IEC 61508 / SIL — an toàn chức năng cơ bản cho kỹ sư robot

Các bài trước trong chuyên mục đã bàn ISO 10218 (yêu cầu thiết kế robot an toàn) và ISO/TS 15066 (yêu cầu cho robot cộng tác) — cả hai đều nói cần có cơ chế an toàn (dừng khẩn cấp, giám sát vùng...), nhưng không tự nói đáng tin cậy tới mức nào là đủ. Đó là câu hỏi mà IEC 61508 và khái niệm Safety Integrity Level (SIL) trả lời.

Khái niệm chính

IEC 61508 là chuẩn quốc tế về an toàn chức năng (functional safety) — không riêng cho robot, mà cho mọi hệ thống điện/điện tử/lập trình được dùng để thực hiện một chức năng an toàn (ví dụ: mạch dừng khẩn cấp, hệ thống giám sát vùng). Chuẩn này định nghĩa SIL (Safety Integrity Level) — thang đo từ SIL 1 đến SIL 4, thể hiện mức độ đáng tin cậy của một hàm an toàn cụ thể, đo bằng xác suất hàm đó thất bại khi thực sự cần kích hoạt.

Nguyên lý hoạt động

SIL không đo "hệ thống có an toàn không" một cách chung chung — nó đo xác suất một hàm an toàn cụ thể (VD: "khi có người vào vùng cấm, hệ thống phải dừng robot") không thực hiện đúng chức năng khi được yêu cầu. Với dạng hàm an toàn "low demand" (ít khi được kích hoạt, như E-Stop — hiếm khi bấm nhưng phải hoạt động đúng khi cần), thang đo dùng chỉ số PFDavg (Probability of Failure on Demand, trung bình):

SIL 1: PFDavg ≥ 10⁻² đến < 10⁻¹
SIL 2: PFDavg ≥ 10⁻³ đến < 10⁻²
SIL 3: PFDavg ≥ 10⁻⁴ đến < 10⁻³
SIL 4: PFDavg ≥ 10⁻⁵ đến < 10⁻⁴

SIL càng cao, xác suất thất bại càng thấp (yêu cầu càng nghiêm ngặt) — đạt SIL cao hơn thường đòi hỏi thiết kế dự phòng (redundancy), kiểm chứng nghiêm ngặt hơn, và chi phí cao hơn đáng kể.

Tóm lại: ISO 10218 nói "phải có E-Stop"; IEC 61508/SIL nói "E-Stop đó phải đáng tin cậy tới mức xác suất thất bại dưới ngưỡng cụ thể nào". Hai loại tài liệu bổ trợ nhau — một quy định chức năng cần có, một quy định độ tin cậy tối thiểu của chức năng đó.

Kiến thức kỹ thuật

Thông số

SIL	Mức độ nghiêm ngặt	Ví dụ ứng dụng điển hình
SIL 1	Thấp nhất	Cảnh báo, giám sát không trực tiếp ngăn tai nạn
SIL 2	Trung bình	Nhiều ứng dụng công nghiệp phổ thông
SIL 3	Cao	Hệ thống dừng khẩn cấp cho máy móc có rủi ro cao
SIL 4	Cao nhất	Hiếm gặp ngoài ngành có rủi ro cực cao (hạt nhân, hàng không)

Việc xác định SIL cần cho một hàm an toàn cụ thể thường qua quy trình đánh giá rủi ro riêng (không tự suy ra từ IEC 61508 một mình) — nhiều ngành có chuẩn con phái sinh từ IEC 61508 cho lĩnh vực cụ thể (VD: IEC 62061 cho máy móc, ISO 13849 là chuẩn song song thường dùng thay thế cho ứng dụng máy móc đơn giản hơn).

