Thiết kế máy #50: Cải tạo máy (retrofit) máy cũ — Quản lý ranh giới phạm vi (boundary), giao diện kết nối (interface) và rủi ro thay đổi

Một controller đã ngừng sản xuất. Nhà cung cấp đề xuất model mới “cùng footprint”. Đội dự án dự kiến thay trong cuối tuần, chuyển chương trình, chạy thử vài cycle rồi bàn giao.

Nhưng controller mới có thể khác I/O timing, diagnostic behavior, communication, firmware, drive tích hợp (integration), startup state và cách xử lý lỗi (fault). Cáp cũ có thể đã được sửa ngoài hồ sơ. chức năng an toàn (safety function) có thể phụ thuộc vào một logic hoặc giao diện kết nối (interface) mà không ai còn nhớ. Tăng tốc sau cải tạo máy (retrofit) có thể làm mất margin cơ khí vốn đã thấp.

cải tạo máy (retrofit) không chỉ là thay một part. Đó là một system change trên một machine baseline có thể không còn đầy đủ.

Một cải tạo máy (retrofit) tốt phải trả lời ba câu:

Máy hiện tại thực sự là gì?
Thay đổi ảnh hưởng chức năng, giao diện kết nối (interface) và risk ranh giới phạm vi (boundary) nào?
Bằng chứng nào chứng minh máy sau thay đổi đạt yêu cầu (requirement) và được bàn giao ở baseline có thể phục hồi?

1. Đừng bắt đầu bằng catalog

Khi item obsolete hoặc máy hoạt động kém, phản xạ phổ biến là tìm sản phẩm thay thế. Nhưng chọn solution quá sớm khóa nhóm vào một hướng trước khi hiểu problem.

cải tạo máy (retrofit) trigger có thể là:

lỗi thời (obsolescence) hoặc mất support;
failure recurrence;
không còn phụ tùng dự phòng (spare)/repair route;
yêu cầu (requirement) sản xuất mới;
chất lượng (quality) hoặc diagnostic gap;
cybersecurity exposure;
yêu cầu an toàn (safety)/compliance;
chi phí duy trì tăng;
thay đổi upstream/downstream;
kế hoạch kéo dài vòng đời asset.

Mỗi trigger có nhiều option:

repair hoặc life extension có kiểm soát;
tìm approved equivalent;
thay một subsystem;
redesign giao diện kết nối (interface);
upgrade theo phase;
thay toàn bộ machine;
decommission.

Decision cần so sánh hiệu năng (performance), risk, lifecycle cost, thời gian dừng máy (downtime) triển khai, support horizon, kiểm chứng (verification) effort và uncertainty của hiện trạng. “Giá part mới thấp nhất” không có nghĩa tổng rủi ro thấp nhất.

2. As-is discovery: hồ sơ cũ là hypothesis

Drawing, BOM và bản sao lưu (backup) cũ rất quan trọng, nhưng không nên mặc định chúng phản ánh as-running machine.

Trong nhiều năm vận hành có thể đã xảy ra:

field wiring change;
parameter adjustment;
temporary fix thành permanent;
cảm biến (sensor) hoặc valve đổi model;
jumper/bỏ qua bảo vệ (bypass) chưa được ghi;
programme patch;
tấm chắn bảo vệ (guard)/giao diện kết nối (interface) thay đổi;
phụ tùng dự phòng (spare) revision khác;
calibration/mastering drift;
network hoặc remote-access change.

As-is discovery nên thu thập:

physical configuration và nameplate;
electrical/pneumatic/hydraulic/mechanical giao diện kết nối (interface);
software, firmware, parameter, công thức sản xuất (recipe) và licence;
chức năng an toàn (safety function) list và realization;
field modification;
diagnostic/cảnh báo (alarm) behavior;
maintenance/repair history;
known limitation và recurring failure;
phụ tùng dự phòng (spare)/support/lỗi thời (obsolescence) status;
test evidence còn hiệu lực.

