危险源辨识与风险分级工具包岗位任务风险评

ISO45001危险源工具包｜岗位·事件·风险·控制·复核受控工作底稿|第1页/共1页P16｜职业健康安全管理体系运行ISO45001危险源辨识与风险分级工具包岗位任务｜风险评价｜控制设计｜开工核验｜复核更新下载后第一步选一项“今天或明天要实际执行”的具体任务，在第6页T01写清场所、设备、人员、起止点和启动原因；随后由实际操作者参与T02拆步骤。不要从旧危险源库复制“机械伤害、触电、高处坠落”。这份工具要替你守住什么真正危险的不是少打一个分，而是岗位名称替代了任务、危险源名称替代了致害事件、控制措施写成“培训+PPE”，最后无人能证明关键控制在开工前真实存在。使用者最常见压力本工具交付完成标志EHS/体系专员表格有等级，现场说不清为何一条可追溯的任务—事件—风险—控制链每个高风险结论都有证据、权限和复核点生产/设备主管交期逼近，担心评估拖慢开工明确的HOLD/条件开工/已验证决定谁可开工、何时停工、缺什么证据一目了然操作者/承包商风险评估由别人填写，自己只签字把真实动作、绕行方式和失效经验带入控制能说出关键控制和停止作业条件批准/审核人员总分掩盖致命后果或控制失效门禁、剩余风险、控制验证和更新记录从批准页可反查现场与原始证据适用边界本工具适用于组织自有人员、承包商及受组织控制或影响的岗位任务风险管理。它不替代受控标准文本、属地职业健康安全法规核定、设备安全标准、职业卫生检测、医学判断、工程设计或组织授权。任何分值、矩阵、等级、开工权限和风险接受标准必须由组织批准。

一、10分钟开局：先选任务，不先抄风险库立即开始1.1哪一种触发正在逼你作决定触发当下压力默认路径非例行/高风险作业即将开工许可、人员和控制尚未全部到位T01锁边界，T08开工前做关键控制核验新设备、工装、材料或节拍变更旧评估不一定覆盖新暴露从T02重拆任务，T10记录前后差异近失、伤害、控制绕过或投诉管理层要求立即解释“还能不能做”先HOLD/隔离，再辨识和复评，不等总分周期复核或审核发现危险源清单多年复制、证据散落用现场任务和工人反馈反向验证旧结论1.230分钟首个有用结果•拿到岗位/任务计划、设备与能量资料、作业指导/许可、人员与班次、最近事件和变更；•至少让一名实际操作者和一名现场主管参与，不用会议室想象替代动作观察；•完成T01和T02后，应得到“任务步骤、暴露人员、异常/启动/清理状态、证据缺口”四项结果；•出现可能致死/永久伤害、法定/许可不清或关键控制未证实时，先标记HOLD并升级。10分钟内能开始只选一个具体任务，例如“600t自动冲压线换模并完成首件试冲”，不要写“冲压岗位”。任务越具体，控制和证据越容易落地。1.3本次交付物交付域工具带走的结果任务与人员边界T01—T02步骤、状态、人员暴露和证据缺口危险事件与门禁T03—T04危险源—事件—伤害链及一票升级事项分级决定T05—T06组织批准的方法、分维依据和风险等级可执行控制T07—T08控制层级、关键控制、开工/停工决定证据与更新T09—T10监测、工人反馈、复评、效果验证与关闭

二、从任务到复核的六道门看路线2.1决策路线：每道门都必须改变状态门关键问题工具状态/输出G0边界门任务、人员、场所和起止点是否清楚T01返回补边界或进入拆解G1识别门步骤、状态、暴露和危险事件是否完整T02—T03补观察/访谈或形成候选记录G2门禁门法定/许可、致命情景、关键控制或证据是否触发升级T04HOLD、临时控制或进入评价G3分级门方法是否批准、证据是否足以支持等级T05—T06分级、条件分级或待验证G4开工门关键控制是否在现场被证明可用T07—T08开工、条件开工或禁止开工G5复核门运行数据、工人反馈和变更是否支持维持结论T09—T10维持、升级、重评或关闭2.210个互锁工具编号名称独立价值主要责任T01任务触发与范围卡把“岗位”收缩为可观察任务EHS+任务负责人T02任务步骤与暴露地图找到启动、清理、异常和交叉作业操作者+主管T03危险源—事件—伤害识别卡把危险源与致害事件拆开辨识小组T04要求接口与门禁登记阻止法定/致命/证据问题被总分抵消授权EHS/专业人T05风险方法配置与校准确保同一口径、显示方法边界方法批准人T06风险评价与分级记录形成可解释等级和不确定性评价组T07控制层级与实施计划优先消除、替代和工程控制工程+生产T08关键控制开工核验峰值：作出HOLD/开工决定作业批准人T09监测、反馈与证据索引证明控制持续有效主管+工人T10变更复评、效果验证与关闭形成终值和下一次复核EHS+批准人

