Der Muting-Deadlock, der einen Wagen in seinem eigenen Schutzfeld einsperrte

Ein Lichtvorhang hat genau eine Aufgabe: die Maschine zu stoppen, wenn sich ein Mensch dort befindet, wo er nicht sein sollte. Bei einem Muting-Aufbau, an dem ich gearbeitet habe, tat er diese Aufgabe perfekt. Und indem er sie tat, sperrte er ausgerechnet den Wagen ein, den durchzulassen er gebaut worden war.

Das ist die lange Version von etwas, worüber ich gepostet hatte, denn die Kurzversion lässt keinen Platz für den Teil, auf den es wirklich ankommt — warum es passierte, und warum der naheliegende Fix sich als schlimmer herausstellte als das Problem. Wenn du irgendwo Muting betreibst, ist das eine Falle, die es sich lohnt zu verstehen — bevor du ihr an einer laufenden Maschine begegnest und nicht erst danach.

Was wir abgesichert haben

Ein Transportwagen fuhr hin und her durch einen Schutzbereich. Die Absicherung war ein SICK deTec4-Lichtvorhang mit einem DMM4-Muting-Controller, der das Sicherheitssignal in eine Siemens-SPS einspeiste.

Das Problem damit, einen Lichtvorhang vor einen fahrenden Wagen zu setzen, liegt auf der Hand: Der Wagen unterbricht die Strahlen jedes Mal, wenn er durchfährt. Würde der Vorhang den Wagen wie einen Menschen behandeln, würde die Maschine bei jedem Zyklus auslösen und nichts würde sich jemals bewegen. Also brauchst du den Vorhang so, dass er den Wagen durchlässt, ohne seine Schutzwirkung gegenüber Menschen aufzugeben.

Genau dafür ist Muting da.

Warum es Muting überhaupt gibt

Muting ist das bewusste, automatische, vorübergehende Aussetzen einer Sicherheitsfunktion, damit ein erwartetes Objekt eine Schutzeinrichtung passieren kann, ohne die Maschine zu stoppen — während ein Mensch das weiterhin nicht kann. Es ist kein Workaround und kein Trick. Es ist eine definierte Funktion mit eigenen Normen im Rücken: Der Lichtvorhang selbst fällt unter IEC 61496 (berührungslos wirkende Schutzeinrichtungen), und die Anwendung von Muting im Speziellen ist in IEC 62046 geregelt (Einsatz von Schutzeinrichtungen zur Erkennung der Anwesenheit von Personen). Der Performance Level, den die gesamte Sicherheitsfunktion erreichen muss, ist in ISO 13849 verankert.

Der Kniff beim Muting besteht darin, einen Wagen von einem Menschen zu unterscheiden. Das machst du mit Muting-Sensoren — separaten Sensoren, so angeordnet, dass nur das erwartete Objekt, das auf die erwartete Weise ankommt, sie erfüllen kann. Wenn das richtige Muster in der richtigen Reihenfolge kommt, sagt der Controller das ist der Wagen — und mutet. Ein Mensch, der herankommt, kann dieses Muster nicht nachbilden, also bleibt der Vorhang für ihn aktiv.

In diesem Aufbau war es Teil-Muting: Die unteren Strahlen wurden gemutet, damit der Wagen darunter durchrollen konnte, während die oberen Strahlen die ganze Zeit aktiv blieben, um jeden zu schützen, der im Bereich stand. Das Muting selbst wurde von zwei Fotosensoren an einer Fahne ausgelöst — eine L-Muting-Anordnung — die ansprachen, sobald der Wagen hereinkam.

Es lief ewig einwandfrei. Dann nicht mehr.

Der Deadlock

Jemand unterbrach die oberen aktiven Strahlen, während der Wagen noch im Feld stand.

Das ist kein Fehler — das ist der Vorhang bei der Arbeit. Genau dafür sind die oberen Strahlen da. Die OSSD-Ausgänge (die Sicherheitsausgänge, die den Antrieben sagen „ihr dürft euch bewegen”) schalteten ab. Vollkommen korrektes Verhalten.

