Mạch an toàn khác mọi mạch khác ở một điểm: nó phải hoạt động chính xác vào lúc mà phần mềm đã treo, bộ điều khiển đã lỗi, và không có gì khác còn tin được.
Nguyên tắc nền tảng
Hỏng an toàn. Bất kỳ hỏng hóc nào — đứt dây, mất nguồn, hỏng linh kiện — phải dẫn tới trạng thái an toàn, không phải trạng thái tiếp tục chạy.
Hệ quả về mạch. Mạch an toàn dùng tiếp điểm thường đóng. Dây đứt thì mạch hở và hệ thống dừng. Nếu dùng thường mở thì dây đứt là hệ thống không biết gì.
Không qua phần mềm. Chuỗi an toàn phải cắt nguồn động lực bằng phần cứng. Phần mềm có thể tham gia giám sát nhưng không được là mắt xích duy nhất.
Độc lập với hệ điều khiển. Mạch riêng, nguồn riêng nếu được. Một lỗi không được vô hiệu cả hai.
Dự phòng. Hai kênh độc lập cho chức năng quan trọng. Một kênh hỏng thì kênh kia vẫn hoạt động, và hệ thống phát hiện được sự bất đồng.
Tự kiểm tra. Hệ thống định kỳ tự kiểm xem mạch an toàn còn hoạt động không.
Không tự khởi động lại. Sau khi dừng an toàn, phải có thao tác chủ động của người để chạy lại. Tự động chạy lại khi điều kiện trở về bình thường là thiết kế nguy hiểm.
Dừng khẩn cấp
Vị trí nút. Nhìn thấy được và với tới được từ mọi chỗ người có thể đứng. Nhiều nút nếu khu vực rộng.
Hình thức. Nút nấm đỏ trên nền vàng. Không dùng cho mục đích khác. Người phải nhận ra ngay không cần đọc.
Cơ chế giữ. Bấm là khoá lại, phải xoay hoặc kéo để nhả. Không tự bật lại.
Tác động. Cắt nguồn động lực tới mọi cơ cấu chuyển động. Với robot có phanh thì phanh đóng.
Phân biệt các mức dừng. Dừng cắt nguồn ngay lập tức. Dừng có điều khiển — giảm tốc rồi mới cắt nguồn, an toàn hơn với robot mang tải nặng. Chọn mức theo đánh giá rủi ro.
Nút trên bảng điều khiển cầm tay. Người vận hành đứng gần robot cần có nút trong tay.
Đừng dùng dừng khẩn cấp làm nút tắt hàng ngày. Nó là thiết bị an toàn, dùng thường xuyên làm mòn tiếp điểm và làm người ta quen tay.
Kiểm tra định kỳ. Bấm thử và xác nhận nguồn động lực bị cắt thật. Mỗi nút, theo lịch. Nút hỏng không có triệu chứng cho tới khi cần tới nó.
Các thiết bị an toàn khác
Công tắc cửa. Cửa vào khu vực robot mở thì hệ thống dừng. Loại có khoá thì cửa không mở được khi robot đang chạy.
Rào quang. Cắt tia thì dừng. Ở cửa vào hoặc quanh vùng nguy hiểm.
Thảm cảm ứng. Người bước vào thì dừng.
Công tắc kích hoạt trên tay cầm. Người vận hành phải giữ ở vị trí giữa. Buông ra hoặc bóp chặt thì dừng. Thiết kế cho phản xạ tự nhiên khi giật mình.
Công tắc giới hạn hành trình. Chặn robot vượt quá phạm vi. Nên có cả giới hạn phần mềm lẫn giới hạn cơ khí, và giới hạn cơ khí là lớp cuối.
Giám sát tốc độ an toàn. Cho phép robot chạy chậm khi có người ở gần thay vì dừng hẳn. Cần thiết bị chuyên dụng có chứng nhận.
Rơ le an toàn. Thiết bị nối các cảm biến an toàn với mạch cắt nguồn, có mạch dự phòng và tự kiểm tra bên trong. Đây là linh kiện trung tâm của mạch an toàn.
