Le blocage de muting qui a enfermé un chariot dans son propre champ de sécurité

Une barrière immatérielle a exactement une mission : arrêter la machine quand une personne se trouve là où elle ne devrait pas être. Sur une installation de muting sur laquelle j’ai travaillé, elle a rempli cette mission à la perfection. Et ce faisant, elle a piégé le chariot qu’elle était précisément conçue pour laisser passer.

Ceci est la version longue de quelque chose que j’ai publié, parce que la version courte ne laisse pas de place à la partie qui compte vraiment — pourquoi c’est arrivé, et pourquoi la correction évidente s’est révélée pire que le problème. Si vous exploitez du muting où que ce soit, c’est un piège qui vaut la peine d’être compris avant de le rencontrer sur une machine en service plutôt qu’après.

Ce que nous protégions

Un chariot de transport faisait des allers-retours à travers une zone protégée. La protection était une barrière immatérielle SICK deTec4 avec un contrôleur de muting DMM4 injectant le signal de sécurité dans un automate Siemens.

Le problème de placer une barrière immatérielle devant un chariot en mouvement est évident : le chariot coupe les faisceaux à chaque passage. Si la barrière traitait le chariot comme une personne, la machine déclencherait à chaque cycle et plus rien ne bougerait jamais. Il faut donc que la barrière laisse passer le chariot sans baisser sa garde face aux personnes.

C’est à cela que sert le muting.

Pourquoi le muting existe

Le muting est la suspension délibérée, automatique et temporaire d’une fonction de sécurité afin qu’un objet attendu puisse traverser un dispositif de protection sans arrêter la machine — tandis qu’une personne, elle, ne le peut toujours pas. Ce n’est ni un contournement ni une astuce. C’est une fonction définie, avec ses propres normes derrière elle : la barrière immatérielle elle-même relève de la norme IEC 61496 (équipements de protection électrosensibles), et l’application du muting en particulier est couverte par la norme IEC 62046 (application d’équipements de protection pour la détection de la présence de personnes). Le niveau de performance que l’ensemble de la fonction de sécurité doit atteindre se trouve, lui, dans la norme ISO 13849.

Toute la difficulté du muting consiste à distinguer un chariot d’une personne. On y parvient grâce à des capteurs de muting — des capteurs distincts, agencés de sorte que seul l’objet attendu, arrivant de la manière attendue, puisse les satisfaire. Obtenez le bon motif dans le bon ordre et le contrôleur dit c’est le chariot, et il mute. Une personne qui s’approche ne peut pas reproduire ce motif, alors la barrière reste active pour elle.

Sur cette installation, il s’agissait de muting partiel : les faisceaux inférieurs étaient mutés pour que le chariot puisse rouler dessous, tandis que les faisceaux supérieurs restaient actifs en permanence pour protéger quiconque se tiendrait dans la zone. Le muting lui-même était déclenché par deux cellules photoélectriques sur un fanion — un agencement L-muting — qui se déclenchaient à l’arrivée du chariot.

Ça a fonctionné sans accroc pendant longtemps. Puis non.

Le blocage

Quelqu’un a coupé les faisceaux supérieurs actifs alors que le chariot était encore stationné dans le champ.

Ce n’est pas un défaut — c’est la barrière qui fonctionne. Les faisceaux supérieurs sont là exactement pour cela. Les sorties OSSD (les sorties de sécurité qui disent aux variateurs « vous avez le droit de bouger ») se sont coupées. Comportement parfaitement correct.

Et c’est là que tout se noue :

• Le DMM4 abandonne le muting à l’instant où il se déclenche. Très bien en soi.
• Mais le chariot est toujours là, bloquant encore les faisceaux inférieurs.
• Donc, le muting disparu, la barrière voit désormais le chariot comme une obstruction lui aussi. L’ensemble du champ est lu comme bloqué. Rouge total.
• Elle n’accepte pas de reset, parce qu’un reset veut d’abord voir l’ensemble du champ dégagé — la barrière doit afficher un jaune clignotant avant d’accepter un acquittement.

Suivez maintenant la boucle. Le chariot ne peut pas bouger, parce que les variateurs ont besoin d’un OK de sécurité pour fonctionner. La sécurité ne peut pas être acquittée, parce que la barrière n’est pas dégagée. Et la barrière ne peut pas se dégager, parce que le chariot est garé en plein milieu et ne peut pas bouger.

Un vrai blocage. Le chariot physiquement coincé entre l’émetteur et le récepteur, et aucun bouton sur l’armoire pour l’en sortir.

Front, et non niveau

Il m’a fallu un certain temps pour vraiment comprendre cela, plutôt que de m’en sortir par la force brute.

Le L-muting sur le DMM4 est déclenché sur front, pas déclenché sur niveau. Cette distinction, c’est toute l’histoire, alors elle mérite qu’on soit précis :

• La logique déclenchée sur niveau agit sur un état. Tant que l’entrée est haute, la condition tient. Elle se soucie de l’endroit où le signal se trouve.
• La logique déclenchée sur front agit sur une transition. Elle se déclenche sur le changement — un front montant (0 → 1) ou un front descendant (1 → 0). Elle se soucie de l’instant où le signal bouge.

