Thiết kế máy #35: Phục hồi sau dừng khẩn cấp (E-stop) — đặt lại (reset) không đồng nghĩa máy được tự chạy lại

Nhấn dừng khẩn cấp (E-stop) chỉ là phần đầu của một sự kiện an toàn. Phần dễ bị xem nhẹ là máy sẽ phục hồi như thế nào sau đó.

Nếu người vận hành xoay nhả nút dừng khẩn cấp (E-stop) và máy tự tiếp tục chu trình, cơ cấu có thể chuyển động khi phôi đã lệch, người vẫn ở trong vùng nguy hiểm hoặc trạng thái phần mềm không còn khớp với trạng thái cơ khí. Ngược lại, nếu mọi lần phục hồi đều yêu cầu homing toàn bộ mà không xét phôi, trục đứng và năng lượng tích trữ, recovery có thể tạo thêm mối nguy (hazard) hoặc phá sản phẩm.

Một thiết kế tốt phải tách rõ:

dừng khẩn cấp (emergency stop).
Trạng thái dừng đạt được.
Kiểm tra nguyên nhân và vùng máy.
đặt lại (reset) chức năng an toàn.
Khôi phục trạng thái điều khiển.
Lệnh khởi động lại (restart) riêng.
Phục hồi chu trình có kiểm soát.

Bài viết trình bày tư duy thiết kế ở mức khái niệm. Nó không thay thế đánh giá rủi ro (risk assessment), tiêu chuẩn loại C, luật địa phương, thẩm định (validation) chức năng an toàn (safety function) hoặc kỹ sư an toàn có năng lực.

1. dừng khẩn cấp (E-stop) là biện pháp bổ sung, không phải “công tắc an toàn cho mọi việc”

ISO 13850 quy định nguyên tắc thiết kế chức năng dừng khẩn cấp (emergency stop), độc lập loại năng lượng. dừng khẩn cấp (E-stop) nhằm hỗ trợ giảm rủi ro trong tình huống khẩn cấp, nhưng không thay thế:

Thiết kế inherently safe.
tấm chắn bảo vệ (guard) và liên động (interlock).
dừng bảo vệ (protective stop).
Safe speed hoặc safe position khi cần.
cô lập năng lượng (energy isolation) cho bảo trì.
Quy trình vận hành an toàn.

Nếu mối nguy (hazard) vẫn tồn tại sau khi motion dừng, chỉ lắp thêm nút đỏ không giải quyết được gốc rủi ro.

dừng khẩn cấp (E-stop) cũng không phải phương tiện vận hành thường xuyên để dừng máy mỗi chu kỳ. Lạm dụng nó có thể che thiết kế mode control chưa phù hợp và làm giảm khả năng nhận biết tình huống khẩn cấp thật.

2. Tách dừng khẩn cấp (emergency stop), dừng bảo vệ (protective stop) và cô lập năng lượng (energy isolation)

dừng khẩn cấp (emergency stop)

Được người kích hoạt khi cần ngăn hoặc giảm mối nguy (hazard) đang xuất hiện hoặc sắp xảy ra.

dừng bảo vệ (protective stop)

Được kích hoạt bởi protective device hoặc điều kiện bảo vệ, ví dụ mở tấm chắn bảo vệ (guard) có liên động (interlock) hoặc xâm nhập vùng giám sát.

cô lập năng lượng (energy isolation)

Cô lập nguồn năng lượng và kiểm soát năng lượng tích trữ để con người can thiệp an toàn, đặc biệt trong bảo trì.

Ba khái niệm có thể cùng dẫn đến máy ngừng chuyển động, nhưng mục đích và yêu cầu khác nhau. Nút dừng khẩn cấp (E-stop) không mặc nhiên là energy-isolating device. Khi người phải vào vùng nguy hiểm để gỡ kẹt hoặc sửa chữa, cần xác định liệu quy trình isolation/lockout phù hợp có bắt buộc hay không.

3. “Dừng” phải được định nghĩa theo mối nguy (hazard)

Không phải mọi mối nguy (hazard) biến mất khi motor mất điện.

Sau lệnh dừng:

Trục đứng có thể rơi do trọng lực.
Flywheel tiếp tục quay.
Xy lanh trôi vì tải hoặc rò.
Lò xo vẫn nén.
Bình tích áp và ống còn áp suất.
Phôi nóng hoặc vật liệu quy trình (process) vẫn nguy hiểm.
Robot có thể giữ tải bằng brake.
Chân không mất làm rơi phôi.

