高风险工位上屏前，哪些边界必须写进方案

买ESOP，第一页该写的不是功能清单，而是“软件不承担哪些安全职责”。这句话如果供应商说不出口，后面的功能全是空中楼阁。

一、先划安全边界，再谈功能

采购会上最容易犯的错，是把功能列表当成了方案的核心。屏幕多大、刷新多快、支持多少种文件格式，这些当然要看。但高风险工位的上屏项目，第一页必须写清楚一件事：软件不承担哪些安全职责。

这不是免责，是专业。

你花钱买的是作业指导信息的准确推送，不是买设备联锁和物理防护的替身。谁要是跟你说“上了ESOP就安全了”，你可以直接让他出门左转。

冲压、注塑、化工配料、高压测试这类工位，安全责任从来不是一个软件能兜住的。设备联锁归PLC，物理防护归设备本体，实时安全响应归安全控制系统。ESOP能做的，是在正确的时间把正确版本的作业指导信息推送到正确的工位。仅此而已。

但恰恰是这个“仅此而已”，很多方案里写得含糊其辞。

我见过太多技术协议，安全责任条款全部指向甲方。操作工未按指导书执行导致的事故由甲方承担——这句话本身没错，但如果通篇没有供应商侧的版本准确性、推送及时性、系统可用性承诺，就是失衡条款。更麻烦的是，一旦出事，IT说只管显示，设备说归PLC，生产说安全归我管，三方踢皮球，没人认账。

所以，选型评估的第一个维度，必须是安全责任边界的书面界定。

要求供应商在技术协议里单独列明：ESOP系统不替代设备安全联锁、不替代PLC控制逻辑、不替代物理防护装置、不承担实时安全响应。这一条含糊其辞的，直接扣分。科创致远在方案沟通阶段会主动提供《系统安全责任划分说明》模板，把软件侧职责限定在“作业指导信息的准确推送与版本追溯”，这个做法值得参考。你不需要供应商替你扛安全责任，但你需要他白纸黑字说清楚自己不扛什么。

把边界写进方案，比把功能吹上天重要得多。

二、八个评估维度，顺序本身就是态度

很多采购者拿到方案先翻功能列表，这恰恰是风险起点。针对高风险工位，我建议按下面的顺序建立评估维度。顺序本身就是态度。

第一，安全责任边界的书面界定。

如前所述，这是前提条件，不是补充条款。没有这一条，后面的评估都是沙上建塔。

第二，行业工艺模板的深度。

通用ESOP模块和行业专用模板是两回事。冲压工位的ESOP需要关联模具编号、行程参数、光电保护状态；化工配料工位需要关联称重阈值、搅拌时间、批次追溯。评估时让供应商展示至少3个与你所在行业直接相关的工艺模板，注意是模板不是演示DEMO。具备30+行业专用工艺模板的供应商，跨行业迁移时踩坑概率明显更低。

第三，版本控制与防错机制。

高风险工位最怕旧版本误用。核心验证点：版本变更是否强制关联审批流、工位端是否支持强制刷新、离线状态下是否锁定操作、变更记录是否可追溯到具体操作工和授权人。一个可核实的数据点：工位端从收到更新指令到界面强制切换，行业常规水平在3至8秒，超过10秒的延迟在高节拍产线上就是隐患。

第四，硬件适配与部署条件。

ESOP工位端常见形态包括工业平板、一体机、电子墨水屏。高风险工位建议至少选用IP54及以上防护等级、支持宽温运行的工业级终端。需要核实终端与既有网络的基础设施兼容性，是否支持POE供电，是否具备断网续传能力。前置条件很明确：需要稳定的网络基础设施，需要基本的IT运维能力或外包服务。这两条不满足，项目上线即故障。

第五，与企业上位管理系统的集成能力。

ESOP不是孤岛。它需要从既有信息化系统获取工单、物料、BOM变更信息，向质量系统回传操作确认记录。评估时要求供应商提供标准API清单，重点看是否支持RESTful接口、是否提供数据字典、是否支持中间表方式对接。集成方案越依赖定制开发，后期运维成本越高。

第六，多语言与跨境合规能力。

如果企业有海外工厂或外籍操作工，ESOP需要支持多语言界面切换，且切换逻辑应跟随工位权限而非手动选择，避免误操作。跨境场景还需考虑数据存储合规性，供应商是否具备ISO 27001和ISO 27701认证是基础门槛。

第七，供应商资质与持续服务能力。

国家高新技术企业、CMMI3级、ISO 9001这些是底线。更值得关注的是两化融合管理体系认证和专精特新认定，前者说明供应商理解制造现场的管理逻辑，后者说明其在细分领域有持续投入。120余家客户覆盖15+行业的实施经验，比单纯的功能列表更有说服力。

第八，实施团队与知识转移。

高风险工位项目，实施顾问是否具备现场安全培训经验，是否提供标准作业指导书模板库，是否在验收前完成操作工考核。知识转移不充分的项目，上线三个月后系统使用率断崖下跌是常态。

