急停系统审计：现场常见50项不符合项
转载。
开场案例
2025年初，华南某五金加工厂发生了一起值得深思的未遂事故。
一台200吨冲床在更换模具后试运行，操作工发现送料机构卡料，伸手去调整——手指刚碰到模具边缘，冲头突然下行。操作工本能地拍向急停按钮，冲头在离手指约2cm处停住了。
事后检查，急停回路确实切断了主电源，但问题是：冲头从拍下急停到真正停止，花了大约680ms。
该工位急停响应时间的设计目标值是≤100ms（含PLC扫描周期+接触器断开时间+制动器动作时间）。而实际680ms意味着：以操作工手部移动速度1.6m/s估算，680ms内手已经前进了约1.09m——远远超出设计余量。
拆开急停控制系统后，审计人员发现了四个严重问题：
急停按钮接线采用了"菊花链"串联——4个急停按钮串在一个触点上，导线总长度超过40m，电磁干扰导致PLC输入信号抖动。 急停回路中串联了一个中继继电器——某位工程师觉得"信号太弱"，加装了一个中间继电器放大信号，但该继电器未通过安全认证。 安全接触器的反馈触点在三个月前被短接了——因为"老是报错停机影响产能"，电工直接跳过了反馈回路。 该设备从投产至今，从未做过急停响应时间测试——所有人都默认"按下去机器会停"就是正常。
这并非孤例。据行业第三方认证机构近年对国内数百条产线的功能安全审计统计，约67%的产线存在至少三项急停系统不符合项，其中约22%的产线存在可能直接导致人员伤亡的严重不符合项。
今天这篇，我们系统梳理急停系统现场审计中最常见的50项不符合项，按五大类别逐一拆解。供大家在做安全检查或设备验收时逐条对照参考。
一、审计方法论说明
本文中的50项不符合项按以下五大维度分类，每类10项：
每项不符合项标注严重程度（高/中/低），方便您审计时分级管理。
二、电气设计不符合项（E01–E10）
E01 ❌ 急停按钮采用常开触点（NO）❌ 严重度：高
现象： 选用常开触点作为急停输入信号。
为什么不行： 急停按钮必须是常闭（NC）触点，断线或触点失效时，回路开路可被检测为急停触发。用常开触点的话，断线等于"一切正常"——最危险的失效模式。
正确做法： 选用符合IEC 60947-5-5的急停按钮，NC触点（强制断开机构），直接断线导向安全状态。
E02 ❌ 多个急停按钮串联时线缆过长 ❌ 严重度：中
现象： 2个以上急停按钮在同一个输入触点上串联成"菊花链"，总导线长度超过30m。
为什么不行： 长线缆的分布电容和电感会导致PLC输入信号抖动或延迟，尤其在接触器通断产生的电磁干扰环境中。有同事会为省I/O点数把所有急停串在一起，但超过一定长度后可靠性无法保证。
正确做法： 每个急停按钮建议使用独立输入点，或按区域分组后使用安全输入模块（带线路诊断功能）。
E03 ❌ 急停回路中串联非安全继电器 ❌ 严重度：高
现象： 在急停信号路径中加装普通中间继电器作为"信号放大"或"信号转接"。
为什么不行： 普通继电器的触点可能发生熔焊失效，且缺乏自检功能。熔焊后急停信号被旁路，按了急停也断不开电路。
正确做法： 需要信号转接时，使用带强制导向触点（Forcibly Guided Contacts）的安全继电器，或使用安全PLC的专用安全输入模块。
E04 ❌ 安全接触器反馈触点被短接 ❌ 严重度：高
现象： 安全接触器的辅助反馈触点（EDM/反馈回路）被短接跳线，PLC检测不到接触器是否正常断开。
原因： "老报错停机，一查是反馈触点接触不良，拍一下就好——索性短接了。"——有同事因为反馈回路偶尔故障，图省事直接旁路。
正确做法： 反馈触点用于监控接触器是否正常吸合/断开。接触不良说明接触器本身需要更换，而不是旁路反馈。
E05 ❌ 急停输出驱动非安全接触器 ❌ 严重度：高
现象： 急停信号接入普通PLC输出模块，驱动普通接触器切断电源。
为什么不行： 普通接触器可能发生触点熔焊，急停触发后接触器仍然吸合，动力持续输出。PLC输出模块也可能故障（输出卡死在高电平）。