Mỗi nguồn cần confidence:

Nguồn	Câu hỏi
Drawing/BOM	Revision nào? Có evidence đã cập nhật theo field không?
bản sao lưu (backup)	Có hash/version/date và chứng minh đang chạy không?
Physical inspection	Có bị giới hạn access hoặc hidden wiring không?
Interview	Là observation hay memory/inference?
Test	Scope, configuration và acceptance criterion nào?

Kết quả nên là as-is confidence map: phần nào được xác nhận, phần nào chỉ có tài liệu cũ, phần nào unknown. Unknown không được âm thầm biến thành assumption.

3. Viết change intent trước change solution

Change intent mô tả outcome mong muốn, không khóa product:

Khôi phục khả năng support của control subsystem trong thời hạn vòng đời mục tiêu, giữ nguyên các chức năng sản xuất đã phê duyệt, không làm suy giảm chức năng an toàn (safety function), cải thiện khả năng khôi phục (restore) và cung cấp as-modified baseline có thể kiểm chứng.

Từ đó tạo yêu cầu (requirement):

chức năng nào phải giữ;
hiệu năng (performance) range nào được phép;
giao diện kết nối (interface) nào không đổi hoặc được thay;
an toàn (safety)/security/compliance constraint;
khả năng bảo trì (maintainability) và phụ tùng dự phòng (spare) yêu cầu (requirement);
khôi phục (restore)/rollback capability;
acceptance evidence;
transition window.

Nếu mục tiêu bao gồm tăng cycle rate, thêm product hoặc remote access, đó là yêu cầu (requirement) mới và impact rộng hơn “lỗi thời (obsolescence) replacement”.

4. Change ranh giới phạm vi (boundary) không phải đường viền quanh part mới

ranh giới phạm vi (boundary) phải đi theo ảnh hưởng chức năng và giao diện kết nối (interface).

Với controller cải tạo máy (retrofit), các giao diện kết nối (interface) có thể gồm:

field I/O và signal semantics;
an toàn (safety) controller hoặc an toàn (safety) relay;
drive/motion/encoder;
giao diện người–máy (HMI), cảnh báo (alarm) và công thức sản xuất (recipe);
upstream/downstream trao đổi tín hiệu (handshake);
historian/MES/data timestamp;
network, remote support và account;
power supply, protective device, bonding và EMC;
cabinet thermal load;
bản sao lưu (backup)/khôi phục (restore) tool và engineering workstation;
maintenance task và phụ tùng dự phòng (spare).

Một giao diện kết nối (interface) register thực dụng:

giao diện kết nối (interface)	As-is	Change	Risk/uncertainty	người phụ trách (owner)	kiểm chứng (verification)
Digital input	Voltage/logic/timing hiện tại	New module	Filter/timing khác	Controls	Signal test
Drive	Command/feedback/lỗi (fault)	New protocol/adapter	Stop/start/lỗi (fault) behavior	Motion	Functional + lỗi (fault) test
giao diện người–máy (HMI)	cảnh báo (alarm)/công thức sản xuất (recipe)	New mapping	Wrong state/parameter	Software	Traceability test
an toàn (safety)	điều kiện cho phép (permissive)/status	giao diện kết nối (interface) changed?	chức năng an toàn (safety function) impact	an toàn (safety)	thẩm định (validation) route

Affected ranh giới phạm vi (boundary) có thể vượt cabinet. Nếu cycle timing thay đổi, downstream accumulation, robot coordination và mechanical stop load đều cần review.

5. Phân loại change nhưng không dùng nhãn để né assessment

Nhóm thường dùng các nhãn:

like-for-like replacement;
approved equivalent;
lỗi thời (obsolescence) replacement;
function change;
hiệu năng (performance) change;
an toàn (safety)-related modification;
major/substantial modification.

Các nhãn có ích cho workflow, nhưng nghĩa pháp lý/compliance phụ thuộc jurisdiction, applicable regulation, machine type và mức thay đổi. Bài viết này không đưa kết luận pháp lý cho một dự án cụ thể.

Hai cực đoan đều nguy hiểm:

“Máy cũ nên phần cũ được grandfather, chỉ xét part mới.”
“Hễ cải tạo máy (retrofit) là phải làm lại toàn bộ máy như máy mới.”

