双锁联锁的设计与验证：双人确认的适用场景判定、回路验证与记录归档

双锁联锁的设计与验证：双人确认的适用场景判定、回路验证与记录归档本文档提供：双锁联锁三类适用场景判定表（表1）；机械防护联锁设计核对表（表2）；双手操作装置设计与安全距离核算表（表3）；操作层面双人确认执行表（表4）；验证测试与证据记录表（表5）；完整案例“从单人可旁路到双锁合规：一台冲压机防护门联锁的改造记录”；决策规则6条；矛盾四段式1处；三套场景操作序列。2026-11-05这一节的标题读完你能拿到什么这一节在全文中的功能一、什么场景需要双锁联锁：三类判定条件双锁联锁三类适用场景判定表，含失效后果、单人可规避性和判定结论在启动设计之前，判定当前防护对象是否必须采用双锁结构二、机械防护联锁：两套独立锁具、独立回路、独立操动机械防护联锁设计核对表，含锁具独立性、回路结构和防弃用措施把“装了两把锁”落到电气独立和操动独立上三、双手操作装置：同步窗口、安全距离、防绑定逻辑双手操作装置设计与安全距离核算表，含同步时间限值和距离公式核算双手按钮的位置和逻辑是否真正阻止单手操作四、操作层面双人确认：第二人独立于谁、确认什么操作层面双人确认执行表，含确认人资格、确认节点和记录字段把“双人签字”转为第二人独立核查具体参数或状态五、验证与记录：测什么、留什么、谁签字验证测试与证据记录表，含测试项、合格判定和证据清单证明双锁联锁按设计工作，形成可审计的记录包六、从单人可旁路到双锁合规：一台冲压机防护门联锁的改造记录完整案例，含起点、四轮修正、变量表和终点用一次改造演示前五节的判定和验证如何执行七、决策规则与矛盾处理6条决策规则；1处矛盾四段式（可用性与防旁路的冲突）在联锁影响生产节拍或维修便利时给出裁量顺序八、三套场景操作序列完整版/精简版/极简版的设计深度、验证项和记录要求按风险等级和项目阶段选择执行范围按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。一、什么场景需要双锁联锁：三类判定条件双锁联锁的采用条件由失效后果和单人规避的可能性共同决定。GB/T18831—2017（ISO14119:2013）对联锁装置的设计原则中，防止弃用是一项基本要求：如果单个联锁装置可以被轻易旁路、解除或保持在闭合位置，其防护功能在实际运行中不成立。双锁结构的作用是使“弃用联锁”这个动作需要至少两个独立条件同时满足，从而把单人误操作或图方便的旁路概率压到可接受水平。表1按三类常见场景给出判定条件。表1双锁联锁三类适用场景判定表场景类别典型防护对象什么条件下需要双锁什么条件下单锁或单通道已足够判定结论机械防护联锁：进入危险区需移除防护冲压机、机器人围栏、剪切机防护门防护门打开后人员可完全进入危险区，且单把锁或单个位置开关可被工具旁路或拆下防护门仅需短暂开合调整工件，开口尺寸不足以让人体进入需要双锁：两套独立位置开关+独立操动件，或一把锁+一套带真实性检查的附加联锁双手操作装置：手在模具区时启动压力机、折弯机、冲裁设备危险运动从启动到停止的时间足以让单手离开按钮后触及危险区；或两个按钮间距不足以阻止单手跨按危险运动停止时间极短，单手离开后无法触及危险区；或设备仅用于无人进料的全自动模式需要双手操作：同步时间窗口≤0.5s；按钮间距≥260mm（具体按安全距离公式核算）操作层面双人确认：关键参数或状态由单人设定/核对安全联锁旁路审批、SIS联锁复位、工艺参数变更单人操作错误可导致安全功能失效或工艺进入危险状态，且该操作无法由系统自动校验操作有系统强制逻辑校验且不可绕过；或操作错误仅影响非安全参数需要双人确认：第二人独立于操作人，核对具体参数值或物理状态，记录可审计示例行（机械防护联锁）：某冲压机防护门采用一把电磁锁和单个位置开关。位置开关的操动件可用标准螺丝刀拆下，拆下后联锁信号保持“闭合”状态，滑块可继续运行。