正确做法： 急停信号必须通过安全继电器或安全PLC的安全输出模块，驱动带强制导向触点的安全接触器。
E06 ❌ 急停只切断主电源，不切断控制电源 ❌ 严重度：中
现象： 急停按钮只控制主接触器，伺服驱动、PLC电源、安全模块电源等控制回路持续带电。
为什么不行： 控制回路带电意味着设备可能处于"半断电"状态。伺服驱动的储能电容、气动阀的电磁线圈仍在待机。维修人员进入设备区域时存在电击和意外启动风险。
正确做法： 急停应切断设备的所有危险能源（主电源+控制电源），或至少确保控制电源不会导致危险动作。
E07 ❌ 急停回路未遵循冗余架构要求 ❌ 严重度：中
现象： 要求PLr/SILr达到PL d / SIL 2的急停回路，实际只用了单通道结构（Category 1）。
为什么不行： ISO 13849-1根据风险评估确定所需的PL（Performance Level）。Cat 1属于单通道无诊断覆盖（DC=none）的结构，无法满足PL d及以上等级对诊断能力和抗单点故障的要求。
正确做法： 根据风险评估结果选用合适的Category结构。PL d至少需要双通道（Cat 3或Cat 4）或高DC的单通道（高度可靠元件+自检）。
E08 ❌ 急停复位后设备自动重启 ❌ 严重度：高
现象： 急停按钮拉出复位后，机器立即自行启动，不需要操作人员手动确认。
为什么不行： IEC 60204-1 §9.2.5.4 明确要求：急停复位不得引发设备的任何重新启动。自动重启可能导致操作工在不知道的情况下被卷入。
正确做法： 急停复位仅解除停止状态，必须通过单独的"启动"指令手动确认后，设备才能恢复运行。且恢复运行前应发出声光警报。
E09 ❌ 急停回路中混入其他功能信号 ❌ 严重度：中
现象： 急停按钮的触点上额外串联了限位开关、安全门开关或其他非急停信号。
为什么不行： 这相当于让非急停功能控制了急停回路。限位开关故障会导致急停回路断开（误停机），而不是真正的急停动作。
正确做法： 急停回路必须是独立的，不含任何其他功能元件的触点。
E10 ❌ 使用端子排连接急停信号 ❌ 严重度：中
现象： 急停按钮的导线通过标准端子排（非防松型）进行转接。
为什么不行： 端子排螺丝可能因振动而松动，导致接触不良。在急停回路中，松动的端子就等于间歇性断线。
正确做法： 急停信号线应使用压接端子、防松螺钉或弹簧夹持式端子，并纳入每日/每周点检范围。
三、机械安装不符合项（M01–M10）
M01 ❌ 急停按钮安装位置无法被快速触及 ❌ 严重度：高
现象： 急停按钮安装在设备后侧、操作面板下方、或者被管道、料斗遮挡。
为什么不行： ISO 13850 §4.1 要求急停按钮必须在所有危险区域的操作者都能快速触及的位置。操作工右手正在工作区域，急停按钮却在身后1.5m外——真出了事根本来不及。
正确做法： 每台设备至少安装一个急停按钮，且位于显眼、无遮挡、操作者在工作姿势下可直接触及的位置。大型设备（长度超过5m）应在两端各装一个。
M02 ❌ 急停按钮安装高度不符合人体工学 ❌ 严重度：中
现象： 急停按钮安装在离地2m以上（或低于膝盖位置）。
为什么不行： 人的自然拍击动作范围在腰部到肩部之间（约0.8m–1.5m）。安装太高或太低都会显著增加反应时间。
正确做法： 急停按钮安装高度建议为0.8m–1.5m（站立操作）或0.6m–1.2m（坐姿操作）。
M03 ❌ 蘑菇头按钮直径过小 ❌ 严重度：中
现象： 使用直径小于30mm的蘑菇头按钮（或普通平按钮充当急停）。
为什么不行： ISO 13850 §4.2 和 IEC 60947-5-5 要求急停按钮操作器直径≥30mm（推荐40mm），确保在紧急情况下手掌拍击可以可靠触发。
正确做法： 选用直径40mm的蘑菇头红色急停按钮，符合ISO 13850和IEC 60947-5-5。
M04 ❌ 急停按钮缺乏防护环 ❌ 严重度：低
现象： 急停按钮直接裸露在面板上，侧面可能被硬物或操作工的身体无意触碰。
