Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO 25119-2:2019 — 农业机械控制系统安全相关部件的概念阶段
危害识别、风险估计与安全需求定义的概念阶段工程方法
1. ISO 25119-2 的概念阶段生命周期
ISO 25119-2:2019 专门针对农业机械控制系统安全相关部件（SRP/CS）安全生命周期中的概念阶段。该标准作为安全策略制定的基础性步骤，发生在任何详细设计开始之前。概念阶段包括：机器及其边界的定义、危害识别和风险分析、所需性能等级的确定以及安全需求规格说明（SRS）的编制。
在概念阶段投入足够的精力——通常占项目安全工程总预算的 15-20%——可通过减少后期阶段的昂贵重新设计而获得指数级回报。来自农业机械制造商的数据表明，在产品阶段发现的概念阶段错误，其纠正成本是在概念审查时发现的 10 到 50 倍。
标准要求清晰定义机器的功能范围，包括所有运行模式（正常运行、设置、清洁、维护、故障条件）、运行限制（速度、负载、环境范围）以及接口定义（操作员控制、ISOBUS 连接、液压接口、动力输出）。该定义为后续的危害分析活动形成边界，并确保安全团队对机器的预期行为有完整的理解。
2. 危害识别与风险图方法学
ISO 25119-2 中的危害识别过程遵循源自 ISO 12100 的结构化方法，但针对控制系统特有危害进行了显著扩展。工程师必须考虑以下原因产生的危害：控制功能丧失、意外启动、意外移动、错误的速度或位置、无法停机以及导致危险机器行为的控制系统故障。
| 风险图参数 | 分类 | 描述 |
|---|---|---|
| S — 伤害严重度 | S1 / S2 | S1 = 轻微（通常可逆）伤害；S2 = 严重（通常不可逆）伤害，包括死亡 |
| F — 暴露频率 | F1 / F2 | F1 = 很少/较少接触；F2 = 频繁/持续接触 |
| P — 避免可能性 | P1 / P2 | P1 = 特定条件下可能避免；P2 = 几乎不可能避免 |
| PL — 所需性能等级 | a 至 e | 由 S、F 和 P 参数的组合确定 |
风险图通过决策树生成所需的 PL。例如，S2 + F2 + P2 组合产生 PL e——最高的安全完整性要求，通常针对维护过程中动力输出装置意外接合或运输速度下转向控制失效等危险。每个危险事件必须在危害日志中记录，危害日志成为整个项目生命周期的核心参考文件。
风险图应用的常见错误是过度分类暴露频率（F）。ISO 25119-2 要求工程师考虑所有运行阶段的暴露，包括设置、清洁和维护，而不仅仅是正常运行。即使每周仅发生一次的任务，如果涉及严重危害的直接暴露，仍可能因该特定任务的高暴露性而被分类为 F2。
3. 安全需求规格说明与设计验证规划
概念阶段的输出是安全需求规格说明（SRS），它捕获每个安全功能的功能要求和完整性要求。每个安全需求必须包括：功能描述、所需性能等级（PLr）、故障响应时间、故障条件下的行为、上电和断电行为以及与其他系统的接口。
编写良好的 SRS 条目遵循 SMART 原则：具体（每项需求对应一个安全功能）、可测量（量化的 PLr 和响应时间）、可实现（现有技术可达成）、相关（针对特定的危险事件）和可追溯（唯一标识危害日志条目）。这种方法显著降低了验证和确认阶段的模糊性。
标准还要求在概念阶段制定验证计划，包括：总体验证策略、每项安全功能的验收标准、测试方法（仿真、台架测试、现场测试）、环境测试条件以及验证活动的责任分配。通过预先规划验证，组织确保可测试性被融入设计中，而不是在系统集成时作为事后考虑才被发现。
ISO 25119 评估中最常见的不符合项之一是危害日志条目与 SRS 条目之间缺乏可追溯性。每个需要降低风险的危险事件必须能追溯到一项或多项特定安全需求。强烈建议从概念阶段开始建立双向追溯矩阵。
概念阶段的成功实施依赖于充分的前期调研和系统化的工作方法。在实际工程中，建议组织跨职能团队进行头脑风暴式的危害识别会议，利用过往项目经验和行业数据库来确保无重大遗漏。标准特别强调了操作环境对风险评估的影响——农业机械在不同季节和不同作业条件下的风险特征可能有显著差异。因此，概念阶段应当覆盖机器全生命周期的所有预期使用场景。
4. 常见问题解答
问：对于简单的农业机械，危害分析需要详细到什么程度？
答：详细程度应与复杂性和风险成正比。对于具有良好理解危害的简单机具，使用清单和已发布数据的结构化危害分析可能就已足够。对于复杂的自主机器，建议采用 HAZOP、FMEA 或 STPA 等技术。
答：详细程度应与复杂性和风险成正比。对于具有良好理解危害的简单机具，使用清单和已发布数据的结构化危害分析可能就已足够。对于复杂的自主机器，建议采用 HAZOP、FMEA 或 STPA 等技术。
问：概念阶段能否应用于现有机器的改造安全升级？
答：可以。ISO 25119-2 可用于评估和改进现有机器。在这种情况下，概念阶段包括逆向分析现有控制逻辑、记录现有架构、评估与所需 PL 的差距，然后指定改造安全措施。
答：可以。ISO 25119-2 可用于评估和改进现有机器。在这种情况下，概念阶段包括逆向分析现有控制逻辑、记录现有架构、评估与所需 PL 的差距，然后指定改造安全措施。
问：ISO 25119-2 与机械指令 2006/42/EC 的关系是什么？
答：ISO 25119-2 提供了控制系统相关安全的具体方法学，支持满足机械指令的基本健康和安全要求（EHSR）。符合 ISO 25119-2 可在机器的 SRP/CS 方面建立合规性推定。
答：ISO 25119-2 提供了控制系统相关安全的具体方法学，支持满足机械指令的基本健康和安全要求（EHSR）。符合 ISO 25119-2 可在机器的 SRP/CS 方面建立合规性推定。
📥 标准文件下载
暂无下载文件
