VERFAHREN UND VORRICHTUNG ZUR STEUERUNG EINER AUFZUGSANLAGE

Beschreibung

[0001] Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage.

[0002] Eine Aufzuganlage umfasst normalerweise eine Aufzugskabine, einen Aufzugschacht, in dem sich die Aufzugskabine bewegt, und eine Antriebseinheit zum Bewegen der Aufzugskabine.

[0003] Aus der WO2005/000727A1 ist bekannt, dass Aufzugsanlagen einen Sicherheitskreis aufweisen, bei dem mehrere Sicherheitselemente, wie z.B. Sicherheitskontakte und -schalter, in einer Serienschaltung angeordnet sind. Die Kontakte überwachen z.B., ob eine Schachttür oder die Kabinentür geöffnet ist. Die Aufzugskabine kann nur bewegt werden, wenn der Sicherheitskreis und damit auch alle in ihm integrierten Sicherheitskontakte geschlossen sind. Einige der Sicherheitselemente werden von den Türen betätigt. Andere Sicherheitselemente, wie z.B. ein Überfahrschalter, werden durch die Aufzugskabine betätigt oder ausgelöst. Der Sicherheitskreis steht mit dem Antrieb oder der Bremseinheit einer Aufzugsanlage in Verbindung, um den Fahrbetrieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird.

[0004] Aus der WO2005/000727A1 sind ferner Aufzugsanlagen bekannt, die statt mit dem erwähnten Sicherheitskreis mit einem Sicherheitsbussystem ausgerüstet sind, das typischerweise eine Kontrolleinheit, einen Sicherheitsbus und einen oder mehrere Busknoten umfasst.

[0005] Von Bedeutung ist nicht nur die Sicherheit von Personen, die mit der Aufzugsanlage befördert werden, sondern auch die Sicherheit von Personen, die sich z.B. für Wartungszwecke im Aufzugsschacht aufhalten.

[0006] Die WO2003008316A1 beschreibt, dass heutige Aufzuganlagen aus Sicherheitsgründen so ausgelegt sind, dass am Schachtboden ein Schutzraum in Form einer Schachtgrube vorgesehen ist, um sicher zu stellen, dass Wartungspersonal im Schacht nicht gefährdet wird, wenn die Aufzugskabine in die unterste Position im Schacht fährt.

[0007] Zudem ist am oberen Ende des Schachtes - Schachtkopf genannt - normalerweise ein Schutzraum vorgesehen, damit Wartungspersonal, das eine Wartung auf dem Dach der Kabine durchführt, nicht gefährdet wird, wenn die Kabine in die oberste Position im Schacht fährt.

[0008] Eine Aufzuganlage mit Schutzraum am unteren und am oberen Schachtende ist um einige Meter länger als die eigentliche Geschosshöhe des Gebäudes, das von dem Aufzug bedient wird. Dies trifft auf die verschiedensten Arten von Aufzugsdispositionen zu, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor-Aufzüge.

[0009] Zur Vermeidung oder Verkleinerung der genannten Schutzräume weist die in der WO2003008316A1 offenbarte Aufzugsanlage zusätzlich und unabhängig von den üblichen Sensoren und Steuermitteln, die für den normalen Betrieb der Aufzuganlage vorgesehen sind, eine Erfassungsvorrichtung auf, die detektiert, ob sich eine Person in einer kritischen Zone des Schachtes, insbesondere innerhalb der Schachtgrube oder des Schachtkopfs, aufhält. Die Detektion kann mittels beliebiger Sensoren, z.B. Lichtschranken, erfolgen. Diese Erfassungsvorrichtung ist mit der Antriebseinheit der Aufzugsanlage derart verbunden, dass die Aufzuganlage in einen speziellen Betriebszustand überführbar ist, falls sich eine Person in der kritischen Zone aufhält oder im Begriff ist, in diese zu gelangen.

[0010] Die Erfassungsvorrichtung und die spezielle Steuereinrichtung sind sicherheitsrelevant ausgelegt, um unter allen Umständen das Einfahren der Aufzugskabine in die kritische Zone zu verhindern, falls sich eine Person darin befindet. Die sicherheitsrelevante Auslegung erfordert z.B., dass wichtige Komponenten redundant vorhanden sind, wichtige Funktionen der Steuereinrichtung parallel ablaufen und ihre Ergebnisse miteinander verglichen werden und die Datenübertragung über parallele Leitungen erfolgt. Die sicherheitsrelevante Auslegung der Aufzugsanlage ist daher mit erheblichem Aufwand verbunden.

[0011] Die WO2013/045271A1 beschreibt eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist zwei Zählvorrichtungen auf, mittels welchen Bewegungen einer Schachttür erfasst werden können. Eine Zählvorrichtung ist nur bei intakter Stromversorgung aktiv. Die andere Zählvorrichtung ist energieautark ausgeführt und ist damit sowohl bei intakter, also auch bei ausgefallener Stromversorgung aktiv. Auf Basis der Zählwerte der beiden Zählvorrichtungen kann festgestellt werden, ob die Schachttür bei ausgefallener Stromversorgung geöffnet wurde. Die energieautarke Zählvorrichtung weist einen Permanentmagneten und eine Induktionseinheit auf, welche den Betrieb der Zählvorrichtung ohne Einsatz einer Batterie ermöglichen.

[0012] Die WO2014/124779A1 beschreibt ebenfalls eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist eine Abfrageeinrichtung und einen Sicherheitsschalter zur Überwachung eines Türschlosses einer Schachttür der Aufzuganlage auf. Die Abfrageeinheit kann bei einem Ausfall der Stromversorgung von einer unabhängigen Energieversorgungseinrichtung beispielsweise in Form einer Batterie versorgt werden.

[0013] Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, die Nachteile des Standes der Technik zu überwinden und ein verbessertes Verfahren und eine verbesserte Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage anzugeben.

[0014] Das erfindungsgemässe Verfahren und die erfindungsgemässe Vorrichtung sollen insbesondere mit einem möglichst geringen Wartungsaufwand durch einen Servicetechniker durchführbar beziehungsweise betreibbar sein.

[0015] Insbesondere sollen das erfindungsgemässe Verfahren und die Vorrichtung bei Stromausfällen eine lang andauernde Überwachung der Aufzugsanlage sicherstellen, sodass diese nach Beendigung eines lang andauernden Stromausfalls oder mehrerer aufeinander folgenden Stromausfälle automatisch wieder hochgefahren werden kann und eine Inspektion der Aufzugsanlage durch das Wartungspersonal nicht erforderlich ist. Darüber hinaus soll eine Prüfung und Wartung der Vorrichtung möglichst selten notwendig sein.

[0016] Diese Aufgabe wird durch ein Verfahren und eine Vorrichtung gemäss Anspruch 1 bzw. 13 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren Ansprüchen angegeben.

[0017] Das Verfahren und die Vorrichtung dienen der gesicherten Steuerung einer Aufzuganlage, die eine Antriebseinheit umfasst, mittels der eine in einem Aufzugschacht angeordnete Aufzugskabine verfahrbar ist und die von einer Steuervorrichtung derart gesichert angesteuert wird,

a) dass die Aufzugskabine im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts verfahren werden kann, an denen Türen vorgesehen sind, die von der Steuervorrichtung gesteuert werden und von denen wenigstens einer ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht befindet.

[0018] Wenigstens einer der Türen sind eine Überwachungseinheit und ein Überwachungssensor zugeordnet, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür, detektiert werden. Die Überwachungseinheit

a) ist mit einer Batterie ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage in einen autonomen Betrieb umschaltbar;

b) ist mit dem Überwachungssensor verbunden und überwacht während des autonomen Betriebs den Zustand des Überwachungssensors und registriert entsprechende Zustandsdaten;

c) ist mit einer Sicherungseinheit verbunden, die aus allen angeschlossenen Überwachungseinheiten die registrierten Zustandsdaten ausliest und ausgewertet und die Versetzung der Aufzugsanlage in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen detektiert wurde.

[0019] Der Überwachungssensor ist ein mit dem zugehörigen Türverschluss gekoppelter Schaltkontakt, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit übertragen wird, die das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht, die bei Betätigung des Türverschlusses auftreten. Der Ausgang kann auch als ein so genannter Ausgangsport und der Eingang als ein so genannter Eingangsport der Überwachungseinheit bezeichnet werden. Sofern der Schaltkontakt geöffnet wird, wird die Übertragung des Überwachungssignals unterbrochen und die Öffnung des Schaltkontakts in der Überwachungseinheit detektiert. Diese Signaländerung oder Zustandsänderung wird in der Überwachungseinheit registriert. Zustandsdaten können in der Überwachungseinheit abgespeichert und zur Auswertung durch die Sicherungseinheit bereitgestellt werden oder bereits in der Überwachungseinheit ausgewertet werden, sodass die Überwachungseinheit nach Beendigung des Stromausfalls bereits das Ergebnis der Überwachung, die Anwesenheit oder Abwesenheit einer Person im Aufzugschacht, an die zentrale Sicherungseinheit überträgt.

[0020] Erfindungsgemäss ist das Überwachungssignal als eine Folge von Pulsen ausgeführt. Für die Übertragung einer Folge von Pulsen wird viel weniger Energie benötigt als für eine Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms. Damit wird die Batterie im Vergleich zur Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms weniger belastet. Es ist besonders vorteilhaft, wenn das Überwachungssignal als eine Folge von Pulsen übertragen wird, die einen relativ grossen zeitlichen Abstand zueinander aufweisen.

[0021] Durch die geringe Belastung der Batterie durch das gepulste Überwachungssignal erreicht die Batterie eine lange Lebensdauer, was eine seltene Überprüfung ihres Ladezustands und einen seltenen Wechsel der Batterie ermöglicht. Damit ist der Aufwand für Prüfung und Wartung der Überwachungseinheit sehr gering.

[0022] Das Überwachungssignal ist insbesondere als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt. Die Soll-Formen unterscheiden sich beispielsweise in der Pulsposition, der Pulsform, der Pulsamplitude und/oder der Pulsbreite.

[0023] Die Erfindung, die bei verschiedensten Arten von Aufzugsdispositionen, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor-Aufzüge einsetzbar ist, erlaubt es, den Zugang einer Person in den Aufzugschacht sicher zu überwachen und den Übergang der Aufzugsanlage in den Normalbetrieb zu verhindern, falls ein Ereignis detektiert wurde, welches anzeigt, dass eine Person möglicherweise in den Aufzugschacht gelangt ist. Sobald eine kritische Zustandsänderung von der Sicherungseinheit detektiert oder erkannt wird, so wird dies z.B. einem Steuerrechner signalisiert. Alternativ kann die Steuereinheit direkt in die Aufzugsanlage eingreifen und z.B. die Stromversorgung unterbrechen oder die Antriebseinheit ausser Betrieb setzen. Die Sicherungseinheit kann z.B. als Softwaremodul in den Steuerrechner integriert sein oder als separates Modul ausgebildet sein, das mit dem Steuerrechner oder anderen Teilen der Aufzugsanlage interagiert. Die Elemente zur Überwachung und gesicherten Steuerung der Aufzugsanlage können daher in die weiteren Elemente zur Steuerung der Aufzugsanlage integriert werden oder unabhängig davon realisiert sein.

[0024] Dieser Zugang einer Person in den Aufzugschacht ist insbesondere dann besonders kritisch, wenn die Aufzugsanlage mitsamt den konventionellen Sicherungsmodulen, soweit vorhanden, ausgeschaltet ist. In diesem Zustand kann eine Person einen Türverschluss z.B. mittels eines Werkzeugs oder Schlüssels betätigen, die Tür öffnen und in den Aufzugschacht gelangen und ist bei Inbetriebsetzung der Anlage einer Verletzungsgefahr ausgesetzt. Eine automatische Inbetriebsetzung wird daher aus Sicherheitsgründen vermieden. Stattdessen prüft das Wartungspersonal nach einem Stromausfall, ob der Aufzugschacht frei ist und die Aufzugsanlage in Betrieb gesetzt werden kann.