Vì vậy, đánh giá rủi ro (risk assessment) cần xác định trạng thái an toàn mong muốn cho từng năng lượng:

Loại bỏ.
Giảm có kiểm soát.
Giữ.
Khóa cơ khí.
Xả.
Giám sát.

Không có một câu trả lời chung “mất năng lượng là an toàn”. Với cơ cấu giữ vật trên cao, ngắt năng lượng có thể làm vật rơi nếu không có biện pháp phù hợp.

4. Vẽ energy map trước khi viết recovery sequence

Lập danh sách:

Điện động lực.
Điện điều khiển.
Khí nén.
Thủy lực.
Chân không.
Trọng lực.
Lò xo/đàn hồi.
Nhiệt.
Áp suất quy trình (process).
Động năng.
Năng lượng từ thiết bị liên kết.

Với mỗi nguồn:

Nó đi về đâu khi dừng khẩn cấp (E-stop)?
Bao lâu mới đạt trạng thái yêu cầu?
Có feedback xác nhận không?
Năng lượng nào vẫn được giữ có chủ đích?
dạng sai hỏng (failure mode) của valve, brake, contactor hoặc cơ cấu khóa là gì?
Người có thể tiếp cận trước khi mối nguy (hazard) hết không?

Energy map phải bao gồm cả năng lượng nhập từ máy khác, conveyor hoặc utility chung.

5. State machine khái niệm cho recovery

Một mô hình hữu ích:

RUNNING

Máy vận hành trong mode được phép.

EMERGENCY_STOP_ACTIVE

dừng khẩn cấp (E-stop) đã kích hoạt; chức năng an toàn (safety function) thực hiện phản ứng đã thiết kế.

STOPPED_NOT_READY

Motion nguy hiểm đã dừng nhưng:

dừng khẩn cấp (E-stop) còn latched.
Nguyên nhân chưa xử lý.
Vùng máy chưa được kiểm tra.
Năng lượng hoặc trạng thái chưa phù hợp.

RESET_ALLOWED

Mọi điều kiện để chấp nhận đặt lại (reset) đã đạt.

RESET_COMPLETE_NOT_READY

chức năng an toàn (safety function) đã đặt lại (reset) nhưng máy chưa được phép chạy:

Drive chưa enable.
Reference chưa xác nhận.
Phôi chưa kiểm tra.
công thức sản xuất (recipe)/mode chưa đúng.

READY_FOR_RESTART

điều kiện cho phép (permissive) vận hành đã đạt; máy chờ lệnh start riêng.

RECOVERY_MODE

Thực hiện thao tác phục hồi có giới hạn: jog, retract, unload hoặc re-home theo đánh giá rủi ro (risk assessment).

RUNNING

Chỉ quay lại sau lệnh có chủ ý và điều kiện cho phép.

Đây là mô hình tư duy, không phải an toàn (safety) program mẫu. Kiến trúc thật cần được thiết kế và validated theo tiêu chuẩn áp dụng.

6. Nhả nút dừng khẩn cấp (E-stop), đặt lại (reset) và khởi động lại (restart) là ba hành động

Nhả actuator

Đưa thiết bị dừng khẩn cấp (E-stop) khỏi trạng thái tác động sau khi nguyên nhân đã được xử lý.

đặt lại (reset)

Khôi phục khả năng của chức năng điều khiển an toàn để hệ thống có thể chuẩn bị vận hành.

khởi động lại (restart)

Lệnh riêng có chủ ý yêu cầu máy bắt đầu hoặc tiếp tục chuyển động.

Thiết kế cần tránh:

Xoay nhả nút làm máy chạy.
đặt lại (reset) an toàn (safety) relay/bộ điều khiển logic lập trình (PLC) làm actuator chuyển động.
Nguồn điện trở lại làm chu trình tự tiếp tục.
Đóng tấm chắn bảo vệ (guard) làm máy tự khởi động ngoài điều kiện được đánh giá.

đặt lại (reset) không nên tự tạo mối nguy (hazard). Nó chỉ thay đổi trạng thái logic từ “bị khóa do sự kiện an toàn (safety)” sang “có thể chuẩn bị chạy”.

7. Vị trí đặt lại (reset) phải hỗ trợ kiểm tra vùng nguy hiểm

Vị trí đặt lại (reset) phụ thuộc đánh giá rủi ro (risk assessment):

Người đặt lại (reset) có quan sát được vùng nguy hiểm liên quan không?
Có vùng khuất không?
Có người có thể bị kẹt bên trong tấm chắn bảo vệ (guard) không?
Cần nhiều điểm đặt lại (reset) theo zone không?
Có cần trapped-key, enabling device hoặc quy trình search không?
giao diện người–máy (HMI) remote có đủ điều kiện để đặt lại (reset) không?

