Die Erfindung betrifft eine Personentransportanlage gemäss dem Oberbegriff des Anspruchs 1.

Personentransportanlagen werden meist dazu eingesetzt, in Gebäuden oder Bauwerken Personen oder Gegenstände zu befördern. Eine Personentransportanlage kann beispielsweise als Aufzuganlage ausgebildet sein. Alternativ kann eine Personentransportanlage als Fahrtreppe oder Fahrsteig ausgeführt sein.

Nachfolgend werden mögliche Ausgestaltungen von Personentransportanlagen bzw. von Ausführungsformen der Erfindung meist am Beispiel von Aufzuganlagen erläutert. Ausführungsformen der Erfindung lassen sich aber in analoger Weise auch auf Personentransportanlagen in Form von Fahrsteigen, Fahrtreppen oder Ähnlichem umsetzen.

Die EP 2 022 742 B1 beschreibt eine Personentransportanlage in Form einer Aufzuganlage mit einem ersten und einem zweiten Auswertemodul in Form einer ersten und einer zweiten Auswerteeinheit. Das erste Auswertemodul ist einer Aufzugskabine und das zweite Auswertemodul einem Aufzugschacht der Aufzugsanlage zugeordnet. Die beiden Auswertemodule stehen über eine Busverbindung in Signalverbindung und können so Signale untereinander austauschen. Die Aufzuganlage weist ausserdem innerhalb der Aufzuganlage räumlich verteilt angeordnete Feldgeräte in Form von Sensoren und Aktoren, beispielsweise Sensoren zur Positions-und Geschwindigkeitsbestimmung der Aufzugkabine, Sicherheitsschalter in Form eines Verriegelungsschalters einer Kabinentüre oder eines Überwachungsschalters für ein Dach der Aufzugkabine, eine Bremseinrichtung und eine Fangeinrichtung auf. Die Feldgeräte stehen mit mindestens einem Auswertemodul in Signalverbindung. Die Auswertemodule überwachen auf Basis der Signale der Feldgeräte den Betrieb der Aufzuganlage und leiten bei Erkennen eines unsicheren Zustands der Aufzuganlage, beispielsweise bei Erkennen einer zu hohen Geschwindigkeit der Aufzugkabine, durch Ansteuerung eines als Aktor ausgeführten Feldgeräts eine Sicherungsmassnahme ein. Die Sicherungsmassnahme kann beispielsweise darin bestehen, dass die Bremseinrichtung so angesteuert wird, dass sie die Aufzugkabine abbremst.

Die Aufzuganlage entsprechend der EP 2 022 742 B1 ist so ausgeführt, dass einige Feldgeräte direkt mit den Auswertemodulen verbunden sind und andere Feldgeräte wie die genannten Sicherheitsschalter unter Zwischenschaltung von so genannten Sicherheitsbaugruppen mit den Auswertemodulen signalverbunden sind. Die Sicherheitsschalter sind direkt mit jeweils einer Sicherheitsbaugruppe verbunden, welche die Signale der Sicherheitsschalter empfängt, verarbeitet und anschliessend über die genannte Busverbindung an die beiden Auswertemodule sendet. Die Sicherheitsbaugruppen senden damit die Signale der Sicherheitsschalter ebenfalls über den genannten Bus an die Auswertemodule. Der Bus dient damit nicht nur für die Kommunikation zwischen den beiden Auswertemodulen, sondern auch zur Übertragung von Signalen der Sicherheitsschalter, welche als Sensorsignale angesehen werden können. Die Sicherheitsbaugruppen nehmen über die Auswertung und Weiterleitung der Signale der Sicherheitsschalter hinaus keine weiteren Aufgaben wahr, insbesondere sind sie nicht dazu vorgesehen, Sicherungsmassnahmen, wie die Aktivierung der Bremseinrichtung oder der Fangeinrichtung, auszulösen. Derartige Sicherungsmassnahmen werden ausschliesslich durch die beiden Auswerteeinheiten ausgelöst.

Demgegenüber ist es insbesondere die Aufgabe der Erfindung, eine Personentransportanlage vorzuschlagen, welche besonders sicher betrieben werden kann. Erfindungsgemäss wird diese Aufgabe mit einer Personentransportanlage mit den Merkmalen des Anspruchs 1 gelöst.

Die Personentransportanlage weist ein erstes Auswertemodul und ein zweites Auswertemodul auf, welche innerhalb der Personentransportanlage räumlich verteilt angeordnet sind und miteinander in Signalverbindung stehen, also Signale und damit Daten austauschen können. Es ist möglich, dass die Personentransportanlage mehr als zwei Auswertemodule aufweist. Die Personentransportanlage verfügt ausserdem über Feldgeräte, welche innerhalb der Personentransportanlage räumlich verteilt angeordnet sind, wobei jedes Feldgerät zumindest mit einem der Auswertemodule in Signalverbindung steht. Ein Feldgerät kann dazu direkt oder indirekt, beispielsweise über eine Busverbindung mit einem Auswertemodul signalverbunden sein. Jedes Auswertemodul ist dafür vorgesehen, auf Basis von gemessenen Signalen der Feldgeräte einen Betrieb der Personentransportanlage zu überwachen und bei Erkennen eines unsicheren Zustands der Personentransportanlage durch Ansteuerung wenigstens eines Feldgeräts eine Sicherungsmassnahme einzuleiten. Erfindungsgemäss sind die Auswertemodule über eine exklusive Kommunikationsverbindung miteinander verbunden. Unter einer exklusiven Kommunikationsverbindung soll in diesem Zusammenhang verstanden werden, dass über die Kommunikationsverbindung nur die Auswertemodule Signale und damit Daten austauschen können und darüber hinaus keine Signale von anderen Geräten, wie beispielsweise Feldgeräten oder Bedieneinheiten über die genannte Kommunikationsverbindung übertragen werden oder andere Geräte Signale empfangen können. Im Falle einer Ausführung der Kommunikationsverbindung als ein Feldbus, also als ein exklusiver Feldbus, bedeutet das, dass an den Feldbus lediglich die Auswertemodule angeschlossen sind und keine weiteren Busknoten, welche beispielsweise Sensorsignale von an die Busknoten angeschlossenen Sensoren senden oder Signale empfangen können.

