Le blocage de muting qui a enfermé un chariot dans son propre champ de sécurité

Une barrière immatérielle a une seule mission : arrêter la machine quand une personne se trouve là où elle ne devrait pas être. Sur une installation de muting sur laquelle j’ai travaillé, elle a rempli cette mission. Elle a aussi piégé le chariot qu’elle était précisément conçue pour laisser passer.

Ce que nous protégions

Un chariot de transport faisait des allers-retours à travers une zone protégée. La protection était une barrière immatérielle SICK deTec4 avec un contrôleur de muting DMM4 qui injectait le signal de sécurité dans un automate Siemens.

Une barrière immatérielle devant un chariot en mouvement pose un problème évident. Le chariot coupe les faisceaux à chaque passage. Si la barrière traite le chariot comme une personne, la machine déclenche à chaque cycle et plus rien ne bouge. La barrière doit laisser passer le chariot et continuer d’attraper les personnes. C’est ce que fait le muting.

Pourquoi le muting existe

Le muting est la suspension délibérée, automatique et temporaire d’une fonction de sécurité, pour qu’un objet attendu puisse traverser un dispositif de protection sans arrêter la machine, alors qu’une personne, elle, ne le peut toujours pas. C’est une fonction définie, avec des normes derrière elle. La barrière immatérielle elle-même relève de la norme IEC 61496, l’application du muting est couverte par IEC 62046, et le niveau de performance que l’ensemble de la fonction de sécurité doit atteindre vient d’ISO 13849.

Distinguer un chariot d’une personne se fait avec des capteurs de muting. Des capteurs distincts, agencés de sorte que seul l’objet attendu, arrivant de la manière attendue, puisse les satisfaire. Le bon motif dans le bon ordre et le contrôleur décide que c’est le chariot, et il mute. Une personne qui s’approche ne peut pas reproduire ce motif, alors la barrière reste active pour elle.

Chez nous, c’était du muting partiel. Les faisceaux inférieurs étaient mutés pour que le chariot puisse rouler dessous. Les faisceaux supérieurs restaient actifs en permanence. Le muting lui-même était déclenché par deux cellules photoélectriques sur un fanion, un agencement L-muting, qui se déclenchaient à l’arrivée du chariot.

Le blocage

Quelqu’un a coupé les faisceaux supérieurs alors que le chariot était encore stationné dans le champ. C’est la barrière qui fonctionne. Les faisceaux supérieurs sont là exactement pour ça. Les sorties OSSD, les sorties de sécurité qui disent aux variateurs qu’ils ont le droit de bouger, se sont coupées. Comportement correct.

Le DMM4 abandonne le muting à l’instant où il se déclenche. Mais le chariot est toujours là, il bloque encore les faisceaux inférieurs. Le muting parti, la barrière voit le chariot comme une obstruction lui aussi, et tout le champ est lu comme bloqué. Elle n’accepte pas non plus de reset. Un reset veut d’abord l’ensemble du champ dégagé, et la barrière doit afficher un jaune clignotant avant d’accepter un acquittement.

Donc le chariot ne peut pas bouger, parce que les variateurs ont besoin d’un OK de sécurité pour fonctionner. La sécurité ne peut pas être acquittée, parce que la barrière n’est pas dégagée. La barrière ne peut pas se dégager, parce que le chariot est garé en plein milieu. Le chariot est resté coincé entre l’émetteur et le récepteur, et aucun bouton de l’armoire ne l’en sort.

Front, et non niveau

Il m’a fallu un moment pour comprendre ça vraiment, au lieu de m’en sortir par la force brute.

Le L-muting du DMM4 est déclenché sur front, pas sur niveau. La logique déclenchée sur niveau agit sur l’endroit où se trouve un signal : tant que l’entrée est haute, la condition tient. La logique déclenchée sur front agit sur le changement lui-même, l’instant où le signal passe de 0 à 1 ou de 1 à 0.

Le DMM4 arme le muting sur un front montant des capteurs de muting, l’instant où ils passent de « pas de chariot » à « chariot qui arrive ». Normalement, c’est exactement ce qu’on veut. Ça prouve une approche fraîche et séquencée, plutôt que quelque chose simplement posé dans le faisceau.

