Thiết kế máy #38: Liên động (interlock) và điều kiện cho phép (permissive) — Đừng biến mọi điều kiện bộ điều khiển logic lập trình (PLC) thành “an toàn (safety)”

Một máy tự động có thể có hàng trăm điều kiện trước khi cho phép chạy:

Cửa đã đóng.
tấm chắn bảo vệ (guard) đã khóa.
dừng khẩn cấp (E-stop) đã đặt lại (reset).
Áp suất đủ.
Phôi có mặt.
Phôi đã seating.
dụng cụ sẵn sàng (tool ready).
công thức sản xuất (recipe) đúng.
Không cảnh báo (alarm).

Nếu tất cả được gọi chung là “liên động (interlock)”, đội thiết kế sẽ khó trả lời:

Điều kiện nào thực hiện chức năng giảm rủi ro?
Điều kiện nào chỉ bảo vệ chất lượng hoặc thiết bị?
lỗi (fault) nào phải do an toàn (safety) system xử lý?
lỗi (fault) nào thuộc quy trình (process) bộ điều khiển logic lập trình (PLC)?
Tín hiệu nào chỉ dùng để chẩn đoán?

Cách tốt hơn là tách ba lớp:

liên động an toàn (safety interlock).
điều kiện cho phép của quy trình (process permissive).
Diagnostic.

Sau đó xác định ownership, reaction, đặt lại (reset), thẩm định (validation) và bỏ qua bảo vệ (bypass) cho từng lớp.

Bài viết trình bày kiến trúc tư duy, không phải an toàn (safety) circuit hoặc chương trình mẫu. chức năng an toàn (safety function), PLr/SIL, thiết bị và thẩm định (validation) phải được xác định từ đánh giá rủi ro (risk assessment), tiêu chuẩn áp dụng và người có năng lực.

1. “liên động (interlock)” không phải tên chung cho mọi bit ngăn máy chạy

Trong code bộ điều khiển logic lập trình (PLC), một contact nối tiếp trước coil CycleStart có thể được gọi là liên động (interlock). Nhưng về kỹ thuật:

GuardLocked có thể là điều kiện của chức năng an toàn (safety function).
AirPressureOK có thể là điều kiện cho phép của quy trình (process permissive) hoặc an toàn (safety) condition tùy mối nguy (hazard).
PartPresent thường là chất lượng (quality)/quy trình (process).
CameraReady thường là quy trình (process).
SensorDiagnosticOK có thể là diagnostic hoặc là một phần an toàn (safety) architecture nếu được thiết kế như vậy.

Tên tag không tạo ra độ tin cậy. Một biến đặt tên Safety_OK trong bộ điều khiển logic lập trình (PLC) tiêu chuẩn không trở thành đạt cấp an toàn (safety-rated).

2. liên động an toàn (safety interlock) là gì?

ISO 14119:2024 quy định nguyên tắc thiết kế và lựa chọn interlocking devices associated with guards, đồng thời đề cập biện pháp giảm khả năng defeat có thể dự đoán.

liên động an toàn (safety interlock):

Đến từ đánh giá rủi ro (risk assessment) và an toàn (safety) yêu cầu (requirement) đặc tả (specification).
Thực hiện hoặc hỗ trợ chức năng an toàn (safety function).
Có yêu cầu architecture, reliability, diagnostic và thẩm định (validation).
Có defined safe reaction khi lỗi (fault).
Không chỉ “ngăn sequence chạy”.

Ví dụ khái niệm:

Mở tấm chắn bảo vệ (guard) khi mối nguy (hazard) còn yêu cầu dừng hoặc ngăn start theo chức năng an toàn (safety function) đã thiết kế.
tấm chắn bảo vệ (guard) locking chỉ cho mở sau khi mối nguy (hazard) giảm đủ theo yêu cầu (requirement).

Loại device, coding level, locking principle, escape release và hiệu năng (performance) level phụ thuộc application; bài này không chọn thay.

