CASE STUDY LOTO: MÁY ĐÚC ÁP LỰC VẪN CHẠY KHI CỬA AN TOÀN MỞ – MỘT NGƯỜI TỬ VONG

Bài học về Interlock, vùng nguy hiểm và kiểm soát năng lượng

Vụ tai nạn “5·23” tại một doanh nghiệp đúc áp lực

Trong các nhà máy đúc áp lực, ép nhựa, dập, gia công CNC và các dây chuyền tự động, một trong những vùng nguy hiểm nhất là khu vực mà máy có thể tạo ra chuyển động đóng/mở với lực rất lớn.

Cửa an toàn, công tắc liên động (Safety Interlock), cảm biến và hệ thống điều khiển an toàn được thiết kế để tạo ra một lớp bảo vệ giữa người lao động và vùng nguy hiểm.

Nhưng nếu thiết bị bảo vệ bị:

• tháo bỏ;
• sửa đổi;
• vô hiệu hóa;
• đấu tắt;
• hoặc tiếp tục vận hành khi đã phát hiện lỗi,

thì toàn bộ logic an toàn của thiết bị có thể bị phá vỡ.

Vụ tai nạn “5·23” tại một doanh nghiệp đúc áp lực ở Bắc Luân, Ninh Ba là một ví dụ điển hình.

1. Thông tin chính của vụ tai nạn

Theo nội dung vụ việc, trong quá trình điều chỉnh khuôn, máy được chuyển sang chế độ Automatic.

Sau đó, người vận hành được cho là đã đi vào khu vực đóng khuôn để xử lý phần vật liệu còn sót lại trong lòng khuôn.

Máy thực hiện chuyển động đóng khuôn.

Người lao động bị kẹp trong vùng nguy hiểm và tử vong.

2. Chuỗi sự kiện

Có thể mô hình hóa vụ tai nạn như sau:

Khuôn có vấn đề

↓

Điều chỉnh khuôn

↓

Máy chuyển sang Automatic

↓

Cửa bảo vệ đã bị sửa đổi

↓

Cửa mở nhưng máy vẫn có thể chạy

↓

Người lao động đi vào vùng đóng khuôn

↓

Máy thực hiện chu trình

↓

Khuôn đóng

↓

Người lao động bị kẹp

↓

Tử vong

Điểm quan trọng nhất:

Một lớp bảo vệ kỹ thuật đã bị vô hiệu hóa trước khi hành vi nguy hiểm xảy ra.

3. Không thể chỉ quy lỗi cho “người lao động bất cẩn”

Nếu chỉ kết luận:

“Người lao động tự ý vào khu vực nguy hiểm.”

thì chưa đủ.

Cần đặt câu hỏi:

Tại sao người lao động có thể mở cửa và đi vào vùng nguy hiểm trong khi máy vẫn ở chế độ Automatic?

Theo thông tin vụ việc, nguyên nhân kỹ thuật quan trọng là:

Cửa bảo vệ của máy đã bị sửa đổi, khiến khi cửa mở máy vẫn có thể tiếp tục vận hành tự động.

Điều này cho thấy:

Lỗi con người

và

Lỗi thiết kế/kiểm soát kỹ thuật

đã kết hợp với nhau.

4. Safety Interlock tồn tại để làm gì?

Một hệ thống Interlock tốt tạo ra logic:

Cửa đóng

↓

Điều kiện an toàn được xác nhận

↓

Máy được phép chạy

Ngược lại:

Cửa mở

↓

Mạch an toàn bị ngắt

↓

Máy phải dừng hoặc không được khởi động

Mục đích là ngăn người lao động tiếp cận vùng nguy hiểm khi máy có khả năng chuyển động.

Vì vậy:

Safety Interlock không phải là một phụ kiện tùy chọn.

Trong nhiều máy móc, nó là một phần của hệ thống bảo vệ an toàn của máy.

5. Điều gì xảy ra khi Interlock bị bypass?

