CN104661945A - 用于使电梯设备的安全系统复位的方法 - Google Patents

Abstract

本发明涉及一种用于使电梯设备(1)的安全系统(10)从实际状态(51、61)复位到额定状态(57、72)的方法，在实际状态中，电梯设备(1)的正常运行不被放行，而在额定状态中，电梯设备(1)的正常运行被放行。本发明包括如下步骤：在安全系统(10)中接收由监控系统传达的、用以从实际状态(51、61)复位到额定状态(57、72)的复位请求(52、62)，通过安全系统(10)对复位请求执行验证，通过安全系统(10)对验证做出评价，当验证被安全系统(10)评价为有效时，将安全系统(10)从实际状态(51、61)复位到额定状态(57、72)。

Description

用于使电梯设备的安全系统复位的方法

技术领域

本发明涉及一种用于使电梯设备的安全系统从实际状态复位到额定状态(特别是正常状态)的方法，在额定(正常)状态中，电梯设备的正常运行由安全系统释放或者说放行，以及本发明涉及一种根据独立权利要求的前序部分所述的电梯设备。

背景技术

电梯设备具有用于保证足够的运行安全性的安全系统。这种要求由不同的标准和规定来确定。安全系统一般尽可能独立地构造并且相对于其余电梯系统处于上级地布置。安全系统能够对电梯设备施加影响并且为此例如与电梯设备的驱动装置或制动单元保持连接。当确保不了足够的运行安全性时，中断行驶运行。

这种安全系统可以构造为安全电路，在该安全电路中，以串联电路的方式布置有多个安全元件，例如安全接触部和安全开关。接触部例如监控：竖井门或轿厢门是否打开。电梯轿厢可以仅当安全电路进而还有所有整合于其中的安全接触部都闭合时，才能运动。安全元件中的一些由门操作。其他安全元件(例如意外开关)由电梯轿厢来操作或触发。一旦安全电路开路的话，安全电路中断行驶运行。

具有这种安全电路的安全系统包含很多缺点，例如安全电路中发生电压降以及相对高的易受干扰性的固有问题。此外，安全电路不允许进行专门的诊断，这是因为当安全电路开路时，仅确定的是：有至少一个安全接触部是断开的。

因此提出：给电梯设备不装备有所提到的安全电路，而是装备有安全总线系统。安全总线系统典型地具有控制单元、安全总线以及一个或多个总线节点。不同的安全元件(例如门接触部、锁闩接触部或缓冲器接触部)借助总线节点得到请求。当安全元件的反馈与额定量值不一致时，安全系统可以对电梯设备的控制器施加影响并且例如启动应急关断。在此，安全系统可能达到如下例外状态，在该状态下，电梯设备的运行例如被阻止或者仅以降低的程度可行。典型的例外状态例如包括由于电梯轿厢超速或电梯门未关闭引起的紧急关断，或者维护状态，在该维护状态中仅能进行维护行驶。这种安全系统例如在WO 03/024856A中有所介绍。

当安全系统达到例外状态中时，需要将安全系统复位到正常状态，在正常状态中，电梯设备的正常运行被放行。通常，安全系统在成功检查电梯设备之后由本领域专业技术人员复位至正常状态(“重置”)。在此，复位能够例如直接在电梯系统的接入点上进行。该接入点例如可以布置在封闭的维修室中，以便确保：仅被授权的人员能够触发复位。因而，安全系统通常很难达到，由此，复位可能是耗费时间的而且例如针对本领域服务技术人员并不便利。在一定的情况下，复位可能也由电梯控制器自动执行。但是，在这种情况下通常确保不了针对复位所需的安全级别，这是因为电梯控制器作为非安全系统在安全级别上相对于安全系统排在后面。

发明内容

本发明的目的在于，提供一种方法以及一种带有安全系统的电梯设备，所述方法和所述电梯设备实现了电梯设备的高效而安全的运行。另外，本发明的目的在于提供一种方法以及一种带有安全系统的电梯设备，所述方法和所述电梯设备实现了：在防止例如滥用、故意损毁、误操作或有误功能方面足够的安全性下，使安全系统的复位舒适而简便。