三、谁提供事实，谁有权开工角色边界3.1责任与权限角色必须交付权限边界实际操作者/工人代表演示真实步骤、异常、绕行和不便；提出停止条件不因签字承担方法批准或风险接受责任任务/班组负责人提供计划、人员、控制和班次事实；落实现场条件关键控制未通过时无权口头放行设备/工程/职业卫生专业人员验证能量、保护装置、暴露和技术可行性只在专业范围内给结论，不替代批准者EHS/体系专员组织方法、证据和更新；维护门禁及记录一致性不能用总分降低法定/重大事项工厂/部门授权批准人批准方法、资源、临时条件和剩余风险证据不足时只能条件决定，不能签永久关闭承包商接口人提供人员能力、设备、方案与变更；服从现场停止规则承包商内部批准不替代组织现场授权3.2工人协商和参与不是“最后签字”•T02由实际操作者演示正常、启动、调整、清理、故障和非常规状态；•T03记录不同班次、新员工、临时工、孕期/残障等相关脆弱性与差异暴露，按组织适用范围核定；•T07在实施前让使用者验证控制是否增加新的危险、是否容易被绕过；•T08任何人发现关键控制失败均可触发停止，恢复必须由授权人重新核验；•T09把近失、控制绕过、操作负担和改进建议作为数据，而不是“个人抱怨”。最低可信组合至少包含“直接观察+受控记录+操作者确认”。三者不一致时，结论标记待验证并扩大样本，不能选最方便的一种。

四、先把六个对象写对防止混淆4.1一条完整风险陈述对象判定问题案例写法任务步骤人在做什么、何时、在哪里进入压机模区进行模具对中危险源/危险状态能够造成伤害的能量、物质、条件或组织因素滑块、送料机构和气动/液压储能危险事件/暴露危险如何接触人或失去控制隔离不完整时意外运动或储能释放可能伤害/健康损害对谁造成什么后果挤压、截肢或致命伤害风险后果严重性与发生可能性的组合，含不确定性按组织批准方法评价，不等同于危险源名称控制阻断事件链或降低暴露/后果的具体措施能量隔离、机械支撑、个人锁、试启动验证等4.2证据可信度与状态语言等级证据形态可支持的结论C0无证据/假设只能登记补证，不支持低风险或开工C1口头说明、未核实文件或照片支持线索；需核对版本、范围和现场一致性C2直接观察+受控记录+操作者确认一致支持当前控制存在和当前评价C3跨班次/批次表现、趋势、测试或独立效果验证支持持续有效和关闭结论三条一票门禁M1法定/许可/强制要求不清或疑似不符合；M2存在可信致死、永久伤害或群体暴露情景且关键控制未证实；M3关键证据或工人参与缺失。M1/M2先HOLD并升级，M3不得给“低风险/已验证”。版本边界：截至2026-07-12，已发布要求标准仍为ISO45001:2018及其Amd1:2024；ISO/DIS45001处于制定中。组织应记录实际受控版本和认证安排，不把草案直接当作已发布要求。

T01｜任务触发与范围卡空白工具要素规则用途把笼统岗位收缩为可观察、可批准的一次任务。使用时点新任务、非例行作业、变更、事件、复核或审核发现启动时。输入来源作业计划、设备/能量图、SOP/许可、人员与班次、历史风险记录。字段口径写到具体场所、设备、步骤和人群；“冲压岗位”“维修作业”均不合格。输出受控范围、参与者、输入版本、缺口、权限和复核点。异常出口范围跨部门、设备/能量资料缺失或批准权限不清：标记HOLD并升级。下一步进入T02，由实际操作者拆任务步骤。T01空白记录字段填写/记录任务编号/触发类型____________________________________________场所、设备和组织边界____________________________________________任务起点—终点____________________________________________执行人员与受影响人员____________________________________________正常/启动/调整/清理/异常状态____________________________________________承包商与交叉作业接口____________________________________________输入文件与版本____________________________________________已有风险记录可用性____________________________________________关键证据缺口____________________________________________工人参与人员/方式____________________________________________方法与开工批准人____________________________________________截止点/复核日期____________________________________________明确不包含范围____________________________________________完成判定范围能在现场被指出；至少一名实际操作者参与；旧记录仅作为线索；缺口有责任、时限和状态。

T01｜任务触发与范围卡完整案例贯穿案例：澄岳汽车零部件（虚构）—600t自动冲压线换模与首件试冲。人员、编号和数据均为原创模拟，仅用于演示工具链。字段填写/记录任务编号/触发类型OH-2026-032；新模具导入，计划48小时后换模并首件试冲。场所、设备和组织边界一厂冲压车间P-06600t自动冲压线；含压机、送料、模具台车、气动夹紧及围栏内区域。任务起点—终点停线交接→旧模具退出→新模具吊装/对中→能量恢复→低速试冲→首件确认→正常移交。执行人员与受影响人员换模班3人、起重司机1人、设备技术员1人；相邻线巡检员可能进入交叉区域。正常/启动/调整/清理/异常状态正常换模、断电隔离、人员进入模区、试启动、卡滞调整、工具遗留、异常复位。承包商与交叉作业接口起重外协设备已入场；起重指挥由本厂授权人员承担，双方停止口令统一。输入文件与版本换模SOP-23Rev.D；能量图EN-P06Rev.B；设备手册Rev.6；旧风险表RA-P06Rev.2。已有风险记录可用性旧表只写“机械伤害/起重伤害”，未覆盖残余气压、围栏内复位和新模液压夹紧。关键证据缺口机械支撑块额定和点位证据缺失；外部HMI复位权限未核实；夜班无近期换模抽样。工人参与人员/方式白/夜班各1名换模工演示；工人代表参与控制评审；记录会议与现场观察。方法与开工批准人方法批准：EHS经理；开工批准：冲压经理+设备经理；M1/M2升级：厂长。截止点/复核日期24小时完成识别/方法校准；开工前2小时完成T08；首3次换模后复核。明确不包含范围模具设计本体安全验证由工程项目另案负责；但与换模接口的夹紧能量纳入本任务。起点结论旧风险表不能直接继承。任务已被压缩到一次换模与试冲；因关键能量和支撑证据缺失，状态为“待验证”，尚未获得开工资格。

