CN102405185A - 运送设备安全控制 - Google Patents

Abstract

运送设备系统包括耦合至计算机系统的多个传感器，所述计算机系统被编程为检查大于传感器数目的数量的安全功能。一种控制运送设备安全功能的方法，包括：提供来自多个关于运送设备配置的传感器的信号至计算机系统；以学习模式操作运送设备；在学习模式的操作期间，在计算机系统中确定传感器输出信号与计算机系统中的描述可能运送设备类型的物理构型及其允许的操作特性的预存储逻辑之间的关系，以及确定传感器输出信号之间的关系以建立传感器的安全完整性，以及存储传感器信号模式作为参考模式；以及随后以运行模式操作运送设备，在运行模式中安全功能被监视；以及在运行模式期间，在计算机系统中将传感器信号模式与参考模式以及与预存储逻辑进行比较以建立传感器的、计算机系统的以及运送设备的操作的安全完整性。

Description

运送设备安全控制

本发明涉及运送设备的安全控制的改进，特别是，但不全部是，具有在人员运送设备、例如电动扶梯以及移动的通道和人行道方面的应用。

公知的运送设备为了安全目的使用多个传感器、典型地开关来按照惯例安装，用以检测特定的危险事件，例如外来物体进入扶手进口或出口梳齿，以及设置控制电路以采取合适的动作，典型地当传感器检测到特定的事件时，停止运送设备。通常这些传感器专门用于仅单一安全功能。传感器可以分别连线回至控制器，或他们可以通过公共总线排布来通信。传统地，常闭开关串联连接以形成所谓的“安全链”，这样一来当任何开关打开时，链将断开且合适的安全响应发生。

通常在这样的安全功能中编程计算机的使用已经被限制，但是计算机的使用能带来很多重所周知的优势，例如，成本的节省，以及改进的监视、管理以及控制。

本发明的一个目标是使用提供具有高级别安全完整性的增强功能性的计算机以提供安全控制。

根据本发明，提供一种控制运送设备的安全功能的方法，其包括：提供来自多个关于运送设备配置的传感器的信号至计算机系统；以学习模式操作运送设备；在学习模式的操作中，在计算机系统中确定传感器输出信号与描述可能运送设备类型的物理构型及其允许的操作特性的在计算机系统中的预存储逻辑之间的关系，以及确定传感器输出信号之间的关系以建立传感器的安全完整性，以及以参考模式存储传感器信号模式；以及随后以运行模式操作运送设备，在运行模式中安全功能被监视；以及在运行模式期间，在计算机中将传感器信号模式与参考模式以及预存储逻辑进行比较以建立传感器的、计算机系统的以及运送设备的操作的安全完整性。

本发明，至少在优选的形式中，可以通过监视安全完整性来提供运送设备的必要安全，而不依靠传感器输出的绝对值以及将他们与固定值进行比较，因此，即使在运送设备发生了一些变化的事件中，复杂运送设备的安全可以保证。

与现有技术的区别是，如果没有建立安全完整性，即使可能不存在本身指示故障情况的传感器输出时，能够执行安全相关的动作，例如停止运送设备。这明显导致增加操作的整体安全。

本发明实施例将通过实例以及参考附图进行描述，其中：

图1为现有技术中的自动扶梯安全控制的概念图；

图2为与图1相似说明本发明某些新颖方面的示意图；

图3根据本发明说明了在自动扶梯中传感器的可能排布；

图4示出由传感器检测的系统中的物理模式；

图5示出检测物理模式的传感器的信号模式；

图6显示了本发明可能的硬件实现；

图7显示了根据本发明的安全控制过程的高级别流程图；以及

图8为更详细的流程图。

参考图1，显示了一种传统安全系统，其中每个传感器目的在于检测以及防止单个故障情况。在需要多个传感器检测器10以检测故障以及危险状况的情况下，配置多个传感器检测器10。安全系统基本由三个元件组成：传感器10，例如操纵杆、斜轨、擦拭器或光栅、光电传感器、CCD、霍尔传感器(hall sensor)等等；解释相应传感器10的输出以及例如基于来自传感器的信号，打开或关闭或中断输出的解释/分析装置12；以及基于解释器的状态执行动作的执行器14。通常解释器的输出是串联连接以形成安全链，这样使得系统进入故障自保模式，且通常是机器的停止。包括中断安全链的每个传感器/解释器组合需要为专有功能提供所需要的安全完整性。无法观察到在组件的使用期中安全完整性的任何改变。