Không nên đặt nút đặt lại (reset) chỉ vì gần tủ điện hoặc thuận dây. Nó là một phần của human–machine interaction trong recovery.

Với vùng lớn hoặc nhiều người, có thể cần thiết kế chống khởi động lại (restart) khi còn người trong zone. Giải pháp cụ thể phải dựa trên standard và đánh giá rủi ro (risk assessment) phù hợp.

8. khởi động lại (restart) liên động (interlock) và điều kiện cho phép (permissive)

Sau đặt lại (reset), bộ điều khiển logic lập trình (PLC) thường cần kiểm tra các điều kiện vận hành:

tấm chắn bảo vệ (guard)/liên động (interlock) đúng trạng thái.
dừng khẩn cấp (E-stop) chain không còn active.
Áp suất/utility trong vùng cho phép.
Drive ready.
Brake feedback hợp lý.
Trục trong vùng phục hồi được phép.
kẹp (clamp)/phôi không ở trạng thái nguy hiểm.
công thức sản xuất (recipe) và mode khớp.
Không cảnh báo (alarm) quan trọng chưa xử lý.

Phân biệt:

an toàn (safety) condition: liên quan chức năng an toàn (safety function) và phải đạt độ tin cậy theo thiết kế an toàn.
điều kiện cho phép của quy trình (process permissive): điều kiện chất lượng/vận hành.
Diagnostic: thông tin tìm lỗi.

Không đưa mọi cảm biến (sensor) vào an toàn (safety) chain. Nhưng cũng không dùng quy trình (process) bộ điều khiển logic lập trình (PLC) thông thường để thay chức năng an toàn (safety) đã được đánh giá rủi ro (risk assessment) yêu cầu.

9. Trạng thái phần mềm có thể không còn đúng sau dừng khẩn cấp (E-stop)

dừng khẩn cấp (E-stop) có thể xảy ra giữa:

Đóng kẹp (clamp).
Robot nhả phôi.
Ép/lắp.
Bơm keo.
Gia công.
Chuyển pallet.

Bit sequence “đang ở bước 42” không chứng minh cơ khí vẫn ở trạng thái tương ứng. Sau khi dừng:

Xy lanh có thể trôi.
Phôi rơi hoặc lệch.
cảm biến (sensor) đổi trạng thái.
Drive mất reference.
Timer và counter bị dừng hoặc đặt lại (reset).
Thiết bị phụ tiếp tục hoàn thành hành động.

Recovery phải tái xác nhận trạng thái vật lý thay vì chỉ tiếp tục từ step number cũ.

10. Thiết kế state reconciliation

Sau đặt lại (reset), thu thập trạng thái:

Vị trí trục.
kẹp (clamp) open/closed.
Có phôi/không phôi.
Phôi seating.
Tool in/out.
Door/tấm chắn bảo vệ (guard).
Pressure/vacuum.
công thức sản xuất (recipe)/part ID.
State của thiết bị liên kết.

Sau đó phân loại:

Known trạng thái an toàn (safe state): có thể về ready theo trình tự.
Known recoverable state: cần recovery mode.
Unknown state: không tự chạy; cần kiểm tra hoặc homing có kiểm soát.
Faulted state: yêu cầu can thiệp/bảo trì.

Không “suy ra” trạng thái cơ khí chỉ từ lệnh cuối cùng đã gửi.

11. Homing sau dừng khẩn cấp (E-stop) không mặc nhiên an toàn

Homing có thể:

Đi qua phôi.
Kéo dây/ống.
Làm rơi tải.
Đẩy cơ cấu vào cữ chặn cứng (hard stop).
Va robot với jig.
Thực hiện ở tốc độ không phù hợp.

Trước homing, xác định:

Trục có absolute position đáng tin không?
Vùng chuyển động có clear không?
Có phôi/kẹp (clamp) cản không?
Homing từng trục hay theo nhóm?
Thứ tự nào giảm mối nguy (hazard)?
Có cần limited speed/hold-to-run/enabling device?

Một “home all” duy nhất thường không đủ cho mọi trạng thái bất thường.

12. Recovery mode cần quyền hạn và giới hạn rõ

Recovery mode có thể cho phép:

Jog tốc độ giới hạn.
Retract một actuator.
Nhả phôi.
Purge material.
Re-establish chuẩn định vị (datum).