Giả sử thiết kế ban đầu:

Door Closed → Interlock OK → Machine Run

Khi cửa bị mở:

Door Open → Interlock OFF → Machine Stop

Nhưng nếu doanh nghiệp sửa đổi hoặc đấu tắt:

Door Open → Interlock vẫn OK → Machine Run

Khi đó:

Cánh cửa vẫn còn đó nhưng chức năng an toàn của nó đã biến mất.

Đây là một trong những trạng thái nguy hiểm nhất trong công nghiệp:

“Safety Guard Present but Safety Function Absent”

Tức là:

Có thiết bị bảo vệ về mặt vật lý nhưng không còn chức năng bảo vệ thực tế.

6. “Cửa an toàn” không có nghĩa là “an toàn”

Một lỗi thường gặp trong kiểm tra máy móc là chỉ nhìn:

“Máy có cửa bảo vệ.”

Nhưng phải kiểm tra sâu hơn:

Khi cửa mở, máy có dừng không?

Khi cửa mở, máy có thể khởi động không?

Có thể reset từ bên ngoài để máy chạy không?

Interlock có bị bypass không?

Có thể mở cửa trong khi máy đang Automatic không?

Có thể tiếp cận vùng nguy hiểm trước khi chuyển động dừng hoàn toàn không?

Nếu câu trả lời là “có”:

Lớp bảo vệ chưa đạt yêu cầu.

7. Automatic Mode làm tăng mức độ rủi ro

Trong chế độ Manual, người vận hành thường có ý thức rằng mình đang điều khiển từng chuyển động.

Nhưng trong:

AUTO

máy có thể thực hiện chu trình theo logic điều khiển.

Ví dụ:

Start

↓

Clamp

↓

Injection

↓

Pressure

↓

Mold Open/Close

↓

Eject

↓

Repeat

Nếu một người bước vào vùng nguy hiểm mà hệ thống vẫn cho phép chu trình tiếp tục:

Con người có thể bị máy tác động mà không cần có người trực tiếp nhấn nút.

Đây là lý do vùng nguy hiểm của máy Automatic phải được kiểm soát bằng engineering controls, không chỉ bằng cảnh báo.

8. LOTO và Safety Interlock có thay thế nhau không?

Không.

Đây là điểm rất quan trọng đối với kỹ thuật viên bảo trì.

Safety Interlock

chủ yếu kiểm soát:

Access to Hazardous Area

tức là:

Không cho phép máy vận hành trong khi người có thể tiếp cận vùng nguy hiểm.

Trong khi:

LOTO

kiểm soát:

Hazardous Energy

tức là:

Cô lập năng lượng để ngăn máy khởi động hoặc giải phóng năng lượng nguy hiểm ngoài ý muốn trong quá trình bảo trì.

Hai hệ thống có vai trò khác nhau.

9. Khi nào Interlock không đủ?

Ví dụ kỹ thuật viên cần:

• tháo khuôn;
• sửa khuôn;
• vệ sinh;
• lấy vật liệu kẹt;
• sửa cảm biến;
• thay linh kiện;
• vào vùng nguy hiểm;
• thực hiện bảo trì bên trong máy.

Trong những công việc này:

Không nên chỉ dựa vào Safety Interlock.

Cần xác định:

LOTO

↓

Isolation

↓

Lock

↓

Release Stored Energy

↓

Verify

↓

Work

10. Quy tắc quan trọng: Không vào vùng nguy hiểm chỉ vì “máy đang dừng”

Máy dừng không đồng nghĩa với:

Zero Energy.

Một máy đúc áp lực có thể còn:

• điện;
• áp suất thủy lực;
• năng lượng cơ học;
• năng lượng nhiệt;
• lực của khuôn;
• năng lượng tích trữ;
• chuyển động do hệ thống truyền động;
• năng lượng trong các cơ cấu kẹp.

Do đó:

“Machine stopped” không đồng nghĩa với “Machine isolated”.

11. Ba trạng thái cần phân biệt

Trạng thái 1 – STOP

Máy không chạy.

Nhưng có thể khởi động lại.

Trạng thái 2 – SAFE GUARD

Cửa bảo vệ đóng, Interlock hoạt động.