图2示出本发明的方面。在与安全级别有关的具有不同要求的特定安全功能由公共解释器解释。每个传感器没有直接与仅一个安全功能相关。此外，传感器可提供信息状态。此外，传感器的完整性不是单一安全功能的完整性的要求。这个信息与一个或多个其他传感器的信息状态相结合。通过与参考信息模式进行比较，以及通过与计算机中所定义的逻辑关系进行比较，组合的信息模式被解释为安全或不安全的信息模式。每个参考模式可具有限制公差，以及在那些公差内所测量的传感器模式可以被解释为安全或不安全的状态。所接收以及处理的信号的比较可以用于评估传感器、处理单元(计算机)以及从学习模式接收的模式的完整性。以此方式，可以连续观察传感器以及处理单元的完整性。

这里，安全系统基本由三个元件组成：传感器18，组合、比较以及区别所接收的传感器信号以及从这些信号导出结果的解释器20；以及基于解释器的状态执行动作的执行器22。再者，通常解释器的输出被认为是串行的，或使用冗余AND逻辑组合而有效组合，这样导致系统进入故障自保模式。如果执行器确定不存在安全情况，通常是机器的停止。

可以看出解释器20可接收来自多于一个传感器的输出。这使得能够执行更广泛的安全检查。根据本发明一个重要的方面，解释器20可基于多于一个传感器的输出执行多于一个的安全功能。在以下描述的实例中，三个传感器可用于防止例如超速情况、梯级缺失、拉紧链以及逆向运动。

根据另一方面，解释器20可将传感器输出的模式与从学习模式接收的参考模式以及所存储的逻辑模式以及物理模式进行比较，并且当模式没有匹配时执行安全功能。所存储的逻辑自行确定在学习模式中所接收的模式是否与正在使用的自动扶梯的可能的硬件配置(由制造商)匹配。正如上面所提到的，模式可能包含内建的公差级别。优选的，在自动扶梯的学习运行操作阶段，即学习模式期间，建立要匹配的模式，及/或可以建立其参数。

图3图示了根据本发明在自动扶梯中传感器可能位置。

梯级传感器或梯级缺少检测器MSD1以及MSD2(26，28)位于临近于自动扶梯的回程(return run)，分别靠近自动扶梯的底部以及顶部，或其他方便的位置。他们可检测梯级的任何适合的性能，例如材料的存在，或适用于梯级顶部或底部的模式，或梯级或踏板之间的空隙，如图3所示。例如，检测器可能是电感的或是电容的或可能采用光学系统、例如光敏传感器或光栅或任何类型的光学图像处理系统，例如CCD传感器。一种特定的适合的传感器是集电极开路电感传感器(open-collector inductive sensor)。

一个或两个速度传感器SPEED1以及SPEED2(30)可使用现有技术的方法检测主驱动链轮的齿轮节距，或者在主驱动半轴(maindrive shaft axle)或扶手驱动轴(handrail drive axle)使用编码器。

扶手传感器HRS1以及HRS2(32)可检测扶手的移动。

所有的传感器可能是各种类型的。可以使用电感的、电容的以及光学检测器。在没有使用齿轮的情况下，可以使用光学或机械编码盘。

有时两个梯级传感器以及两个扶手传感器在此实例中说明，如果可以接受较低的安全完整性级别，可能包含仅仅一个梯级传感器及/或仅仅一个扶手传感器。

图4显示了以简化的线条形式的运送设备的物理模式，包含图3中传感器的位置。在所说明的实施例中，梯级检测器26，28之间的距离选成是梯级长度的总数加上梯级长度的分数f(除1/2之外，如1/3)来说明方向检测，以下会详细描述。SPEED1以及SPEED2传感器30显示为邻近单一驱动链轮，而HRS1以及HRS2传感器32显示为邻近分别左边扶手以及右边扶手的扶手链轮。

