上锁挂牌（LOTO）流程图（危险能量控制）
上锁挂牌流程图模板：小修判定、设备专属程序、告知受影响员工、能量隔离、集体锁箱、储存能量、零能量验证与解锁。
什么是上锁挂牌（loto）流程图（危险能量控制）流程
上锁挂牌是有人在设备上作业时控制危险能量的方式。触发它的是检修或维护工作——安装调试、调整、清除卡料、更换模具、更换轴承——凡是意外启动或储存能量释放可能伤及作业人员的场合。这里的防护是物理的，不是纸面的：每一种能量都在一个能把它挡住的装置上被隔离，作业人员自己的锁把这个装置固定在原位，并在手伸进去之前证明设备确实没有能量。下面这张图完整跟随一次检修作业：这项任务是否需要完整上锁挂牌的判定、设备专属程序及其列出的能量源、对操作工的告知、有序停机、隔离、上锁挂牌、班组作业时的集体锁箱、储存能量的释放、检测加试启动的验证、检修作业本身及其交接班与试车两条支路，最后是恢复——撤出工具、复装防护装置、清理现场、由挂锁的人取下自己的锁、告知操作工、给设备重新送能。
这张图讲的是一次检修作业中对设备本身能量的控制，不是围绕它的那些管理体系。它不是电气安全隔离：那要由有资格的人先验证测试仪表、在作业点验证线路确已无电、再复验仪表，那部分工作被交给维修与电工泳道。它也不是工艺装置的隔离方案设计：那要依据管道仪表流程图画出方案，用盲板隔断或采用双阀加排放，并按相反顺序注销隔离证书。它同样不是作业许可体系：许可决定哪些作业需要审批，以及谁可以签发、谁可以执行、谁可以隔离；而上锁挂牌决定的是在这个决定作出之后，如何把设备变得安全。美国的依据是 OSHA 29 CFR 1910.147；英国是 PUWER 1998 第 19 条关于与能量源隔离的规定；ISO 14118 则规定了设备设计者本应内置的部分。本模板是一个起点，需要结合你们自己的程序、所在地的法规以及有资格人员的评审来调整，它不会让任何人自动合规。
四个判断撑起整个流程。小修判定放在最前面，因为大多数体系正是从这里漏出去的：这个例外很窄，只有在替代措施确实保护到人时才成立，而且它属于授权作业人员泳道，不该由赶时间的人随口定下。“程序是否列全了每一种能量源？”抓的是那些有第二路电源、有液压蓄能器、有悬吊负载而书面程序从未提及的设备，它把作业退回程序，而不是放行到现场。零能量验证是唯一能证明前面五步真的奏效的一步，所以在这里失败要退回重新隔离与重新验证，而不是记一笔就放过去。至于取锁的判断，被刻意放在主管泳道：锁在锁主不在场时被取下的那唯一一种情况，恰恰是需要书面例外、需要寻人、需要留痕的情况，而不是一把断线钳加一个耸肩。
本流程图涵盖的内容
本模板包含
- 四条泳道（授权作业人员、受影响员工 / 操作工、主管 / LOTO协调人、维修 / 电工）横跨六个阶段：计划与告知、停机与隔离、上锁挂牌、验证零能量、检修作业，以及解锁与恢复
- 最前面先做一次正常生产中的小修判定，让那些例行、重复、属于生产组成部分且已有替代措施覆盖的任务止于“在有文件规定的替代措施下作业”，而不是把一台设备停下来
- 大多数上锁挂牌图省略的计划那一半：主管签发设备专属程序，“程序是否列全了每一种能量源？”把不完整的程序退回重写，而“停机前告知受影响员工”发生在任何人碰隔离装置之前
- 把隔离画成一个序列而不是一个方框：操作工泳道里的“按正常停机程序停机”、授权作业人员泳道里的“操作每一个能量隔离装置”，随后是维修泳道里的“释放储存能量并固定运动部件”
- 集体作业被认真建模：“作业人员是否多于一人？”把班组引向“把个人锁挂到集体锁箱上”，而“完工前是否交接班或换班组？”把作业交下去，隔离不会在两个班组之间落空
- 验证与解锁是真正的关口而不是形式：作业点的零能量判断在失败时经由重新隔离回退，“是否需要通电试车或调位？”在试车之后重新执行整套控制程序，而每把锁能否由本人取下的判断，会把不在场的锁主引向一次有记录的强制解锁
何时使用本模板
- 你们正在编写或重写上锁挂牌程序，需要一张图说清谁隔离、谁上锁、谁验证、谁批准解锁
- 各台设备的能量控制程序参差不齐，你们希望在逐台重写文件之前先把共同步骤定下来
- 一个班组同时在同一台设备上作业，集体锁箱、交接班与锁具转移必须画出来，而不是当天临场发挥
- 监管人员、保险公司或客户审核员问起检修期间如何控制危险能量，而今天的答案只是一抽屉锁具记录
- 承包商为你们的设备做检修，他们的上锁挂牌程序必须在设备上、在锁箱上、在解锁环节与你们的对接得上
运作方式
把泳道改成你们的角色
用你们实际使用的角色替换授权作业人员、受影响员工 / 操作工、主管 / LOTO协调人和维修 / 电工。改名之后必须保留的区分，是挂锁的人与开设备的人之间的区分。在小厂里一个人可能同时担任两种角色，但绝不能在同一项作业、同一时间里同时担任。
列出这台设备的所有能量源
绕设备走一圈，把每一种能量都写下来：供电电源、控制电源、压缩空气、液压、蒸汽、工艺介质、重力与悬吊负载、弹簧、电容、余热和余压。给每一种写明隔离装置及其位置，并标出哪些只是被控制开关或联锁看起来隔离了、其实没有。正是这份清单把一张通用流程图变成设备专属程序，也正是它被第二个判断拿去检验。