Máy được kiểm soát trong điều kiện vận hành bình thường.

Trạng thái 3 – LOTO

Nguồn năng lượng nguy hiểm được cô lập, khóa và xác minh.

Đây mới là trạng thái phù hợp cho nhiều công việc bảo trì có tiếp cận vùng nguy hiểm.

12. Một ví dụ đơn giản

Kỹ thuật viên cần lấy một miếng vật liệu kẹt trong khuôn.

Cách làm nguy hiểm:

Máy dừng

→ mở cửa

→ đưa tay vào

→ lấy vật liệu

→ đóng cửa

→ chạy lại.

Rủi ro:

Máy có thể tự động khởi động hoặc bị người khác khởi động.

Cách kiểm soát đúng:

Stop

↓

Isolate

↓

Lockout

↓

Tagout

↓

Release stored energy

↓

Verify

↓

Access hazardous area

↓

Perform work

↓

Exit

↓

Restore guards

↓

Remove personal locks

↓

Controlled restart

Đây mới là tư duy LOTO.

13. “Try Test” là bước không thể bỏ qua

Sau khi khóa nguồn, kỹ thuật viên không nên chỉ nhìn vào CB và nói:

“OFF rồi.”

Phải thực hiện bước xác minh phù hợp với thiết bị.

Ví dụ:

• Thử lệnh khởi động theo quy trình;
• Kiểm tra trạng thái nguồn;
• Kiểm tra áp suất;
• Kiểm tra cơ cấu chuyển động;
• Xác nhận năng lượng tích trữ đã được giải phóng;
• Xác nhận máy không thể thực hiện chu trình.

Sau đó mới:

Access Hazardous Area.

14. Đối với máy đúc áp lực, cần xác định nhiều nguồn năng lượng

Một sai lầm phổ biến là chỉ tìm:

Nguồn điện.

Nhưng đối với thiết bị đúc áp lực, cần xem xét tối thiểu:

Electrical

Nguồn điện chính và điều khiển.

Hydraulic

Áp suất thủy lực.

Mechanical

Cơ cấu đóng/mở khuôn.

Thermal

Nhiệt từ khuôn và vật liệu.

Stored Energy

Năng lượng còn lại trong hệ thống.

Gravity

Các bộ phận có khả năng rơi hoặc dịch chuyển do trọng lực.

Do đó:

LOTO phải dựa trên Energy Assessment chứ không chỉ dựa trên sơ đồ điện.

15. “Một người – một khóa” đặc biệt quan trọng

Khi kỹ thuật viên vào vùng nguy hiểm:

Khóa cá nhân của chính người đó phải được duy trì.

Không nên sử dụng mô hình:

Một khóa chung cho cả đội.

Vì nếu người A tháo khóa:

Không có gì đảm bảo người B vẫn đang ở ngoài vùng nguy hiểm.

Nguyên tắc mạnh hơn là:

ONE PERSON → ONE LOCK → ONE KEY

Mỗi người:

• có khóa riêng;
• có chìa khóa riêng;
• chịu trách nhiệm về khóa của mình;
• chỉ tự mình tháo khóa khi hoàn thành công việc.

16. Nếu nhiều người cùng bảo trì máy đúc thì dùng Group LOTO

Ví dụ:

• Kỹ thuật cơ khí;
• Kỹ thuật điện;
• Kỹ thuật tự động hóa;
• Nhà thầu khuôn.

Có thể triển khai:

Energy Isolation

↓

Group Lock Box

↓

Mỗi người đặt Personal Lock

↓

Work

↓

Mỗi người tự tháo khóa

↓

Kiểm tra

↓

Restart

Điểm cốt lõi:

Chỉ khi tất cả khóa cá nhân được tháo thì mới có thể hoàn tất quá trình khôi phục năng lượng theo quy trình.

17. Tai nạn này cũng là bài học về “Bypass Management”

Trong nhà máy, một số hành động rất nguy hiểm thường bắt đầu từ suy nghĩ:

“Chỉ sửa một chút.”

