AUFZUG, VERFAHREN ZUR STEUERUNG EINES AUFZUGES

Abstract

 Aufzug (2), umfassend einen Schacht (3), eine im Schacht (3) verfahrbare Kabine (4), einen Antrieb (6), welcher mit der Kabine (4) wirkverbunden ist und durch welchen die Kabine (4) verfahrbar ist, eine Bremse (8), eine Mehrzahl von Schachttüren (10) und ein Sicherheitssteuersystem (12). Das Sicherheitssteuersystem (12) umfassend eine sichere Sicherheitssteuereinheit eines ersten Typs (14) und wenigsten eine sichere Sicherheitssteuereinheit eines zweiten Typs (16). Die Sicherheitssteuereinheit des ersten Typs (14) und die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) sind miteinander. Die wenigsten eine Sicherheitssteuereinheit des zweiten Typs (16) ist so ausgebildet, dass durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) ein Zustand einer jeder der Schachttüren (10) erhebbar ist. Das Sicherheitssteuersystem (12) ist so ausgebildet, dass der Zustand der Schachttüren (10) unmittelbar ausschliesslich durch die wenigsten eine Sicherheitssteuereinheit des zweiten Typs (16) erhebbar ist.

Beschreibung

[0001] Die vorliegende Erfindung betrifft einen Aufzug, insbesondere einen Aufzug mit einem Sicherheitssteuersystem, sowie einem Verfahren zur Steuerung eines Aufzuges.

[0002] Aufzüge dienen im Allgemeinen dazu, Personen oder Gegenstände in vertikaler Richtung zu transportieren. Um hierbei Gefährdungen der Person beziehungsweise der Gegenstände zu vermeiden, werden Sicherheitssteuersysteme eingesetzt. Diese überwachen zum Beispiel mithilfe von Sensoren, das heisst beispielsweise anhand von Daten oder Signalen von Sensoren, aktuelle Betriebszustände des Aufzuges. Weiter kann das Sicherheitssteuersystem beim Feststellen eines unsicheren Zustands des Aufzuges Aktoren ansprechen, welche das Aufzugsystem in einen sicheren Zustand überführen sollen. Die Fangbremse ist beispielsweise ein solcher Aktor. So überwacht das Sicherheitssteuersystem zum Beispiel eine Geschwindigkeit des Aufzuges. Wird ein unsicherer Zustand detektiert, aktiviert das Sicherheitssteuersystem gewisse Aktoren. Beispielsweise wird eine Fangeinrichtung zum Bremsen der Aufzugskabine aktiviert. Das Sicherheitssteuersystem stellt zusätzlich sicher, dass keine weiteren Rufe mehr bedient werden. An das Sicherheitssteuersystem werden höchste Anforderungen hinsichtlich Zuverlässigkeit und Sicherheit gestellt.

[0003] Aus dem Stand der Technik sind Aufzüge bekannt, welche ein zentrales Sicherheitssteuersystem umfassen. Diese zentralen Sicherheitssteuersysteme sind mit einer Vielzahl von Sensoren und Aktoren verbunden, welche an verschiedenen Positionen innerhalb des Aufzuges angeordnet sind. Wird durch das zentrale Sicherheitssteuersystem, insbesondere durch die Sensoren, welche mit diesem zentralen Sicherheitssteuersystem verbunden sind, ein unsicherer Betriebszustand des Aufzuges festgestellt, so steuert das zentrale Sicherheitssteuersystem eine oder mehrere aktivierbare Aktoren geeignet an, um den Aufzug in einen sicheren Zustand zurückzuführen. Beispielsweise wird beim Erkennen einer offenen Schachttür das Verfahren der Kabine im Aufzugschacht verhindert. Dies kann beispielsweise durch das Auslösen des Aktors der Fangbremse geschehen. In einem solchen System werden Signale von den im Aufzugschacht verteilten Sensoren unverarbeitet an das zentrale Sicherheitssteuersystem übermittelt, welches allein, das heisst ausschliesslich die Daten verarbeitet und interpretiert, um anschliessend unmittelbar die Aktoren anzusprechen.

[0004] Ein Nachteil eines solchen zentralen Sicherheitssteuersystems ist, dass die Signallaufzeiten sehr lang werden können. Dies ist insbesondere bei Aufzügen mit einer grossen Anzahl von Stockwerken der Fall. Aber auch bei Aufzügen mit nur einigen Stockwerken kann durch die zentrale Architektur eine Verzögerung in der Übertragung der Daten der Sensoren, sowie dem Eingreifen der Aktoren entstehen. Dies wird weiter durch die Auslastung des zentralen Sicherheitssteuersystems mit einer Vielzahl von Überwachungsfunktionen verschärft, da die Rechenkapazität des zentralen Sicherheitssteuersystems beschränkt ist. So kann es zu Reaktionsverzögerungen im Aufzug kommen. Dies wiederum beeinträchtigt die Sicherheit des Aufzuges.

[0005] Die EP 2 022 742 A1 offenbart einen Aufzug mit einem dezentralen Sicherheitssteuersystem. Das dezentrale Sicherheitssteuersystem weist mehrere Sicherheitssteuereinheiten auf, wobei die Sicherheitssteuereinheiten über eine Busverbindung miteinander verbunden sind.

[0006] Die US 2011/302466 A1 offenbart einen Aufzug mit einem Sicherheitssteuersystem, welches eine Mastereinheit und mehrere Slaveeinheiten umfasst. Die Slaveeinheiten sind jeweils mit Sensoren und Schaltern verbunden, wobei sie Signale dieser Sensoren und Schalter an die Mastereinheit übermitteln. Die Mastereinheit verarbeitet die Daten und spricht bei Bedarf Aktoren an, um den Aufzug in einen sicheren Zustand zu überführen.

[0007] Nachteilig bei den bekannten Sicherheitssteuersystemen ist, dass durch die Architektur des Systems Verzögerungen entstehen. So wird die Reaktion des Aufzuges auf unsichere Zustände unnötig verzögert.

[0008] Es ist deshalb die Aufgabe der vorliegenden Erfindung, einen Aufzug zu schaffen, welcher die Nachteile des Standes der Technik vermeidet und insbesondere einen Aufzug und ein Verfahren zur Steuerung eines Aufzuges zu schaffen, bei welchen Verzögerungen im Sicherheitssteuersystem möglichst reduziert werden und das Sicherheitssteuersystem vereinfacht wird, so dass der Aufzug möglichst schnell auf unsichere Zustände reagieren kann.

[0009] Die Aufgabe wird durch einen Aufzug sowie durch ein Verfahren zur Überwachung eines Aufzuges gemäss den unabhängigen Ansprüchen gelöst.

[0010] Erfindungsgemäss umfasst der Aufzug einen Schacht, eine im Schacht verfahrbare Kabine, einen Antrieb, welcher mit der Kabine wirkverbunden ist und durch welchen die Kabine verfahrbar ist, eine Bremse, eine Mehrzahl von Schachttüren und ein Sicherheitssteuersystem. Das Sicherheitssteuersystem umfasst eine sichere Sicherheitssteuereinheit eines ersten Typs und wenigstens eine sichere Sicherheitssteuereinheit eines zweiten Typs. Die Sicherheitssteuereinheit des ersten Typs und die wenigstens eine Sicherheitssteuereinheit des zweiten Typs sind miteinander verbunden. Die wenigstens eine Sicherheitssteuereinheit des zweiten Typs ist so ausgebildet, dass durch sie ein Zustand einer jeder der Schachttüren erhebbar ist. Erfindungsgemäss ist das Sicherheitssteuersystem so ausgebildet, dass der Zustand der Schachttüren unmittelbar ausschliesslich durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs erhebbar ist.