Die exklusive Kommunikationsverbindung ermöglicht durch die sehr geringe Anzahl von Kommunikationsteilnehmern eine besonders sichere und stabile Kommunikation und damit das Senden und Empfangen von Daten zwischen den beiden Auswertemodulen auf nur einer Datenleitung. Bei jedem Kommunikationsteilnehmer besteht die Gefahr, dass er Störungen in der Kommunikation verursacht, beispielsweise durch fehlerhaftes Senden von Signalen oder durch einen technischen Defekt, beispielsweise einen Kurzschluss oder einen nicht korrekten Abschluss der Signalleitungen. Darüber hinaus kann mit der exklusiven Kommunikationsverbindung auch eine besonders schnelle Kommunikation ermöglicht werden. Die sichere, stabile und schnelle Kommunikation zwischen den beiden Auswertemodulen ist insbesondere sehr wichtig, da die Auswertemodule zusammen eine Sicherheits-Steuerungseinrichtung bilden, deren Funktionen und Aufgaben auf die beiden Auswertemodule verteilt sind. Die Sicherheits-Steuerungseinrichtung kann einen sicheren Betrieb der Personentransportanlage nur gewährleisten, wenn die Kommunikation zwischen den beiden Auswertemodulen einwandfrei funktioniert. Sobald eine einwandfreie Kommunikation nicht gewährleistet ist, werden insbesondere sofort Sicherungsmassnahmen, wie beispielsweise ein sofortiges Anhalten einer Aufzugkabine eingeleitet. Dies führt zu einem Ausfall der Personentransportanlage und kann ausserdem zu einem abrupten Anhalten der Aufzugkabine führen.

Durch die schnelle und sichere Kommunikationsverbindung zwischen den Auswertemodulen kann eine ausgewählte Verarbeitung von Signalen, also das Abarbeiten von ausgewählten Funktionen vom ersten Auswertemodul, vom zweiten Auswertemodul oder von beiden Auswertemodulen parallel ausgeführt werden. Es spielt damit quasi keine Rolle, welches Auswertemodul welche Funktion ausführt. Damit können Funktionen sehr schnell und einfach zwischen den Auswertemodulen verschoben werden und an die konkrete Ausgestaltung der Personentransportanlage angepasst werden.

Unter "innerhalb der Personentransportanlage räumlich verteilt" soll hier verstanden werden, dass die Auswertemodule und die Feldgeräte nicht an einem Ort konzentriert, sondern an verschiedenen Orten der Personentransportanlage angeordnet sind. Bei einer Aufzuganlage können beispielsweise ein Auswertemodul an einer Aufzugkabine und ein anderes Auswertemodul in einem so genannten Schachtkopf angeordnet sein. Die verschiedenen Feldgeräte können beispielsweise zum Teil an der Aufzugskabine und im oder im Bereich des Aufzugsschachts angeordnet sein. Unter einem "Feldgerät" soll hier ein Sensor oder ein ansteuerbarer Aktor verstanden werden. Sensoren können Messdaten, wie beispielsweise eine Position der Aufzugkabine erfassen und diese weiterleiten. Ein Aktor setzt empfangene Steuerdaten oder Ansteuersignale in eine mechanische Bewegung oder eine andere physikalische Grösse, wie beispielsweise Druck oder Temperatur um. Ein Aktor kann beispielsweise als ein Relais ausgeführt sein, mittels welchem eine Energieversorgung einer Antriebsmaschine der Aufzuganlage unterbrochen werden kann. Ein Aktor kann beispielsweise auch als eine Brems- oder Fangeinrichtung ausgeführt sein. Eine Antriebsmaschine der Aufzuganlage kann ebenfalls als ein Aktor angesehen werden. Durch eine entsprechende Ansteuerung der Antriebsmaschine kann eine gewünschte Geschwindigkeit der Aufzugkabine eingestellt oder die Aufzugkabine angehalten werden.