所述目的通过独立权利要求的特征来解决。权利要求1涉及一种用于使电梯设备的安全系统从实际状态(特别是电梯设备的正常运行未被放行的状态)向额定状态(特别是电梯设备的正常运行由安全系统放行的正常状态)复位的方法，其中，安全系统借助至少一个用于数据交换的通信接口与电梯设备所配设的、特别是不属于安全系统的监控系统相连接。所述方法包括如下步骤：

在安全系统中接收从监控系统传出的、用于从实际状态复位到额定状态的复位请求；

由安全系统对复位请求加以验证；

由安全系统对验证加以评价；

当验证被安全系统评价为有效时，将安全系统从实际状态复位到额定状态，

借助上述方法确保的是：安全系统的复位表现为有针对性操作的方案并且可靠地实现。特别是能够排除由未经授权的人员或有误功能(例如偶然生成的复位请求)而使得安全系统复位。所述方法相应地确保：在电梯设备采取正常运行时，安全系统可靠地工作。

以实际状态来表示安全系统的如下瞬时状态，安全系统应当从该瞬时状态出发利用所传达的复位请求而复位到额定状态。实际状态典型地是指例外状态，在例外状态中，电梯设备的正常运行不被放行。实际状态例如可以是如下状态：安全系统例如由于有误功能或者当维护电梯设备时，处在该状态中。

额定状态表示的是安全系统应当基于复位请求而过渡到其中的状态。额定状态特别是指在其中实现了电梯设备的正常运行的正常状态。在这种情况下，对复位请求的验证特别重要，以确保在正常运行期间的安全性。不言而喻的是：根据需要，实际状态可以是正常状态，并且额定状态是例外状态。特别地也可以是额定状态是维护状态，在维护状态中仅能进行维护行驶。

监控系统可以包括：内部的、属于电梯设备的部件以及外部部件。内部部件例如可以是电梯设备的位置固定的或移动的监控单元。监控单元特别可以包括电梯设备的电梯控制器的部件。移动的监控单元(例如便携式的维护或诊断装置或移动电话)例如可以借助内部有线或无线的网络得到连接或能够得到连接。监控单元可以根据需要例如包括用于读取或显示数据的机构(例如显示器)和/或用于输入数据的机构(例如键盘或触摸屏)。

监控系统的外部部件例如可以借助外部的、必要时公共的网络得到连接。例如借助移动无线电网络连接到监控系统的移动电话或者借助因特网来连接的计算机可以形成监控系统的一部分。监控系统为此可以具有用于连接到相应内部网络的接口单元。

至少一个通信接口例如可以包括借助线缆引导的通信总线(例如CAN总线，“控制器局域网络(Controller Area Network)”)。通信接口同样也可以包括内部的属于电梯设备的无线网络(例如WLAN网络“无线局域网(Wireless Local Area Network)”)或者与内部的公共无线或有线网络的连接件。不言而喻的是，监控系统或其部件能够借助一个或多个通信接口连接到安全系统上。

复位请求表示的是用于从实际状态复位到额定状态的复位请求。复位请求向安全系统的传达可以由用户或者由电梯设备的系统触发(下面通用地以“触发者”表示)。复位请求的传达必要时可以将附加的数据发送给安全系统，例如所希望的额定状态或者必要时还有触发者的数据。复位请求可以借助监控系统的内部部件或外部部件传达给安全系统。

利用验证原则上表示的是对复位请求有效性的各种类型的证实方案。在此，验证可以有利地包括身份识别，其中，附加地对例如触发者的权限或身份加以检查。不言而喻地，安全系统复位到额定状态的过程根据本发明一般即使在验证有效的情况下，仅当安全系统将复位到额定状态的过程评价为安全时或者说额定状态受到安全系统允许时，才能够实现。在一定的实施方式中，可以有利的是：仅当额定状态被评价为安全时，对复位请求的验证才由安全系统实施。另一方面，安全系统可以基于复位请求例如触发警报信号。

