Quyết định đầu tiên khi triển khai IO-Link Safety không phải chọn mã Safety Master. Trước hết phải xác định màn chắn quang, cửa bảo vệ, nút dừng khẩn cấp và chức năng dừng drive đang giảm nguy cơ nào; sau thay đổi, máy vẫn phải đạt mức an toàn và hành vi dừng theo yêu cầu. Nhận được tín hiệu an toàn không có nghĩa là toàn bộ chức năng an toàn của máy đã được xác nhận.
Nhà máy tại Thái Lan thường không thể đổi đồng loạt mọi máy. Vì vậy cần phân biệt máy giữ thiết bị OSSD hiện hữu, máy chuyển sang IO-Link Safety Device, và máy chỉ bổ sung IO-Link thông thường để lấy dữ liệu chẩn đoán. Bài này nối khảo sát hiện trường, RFP, thử nghiệm nghiệm thu tại nhà sản xuất (FAT), tại địa điểm lắp đặt (SAT) và vận hành sau bàn giao. Người có năng lực phù hợp phải thiết kế và xác nhận từng chức năng theo đánh giá rủi ro của máy và safety manual đúng mã sản phẩm.
Mua một chức năng an toàn kiểm chứng được, không chỉ mua giao diện truyền thông
IO-Link thông thường là kết nối điểm tới điểm với sensor và actuator. IO-Link Safety thêm lớp truyền thông liên quan an toàn trên IO-Link như một black channel. IO-Link Community giải thích FS-Master/FS-Device, dữ liệu thường và dữ liệu an toàn cùng tồn tại, cùng khả năng một số master có cổng cấu hình được cho OSSD trong giai đoạn chuyển đổi. IEC 61139-2:2022 quy định phần mở rộng an toàn chức năng cho SDCI trong IEC 61131-9, gồm giao diện OSSDe, giao thức và cấu hình. Chuẩn này không bao gồm việc tích hợp fieldbus hoặc FSCP ở tầng trên.
Dòng “hỗ trợ IO-Link Safety” trong báo giá chưa giải thích toàn tuyến tới safety PLC, thiết bị cắt cuối và máy dừng như thế nào. Hãy vẽ chuỗi từ thiết bị phát hiện → cổng → Safety Master → giao thức an toàn tầng trên → Safety PLC → contactor/drive → chuyển động nguy hiểm ngừng lại. Tại từng phần tử, ghi rõ lỗi nào được phát hiện và hệ thống sẽ đi về trạng thái an toàn nào.
Không sao chép mức năng lực tối đa của một sản phẩm thành kết luận rằng máy đã đạt mức đó. ISO 13849-1:2023 nói về phương pháp thiết kế và tích hợp hệ điều khiển liên quan an toàn; ISO 13849-2:2012 nói về xác nhận chức năng, Category và Performance Level bằng phân tích, thử nghiệm. Mức yêu cầu xuất phát từ rủi ro của máy cụ thể. Năng lực của giao thức không phải biên bản nghiệm thu chức năng an toàn đã lắp.
Phân biệt chứng nhận đặc tả và chứng nhận sản phẩm
Trang tin IO-Link Community cho biết TÜV SÜD đã chứng nhận specification V1.1.4 và bắt đầu thử nghiệm master, device. Thông báo này không chứng nhận mọi mã hàng, firmware hay tổ hợp master/device. Với từng thiết bị cần chứng chỉ, mã và phiên bản được bao phủ, tiêu chuẩn, giới hạn, safety manual và phạm vi chứng nhận. Kiểm tra riêng khả năng cung ứng/bảo trì tại quốc gia mua và giao diện an toàn tầng trên.
Trang tải tài liệu liệt kê Safety Systems Extensions V1.1.5 và Safety Test Specification V1.1.5 trong gói 2025 đã phát hành; gói 2026 có nhãn REVIEW. Cố định phiên bản viện dẫn trong RFP, không biến bản dự thảo rà soát thành tiêu chí tuân thủ đã phát hành. Trước khi đặt hàng, kiểm tra lại trạng thái và phiên bản trong chứng chỉ sản phẩm.