Und hier verknotet es sich:

• Der DMM4 lässt das Muting in dem Moment fallen, in dem er auslöst. Für sich genommen in Ordnung.
• Aber der Wagen ist immer noch da, blockiert immer noch die unteren Strahlen.
• Ohne Muting sieht der Vorhang den Wagen jetzt also auch als Hindernis. Das ganze Feld wird als blockiert gelesen. Komplett rot.
• Er nimmt keinen Reset an, denn ein Reset will erst das gesamte Feld frei sehen — der Vorhang muss gelb blinken, bevor er eine Quittierung akzeptiert.

Jetzt folge der Schleife. Der Wagen kann sich nicht bewegen, weil die Antriebe ein Sicherheits-OK zum Fahren brauchen. Die Sicherheit kann nicht quittiert werden, weil der Vorhang nicht frei ist. Und der Vorhang kann nicht frei werden, weil der Wagen mittendrin parkt und sich nicht bewegen kann.

Ein echter Deadlock. Der Wagen physisch festsitzend zwischen Sender und Empfänger, und kein Knopf am Schaltschrank, der ihn da rausholt.

Flanke, nicht Pegel

Es hat eine Weile gedauert, das wirklich zu verstehen, statt es nur mit roher Gewalt zu lösen.

Das L-Muting am DMM4 ist flankengesteuert, nicht pegelgesteuert. Diese Unterscheidung ist die ganze Geschichte, also lohnt es sich, dabei genau zu sein:

• Pegelgesteuerte Logik reagiert auf einen Zustand. Solange das Eingangssignal high ist, gilt die Bedingung. Sie achtet darauf, wo das Signal ist.
• Flankengesteuerte Logik reagiert auf einen Übergang. Sie löst bei der Änderung aus — eine steigende Flanke (0 → 1) oder eine fallende Flanke (1 → 0). Sie achtet auf den Moment, in dem sich das Signal bewegt.

Der DMM4 scharfschaltet das Muting auf einer steigenden Flanke der Muting-Sensoren — dem Moment, in dem sie von „kein Wagen” auf „Wagen kommt” wechseln. Das ist normalerweise genau das, was du willst: Es belegt eine frische, sequenzierte Annäherung statt etwas, das einfach nur im Strahl steht.

Aber geh unsere Situation mit diesem Wissen durch. Die OSSD löst aus. Der Wagen fährt nie weg. Also stehen die Muting-Sensoren bereits auf high — sie gingen auf high, als der Wagen ankam, und sind die ganze Zeit über auf high geblieben. Damit das Muting wieder scharf wird, muss der DMM4 eine steigende Flanke sehen. Und es gibt keine steigende Flanke, weil das Signal bereits ganz oben ist. Es kann nicht von einem Pegel steigen, auf dem es schon ist. Keine Flanke, kein Muting, kein Ausweg.

Ich habe es auf die grobe Tour bewiesen: den Wagen von Hand aus dem Feld gezogen und dann wieder hineingefahren. Frische Annäherung, frische steigende Flanke an den Muting-Sensoren — und das Muting kam sofort zurück. Das bestätigte es. Das System war nicht kaputt. Es tat genau das, was flankengesteuerte Logik tut. Es hatte nur keinen Weg zurück in einen gemuteten Zustand ohne einen Übergang, den der Deadlock selbst unmöglich machte.

Der Ein-Knopf-Fix — und das Loch, das er aufriss

Der naheliegende Fix sah sauber aus. Im SICK Safety Designer den vorhandenen Reset-Eingang auf einen Reset-/Override-Eingang umstellen — ein Knopf, und der DMM4 entscheidet anhand des aktuellen Zustands, welcher von beiden er ist. Den festgefahrenen Zustand übersteuern, den Wagen wieder in Bewegung bringen, fertig. Auf dem Papier sauber.

Dann sah ich mir an, was ein Override tatsächlich tut, und es gefiel mir schnell nicht mehr.

Ein Override hält die OSSD grün, solange der Muting-Sensor blockiert bleibt. Er lässt das Override erst fallen, wenn der Sensor 1 → 0 geht — eine fallende Flanke, der Wagen verlässt endlich das Feld. Was in Ordnung ist, sofern das Einzige, was diesen Sensor je blockiert, ein echter Wagen auf dem Weg nach draußen ist.