Thiết kế:

Mode selection rõ.
Người có thẩm quyền.
Motion chỉ khi giữ nút hoặc enabling device nếu đánh giá rủi ro (risk assessment) yêu cầu.
Chỉ actuator cần thiết được enable.
Speed/force/travel giới hạn phù hợp.
giao diện người–máy (HMI) mô tả mục tiêu và điều kiện, không chỉ hiển thị mã cảnh báo (alarm).
Exit recovery yêu cầu kiểm tra lại.

Recovery mode không được trở thành “bỏ qua bảo vệ (bypass) mode” vận hành dài hạn.

13. Cơ cấu thẳng đứng và tải giữ

Đây là trường hợp cần phân tích riêng:

Brake giữ khi mất điện?
Brake có feedback hay test định kỳ?
Xy lanh có lock valve hoặc rod lock phù hợp?
Rò rỉ làm trôi trong bao lâu?
Năng lượng trọng lực được khóa cơ khí khi bảo trì?
đặt lại (reset)/enable có làm brake nhả trước khi motor tạo torque?

Sequence enable cần xét:

Drive sẵn sàng.
Torque/holding condition được thiết lập.
Brake nhả theo trình tự.
Position feedback hợp lý.

Đây chỉ là logic khái niệm; giải pháp phải theo sản phẩm, standard và thẩm định (validation).

14. kẹp (clamp) và phôi sau dừng khẩn cấp

Khi dừng khẩn cấp (E-stop):

kẹp (clamp) nên giữ hay nhả?
Mất khí có làm phôi rơi không?
Giữ kẹp (clamp) có kẹt người không?
Phôi dở dang có thể tiếp tục không?
Năng lượng trong kẹp (clamp) có cần xả trước can thiệp?

Không có failure state chung.

Thiết kế có thể cần:

Check valve.
Mechanical lock.
Dump valve.
Pressure feedback.
Controlled release.
Khay hoặc catch chống rơi.

Quyết định phải dựa trên mối nguy (hazard) của cả “giữ” và “nhả”, không dựa trên thói quen “an toàn khi hỏng (fail-safe) = mất khí thì về”.

15. Nhiều zone và ownership của đặt lại (reset)

Trong line nhiều zone:

dừng khẩn cấp (E-stop) nào ảnh hưởng phạm vi nào?
Zone upstream/downstream dừng ra sao?
Ai xác nhận clear?
đặt lại (reset) local có làm zone khác ready không?
Thiết bị chung như conveyor, robot hoặc transfer thuộc ai?

giao diện người–máy (HMI) cần hiển thị:

Thiết bị nào đang active.
Zone nào bị ảnh hưởng.
Điều kiện nào chưa đạt.
đặt lại (reset) nào cần thực hiện.
Trạng thái nào chờ lệnh start.

Tránh “đặt lại (reset) toàn line” từ một vị trí không thể đánh giá mọi vùng nguy hiểm.

16. Nguồn điện trở lại và khởi động lại (restart) ngoài ý muốn

ISO 14118 đề cập prevention of unexpected start-up từ nhiều nguồn, gồm điện, thủy lực, khí nén, năng lượng lưu do trọng lực/lò xo và tác động bên ngoài.

Kiểm tra:

Sau mất điện, điện trở lại có tự enable drive không?
Valve về trạng thái nào?
bộ điều khiển logic lập trình (PLC) giữ step hay khởi tạo lại?
Network reconnect có phát lệnh cũ không?
Thiết bị slave có tự chạy sequence?
Pressure phục hồi có làm actuator chuyển động?

Thiết kế boot/reconnect phải đưa máy về trạng thái xác định, chờ kiểm tra và lệnh vận hành có chủ ý.

17. dừng khẩn cấp (E-stop) không thay lockout/tagout cho bảo trì

Nếu người:

Vào vùng nguy hiểm.
Tháo tấm chắn bảo vệ (guard).
Chạm cơ cấu.
Gỡ kẹt có thể giải phóng năng lượng.
Sửa điện/khí/thủy lực.

Phải đánh giá yêu cầu cô lập năng lượng (energy isolation) và quy trình kiểm soát năng lượng. Nút dừng khẩn cấp (E-stop) có thể bị đặt lại (reset) bởi người khác, dây bị lỗi hoặc chỉ dừng control energy chứ không cô lập nguồn.

Tài liệu recovery cần chỉ rõ ranh giới:

Operator recovery không cần vào mối nguy (hazard) zone.
Controlled intervention theo procedure.
Maintenance yêu cầu isolation/LOTO.

Không dùng một hướng dẫn đặt lại (reset) chung cho cả ba.

