ISO 12100机械安全风险评估测试解析

标准定位与适用范围

体系定位与版本状态

ISO 12100:2010 规定机械设计通用的术语、原则与方法，用于帮助设计者在机器全生命周期内识别危险、估计与评价风险、并实施充分的风险减小，属于 A 类基础标准，也是 B 类与 C 类标准编制的基础。该版在多次系统复审后被确认继续有效，仍是现行文本。与此同时，第 2 版草案已在国际与欧洲层面并行推进并经多轮投票，讨论卫生、网络安全与防损坏、自学习系统、远程软件更新等议题，草案不能作为判定依据。

「风险评估」不是「测试」

中文标题里带「测试」容易误导。该标准交付的是一份可追溯的设计决策过程：确定机器边界与限制、识别危险与危险情形、估计风险、评价是否需要降低、选择措施、再评估残余风险，并把过程与结论文件化。测量与试验可以作为某些环节的取证手段，但不存在一个统一的「ISO 12100 合格判定试验」。把评估压缩成打分表或一次验收检查，会丢掉最关键的推理链。

层级关系与适用边界

A 类标准给出基本原则，B 类标准处理某一类安全方面或防护装置，C 类标准针对具体机器给出详细要求；存在适用的 C 类标准时，应以其具体条款为准，并用 A 类原则处理其未覆盖的危险。该标准明确不涉及对家畜、财产或环境的风险与损害。风险评估也不能替代产品规范中的验收阈值、法规中的符合性评定程序，或技术协议约定的使用方法。

试验目的与可靠性含义

要回答的问题

评估回答的是「这台机器在规定的使用限制与可预见误用下，有哪些危险情形，风险是否已被充分降低，剩余风险如何告知」。它服务于方案选型、本质安全设计、防护与联锁配置、使用信息编制，以及改型与事故反馈后的再评价。它不回答某一批次产品是否合格、不给出具体安全距离或性能等级数值，也不直接生成符合性声明。

充分风险减小的含义

目标是充分降低而非绝对消除风险；判断依据是伤害严重度、发生概率、暴露频次与时长、避免或限制伤害的可能性等要素的组合，并要考虑可预见的人为行为与干预场景。评价结论依赖所设定的使用限制，一旦使用条件、人员技能、物料特性或环境条件改变，原来的「充分」判断就可能被推翻。把「风险可接受」写成普遍适用的属性，是典型的结论越界。

与其他文件的分工

风险估计所需的具体数值与方法常来自 B 类或 C 类标准，安全距离、安全控制系统性能等级、防护结构、急停等由相应标准给出；电气、卫生、电磁兼容、功能安全与信息安全另有各自的文件体系。风险评估是把这些要求组织起来的框架，而不是它们的替代品。新版机械法规把防损坏与恶意干扰等纳入基本要求，也需要通过评估过程落到具体措施上。

R = f(S, P, E, A)　风险估计框架示意，S 为伤害严重度、P 为发生概率、E 为暴露频次与时长、A 为避免或限制伤害的可能性；分级定义须按所选工具与现行文本固定。

试验条件与参数框架

机器边界与使用限制

评估前须界定机器的空间与功能边界、预期使用与可预见误用、操作人员与可进入人员类别、使用环境与技能假定、可预见的生命周期阶段（运输、安装、调试、运行、调整、维护、清洁、故障处置、停用与拆解），以及外部接口与联机责任。边界不清会使危险识别在单元交界处出现空白，尤其是多机协同的整线与上下料接口。

危险识别的条件框架

按阶段与工况逐一列出危险：机械性的挤压、剪切、切割、卷入、坠落与喷射，电气、热、噪声、振动、辐射、材料与物质、人体工效、以及由控制失效、供能中断、软件错误或可预见误操作引发的危险情形。对每个情形描述触发条件、暴露人员与可能后果，避免只罗列危险名称而不写危险情形；也不得借助椅子、梯子或工具去改变参考平面来「满足」距离条件。