基于根据本发明的验证，可以确保的是：复位不会由于电梯系统的有误功能触发，或由用户无意触发或者被未授权者蓄意触发。因此，监控系统可以是电梯设备的非安全系统的一部分，也就是在级别上处于安全系统以下的系统，并且特别是不必形成安全系统的一部分。在由用户携带的移动式监控单元的情形中，与安全系统的连接可以根据本发明甚至借助不安全的公共网络(例如移动无线电网络)来实现。

验证的执行可以包括读取验证码，该验证码直接连同复位请求一起传达给安全系统。在此，验证码可以由复位请求的触发者在传达复位请求之前或之时输入或产生。为了验证复位请求，安全系统可以将验证码例如与存储于安全系统中或由安全系统产生的额定验证码加以比较。例如验证码可以在触发或接收复位请求时按照勾选列表的方式从所存储的列表中获取。这种系统例如可以从印刷的列表中手动选出，或者以电子形式在芯片卡、软件保护器(电子狗)或其他移动的释放装置中实施，其能够与监控系统(例如控制单元的接口)相连接。

同样可以考虑的是时间上同步的系统，这些系统对于触发者以及在安全系统中产生验证码，该验证码仅在受限的、同步的时间窗内是有效的。验证码也可以包括简单的个人识别密码(PIN)或者其他仅被有权限的人知道的静态编码。同样可以考虑的是，例如对用户的指纹印证或虹膜扫描，其被采集用于触发复位请求并且与复位请求一起以经编码的形式传达。本领域技术人员可直接得出其他用于在传达复位请求时进行验证的可行方案。

可替换地，执行验证的过程按照问答验证的方式来进行，其中，验证请求直接或间接地传达给系统或用户(在下面统一称为(接收者))，系统或用户必须以验证答复确认该请求。验证的执行特别是包括：验证请求(特别是提问编码)基于所接收的复位请求由安全系统向监控系统的传达；以及在安全系统中对由监控系统传达的验证答复(特别是答复编码)的接收。

验证请求可以是安全系统的简单的信号，例如点亮监控系统中键盘区上的按钮，该按钮为了确认作为验证答复例如必须由用户按下。为了提高安全性，验证请求优选包括提问编码，和/或验证答复包括答复编码。提问编码和/或答复编码可以根据需要具有不同的复杂程度并且例如包括文字数字的或二进制的字符串。提问编码和/或答复编码同样也可以包括图形表达或者条形码或二维码。提问编码和答复编码可以是相同的，其中，例如由安全系统传达出的提问编码为了由接收者验证答复而被同样回传给安全系统。提问编码和答复编码优选以如下方式提供：正确的答复编码仅能在知道提问编码的情况下被传达给安全系统。

可以用作答复编码的例如是独立于验证请求的验证答复，例如是通过用户编码的指纹印证或虹膜扫描进行的身份认证。

不言而喻的是，验证请求的接收者与触发者可以彼此不同，也就是，验证请求不需要针对复位请求的触发者。复位请求例如可以由监控系统的位置固定的监控单元传达给安全系统(触发者)，而验证请求被传达给监控系统的由本领域服务技术人员携带的监控装置(接收者)。其他变型直接得到启示。

优选的是，对验证的评价包括将验证答复与额定验证答复加以比较，以及当验证答复与额定验证答复相一致时，将验证评价为有效。如果验证答复包括答复编码的话，则额定验证答复优选具有额定答复编码。

优选的是，验证请求由安全系统针对每个复位请求都重新、特别是随机产生。

按照这种方式，验证请求针对先后跟随的复位请求相互区别。按照这种方式可以防止：当复位请求的序列很短时，验证对应错误的复位请求。

如果验证请求(特别是请求编码)随机产生时，可以将传统的随机生成器用作产生的基础。这种随机生成器可以按照硬件或软件的方式在安全系统中实施。在变型中，请求编码也可以基于其他因素，例如当前的日期和时间。验证请求以及额定验证答复为了产生而同样可以按照勾选列表的方式从存储于安全系统中的列表中获取。在验证请求的接收者处，可以在这种情况下，将相应的勾选列表与答复编码一起存储。这种勾选列表例如可以在维护时利用固件更新来刷新。