Lập danh mục chức năng an toàn trước khi chọn phần cứng
Bản vẽ ghi “cửa an toàn” có thể không cho biết chuyển động nào bị dừng hay điều kiện reset; nhiều năm cải tạo có thể khiến hiện trạng khác bản vẽ. Lập danh mục theo máy và vùng nguy hiểm:
| Trường | Câu hỏi tại hiện trường | Bằng chứng nghiệm thu |
|---|---|---|
| Mối nguy/tiếp cận | Người vào để setup, vệ sinh, gỡ kẹt hay sản xuất khi nào? | Phiên bản đánh giá rủi ro được duyệt |
| Phát hiện | Mã, vị trí, đấu dây, giám sát lỗi? | Sơ đồ, manual, biên bản kiểm tra |
| Logic | Safety PLC/relay, I/O, reset, muting? | Chương trình và lịch sử thay đổi |
| Phần tử cuối | Contactor, STO hoặc valve loại bỏ nguy cơ nào? | Mạch và thử dừng |
| Yêu cầu | Cơ sở PL/SIL, thời gian đáp ứng, khoảng cách dừng? | Tính toán và đo thực tế |
| Khởi động lại | Ai reset khi cửa đóng hoặc có điện trở lại? | Kết quả test theo kịch bản |
Ghi nhãn máy, dây đã lắp và hành vi dừng thực tế, không chỉ chép bản vẽ cũ. Giải quyết sai khác trước khi thiết kế kết nối mới. Nếu công nhân có thao tác bỏ qua biện pháp bảo vệ không an toàn, đó là vấn đề giảm rủi ro, không thể giấu trong dự án nâng cấp truyền thông.
Phân biệt mong muốn xem nguyên nhân lỗi và nhu cầu thay đổi chức năng bảo vệ. Nếu chỉ cần chẩn đoán, giữ mạch OSSD đã được xác nhận và đọc ngõ trạng thái riêng do nhà sản xuất cho phép có thể phù hợp hơn. Hướng dẫn tích hợp dữ liệu sensor bằng IO-Link thông thường trình bày IODD và dữ liệu thường; bài này tập trung vào ranh giới chức năng bảo vệ.
Ba kiến trúc chuyển đổi
A. Giữ mạch an toàn cũ, thêm chẩn đoán riêng
Giữ OSSD, safety relay hoặc ngõ vào safety PLC và ngõ ra dừng. Lấy tình trạng từ ngõ riêng hoặc điểm giám sát được manual cho phép. Cách này phù hợp khi thời gian dừng máy ngắn và chưa cần đổi sensor. Không tự ý đấu nhánh từ tín hiệu an toàn: tải thêm, test pulse, nguồn chung hoặc lỗi dây có thể đổi hành vi bảo vệ. Cần safety designer và manual xác nhận. “Chỉ theo dõi” không mặc nhiên là “không ảnh hưởng an toàn.”
B. Dùng master phù hợp để kết hợp OSSD cũ và IO-Link Safety mới
Chuyển một số device và nối OSSD còn lại tới các cổng được công bố hỗ trợ. Điều này phụ thuộc sản phẩm. Community nói FS-Master có thể có cổng cấu hình cho OSSD, không nói mọi cổng của mọi master đều có. Thông báo PDP67 của Pilz là ví dụ về cổng IO-Link Safety, safe I/O cấu hình được và sensor OSSD truyền thống. Với mã thực tế, kiểm tra loại/số cổng, hướng, dòng, test pulse và phát hiện ngắn mạch.
Trong giai đoạn hỗn hợp, OSSD, IO-Link Safety, IO-Link thường và mạng an toàn tầng trên cùng tồn tại. Lập ánh xạ một-một giữa máy, cổng, mã chức năng, model/phiên bản cho phép, checksum cấu hình, biến PLC và ca thử. Không quản lý chỉ bằng màu đầu nối.
C. Thay device và master thành hệ được xác minh cùng nhau
Thay màn chắn quang hoặc thiết bị cửa và thiết kế lại đoạn tới Safety Master. Trang sản phẩm Pilz nêu nhóm PDP67 IOLS, PSENopt II Advanced IOLS và PITgatebox IOLS. Yêu cầu tài liệu tương thích cho tổ hợp đề xuất, chứng chỉ, safety manual, công cụ cấu hình chuyên dụng, nguồn cung tại Thái Lan và thời gian giao. Tên trên web không bảo đảm hàng sẵn có ở địa phương.