18. giao diện người–máy (HMI) và cảnh báo (alarm) phục vụ recovery

cảnh báo (alarm) tốt trả lời:

Sự kiện nào xảy ra?
an toàn (safety) device/zone nào active?
Điều kiện nào ngăn đặt lại (reset)?
Điều kiện nào ngăn khởi động lại (restart)?
Người vận hành được phép làm gì?
Khi nào cần gọi maintenance?

Tránh:

“an toàn (safety) lỗi (error)”.
“đặt lại (reset) failed”.
Mã cảm biến (sensor) không có vị trí.
Hiển thị hướng dẫn bỏ qua bảo vệ (bypass).

cảnh báo (alarm) history nên giữ timestamp và sequence đủ để chẩn đoán, nhưng không lưu trạng thái khiến khởi động lại (restart) tự động ngoài ý muốn.

19. thẩm định (validation) recovery sequence

Không chỉ test nút dừng khẩn cấp (E-stop) khi máy đứng yên.

Lập test matrix:

Mỗi dừng khẩn cấp (E-stop) device.
Mỗi zone.
Các phase quan trọng: robot mang phôi, kẹp (clamp) chuyển động, trục đứng, quy trình (process) đang chạy.
Mất điện.
Mất khí/áp suất thấp.
Network mất/kết nối lại.
cảm biến (sensor) state bất hợp lý.
Nhiều an toàn (safety) device cùng active.

Kiểm tra:

Stop response đạt design.
mối nguy (hazard) còn lại được kiểm soát.
Nhả actuator không khởi động lại (restart).
đặt lại (reset) không tạo motion.
khởi động lại (restart) cần lệnh riêng.
Recovery mode giới hạn đúng.
State reconciliation phát hiện unknown state.
cảnh báo (alarm)/giao diện người–máy (HMI) đúng.
Log/truy vết đủ.

thẩm định (validation) chức năng an toàn (safety function) phải theo tiêu chuẩn và phương pháp chuyên môn áp dụng; checklist bài này không thay thế thẩm định (validation) đó.

20. Checklist design review

Risk và energy

mối nguy (hazard) khi dừng và khi phục hồi đã đánh giá.
Energy map gồm điện, khí, thủy lực, gravity, spring, thermal và quy trình (process).
Retained energy và trạng thái an toàn có feedback hoặc phương pháp xác nhận.

State transition

Nhả dừng khẩn cấp (E-stop), đặt lại (reset) và khởi động lại (restart) là hành động riêng.
đặt lại (reset) không tạo motion nguy hiểm.
Nguồn trở lại không làm khởi động lại (restart).
Physical state được tái xác nhận, không chỉ tin step memory.
Unknown state không tự tiếp tục.

Recovery

Homing được đánh giá theo từng trạng thái.
Recovery mode có quyền, giới hạn và exit criteria.
Trục đứng, kẹp (clamp), phôi và thiết bị liên kết có sequence riêng khi cần.
Không biến recovery thành bỏ qua bảo vệ (bypass).

Human factors

Người đặt lại (reset) có khả năng đánh giá vùng liên quan.
Zone ownership rõ.
giao diện người–máy (HMI) phân biệt điều kiện ngăn đặt lại (reset) và ngăn khởi động lại (restart).
Ranh giới operator recovery và maintenance isolation rõ.

thẩm định (validation)

Test ở nhiều phase của chu kỳ.
Test mất điện/khí/network và cảm biến (sensor) bất hợp lý.
Xác nhận không khởi động lại (restart) ngoài ý muốn.
Tài liệu và revision có thể truy vết.

Kết luận

Thiết kế dừng khẩn cấp (E-stop) không kết thúc ở việc dừng motion. Một hệ thống an toàn phải phục hồi mà không tạo khởi động ngoài ý muốn, không tin nhầm trạng thái phần mềm và không bỏ qua năng lượng còn lưu.

Hãy tách nhả actuator, đặt lại (reset) và khởi động lại (restart). Lập energy map, xây state reconciliation, thiết kế recovery mode giới hạn và thẩm định (validation) ở nhiều phase của chu kỳ.

Quan trọng nhất: đặt lại (reset) chỉ khôi phục khả năng chuẩn bị vận hành. Máy chỉ chạy lại sau một lệnh riêng có chủ ý và khi mọi điều kiện an toàn, trạng thái cơ khí và điều kiện cho phép (permissive) cần thiết đã được xác nhận.

Tài liệu tham khảo công khai

Xem tất cả bài viết kỹ thuật MINATA