为了进一步提高安全等级，有利的是：验证请求针对每个复位请求是唯一的。按照这种方式确保：验证请求针对每个复位请求是一对一限定的。

在此优选的是，每个验证请求恰好对应一个额定验证答复。在这种情况下，可以针对每个复位请求应用验证请求与验证答复或额定验证答复的一对一限定的组合。由此，能够确保：在系统中不会存在可能导致验证错误或故意无效的、之前用过的验证请求或验证答复或者必要时还有提问编码或答复编码。

在变型中，不言而喻地可以考虑的是，例如总是使用相同的验证请求，并且与其他因素(例如当前的日期和/或时间)相关地确定出各自不同的额定验证答复。

有利的是，额定验证答复由安全系统根据规则(特别是根据加密编码)基于验证请求而产生。在这种情形中，将答复编码传达给安全系统的接收者利用相同的规则，以便产生正确的验证答复，也就是与额定验证答复一致的验证答复。该规则可以包括一组简单的规则，其例如能够直接由用户采用。该规则也可以包括复杂的、以电子的方式执行的加密编码。

根据应用而定，可以有利的是：额定验证答复在安全系统中在接收到验证答复之后才基于验证请求而产生。这具有如下优点，在传达复位请求与验证答复的时间空档中，在安全系统中不存在能够被读取和/或错误导出的额定验证答复。可替换地可以将额定验证答复连同验证请求一起产生，并且至少直到传达验证答复时都存储在安全系统的存储器中。

优选的是，监控系统包括至少一个下列监控单元：

位置固定的监控单元，特别是电梯控制器的操作单元或控制单元，

移动的监控单元，其借助监控系统与安全系统连接或能够连接，其中，监控系统包括与内部或外部的无线网络的连接件，移动的监控单元借助该网络得到连接或能够得到连接。

在此，有利的是：

将验证请求从安全系统传达给至少一个监控单元，以及

将验证答复从该至少一个监控单元或从监控系统的另一监控单元传达给安全系统。

位置固定的监控单元可以是电梯设备的内部系统，并且包括电梯控制器的一部分(例如控制单元)。位置固定的监控单元也可以包括外部系统的部分或者由外部系统来提供。例如可以考虑的是设备运营商的例如用于多个电梯设备的维护中心的维护系统。当包括外部系统时，至少一个通信接口和/或监控系统可以具有用于与外部网络(例如因特网或移动无线电网络)连接的接口。“位置固定”在这里表示固定不动也就是不运动的布置方式，或者固定地布置在电梯设备的运动的部件上的方式，诸如在电梯轿厢中的操作面板就可以是这种情况。

位置固定的监控单元可以具有如下机构，用以基于验证请求的传达自动产生验证答复并且传达给安全系统。这例如可以在电梯控制器的控制单元中具有优点，以便能够自主验证复位请求。位置固定的监控单元也可以是用于与用户进行数据交换和/或用于连接释放装置的机构(见下)。位置固定的监控单元例如可以包括布置在电梯轿厢中的操作单元。操作单元例如可以作为维护单元布置在墙壁嵌板或维护窗的后方。操作单元也可以包括在电梯轿厢中能自由达到的操作面板。在此，例如可以将本来存在的显示器用于显示验证请求，而本来存在的按键可以用于手动输入验证答复。按照这种方式，能够将电梯设备的本来存在的部件协同利用。

