雙手安全控制迴路的工程原理

雙手安全控制迴路只有在已安裝的機台通過指定狀態、時序、重新啟動與故障反應測試後，才準備好投入使用。在正常循環中同時按下兩個按鈕，幾乎不能證明什麼。試運轉必須顯示一個輸入提早、延遲、持續按住、遺失或故障時會發生什麼，也要顯示氣動輸出未依指令反應時的結果。

本文是試運轉與故障注入指南。關於裝置類型、防護限制、雙手控制與雙手跳脫的差異，以及安全距離原則，請先閱讀氣動雙手控制概覽。關於性能等級設計，請參閱獨立的ISO 13849 氣動安全迴路指南。

重點摘要

ISO 13851 定義三種 THCD 類型，但只保護操作該裝置的人員。

測試每個允許狀態與每一條禁止的重新啟動路徑。

量測已安裝的輸出、壓力與危險動作，不要只看繼電器狀態。

故障必須在受控的驗證計畫下注入，絕不能讓人員暴露於危險中。

試運轉開始前必須先凍結哪些內容？

ISO 13851:2019 定義三種功能性 THCD 類型，但不會替特定機台選擇其中一種。因此，試運轉必須從已核准的安全功能規格開始，當中要辨識所選類型、暴露的人員、危害、安全狀態、所需性能等級、時序行為與機台專屬驗收上限（ISO 13851，2024 年確認）。

不要先從調整按鈕時序或閥流量開始。應先凍結定義系統必須如何行為的文件。當測試期間要求的行為還在改變，試運轉團隊就無法產生可辯護的通過結果。

最少的輸入文件應包含：

目前的風險評估與適用的 C 類機械標準；
安全功能規格與所需性能等級，或 PLr；
所選 THCD 類型與確切的裝置手冊；
帶有修訂編號的電氣與氣動迴路圖；
安全控制器程式與校驗和；
輸出閥安全手冊、回授方式與允許附件；
釋放任一隻手、重設、電源遺失與空氣遺失時的預期反應；
危險位置的已量測或指定停止與關閉上限；
故障清單、測試方法、驗收標準與復原方法；
驗證人員、測試見證人與授權放行人員的姓名及職責。

試運轉驗收標準是在測試開始前就能區分通過與失敗的可量測條件。「機台安全停止」還不夠。應明定可接受的最大殘餘位移、壓力門檻、輸出狀態、允許反應時間、感測器組合與重新啟動行為。

ISO 12100 提供先於本工作的風險評估架構，ISO 13849-1 則提供控制系統設計方法。兩者都不會為每一個雙手應用指定通用 PLr 或安全狀態（ISO 12100，2022 年確認；ISO 13849-1，2023）。

如果規格無法回答任一隻手釋放後允許存在什麼動作、壓力或儲存能量，就應停止。那是設計缺口，不是試運轉調整項目。

迴路應通過哪一份狀態表？

雙手裝置有兩個刻意設計的手部輸入，但驗證需要超過四種布林輸入組合。ISO 13851 也涵蓋防止規避、故障避免與驗證。因此，狀態表必須包括時序順序、持續輸入行為、釋放行為、重設，以及電源或空氣恢復（ISO 13851，2024 年確認）。

應從核准的安全功能規格建立狀態表。以下範例是測試架構，不能取代所選 THCD 手冊或機械標準。

測試狀態	輸入 A	輸入 B	附加條件	預期結果
S0 就緒	釋放	釋放	安全條件已滿足	輸出維持關閉，允許新的需求
S1 僅 A	致動	釋放	任意持續時間	安全輸出維持關閉
S2 僅 B	釋放	致動	任意持續時間	安全輸出維持關閉
S3 有效需求	致動	致動	已滿足同步要求	只有在所有其他安全條件為真時，輸出才可以開啟
S4 第二個輸入延遲	致動	致動	未滿足同步要求	輸出維持關閉；兩個輸入都必須回到要求的重新啟動狀態
S5 一隻手釋放	釋放	致動，或反向	在要求的控制期間內	輸出變為指定安全狀態，機台反應維持在上限內
S6 持續輸入重試	致動	釋放後重新致動，或反向	一個輸入從未回到就緒	不允許新的危險循環
S7 恢復	致動或兩者皆致動	致動或釋放	電力或空氣恢復	不得意外重新啟動危險動作