Die Auswertemodule werten die von den als Sensoren ausgeführten Feldgeräten gemessenen Signale aus und überwachen damit die Personentransportanlage. Sobald ein unsicherer Zustand, wie beispielsweise eine zu hohe Geschwindigkeit der Aufzugkabine oder eine offene Tür der Aufzugkabine während sich die Aufzugkabine bewegt, erkannt wird, leitet ein Auswertemodul durch Ansteuerung wenigstens eines als ein Aktor ausgeführtes Feldgerät eine Sicherungsmassnahme ein. Ein Auswertemodul kann als eine Sicherheitsmassnahme beispielsweise die Antriebsmaschine der Aufzuganlage so ansteuern, dass die Aufzugkabine möglichst schnell angehalten wird. Sie kann als eine andere mögliche Sicherheitsmassnahme, beispielsweise durch entsprechende Ansteuerung eines Relais, die Energieversorgung der Antriebsmaschine unterbrechen, was zu einem abrupten Anhalten der Aufzugkabine und gleichzeitig zur Aktivierung einer Bremseinrichtung führt. Ausserdem kann ein Auswertemodul als eine weitere mögliche Sicherheitsmassnahme eine so genannte Fangeinrichtung aktivieren, was ebenfalls zu einem abrupten Anhalten der Aufzugkabine und ausserdem zu einer Kopplung mit einer fest im Aufzugschacht installierten Führungsschiene führt.

Die Auswertemodule und/oder die als Aktor ausgeführten Feldgeräte sind insbesondere als so genannte sichere Einheiten ausgeführt. Unter einer sicheren Einheit soll hier ein elektronisches Gerät verstanden werden, das zumindest den Sicherheits-Integritäts- Level (Safety Integrity Level) SIL 3 der Norm DIN EN ISO 61508 erfüllt. Die Personentransportanlage verfügt insbesondere über eine Steuerungseinrichtung zur Ansteuerung der Personentransportanlage. Diese ist insbesondere nicht als sichere Einheit ausgeführt. Es ist aber möglich, dass die Steuerungseinrichtung und eines der Auswertemodule in einem gemeinsamen Gehäuse angeordnet sind oder sogar mit einer gemeinsamen Platine ausgeführt sind, welche dann einen sicheren und einen unsicheren Teil aufweist.

In Ausgestaltung der Erfindung sind das erste Auswertemodul und das zweite Auswertemodul über eine Punkt-zu-Punkt-Verbindung miteinander verbunden. Unter einer "Punkt-zu-Punkt-Verbindung" soll hier eine Kommunikationsverbindung verstanden werden, die nur das erste und das zweite Auswertemodul kommunikationsmässig verbindet, ohne dass irgendein weiteres Gerät an die Kommunikationsverbindung angeschlossen ist. Damit wird eine ungestörte Kommunikation zwischen den beiden Auswertemodulen ermöglicht, die durch keinen weiteren Kommunikationsteilnehmer gestört oder beeinflusst werden kann. Durch die minimale Anzahl an Kommunikationsteilnehmern werden auch die Fehlermöglichkeiten minimiert, die sich bei den Kommunikationsteilnehmern ergeben und die Kommunikationsverbindung stören können. Damit wird eine besonders robuste Kommunikation zwischen den Auswertemodulen und damit ein besonders sicherer Betrieb der Personentransportanlage ermöglicht. Falls die Personentransportanlage ein drittes Auswertemodul aufweist, so ist dieses mit einer weiteren exklusiven Kommunikationsverbindung in Form einer weiteren Punkt-zu-Punkt-Verbindung mit dem ersten oder zweiten Auswertemodul verbunden. Dieses Auswertemodul leitet dann die Signale des dritten Auswertemoduls an das andere Auswertemodul weiter. In dieser Weise können noch weitere Auswertemodule angebunden werden.

In Ausgestaltung der Erfindung sind die Auswertemodule dazu vorgesehen, alle Messdaten, welche sie von als Sensoren ausgeführten Feldgeräten empfangen, über die exklusive Kommunikationsverbindung untereinander auszutauschen. Damit liegen allen Auswertemodulen alle Messdaten vor, so dass alle Auswertemodule dieselben Funktionen oder Überwachungen durchführen können. Damit können Funktionen zwischen den Auswertemodulen besonders einfach verschoben werden und Funktionen können in mehr als einem Auswertemodul durchgeführt werden, was eine besonders effektive gegenseitige Überwachung der Auswertemodule ermöglicht. Die Feldgeräte können neben den eigentlichen Messdaten, wie beispielsweise eine Position der Aufzugkabine auch noch weitere Signale, wie beispielsweise Zustandsinformationen senden. Diese weiteren Signale können, müssen aber nicht zwingend ebenfalls ausgetauscht werden.

In Ausgestaltung der Erfindung sind die Auswertemodule dazu vorgesehen, alle Steuerdaten, welche sie an als Aktoren ausgeführte Feldgeräte ausgeben, über die exklusive Kommunikationsverbindung untereinander auszutauschen. Damit wird eine besonders effektive gegenseitige Überwachung der Auswertemodule ermöglicht, da das jeweils andere Auswertemodul die ausgegebenen Steuerdaten überprüfen kann. Ausserdem kann so ein Auswertemodul auf eine Aktion eines anderen Auswertemoduls reagieren, was eine aufeinander abgestimmte Aktion ermöglicht. Wenn beispielsweise ein Auswertemodul die Fangbremse aktiviert, kann ein anderes Auswertemodul die Energieversorgung der Antriebsmaschine der Aufzuganlage deaktivieren. Ohne die Deaktivierung der Energieversorgung könnte es in einem ungünstigen Fall dazu kommen, dass die Antriebsmaschine die Aufzugkabine trotz aktivierter Fangbremse bewegen will, was zu Schädigungen an der Antriebsmaschine, der Fangbremse und/oder der Führungsschiene führen kann.

