我國自動扶梯功能安全應用存在的問題與對策

李中興

(廣州特種機電設備檢測研究院，廣東 廣州 510663)

電梯事故持續成為媒體關注的焦點，尤其是自動扶梯事故。自2010年12月深圳自動扶梯逆行事故、2011年7月北京地鐵自動扶梯逆行事故和2015年7月湖北“扶梯卷人”事故發生之后，更是使得自動扶梯的安全問題不斷升溫，已成為電梯行業的重中之重。電梯從以實現基本功能為主到融入多種安全保護裝置再到往功能安全的方向發展，可以說其安全系數越來越高。早在1996年美國國家標準學會(ANSI)/美國儀器儀表學會(ISA)就發布了《加工工業的安全儀器化系統的應用》(ANSI/ISA S84.01—1996)標準[1]，2000年國際電工委員會(IEC)發布了《電氣/電子/可編程電子(Electrical/Electronic/Programmable Electronic，E/E/PE)安全相關系統的功能安全》(IEC 61508)標準[2]，隨著IEC 61508的發布，有關功能安全問題的研究逐步成為研究的熱點。隨后各行各業都出臺了基于IEC 61508的相關標準，如過程工業領域的標準 IEC 61511[3]，核工業領域的標準 IEC 61513，機械工業領域的標準 IEC 62021等[4]。我國也在2006年發布了GB/T 20438標準(等同采用IEC 61508)，2007年發布了GB/T 21109標準(等同于 IEC 61511)[5]。功能安全問題越來越受到各個國家的重視，國外功能安全評估和認證也開始逐步完善和成熟，用戶通過委托第三方評估和認證機構對所選用的安全相關系統進行評估和認證，以確保其能夠達到預期的效果，比如德國的TUV認證機構。

目前，我國已有少數功能安全評估和認證機構進行功能安全評估，但還處于起步階段。無論是電梯還是自動扶梯，其出廠時必須要有安全保護裝置，這是標準的強制要求。然而這些安全裝置是否能百分之百地發揮作用，實現安全保護，這涉及到功能安全的問題，以往的標準中并沒有明確的規定。鑒于此，我國最新的扶梯國家標準《自動扶梯和自動人行道的制造與安裝安全規范》(GB 16899—2011)[6]中提出了用于自動扶梯和自動人行道的可編程電子安全相關系統(Programmable Electronic System in Safety Related Applications for Escalators and Moving Walks,PESSRAE)，為使用可編程電子安全相關系統提供了依據。自動扶梯功能安全產品及功能安全評估方法也將成為未來的研究發展方向。

1 功能安全的引入

已有調查顯示，自動扶梯的事故中有相當一部分并不是沒有安全保護裝置，而是由于安全保護裝置未及時發揮其應有的作用，這就涉及到保護裝置的可靠性問題，它是另外一個概念。這不是標準有沒有、行不行的問題，而是功能安全的范疇。功能安全就是為了防止安全設施的功能失效所導致的危險，主要解決安全設施的有效性問題。

1. 1 功能安全基本術語

IEC 61508標準中定義功能安全為：與受控設備(EUC) 和EUC控制系統有關的整體安全組成部分，它取決于電氣/電子/可編程電子E/E/PE安全相關系統、其他技術安全相關系統和外部風險降低設施功能的正確使用[2]。

安全完整性 (safety integrity)為：在規定的條件下、規定的時間內，安全系統成功實現所要求的安全功能的概率[2]。

IEC 61508標準中規定系統有4種安全完整性水平，SIL4是安全完整性水平最高的等級，SIL1是安全完整性水平最低的等級。實際上，系統能達到SIL4安全完整性水平等級是很困難的。安全完整性水平(SIL)等級對應的風險降低因數RRF值，見表1[7]。

表1 安全完整性水平(SIL)等級對應的風險降低因數RRF值

注：PFD=1/RRF，是衡量功能安全的安全性能水平。

為了實現上述功能安全的要求，達到理想的安全完整性水平(SIL)等級，需要有良好的管理模式、嚴格的規章制度、完善的功能安全產品、合理的風險降低措施以及專業的技術人員。

1. 2 功能安全管理的框架

整體安全生命周期在IEC 61508標準中給出的定義包含16個階段，大致分為3個過程：1～5階段表示分析過程；6～13階段表示實現過程；14～16階段表示運營過程[7-8]，如圖1所示。

功能安全管理貫穿于整個安全生命周期，從產品的理念到產品的退役。對于自動扶梯，功能安全管理要從扶梯相關功能安全產品的設計理念開始，到功能安全的評估，直到扶梯的完全退役為止都要進行嚴格的管理。

2 自動扶梯功能安全的有關規范和標準

自動扶梯是復雜的機電產品，機械安全和電氣安全都是研究的重點，最新發布的國家標準將功能安全相關條款納入到規范中， 這表明功能安全在不久的將來很可能將作為強制要求來實施。

