BR112018003902B1

BR112018003902B1 - Processo para o controle seguro de um sistema de elevador e sistema de elevador

Info

Publication number: BR112018003902B1
Application number: BR112018003902-0A
Authority: BR
Inventors: Adrian Knecht; Astrid Sonnenmoser; Ivo Lustenberger; Kurt Heinz; Martin Hess; Thomas Hartmann
Original assignee: Inventio Ag
Priority date: 2015-09-30
Filing date: 2016-09-29
Publication date: 2023-03-14
Also published as: US10926974B2; EP3356273B1; EP3356273A1; WO2017055420A1; US20180215579A1; BR112018003902A2; CN108137268A; CN108137268B

Abstract

PROCESSO E DISPOSITIVO PARA CONTROLAR UM SISTEMA DE ELEVADOR. Processo e dispositivo para o controle seguro de um sistema de elevador (3) compreendendo uma unidade de acionamento (38), por meio da qual uma cabine de elevador (36) disposta em um poço de elevador (35) é deslocável e controlada de modo seguro por um dispositivo de controle (100) de tal modo que na operação normal, a cabine de elevador (36) pode ser deslocada a dois acessos do poço de elevador (35), nos quais estão previstas portas (30A, 30B). A cabine de elevador (36) não é deslocada ou apenas limitadamente, caso uma pessoa se encontre no poço de elevador (35). As portas (30A, 30B) estão associados a uma unidade de monitoramento (10A, 10B) e um sensor de monitoramento (11A, 11B), por meio dos quais mudanças de estado são detectadas. A unidade de monitoramento (10A, 10B) está equipada com uma bateria (14) e no caso de uma paralisação completa ou parcial do sistema de elevador (3), é comutável para uma operação autônoma. A mesma está conectada com um sensor de monitoramento (11A, 11B) e monitora durante a operação autônoma, o estado sensor de monitoramento (11A, 11B), e registra dados de estado; e está conectada com uma unidade de segurança (1), que lê e avalia os (...).

Description

[0001] A invenção refere-se a um processo e a dispositivo para controlar com segurança um sistema de elevador.

[0002] Um sistema de elevador normalmente compreende uma cabine de elevador, um poço de elevador, no qual se move a cabine de elevador, e uma unidade de acionamento para mover a cabine de elevador.

[0003] Do documento WO2005/000727 A1 é conhecido que sistemas de elevador apresentem um circuito de segurança, no qual diversos elementos de segurança, tais como, por exemplo, contatos e interruptores de segurança, estejam dispostos ligados em série. Os contatos monitoram, por exemplo, se uma porta de poço ou a porta da cabine está aberta. A cabine de elevador só pode ser movida, quando o circuito de segurança e, assim, todos os contatos de segurança integrados no mesmo, estão fechados. Alguns dos elementos de segurança são manobrados pelas portas. Outros elementos de segurança, tais como, por exemplo, um interruptor de substituição, são manobrados ou ativados pela cabine de elevador. O circuito de segurança está em conexão com o acionamento ou a unidade de freio de um sistema de elevador, para interromper o serviço de funcionamento, caso o circuito de segurança seja aberto.

[0004] Do documento WO2005/000727 A1 são conhecidos, ainda, sistemas de elevador, que em vez do circuito de segurança mencionado, estão equipados com um sistema de bus de segurança, que compreendem, tipicamente, uma unidade de controle, um bus de segurança e um ou mais nós de bus.

[0005] É de importância, não só a segurança de pessoas, que são transportadas com o sistema de elevador, mas também a segurança de pessoas, que estão presentes no poço do elevador, por exemplo, para fins de manutenção.

[0006] O documento WO 2003008316

[0007] A1 descreve que sistemas de elevador atuais, por razões de segurança estão projetados de tal modo que no fundo do poço está previsto um espaço de proteção, na forma de um fosso de poço, para assegurar que o pessoal de manutenção não corra risco no poço, quando a cabine de elevador se desloca para a posição inferior extrema no poço.

[0008] Além disso, na extremidade superior do poço - chamada de cabeça de poço - normalmente, está previsto um espaço de proteção, para que o pessoal de manutenção, que realiza uma manutenção no teto da cabine, não corra risco, quando a cabine se desloca para a posição superior extrema no poço.

[0009] Um sistema de elevador com espaço de proteção, na ex tremidade de poço inferior e superior é mais longo por alguns metros do que a altura efetiva dos andares do prédio, que é atendido pelo elevador. Isso se refere aos mais diversos tipos de disposições de elevador, tais como, por exemplo, elevadores de cabo, elevadores hidráulicos, elevadores de motor lineares.

[00010] Para evitar ou reduzir os referidos espaços de proteção, o sistema de elevador descrito no documento WO2003008316A1 apresenta adicionalmente e independentemente dos sensores e meios de controle habituais, que estão previstos para o serviço normal do sistema de elevador, um dispositivo de detecção, que detecta se uma pessoa se encontra em uma zona crítica do poço, particularmente dentro do fosso do poço ou da cabeça do poço. A detecção pode dar-se por meio de quaisquer sensores, por exemplo, fotocélula. Esse dispositivo de detecção está conectado com a unidade de acionamento do sistema de elevador de tal modo que o sistema de elevador pode ser trans-ferido para um estado de serviço especial, caso uma pessoa se encontre na zona crítica ou esteja prestes a chegar à mesma.

[00011] O dispositivo de detecção e o dispositivo de controle especial estão projetados com relevância para a segurança, para, sob quaisquer circunstâncias, impedir a entrada da cabine de elevador na zona crítica, caso uma pessoa se encontre na mesma. A configuração com relevância para a segurança requer, por exemplo, que componentes importantes estejam presentes de modo redundante, funções importantes do dispositivo de controle se realizem paralelamente e seus resultados sejam comparados uns com os outros e a transmissão de dados se dê através de linhas paralelas. Portanto, a configuração do sistema de elevador com relevância para a segurança está associada a uma complexidade considerável.

[00012] O documento WO2013/045271 A1 descreve um dispositivo para o controle seguro de um sistema de elevador. O dispositivo apresenta dois dispositivos contadores, por meio dos quais podem ser detectados movimentos de uma porta de poço. Um dispositivo contador só é ativo com um abastecimento de corrente ativo. O outro dispositivo contador está realizado de modo energeticamente independente e, portanto, é ativo tanto no caso de um abastecimento de corrente intacto como também suspenso. Na base dos valores de contagem dos dois dispositivos contadores, pode ser constatado se a porta de poço foi aberta no caso de abastecimento de corrente suspenso. O dispositivo contador energeticamente independente apresenta um ímã per-manente e uma unidade indutora, que possibilitam a operação do dispositivo contador sem o uso de uma bateria.

[00013] O documento WO2014/124779 A1 também descreve um dispositivo para o controle seguro de um sistema de elevador. O dispositivo apresenta um dispositivo de consulta e um interruptor de segurança para monitoramento de um fecho de porta de uma porta de poço do sistema de elevador. A unidade de consulta, no caso de uma interrupção do abastecimento de corrente, pode ser abastecida por um dispositivo de abastecimento de energia independente, por exemplo, na forma de uma bateria.

[00014] A presente invenção tem, portanto, por base a tarefa de superar as desvantagens da técnica e indicar um processo aperfeiçoado e um dispositivo aperfeiçoado para o controle seguro de um sistema de elevador.

[00015] O processo de acordo com a invenção e o dispositivo de acordo com a invenção devem poder ser realizados ou operados, particularmente, com um aparato de manutenção o menor possível por um técnico de assistência.

[00016] Particularmente, o processo e o dispositivo de acordo com a invenção, no caso de interrupções de corrente, devem poder assegurar um monitoramento de longa duração do sistema de elevador, de modo que, depois do término de uma interrupção de corrente por um longo período ou de várias interrupções de corrente sucessivas, os mesmos podem ser novamente inicializados automaticamente e uma inspeção do sistema de elevador pelo pessoal de manutenção não é necessária. Além disso, uma verificação e manutenção do dispositivo devem ser necessárias o mais raramente possível.

[00017] O processo e o dispositivo servem para controle seguro de um sistema de elevador, que compreende uma unidade de acionamento, por meio da qual uma cabine de elevador disposta em um poço de elevador é deslocável e que é controlada com segurança por um dispositivo de controle, de tal modo que a. a cabine de elevador, na operação normal, pode ser deslocada para pelo menos dois acessos ao poço de elevador, nos quais estão previstas portas, que são controladas pelo dispositivo de controle e das quais pelo menos a uma está associado um fecho de porta, por meio do qual a porta associada pode ser destravada e aberta, mesmo no caso de uma interrupção de corrente; e b. a cabine de elevador não é deslocada ou apenas limitadamente, caso uma pessoa se encontre no poço de elevador.

[00018] Pelo menos a uma das portas estão associados uma unidade de monitoramento e um sensor de monitoramento, por meio dos quais mudanças de estado, tal como destravamento ou a abertura da porta, são detectadas. A unidade de monitoramento a. está equipada com uma bateria e no caso de uma paralisação completa ou parcial do sistema de elevador, comutar para uma operação autônoma; b. está conectada com o sensor de monitoramento e monitora durante a operação autônoma o estado do sensor de monitoramento e registra dados de estado correspondentes; c. está conectada com uma unidade de segurança, que lê e avalia todos os dados de estado registrados de todas as unidades de monitoramento conectadas e impede a mudança do sistema de elevador para a operação normal, caso tenha sido detectada uma mudança de estado para uma das portas monitoradas.

[00019] O sensor de monitoramento é um contato de comutação acoplado com o fecho de porta correspondente, através do qual um sinal de monitoramento é transmitido de uma saída para uma entrada da unidade de monitoramento, que monitora o sinal de monitoramento transmitido, no que se refere a mudanças de estado, que ocorrem na manipulação do fecho de porta. A saída também pode ser designada como uma chamada porta de saída, e a entrada, como uma chamada porta de entrada da unidade de monitoramento. Quando o contato de comutação é aberto, a transmissão do sinal de monitoramento é interrompida e a abertura do contato de comutação é detectada na unidade de monitoramento. Essa mudança de sinal ou mudança de estado é registrada na unidade de monitoramento. Dados de estado podem ser armazenados na unidade de monitoramento e postos à disposição para avaliação pela unidade de segurança ou já ser avaliados na unidade de monitoramento, de modo que a unidade de monitoramento, depois do término da interrupção de corrente, já transmite o resultado do monitoramento, a presença ou ausência de uma pessoa no poço de elevador, à unidade de segurança central.