[0025] Wie eingangs beschrieben, können alternativ Sensoren vorgesehen sein, welche die Anwesenheit einer Person im Aufzugschacht detektieren, sobald die Anlage in Betrieb gesetzt wird. Sofern diese Detektion sicher durchgeführt werden soll, so ist sie mit erheblichem Aufwand verbunden. Einerseits sind Hardware und Software sicher auszuführen. Andererseits sind Sensoren derart vorzusehen, dass die Person an jeder Stelle des Aufzugschachts sicher detektiert werden kann. Die Detektion soll auch dann gesichert sein, wenn die Sensoren verschmutzt sind oder abnormale Konditionen, z.B. Rauchentwicklung, innerhalb des Aufzugschachts vorherrschen.

[0026] Erfindungsgemäss wird das Problem mit vergleichsweise einfachen und sehr sicheren Massnahmen gelöst. Erfindungsgemäss wird ein Öffnen der Tür oder eine Betätigung der Türverriegelung detektiert. Dazu können unterschiedliche Überwachungssensoren oder Messfühler eingesetzt werden, wie Bewegungssensoren, Drucksensoren, optischen Sensoren, Kapazitätssensoren, die eine gegenseitige Verschiebung von metallenen Elementen der Tür erfassen, oder Motoren, die bei einer manuellen Bewegung einer Tür als Generator betrieben werden. Besonders geeignet sind Überwachungssensoren, die keine Energieversorgung erfordern, wie Schaltelemente, die von einem Element der Tür oder der Verriegelung betätigt werden.

[0027] Da nach Ausserbetriebsetzung der Aufzugsanlage keine Stromversorgung aus dem lokalen Netz erfolgt, ist die Überwachungseinheit mit einer Batterie ausgerüstet und derart ausgebildet, dass sie bei Ausserbetriebsetzung der Aufzugsanlage automatisch in einen autonomen Betrieb umschaltbar ist. Z.B. wird ein Relais vorgesehen, welches durch Strom aus dem Netz aktiviert wird und die Schaltung der Überwachungseinheit mit einer Betriebsspannung verbindet. Sobald das Stromnetz ausfällt, wird das Relais deaktiviert und fällt in einen Ruhezustand, in dem die Batterie mit der Schaltung der Überwachungseinheiten verbunden wird.

[0028] Die Aufzugsanlage kann mittels der Überwachungseinheiten daher permanent, d.h. während des Normalbetriebs und auch nach Ausserbetriebsetzung überwacht werden, um festzustellen, ob eine Tür oder die Verriegelung betätigt wurde. Von primärer Bedeutung ist die erfindungsgemässe Überwachung der Aufzugsanlage während eines Stromausfalls, da während dem Normalbetrieb auch andere Mittel genutzt werden können. Nach Beendigung des Stromausfalls können die Überwachungsdaten aus den Überwachungseinheiten ausgelesen werden.

[0029] Dazu ist jede der Überwachungseinheiten mit wenigstens einem Überwachungssensor verbunden und überwacht während des autonomen Betriebs dessen Zustand und registriert entsprechende Zustandsdaten. Insbesondere werden alle Türen überwacht, bei denen damit zu rechnen ist, dass sie während eines Stromausfalls geöffnet werden könnten, um in den Aufzugschacht zu gelangen. Es wird also insbesondere jede Tür überwacht, der ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann. Zur Überwachung von mehreren Türen kann an jeder Tür eine Kombination aus Überwachungseinheit und Überwachungssensor angeordnet sein. Alternativ ist es möglich, dass an den einzelnen Türen jeweils nur ein Überwachungssensor angeordnet ist und mehrere Überwachungssensoren von einer Überwachungseinheit überwacht werden. Es ist in diesem Fall auch nur eine einzige Batterie notwendig. Die Überwachungssensoren können dazu insbesondere in Reihe geschaltet sein. Im Fall, dass eine Überwachungseinheit mehrere Überwachungssensoren überwacht, ist eine besonders kostengünstige Durchführung des Verfahrens möglich, da nicht für jede Tür eine eigene Überwachungseinheit mit einer Batterie notwendig ist.

[0030] Nach Beendigung des Stromausfalls werden die in den Überwachungseinheiten gesammelten Zustandsdaten von der Sicherungseinheit ausgelesen. Vorzugsweise werden die Überwachungseinheiten vorerst vom Batteriebetrieb auf den Netzbetrieb umgeschaltet. Nach Auswertung der von den Überwachungseinheiten übertragenen Daten entscheidet die Sicherungseinheit, ob möglicherweise eine Person die Lifttüren betätigt hat und in den Aufzugschacht gelangt ist und verhindert den Übergang in den Normalbetrieb. Stattdessen wird über einen drahtgebundenen oder drahtlosen Übertragungskanal vorzugsweise automatisch eine Störungsmeldung lokal zu einer Ausgabeeinheit, einem Lautsprecher und/oder einem Display der Aufzugsanlage, oder dezentral zu einem Wartungsdienst übertragen, der in der Folge die Aufzugsanlage überprüft und wieder in Betrieb setzt.

[0031] Sofern hingegen festgestellt wurde, dass keine Person in den Aufzugschacht gelangt ist, so wird die Aufzugsanlage automatisch wieder in den Normalbetrieb versetzt. Wartungspersonal wird in diesem Fall nicht benötigt. Die Aufzugsanlage kann nach Beendigung des Stromausfalls ohne zeitliche Verzögerung automatisch wieder in den Normalbetrieb versetzt werden. Mit Ausrüstung der Aufzugsanlagen mit der erfindungsgemässen Lösung wird die Verfügbarkeit dieser Aufzugsanlagen somit signifikant erhöht. Auch bereits installierte Aufzugsanlagen können mit der erfindungsgemässen Lösung nachgerüstet werden.

[0032] Sogenannte "false-negative" Meldungen, d.h. Meldungen, welche die Anwesenheit einer Person im Aufzugschacht verneinen, obwohl eine Person sich im Aufzugschacht befindet, werden ausgeschlossen. Hingegen sind nach Betätigung eines Türverschlusses sogenannte "falsepositive" Meldungen zu erwarten, d.h. Meldungen, die die Anwesenheit einer Person im Aufzugschacht als möglich bestätigen, obwohl sich keine Person im Aufzugschacht befindet. Diese Situation tritt nach einem Stromausfall statistisch hingegen sehr selten, z.B. in einem von hundert Fällen auf, sodass die gewährleistete Sicherheit mit minimalem Aufwand erreicht wird. Umgekehrt betrachtet, werden 99 % aller Aufzugsanlagen nach Beendigung eines Stromausfalls wieder in den Normalbetrieb überführt, wodurch bei vollständiger Gewährleistung der Sicherheit eine nahezu maximale Verfügbarkeit ohne Verzögerung resultiert.

[0033] In einer vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem Ausgangsport an den Schaltkontakt abgibt und an einem Eingangsport wieder empfängt.

[0034] In einer weiteren vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem Ausgangsport abgibt und über den Schaltkontakt an einen Eingangsport eines zweiten Überwachungsmoduls abgibt. Die physikalische Trennung der Sendestufe und der Empfangsstufe voneinander gewährleistet, dass Fehler, die in einem Überwachungsmodul auftreten, keinen direkten Einfluss auf das andere Überwachungsmodul haben. Damit kann ein besonders sicherer Betrieb der Aufzuganlage gewährleistet werden.

[0035] Die beiden Überwachungsmodule können auch derart mit einer Betriebssoftware versehen werden, dass sie das Überwachungssignal alternierend von ihrem Ausgangsport an den Schaltkontakt abgeben bzw. an ihrem Eingangsport empfangen. Durch den wechselseitigen Betrieb können die Überwachungsmodule voll genutzt und getestet werden, sodass bei einer Zustandsänderung festgestellt werden kann, an welcher Stelle des Übertragungswegs eine Zustandsänderung oder ein Übertragungsfehler verursacht wurde. Sofern z.B. die Übertragung in eine Richtung möglich und in die andere Richtung unterbrochen ist, so kann auf einen Fehler in einem der Übertragungsmodule geschlossen werden.

[0036] Der Vorteil des besonders sicheren Betriebs der Aufzuganlage durch den Einsatz von zwei prozessorgesteuerten Überwachungsmodulen ist auch gegeben, wenn das Überwachungssignal, das über den Schaltkontakt übertragen wird, als ein dauerhaftes Gleich- oder Wechselstromsignal und damit nicht als ein gepulstes Signal ausgeführt ist.

[0037] In einer weiteren bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Dem zweiten Überwachungsmodul wird über den Schaltkontakt somit der Ist-Wert und direkt der Soll-Wert des übertragenen Überwachungssignals zugeführt. Durch Vergleich von Ist-Wert und Soll-Wert kann bereits eine Zustandsänderung festgestellt werden. Das den zweiten Eingangsport zugeführte Überwachungssignal kann auch zur Aktivierung des zweiten Überwachungsmoduls verwendet werden, wie dies nachstehend noch beschrieben wird.

[0038] In einer besonders bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls sowie einem Eingangsport des ersten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Diese Ausgestaltung ist besonders vorteilhaft, da sie dem ersten Überwachungsmodul erlaubt, das Überwachungssignal in Abhängigkeit einer eingetretenen Zustandsänderung zu ändern und eine schnellere und/oder vertiefte Prüfung vorzunehmen. Insbesondere hinsichtlich des Betriebs der Überwachungsmodule mit zugeschaltetem Ruhemodus ist diese Lösung besonders vorteilhaft, wie nachstehend erläutert wird.

[0039] Der Abstand der Pulse bzw. die Pulsrepetitionsfrequenz und gegebenenfalls auch die Pulsbreite des Überwachungssignals sind vorzugsweise derart gewählt, dass die Sicherheit zur Detektion einer Zustandsänderung hinreichend ist und gleichzeitig die Überwachungstätigkeit und somit der Energiebedarf der Überwachungsmodule auf ein Minimum reduziert wird.

[0040] Die Pulsbreite der übertragenen Pulse wird vorzugsweise derart gewählt, dass das zweite Überwachungsmodul durch einen übertragenen Puls aus dem Ruhezustand in den Betriebszustand versetzt werden kann und nach Erreichen des Betriebszustands das Eintreffen dieses Pulses detektieren kann. Auf diese Weise können die Überwachungsmodule zwischen zwei Pulsen in einen Ruhezustand versetzt werden, in dem wesentliche Schaltungsteile abgeschaltet sind und somit nur wenig Energie von der Batterie benötigen.

[0041] Erfindungsgemäss werden Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen, innerhalb dem zumindest eines der Überwachungsmodule bei Auftreten eines ersten Ereignisses in einen Energiesparmodus oder Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebsmodus oder Betriebszustand versetzt wird. Das erste Ereignis wird vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers bestimmt. Das zweite Ereignis wird durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers bestimmt ist.

[0042] Der vorzugsweise konstante Abstand zwischen den Pulsen oder zwischen den Gruppen von Pulsen des Überwachungssignals liegt vorzugsweise im Bereich zwischen 0.15 s und 1.5 s, insbesondere 0.35 s. In diesem Bereich kann die sichere Überwachung der Aufzugstüren gewährleistet und gleichzeitig der Energiebedarf auf ein Minimum reduziert werden. Unter Berücksichtigung der gegebenen Umstände können auch grössere zeitliche Abstände gewählt werden, um noch mehr Energie zu sparen.

[0043] Das erste und/oder das zweite Überwachungsmodul weisen je wenigstens ein Register für die Speicherung von Zustandsdaten auf, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird. Die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse kann während des Stromausfalls in einem der Überwachungsmodule oder nach Beendigung des Stromausfalls in der Sicherungseinheit gebildet werden, um eine gegebenenfalls aufgetretene Zustandsänderung zu detektieren. Ferner kann auch der Ausfall von erwarteten Pulsen detektiert und gespeichert werden.

[0044] Die Überwachung der Aufzugsanlage kann durch verschiedene Faktoren beeinflusst werden. Von primärer Bedeutung ist das normale Auftreten einer Zustandsänderung durch Betätigung einer Aufzugstür. Weiter kann das Überwachungssignal durch Störsignale verändert werden, wonach fehlerhafte Messergebnisse auftreten können. Ferner können Funktionsstörungen innerhalb der Überwachungseinheiten auftreten. Zudem kann eine ungenügende Stromversorgung oder Betriebsspannung die Messung beeinflussen. Vorzugsweise sind Mittel und Massnahmen vorgesehen, die es erlauben, vorzugsweise allen diesen Einwirkungen zu begegnen.