[0011] Vorteilhaft erweist sich, dass durch das Vorhandensein von zwei voneinander getrennten sicheren Sicherheitssteuereinheiten, durch die klare Zuweisung der Schachttüren zu der wenigstens einen Sicherheitssteuereinheit des zweiten Typs und durch die ausschliessliche unmittelbare Erhebung des Zustands der Schachttüren durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs die Sicherheitssteuereinheiten spezifisch für den ihnen zugeteilten Erhebungsauftrag ausgeführt werden können. Die Erhebung des Schachttürenzustands ist sicherheitsrelevant, da bei offener Schachttür Personen in der Nähe des Schachts gefährdet sind. Des Weiteren soll bei offener Schachttür das Verfahren der Kabine verhindert oder wenigstens eingeschränkt werden. Mit der sicheren Sicherheitssteuereinheit des zweiten Typs wird erfindungsgemäss eine Sicherheitssteuereinheit zur Verfügung gestellt, welche für diese Aufgabe ausgelegt ist. Es ist ebenfalls wichtig, dass alle Schachttüren überwacht werden. Die wenigstens eine Sicherheitssteuereinheit des zweiten Typs ist sicher ausgestaltet, so dass sichergestellt ist, dass die Erhebung des Zustands der Schachttüren zuverlässig ist. Das Sicherheitssteuersystem kann so die Überwachung des Zustands der Schachttüren ausschliesslich der Sicherheitssteuereinheit des zweiten Typs überlassen und sicher sein, dass diese Sicherheitssteuereinheit die Überwachung zuverlässig ausfährt. Ein abschliessend und sicher erhobener Zustand der Schachttüren, sprich ein einfaches "Tür(en) geschlossen / Tür(en) nicht geschlossen" kann anschliessend im Sicherheitssteuersystem über die Verbindung an andere Einheiten, insbesondere an die sichere Sicherheitssteuereinheit des ersten Typs übermittelt werden. So wird unter anderem ermöglicht, eine auf das Überwachen der Schachttüren spezifische Geschwindigkeitsanforderung in die Sicherheitssteuereinheit des zweiten Typs zu implementieren. Die Überwachung jeder der Schachttüren durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs ermöglicht es, die Sicherheitssteuereinheit des ersten Typs und gegebenenfalls eine weitere vorhandene Sicherheitssteuereinheit frei von türüberwachungsspezifischen Anforderung auszuführen. Dies erlaubt ein einfaches, effizientes und sicheres Sicherheitssteuersystem zur Verfügung zu stellen.

[0012] Als sicher kann eine Sicherheitssteuereinheit, die beispielsweise den normierten Sicherheits-Integritäts-Level 1 (Safety Integrity Level, SIL1), bevorzugt SIL2 und besonders bevorzugt SIL3 nach IEC61508 und/oder EN8120 und/oder EN8150 erfüllt, angeschaut werden.

[0013] Ein Zustand ist vorangehend und im Folgenden als eine zu einem gewissen Zeitpunkt bestehende Lage der Schachttüren zu verstehen. Insbesondere kann der Zustand der Schachttür geschlossen oder nicht geschlossen, das heisst offen, sein. Während die Sicherheitssteuereinheit des zweiten Typs den Zustand der Schachttür unmittelbar ausschliesslich erhebt, ist damit nicht ausgeschlossen, dass die Sicherheitssteuereinheit des zweiten Typs eine auf diesem erhobenen Zustand basierende Information innerhalb des Sicherheitssteuersystems beispielsweise an die sichere Steuereinheit des ersten Typs weiterleitet. Mit dem ausschliesslichen und unmittelbaren Erheben ist gemeint, dass die Auswertung des/der Sensorsignal(e) und die Ableitung des Zustandes aus dem/den Signalen ausschliesslich durch und in der Sicherheitssteuereinheit des zweiten Typs geschieht. Das heisst, dass die Sicherheitssteuereinheit des zweiten Typs diesen Zustand ohne Zuhilfe einer anderen Sicherheitssteuereinheit eines anderen Typs abschliessend erhebt.

[0014] In einer bevorzugten Ausführungsform des Aufzuges umfasst das Sicherheitssteuersystem eine sichere Sicherheitssteuereinheit des zweiten Typs pro Schachttür. Die Sicherheitssteuereinheiten des zweiten Typs sind bevorzugt an den Schachttüren angebracht. Bevorzugt ist an jeder der Schachttüren eine Sicherheitssteuereinheit des zweiten Typs angebracht.

[0015] Es wird so ermöglicht, dass jede der Schachttüren eine spezifisch für diese Schachttür vorgesehene Sicherheitssteuereinheit des zweiten Typs aufweist. Die Sicherheitssteuereinheit des zweiten Typs kann so vergleichsweise einfach ausgestaltet sein, da sie nur eine Schachttür überwachen muss. In dieser Ausführungsform ist die Sicherheitssteuereinheit des zweiten Typs bevorzugt an der Schachttür angeordnet, wodurch die Sicherheitssteuereinheit des zweiten Typs unmittelbar bei der Schachttür ist und so Verzögerungen durch Übertragungen von Signalen weiter reduziert werden können. Da die Sicherheitssteuereinheit des zweiten Typs eine sichere Sicherheitssteuereinheit ist, muss die Verbindung zu wenigstens einigen der Sensoren und/oder Aktoren, insbesondere einem Türschlosssensor und Türschlossaktor sicher ausgeführt sein. Durch die Anordnung unmittelbar bei der entsprechenden Schachttür entfällt der Aufwand, Verbindungen über lange Distanzen sicher ausführen zu müssen. Des Weiteren erweist sich das Anordnen an der Schachttür vorteilhaft, da so die Sicherheitssteuereinheit und die Verbindungen zu den auf der Schachttür vorhandenen Sensoren und Aktoren bereits in einer Fabrik hergestellt werden können. Eine Montage vor Ort durch den Monteur erübrigt sich. So ergibt sich eine einfach Sicherheitssteuereinheit des zweiten Typs, welche Verzögerungen weiter reduziert und somit eine erhöhte Sicherheit des Sicherheitssteuersystems ermöglicht.

[0016] Als sicher kann eine Verbindung, die beispielsweise den normierten Sicherheits-Integritäts-Level 1 (Safety Integrity Level, SIL1), bevorzugt SIL2 und besonders bevorzugt SIL3 nach IEC 61508 und/oder EN81-20 und/oder EN81-50 erfüllt, angeschaut werden.

[0017] An der Schachttür angebracht meint vorangehend und im Folgenden, dass die Sicherheitssteuereinheit als Teil der Schachttür ausgeführt ist. So kann die Sicherheitssteuereinheit beispielsweise in einem Kasten oberhalb der Schachttürflügel angeordnet sein, in welchem auch die Türflügel verlagerbar geführt werden. Dieser Kasten kann ausserhalb des Schachtes und/oder innerhalb des Schachtes angeordnet sein. Die Sicherheitssteuereinheit kann alternativ auch in einem Türposten angebracht sein.