3. điều kiện cho phép của quy trình (process permissive) là gì?

điều kiện cho phép của quy trình (process permissive) là điều kiện để máy chạy đúng:

Phôi có mặt.
Phôi đúng model.
kẹp (clamp) closed.
dụng cụ sẵn sàng (tool ready).
Pressure trong vùng quy trình (process).
công thức sản xuất (recipe) khớp.
Downstream sẵn sàng.

Nếu điều kiện cho phép (permissive) fail:

Chặn cycle.
Dừng sequence có kiểm soát.
Báo operator.
Yêu cầu recovery.

Nó có thể rất quan trọng với chất lượng hoặc thiết bị, nhưng không mặc nhiên là chức năng an toàn (safety function).

Một điều kiện cho phép (permissive) có thể được nâng thành an toàn (safety)-related condition chỉ khi đánh giá rủi ro (risk assessment) yêu cầu và toàn chain được thiết kế/validated theo standard an toàn (safety) tương ứng.

4. Diagnostic là gì?

Diagnostic trả lời “vì sao”:

cảm biến (sensor) stuck.
tấm chắn bảo vệ (guard) actuator lệch.
Valve không đổi trạng thái.
Pressure tăng chậm.
Network mất.
Device temperature cao.
Switching margin giảm.

Diagnostic giúp:

Rút ngắn troubleshooting.
Phát hiện degradation.
Phân biệt root cause.
Lập maintenance action.

Diagnostic không được tự claim giảm rủi ro nếu chưa nằm trong an toàn (safety) architecture với coverage và thẩm định (validation) phù hợp.

5. Logic ownership map

Lập bảng:

Condition	Claim	Lớp	người phụ trách (owner)	Reaction	đặt lại (reset)	thẩm định (validation)
tấm chắn bảo vệ (guard) locked	tấm chắn bảo vệ (guard) không thể mở khi mối nguy (hazard) còn	an toàn (safety)	an toàn (safety) control	Safe reaction	Theo an toàn (safety) design	an toàn (safety) thẩm định (validation)
Part seated	Phôi chạm đủ chuẩn định vị (datum)	quy trình (process)	bộ điều khiển logic lập trình (PLC)/quy trình (process)	Block cycle	Operator/recovery	Challenge test
cảm biến (sensor) margin low	cảm biến (sensor) gần mất detection	Diagnostic	Maintenance	Warning/planned stop	Sau sửa	Diagnostic test

Mỗi condition chỉ có một định nghĩa gốc. giao diện người–máy (HMI), bộ điều khiển logic lập trình (PLC) và historian có thể consume nó, nhưng ownership không mơ hồ.

6. tấm chắn bảo vệ (guard) closed và tấm chắn bảo vệ (guard) locked không giống nhau

tấm chắn bảo vệ (guard) closed

tấm chắn bảo vệ (guard) ở vị trí đóng.

tấm chắn bảo vệ (guard) locked

Cơ cấu tấm chắn bảo vệ (guard) locking đã đạt trạng thái giữ theo thiết kế.

Nếu mối nguy (hazard) có run-down time hoặc cần giữ người ngoài vùng đến khi condition đạt, closed chưa chắc đủ.

Ngược lại, không phải mọi tấm chắn bảo vệ (guard) cần locking. đánh giá rủi ro (risk assessment) và standard loại C quyết định.

cảm biến (sensor) “door closed” đặt sai có thể ON khi tấm chắn bảo vệ (guard) chưa seating hoàn toàn. đối tượng phát hiện (target), actuator và mechanical tolerance là phần của an toàn (safety) subsystem, không chỉ device điện.

7. Interlocking device không tự tạo chức năng an toàn (safety function) hoàn chỉnh

Một switch có thể cung cấp input. chức năng an toàn (safety function) còn gồm:

Input subsystem.
Logic.
Output subsystem.
Actuator/energy control.
Mechanical effect.
Diagnostic.
Response time.
thẩm định (validation).

