检修可能指清洁、排障、调整或更换部件，不同任务需要的安全状态并不相同。设计模式前先说明人要做什么、接近哪里、哪些能量仍然存在，才能确认控制方案是否充分。
一、先分清需要隔离的任务和必须带能的任务
维修任务不能统一理解为机器低速运行。能够安全断能完成的工作，应按相应隔离和释放措施处理；必须观察或调整运动的任务，则应明确为什么需要带能及如何控制风险。
| 任务信息 | 要说明 |
|---|---|
| 目的 | 清洁、排障、调整或更换 |
| 人员位置 | 进入、接近或在外操作 |
| 危险能量 | 电气、气液压、重力、弹性及热 |
| 允许动作 | 哪些动作必要，哪些应禁止 |
| 操作主体 | 权限、能力和现场分工 |
急停、停机按钮、软件禁止与能源隔离的作用不同，不能只按下急停就把所有残余能量视为消除。
先用任务表和能量图确定状态，再决定检修模式需要哪些功能，避免先写程序后补风险理由。
二、模式选择、权限和优先关系怎样核
机械指令合并文本附录I第1.2.5节规定不同控制或运行模式的选择关系，涉及明确识别、选择限制及优先条件，急停除外。不能用普通界面标签证明这些设计要求已经满足。
| 要点 | 需要验证 |
|---|---|
| 选择 | 模式明确且不会产生危险歧义 |
| 权限 | 允许谁进入、改变和退出 |
| 优先 | 其他操作站及自动命令的关系 |
| 状态 | 现场人员能否知道当前模式 |
| 转换 | 切换时运动、能量与保护的状态 |
密码或钥匙只是一种控制输入，是否充分还要看完整架构、权限和失效行为，不能凭“带钥匙开关”认定检修模式合格。
多控制站或远程功能存在时，应说明谁控制哪部分，以及如何避免一处维护、另一处启动。
三、带能干预不能简化成解除防护
对于特定操作确需在防护移开或保护装置停用条件下运行的情形，附录I第1.2.5节要求同时考虑其他模式禁用、持续操作控制、降低风险条件及防止传感信号引发危险动作等；无法同时满足时，还需相应其他保护措施确保安全干预区。
这不是允许任意旁路联锁。应由设计方根据任务、危险及适用标准，形成安全功能规格和验证依据；需要什么安全速度、动作或保持措施，不能在本文统一给数值。
| 需要描述 | 关键问题 |
|---|---|
| 允许运动 | 与任务是否必要、范围是否明确 |
| 操作保持 | 放开控制后实际发生什么 |
| 风险降低 | 哪些措施共同有效 |
| 非预期指令 | 传感器、自动和其他站点怎样受控 |
| 人员控制 | 干预位置能否控制对应部分 |
不能把提高安全等级、加一只使能器或降低普通参数，直接等同于完整方案已经完成。
四、控制设计、失效和恢复怎样形成验证
ISO 13849-1:2023公开范围涉及执行安全功能的控制系统设计、集成与软件。安全功能和所需PLr应按具体应用确定，不由某个开关或控制器的标称等级直接决定。
需要核模式进入、退出、保持操作、正常停止、异常响应、能源中断恢复、通信异常及重启条件等适用状态。
| 验证资料 | 主要作用 |
|---|---|
| 安全功能规格 | 描述触发、响应、限制及要求 |
| 架构和图纸 | 说明从输入到执行的链路 |
| 软件与参数 | 固定实际受评版本 |
| 分析和试验 | 证明正常与失效条件的表现 |
| 问题记录 | 整改、复验和关闭 |
设备能够进入检修界面，只能证明部分功能。验证还应覆盖错误、退出和恢复状态，不能只截一张界面作为安全确认。
五、更新风险、操作与量产维护文件
新增模式应更新任务风险表、控制图纸、软件参数、操作说明及验证记录。欧盟项目还应按机械法规衔接官方说明核适用时间，新法规2027年1月20日起适用，不能混写为当前已全面取代指令。
常见问题： 检修低速不自动等于安全限速；急停不代替隔离；权限控制不代替保护措施；模式退出或电源恢复不应未经判断回到危险自动运行。
说明书应明确允许任务、人员条件、隔离要求、运行限制和恢复步骤，与实际程序一致。需要培训或维护检查的内容，也应落实到交付安排。
后续改变模式权限、安全参数、软件、远程控制或设备接口，应核原评估是否仍适用，避免维护功能在版本更新中逐渐偏离原设计。
六、权检认证建议：从任务出发设计检修模式
机器新增检修模式，先分清隔离与带能任务，再核选择权限、允许动作、失效和恢复。权检认证建议把任务风险、安全功能与验证逐项关联，确保新增模式有完整设计依据和清楚的使用限制。
本文资料核对日期：2026年10月27日。配图为AI场景示意及权检认证整理的技术图示。本文包含AI辅助创作内容。法规、标准及具体办理要求应结合实际产品与对应官方现行发布核对。