图5显示了上面所描述的个体传感器的信号模式的时序图，将在下面进行进一步描述。

接下来描述了一些操作特性以及传感器信号的关系。

缺失梯级或踏板功能

传感器MSD1以及MSD2提供信息模式。与由速度传感器SPEED1和SPEED2以及扶手传感器HRS1和HRS2提供的速度信息结合，可以提供梯级或踏板长度测量的高完整性以及可以提供梯级/踏板之间的空隙，并且精确的梯级带速度测量是可能的。即使所有的速度传感器之间信息逻辑模式、例如物理模式中的齿轮传动比导致那些接收的模式之间的线性因素，所以所接收的整个信息保持为相对的并且不是指绝对限制。

方向的非逆向性功能

通过在梯级长度的倍数加上梯级长度的分数处安装传感器MSD1以及MSD2，可能检测空隙的序列，这样能够给出方向信息。此外，SPEED1和SPEED2传感器的传感器位置以及他们相对距离增加了从MSD传感器所检测的方向的完整性，反之亦然。方向信息的该冗余为安全完整性级别做出贡献。

通过将梯级空隙信号与速度信息的脉冲结合，可能在例如梯级长度的1/3之后识别方向。

超速功能

在所说明的实施例中，两个或三个或高达六个传感器从多个传感器给出冗余信号频率，从而提供关于速度的改变的冗余信息。通过该信号冗余度，速度模式的不同分辨率可用于识别关键的加速度以及减速度，而没有完整性的损失。

梯级链的减少或加长也可以从MSD1以及MSD2传感器信号确定。

可以检测梯级速度以及扶手速度之间的差异并进一步采取安全动作。

图6显示了本发明可能的硬件实现。传感器18(26，28，30)通过冗余接口38，40连接至包含例如冗余计算机34，36的计算机系统。传感器可是直接连线至接口或可通过优选的冗余数据总线排布耦合。每个计算机34，36包含其自己的软件以及根据上述描述对输入信号执行测试。此外，计算机执行模式匹配，如在下面进行进一步详细描述。

计算机34，36提供命令至设计成控制马达以及制动44的马达/制动控制器42(是图2中的执行器)，以使如果两个计算机都指示存在安全情况，自动扶梯才可以被驱动。计算中的冗余有助于计算本身的安全完整性的增加。

自然，可以提供不同数目的传感器，可以检测不同的事件。在另一实施例中，可存在间隔开的扶手传感器以及可存在有多于一个的链速传感器。

图7是在计算机34，36中执行的示例程序的高级别流程图。

当系统在步骤50初始化时，首先在步骤52进入测试以及学习模式。在此时间期间，自动扶梯可被控制以在没有乘客时运行一段检查时间、例如1分钟。在此期间，建立输入信号的合适关系，执行多个运动学测试，以及建立信号之间的关系的参数。例如，计算机可以建立传感器输出信号的存在，并可以确认相似传感器提供相似输出，以及梯级和扶手传感器的输出涉及遵守描述自动扶梯或移动通道的模型的逻辑，其中包括在变量设计中所有有关齿轮传动比的变量。通过将信号MSD1与MSD2、SPEED1、SPEED2、HRS1以及HRS2进行比较，可以通过在计算机系统中使用描述的逻辑建立传感器模式信号MSD1的完整性。这一点适用于MSD2、MSD1、SPEED1、SPEED2、HRS1以及HRS2，从而建立MSD2的完整性。

在检查期间，可以建立各种信号间的合适关系，这证明了机械完整性，例如齿轮的合适工作。它证明在自动扶梯或移动通道中的合适以及正确的传感器装配以及位置。可以识别传感器位置的改变以及传感器尾端的故障。