同時記錄指令與觀察結果。安全控制器位元可能已關閉，但閥仍保持切換、壓力仍被困住，或機構仍持續移動。驗收紀錄需要來自完整的輸入、邏輯、輸出與機台反應鏈的證據。

狀態名稱應出現在測試程序、控制器診斷與最終報告中。共同命名能讓失敗測試可追溯，也能避免「按鈕測試通過」這種模糊備註掩蓋實際檢查的時序或重新啟動路徑。

禁止狀態往往比有效狀態揭露更多問題。正確的雙按鈕啟動可以通過，即使防持續按壓或重新啟動防止功能有缺陷。試運轉對不得產生輸出的指令，至少要投入與唯一可能產生輸出的指令同等的注意力。

應如何測試同時性、防持續按壓與防重複？

OSHA 對特定機械動力壓床應用要求同時操作與防重複行為，而 ISO 13851 則依 THCD 類型定義裝置行為。兩個來源都不支持把任意時序值複製到每一台機台。應依所選裝置與安全功能規格所載的確切同步窗口與重新啟動順序進行測試（OSHA 1910.217；ISO 13851）。

當手動時序無法產生可重複的邊界測試時，應使用受控輸入產生器、安全控制器軌跡或具儀器監測的致動器。在允許同步上限以下、等於上限與超過上限的數值都要測試。記錄輸入轉換時間戳與安全輸出；不要根據氣缸是否剛好移動來推斷實際時序窗口。

以下順序應以 A 先與 B 先兩種方式執行：

在允許間隔內充分提前致動第二個輸入，確認可以產生有效輸出。
使用具備足夠時間解析度的設備，在文件化邊界重複測試。
在允許間隔之外致動第二個輸入，確認輸出維持關閉。
只釋放一個輸入，在另一個輸入持續按住時再次按下它，確認不會開始新的循環。
在重設或進入模式前持續按住一個輸入，再操作第二個輸入。
在重設、電源恢復與空氣恢復期間持續按住兩個輸入。
釋放兩個輸入、恢復要求的就緒狀態，確認下一個有效需求遵循文件化順序。

防持續按壓與防重複相關，但不能互換。防持續按壓是防止持續按住或被規避的輸入，與另一個輸入的重複操作結合的行為。防重複則是防止在沒有要求的釋放與重新致動順序下產生另一個危險循環。測試報告應指出每一個順序驗證哪項要求。

如果可設定的安全控制器負責時序，應驗證參數上限、存取控制、下載紀錄與校驗和。如果由專用 THCD 模組負責，應記錄確切零件編號、修訂版、供電條件與診斷指示。無論哪種情況，都要測試已安裝的訊號；型錄宣稱不能證明現場配線或管路符合經評估的配置。

故障注入規劃與測試控制

ISO 13849-2:2012 要求透過分析與測試，驗證指定的安全功能、類別與已達成的性能等級。故障注入必須放在這項規劃好的驗證流程內，並使用已辨識的故障、定義的驗收標準、授權人員、受控能量與文件化的機台復原方法（ISO 13849-2）。

絕不要在有人位於危險區的生產機台上臨時製造故障。變更安全輸入或輸出前，先建立隔離、機械約束、測試模式、能量上限與緊急復原方式。當觀察到的機台狀態與程序不符時，測試負責人應能立即停止活動。

每一個故障都應記錄：

測試 ID 與被挑戰的安全要求；
受影響的確切導線、管路、閥、感測器或軟體訊號；
機台模式、負載、位置、壓力、溫度與速度；
用於模擬故障的安全方法；
預期的診斷指示與故障反應；
目前循環、下一個循環或兩者是否都必須禁止；
預期的輸出閥、下游壓力與機械反應；
下一次測試前的復原步驟與檢查；
實際結果、證據檔案、見證人、日期與處置。