In Ausgestaltung der Erfindung sind die Auswertemodule über einen exklusiven Feldbus miteinander verbunden. Feldbusse, also serielle Busse, wie beispielsweise CAN-Busse ermöglichen eine sichere und schnelle Kommunikation. Darüber hinaus sind ausgereifte Komponenten für Feldbusse in einer grossen Anzahl und zu vergleichsweise günstigen Preisen auf dem Markt erhältlich, was eine robuste und gleichzeitig kostengünstige Realisierung der exklusiven Kommunikationsverbindung ermöglicht. Die Übertragungsrate des eingesetzten Feldbusses kann beispielsweise 125 kBaud betragen.

Die exklusive Kommunikationsverbindung kann auch auf eine andere, dem Fachmann als sinnvoll erscheinende Weise ausgeführt sein. Sie kann beispielsweise auch als eine Ethernet-Verbindung ausgeführt sein.

In Ausgestaltung der Erfindung ist der exklusive Feldbus als ein sicherer Feldbus ausgeführt. Damit wird eine besonders sichere Datenübertragung und somit ein besonders sicherer Betrieb der Personentransportanlage ermöglicht. Unter einem sicheren Feldbus soll hier ein Feldbus verstanden werden, der zumindest den Sicherheits-Integritäts- Level (Safety Integrity Level) SIL 3 der Norm DIN EN ISO 61508 erfüllt. Der Feldbus kann beispielsweise als ein so genannter SafetyBUS p ausgeführt sein oder mit einem CANopen-Safety-Protokoll betrieben werden.

In Ausgestaltung der Erfindung ist eine erste Gruppe von Feldgeräten dem ersten Auswertemodul und eine zweite Gruppe von Feldgeräten dem zweiten Auswertemodul zugeordnet. Die erste Gruppe von Feldgeräten und das erste Auswertemodul stehen über einen ersten, die zweite Gruppe von Feldgeräten und das zweite Auswertemodul über einen zweiten Feldbus in Signalverbindung. Die Feldgeräte einer Gruppe sind dabei insbesondere räumlich in der Nähe des jeweiligen Auswertemoduls angeordnet. Die beiden, jeweils einem Auswertemodul zugeordneten Feldbusse ermöglichen eine flexible, kostengünstige, schnelle und sichere Kommunikation zwischen dem Auswertemodul und den ihm zugeordneten Feldgeräten. Die exklusive Kommunikationsverbindung zwischen den Auswertemodulen ermöglicht dazu noch den oben beschriebenen sicheren Betrieb der Personentransportanlage, welcher bei einer Zusammenfassung der beiden Feldbusse zu einem gemeinsamen, komplexen Feldbus nicht gewährleistet wäre. Die Auswertemodule können auch dazu vorgesehen sein, dass sie direkt und nicht über einen Feldbus mit einem oder mehreren Feldgeräten verbunden sind.

In Ausgestaltung der Erfindung sind die Auswertemodule dazu vorgesehen, eine Übertragung von Datenpaketen zwischen den Auswertemodulen zu überwachen und bei Überschreiten einer ersten Zeitdauer-Obergrenze nach dem Empfang eines ersten Datenpakets ohne den Empfang eines zweiten Datenpakets eine Sicherheitsmassnahme einzuleiten. Damit kann eine Unterbrechung der exklusiven Kommunikationsverbindung sicher erkannt werden. Die Auswertemodule können insbesondere dazu vorgesehen sein, Signale und damit Datenpakete zyklisch, das heisst in festen Abständen über die exklusive Kommunikationsverbindung zu senden. Die genannten Abstände können beispielsweise 5 bis 15 ms, insbesondere 10 ms betragen. Wird nach dem Empfangen eines Datenpakets nicht innerhalb der ersten Zeitdauer-Obergrenze, die beispielsweise 10- 30%, insbesondere 20% länger als der vorgesehene Abstand sein kann, das nächste Datenpaket vom entsprechenden Auswertemodul empfangen, so löst das Auswertemodul eine Sicherheitsmassnahme ein.

In Ausgestaltung der Erfindung verfügt ein als Aktor ausgeführtes Feldgerät über eine Aktor-Steuerungseinrichtung. Diese ist dazu vorgesehen, einen Empfang von Steuerdaten zu überwachen und bei Überschreiten einer zweiten Zeitdauer-Obergrenze nach dem Empfang von ersten Steuerdaten ohne den Empfang von zweiten Steuerdaten eine Sicherheitsmassnahme einzuleiten. Damit kann eine Unterbrechung einer Signalverbindung zwischen dem den Aktor ansteuernden Auswertemodul und dem Aktor sicher erkannt und eine entsprechende Sicherheitsmassnahme eingeleitet werden. Die Sicherheitsmassnahme besteht insbesondere darin, dass der Aktor eine Position einnimmt, die die Personentransportanlage in einen möglichst sicheren Zustand bringt. Ist der betreffende Aktor beispielsweise für die Auslösung der Fangbremse vorgesehen, so aktiviert die Aktor-Steuerungseinrichtung mittels des Aktors die Fangbremse. Die Auswertemodule sind insbesondere dazu vorgesehen, Steuerdaten zyklisch, das heisst in festen Abständen an die Aktor-Steuerungseinrichtung zu senden. Falls sich die Steuerdaten nicht ändern, werden mehrfach dieselben Steuerdaten gesendet. Die genannten Abstände können beispielsweise 5 bis 15 ms, insbesondere 10 ms betragen. Wird nach dem Empfangen von Steuerdaten nicht innerhalb der zweiten Zeitdauer-Obergrenze, die beispielsweise 10- 30%, insbesondere 20% länger als der vorgesehene Abstand sein kann, die nächsten Steuerdaten vom Aktor-Steuerungseinrichtung empfangen, so löst die Aktor-Steuerungseinrichtung eine Sicherheitsmassnahme aus.