[00020] De acordo com a invenção, o sinal de monitoramento é realizado como uma sequência de pulsos. Para a transmissão de uma sequência de pulsos é necessária muito menos energia do que para uma transmissão de uma corrente contínua ou corrente alternada. Com isso, a bateria é menos solicitada, em comparação à transmissão de uma corrente contínua ou corrente alternada. É particularmente vantajoso quando o sinal de monitoramento é transmitido como uma sequência de pulsos, que apresentam um intervalo de tempo relativamente grande um ao outro.

[00021] Pela baixa solicitação da bateria pelo sinal de monitoramento pulsado, a bateria atinge uma longa vida útil, o que possibilita uma verificação rara de seu estado de carga e uma troca rara da bateria. Com isso, o dispêndio para verificação e manutenção da unidade de monitoramento é muito pequeno.

[00022] O sinal de monitoramento é realizado, particularmente, como uma sequência de pulsos idênticos ou como uma sequência de pulsos diferentes, com uma forma teórica especificada. As formas teóricas diferenciam-se, por exemplo, na posição do pulso, na forma do pulso, na amplitude do pulso e/ou na largura do pulso.

[00023] A invenção, que pode ser usada nos mais diversos tipos de disposições de elevador, tais como, por exemplo, elevadores a cabo, elevadores hidráulicos, elevadores de motor lineares, permite que o acesso de uma pessoa ao poço de elevador seja monitorado com se-gurança e impedir a mudança do sistema de elevador para a operação normal, caso tenha sido detectado um evento que indique que uma pessoa, eventualmente, chegou ao poço de elevador. Assim que uma mudança de estado crítica tenha sido detectada ou identificada pela unidade de segurança, então isso é sinalizado a um computador de controle. Alternativamente, a unidade de controle pode intervir diretamente no sistema de elevador e, por exemplo, interromper o abastecimento de energia ou pôr a unidade de acionamento fora de operação. A unidade de segurança pode, por exemplo, estar integrada como módulo de software no computador de controle ou estar formada como módulo separado, que interage com o computador de controle ou outras partes do sistema de elevador. Os elementos para monitoramento e controle seguro do sistema de elevador podem, portanto, estar integrados nos outros elementos para controle do sistema de elevador ou realizados independentemente dos mesmos.

[00024] Esse acesso de uma pessoa ao poço de elevador é particularmente crítico, quando o sistema de elevador, junto com os módulos de segurança, quando existentes, está desligado. Nesse estado, uma pessoa pode manipular um fecho de porta, por exemplo, por meio de uma ferramenta ou chave, abrir a porta e chegar ao poço de elevador e ficar exposta ao risco de ferimento quando o sistema entrar em funcionamento. Uma entrada em funcionamento automática é, portanto, evitada, por razões de segurança. Em vez disso, o pessoal de manutenção verifica, depois de uma interrupção de corrente, se o poço de elevador está livre e o sistema de elevador pode ser posto em funcio-namento.

[00025] Tal como descrito inicialmente, alternativamente, podem ser previstos sensores, que detectam a presença de uma pessoa no poço de elevador, assim que o sistema esteja em funcionamento. Quando essa detecção for realizada com segurança., então ela está associada a uma complexidade considerável. Por um lado, hardware e software devem ser executados com segurança. Por outro lado, sensores devem estar previstos de tal modo que a pessoa possa ser detectada com segurança em qualquer ponto do poço de elevador. A detecção também deve estar garantida quando os sensores estão sujos ou se predominarem condições anormais, por exemplo, formação de fumaça dentro do poço de elevador.

[00026] De acordo com a invenção, o problema é solucionado com medidas comparativamente simples e muito seguras. De acordo com a invenção, uma abertura da porta ou uma manipulação do travamento de porta é detectada. Para esse fim, podem ser usados sensores de monitoramento diferentes ou sensores de medição, tais como sensores de movimento, sensores de pressão, sensores ópticos, sensores de capacidade, que detectam um deslocamento recíproco de elementos metálicos da porta, ou motores, que no caso de um movimento manual de uma porta, são operados como gerador. São particularmente apropriados sensores de monitoramento, que não requerem abastecimento de energia, tais como elementos de ligação, que são ativados por um elemento da porta ou do travamento.

[00027] Como depois da paralisação de funcionamento do sistema de elevador não ocorre nenhum abastecimento de corrente da rede local, a unidade de monitoramento está equipada com uma bateria e formada de tal modo que na paralisação de funcionamento do sistema de elevador, ela pode ser automaticamente comutada para uma operação autônoma. Por exemplo, está previsto um relé, que é ativado por corrente da rede e conecta o circuito da unidade de monitoramento com uma tensão de serviço. Assim que a rede de corrente é interrompida, o relé é desativado e cai em um estado de repouso, no qual a bateria é conectada com o circuito das unidades de monitoramento.

[00028] Portanto, o sistema de elevador pode ser monitorado por meio das unidades de monitoramento permanentemente, isto é, durante a operação normal e também depois da paralisação de funcionamento, para verificar se uma porta ou o travamento foi manipulada. É de importância fundamental o monitoramento do sistema de elevador de acordo com a invenção, durante uma interrupção de corrente, uma vez que durante a operação normal, também podem ser usados outros meios. Depois do término da interrupção de corrente, os dados de monitoramento das unidades de monitoramento podem ser lidos.

[00029] Para esse fim, cada uma das unidades de monitoramento está conectada com pelo menos um sensor de monitoramento e monitora durante o funcionamento autônomo, o estado da mesma e registra dados de estado correspondentes. Particularmente, são monitoradas todas as portas, nas quais pode-se contar que possam ser abertas durante uma interrupção de corrente, para chegar ao poço de elevador. Portanto, é monitorada, particularmente, toda porta à qual está associado um fecho de porta, por meio do qual a porta associada também pode ser destravada e aberta no caso de uma interrupção de corrente. Para monitoramento de várias portas, em cada porta pode estar disposta uma unidade de monitoramento e um sensor de monitoramento. Alternativamente, é possível que nas portas individuais só esteja disposto, em cada caso, um sensor de monitoramento e uma pluralidade de sensores de monitoramento é monitorada por uma unidade de monitoramento. Nesse caso, também só é necessária uma única bateria. Os sensores de monitoramento podem, para esse fim, estar, particularmente, ligados em série. No caso de uma única unidade de monitoramento monitorar uma pluralidade de sensores de monitoramento, é possível uma realização de custos particularmente favoráveis do processo, uma vez que não é necessária uma unidade de monitoramento com uma bateria própria para cada porta.

[00030] Depois do término da interrupção de corrente, os dados de estado coletados nas unidades de monitoramento são lidos pela unidade de segurança. De preferência, as unidades de monitoramento são primeiramente comutadas da operação por bateria para a operação por rede. Depois da avaliação dos dados transmitidos pelas unidades de monitoramento, a unidade de segurança decide se, eventualmente, uma pessoa possa ter manipulado as portas do elevador e chegado ao poço de elevador, e impede a mudança para a operação normal. Em vez disso, através de um canal de transmissão ligado por fio ou sem fio, é transmitida, automaticamente uma mensagem de defeito localmente a uma unidade de saída, um alto-falante e/ou a um display do sistema de elevador ou de modo descentralizado, a um serviço de manutenção, que, em seguida, verifica o sistema de elevador e coloca o mesmo novamente em funcionamento.

[00031] Quando, por outro lado, tiver sido constatado que nenhuma pessoa chegou ao poço de elevador, então o sistema de elevador é novamente comutado para a operação normal. Pessoal de manutenção não é necessário, nesse caso. O sistema de elevador, depois do término da interrupção de corrente, pode ser automaticamente comutado, sem demora, novamente para a operação normal. Assim, com dotação dos sistemas de elevador da solução de acordo com a invenção, a disponibilidade desses sistemas de elevador é aumentada significativamente. Também sistemas de elevador já instalados podem ser reequipados com a solução de acordo com a invenção.

[00032] As chamadas mensagens "falso-negativas", isto é, mensagens que negam a presença de uma pessoa no poço de elevador, embora uma pessoa se encontre no poço de elevador, são excluídas. Por outro lado, depois da manipulação de um fecho de porta, podem ser esperadas mensagens "falso-positivas", isto é, mensagens que confirmam, como possível, a presença de uma pessoa no poço de elevador, embora não se encontre nenhuma pessoa no poço de elevador.Essa situação, por outro lado, ocorre estatisticamente, muito raramente, depois de uma interrupção de corrente, por exemplo, em um de cem casos. De modo que a segurança garantida é alcançada com esforço mínimo. Inversamente, observa-se que 99% de todos os sistemas de elevador, depois do término de uma interrupção de corrente, são novamente transferidos à operação normal, com o que, a uma garantia completa de segurança, resulta uma disponibilidade praticamente máxima, sem demora.

[00033] Em uma configuração preferida, a unidade de monitoramento compreende um primeiro módulo de monitoramento controlado por processador, que emite o sinal de monitoramento em uma porta de saída ao contato de controle e o recebe novamente em uma porta de entrada.

[00034] Em uma outra configuração preferida, a unidade de monitoramento compreende um primeiro módulo de monitoramento controlado por processador, que emite o sinal de monitoramento a uma porta de saída e, através de um contato de comutação, emite o mesmo a uma porta de entrada de um segundo módulo de monitoramento. A separação física do estágio de transmissão e do estágio de recepção um do outro garante que erros que ocorrem em um módulo de monitoramento, não têm nenhum efeito direto sobre o outro módulo de monitoramento. Com isso, pode ser garantida uma operação particularmente segura do sistema de elevador.

[00035] Os dois módulos de monitoramento também podem estar dotados de tal modo com um software de operação, que eles emitem o sinal de monitoramento, alternadamente de sua porta de saída ao contato de comutação ou recebem o mesmo em sua porta de entrada. Pela operação alternada, os módulos de monitoramento podem ser integralmente usados e testados, de modo que em uma mudança de estado pode ser constado em que ponto do caminho de transmissão foi causada uma mudança de estado ou um erro de transmissão. Quando, por exemplo, a transmissão em uma direção é possível e está interrompida na outra direção, então pode-se deduzir um defeito em um dos módulos de transmissão.