圖1 整體安全生命周期Fig.1 Safety life cycle

表2 監測裝置和電氣安全裝置(或功能)的要求

2.1 可編程電子安全相關系統(PESSRAE)

最新的扶梯國家標準GB 16899—2011中，第3.1.22條定義了用于自動扶梯和自動人行道的可編程電子安全相關系統(PESSRAE)，其包含用于表2所列安全應用的、基于可編程電子裝置的以及用于控制、防護、監測的系統，包括系統中所有元素(例如電源、傳感器和其他輸入裝置、數據高速公路和其他通信途徑以及執行器、其他輸出裝置)；第5.12.1.2.6條規定，如果PESSRAE和一個與安全無關的系統共用同一硬件，則該硬件應符合PESSRAE的規定[6]。PESSRAE是基于軟件的PES在電梯/扶梯安全相關系統中的應用。

表2中，(c)～(n)及(q)所述事件達到的要求有3種途徑：第一種是滿足5.12.1.2.2的安全開關；第二種是滿足5.12.1.2.3的安全電路；第三種是滿足PESSRAE，并同時給出了SIL等級的要求，最高要達到SIL2等級。對于第三種提及的PESSRAE要求應符合《電氣/電子/可編程電子安全相關系統的功能安全》(GB/T 20438)標準的規定。GB/T 20438等同采用國際標準IEC 61508[9-11]。

2. 2 自動扶梯相關的功能安全標準

自動扶梯相關的功能安全標準最早且有影響的是IEC在2000年2月發布的功能安全基礎標準IEC 61508[2]。同時，還有《機械安全——控制系統相關安全部件——第1部分》(ISO 13849-1—2015)標準，它建立在系統風險分析的基礎上，主要應用于電氣、液壓、氣動系統以及部分電子產品系統[12]；《機械安全與安全有關的電氣、電子和可編程電子控制系統的功能安全》(IEC 62061—2012)標準，它提供了采用復雜的、可由先前非傳統系統結構執行的安全功能的方法，適用于電氣系統領域[13]。此外，還有ISO 22201—2017系列標準，其包括三個部分：ISO 22201-1是針對電梯安全相關的PESSRAL的設計和開發；ISO 22201-2是針對自動扶梯/自動人行道安全相關的PESSRAL的設計和開發；ISO 22201-3是關于電梯、自動扶梯/自動人行道安全相關的PESSRAL的維修與改造活動，源于IEC 61508和EN 81標準，并且參考了IEC 61508標準中的風險分析方法[14]，如圖2所示。

圖2 自動扶梯相關的功能安全標準Fig.2 Escalator-related functional safety standards

3 我國自動扶梯功能安全應用存在的問題及未來的研究發展方向

3. 1 存在的問題

自動扶梯在安全方面的設計是基于機械和電氣的，通過增加安全部件或增加電氣相應安全措施來實現。但是，這些措施的可靠性并未設計得很理想，而采用PESSRAE可以從根本上減少故障和事故的發生，從而提高電梯的可靠性和安全性。目前我國自動扶梯行業在功能安全應用方面主要存在如下問題：

3.1.1 自動扶梯功能安全標準體系與國際水平存在差距

功能安全基礎標準IEC 61508于2000年正式發布，隨后陸續出臺了以它為基礎的各行業標準。2011年，設置符合功能安全要求的用于自動扶梯和自動人行道的PESSRAE，被寫入了我國自動扶梯的國家標準當中，這說明我國扶梯行業的功能安全意識已經形成，然而在功能安全標準制定方面，我國等同或等效采用國際標準，大部分相關標準還是靠翻譯，因此急需要真正理解功能安全標準的理念與方法，并結合我國國情和行業的特點，制定出適合我國的功能安全標準體系。目前我國自動扶梯功能安全相關的標準與國際水平差距較大，詳見表3。

由表3可知：從標準產生數量的差距來看，電梯和自動扶梯功能安全相關的國際標準有7個，而國內標準只有4個，且全部是等同或等效采用的國際標準，等效采用率為100%，還有3個標準至今仍未轉化為我國標準，轉化率為57.1%，這意味著我國自有標準還處于空白狀態；從標準產生年代的差距來看，已轉化的標準中差距最小的是6年，最大的是14年，平均差距為9年，可見我國標準滯后的時間較長，另外還有3個標準未進行轉化和應用。

表3 國內外電梯和自動扶梯功能安全相關標準的差距

3.1.2 自動扶梯功能安全的評估方法具有局限性

成熟的功能安全理念針對的是E/E/PES安全相關系統，而對于自動扶梯很多機械安全部件安全功能的驗證無法通過像表1一樣的計算來獲得，需要尋找另外的評估方法，比如通過失效模式與影響分析等方法來評估該部件的安全可靠性(Safety Reliability,SR)等級，從而獲得等效的功能安全完整性水平(SIL)等級[15-16]。