[0018] In einer bevorzugten Ausführungsform des Aufzuges sind die sicheren Sicherheitssteuereinheiten so ausgebildet, dass jeweils wenigstens ein ihnen zugeordneter Aktor durch sie steuerbar ist. Der jeweilige Aktor ist bevorzugt unmittelbar ausschliesslich von dieser Sicherheitssteuereinheit steuerbar.

[0019] Durch die Zuordnung eines Aktors zu einer Sicherheitssteuereinheit und durch die unmittelbar ausschliessliche Ansteuerung dieses Aktors durch die Sicherheitssteuereinheit können die beiden Komponenten in ihrer Ausführung aufeinander abgestimmt werden. So kann die Sicherheitssteuereinheit beispielsweise in Bezug auf Rechen-, das heisst Auswertegeschwindigkeit auf die Art des Aktors abgestimmt werden. So kann die Sicherheitssteuereinheit des zweiten Typs mit einer anderen Auswertegeschwindigkeit, beispielsweise einer tieferen Auswertegeschwindigkeit und dementsprechend auch mit einer anderen Sensorausleserate, beispielsweise einer tieferen Ausleserate ausgeführt werden, als beispielsweise die Sicherheitssteuereinheit des ersten Typs. So kann beispielsweise die Sicherheitssteuereinheit des zweiten Typs auf die Vorgänge an der Schachttür ausgelegt sein, ohne dass sie gleichzeitig auch für Vorgänge des sicherheitsrelevanten Abbremsens der Kabine ausgelegt sein muss. Im Gegenzug kann die Sicherheitssteuereinheit des ersten Typs ausschliesslich auf die für die notfallmässige Abbremsung (Fang) benötigte Auswertung ausgelegt sein. Es kann so ein kostengünstiges und dennoch sicheres Sicherheitssteuersystem mit unterschiedlich auf ihren Zweck zugeschnittenen Sicherheitssteuereinheiten gebildet werden.

[0020] Ein Aktor ist vorangehend und im Folgenden als eine Komponente zu verstehen, durch welche der physikalische Zustand des Aufzuges verändert (oder entgegen sonstigen Einwirkungen beibehalten) werden kann. Beispielsweise ist die Bremse, insbesondere auch die Fangbremse, sowie der Antrieb, insbesondere auch Türenantriebe, und Türschloss ein Aktor. Mit einem Aktor, der unmittelbar ausschliesslich von einer Sicherheitssteuereinheit angesteuert wird, ist vorangehend und im Folgenden gemeint, dass die konkrete Ansteuerung mit den benötigten Signalen und Energie zur Zustandsänderung des Aktors ausschliesslich durch die jeweils zugeordnete Sicherheitssteuereinheit geschieht. Damit ist nicht ausgeschlossen, dass die dem Aktor zugeordnete Sicherheitssteuereinheit von einer anderen Sicherheitssteuereinheit den abstrakten, mittelbaren Befehl erhält, den Zustand zu ändern. Damit die Sicherheitssteuereinheit den zugeordneten Aktor unmittelbar ausschliesslich steuern kann, sind die dazu benötigten Sensoren, die den Zustand des Aktors erhebbar machen mit der Sicherheitssteuereinheit verbunden. Die Sicherheitssteuereinheit ermöglicht so die Implementierung eines in sich geschlossenen Regelkreises des Aktors, ohne dabei auf abgesetzte Signale und/oder Auswertekapazität oder Information anderer Sicherheitssteuereinheiten zurückgreifen zu müssen.

[0021] In einer bevorzugten Ausführungsform des Aufzuges umfasst jede Schachttür als Aktor ein sicheres Türschloss und/oder einen aktiven Türantrieb. Das Sicherheitssteuersystem ist so ausgebildet, dass die Türschlösser und/oder die Türantriebe unmittelbar ausschliesslich durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs steuerbar sind.

[0022] Ein Türschloss blockiert in einem ersten Zustand ein Öffnen der Schachttür und blockiert dieses in einem zweiten Zustand nicht, das heisst gibt das Öffnen der Tür frei. Ist das Türschloss so ausgeführt, dass der Zustand, in welchem das Türschloss das Öffnen der Tür blockiert, nur dann einnehmbar ist, wenn auch die Tür, beziehungsweise die Türflügel in einem blockierbaren Zustand ist/sind (in anderen Worten ist das Türschloss «fail-safe» ausgebildet und kann deshalb als sicher bezeichnet werden), so kann alleine durch die Überwachung der beiden Zustände "blockiert", beziehungsweise "nicht blockiert" des Türschlosses darauf geschlossen werden, ob die Schachttür zu und blockiert oder offen (nicht zu ) und unblockiert ist. Es kann somit ein dem Türschloss zugewiesene sichere Sicherheitssteuereinheit des zweiten Typs bereitgestellt werden, welche unmittelbar ausschliesslich, das heisst ohne weitere Sensoren beziehungsweise Aktoren, einen sicheren Zustand des Aufzuges in Bezug auf die Schachttür feststellen kann. Beispielsweise kann das Türschloss als ein durch einen Elektromagnet festhaltbaren Bolzen ausgeführt sein. Der Bolzen kann sich bevorzugt nur dann mithilfe der Schwerkraft in einen geschlossenen Zustand bewegen, wenn die Türflügel geschlossen sind und das Elektromagnet stromlos ist. Das heisst, die Türflügel blockieren das durch die Schwerkraft bewirkte Nachuntenfallen des Bolzens so lange, als die Türen nicht verschlossen sind. Mit der Überwachung der Position des Bolzens kann so eine fail-safe Türverriegelung ausgeführt werden, von welcher der Schachttürenzustand einfach und sicher erhebbar ist. Des Weiteren oder als Alternative kann die Schachttür auch mit einem aktiven Antrieb versehen sein. Die Kombination von sicherer Sicherheitssteuereinheit und aktivem Antrieb, welcher durch die sichere Sicherheitssteuereinheit unmittelbar und ausschliesslich gesteuert werden kann , ermöglicht ebenfalls den Zustand der Schachttür lokal, das heisst ausschliesslich durch die beiden Komponenten (Sicherheitssteuereinheit/Antrieb ) und gegebenenfalls mit der Sicherheitssteuereinheit verbundenen Sensoren, beispielsweise Sensoren zur Detektion der Position der Türflügel (oder Position des Verriegelungsbolzen) sicherzustellen. Die Kombination Sicherheitssteuereinheit und aktiver Türantrieb kann so den kritischen Zustand von offenen Schachttüren erheben. So kann das Steuersystem über Abfrage des Türenzustandes bei der Sicherheitssteuereinheit des zweiten Typs sicherstellen, dass die Kabine im Schacht erst dann verfahren wird, wenn ein sicherer Zustand vorliegt. Der Vorteil eines Türschlosses und/oder eines aktiven Antriebs, wie oben und im Folgenden beschrieben ist, dass es keine unerwarteten Türöffnungsbewegungen gibt. Es kann so ein Aufzug gebaut werden, in welchem die Schachttür ausschliesslich (das heisst ein unerwartetes Öffnen einer Schachttür durch einen Servicetechniker mit Dreikantschlüssel, wie es in vielen Aufzugsanlagen vorgesehen ist, ist nicht möglich) durch die sichere Sicherheitssteuereinheit des zweiten Typs gesteuert wird. Ein unerwartetes Öffnen beispielsweise durch einen Monteur muss in der Auslegung des Sicherheitssteuersystems nicht mitberücksichtig werden. Dies reduziert insbesondere die Geschwindigkeitsanforderungen an das Sicherheitssteuersystem in Bezug auf Auslese- und Auswertegeschwindigkeit. So können Sensoren jeweils ausschliesslich nach einer durch das System beauftragten Zustandsänderung abgefragt werden. Es entfällt so die Notwendigkeit für ein schnelles, auf das Detektieren von unvorhersehbaren Ereignissen ausgelegtes Erheben des Schachttüren Zustandes.