ISO 13849-1 và IEC 62061 cung cấp methodology cho an toàn (safety)-related control systems. Không được chọn một switch “an toàn (safety)” rồi mặc định toàn function đạt yêu cầu.

Kiểm tra:

lỗi (fault) input.
Wiring/network.
Logic.
Contactor/drive/valve.
Mechanical stopping.
Feedback.
Common cause.

8. Prevent unexpected start-up

liên động (interlock) phải được xem cùng:

đặt lại (reset).
khởi động lại (restart).
Power restoration.
Mode change.
tấm chắn bảo vệ (guard) closing.

Mở rồi đóng tấm chắn bảo vệ (guard) không nên tự khởi động lại (restart) ngoài điều kiện đã được đánh giá rủi ro (risk assessment) và standard cho phép.

Tách:

Device trở lại trạng thái bình thường.
an toàn (safety) đặt lại (reset).
quy trình (process) đặt lại (reset).
Start command.

Máy chỉ chạy lại sau hành động có chủ ý và các condition phù hợp.

9. đặt lại (reset) ownership

Một nút “đặt lại (reset) ALL” thường gây:

Xóa lỗi (fault) trước khi nguyên nhân được hiểu.
đặt lại (reset) an toàn (safety) và quy trình (process) cùng lúc.
Làm mất evidence chẩn đoán.
Tạo ready state ở zone khác.

Tách:

an toàn (safety) đặt lại (reset).
quy trình (process) lỗi (fault) acknowledgement.
Recovery command.
cảnh báo (alarm) history.

giao diện người–máy (HMI) có thể hướng dẫn thứ tự, nhưng không nên che distinction.

đặt lại (reset) an toàn (safety) không tự clear chất lượng (quality) lỗi (fault). Clear chất lượng (quality) lỗi (fault) không tự đặt lại (reset) an toàn (safety) chain.

10. điều kiện cho phép của quy trình (process permissive) cần reason code

Thay vì một bit:

MachineReady = FALSE

Hãy duy trì:

SafetyReady.
UtilitiesReady.
MotionReady.
PartReady.
ToolReady.
RecipeReady.
DownstreamReady.

giao diện người–máy (HMI) hiển thị condition cụ thể:

“Phôi chưa seating tại chuẩn định vị (datum) phụ.”
“công thức sản xuất (recipe) không khớp change part.”
“Drive trục Z chưa ready.”

Không hiển thị cách defeat hoặc force bit.

11. an toàn (safety) state và quy trình (process) state có thể khác nhau

Ví dụ:

SafetyReady = TRUE.
ProcessReady = FALSE vì không có phôi.

Máy an toàn để đứng yên nhưng chưa sẵn sàng chạy.

Hoặc:

quy trình (process) cảm biến (sensor) đều OK.
SafetyReady = FALSE vì tấm chắn bảo vệ (guard) open.

quy trình (process) state không override an toàn (safety).

UI nên phân biệt màu, group và wording; tránh một đèn xanh “ALL OK” che hai ý nghĩa.

12. điều kiện cho phép (permissive) trước start và liên động (interlock) trong run

Một condition có thể:

Chỉ cần đúng khi start.
Phải duy trì trong toàn cycle.
Chỉ kiểm tại phase nhất định.

Ví dụ:

Part present trước kẹp (clamp).
Part seating phải duy trì đến hết quy trình (process).
Tool home cần trước robot enter.
Downstream ready có thể chỉ kiểm trước transfer.

Lập phase matrix:

Condition	Load	kẹp (clamp)	quy trình (process)	Unload

Nếu condition mất:

Stop ngay?
Finish step?
Hold?
Controlled retract?
Mark part suspect?

an toàn (safety) reaction và quy trình (process) reaction phải tách.

13. Stale bit và network state

Trong distributed system:

Remote IO mất nhưng bit cũ vẫn hiển thị.
Heartbeat fail.
Device reconnect với state chưa cập nhật.
bộ điều khiển logic lập trình (PLC) khác khởi động lại (restart).
Timestamp không đồng bộ.

