上鎖掛牌（LOTO）流程圖（危險能量控制）
上鎖掛牌流程圖範本：小型維修判定、設備專屬程序、通知受影響員工、能量隔離、集體鎖箱、儲存的能量、零能量核實與解鎖。
甚麼是上鎖掛牌（loto）流程圖（危險能量控制）流程
上鎖掛牌是有人在機器上工作期間控制危險能量的方法。觸發它的是維修或保養工作——安裝設定、調校、清除卡塞、換模、換軸承——凡是意外啟動或儲存的能量釋放有機會傷及執行者的場合。這裡的保護是實體的，不是紙上的：每一種能量都在一個能把它擋住的裝置上隔離，工人自己的鎖把該裝置固定在原位，並在雙手伸入之前證明機器確實沒有能量。下面這張圖完整跟隨一項維修工作：這項工作是否需要完整上鎖掛牌的判定、設備專屬程序及它所列的能量來源、對操作員的通知、有秩序的停機、隔離、上鎖掛牌、班組作業時的集體鎖箱、儲存能量的釋放、測試加嘗試啟動的核實、維修工作本身及其交更與試機兩條支線，最後是復原——撤走工具、裝回防護裝置、清理現場、由掛鎖的人取回自己的鎖、通知操作員、重新為機器供能。
這張圖講的是一項維修工作之中對機器本身能量的控制，不是圍繞它的那些管理制度。它不是電氣安全隔離：那要由獲授權人士先核對測試儀器、在工作位置證實電路無電、再核對儀器一次，那部分工作交給保養與電工泳道。它也不是製程裝置的隔離方案規劃：那要依據管道及儀表流程圖畫出方案，用盲板隔斷或採用雙重截斷加洩放，並按相反次序註銷隔離證書。它同樣不是工作許可證制度：許可證決定哪些工作需要授權，以及誰可簽發、誰可執行、誰可隔離；而上鎖掛牌決定的是這個決定作出之後，如何把機器變得安全。美國方面的依據是 OSHA 29 CFR 1910.147；英國方面是 PUWER 1998（《1998 年工作設備提供及使用規例》）第 19 條關於與能源隔離的規定；ISO 14118 則涵蓋機器設計者本應內建的部分。本範本是一個起點，須按你們自己的程序、你們營運地的法規，以及合資格人士的審視去調整，它不會令任何人自動合規。
四個判定撐起整個流程。小型維修判定放在最前，因為大部分制度正是由這裡漏出去的：這個例外很窄，只有在替代措施確實保護到人時才成立，而且它屬於獲授權員工泳道，不應由趕時間的人隨口決定。「程序是否列齊每一種能量來源？」抓的是那些有第二路電源、有液壓蓄能器、有吊起負載，而書面程序從未提及的機器；它把工作退回程序，而不是放行到現場。零能量核實是唯一能證明前面五步真的奏效的一步，所以在這裡失敗要退回重新隔離與重新核實，而不是記一筆就放過去。至於取鎖的判定，被刻意放在主管泳道：鎖在鎖主不在場時被取走的那唯一一種情況，正正是需要書面例外、需要尋人、需要留下紀錄的情況，而不是一把大鉗加一下聳肩。
本流程圖涵蓋的內容
本範本包含
- 四條泳道（獲授權員工、受影響員工 / 操作員、主管 / LOTO統籌員、保養 / 電工）橫跨六個階段：計劃與通知、停機與隔離、上鎖掛牌、核實零能量、維修工作，以及解鎖與復原
- 最前先做一次正常生產期間的小型維修判定，令那些例行、重複、屬於生產一部分而且已有替代措施覆蓋的工作，止於「在有文件規定的替代措施下工作」，而不是把一台機器停下來
- 大部分上鎖掛牌圖略去的計劃那一半：主管發出設備專屬程序，「程序是否列齊每一種能量來源？」把不完整的程序退回重寫，而「停機前通知受影響員工」發生在任何人觸碰隔離裝置之前
- 把隔離畫成一個次序而不是一個方格：操作員泳道的「按正常停機程序停機」、獲授權員工泳道的「操作每一個能量隔離裝置」，其後是保養泳道的「釋放儲存的能量並固定活動部件」