[0023] Weiter wird durch die fail-safe Ausführung der Kommunikation ermöglicht, dass die Verbindung zwischen der Sicherheitssteuereinheit des zweiten Typs und der Sicherheitssteuereinheit des ersten Typs als einfache, unsichere Wireless-Verbindungen ausgeführt sein kann. Dies ermöglicht es die bevorzugt an jeder Schachttür vorhandene Sicherheitssteuereinheit des zweiten Typs einfach und kostengünstig in das Sicherheitssteuersystem einzubinden.

[0024] Eine unsichere Verbindung ist eine Verbindung, die kein normiertes Sicherheits-Integritäts-Level (Safety Integrity Level) erfüllt oder gegebenenfalls auch ein tieferes Sicherheits-Integritäts-Level (Safety Integrity Level) als das die relevante Norm, bspw. die EN61508 und/oder EN8120 und/oder EN8150 vorschreibt erfüllt, angeschaut werden. Es wird so eine sogenannte «Black Channel» Kommunikation implementiert, in welcher zwei sichere Einheiten über eine unsichere Verbindung sicher miteinander kommunizieren.

[0025] In einer bevorzugten Ausführungsform des Aufzuges ist der durch die Sicherheitssteuereinheit des zweiten Typs erhobene Zustand ein Zustand des Türschlosses und/oder des Türantriebs. Der Zustand signalisiert dabei eine geschlossene oder eine nicht geschlossene Schachttür.

[0026] Ist die Kommunikation auf den Austausch einer Statusinformation in Form einer binären Information ("Tür zu" entspricht einem sicheren Zustand / "Tür nicht zu" entspricht einem unsicheren Zustand) beschränkt, so kann die empfangende Sicherheitssteuereinheit ein Nichtempfangen dieser Statusinformation als ein "Tür nicht zu" oder anders ausgedrückt als unsicheren Zustand bewerten. Es entfällt so die Notwendigkeit, diese Kommunikation sicher auszuführen, da der zu übertragende Zustand die Übertragung in einer "fail-safe" Art ermöglicht. So wird die Notwendigkeit einer sicheren Kommunikation auf die sicherheitsrelevanten Aktoren und Sensoren, welche in der sicheren Sicherheitssteuereinheit des zweiten Typs selbst angebracht sind, beschränkt.

[0027] In einer bevorzugten Ausführungsform des Aufzuges ist das Sicherheitssteuersystem so ausgebildet, dass die Bremse unmittelbar ausschliesslich durch die Sicherheitssteuereinheit des ersten Typs steuerbar ist, wobei die Sicherheitssteuereinheit des ersten Typs und die Bremse bevorzugt an der Kabine angeordnet sind.

[0028] Es muss so ausschliesslich die Sicherheitssteuereinheit des ersten Typs auf die Anforderung einer sicheren Bremsung der Aufzugskabine ausgelegt werden. Durch die bevorzugte Anordnung der Sicherheitssteuereinheit des ersten Typs in physikalischer Nähe der Bremse werden Reaktionsverzögerungen auf Grund von Übertragungsverzögerungen minimiert.

[0029] In einer bevorzugten Ausführungsform des Aufzuges ist die Sicherheitssteuereinheit des zweiten Typs so ausgebildet, dass die Sicherheitssteuereinheit des zweiten Typs in regelmässigem Abstand ein Signal zur Überprüfung der Kommunikation an die Sicherheitssteuereinheit des ersten Typs sendet. Dieser Abstand ist beispielsweise grösser als 1 s, bevorzugt grösser 30 s, und besonders bevorzugt grösser 1 min.

[0030] Durch die regelmässige Übermittlung von einem Signal zur Überprüfung der Kommunikation zwischen der Sicherheitssteuereinheit des zweiten Typs und der Sicherheitssteuereinheit des ersten Typs kann sichergestellt werden, dass die Sicherheitssteuereinheit des ersten Typs, das heisst die Empfängereinheit der Statusinformation, in regelmässigen Abständen darüber informiert wird, dass die Kommunikation zwischen den beiden Einheiten noch funktioniert. Weiss die Sicherheitssteuereinheit des ersten Typs, dass die Kommunikation funktioniert und weiter auch, dass die Sicherheitssteuereinheit des zweiten Typs kürzlich eine Statusinformation zum sicheren Zustand der Schachttür gesendet hat, der Aufzug keine Zustandsänderung der Schachttüren eingeleitet hat und dass unerwartete Zustandsänderungen der Schachttüren nicht möglich sind, so kann die Sicherheitssteuereinheit des ersten Typs zuverlässig auf einen sicheren Zustand des Aufzuges im Bereich der Schachttüren schliessen. Details zum Zustand der Tür, das heisst Sensorinformationen der Sensoren rund um die Tür sind in der Sicherheitssteuereinheit des ersten Typs dazu nicht nötig.

[0031] In einer bevorzugten Ausführungsform des Aufzuges umfasst das Sicherheitssteuersystem wenigstens eine Sicherheitssteuereinheit eines dritten Typs. Die Sicherheitssteuereinheit des dritten Typs ermöglicht einen Safe-Torque-Off des Antriebs. Die Sicherheitssteuereinheit des ersten Typs und die Sicherheitssteuereinheit des dritten Typs sind miteinander verbunden.

[0032] Durch die Sicherheitssteuereinheit des dritten Typs wird die durch den Aktor Antrieb auszuführende sicherheitsrelevante Funktion der sicheren Abschaltung des Drehmoments (Safe-Torque-Off) ermöglicht. Es wird so gewährleistet, dass auch die Sicherheitssteuereinheit dieses Aktors separat von den anderen Sicherheitssteuereinheiten ausgebildet wird und dadurch nach Möglichkeit direkt neben oder in unmittelbarer Nähe des Antriebs angeordnet werden kann, womit Verzögerungen auf Grund Übertragungsverzögerungen weiter reduziert werden können.

[0033] In einer bevorzugten Ausführungsform des Aufzuges ist eine Verbindung zwischen den Sicherheitssteuereinheiten als Wireless- und/oder Kabelverbindung ausgeführt. Insbesondere die Verbindung der Sicherheitssteuereinheit des dritten Typs mit der Sicherheitssteuereinheit des ersten Typs ist als Kabelverbindung ausgeführt. Die Verbindung zwischen der Sicherheitssteuereinheit des ersten Typs und der wenigstens einen Sicherheitssteuereinheit des zweiten Typs ist bevorzugt als Wireless-Verbindung, besonders bevorzugt als unsichere Wireless-Verbindung, ausgeführt.