表1判定为“需要双锁”：失效后果为人员可进入模具区，单人可用工具旁路。设计动作：增加第二套独立位置开关和独立操动件，两套开关的常闭触点串联接入安全继电器；或保留原位置开关，增加一套需要专用工具才能解除的附加联锁（真实性检查）。填到有具体旁路方式和失效后果，判定结论才有依据。三类场景中，机械防护联锁的双锁设计重点在电气独立和物理防拆；双手操作装置的重点在同步逻辑和安全距离；操作层面双人确认的重点在第二人的独立性和确认内容的可核查性。三类场景的验证方法和记录要求分别对应表2至表4。二、机械防护联锁：两套独立锁具、独立回路、独立操动机械防护联锁的双锁设计，核心在两套联锁装置的独立性。两套装置共用同一电源、共用同一输入卡、或操动件可被同一动作同时解除，不构成双锁。GB/T16855.1（ISO13849-1）对需要达到PLe或SIL3的联锁功能，要求最小故障容错度为1，可通过采用两个1型联锁装置实现；两个1型联锁装置须单独安装和布线，且需要附加动作才能被弃用。表2按设计要素逐项核对。表2机械防护联锁设计核对表设计要素单锁或单通道的常见做法双锁设计要求从哪取证据不满足时的后果锁具数量与类型一把电磁锁+一个位置开关两套独立联锁装置：可以是两把独立锁具，或一把锁+一套带真实性检查的附加联锁（如截留钥匙系统、不同操动原理的开关）锁具和开关的型号、订货号、安装图单点故障或单人旁路即可使联锁失效电气独立性两套开关共用同一输入模块或同一电源两套开关分别接入安全继电器或安全PLC的不同输入通道；供电独立或经不同熔断器电气原理图、接线图、安全继电器配置共因失效（电源故障、输入卡故障）可同时使两套开关失效操动件独立性两套开关的操动件可由同一工具或同一动作拆下操动件不可拆卸固定，或拆卸需要专用工具且拆卸后联锁进入安全状态；两套操动件的解除动作不同安装照片、操动件固定方式说明、防拆测试记录单人可以同时解除两套联锁真实性检查无，或仅检查开关是否通电两套联锁装置的工作状态有交叉监控：一套触发时，另一套应处于对应状态；不一致时安全继电器输出禁止启动安全继电器逻辑图、交叉监控配置、测试记录一套开关被短接或旁路时系统无法识别防弃用措施开关安装在可触及位置，无防护开关安装在可触及范围之外，或加物理屏障；状态监控或循环测试安装位置说明、防护罩照片、循环测试记录联锁可被轻易弃用示例行（电气独立性）：改造前，防护门的一把电磁锁和一个位置开关共用同一24V电源和同一安全继电器输入通道。表2判定为“电气独立性不满足”。改造：新增一套位置开关，两套开关分别接入安全继电器的两个独立输入通道，安全继电器配置为双通道等价逻辑，任一通道断开即触发安全输出。两路供电分别经不同的熔断器。证据：安全继电器接线图（图纸编号SR-2026-004）显示CH1和CH2分别对应两套开关；电源分配图显示两路24V分别取自不同端子。如果两套开关仍共用同一电源端子，改造不关闭。GB/T16855.1—2025及配套设备安全标准对安全控制系统提出双通道设计要求：一个通道失效时，系统仍能安全停机。两套联锁装置不要求型号完全相同，但两套装置分别满足各自通道的故障安全要求。如果采用不同操动原理（如一套电磁锁+一套截留钥匙），须在安全继电器逻辑中分别定义两套装置的安全状态，并在真实性检查中确认两者状态的一致性。三、双手操作装置：同步窗口、安全距离、防绑定逻辑双手操作装置的目的是使操作者在危险运动期间双手都被占用，无法单手离开按钮进入危险区。双锁在这里体现为“两个输入必须同时满足”，且两个输入的同步窗口、间距和安全距离须经过核算。表3按设计参数和核算方法排列。安全距离不能取通用值，须按设备停止时间计算。OSHA对压力机双手操作的安全距离由停止时间或闭合时间计算，不存在通用的600mm规则。ISO13855/GB/T16855.1附录C给出最小距离公式。