- 集體作業獲得認真處理：「是否多於一人參與這項工作？」把班組帶往「把個人鎖掛上集體鎖箱」，而「完成前是否更換更份或班組？」把工作交下去，隔離不會在兩個班組之間落空
- 核實與解鎖是真正的關卡而不是形式：工作位置的零能量判定一旦失敗，就經重新隔離折返，「是否需要通電試機或調位？」在試機之後重新執行整套控制次序，而每把鎖能否由鎖主取回的判定，會把不在場的鎖主帶往一次有紀錄的強制解鎖
何時使用本範本
- 你們正在編寫或重寫上鎖掛牌程序，需要一張圖講清楚誰隔離、誰上鎖、誰核實、誰批准解鎖
- 各台機器的能量控制程序參差不齊，你們想在逐台重寫文件之前，先把共通步驟議定下來
- 一個班組同時在同一台機器上工作，集體鎖箱、交更與鎖具轉移必須畫出來，而不是當日臨場發揮
- 監管人員、保險公司或客戶審核員問起維修期間如何控制危險能量，而今日的答案只是一抽屜鎖具紀錄
- 承辦商為你們的設備做維修，他們的上鎖掛牌程序必須在機器上、在鎖箱上、在解鎖環節與你們的接得上
運作方式
把泳道改成你們的角色
用你們實際使用的角色取代獲授權員工、受影響員工 / 操作員、主管 / LOTO統籌員和保養 / 電工。改名之後必須保留的分別，是掛鎖的人與操作機器的人之間的分別。在小型廠房，一個人可能同時兼任兩種角色，但絕不可以在同一項工作、同一時間內兼任。
列出這台機器的所有能量來源
圍着機器走一圈，把每一種來源寫下來：供電電源、控制電源、壓縮空氣、液壓、蒸汽、製程流體、重力與吊起的負載、彈簧、電容、餘熱和餘壓。為每一種寫明隔離裝置及其位置，並註明哪些只是看似被控制掣或聯鎖隔離、其實並無隔離。正是這份清單把一張通用流程圖變成設備專屬程序，也正是第二個判定要考驗的東西。
界定甚麼算小型維修
把你們打算按小型維修例外執行的工作寫下來，以及保護每一項執行者的替代措施。這個例外只涵蓋例行、重複、屬於生產一部分的工作，一旦有人必須越過防護裝置把手伸入危險區，它立刻站不住腳。凡是無法在書面上說得通的，一律走完整上鎖掛牌那條支線；每次更換模具或工裝，這份清單都值得重新審視。
訂定核實方法
寫清楚每台機器如何證明零能量、由誰去證明：用測試儀器量度導體、看壓力錶讀數為零、刻意嘗試啟動並在之後把操作掣復位至停止。記下核實的位置，是工作位置而不是配電箱前，並寫清楚那些工作期間能量會重新積聚的設備怎樣處理，例如會重新充壓的蓄能器，或者會慢慢下滑的負載。
寫下集體上鎖與交更規則
決定一項工作由甚麼時候起算集體上鎖、誰對班組負主要責任、每個人把鎖掛在甚麼之上：集體上鎖夾、鎖箱或同等機制。然後寫下更份交接的規則，讓保護由一個班組連續傳到下一個班組，中間隔離不會落空，也不會有人站在主管那一把鎖後面，而不是自己的鎖後面。
議定強制解鎖的例外
預設規則是誰上鎖就由誰取回。把唯一的例外寫下來：如何確認該人已離開工地、如何嘗試聯絡他、誰有權批准解鎖、如何留下紀錄，以及他返回工作之前如何獲得通知。然後為將來可能要用到它的人提供訓練，別讓這份程序在一條生產線等着的時候才第一次被翻開。
用真實工作走一遍
挑兩三項最近的維修工作，其中一項跨越了交更，一項需要為機器通電試機，把它們放到圖上走一遍。凡是有人講得出卻沒有畫上去的步驟，或者畫了但實際會略過的步驟，都是值得在這張圖成為正式程序、並成為週期性檢查依據之前先修好的發現。
常見問題
上鎖掛牌流程有哪些步驟？
