Thay Compact GuardLogix 5370 bị hỏng: safety signature, SNN, firmware, quyền sở hữu I/O và đường sang 5380

Thay một Compact GuardLogix 5370 (1769-L30ERMS, 1769-L33ERMS, 1769-L36ERMS, 1769-L37ERMS, 1769-L38ERMS) bị hỏng bằng một con cùng mã không chỉ là cắm vào rồi download. Controller mới phải nhận đúng dự án đã thẩm định, với đúng firmware, cùng safety task signature, cùng Safety Network Number (SNN) và cùng trạng thái safety-lock; sau đó các module CIP Safety I/O phải kết nối lại với đúng chủ sở hữu. Nếu signature bị xoá trong quá trình thay, theo tài liệu Rockwell hệ thống phải được kiểm thử và thẩm định lại (1769-UM022E tr. 132, 140).

Bài này gom các yêu cầu đó từ sổ tay người dùng 1769-UM022E và sổ tay an toàn 1756-RM099H, kèm vòng đời của dòng 1769-L3xERMS và đường sang Compact GuardLogix 5380. Bài không thay cho các tài liệu đó và không hướng dẫn sửa chương trình an toàn.

Mức SIL/PL và các giá trị an toàn phải do kỹ sư có thẩm quyền xác định theo ISO 13849-1 / IEC 62061 cho từng máy.

Vòng đời 1769-L3xERMS và mã thay thế

Theo trang sản phẩm Rockwell (đọc ngày 27/10/2026):

Bộ nhớ trong ngoặc là bộ nhớ chuẩn / bộ nhớ an toàn theo tên mã trên trang sản phẩm. Loại thay thế đều là "Engineering Replacement": cần công kỹ thuật để chuyển đổi, không phải thay trực tiếp. Bộ điều khiển dạng Armor (IP67, lắp trên máy) không có mã thay thế. Tra các mã khác trong danh mục tra mã hết vòng đời.

Những gì phải giữ đúng khi thay cùng mã

Safety task signature

Signature gồm số ID, ngày và giờ, định danh toàn bộ phần an toàn của dự án: logic, dữ liệu và cấu hình (1769-UM022E tr. 12). Sổ tay an toàn yêu cầu ghi lại signature ngay sau khi tạo và đối chiếu sau mỗi lần download (1756-RM099H tr. 42, 44). Nếu dự án download vào controller chưa có signature thì phải kiểm thử lại ứng dụng; có signature khớp thì không đòi bước này (1756-RM099H tr. 44).

Trước khi tháo controller hỏng, cần có trong tay: file dự án đã thẩm định có signature, và bản ghi signature (ID, ngày, giờ) trong hồ sơ an toàn của máy. Nút "Copy" trên tab "Safety" chép ba thành phần này ra clipboard để lưu hồ sơ (1769-UM022E tr. 132).

Firmware khớp đúng dự án

Controller mới phải được nạp firmware trước khi dùng; nạp bằng ControlFLASH, AutoFlash khi download, hoặc từ thẻ nhớ 1784-SD1/SD2 (1769-UM022E tr. 29). Nếu cập nhật firmware bị ngắt giữa chừng, firmware quay về bản xuất xưởng 1.xxx (tr. 29, 32).

Khi firmware controller khác phiên bản dự án, Logix Designer cho hai lựa chọn: nâng firmware controller cho khớp dự án, hoặc đổi dự án sang phiên bản của controller. Đổi dự án thì signature bị xoá và hệ thống phải thẩm định lại (tr. 140). Nếu chỉ lệch minor revision, muốn giữ signature thì phải nạp firmware khớp đúng dự án rồi mới download (tr. 142). Logix Designer chỉ cập nhật firmware trong lúc download khi controller đang safety-unlocked (tr. 139).

Checklist của 1756-RM099H còn yêu cầu chỉ dùng phần cứng và bản firmware mà Rockwell liệt kê cho ứng dụng an toàn trên trang chứng nhận của hãng (tr. 72).

Safety-lock và mật khẩu

Safety-lock khoá phần an toàn: không sửa, không force safety I/O, không đổi trạng thái inhibit, không tạo hay xoá signature (1769-UM022E tr. 129). Hai mật khẩu lock và unlock là tuỳ chọn, dài 1–40 ký tự, không phân biệt hoa thường (tr. 40). Trạng thái lock không đổi được khi khoá chuyển mạch ở RUN (tr. 129).