Scope cần được xác định bằng applicable law/standard, change impact và đánh giá rủi ro (risk assessment) với người có thẩm quyền. Dù classification cuối là gì, mối nguy (hazard) mới hoặc thay đổi vẫn cần được nhận diện và xử lý.

6. đánh giá rủi ro (risk assessment) phải xem interaction giữa old và new

ISO 12100 đưa ra nguyên tắc và phương pháp đánh giá rủi ro (risk assessment)/risk reduction cho machinery lifecycle. ISO/TR 14121-2 cung cấp hướng dẫn thực hành và nêu rõ đối tượng có cả người tham gia modification.

cải tạo máy (retrofit) assessment cần xem:

mối nguy (hazard) mới

Ví dụ thêm remote mode, stored energy mới, tốc độ mới, communication path mới hoặc maintenance access mới.

mối nguy (hazard) thay đổi

Thời gian dừng, force, speed, stopping distance, unexpected startup, diagnostic coverage hoặc lỗi (fault) reaction thay đổi.

Existing control bị ảnh hưởng

Một control cũ có thể dựa vào timing/giao diện kết nối (interface) của thiết bị cũ. Part mới đáp ứng chức năng nominal nhưng lỗi (fault) behavior khác.

Lifecycle state

Installation, chạy thử và đưa vào vận hành (commissioning), setup, production, cleaning, maintenance, lỗi (fault) finding, recovery và decommissioning.

Human/system interaction

giao diện người–máy (HMI), mode selection, procedure, training, workload và khả năng hiểu trạng thái.

Common-cause/giao diện kết nối (interface) effect

Nguồn chung, network chung, environment, software tool hoặc single point mới.

Assessment không chỉ hỏi “part mới an toàn không”, mà hỏi “hệ thống sau tích hợp (integration) có risk được giảm đủ theo scope áp dụng không”.

ISO 12100:2010 hiện vẫn published tại thời điểm bài viết, nhưng đang có bản dự thảo revision. Khi áp dụng thực tế cần kiểm tra edition/status mới nhất và Type-B/Type-C standard phù hợp.

7. an toàn (safety)-related control: quay lại function, không chỉ component

Nếu cải tạo máy (retrofit) ảnh hưởng an toàn (safety)-related part of control system, cần xác định:

chức năng an toàn (safety function) nào bị ảnh hưởng;
required behavior và trigger;
trạng thái an toàn (safe state)/lỗi (fault) reaction;
đặt lại (reset)/khởi động lại (restart) behavior;
response/stopping hiệu năng (performance);
architecture/category/PLr theo application assessment;
component capability và data;
software/giao diện kết nối (interface);
diagnostic, common-cause và systematic measures;
thẩm định (validation) evidence.

ISO 13849-1:2023 cung cấp methodology cho design/tích hợp (integration) của SRP/CS nhưng không tự chọn chức năng an toàn (safety function) hoặc PLr cho một ứng dụng. Không được nói “dùng an toàn (safety) bộ điều khiển logic lập trình (PLC) nên đạt PL d/e” nếu chưa có function-level analysis.

thẩm định (validation) cần analysis và testing tương ứng. ISO 13849-2:2012 hiện vẫn được công bố nhưng đang trong quá trình revision; phải kiểm tra phiên bản mới nhất tại thời điểm dự án.

Các thay đổi nhỏ về signal mapping, đặt lại (reset) logic, feedback hoặc timing có thể ảnh hưởng chức năng an toàn (safety function). “Không thay an toàn (safety) bộ điều khiển logic lập trình (PLC)” không chứng minh an toàn (safety) không bị ảnh hưởng.

8. Electrical impact không dừng ở I/O count

Khi thay controller, drive, cabinet hoặc electrical subsystem, review có thể gồm:

supply ranh giới phạm vi (boundary);
load và protection;
short-circuit rating theo applicable design;
protective bonding;
conductor/cable/terminal;
control circuit;
dừng khẩn cấp (emergency stop) giao diện kết nối (interface);
drive/STO behavior;
EMC;
enclosure, heat dissipation và environment;
identification và technical documentation.