[00036] A vantagem da operação particularmente segura do sistema de elevador pelo usado de dois módulos de monitoramento controlados por processador, também existe quando o sinal de monitoramento, que é transmitido através do contato de comutação, está realizado como um sinal de corrente contínua permanente ou corrente alternada e, com isso, não como um sinal pulsado.

[00037] Em uma outra configuração preferida, um sinal de monitoramento emitido da porta de saída do primeiro módulo de monitoramento, é alimentado, por um lado, através do contato de comutação a uma primeira porta de entrada do segundo módulo de monitoramento e, por outro lado, diretamente, a uma segunda porta de entrada do segundo módulo de monitoramento. Portanto, ao segundo módulo de monitoramento é alimentado através do contato de comutação, portanto, o valor efetivo e, diretamente, o valor teórico do sinal de monitoramento transmitido. Por comparação do valor efetivo e valor teórico, já pode ser constatada uma mudança de estado. O sinal de monitoramento, alimentado à segunda porta de entrada, também pode ser usado para ativação do segundo módulo de monitoramento, tal como isso ainda será descrito.

[00038] Em uma configuração particularmente preferida, o sinal de monitoramento, emitido da porta de saída do primeiro módulo de moni-toramento é conduzido, por um lado, através do contato de comutação, a uma primeira porta de entrada do segundo módulo de monitoramento, bem como a uma porta de entrada do primeiro módulo de monitoramento e, por outro lado, diretamente a uma segunda porta de entrada do segundo módulo de monitoramento. Essa configuração é especialmente vantajosa, uma vez que ela permite ao primeiro módulo de monitoramento modificar o sinal de monitoramento, na dependência de uma mudança de estado ocorrida e realizar uma verificação mais rápida e/ou aprofundada. Particularmente no que se refere à operação dos módulos de monitoramento com modo de repouso agregado, essa solução é particularmente vantajosa, tal como será explicado abaixo.

[00039] A distância dos pulsos ou a frequência de repetição dos pulsos e, opcionalmente, também a largura de pulso do sinal de monitoramento está selecionada, de preferência, de tal modo que a segurança é suficiente para a detecção de uma mudança de estado e, ao mesmo tempo, a atividade de monitoramento e, assim, a necessidade de energia dos módulos de monitoramento, é reduzida a um mínimo.

[00040] A largura de pulso dos pulsos transmitidos é selecionada, de preferência, de tal modo que o segundo módulo de monitoramento, por um pulso transmitido, pode ser posto de um estado de repouso para o estado de serviço e, depois de atingir o estado de serviço, pode detectar a chegada desse pulso. Dessa maneira, os módulos de moni-toramento podem ser postos em um estado de repouso entre dois pulsos, no qual partes de circuito essenciais estão desligadas e, assim, só necessitam de pouca energia da bateria.

[00041] De acordo com a invenção, pulsos ou grupos de pulsos são transmitidos em um intervalo de tempo, dentro do qual pelo menos um dos módulos de monitoramento, na ocorrência de um primeiro evento, é posto em um modo de economia de energia ou estado de repouso e, na ocorrência de um segundo evento, em um modo de serviço ou estado de serviço. O primeiro evento é determinado, de preferência, pelo término do processo do registro de mudanças de estado do sinal de monitoramento transmitido ou pelo ciclo de um timer.

[00042] A distância de preferência constante entre os pulsos ou entre os grupos de pulsos do sinal de monitoramento situa-se, de prefe- rência, no âmbito entre 0,15 s e 1,5 s, particularmente, 0,35 s. Nesse âmbito, o monitoramento seguro das portas de elevador pode ser garantido e, ao mesmo empo, a necessidade de energia reduzida a um mínimo. Levando em consideração as circunstâncias dadas, também podem ser selecionados intervalos de tempo maiores, para economizar ainda mais energia.

[00043] O primeiro e/ou o segundo módulo de monitoramento apresentam, em cada caso, pelo menos um registro para o armazenamento de dados de estado, no qual o número t dos pulsos transmitidos e o número r dos pulsos recebidos são armazenados. A diferença entre o número t dos pulsos transmitidos armazenados e o número r dos pulsos recebidos armazenados pode ser formada durante a interrupção de corrente em um dos módulos de monitoramento ou, depois do término da interrupção de corrente, na unidade de segurança, para detectar uma mudança de estado opcionalmente ocorrida. Além disso, também a falta de pulsos esperados pode ser detectada e armazenada.

[00044] O monitoramento do sistema de elevador pode ser influenciado por diversos fatores. É de importância fundamental a ocorrência normal de uma mudança de estado por manipulação de uma porta de elevador. Além disso, o sinal de monitoramento pode ser modificado por sinais de interferência, após o que podem ocorrer resultados de medição errados. Além disso, defeitos de funcionamento podem ocorrer dentro das unidades de monitoramento. Além disso, um abastecimento de corrente ou tensão de serviço insuficiente podem influenciar a medição. De preferência, estão previstos meios e medidas, que de preferência, permitem enfrentar todas essas influências.

[00045] Durante uma interrupção de corrente, podem ocorrer sinais de interferência, que são causados, por exemplo, pela colocação em funcionamento de agregados de corrente de emergência ou pelo ricochete de interruptores. De preferência, o sinal de monitoramento transmitido é filtrado, particularmente, para eliminar interferências de alta frequência.

[00046] No módulo de monitoramento, que recebe o sinal de moni toramento transmitido, é, portanto, implementado um programa de filtração, que filtra o sinal de monitoramento e, de preferência, está formado como filtro passa-baixa ou filtro mediano. No filtro mediano, é determinado se dentro de um período um número especificado dos pulsos recebidos foi maior do que a metade do número dos pulsos transmitidos. O período resulta, portanto, do número especificado de pulsos multiplicado pela duração de período da frequência de repetição dos pulsos. Pela modificação do número citado de pulsos e do período resultante, pode ser deslocada a frequência limite do filtro.

[00047] Na dependência do número especificado de pulsos, que foram processados no filtro, e do período resultante, depois da ocorrência de uma mudança de estado, por exemplo, a ausência de um pulso, resulta um retardamento, até que a alteração de estado seja sinalizada na saída do filtro. Na seleção de intervalos relativamente grandes entre os pulsos, podem, assim, ocorrer retardamentos, que são indeseja- velmente grandes. No entanto, quando intervalos curtos entre os pulsos são selecionados, aumenta a necessidade de energia.

[00048] Para evitar intervalos de pulso curtos ou uma alta frequência de repetição de pulsos, durante o tempo no qual não ocorrem modificações de estado, e, simultaneamente, ocorre um retardamento indesejável na detecção de uma alteração de estado ocorrida depois, o sinal de monitoramento transmitido através do contato de comutação a ser verificado, é reconduzido, de preferência, não filtrado, ao primeiro módulo de monitoramento. No primeiro módulo de monitoramento, a sequência de pulsos transmitida é monitorada e a frequência de repetição de pulsos, aumentada, assim que a modificação de um pulso for detectada. Na ocorrência de uma irregularidade, a atividade de monito- ramento é, portanto, intensificada e encurtado o período no qual o número especificado de pulsos é processado no filtro. O retardamento até o momento no qual o filtro informa a mudança de estado ocorrida, pode, portanto, ser reduzido pelo fator, pelo qual a frequência de repetição de pulso é aumentada, pelo menos a curto prazo.

[00049] Modificações na geração, na transmissão, na recepção e no processamento do sinal de transmissão, podem ser causadas não só por sinais de interferência, mas também por elementos de circuito dos módulos de monitoramento, que não funcionam corretamente. Para garantia de um monitoramento perfeito do contato de comutação é, importante, portanto, poder identificar defeitos de funcionamento das unidades de monitoramento.

[00050] Para a identificação dinâmica desses defeitos, o sinal de monitoramento é emitido pelo primeiro módulo de monitoramento de acordo com uma forma teórica especificada, como uma sequência de pulsos diferentes, que se diferenciam na posição do pulso e/ou na forma do pulso e/ou na amplitude do pulso e/ou na largura do pulso. A formação correspondente do sinal de monitoramento, pode ser especificada pela unidade de segurança ou estar armazenada fixamente no primeiro ou segundo módulo de monitoramento ou também ser selecionada aleatoriamente.

[00051] A unidade de segurança e/ou pelo menos um dos módulos de monitoramento compara, a seguir o sinal de monitoramento transmitido através do contato de comutação com o sinal de monitoramento não transmitido através do contato de comutação ou uma forma teórico do sinal de monitoramento transmitido e registra desvios, que indicam a existência de um defeito de funcionamento correspondente.

[00052] De preferência, o primeiro módulo de monitoramento transmite pulsos com formas diferentes, cada qual, em um determinado número. O segundo módulo de monitoramento verifica, a seguir, se os pulsos chegam na forma e número correspondentes. Os testes podem ser realizados independentemente pelos dois módulos de monitoramento, durante a operação autônoma ou durante a operação normal, pela unidade de segurança.

[00053] Também é especialmente importante o abastecimento de corrente perfeito dos módulos de monitoramento. Quando a bateria não fornece mais a tensão e energia necessária, por exemplo, depois de uma interrupção de corrente mais longa, o funcionamento das unidades de monitoramento é posto em dúvida. Durante a operação autônoma dos módulos de monitoramento é verificado, portanto, de preferência, se a tensão fornecida pela bateria fica abaixo de um valor limite e/ou se em um dos módulos de monitoramento ocorre um brownout, isto e, pares de circuito individuais falham, devido à tensão de serviço insuficiente. No caso de um evento, isto, é na interrupção da tensão de serviço, os módulos de monitoramento são reinicializados e os dados de estados determinados são apagados. A ausência dos dados de estado é depois interpretada como modificação de estado inadmissível e a entrada em funcionamento do sistema de elevador é impedida.