除非風險評估與驗證計畫明確要求累積故障測試，否則一次只注入一個規劃好的故障。未受控的組合會使診斷困難，也可能產生程序從未預期的危險狀態。每次測試後，都要確認臨時跳線、塞子、軟體強制、受限管路與模擬回授訊號已移除。

依我們審查驗證文件包的經驗，最危險的測試產物是未記錄的臨時旁路。明亮且有編號的測試導線，加上簽署的復原檢查表，是簡單但有效的控制，能防止一次成功的故障測試讓機台留在被規避的狀態。

輸入與邏輯故障注入矩陣

ISO 13849-1 適用於高需求或連續模式安全功能中的電氣、氣動、液壓、機械與軟體元件。因此，雙手迴路可能透過配線、管路、致動器機械件、邏輯參數或共用供應而失效。故障清單必須依實際技術建立，不能假設每個系統都純粹是電氣系統（ISO 13849-1，2023）。

應從設計的失效分析與元件安全手冊中選取故障。以下矩陣提供測試提示，不代表所列每項故障都適用或可以安全注入。

故障提示	測試挑戰的內容	應擷取的證據
輸入 A 開路或氣動訊號遺失	單通道遺失	輸出狀態、診斷、重新啟動禁止
輸入 B 開路或氣動訊號遺失	相反通道獨立性	通道反向時的相同證據
輸入短接供電或壓力保持開啟	輸入卡在啟動狀態	防持續按壓與故障偵測行為
輸入短接共用端或排氣	輸入卡在非啟動狀態	不產生錯誤輸出與正確診斷
交叉短路或交叉管路（有可信度時）	通道獨立性與差異監測	單一動作是否能同時滿足兩個通道
致動器被機械固定	防規避能力	自由致動器不會產生重複循環
輸入時序超出允許窗口	同步監測	時間戳與被拒絕的輸出
時序參數被修改	配置控制	存取保護、校驗和、診斷、測試結果
輸入模組供電遺失	去激磁行為	輸出與重新啟動狀態
重設輸入持續有效或故障	重設監測	重設不會啟動動作，也不會遮蔽輸入故障

除非元件說明與測試配置使短路方法安全，否則不要建立短路。控制器內建的測試脈衝或經認證的故障注入單元，可能是更好的選擇。氣動輸入可能需要製造商核准的阻斷、排氣或訊號保持方法，而不是夾扁管路或安裝未列出的限制件。

測試通道對稱性。如果 A 通道故障已偵測到，而相應的 B 通道故障沒有偵測到，就應調查配線、診斷配置與共因假設。兩個按鈕在控制台上看起來成對，不代表兩個輸入就具備冗餘性。

輸出與氣動故障注入矩陣

Festo 將氣動雙手控制描述為同時致動並產生輸出訊號，但該訊號本身不是安全狀態。試運轉必須測試下游閥、壓力路徑、致動器、負載與回授，因為一個失效的輸出元件或受限排氣，就可能改變機台反應（Festo 氣動安全）。

先從閥安全手冊與迴路分析辨識的輸出失效模式開始。有些故障應透過回授或測試治具模擬，而不是實際把閥卡死。方法不得損壞認證元件，也不得造成未受控的移動。

故障提示	必要的工程問題	已安裝證據
一個輸出通道沒有切換	剩餘架構能否維持指定安全功能？	控制器輸出、閥回授、壓力、動作
閥回授維持先前狀態	是否在要求時間內偵測到差異？	回授軌跡、診斷代碼、下一循環禁止
排氣路徑限制達到可信上限	壓力衰減與動作是否維持在驗收上限內？	下游壓力曲線與危險移動
消音器堵塞或裝錯附件	文件化配置是否能偵測或容忍該限制？	零件編號、壓力軌跡、測試結果
允許供氣壓力的最低與最高值	安全反應在整個允許範圍內是否仍有效？	接孔壓力、閥狀態、停止結果
空氣供應遺失並恢復	壓力恢復能否啟動動作？	指令狀態、壓力上升、致動器位置
下游管路失效或洩漏	負載會移動、釋放或掉落嗎？	負載狀態與獨立約束反應
位置或壓力回授被強制為錯誤值	合理性邏輯是否偵測到差異？	感測器數值、診斷、輸出行為
排氣後仍有重力或彈簧負載	排氣是否確實是安全狀態？	量得的移動與保持裝置狀態