In Ausgestaltung der Erfindung ist zumindest ein als Aktor ausgeführtes Feldgerät von mehr als einem Auswertemodul ansteuerbar. Damit können Funktionen zwischen den Auswertemodulen besonders einfach ausgetauscht werden. Die Ansteuerung kann beispielsweise über eine direkte Verbindung zwischen einem Auswertemodul und dem Aktor erfolgen. Es ist aber auch möglich, dass ein Auswertemodul eine entsprechende Anforderung an ein anderes Auswertemodul sendet, welches die Anforderung dann umsetzt oder im einfachsten Fall die entsprechenden Steuerdaten an den Aktor weiterleitet. Es sind insbesondere alle Aktoren so ausgeführt, dass sie von mehr als einem Auswertemodul ansteuerbar sind.

In Ausgestaltung der Erfindung ist das von mehr als einem Auswertemodul ansteuerbare als Aktor ausgeführte Feldgerät so ausgeführt, dass es beim Empfang von unterschiedlichen, insbesondere widersprüchlichen Steuersignalen von unterschiedlichen Auswertemodulen einen vorbestimmten Status einnimmt. Der vorbestimmte Status bringt die Personentransportanlage insbesondere in den sichersten Status, den der betreffende Aktor aktivieren oder einstellen kann. Dies ermöglicht einen besonders sicheren Betrieb der Personentransportanlage. Ist der betreffende Aktor beispielsweise für die Auslösung der Fangbremse vorgesehen, so aktiviert die Aktor-Steuerungseinrichtung mittels des Aktors die Fangbremse. Erhält er von einem Auswertemodul Steuerdaten, die Fangbremse deaktiviert zu lassen und von einem anderen Auswertemodul Steuerdaten, die Fangbremse zu aktivieren, dann wird der Aktor die Fangbremse aktivieren, da das sofortige Anhalten der Aufzugkabine sicherer ist als eine weitere Bewegung der Aufzugkabine zuzulassen.

In Ausgestaltung der Erfindung sind die Auswertemodule dazu vorgesehen, sich gegenseitig zu überwachen und bei Feststellen von Fehlfunktionen eines Auswertemoduls eine Sicherheitsmassnahme einzuleiten. Dies ermöglicht einen besonders sicheren Betrieb der Personentransportanlage. Für die gegenseitige Überwachung führen die Auswertemodule zumindest einige Funktionen parallel aus und vergleichen die Ergebnisse, beispielsweise in Form von Steuerdaten an Aktoren. Weichen die Steuerdaten voneinander ab, so besteht zumindest der Verdacht, dass ein Fehler vorliegen könnte. In diesem Fall leitet das die Abweichung feststellende Auswertemodul sofort eine Sicherheitsmassnahme ein.

In Ausgestaltung der Erfindung weist die Personentransportanlage ein drittes Auswertemodul auf, welches über die exklusive Kommunikationsverbindung mit dem ersten Auswertemodul und dem zweiten Auswertemodul verbunden ist. Insbesondere ist die Personentransportanlage als eine Aufzuganlage ausgeführt und das erste Auswertemodul in einem Schachtkopf, das zweite Auswertemodul an einer Aufzugkabine und das dritte Auswertemodul in einer Schachtgrube angeordnet. Damit können alle Feldgeräte mit möglichst kurzen und damit wenig fehleranfälligen Verbindungen mit einem Auswertemodul verbunden werden. Dies ermöglicht einen besonders sicheren Betrieb der Personentransportanlage. Wenn die exklusive Kommunikationsverbindung als ein Feldbus ausgeführt ist, sind die drei Auswertemodule Busteilnehmer.

Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich anhand der nachfolgenden Beschreibung von Ausführungsbeispielen sowie anhand der Zeichnungen, in welchen gleiche oder funktionsgleiche Elemente mit identischen Bezugszeichen versehen sind.

Dabei zeigen:

Fig. 1

eine stark vereinfachte und schematisierte Darstellung einer Personentransportanlage in Form einer Aufzuganlage mit einem Aufzugschacht und einer Aufzugkabine,

Fig. 2

ein schematisiertes Blockdiagramm von signalverbundenen Auswertemodulen und Feldgeräten der Aufzuganlage aus Fig. 1 und

Fig. 3

ein schematisiertes Blockdiagramm von signalverbundenen Auswertemodulen und Feldgeräten einer Aufzuganlage gemäss einem zweiten Ausführungsbeispiel.