[0045] Während eines Stromausfalls können Störsignale auftreten, die z.B. durch die Inbetriebsetzung von Notstromaggregaten oder durch das Prellen von Schaltern verursacht werden. Vorzugsweise wird das übertragene Überwachungssignal daher gefiltert, insbesondere um hochfrequente Störungen zu beseitigen.

[0046] Im Überwachungsmodul, welches das übertragene Überwachungssignal empfängt, wird daher vorzugsweise ein Filterprogramm implementiert, welches das Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist. Beim Medianfilter wird ermittelt, ob innerhalb einer Zeitdauer eine festgelegte Anzahl der empfangenen Pulse grösser ist als die Hälfte der Anzahl der gesendeten Pulse. Die Zeitdauer ergibt sich daher aus der festgelegten Anzahl von Pulsen multipliziert mit der Periodendauer der Pulsrepetitionsfrequenz. Durch die Änderung der genannten Anzahl von Pulsen und der resultierenden Zeitdauer kann die Grenzfrequenz des Filters verschoben werden.

[0047] In Abhängigkeit von der festgelegten Anzahl von Pulsen, die im Filter verarbeitet werden, und der resultierenden Zeitdauer ergibt sich nach Auftreten einer Zustandsänderung, z.B. dem Ausbleiben eines Pulses, eine zeitliche Verzögerung, bis die Zustandsänderung am Ausgang des Filters signalisiert wird. Bei der Wahl von relativ grossen Abständen zwischen den Pulsen können somit Verzögerungen auftreten, die unerwünscht gross sind. Sofern kurze Abstände zwischen den Pulsen gewählt werden, erhöht sich jedoch der Energiebedarf.

[0048] Um kurze Pulsabstände bzw. eine hohe Pulsrepetitionsfrequenz während der Zeit, in der keine Zustandsänderungen auftreten, und gleichzeitig eine unerwünschte Verzögerung bei der Detektion einer danach auftretenden Zustandsänderung zu vermeiden, wird das über den zu prüfenden Schaltkontakt übertragene Überwachungssignal vorzugsweise ungefiltert zum ersten Überwachungsmodul zurückgeführt. Im ersten Überwachungsmodul wird die übertragene Pulssequenz überwacht und die Pulsrepetitionsfrequenz erhöht, sobald das Ändern eines Pulses detektiert wird. Bei Auftreten einer Unregelmässigkeit wird die Überwachungstätigkeit somit intensiviert und die Zeitdauer verkürzt, innerhalb der die festgelegte Anzahl Pulse im Filter verarbeitet wird. Die zeitliche Verzögerung bis zum Zeitpunkt, zu dem das Filter die erfolgte Zustandsänderung meldet, kann daher um den Faktor reduziert werden, um den die Pulsrepetitionsfrequenz zumindest kurzzeitig erhöht wird.

[0049] Veränderungen bei der Erzeugung, der Übertragung, dem Empfang und der Verarbeitung des Übertragungssignals können nicht nur durch Störsignale, sondern auch durch Schaltungselemente der Überwachungsmodule verursacht werden, die nicht korrekt funktionieren. Zur Gewährleistung einer einwandfreien Überwachung des Schaltkontakts ist es daher wichtig Funktionsfehler der Überwachungseinheiten erkennen zu können.

[0050] Zur dynamischen Erkennung solcher Fehler wird das Überwachungssignal vom ersten Überwachungsmodul entsprechend einer festgelegten Soll-Form als eine Folge von unterschiedlichen Pulsen abgegeben, die sich in der Pulsposition und/oder der Pulsform und/oder der Pulsamplitude und/oder der Pulsbreite unterscheiden. Die entsprechende Ausbildung des Überwachungssignals kann von der Sicherungseinheit vorgegeben oder im ersten oder zweiten Überwachungsmodul fest gespeichert sein oder auch zufällig gewählt werden.

[0051] Die Sicherungseinheit und/oder wenigstens eines der Überwachungsmodule vergleicht in der Folge das über den Schaltkontakt übertragene Überwachungssignal mit dem nicht über den Schaltkontakt übertragenen Überwachungssignal oder einer vorgegebenen Soll-Form des übertragenen Überwachungssignals und registriert Abweichungen, die das Vorliegen eines entsprechenden Funktionsfehlers anzeigen.

[0052] Vorzugsweise sendet das erste Überwachungsmodul Pulse mit unterschiedlichen Formen je in einer bestimmten Anzahl aus. Das zweite Überwachungsmodul stellt in der Folge fest, ob die Pulse in der betreffenden Form und Anzahl eintreffen. Die Tests können autonom durch die beiden Überwachungsmodule während des autonomen Betriebs oder während des Normalbetriebs durch die Sicherungseinheit durchgeführt werden.

[0053] Besonders wichtig ist auch die einwandfreie Stromversorgung der Überwachungsmodule. Sofern die Batterie z.B. nach einem längeren Stromausfall nicht mehr die erforderliche Spannung und Energie liefert, wird die Funktion der Überwachungseinheiten infrage gestellt. Während des autonomen Betriebs der Überwachungsmodule wird daher vorzugsweise geprüft, ob die von der Batterie abgegebene Spannung einen Schwellwert unterschreitet und/oder ob in einem der Überwachungsmodule ein Brownout auftritt, d.h. einzelne Schaltungsteile aufgrund ungenügender Betriebsspannung ausfallen. Im Ereignisfall, d.h. bei Ausfall der Betriebsspannung, werden die Überwachungsmodule zurücksetzt und die ermittelten Zustandsdaten gelöscht. Die Abwesenheit der Zustandsdaten wird sodann als unzulässige Zustandsänderung interpretiert und die Inbetriebnahme der Aufzugsanlage verhindert.

[0054] Vorzugsweise wird vorgesehen, dass die genannten Tests auch während des Normalbetriebs durchgeführt werden können. Z.B. wird für die Überwachungseinheiten periodisch ein Stromausfall simuliert. Vorzugsweise werden die Überwachungseinheiten während des Normalbetriebs der Aufzugsanlage durch die Sicherungseinheit periodisch in den Batteriebetrieb bzw. in den autonomen Betriebszustand versetzt, in dem wenigstens eine der oben genannten Prüfungen und Tests durchgeführt werden. Z.B. werden die Überwachungseinheiten in den Batteriebetrieb versetzt und hinsichtlich der Betriebsspannungen oder des Vorliegens eines Brownouts überwacht. Weiterhin kann eine dynamische Prüfung der Überwachungsmodule durchgeführt werden, bei der das Überwachungssignal bzw. die Überwachungspulse geändert werden und das empfangene Überwachungssignal geprüft wird. Weiterhin kann der Zustand der Schaltkontakte geprüft werden. Z.B. werden Testprogramme abgespeichert und periodisch aufgerufen, mittels denen die Register, Timer, Wandler und Verstärker auch während des Normalbetriebs der Aufzugsanlage geprüft werden.

[0055] Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines Stromausfalls liest die Sicherungseinheit die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten und den darin vorgesehenen Überwachungsmodulen aus und nimmt eine Analyse vor.

[0056] Insbesondere wird

a) geprüft, ob die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten gegeben ist; und/oder

b) geprüft, ob eine Fehlfunktion bei einer der Überwachungseinheiten aufgetreten ist; und/oder

c) geprüft, ob Zustandsänderungen des Überwachungssensors oder bzw. des Schaltkontakts aufgetreten sind; und/oder

d) ermittelt, ob Abweichungen der Zahlen der in jeder der Überwachungseinheiten registrierten gesendeten und empfangenen Pulse vorliegen.

[0057] Bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten oder bei einer Abweichung der Zahlen der in jeder der Überwachungseinheiten übertragenen Pulse wird die Versetzung der Aufzugsanlage zurück in den Normalbetrieb verhindert.

[0058] Die erfindungsgemässe Vorrichtung wird nachstehend in vorzugsweisen Ausgestaltungen anhand von Zeichnungen exemplarisch beschrieben. Es zeigen:

Fig. 1

eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist und mit einer Steuervorrichtung 100, die zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 aufweist, die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht wird;

Fig. 2a

die erste Überwachungseinheit 10A von Fig. 1, die ein prozessorgesteuertes Überwachungsmodul 15 aufweist, das ein Überwachungssignal s_TX von einem Ausgangsport op über einen Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet ist, zu einem Eingangsport ip überträgt;

Fig. 2b

ein am Ausgangsport op abgegebenes Überwachungssignal s_TX1 als Pulsfolge mit einem exemplarisch gewählten Tastverhältnis von 50 %;

Fig. 2c

ein am Ausgangsport op abgegebenes Überwachungssignal s_TX2 als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 vergrösserten Periodendauer T;

Fig. 2d

das am Eingangsport ip eintreffende Überwachungssignal s_RX2, in das während der Übertragung über den Schaltkontakt 11A ein Störimpuls n eingeprägt wurde;

Fig. 3a

die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal s_TX über den Schaltkontakt 11A zu einem zweiten prozessorgesteuerten Überwachungsmodul 16 überträgt;

Fig. 3b

das Überwachungssignal s_TX von Fig. 3a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11A;

Fig. 3c

das Überwachungssignal s_RX von Fig. 3b nach der Übertragung über den Schaltkontakt 11A, der während der Dauer von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 nicht registriert wurden;

Fig. 4a

die erste Überwachungseinheit von Fig. 3a mit dem ersten Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist;

Fig. 4b

das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene Überwachungssignal s_TX von Fig. 4a;

Fig. 4c

das am ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal s_RX von Fig. 4a;

Fig. 5a

die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal s_TX von Fig. 4a über den Schaltkontakt 11A zusätzlich einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird;

Fig. 5b

das Überwachungssignal s_TX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt 11A mit einem zusätzlich eingeprägten Hilfspuls p_AUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses des übertragenen Überwachungssignals s_RX zusätzlich abgegeben wurde;

Fig. 5c

das Überwachungssignal s_RX von Fig. 5b nach der Übertragung über den Schaltkontakt 11A, der nach Eintreffen eines ersten Pulses p geöffnet wurde;

Fig. 6a

ein Diagramm mit dem gesendeten Überwachungssignal s_TX2 von Fig. 2c, mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal s_RX2 von Fig. 2d, mit schematisch gezeigten Filtermassnahmen und mit dem gefilterten Überwachungssignal s_RXF, das gegenüber dem empfangenen Überwachungssignal s_RX2 um mehr als zwei Abtastzyklen verschoben ist;

Fig. 6b

ein Diagramm mit dem gesendeten Überwachungssignal s_TX von Fig. 3b, mit dem übertragenen Überwachungssignal s_RX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal s_RXF, das gegenüber dem empfangenen Überwachungssignal s_RX um zwei Abtastzyklen verschoben ist;

Fig. 6c

ein Diagramm mit dem gesendeten Überwachungssignal s_TX von Fig. 5b, bei dem nach Ausfall eines Pulses die Pulsrepetitionsfrequenz verdoppelt wurde, mit dem übertragenen Überwachungssignal s_RX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal s_RXF, das gegenüber dem empfangenen Überwachungssignal s_RX um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde;

Fig. 7

ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals s_TX1, s_TX2, dem Signalverlauf des übertragenen Überwachungssignals s_RX, dem Signalverlauf am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal s_RXF nach der Filterung;

Fig. 8

ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals s_TX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen, sowie den Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals s_RX, in dem drei schraffiert gezeigte Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind.

[0059] Fig. 1 zeigt eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist. Die Aufzugsanlage 3, die von einer zentralen Stromversorgungseinheit 2 gespeist wird, ist mit einer Steuervorrichtung 100 ausgerüstet, mittels der die Aufzugsanlage 3, insbesondere die Antriebseinheit 38, steuerbar ist. Die Steuervorrichtung 100 umfasst zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1, die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht werden kann.

[0060] Die Sicherungseinheit 1 ist in der vorliegenden Ausgestaltung ein eigenständiges Rechnersystem, das mit einem Anlagenrechner 1000 kommuniziert. Die Sicherungseinheit 1 kann aber auch als Softwaremodul oder Hardwaremodul in den Anlagenrechner 1000 integriert werden. Die Sicherungseinheit 1 kann, wie in Fig. 1 gezeigt, direkt in die Aufzugsanlage 3 eingreifen und z.B. die Stromversorgung 2 oder die Antriebseinheit 38 steuern oder ausschalten. Alternativ kann die Sicherungseinheit 1 nur mit dem Anlagenrechner 1000 verbunden sein, der seinerseits die gesicherte Steuerung der Aufzugsanlage 3 unter Berücksichtigung der erfindungsgemäss ermittelten Zustandsdaten vollzieht.