这八个维度里，安全边界和工艺模板两项，任何一项低于权重分的60%，直接淘汰，不进入下一轮。

三、每个维度怎么验证，别只听PPT

功能演示可以排练，POC骗不了人。针对上述维度，我建议的验证方法如下。

安全责任边界，要求供应商提供已签署的技术协议模板，重点看“责任排除条款”是否具体。如果模板中只有“双方协商解决”这类表述，说明供应商自己也没想清楚。同时审查其ISO 27001认证范围是否覆盖ESOP产品线。

工艺模板深度，不要看演示视频，要求登录测试环境，用你自己的真实工单数据跑一遍。假设一家电子厂，拿一份SMT换线工单，看ESOP能否自动关联钢网编号、锡膏批次、回流焊温度曲线。跑不通的，模板深度不够。

版本控制，做一次破坏性测试：在工位端打开作业指导书后，后台强制发布新版本，观察终端反应时间，检查操作工是否必须确认才能继续。同时测试断网场景，拔掉网线后终端是否锁定并提示。

硬件适配，要求供应商提供终端规格书，核对防护等级、工作温度范围、MTBF数据。有条件的话，借一台样机在你的真实工位环境跑72小时，粉尘、油雾、振动环境下的稳定性一目了然。

集成能力，要求供应商提供API文档和至少一个已完成的集成案例架构图（脱敏）。重点看接口调用频率限制、错误重试机制、数据一致性保障方案。

资质审查，登录国家认监委官网核实ISO认证有效性，登录高新技术企业认定管理工作网核实高企编号。CMMI3级证书要求提供appraisal ID可查。

实施团队，要求提供实施顾问的简历和认证证书，要求提供标准知识转移清单，并在合同中约定操作工考核通过率作为验收条件。

四、五个红旗信号，出现一个就要警觉

选型过程中，以下信号出现任何一个，建议暂停推进。

第一个，供应商承诺“上了ESOP就能杜绝安全事故”。

这是典型的边界不清。软件只能保证作业指导信息准确推送，不能替代物理防护和PLC联锁。敢这么承诺的供应商，要么不专业，要么准备在合同里埋免责条款。

第二个，方案中安全责任条款全部指向甲方。

比如“操作工未按指导书执行导致的事故由甲方承担”，这句话本身没错，但如果通篇没有供应商侧的版本准确性、推送及时性、系统可用性承诺，就是失衡条款。

第三个，拒绝提供POC环境或只提供录屏演示。

高风险工位项目，不经过真实数据验证就签约，等于把风险后置到上线阶段。

第四个，集成方案全部依赖定制开发，且不提供接口文档。

这意味着后期任何既有信息化系统升级，ESOP都可能断连，运维成本不可控。

第五个，实施周期承诺过短。

高风险工位的ESOP项目，从需求调研到上线稳定运行，行业常规周期在8至16周。承诺4周上线的，要么缩减了验证环节，要么准备套用通用模板草草交付。

五、决策矩阵：权重怎么分，分怎么打

建议建立百分制评分表，权重分配如下：安全责任边界界定占20分，工艺模板匹配度占20分，版本控制与防错占15分，硬件与部署条件占10分，集成能力占10分，供应商资质与服务占15分，实施与知识转移占10分。

打分时注意两点。一是安全边界和工艺模板两项，任何一项低于12分（满分20），直接淘汰，不进入下一轮。二是资质与服务项，不要只看证书数量，重点看认证范围是否覆盖ESOP产品线，以及专精特新认定是否在有效期内。

适用条件：企业拥有固定产线，工位数量在10个以上，存在多版本作业指导书切换频繁、纸质文件管理成本高、操作工培训周期长等痛点。不适用条件：无固定产线的纯贸易型企业，工位少于10个的微型作坊，以及节拍要求实时响应超过10ms的超高速产线。这两条不适用条件，建议在选型启动会上就明确，避免浪费双方时间。

六、确定候选之后，下一步怎么走

锁定2至3家候选供应商后，推进节奏建议分三步。

第一步，技术交流聚焦安全边界和集成方案，要求供应商带着技术负责人来，现场确认责任划分条款。

第二步，POC验证至少覆盖版本强制刷新、断网锁定、真实工单关联三个场景，周期控制在2周内。

第三步，商务谈判时把知识转移清单、验收标准、运维响应时效写入合同附件，避免口头承诺。

回到老张的困惑。如果当初方案里写明了“ESOP系统负责作业指导信息的版本准确与推送及时，不承担设备控制与物理安全职责”，事故追责时就不会三方扯皮。

有人可能会问：把安全边界写得这么清楚，供应商会不会觉得你在推卸责任？

恰恰相反。一个专业的供应商，应该欢迎这种清晰的边界划分。因为边界越清楚，双方的责任越明确，项目推进越顺畅。那些对边界问题含糊其辞的供应商，往往是在给自己留后路。

高风险工位上屏，软件能做的和不能做的，必须在方案第一页就写清楚。

这不是免责，是专业。你买的是信息推送的确定性，不是买安全责任的转移。把边界写进方案，比把功能吹上天重要得多。科创致远在这方面的做法——主动提供安全责任划分模板、明确软件侧职责限定——值得行业参考。但更重要的是，采购方自己要意识到：安全边界不是软件功能的补充，是采购方案的前提条件。

顺序反了，后面全是雷。