IEC 60204-1:2016+A1:2021 áp dụng cho electrical/electronic/programmable-electronic equipment của machinery trong scope của tiêu chuẩn. Applicable yêu cầu (requirement) và local regulation cần do người có chuyên môn xác định.

Không nên dùng adapter để giữ wiring cũ nếu adapter che mất diagnostic, thay lỗi (fault) behavior hoặc tạo điểm nối khó kiểm tra.

9. Software và data migration là một phần của machine function

“Chuyển programme” không chỉ là copy file.

Cần inventory:

application code;
an toàn (safety) code nếu có;
firmware;
drive/servo parameter;
giao diện người–máy (HMI) project;
công thức sản xuất (recipe);
communication mapping;
cảnh báo (alarm) text;
calibration/mastering data;
user/role;
licence;
certificate/key nếu áp dụng;
bản sao lưu (backup)/khôi phục (restore) procedure.

Migration có thể làm thay đổi:

execution order;
timer resolution;
scan/communication timing;
numeric precision;
default value;
startup/retentive behavior;
library function;
lỗi (fault) handling;
timestamp;
công thức sản xuất (recipe) compatibility.

Conversion tool thành công chỉ chứng minh project được chuyển đổi cú pháp, không chứng minh behavior tương đương.

Một truy vết được (traceable) migration cần map yêu cầu (requirement)/function → source logic → đối tượng phát hiện (target) implementation → test evidence. Custom patch cũ phải được hiểu, không chỉ mang sang.

10. Network và remote access mở thêm security ranh giới phạm vi (boundary)

cải tạo máy (retrofit) thường thêm Ethernet, cloud gateway, remote vendor support hoặc engineering laptop mới. Điều này có thể tạo ảnh hưởng an toàn (safety) và độ sẵn sàng (availability) dù cybersecurity không phải trọng tâm của ISO 13849-1.

Review cần xem:

asset/giao diện kết nối (interface) inventory;
trust ranh giới phạm vi (boundary);
account/role và authentication;
remote-access enable/disable;
update/patch/bản sao lưu (backup);
logging và time synchronization;
removable media;
vendor support lifecycle;
credential/key handover;
incident/khôi phục (restore) route;
segmentation và access control theo architecture.

Không ghi credential vào tài liệu bàn giao chung. Không mở remote access “tạm thời” mà thiếu người phụ trách (owner), expiry và audit.

Security yêu cầu (requirement) phải đi cùng độ sẵn sàng (availability) và khả năng bảo trì (maintainability): một control quá khó vận hành có thể bị обход; một remote route dễ dùng nhưng không kiểm soát có thể tạo change ngoài baseline.

11. Tăng hiệu năng (performance) có thể ăn hết margin cũ

cải tạo máy (retrofit) drive/controller thường tạo cơ hội tăng speed. Nhưng machine cũ được thiết kế với margin dựa trên:

inertia/load;
acceleration/deceleration;
stopping distance;
frame stiffness;
bearing/guide life;
thermal load;
pneumatic flow;
tay gắp (gripper)/fixture holding;
cảm biến (sensor) timing;
buffer capacity;
operator interaction.

Tăng 15% cycle rate không chỉ là giảm timer 15%. Peak load, vibration, heat và collision energy có thể tăng phi tuyến. Wear pattern và maintenance interval cũng thay đổi.

hiệu năng (performance) increase phải là change intent riêng, có calculation/test/risk review và acceptance criterion. Không “tuning thêm” trong chạy thử và đưa vào vận hành (commissioning) rồi coi đó là tối ưu miễn phí.

12. Staging và rollback phải được thiết kế

Một cải tạo máy (retrofit) tốt có các gate:

as-is baseline frozen;
yêu cầu (requirement)/ranh giới phạm vi (boundary)/impact approved;
solution design reviewed;
offline/nghiệm thu tại xưởng (FAT) evidence đạt;
installation plan và safe work control;
staged chạy thử và đưa vào vận hành (commissioning);
giao diện kết nối (interface)/kiểm thử hồi quy (regression test);
an toàn (safety) thẩm định (validation) nếu ảnh hưởng;
production/chất lượng (quality) acceptance;
as-modified baseline và handover.