[0061] Die Sicherungseinheit 1 und/oder der Anlagenrechner 1000 können zudem drahtlos oder drahtgebunden mit externen Rechnereinheiten, z.B. einem Leitrechner verbunden sein.

[0062] In der vorliegenden Ausgestaltung sind die Überwachungssensoren 11A, 11B als Schaltkontakte ausgebildet, die je mit einem Türverschluss 31A, 31B mechanisch gekoppelt sind, der vom Wartungspersonal mittels eines Werkzeugs betätigt werden kann, wie dies in Fig. 1 für den Schaltkontakt 11B gezeigt ist. Während eines Stromausfalls oder einer Abschaltung der Stromversorgung kann das Wartungspersonal somit einen Türverschluss 31A, 31B betätigen, eine Aufzugstür 30A, 30B manuell öffnen und in den Aufzugschacht 35 gelangen.

[0063] Fig. 1 zeigt, dass nach einem Stromausfall die untere Aufzugstür 31B geöffnet wurde und ein Wartungstechniker in den Aufzugschacht 35 eingetreten ist, um eine elektrische Installation 8 zu prüfen, die den Stromunterbruch verursacht haben könnte. Der Wartungstechniker steht auf dem Schachtboden in einer Schachtgrube, die nur eine geringe Tiefe aufweist. In dieser Situation darf die Aufzugsanlage 3 nicht betrieben werden. In der oberen Etage bewegt sich ein Gebäudebewohner auf die erste Aufzugstür 30A zu, hinter der die Aufzugskabine 36 steht. Sofern die Aufzugsanlage 3 in diesem Moment wieder mit Strom versorgt und in den Normalbetrieb versetzt wird, kann der Gebäudebewohner die Aufzugskabine 36 betreten und in Fahrt versetzen. Dies wird verhindert, indem die Schaltkontakte 11A; 11B überwacht werden und der Übergang in den Normalbetrieb verhindert wird, falls einer der Schaltkontakte 11A, 11B betätigt wurde. Damit diese Überwachung auch nach einem Stromausfall vollzogen werden kann, sind die Überwachungseinheiten 10A; 10B mit einer Batterie 14 ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage 3 oder einem Stromausfall automatisch in einen autonomen Betrieb umschaltbar.

[0064] Fig. 1 zeigt, dass die beiden identisch ausgebildeten Überwachungseinheiten 10A, 10B je eine lokale Stromversorgungseinheit 12 und eine Batterie 14 aufweisen, die über eine steuerbare Umschalteinheit 13, z.B. ein spannungsgesteuertes Relais, mit einem ersten und gegebenenfalls einem zweiten Überwachungsmodul 15, 16 verbindbar sind. Die Umschalteinheit 13 wird von der Stromversorgungseinheit 12 mit einer Schaltspannung us versorgt, durch die die Umschalteinheit 13 aktiviert wird und die Stromversorgungseinheit 12 mit den Überwachungsmodulen 15, 16 verbindet. Bei einem Stromausfall entfällt die Schaltspannung us und die Umschalteinheit 13 fällt in die Ruhestellung zurück, in der die Batterie 14 mit den Überwachungsmodulen 15, 16 verbunden wird.

[0065] In jeder der Überwachungseinheiten 10A, 10B erzeugt das erste Überwachungsmodul 15 ein Überwachungssignal, welches über einen Ausgang der Überwachungseinheit 10A; 10B und den zugehörigen Schaltkontakt 11A, 11B zurück zu einem Eingang der Überwachungseinheit 10A; 10B geführt und im ersten oder zweiten Überwachungsmodul 15; 16 ausgewertet wird.

[0066] Zumindest während des autonomen Betriebs bzw. während eines Stromausfalls werden die Überwachungssensoren bzw. die Schaltkontakte 11A, 11B daher überwacht, um eine Zustandsänderung bzw. eine Betätigung des zugehörigen Türverschlusses 31A; 31B zu registrieren. Eine Überwachung wird vorzugsweise auch während des Normalbetriebs vorgenommen. Sofern während des Normalbetriebs eine Betätigung einer der Schaltkontakte 11A, 11B detektiert wird, so wird die Aufzugsanlage vorzugsweise abgeschaltet.

[0067] Nach Beendigung des Stromausfalls wird die Aufzugsanlage 3 von der zentralen Stromversorgungseinheit 2 wieder mit Energie versorgt. Den lokalen Stromversorgungseinheiten 12 in den Überwachungseinheiten wird wieder eine Betriebsspannung zugeführt, wonach diese wiederum die Schaltspannung us erzeugen und die Umschalteinheit 13 aktivieren. Die in den Überwachungseinheiten 10A, 10B gesammelten Zustandsdaten oder bereits daraus abgeleitete Zustandsmeldungen können in der Folge von der Sicherungseinheit 1 abgerufen und weiterverarbeitet werden. Die Sicherungseinheit 1 wird anhand der Zustandsdaten von der zweiten Überwachungseinheit 10B feststellen, dass der zugehörige Türverschluss 31B betätigt wurde und sich möglicherweise eine Person im Aufzugschacht 35 befindet. Die Sicherungseinheit 1 verhindert daher die Inbetriebsetzung der Aufzugsanlage 3 durch einen direkten Eingriff in die Aufzugsanlage 3, wie dies in Fig. 1 illustriert ist mit Abschaltung der Stromversorgung 2 oder mit Abschaltung der Antriebseinheit 38, oder durch Mitteilung an einen übergeordneten Rechner bzw. den Anlagenrechner 1000, welcher seinerseits die Inbetriebnahme der Aufzugsanlage 3 verhindert.

[0068] Statt wie in Fig. 1 für jede Aufzugtür 30A, 30B eine separate Überwachungseinheit 10A, 10B vorzusehen, kann auch nur eine einzige Überwachungseinheit vorgesehen sein, die mehrere, jeweils einer Aufzugtür zugeordnete Schaltkontakte überwacht. Die Schaltkontakte sind in diesem Fall in Reihe geschaltet, so dass die Überwachungseinheit erkennt, wenn einer der beiden Schaltkontakte geöffnet wird. In diesem Fall ist auch nur eine einzige Batterie zur Versorgung der Überwachungseinheit notwendig.

[0069] Die Ausgestaltung der Überwachungseinheiten 10A, 10B wird nachstehend in verschiedenen vorzugsweisen Ausgestaltungen beschrieben, in denen der Sicherheit der Überwachung, der Funktionsfähigkeit der Überwachungsvorrichtung und insbesondere der Energieeinsparung zur Entlastung der Batterie 14 besonderes Gewicht zugemessen wird.

[0070] Fig. 2a zeigt die erste Überwachungseinheit 10A von Fig. 1, die nur ein prozessorgesteuertes erstes Überwachungsmodul 15 aufweist, das ein Überwachungssignal s_TX von einem Ausgangsport op über den Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet und mit diesem mechanisch gekoppelt ist, zu einem Eingangsport ip überträgt.

[0071] Das Überwachungsmodul 15 ist z.B. ein Mikrocontroller mit niedrigstem Stromverbrauch im Betriebszustand (vorzugsweise < 100 µA) und im Ruhezustand (vorzugsweise < 500nA), kurzen Verzögerungszeiten beim Übergang vom Ruhezustand in den Betriebszustand (vorzugsweise <1 µs); und allen wesentlichen Funktionen zur Signalverarbeitung. Z.B. wird ein Mikrocontroller verwendet, wie er in der Dokumentation "MSP Low-Power Microcontrollers" von Texas Instruments Incorporated aus dem Jahre 2015 beschrieben ist.

[0072] Das in Fig. 2a gezeigte Überwachungsmodul 15 ist ein Mikrocontroller mit einer CPU 150, einem oder mehreren Registern 151, einem Arbeitsspeicher 152 einem optional vorgesehenen Digital/Analog Wandler 153, wenigstens einem Ausgangsmodul 154, einem Schnittstellenbaustein 155, einem Watchdog-Timer 156, wenigstens einem weiteren Timer T1, einem Analog/Digital Wandler 158 und wenigstens einem Eingangsmodul 159. Die einzelnen Module sind über einen Systembus miteinander und über den Schnittstellenbaustein 155 mit der Sicherungseinheit 1 verbunden oder verbindbar.

[0073] Das zweite Überwachungsmodul 16 von Fig. 1 ist vorzugsweise identisch wie das erste Überwachungsmodul 15 aufgebaut, aber mit entsprechend angepasster Software versehen. Vorzugsweise sind beide Überwachungsmodule 15, 16 mit Prüfschaltungen oder Brownout-Schaltungen versehen, mittels denen festgestellt werden kann, ob die Betriebsspannung, insbesondere die Spannung der Batterie 14, unter einen vorgesehenen Wert gefallen ist und/oder ob einzelne Schaltungsteile nur ungenügend mit Energie versorgt werden, wonach dies entsprechend registriert wird. Vorzugsweise wird das Überwachungsmodul 15 nach Vorliegen einer ungenügenden Betriebsspannung in den Ausgangszustand zurückgesetzt, in dem die Datenspeicher gelöscht sind.

[0074] Im Arbeitsspeicher 152 sind ein Betriebsprogramm BP und ein Filterprogramm FP gespeichert. Über einen Ausgangsport op und einen Verstärker 18 ist ein Überwachungssignal s_TX, das im Überwachungsmodul 15 generiert wird, über den Schaltkontakt 11A zu einem Eingangsport ip des Überwachungsmoduls 15 übertragbar.

[0075] Der Zustand der Umschalteinheit 13 zeigt, dass der Strom ausgefallen ist und das Überwachungsmodul 15 von der Batterie 14 mit Strom versorgt wird.

[0076] Fig. 2b zeigt exemplarisch ein am Ausgangsport op abgegebenes Überwachungssignal s_TX1 als Pulsfolge mit einem Tastverhältnis von 50 %. Ein Vergleich des am Ausgangsport op abgegebenen Überwachungssignals s_TX mit dem am Eingangsport empfangenen Überwachungssignal s_RX zeigt an, ob der Schaltkontakt 11A während der Übertragung geöffnet wurde. Sofern einige der Pulse nicht übertragen werden, so wird eine Zustandsänderung des Schaltkontakts 11A und somit eine mögliche Öffnung der Aufzugstür 30A registriert und gemeldet. Z.B. werden die Anzahl der gesendeten Pulse und die Anzahl der empfangenen Pulse im Register 151 gespeichert und vor Inbetriebnahme der Aufzugsanlage 3 miteinander verglichen, um eine Türöffnung zu detektieren.

[0077] Fig. 2c zeigt ein am Ausgangsport op abgegebenes Überwachungssignal s_TX2 von Fig. 2a als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 höheren Periodendauer T im Vergleich zum Signal von Fig. 2b. Durch die Reduktion des Tastverhältnisses und die Erhöhung der Periodendauer kann der Energiebedarf signifikant reduziert werden. Zwischen zwei Pulsen kann das Überwachungsmodul 15 zudem in einen Ruhezustand versetzt werden, in dem der Stromverbrauch minimal ist und nur Schaltungsteile betrieben werden, die für den Übergang vom Ruhezustand in den Betriebszustand erforderlich sind. Z.B. werden externe Anreize oder Wecksignale überwacht. Vorteilhaft kann ein Wecksignal auch innerhalb des Überwachungsmoduls 15 z.B. von einem Timer 156, 157 erzeugt werden.

[0078] Fig. 2d zeigt das am Eingangsport ip eintreffende Überwachungssignal s_RX2, in das während der Übertragung über den Schaltkontakt 11A ein Störimpuls n eingeprägt wurde. Störungen dieser Art können die Überwachung beeinträchtigen und werden vorzugsweise ausgefiltert. Dazu wird im Überwachungsmodul 15 das Filterprogramm FP implementiert, was nachstehend in einer vorzugsweisen Ausgestaltung beschrieben wird.