表3双手操作装置设计与安全距离核算表设计参数要求或公式从哪取数据不满足时的判定同步时间窗口两个按钮按下的时间差≤0.5s；任一按钮释放后，危险运动应在到达危险区前停止安全继电器同步监控配置；设备停止时间实测值同步窗口过宽时，单手可先后按下两个按钮，双手操作失效按钮间距（横向）两个按钮之间的净距离≥260mm；为防止单手跨按，间距上限建议不超过600mm（人机工效）按钮安装位置实测间距小于260mm时，单手或手掌可同时覆盖两个按钮安全距离（按钮到危险区）S=K×T+C；S为最小距离，K为接近速度（通常取1600mm/s），T为停止时间（秒），C为附加距离（与检测方式有关）设备停止时间实测记录；按钮位置实测S不足时，手在危险运动停止前可触及危险区防绑定逻辑两个按钮不能同时被固定装置（绑带、重物、胶带）保持在按下状态；安全继电器应检测“两个输入同时且持续闭合”超过设定时间时锁定或报警安全继电器配置；现场检查按钮是否有被绑定的痕迹无防绑定逻辑时，操作者可将一个按钮绑住，单手操作另一个释放后的再启动条件任一按钮释放后，必须两个按钮都释放并重新按下才能再次启动安全继电器逻辑释放一个按钮后另一个仍保持按下时设备可自动重启示例行（安全距离核算）：某压力机滑块停止时间实测为0.35s（从安全继电器输出断开到滑块完全停止）。K取1600mm/s，C取附加距离（按ISO13855，双手操作装置C=250mm）。S=1600×0.35+250=810mm。按钮安装位置距最近模具边缘实测为620mm。表3判定“安全距离不足”。改造：将按钮位置后移至少190mm，或更换停止时间更短的离合器/制动器使T降至0.23s以下（S=1600×0.23+250=618mm，接近620mm）。改造后复测停止时间和按钮距离，重新核算S。如果只后移按钮但停止时间未变，S仍不足。防绑定逻辑的验证动作：用绑带或胶带将一个按钮保持在按下状态，尝试启动。安全继电器应在同步窗口后或持续闭合超过设定时间（如10s）时拒绝启动并报警。测试记录写入表5。四、操作层面双人确认：第二人独立于谁、确认什么操作层面的双人确认适用于单人在控制室或现场操作即可导致安全联锁旁路、SIS联锁复位、或关键安全参数变更的场景。双人确认成立的条件是：第二人独立于操作人，且确认的内容是可核查的具体参数或物理状态，不是“同意”或“已知悉”。表4按确认节点和记录字段排列。表4操作层面双人确认执行表确认节点操作人做什么第二人确认什么第二人独立性的判定记录必须包含的字段安全联锁旁路审批发起旁路申请，写明旁路原因、预计时长、补偿措施核对旁路原因是否真实、补偿措施是否已到位、旁路范围是否准确第二人不可以是操作人的直接下属；不可以是同一班组中与操作人共同承担该联锁操作职责的人员旁路编号、联锁位号、原因、补偿措施、操作人、确认人、批准人、起止时间SIS联锁复位确认工艺条件已恢复，执行复位核对工艺参数是否确实回到复位条件内（查看独立仪表或DCS趋势，不只看操作人屏幕）第二人应来自工艺或安全岗位，不复用操作人所在班组的同一岗位复位时间、联锁位号、复位前工艺参数值、参数来源（仪表位号）、操作人、确认人安全参数变更在SIS或安全继电器中修改设定值核对变更前后的数值、变更依据（如SRS或MOC文件编号）、变更是否在批准范围内第二人应具备修改该参数的技术资格，且未参与原变更提案的编制参数位号、变更前值、变更后值、依据文件编号、操作人、确认人、生效时间防护门联锁的维修旁路维修前将联锁置于旁路或维护模式到现场核对防护门内确实无人、维修许可已挂牌、旁路开关已上锁第二人须到现场实地确认，不可以仅通过电话或对讲机确认旁路开关编号、现场确认时间、确认人姓名、挂牌编号、维修许可证编号示例行（SIS联锁复位）：操作人报告反应釜温度已降至复位条件以下，准备复位超压联锁。第二人打开独立于SIS的温度记录仪趋势（不查看操作人屏幕上SIS的同一传感器读数），确认过去10分钟温度持续低于复位设定值0.05MPa对应的饱和温度，且搅拌运行正常。