要。危險(xiǎn)能量的控制方法可以參考標(biāo)準(zhǔn)GB/T 33579-2017《機(jī)械安全 危險(xiǎn)能量控制方法 上鎖/掛牌》和將要發(fā)布的國標(biāo)《機(jī)械安全 危險(xiǎn)能量控制 通用規(guī)范》征求意見稿。

危險(xiǎn)能量的風(fēng)險(xiǎn)，應(yīng)按下列順序采取風(fēng)險(xiǎn)減小措施：

1.通過本質(zhì)安全設(shè)計(jì)消除危險(xiǎn)；

2.使用防護(hù)裝置、保護(hù)裝置等安全防護(hù)裝置進(jìn)行安全防護(hù)；

3.盡可能控制任何剩余風(fēng)險(xiǎn)：一是建立健全安全工作制度；二是設(shè)立危險(xiǎn)警示標(biāo)志并進(jìn)行人員培訓(xùn)。

在機(jī)器投入使用前，其最終用戶應(yīng)按照 GB/T 15706-2012第5章對(duì)機(jī)器進(jìn)行風(fēng)險(xiǎn)評(píng)估，以使操作者充分了解機(jī)器存在的危險(xiǎn)能量并采取相應(yīng)的控制措施，實(shí)現(xiàn)與機(jī)器的安全交互。應(yīng)根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果確定在機(jī)器調(diào)試、正常運(yùn)行、維護(hù)和維修期間采用的危險(xiǎn)能量控制方法，以及安全防護(hù)措施。危險(xiǎn)能量控制的決策圖，如圖4所示。

圖4 危險(xiǎn)能量控制決策圖

在某些情況下，根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果也可以確定在不需要安全隔離的情況下執(zhí)行某些任務(wù)（如裝載/卸載物料、檢查、微調(diào)、潤滑或疏通等），并依靠控制系統(tǒng)有關(guān)防止意外啟動(dòng)的安全部件，正常地執(zhí)行規(guī)定功能。執(zhí)行上述任務(wù)前，需要將機(jī)器置于安全狀態(tài)。聯(lián)鎖依靠控制裝置（如開關(guān)、繼電器和接觸器）使機(jī)器進(jìn)入安全狀態(tài)，并在干預(yù)發(fā)生時(shí)保持機(jī)器安全。這類控制裝置有時(shí)會(huì)發(fā)生故障，因此安全相關(guān)控制系統(tǒng)的設(shè)計(jì)人員宜進(jìn)行完整性設(shè)計(jì)，用以表示控制系統(tǒng)的可靠性水平。控制系統(tǒng)的完整性是衡量其所提供的風(fēng)險(xiǎn)減小效果的一種度量方法，通常以控制系統(tǒng)的性能等級(jí)（見GB/T 16855.1）表示；或以安全完整性等級(jí)（見GB 28526）表示。

對(duì)特定任務(wù)的風(fēng)險(xiǎn)評(píng)估表明，不同的任務(wù)需要控制系統(tǒng)減小風(fēng)險(xiǎn)的等級(jí)不同。對(duì)更高風(fēng)險(xiǎn)的干預(yù)需要更可靠的控制系統(tǒng)，因此宜根據(jù)安裝在相關(guān)機(jī)器上的控制系統(tǒng)的完整性對(duì)每項(xiàng)干預(yù)進(jìn)行評(píng)估，確認(rèn)其是否提供了所要求的可靠性。

對(duì)于長時(shí)間的活動(dòng)或可能全身進(jìn)入危險(xiǎn)區(qū)的情況，通常需要安全隔離。

對(duì)于短時(shí)間的小型任務(wù)，如果活動(dòng)可以輕松快速完成，無需全身進(jìn)入危險(xiǎn)區(qū)，且不存在暴露的危險(xiǎn)部件導(dǎo)致的持續(xù)的危險(xiǎn)狀態(tài)，或防護(hù)裝置被關(guān)閉或被第二個(gè)人輕易破壞時(shí)，則可以接受依靠聯(lián)鎖隔離。

重要的是，那些提供機(jī)器供工作使用的單位/個(gè)人，要能夠證明他們有健全的系統(tǒng)來管理短時(shí)間和長時(shí)間的機(jī)械干預(yù)。這包括對(duì)將要執(zhí)行的任務(wù)進(jìn)行風(fēng)險(xiǎn)評(píng)估，針對(duì)任何聯(lián)鎖系統(tǒng)的安全完整性進(jìn)行判定，選取安全可靠的控制措施，如隔離和鎖定程序以及安全工作制度，以確?？深A(yù)見任務(wù)的安全執(zhí)行。