[0079] Fig. 3a zeigt die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal s_TX vom Ausgangsport op über den Schaltkontakt 11A zum Eingangsport ip eines zweiten prozessorgesteuerten Überwachungsmoduls 16 überträgt. Beide Überwachungsmodule 15, 16 werden von der Batterie 14 gespeist. Im ersten Überwachungsmodul 15 wird die Anzahl der gesendeten Pulse im Register 151 registriert. Im zweiten Überwachungsmodul 16 wird die Anzahl der empfangenen Pulse in einem Register 161 registriert.

[0080] Fig. 3b zeigt das Überwachungssignal s_TX von Fig. 3a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11A.

[0081] Fig. 3c zeigt das Überwachungssignal s_RX von Fig. 3b nach der Übertragung über den Schaltkontakt 11A, der während der Übertragung von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 somit nicht registriert wurden. Durch einen Vergleich der Inhalte der beiden Register 151, 161 kann die Zustandsänderung des Schaltkontakts 11A festgestellt werden. Der Vergleich der Inhalte der Register 151, 161 kann in einem der Überwachungsmodule 15, 16 in einem lokalen Komparator 17 oder zentral in der Sicherungseinheit 1 vorgenommen werden, die alle Registerinhalte aus den Überwachungseinheiten 10A, 10B ausliest.

[0082] Fig. 4a zeigt die erste Überwachungseinheit 10A von Fig. 3a mit dem ersten Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist.

[0083] Die direkt zum zweiten Eingangsport ip2 übertragenen Pulse können als Referenzsignale oder als Wecksignale verwendet werden. Bei der Verwendung als Referenzsignal können Änderungen des über den Schaltkontakt 11A übertragenen Überwachungssignals s_RX sofort erkannt werden, das in diesem Fall jedoch noch nicht gefiltert ist.

[0084] Das am Eingangsport ip2 eintreffende Überwachungssignal s_TX kann jedoch auch als Wecksignal verwendet werden, nach dessen Eintreffen das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt wird. Damit die über den Schaltkontakt 11A übertragenen Pulse detektiert werden können, muss die Pulsbreite grösser sein, als die Aufweckdauer des zweiten Überwachungsmoduls 16 von z.B. 1 µs. Z.B. wird eine Pulsbreite von 25 µs gewählt, die es erlaubt, die eintreffenden Pulse sicher zu erkennen.

[0085] Ein Wecksignal kann auch intern in den Überwachungsmodulen 15, 16 erzeugt und mit dem Überwachungssignal s_TX synchronisiert werden. Wie der Signalverlauf wd in Fig. 7 zeigt, kann ein Timer, z.B. der Watchdog 156, die Periodendauer des Überwachungssignals s_TX abzählen und das betreffende Überwachungsmodul 15 oder 16 bei Erreichen des maximalen Zählerstandes aus dem Ruhezustand in den Betriebszustand versetzen, sodass das erste Überwachungsmodul 15 z.B. einen Puls aussenden und das zweite Überwachungsmodul 16 diesen Puls empfangen kann.

[0086] Fig. 4b zeigt das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene Überwachungssignal s_TX von Fig. 4a.

[0087] Fig. 4c zeigt das am ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal s_RX von Fig. 4a, welches nur den ersten Puls enthält. Das direkt dem zweiten Eingangsport ip2 zugeführte Überwachungssignal s_TX kann nun das zweite Überwachungsmodul 16 wecken, welches nach dem Übergang in den Betriebszustand feststellt, dass der zweite und dritte Puls fehlen. Wie erwähnt kann das dem zweiten Eingangsport ip2 zugeführte Überwachungssignal s_TX auch als Referenzsignal verwendet werden.

[0088] Fig. 5a zeigt die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal s_TX von Fig. 4a zusätzlich über den Schaltkontakt 11A einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird. Die Unterbrechung des Schaltkontakts 11A kann somit alternativ oder gleichzeitig im ersten und im zweiten Überwachungsmodul 15, 16 erkannt werden.

[0089] Im ersten Überwachungsmodul 15 wird das Fehlen eines Pulses vorzugsweise dazu verwendet, den Prüfmodus zu ändern und die Prüfung zu intensivieren. Vorzugsweise wird die Pulsrepetitionsfrequenz zumindest kurzzeitig um einen Faktor x erhöht, der vorzugsweise im Bereich von 50 bis 250 liegt. Z.B. wird eine Periodendauer im Bereich von 0.1 s - 0.5 s auf eine Periodendauer im Bereich von 1 ms - 5 ms geändert. Mit Erhöhung der Pulsrepetitionsfrequenz gelingt es selbst bei Vorliegen von Störsignalen, die mittels des Filterprogramms FP unterdrückt werden sollen, den Zustand des Schaltkontakts 11A bzw. eine allfällige Zustandsänderung rasch und präzise zu ermitteln. Verzögerungen, die durch das Filterprogramm FP verursacht werden, werden dabei ebenfalls um den Faktor x reduziert.

[0090] Fig. 5b zeigt das Überwachungssignal s_TX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt 11A mit einem zusätzlich eingeprägten Hilfspuls p_AUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses p des übertragenen Überwachungssignals s_RX zusätzlich abgegeben wurde. Der Hilfspuls p_AUX zeigt symbolisch, dass das Überwachungssignal bedarfsweise s_TX geändert wird, um eine rasche Prüfung vollziehen zu können.

[0091] Fig. 5c zeigt das Überwachungssignal s_RX von Fig. 5b nach der Übertragung über den Schaltkontakt 11A, der nach Eintreffen eines ersten Pulses p geöffnet wurde.

[0092] Fig. 6a zeigt ein Diagramm mit dem gesendeten Überwachungssignal s_TX2 von Fig. 2c sowie mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal s_RX2 von Fig. 2d. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal s_RXF gezeigt, das gegenüber dem empfangenen Überwachungssignal s_RX2 um mehr als zwei Abtastzyklen verschoben ist und aus dem der Störimpuls entfernt wurde. Das Messergebnis erfolgt am Ausgang der durch Hardware oder Software realisierten Filterstufe mit einer signifikanten Verzögerung.

[0093] Durch das Filterprogramm FP, welches im zweiten Überwachungsmodul 16 implementiert ist, wird geprüft, welchen Wert die Mehrzahl von Abtastwerten innerhalb eines Filterintervalls aufweist. Die Filterintervalle umfassen jeweils die letzten fünf Abtastwerte. Das Filterprogramm FP umfasst z.B. ein FIFO-Register, in das die Abtastwerte schrittweise eingelesen werden. Mit jeder Verschiebung wird die Summe der fünf im FIFO-Register enthaltenen Werte gebildet und geprüft, ob deren Summe oberhalb oder unterhalb des Mittelwerts zwischen den Werten liegt, bei denen das FIFO-Register vollständig gefüllt oder vollständig geleert ist; d.h. grösser oder kleiner als 2.5 ist. Für jedes Filterintervall sind die ermittelten Werte sowie das Ergebnis angezeigt. Die Übertragung an den Ausgang des Filters erfolgt mit der Verzögerung d erst nach Eintreffen des letzten Abtastwerts.

[0094] Fig. 6a zeigt, dass das gefilterte Überwachungssignal s_RXF mit einer Verzögerung d am Ausgang der Filterstufe erscheint, die etwa der doppelten Periodendauer des Abtastsignals entspricht. Der sporadisch aufgetretene Störimpuls n wurde hingegen beseitigt.

[0095] Fig. 6b zeigt ein Diagramm mit dem gesendeten Überwachungssignal s_TX von Fig. 3b sowie dem übertragenen Überwachungssignal s_RX, dem drei Pulse fehlen. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal s_RXF gezeigt, das gegenüber dem empfangenen Überwachungssignal s_RX2 mit einer Verzögerung dl ebenfalls um etwa zwei Abtastzyklen verschoben ist. Der Filtervorgang erfolgt wie mit Bezug zu Fig. 6a beschrieben.

[0096] Fig. 6c zeigt ein Diagramm mit dem gesendeten Überwachungssignal s_TX von Fig. 5b sowie mit dem übertragenen Überwachungssignal s_RX, dem drei Pulse fehlen. Beim gesendeten Überwachungssignal s_TX wurde die Pulsrepetitionsfrequenz verdoppelt, nachdem das Fehlen eines Pulses detektiert wurde (siehe auch die Beschreibung zu Fig. 5a). Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal s_RXF gezeigt, das gegenüber dem empfangenen Überwachungssignal s_RX mit einer Verzögerung d2 um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde. Die Verzögerung d2 wurde gegenüber der Verzögerung dl von Fig. 6b ebenfalls halbiert (d2 = 1/2 dl).

[0097] Zum Zeitpunkt t3 wurde im ersten Überwachungsmodul 15 von Fig. 5a festgestellt, dass mit dem übertragenen Überwachungssignal s_RX ein erwarteter Puls nicht eingetroffen ist. Nach diesem Ereignis wurde vom ersten Überwachungsmodul 15 die Pulsrepetitionsfrequenz verdoppelt und somit der Pulsabstand halbiert. Die Länge der Filterintervalle und die Verzögerung d können durch Erhöhung der Pulsrepetitionsfrequenz somit beliebig reduziert werden.

[0098] In einer vorzugsweisen Ausgestaltung wird vorgesehen, dass das erste Überwachungsmodul 15 nach Ausbleiben eines Pulses einen für eine kurze Zeitdauer im Bereich von z.B. 1s - 10s einen Burst oder eine Sequenz Pulsen aussendet, deren Abstände um den oben genannten Faktor x reduziert, der vorzugsweise im Bereich von 50 bis 250 liegt.

[0099] Fig. 7 zeigt ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals s_TX1, s_TX2, sowie dem Signalverlauf des übertragenen Überwachungssignals s_RX. Ferner sind der Signalverlauf wd am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal s_RXF nach der Filterung gezeigt. Der Timer korrespondiert z.B. zum Watchdog 156 des ersten Überwachungsmoduls 15
in Fig. 7 ist ersichtlich, dass die Änderung des Signalverlaufs des übertragenen Überwachungssignals s_RX zwei verschiedene Ursachen haben kann.

[0100] Im ersten Fall kann zum Zeitpunkt t5 eine Zustandsänderung des Schaltkontakts 11A erfolgen, der unterbrochen wird und die Pulse des ersten Überwachungssignals s_TX1 nicht weiter zum Eingangsport ip1 des zweiten Überwachungsmoduls 16 leitet.

[0101] Im zweiten Fall wird das Überwachungssignal s_TX2 im ersten Überwachungsmodul 15 nicht mehr erzeugt, so dass nach dem Zeitpunkt t4 keine Pulse mehr über den geschlossenen Schaltkontakt 11A zum Eingangsport ip1 des zweiten Überwachungsmoduls 16 gelangen können. Sofern die Pulse des Überwachungssignals s_TX2 bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a nicht mehr zum zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 gelangen, wird dieses nicht mehr aus dem Ruhezustand in den Betriebszustand versetzt. Die Zählerstände für die gesendeten und empfangenen Pulse bleiben daher konstant bzw. sind eingefroren. Sofern die Zählerstände bei identischen Werten eingefroren wurden, zeigt dies den geschlossenen Zustand des überwachten Schaltkontakts 11A, 11B an, obwohl diese mittlerweile vielleicht geöffnet wurde.

[0102] Erfindungsgemäss sind für dieses Problem zwei Lösungen vorhanden, die alternativ oder vorzugsweise in Kombination angewendet werden.

[0103] Bei der ersten Lösungsvariante wird von einem Timer 157 innerhalb des zweiten Überwachungsmoduls 16 (das vorzugsweise dieselben Module aufweist wie das erste Überwachungsmodul 15) ein Wecksignal s_T1 erzeugt. Das Wecksignal s_T1 wird mit dem vom ersten Überwachungsmodul 15 abgegebenen Überwachungssignal s_TX synchronisiert und weist dieselbe Frequenz auf, ist in der Phase jedoch um einen Bruchteil der Periodendauer vorverschoben. Mit der abfallenden Flanke des Wecksignals s_T1 wird das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt, um einen Puls des übertragenen Überwachungssignals s_RX zu empfangen. In der Folge werden der Ist-Wert der tatsächlich eingetroffenen Pulse und der Soll-Wert der erwarteten Pulse registriert, wie dies in Fig. 7 illustriert ist. Die Differenz zwischen den 4 eingetroffenen und den 14 erwarteten Pulsen zeigt, dass eine Zustandsänderung im ersten Überwachungsmodul 15 oder beim Schaltkontakt 11A aufgetreten ist.

