El bloqueo de muting que dejó un carro atrapado dentro de su propio campo de seguridad

Una barrera fotoeléctrica tiene un solo trabajo: parar la máquina cuando una persona está donde no debería. En una instalación de muting en la que trabajé, hizo ese trabajo. También atrapó el carro que estaba construida específicamente para dejar pasar.

Un carro de transporte cargado detenido en el hueco de una valla de malla gris, a medio camino entre las dos columnas amarillas de la cortina óptica montadas en los postes de la valla, en una nave de producción moderna y luminosa

Qué estábamos protegiendo

Un carro de transporte iba y venía a través de una zona protegida. La protección era una barrera fotoeléctrica SICK deTec4 con un controlador de muting DMM4 que metía la señal de seguridad en un PLC de Siemens.

Una barrera delante de un carro en movimiento tiene un problema evidente. El carro corta los haces cada vez que pasa. Si la barrera trata al carro como a una persona, la máquina dispara en cada ciclo y no se mueve nada. La barrera tiene que dejar pasar el carro y seguir detectando personas. Para eso está el muting.

Por qué existe el muting

El muting es la suspensión deliberada, automática y temporal de una función de seguridad para que un objeto previsto pueda atravesar un dispositivo de protección sin parar la máquina, mientras que una persona sigue sin poder. Es una función definida y con normas detrás. La barrera fotoeléctrica en sí entra en la IEC 61496, la aplicación del muting la cubre la IEC 62046, y el nivel de prestaciones que tiene que alcanzar el conjunto de la función de seguridad sale de la ISO 13849.

Distinguir un carro de una persona se hace con sensores de muting. Sensores aparte, dispuestos de modo que solo el objeto previsto, llegando de la forma prevista, pueda satisfacerlos. Patrón correcto en el orden correcto y el controlador decide que es el carro y aplica el muting. Una persona que se acerca andando no puede reproducir ese patrón, así que para ella la barrera sigue activa.

El nuestro era muting parcial. Los haces inferiores se silenciaban para que el carro pudiera pasar rodando por debajo. Los haces superiores seguían activos todo el tiempo. El muting lo disparaban dos fotocélulas montadas en una pletina, una disposición L-muting, que se activaban a medida que entraba el carro.

El bloqueo

Alguien cortó los haces superiores mientras el carro seguía parado dentro del campo. Eso es la barrera funcionando. Los haces superiores existen exactamente para esto. Las salidas OSSD, las salidas de seguridad que les dicen a los accionamientos que tienen permiso para moverse, se dispararon. Comportamiento correcto.

El DMM4 suelta el muting en el instante en que dispara. Pero el carro sigue ahí, todavía bloqueando los haces inferiores. Sin muting, la barrera ve el carro también como una obstrucción, y todo el campo se lee como bloqueado. Tampoco acepta un reset. Un reset quiere primero todo el campo despejado, y la barrera tiene que mostrar amarillo parpadeante antes de aceptar un reconocimiento.

Así que el carro no puede moverse, porque los accionamientos necesitan el OK de seguridad para funcionar. La seguridad no puede reconocerse, porque la barrera no está despejada. La barrera no puede despejarse, porque el carro está aparcado en mitad de ella. El carro se quedó atascado entre el emisor y el receptor, y ningún botón del armario lo saca de ahí.

Flanco, no nivel

Esto me llevó un rato entenderlo de verdad, en lugar de resolverlo a la fuerza bruta.

El L-muting del DMM4 está disparado por flanco, no por nivel. La lógica disparada por nivel actúa sobre dónde está la señal: mientras la entrada esté en alto, la condición se mantiene. La lógica disparada por flanco actúa sobre el cambio en sí, el momento en que la señal pasa de 0 a 1 o de 1 a 0.