[0034] Das Signal der Sicherheitssteuereinheit des dritten Typs ist ein binäres Signal, welches dem Antrieb in einem ersten Zustand den Betrieb im Normalbetriebszustand ermöglicht und welches im zweiten Zustand die Verbindung des Umrichters mit der Maschine unterbricht, bspw. durch elektromagnetische Schütze, welche die Verbindung trennen oder durch Halbleiterschalter, welche sicherstellen, dass kein Strom mehr in die Maschine fliesst. Aufgrund der binären Natur dieses Signals kann die Verbindung sehr einfach, beispielsweise durch eine zweidrahtige Kabelverbindung ausgeführt werden. Hinzu kommt, dass die Kommunikation unidirektional ist, da die Sicherheitssteuereinheit des dritten Typs zumindest in ihrer einfachsten Ausführungsform des Safe-Torque-Offs keine Bestätigung oder Statusinformation an die Sicherheitssteuereinheit des ersten Typs zurücksendet.

[0035] In einer weiteren Ausführungsform ist die Sicherheitssteuereinheit des dritten Typs eine eigenständige Sicherheitssteuereinheit, welche in bidirektionaler Kommunikation mit der Sicherheitssteuereinheit des ersten Typs steht. Dabei kann die Kommunikation so wie die Kommunikation zwischen der Sicherheitssteuereinheit des ersten Typs und die Sicherheitssteuereinheit des zweiten Typs aufgebaut ist aufgebaut sein.

[0036] Wie vorangehend und im Folgenden beschrieben, ist durch die Ausführung des erfindungsgemässen Aufzuges die Kommunikation innerhalb des Sicherheitssteuersystems, das heisst zwischen den Sicherheitssteuereinheiten des ersten Typs und der Sicherheitssteuereinheit des zweiten Typs, auf ein Minimum beschränkt und so ausgebildet, dass die Kommunikation fail-safe ist, das heisst, dass ein Ausbleiben einer Kommunikation als unsicherer Zustand bewertet wird. Die Anforderung an die Verbindung zwischen diesen Sicherheitssteuereinheiten ist deshalb gering. Dies ist insbesondere vorteilhaft, da die Sicherheitssteuereinheit des zweiten Typs bei den jeweiligen Schachttüren und die Sicherheitssteuereinheit des ersten Typs auf der Kabine angeordnet sein kann. Beispielsweise kann in der Schachttür ein Wireless-Modul vorhanden sein, welches die Statusinformation der Sicherheitssteuereinheit des zweiten Typs sendet, wobei in der Sicherheitssteuereinheit des ersten Typs ein entsprechender Wireless-Empfänger vorhanden ist, der diese Information empfängt. So kann eine einfache und kostengünstige Verbindung zwischen den Einheiten realisiert werden. Insbesondere entfällt ein aufwendiges Verkabeln der Schachttüren und die Verbindung dieser auf die Kabine via Hängekabel.

[0037] In einer bevorzugten Ausführungsform des Aufzuges umfasst die Sicherheitssteuereinheit des ersten Typs und/oder die Sicherheitssteuereinheit des zweiten Typs eine unsichere Schnittstelle zur Verbindung mit Sensoren und/oder Aktoren. Insbesondere umfasst die Sicherheitssteuereinheit des zweiten Typs eine unsichere Schnittstelle zur Verbindung mit einem Sensor zur Detektion der Präsenz einer Kabinentür, bevorzugt einem Manget-Sensor, sowie gegebenenfalls zur Verbindung mit einer Schachttürantriebseinheit für die Steuerung der Schachtürbewegungen. Insbesondere umfasst die Sicherheitssteuereinheit des ersten Typs eine unsichere Schnittstelle zur Verbindung mit Positionssensoren und/oder Geschwindigkeits- sowie Beschleunigungssensoren.

[0038] Eine unsichere Schnittstelle ist eine Schnittstelle, die kein normiertes Sicherheits-Integritäts-Level (Safety Integrity Level) erfüllt oder gegebenenfalls auch ein tieferes Sicherheits-Integritäts-Level (Safety Integrity Level) als das die relevante Norm, bspw. die EN61508 und/oder EN8120 und/oder EN8150 vorschreibt erfüllt, angeschaut werden.

[0039] Während gewisse Sensoren für die Erhebung eines sicheren Zustands des überwachten Aktors/Aktoren unerlässlich sind, können weitere Aktoren und/oder Sensoren, welche sicherheitsirrelevante Zustände erheben/bewirken vorhanden sein. So kann beispielsweise bei einer Schachttür mit aktivem Türantrieb und einem fail-safe Türschloss der Sensor zur Detektion des Zustands des Türschlosses allein bereits die geforderten Sicherheitsanforderungen in Bezug auf die Schachttüre erfüllen. Ein Sensor, der die Türbewegung aufgrund des aktiven Antriebs überwacht, ist in diesem Fall nicht sicherheitsrelevant und muss daher auch nicht sicher ausgeführt sein. So kann in diesem Fall der Türbewegungssensor über die unsichere Schnittstelle mit der sicheren Sicherheitssteuereinheit des zweiten Typs verbunden sein.

[0040] In einer bevorzugten Ausführungsform des Aufzuges umfasst die Sicherheitssteuereinheit des ersten Typs und/oder die Sicherheitssteuereinheit des zweiten Typs eine sichere Schnittstelle zur Verbindung mit Sensoren und/oder Aktoren. Insbesondere umfasst die Sicherheitssteuereinheit des zweiten Typs eine sichere Schnittstelle zur Verbindung eines Türlockstatussensors, sowie eine Schnittstelle zur Ansteuerung des Elektromagneten (Aktor) des Türschlosses. Insbesondere umfasst die Sicherheitssteuereinheit des ersten Typs eine sichere Schnittstelle zur Verbindung eines Schlafseil-Detektors und einer Lastmessvorrichtung, sowie eine sichere Schnittstelle zur Ansteuerung der Bremse und/oder der Safe-Torque-Off-Funktion (in Form eines Signals aus der Sicherheitssteuereinheit des ersten Typs zur Auslösung des STO-Zustands (Trennung der Maschine vom Umrichter) oder eine Verbindung auf eine separate, eigenständige sichere Sicherheitssteuereinheit des dritten Typs, welche die STO-Funktion implementiert).

[0041] Als sicher kann eine Schnittstelle, die beispielsweise den normierten Sicherheits-Integritäts-Level 1 (Safety Integrity Level, SIL1), bevorzugt SIL2 und besonders bevorzugt SIL3 nach IEC61508 und/oder EN8120 und/oder EN8150 erfüllt, angeschaut werden.

[0042] Die sichere Schnittstelle ermöglicht die Verbindung der für den Sicherheitszustand des Aufzuges relevanten Aktoren und Sensoren, und ermöglicht so die Bereitstellung eines sicheren Sicherheitssteuersystems durch die Bereitstellung von in sich geschlossenen sicheren Sicherheitssteuereinheiten.