安全的氣動反應可能是阻斷、排氣、停止並保持、受控回位，或這些方式的組合。立即排氣不一定在所有情況下安全。垂直氣缸可能下落，夾具可能釋放工件。當這些功能是風險降低的一部分時，請使用安全排氣閥整合指南與氣缸活塞桿鎖指南。

閥回授能證明閥元件到達受監測狀態，但不能證明危險位置的壓力下降得夠快，或危險動作已停止。驗證軌跡必須超越受監測的閥，延伸到可能造成人員受傷的物理變數。

量測已安裝的機台反應

OSHA 的機械動力壓床規則，對特定雙手防護使用每秒 63 英吋的手速常數，並搭配量得的停止或關閉時間。更廣泛的教訓是，安全距離取決於已安裝的機台反應，而不是繼電器或閥的型錄時間（OSHA 1910.217）。

應讓定義安全功能的事件在時間上對齊：

手部輸入 A 與手部輸入 B 的轉換；
安全邏輯決策與輸出指令；
輸出閥回授或受監測元件位置；
相關區域的下游壓力；
致動器、滑台、夾具或工裝的移動；
達到指定安全狀態門檻。

使用解析度與精度足以符合驗收上限的量測設備。記錄校正狀態、取樣率、感測器範圍、觸發方法與訊號縮放。手機影片可以協助說明事件，但當上限很接近時，不能取代可追溯的時序與動作資料。

應量測最可信的最差條件，而不只是方便的空載循環。相關變數可能包括最大負載、最高速度、最低與最高供氣壓力、暖機與冷機運作、磨損煞車狀態、允許的最長管路、允許的消音器、受限排氣、不利的氣缸位置與重力方向。

ISO 13855:2024 涵蓋雙手控制裝置與其他防護相對於人員接近方向的定位。應針對實際機台使用適用標準與 C 類要求。不要把 OSHA 機械壓床公式或通用 500 ms 數值套用到不相關的氣動治具（ISO 13855，2024）。

除了摘要的通過結果，也要保存原始軌跡。報告應讓審查人員在同一時間基準上辨識安全需求、輸出變化、壓力反應、機械反應與驗收門檻。

應如何測試重設、電源恢復與模式變更？

OSHA 1910.217 要求在特定壓床控制中，受中斷的行程恢復前，所有操作人員都必須釋放手部控制。ISO 13849-1 將重新啟動與安全功能行為視為完整控制設計的一部分。試運轉必須把重設、電源循環、空氣恢復與模式變更當成不同事件測試（OSHA 1910.217；ISO 13849-1）。

重設應確認安全條件並允許稍後的指令，不應由重設本身啟動危險動作。應在手部輸入均釋放、一個持續按住、兩個都持續按住，以及每個相關回授訊號正確或錯誤的情況下驗證這項原則。

至少測試以下轉換：

兩個手部致動器都未按下時，控制器電源關閉再開啟；
一個致動器持續按住時恢復電源；
兩個致動器都持續按住時恢復電源；
先恢復空氣再恢復電源，以及相反順序；
一個輸入仍有效時操作重設；
閥回授不一致時操作重設；
自動轉手動與手動轉自動的模式變更；
從緊急停止返回；
從防護裝置或外部安全需求返回；
使用網路安全功能時的通訊遺失與恢復。

記錄機台是否保持停止、壓力是否上升、致動器是否移動，以及開始新循環前需要什麼刻意操作。「沒有輸出位元」並不足夠，因為恢復空氣可能使彈簧回位閥切換，或使重力負載機構移動。

緊急停止與雙手控制是不同的安全功能。ISO 13850 獨立定義緊急停止功能，不依賴能量技術。不要用成功的緊急停止測試來結束失敗的雙手控制要求，也不要反過來（ISO 13850，2020 年確認）。