Thay cả hệ có thể làm dây và chẩn đoán gọn hơn, nhưng khoảng cách dừng, muting, mở khóa cửa hay vị trí reset có thể đổi. Hoàn tất cập nhật đánh giá rủi ro và kế hoạch xác nhận trước khi ấn định ngày thi công. Chỉ tháo phần cũ sau khi sơ đồ as-built và đào tạo bảo trì hoàn tất.
Ví dụ ghi danh mục: băng tải máy đóng gói
Giả sử màn chắn quang phát hiện tay đi vào vùng nguy hiểm của băng tải và yêu cầu drive dừng. Đừng chỉ ghi “che tia thì motor dừng”; hãy ghi vùng nguy hiểm, hướng tiếp cận, đường đi bình thường của sản phẩm, chế độ setup và vệ sinh. Lần cả hai kênh OSSD từ đầu nối đến safety PLC, rồi từ ngõ ra đến STO hoặc contactor. Kiểm tra vị trí nút reset có quan sát toàn vùng không và tia thông lại không làm máy tự chạy.
Trong phương án thay thế, thêm chính xác tổ hợp màn chắn/master IO-Link Safety, tuyến an toàn tầng trên và phiên bản công cụ. Ánh xạ lỗi đứt dây, chập chéo, hỏng sensor mà mạch cũ phát hiện sang cách phát hiện mới. Chia ngân sách thời gian dừng từ cảm biến tới máy dừng. Nếu sản phẩm cần muting, thử riêng điều kiện cho phép, timing, trình tự sai và hồi phục khi mất điện. Màn hình báo lỗi chi tiết không thay việc xác nhận này. FAT thử che tia, tháo device, mất tuyến trên và tham số sai; SAT đo dừng và reset trên máy thật. Bàn giao danh mục, chứng chỉ, backup và kết quả test dưới cùng mã chức năng để lần thay phụ tùng sau có đường phê duyệt và thử lại rõ ràng.
Ghi rõ điểm nối từ Safety Master tới Safety PLC tầng trên trong RFP
Đoạn kết nối điểm tới điểm chỉ là một phần. Cách Master nối tới bộ điều khiển an toàn và khả năng hỗ trợ của PLC hiện hữu quyết định chi phí lẫn thời gian dừng. IEC 61139-2 không bao trùm tích hợp fieldbus/FSCP tầng trên, vì vậy phải kiểm tra tài liệu và safety manual của master/gateway đúng model.
Đưa vào RFP hãng, model, firmware safety PLC; mạng/protocol an toàn; số I/O; chu kỳ và watchdog; phiên bản công cụ; license; giới hạn thay đổi. Yêu cầu nhà thầu mô tả tuyến triển khai, bằng chứng tương thích, phạm vi chứng nhận, trạng thái an toàn khi lỗi, ý nghĩa mã chẩn đoán và phục hồi. Nếu PLC cũ không tích hợp trực tiếp, so sánh gateway được chứng nhận phù hợp, thay PLC hoặc giữ kiến trúc A. Gateway chỉ chuyển dữ liệu thường không được mặc nhiên đưa vào đường tín hiệu an toàn.
Ngay cả khi dữ liệu an toàn và chẩn đoán đi cùng cáp, mục đích phải tách. Safety PLC quyết định dừng trong kiến trúc đã xác nhận; MES/cloud hỗ trợ bảo trì. Event đến trễ trên hệ IT không thể thay thế protective stop. Về giao diện dữ liệu PLC và ranh giới mạng, xem hướng dẫn thu thập dữ liệu PLC.
So sánh tuyến dây thực tế trước khi hứa tiết kiệm
Master gần máy có thể giảm dây riêng từ sensor về tủ, nhưng cần cấp điện, mạng an toàn, đầu nối, bảo vệ và không gian bảo trì. So sánh tuyến cũ-mới trên bản vẽ. Kiểm tra phần chuyển động, vùng rửa, nhiễu hàn, nhiệt, dầu và rung so với cấp bảo vệ/cáp. “Dùng cáp tiêu chuẩn” chỉ đúng trong chiều dài và điều kiện của safety manual sản phẩm. Quy định nhãn đầu nối, bán kính uốn, kín nước và phụ tùng. Truyền được tín hiệu chưa chứng minh rằng lần thay device sau này sẽ không phục hồi sai cấu hình.