风险估计与评价的输入

估计需要严重度与发生概率两方面的输入，后者再细分为暴露、危险事件发生的可能性与避免伤害的可能性。可采用风险图、矩阵或分级表等工具，但工具的分级定义、适用条件与版本须固定并记录。多个接近方式或多个危险区同时存在时，应逐一评价；当同一接近概率下出现多个要求时，宜取更保守者，不能只挑最容易满足的一行。

R_1 ≥ R_T ⇒ M　风险评价示意，R_T 为评价准则给出的需降低界限，M 表示须进入风险减小步骤；准则来源与适用条件须写入文件。

试验方法与步骤

评估主流程

确定边界与使用限制→按生命周期阶段识别危险与危险情形→估计每项风险→评价是否需要降低→按三步法选择措施→验证措施有效且不引入新危险→估计残余风险→编制使用信息与剩余风险告知→形成文件并复核→在改型、事故或法规变化时启动再评估。各步骤应可追溯到具体条款、数据来源与决策人。

三步法的实施顺序

第一步是本质安全设计措施，通过几何、力与能量、材料、速度与稳定性等设计选择消除危险或降低风险；第二步是防护装置与补充措施，如防护罩、联锁、光幕、急停与能量隔离；第三步是使用信息，包括标识、信号、说明书、培训与个体防护要求。顺序不能颠倒：不能用警示标签替代可实现的防护，也不能把急停当作正常停机手段。

迭代与复核

每一步措施实施后都要重新估计：措施是否真正降低了原风险、是否引入新危险、是否可被绕过或失效、是否影响其他安全功能。出现分歧时回到边界、危险情形与假定条件核查，而不是直接调低风险等级。跨团队或跨实验室复核前，应统一分级定义、使用限制与工具版本，并用同一批典型场景做对照。

ΔR = R_0 − R_1　措施效果示意，R_0 为措施前估计、R_1 为措施后估计；须同时核查措施是否引入新危险或削弱其他安全功能。

测量、判据与失效定义

记录量与结果表达

文件至少应包含机器标识与边界、使用限制与人员假定、评估团队与日期、所依据的标准版本、危险清单与危险情形描述、风险估计的输入与分级依据、每项措施及其验证证据、残余风险清单、需要告知的内容与再评估触发条件。结果宜写成「某情形下原风险如何、采取何种措施、残余风险如何、告知方式为何」的可复现形式。

判据来源与失效定义

该标准提供方法与原则，不规定某一产品应达到的合格阈值；具体限值、性能等级与安全距离来自适用的 B 类或 C 类标准、法规基本要求或技术协议。风险「可接受」是相对于已声明的使用限制与评价准则而言的判断，不是绝对结论；当措施失效、被绕过或使用条件超出限制时，原判断即不再成立。

常见结论误用

把风险评估写成一次性打分表而无危险情形描述；用警示标签替代本质安全设计或防护；把草案条款当作现行依据；把 A 类原则当成 C 类标准的具体限值；忽略维护、清洁与卡料处置等干预工况；把「风险可接受」写成普遍属性；把评估完成等同于整机合规或符合性声明。这些都超出评估能支撑的范围。

R_res = R_1 − Σ M_i　残余风险示意，M_i 为按三步法依次实施的措施贡献；残余风险须通过使用信息逐项告知，不能默认可以忽略。

数据分析与报告

数据处理要点

分级与打分属于序数信息，不宜做算术平均当作风险平均值；应保留每项情形的原始判断与依据。多人独立评价出现差异时，记录分歧点与收敛理由。趋势或复评记录应标注标准版本、工具版本、使用限制与配置变更，条件变更处加断点，避免把不同假定的结论连成一条线。

文件审查要素

核查标准版本与层级关系、机器边界与接口、生命周期阶段与可预见误用覆盖情况、危险情形描述的可复核性、分级定义与输入来源、三步法顺序与措施有效性证据、残余风险告知与说明书一致性、再评估触发条件与修订记录。若文件只给一张风险矩阵图而无使用限制与措施证据，通常不足以支撑争议复核。

C = B ∪ H ∪ U　证据链示意，B 为机器边界与使用限制、H 为危险情形清单、U 为使用信息与告知；三者缺一时评估文件不完整。

实施要点与行业实践

实施要点

在项目启动阶段写清四件事：评估依据的标准版本与适用法规、机器边界与联机接口责任、分级工具与评价准则、以及再评估的触发条件。建立危险清单台账、措施验证台账、残余风险告知清单与版本修订记录；对设计变更、事故反馈、法规换版与软件升级分别设置复核节点，避免把重大变更当作例行维护。