移动的监控单元例如可以由用户随身携带并且被构造用于借助监控系统或借助至少一个通信接口与安全系统相连接。为此，监控系统和/或通信接口例如可以具有与无线内部网络(例如WLAN网络)或外部网络(例如移动无线电网络)的连接件。移动的监控单元也可以借助在相应构造的接口上的插接连接件(例如借助另一位置固定的监控单元)与监控系统相连接或者能够连接。移动的监控单元可以具有用于与用户进行数据交换或用于连接释放装置的机构(见下)。移动的监控单元例如可以是电梯设备的诊断或维护装置、移动电话或平板电脑(所谓的“Tab”或“Pad”)。

验证请求优选由安全系统传达给至少一个监控单元。验证请求可以在监控单元处例如由用户或由与至少一个监控单元相连接的释放装置读取。只要监控系统包括多于一个的监控单元的话，验证答复向安全系统的传达不一定要由同一监控单元进行。特别是在这种情况下原则上可以考虑上面提到的监控单元的所有组合，以便借助其中一个监控单元从安全系统接收验证请求并且借助另一监控单元传达给安全系统。

有利的是，至少一个监控单元至少包括用于读取验证请求的机构，以及将验证答复传达给安全系统的监控单元至少包括用于输入验证答复的机构。在此，验证请求借助用于读取的机构来读取，并且验证答复借助用于输入的机构来输入。不言而喻的是，在仅有一个监控单元的情况下，该监控单元既具有用于读取的机构，还具有用于输入的机构。

在此，用于读取验证请求的机构可以包括用于可视显示验证请求的显示器，在该显示器上例如能够显示出提问编码。用于输入的机构可以包括键盘，借助键盘例如能够手动输入答复编码。在这种情况下，验证请求可以由用户读取，可以产生验证答复并且由用户输入。不言而喻的是，验证答复可以由用户例如在此借助独立的外部装置通过输入验证请求来产生。在此，验证答复可以手动地从外部装置传送至监控单元，由该监控单元将验证答复传达给安全系统。

用于读取的机构也可以包括如下的接口，借助该接口能够从与该接口连接或能够连接的释放装置读取验证编码。在这种情况下，接口也可以提供用于输入验证答复的机构，该验证答复例如自动由所连接的释放装置产生并且传达给安全系统。释放装置为此包括用于由验证请求产生验证答复的机构，验证请求例如能够按照硬件或软件的方式在开关电路中或者可编程的计算单元中执行。这种释放装置例如包括芯片卡、电子狗、USB棒(U盘)或者其他能够连接到接口上的移动装置。

按照监控单元的类型，至少一个监控单元本身具有用于由验证请求产生验证答复的机构。该机构例如可以包括开关电路，在该开关电路中例如按照硬件或软件的方式执行用于产生验证请求的规则或者验证答复的列表。优选的是，在这种情况下，验证答复在接收到验证请求时有至少一个监控单元自动产生，并且传达给安全系统。这一点当监控单元是能够在无用户介入的情况下验证复位请求的控制单元时，是特别有利的。用于产生验证答复的机构也可以有利地存在于其他位置固定的或移动的监控单元中。

为了安全，可以附加地设置为：验证答复的传达必须由用户触发并且传达过程例如能够通过按键开关或附加的编码请求来触发。同样可以考虑的是：验证答复基于相应的输入才由验证请求来产生。

优选的是，验证的执行必须在预设的时间段内进行，以便被安全系统评价为有效。在此，时间段可以凭借复位请求来触发或者以通过安全系统传达验证请求才结束。当经过预设的时间段而没有验证的话，一般需要新的复位请求。按照这种方式防止：安全系统在较长时间内处在未加限定的维护状态中。

本发明也涉及一种电梯设备，特别是用于执行根据本发明的方法，该电梯设备包括一种安全系统，所述安全系统能够从实际状态(特别是电梯设备的正常运行未被放行的状态)复位到额定状态(特别是电梯设备的正常运行被安全系统放行的正常状态)。在此，安全系统借助至少一个用于数据交换的通信接口连接到电梯设备所配设的特别是不属于安全系统的监控系统。该电梯设备的长处在于，安全系统包括：用于接收由监控系统传达的用以从实际状态复位到额定状态的复位请求的机构和用于借助监控系统执行对复位请求的验证的机构以及用于评价验证的有效性的机构。在此，安全系统以如下方式构造，该安全系统基于被评价为有效的验证而从实际状态复位到额定状态。