Dans notre cas, le chariot n’est jamais reparti. Les capteurs de muting sont passés au niveau haut à son arrivée et y sont restés tout du long. Pour se réarmer, le DMM4 a besoin de voir un front montant, et un signal déjà haut n’a pas de front à donner. Pas de front, pas de muting, pas de sortie.

Je l’ai prouvé de la manière brutale. J’ai sorti le chariot du champ à la main, puis je l’ai fait revenir. Approche fraîche, front montant frais, et le muting est revenu aussitôt. Cela l’a confirmé. Le DMM4 faisait exactement ce que fait une logique déclenchée sur front. Il n’avait aucun chemin de retour vers un état muté sans une transition que le blocage rendait impossible.

La correction à un bouton

La correction évidente avait l’air propre. Dans SICK Safety Designer, basculer l’entrée de reset existante en entrée reset/override. Un bouton, et le DMM4 décide de laquelle il s’agit à partir de l’état courant. On override la condition de blocage, le chariot repart, terminé.

Puis j’ai regardé ce que fait réellement un override. Un override maintient l’OSSD au vert aussi longtemps que le capteur de muting reste bloqué. Il lâche quand le capteur passe de 1 à 0, le chariot quittant enfin les lieux. Très bien, si la seule chose qui bloque un jour ce capteur est un vrai chariot en train de sortir. Mais rien ne l’impose. Maintenez n’importe quoi devant le capteur de muting et l’override garde l’OSSD au vert pour ainsi dire indéfiniment (ou au moins pendant une durée prolongée, je n’ai jamais testé s’il finit par expirer). Toute la barrière, faisceaux supérieurs compris, contournée avec un capteur bloqué et une pression sur un bouton.

Pourquoi l’override est la mauvaise correction

J’ai appelé SICK pour en discuter et je n’ai jamais trouvé de réponse qui referme la faille sans réintroduire une version du problème d’origine. Un arrêt visible qui oblige quelqu’un à dégager physiquement le champ, c’est agaçant. Un contournement silencieux d’une protection qui protège des personnes, un contournement qu’on peut maintenir ouvert, c’est une tout autre catégorie de problème. Pas de quoi l’intégrer par conception pour économiser quelques secondes de récupération.

Ce que nous avons fini par faire

Nous n’avons jamais corrigé le muting. Nous avons donné une porte de sortie aux opérateurs à la place. Il y a un bypass sur l’HMI qui autorise le variateur du chariot uniquement, quoi que fassent l’OSSD ou le reste de la sécurité. Il déplace le chariot, lentement, et rien d’autre. Ça suffit pour le sortir du champ et laisser la barrière se dégager toute seule.

Pas élégant. Mais c’est borné, et c’est ça qui compte. Il ne peut pas maintenir la protection ouverte et il ne peut pas faire tourner la production. La seule chose qu’il déplace, c’est celle qui est coincée.

Le muting est un trou délibéré dans votre fonction de sécurité. C’est tout son intérêt, et les normes l’autorisent. Le travail consiste à garder ce trou strictement borné, par les capteurs, la séquence, la géométrie et le temps, pour qu’il ne puisse être ni ouvert frauduleusement ni maintenu ouvert. L’override résolvait un agacement réel en supprimant discrètement cette limite.

Le reste, c’est une leçon sur la connaissance de son matériel. Pas ce qu’il fait quand tout se passe comme prévu, mais ce qu’il fait en dessous. Front ou niveau décide du comportement de votre logique dans la situation que vous n’aviez pas prévue. La logique déclenchée sur front vous laisse en plan quand la transition que vous attendez ne peut pas se produire. La logique déclenchée sur niveau maintient un état dangereux ouvert tant que quelque chose le garde au niveau haut. Sachez-le d’avance et vous le voyez venir. Sinon, vous l’apprenez avec un chariot garé en plein milieu d’une barrière immatérielle.

---

Découvrez comment cela s’aligne avec notre vision et nos fondements

Lire la suite sur tianengineering.com — https://tianengineering.com/articles/muting-deadlock-light-curtain-fr/