第二人在复位记录上签字，记录字段写“复位时间2026-10-1214:32；联锁位号PZAH-1201；复位前压力0.42MPa（来源PI-1203独立变送器）；温度118℃（来源TI-1205独立记录仪）；操作人王某；确认人李某（工艺工程师）”。如果第二人只看操作人屏幕上的同一读数，独立性不成立，确认无效。第二人独立性的核心是“信息源独立”和“组织关系独立”。信息源独立指第二人查看的参数或状态不来自操作人正在使用的同一传感器或同一显示画面；组织关系独立指第二人不处于操作人的直接指挥链中，且不承担与操作人相同的绩效压力。两个独立性任一不满足，双人确认退化为单人确认加一个签字。五、验证与记录：测什么、留什么、谁签字双锁联锁的验证分设计验证和安装后功能验证两个阶段。设计验证确认图纸和逻辑满足表2至表4的要求；功能验证确认实际安装的装置在触发时按设计动作。IEC61511对SIS联锁的prooftest要求记录中包含测试日期、执行人员姓名和能力证明、测试程序和结果，使独立审核人能够复核。机械联锁的验证同样须记录测试条件和结果。表5按验证阶段和证据项排列。表5验证测试与证据记录表验证阶段测试项合格判定证据记录谁签字设计验证两套联锁装置的电气独立性接线图显示两套装置接入不同输入通道和不同电源熔断器；无共用端子电气原理图（标注通道和电源来源）、安全继电器配置截图设计人、审核人设计验证双手操作安全距离核算S计算值≥安装距离；计算使用的停止时间有实测记录支撑安全距离计算书（含公式、K值、T实测值、C值）、按钮位置实测记录安全工程师、设备工程师安装后功能验证单套联锁触发触发任一通道，安全继电器输出断开，设备停止；另一通道状态不影响该结果测试记录：触发通道、安全继电器输出状态、设备停止确认测试人、见证人安装后功能验证真实性检查或交叉监控一套联锁被旁路或短接时，安全继电器进入安全状态或拒绝启动，并有报警/记录旁路/短接测试记录、安全继电器事件日志测试人、EHS安装后功能验证防弃用测试用常规工具无法在规定时间内解除两套联锁；或解除动作需要专用工具且触发安全状态防拆测试记录（工具类型、尝试时间、结果）测试人、EHS安装后功能验证双手操作防绑定绑住一个按钮，系统拒绝启动或报警防绑定测试记录（绑定方式、系统响应）测试人、见证人安装后功能验证操作层面双人确认的独立性抽查抽查记录中第二人的信息源和组织关系满足表4要求抽查记录（对比操作人屏幕与第二人查看的参数来源）安全审核人记录归档记录包完整性设计文件、计算书、测试记录、签字齐全；测试不合格项有处理记录联锁验证记录包（纸质或受控电子文件）安全负责人示例行（真实性检查）：在安全继电器输入端将通道A短接（模拟旁路），通道B保持正常。安全继电器应在设定时间内进入安全状态并锁定，事件日志记录“通道不一致”。测试记录写“通道A短接时间2026-10-1510:22；安全继电器输出断开时间10:22:03；设备停止确认；事件日志编号SR-EVT-1022；测试人张某；见证人EHS李某”。如果短接后安全继电器未动作，真实性检查不合格，回查安全继电器逻辑配置。记录包中测试不合格项不得删除，须保留不合格现象、原因分析和处理后重测合格的记录。IEC61511明确要求prooftest记录应使独立审核人能够复核。记录包按设备或联锁位号归档，保存期限按企业安全文件管理要求执行，涉及SIS的不少于一个prooftest周期。六、从单人可旁路到双锁合规：一台冲压机防护门联锁的改造记录示例案例，细节为合理设定。起点材料。一台800吨冲压机，防护门为滑动门，原联锁配置：一把电磁锁+一个位置开关（型号PS-01），位置开关操动件用M4螺钉固定，可用普通螺丝刀拆下。安全继电器为单通道输入。过去12个月发生过2次“防护门联锁被旁路”的记录，均为操作工为方便调整工件，拆下位置开关操动件后将开关短接。滑块停止时间实测0.38s（从安全继电器输出断开到滑块完全停止）。