也可以确认脉冲率在可允许的绝对范围内，例如在物理模式数据中定义的。

在学习模式中，可识别传感器信号的组合，这在运行模式期间可用做参考模式。

在检查期间，系统可以学习传感器输出(假设由存储于计算机系统的逻辑架构/模式的正确操作)，并建立输出的可允许的值的范围。这些被称为可允许的阈值。

在学习期间结束以后，系统在步骤54进入运行模式。在此模式中，系统连续监视输入信号之间的正确关系并证明他们是正确的。例如，在启动时，系统可以检查扶手的加速度是否等于梯级的加速度。如果此测试失败，则提供扶手驱动故障的指示。此外可以执行以上描述的测试。

在正常速度运行期间，可以相对于指示正确操作的参考模式来检查传感器输出。例如，模式可被定义以及测试以便获得两梯级信号、一个速度信号以及两扶手信号之间的关系。可以定义以及测试大量的可能模式，使得系统能够测试很多可能的故障情况。

分析信号的时序特性，且参数、例如频率、高低比以及相位偏移，可以存储为模式定义。

在合适的情况下，例如当重载时在自动扶梯的速度中，可建立阈值以提供可允许的变化。当信号间的关系或所基于此所计算的值没有偏离超过阈值，系统将确定已经通过测试。

图8为在计算机系统中要执行的可能的过程100的详细流程图。

大致而言，该过程建立传感器信号完整性并存储显示完整性的参考模式，以及基于输入信息、也就是从物理系统所接收的传感器信号模式、预存储在计算机系统中的物理模式以及预存储在计算机系统中的逻辑模式来连续证明传感器信号完整性以及硬件和软件完整性，。

在150指示初始化步骤，学习模式大概在152指示，正常或运行模式在154指示。

初始化后，该过程在步骤160确定参考传感器信号模式是否存在。如果没有，在步骤162进入学习模式。在此模式运送设备是运行的，且系统在步骤164读入并存储传感器信号模式。传感器信号模式描述实际测量的关于物理硬件系统、例如自动扶梯或移动通道的信息。

该过程然后开始于步骤166建立传感器信号完整性。对于这个过程，系统使用预存储的物理模式以及逻辑模式。

物理模式描述安全系统将应用的产品变量的物理参数的限制。这些可以是：速度值，例如0.2-0.9m/s；齿轮传动比，例如0.9-1.1；物理公差；以及每个传感器信号的安全完整性要求。

逻辑模式描述物理参数组合的限制，例如，长度400mm的梯级将不会移动快于0.75m/s；扶手速度将在高于梯级速度0-2％的范围内；以及各种的与组件的所测量的参数相关的IF...THEN...规则。

传感器信号其中之一、例如MSD1的完整性可以然后在步骤168使用其他传感器信号模式以及预存储的物理以及逻辑模式建立。如果第一传感器信号的安全完整性已经建立，则在步骤169将其存储。相似的，其他传感器信号的安全完整性可以在步骤170使用其他信号模式以及物理以及逻辑模式来证明，以及成功的结果在步骤171存储。

如果有任何传感器信号无法通过其完整性测试，在步骤172中止学习模式，且在步骤174用相关信息输出消息至用户界面以便由授权人进行动作。

如果所有传感器信号都通过了完整性测试，然后在步骤176存储所有传感器信号模式(在步骤169以及171中的状态TRUE)为参考模式，学习模式在步骤178结束，以及在步骤180给出合适的指示。

下次操作该过程时，在步骤160确定参考模式存在以及因此系统准备进入正常模式。

正常模式开始于步骤186，其中通过载入在步骤176中所存储的参考模式。然后，传感器信号在步骤188输入。在步骤190所测量传感器信号模式与所存储的参考模式进行比较，在步骤192传感器信号完整性被证明，在步骤194硬件以及软件完整性依据上述所描述来建立。如果所有测试均通过，该过程返回至步骤196至步骤188以读入新的传感器信号。