[00054] De preferência, é previsto que os testes mencionados também possam ser realizados durante a operação normal. Por exemplo, para as unidades de monitoramento, é simulada, periodicamente, uma interrupção de corrente. De preferência, as unidades de monitoramento, durante a operação normal do sistema de elevador, são postas periodicamente na operação por bateria ou no estado de operação autônomo, no qual pelo menos uma das verificações e testes é realizada. Por exemplo, as unidades de monitoramento são postas na operação por bateria e, monitoradas com referência às tensões de serviço ou à existência de um brownout. Além disso, pode ser realizada uma verificação dinâmica dos módulos de monitoramento, na qual o sinal de monitora- mento ou os pulsos de monitoramento são modificados e o sinal de mo-nitoramento recebido é verificado. Além disso, pode ser verificado o estado dos contatos de comutação, por exemplo, são armazenados programas de testes e periodicamente solicitados, por meio dos quais os registros, timer, transformador e amplificador são verificados, também durante a operação normal do sistema de elevador.

[00055] Depois do término de uma interrupção de corrente, ou do término de uma simulação de uma interrupção de corrente, a unidade de segurança lê os dados de estado registrados de todas unidades de monitoramento conectadas e dos módulos de monitoramento previstos nas mesmas e realiza uma análise.

[00056] Particularmente, é a. verificado se é dada a capacidade de funcionamento de todas as unidades de monitoramento conectadas; e/ou b. verificado se ocorreu um defeito e funcionamento em uma das unidades de monitoramento; e/ou c. verificado se ocorreram mudanças de estado do sensor de monitoramento ou do contato de comutação; e/ou d. determinado se existem desvios dos números dos pulsos transmitidos e recebidos, registrados em cada uma das unidades de monitoramento.

[00057] Na ausência de capacidade de funcionamento de uma das unidades de monitoramento ou em uma mudança de estado ocorrida em uma das unidades de monitoramento ou em um desvio dos números dos pulsos transmitidos em cada uma das unidades de monitoramento, é impedida a colocação do sistema de elevador de volta para a operação normal.

[00058] O dispositivo de acordo com a invenção descrito, a seguir, a título de exemplo, em configurações preferidas, por meio de desenhos. Mostram: Figura 1 um sistema de elevador 3, com uma unidade de acionamento 38, por meio qual uma cabine de elevador 36, disposta em um poço de elevador 35, é deslocável entre duas portas de elevador 30A, 30B e com um dispositivo de controle 100, que para monitoramento do sistema de elevador 3, apresenta uma unidade de segurança 1, que está conectada ou pode ser conectada com unidades de monitoramento 10A, 10B, por meio da quais é monitorado, em cada caso, um travamento 31A, 31B de uma porta de elevador 30A, 30B associada; Figura 2aa primeira unidade de monitoramento 10A da figura 1, que apresenta um módulo de monitoramento 15 controlado por processador, que transmite um sinal de monitoramento STX de uma porta de saído op através de um contato de comutação 11A, que está associado ao fecho de porta 31A da primeira porta de elevador 30a, para uma porta de entrada ip; Figura 2b um sinal de monitoramento STX1 emitido na porta de saída op, como sequência de pulsos, com um ciclo de trabalho de 50%; Figura 2c um sinal de monitoramento STX2, emitido na porta de saída op, como sequência de pulsos, com um ciclo de trabalho de em torno de 7% e uma duração de período T ampliada pelo fator 7; Figura 2d o sinal de monitoramento SRX2, que chega pela porta de entrada ip, no qual durante a transmissão através do contato de comutação 11A, foi incorporado um impulso de interferência n; Figura 3a a primeira unidade de monitoramento da figura 2a, com o primeiro módulo de monitoramento 15, que transmite um sinal de monitoramento STX através do contato de comutação 11A, a um segundo módulo de monitoramento 16, controlado por processador; Figura 3b o sinal de monitoramento STX da figura 3a, como sequência de pulsos, com um ciclo de trabalho de 50%, antes da transmissão através do contato de comutação 11A; Figura 3c o sinal de monitoramento SRX da figura 3b, depois da transmissão através do contato de comutação 11A, que foi aberto durante a duração dois pulsos, que não foram registrados no registro 161 do segundo módulo de monitoramento 16; Figura 4a a primeira unidade de monitoramento da figura 3a, com o primeiro módulo de monitoramento 15, cuja porta de saída op está conectada, por um lado, através do contato de comutação 11A com uma primeira porta de entrada ip1 do segundo módulo de monitoramento 16, e, por outro lado, diretamente om uma segunda porta de entrada ip2 do segundo módulo de monitoramento 16; Figura 4b o sinal de monitoramento STX da figura 4a, emitido na porta de saída op do primeiro módulo de monitoramento 15; Figura 4c o sinal de monitoramento SRX da figura 4a, que chegou na primeira porta de entrada ip1 do segundo módulo de monitoramento 16; Figura 5a a primeira unidade de monitoramento da figura 4a, na qual o sinal de monitoramento STX da figura 4a é conduzido através do contato de comutação 11A, adicionalmente a uma porta de entrada ip do primeiro módulo de monitoramento 15; Figura 5b o sinal de monitoramento STX da figura 5a, como sequência de pulsos, com uma relação de contato de em torno de 7%, antes da transmissão através do contato de comutação 11A, com um pulso auxiliar pAUX incorporado adicionalmente, que foi emitido adicionalmente pelo primeiro módulo de monitoramento 15, depois da ausência de um pulso esperado do sinal de monitoramento transmitido SRX; Figura 5c o sinal de monitoramento SRX da figura 5b, depois da transmissão através do contato de comutação 11A, que foi aberto depois da chegada de um primeiro pulso p;

[00059] Figura 6a um diagrama com o sinal de monitoramento STX2 da figura 2c, com o sinal de monitoramento SRX2 da figura 2d transmitido e dotado de um impulso de interferência n, medidas de filtração mostradas esquematicamente e com o sinal de monitoramento SRXF filtrado, que em relação ao sinal de monitoramento SRX2 está deslocado por mais de dois ciclos de exploração; Figura 6b um diagrama com o sinal de monitoramento STX da figura 3b, com o sinal de monitoramento SRX, no qual faltam três pulsos, com medidas de filtração mostradas esquematicamente, bem como com o sinal de monitoramento SRXF, que em relação ao sinal de monitoramento SRX recebido está deslocado por dois ciclos de exploração; Figura 6c um diagrama com o sinal de monitoramento STX da figura 5b, no qual, depois da falta de um pulso, a frequência de repetição de pulsos foi duplicada, com o sinal de transmissão transmitido SRX, no qual faltam três pulsos, com medidas de filtração mostradas esquematicamente, bem como com o sinal de monitoramento SRXF, que em relação ao sinal de monitoramento SRX recebido está deslocado por dois ciclos de exploração, mas cuja duração de período foi dividida pela metade; Figura 7 um diagrama com dois traçados de sinal do sinal de monitoramento STX1, STX2, o traçado de sinal do sinal de monitoramento SRX transmitido, do traçado de sinal na saída de um timer no segundo módulo de monitoramento 16, bem como do sinal de monitoramento SRXF recebido, depois da filtração; Figura 8 um diagrama com um traçado de sinal de um sinal de monitoramento STX, gerado no primeiro módulo de monitoramento 15, com três variantes A, B, C de pulsos diferentes, que apresentam larguras de pulso diferentes, bem como o traçado de sinal do sinal de monitoramento SRX, gerado no segundo módulo de monitoramento 16, no qual três pulsos mostrados em sombreado, das variantes A e C não estão contidos ou não estão contidos corretamente.

[00060] A figura 1 mostra um sistema de elevador 3 com uma unidade de acionamento 38, por meio da qual uma cabine de elevador 36, disposta em uma porta de entrada 35, é deslocável entre duas portas de elevador 30A, 30B.O sistema de elevador 3, que é alimentado por uma unidade de abastecimento de corrente 2, está equipado com um dispositivo de controle 100, por meio do qual o sistema de elevador 3, particularmente a unidade de acionamento 38, é controlável. O dispositivo de controle 100 compreende para o monitoramento do sistema de elevador 3, uma unidade de segurança 1, que está conectada ou pode ser conectada com unidades de monitoramento 10A, 10B, por meio das quais, em cada caso, pode ser monitorado um travamento 31A, 31B de uma porta de elevador 30A 30B associada

[00061] A unidade de segurança 1, na presente configuração é um sistema de computador independente, que se comunica com um computador do sistema 1000. A unidade de segurança 1, nesse caso, porém, também pode ser integrada com o módulo de software ou módulo de hardware no computador do sistema 1000. A unidade de segurança 1, tal como mostra a figura 1, pode intervir diretamente no sistema de elevador 3 e, por exemplo, controlar ou desligar o abastecimento de corrente 2 ou a unidade de acionamento 38. Alternativamente, a unidade de segurança 1 pode estar conectada apenas com o computador do sistema 1000, que, por seu lado, executa o controle do sistema de elevador 3, sob consideração dos dados de estado, determinados de acordo com a invenção.

[00062] A unidade de segurança 1 e/ou o computador do sistema 1000, além disso, podem estar conectados sem fio ou ligados por fio, com unidades de computador externas, por exemplo, um computador de gerenciamento.

[00063] Na presente configuração, os sensores de monitoramento 11A, 11B estão formados como contatos de comutação, que estão acoplados mecanicamente, em cada caso, com um fecho de porta 31A, 31B, que pode ser manipulado por pessoal de manutenção por meio de uma ferramenta, tal como está mostrado na figura 1 para o contato de comutação 11B. Durante uma interrupção de corrente ou uma desconexão do abastecimento de corrente, o pessoal de manutenção pode, portanto, manipular um fecho de porta 31A, 31B, abrir uma porta de elevador 30A, 30B manualmente e chegar ao poço de elevador 35.

[00064] A figura 1 mostra que, depois de uma interrupção de corrente, a porta de elevador inferior 31B foi aberta e um técnico de manutenção 35 entrou para verificar uma instalação elétrica 8, que possa ter causado a interrupção de corrente. O técnico de manutenção está posicionado sobre o fundo do poço, em um fosso de poço, que só apresenta uma profundidade pequena. Nessa situação, o sistema de elevador 3 não pode ser operado. No andar superior, um morador do prédio move-se em direção à primeira porta de elevador 30A, atrás da qual está parada a cabine de elevador 36. Se, nesse momento, o sis-tema de elevador 3 for novamente abastecido com corrente e posto em operação normal, o morador do prédio pode entrar na cabine de elevador 36 e pôr a mesma em funcionamento. Isso é impedido, pelo fato de que os contatos de comutação 11A, 11B são monitorados e a transição para a operação normal é impedida, caso um dos contatos de comutação 11A, 11B tiver sido acionado. Para que esse monitoramento também possa ser realizado depois de uma interrupção de corrente, as unidades de monitoramento 10A, 10B estão equipadas com uma bateria 14 e no caso de paralisação completa ou parcial do sistema de elevador 3 ou de uma interrupção de corrente, comutam-se, au-tomaticamente, para uma operação autônoma.

