Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
IEC Guide 104 安全出版物编写与风险评估指南
IEC安全标准编写的核心框架——系统化风险评估方法论与电气安全工程实践
1. Guide 104的角色与范围
IEC Guide 104（安全出版物的编写及基础安全出版物的使用）是IEC标准体系中最重要的文件之一。它为所有IEC技术委员会在编写安全相关标准时如何处理安全问题提供了总体框架。该指南确保了数以千计涉及电气安全的IEC标准之间安全要求的一致性、完整性和合理的层次结构。没有Guide 104的协调作用，不同技术委员会可能会制定出相互矛盾的安全要求，导致制造商面临合规困境。
安全不容妥协。IEC Guide 104规定，每份安全出版物必须基于系统性的风险评估，在设计工作开始之前识别危险、评估风险并规定保护措施。这从根本上颠覆了”先设计后评估”的传统工程思维。
指南引入了三类安全出版物：基础安全出版物（涵盖适用于多种产品类型的基本安全原则）、小组安全出版物（针对相关产品系列的安全要求）和产品安全出版物（针对特定产品类型的具体要求）。这种层次结构确保基本原则一致应用，同时允许针对具体产品增加细节。例如，IEC 61140（电击防护）是基础安全出版物，而IEC 60335-1（家用电器）是在61140原则基础上构建的小组安全出版物。这种结构使得每个产品标准不必重复发明轮子，而是站在成熟的安全原则之上进行开发。
Guide 104还明确规定了安全出版物的语言要求。所有安全要求必须使用标准化的措辞，以清晰区分强制性要求（使用”应”）、建议性做法（使用”宜”）和允许性说明（使用”可”）。这种精确的语言规范避免了法规层面的歧义，确保所有利益相关方对要求的理解一致。不符合这种措辞规范的标准可能会被拒绝作为正式IEC出版物发布。
2. 风险评估方法论
Guide 104的核心是一套结构化的风险评估方法，必须在制定任何安全出版物时遵循。该方法包括五个连续步骤：危险识别、风险估计、风险评价、风险降低和残留风险接受。每个步骤都有具体的文件和决策要求，确保风险评估过程可追溯、可审计。
| 步骤 | 活动 | 关键问题 | 所需文件 |
|---|---|---|---|
| 1 | 危险识别 | 什么可能导致伤害？ | 危险清单及能量源识别 |
| 2 | 风险估计 | 严重程度和可能性如何？ | 严重度和概率估计 |
| 3 | 风险评价 | 风险是否可接受？ | 与可接受风险标准比较 |
| 4 | 风险降低 | 需要哪些保护措施？ | 控制层级分析 |
| 5 | 残留风险接受 | 剩余风险是否可接受？ | 正式接受声明 |
应用Guide 104时的常见错误是跳过危险识别直接进入风险降低。如果第一步没有识别出某个危险，就不会为其规定保护措施，导致产品看似安全却隐藏着未被识别的危险。这种”隐形的危险”是最危险的，因为它不在任何人的预期之中。
Guide 104强调的一个重要原则是保护措施的层次结构。按有效性递减顺序为：本质安全设计（消除危险本身）、安全防护和保护装置（防止接触危险）、安装和使用信息（警告危险的存在）以及个人防护装备（保护使用者免受伤害）。标准编写者必须优先选择层级较高的措施。例如，不是规定高压外壳必须贴警示标志（信息层），而是首先要求外壳带联锁装置使其在带电时无法打开（本质安全设计）。这种层次结构反映了现代安全工程的核心理念：最好的安全措施是让不安全的使用变得不可能。
3. 工程洞见与实施要点
对于设计工程师而言，Guide 104提供了几个直接影响产品设计决策的强大工具。影响最大的是”合理可预见的误用”概念。根据Guide 104制定的标准不仅必须考虑预期用途，还必须考虑即使制造商未预期但在合理情况下可能发生的误用。这包括儿童、未经培训人员或在时间压力下的用户可能采取的行动。针对可预见误用进行设计是成熟安全工程的标志。
最有效的安全设计是那些使不安全操作在物理上不可能实现的设计。Guide 104称之为”消除危险的设计”，并认为其优于任何警示标签或程序性保障措施。这种设计思维应贯穿产品开发的每个环节。