[0043] Zur Lösung der Aufgabe führt ebenfalls ein Verfahren zur Steuerung eines Aufzuges, bevorzugt wie vorangehend und im Folgenden beschrieben, das Verfahren umfassend die Schritte:

• Erheben eines sicheren Zustands wenigstens einer, bevorzugt aller, Schachttüren einer Mehrzahl von Schachttüren durch Erhebung eines sicheren Zustandes eines Aktors der Schachttür durch wenigstens eine sichere Sicherheitssteuereinheit eines zweiten Typs, wobei der erhobene Zustand insbesondere entweder "Geschlossen" oder "Nicht geschlossen" signalisiert,
• Übermitteln, insbesondere unsicheres übermitteln, insbesondere übermitteln über eine Wireless-Verbindung, des erhobenen Zustandes der wenigstens einen, bevorzugt aller, Schachttüren von der wenigstens einen Sicherheitssteuereinheit des zweiten Typs zu einer Sicherheitssteuereinheit eines ersten Typs.

[0044] Beim vorangehenden und im folgenden beschriebenen Verfahren wird der Zustand einer Schachttür indirekt über den Zustand eines Aktors erhoben, das heisst beurteilt. Ist der Aktor sicher, das heisst beispielsweise fail-safe ausgeführt, kann eine sichere Zustandserhebung indirekt durch die Erhebung des Zustands dieses sicheren Aktors geschehen. Beispielsweis kann ein fail-safe Türschlosses oder ein aktiver, sicherer Türantrieb als Aktor zur indirekten Erhebung des sicheren Zustands benutzt werden.

[0045] Ein Aktor eignet sich zur indirekten Überwachung des Zustandes des durch den Aktor direkt oder indirekt betätigbaren, das heisst durch den Aktor kontrollierbaren Objekts, (im vorliegenden Fall die Schachttür), wenn der Aktor eine sichere Ansteuerung umfasst und der zu überwachende Zustand (bspw. geschlossen/nicht geschlossen) des zu überwachende Objekts (bspw. Schachttür) ausschliesslich nach/durch Betätigung des Aktors veränderbar ist. Denn dadurch können unerwartete Zustandsänderung, bspw. ein manuelles Öffnen der Schachttür durch den Monteur ausgeschlossen werden. Im Gegensatz zu einem Aufzug mit klassischem Türschalter, welcher jeder Zeit eine unerwarteten Türöffnung innerhalb kürzester Zeit feststellen muss, werden die Anforderungen an das Sicherheitssteuersystem des zweiten Typs, welches den Zustand unmittelbar erhebt reduziert, insbesondere muss der überwachte Zustand weniger oft erhoben werden.

[0046] Die Zustandsunterscheidung "Geschlossen" und "Nicht geschlossen" kann dabei durch einen Sensor erhoben werden, welcher nur feststellt, ob die Schachttür in einem geschlossenen Zustand ist, wobei in allen anderen Fällen, inklusive dem Fall, in welchem der Sensor ausfällt ein Zustand "Nicht geschlossen" erhoben wird.

[0047] In einer bevorzugten Ausführungsform weist jeder der Schachttüren ein sicheres Türschloss auf, wobei im Verfahren zur Steuerung des Aufzuges
In einer bevorzugten Ausführungsform des Verfahrens zur Steuerung des Aufzuges umfasst das Verfahren weiter die Schritte:

• Empfangen des übermittelten Zustandes durch die Sicherheitssteuereinheit des ersten Typs,
• Freigabe eines Öffnens einer Bremse, insbesondere Lösen einer Bremse, durch die Sicherheitssteuereinheit des ersten Typs falls alle der Empfangen Zustände dem Zustand "Geschlossen" entsprechen,
• Blockieren eines Öffnens der Bremse durch die Sicherheitssteuereinheit des ersten Typs falls einer der empfangenen Zustände "Nicht geschlossen" ist oder nicht alle Zustände empfangen wurden.

[0048] In einer bevorzugten Ausführungsform des Verfahrens zur Steuerung des Aufzuges umfasst das Verfahren weiter die Schritte:

• wiederholtes Senden eines Signals zur Überprüfung der Kommunikation durch die Sicherheitssteuereinheit des zweiten Typs an die Sicherheitssteuereinheit des ersten Typs im Abstand eines definierten Zeitintervalls,
• Feststellen der Kommunikationsfähigkeit zwischen der Sicherheitssteuereinheit des ersten Typs und der Sicherheitssteuereinheit des zweiten Typs bei Empfang des Signals zur Überprüfung der Kommunikation, und
• Feststellen eines Fehlerzustandes der Kommunikation zwischen der Sicherheitssteuereinheit des ersten Typs und der Sicherheitssteuereinheit des zweiten Typs beim Ausbleiben eines Empfangs des Signals nach einer Zeitdauer, welche länger als das definierte Zeitintervall ist, wobei das definierte Zeitintervall bevorzugt länger als 1 Sekunde, bevorzugt länger als 30 Sekunden, besonders bevorzugt länger 2 Minuten ist.

[0049] In einer weiteren Ausführungsform des Verfahrens umfasst dieses weiter den Schritt:

• Senden des STO-Befehls bzw. Freigabe eines STO-Betriebs von der Sicherheitssteuereinheit des ersten Typs zur Sicherheitssteuereinheit des dritten Typs.

[0050] Weitere Vorteile, Merkmale und Einzelheiten der Erfindung ergeben sich anhand der nachfolgenden Beschreibung von Ausführungsbeispielen sowie anhand der Zeichnungen, in welchen gleiche oder funktionsgleiche Elemente mit identischen Bezugszeichen versehen sind.

[0051] Hierbei zeigen

Fig. 1:

eine stark vereinfachte und schematische Darstellung eines Aufzuges mit einem Aufzugschacht und einer Kabine,

Fig. 2:

ein schematisiertes Blockdiagramm des Sicherheitssteuersystems.

[0052] Fig. 1 zeigt einen Aufzug 2. Der Aufzug 2 ist in einer Seitenansicht gezeigt. Ein Teil des Aufzuges 2 ist in einer Frontansicht gezeigt, wobei dies durch die gestrichpunktete Linie angezeigt ist.

[0053] Der Aufzug 2 umfasst eine Kabine 4, welche entlang des Schachtes 3 verfahrbar ist. Die Aufzugskabine 4 ist durch ein Tragmittel gehalten, wobei das Tragmittel beispielsweise ein Seil oder ein Riemen ist. Am anderen Ende ist das Tragmittel mit einem Gegengewicht verbunden. Das Tragmittel wird über einen Antrieb 6 angetrieben.

[0054] Die Kabine 4 umfasst eine Kabinentür 15 zum Öffnen und Schliessen eines Zugangs zur Kabine 4. Die Kabinentür wird in diesem Ausführungsbeispiel über einen aktiven Türantrieb geöffnet. Der Kabinentürantrieb ist über eine Sicherheitssteuereinheit eines ersten Typs 14, welche auf der Kabine angeordnet ist, steuerbar.

[0055] An jedem der Mehrzahl von Stockwerken 21', 21", 21‴ ist wenigstens eine Schachttür 10 vorgesehen. Die Schachttür 10 kann geöffnet bzw. geschlossen werden, um so Zugang zum Schacht 3 zu gewähren bzw. zu blockieren. Der Aufzug 2 umfasst weiter an jeder Schachttür 10 einen aktiven Antrieb. Dieser aktive Antrieb ermöglicht das Öffnen bzw. Schliessen der Schachttür durch ein laterales Verschieben der Schachttürflügel. Jede der Schachttüren 10 ist durch eine eigene Sicherheitssteuereinheit eines zweiten Typs 16 steuerbar.