为什么不行： 虽然急停触发不是问题（触发了就停机），但频繁误触发会影响生产效率，进而诱导操作工采取措施"防止误触发"（比如用胶带粘住急停）。
正确做法： 根据安装位置风险，在急停按钮周围加装防护环或凹陷安装，防止误触碰。
M05 ❌ 急停按钮操作力不达标 ❌ 严重度：中
现象： 急停按钮按下的力超过30N（约3kg），或者力太小完全没手感就触发了。
为什么不行： 常见急停按钮的操作力在10N–30N之间（具体以产品样本为准），既要防止误触发，又要确保紧急情况下可靠按下。太费力（如40N以上）在紧急情况下可能按不下去。
正确做法： 选用符合IEC 60947-5-5的急停按钮，检查产品手册确认操作力参数。
M06 ❌ 急停按钮未保持在锁定位置 ❌ 严重度：高
现象： 按下急停按钮后，按钮自动弹回（瞬时动作型），不保持锁定状态。
为什么不行： ISO 13850 §4.3 要求急停按钮必须具有锁定功能（Push-to-Lock），按下后机械保持状态，不能自动复位。松开手的瞬时动作无法保证安全状态持续保持。
正确做法： 急停按钮必须具有机械锁存功能，按下后保持断开状态，需手动旋转/拉出复位。
M07 ❌ 旋转复位方向不一致 ❌ 严重度：低
现象： 同一产线上，部分急停按钮顺时针旋转复位，部分逆时针旋转复位。
为什么不行： ISO 13850 §4.5 建议复位操作方向应统一为顺时针旋转（或拉出复位），统一方向有助于紧急情况下的直觉操作。
正确做法： 选型时统一复位方式，建议采用拉出复位（Pull-to-Release）或顺时针旋转复位，并确保全厂统一。
M08 ❌ 急停按钮防护等级不足 ❌ 严重度：中
现象： 急停按钮的IP防护等级低于设备所在环境的粉尘/湿度要求。
为什么不行： 粉尘车间（IP6X环境下）使用IP54的急停按钮，粉尘进入按钮内部后可能卡住机械机构，导致按下后无法保持或复位后触点不能恢复。
正确做法： 根据设备环境选择IP等级。一般工业环境≥IP54，粉尘/潮湿环境≥IP65，冲洗环境≥IP67。
M09 ❌ 急停按钮数量不足 ❌ 严重度：高
现象： 长输送线（15m）只在设备起点安装了一个急停按钮。
为什么不行： ISO 13850 §4.1 要求"每个危险区域都应有至少一个急停装置"。在中段或末端发生事故时，操作工需要跑到起点才能触发急停，几秒钟的跑动时间可能就是受伤和安全的区别。
正确做法： 输送线每5–8m设一个急停拉线或按钮。大型设备按每个操作工位一个的原则配置。
M10 ❌ 急停拉线（Rope Pull）张紧不当 ❌ 严重度：中
现象： 拉线式急停的钢丝绳张紧力过松（垂度过大）或过紧（接近断裂）。
为什么不行： 张紧力不足时拉动拉线无法触发急停，过紧则钢丝绳易断或加速滚轮磨损。
正确做法： 按产品手册设定张紧力（一般30N–100N之间），定期检查钢丝绳磨损和张力。
四、程序逻辑不符合项（P01–P10）
P01 ❌ 急停在PLC程序中被"延时处理" ❌ 严重度：高
现象： PLC程序中对急停输入信号施加了定时器延时（如TON 200ms），理由是"防止振动误触发"。
为什么不行： 急停信号必须立即响应，任何有意施加的延迟都可能导致安全距离不足。真正的防抖动应在硬件层面处理，而不是软件延迟。
正确做法： 急停输入在PLC程序中使用即时中断处理（或安全PLC的专用安全输入点），不得施加软件延时。
P02 ❌ 急停信号在程序中被"取反" ❌ 严重度：高
现象： 程序中将急停NC输入的信号取反（NOT），用于指示"急停被触发"的状态位。
为什么不行： 急停信号取反本身不是问题（NC断开=急停触发），但急停逻辑分散在多个程序段、多个FB/FC中各自处理时，容易出现版本不一致或逻辑覆盖。尤其在远程I/O通信中断时，非安全程序段处理过的信号可能被误判为"一切正常"，而真正的急停触发却被程序逻辑屏蔽。
正确做法： 急停信号在程序中使用专用功能块封装，统一处理触发、保持和复位逻辑，不分散在多个程序段中手动取反。
P03 ❌ 复位逻辑未要求手动确认 ❌ 严重度：中