[0104] Sofern die Pulse des Überwachungssignals s_TX1, s_TX2 am zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 ebenfalls gezählt werden, kann der Zustand des ersten Überwachungsmoduls 15 bestimmt werden. Die Zählerstände des Registers 161 zeigen, dass vom ersten Überwachungsmodul 14 Pulse ausgesendet wurden, dass 14 Pulse erwartet wurden und dass 4 Pulse über den Schaltkontakt 11A übertragen wurden. Die Übereinstimmung von 14 ausgesendeten und 14 erwarteten Pulsen zeigt, dass das erste Überwachungsmodul 15 einwandfrei funktioniert. Die Differenz zwischen den 14 gesendeten und erwarteten Pulsen einerseits und den 4 empfangenen Pulsen andererseits zeigt hingegen, dass der Schaltkontakt 11A geöffnet wurde. Das empfangene und gefilterte Überwachungssignal s_RXF zeigt die Zustandsänderung des Schaltkontakts 11A.

[0105] Bei der zweiten Lösungsvariante werden die Zählerstände der Register 151, 161 von der Sicherungseinheit 1 nach Beendigung des Stromausfalls aus allen Überwachungseinheiten 10A, 10B ausgelesen und miteinander verglichen. Der Vergleich zeigt, ob die Registerstände bei einer der Überwachungseinheiten 10A, 10B eingefroren sind und ein Fehler aufgetreten ist. Falls die Registerstände in jeder der Überwachungseinheiten 10A, 10B identisch sind, aber Unterschiede zwischen den Überwachungseinheiten 10A, 10B vorliegen, so kann auf einen Funktionsfehler geschlossen werden.

[0106] Bei der Bearbeitung der Zählerstände werden vorzugsweise Toleranzen vorgesehen, mit denen Abweichungen von Zählerständen vernachlässigt werden, die für das Anzeigen einer Fehlfunktion oder einer Zustandsänderung der Überwachungssensoren bzw. Schaltkontakte 11A, 11B ungenügend sind.

[0107] Fig. 2a zeigt, dass die Überwachungsmodule 15, 16 vorzugsweise einen sogenannten Watchdog 156 aufweisen, der als Timer bzw. Zähler ausgebildet ist und der vorteilhaft zur Überwachung des Schaltkontakts 11A bzw. 11B oder auch des ersten Überwachungsmoduls 15 einsetzbar ist. Bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a wird das Überwachungssignal s_TX mit den Pulsfolgen (siehe z.B. Fig. 7 mit den Signalverläufen s_TX1 und s_TX2) dem zweiten Eingangsport ip2 direkt bzw. nicht über den Schaltkontakt 11A bzw. 11B des zweiten Überwachungsmoduls 16 zugeführt. Das über den Schaltkontakt 11A bzw. 11B übertragene Überwachungssignal s_RX wird dem ersten Eingang ip1 des zweiten Überwachungsmoduls 16 zugeführt. Das Ausbleiben eines Pulses der dem ersten und/oder dem zweiten Eingangsport ip1 bzw. ip2 zugeführten Überwachungssignale s_TX1 bzw. s_TX2 oder s_RX kann nun anhand je eines Watchdogs 156 überwacht werden, für den ein Timeout bzw. ein Zählwert to festgelegt wird, der bei regelmässigem Eintreffen aller Pulse nie erreicht wird.

[0108] In Fig. 7 ist die Überwachung des über den Schaltkontakt 11A bzw. 11B übertragenen Überwachungssignals s_RX illustriert, dessen Pulse bei aufsteigender Flanke den Watchdog 156 jeweils zurücksetzen, sodass dieser nicht in das Timeout to hochzählen kann. Zum Zeitpunkt t5 wird hingegen kein Puls mehr über den Schaltkontakt 11A bzw. 11B übertragen, sodass der Watchdog 156 nicht zurückgesetzt wird und ins Timeout hochzählt und einen Alarm auslöst oder eine Zustandsänderung signalisiert. In gleicher Weise würde das in Fig. 7 gezeigte Überwachungssignal s_TX2 zum Zeitpunkt t5 bei einem zweiten Watchdog ein Timeout verursachen.

[0109] Vorzugsweise wird vorgesehen, dass dem Watchdog 156 das gefilterte Eingangssignal s_RXF zugeführt wird. Dadurch wird verhindert, dass der Watchdog 156 durch Störimpulse zurückgesetzt wird und bei Ausbleiben eines Pulses des Überwachungssignals s_RX nicht in das Timeout hochzählen kann.

[0110] Die durch den Watchdog 156 signalisierten Zustandsänderungen werden z.B. im Register 151 abgespeichert und nach Beendigung des Stromausfalls mit den weiteren Zustandsdaten zur Sicherungseinheit 1 übertragen. Vorzugsweise wird der Verlauf des Ausgangssignals des Watchdog 156 gespeichert und analysiert, z.B. um die Dauer der Unterbrüche des Schaltkontakts 11A bzw. 11B festzustellen. Normalerweise wird vorgesehen, dass bereits nach Eintreffen eines Timeout für einen Puls eine Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Alternativ kann festgelegt werden, dass der Timeout für eine bestimmte Anzahl Pulse andauern muss, bevor die Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Z.B. wird dadurch unterschieden, ob eine Unregelmässigkeit in der Schaltung oder eine Türöffnung aufgetreten ist.

[0111] Fig. 8 zeigt ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals s_TX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen. Ferner ist der Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals s_RX gezeigt, in dem drei Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind. Für jede der Varianten A, B und C ist die Anzahl der abgegebenen Pulse im Register 151 des ersten Überwachungsmoduls 15 registriert. Ebenso ist im Register 161 des zweiten Überwachungsmoduls 16 die Anzahl der empfangenen Pulse für jede der Varianten A, B und C registriert.

[0112] Die Pulse können auf dem gesamten Übertragungsweg verloren gehen oder beeinträchtigt werden. Die Analyse der Veränderungen lässt Rückschlüsse zu auf die Art der Störung. Mittels der Variation der Pulse können die elektronischen Elemente der Überwachungsmodule 15, 16 somit in einfacher Weise geprüft werden. Die Prüfung kann sporadisch oder auch in einem regelmässigen Muster von der Sicherungseinheit 1 oder autonom von den Überwachungsmodulen 10A, 10B durchgeführt werden.

[0113] Alternativ können auch die Pulsamplituden, die Pulsabstände oder die Pulsrepetitionsfrequenz wahlweise geändert werden.

[0114] Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines Stromausfalls liest die Sicherungseinheit 1 die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten 10A, 10B und den darin vorgesehenen Überwachungsmodulen 15, 16 aus und nimmt eine Analyse vor.

Ansprüche

1. Verfahren zur gesicherten Steuerung einer Aufzuganlage (3), die eine Antriebseinheit (38) umfasst, mittels der eine in einem Aufzugschacht (35) angeordnete Aufzugskabine (36) verfahrbar ist und die von einer Steuervorrichtung (100) derart gesichert angesteuert wird,

a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahren werden kann, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) gesteuert werden und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht (35) befindet;

wobei wenigstens einer der Türen (30A, 30B) je eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (11A; 11B) zugeordnet sind, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 30B), detektiert werden,
die Überwachungseinheit (10A; 10B)

a) mit einer Batterie (14) ausgerüstet ist und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umgeschaltet wird;

b) mit dem Überwachungssensor (11A; 11B) verbunden ist und zumindest während des autonomen Betriebs den Zustand des Überwachungssensors (11A; 11B) überwacht und entsprechende Zustandsdaten registriert; und

c) mit einer Sicherungseinheit (1) verbunden ist, die aus allen angeschlossenen Überwachungseinheiten (10A; 10B) die registrierten Zustandsdaten ausliest und auswertet und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen (30A; 30B) detektiert wurde,

und der Überwachungssensor (11A; 11B) ein mit dem zugehörigen Türverschluss (31A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt ist.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet,

a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes Überwachungsmodul (15) aufweist, welches das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgibt und an einem Eingangsport (ip) wieder empfängt; oder

b) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, von denen das eine Überwachungsmodul (15) das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgibt und das andere Überwachungsmodul (16) das Überwachungssignal an einem Eingangsport (ip) empfängt; oder

c) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, die das Überwachungssignal alternierend von ihrem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgeben oder an ihrem Eingangsport (ip) empfangen.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet,

a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird; oder

b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird.

5. Verfahren nach einem der Ansprüche 1 - 4, dadurch gekennzeichnet, dass Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen werden, innerhalb dem zumindest eines der Überwachungsmodule (15; 16) bei Auftreten eines ersten Ereignisses in einen Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebszustand versetzt wird, wobei das erste Ereignis vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers (157) und das zweite Ereignis durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers (156) bestimmt ist.

6. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass die Sicherungseinheit (1) oder wenigstens eines der Überwachungsmodule (15; 16) das über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal mit dem nicht über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal oder einer Soll-Form des übertragenen Überwachungssignals vergleicht und Abweichungen sowie einen entsprechenden Funktionsfehler in einem der Überwachungsmodule (15; 16) registriert.

7. Verfahren nach einem der Ansprüche 4 - 6, dadurch gekennzeichnet, dass das erste und/oder das zweite Überwachungsmodul (15; 16) je wenigstens ein Register (151) für die Speicherung von Zustandsdaten aufweist, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird und dass in einem der Überwachungsmodule (15; 16) oder der Sicherungseinheit (1) die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse gebildet und eine gegebenenfalls aufgetretene Zustandsänderung detektiert wird.

8. Verfahren nach einem der Ansprüche 3 - 7, dadurch gekennzeichnet, dass im ersten und/oder im zweiten Überwachungsmodul (15; 16) ein Filterprogramm (FP) implementiert ist, welches das empfangene Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist, das vorzugsweise feststellt, ob eine Anzahl r der eingetroffenen Pulse grösser oder kleiner ist als die Hälfte der Anzahl t erwarteten oder gesendeten Pulse.

9. Verfahren nach einem der Ansprüche 1 - 8, dadurch gekennzeichnet, dass zumindest das über den Schaltkontakt (11A; 11B) übertragene und gegebenenfalls gefilterte Überwachungssignal dem Eingang eines Watchdog-Timers (156) zugeführt wird, der mit jedem Eintreffen eines Pulses des Überwachungssignals zurückgesetzt wird und der bei Ausbleiben eines Pulses des Überwachungssignals bis zu einem Timeout hochzählt und eine Zustandsänderung signalisiert.

10. Verfahren nach einem der Ansprüche 3 -9, dadurch gekennzeichnet, dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal über den Schaltkontakt (11A; 11B) zum Eingangsport (ip) des ersten Überwachungsmoduls (15) geführt und überwacht wird, und dass das erste Überwachungsmodul (15) nach Ausbleiben eines erwarteten Pulses mehrere Pulse mit einer um den Faktor n erhöhten Pulsrepetitionsfrequenz abgibt, die dem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) über den Schaltkontakt (11A; 11B) sowie dem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) direkt zugeführt werden.

11. Verfahren nach einem der Ansprüche 1 - 10, dadurch gekennzeichnet, dass während des autonomen Betriebs der Überwachungsmodule (15; 16) geprüft wird

a) ob die von der Batterie (14) abgegebene Spannung einen Schwellwert unterschreitet; und/oder

b) ob in einem der Überwachungsmodule (15, 16) ein Brownout auftritt;

und dass die Überwachungsmodule (15; 16) im Ereignisfall zurück gesetzt und die ermittelten Zustandsdaten gelöscht werden.

12. Verfahren nach einem der Ansprüche 1 -11, dadurch gekennzeichnet, dass die Sicherungseinheit (1) die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten (10A; 10B) und den darin vorgesehenen Überwachungsmodulen (15, 16) ausliest und

a) die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten (10A; 10B) prüft; oder

b) aufgetretene Zustandsänderungen oder Fehlfunktionen der Überwachungseinheiten (10A; 10B) feststellt; oder

c) Abweichungen der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) registrierten gesendeten und empfangenen Pulse ermittelt; oder

d) bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten (10A; 10B) oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten (10A; 10B) oder bei einer Abweichung der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) übertragenen Pulse die Versetzung der Aufzugsanlage (3) zurück in den Normalbetrieb verhindert.