Không tự chế. Dùng thiết bị được chứng nhận cho mục đích an toàn. Rơ le thường không có các cơ chế cần thiết.
Đánh giá rủi ro
Bước đầu tiên, trước khi thiết kế mạch. Xác định mối nguy trước rồi mới chọn biện pháp.
Liệt kê mối nguy. Va chạm, kẹp, cuốn, vật rơi, điện giật, bề mặt nóng, tia laser.
Xác định ai bị ảnh hưởng. Người vận hành, người bảo trì, người đi ngang qua. Mỗi nhóm có mức tiếp xúc khác nhau.
Đánh giá mức độ. Hậu quả nếu xảy ra, tần suất tiếp xúc, khả năng tránh được.
Chọn biện pháp theo thứ tự. Loại bỏ mối nguy bằng thiết kế trước. Rồi tới biện pháp bảo vệ kỹ thuật. Rồi tới cảnh báo và quy trình. Trang bị bảo hộ là cuối cùng.
Vì sao thứ tự này quan trọng. Biện pháp dựa vào con người tuân thủ là biện pháp yếu nhất. Robot không với tới chỗ người đứng thì không cần rào.
Ghi lại. Đánh giá rủi ro là tài liệu, không phải suy nghĩ trong đầu. Nó là cơ sở cho mọi quyết định thiết kế an toàn và cần khi có thanh tra hoặc sự cố.
Đánh giá lại khi thay đổi. Thêm chức năng, tăng tốc độ, đổi bố trí — mỗi thay đổi có thể tạo mối nguy mới.
Kiểm tra và bảo trì mạch an toàn
Kiểm nghiệm thu. Trước khi đưa vào sử dụng, thử từng thiết bị an toàn một. Ghi lại kết quả.
Thử đúng cách. Kích hoạt thiết bị an toàn trong lúc robot đang chạy, xác nhận nó dừng thật. Không chỉ kiểm tín hiệu điện.
Thử cả trường hợp hỏng. Rút một dây trong chuỗi an toàn và xác nhận hệ thống dừng. Đây là kiểm chứng nguyên tắc hỏng an toàn.
Lịch kiểm định kỳ. Tháng hoặc quý tuỳ mức độ sử dụng. Ghi vào sổ.
Ai chịu trách nhiệm. Phải có tên cụ thể. Không có người phụ trách thì việc này không được làm.
Không được vô hiệu hoá. Người vận hành đôi khi chèn thiết bị an toàn cho tiện. Đây là nguyên nhân của nhiều tai nạn nghiêm trọng.
Nếu người ta hay vô hiệu hoá thì thiết kế có vấn đề. Biện pháp an toàn cản trở công việc quá nhiều thì sẽ bị lách. Cần thiết kế lại sao cho việc hợp lệ vẫn làm được thuận tiện.
Đào tạo. Mọi người làm việc quanh robot phải biết các thiết bị an toàn ở đâu và làm gì khi có sự cố.
Câu hỏi thường gặp
Vì sao mạch an toàn dùng tiếp điểm thường đóng?
Vì dây đứt thì mạch hở và hệ thống dừng. Nếu dùng thường mở thì dây đứt là hệ thống không biết gì — vi phạm nguyên tắc hỏng an toàn.
Vì sao không được để hệ thống tự khởi động lại sau dừng an toàn?
Vì robot có thể chuyển động bất ngờ khi người vẫn đang ở trong khu vực. Phải có thao tác chủ động của người để chạy lại.
Thứ tự chọn biện pháp an toàn là gì?
Loại bỏ mối nguy bằng thiết kế trước, rồi biện pháp bảo vệ kỹ thuật, rồi cảnh báo và quy trình, cuối cùng mới là trang bị bảo hộ — vì biện pháp dựa vào con người tuân thủ là yếu nhất.
Nếu người vận hành hay vô hiệu hoá thiết bị an toàn thì sao?
Đó là dấu hiệu thiết kế có vấn đề — biện pháp cản trở công việc quá nhiều nên bị lách. Cần thiết kế lại để việc hợp lệ vẫn làm được thuận tiện.
Đọc thêm trong Hiệu chỉnh & căn chỉnh và Lập trình điều khiển.