Ví dụ:

• đấu tắt cảm biến;
• cố định công tắc;
• tháo cửa;
• tháo Interlock;
• vô hiệu hóa cảm biến;
• thay đổi logic điều khiển;
• bỏ qua alarm.

Ban đầu có thể nhằm:

“Tăng năng suất.”

Nhưng hậu quả là:

Hệ thống an toàn bị thay đổi mà không được đánh giá lại.

18. Không được biến Safety Device thành “chướng ngại sản xuất”

Một số doanh nghiệp có tâm lý:

“Cửa an toàn làm máy chậm.”

“Interlock hay báo lỗi.”

“Tháo ra thì dễ thao tác hơn.”

Đây chính là điểm bắt đầu của:

Safety Bypass Culture.

Khi một lần bypass không bị xử lý:

↓

người khác học theo

↓

bypass trở thành bình thường

↓

thiết bị mất lớp bảo vệ

↓

người lao động hình thành thói quen vào vùng nguy hiểm

↓

tai nạn xảy ra.

19. “History of Bypass” là tín hiệu cảnh báo đỏ

Kỹ thuật viên bảo trì nên coi các dấu hiệu sau là Critical Finding:

☐ Cảm biến bị đấu tắt.

☐ Công tắc cửa bị cố định.

☐ Cửa bảo vệ bị tháo.

☐ Safety relay bị bypass.

☐ Máy chạy khi guard mở.

☐ Alarm bị vô hiệu hóa.

☐ Người vận hành phải mở cửa để xử lý lỗi thường xuyên.

☐ Thiết bị có lỗi nhưng vẫn tiếp tục sản xuất.

Nếu phát hiện:

Không nên chỉ sửa thiết bị rồi tiếp tục sản xuất.

Cần xác định:

Tại sao hệ thống an toàn lại bị bypass?

20. Bypass thường là dấu hiệu của vấn đề hệ thống

Ví dụ:

Interlock thường xuyên lỗi

→ sản xuất bị dừng

→ công nhân bypass

→ quản lý chấp nhận

→ bypass trở thành “giải pháp”

Vấn đề thực sự có thể là:

• Thiết kế chưa phù hợp;
• Cảm biến sai vị trí;
• Thiết bị xuống cấp;
• Bảo trì kém;
• Quy trình reset không tốt;
• Áp lực sản xuất quá cao.

Vì vậy:

Không chỉ xử lý người bypass; phải xử lý nguyên nhân khiến bypass trở nên “hấp dẫn”.

21. LOTO phải kết hợp với Machine Safety

Đối với doanh nghiệp sản xuất, có thể xây dựng mô hình:

Lớp 1 – Guarding

Ngăn tiếp cận vùng nguy hiểm.

Lớp 2 – Interlock

Phát hiện trạng thái cửa/guard và kiểm soát máy.

Lớp 3 – Emergency Stop

Giảm thiểu hậu quả khi có tình huống khẩn cấp.

Lớp 4 – LOTO

Cô lập năng lượng khi bảo trì.

Lớp 5 – Procedure

Quy định cách vận hành.

Lớp 6 – Training

Đào tạo con người.

Lớp 7 – Verification

Kiểm tra việc thực hiện.

Một hệ thống an toàn mạnh không phụ thuộc vào một lớp duy nhất.

22. Checklist kiểm tra máy đúc áp lực

A. Guarding

☐ Có đầy đủ cửa bảo vệ.

☐ Không bị tháo.

☐ Không bị biến dạng.

☐ Không có khoảng hở nguy hiểm.

B. Interlock

☐ Cửa mở → máy không được chạy theo chức năng an toàn thiết kế.

☐ Không thể bypass dễ dàng.

☐ Interlock được kiểm tra định kỳ.

☐ Safety circuit hoạt động.

C. Emergency Stop

☐ Có nút dừng khẩn cấp.

☐ Dễ tiếp cận.

☐ Hoạt động đúng.

☐ Có kiểm tra định kỳ.

D. LOTO

☐ Có xác định điểm cô lập.

☐ Có thiết bị Lockout phù hợp.

☐ Có Personal Safety Lock.