T02｜任务步骤与暴露地图空白工具要素规则用途让危险源附着在真实步骤、状态、人员和接口上。使用时点T01边界确认后；风险名称和分数出现之前。输入来源现场演示、不同班次访谈、工艺/设备图、异常与近失记录。字段口径至少覆盖启动、停止、调整、清理、故障、应急、交叉作业和受影响人员。输出步骤—人员—能量—偏差—证据地图。异常出口无法观察的任务、人员不愿陈述或承包商接口不明：限定结论并补充观察。下一步逐个步骤进入T03识别危险源—事件—伤害链。T02主表（可复制增加行）步骤/状态人员与位置设备/能量/物质偏差或交叉接口证据/缺口S01__________________________________________________________S02__________________________________________________________S03__________________________________________________________S04__________________________________________________________S05__________________________________________________________S06__________________________________________________________覆盖追问检查域追问人员差异新员工、夜班、承包商、独自作业、沟通语言、身体/认知差异是否改变暴露？任务状态启停、调试、卡料、清扫、换型、故障恢复、应急是否被遗漏？组织因素时间压力、人员不足、绩效激励、轮班疲劳是否促使绕过控制？外部变化高温、极端天气、供应中断、场地变化是否影响人员或控制可靠性？

T02｜任务步骤与暴露地图完整案例步骤/状态人员与位置设备/能量/物质偏差或交叉接口证据/缺口S01停线交接/正常换模工在围栏外；相邻线仍运行主电源、飞轮惯性、气源生产急停不等于能量隔离SOP；现场C2S02隔离与泄能/准备授权换模工和设备员电、气、液压、重力势能共用锁、残压表、支撑点能量图C1；残压验证缺S03旧模退出/起重3名换模工+司机；吊物下禁入起重机、模具重力、夹点外协司机/本厂指挥接口吊具证据C2S04新模对中/进入模区2人进入压机模区滑块、送料、夹紧储能外部HMI可能复位；工具遗留观察C2；复位权限待核S05低速试冲/恢复1人操作台；他人退出围栏滑块运动、送料、飞料旁路/设定模式、围栏复位功能测试待做S06首件确认/异常调整检验员靠近出料端锐边、噪声、重复搬运若卡料可能重新进入模区旧近失记录C2从现场演示得到的三个关键事实•生产“急停”按钮在停线后仍被班组称作“断电”，但不能证明所有能量隔离；•S04人员进入模区对中时，外部HMI的复位权限和气动夹紧残压未被纳入旧表；•卡料处理会把S06重新带回S04，不能把“异常调整”当成另一个完全独立岗位。H03记录入口选择S04建立H03：人员进入模区时，隔离不完整或外部复位导致滑块/送料/夹紧机构意外运动，造成挤压、截肢或致命伤害。

T03｜危险源—事件—伤害识别卡空白工具要素规则用途把“机械伤害”等模糊类别改写成可控制的事件链。使用时点T02每个关键步骤形成后；一条主要事件链一张卡。输入来源任务地图、现场观察、事件/近失、工人反馈、设备与物质资料。字段口径危险源≠风险等级；必须写清事件、暴露、人员、后果和失效方式。输出可追溯的危险事件记录、证据和初始状态。异常出口事件链或伤害机制需专业确认：保持最不利合理情景并升级，不自行淡化。下一步进入T04核定要求接口和门禁。T03空白记录字段填写/记录步骤/场所/受影响人员____________________________________________危险源或危险状态____________________________________________危险事件/暴露路径____________________________________________可能伤害或健康损害____________________________________________正常/异常/紧急/变更条件____________________________________________现有控制及其层级____________________________________________控制可被绕过/失效方式____________________________________________历史事件/近失/工人反馈____________________________________________证据编号与可信度____________________________________________脆弱性/差异暴露____________________________________________不确定性与待验证假设____________________________________________初始门禁/状态____________________________________________记录人与日期____________________________________________合格句式当【人员】在【任务步骤/状态】中暴露于【危险源】时，因【失效/偏差】发生【危险事件】，可能导致【伤害/健康损害】。

T03｜危险源—事件—伤害识别卡完整案例核心记录H03｜模区对中期间意外运动挤压字段填写/记录步骤/场所/受影响人员S04／P-06模区；2名换模工，围栏外设备员和相邻人员也可能受影响。危险源或危险状态滑块、送料机构、气动/液压夹紧及其储存能量；重力下落可能性。危险事件/暴露路径人员在模区对中时，能量隔离/泄放/支撑不完整，或外部HMI误复位，机构意外运动。可能伤害或健康损害挤压、截肢、永久伤残或致命伤害。正常/异常/紧急/变更条件正常对中；卡滞后再次进入；新模具液压夹紧变更；夜班赶进度时可能简化核验。现有控制及其层级围栏联锁、主隔离开关、班组挂锁、机械支撑块、书面换模SOP；可靠性未完全验证。控制可被绕过/失效方式共用锁替代个人锁；残压表不回零仍进入；支撑块点位/额定不明；外部人员复位。历史事件/近失/工人反馈近12月无伤害；有一次卡料后未重新完整隔离的近失反馈；夜班称“熟手会快一些”。证据编号与可信度观察OBS-032=C2；旧风险表=C1；能量图=C1；近失访谈=C1；功能测试/趋势=C0。脆弱性/差异暴露新员工对锁具点位不熟；承包商司机依赖本厂手势；夜班疲劳和时间压力增加绕过可能。不确定性与待验证假设夹紧回路是否保压、机械支撑是否适用于新模具、HMI权限是否可锁定均待验证。初始门禁/状态M2触发；状态HOLD。先隔离和禁止进入，不能等待评分。记录人与日期换模工代表+EHS／2026-07-12；设备工程师待复核。证据边界“无伤害记录”不能证明低风险。当前能够确认的是致害情景可信且关键控制未验证，因此先HOLD；发生可能性和剩余风险要在T05—T08中用组织方法和现场证据判断。