Gemäss Fig. 1 weist eine Personentransportanlage in Form einer Aufzuganlage 10 über einen Aufzugschacht 11, in dem eine Aufzugkabine 12 von einer Antriebsmaschine 13 auf und ab bewegt werden kann. Die Antriebsmaschine 13 ist im oberen Bereich des Aufzugschachts 11 im so genannten Schachtkopf 16 angeordnet und wirkt auf ein Tragmittel 14, welche die Aufzugkabine 12 mit einem Gegengewicht 15 verbindet. Im unteren Bereich des Aufzugschachts 11, der so genannten Schachtgrube 17 ist ein erster Puffer 18 für die Aufzugkabine 12 und ein zweiter Puffer 19 für das Gegengewicht 15 angeordnet. Ausserdem ist in der Schachtgrube 17 eine Leiter 20 aufbewahrt, mittels welcher ein nicht dargestellter Monteur oder Servicemitarbeiter von einem unteren Stockwerk 21 über eine untere Schachtöffnung 22 in die Schachtgrube 17 hinuntersteigen kann. Oberhalb des unteren Stockwerks 21 ist ein oberes Stockwerk 23 mit einer oberen Schachtöffnung 24 angeordnet. In der unteren Schachtöffnung 22 ist eine untere Schachttür 25 und in der oberen Schachtöffnung 24 eine obere Schachttür 26 angeordnet. Die beiden Schachttüren 25, 26 können gemeinsam mit einer an der Aufzugkabine 12 angeordneten Kabinentür 27 geöffnet und geschlossen werden und so den Zugang in die Aufzugkabine 12 von einem entsprechenden Stockwerk her zulassen oder versperren.

Die Aufzuganlage 10 wird von einer im Schachtkopf 16 angeordneten Steuerungseinrichtung 31 angesteuert. Die Steuerungseinrichtung 31 steuert insbesondere die Antriebsmaschine 13 und einen nicht dargestellten Türantrieb zum Öffnen und Schliessen der Kabinentür 27 und der entsprechenden Schachttür 25, 26 an.

Ausserdem ist im Schachtkopf 16 ein erstes Auswertemodul 32 angeordnet, welches zusammen mit einem an der Aufzugkabine 12 angeordneten, zweiten Auswertemodul 33 eine Sicherheits-Steuerungseinrichtung bildet. Die Auswertemodule 32, 33 sind damit innerhalb der Aufzuganlage 10 räumlich verteilt angeordnet. Beide Auswertemodule 32, 33 überwachen jeweils einen sicheren Betrieb der Aufzuganlage 10 und leiten bei Erkennen eines unsicheren Zustands der Aufzuganlage 10 eine Sicherungsmassnahme ein. Die beiden Auswertemodule 32, 33 sind als so genannte sichere Einheiten ausgeführt.

Zum Bereitstellen von Messdaten als Basis für die Überwachung des sicheren Betriebs der Aufzuganlage 10 sind räumlich innerhalb der Aufzuganlage 10 als Sensoren ausgeführte Feldgeräte angeordnet. In der Schachtgrube ist ein Leiter-Schalter 34 angeordnet, der erkennt, ob die Leiter 20 sicher befestigt ist. An der unteren Schachttür 25 ist ein unterer Schachttürschalter 35 angeordnet, mittels welchem feststellbar ist, ob die untere Schachttür 25 sicher geschlossen ist. Ein entsprechender oberer Schachttürschalter 36 ist an der oberen Schachttür 26 angeordnet. An der Kabinentür 27 ist ein Kabinentürschalter 37 angeordnet, mittels welchem feststellbar ist, ob die Kabinentür 27 sicher geschlossen ist. Darüber hinaus ist an der Aufzugkabine 12 ein Positionssensor 29 angeordnet, welcher mittels eines im Aufzugschacht 11 von unten nach oben verlaufenden Magnetbands 30 eine absolute Position der Aufzugkabine 12 innerhalb des Aufzugschachts 11 bestimmen kann. Die Position der Aufzugkabine innerhalb des Aufzugschachts kann auch auf eine andere Weise ermittelt werden. Die Aufzuganlage kann zusätzlich über weitere Sensoren, wie beispielsweise Endschalter und/oder Sensoren zur Überwachung der Puffer 18, 19 verfügen.

Zur Umsetzung der genannten Sicherungsmassnahmen sind räumlich innerhalb der Aufzuganlage 10 als Aktoren ausgeführte Feldgeräte angeordnet. An der Aufzugkabine 12 ist im unteren Bereich eine an sich bekannte Fangeinrichtung 28 angeordnet, welche mit einer nicht dargestellten und im Aufzugschacht 16 fest verankerten Führungsschiene zusammenwirkt und damit die Aufzugkabine 12 innerhalb des Aufzugschachts 11 fixieren kann. An der Antriebsmaschine 13 ist eine an sich bekannte Antriebsbremse 38 angeordnet, welche zumindest auf ein Bauteil der Antriebsmaschine 13 wirkt und die Antriebsmaschine 13 abbremsen und anhalten kann. Darüber hinaus kann die Antriebsmaschine 13 ebenfalls als ein Aktor angesehen werden, da die Antriebsmaschine 13 so angesteuert werden kann, dass die Aufzugkabine 12 abgebremst und angehalten werden kann. Die Ansteuerung der Antriebsmaschine 13 wird im Weiteren nicht weiter betrachtet.

Die Steuerungseinrichtung 31, die Auswertemodule 32, 33 und die genannten Feldgeräte stehen in Signalverbindung zueinander. Diese Signalverbindungen sind aus Übersichtlichkeitsgründen in der Fig. 1 nicht dargestellt und werden in Verbindung mit der Fig. 2 erläutert.