為什麼上鎖／掛牌是獨立的測試邊界？

OSHA 1910.147 明確納入氣動能量，要求受規範的維修工作處理意外通電、啟動與儲存能量釋放。雙手裝置或安全繼電器是操作防護，不會自動成為能量隔離裝置。試運轉必須把安全功能測試與維修隔離驗證分開（OSHA 1910.147）。

作為能量隔離程序一部分使用的可上鎖氣動供氣與排氣閥。

當裝置、安裝、儲存能量控制與驗證步驟符合適用要求時，可上鎖的手動供氣與排氣閥能支援能量控制程序。但它的存在不能建立自動安全功能的性能等級。同樣地，按下緊急停止或移除安全輸出，也不會自動隔離所有能量來源。

當故障注入需要進入危險區、變更管路、限制閥或接觸負載時，應採用現場授權的隔離程序。辨識氣動、電氣、機械、重力、彈簧、真空、液壓與熱能；釋放、斷開、阻擋或約束儲存能量，再於工作開始前確認隔離。

修改完成後，移除工具與臨時測試裝置、恢復防護、確認人員已離開，並遵循授權的恢復服務程序。只有在機台回到定義的測試配置後，才能開始下一項功能測試。

手動與機械閥選型指南說明一般閥功能。除非文件支持該確切用途，否則不要把一般手動閥當成安全額定隔離裝置或 THCD 輸入。

哪些證據能讓驗證紀錄可稽核？

ISO 13849-2 要求透過分析與測試，驗證指定安全功能、類別與性能等級。只有通過／失敗檢查表，不能顯示測試了什麼配置。最終紀錄必須把每項要求連結到方法、量測結果、故障反應、證據檔案與核准處置（ISO 13849-2，2012）。

每項測試使用一列，不要每個元件使用一列：

紀錄欄位	必要內容
安全功能	識別碼、說明、危害、安全狀態、PLr
要求	確切狀態、時序、動作、壓力或重新啟動標準
配置	機台序號、圖面修訂版、程式校驗和、裝置修訂版
測試條件	模式、壓力、負載、速度、位置、溫度、附件
測試動作	正常指令或確切故障注入及方法
預期結果	診斷、輸出、壓力、動作、重新啟動行為
實際結果	量測值與觀察，不只是「通過」
證據	軌跡、照片、影片、控制器紀錄、儀器檔案、校正參考
復原	移除臨時變更並確認正常配置
處置	通過、失敗、偏差、矯正措施、重測參考
核准	測試人員、需要時的獨立審查人員、日期、簽名

讓計算紀錄與驗證紀錄保持一致。如果閥類型、控制器程式、管徑、消音器、供氣壓力、移動負載、煞車、工裝或安全狀態定義發生變更，就要檢查哪些分析與測試已不再有效。配置控制也是證據的一部分。

放行機台前，應調和每個失敗或中斷的測試。「調整後通過」若沒有說明，不能算結案。記錄改了什麼、為什麼可接受、哪些文件已修訂，以及哪些回歸測試已重做。

ANSI B11.19-2019 (R2024) 涵蓋防護與其他風險降低措施的設計、安裝、操作與維護性能要求。對北美機械，應將它與適用的機械專屬 B11 標準及法規要求一起使用，不要把一份通用檢查表當成認證（ANSI B11.19）。

測試何時必須停止並返回工程部門？

ISO 12100 要求在機械生命週期中評估並驗證風險降低。試運轉不能靠對未定義的危害、不穩定的停止結果或失敗的故障反應進行調校，來核准安全功能。當驗收標準無法一致達成時，應停止測試，讓設計返回工程部門（ISO 12100）。

在以下情況停止測試：

安全狀態缺失、互相矛盾，或在文件之間改變；
故障產生未預期的危險動作或負載釋放；
臨時旁路無法被明確辨識與控制；
量得的停止或壓力衰減結果超過上限；
在不同負載或壓力條件下，結果變化超出允許容差；
閥、控制器或 THCD 文件未涵蓋已安裝配置；
已達成的 PL 計算依賴未驗證的元件資料；
診斷未能禁止規格要求的循環；
恢復電源或空氣造成意外移動；
測試需要讓人員暴露於未受控危害；
測試配置不再符合已發布的圖面與軟體。