Khi download, nếu controller đã safety-lock thì chỉ dự án có signature khớp mới download được (1756-RM099H tr. 44). Sau download thành công, trạng thái lock và signature của controller khớp với dự án vừa nạp (1769-UM022E tr. 142). Người dùng chịu trách nhiệm quản lý quyền truy cập, kể cả mật khẩu (1756-RM099H tr. 9); sổ tay an toàn dòng 5380 ghi rõ Rockwell không có dịch vụ bỏ qua mật khẩu (1756-RM012J tr. 73). Vì vậy mật khẩu phải nằm trong hồ sơ của máy, không chỉ trong đầu một người.

Safety Network Number của controller

SNN định danh từng mạng con an toàn; mỗi thiết bị CIP Safety phải được cấu hình đúng SNN của mạng con đó (1769-UM022E tr. 12). Đổi SNN đòi hỏi unlock và xoá signature trước (tr. 48), tức là phải thẩm định lại (tr. 132). Vì SNN được lưu trong dự án (tr. 48), controller thay thế cho cùng máy, khi controller cũ đã tháo ra, thường nhận lại dự án cùng SNN hiện có của nó.

Đừng nhầm với trường hợp chép dự án sang phần cứng khác hoặc vị trí khác để chạy trong cùng hệ CIP Safety định tuyến được: khi đó mọi SNN phải đổi vì giá trị SNN không được lặp lại (1756-RM099H tr. 28).

Serial number và Project to Controller Match

Nếu dự án bật "Project to Controller Match", Logix Designer so serial number trong dự án với controller mới và sẽ báo lệch. Chỉ chọn "Update project serial number" sau khi chắc chắn đang kết nối đúng controller (1769-UM022E tr. 139, 142).

Thẻ nhớ SD cũ

Thẻ nhớ có thể nạp dự án và firmware vào controller lúc cấp nguồn, tuỳ "Load Image" là "On Power Up" hay "On Uninitialized Memory" (1769-UM022E tr. 160). Muốn nạp từ thẻ thì loại controller, major và minor revision phải khớp (tr. 159). Lưu ý: thẻ có thể chứa một dự án cũ hơn dự án đang chạy (tr. 25). Khi người dùng chủ động load từ thẻ (controller đã unlock), trạng thái lock, mật khẩu và signature lấy theo giá trị trên thẻ; với "On Power Up", dự án trên thẻ được nạp ở mỗi lần cấp nguồn, kể cả khi controller đang safety-lock (tr. 160). Vẫn phải đối chiếu signature với hồ sơ (1756-RM012J tr. 73).

Module CIP Safety I/O: SNN và quyền sở hữu

Mỗi thiết bị CIP Safety I/O do đúng một controller sở hữu; controller đó giữ cấu hình của thiết bị (1756-RM099H tr. 22). Module xuất xưởng chưa có SNN; SNN được ghi khi controller sở hữu gửi cấu hình (tr. 28).

• Xem chủ sở hữu. Khi online, tab "Safety" của "Module Properties" hiện "Local" nếu dự án đang mở là chủ, hoặc "Remote" kèm SNN và địa chỉ của controller chủ (1769-UM022E tr. 91).
• Reset Ownership đưa module về trạng thái xuất xưởng. Không làm được khi còn sửa đổi chưa áp dụng, khi đã có safety task signature, hoặc khi đang safety-lock (tr. 91). Nếu kết nối đang là "Local" thì phải "Inhibit Connection" trước (tr. 93), mà inhibit cũng không làm được khi đã lock hoặc có signature (1756-RM099H tr. 46). Xoá signature để làm việc này thì phải kiểm thử và thẩm định lại (1769-UM022E tr. 132).
• Thay chính module I/O. Tuỳ chọn "Configure Only When No Safety Signature Exists" hay "Configure Always" trên tab "Safety" của controller quyết định cách nhận module thay thế (tr. 43). Ở chế độ "Configure Only When No Safety Signature Exists", khi đã có signature, module mới xuất xưởng phải được "Set" SNN bằng tay; trước khi bấm "Yes" phải thấy đèn NS nhấp nháy đỏ/xanh đúng trên module cần thay (tr. 95–96). Rockwell chỉ cho bật "Configure Always" khi trong lúc thay và thử chức năng thiết bị, không phần nào của hệ CIP Safety được dựa vào để giữ chức năng an toàn (tr. 43, 100; 1756-RM099H tr. 24).

Kiểm lại sau khi thay

Các bước dưới đây là các yêu cầu kiểm tra trong 1756-RM099H và 1769-UM022E, không phải quy trình thẩm định. Quy trình thẩm định là của người chịu trách nhiệm an toàn cho máy.