[00065] A figura 1 mostra que as duas unidades de monitoramento 10A, 10B, formadas de modo idêntico, apresentam uma unidade de abastecimento de corrente 12 local e uma bateria 14, que através de uma unidade de comutação 13, por exemplo, um relé controlado por tensão, podem ser conectadas com um primeiro e, opcionalmente, um segundo módulo de monitoramento 15, 16. A unidade de comutação 13 é abastecida pela unidade de abastecimento de corrente 12 com uma tensão de comutação us, pela qual a unidade de comutação 13 é ativada e conecta a unidade de abastecimento de corrente 12 com os módulos de monitoramento 15, 16. No caso de uma interrupção de corrente, a tensão de comutação us é suprimida e a unidade de comutação 13 cai de volta para a posição de repouso, na qual a bateria 14 está conectada com os módulos de monitoramento 15, 16.

[00066] Em cada uma das unidades de monitoramento 10A, 10B, o primeiro módulo de monitoramento 15 gera um sinal de monitoramento, que através de uma saída da unidade de monitoramento 10A; 10B e do contato de comutação 11A, 11B correspondente, é guiado de volta para uma entrada da unidade de monitoramento 10A; 10B e é avaliado no primeiro ou segundo módulo de monitoramento 15; 16.

[00067] Pelo menos durante a operação autônoma ou durante uma interrupção de corrente, os sensores de monitoramentos ou os contatos de comutação 11A, 11B são, portanto, monitorados, para registrar uma mudança de estado ou uma manipulação do fecho de porta 31A, 31B correspondente. Um monitoramento também é realizado, de preferência, durante a operação normal. Se durante a operação normal for detectada uma manipulação e um dos contatos de comutação 11A, 11B, então o sistema de elevador é, de preferência, desligado.

[00068] Depois do termino da interrupção de corrente, o sistema de elevador 3 é novamente abastecido com energia pela unidade de abastecimento de corrente central 2.Às unidades de abastecimento de corrente locais 12 nas unidades de monitoramento, é novamente ali- mentada uma tensão de serviço, após o que as mesmas, por sua vez, geram a tensão de comutação us e ativam a unidade de comutação 13. Os dados de estado coletados nas unidades de monitoramento 10A, 10B, ou mensagens de estado derivadas dos mesmos, podem, a seguir, ser baixadas pela unidade de segurança 1 e processados adicionalmente. A unidade de segurança 1 irá constatar, com base nos dados de estado da segunda unidade de monitoramento 10B, que o fecho de porta 31B correspondente foi manipulado e que, eventualmente, uma pessoa se encontra no poço de elevador 35.A unidade de segurança 1, impede, portanto, a entrada em funcionamento do sistema de elevador 3 por uma intervenção direta no sistema de elevador 3, tal como está ilustrado na figura 1, com desconexão do abastecimento de corrente 2 ou com desconexão da unidade de acionamento 38, ou por informação a um computador principal ou o computador do sistema 1000, que, por sua vez, impede a entrada em funcionamento do sistema de elevador 3.

[00069] Em vez de prever, tal como na figura 1, para cada porta de elevador 30A, 30B, uma unidade de monitoramento 10A, 10B separada, também pode estar prevista apenas uma única unidade de monitoramento, que monitora, em cada caso, contatos de comutação associados a uma porta de elevador, de modo que a unidade de monitoramento identifica quando um dos dois contatos de comutação é aberto. Nesse caso, também só é necessária uma única bateria para abastecimento da unidade de monitoramento.

[00070] A configuração das unidades de monitoramento 10A, 10B é descrita, a seguir, em diversas configurações preferidas, nas quais é atribuída uma importância especial à segurança do monitoramento, à capacidade de funcionamento do dispositivo de monitoramento e, particularmente, à economia de energia, para alívio da bateria 14.

[00071] A figura 2a mostra a primeira unidade de monitoramento 10A, da figura 1, que só apresenta um primeiro módulo de monitoramento 15 controlado por processador, que transmite um sinal de monitoramento STX de uma porta de saída op a uma porta de entrada ip através do contato de comutação 11A, que está associado ao fecho de porta 31A da primeira porta de elevador 30a e está acoplado mecanicamente com o mesmo.

[00072] O módulo de monitoramento 15 é, por exemplo, um micro- controlador com o mais baixo consumo de corrente no estado de operação (de preferência, < 100 μA) e, no estado de repouso (de preferência, < 500 nA), tempos de retardamento curtos na transição do estado de repouso para o estado de serviço (de preferência < 1μs), e todas as funções essenciais para o processamento de sinais. Por exemplo, é usado um microcontrolador, tal como está descrito na documentação "MSP Low-Power Microcontrollers" da Texas Instruments Incorporated do ano de 2015.

[00073] O módulo de monitoramento 15 mostrado na figura 2a, é um microcontrolador com uma CPU 150, um ou mais registros 151, uma memória de trabalho 152, com um transformador digital/analógico 153 opcionalmente previsto, pelo menos um módulo de saída 154, um módulo de interface 155, um Watchdog-Timer 156, pelo menos um outro timer T1, um transformador analógico/digital 158 e pelo menos um módulo de entrada 159. Os módulos individuais estão conectados ou podem ser conectados através de um sistema de bus uns aos outros e através do módulo de interface 155, com a unidade de segurança 1.

[00074] O segundo módulo de monitoramento 16 da figura 1 está formado, de preferência, de modo idêntico ao primeiro módulo de monitoramento 15, mas dotado de software adaptado de modo correspondente. De preferência, os dois módulos de monitoramento 15,16 estão dotados de circuitos de verificação ou circuitos de brownout, por meio dos quais pode ser verificado se a tensão de serviço, particular- mente a tensão da bateria 14, caiu abaixo de um valor previsto e/ou se partes de circuito individuais são abastecidas apenas com energia insuficiente, após o que isso é registrado de modo correspondente. De preferência, o módulo de monitoramento 15, depois da existência de uma tensão de serviço insuficiente é inicializado no estado inicial, no qual as memórias de dados estão apagadas.

[00075] Na memória de trabalho 152 estão armazenados um programa de serviço BP e um programa de filtração FP. Através de uma porta de saída op e um amplificador 18, é transmissível através de um contato de comutação 11A, um sinal de monitoramento STX, que é gerado no módulo de monitoramento 15, a uma porta de entrada ip do módulo de monitoramento 15.

[00076] O estado da unidade de comutação 13 mostra que a corrente foi interrompida e o módulo de monitoramento 15 está sendo abastecido de corrente pela bateria 14.

[00077] A figura 2b mostra, a título de exemplo, um sinal de monitoramento STX1 entregue na porta de saída op como sequência de pulsos, com um ciclo de trabalho de 50%. Uma comparação do sinal de monitoramento STX, transmitido da porta de saída op, com o sinal de monitoramento SRX indica se o contato de comutação 11A foi aberto durante a transmissão. Se alguns não pulsos não foram transmitidos, então é registrada e informada uma mudança de estado do contato de comutação 11A e, portanto, uma possível abertura da porta de elevador 30A. Por exemplo, são armazenados no registro 151 o número dos pulsos transmitidos e o número dos pulsos recebidos e, antes da entrada em funcionamento do sistema de elevador 3, comparados um com o outro, para detectar uma abertura de porta.

[00078] A figura 2c mostra um sinal de monitoramento STX2 da figura 2a, emitido na porta de saída op, como sequência de pulsos, com um ciclo de trabalho de em torno de 7% e uma duração de período T mais alta pelo fator 7, em comparação com o sinal da figura 2b. Pela redução do ciclo de trabalho e o aumento de duração do período, a necessidade de energia pode ser reduzida de modo significativo. Entre dois pulsos, o módulo de monitoramento 15 pode, além disso, ser posto em um estado de repouso, no qual o consumo de corrente é mínimo e só são operadas partes do circuito, que são necessárias para a transição do estado de repouso para o estado de serviço. Por exemplo, são monitorados estímulos externos ou sinais de despertar. Vantajosamente, um sinal de despertar também pode ser gerado dentro do módulo de monitoramento 15, por exemplo, por um timer 156, 157.

[00079] A figura 2d mostra o sinal de monitoramento SRX2,que chegou na porta de entrada ip, no qual, durante a transmissão, através do contato de comutação 11A, foi incorporado um impulso de interferência n. Interferências dessa espécie podem prejudicar o monitoramento e, de preferência, são removidas por filtração. Para esse fim, é implementado o programa de filtração FP no módulo de monitoramento 15, o que é descrito, a seguir em uma configuração preferida.

[00080] A figura 3a mostra a primeira unidade de monitoramento da figura 2a com o primeiro módulo de monitoramento 15, que transmite um sinal de monitoramento STX da porta de saída op, através do contato de comutação 11A, à porta de entrada ip de um segundo módulo de monitoramento 16 controlado por processador. Os dois módulos de monitoramento 15, 16 são abastecidos pela bateria 14 No primeiro módulo de monitoramento 15, é registrado o número dos pulsos transmitidos no registro 151. No segundo módulo de monitoramento 16 é registrado o número dos pulsos recebidos em um registro 161.

[00081] A figura 3b mostra o sinal de monitoramento STX da figura 3a como sequência de pulsos, com um ciclo de trabalho de 50%, antes da transmissão através do contato de comutação 11A.

[00082] A figura 3c mostra o sinal de monitoramento SRX da figura 3b, depois da transmissão através do contato de comutação 11A, que durante a transmissão de dois pulsos foi aberto, que, portanto, não foram registrados no registro 161 do segundo módulo de monitoramento 16. Por uma comparação dos teores dos dois registros 151, 161, pode ser constatada a mudança de estado do contato de comutação 11A. A comparação dos teores dos registros 151,161 pode ser realizada em um dos módulos de monitoramento 15, 16, em um comparador local 17 ou centralmente na unidade de segurança 1, que lê todos os teores de registro das unidades de monitoramento 10A, 10B.