行业实践与合规提示

常见做法是把风险评估作为技术文件的主线，向上承接法规基本要求，向下牵引防护、联锁、安全控制、电气与使用信息的具体验证；联网与自学习功能普及后，还应把数据安全与防损坏纳入危险识别并结合相应文件处理。宣传与标书用语应避免把评估完成写成绝对化或因果外推表述，也不应把「零风险」之类营销口径当作标准结论。所有分级与数值均为说明性引用，须按现行有效文本与技术协议核对。

再评估 ⇔ Δ(配置 ∨ 法规 ∨ 反馈)　触发条件示意，配置变更、法规换版或事故与未遂事件反馈任一出现时，应启动差异复核，而非沿用旧结论。

典型应用场景

典型应用场景

新产品方案阶段的本质安全设计比选、整机技术文件中的风险评估章节编制、防护与联锁配置的措施有效性复核、重大改型或控制程序升级后的再评估、事故与未遂事件后的危险清单回溯、多机整线接口责任划分、以及新版机械法规适用前的差异分析与标准清单更新等。

常见问题解答

问：ISO 12100 是一项可以出具合格结论的试验标准吗？

答：不是。它是 A 类基础标准，给出风险评估与风险减小的原则、方法和文件化要求。测量与试验可作为某些环节的取证手段，但不存在统一的合格判定试验；结论应表述为在声明的使用限制下风险是否已充分降低。

问：2010 版还现行吗？第 2 版草案能引用吗？

答：2010 年第 1 版经系统复审确认继续有效，仍是现行文本；第 2 版草案仍在多轮投票与讨论中，涉及卫生、网络安全、自学习与远程更新等新议题。草案不是正式标准，不能作为判定或技术协议的依据。

问：A 类、B 类、C 类标准该怎么用？

答：A 类给基本原则，B 类给某一安全方面或防护装置的通用要求，C 类给具体机器的详细要求。存在适用的 C 类标准时以其具体条款为准，其未覆盖的危险再回到 A 类原则处理；B 类常提供距离、性能等级等具体数值。

问：三步法为什么不能颠倒？

答：顺序体现优先级：先通过本质安全设计消除或降低危险，再用防护装置与补充措施，最后才用使用信息告知。用警示标签替代可实现的防护、或把急停当正常停机，都没有真正降低风险，也不符合风险减小的逻辑。

问：风险评估做完了是不是整机就合规了？

答：不能这样推断。评估是设计过程与文件化证据，合规还涉及适用法规的基本要求、协调标准条目、符合性评定程序、技术文件与符合性声明等。两者应分别表述，评估结论本身不构成对任何具体产品的合格结论。

问：为什么维护、清洁和卡料处置特别容易漏？

答：因为这些干预工况往往发生在防护开启、设备仍有残留能量或处于非生产模式的状态，与正常运行假定不同。评估须按生命周期阶段逐一列出危险情形，并记录隔离、使能、模式选择与权限等具体措施。

问：用了风险矩阵还需要写危险情形吗？

答：需要。分级与打分只是结果，危险情形描述才说明触发条件、暴露人员与可能后果，也是复核措施是否有效的依据。只给一张矩阵图而无使用限制与措施证据，通常不足以支撑争议复核。

问：什么情况下要重新做风险评估？

答：机器配置或控制程序变更、联机接口与责任变化、物料或使用环境改变、法规与标准换版、事故与未遂事件反馈、以及发现防护措施可被绕过时，都应启动差异复核，并对受影响项目重新验证与告知。

本文围绕相关产品标准与强制性安全标准的公开资料与工程实践进行梳理，用于说明不合格项目的试验方法、判定逻辑、成因分析与整改方向，不构成对任何具体产品的合格结论，也不替代适用法规、客户规范或经签署的试验大纲。正式标准编号、版本、限值与试验程序均以委托方提供的现行有效文本及技术协议为准；检测结论与合规判断应分别表述。