T04｜要求接口与一票门禁登记空白工具要素规则用途在评分前识别不能被总分平均的法定、致命和证据事项。使用时点T03形成候选记录后、T05配置方法前；要求或设备变更时更新。输入来源受控法律/标准/许可清单、设备要求、内部规程、客户/承包商约定。字段口径不只写文件名称；必须写适用对象、触发条件、要求内容、当前证据和授权人。输出门禁状态、即时动作、升级和关闭证据。异常出口要求冲突、版本不清、疑似不符合或关键控制失效：HOLD并升级授权人员。下一步只有门禁状态明确后，才能进入T05—T06评价。T04空白登记门禁/要求与任务的适用连接当前证据/状态即时动作授权/关闭证据M1法定/许可/强制要求____________适用：[]是[]否[]待核；符合：[]是[]否[]待验证________________________M2致命/永久伤害+关键控制____________[]触发[]不触发[]待验证________________________M3证据/工人参与不足____________[]触发[]不触发________________________组织内部强制控制____________[]满足[]不满足[]待验证________________________其他承诺/客户/承包商接口____________[]适用[]不适用[]待核________________________禁止动作不能只列法规名称、把“有制度”当作符合证据、把M2事项放进总分后再排序，也不能由无授权人员写“不适用”。

T04｜要求接口与一票门禁登记完整案例门禁/要求与任务的适用连接当前证据/状态即时动作授权/关闭证据M1强制要求接口机械安全、能量隔离、起重与承包商要求需由组织受控清单核定适用性由授权EHS核定；当前无已知结论，状态待验证不引用网络摘要；核对受控清单和设备要求EHS适用性记录REQ-032M2致命+关键控制H03可致命，隔离/泄能/机械支撑/HMI复位均属关键控制触发；支撑额定、残压和复位权限未证实HOLD；禁止进入模区工程测试+T08核验+批准人签字M3证据/参与夜班样本和新员工参与不足触发结论限定本次白班；补夜班观察和培训验证OBS-N03、访谈和能力记录内部强制控制SOP要求个人锁、零能量确认、试启动和机械支撑发现“2人共用1把锁”的偏差停止准备；补个人锁并纠正责任分配锁具发放与现场核验承包商接口外协起重司机只接受本厂授权指挥；统一停止口令文件齐全，现场口令演示未做开工前演示并记录接口确认CTR-032门禁决定当前状态：HOLDH03已触发M2；同时M3存在。T05和T06可以继续用于设计控制和记录方法，但不得把计算结果当成开工许可。恢复资格必须由T08现场核验关键控制。法律边界案例没有断言某项属地法规具体适用或不符合。授权EHS需用组织受控法律清单完成适用性判断，并将结论与证据编号写回本表。

T05｜组织批准的风险方法配置与校准空白工具要素规则用途确保评分锚点、门禁、证据和权限由组织批准，而不是填表人临时发明。使用时点首次使用、方法修订、校准或发现同类任务评分漂移时。输入来源组织风险接受准则、历史事件、专业输入、工人参与和审批权限。字段口径每个等级必须有行动含义；总分/矩阵不能覆盖M1/M2/M3；预测与已验证分开。输出受控方法、矩阵、证据下限和校准记录。异常出口方法未批准、锚点冲突或评估人员无能力：停止分级，仅保留事实记录。下一步用T06逐条评价；高风险先处理，不等待全表完成。T05方法配置字段字段填写/记录方法编号/版本/批准日期____________________________________________评价对象与适用范围____________________________________________严重性维度及锚点____________________________________________发生可能性维度及锚点____________________________________________暴露/脆弱性如何进入判断____________________________________________控制可靠性如何评价____________________________________________矩阵等级及对应动作____________________________________________M1/M2/M3门禁动作____________________________________________最低证据要求____________________________________________谁可评价/复核/接受风险____________________________________________临时/预测等级标记规则____________________________________________校准频次与变更触发____________________________________________组织风险矩阵（空白配置）严重性\可能性P1P2P3P4S4________________S3________________S2________________S1________________方法校准记录（发布前必填）编号校准情景预期等级/动作门禁与证据差异结论CAL-01严重后果但低暴露的受控任务等级/动作：____门禁：____；证据：____一致/修订：____CAL-02中等后果但控制频繁被绕过的任务等级/动作：____门禁：____；证据：____一致/修订：____CAL-03同一矩阵格但新员工/夜班暴露不同等级/动作：____门禁：____；证据：____一致/修订：____CAL-04有总分但法定/关键控制未核定的任务等级/动作：____门禁：____；证据：____一致/修订：____空白矩阵使用规则由组织填写等级和动作，不提供通用阈值。正式发布前应用至少3个真实任务校准，并记录为何同一格可能因门禁、证据或脆弱性得到不同决定。