先向這項工作發問：這是正常生產期間、已有替代措施覆蓋的小型維修，還是需要完整上鎖掛牌？如果是完整上鎖掛牌，主管發出設備專屬程序，並對照機器核對，直至它列齊每一種能量來源。通知受影響員工，操作員按機器的正常停機程序停機，獲授權員工操作每一個能量隔離裝置，並掛上自己的鎖和標籤。班組作業時，每人再在集體鎖箱掛上一把個人鎖。釋放儲存的能量、固定活動部件，然後測試並嘗試啟動機器，以確認零能量。維修工作隨後進行，交更有交接路徑，若機器必須通電試機，則有重新實施上鎖掛牌的路徑。工作完成後撤走工具、裝回防護裝置，每把鎖由上鎖的人取回，最後為機器重新供能。
上鎖與掛牌有甚麼分別？
鎖在實體上把能量隔離裝置固定在安全位置，只要鎖仍然在，機器就無法重新供能。標籤是掛在同一裝置上的警告：它叫人不要操作，但本身並無任何約束力。這正是兩者不能互相取代的原因。根據 OSHA 29 CFR 1910.147，只要能量隔離裝置具備上鎖條件，僱主的能量控制計劃就必須採用上鎖，除非僱主能證明掛牌制度可提供同等完整的員工保護。掛牌主要留在那些無法接受鎖具的舊式隔離裝置上，並附帶額外責任：例如拆走隔離電路元件或閥門手柄這類補充措施、標籤必須固定牢固不會意外脫落，以及針對標籤局限的訓練。該標準亦期望新設備或經改裝設備上的隔離裝置，在設計上就能接受鎖具。
誰是獲授權員工，誰是受影響員工？
這兩個名詞來自 OSHA 29 CFR 1910.147，值得嚴格區分，因為訓練與通知的要求並不相同。獲授權員工是為了在某台機器或設備上執行維修或保養而將其上鎖或掛牌的人：掛在隔離裝置上的是他們的鎖，核實零能量的也是他們。受影響員工是工作內容要求操作或使用該台正在上鎖或掛牌狀態下接受維修的機器的人：即機器被鎖住期間無法開動它的操作員與生產線員工。標準中還有第三類人，即其他所有員工，他們在該區域內工作，只需知道絕不可嘗試啟動已上鎖或已掛牌的設備。這就是本圖把前兩類放在兩條獨立泳道的原因，也是通知為何出現兩次：控制措施掛上之前一次，取回之後再一次。
零能量如何核實，為甚麼嘗試啟動這一步重要？
核實證明它前面每一步都真的奏效，而且要在雙手將要伸入的位置進行，不是在隔離裝置前進行。方法隨能量種類而定：供電電源用測試儀器量度導體，壓縮空氣或液壓看壓力錶是否為零，被支撐或墊塊固定的部件用目視確認不能移動，以熱力為危險的場合量度溫度。嘗試啟動是核實的另一半。在隔離已實施、儲存的能量已釋放的前提下，獲授權員工操作正常的啟動掣，確認沒有任何部件轉動，然後把每一個掣復位至停止。略過這一步復位就是那種經典事故：隔離一解除，機器就自行啟動，有時是幾個鐘頭之後，而旁邊站着的是另一個人。在能量有機會重新積聚的場合，核實必須重複進行，或者在整項工作期間持續維持。
監管檢查對上鎖掛牌計劃有甚麼要求？
不止於鎖具。根據 OSHA 29 CFR 1910.147，計劃由三部分組成：書面程序、訓練，以及週期性檢查。程序按機器編寫，訂明控制危險能量的範圍、目的、授權與方法。標準為符合一組條件的簡單設備留了一個很窄的例外，這些條件包括只有單一能量來源而切斷後機器完全無能量、不存在儲存能量的危險，以及只有一把鎖處於獲授權員工本人控制之下。訓練按角色區分，分別針對獲授權員工、受影響員工和其他員工。週期性檢查最少每年一次，由一名並非使用該受檢程序的獲授權員工執行，並須與每一位獲授權員工逐一檢視其職責。外判維修人員在工地工作時，雙方僱主須互相告知各自的程序。