Rollback không chỉ là giữ part cũ trong hộp. Phải biết:

trigger rollback;
decision authority;
khôi phục (restore) hardware/software/parameter thế nào;
dữ liệu nào có thể mất;
old system còn support để quay lại không;
wiring/connector có reversible không;
sản phẩm giữa transition được kiểm soát thế nào.

Nếu rollback không khả thi, transition risk phải được quản lý bằng phương án khác và nói rõ trước shutdown.

13. kiểm thử hồi quy (regression test) đi theo impact map

Một test “machine chạy auto 30 phút” không bao phủ:

manual/setup mode;
khởi động lại (restart)/đặt lại (reset);
loss/return of power, air hoặc communication;
lỗi (fault) reaction;
chức năng an toàn (safety function);
upstream/downstream trao đổi tín hiệu (handshake);
công thức sản xuất (recipe)/model change;
cảnh báo (alarm)/diagnostic;
maintenance access;
bản sao lưu (backup)/khôi phục (restore);
first-good-part và chất lượng (quality) release.

Regression matrix nên map:

Affected item	yêu cầu (requirement)/behavior	Test/analysis	Acceptance	Evidence
Input timing	Stable detection trong range	ranh giới phạm vi (boundary) test	Theo yêu cầu (requirement)	Log/report
Drive lỗi (fault)	Controlled reaction	lỗi (fault) scenario	Expected state	Trace
khởi động lại (restart)	Không unexpected khởi động lại (restart)	State-transition test	Defined behavior	Protocol
công thức sản xuất (recipe)	Correct parameter mapping	Model matrix	All approved models	Record

Không phải mọi test đều thực hiện trên production machine. Có thể kết hợp analysis, simulation, bench, nghiệm thu tại xưởng (FAT) và nghiệm thu tại hiện trường (SAT). Với hazardous lỗi (fault), test method phải do người có thẩm quyền xác định; không tự tạo lỗi (fault) nguy hiểm.

14. Handover phải là as-modified baseline

Package sau cải tạo máy (retrofit) cần:

approved yêu cầu (requirement) và change record;
as-is/as-modified ranh giới phạm vi (boundary);
updated drawing/BOM/giao diện kết nối (interface);
software/firmware/parameter/công thức sản xuất (recipe) version;
bản sao lưu (backup) và khôi phục (restore) evidence;
đánh giá rủi ro (risk assessment)/risk-reduction record;
an toàn (safety)-function đặc tả (specification)/thẩm định (validation) khi áp dụng;
electrical test/documentation khi áp dụng;
cybersecurity asset/access/update record;
nghiệm thu tại xưởng / nghiệm thu tại hiện trường (FAT/SAT)/regression/chất lượng (quality) evidence;
residual risk và information for use;
maintenance task, phụ tùng dự phòng (spare), tool và training;
lỗi thời (obsolescence)/support horizon;
open issue/điểm sai lệch (deviation) và người phụ trách (owner).

Chỉ copy project vào USB không phải handover. Baseline cần cho phép một người có thẩm quyền xác định “máy đang chạy gì” và phục hồi đúng trạng thái đã chấp nhận.

15. Ví dụ giả định: controller và drive cải tạo máy (retrofit)

Trigger

Controller cũ hết support; một drive cũng bước vào phase-out.

Khám phá

Drawing không phản ánh hai field modification. bản sao lưu (backup) gần nhất có ngày nhưng chưa chứng minh là as-running. giao diện kết nối (interface) với an toàn (safety) relay dùng cả hardwire status và standard logic. Cycle rate hiện cao hơn design note ban đầu.

ranh giới phạm vi (boundary)

Control cabinet, drive giao diện kết nối (interface), giao diện người–máy (HMI)/cảnh báo (alarm), upstream trao đổi tín hiệu (handshake), parameter khôi phục (restore), diagnostic data và maintenance tool. chức năng an toàn (safety function) cần impact review vì đặt lại (reset)/điều kiện cho phép (permissive)/status path đi qua vùng thay đổi.