Dos diagramas de onda cuadrada superpuestos. En el de arriba, etiquetado LEVEL, toda la parte alta del pulso está sombreada en azul. En el de abajo, etiquetado EDGE, el mismo pulso solo lleva dos barras azules estrechas, una en el flanco ascendente y otra en el descendente

El DMM4 arma el muting con un flanco ascendente de los sensores de muting, el momento en que pasan de «no hay carro» a «llega el carro». Normalmente eso es exactamente lo que quieres. Demuestra una aproximación nueva y secuenciada, en lugar de algo que simplemente está parado dentro del haz.

En nuestro caso el carro no se fue nunca. Los sensores de muting se pusieron en alto cuando llegó y se quedaron en alto todo el tiempo. Para rearmarse, el DMM4 necesita ver un flanco ascendente, y una señal que ya está en alto no tiene ningún flanco que dar. Sin flanco, no hay muting, y no hay salida.

Lo demostré de la forma más burda. Saqué el carro del campo a mano y luego lo volví a meter. Aproximación nueva, flanco ascendente nuevo, y el muting volvió de inmediato. Eso lo confirmó. El DMM4 hacía exactamente lo que hace la lógica disparada por flanco. No tenía ningún camino de vuelta a un estado de muting sin una transición que el propio bloqueo hacía imposible.

El arreglo de un botón

El arreglo evidente parecía limpio. En SICK Safety Designer, convertir la entrada de reset existente en una entrada de reset/override. Un solo botón, y el DMM4 decide cuál de los dos es según el estado actual. Hacer override de la condición atascada, poner el carro en marcha, listo.

Luego miré lo que hace en realidad el override. Un override mantiene la OSSD en verde mientras el sensor de muting siga bloqueado. Se suelta cuando el sensor pasa de 1 a 0, el carro saliendo por fin. Bien, si lo único que llega a bloquear ese sensor es un carro de verdad de camino a la salida. Pero nada obliga a eso. Pon cualquier cosa delante del sensor de muting y el override mantiene la OSSD en verde básicamente para siempre (o al menos durante un buen rato, nunca llegué a probar si expira). Toda la barrera, haces superiores incluidos, puenteada con un sensor bloqueado y una pulsación de botón.

Por qué el override es el arreglo equivocado

Llamé a SICK para comentarlo y nunca encontré una respuesta que cerrara el agujero sin reintroducir alguna versión del problema original. Un paro visible que necesita que alguien despeje físicamente el campo es molesto. Un puenteo silencioso de una protección que cuida a las personas, uno que además puedes mantener abierto, es un problema de otra categoría. No merece la pena diseñarlo a propósito para ahorrar unos segundos de recuperación.

Dónde acabamos

Nunca arreglamos el muting. Lo que hicimos fue darles a los operarios una salida. Hay un bypass en el HMI que habilita el accionamiento solo del carro, haga lo que haga la OSSD o el resto de la seguridad. Mueve el carro, despacio, y nada más. Con eso basta para sacarlo del campo y dejar que la barrera se despeje sola.

No es elegante. Pero está acotado, y esa es la parte que importa. No puede mantener la protección abierta y no puede mantener la producción en marcha. Lo único que mueve es lo que está atascado.

El muting es un agujero deliberado en tu función de seguridad. Esa es toda su razón de ser, y las normas lo permiten. El trabajo consiste en mantener ese agujero bien acotado —por los sensores, por la secuencia, por la geometría y por el tiempo— para que no se pueda forzar para abrirlo ni se pueda mantener abierto. El override resolvía una molestia real eliminando discretamente ese límite.

El resto es una lección sobre conocer tu material. No lo que hace cuando todo sale según lo previsto, sino lo que hace por debajo. Flanco o nivel decide cómo se comporta tu lógica en la situación que no planificaste. La lógica disparada por flanco te deja tirado cuando la transición que esperas no puede ocurrir. La lógica disparada por nivel mantiene abierto un estado peligroso mientras algo lo sostenga en alto. Ten eso claro de entrada y ves esto venir. Si no, te enteras con un carro aparcado en mitad de una barrera fotoeléctrica.

Descubre cómo esto encaja con nuestra visión y esencia

Lee más en tianengineering.com — https://tianengineering.com/articles/muting-deadlock-light-curtain-es/