Gemäss Fig. 2 ist das erste Auswertemodul 32 über eine exklusive Kommunikationsverbindung 39 mit dem zweiten Auswertemodul 33 verbunden. Die exklusive Kommunikationsverbindung 39 ist in diesem Fall als ein Feldbus, im Speziellen als ein CAN-Bus ausgeführt, der mit dem sicheren Protokoll CANopen-Safety-Protokoll betrieben wird. Es handelt sich also um einen sicheren Feldbus. Die exklusive Kommunikationsverbindung kann auch mit einem anderen, auch nicht sicheren Protokoll betrieben werden, als ein anderer Feldbus oder in einer anderen Art ausgeführt sein.

Die Auswertemodule 32, 33 senden und empfangen zyklisch, also in einem festen Takt von beispielsweise 10 ms Daten in Form von Datenpaketen über die exklusive Kommunikationsverbindung 39. Sie überwachen die Übertragung der Datenpakete und leiten bei Überschreiten einer ersten Zeitdauer-Obergrenze nach dem Empfang eines ersten Datenpakets ohne den Empfang eines zweiten Datenpakets eine Sicherheitsmassnahme ein, indem die Fangeinrichtung 28 aktiviert wird.

Die eine exklusive Kommunikationsverbindung 39 verbindet die beiden Auswertemodule 32, 33 mit einer Punkt-zu-Punkt-Verbindung, so dass keine anderen Geräte an den exklusiven CAN-Bus angeschlossen sind.

Das erste Auswertemodul 32 ist ausserdem über einen ersten Feldbus 40 mit dem Leiter-Schalter 34, dem unteren Schachttürschalter 35, dem oberen Schachttürschalter 36 und einer Aktor-Steuerungseinrichtung 41 der Antriebsbremse 38 verbunden, welche zusammen eine erste Gruppe 42 von Feldgeräten bilden. Die als Sensoren ausgeführten Feldgeräte senden Messdaten über den ersten Feldbus 40 an das erste Auswertemodul 32. Der Leiter-Schalter 34 sendet als Messdaten die Information, ob die Leiter 20 sicher im Aufzugschacht 11 befestigt ist. Die beiden Schachttürschalter 35, 36 senden als Messdaten die Information, ob die ihnen zugeordnete Schachttür 25, 26 sicher geschlossen ist. Das erste Auswertemodul 32 sendet an die Aktor-Steuerungseinrichtung 41 der Antriebsbremse 38 Steuerdaten in Form eines Soll-Zustands der Antriebsbremse 38, der entsprechend eingestellt wird. Das erste Auswertemodul 32 sendet zyklisch, also in einem festen Takt von beispielsweise 10 ms Steuerdaten an die Aktor-Steuerungseinrichtung 41 der Antriebsbremse 38. Die Aktor-Steuereinrichtung 41 überwacht den Empfang der Steuerdaten und leitet nach Überschreiten einer zweiten Zeitdauer-Obergrenze nach dem Empfang von ersten Steuerdaten ohne den Empfang von zweiten Steuerdaten eine Sicherheitsmassnahme ein, indem es die Antriebsbremse 38 aktiviert.

Zusätzlich ist das erste Auswertemodul 32 mit der Steuerungseinrichtung 31 verbunden und tauscht mit dieser Daten aus. Dieser Datenaustausch ist hier nicht weiter von Interesse und wird deshalb nicht näher beschrieben.

Das zweite Auswertemodul 33 ist über einen zweiten Feldbus 43 mit einer Aktor-Steuerungseinrichtung 44 der Fangbremse 28, dem Positionssensor 29 und dem Kabinentürschalter 37 verbunden, welche zusammen eine zweite Gruppe von Feldgeräten 45 bilden. Der Positionssensor 29 sendet als Messdaten die erfasste Position der Aufzugkabine 12. Der Kabinentürschalter 37 sendet als Messdaten die Information, ob die Kabinentür 27 sicher geschlossen ist. Das zweite Auswertemodul 33 sendet an die Aktor-Steuerungseinrichtung 44 der Fangbremse 28 Steuerdaten in Form eines Soll-Zustands der Fangbremse 28, der entsprechend eingestellt wird. Die Aktor-Steuerungseinrichtung 44 der Fangbremse 28 überwacht analog zur Aktor-Steuerungseinrichtung 41 der Antriebsbremse 38 den Empfang der Steuerdaten und aktiviert bei Ausbleiben von Steuerdaten die Fangbremse 28.

Die Auswertemodule 32, 33 können auch als Aktor ausgeführte Feldgeräte ansteuern, mit denen sie nicht direkt verbunden sind. In dem dargestellten Fall kann also das erste Auswertemodul 32 auch die Fangbremse 28 und das zweite Auswertemodul 33 auch die Antriebsbremse 38 ansteuern. Dazu kann das jeweilige Auswertemodul 32, 33 entsprechende Steuerdaten über die exklusive Kommunikationsverbindung 39 und das andere Auswertemodul an den Aktor senden, wobei das andere Auswertemodul die Steuerdaten nur durchleitet. Eine andere Möglichkeit besteht darin, dass das jeweilige Auswertemodul 32, 33 eine entsprechende Anforderung über die exklusive Kommunikationsverbindung 39 und das andere Auswertemodul sendet, welche dieses dann in entsprechende Steuerdaten an den Aktor umsetzt.

