本质安全概念下的电梯制动器设计与使用风险分析

原文刊登于《中国电梯》杂志2020年第22期

作者：张 鹏，李 吉，胡 晖，金瑞卿/上海交通大学机械与动力工程学院

摘要：在本质安全概念下，以由电梯制动器引起的典型电梯故障或事故实例为基础，详细分析现有电梯制动器产品在设计上和使用时可能存在的风险和安全隐患问题。力图将本质安全的思想和基本方法同传统制动器的设计和使用结合在一起，提出相应的风险降低措施，以提高现有制动器产品的安全性和可靠性。

关键词：电梯；制动器；风险分析；本质安全

电梯制动器是电梯重要的安全装置。若电梯制动器的部件出现问题，将会导致制动器整体失效，对乘客的生命安全构成威胁。

随着永磁同步曳引机的广泛使用，电梯制动器也同时被作为轿厢上行超速保护装置和轿厢意外移动保护装置的制停部件使用。目前市面上应用最广泛的是常闭型电磁制动器，主要由电气和机械部件组成，结构复杂且存在多种失效风险。许多引起严重人员伤害或财产损失的电梯事故都与制动器的失效有关。因此，制动器自身的安全性和可靠性是保证电梯系统安全运行的最重要因素之一。目前一些相关企业和科研机构已经认识到这个问题，开始进行相关研究并取得了一些有益的成果 。

在本文中，笔者通过对典型电梯故障或事故的分析，在本质安全的概念下探讨现有制动器的设计风险和使用风险，并提出相应的风险降低措施，为提高现有制动器产品的安全性和可靠性，减少相关电梯事故的发生，提供理论方法和实践上的参考和借鉴。

1 本质安全概念及其在电梯制动器中的应用

电梯事故的发生遵循多米诺骨牌原理 (domniosequence)，即：危险状态(人的因素、电梯系统故障)→发生事故→造成损失(人员伤害、财产损失、环境破坏等)，最终形成事故链。事故按照从左到右顺序发生，一个影响一个，如果中间某一因素不发生，则最终不会发生。因此，阻止事故发生的最有效的途径就是在“危险状态”出现之后能够采取有效的“手段”，使设备停止运行或恢复初始/安全状态，这样就不会再造成后续可能的损失。而按照实施的主体来分类，这种有效的“手段”又可分为“手动操作”和“自动操作”两类。其中，前者属于“传统安全”的范畴，即将监测发现的“危险状态”通过声、光、电等途径通知相关责任人员，并由专业人员手动处理，将设备停止运行或恢复初始/安全状态。而后者属于“本质安全”的范畴，即无需操作人员的干预，当系统监测到“危险状态”后，或通过设计阶段的经验积累预测出即将发生“危险状态”时，设备自动停止运行或恢复初始/安全状态，然后再通过声、光、电等途径通知相关责任人员。

在宏观上，本质安全就是通过追求企业生产流程中人、物、系统、制度等诸要素的安全、可靠、和谐和统一，使各种危害因素始终处于受控制状态，进而逐步趋近本质型、恒久型安全目标。具体说来，本质安全是指通过设计等手段使设备或系统本身具有安全性，即使在误操作或发生故障的情况下也不会造成事故的功能。本质安全具体包括：(1)失误—安全功能(误操作不会导致事故发生或自动阻止误操作)；(2)故障—安全功能(设备、工艺发生故障时还能暂时正常工作或自动转变安全状态)。

作为一种担负极为重要的安全功能的电梯安全保护系统，电梯制动器的设计和使用，应该贯彻本质安全的理念 (见图1)。在制动器的设计阶段，应针对其使用特点和使用环境进行全面分析，并综合考虑安装、维护和拆除等多种因素，尽可能减小设计风险，尽量少留后续的安全隐患；在制动器的使用阶段，应对能够反映其主要性能特征和运动特征的物理参数(如温度、电压、电流、力、电磁特性、物理间隙等)实施有效的监控，同时明确非期望状态或危险状态的界定或阈值，要做到危险状态的及时诊断，并通过与控制系统的联动实现对于危险状态的及时控制。电梯制动器本质安全的最终目的，是实现一种包括控制系统(部分)和制动器在内的风险自可控的内生态系统，即通过设计尽可能减少后续风险，并在使用过程中对自身的所有危险状态进行有效的监控，将所有可能的危险消化在制动器相关系统之内，不会使危险扩大到电梯系统，就更不会引起伤害事故或财产损失。

但是，由于种种原因，目前市面上绝大多数的电梯制动器产品，都没有遵循本质安全的设计理念，就造成现有制动器存在种种设计风险和使用风险，给电梯系统带来不可忽视的安全隐患。