Le DMM4 arme le muting sur un front montant des capteurs de muting — l’instant où ils passent de « pas de chariot » à « chariot qui arrive ». C’est normalement exactement ce que l’on veut : cela prouve une approche fraîche et séquencée, plutôt que quelque chose simplement posé dans le faisceau.

Mais reprenez notre situation avec cela en tête. L’OSSD se coupe. Le chariot ne part jamais. Les capteurs de muting sont donc déjà au niveau haut — ils sont passés au niveau haut à l’arrivée du chariot et y sont restés tout du long. Pour que le muting se réarme, le DMM4 a besoin de voir un front montant. Et aucun front montant n’est disponible, parce que le signal est déjà au sommet. Il ne peut pas monter depuis un niveau où il se trouve déjà. Pas de front, pas de muting, pas de sortie.

Je l’ai prouvé de la manière brutale : j’ai sorti le chariot du champ à la main, puis je l’ai fait revenir. Approche fraîche, front montant frais sur les capteurs de muting — et le muting est revenu aussitôt. Cela l’a confirmé. Le système n’était pas en panne. Il faisait précisément ce que fait une logique déclenchée sur front. Il n’avait simplement aucun chemin de retour vers un état muté sans une transition que le blocage lui-même rendait impossible.

La correction à un bouton — et la faille qu’elle a ouverte

La correction évidente avait l’air propre. Dans SICK Safety Designer, basculer l’entrée de reset existante en une entrée reset/override — un seul bouton, et le DMM4 décide laquelle des deux c’est en fonction de l’état courant. On override la condition de blocage, on remet le chariot en mouvement, terminé. Propre sur le papier.

Puis j’ai regardé ce que fait réellement l’override, et j’ai vite cessé d’apprécier.

Un override maintient l’OSSD au vert aussi longtemps que le capteur de muting reste bloqué. Il ne lâche l’override que lorsque le capteur passe de 1 → 0 — un front descendant, le chariot quittant enfin les lieux. Ce qui est très bien si la seule chose qui bloque un jour ce capteur est un vrai chariot en train de sortir.

Mais rien n’y oblige. Maintenez n’importe quoi devant le capteur de muting et l’override garde l’OSSD au vert pour ainsi dire indéfiniment. Toute la barrière — faisceaux supérieurs compris, ceux qui protègent les personnes — contournée, indéfiniment, avec un capteur bloqué et une pression sur un bouton.

Et remarquez la symétrie, car c’est là que se cache la vraie leçon. Le blocage initial venait d’une logique déclenchée sur front — il lui fallait une transition qui n’était pas disponible. La correction par override est déclenchée sur niveau — elle reste active tant que l’état est maintenu. J’avais échangé un mode de défaillance contre un autre. Le premier vous piège et vous le voyez. Le second contourne votre protection et vous ne le voyez pas. C’est un échange strictement pire.

Pourquoi l’override est la mauvaise correction

J’ai même appelé SICK pour en discuter, et je n’ai jamais trouvé de réponse qui me plaise — aucune qui referme la faille sans réintroduire une version de l’autre problème.

C’est pour cela que l’override à un bouton est le mauvais compromis. Un arrêt visible qui nécessite que quelqu’un dégage physiquement le champ, c’est agaçant. Un contournement silencieux et maintenable d’une protection qui protège des personnes, c’est une tout autre catégorie de chose — pas quelque chose qu’il vaille la peine d’intégrer par conception pour économiser quelques secondes de temps de récupération.

Ce que cela m’a appris sur la conception du muting

Je serai honnête : je n’ai jamais trouvé de correction qui me plaise vraiment, et je continue de penser qu’il existe une réponse plus propre que je n’ai pas atteinte. Devant le choix, je prendrais à chaque fois un arrêt visible et récupérable plutôt qu’un contournement qu’on peut maintenir ouvert.

Mais j’en suis ressorti en comprenant le muting d’une manière qu’aucune fiche technique ne m’avait enseignée. Le muting est un trou délibéré dans votre fonction de sécurité. Ce n’est pas une critique — c’est précisément son but, et c’est une démarche légitime et normalisée. La discipline consiste à garder ce trou strictement délimité : délimité par la logique des capteurs, par la séquence, par la géométrie, par le temps, de sorte qu’il ne puisse pas être ouvert frauduleusement et qu’il ne puisse pas être maintenu ouvert. Chaque « commodité » que vous boulonnez dessus pour vous sortir d’un cas limite embarrassant est une candidate à élargir ce trou, et l’override en était l’exemple parfait : il résolvait un agacement réel en supprimant discrètement la limite.

Et voici ce que je dirais à quiconque met en place du muting pour la première fois : front contre niveau, ce n’est pas une note de bas de page. C’est le comportement réel de votre fonction de sécurité dans les conditions que vous n’aviez pas prévues. La logique déclenchée sur front peut vous laisser en plan quand la transition que vous attendez ne peut pas se produire. La logique déclenchée sur niveau peut maintenir un état dangereux ouvert tant que quelque chose le garde au niveau haut. Les deux sont correctes. Les deux vous mordront. Savoir laquelle vous avez construite, et exactement ce qui lui arrive quand la machine se retrouve quelque part que vous n’aviez pas imaginé, c’est l’essentiel du métier.

Le chariot est sorti. Je n’ai jamais trouvé la correction élégante que je cherchais — mais je fais bien plus confiance au muting aujourd’hui, précisément parce que je sais exactement où se trouvent ses limites.