Sáu điểm dễ bỏ sót khi chuyển từ OSSD
- Phát hiện lỗi: Ghi cách mạch cũ sử dụng hai ngõ ra, test pulse và phát hiện chập chéo. Chuyển từng lỗi dự kiến thành ca thử cho cổng mới hoặc cơ chế tương đương.
- Reset/khởi động: Sau khi vùng bảo vệ thông thoáng, cửa đóng hoặc điện có lại, phải chứng minh máy không tự khởi động chuyển động nguy hiểm. Giá trị mặc định trong tool không thay yêu cầu hiện trường.
- Đáp ứng/khoảng cách dừng: Cộng thời gian sensor, IO-Link Safety, master, mạng trên, safety PLC, ngõ ra và máy dừng. Chu kỳ truyền thông trong catalog không phải thời gian toàn hệ. Đặt giới hạn từ thiết kế, đo lại trong SAT.
- Muting/blanking/bypass: Xác định ai cho phép, điều kiện và chế độ, cách trở về safe state khi lỗi. Đánh giá lại mối nguy thay vì chép cấu hình cũ.
- Tham số/thay thế: Community mô tả Dedicated Device Tool ngoài IODD để đặt thông số an toàn. Xác định phiên bản/checksum được duyệt, quyền và test sau thay. Cắm phụ tùng mới chưa chứng minh bảo vệ giống cũ.
- Thông báo lỗi/phục hồi: Phân biệt xâm nhập, lỗi device, đứt truyền thông, master mất nguồn và lệch cấu hình. Chẩn đoán tốt hỗ trợ bảo trì, không thay bằng chứng performance level hay restart có kiểm soát.
Dùng một biểu mẫu RFP cho mọi nhà cung cấp
| Chủ đề | Dữ liệu nhà máy | Bằng chứng nhà thầu |
|---|---|---|
| Phạm vi | Máy, vùng, giới hạn sửa đổi | Bao gồm/loại trừ, giả định khảo sát |
| Yêu cầu an toàn | Đánh giá rủi ro, mức cần đạt | Kiến trúc chức năng, tính toán, người xác nhận |
| Thiết bị | Mã OSSD/relay/PLC cũ | Mã đề xuất, chứng chỉ, manual |
| Cổng | Dây và dự phòng | Số/giới hạn Safety, OSSD, standard |
| Kết nối trên | PLC, protocol, software | Tương thích, thiết bị thêm, license |
| Cấu hình | Quyền và quy trình duyệt | Tool, version, backup, recovery |
| Nghiệm thu | Giờ dừng và hạn chế tiếp cận | FAT/SAT, cách đo và tiêu chí |
| Vận hành | Phụ tùng, kỹ thuật địa phương | Bảo hành, cung ứng, đào tạo, hỗ trợ |
Tách giá phần cứng, điện/dây, mạng, sửa safety PLC, phần mềm/license, khảo sát, cập nhật đánh giá rủi ro, FAT, SAT, trực thời gian dừng, đào tạo, phụ tùng và bảo trì. Ghi số lượng và điều kiện phát sinh. Thay lời quảng cáo “giảm dây”/“giảm thời gian lắp” bằng WBS và bằng chứng tại site. Xem rủi ro phụ thuộc một dòng sản phẩm cùng nguồn phụ tùng thay thế.
Bộ phận mua hàng không nên đơn phương phê duyệt sửa chức năng an toàn. Sản xuất, bảo trì, điện, EHS, IT/OT và người chế tạo máy cần vai trò ký duyệt. Hồ sơ bàn giao gồm file cấu hình, tính toán an toàn, chứng chỉ, sơ đồ, kết quả và đào tạo.