Mỗi dữ liệu cần:

Validity.
Freshness.
Source health.
Defined state khi communication lost.

Không dùng last-known-good quy trình (process) bit vô thời hạn.

Với an toàn (safety) network, hành vi và diagnostic thuộc certified architecture; không tự xây bằng heartbeat tiêu chuẩn.

14. tính hợp lý (plausibility)

Invalid combinations:

tấm chắn bảo vệ (guard) open và locked.
kẹp (clamp) open và closed cùng ON.
Axis home và end cùng ON.
Part present nhưng weight zero.
Valve command OFF nhưng pressure tăng.

Logic tính hợp lý (plausibility):

Phát hiện lỗi (fault).
Giữ evidence.
Chuyển state xác định.
Chặn khởi động lại (restart) theo lớp phù hợp.

Không tự chọn “tín hiệu thuận lợi hơn”.

15. Timing

liên động (interlock)/điều kiện cho phép (permissive) phải có time behavior:

tấm chắn bảo vệ (guard) locking phải đạt trong window.
Pressure phải tăng đúng thời gian.
Actuator phải transition.
mối nguy (hazard) run-down phải được xét.

thời gian chờ (timeout) quá ngắn tạo nuisance trip; quá dài che lỗi (fault) và tăng exposure.

Time yêu cầu (requirement):

quy trình (process) data.
Worst-case.
Temperature.
Load.
Network delay.
an toàn (safety) response calculation khi liên quan.

16. Defeat và bỏ qua bảo vệ (bypass)

ISO 14119 đề cập giảm khả năng defeat có thể dự đoán.

Giảm động cơ defeat:

Máy vận hành ổn định.
liên động (interlock) không nuisance trip.
Recovery rõ.
tấm chắn bảo vệ (guard) ergonomic.
Diagnostic actionable.
Maintenance nhanh.

Nếu cần bỏ qua bảo vệ (bypass)/muting cho mode đặc biệt:

Phải được thiết kế theo standard/đánh giá rủi ro (risk assessment).
Có điều kiện, giới hạn, indication và thẩm định (validation).

Bài này không hướng dẫn cách thực hiện bỏ qua bảo vệ (bypass). Không dùng force input trong bộ điều khiển logic lập trình (PLC) như giải pháp production.

17. Mode control

Các mode:

Auto.
Manual.
Setup.
Recovery.
Maintenance.

Mỗi mode cần:

Allowed actions.
an toàn (safety) functions active.
Speed/force limits khi yêu cầu.
Access control.
Transition rule.
Clear indication.

Đừng chỉ bỏ điều kiện cho phép (permissive) trong manual để “dễ chạy”. Mode khác không có nghĩa an toàn (safety) yêu cầu (requirement) biến mất.

18. cảnh báo (alarm) architecture

cảnh báo (alarm) nên có hierarchy:

an toàn (safety) active

Device/zone.
State.
Điều kiện đặt lại (reset).

quy trình (process) inhibit

Condition chưa đạt.
Phase.
Action operator.

Diagnostic warning

Degradation.
Maintenance action.
Deadline/trigger.

Không trộn:

tấm chắn bảo vệ (guard) open.
Camera thời gian chờ (timeout).
Low lubricant.

thành cùng một “liên động (interlock) lỗi (error)”.

19. thẩm định (validation) theo lớp

an toàn (safety) thẩm định (validation)

Theo an toàn (safety) yêu cầu (requirement) đặc tả (specification) và standard áp dụng.
Bao gồm function, response, lỗi (fault) reaction, đặt lại (reset)/khởi động lại (restart) và documentation.

quy trình (process) thẩm định (validation)

Part đúng/sai.
Seating.
công thức sản xuất (recipe) mismatch.
Tool not ready.
Downstream not ready.

Diagnostic thẩm định (validation)

cảm biến (sensor) stuck.
Cable/network loss.
Invalid combination.
thời gian chờ (timeout).
Warning margin.