Aber nichts erzwingt das. Halt irgendetwas vor den Muting-Sensor, und das Override hält die OSSD praktisch endlos grün. Der ganze Vorhang — die oberen Strahlen inklusive, also genau die, die Menschen schützen — überbrückt, auf unbestimmte Zeit, mit einem blockierten Sensor und einem Knopfdruck.

Und beachte die Symmetrie, denn darin steckt die eigentliche Lektion. Der ursprüngliche Deadlock kam aus flankengesteuerter Logik — er brauchte einen Übergang, der nicht verfügbar war. Der Override-Fix ist pegelgesteuert — er bleibt aktiv, solange der Zustand gehalten wird. Ich hatte einen Fehlermodus gegen einen anderen getauscht. Der erste sperrt dich ein, und du kannst es sehen. Der zweite überbrückt deine Absicherung, und du kannst es nicht sehen. Das ist ein eindeutig schlechterer Tausch.

Warum das Override der falsche Fix ist

Ich habe deswegen sogar bei SICK angerufen, um es durchzusprechen, und ich fand nie eine Antwort, die mir gefiel — keine, die das Loch schloss, ohne irgendeine Version des ursprünglichen Problems wieder einzuführen.

Genau deshalb ist das Ein-Knopf-Override der falsche Tausch. Ein sichtbarer Stopp, bei dem jemand das Feld physisch freiräumen muss, ist lästig. Eine stille, festhaltbare Überbrückung einer Schutzeinrichtung, die Menschen schützt, ist eine ganz andere Kategorie von Ding — nichts, das es wert wäre, eingebaut zu werden, um ein paar Sekunden Wiederanlaufzeit zu sparen.

Was es mich über Muting-Design gelehrt hat

Ich sage es ehrlich: Ich habe nie einen Fix gefunden, der mir wirklich gefiel, und ich glaube nach wie vor, dass es da draußen eine sauberere Antwort gibt, die ich nicht erreicht habe. Vor die Wahl gestellt, nähme ich jedes Mal einen sichtbaren, behebbaren Stopp gegenüber einer Überbrückung, die man offen halten kann.

Aber ich ging mit einem Verständnis von Muting daraus hervor, das mir kein Datenblatt beigebracht hatte. Muting ist ein bewusstes Loch in deiner Sicherheitsfunktion. Das ist keine Kritik — es ist der ganze Sinn der Sache, und es ist eine legitime, normierte Vorgehensweise. Die Disziplin besteht darin, dieses Loch eng begrenzt zu halten: begrenzt durch Sensorlogik, durch Reihenfolge, durch Geometrie, durch Zeit, damit es sich nicht vortäuschen und nicht offen halten lässt. Jede „Bequemlichkeit”, die du dranschraubst, um aus einem unangenehmen Sonderfall wieder herauszukommen, ist ein Kandidat dafür, dieses Loch zu vergrößern — und das Override war ein perfektes Beispiel: Es löste eine echte Lästigkeit, indem es klammheimlich die Begrenzung entfernte.

Und das, was ich jedem mitgeben würde, der Muting zum ersten Mal einrichtet: Flanke versus Pegel ist keine Fußnote. Es ist das tatsächliche Verhalten deiner Sicherheitsfunktion unter den Bedingungen, die du nicht eingeplant hast. Flankengesteuerte Logik kann dich stranden lassen, wenn der Übergang, auf den du wartest, nicht passieren kann. Pegelgesteuerte Logik kann einen gefährlichen Zustand offen halten, solange irgendetwas ihn high hält. Beide sind korrekt. Beide werden dich beißen. Zu wissen, welche von beiden du gebaut hast, und genau, was mit ihr passiert, wenn die Maschine irgendwo landet, das du dir nicht vorgestellt hast — das ist der Großteil des Jobs.

Der Wagen kam raus. Den eleganten Fix, den ich wollte, habe ich nie gefunden — aber ich vertraue dem Muting jetzt sehr viel mehr, gerade weil ich genau weiß, wo seine Kanten liegen.