FAT: thử hành vi khi lỗi trước lúc lắp
FAT không chỉ demo vận hành bình thường. Với từng mã chức năng, thay tín hiệu đầu vào rồi theo logic, trạng thái ngõ ra, chẩn đoán và điều kiện reset. Khoảng cách dừng cơ khí còn cần SAT, nhưng FAT tìm lỗi đấu dây, cấu hình, protocol và logic trước.
| Ca FAT | Điều kiện tạo ra | Bằng chứng |
|---|---|---|
| Kích hoạt bảo vệ | Che màn chắn, mở cửa, nhấn E-stop | Ngõ ra safe và reset quy định |
| Lỗi cổng | Rút device, mất nguồn, đứt liên lạc | Nhận lỗi, safe state, thông báo phân biệt |
| Nối sai | Model/cổng không được duyệt | Từ chối, cảnh báo, dừng |
| Mất tuyến trên | Ngắt mạng an toàn, reboot PLC | Đáp ứng trong thời gian thiết kế, phục hồi có kiểm soát |
| Cấu hình sai | Tham số/phiên bản chưa duyệt | Phát hiện, quyền, log, khôi phục |
| Chế độ đặc biệt | Muting/bypass được phép | Không kích ngoài điều kiện; ra safe state |
Giá trị đạt phải từ đánh giá rủi ro, manual và tính toán, không từ con số chung của bài. Ghi ngày, máy, mã chức năng, phiên bản cấu hình, dụng cụ và hiệu chuẩn, giá trị đo, kết luận, người chứng kiến và điểm mở. Trường hợp không đạt phải được sửa và thử lại có hồ sơ.
SAT: chứng minh dừng thực tế và quy trình bảo trì tại nhà máy
SAT không phải bản sao FAT. Chiều dài cáp, nhiễu điện, tải mạng, điện khôi phục, quán tính máy, vị trí người và tầm nhìn cần kiểm tra tại site. Trước thử nghiệm, quy định vùng cấm, cô lập năng lượng, trưởng nhóm, liên lạc khẩn và phục hồi. Không thử trong điều kiện khiến người tiếp xúc chuyển động nguy hiểm.
Đối chiếu as-built với đấu nối thực, gắn mỗi cổng với mã chức năng. Đo thời gian/khoảng cách dừng theo điều kiện thiết kế; thử các vị trí kích hoạt khác nhau và nhiều đầu vào đồng thời. Thử mất mạng trên, master mất nguồn, đổi device, khôi phục cấu hình đã duyệt và chống tự khởi động. Trước khi sản xuất lại, xác nhận không ai còn trong vùng nguy hiểm.
Kỹ thuật viên địa phương cần tự chọn đúng phụ tùng, nối đúng cổng, xác nhận setting và làm test an toàn trước khi bàn giao máy. Quy trình và quyền phải rõ bằng ngôn ngữ làm việc. Người chịu trách nhiệm theo hợp đồng phê duyệt xác nhận an toàn và tuyên bố phù hợp dựa trên toàn bộ hồ sơ.
Triển khai theo đợt với các cổng phê duyệt
Khảo sát: Gom danh mục máy, sự cố, sơ đồ, lịch sử sửa và nhãn. Lần từ sensor tới phần tử cuối cho mỗi chức năng. IO-Link thường hiện hữu không chứng nhận dùng cho an toàn. Chọn pilot phản ánh OSSD/PLC và hạn chế downtime thực, không chỉ máy mới nhất.
Thiết kế: So sánh giữ mạch, hệ hỗn hợp và thay trọn theo thời gian dừng, thay đổi an toàn, nỗ lực xác nhận, phụ tùng và năng lực bảo trì. Tính cả cập nhật đánh giá rủi ro và thử lại. Nói rõ triển khai một phần cải thiện được gì và còn gì cho đợt sau.
Nghiệm thu: Dùng gate có người duyệt cho review thiết kế, chứng chỉ, FAT, kiểm tra lắp, SAT, đào tạo và sơ đồ cuối. Xác định trước lỗi an toàn nào buộc không cho chạy. Yêu cầu cải thiện màn hình để danh sách khác với điều kiện cho phép sản xuất.
Vận hành: Quản lý thay firmware, tool, chương trình PLC và protocol như thay đổi có kiểm soát. Kiểm tra chứng chỉ có còn bao phủ phụ tùng mới; diễn tập phục hồi backup; giữ mapping giữa báo lỗi hiển thị và safe state thực.