不要藉由增加控制器延遲、降低機台速度、移動按鈕，或增加操作員指示，而不更新風險評估與驗證基礎，來掩蓋設計失敗。修改可能是有效解法，但它會建立新的配置，必須重新審查與測試。

如需報價或技術審查，請透過技術聯絡頁面提供安全功能規格、所選 THCD 類型、迴路圖、PLr、閥資料、負載與壓力條件、時序上限、故障清單與必要證據。

雙手安全迴路試運轉常見問答

ISO 13851 定義三種 THCD 類型，而 ISO 13849-1 沒有規定一個通用 PLr。因此，以下答案聚焦於已安裝系統的驗證與文件。所選裝置手冊、機台風險評估、適用的 C 類標準與當地法規要求，仍是控制性來源。

正常的雙按鈕循環能證明迴路安全嗎？

不能。它只能證明在測試條件下，一個預期指令產生了輸出。驗證還必須挑戰提早、延遲、持續按住、釋放與故障輸入；輸出與回授差異；電源與空氣恢復；以及機台的實際物理反應。驗收標準必須來自核准的安全功能規格。

兩個按鈕是否永遠都必須在 500 ms 內按下？

不要把 500 ms 當成通用機台數值。允許的同步行為取決於所選 THCD 類型、產品說明、適用標準與安全功能規格。應以 A 先與 B 先兩種順序，在文件化邊界以下、邊界上與邊界以上測試，再記錄輸入與安全輸出的時間戳。

故障注入可以在運轉中的生產機台上進行嗎？

只有在受控且經授權的驗證程序下，並且該程序能防止人員暴露於危害，才可以。注入故障前，必須先定義隔離、約束、測試模式、能量上限、復原步驟與合格人員。如果工作需要進入危險區或改變能量路徑，就要採用現場隔離程序。

閥回授能證明機台已到達安全狀態嗎？

不能。回授可以顯示受監測的閥元件到達某個位置，但壓力可能仍被困住，機構也可能繼續移動。應量測安全功能所命名的物理驗收變數，例如危險行程、停止時間、下游壓力、夾具狀態或負載約束。

雙手迴路必須多久重測一次？

不存在適用所有迴路的通用每日、每月或每年週期。應依風險評估、元件說明、使用頻率、診斷設計、環境、機台專屬標準、法規要求與失效歷史設定檢查及功能測試週期。硬體、軟體、工裝、壓力、速度或負載變更後，應重新驗證受影響的要求。

驗證要求來自哪些來源？

以下來源定義互補的邊界：ISO 13851 處理 THCD 設計與選擇；ISO 13849 涵蓋安全相關控制設計與驗證；ISO 13855 涵蓋防護定位；OSHA 規則適用於特定美國壓床與能量控制情境。任何一份都不能取代機台風險評估或適用的 C 類標準。

ISO 13851:2019。雙手控制裝置原則、三種功能類型、防止規避、選擇與驗證。2024 年確認；2026 年 7 月 22 日存取。
ISO 13849-1:2023。涵蓋電氣、氣動、液壓、機械與軟體技術的安全相關控制系統零件設計與整合方法。2026 年 7 月 22 日存取。
ISO 13849-2:2012。透過分析與測試驗證安全功能、類別與性能等級。現行發布版本正在等待修訂；2026 年 7 月 22 日存取。
ISO 12100:2010。機械風險評估與風險降低原則。2022 年確認；2026 年 7 月 22 日存取。
ISO 13855:2024。包括雙手控制裝置在內的防護，相對於人員接近方向的定位。2026 年 7 月 22 日存取。
ISO 13850:2015。不依賴能量技術的緊急停止功能原則。2020 年確認；2026 年 7 月 22 日存取。
OSHA 29 CFR 1910.217。美國機械動力壓床對特定雙手控制與跳脫的要求，包括同時操作、防重複與安全距離。2026 年 7 月 22 日存取。
OSHA 29 CFR 1910.147。受規範維修與保養期間的危險能量控制，包括氣動能量。2026 年 7 月 22 日存取。
ANSI B11.19-2019 (R2024)。防護與其他風險降低措施的性能要求。2026 年 7 月 22 日存取。