13. Aufzuganlage (3) mit einer Antriebseinheit (38), die mit einer in einem Aufzugsschacht (35) angeordneten Aufzugskabine (36) verbunden und von einer Steuervorrichtung (100) derart gesichert ansteuerbar ist,

a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahrbar ist, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) ansteuerbar sind und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und

b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahrbar ist, falls sich eine Person im Aufzugschacht (35) befindet;

wobei wenigstens einer der Türen (30A, 30B) eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (11A, 11B) zugeordnet sind, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 30B), detektierbar sind,
die Überwachungseinheit (10A; 10B)

a) mit einer Batterie (14) ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umschaltbar ist;

b) mit dem Überwachungssensor (11A, 11B) verbunden und zumindest während des autonomen Betriebs zu dessen Überwachung sowie zur Registrierung der Zustandsänderungen vorgesehen ist; und

c) mit einer Sicherungseinheit (1) verbunden ist, mittels der die Zustandsänderungen der überwachten Tür (30A; 30B) auswertbar und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhinderbar ist,

und der Überwachungssensor (11A; 11B) ein mit dem zugehörigen Türverschluss (31A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.

14. Aufzuganlage (3) nach Anspruch 13, dadurch gekennzeichnet,

a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (11A; 11B) an einen Eingangsport (ip) des ersten Überwachungsmoduls (15) übertragbar ist; oder

b) dass die Überwachungseinheit (10A; 10B) ein erstes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (11A; 11B) zu einem Eingangsport (ip) eines zweiten Überwachungsmoduls (16) übertragbar ist.

15. Aufzuganlage (3) nach Anspruch 14, dadurch gekennzeichnet,

a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist; oder

b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist.

Claims

1. Method for safely controlling an elevator system (3) comprising a drive unit (38) which allows an elevator car (36) located in an elevator shaft (35) to move and which is controlled in a safe manner by a control device (100) such that

a) in the normal mode of operation, the elevator car (36) can be moved to at least two accesses to the elevator shaft (35) at which doors (30A, 30B) controlled by the control device (100) are provided, a door lock (31A, 31B) being associated with at least one thereof, by means of which door lock the associated door (30A; 30B) can be unlocked and opened even in the case of a power failure; and

b) the elevator car (36) does not move or moves only to a limited extent if an individual is in the elevator shaft (35);

wherein a monitoring unit (10A; 10B) and a monitoring sensor (11A; 11B) are associated respectively with at least one of the doors (30A, 30B), by means of which state changes such as unlocking or opening of the door (30A; 30B) are detected,
the monitoring unit (10A; 10B)

a) is equipped with a battery (14) and is switched to an autonomous mode when the elevator system (3) is entirely or partially disabled;

b) is connected to the monitoring sensor (11A; 11B), monitors the state of the monitoring sensor (11A; 11B) at least during the autonomous mode, and records corresponding state data; and

c) is connected to a safeguard unit (1) which reads the recorded state data from all of the connected monitoring units (10A; 10B), evaluates said state data, and prevents the elevator system (3) from being put into the normal mode of operation if a change in the state of one of the monitored doors (30A; 30B) has been detected,

and the monitoring sensor (11A; 11B) is a switching contact coupled to the associated door lock (31A; 31B, via which a monitoring signal is transmitted from an output to an input of the monitoring unit (10A; 10B), and the transmitted monitoring signal is monitored with respect to state changes which occur upon actuation of the door lock (31A; 31B),
characterized in that the monitoring signal is in the form of a sequence of pulses.

2. Method according to claim 1, characterized in that the monitoring signal is designed as a sequence of identical pulses, or as a sequence of different pulses having an established setpoint form.

3. Method according to claim 1 or 2, characterized in that

a) the monitoring unit (10A; 10B) has a first processor-controlled monitoring module (15) that emits the monitoring signal at an output port (op) to the switching contact (11A; 11B) and receives in turn at an input port (ip); or

b) the monitoring unit (10A; 10B) has a first and second processor-controlled monitoring module (15, 16), one monitoring module (15) of which emits the monitoring signal at an output port (op) to the switching contact (11A; 11B), and the other monitoring module (16) of which receives the monitoring signal at an input port (ip); or

c) the monitoring unit (10A; 10B) has a first and second processor-controlled monitoring module (15, 16) that emits the monitoring signal alternately from the output port (op) thereof to the switching contact (11A; 11B) or receives at the input port (ip) thereof.

4. Method according to claim 3, characterized in that

a) the monitoring signal emitted from the output port (op) of the first monitoring module (15) is supplied on the one hand to a first input port (ip1) of the second monitoring module (16) via the switching contact (11A; 11B), and on the other hand directly to a second input port (ip2) of the second monitoring module (16); or

b) the monitoring signal emitted from the output port (op) of the first monitoring module (15) is supplied on the one hand to a first input port (ip1) of the second monitoring module (16) as well as to an input port (ip) of the first monitoring module (15) via the switching contact (11A; 11B), and on the other hand directly to a second input port (ip2) of the second monitoring module (16).

5. Method according to any of claims 1-4, characterized in that pulses or groups of pulses are transmitted in time intervals within which at least one of the monitoring modules (15; 16) is transferred to a sleep mode when a first event occurs and to an operating mode when a second event occurs, wherein the first event is preferably determined by the end of the process of the recording of state changes in the transmitted monitoring signal or by the expiration of a timer (157), and the second event is determined by the arrival of a transmitted pulse of the monitoring signal or by the expiration of a timer (156).

6. Method according to claim 4 or 5, characterized in that the safeguard unit (1) or at least one of the monitoring modules (15; 16) compares the monitoring signal transmitted via the switching contact (11A; 11B) with the monitoring signal not transmitted via the switching contact (11A; 11B), or with a setpoint form of the transmitted monitoring signal, and records deviations as well as a corresponding functional error in one of the monitoring modules (15; 16).

7. Method according to any of claims 4-6, characterized in that the first and/or second monitoring module (15; 16) each has at least one register (151) for storing state data, in which the number t of the pulses sent and the number or the pulses received are stored, and in that the difference between the stored number t of the pulses sent and the stored number r of the pulses received is formed in one of the monitoring modules (15; 16) or the safeguard unit (1), and any state change that may have occurred is detected.

8. Method according to any of claims 3-7, characterized in that there is implemented, in the first and/or second monitoring module (15; 16), a filter program (FP) that filters the received monitoring signal and is preferably configured as a low-pass filter or median filter, that preferably establishes whether a number r of the pulses that have arrived is greater or smaller than half the number t of expected or sent pulses.

9. Method according to any of claims 1-8, characterized in that at least the monitoring signal that has been transmitted via the switching contact (11A; 11B) and optionally been filtered is supplied to the input of a watchdog timer (156) that is reset with each arrival of a pulse of the monitoring signal, and that increments up to a timeout and signals a state change when a pulse of the monitoring signal is missing.

10. Method according to any of claims 3-9, characterized in that the monitoring signal emitted from the output port (op) of the first monitoring module (15) is passed via the switching contact (11A; 11B) to the input port (ip) of the first monitoring module (15), and monitored, and in that the first monitoring module (15), after the absence of an expected pulse, emits a plurality of pulses with a pulse repetition frequency that has been increased by the factor n, the pulses being supplied to the first input port (ip1) of the second monitoring module (16) via the switching contact (11A; 11B) as well as directly to the second input port (ip2) of the second monitoring module (16).

11. Method according to any of claims 1-10, characterized in that during the autonomous mode of the monitoring modules (15; 16), it is checked

a) whether the voltage from the battery (14) falls below a threshold value; and/or

b) whether a brownout is occurring in one of the monitoring modules (15, 16);

and the monitoring modules (15;16) are reset in the event, and the state data determined is deleted.

12. Method according to any of claims 1-11, characterized in that the safeguard unit (1) reads the recorded state data out from all of the connected monitoring units (10A; 10B) and the monitoring module (15, 16) provided therein, and

a) checks the functionality of all of the connected monitoring units (10A; 10B); or

b) establishes any state changes or malfunctions that have occurred in the monitoring units (10A; 10B); or

c) determines deviations in the numbers (t, r) of the sent and received pulses recorded in each of the monitoring units (10A; 10B); or

d) if there is a missing functionality of one of the monitoring units (10A; 10B), or if a state change has occurred in one of the monitoring units (10A; 10B), or if there is a deviation in the numbers (t, r) of the pulses transmitted in each of the monitoring units (10A; 10B) prevents the elevator system (3) from being transferred back to the normal mode of operation.

13. Elevator system (3) having a drive unit (38) that is connected to an elevator car (36) located in an elevator shaft (35) and can be safely controlled by a control device (100) such that

a) in the normal mode of operation, the elevator car (36) can be moved to at least two accesses to the elevator shaft (35) at which doors (30A, 30B) that can be controlled by the control device (100) are provided, a door lock (31A, 31B) being associated with at least one thereof, by means of which door lock the associated door (30A; 30B) can be unlocked and opened even in the case of a power failure; and

b) the elevator car (36) cannot move or can move only to a limited extent if an individual is in the elevator shaft (35);

wherein a monitoring unit (10A; 10B) and a monitoring sensor (11A, 11B) are associated with at least one of the doors (30A, 30B), by means of which monitoring sensor it is possible to detect state changes such as unlocking or opening of the door (30A; 30B),
the monitoring unit (10A; 10B)

a) is equipped with a battery (14) and can be switched to an autonomous mode when the elevator system (3) is entirely or partially disabled;

b) is connected to the monitoring sensor (11A, 11B) and is provided in order to monitor same and record the state changes at least during the autonomous mode; and

c) is connected to a safeguard unit (1) by means of which the state changes in the monitored door (30A; 30B) can be assessed and the elevator system (3) can be prevented from being placed in the normal mode of operation,

and the monitoring sensor (11A; 11B) is a switching contact coupled to the associated door lock (31A; 31B0, via which a monitoring signal is transmitted from an output to an input of the monitoring unit (10A; 10B), and the transmitted monitoring signal is monitored with respect to state changes which occur upon actuation of the door lock (31A; 31B),
characterized in that the monitoring signal is in the form of a sequence of pulses.

14. Elevator system (3) according to claim 13, characterized in that

a) the monitoring unit (10A; 10B) has a first processor-controlled monitoring module (15) having an output port (op) from which the monitoring signal can be transmitted via the switching contact (11A; 11B) to an input port (ip) of the first monitoring module (15); or

b) the monitoring unit (10A; 10B) has a first monitoring module (15) having an output port (op) from which the monitoring signal can be transmitted via the switching contact (11A; 11B) to an input port (ip) of a second monitoring module (16).

15. Elevator system (3) according to claim 14, characterized in that

a) the monitoring signal emitted from the output port (op) of the first monitoring module (15) can be supplied on the one hand to a first input port (ip1) of the second monitoring module (16) via the switching contact (11A; 11B), and on the other hand directly to a second input port (ip2) of the second monitoring module (16); or

b) the monitoring signal emitted from the output port (op) of the first monitoring module (15) can be supplied on the one hand to a first input port (ip1) of the second monitoring module (16) as well as to an input port (ip) of the first monitoring module (15) via the switching contact (11A; 11B), and on the other hand directly to a second input port (ip2) of the second monitoring module (16).