显然，电梯设备的根据本发明的构造可以例如通过对安全系统以及监控系统或者其部件的可编程的控制单元进行相应的编程来提供。在此，可以利用电梯设备的本来就存在的部件，例如电梯轿厢内的操作面板，该操作面板借助传统的通信总线(例如CAN总线)与安全系统相连接。

在此优选的是，用于执行验证的机构包括：用于将验证请求传达给监控系统的传输机构，以及用于从监控系统接收验证答复的接收机构。

有利的是，安全系统包括用于产生(特别是随机产生)验证请求(特别是提问编码)的机构，以及用于产生与验证请求对应的额定验证答复(特别是依照一定规则或列表与提问编码相对应的额定答复编码)的机构。在此，用于评价验证有效性的机构优选被构造用于，将从监控系统接收的验证答复与额定验证答复相比较。

电梯设备所配设的监控系统优选包括下列监控单元中的至少一个(优选为多个)：

位置固定的监控单元，特别是电梯控制器的操作单元或控制单元，

移动的监控单元，其借助监控系统与安全系统连接或能够连接，其中，监控系统优选包括内部无线网络或用于与外部无线网络连接的接口，移动的监控单元借助该外部无线网络得到连接或能够得到连接。

内部的监控单元是电梯设备的一部分，而监控系统的外部部件虽然与电梯设备相对应，但又不包括其中。

至少一个监控单元优选包括：

用于读取验证请求的机构，特别是用于将另一监控单元或用于读取验证答复的移动释放装置加以连接的接口或者用于可视显示验证请求的显示器，和/或

用于输入验证答复的机构，特别是用于将另一监控单元或用于输入验证答复的移动释放装置加以连接的接口或者用于手动输入验证答复的键盘，和/或

用于产生验证答复的机构，特别是开关电路或可编程的计算单元。

所有其他所需的部件或者根据本发明的电梯设备的现有的部件的协同利用直接由对根据本发明的方法的上述说明中获得。

由下列细节描述和权利要求的整体还获得本发明的其他有利实施方式和特征组合。

附图说明

用于阐释实施例的附图示意地示出，其中：

图1示出根据本发明的电梯设备的安全系统和监控系统；

图2示出根据本发明的方法的流程图，其中，验证编码连同复位请求从安全系统接收；

图3示出根据本发明的方法的流程图，其中，基于验证请求，从安全系统接收验证答复。

原则上在附图中相同的部件附以相同的附图标记。

具体实施方式

图1(以虚线)示出电梯设备1的电梯竖井2。电梯设备1具有带中央控制单元11和安全总线12的安全系统10。控制单元11可以构造为可编程的计算单元，或者包括这种计算单元，由此能够例如通过相应的编程来提供用以执行根据本发明的方法(参见图2至图3)所需的功能。安全总线12例如可以作为控制器局域网络(CAN-Bus)来实施。借助(未示出的)总线节点将安全系统10的不同的安全元件与安全总线12相连接，用以监控电梯设备1。在这里，示出用于监控升降梯竖井中的竖井门3的门传感器14以及意外开关16。不言而喻的是，安全元件纯示意地选取并且在实践中可以将大量另外的安全元件连接到安全系统10上。

相对于安全总线12可替换地，安全元件(诸如门传感器14、意外开关16或其他安全元件)可以串联接在安全电路中。在这里安全电路与控制单元11相连接。在这种解决方法中，安全元件通常不是被单个监控。安全电路总体上显示所有安全元件的状态。但安全元件处在不安全状态时，例如竖井门3打开时，安全电路中断并且指示出电梯设备1的不安全状态。

安全单元11例如与电梯设备1的驱动装置4或制动单元相联接，以便中断行驶运行。例如当安全系统10例如由于安全元件的有误功能报告或安全电路的中断而变为例外状态时，是这种情况。在这里，控制单元11借助单独的线路18与驱动装置4连接。该连接也可以借助安全总线12来提供。