定义什么算小修
把你们打算按小修例外执行的任务写下来，并写明保护每一项作业人员的替代措施。这个例外只覆盖例行、重复、属于生产组成部分的工作，一旦有人必须越过防护装置把手伸进危险区，它立刻站不住脚。凡是无法在书面上说清楚的，一律走完整上锁挂牌那条支路；每次换工装模具，这份清单都值得重新审一遍。
确定验证方法
写清每台设备如何证明零能量、由谁来证明：用测试仪表测导体、用压力表读数为零、有意尝试启动并在之后把操作开关复位到停止位。记下验证的位置，是作业点而不是配电柜前，还要写清那些作业期间能量会重新积聚的设备怎么办，比如会重新充压的蓄能器，或者会缓慢下滑的负载。
写下集体上锁与交接规则
确定一项作业从什么时候起算集体上锁、谁对班组负主要责任、每个人把锁挂在什么上：集体上锁夹具、锁箱或同等机制。然后写清交接班规则，让保护从一个班组连续传到下一个班组，中间隔离不落空，也不会有人站在主管的一把锁后面，而不是自己的锁后面。
约定强制解锁的例外
默认规则是谁上的锁谁取。把唯一的例外写下来：如何确认此人已离开现场、如何尝试联系他、谁有权批准解锁、如何留下记录、以及他返岗之前如何被告知。然后对将来可能要用到它的人做培训，别让这份程序在一条生产线等着的时候才被第一次翻开。
拿真实作业走一遍
挑两三项最近的检修作业，其中一项跨了交接班、一项需要给设备通电试车，把它们放到图上走一遍。凡是有人说得出来却没画上去的步骤，或者画上去了但实际会跳过的步骤，都是值得在这张图变成正式程序、并成为周期性检查依据之前先改掉的发现。
常见问题
上锁挂牌流程有哪些步骤？
先对作业本身提问：这是正常生产中、已有替代措施覆盖的小修，还是需要完整上锁挂牌？如果是完整上锁挂牌，主管签发设备专属程序，并对照设备核实，直到它列全每一种能量源。告知受影响员工，操作工按设备的正常停机程序停机，授权作业人员操作每一个能量隔离装置并挂上自己的锁和标牌。班组作业时，每个人再往集体锁箱上加一把个人锁。释放储存能量、固定运动部件，然后检测并尝试启动设备，以确认零能量。检修作业随后进行，交接班有交接路径，若设备必须通电试车则有重新实施上锁挂牌的路径。作业结束后撤出工具、复装防护装置，每把锁由上锁的人取下，最后给设备重新送能。
上锁与挂牌有什么区别？
锁在物理上把能量隔离装置固定在安全位置，只要锁还在，设备就无法重新送能。标牌是挂在同一装置上的警示：它告诉别人不要操作，但本身不构成任何约束。这就是两者不能互相替代的原因。按照 OSHA 29 CFR 1910.147，只要能量隔离装置具备上锁条件，雇主的能量控制方案就必须采用上锁，除非雇主能证明挂牌体系可以提供同等完整的员工保护。挂牌主要留在那些无法接受锁具的老式隔离装置上，并且附带额外义务：例如拆除隔离回路元件或阀门手柄这类补充措施、标牌必须固定牢靠不会意外脱落、以及针对标牌局限性的培训。该标准还要求新设备或改造设备上的隔离装置在设计上就能接受锁具。
谁是授权作业人员，谁是受影响员工？
这两个术语来自 OSHA 29 CFR 1910.147，值得严格区分，因为培训和告知要求并不相同。授权作业人员是为了在某台机器或设备上执行检修或维护而对其上锁或挂牌的人：锁挂在隔离装置上的是他们，验证零能量的也是他们。受影响员工是工作内容要求操作或使用这台正在上锁挂牌状态下被检修的设备的人：也就是设备被锁住期间无法开动它的操作工和产线人员。标准中还有第三类人，即其他所有员工，他们在该区域内工作，只需要知道绝不能去启动已上锁或已挂牌的设备。这也是本图把前两类放在两条独立泳道里的原因，以及告知为什么出现两次：控制措施挂上之前一次，取下之后再一次。
零能量怎么验证，为什么试启动这一步很重要？
验证证明它前面的每一步都真的奏效，而且要在手将要伸进去的位置做，不是在隔离装置前做。方法随能量种类而定：供电电源用测试仪表测导体，压缩空气或液压看压力表是否为零，被支撑或塞块固定的部件用目视确认不会移动，以热为危险的场合测温度。试启动是验证的另一半。在隔离已实施、储存能量已释放的前提下，授权作业人员操作正常启动开关，确认没有任何部件动作，然后把每一个开关复位到停止位。跳过这一步复位就是那种经典事故：隔离一解除，设备就自己启动，有时是在几个小时之后，而旁边站着的是另一个人。在能量可能重新积聚的场合，验证必须重复进行，或者在整个作业期间持续保持。
监管检查对上锁挂牌方案有哪些要求？
不只是锁具。按照 OSHA 29 CFR 1910.147，方案由三部分组成：书面程序、培训和周期性检查。程序按设备编写，规定控制危险能量的范围、目的、授权和方法。标准为满足一组条件的简单设备留了一个很窄的例外，这些条件包括只有单一能量源且切断后设备完全无能量、不存在储存能量危险、且只有一把锁处于授权作业人员本人控制之下。培训按角色区分，分别面向授权作业人员、受影响员工和其他员工。周期性检查至少每年一次，由一名并不使用被检查程序的授权作业人员执行，并且要与每一位授权作业人员逐一复核其职责。外部检修人员在现场作业时，两方雇主要互相告知各自的程序。