2 现有制动器的设计风险分析

在本质安全概念下，电梯制动器在设计时应充分考虑后期的各种风险。然而市面上现有的一些制动器，由于设计或制造时考虑不周或相关技术人员的经验不足，而造成了后续的缺陷和风险。

2.1 制动器部件的操作性差引起的风险

在制动器设计阶段太追求功能性，忽略了部件本身的可操作性，为后期的安装和调试带来了极大的麻烦和风险。

2011年9月，大连某小区发生电梯轿厢意外移动事故，电梯在开门情况下突发意外上行，造成乘客在迈入轿厢时被挤压身亡。经调查，事故的原因为制动器闸瓦间隙调整不当，导致制动器产生机械部件卡阻，制动瓦不能压实制动轮(两者之间有间隙)，制动器制动力矩缺失。

造成上述事故的直接原因是制动器关键零部件调节不当而影响制动力矩。造成制动器关键零部件调节不当很重要的原因是现在许多电梯制动器的调节非常繁琐(有些甚至无法进行现场调节 )。在目前非原厂维保情况普遍存在的情况下，维保工人对所维保制动器的原理和构造不一定能清楚了解或拥有丰富的相关调节经验。其次，一些曳引机和制动器生产企业不重视制动器的使用和维护，相关说明书内容简略粗糙，没有办法指导现场操作。还有一些企业虽然提供了公开的制动器使用维护说明书，但内容要么晦涩难懂、要么极为复杂繁琐。这就造成维保工人在现场对制动器进行维护和调节时，往往依赖自己的经验和实际条件，随意、野蛮维护的现象频发。

因此，在电梯制动器设计阶段，在满足其基本功能需求的基础之上，还要考虑部件本身的可操作性和可维护性，并结合人员素质、使用环境等方面的要求，充分考虑到安装和调试过程中可能引发的问题。

2.2 制动器关键部件设计不当引起的风险

当相关设计工程师经验不足或考虑不周时，常常会出现一些先天不足或自带风险的电梯制动器产品。比如：某些制动器使用普通长螺栓杆作为柱塞水平运动和制动臂旋转运动的传递部件。在这种结构中，螺杆的受力并不是完全沿其轴向的，还会受到横向的剪切力的影响。当螺杆尾部的悬臂部分过长时，随着制动器的长时间使用，螺杆尾部与制动臂接触的根部在压-剪复合应力作用下，容易疲劳开裂。近年来这种现象已经在电梯使用现场被多次发现，如图2 所示。

某些制动器存在磁场设计不合理问题，磁场不能充分利用，有漏磁现象。电磁制动器的磁场设计需要非常深厚的专业背景和技术经历，目前相当多的制动器设计人员缺乏相关的理论基础，没有能力进行复杂制动器磁场的设计，许多情况下仅仅是抄袭国外现成的经验。这就造成某些制动器电-磁转换效率不高、磁场发散且不稳定。长此下去，可能造成电磁力变弱或外壳磁化(柱塞铁芯运动阻力增大)，并最终影响制动能力。

2.3 制动器重要部件选材不当引起的风险

目前国内制动器产品除了设计水平不高之外，一些企业还为了节约成本，在重要部件的选材上动脑筋，偷工减料，导致风险的发生。

2012年9月上海市松江区发生一起由于制动器卡阻造成轿厢冲顶的事故，其主要原因是制动器松闸杆采用了容易被磁化的廉价材料，磁化的松闸杆在线圈电磁力的作用下出现了不应有的旋转运动，而这种旋转运动一方面造成了松闸杆磨损，另一方面可能阻碍了制动器铁芯的运动。如果最初制造厂家选用不会被磁化的铜制松闸杆，就不会出现这种风险。

另外，通过拆解一些发生卡阻的制动器，发现相当多的制动器中的非金属缓冲垫都受到了不同程度的损伤，严重的甚至完全破碎。这些缓冲垫的碎片，也是造成制动器柱塞卡阻的重要原因。因此，缓冲垫材质的选择就显得非常重要，应当引起企业的重视。

3 现有制动器的使用风险分析

电梯制动器由于设计因素引入的风险属于产品的先天不足，制动器的后天使用条件相对较为恶略，可靠性要求非常高。在本质安全概念下，电梯制动器在使用时应充分考虑各种风险，并对所有可能反映这些风险特征的物理参数(包括电气参数和机械参数)进行监测，一旦发现危险状态可能发生的苗头，应立即通知电梯控制系统，及时停梯。