1. Đối chiếu safety task signature trong controller với bản ghi trong hồ sơ (1756-RM099H tr. 42, 72). Đèn "SFTY RUN" xanh đứng nghĩa là có signature, nhấp nháy là không có (1769-UM022E tr. 164); nhưng đèn trạng thái không dùng để xác nhận chức năng an toàn (1756-RM099H tr. 17).
2. Xem nút "Safety Status" trên online bar và tab "Safety" của "Controller Properties": trạng thái lock, signature, và safety status phải là "Safety Task OK" (1769-UM022E tr. 146, 148). Kiểm kết nối an toàn của từng module qua hai bit RunMode và ConnectionFaulted (tr. 147).
3. Xác nhận dự án theo cách sổ tay an toàn mô tả: upload, lưu với tên mới, so bằng "Program Compare" các thuộc tính controller, CIP Safety I/O, safety task và logic an toàn (1756-RM099H tr. 43).
4. Nếu signature đã bị xoá hoặc dự án bị đổi phiên bản, làm lại kiểm thử xác minh dự án: bật/tắt từng cảm biến và cơ cấu chấp hành của mọi chức năng an toàn, thử mọi chức năng dừng (1756-RM099H tr. 42–43).
5. Với module safety I/O được thay, sổ tay yêu cầu thử thiết bị và hệ thống theo quy trình của công ty trước khi cho chạy lại (1769-UM022E tr. 96, 99, 100). Với controller, phạm vi kiểm thử do người chịu trách nhiệm an toàn của máy quyết định.
6. Lưu lại dự án vào thẻ nhớ; khi lưu, firmware cũng được ghi vào thẻ, và chế độ sau khi load nên để "Program (Remote Only)" (1769-UM022E tr. 157–158).

Controller hỏng có thể gửi về Rockwell qua nhà phân phối để ghi nhận lỗi và phân tích nguyên nhân (1756-RM099H tr. 14).

Đường sang Compact GuardLogix 5380

Mã thay thế Rockwell ghi cho 1769-L3xERMS là dòng 5069-L3xxERMS3. Compact GuardLogix 5380 có hai nhóm mã: đuôi S2 (ví dụ 5069-L320ERS2) và đuôi S3 (ví dụ 5069-L320ERMS3). Rockwell xếp nhóm S2 để dùng tới SIL 2/PLd và nhóm S3 tới SIL 3/PLe (5069-UM001N tr. 47; 1756-RM012J tr. 24). Chọn nhóm nào là quyết định của kỹ sư an toàn theo đánh giá rủi ro của máy.

Những điểm đổi khi lên 5380:

• Phần mềm. Controller S3 cần Logix Designer từ v32, S2 từ v31 (5069-UM001N tr. 13).
• I/O cục bộ. Rack của 5380 dùng module Compact 5000 I/O (5069-UM001N tr. 21; 1756-RM012J tr. 25), không dùng module 1769 đang gắn cạnh 5370. Nguồn 24 V DC cho MOD và SA phải là loại SELV/PELV (1756-RM012J tr. 25).
• SNN. 5380 có tới ba SNN: hai cổng Ethernet và backplane; chế độ Dual-IP cần hai SNN cho hai cổng (5069-UM001N tr. 47–48). Đổi loại controller hoặc chế độ IP sẽ sinh SNN time-based mới (1756-RM012J tr. 45), nên SNN của các module I/O đang chạy phải được xử lý theo sổ tay.
• Signature. Tạo dự án từ một dự án import có signature cho ra signature "unknown" (màu xám), không dùng được cho chứng nhận (1756-RM012J tr. 20). Khi nâng cấp, sổ tay yêu cầu phân tích ảnh hưởng, đọc release note firmware, kiểm tương thích trên PCDC, xoá và tạo lại signature; báo cáo Safety Signature giúp xác định phần nào đã đổi cần thẩm định lại (tr. 70).

Với CompactLogix thường (không an toàn), xem thêm CompactLogix 1769-L31/L32E/L35E thay bằng gì.

Một ca TDL đã làm

Năm 2025–2026, TDL cài sẵn một Compact GuardLogix 5370 thay thế với chương trình chuẩn và chương trình an toàn hiện hữu cho trò chơi Sky Drop tại Mega Grand World Hà Nội, và hỗ trợ từ xa đội hiện trường khi thay. Chi tiết: dự án Sky Drop.

Cần kỹ sư hỗ trợ khi thay controller: gửi yêu cầu.