3.1.3 功能安全評估人才缺乏

目前，我國具有功能安全工程師培訓資質的機構非常稀少，北京的“機械工業儀器儀表綜合技術經濟研究所”是較早的具有功能安全工程師培訓資質的機構，由于國內對功能安全的認識不足，加上培訓師數量有限，早幾年在該機構參加培訓的功能安全工程師人數每期不足10人，可見我國這方面人才的缺口之大。近幾年，隨著人們對功能安全認識的提高，一些機構開始開展功能安全評估與認證業務，也積極培養相關人才，但是這些人員在短期內很難系統掌握功能安全的技術和知識，更談不上對其熟練應用。

3. 2 未來的研究發展方向

針對我國自動扶梯行業在功能安全應用方面存在的問題，本文提出了未來的研究發展方向，具體如下：

3.2.1 建立和完善適合我國的自動扶梯行業功能安全的標準體系

(1) 建立自動扶梯行業功能安全的相關標準。要根據我國的國情及行業特點，并參照國際標準，建立適合我國的自動扶梯行業的功能安全標準體系和功能安全評估方法。由于自動扶梯具有產品種類繁多、系統復雜、集成度高、對安全的要求高、事故后果嚴重(即涉及人民生命和財產安全)等特點，且使用者素質參差不齊，加之我國功能安全的標準缺乏，因此需要結合這些因素，編制適合我國的自動扶梯行業功能安全的標準，尤其是功能安全的評估標準。隨著功能安全研究的深入，功能安全完整性水平等級高且系統復雜程度低的控制系統是自動扶梯功能安全產品研究的重點，而自動扶梯功能安全評估方法則是應用過程中標準研究的重點。此外，我國在扶梯安全宣傳力度方面還有待完善。

(2) 建立自動扶梯行業功能安全的管理體系。安全靠技術和管理來共同保障，先進的技術缺乏完善的管理體制，也會存在巨大的安全隱患，自動扶梯尤其是車站人流量大的場所，更需要良好的管理來減少事故的發生率，而思想意識和計劃是良好管理不可缺少的部分。自動扶梯功能安全產品的設計要從設計思想上融入功能安全的理念，從產品設計開始，時時刻刻以功能安全理念來驅動產品的設計；功能安全管理不只是管理人和設備，在整個安全生命周期的所有活動中都需要管理，這就必須要制定詳細的功能安全管理工作計劃，確定人員、部門和機構的責任，包括哪些機構和人員參與、協調機制、階段總結計劃、糾錯機制、歸檔等[17-18]。

3.2.2 研究自動扶梯非E/E/PES安全相關系統功能安全的評估方法

自動扶梯非E/E/PES安全相關系統的功能安全評估無法采用功能安全的評估方法來劃分功能安全完整性水平SIL等級，可以考慮通過失效模式與影響分析的方法來評估安全可靠性SR等級，即對一定年限自動扶梯非E/E/PES安全相關系統的危險狀況進行半定量分析，得到其風險值，具體數學模型如下：

R=f(S,P)=SP

式中：P為危險狀態導致事故發生的難易程度；S為事故的嚴重程度。

將事故發生的可能性分為A、B、C、D、E五個等級，事故的嚴重程度分為5、4、3、2、1五個等級，詳見表4。

表4 風險等級表

通過對非E/E/PES安全相關系統的指標分析，得到非E/E/PES安全相關系統的SR等級，并與SIL等級相結合，最終可得到自動扶梯功能安全的評估等級。

3.2.3 培養高水平的功能安全人才

我國人口眾多，但功能安全人才缺乏，準確運用功能安全進行設計、評估的人員遠遠不足，需要行業引導并建立適合我國行業特點的功能安全應用體系，以保證功能安全應用在我國的順利實施。

功能安全產品的設計和管理，需要具備專業知識的人員，他們應熟練掌握功能安全的理論知識和自動扶梯的專業技術。但由于功能安全在我國自動扶梯行業的應用處于起步階段，該行業同時具備功能安全理論知識和扶梯專業知識的人才極為缺乏，因此需要定期對相關人員進行系統的培訓，必要時可為他們提供出國考察和交流的機會，以培養高水平的自動扶梯行業功能安全的技術和管理人才。

4 結 論

(1) 實現自動扶梯國家標準GB 16899—2011中定義的事件，有3種途徑：第一是滿足特定要求的安全開關；第二是滿足特定要求的安全電路；第三是符合SIL等級的功能安全產品，這將成為我國自動扶梯功能安全應用未來的研究發展方向。

(2) 針對非E/E/PES安全相關系統無法采用功能安全評估方法的機械安全部件，可以采用SR等級等效的評估方法。

(3) 自動扶梯功能安全的標準體系包括標準體系和管理體系，要結合我國國情及自動扶梯行業的特點，研究適合我國的自動扶梯行業功能安全的標準體系和評估方法。

(4) 高水平功能安全專業人才的培養是目前急需要解決的問題。