Der Muting-Deadlock, der einen Wagen in seinem eigenen Schutzfeld einsperrte

Ein Lichtvorhang hat eine Aufgabe: die Maschine stoppen, wenn ein Mensch dort ist, wo er nicht sein soll. Bei einem Muting-Aufbau, an dem ich gearbeitet habe, tat er genau das. Und sperrte dabei den Wagen ein, den er ausdrücklich durchlassen sollte.

Was wir abgesichert haben

Ein Transportwagen fuhr hin und her durch einen Schutzbereich. Abgesichert war der mit einem SICK deTec4-Lichtvorhang und einem DMM4-Muting-Controller, der das Sicherheitssignal in eine Siemens-SPS gab.

Ein Lichtvorhang vor einem fahrenden Wagen hat ein offensichtliches Problem. Der Wagen unterbricht die Strahlen bei jeder Durchfahrt. Behandelt der Vorhang den Wagen wie einen Menschen, löst die Maschine in jedem Zyklus aus und nichts bewegt sich. Der Vorhang muss den Wagen durchlassen und trotzdem Menschen erkennen. Genau das macht Muting.

Warum es Muting gibt

Muting ist das bewusste, automatische, vorübergehende Aussetzen einer Sicherheitsfunktion, damit ein erwartetes Objekt eine Schutzeinrichtung passieren kann, ohne die Maschine zu stoppen, während ein Mensch das weiterhin nicht kann. Das ist eine definierte Funktion mit Normen im Rücken. Der Lichtvorhang selbst fällt unter IEC 61496, die Anwendung von Muting ist in IEC 62046 geregelt, und der Performance Level, den die gesamte Sicherheitsfunktion erreichen muss, kommt aus ISO 13849.

Einen Wagen von einem Menschen zu unterscheiden, machst du mit Mutingsensoren. Separate Sensoren, so angeordnet, dass nur das erwartete Objekt sie erfüllen kann, und nur, wenn es auf die erwartete Weise ankommt. Richtiges Muster in der richtigen Reihenfolge, und der Controller entscheidet, dass es der Wagen ist, und mutet. Ein Mensch, der herankommt, kann dieses Muster nicht nachbilden. Für ihn bleibt der Vorhang aktiv.

Bei uns war es Teilmuting. Die unteren Strahlen wurden gemutet, damit der Wagen darunter durchrollen konnte. Die oberen Strahlen blieben die ganze Zeit aktiv. Ausgelöst wurde das Muting von zwei Fotosensoren an einer Fahne, einer L-Muting-Anordnung, die ansprachen, sobald der Wagen hereinkam.

Der Deadlock

Jemand unterbrach die oberen Strahlen, während der Wagen noch im Feld stand. Das ist der Vorhang bei der Arbeit. Genau dafür sind die oberen Strahlen da. Die OSSD-Ausgänge, also die Sicherheitsausgänge, die den Antrieben sagen, dass sie fahren dürfen, schalteten ab. Korrektes Verhalten.

Der DMM4 lässt das Muting in dem Moment fallen, in dem er auslöst. Aber der Wagen steht immer noch da und blockiert immer noch die unteren Strahlen. Ohne Muting sieht der Vorhang auch den Wagen als Hindernis, und das ganze Feld gilt als blockiert. Einen Reset nimmt er auch nicht an. Ein Reset will erst das gesamte Feld frei sehen, und der Vorhang muss gelb blinken, bevor er eine Quittierung akzeptiert.

Der Wagen kann sich also nicht bewegen, weil die Antriebe ein Sicherheits-OK zum Fahren brauchen. Die Sicherheit lässt sich nicht quittieren, weil der Vorhang nicht frei ist. Der Vorhang wird nicht frei, weil der Wagen mittendrin parkt. Der Wagen stand fest zwischen Sender und Empfänger, und kein Knopf am Schaltschrank holt ihn da raus.

Flanke, nicht Pegel

Es hat eine Weile gedauert, bis ich das wirklich verstanden hatte, statt es nur mit roher Gewalt zu lösen.

Das L-Muting am DMM4 ist flankengesteuert, nicht pegelgesteuert. Pegelgesteuerte Logik reagiert darauf, wo ein Signal steht: solange der Eingang high ist, gilt die Bedingung. Flankengesteuerte Logik reagiert auf die Änderung selbst, auf den Moment, in dem das Signal von 0 auf 1 oder von 1 auf 0 geht.

Der DMM4 schaltet das Muting auf einer steigenden Flanke der Mutingsensoren scharf, in dem Moment, in dem sie von „kein Wagen“ auf „Wagen kommt“ wechseln. Normalerweise ist das genau das, was du willst. Es belegt eine frische, sequenzierte Annäherung statt etwas, das einfach nur im Strahl steht.