[00083] A figura 4a mostra a primeira unidade de monitoramento 10A da figura 3a com o primeiro módulo de monitoramento 15, cuja porta de saída op está conectada, por um lado, através do contato de comutação 11A com uma primeira porta de entrada ip1 do segundo módulo de monitoramento 16 e, por outro lado, diretamente com uma segunda porta de entrada ip2 do segundo módulo de monitoramento 16.

[00084] Os pulsos transmitidos diretamente à segunda porta de entrada ip2 podem ser usados como sinais de referência ou como sinais de despertador. No uso como sinal de referência, podem ser identificadas imediatamente mudanças do sinal de monitoramento SRX, transmitido através do contato de comutação 11A, que nesse caso, ainda não está filtrado.

[00085] O sinal de monitoramento STX, que chega na porta de entrada ip2, pode, no entanto, também ser usado como sinal de despertar, depois de cuja chegada, o segundo módulo de monitoramento 16 é posto, em cada caso, do estado de repouso para o estado de operação. Para que os pulsos transmitidos através do contato de comutação 11A possam ser detectados, a largura de pulso tem de ser maior do que a duração do despertar do segundo módulo de monitoramento 16, de, por exemplo, 1 μs. Por exemplo, é selecionada uma largura de pulso de 25 μs, que permite identificar com segurança os pulsos que estão chegando.

[00086] Um sinal de despertar também pode ser gerado internamente nos módulos de monitoramento 15, 16, e ser sincronizado com o sinal de monitoramento STX. Tal como mostra o traçado do sinal wd na figura 7, um timer, por exemplo, o Watchdog 156, pode contar a duração do período do sinal de monitoramento STX e transferir o módulo de monitoramento 15 ou 16 correspondente do estado de repouso para o estado de serviço, ao ser atingido o nível de contagem máximo, de modo que o primeiro módulo de monitoramento 15 pode, por exemplo, transmitir um pulso e o segundo módulo de monitoramento 16, receber esse pulso.

[00087] A figura 4b mostra o sinal de monitoramento STX da figura 4a, emitido na porta de saída op do primeiro módulo de monitoramento 15.

[00088] A figura 4c mostra o sinal de monitoramento SRX da figura 4a, que chegou na porta de entrada ip1 do segundo módulo de monitoramento 16, que contém apenas o primeiro pulso. O sinal de monitoramento STX, conduzido diretamente à segunda porta de entrada ip2, pode agora despertar o segundo módulo de monitoramento 16, que depois da transição para o estado de serviço, constata que faltam o segundo e o terceiro pulso. Tal como mencionado, o sinal de monitoramento STX, conduzido à segunda porta de entrada ip2, também pode ser usado como sinal de referência.

[00089] A figura 5a mostra a primeira unidade de monitoramento da figura 4a, na qual o sinal de monitoramento STX da figura 4a é conduzido a uma porta de entrada ip do primeiro módulo de monitoramento 15. A interrupção do contato de comutação 11A pode, assim, ser identificada, alternativamente ou simultaneamente, no primeiro e no segundo módulo de monitoramento 15, 16.

[00090] No primeiro módulo de monitoramento 15 a falta de um pulso é usada, de preferência para modificar o modo de verificação e in- tensificar a verificação. De preferência, a frequência de repetição de pulsos é aumentada, pelo menos por um curto prazo, por um fator x, que, de preferência, situa-se no âmbito de 50 a 250. Por exemplo, uma duração de período no âmbito de 0,1 s - 0,5 s é mudado para uma duração de período no âmbito de 1 ms - 5 ms. Com aumento da frequência de repetição de pulsos, é possível, mesmo na existência de sinais de interferência, que devem ser suprimidos por meio do programa de filtração FP, determinar de modo rápido e preciso o estado do contato de comutação 11A ou uma eventual mudança de estado. Retardamentos, que são causados pelo programa de filtração FP, nesse caso, também são reduzidos pelo fator x.

[00091] A figura 5b mostra o sinal de monitoramento STX da figura 5a como sequência de pulsos, com um ciclo de trabalho de em torno de 7%, antes da transmissão através do contato de comutação 11A, com um pulso auxiliar pAUX, que foi emitido, adicionalmente, pelo módulo de monitoramento 15, depois da ausência de um pulso p esperado do sinal de monitoramento SRX transmitido. O pulso auxiliar pAUX mostra simbolicamente que o sinal de monitoramento STX, caso necessário, é modificado, para poder realizar uma verificação rápida.

[00092] A figura 5c mostra o sinal de monitoramento SRX da figura 5b, depois da transmissão através do contato de comutação 11A, que foi aberto depois da chegada de um primeiro pulso p.

[00093] A figura 6a mostra um diagrama com o sinal de monitoramento STX2 da figura 2c, bem como com o sinal de monitoramento SRX2 da figura 2d, transmitido e dotado de um impulso de interferência n. Esquematicamente são mostradas, além disso, medidas de filtração, bem como o sinal de monitoramento filtrado SRXF, que em relação ao sinal de monitoramento SRX2 recebido está deslocado por mais de dois ciclos de exploração e do qual o impulso de interferência foi removido. O resultado de medição ocorre na saída do estágio de filtração reali-zado por hardware ou software, com um retardamento significativo.

[00094] Pelo programa de filtração FP, que está implementado no segundo módulo de monitoramento 16, é verificado qual o valor que apresenta a pluralidade de valores de exploração dentro de um intervalo de filtração. Os intervalos de filtração compreendem, em cada caso, os últimos cinco valores de exploração. O programa de filtração FP compreende, por exemplo, um registro de FIFO, no qual os valores de exploração são gravados gradualmente. Com cada deslocamento é formada a soma dos cinco valores contidos no registro de FIFO e verificado se a soma dos mesmos se situa acima ou abaixo do valor médio, entre os valores, nos quais o registro de FIFO está completamente enchido ou completamente esvaziado, isso é, é maior ou menor do que 2,5. Para cada intervalo de filtração, os valores determinados, bem como o resultado são indicados. A transmissão à saída do filtro ocorre com o retardamento d, só depois da chegada do último valor de exploração.

[00095] A figura 6a mostra que o sinal de monitoramento filtrado SRXF aparece com um retardamento d na saída do estágio de filtração, que corresponde, aproximadamente, ao dobro da duração do período do sinal de exploração. O impulso de interferência n, que ocorre esporadicamente, foi, no entanto, eliminado.

[00096] A figura 6b mostra um diagrama com o sinal de monitoramento STX da figura 3b, transmitido, bem como com o sinal de monitoramento SRX, ao qual faltam três pulsos. Esquematicamente, estão mostradas, além disso, medidas de filtração, bem como o sinal de monitoramento filtrado SRXF, que, em relação ao sinal de monitoramento SRX2 recebido, está deslocado com um retardamento d1, também por aproximadamente dois ciclos de exploração. O programa de filtração ocorre tal como descrito com relação à figura 6a.

[00097] A figura 6c mostra um diagrama com o sinal de monitora- mento transmitido STX da figura 5b, bem como o sinal de monitoramento transmitido SRX, ao qual faltam três pulsos. No sinal de monitoramento transmitido STX, foi duplicada a frequência de repetição de pulso, depois de ter sido detectada a falta de um pulso (veja também a descrição da figura 5a). Esquematicamente, estão mostradas, além disso, medidas de filtração, bem como o sinal de monitoramento filtrado SRXF, que, em relação ao sinal de monitoramento recebido SRX, está deslocado com um retardamento d2, por dois ciclos de exploração, mas cuja duração de período foi dividida pela metade. O retardamento d2 também foi dividido pela metade em relação ao retardamento d1 da figura 6b (d2 = % d1).

[00098] No momento t3, foi constatado no primeiro módulo de monitoramento 15 da figura 5a que com o sinal de monitoramento transmitido SRX, um pulso aguardado não chegou. Depois desse evento, a frequência de repetição de pulsos foi duplicada pelo primeiro módulo de monitoramento 15 e, assim, o intervalo dos pulsos foi dividido pela metade. O comprimento do intervalo de filtração e o retardamento d podem ser reduzidos, portanto, da maneira desejada, por aumento da frequência de repetição de pulsos.

[00099] Em uma configuração preferida está previsto que o primeiro módulo de monitoramento 15, depois da ausência de um pulso, emite por um curto período, no âmbito de, por exemplo, 1s - 10s, um burst [rajada] ou uma sequência de pulsos, cujas distâncias estão reduzidas pelo fator x citado acima, que se situa, de preferência, no âmbito de 50 a 250.

[000100] A figura 7 mostra um diagrama com dois traçados de sinal do sinal de monitoramento a ser transmitido STX1 e STX2, bem como o traçado do sinal do sinal de monitoramento SRX. Além disso, são mostrados o traçado do sinal wd na saída de um timer, no segundo módulo de monitoramento 16, bem como o sinal de monitoramento recebido SRXF, depois da filtração. O timer corresponde, por exemplo, ao Watchdog 156 do primeiro módulo de monitoramento 15.

[000101] Na figura 7 é visível que a mudança do traçado de sinal do sinal de monitoramento transmitido SRX pode ter duas causas diferentes.

[000102] No primeiro caso, no momento t5, pode dar-se uma mudança de estado do contato de comutação 11A, que é interrompido e não guia mais adicionalmente os pulsos do primeiro sinal de monitoramento STX1 à porta de entrada ip1 do segundo módulo de monitoramento 16.

[000103] No segundo caso, o sinal de monitoramento STX2 não é mais gerado no primeiro módulo de monitoramento 15, de modo que, depois do momento t4, não podem mais chegar pulsos através do contato de comutação 11A fechado à porta de entrada ip1 do segundo módulo de monitoramento 16. Quando os pulsos do sinal de monitoramento STX2 nas disposições de circuito das figuras 4a e 5a não podem mais chegar à segunda porta de entrada ip2 do segundo módulo de monitoramento 16, o mesmo não é mais transferido do estado de repouso para o estado de serviço. Os níveis de contagem para os pulsos transmitidos e recebidos, portanto, permanecem constantes, ou estão congelados. Quando os níveis de contagem foram congelados em valores idênticos, isso indica o estado fechado do contato de comutação monitorado 11A, 11B, embora os mesmos talvez tenham sido abertos nesse meio tempo.