现象： 急停复位后，PLC自动恢复输出，不需要操作人员按"启动/确认"按钮。
为什么不行： 同上E08，IEC 60204-1 §9.2.5.4 要求急停复位不得自动重启。
正确做法： 急停复位后，必须有一个独立的手动操作（如按"启动"按钮）才能恢复运行。且启动前应有声音或视觉警示（如蜂鸣器+指示灯闪烁）。
P04 ❌ 急停功能未做周期性自检 ❌ 严重度：高
现象： 安全PLC的安全功能自检周期（Test Pulse Interval）配置过长（如超过1小时），或未开启自检功能。
为什么不行： 根据IEC 61508和ISO 13849-1，安全功能需要定期执行自检以发现潜在故障（Latent Fault）。自检周期过长意味着故障从发生到被发现的时间（Mean Time To Detection）过长。
正确做法： 安全PLC的安全功能自检周期应根据诊断覆盖率（DC）和系统类别设定。以Siemens F-PLC为例，默认自检周期应≤对应安全等级的要求。
P05 ❌ 安全PLC未做F-Runtime监控 ❌ 严重度：中
现象： 使用安全PLC但未配置故障安全运行时间监控（F-monitoring time）。安全PLC程序运行异常时不会触发安全关闭。
正确做法： 配置F-Runtime监控，设置合理的看门狗时间，确保程序跑飞时可被检测。
P06 ❌ 急停触发了非必要的设备停机 ❌ 严重度：低
现象： 按下A设备急停，导致整条生产线（B、C、D设备）全部停机，即使B/C/D设备有独立的安全防护。
为什么不行： 虽然安全（停机了比不停安全），但整线急停导致的反复重新启动（包括烘箱升温、真空泵排气、坐标归零等）浪费大量时间，影响产能。这反过来会诱导现场人员规避急停使用。
正确做法： 按区域和设备独立设置急停范围。A设备急停只切断A设备的危险能源，并通过联锁信号通知上下游设备"A已停止"，上下游设备根据自身安全逻辑决定是否继续运行。
P07 ❌ 急停动作后未记录事件 ❌ 严重度：低
现象： 每次急停触发后，PLC中无事件记录、无时间戳、无归属识别（谁按的/为什么按）。
为什么不行： 缺乏急停事件记录就无法分析急停使用模式和趋势。频繁的急停可能暗示设备本身存在安全设计缺陷（操作工用急停来"正常停机"）。
正确做法： 在HMI或上位机中记录急停触发时间、复位时间、触发源（哪个按钮），定期分析急停事件分布。
P08 ❌ 安全PLC程序中混用了非安全指令 ❌ 严重度：高
现象： 在安全PLC的F-Runtime（故障安全运行时）中使用MOVE、JMP等非安全认证的标准指令。
为什么不行： 安全PLC的F-Runtime只能使用安全认证的指令集（如Siemens F-LAD/FBD中的SFxxx指令），非安全指令未经过安全评估，可能在特定条件下产生非预期行为。
正确做法： 严格区分F-Runtime和Standard Runtime。安全功能只使用安全认证指令。
P09 ❌ 急停响应时间未经验证 ❌ 严重度：高
现象： 设计阶段的急停响应时间计算值是100ms，但从未在实际设备上做过响应时间测量。
为什么不行： 一个"100ms"的急停系统，经过老化后可能变成500ms。接触器线圈老化、制动器磨损、PLC扫描周期漂移等因素都会导致响应时间延长。
正确做法： 使用示波器或安全分析仪测量从急停按下到动力完全切断的总时间（ESTOP Response Time）。至少每年测试一次并记录。
P10 ❌ 安全PLC与非安全PLC共享机架时隔离不足 ❌ 严重度：中
现象： 安全PLC模块和非安全PLC模块在同一机架上混装，未做电气隔离。
为什么不行： 非安全I/O模块的故障（如短路、过压）可能通过背板总线影响安全PLC模块。
正确做法： 安全PLC和非安全PLC建议使用独立机架，或使用隔离模块（如Siemens的电源隔离器）。
五、管理维护不符合项（A01–A10）
A01 ❌ 急停按钮从未做过功能测试 ❌ 严重度：高