Không dùng quy trình (process) nghiệm thu tại hiện trường (SAT) để thay an toàn (safety) thẩm định (validation).

20. Change management

Mọi thay đổi:

cảm biến (sensor).
tấm chắn bảo vệ (guard).
bộ điều khiển logic lập trình (PLC) logic.
an toàn (safety) bộ điều khiển logic lập trình (PLC).
Network.
Drive.
Valve.
công thức sản xuất (recipe).
giao diện người–máy (HMI) đặt lại (reset).

cần impact assessment.

Một “minor bộ điều khiển logic lập trình (PLC) change” có thể ảnh hưởng:

khởi động lại (restart).
Muting.
lỗi (fault) đặt lại (reset).
Timing.
an toàn (safety)/quy trình (process) ownership.

Revision và thẩm định (validation) scope phải được quản lý.

21. Quy trình thiết kế

Bước 1 — đánh giá rủi ro (risk assessment)

Xác định an toàn (safety) functions, không bắt đầu từ device.

Bước 2 — quy trình (process) state model

Xác định state và phase.

Bước 3 — Classify conditions

an toàn (safety), quy trình (process), diagnostic.

Bước 4 — Assign ownership

Input, logic, output, giao diện người–máy (HMI), record.

Bước 5 — Define reaction/đặt lại (reset)

Mất condition làm gì; đặt lại (reset)/khởi động lại (restart) ra sao.

Bước 6 — Diagnostic

Transition, timing, tính hợp lý (plausibility), communication.

Bước 7 — thẩm định (validation) plan

Tách an toàn (safety)/quy trình (process)/diagnostic.

Bước 8 — Lifecycle

kiểm soát thay đổi (change control), proof test, defeat review.

22. Checklist review

Classification

liên động an toàn (safety interlock), điều kiện cho phép của quy trình (process permissive) và diagnostic tách rõ.
Mỗi condition có claim và người phụ trách (owner).
Tag name không được dùng làm bằng chứng an toàn (safety).

an toàn (safety)

chức năng an toàn (safety function) đến từ đánh giá rủi ro (risk assessment).
Input–logic–output–mechanical effect được xét.
PLr/SIL không chọn theo thói quen.
tấm chắn bảo vệ (guard) closed/locked phân biệt.
Defeat foreseeable được đánh giá.

quy trình (process)

điều kiện cho phép (permissive) theo phase.
Reaction khi mất condition rõ.
Part suspect được quản lý.
Reason code actionable.

Diagnostic

Transition, thời gian chờ (timeout) và tính hợp lý (plausibility).
Communication freshness.
lỗi (fault) evidence được giữ đến khi chẩn đoán.

đặt lại (reset)/khởi động lại (restart)

an toàn (safety) đặt lại (reset) và quy trình (process) đặt lại (reset) tách.
đặt lại (reset) không khởi động lại (restart).
Power/network khôi phục (restore) không khởi động lại (restart).
Zone ownership rõ.

thẩm định (validation)

an toàn (safety) thẩm định (validation) độc lập.
quy trình (process) challenge test.
Diagnostic lỗi (fault) injection phù hợp.
Change impact assessment.

Kết luận

Không phải mọi bit ngăn máy chạy đều là liên động an toàn (safety interlock).

Hãy phân loại condition thành an toàn (safety), quy trình (process) và diagnostic. Gán claim, người phụ trách (owner), reaction, đặt lại (reset) và thẩm định (validation) riêng. chức năng an toàn (safety function) phải được thiết kế từ đánh giá rủi ro (risk assessment) qua toàn input–logic–output–mechanical effect; điều kiện cho phép của quy trình (process permissive) bảo vệ chất lượng và sequence; diagnostic giúp tìm nguyên nhân.

Khi ba lớp được tách rõ, máy vừa an toàn hơn, dễ debug hơn và ít tạo nhu cầu bỏ qua bảo vệ (bypass) hơn.

Tài liệu tham khảo công khai

Xem tất cả bài viết kỹ thuật MINATA