[000104] De acordo com a invenção, para esse problema existem duas soluções, que podem ser usadas alternativamente ou, de preferência, em combinação.

[000105] Na primeira variante de solução, é gerado por um timer 157, dentro do segundo módulo de monitoramento 16 (que, de preferência, apresenta os mesmos módulos como o primeiro módulo de monitoramento 15), um sinal de despertar ST1. O sinal de despertar ST1 é sincronizado com o sinal de monitoramento STX emitido pelo primeiro módulo de monitoramento 15 e apresenta a mesma frequência, mas na fase, está deslocado para frente por uma fração da duração de período. Com o flanco descendente do sinal de despertar ST1, o segundo módulo de monitoramento 16 é transferido, em cada caso, do estado de repouso para o estado de serviço, para receber um pulso do sinal de monitoramento transmitido SRX. A seguir, são registrados o valor efetivo dos pulsos efetivamente chegados e o valor teórico dos pulsos esperados, tal como está ilustrado na figura 7. A diferença entre os 4 pulsos chegados e os 14 pulsos esperados mostra que ocorreu uma mudança de estado no primeiro módulo de monitoramento 15 ou no contato de comutação 11A.

[000106] Quando os pulsos do sinal de monitoramento STX1, STX2 na segunda porta de entrada ip2 do segundo módulo de monitoramento 16 também são contados, pode ser determinado o estado do primeiro módulo de monitoramento 15. Os níveis de contagem do registro 161 mostram que pelo primeiro módulo de monitoramento foram emitidos 14 pulsos, que 14 pulsos eram esperados e que 4 pulsos foram transmitidos através do contato de comutação 11A. A coincidência de 14 pulsos emitidos e 14 pulsos esperados mostra que o primeiro módulo de monitoramento 15 funciona perfeitamente. A diferença entre os 14 pulsos enviados e esperados, por um lado, e os 4 pulsos recebidos, por outro lado, mostram, por sua vez, que o contato de comutação 11A foi aberto. O sinal de monitoramento recebido e filtrado SRXF mostra a mudança de estado do contato de comutação 11A.

[000107] Na segunda variante de solução, os níveis de contagem dos registros 151, 161 são lidos pela unidade de segurança 1, depois do término da interrupção de corrente, de todas as unidades de monitoramento 10A, 10B e comparadas entre si. A comparação mostra se os níveis de registro em uma das unidades de monitoramento 10A, 10B estão congelados e se ocorreu um erro. Caso os níveis de registro em cada uma das unidades de monitoramento 10A, 10B forem idênticos, mas houver diferenças entre as unidades de monitoramento 10A, 10B, então pode-se concluir pela existência de um defeito de funcionamento.

[000108] No processamento dos níveis de contagem, são previstas, de preferência, tolerâncias, com as quis podem ser desprezados desvios de níveis de contagem, que são insuficientes para a indicação de uma função defeituosa ou de uma mudança de estado dos sensores de monitoração ou contatos de comutação 11A, 11B.

[000109] A figura 2a mostra que os módulos de monitoramento 15, 16, de preferência, apresentam um chamado watchdog 156, que está formado como timer ou contador e que pode ser usado, vantajosamente para monitoramento do contato de comutação 11A ou 11B ou também do primeiro módulo de monitoramento 15. Nas disposições de circuito das figuras 4a e 5a, o sinal de monitoramento STX, com as sequências de pulsos (veja, por exemplo, a figura 7, com os traçados de sinal STX1 e STX2) é conduzido diretamente à segunda porta de entrada ip2 ou não através do contato de comutação 11A ou 11B do segundo módulo de monitoramento 16. O sinal de monitoramento SRX, transmitido através do contato de comutação 11A ou 11B, é conduzido à primeira entrada ip1 do segundo módulo de monitoramento 16. A ausência de um pulso dos sinais de monitoramento STX1 ou STX2 ou SRX, pode agora ser monitorada, em cada caso, por meio de um watchdog 156, para o qual é es-pecificado um timeout ou um valor de contagem alto, que nunca é atingido na chegada regulamentar de todos os pulsos.

[000110] Na figura 7 está ilustrado o monitoramento do sinal de monitoramento SRX, transmitido através do contato de comutação 11A ou 11B, cujos pulsos, com o flanco ascendente, em cada caso, reinicializam o watchdog 156, de modo que o mesmo não pode aumentar a contagem no timeout to. No momento t5, por outro lado, nenhum pulso mais é transmitido através do contato de comutação 11A ou 11B, de modo que o watchdog 156 não é mais reinicializado e aumenta a contagem no timeout e dispara um alarme ou sinaliza uma mudança de estado. Da mesma maneira, o sinal de monitoramento STX2, mostrado na figura 7, no momento t5, iria causar um timeout em um segundo watchdog.

[000111] De preferência, está previsto que o sinal de entrada filtrado SRXF seja conduzido ao watchdog 156. Desse modo, é impedido que o watchdog 156 seja reinicializado por impulsos de interferência e na ausência de um pulso do sinal de monitoramento SRX não possa aumentar a contagem no timeout.

[000112] As mudanças de estado sinalizadas pelo watchdog 156 são armazenadas, por exemplo, no registro 151 e, depois do término da interrupção de corrente, transmitidos com os outros dados de estado à unidade de segurança 1. De preferência, o traçado do sinal de saída do watchdog 156 é armazenado e analisado, por exemplo, para verificar a duração das interrupções do contato de comutação 11A ou 11B. Normalmente, é previsto que já depois da chegada de um timeout para um pulso, seja impedida uma entrada em funcionamento do sistema de elevador 3. Alternativamente, pode ser especificado que o timeout precisa durar por um determinado número de pulsos, antes de ser impedida a entrada em funcionamento do sistema de elevador 3. Por exemplo, desse modo, é diferenciado se ocorrer uma irregularidade no circuito ou uma abertura da porta.

[000113] A figura 8 mostra um diagrama com um traçado de sinal de um primeiro sinal de monitoramento STX, gerado no primeiro módulo de monitoramento 15, com três variantes diferentes A, B, C de pulsos, que apresentam larguras de pulso diferentes. Está mostrado, ainda, o traçado de sinal do sinal de monitoramento SRX, recebido no segundo módulo de monitoramento 16, no qual três pulsos das variantes A e C não estão contidos ou não estão contidos corretamente. Para cada uma das variantes A, B e C é registrado o número dos pulsos emitidos no registro 151 do primeiro módulo de monitoramento 15. Do mesmo modo, está registrado no registro 161 do segundo módulo de monitoramento 16 o número de pulsos recebidos para cada uma das variantes A, B e C.

[000114] Os pulsos podem ser perdidos ou prejudicados ao longo de todo o caminho de transmissão. A análise das modificações permite conclusões sobre o tipo do defeito. Por meio da variação dos pulsos, os elementos eletrônicos dos módulos de monitoramento 15, 16 podem, assim, ser verificados de maneira simples. A verificação pode ser esporádica ou também ser realizada em um padrão regular, pela unidade de segurança 1 ou autonomamente, pelos módulos de monitoramento 10A e 10B.

[000115] Alternativamente, também podem ser modificadas, opcionalmente, as amplitudes de pulso, os intervalos de pulso ou a frequência de repetição de pulsos.

[000116] Após o término de uma interrupção de corrente, ou do término de uma simulação de uma interrupção de corrente, a unidade de segurança 1 lê os dados de estado registrados de todas as unidades de monitoramento 10A, 10B ligadas e dos módulos de monitoramento 15, 16, previstos nas mesmas e realiza uma análise.

Claims

1. Processo para o controle seguro de um sistema de elevador (3), que compreende uma unidade de acionamento (38), por meio da qual uma cabine de elevador (36) disposta em um poço de elevador (35) é deslocável e é controlada de modo seguro por um dispositivo de controle (100), de tal modo que, a) a cabine de elevador (36), na operação normal, pode ser deslocada para pelo menos dois acessos ao poço de elevador (35), nos quais estão previstas portas (30A, 30B), que são controladas pelo dispositivo de controle (100) e das quais pelo menos a uma está associado um fecho de porta (31A, 31B), por meio do qual a porta (30A, 30B) associada pode ser destravada e aberta, mesmo no caso de uma interrupção de corrente; e b) a cabine de elevador (36) não é deslocada ou apenas limitadamente, caso uma pessoa se encontre no poço de elevador (35); sendo que a pelo menos uma das portas (30A,30B) estão associados uma unidade de monitoramento (10A, 10B) e um sensor de monitoramento (11A, 11B), por meio dos quais mudanças de estado, tal como destravamento ou a abertura da porta (30A,30B), são detectadas, a unidade de monitoramento (10A, 10B), c) está equipada com uma bateria (14) e no caso de uma paralisação completa ou parcial do sistema de elevador (3), comuta para uma operação autônoma; d) está conectada com o sensor de monitoramento (11A, 11B) e monitora durante a operação autônoma o estado do sensor de monitoramento (11A, 11B) e registra dados de estado correspondentes; e) está conectada com uma unidade de segurança (1), que lê e avalia todos os dados de estado registrados de todas as unidades de monitoramento (10A, 10B) conectadas e impede a mudança do sis- tema de elevador (3) para a operação normal, caso tenha sido detectada uma mudança de estado para uma das portas (30A, 30B) monitoradas, e o sensor de monitoramento (11A, 11B) é um contato de comutação acoplado com o fecho de porta (31A, 31B) correspondente, através do qual um sinal de monitoramento é transmitido de uma saída para uma entrada da unidade de monitoramento (10A, 10B), que monitora o sinal de monitoramento transmitido, no que se refere a mudanças de estado, que ocorrem na manipulação do fecho de porta (31A, 31B), caracterizado pelo fato de que o sinal de monitoramento está realizado como uma sequência de pulsos.

2. Processo de acordo com a reivindicação 1, caracterizado pelo fato de que o sinal de monitoramento está realizado como uma sequência de pulsos idênticos ou como uma sequência de pulsos diferentes, com uma forma teórica determinada.