现象： 设备投产3年，急停按钮从未被实际按下测试过（"按了怕停，停了怕起不来"）。
为什么不行： 一个3年没被按下过的急停按钮，内部的触点可能已经氧化、腐蚀或卡滞。真正需要它的时候，可能按下去了但触点没有断开。
正确做法： 每周至少进行一次急停功能测试——实际按下按钮，确认设备完全停止，确认复位后不能自动重启。
A02 ❌ 测试时只按按钮不验证实际停机 ❌ 严重度：中
现象： 测试人员只在操作面板上按下急停按钮，面板上的指示灯灭了就认为"测试通过"，不去检查设备是否真的停机。
为什么不行： 指示灯灭只意味着PLC收到了信号，不等于主接触器真正断开了。接触器可能熔焊。
正确做法： 测试时必须在安全距离外观察或通过设备反馈（电流表归零、电机停止转动、制动器动作声音）确认动力已完全切断。
A03 ❌ 急停测试记录缺失或不完善 ❌ 严重度：中
现象： 没有书面记录证明什么时间、谁做了急停测试、测试结果如何。
为什么不行： 审计时无法证明急停功能处于持续受控状态。出了事故在法律和标准上难以自证清白。
正确做法： 建立急停测试台账，记录每次测试的日期、测试人、测试方法、测试结果和异常处理情况。
A04 ❌ 急停按钮外观检查走过场 ❌ 严重度：低
现象： 点检表上写着"检查急停按钮外观是否完好"，检查员看了一眼"按钮还在"就勾了正常。
为什么不行： 按钮外观完好不等于内部触点正常、弹簧正常、闭锁机构正常。
正确做法： 外观检查应包括：蘑菇头无裂纹/损坏、标牌清晰、复位操作力正常、按下后可靠锁定、接线端子无松动。
A05 ❌ 急停按钮被"违停装置"遮挡/包围 ❌ 严重度：高
现象： 急停按钮周围堆满了工具、物料、包装箱，甚至被操作工用胶带贴了"别按"的字条。
为什么不行： 任何阻碍快速触及急停装置的行为都是严重的违规。有同事为了方便作业，会在急停按钮前方临时放一个料箱——但真出了事，这几秒钟的搬箱时间可能就是截肢和安全的区别。
正确做法： 急停按钮前方和周围至少保持300mm无障碍空间。定期巡查，发现遮挡立即清除。
A06 ❌ 急停按钮被人为固定/旁路 ❌ 严重度：高
现象： 急停按钮用扎带绑住、用胶带粘住、或用工具卡住使其处于"按下"或"释放"状态。
为什么不行： 这是最严重的人为绕过安全功能行为之一。常见原因是"急停太容易误触了"或"维修完了忘了恢复"。
正确做法： 急停误触问题是设计缺陷（位置/防护环/操作力不匹配），应从设计层面解决，而不是人为旁路急停功能。
A07 ❌ 同一台设备多个急停按钮动作不一致 ❌ 严重度：中
现象： 某台设备有3个急停按钮，按下A急停设备完全停止，按下B急停只停了电机但气缸还在动。
为什么不行： 所有急停按钮必须实现相同的安全停止等级（Stop Category 0或Category 1一致性）。
正确做法： 统一全设备急停系统的停止等级（通常为Stop Category 0——立即切断动力），所有急停按钮触发相同的安全动作。
A08 ❌ 急停按钮改造后未重新验证 ❌ 严重度：高
现象： 设备改造（加装工位、延长输送线、更换电控柜）后增加了新的急停按钮，但没有重新做整个急停系统的功能验证。
为什么不行： 新增加的一个按钮可能改变了整个回路的电阻、引入了新的故障模式。不只是测试新按钮——新按钮加入后，原有急停按钮的响应时间也可能变化。
正确做法： 每次涉及急停系统的改造（增加/更换按钮、更换接触器、修改安全程序），必须对整个急停系统做完整的功能测试和响应时间验证。
A09 ❌ 急停备件管理混乱 ❌ 严重度：低
现象： 备件库里的急停按钮型号与现场不一致（蘑菇头直径不同、触点配置不同、复位方式不同）。
为什么不行： 更换时可能装不上，或者装上后与原有按钮不统一（部分顺时针复位部分拉出复位），给使用造成混淆。
正确做法： 建立急停按钮备件清单，确保备件型号与现场一致。更换时记录更换原因和日期。
A10 ❌ 操作工未经培训使用急停 ❌ 严重度：中
现象： 新员工上岗培训中不包含急停系统的使用说明。