[0056] Der Aufzug umfasst weiter an der Kabine 4 eine Kabinenbremse 8, wobei die Kabinenbremse 8 durch die Sicherheitssteuereinheit des ersten Typs 14 gesteuert wird.

[0057] In einem Joch des Türrahmens 25 oberhalb der Türflügel 27 ist eine Sicherheitssteuereinheit des zweiten Typs 16 pro Stockwerk 21', 21", 21‴ und Schachttürangeordnet. Ebenfalls in diesem Kasten 25 befindet sich ein Türschloss 20 sowie ein aktiver Türantrieb 22 als auch ein Wireless-Kommunikationsmodul zur kabellosen Verbindung 26 zur Sicherheitssteuereinheit des ersten Typs 14, sowie ein Sensor 36 zur Überwachung des Zustandes des Türschlosses. Die Sicherheitssteuereinheit des zweiten Typs 16 umfasst eine sichere Schnittstelle 32 und eine unsichere Schnittstelle 34.

[0058] In einem Normalbetrieb des Aufzuges 2 wird die Kabine 4 von einem Stockwerk 21" zu einem anderen Stockwerk 21' gefahren. Die Bewegung der Aufzugskabine geschieht dabei durch Einwirken des Antriebs auf das Tragmittel. Der Antrieb 6 ist dabei so gesteuert, dass die Kabine 4 bei Erreichen des entsprechenden Stockwerks anhält. Die Passagiere können nun aus- bzw. einsteigen.

[0059] Fig. 2 zeigt das Sicherheitssteuersystem 12 des Aufzuges 2. Das Sicherheitssteuersystem 12 ist schematisch in drei Bereiche unterteilt. Ein erster Bereich 10 (durch die Umrandung mit dem Bezugszeichen 10 gekennzeichnet) stellt den Teil des Sicherheitssteuersystems 12 dar, welcher an den Schachttüren 10 oder in unmittelbarer Nähe der Schachttüren angeordnet ist. Ein zweiter Bereich (durch die Umrandung mit dem Bezugszeichen 4 gekennzeichnet) stellt den Teil des Sicherheitssteuersystems 12 dar, welcher an der Kabine 4 angeordnet ist. Weiter existiert ein dritter Teil (Umrandung mit dem Bezugszeichen 6 gekennzeichnet), welcher der Teil des Sicherheitssteuersystems 12 ist, welcher beim Antrieb 6 angeordnet ist.

[0060] Im Bereich der Schachttüren 10 sind zwei identische Sicherheitssteuereinheiten des zweiten Typs 16 und entsprechende Sensoren 36 und Aktoren 20, 22, 38 gezeigt. Die sichere Steuereinheit des zweiten Typs 16 ist über eine sichere Schnittstelle 32 und eine sichere Verbindung 28 sowohl auf einen ersten Aktor 20 in Form eines Türschlosses verbunden als auch auf einen Sensor 36, wobei dieser Sensor den Zustand des Türschlosses 20 überwacht. Weiter ist die sichere Sicherheitssteuereinheit des zweiten Typs 16 über eine unsichere Schnittstelle 34 und eine unsichere Verbindung 30 mit weiteren Sensoren 36, namentlich einem Magnetsensor zur Detektion einer Kabine in der Nähe der Schachttür, sowie einem Aktor 22 in Form eines Türantriebs verbunden.

[0061] Im Bereich der Kabine 4 umfasst das Sicherheitssteuersystem 12 eine sichere Sicherheitssteuereinheit des ersten Typs 14. Diese Sicherheitssteuereinheit 14 ist mit einer Mehrzahl von Sensoren 36 verbunden, wobei in diesem Ausführungsbeispiel vier Sensoren 36 dargestellt sind. Es ist eine Kamera auf dem Kabinendach und eine Kamera an dem Kabinenboden als Sensor 36 angeschlossen. Die Kamera dienen dabei wenigstens der Überwachung des Raums, in welchem ein Servicetechniker während der Maintenance arbeitet. Diese Sensoren 36 sind über eine unsichere Verbindung 30 über die unsichere Schnittstelle 34 mit der Sicherheitssteuereinheit 14 verbunden. Weitere sind ein Beschleunigungssensor und ein Absolutpositionssensor ebenfalls über eine unsichere Schnittstelle 34 und Verbindung 30 verbunden. Weiter sind drei Sensoren 36 über eine sichere Verbindung 28 mit der Sicherheitssteuereinheit 14 verbunden. Es sind zwei Schlaffseilsensoren vorhanden und ein Sensor 36 zur Bestimmung des Gewichts in der Kabine 4. Die Sicherheitssteuereinheit 14 ist weiter über jeweils eine sichere Verbindung 28 mit zwei Aktoren 8, welches Bremsen sind, verbunden. Ebenfalls umfasst die Sicherheitssteuereinheit eine sichere Verbindung 28 in den Bereich des Antriebs 6, über welche die STO-Funktion im Umrichter ausgelöst werden kann.

[0062] Abschliessend ist darauf hinzuweisen, dass Begriffe wie "aufweisend", "umfassend" etc. keine anderen Elemente oder Schritte ausschliessen und Begriffe wie "eine" oder "ein" keine Vielzahl ausschliessen. Ferner sei darauf hingewiesen, dass Merkmale oder Schritte, die mit Verweis auf eines der obigen Ausführungsbeispiele beschrieben worden sind, auch in Kombination mit anderen Merkmalen oder Schritten anderer oben beschriebener Ausführungsbeispiele verwendet werden können. Bezugszeichen in den Ansprüchen sind nicht als Einschränkung anzusehen.

Ansprüche

1. Aufzug (2), umfassend

einen Schacht (3),

eine im Schacht (3) verfahrbare Kabine (4),

einen Antrieb (6), welcher mit der Kabine (4) wirkverbunden ist und durch welchen die Kabine (4) verfahrbar ist,

eine Bremse (8),

eine Mehrzahl von Schachttüren (10) und

ein Sicherheitssteuersystem (12), umfassend

eine sichere Sicherheitssteuereinheit eines ersten Typs (14) und wenigsten

eine sichere Sicherheitssteuereinheit eines zweiten Typs (16), wobei

die Sicherheitssteuereinheit des ersten Typs (14) und die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) miteinander verbunden sind, wobei die wenigsten eine Sicherheitssteuereinheit des zweiten Typs (16) so ausgebildet ist, dass durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) ein Zustand einer jeder der Schachttüren (10) erhebbar ist, dadurch gekennzeichnet, dass

das Sicherheitssteuersystem (12) so ausgebildet ist, dass der Zustand der Schachttüren (10) unmittelbar ausschliesslich durch die wenigsten eine Sicherheitssteuereinheit des zweiten Typs (16) erhebbar ist.

2. Aufzug (2) nach Anspruch 1, wobei das Sicherheitssteuersystem (12) eine sichere Sicherheitssteuereinheit des zweiten Typs (16) pro Schachtür (10) umfasst, wobei die Sicherheitssteuereinheiten des zweiten Typs (16) bevorzugt an den Schachtüren (10) angebracht sind.

3. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei die sicheren Steuereinheiten (14, 16) so ausgebildet sind, dass jeweils wenigstens ein ihnen zugeordneter Aktor (8, 20, 22) durch sie steuerbar ist, wobei der jeweilige Aktor (8, 20, 22, 36) bevorzugt unmittelbar ausschliesslich von dieser Sicherheitssteuereinheit (14, 16) steuerbar ist.

4. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei jede der Schachttüren (10) als Aktor ein sicheres Türschloss (20) und/oder einen aktiven Türantrieb (22) umfasst, wobei das Sicherheitssteuersystem (12) so ausgestaltet ist, dass die Türschlösser (20) und/oder die Türantriebe (22) unmittelbar ausschliesslich durch die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) steuerbar sind.

5. Aufzug nach Anspruch 4, wobei der durch die Sicherheitssteuereinheit des zweiten Typs (16) erhobene Zustand, ein Zustand des Türschlosses (20) und/oder des Türantriebs (22) ist, wobei der Zustand eine geschlossene oder eine nicht geschlossene Schachttür (10) signalisiert.

6. Aufzug (2) nach Anspruch 3, wobei das Sicherheitssteuersystem so ausgebildet ist, dass die Bremse (8) unmittelbar ausschliesslich durch die Sicherheitssteuereinheit des ersten Typs (14) steuerbar ist, wobei diese bevorzugt an der Kabine (4) angebracht ist und die Bremse (8) bevorzugt als Kabinenbremse ausgeführt ist.

7. Aufzug nach einem der vorangehenden Ansprüche, wobei die wenigstens eine Sicherheitssteuereinheit des zweiten Typs (16) so ausgebildet ist, dass sie im Fall eines unsicheren Zustands eines durch sie steuerbaren Aktors (20, 22) eine Statusinformation an die Sicherheitssteuereinheit des ersten Typs (14) sendet.

8. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei die Sicherheitssteuereinheit des zweiten Typs (16) so ausgebildet ist, dass die Sicherheitssteuereinheit des zweiten Typs (16) in regelmässigem Abstand ein Signal zur Überprüfung der Kommunikation an die Sicherheitssteuereinheit des ersten Typs (14) sendet, wobei dies in einem Abstand von beispielsweise grösser 1 Sekunde, bevorzugt grösser 30 Sekunden, besonders bevorzugt grösser 1 Minute geschieht.

9. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei das Sicherheitssteuersystem (12) wenigstens eine Sicherheitssteuereinheit eines dritten Typs (18) umfasst, wobei die Sicherheitssteuereinheit des dritten Typs (18) mit der Sicherheitssteuereinheit des ersten Typs (14) verbunden ist und einen Safe-Torque-Off des Antriebs (6) ermöglicht.

10. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei eine Verbindung (24) zwischen den Sicherheitssteuereinheiten (14, 16, 18) als Wireless- und/oder Kabelverbindung (24, 26) ausgeführt ist, wobei insbesondere die Verbindungen der Sicherheitssteuereinheit des dritten Typs (18) mit der Sicherheitssteuereinheit des ersten Typs (14) als Kabelverbindung ausgeführt ist, wobei die Verbindung zwischen der Sicherheitssteuereinheit des ersten Typs (14) und der Sicherheitssteuereinheit des zweiten Typs (16) bevorzugt eine Wireless-Verbindung (30), besonders bevorzugt als unsichere Wireless-Verbindung ausgeführt ist.

11. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei die Sicherheitssteuereinheit des ersten Typs (14) und/oder die Sicherheitssteuereinheit des zweiten Typs (16) eine unsichere Schnittstelle (28) zur Verbindung mit Sensoren (36) und Aktoren (38) umfasst, insbesondere umfasst die Sicherheitssteuereinheit des zweiten Typs (16) eine unsichere Schnittstelle (34) zur Verbindung mit einer Schachttürantriebseinheit, wobei die Sicherheitssteuereinheit des ersten Typs (14) eine unsichere Schnittstelle (34) insbesondere zur Verbindung mit Positionssensoren (36) und/oder Geschwindigkeits- sowie Beschleunigungssensoren (36) umfasst.

12. Aufzug (2) nach einem der vorangehenden Ansprüche, wobei die Sicherheitssteuereinheit des ersten Typs (14) und/oder Sicherheitssteuereinheit des zweiten Typs (16) eine sichere Schnittstelle (30) zur Verbindung mit Sensoren (36) und/oder Aktoren (8, 20, 22, 38) umfasst, insbesondere umfasst die Sicherheitssteuereinheit des ersten Typs (14) eine sichere Schnittstelle (32) zur Verbindung eines Schlaffseilsensors (36) und eines Lastmesssensors (36), sowie eine sichere Schnittstelle (36) zur Ansteuerung der Bremse (8) und zur Verbindung der Sicherheitssteuereinheit des dritten Typs (18).

13. Verfahren zur Steuerung eines Aufzuges (2), bevorzugt nach einem der vorangehenden Ansprüche, umfassend die Schritte

- Erheben eines sicheren Zustands wenigstens einer, bevorzugt aller, Schachttüren einer Mehrzahl von Schachttüren (10) durch Erhebung eines sicheren Zustandes eines Aktors der Schachttür durch wenigstens eine sichere Sicherheitssteuereinheit eines zweiten Typs (16), wobei der erhobene Zustand insbesondere entweder "Geschlossen" oder "Nicht geschlossen" signalisiert,

- Übermitteln, insbesondere unsicheres übermitteln, insbesondere übermitteln über eine Wireless-Verbindung (26), des erhobenen Zustandes der wenigstens einen, bevorzugt aller, Schachttüren (10) von der wenigstens einen Sicherheitssteuereinheit des zweiten Typs (16) zu einer Sicherheitssteuereinheit eines ersten Typs (14).

14. Verfahren nach Anspruch 13, das Verfahren weiter umfassend die Schritte

- Empfangen des übermittelten Zustandes durch die Sicherheitssteuereinheit des ersten Typs (14),

- Freigabe eins Öffnens einer Bremse (8), insbesondere Lösen einer Bremse (8), durch die Sicherheitssteuereinheit des ersten Typs (14) falls alle der Empfangen Zustände dem Zustand "Geschlossen" entsprechen,

- Blockieren eins Öffnens der Bremse (8) durch die Sicherheitssteuereinheit des ersten Typs (14) falls einer der empfangenen Zustände "Nicht geschlossen" ist oder nicht alle Zustände empfangen wurden.

15. Verfahren nach einem der Ansprüche 13 oder 14, das Verfahren weiter umfassend die Schritte

- wiederholtes Senden eines Signals zur Überprüfung der Kommunikation durch die Sicherheitssteuereinheit des zweiten Typs (16) an die Sicherheitssteuereinheit des ersten Typs (14) im Abstand eines definierten Zeitintervalls,

- Feststellen der Kommunikationsfähigkeit zwischen der Sicherheitssteuereinheit des ersten Typs (14) und der Sicherheitssteuereinheit des zweiten Typs (16) bei Empfang des Signals zur Überprüfung der Kommunikation, und

- Feststellen eines Fehlerzustandes der Kommunikation zwischen der Sicherheitssteuereinheit des ersten Typs (14) und der Sicherheitssteuereinheit des zweiten Typs (16) beim Ausbleiben eines Empfangs des Signals nach einer Zeitdauer, welche länger als das definierte Zeitintervall ist, wobei das definierte Zeitintervall bevorzugt länger als 1 Sekunde, bevorzugt länger als 30 Sekunden, besonders bevorzugt länger 2 Minuten ist.

Zeichnung