来自Guide 104的另一个关键工程洞见是多重故障条件处理。指南要求安全出版物不仅要考虑单一故障条件，还要考虑可能导致危险情况的独立故障组合。这在复杂系统中尤为重要，因为单个保护装置可能会失效。”独立保护层”概念确保没有单一故障能在没有至少一个独立备份机制的情况下导致危险情况。工程实践表明，独立保护层之间的真正独立性比保护层本身的数量更重要。
在设计冗余安全系统时，确保冗余通道真正独立。共因失效（例如两个通道使用同一电源或同一型号的传感器）可能使冗余失效，造成虚假的安全感。多样性冗余（使用不同技术或不同厂商的组件）是应对共因失效的有效策略。
Guide 104还涉及安全相关的软件和固件问题。随着数字控制在所有类型电气设备中的渗透率不断提高，该指南引用了IEC 61508（功能安全）作为软件安全要求的基础。指南强调，软件不能仅通过验证来证明其安全性——必须使用结构化的生命周期方法进行开发，在整个开发过程中采用适当的设计、验证、确认和配置管理实践。这一要求对嵌入式系统开发团队的组织方式和文档流程有深远影响。
对于标准开发者，Guide 104规定安全出版物必须包含以下方面的明确条款：电击防护、机械危险防护、热危险防护、辐射危险防护、以及火灾和爆炸防护。每个条款必须引用适当的基础安全出版物，并在基础出版物规定不足时包含应用特定要求。这种系统化的安全条款结构确保了安全考量的全面性，不会因疏忽而遗漏重要防护方面。
切勿认为符合基础安全出版物就自动确保产品安全。Guide 104要求每个产品标准进行自身的风险评估——基础出版物提供了工具和阈值，但产品特定标准必须将其正确应用于独特的用例。安全符合性不是”搭积木”，而是需要基于完整风险评估的系统性工程判断。
4. 常见问题
问1：Guide 104与ISO 12100的关系是什么？
IEC Guide 104与ISO 12100（机械安全）共享相同的风险评估方法论基础。区别在于范围：Guide 104涵盖所有电气设备，而ISO 12100专注于机械安全。对于同时属于IEC和ISO领域的机电产品，两者均适用，且它们的要求密切协调以避免冲突。两个组织通过ISO/IEC联合工作组保持方法论的一致性。
IEC Guide 104与ISO 12100（机械安全）共享相同的风险评估方法论基础。区别在于范围：Guide 104涵盖所有电气设备，而ISO 12100专注于机械安全。对于同时属于IEC和ISO领域的机电产品，两者均适用，且它们的要求密切协调以避免冲突。两个组织通过ISO/IEC联合工作组保持方法论的一致性。
问2：根据Guide 104，安全出版物应多久审查一次？
Guide 104建议安全出版物的审查间隔不超过五年，或者在发生重大事故或技术发展时提前审查。审查必须确认风险评估仍然有效、保护措施仍然充分，并且自上版本以来没有出现新的危险。这种定期审查机制是安全标准能够跟上技术发展的关键保障。
Guide 104建议安全出版物的审查间隔不超过五年，或者在发生重大事故或技术发展时提前审查。审查必须确认风险评估仍然有效、保护措施仍然充分，并且自上版本以来没有出现新的危险。这种定期审查机制是安全标准能够跟上技术发展的关键保障。
问3：Guide 104是否适用于该指南采用之前设计的传统产品？
是的，Guide 104追溯适用于传统产品——当产品被修改或适用的产品标准被修订时，就需要进行合规评估。对于未修改的传统产品，大多数监管框架要求基于当前技术状态进行风险评估，这隐含地要求使用Guide 104中描述的方法。实际操作中，通常期望传统产品进行差距分析，评估其与当前安全要求的差距，并制定整改计划。
是的，Guide 104追溯适用于传统产品——当产品被修改或适用的产品标准被修订时，就需要进行合规评估。对于未修改的传统产品，大多数监管框架要求基于当前技术状态进行风险评估，这隐含地要求使用Guide 104中描述的方法。实际操作中，通常期望传统产品进行差距分析，评估其与当前安全要求的差距，并制定整改计划。