为什么不行： 操作工不知道哪些情况应该使用急停（"感觉不对就拍"）和哪些情况不应该使用急停（正常停机使用正常停机程序）。该用不敢用、不该用乱用，都会引发安全风险。
正确做法： 上岗培训中至少应包括：急停按钮的位置、使用场景、按下后做什么、复位流程。
六、标识文档不符合项（D01–D10）
D01 ❌ 急停按钮颜色不符合标准 ❌ 严重度：中
现象： 使用了黄色、蓝色或绿色的按钮作为急停装置。
为什么不行： IEC 60204-1 §10.2.1 和 ISO 13850 §5.1 明确要求：急停按钮操作器必须是红色，背景/底色必须是黄色。这是全球统一的颜色标识，用于快速识别。
正确做法： 急停按钮选择红色蘑菇头+黄色底板/背景圈。
D02 ❌ 急停按钮缺少功能标识标牌 ❌ 严重度：低
现象： 急停按钮附近没有文字标识，或标识已模糊不清。
为什么不行： 虽然没有标牌有经验的操作工也知道是急停，但访客、审计人员、新员工或应急响应人员可能无法第一时间确认。
正确做法： 每个急停按钮附近应有清晰的标牌（中文/英文），如"急停 / EMERGENCY STOP"。
D03 ❌ 急停按钮在电气图上的标注与实际不符 ❌ 严重度：中
现象： 电气原理图上标注的急停按钮编号与实际设备上的按钮编号不一致，或图纸上标注了3个急停但对不上现场位置。
为什么不行： 维修时如果按图纸查找急停位置，找不到对应按钮——导致维修人员不能准确操作。
正确做法： 定期核对电气原理图与实际设备的一致性，图纸变更后及时更新。
D04 ❌ 急停回路在图纸上未标记安全等级 ❌ 严重度：低
现象： 急停回路在电气图纸上未标明所要求的PLr或SIL等级。
为什么不行： 后续维护和改造人员无法知道原始设计的可靠性要求，可能随意更换为低等级元件。
正确做法： 在图纸上标注急停回路的安全等级要求（如"PL d / SIL 2"）。
D05 ❌ 急停按钮功能描述不明确 ❌ 严重度：低
现象： 设备说明书或操作手册中仅写了"按下急停按钮停机"，未说明急停的停止等级和停机范围。
正确做法： 手册中应明确：急停停止等级（Cat 0/Cat 1）、停机的设备范围、停机后需人工复位。
D06 ❌ 急停测试标签/合格证缺失 ❌ 严重度：低
现象： 设备上未贴最近一次急停功能测试的合格标签，或标签上日期已过期。
正确做法： 每次急停功能测试通过后，在设备控制柜或操作面板上粘贴测试标签，标注测试日期和下次测试日期。
D07 ❌ 急停按钮位置在布局图上未标注 ❌ 严重度：低
现象： 车间布局图/逃生路线图上未标注急停按钮位置。
正确做法： 在车间应急响应图和逃生路线图上标注所有急停按钮位置，便于紧急情况下应急人员快速找到操作点。
D08 ❌ 急停系统的风险评估报告缺失 ❌ 严重度：中
现象： 急停系统的风险评估（PLr/SILr确定依据）没有任何书面文件。
为什么不行： 没有风险评估就无法证明"设计了急停"和"设计的急停级别够用"。如果出了事故，监管和司法人员会问：你凭什么认为这个急停够安全？
正确做法： 保存设备的风险评估文档，其中应包含急停功能对应的危险识别、风险参数评定、PLr/SILr确定过程和依据。
D09 ❌ 急停系统的验证报告缺失 ❌ 严重度：中
现象： 有风险评估和设计计算，但没有功能安全验证报告。
为什么不行： 设计计算是纸面上的，实际安装后的功能验证才是证明。缺少验证报告，审计时无法证明系统实际达到了设计的安全等级。
正确做法： 保存急停系统的功能安全验证报告，包括：架构验证、响应时间测试、故障注入测试、PL/SIL验证计算。
D10 ❌ 外文说明书没有中文对照 ❌ 严重度：低
现象： 进口设备的急停系统说明书只有英文/德文，现场操作工和管理人员看不懂。
为什么不行： 看不懂说明书就无法正确测试、维护和整改。
正确做法： 进口设备应提供中文版急停系统使用和维护说明书，或由厂家/本地代理提供中文培训。
七、审计速查清单（50项一览）
八、审计结果的分级处理建议
在完成急停系统审计后，建议对发现的50项不符合项进行分级处理：