T05｜组织批准的风险方法配置与校准案例方法以下方法仅属于虚构组织澄岳汽车零部件，不具行业通用性。字段填写/记录方法编号/版本/批准日期OHS-RM-04Rev.2／2026-06-30；厂长批准（虚构）。评价对象与适用范围适用于工厂任务级危险事件；职业卫生定量评价和设备安全验证另按专业方法。严重性维度及锚点S1轻微可逆；S2需医疗或短期停工；S3严重/长期伤害；S4单人死亡、永久严重伤残或多人严重伤害的可信后果。发生可能性维度及锚点P1在已验证条件下极不可信；P2需多重独立失效；P3存在现实暴露、可绕过控制或有近失；P4重复/预期发生或关键控制缺失。暴露/脆弱性如何进入判断班次、人员经验、暴露时长、交叉作业和组织压力写入P依据；不另行“凭印象加分”。控制可靠性如何评价工程防错+测试稳定可提高可信度；仅程序/PPE、易绕过、未验证或数据矛盾不得视为可靠。矩阵等级及对应动作R4停止/管理层处理；R3条件控制和主管审批；R2常规控制与计划复核；R1维持并监测。阈值仅属本模拟组织。M1/M2/M3门禁动作M1/M2直接HOLD；M3结论只能“待验证/临时”，不能R1或已验证。最低证据要求至少C2支持当前等级；C0/C1只允许预测或临时等级。谁可评价/复核/接受风险跨职能评价；EHS复核；R4降级、R3风险接受和开工由指定权限批准。临时/预测等级标记规则控制未实施或未验证时，剩余等级写“预测”，不得代替当前等级。校准频次与变更触发年度校准；事件、控制绕过、新设备/模具、人员/班次重大变化立即触发。OHS-RM-04Rev.2示例矩阵严重性\可能性P1P2P3P4S4R2R3R4R4S3R2R2R3R4S2R1R2R2R3S1R1R1R2R2校准结论H03的严重性S4有明确依据；当前P3来自现实人员暴露、可绕过控制和近失线索。即使矩阵得R4，真正阻止开工的是M2门禁和关键控制未证实，而不是“分数高”本身。

T06｜风险评价与分级记录空白工具要素规则用途形成可复算、可解释、带证据和不确定性的任务级风险决定。使用时点T04门禁明确、T05方法已批准后；一条主要事件链一份记录。输入来源T03事件链、T04门禁、T05方法、现有控制和证据。字段口径严重性与可能性分别写依据；当前、预测、验证后等级不得混写；范围限制必须明确。输出风险等级、决定、控制需求、权限和复核触发。异常出口证据不足、专业争议或门禁开放：保持HOLD/待验证，不得用平均分折中。下一步进入T07设计控制；关键控制在T08验证。T06空白记录字段填写/记录记录编号/关联步骤____________________________________________受影响人员和暴露条件____________________________________________门禁状态____________________________________________严重性等级/依据/证据____________________________________________发生可能性等级/依据/证据____________________________________________当前/固有风险等级____________________________________________现有控制及可靠性判断____________________________________________需新增或强化的控制____________________________________________预测剩余风险等级____________________________________________验证后剩余风险等级____________________________________________不确定性/敏感假设____________________________________________风险决定与范围限制____________________________________________评价/复核/接受人及日期____________________________________________下一次复核/提前触发____________________________________________分级不是结论终点风险等级必须改变控制深度、批准层级、开工状态或复核频次中的至少一项；否则只是标签。

T06｜风险评价与分级记录完整案例H03当前R4/HOLD；“R2预测”不能提前生效。字段填写/记录记录编号/关联步骤H03／S04模区对中。受影响人员和暴露条件2名换模工进入危险区；夜班、时间压力、新员工和卡料返工会增加暴露。门禁状态M2=触发；M3=触发；当前HOLD。严重性等级/依据/证据S4：可信情景可导致截肢、永久严重伤残或死亡；依据设备运动范围、能量图和专业判断。发生可能性等级/依据/证据P3：人员实际进入；共用锁、残压与HMI复位存在可绕过/未验证点；近失线索。证据C1-C2。当前/固有风险等级R4（当前）；不得开工。现有控制及可靠性判断围栏联锁、主隔离、班组锁、机械支撑、SOP；关键控制可靠性“未证实”，不能降级。需新增或强化的控制分区能量清单；个人锁；气/液压泄放与零能量确认；额定机械支撑；HMI复位权限锁定；试启动；双人独立核验。预测剩余风险等级R2（预测）：仅在所有关键控制通过T08且适用要求核定后成立。验证后剩余风险等级待T08和首3次换模数据；未验证前不得填写。不确定性/敏感假设新模具夹紧回路图未完成；夜班样本不足；支撑块与新模匹配需工程确认。风险决定与范围限制HOLD；仅允许在隔离区外完成准备和补证。任何进入模区均被禁止。评价/复核/接受人及日期评价：跨职能组；复核：EHS经理；风险接受/开工：冲压经理+设备经理。下一次复核/提前触发T08完成后；首3次换模；控制绕过、近失、模具/能量/班次变化立即复评。关键判定现有围栏、隔离和SOP看起来“很多”，但控制可靠性存在未验证断点。评价没有把控制数量当作有效性，也没有用零伤害记录降低S4。