Revendications

1. Procédé de commande sécurisée d'une installation d'ascenseur (3) qui comprend une unité d'entraînement (38) au moyen de laquelle une cabine d'ascenseur (36) agencée dans une cage d'ascenseur (35) peut être déplacée, l'installation d'ascenseur étant commandée de manière sécurisée par un dispositif de commande (100), de sorte

a) qu'en fonctionnement normal, la cabine d'ascenseur (36) peut être déplacée vers au moins deux entrées de la cage d'ascenseur (35), au niveau desquelles des portes (30A ; 30B) sont prévues, lesquelles portes sont commandées par le dispositif de commande (100) et dont l'une au moins est associée à un verrou de porte (31A ; 31B), verrou au moyen duquel la porte associée (30A ; 30B) peut être déverrouillée et ouverte même en cas de panne de courant ; et

b) que la cabine d'ascenseur (36) ne se déplace pas ou se déplace seulement de façon limitée, si une personne se trouve dans la cage d'ascenseur (35) ;

au moins l'une des portes (30A ; 30B) étant associée à une unité de surveillance (10A ; 10B) et à un capteur de surveillance (11A ; 11B) au moyen duquel des changements d'état, tels que le déverrouillage ou l'ouverture de la porte (30A ; 30B) sont détectés,
l'unité de surveillance (10A ; 10B) étant

a) pourvue d'une batterie (14) et, en cas de mise hors service complète ou partielle de l'installation d'ascenseur (3), est commutée en mode de fonctionnement autonome ;

b) reliée au capteur de surveillance (11A; 11B), et surveillant, au moins pendant le fonctionnement autonome, l'état du capteur de surveillance (11A; 11B), et enregistrant les données d'état correspondantes ; et

c) reliée à une unité de fusible (1) qui lit et évalue les données d'état enregistrées à partir de toutes les unités de surveillance connectées (10A ; 10B) et empêche l'installation de l'ascenseur (3) de fonctionner normalement si un changement d'état a été détecté pour l'une des portes surveillées (30A ; 30B),

et le capteur de surveillance (11A ; 11B) étant un contact de commutation couplé au verrou de porte associé (31A ; 31B) et par lequel un signal de surveillance est transmis d'une sortie à une entrée de l'unité de surveillance (10A ; 10B) et le signal de surveillance transmis est surveillé en fonction des changements d'état qui se produisent lorsque le verrou de porte (31A ; 31B) est actionné, caractérisé en ce que le signal de surveillance est exécuté sous la forme d'une séquence d'impulsions.

2. Procédé selon la revendication 1, caractérisé en ce que le signal de surveillance est exécuté sous forme d'une séquence d'impulsions identiques ou sous forme d'une séquence d'impulsions différentes ayant une forme de consigne prédéterminée.

3. Procédé selon la revendication 1 ou 2, caractérisé

a) en ce que l'unité de surveillance (10A ; 10B) comporte un premier module de surveillance (15) commandé par processeur qui envoie le signal de surveillance à un port de sortie (op) du contact de commutation (11A ; 11B) et le reçoit à nouveau sur un port d'entrée (ip) ; ou

b) en ce que l'unité de surveillance (10A ; 10B) comporte un premier et un second module de surveillance (15 ; 16) commandés par processeur, l'un des modules de surveillance (15) envoyant le signal de surveillance à un port de sortie (op) du contact de commutation (11A ; 11B) et l'autre module de surveillance (16) reçoit le signal de surveillance sur un port d'entrée (ip) ; ou

c) en ce que l'unité de surveillance (10A ; 10B) comporte un premier et un second module de surveillance (15 ; 16) commandés par processeur qui envoient en alternance le signal de surveillance de leur port de sortie (op) au contact de commutation (11A; 11B) ou le reçoivent sur leur port d'entrée (ip).

4. Procédé selon la revendication 3, caractérisé

a) en ce que le signal de surveillance envoyé à partir du port de sortie (op) du premier module de surveillance (15) est transmis, d'une part par l'intermédiaire du contact de commutation (11A ; 11B) à un premier port d'entrée (ip1) du second module de surveillance (16) et, d'autre part, directement à un second port d'entrée (ip2) du second module de surveillance (16) ; ou

b) en ce que le signal de surveillance envoyé à partir du port de sortie (op) du premier module de surveillance (15) est transmis, d'une part par l'intermédiaire du contact de commutation (11A ; 11B) à un premier port d'entrée (ip1) du second module de surveillance (16) ainsi qu'à un port d'entrée (ip) du premier module de surveillance (15) et, d'autre part, directement à un second port d'entrée (ip2) du second module de surveillance (16).

5. Procédé selon l'une des revendications 1 à 4, caractérisé en ce que des impulsions ou des groupes d'impulsions sont transmis à un intervalle de temps à l'intérieur duquel au moins l'un des modules de surveillance (15 ; 16) est mis dans un état de repos lorsqu'un premier événement se produit et dans un état de fonctionnement lorsqu'un second événement se produit, le premier événement étant déterminé de préférence par la fin du processus d'enregistrement de changements d'état du signal de surveillance transmis ou par l'expiration d'une minuterie (157), et le second événement est déterminé par l'arrivée d'une impulsion transmise du signal de surveillance ou par l'expiration d'une minuterie (156).

6. Procédé selon la revendication 4 ou 5, caractérisé en ce que l'unité de fusible (1) ou au moins l'un des modules de surveillance (15 ; 16) compare le signal de surveillance transmis par le contact de commutation (11A ; 11B) avec le signal de surveillance non transmis par le contact de commutation (11A ; 11B) ou avec une forme de consigne du signal de surveillance transmis, et enregistre des écarts et un dysfonctionnement correspondant dans l'un des modules de surveillance (15 ; 16).

7. Procédé selon l'une des revendications 4 à 6, caractérisé en ce que le premier et/ou le second module de surveillance (15 ; 16) comportent chacun au moins un registre (151) pour l'enregistrement de données d'état, registre dans lequel le nombre t des impulsions envoyées et le nombre r des impulsions reçues est enregistré, et en ce que la différence entre le nombre t enregistré des impulsions envoyées et le nombre r enregistré des impulsions reçues est formée dans l'un des modules de surveillance (15 ; 16) ou dans l'unité de fusible (1), et tout changement d'état survenu est détecté.

8. Procédé selon l'une des revendications 3 à 7, caractérisé en ce qu'un programme de filtrage (FP) est mis en œuvre dans le premier et/ou dans le second module de surveillance (15 ; 16), lequel programme filtre le signal de surveillance reçu et est de préférence conçu sous la forme d'un filtre passe-bas ou un filtre médian qui détermine si un nombre r des impulsions reçues est supérieur ou inférieur à la moitié du nombre t d'impulsions attendues ou envoyées.

9. Procédé selon l'une des revendications 1 à 8, caractérisé en ce qu'au moins le signal de surveillance transmis par l'intermédiaire du contact de commutation (11A; 11B) et éventuellement filtré est transmis à l'entrée d'un minuteur de surveillance de temps (156) qui est réinitialisé à chaque arrivée d'une impulsion du signal de surveillance et qui effectue un comptage jusqu'à un délai d'attente en l'absence d'une impulsion du signal de surveillance, et signale un changement d'état.

10. Procédé selon l'une des revendications 3 à 9, caractérisé en ce que le signal de surveillance émis par le port de sortie (op) du premier module de surveillance (15) est guidé et surveillé par l'intermédiaire du contact de commutation (11A ; 11B) vers le port d'entrée (ip) du premier module de surveillance (15), et en ce que, suite à l'absence d'une impulsion attendue, le premier module de surveillance (15) émet une pluralité d'impulsions avec une fréquence de répétition des impulsions augmentée du facteur n, impulsions qui sont directement transmises au premier port d'entrée (ip1) du second module de surveillance (16) par l'intermédiaire du contact de commutation (11A ; 11B) et au second port d'entrée (ip2) du second module de surveillance (16).

11. Procédé selon l'une des revendications 1 à 10, caractérisé en ce que, lors du fonctionnement autonome des modules de surveillance (15 ; 16), on vérifie

a) si la tension délivrée par la batterie (14) tombe en dessous d'une valeur de seuil ; et/ou

b) si, dans l'un des modules de surveillance (15 ; 16), il se produit une baisse de tension ;

et en ce que les modules de surveillance (15 ; 16) sont réinitialisés en cas d'incident et que les données d'état déterminées sont supprimées.

12. Procédé selon l'une des revendications 1 à 11, caractérisé en ce que l'unité de fusible (1) lit les données d'état enregistrées provenant de toutes les unités de surveillance connectées (10A ; 10B) et des modules de surveillance (15, 16) qui y sont prévus, et

a) vérifie le fonctionnement de toutes les unités de surveillance connectées (10A ; 10B) ; ou

b) détecte des changements d'état ou des dysfonctionnements des unités de surveillance (10A ; 10B) ; ou

c) détermine des écarts entre les nombres (t, r) des impulsions envoyées et reçues enregistrées dans chacune des unités de surveillance (10A ; 10B) ; ou

d) empêche le déplacement de l'installation d'ascenseur (3) en fonctionnement normal en cas de dysfonctionnement de l'une des unités de surveillance (10A ; 10B) ou en cas de changement d'état dans l'une des unités de surveillance (10A ; 10B) ou si les nombres (t, r) des impulsions transmises dans chacune des unités de surveillance (10A; 10B) sont différents.

13. Installation d'ascenseur (3) comportant une unité d'entraînement (38) qui est reliée à une cabine d'ascenseur (35) agencée dans une cabine d'ascenseur (36) et commandée de manière sécurisée par un dispositif de commande (100), de sorte

a) qu'en fonctionnement normal, la cabine d'ascenseur (36) peut être déplacée vers au moins deux entrées de la cage d'ascenseur (35), au niveau desquelles des portes (30A ; 30B) sont prévues, lesquelles portes peuvent être commandées par le dispositif de commande (100) et dont l'une au moins est associée à un verrou de porte (31A; 31B), verrou au moyen duquel la porte associée (30A ; 30B) peut être déverrouillée et ouverte même en cas de panne de courant ; et

b) que la cabine d'ascenseur (36) ne peut pas se déplacer ou ne peut se déplacer que de façon limitée, si une personne se trouve dans la cage d'ascenseur (35) ;

au moins une des portes (30A; 30B) étant associée à une unité de surveillance (10A ; 10B) et à un capteur de surveillance (11A ; 11B) au moyen duquel des changements d'état, tels que le déverrouillage ou l'ouverture de la porte (30A ; 30B), peuvent être détectés,
l'unité de surveillance (10A ; 10B) étant

a) pourvue d'une batterie (14) et, en cas de mise hors service complète ou partielle de l'installation d'ascenseur (3), pouvant être commutée en mode de fonctionnement autonome ;

b) reliée au capteur de surveillance (11A ; 11B), et prévue, au moins en fonctionnement autonome, pour surveiller et enregistrer les changements d'état ; et

c) reliée à une unité de fusible (1) au moyen de laquelle les changements d'état de la porte surveillée (30A; 30B) peuvent être évalués et le déplacement de l'installation d'ascenseur (3) en fonctionnement normal peut être empêché,

et le capteur de surveillance (11A ; 11B) étant un contact de commutation couplé au verrou de porte associé (31A; 31B), contact par lequel un signal de surveillance est transmis d'une sortie à une entrée de l'unité de surveillance (10A; 10B) et le signal de surveillance transmis est surveillé en fonction des changements d'état qui se produisent lorsque le verrou de porte (31A ; 31B) est actionné,
caractérisé en ce que le signal de surveillance est exécuté sous la forme d'une séquence d'impulsions.

14. Installation d'ascenseur (3) selon la revendication 13, caractérisée

a) en ce que l'unité de surveillance (10A ; 10B) comporte un premier module de surveillance (15) commandé par processeur ayant un port de sortie (op) à partir duquel le signal de surveillance peut être transmis par l'intermédiaire du contact de commutation (11A; 11B) à un port d'entrée (ip) du premier module de surveillance (15) ; ou

b) en ce que l'unité de surveillance (10A ; 10B) comporte un premier module de surveillance (15) ayant un port de sortie (op) à partir duquel le signal de surveillance peut être transmis par l'intermédiaire du contact de commutation (11A ; 11B) à un port d'entrée (ip) d'un second module de surveillance (16).

15. Installation d'ascenseur (3) selon la revendication 14, caractérisée

a) en ce que le signal de surveillance envoyé à partir du port de sortie (op) du premier module de surveillance (15) peut être transmis, d'une part par l'intermédiaire du contact de commutation (11A ; 11B) à un premier port d'entrée (ip1) du second module de surveillance (16) et, d'autre part, directement à un second port d'entrée (ip2) du second module de surveillance (16) ; ou

b) en ce que le signal de surveillance envoyé à partir du port de sortie (op) du premier module de surveillance (15) peut être transmis, d'une part par l'intermédiaire du contact de commutation (11A ; 11B) à un premier port d'entrée (ip1) du second module de surveillance (16) ainsi qu'à un port d'entrée du premier module de surveillance (15) et, d'autre part, directement à un second port d'entrée (ip2) du second module de surveillance (16).

Zeichnung