Ứng dụng thực tế

Trong thiết kế mạch E-Stop cho AMR (đã học ở bài Bumper và Emergency Stop), nguyên tắc "mạch cứng, không qua phần mềm" chính là một cách tiếp cận thực tế để đạt độ tin cậy cao hơn theo tinh thần SIL — mạch phần cứng đơn giản (relay/công tắc cơ khí) có xác suất thất bại dễ tính toán và kiểm chứng hơn nhiều so với một chuỗi phần mềm phức tạp (hệ điều hành, driver, ứng dụng) nơi có vô số điểm có thể lỗi (treo máy, bug, race condition) khó lượng hoá thành một con số PFDavg cụ thể.

Ví dụ thực tế

So sánh 2 thiết kế E-Stop cho cùng 1 AMR, đánh giá định tính theo tinh thần SIL:

Thiết kế A — E-Stop qua phần mềm:
  Nút bấm → GPIO đọc bởi ứng dụng → hệ điều hành xử lý → gửi lệnh dừng
  Nhiều điểm lỗi: phần mềm treo, driver lỗi, độ trễ hệ điều hành không
  xác định → khó chứng minh đạt ngưỡng PFDavg cụ thể nào, xác suất
  thất bại thực tế khó lượng hoá chính xác

Thiết kế B — E-Stop mạch cứng độc lập:
  Nút bấm → relay cơ khí → cắt trực tiếp nguồn động cơ
  Ít điểm lỗi hơn nhiều: chỉ phụ thuộc độ tin cậy cơ khí của relay/công
  tắc (thường có số liệu MTBF từ nhà sản xuất) → dễ tính toán/chứng
  minh đạt một mức SIL cụ thể hơn nhiều so với Thiết kế A

Kết luận: không phải ngẫu nhiên mà mọi tài liệu an toàn robot đều
nhấn mạnh E-Stop phải là mạch cứng — đây chính là cách thực tế để
đạt độ tin cậy đo lường được theo tinh thần IEC 61508/SIL

Lỗi thường gặp

• Thiết kế chức năng an toàn hoàn toàn qua phần mềm rồi tự nhận "đạt SIL cao" — như ví dụ trên, phần mềm phức tạp khó chứng minh đạt một mức PFDavg cụ thể; SIL cần được đánh giá/kiểm chứng theo quy trình, không tự phong.
• Nhầm SIL là thang đo "chất lượng sản phẩm" chung chung — SIL đo cụ thể xác suất thất bại của MỘT hàm an toàn cụ thể, không phải đánh giá tổng thể chất lượng toàn hệ thống.
• Áp dụng cùng 1 SIL cho mọi chức năng an toàn trong hệ thống — mức SIL cần thiết phụ thuộc mức độ rủi ro của từng chức năng cụ thể (E-Stop dừng động cơ có thể cần SIL cao hơn cảnh báo âm thanh đơn thuần), cần đánh giá riêng từng chức năng.
• Bỏ qua các chuẩn phái sinh phù hợp hơn cho ứng dụng cụ thể — như đã nêu, ISO 13849 hoặc IEC 62061 (phái sinh từ IEC 61508 cho lĩnh vực máy móc) đôi khi phù hợp và dễ áp dụng hơn IEC 61508 gốc cho ứng dụng robot công nghiệp cụ thể.

Kết luận

IEC 61508 và khái niệm SIL bổ sung chiều "đáng tin cậy tới mức nào" cho các yêu cầu chức năng đã nêu ở ISO 10218/ISO-TS 15066 — đo bằng xác suất thất bại cụ thể, không phải đánh giá định tính. Nguyên tắc thiết kế E-Stop bằng mạch cứng thay vì phần mềm — đã học từ đầu chuyên mục AMR/AGV — chính là cách thực tế để đạt độ tin cậy đo lường được theo tinh thần chuẩn này. Đây là bài cuối của chuyên mục Chuẩn & Giao thức — bốn bài đã đi từ chuẩn an toàn robot công nghiệp, robot cộng tác, quy ước phần mềm mở của cộng đồng ROS, tới đo lường độ tin cậy chức năng an toàn. Chuyên mục Tài liệu mã nguồn mở tiếp theo chuyển sang một dạng tài liệu khác hẳn — cách đọc hiệu quả README/docs của các package mã nguồn mở.