第一轮修正：电气独立性与操动件防拆。表2核对发现：位置开关单通道接入安全继电器，无第二套联锁；操动件可拆卸。判定“电气独立性和操动件独立性均不满足”。改造动作：增加第二套位置开关PS-02，两套开关分别接入安全继电器CH1和CH2，配置为双通道等价逻辑。两套操动件改为不可拆卸固定方式，螺钉头填充环氧树脂，拆卸需破坏固定且触发开关断开。改造后测试：拆下PS-01操动件（破坏固定），安全继电器输出断开，设备停止；PS-02保持闭合，CH1断开触发安全状态。测试记录归档。第二轮修正：真实性检查。第一轮改造后，安全继电器双通道逻辑为“两通道同时闭合才允许启动”。但测试发现：将CH1和CH2同时短接到24V，安全继电器输出保持闭合，设备可启动。表2的真实性检查项不满足。改造：安全继电器增加交叉监控逻辑，两通道的状态必须在设定时间窗口内一致；任一通道持续闭合超过设定时间（如5s）而另一通道无对应变化时，安全继电器进入安全状态并报警。重新测试：短接CH1，CH2保持正常，安全继电器在5s后断开输出并记录事件。合格。第三轮修正：双手操作的引入。改造过程中发现，该冲压机在小批量生产时由操作工在模具区手动取放工件，原设计无双手操作装置。表1判定：危险运动停止时间0.38s，单手离开按钮后可触及危险区，需要双手操作。表3核算：K=1600mm/s，T=0.38s，C=250mm，S=1600×0.38+250=858mm。按钮安装位置距模具边缘实测550mm。安全距离不足。改造：将双手按钮后移至距模具边缘≥870mm的位置，并增加防绑定逻辑（同步窗口0.5s，持续闭合超过10s锁定）。复测：按钮距离875mm，防绑定测试绑住一个按钮后系统拒绝启动。合格。第四轮修正：操作层面双人确认。防护门联锁的维修旁路由维修班组自行执行，原流程无第二人现场确认。表4判定：防护门内可完全进入人员，维修旁路需双人确认。改造流程：维修旁路前，第二人须到现场确认防护门内无人、维修许可挂牌、旁路开关上锁；确认人签字后方可旁路。抽查一次旁路记录：确认人签名存在，但记录中未填写“现场确认时间”，无法证明第二人到过现场。修正：记录字段增加“现场确认时间”和“挂牌编号”，第二人签字旁须附现场照片的受控编号（照片存档于EHS系统，记录中填编号）。修正后抽查合格。最终产出：两套独立位置开关接入安全继电器双通道，操动件防拆，交叉监控有效；双手操作按钮距离875mm（S=858mm），防绑定逻辑有效；维修旁路记录含现场确认时间和挂牌编号；验证记录包含设计图纸、安全距离计算书、单通道触发测试、真实性检查测试、防拆测试、防绑定测试和双人确认抽查记录。改造后6个月内未发生联锁旁路记录。表6案例变量表变量案例中情形如果变量不同处置变化位置开关操动件可拆卸性可拆卸，单人可用螺丝刀旁路操动件不可拆卸或拆卸需专用工具第一轮修正的防拆改造可简化，但电气独立性仍须满足安全继电器交叉监控无，双通道同时短接可绕过已有交叉监控第二轮修正不发生；但短接测试仍须做，确认监控有效危险运动停止时间0.38s，导致S=858mm停止时间0.20s，S=570mm按钮位置550mm可能接近或满足S，双手操作改造范围缩小；仍须实测确认维修旁路第二人确认方式仅签字，无现场确认时间已有现场确认时间字段第四轮修正中的记录字段补充不发生；但仍须抽查第二人是否实际到现场案例中权重较高的变量是危险运动停止时间和安全继电器交叉监控状态。前者决定双手操作按钮的安全距离，后者决定双通道是否真正具备防旁路能力。七、决策规则与矛盾处理决策规则6条如果表1判定某防护对象需要双锁联锁，而现有配置为单锁或单通道，则该联锁在完成双锁改造并通过真实性检查之前，不得以“已装联锁”作为安全条件放行；改造前须有书面风险告知，写明旁路方式和补偿监控措施。