3. Processo de acordo com qualquer uma das reivindicações 1 ou 2, caracterizado pelo fato de que, a) a unidade de monitoramento (10A, 10B) apresenta um primeiro módulo de monitoramento (15) controlado por processador, que emite um sinal de monitoramento a uma porta de saída (op) ao contato de comutação (11A; 11B) e recebe o mesmo novamente em uma porta de entrada (ip); ou b) a unidade de monitoramento (10A, 10B) apresenta um primeiro e um segundo módulo de monitoramento (15, 16) controlado por processador, dos quais um módulo de monitoramento (15) emite o sinal de monitoramento em uma porta de saída (op) ao contato de comutação (11A; 11B), e o outro módulo de monitoramento (16) recebe o sinal de monitoramento em uma porta de entrada (ip); ou c) que a unidade de monitoramento (10A, 10B) apresenta um primeiro e um segundo módulo de monitoramento (15, 16) contro- lado por processador que, alternadamente, emitem o sinal de monitoramento de sua porta de saída (op) ao contato de comutação (11A; 11B) ou recebem o mesmo em sua porta de entrada (ip).

4. Processo de acordo com a reivindicação 3, caracterizado pelo fato de que, a) o sinal de monitoramento emitido pela porta de saída (op) do primeiro módulo de monitoramento (15), é conduzido, por um lado, através de contato de comutação (11A; 11B) a uma primeira porta de entrada (ip1) do segundo módulo de monitoramento (16) e, por outro lado, diretamente a uma segunda porta de entrada (ip2) do segundo módulo de monitoramento (16); ou b) o sinal de monitoramento emitido pela porta de saída (op) do primeiro módulo de monitoramento (15), é conduzido, por um lado, através de contato de comutação (11A; 11B) a uma primeira porta de entrada (ip1) do segundo módulo de monitoramento (16), bem como a uma porta de entrada (ip) do primeiro módulo de monitoramento (15), e, por outro lado, diretamente a uma segunda porta de entrada (ip2) do segundo módulo de monitoramento (16).

5. Processo de acordo com qualquer uma das reivindicações 1 a 4, caracterizado pelo fato de que os pulsos ou grupos de pulsos são transmitidos em uma distância temporal, dentro do pelo menos um dos módulos de monitoramento (15, 16), na ocorrência de um primeiro evento, é transferido a um estado de repouso, e na ocorrência de um segundo evento, a um estado de serviço, sendo que o primeiro evento é determinado, de preferência pelo término do processo do registro de mudanças de estado do sinal de monitoramento transmitido ou pelo curso do timer (157) e o segundo evento é determinado pela chegada de um pulso do sinal de monitoramento transmitido ou pelo curso de um timer (156).

6. Processo de acordo com qualquer uma das reivindica- ções 4 ou 5, caracterizado pelo fato de que a unidade de segurança (1) ou pelo menos um dos módulo de monitoramento (15; 16) compara o sinal de monitoramento transmitido através do contato de comutação (11A; 11B) com o sinal de monitoramento não transmitido através do contato de comutação (11A; 11B) ou com uma forma teórica do sinal de monitoramento transmitido e registra desvios, bem como um defeito de funcionamento correspondente em um dos módulos de monitoramento (15, 16).

7. Processo de acordo com qualquer uma das reivindicações 4 a 6, caracterizado pelo fato de que o primeiro e/ou o segundo módulo de monitoramento (15; 16) apresenta, em cada caso, pelo menos um registro (151) para o armazenamento de dados de estado, no qual o número (t) dos pulsos enviados e o número dos pulsos recebidos é armazenado e que em um dos módulos de monitoramento (15, 16) ou no dispositivo de suporte é formada a diferença entre o número (t) armazenado dos pulsos enviados e o número (r) armazenado dos pulsos recebidos e detectada uma mudança de estado eventualmente ocorrida.

8. Processo de acordo com qualquer uma das reivindicações 3 a 7, caracterizado pelo fato de que no primeiro e/ou no segundo módulo de monitoramento (15, 16) está implementado um programa de filtração (FP), que filtra sinal de monitoramento recebido e está formado, de preferência como filtro passa-baixa ou filtro mediano, que verifica, de preferência se um número (r) dos pulsos chegados é maior ou menor do que a metade do número (t) de pulsos esperados ou enviados.

9. Processo de acordo com qualquer uma das reivindicações 1 a 8, caracterizado pelo fato de que pelo menos o sinal de monitoramento transmitido através do contato de comutação (11A; 11B) e, opcionalmente, filtrado, é conduzido à entrada de um timer Watchdog (156), que com cada chegada de um pulso do sinal de monitoramento é reinicializado e na ausência de um pulso do sinal de monitoramento, incrementa a contagem para um timeout e sinaliza uma mudança de estado.

10. Processo de acordo com qualquer uma das reivindicações 3 a 9, caracterizado pelo fato de que o sinal de monitoramento emitido da porta de saída (op) do primeiro módulo de monitoramento (15) através do contato de comutação (11A; 11B), é conduzido à porta de entrada (ip) do primeiro módulo de monitoramento (15) e monitorado, e que o primeiro módulo de monitoramento (15),depois da ausência de um pulso esperado, emite vários pulsos com uma frequência de repetição de pulsos aumentada pelo fator n, que são conduzidos à primeira porta de entrada (ip1) do segundo módulo de monitoramento (16), através do contato de comutação (11A; 11B), bem como diretamente à segunda porta de entrada (ip2) do segundo módulo de moni-toramento (16).

11. Processo de acordo com qualquer uma das reivindicações 1 a 10, caracterizado pelo fato de que durante o serviço autônomo dos módulos de monitoramento (15, 16) é verificado a) se a tensão distribuída pela bateria (14) fica abaixo de um valor limite; e/ou b) se em um dos módulos de monitoramento (15, 16) ocorre um brownout; e que os módulos de monitoramento (15, 16), no caso de um evento, são reinicializados e os dados de estado determinados são apagados.

12. Processo de acordo com qualquer uma das reivindicações 1 a 11, caracterizado pelo fato de que a unidade de segurança lê os dados de estado registrados de todas as unidades de monitoramento (10A, 10B) ligadas e dos módulos de monitoramento (15, 16) previs- tos nas mesmas, e a) verifica a capacidade de funcionamento de todas as unidades de monitoramento (10A, 10B) ligadas; ou b) mudanças de estado ou funções defeituosas ocorridas das unidades de monitoramento (10A, 10B); ou c) determina desvios dos números (t, r) dos pulsos enviados e recebidos registrados em cada uma das unidades de monitoramento (10A, 10B); ou d) no caso de capacidade de funcionamento ausente de uma das unidades de monitoramento (10A, 10B) ou no caso de uma mudança de estado ocorrida em uma das unidades de monitoramento (10A, 10B) ou no caso de um desvio dos números (t, r) dos pulsos transmitidos em cada uma das unidades de monitoramento (10A, 10B), impede a transferência do sistema de elevador (3) de volta à operação normal.

13. Sistema de elevador (3), com uma unidade de acionamento (38), que está conectada com uma cabine de elevador (36) disposta em um poço de elevador (35) e é controlado de modo seguro por uma unidade de controle (100), de tal modo que, a) a cabine de elevador (36), na operação normal, pode ser deslocada para pelo menos dois acessos do poço de elevador (35), nos quais estão previstas portas (30A, 30B), que são controladas pelo dispositivo de controle (100) e das quais a pelo menos uma está associado um fecho de porta (31A, 31B), por meio do qual a porta (30A, 30B) associada pode ser destravada e aberta, mesmo no caso de uma interrupção de corrente; e b) a cabine de elevador (36) não é deslocada ou apenas li-mitadamente, caso uma pessoa se encontre no poço de elevador (35); sendo que a pelo menos uma das portas (30A, 30B) estão associados uma unidade de monitoramento (10A, 10B) e um sensor de monitoramento (11A, 11B), por meio dos quais mudanças de estado, tal como destravamento ou a abertura da porta (30A, 30B), são detectáveis, a unidade de monitoramento (10A, 10B) c) está equipada com uma bateria (14) e no caso de uma paralisação completa ou parcial do sistema de elevador (3), é comutá- vel para uma operação autônoma; d) está conectada com o sensor de monitoramento (11A, 11B) e pelo menos durante a operação autônoma, está prevista para o monitoramento do mesmo, bem como para registro das mudanças de estado correspondentes; e e) está conectada com uma unidade de segurança (1), por meio da qual são avaliadas as mudanças de estado da porta (30A, 30B) monitorada e a transferência do sistema de elevador (3) para operação normal é impedida, e o sensor de monitoramento (11A, 11B) é um contato de comutação acoplado com o fecho de porta (31A, 31B) correspondente, através do qual um sinal de monitoramento é transmitido de uma saída para uma entrada da unidade de monitoramento (10A, 10B), que monitora o sinal de monitoramento transmitido, no que se refere a mudanças de estado, que ocorrem na manipulação do fecho de porta (31A, 31B), caracterizado pelo fato de que o sinal de monitoramento está realizado como uma sequência de pulsos.

14. Sistema de elevador (3) de acordo com a reivindicação 13, caracterizado pelo fato de que, a) a unidade de monitoramento (10A, 10B) apresenta um primeiro módulo de monitoramento (15) controlado por processador, que emite um sinal de monitoramento a uma porta de saída (op), da qual o sinal de monitoramento é transmissível através do contato de comutação (11A; 11B), a uma porta de entrada (ip) do primeiro módulo de monitoramento (15); ou b) a unidade de monitoramento (10A, 10B) apresenta um primeiro módulo de monitoramento (15,), com uma porta de saída (op), da qual o sinal de monitoramento é transmissível, através do contato de comutação (11A; 11B), a uma porta de entrada (ip) de um segundo módulo de monitoramento (16).

15. Sistema de elevador (3) de acordo com a reivindicação 14, caracterizado pelo fato de que, a) o sinal de monitoramento emitido pela porta de saída (op) do primeiro módulo de monitoramento (15), é conduzido, por um lado, através de contato de comutação (11A; 11B) a uma primeira porta de entrada (ip1) do segundo módulo de monitoramento (16) e, por outro lado, diretamente, a uma segunda porta de entrada (ip2) do segundo módulo de monitoramento (16); ou b) o sinal de monitoramento emitido pela porta de saída (op) do primeiro módulo de monitoramento (15), é conduzido, por um lado, através de contato de comutação (11A; 11B) a uma primeira porta de entrada (ip1) do segundo módulo de monitoramento (16), bem como a uma porta de entrada (ip) do primeiro módulo de monitoramento (15), e, por outro lado, diretamente, a uma segunda porta de entrada (ip2) do segundo módulo de monitoramento (16).