Bei uns fuhr der Wagen nie weg. Die Mutingsensoren gingen auf high, als er ankam, und blieben die ganze Zeit auf high. Zum Wiederscharfschalten muss der DMM4 eine steigende Flanke sehen, und ein Signal, das schon high ist, hat keine Flanke mehr herzugeben. Keine Flanke, kein Muting, kein Ausweg.

Ich habe es auf die grobe Tour bewiesen. Den Wagen von Hand aus dem Feld gezogen und wieder hineingefahren. Frische Annäherung, frische steigende Flanke, und das Muting kam sofort zurück. Damit war es bestätigt. Der DMM4 tat genau das, was flankengesteuerte Logik tut. Er hatte keinen Weg zurück in einen gemuteten Zustand ohne einen Übergang, den der Deadlock unmöglich machte.

Der Ein-Knopf-Fix

Der naheliegende Fix sah sauber aus. Im SICK Safety Designer den vorhandenen Reset-Eingang auf einen Reset-/Override-Eingang umstellen. Ein Knopf, und der DMM4 entscheidet anhand des aktuellen Zustands, welcher von beiden er gerade ist. Den festgefahrenen Zustand übersteuern, den Wagen wieder in Bewegung bringen, fertig.

Dann sah ich mir an, was ein Override tatsächlich tut. Ein Override hält die OSSD grün, solange der Mutingsensor blockiert bleibt. Es fällt weg, wenn der Sensor von 1 auf 0 geht, wenn der Wagen also endlich rausfährt. In Ordnung, sofern das Einzige, was diesen Sensor je blockiert, ein echter Wagen auf dem Weg nach draußen ist. Aber nichts erzwingt das. Halt irgendetwas vor den Mutingsensor, und das Override hält die OSSD praktisch endlos grün (oder zumindest sehr lange, ich habe nie getestet, ob es irgendwann abläuft). Der ganze Vorhang, obere Strahlen inklusive, überbrückt mit einem blockierten Sensor und einem Knopfdruck.

Warum das Override der falsche Fix ist

Ich habe bei SICK angerufen, um es durchzusprechen, und fand nie eine Antwort, die das Loch schloss, ohne irgendeine Version des ursprünglichen Problems wieder einzuführen. Ein sichtbarer Stopp, bei dem jemand das Feld physisch freiräumen muss, ist lästig. Eine stille Überbrückung einer Schutzeinrichtung, die Menschen schützt, eine, die man offen halten kann, ist eine ganz andere Kategorie von Problem. Nichts, das man einbaut, um ein paar Sekunden Wiederanlaufzeit zu sparen.

Wo wir gelandet sind

Das Muting haben wir nie repariert. Wir haben den Bedienern stattdessen einen Ausweg gegeben. Auf dem HMI gibt es einen Bypass, der nur den Antrieb für den Wagen freigibt, egal was die OSSD oder der Rest der Sicherheit gerade macht. Er fährt den Wagen, langsam, und sonst nichts. Das reicht, um ihn aus dem Feld zu fahren und den Vorhang von selbst frei werden zu lassen.

Nicht elegant. Aber begrenzt, und darauf kommt es an. Er kann die Schutzeinrichtung nicht offen halten und er kann die Produktion nicht weiterlaufen lassen. Das Einzige, was er bewegt, ist das, was feststeckt.

Muting ist ein bewusstes Loch in deiner Sicherheitsfunktion. Das ist der ganze Sinn der Sache, und die Normen erlauben es. Die Aufgabe ist, dieses Loch eng begrenzt zu halten, durch die Sensoren, die Reihenfolge, die Geometrie und die Zeit, damit es sich nicht vortäuschen und nicht offen halten lässt. Das Override löste eine echte Lästigkeit, indem es diese Begrenzung klammheimlich entfernte.

Der Rest ist eine Lektion darüber, seine Technik zu kennen. Nicht, was sie tut, wenn alles nach Plan läuft, sondern was sie darunter tut. Flanke oder Pegel entscheidet, wie sich deine Logik in der Situation verhält, die du nie eingeplant hast. Flankengesteuerte Logik lässt dich stranden, wenn der Übergang, auf den du wartest, nicht passieren kann. Pegelgesteuerte Logik hält einen gefährlichen Zustand offen, solange irgendetwas ihn high hält. Weißt du das vorher, siehst du das kommen. Weißt du es nicht, erfährst du es mit einem Wagen mitten im Lichtvorhang.

---

Erfahre, wie das zu unserer Vision und unserem Kern passt

Mehr lesen auf tianengineering.com — https://tianengineering.com/articles/muting-deadlock-light-curtain-de/