如果两套联锁装置共用同一电源、同一输入卡或同一操动件解除动作，电气独立性和操动件独立性判定为不满足，不因为“两套装置型号不同”而视为双锁；改造须至少满足电源独立、输入通道独立、操动件解除动作独立三项中的两项。如果双手操作装置的安全距离核算中停止时间无实测记录，S不得取经验值或设备铭牌值；须实测停止时间后重算，按钮位置按重算结果调整，不按“行业惯例600mm”直接安装。如果真实性检查中两通道同时短接可使安全继电器保持输出，该双通道配置判定为“无防旁路能力”，须增加交叉监控或状态一致性检查；改造后重做短接测试，测试不合格不关闭。如果操作层面双人确认的记录中，第二人查看的参数来源与操作人屏幕为同一传感器，该次确认判定为无效；须重新确认，第二人须从独立仪表、独立记录仪或现场物理状态获取信息。如果验证记录中缺失任何一项测试的原始数据（如停止时间实测值、短接测试的事件日志编号），该联锁的验证不关闭；缺失项补测后归档，不在一份记录中混入未测试项。矛盾四段式：联锁可用性与防旁路的冲突矛盾陈述。双锁联锁的目的是使旁路或弃用需要两个独立条件，降低单人图方便绕过的概率；但生产调整、模具更换和维修需要频繁打开防护门或进入危险区，双锁结构增加了这些作业的步骤和时间。操作工在赶工时倾向于寻找“最快路径”，如果双锁的解除步骤过于繁琐，旁路的动机反而增强。实质分析。裁量点在“哪些作业允许使用设计好的解除路径”和“哪些解除路径本身需要监控”。双锁不是把所有开门动作都变成双人作业，而是把“弃用联锁”和“正常开门”区分开。正常开门（如更换工件）应通过设计好的、不需要弃用联锁的路径完成；只有当作业必须使联锁失效时（如维修、调试），才进入双锁的解除流程，且该流程本身有记录和时限。如果正常开门也需要解除两把锁，操作工会把双锁视为障碍，旁路动机上升。权衡规则。防护门的正常开合应通过联锁装置的设计实现：门打开时联锁触发停机，但开门动作本身不需要解除锁具。双锁结构针对的是“使联锁失效”的动作（拆操动件、短接开关、将开关置于维护位置）。维修和调试需要使联锁失效时，走表4的双人确认和旁路记录，旁路有明确时限和补偿措施。正常生产调整的开门频次如果过高，应评估是否通过增加工件传送装置或调整工艺布局减少开门需求，不通过放宽联锁解除条件来缩短作业时间。退路。如果维修作业确实需要较长时间旁路联锁，且双人确认流程影响维修进度，可设置“维护模式”：在该模式下，联锁由维护负责人用专用钥匙切换到维护状态，安全继电器记录切换时间和钥匙编号，设备只能在点动或低速模式下运行。维护模式本身仍需要第二人确认，但确认节点从“每次旁路”简化为“进入和退出维护模式各一次”。维护模式的时长和运行限制写入安全继电器逻辑，超时自动退出并恢复联锁。八、三套场景操作序列三套版本的差异落在设计深度、验证项和记录要求上。版本适用判定设计深度验证项记录要求不能妥协的底线完整版涉及人员进入危险区、SIS联锁旁路、或监管检查要求表2全项+表3全项+表4全项表5全项，含真实性检查、防拆测试、防绑定测试、双人确认独立性抽查设计文件+计算书+全部测试原始记录+签字齐全两套联锁电气独立或操动独立；双手操作S经实测核算；双人确认第二人信息源独立精简版单台设备改造或已有部分双锁结构表2的电气独立性、操动件独立性、真实性检查三项；表3同步窗口和安全距离；表4旁路和复位两个节点单通道触发、真实性检查、安全距离复核、双人确认记录抽查图纸+测试记录+签字真实性检查不可跳过；安全距离不可用经验值；第二人不可只看同一屏幕极简版初步筛查或资源受限，只回答“现有联锁能不能防住单人旁路”表2的操动件独立性和电气独立性两项防拆测试一项：用常规工具尝试解除联锁，看是否能在不触发安全状态的情况下完成测试记录（工具、动作、结果）如果常规工具可在不触发安全状态的情况下解除联锁，判定为不可接受，须改造或停用；不以“操作工不会这么做”作为接受理由完整版序列：表1判定场景→表2设计核对→表3安全距离核算→表4双人确认流程→表5全项验证并归档。修复