☐ Có Tagout.

☐ Có quy trình Group LOTO.

☐ Có Verification.

E. Quản lý

☐ Có SOP.

☐ Có Risk Assessment.

☐ Có đào tạo.

☐ Có kiểm tra.

☐ Có quản lý bypass.

☐ Có hồ sơ bảo trì.

23. 10 câu hỏi Audit dành cho kỹ thuật viên

1. Máy có thể chạy khi cửa mở không?
2. Interlock có bị bypass không?
3. Ai có quyền bypass?
4. Bypass có cần phê duyệt không?
5. Khi bảo trì bên trong máy, điểm cô lập ở đâu?
6. Nguồn năng lượng nào cần khóa?
7. Có năng lượng tồn dư không?
8. Làm thế nào xác minh Zero Energy?
9. Mỗi kỹ thuật viên có khóa cá nhân không?
10. Nếu người vận hành không biết có người đang sửa máy thì điều gì ngăn máy khởi động?

Nếu câu trả lời cuối cùng là:

“Chúng tôi đã dặn mọi người không được bật.”

thì đó chưa phải là một hệ thống kiểm soát mạnh.

24. Bài học dành cho quản lý nhà máy

Vụ tai nạn này không chỉ đặt ra vấn đề:

“Người lao động có tuân thủ SOP không?”

Mà còn đặt ra bốn câu hỏi lớn:

1. Thiết bị có được thiết kế an toàn không?

2. Safety Device có thực sự hoạt động không?

3. Doanh nghiệp có cho phép bypass không?

4. Khi bảo trì, năng lượng có được LOTO không?

Nếu một trong bốn câu hỏi này có câu trả lời tiêu cực:

Rủi ro tai nạn nghiêm trọng vẫn còn.

25. Bài học dành cho kỹ thuật viên bảo trì

Khi được yêu cầu:

“Vào trong máy lấy vật liệu.”

“Chỉnh lại khuôn một chút.”

“Xử lý lỗi nhanh thôi.”

“Máy đang dừng mà.”

Không nên coi đây là công việc nhỏ.

Hãy chuyển câu hỏi thành:

“Tôi đã cô lập toàn bộ năng lượng chưa?”

Nếu chưa:

Không vào vùng nguy hiểm.

26. Nguyên tắc vàng

Không vào vùng nguy hiểm chỉ vì máy đang dừng.

Không tin rằng cửa bảo vệ luôn hoạt động.

Không chấp nhận Safety Interlock bị bypass.

Không bảo trì khi chưa kiểm soát năng lượng.

Không dùng khóa chung thay cho khóa cá nhân.

Không bỏ qua Verification.

Và quan trọng nhất:

Không có Zero Energy → Không có quyền bắt đầu công việc.

27. Kết luận

Vụ tai nạn máy đúc áp lực “5·23” cho thấy một chuỗi thất bại điển hình:

Safety Guard bị sửa đổi

↓

Interlock mất chức năng

↓

Máy vẫn Automatic khi cửa mở

↓

Người lao động tiếp cận vùng nguy hiểm

↓

Máy thực hiện chu trình

↓

Tai nạn chết người

Đây không đơn thuần là một vụ:

“Công nhân thao tác sai.”

Mà là sự thất bại đồng thời của:

Machine Safety

Safety Interlock

Risk Control

LOTO

Safety Management

Bài học quan trọng nhất dành cho kỹ thuật viên bảo trì là:

Khi công việc yêu cầu con người bước vào vùng mà máy có thể gây thương tích, việc “dừng máy” chưa đủ. Phải cô lập năng lượng, khóa, gắn thẻ, giải phóng năng lượng tồn dư và xác minh trạng thái an toàn trước khi tiếp cận.

Và đối với doanh nghiệp:

Một Safety Guard bị bypass hôm nay có thể trở thành một vụ tai nạn chết người ngày mai.

GUARD → INTERLOCK → ISOLATE → LOCK → TAG → VERIFY → WORK

Đó là chuỗi tư duy cần được biến thành thói quen vận hành, không chỉ là một dòng trong SOP.