3.1 电气环节引起的风险

3.1.1 电气元件损坏

某在用电梯在正常运行时其制动器的制动闸瓦与制动轮的间隙几乎为零，有明显的摩擦现象。通过空载轿厢上行制动试验，发现该电梯制动器的制动能力严重不足。检查该制动器的控制线路，发现其中的续流二极管被击穿，致使续流电阻与制动器线圈并联。续流电阻起分流作用，制动线圈虽通电但得电不充分，产生的电磁力减小，制动器闸瓦张开不完全，致使制动器在电梯正常运行时不能有效开闸，制动器闸瓦与制动轮磨损严重。

电梯系统中与制动器紧密关联的电气元件并不多，而且制动器发生性能退化后，一般也不会首先考虑到电气元件的问题，其风险更加隐秘。

3.1.2 吸合和释放电压异常

3.1.3 壳体被磁化

如果在电梯使用现场发现其制动器铁质外壳表面吸附了很多金属碎屑，并且经过一段时间之后还不能自行脱落，说明制动器壳体本身在线圈通电时被磁化，且线圈失电后，壳体本身的磁力不能很快消失，产生剩磁现象。

这种现象的危害在于：(1)线圈产生的磁场向外扩散，在同样的电能输入下转化为柱塞铁芯和端盖的磁吸力变小，松闸力变小；(2)壳体磁化后，有可能使壳体底部与铁芯另外一端产生吸力，使松闸力进一步变小；(3)线圈失电后，如果铁芯、端盖或壳体不能快速消磁，则铁芯与端盖之间依然保持有吸力，将造成铁芯复位阻力增大。

3.2 机械环节引起的风险

电梯制动器主要由机械部件组成，并且制动力的实施效果也是通过一系列力和位移在不同机构之间的传递中实现的，因此制动器机械环节中的使用风险很多。

3.2.1 制动器柱塞的机械延迟

3.2.2 制动器柱塞的机械卡阻

当制动器柱塞的机械运动发生严重的延迟时，就很可能引起机械卡阻。吸合过程的卡阻可能造成曳引机带闸运行，同时加速制动器闸瓦/块的磨损；释放过程的卡阻可能造成制动力不足甚至失效。

3.2.3 制动器两边机械动作不同步

现在的制动器机械动作部件大都为两组设置，即左右各有一个柱塞。当其中的一个柱塞动作发生延迟时，就造成了制动器两边机械动作不同步。此时，在制动器动作时，可以明显地听到两声“啪嗒”声。

吸合过程的不同步可能造成曳引机带闸运行，同时加速制动器单侧闸瓦/块的磨损；释放过程的不同步可能造成制动力不足，同时加速制动器单侧闸瓦/块的磨损。

3.2.4 间隙调节不当

制动闸瓦/块与制动轮/盘工作面之间的间隙直接影响到制动力矩的作用效果。间隙过大，噪声较大，制动力可能不足；间隙过小，易发生带闸运行，摩擦过大。因此，间隙的调整应严格按照相关技术要求，绝对不能随意调节。

某事故现场，某品牌永磁同步曳引机内部磁钢片大面积脱落。经检查，该曳引机为外转子结构，外转子内部贴磁钢片，外部作为制动轮。为了降低噪声，维保人员将制动鼓与制动轮的间隙调节得过小，曳引机常常处于带闸运行状态，造成外转子过热，磁钢片胶水失效，磁钢片脱落。

3.2.5 制动界面受到污染

电梯制动器产生的制动力矩，直接来源于制动闸瓦/块与制动轮/盘工作面之间的界面摩擦。在正压力一定的情况下，摩擦系数的变化会对制动力矩产生显著的影响。而现有大多数电梯制动器的制动轮/盘工作面都是暴露在外的，在相关维保操作不当时，极易受到污染。

2013年5月15日深圳某大厦乘客被电梯夹死的事故的直接原因，就是因为违规使用润滑油所致，导致制动界面污染。

3.2.6 其它

传统鼓式制动器机械结构复杂，传动部件很多，任何一个环节出现问题，都有可能对其制动能力造成影响。

某台电梯发生了伤人事故，在对电梯曳引机进行外观检查时发现该台电梯制动器制动臂的一个销轴脱出，电梯制动失灵。

4 本质安全概念下电梯制动器减低风险的措施

针对由于制动器缺陷而引起的电梯事故频发的问题，在持续提高制动器相关产品的质量的基础之上，应在制动器的设计和使用环节引入新的安全理念，进一步提高制动器整体的安全性和可靠性。