T07｜控制层级与实施计划空白工具要素规则用途按控制层级阻断事件链，把“加强管理”改成可验证条件。使用时点T06决定后、作业/设备/工装变更实施前。输入来源事件链、根因/失效方式、专业方案、工人反馈、资源和权限。字段口径优先消除、替代和工程控制；每项写完成点、验证证据和失败动作。输出控制组合、责任、资源、验证和临时条件。异常出口工程控制未批准/未完成：保持HOLD或限定活动；临时控制必须有到期和升级。下一步进入T08现场核验关键控制。T07控制设计主表控制层级措施/运行条件责任/资源/完成点验证证据失效/偏离动作消除________________________________________________替代________________________________________________工程控制________________________________________________工作组织/程序________________________________________________能力与沟通________________________________________________PPE/减损________________________________________________控制质量四问•它具体阻断哪一段事件链？•谁在什么时候验证，证据在哪里？•控制是否依赖记忆、是否容易被绕过、是否引入新危险？•控制失败时是停止、隔离、降级、重新许可还是升级？

T07｜控制层级与实施计划完整案例控制层级措施/运行条件责任/资源/完成点验证证据失效/偏离动作消除评估能否采用外部自动对中，减少人员进入模区工程立项；本次尚不可用方案评审/批准记录不得以未来方案替代本次控制替代用专用对中导向件替代手部在夹点附近微调工装工程师；开工前到位工装检查和试用导向件不匹配则HOLD工程控制全能量隔离、泄放归零、额定机械支撑、HMI复位锁定、试启动设备工程+换模班；开工前T08逐项测试/照片/记录任一失败禁止进入工作组织/程序个人锁；角色分离；进入/退出清点；卡料后重新完整隔离冲压主管；SOP修订现场演示和抽查共用锁或漏清点立即停止能力与沟通新员工实操验证；统一停止口令；工人可无惩罚停工培训+班组；上岗前能力记录/访谈未验证者不得承担关键角色PPE/减损安全鞋、头部防护等按任务适用性配置；不用于降低挤压风险等级班组；开工前PPE检查缺失时停止相关步骤资源不足时的决定不能用程序替代关键工程控制自动对中尚未获批可以延期，但本次进入模区所需的隔离、泄能、机械支撑和复位锁定不能删除。缺一项即保持HOLD；工期压力只允许推迟作业，不允许降低控制。工人试用反馈换模工指出原支撑块插入点与新模具干涉。工程将支撑位置改为设备批准点，并增加“支撑到位可视确认”。这类反馈必须写回控制和图纸。

T08｜关键控制开工核验与停止决定峰值工具要素规则用途在人员暴露前证明关键控制真实存在，并形成明确开工/停工决定。使用时点每次高风险/非例行作业开工前；控制中断、换班、变更或异常后重新执行。输入来源T06风险决定、T07控制计划、设备/人员/许可状态。字段口径验证必须是观察、测试或独立核对；“已培训/已通知”不能替代功能验证。输出HOLD、条件开工或开工决定，含范围、人员、有效期和恢复条件。异常出口任一关键控制失败、权限不完整或证据不一致：立即HOLD，纠正后全项重验。下一步开工后进入T09监测；任何变化进入T10。T08关键控制核验表关键控制现场验证方法结果/状态证据编号失败时动作K1______________________[]通过[]失败[]不适用(说明)________________________K2______________________[]通过[]失败[]不适用(说明)________________________K3______________________[]通过[]失败[]不适用(说明)________________________K4______________________[]通过[]失败[]不适用(说明)________________________K5______________________[]通过[]失败[]不适用(说明)________________________K6______________________[]通过[]失败[]不适用(说明)________________________开工决定卡字段填写/记录决定____________________________________________批准范围/任务/人员____________________________________________生效时间/失效时间____________________________________________开放缺口与临时条件____________________________________________停止触发____________________________________________批准/复核/作业负责人____________________________________________证据包位置____________________________________________峰值规则不能因为“5项通过、1项失败”而多数表决开工。关键控制按项门禁；任何失败都改变为HOLD。现场验证分工与签认角色必须确认禁止代替签认作业负责人确认任务范围、人员、停止触发和清点不得替工程人员确认专业功能姓名/时间：________设备/专业人员测试能量、联锁、支撑、仪表或暴露控制不得在失败时口头“先做再修”姓名/时间：________实际操作者/工人代表演示步骤、验证可操作性和绕过风险不得仅被动签字姓名/时间：________批准/复核人核对失败项、范围、有效期和恢复权限不得用多数通过替代关键门禁姓名/时间：________HOLD恢复前五项检查•失败原因已纠正且没有引入新危险；•受影响的关键控制全部重新验证，而非只复查失败项；•人员、设备配置、班次和任务范围未发生未评估变化；•开放缺口、临时条件和失效时间已写入决定卡；•恢复由原批准权限或更高权限确认。

