Học Automation cùng MINATA #45: An toàn máy và E-stop: dừng khẩn không phải một nút đỏ đơn lẻ

An toàn máy và E-stop: dừng khẩn không phải một nút đỏ đơn lẻ

E-stop là một phần của hệ thống giảm rủi ro, không phải câu trả lời duy nhất cho mọi nguy cơ. Vị trí, loại dừng, cách reset và kiến trúc mạch đều phải bắt nguồn từ đánh giá rủi ro của chính máy, không sao chép từ máy khác cho tiện.

Dừng vận hành và dừng khẩn là hai việc khác nhau

Dừng vận hành là dừng trong chu trình bình thường, thường do PLC xử lý theo trình tự. Dừng khẩn (E-stop) là chức năng an toàn, phải tác động độc lập và tin cậy hơn logic thường. Không dùng E-stop để dừng cuối ca thay nút Stop, và không dùng nút Stop thường thay cho E-stop.

Ba loại dừng theo tiêu chuẩn

Theo IEC 60204-1, có ba hạng dừng cần phân biệt khi thiết kế:

Hạng	Cách dừng	Dùng khi
Stop category 0	Cắt năng lượng tức thì tới cơ cấu	Khi dừng có điều khiển không cần thiết hoặc không an toàn
Stop category 1	Dừng có điều khiển rồi mới cắt năng lượng	Khi cần giảm tốc an toàn trước khi ngắt
Stop category 2	Dừng có điều khiển, vẫn giữ năng lượng	Dừng vận hành, không phải chức năng an toàn

Chọn hạng dừng nào là kết quả của đánh giá rủi ro, gắn với quán tính, chuyển động rơi và nguy cơ với người.

Kiến trúc mạch, không chỉ một nút

Nút E-stop phải tác động qua kiến trúc an toàn phù hợp: safety relay hoặc safety PLC giám sát vòng mạch, dùng tiếp điểm mở cưỡng bức, thường là kênh đôi để phát hiện lỗi đơn. Không chỉ đưa nút vào một input PLC thường rồi mong phần mềm xử lý kịp — mức toàn vẹn an toàn yêu cầu phần cứng chuyên dụng theo mức rủi ro (PL/SIL) đã xác định.

Reset không phải lệnh chạy

Sau khi nhả E-stop, máy không được tự khởi động lại. Nhả nút chỉ xóa chốt; cần một thao tác reset riêng để xác nhận tình trạng an toàn đã được xử lý, rồi một lệnh Start riêng nữa mới cho máy chạy. Ba bước này tách bạch để tránh chuyển động bất ngờ khi có người trong vùng nguy hiểm.

Tình huống kỹ thuật tham khảo

Một trạm máy có E-stop đặt tại các vị trí tiếp cận, một safety relay giám sát vòng mạch kênh đôi, và yêu cầu Start riêng sau khi reset. Khi nhấn E-stop, chuyển động dừng theo hạng đã thiết kế; PLC thường chỉ đọc trạng thái an toàn để hiển thị, không phải là lớp bảo vệ duy nhất.

Loại dừng, mức PL/SIL, thiết bị an toàn và bố trí cuối cùng phải theo đánh giá rủi ro và tiêu chuẩn áp dụng cho chính máy.

Sai lầm thường gặp

Coi E-stop như một nút Stop to hơn, dùng để dừng cuối ca.
Đưa E-stop vào input PLC thường, không có kiến trúc an toàn.
Cho máy tự chạy lại khi nhả E-stop, thiếu reset và Start riêng.
Chọn hạng dừng không dựa trên đánh giá rủi ro.
Dùng một thiết kế an toàn "chép" từ máy khác không cùng rủi ro.

Checklist an toàn và E-stop

[ ] Phân biệt rõ dừng vận hành và dừng khẩn.
[ ] Hạng dừng (0/1/2) chọn theo đánh giá rủi ro.
[ ] E-stop qua safety relay/PLC, tiếp điểm mở cưỡng bức, kênh đôi khi cần.
[ ] Nhả E-stop không tự chạy; có reset và Start riêng.
[ ] Mức PL/SIL và thiết bị an toàn theo tiêu chuẩn áp dụng.

An toàn là chức năng được thiết kế, kiểm tra và tài liệu hóa, không phải một nút đỏ gắn thêm. Bài #46 đi vào rơ-le an toàn và rèm quang: bảo vệ vùng nguy hiểm theo chức năng.

Đọc thêm kiến thức tự động hóa tại MINATA: https://minatavn.com/vi/blog/tu-dong-hoa

Bài liền trước — #44: Modbus TCP: dữ liệu qua Ethernet vẫn cần kỷ luật công nghiệp: https://minatavn.com/vi/blog/hoc-automation-cung-minata-44-modbus-tcp

Bài tiếp theo — #46: Rơ-le an toàn và rèm quang: bảo vệ vùng nguy hiểm theo chức năng: https://minatavn.com/vi/blog/hoc-automation-cung-minata-46-ro-le-an-toan-rem-quang

Xem tất cả bài viết kỹ thuật MINATA