4.1 制动器设计风险的降低措施

4.1.1 全生命周期设计

生命周期设计又称生态设计，它是从产品性能、环境保护、经济可行性的角度，考虑产品开发全生命周期，包括产品设计，原材料的提取，产品的制造、包装、销售、安装、使用、维护，以及用后的回收与处置全过程。即在电梯制动器的设计阶段，将制动器从设计到报废处置的整个生命周期内所有可能涉及的风险因素都预先考虑清楚并提前制定相应的解决方案。

4.1.2 考虑人类工效学

人类工效学是根据人的心理、生理和身体结构等因素，研究人、机械、环境相互间的合理关系，以保证人们安全、健康、舒适地工作，并取得满意的工作效果的机械工程分支学科。人类工效学还强调人有产生错误行为的可能性，良好的人-机-环境系统有助于减少操作人员失误的客观因素，并有利于预防和减少由于主观因素或社会性因素造成的失误。

在电梯制动器设计方面，考虑人类工效学可以使制动器的安装、调节和维保等工作更加人性化，减少由于相关人员的素质差异而引起的调节不当或误操作。

4.1.3 免维护或少维护设计

在电梯制动器设计和制造时，将一些内部结构和参数完全固定，而外壳采用一次性永久封装的方式。制动器在安装使用时，只需通过预留的接口元件与电梯相关系统对接。调节部件少而简单，使用现场无需也无法打开外壳对制动器进行维护。贯彻免维护或少维护设计理念的制动器产品，可以减少环境因素对于制动器的影响，也避免了由于维保人员的素质因素而可能产生的维保不足或野蛮维保问题。

4.1.4 部件和整机的可靠性测试

制动器相关企业除应该满足标准要求之外，还应针对重要部件进行更加严格的可靠性测试，以保证在各种使用环境下，制动器都能保持足够的可靠性。

4.2 制动器使用风险的降低措施

4.2.1 使用冗余部件

冗余指重复配置系统的一些部件，当系统发生故障时，冗余配置的部件介入并承担故障部件的工作，由此减少系统的故障时间。现行电梯标准要求制动器的电气和机械部件都要满足两组配置，就是贯彻了冗余的思想。

4.2.2 增加内部监测的项目和参数

绝大多数的电梯制动器安全性能失效(即制动力不足或完全丧失)是一个渐进的过程，在发生足以引起电梯事故的严重失效之前，制动器可能早已经处于一种超过设计预期的非正常的工作状态，特别是某些特征物理参数，如：温度、电压、电流、力、电磁特性、物理间隙等，可能已经超标。如能对这些物理特征参数实施有效的监测，同时明确非期望状态或危险状态的界定或阈值，做到危险状态的及时诊断，就能实现风险的掌控，降低伤害事故发生的概率。

4.3 制动器风险降低的外部措施

除增强电梯制动器自身的安全性和可靠性之外，降低由于制动器的缺陷而引发的电梯故障或事故风险的另一种可能的途径是增加外部的辅助保护环节，如封星、附加制动器等。不过这已经不属于制动器本质安全的范畴。

5 结语

综上所述，制动器在电梯系统中的重要地位和多功能的用途，决定了制动器本身的安全性和可靠性是整个电梯系统安全性和可靠性的核心指标之一。目前频发的电梯事故，也从某种程度上反映了现有制动器在设计和使用当中存在种种不足。为降低制动器系统的相关风险，减少由于制动器因素而引发的电梯事故或故障，在制动器的设计和使用环节引入新的安全理念是非常必要的。本文中以现场检测或事故实例引出的风险分析为依据，力图将本质安全的思想和基本理论同传统电梯制动器的设计和使用结合在一起，希望能起到抛砖引玉的作用，推动制动器相关生产单位进一步提升电梯制动器产品的设计和制造水平，为社会提供更加安全和可靠的电梯制动器产品。

参考文献

[1]梁骁,黄文和.电梯制动器机械部件失效风险对策研究[J].中国特种设备安全,2016(10):62-64.

[2]梁治强,王文新.电梯制动器电气线路缺陷导致失效的案例分析[J].中国特种设备安全,2016(4):81-82.

[3]赵西朦,张金民.关于电梯制动器顶杆断裂的案例分析[J].中国电梯,2016,27(9):64-67.

[4]陈松, 沈健, 陈斌.两起电梯制动器不常见故障引起事故的案例分析[J].中国电梯,2015,26(23):63-64.

[5]韩郡业,冯月贵,王会方,等.电梯制动器智能监测系统的应用研究[J].信息技术与网络安全,2019(9):70-74.

[6]周张森.浅谈曳引驱动电梯制动器故障保护功能的电气设计[J].中国特种设备安全,2019(11):38-41.

[7]袁昌明.安全管理[M].北京:中国计量出版社,2010.

你