T08｜关键控制开工核验与停止决定峰值案例首次核验：不得开工关键控制现场验证方法结果/状态证据编号失败时动作K1全能量点识别对照EN-P06逐点现场确认通过V-032-01新增能量则HOLDK2个人锁和责任每名进入者独立上锁并核对钥匙失败：2人共用1锁V-032-02停止；补锁后重验K3泄能归零观察气/液压表归零并操作验证失败：气压表仍0.15MPaV-032-03隔离维修；禁止进入K4机械支撑核额定、点位、到位状态通过（工程签认）V-032-04不匹配即HOLDK5HMI复位锁定围栏内人员在场时测试外部复位通过：权限锁定V-032-05复位可用即HOLDK6试启动/清点尝试启动、人员工具清点和口令演示待前项纠正后执行—未完成不得开工决定1｜HOLDK2和K3失败。停止进入模区；设备维修更换泄压阀件，补发个人锁；原计划延后3小时。不得用监护人或“熟练工”补偿。纠正后全项重验：条件开工关键控制现场验证方法结果/状态证据编号失败时动作K1全能量点识别现场逐点确认通过V2-032-01新增能量则HOLDK2个人锁和责任3名进入者各自上锁通过V2-032-02缺锁即停止K3泄能归零更换阀件后表计归零+排放测试通过V2-032-03残压即HOLDK4机械支撑额定/点位/到位复核通过V2-032-04不匹配即HOLDK5HMI复位锁定外部尝试复位失败通过V2-032-05权限变化即停止K6试启动/清点隔离状态尝试启动；人员工具清点通过V2-032-06异常即重新隔离字段填写/记录决定条件开工：只允许本次P-06换模与首件试冲。批准范围/任务/人员3名已上锁换模工、指定设备员、授权起重指挥；其他人员不得进入围栏。生效时间/失效时间2026-07-1410:20起；本次作业结束、换班或控制中断即失效。开放缺口与临时条件夜班样本和新模液压夹紧长期方案尚未关闭；本次由设备工程师在场。停止触发残压、锁具、支撑、HMI权限、人员变化、异常卡料或工具遗失任一出现即停止并重验。批准/复核/作业负责人批准：冲压经理+设备经理；复核：EHS；作业负责人：换模班长。证据包位置受控目录/OH-2026-032/T08；V2-032-01至06。批准人必须回答•批准的具体任务、设备、模具、人员和班次范围是什么？•哪一项关键控制一旦失效会自动终止本决定？•开放缺口为何没有阻止本次有限开工，谁有权接受？•换班、卡料、设备复位、人员变化或控制中断后，谁负责重新核验？•作业结束后哪些证据进入T09，何时触发T10？峰值证据包证据组证明什么责任/复核位置V2-032-01~03能量点、个人锁、泄能归零设备员+作业负责人受控目录/T08V2-032-04~06支撑、HMI锁定、试启动/清点工程+EHS复核受控目录/T08DEC-032HOLD与条件开工两次决定及时间线批准人审批记录FB-032操作者对锁点、支撑和停止条件反馈工人代表T09输入

T09｜监测、工人反馈与证据索引空白工具要素规则用途证明控制持续执行和有效，并让工人反馈进入管理系统。使用时点控制上线前定义；作业中采集；周期分析或异常时复核。输入来源关键控制、风险决定、设备/人员数据、事件/近失和工人反馈。字段口径指标必须能反映控制状态或结果；写清口径、样本、数据质量和异常动作。输出监测计划、趋势、反馈、数据质量事件和证据索引。异常出口数据缺失、仪器失准、口径变化或上报受压：停止趋势结论，记录数据质量事件。下一步维持控制；任何触发进入T10复评和关闭。T09监测计划监测对象/指标口径与方法频次/样本判定与异常动作责任/证据位置____________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________________证据索引最小字段•唯一编号、任务/设备/班次、日期、版本、采集人与复核人；•支持哪一项控制或判断，是原始记录、派生计算还是复核记录；•缺失、补录、作废、权限和个人健康/隐私信息保护；•保留期限、访问位置和变更记录。

T09｜监测、工人反馈与证据索引完整案例监测对象/指标口径与方法频次/样本判定与异常动作责任/证据位置个人锁执行进入模区人数=独立锁数量；现场抽查每次换模；前3次全查任何不一致立即停止并重验班长；LOCK-032泄能/试启动表计归零+试启动结果；记录仪器状态每次换模残压/可启动即HOLD并维修设备员；ZERO-032控制绕过/近失观察、近失、停止作业记录和原因每次+月度趋势重复/隐瞒/绕过触发T10和管理升级EHS；NM-032任务时长/负担隔离到开工时间、人员反馈、额外动作前3次及变更后负担促使绕过时优先优化工程/流程主管+工人代表；FB-032关键控制状态支撑/HMI权限/能量图版本一致性班前+版本变更版本或配置变化立即停止沿用旧评价工程；CFG-032首3次换模结果样本结果异常/反馈动作第1次/白班6项关键控制全通过；隔离到开工38分钟工人反馈锁点标签不清更新标签并验证第2次/夜班全通过；发现新员工差点拿错锁点能力验证不足暂停其关键角色，完成实操复核第3次/白班全通过；无绕过/近失；对中导向件有效任务时长降至31分钟支持维持控制，进入T10复核不能只看“零事故”开工后无伤害不是充分证据。真正支持维持结论的是关键控制逐次通过、绕过为零、工人反馈被处理、异常新员工被及时限制，以及数据口径一致。

T10｜变更复评、效果验证与关闭空白工具要素规则用途让事件、变更和控制偏差真正改变原评价，并以效果证据关闭。使用时点设备/材料/人员/班次/承包商变化，事件/近失，监测异常，措施到期或周期复核时。输入来源变更单、事件事实、T01—T09记录、专业测试、工人反馈和审批权限。字段口径显示前后差异；纠正动作≠有效性；关闭必须有样本、独立复核和剩余风险。输出更新评价、措施、验证、批准、归档和下次复核。异常出口逾期、复发、证据不独立、效果不足或范围扩大：不得关闭，延长/升级/重新设计。下一步签发最终状态，更新受控文件并归档。T10空白记录字段填写/记录触发编号/日期/来源____________________________________________受影响任务/步骤/危险记录____________________________________________变化或问题事实____________________________________________即时控制/停止状态____________________________________________受影响的要求/方法/控制/人员____________________________________________原评价与证据____________________________________________更新后的评价与证据____________________________________________新增/修改措施____________________________________________责任/资源/完成期限____________________________________________效果验证标准与样本____________________________________________独立复核结论____________________________________________关闭/延长/升级决定____________________________________________更新的文件和证据索引____________________________________________下次复核与提前触发____________________________________________关闭判定“已培训、已通知、已整改、持续关注”都不是关闭。关闭必须证明问题事实受控、措施针对失效原因、验证样本合理、复核有权限、相关记录同步更新。