Solution

Không chọn migration tự động 1:1 ngay. Trước hết dựng I/O/giao diện kết nối (interface) map, capture as-running baseline, xác định timing/lỗi (fault) behavior, rồi mới chọn controller/drive/adapter.

kiểm chứng (verification)

bench test I/O và communication;
software yêu cầu (requirement) trace;
drive motion/lỗi (fault) test;
state-transition and recovery test;
giao diện kết nối (interface) regression;
applicable an toàn (safety) thẩm định (validation);
production/chất lượng (quality) acceptance;
bản sao lưu (backup)/khôi phục (restore) rehearsal.

Handover

As-modified drawing, source/compiled project theo policy, firmware/parameter, test evidence, phụ tùng dự phòng (spare)/lỗi thời (obsolescence) plan và training.

Kết quả không được mô tả là “controller mới tương đương vì máy chạy”. Tương đương chỉ có nghĩa trong phạm vi yêu cầu (requirement) và evidence đã xác định.

16. Checklist decision gate

Trigger và outcome mong muốn có rõ không?
Repair/replace/redesign/decommission đã được so sánh chưa?
As-running configuration đã được capture với confidence map chưa?
Unknown/field modification có người phụ trách (owner) không?
Change intent và yêu cầu (requirement) có tách khỏi solution không?
ranh giới phạm vi (boundary) có bao phủ function/giao diện kết nối (interface)/lifecycle, không chỉ part không?
Classification/compliance route có người có thẩm quyền không?
mối nguy (hazard) mới, thay đổi và interaction old/new đã được đánh giá chưa?
chức năng an toàn (safety function)/SRP/CS có bị ảnh hưởng trực tiếp hoặc gián tiếp không?
Electrical/EMC/thermal/protection impact đã review chưa?
Software migration có behavior traceability không?
Network/remote access/security ranh giới phạm vi (boundary) đã review chưa?
hiệu năng (performance) increase có calculation/risk/acceptance riêng không?
Staging và rollback trigger có rõ không?
kiểm thử hồi quy (regression test) có normal/abnormal/lỗi (fault)/recovery/maintenance/giao diện kết nối (interface) không?
thẩm định (validation) và chất lượng (quality) release có authority/evidence không?
As-modified baseline, phụ tùng dự phòng (spare), training và khôi phục (restore) package đã sẵn sàng chưa?
Applicable standard/regulation edition đã được kiểm tra tại thời điểm dự án chưa?

Kết luận

cải tạo máy (retrofit) thành công không phải lúc part mới lắp vừa hoặc machine chạy lại. Nó thành công khi change ranh giới phạm vi (boundary) được hiểu, interaction old/new được đánh giá, yêu cầu (requirement) được chứng minh và baseline sau thay đổi có thể vận hành, bảo trì, phục hồi trong vòng đời còn lại.

Nếu bỏ qua as-is discovery, một cải tạo máy (retrofit) nhỏ có thể kế thừa toàn bộ unknown của máy cũ rồi thêm unknown mới. Nếu đi theo yêu cầu (requirement), giao diện kết nối (interface), risk, thẩm định (validation) và handover, cải tạo máy (retrofit) trở thành một thay đổi kỹ thuật (engineering change) có kiểm soát thay vì một lần “đổi đồ trong cuối tuần”.

Nguồn tham khảo

ISO 12100:2010 — đánh giá rủi ro (risk assessment) and risk reduction: https://www.iso.org/standard/51528.html
ISO/TR 14121-2:2012 — Practical risk-assessment guidance: https://www.iso.org/standard/57180.html
ISO 13849-1:2023 — an toàn (safety)-related parts of control systems, design: https://www.iso.org/standard/73481.html
ISO 13849-2:2012 — thẩm định (validation): https://www.iso.org/standard/53640.html
IEC 60204-1:2016+A1:2021 — Electrical equipment of machines: https://webstore.iec.ch/en/publication/71256
ISO 10007:2017 — Configuration management: https://www.iso.org/standard/70400.html
ISO/IEC/IEEE 15288:2023 — System life cycle processes: https://www.iso.org/standard/81702.html

Xem tất cả bài viết kỹ thuật MINATA