表2中對(duì)不同工作任務(wù)時(shí)如何進(jìn)行風(fēng)險(xiǎn)減小和危險(xiǎn)能量控制進(jìn)行了總結(jié)。如前文所述，上鎖/掛牌LOTO依舊是危險(xiǎn)能量控制首選的方式。上鎖/掛牌可以用傳統(tǒng)的方式，也可以用帶智能LOTO功能的智能產(chǎn)品。智能LOTO產(chǎn)品，通過自帶的LOTO程序邏輯、電子管理日志等功能，用工程的方式減小了管理的難度。

表2 機(jī)器不同工作任務(wù)的風(fēng)險(xiǎn)減小與能量控制方法示例表

除要注意能量控制方案設(shè)計(jì)外，生產(chǎn)商和集成商應(yīng)將授權(quán)系統(tǒng)的使用信息作為重要資料提供給用戶，以幫助用戶制定合理的安全操作規(guī)程和進(jìn)行必要的人員培訓(xùn)。

培訓(xùn)之所以重要，是因?yàn)閳?zhí)行任務(wù)的工作人員的能力，可以說是有關(guān)風(fēng)險(xiǎn)減小措施中的主要要求。只有具備必要知識(shí)和經(jīng)驗(yàn)的人員，或在具備安全地執(zhí)行涉及危險(xiǎn)能量控制的工作活動(dòng)所需技術(shù)知識(shí)和經(jīng)驗(yàn)的人員的監(jiān)督下，才能從事危險(xiǎn)能量控制工作。

危險(xiǎn)能量控制的管理人員應(yīng)明確機(jī)器危險(xiǎn)能量控制的操作者所承擔(dān)的任務(wù)，并能證明該人具有適當(dāng)和足夠的知識(shí)與經(jīng)驗(yàn)來執(zhí)行所指定的任務(wù)。

能力是確保安全的一個(gè)重要因素，機(jī)器危險(xiǎn)能量控制的操作者應(yīng)具備與其職責(zé)相對(duì)應(yīng)的相關(guān)資質(zhì)、實(shí)踐經(jīng)驗(yàn)和素質(zhì)，包括：

1.為完成所需執(zhí)行的任務(wù)接受必要的知識(shí)和經(jīng)驗(yàn)的培訓(xùn)；

2.充分了解其負(fù)責(zé)的機(jī)器和系統(tǒng)的危險(xiǎn)和故障模式；

3.對(duì)組織中使用的工作實(shí)踐的了解和理解；

4.具有與同伴、在其監(jiān)督下工作的任何人和負(fù)責(zé)人進(jìn)行有效溝通的能力；

5.對(duì)自己的局限性和約束的認(rèn)識(shí)，無論是知識(shí)、經(jīng)驗(yàn)、設(shè)施、資源等。

培訓(xùn)是獲得能力的主要方式之一，所有參與危險(xiǎn)能量控制的用戶應(yīng)接受安全有效地執(zhí)行任務(wù)的培訓(xùn)，包括：

1.在進(jìn)行危險(xiǎn)能量控制時(shí)，對(duì)典型危險(xiǎn)的認(rèn)識(shí)；

2.了解危險(xiǎn)能量控制所涉及的機(jī)器和設(shè)備的故障模式；

3.對(duì)指定機(jī)器所存在風(fēng)險(xiǎn)的實(shí)際評(píng)估；

4.了解有關(guān)危險(xiǎn)能量控制失效的因素。

能力不僅僅是技能和經(jīng)驗(yàn)，還包括態(tài)度。部分智能授權(quán)系統(tǒng)對(duì)人員身份進(jìn)行識(shí)別，可與培訓(xùn)系統(tǒng)聯(lián)通數(shù)據(jù)，獲取人員技能、經(jīng)驗(yàn)等信息，但對(duì)人員的態(tài)度識(shí)別仍然缺少可靠的技術(shù)手段。人的不安全行為是風(fēng)險(xiǎn)因素中最不確定的要素，下篇進(jìn)行的智能安全預(yù)警方案，將就如何減小安全防護(hù)對(duì)于人安全意識(shí)的依賴展開詳細(xì)介紹。