Die Aktoren in Form der Antriebsbremse 38 und der Fangbremse 28 und im Speziellen die ihnen zugeordneten Aktor-Steuerungseinrichtungen 41, 44 sind dabei so ausgeführt, dass sie beim Empfang von unterschiedlichen Steuerdaten jeweils einen vorbestimmten Status einnehmen. In dem beschriebenen Fall geht sowohl die Antriebsbremse 38, als auch die Fangbremse 28 in den aktivierten Zustand und hält damit die Aufzugkabine 12 sofort an.

Die Auswertemodule 32, 33 tauschen über die exklusive Kommunikationsverbindung 39 alle genannten Messdaten der Feldgeräte und auch die an die Feldgeräte ausgegebenen Steuerdaten aus und überwachen sich gegenseitig. Sobald eines der beiden Auswertemodule 32, 33 eine Fehlfunktion des jeweils anderen Auswertemoduls feststellt, leitet es eine Sicherungsmassnahme ein.

Beispielsweise ist das erste Auswertemodul 32 in erster Linie dafür verantwortlich, dass die Aufzugkabine 12 nur dann verfahren wird, wenn die Kabinentür 27 und die Schachttüren 25, 26 sicher verschlossen sind. Wird während der Fahrt der Aufzugkabine 12 eine offene Tür erkannt, so aktiviert das erste Auswertemodul 32 sofort die Antriebsbremse 38. Da dem zweiten Auswertemodul 33 wie beschrieben ebenfalls sämtliche Messdaten zu Verfügung stehen, kann es dieselbe Überprüfung ebenfalls durchführen. Stellt es einen Fehler fest, ohne dass das erste Auswertemodul 32 darauf reagiert, so wertet es dies als eine Fehlfunktion des ersten Auswertemoduls 32 und leitet selbst eine Sicherungsmassnahme ein. Das zweite Auswertemodul 33 steuert dazu über die exklusive Kommunikationsverbindung 39 die Antriebsbremse 38 an. Reagiert die Antriebsbremse 38 nicht entsprechend, aktiviert es die Fangbremse 28.

In Fig. 3 ist ein schematisiertes Blockdiagramm von signalverbundenen Auswertemodulen und Feldgeräten einer Aufzuganlage gemäss einem zweiten Ausführungsbeispiel dargestellt. Gleiche oder gleichwirkende Teile sind mit gegenüber den Fig. 1 und 2 um 100 erhöhten Bezugszeichen gekennzeichnet. Da sich der Aufbau und die Funktionsweise gegenüber dem Ausführungsbeispiel gemäss Fig. 1 und 2 nur wenig unterscheidet, wird im Folgenden nur auf die Unterschiede eingegangen. Die Ausführungen zu den einzelnen Teilen der Aufzuganlage im Zusammenhang mit den Fig. 1 und 2 gelten damit, sofern nichts Anderes ausgeführt ist, auch für die Teile gemäss Fig. 3.

Gemäss Fig. 3 ist neben dem ersten Auswertemodul 132 und dem zweiten Auswertemodul 133 ein drittes Auswertemodul 146 vorgesehen, das in der Schachtgrube des Aufzugschachts angeordnet ist. Das dritte Auswertemodul 146 ist über die exklusive Kommunikationsverbindung 139 in Form eines CAN-Busses mit den beiden anderen Auswertemodulen 132, 133 verbunden. Über die exklusive Kommunikationsverbindung 139 tauschen die drei Auswertemodule 132, 133, 146 alle Messdaten und Steuerdaten aus.

Der Leiter-Schalter 134 ist im Gegensatz zur Ausführung gemäss Fig. 2 nicht mit dem zweiten Auswertemodul 133, sondern mit dem dritten, näherliegenden Auswertemodul 146 verbunden.

Zusätzlich ist die Aktor-Steuerungseinrichtung 141 der Antriebsbremse 138 direkt und nicht über den ersten Feldbus 140 mit dem ersten Auswertemodul 132 verbunden.

Ausserdem ist der Positionssensor 129 direkt und nicht über den zweiten Feldbus 143 mit dem zweiten Auswertemodul 133 verbunden.

Das dritte Auswertemodul 146 kann ebenfalls eine Sicherungsmassnahme, wie die Aktivierung der Fangbremse 128 oder der Antriebsbremse einleiten und überwacht die beiden anderen Auswertemodule 132, 133 wie oben beschrieben. Das dritte Auswertemodul 146 aktiviert beispielsweise die Antriebsbremse 138, wenn die Leiter nicht sicher in der Schachtgrube fixiert ist.

Abschließend ist daraufhinzuweisen, dass Begriffe wie "aufweisend", "umfassend", etc. keine anderen Elemente oder Schritte ausschließen und Begriffe wie "eine" oder "ein" keine Vielzahl ausschließen. Ferner sei darauf hingewiesen, dass Merkmale oder Schritte, die mit Verweis auf eines der obigen Ausführungsbeispiele beschrieben worden sind, auch in Kombination mit anderen Merkmalen oder Schritten anderer oben beschriebener Ausführungsbeispiele verwendet werden können. Bezugszeichen in den Ansprüchen sind nicht als Einschränkung anzusehen.