T10｜变更复评、效果验证与关闭完整案例字段填写/记录触发编号/日期/来源CHG-2026-061／2026-08-03／新模具液压夹紧和无线操作盒导入。受影响任务/步骤/危险记录P-06换模；S04、S05；H03意外运动挤压，并新增H08未授权无线操作。变化或问题事实夹紧由气动改液压，存在蓄能器；无线操作盒可在围栏外控制部分动作，旧能量图未覆盖。即时控制/停止状态停止沿用旧T08；新模具换模HOLD，仅允许隔离状态下工程测试。受影响的要求/方法/控制/人员能量图、HMI/无线权限、泄压点、SOP、培训、锁具点、监测指标均受影响。原评价与证据H03当前R2（已验证，限原配置）；证据V2-032、首3次记录。旧结论不自动延伸。更新后的评价与证据新增液压蓄能导致S4不变；在控制未验证前P3，H03回到R4/HOLD；H08按新事件链单独评价。新增/修改措施更新能量图；增加蓄能器隔离/泄放；无线盒配对授权、失联安全状态和钥匙控制；重做T08。责任/资源/完成期限设备工程/项目预算已批；2个工作日完成；EHS与工人代表参与试验。效果验证标准与样本2次工程测试+2次生产换模；所有关键控制通过，无未授权动作，工人能正确演示停止条件。独立复核结论独立设备工程师复核测试；工人代表确认可操作；EHS核对证据完整。关闭/延长/升级决定条件关闭：工程测试通过后允许2次受监控换模；全部验证后关闭并恢复R2。失败则升级。更新的文件和证据索引EN-P06Rev.C、SOP-23Rev.E、H03Rev.3、H08Rev.1、T08-061、能力记录。下次复核与提前触发2次生产验证后；无线权限变化、蓄能维护、近失或控制绕过立即触发。更新后的终值H03旧R2只对原气动配置有效。新液压夹紧和无线操作触发HOLD、重做控制与T08；验证完成后才恢复R2。新风险H08独立记录，避免一个总分吞并不同失效模式。

五、贯穿案例一页闭环峰值回看H03从识别到复核的证据链工具关键输入/动作证据锚点决定状态下一步T01范围一次P-06换模与首件试冲；48小时开工旧表过度笼统，关键证据缺失待验证实际操作者参与拆解T02步骤S04人员进入模区对中外部复位、残压、支撑点未覆盖候选H03建立事件链T03识别能量未受控→意外运动→挤压/致命C1-C2，近失线索M2触发/HOLD先隔离，再评价T04门禁致命情景+关键控制未证实共用锁、残压、复位权限HOLD补证和控制T05方法组织批准4×4矩阵+门禁+证据下限OHS-RM-04Rev.2方法可用T06评价T06分级S4/P3→R4；R2仅为预测控制可靠性未证实禁止开工T07控制设计T07控制个人锁、泄能、支撑、复位锁定、试启动工程+程序+能力组合待验证T08逐项测试T08开工首次2项失败→HOLD；纠正后6项全过V2-032-01至06条件开工每次作业重验T09监测首3次全通过，反馈被修正LOCK/ZERO/NM/FB/CFG维持R2变化触发T10T10更新液压夹紧+无线盒改变能量/权限新图纸、测试、H08先HOLD后条件关闭2次生产验证后复核峰值时刻不是计算R4，而是T08发现“共用锁+残压”后真正停止开工，并在纠正后重新核验。工具的价值体现在阻止错误决定，而不是把表填完整。终值变更复评后，批准范围、关键控制、剩余风险、下一次复核和归档位置均可验证；任何开放缺口都有责任和状态。

六、迷惑性反例：看起来完整，实际无法控制正反对照错误记录字段错误写法危险源冲床风险机械伤害，高风险措施加强培训、佩戴手套、专人监护、注意安全证据员工已签字结论可作业为什么它表面合理、实质危险缺陷诊断对象错位“冲床”没有说明任务、人员、能量和事件；无法选择控制。等级无依据“高风险”没有严重性、可能性、证据、门禁或方法版本。控制层级倒置培训、手套和监护不能阻止压机意外运动；手套还可能在其他步骤引入卷入风险，需按任务核定。证据失真签字只证明签过字，不证明隔离、泄能、支撑和复位锁定有效。决定越权关键控制未验证却直接“可作业”，绕过T08。修正后的最小合格记录字段修正事件链人员进入模区对中→隔离/泄能/支撑或复位权限失效→机构意外运动→挤压/致命伤害。当前决定M2触发，R4/HOLD；禁止进入。控制个人锁、全能量隔离、泄能归零、额定支撑、HMI锁定、试启动和人员清点。证据T08逐项功能核验+首3次作业记录+工人反馈。结果首次失败并停止；纠正后条件开工；变化时重新HOLD和复评。

七、资源不足、时间压缩和证据不足时怎么做异常出口约束不会取消门禁，只