在步骤196如果任何时间任何测试没有通过，该过程转到步骤198以执行合适的安全相关动作，例如停止机器，且在步骤200给出指示。

自然，可以在授权人控制下的任何时间再次处理学习模式，且这一点通过以下来执行：在步骤184指示当时没有接着进入正常模式，所以过程在步骤164继续学习模式。

本发明的一个优势是通过学习模式以及编程新的逻辑模式，安全系统将易于适用于不同或修改后的安装，以及可以容易改成执行新的安全检查，通常不需要额外的新硬件。

使用所描述的技术，可能实现具有充分的安全完整性级别的计算机实现的安全系统，例如根据IEC 61508的SIL。很多其他特征可以通过接收多个传感器的输出的计算机的使用来提供，例如，额外的安全测试，广泛的监视以及管理功能。

虽然本发明的各种实施例已经描述，但并非用以限制且本领域的技术人员很清楚在不背离发明精神的情况下，可以进行各种变化。因此应该研究权利要求书来确定发明的完整范围。

Claims (15)

1.一种控制运送设备的安全功能的方法，包括：

提供来自多个关于所述运送设备配置的传感器的信号至计算机系统；以学习模式操作所述运送设备；在所述学习模式的操作期间，在所述计算机系统中确定传感器输出信号与所述计算机系统中的描述可能运送设备类型的物理构型及其允许的操作特性的预存储逻辑之间的关系，以及确定传感器输出信号之间的关系以建立所述传感器的安全完整性，以及存储传感器信号模式作为参考模式；以及随后以运行模式操作所述运送设备，在所述运行模式中，安全功能被监视；以及在所述运行模式期间，在所述计算机系统中将传感器信号的模式与所述参考模式以及与所述预存储逻辑进行比较以建立所述传感器的、所述计算机系统的以及所述运送设备的操作的安全完整性。

2.根据权利要求1所述的控制运送设备的安全功能的方法，包括

在所述运行模式期间，重复将所述传感器信号的模式与所述参考模式以及所述预存储逻辑进行比较，以监视所述传感器的、所述计算机系统的以及所述运送设备的操作的安全完整性。

3.根据权利要求1或2所述的方法，其中在所述学习模式期间，每个传感器信号模式与其它进行比较以保证所述传感器信号的以及所述计算机系统的处理单元的所要求的安全完整性。

4.根据权利要求1、2或3所述的方法，包括

建立阈值以提供所述运送设备的安全操作的可允许的变化，以及

当所述信号之间的关系或基于所述关系计算的值没有偏离超出所述阈值时，确定测试已经通过。

5.根据权利要求1、2、3或4所述的方法，包括：

如果没有建立安全完整性，当没有传感器输出本身指示故障情况时，执行安全相关的动作。

6.根据权利要求1、2、3、4或5所述的方法，其中所述运送设备为自动扶梯。

7.根据权利要求1-6中任一项所述的方法，其中存在至少一个梯级传感器、至少一个扶手传感器以及至少一个速度传感器。

8.根据权利要求7所述的方法，其中存在至少两个梯级传感器、至少两个扶手传感器以及至少一个速度传感器。

9.根据权利要求8所述的方法，其中基于与所述速度传感器的输出相关的梯级传感器的输出的序列，得出关于所述梯级传感器的正确工作的结论。

10.根据权利要求7、8或9所述的方法，其中基于与速度传感器以及扶手传感器的输出相关的至少一个梯级传感器的输出的序列，得出关于每个传感器的正确工作的结论。

11.根据权利要求8或9所述的方法，其中基于所述梯级传感器的输出的序列，得出关于运动方向以及所识别的方向的完整性的结论。

12.根据权利要求7-11的任何一项所述的方法，其中基于所述梯级传感器的信号输出，得出关于梯级存在的结论。

13.根据权利要求8、9或11所述的方法，其中基于所述速度传感器的输出与所述梯级传感器的输出的时间关系的相关，得出所述自动扶梯的梯级链的加长以及减少的结论。

14.根据权利要求7-13的任何一项所述的方法，其中基于传感器速度信息，检测所述运送设备中的超速。

15.根据权利要求7-14的任何一项所述的方法，其中能够检测梯级速度与扶手速度的差异以及能够采取进一步的安全动作。

Images