Điều kiện mua sắm và vận hành thêm cho nhà máy Thái Lan
Nhân viên hiện trường, người chế tạo máy, nhà cung cấp nước ngoài và trụ sở có thể dùng ngôn ngữ khác nhau. Gắn hướng dẫn vận hành tiếng Thái, gói thiết kế tiếng Anh/Nhật và kết quả ký nhận với cùng mã chức năng. Trong bảng thuật ngữ, phân biệt “yêu cầu dừng”, “trạng thái an toàn”, “cô lập năng lượng” và “cho phép reset”. Kiểm tra riêng quy định lắp đặt, nhập khẩu và yêu cầu kiểm toán khách hàng áp dụng cho dự án; bài này không chứng nhận tuân thủ pháp lý tại Thái Lan.
Chỉ định bên cập nhật hồ sơ máy, bên tích hợp/thử và bên sở hữu vận hành/bảo trì. Nhà máy phải giữ được backup và bằng chứng ngay cả khi đổi nhà thầu. Hỗ trợ từ xa cần tách quyền xem chẩn đoán khỏi quyền đổi setting an toàn, có thời hạn phê duyệt, log và cách ngắt khẩn. An ninh mạng và xác nhận an toàn máy đều cần được review.
Câu hỏi thường gặp
Lắp IO-Link Safety Master là tháo OSSD ngay được không?
Không. Kiểm tra cổng của đúng master, cách giữ phát hiện lỗi và hành vi dừng, rồi cập nhật đánh giá rủi ro và FAT/SAT theo từng chức năng. Giữ OSSD có thể là lựa chọn hợp lý khi triển khai theo đợt.
Sensor IO-Link thông thường làm chức năng an toàn được không?
Chỉ tương thích IO-Link là chưa đủ. Mô tả hệ thống của Community nói rằng thêm lớp truyền thông an toàn không tự biến thiết bị thường thành thiết bị an toàn. Cần thiết kế/chứng nhận sản phẩm và xác nhận chức năng trong máy.
Chứng nhận specification có bằng chứng nhận sản phẩm không?
Không. Lấy chứng cứ cho mã/phiên bản mua, giới hạn, tuyến kết nối trên và xác nhận toàn chức năng máy. Kiểm tra lại chứng chỉ và nguồn cung khi đặt hàng.
FAT đạt rồi bỏ SAT được không?
Không nên. FAT thử tổ hợp và lỗi trước lắp; hiệu quả dừng thật, cáp, vị trí con người và thao tác bảo trì phải có bằng chứng tại site.
Có thể buộc dùng bản REVIEW 2026 trong RFP không?
Community đang đánh dấu REVIEW. Dùng bản đã phát hành và phạm vi chứng nhận của sản phẩm mua làm cơ sở hợp đồng. Đánh giá lại khi có bản chính thức.
Dữ liệu chẩn đoán có giảm downtime không?
Có thể giúp khoanh vùng lỗi nhưng mức giảm tùy site. Pilot nên đo xem kỹ thuật viên phân biệt được xâm nhập, mất liên lạc, hỏng device và lệch setting không; thay phụ tùng rồi làm đủ test an toàn không. Chẩn đoán không thay bằng chứng hiệu năng an toàn.
Kết luận: cố định chức năng và bằng chứng nghiệm thu trước khi chọn Master
Theo từng máy, chọn giữ mạch cũ, kết hợp OSSD với IO-Link Safety, hay thay bằng tổ hợp đã được kiểm chứng. RFP phải giúp so sánh kết nối tới Safety PLC, cấu hình, chứng chỉ, thời gian dừng và hành vi khi lỗi. FAT chứng minh logic và phản ứng lỗi; SAT chứng minh dừng/phục hồi tại máy. Chứng nhận đặc tả, chứng nhận sản phẩm riêng và xác nhận chức năng an toàn cả máy là ba bộ bằng chứng khác nhau. Kiểm tra lại phiên bản chuẩn đã phát hành và model thực trước khi mua.
Nếu nhà máy tại Thái Lan chưa quyết định điểm nào giữ OSSD và điểm nào đổi sang IO-Link Safety, hãy liên hệ TOMAS TECH cùng bản vẽ máy và danh mục chức năng ban đầu. Chúng tôi có thể giúp xác định phạm vi so sánh, RFP và bằng chứng FAT/SAT trước khi mua. Chủ máy và chuyên gia an toàn đủ năng lực chịu trách nhiệm phê duyệt thiết kế cuối cùng.