控制单元11借助通信接口19与电梯设备1所配设的监控系统20相连接。通信接口19可以类似于安全总线12那样实施为CAN总线。监控系统20包括电梯设备1的部件，也可以包括不算作电梯设备1的外部部件。监控系统20包括不同的监控单元21、22、23、28，这些监控单元直接或间接地借助通信接口19与控制单元11进而与安全系统10相连接。

所示的监控单元构造为固定布置于电梯轿厢9中的操作单元21(虚线示出)。操作单元21具有显示器21.1以及键盘21.2或者例如用于由用户读取或输入数据的触摸屏。操作单元21也可以具有接口21.3，便携的装置(例如电子狗或便携电脑)能够连接到该接口上。接口21.3在此能够被构造用于输入数据和/或从所连接的装置中读取数据。特别是接口21.3也可以构造为用于芯片卡的读卡器。

另一所示的监控单元构造为电梯控制器的控制单元22。该控制单元能够布置在电梯设备1的不同位置上(例如电梯竖井2中、维护室中或者例如电梯轿厢9中的壁板嵌板后方)。控制单元22形成监控单元，该监控单元原则上被设置用于自动化的、也就是由控制单元22自身执行的、根据本发明的验证。为此，控制单元可以具有相应的电路，该电路为了验证而被设置或者相应进行编程。但这不排除控制单元22同样可以包括用于读取的机构和/或用于输入的机构以及接口(虚线示出)。

另一所示的监控单元构造为移动的监控单元23。该监控单元可以例如是便携的计算机、专用的维护装置或者移动电话。移动的监控单元23也可以由用户随身携带。监控系统20可以具有内部无线网络24，该内部无线网络与通信接口19连接并且借助通信接口与安全系统10连接。移动的监控单元23在相应构造有无线通信机构的情况下借助无线网24连接或者能够连接到安全系统10上。移动的监控单元23也可以替代性或附加地也具有连接部23.1，凭借该连接部，监控系统例如借助接口21.3或借助监控系统20中的相应接口连接或者能够连接到通信接口19上。

监控系统20还可以具有用于外部网络的接口25。监控系统可以借助接口25例如与有线外部网络26(如因特网)相连接。接口25也可以提供至外部无线网络(例如移动无线电网络27)的连接。不言而喻的是，外部网络也可以是由设备运营商为了远程维护电梯设备1而能提供的专用网络。例如外部维护中心28可以借助有线的外部网络26连接到接口25。在这种情况下，维护中心28(以及外部网络)形成监控系统20的不属于电梯设备1的部件，也就是外部部件。

外部无线网络27可以被用于连接移动监控单元23。如果移动监控单元23例如是移动电话的话，该移动监控单元例如可以借助移动无线电网络27与接口25连接。移动无线电网络27以及移动电话23在这种情况下形成监控系统20的外部部件。

图2示出用于在安全系统10以及监控系统20中执行根据本发明的方法的第一变型的流程50。安全系统10在起始点51时处在实际状态中。在第一步骤52中，安全系统10接收复位请求，该复位请求借助或由监控系统20的内部或外部监控单元21、22、23、28在请求步骤53中传达给安全系统10。复位请求在此由第一子数据组组成，凭借该第一子数据组，复位请求能够由安全系统10对其本身加以识别。在另一子数据组中，可以包括如下的验证编码，该验证编码例如针对产生步骤58中的每个复位请求由系统或用户重新生成。不言而喻的是，验证编码根据安全需要必须适合于实现对复位请求加以可靠的验证。验证编码为此可以例如从预设的列表(勾选列表)中获取或者由独立的装置在时间上同步的时间窗内与额定验证编码一起在安全系统10中生成。验证编码也可以包括对系统或用户的身份验证。

在第一验证步骤54中，验证编码由安全系统10从复位请求中提取。在第二验证步骤56中，所提取的验证编码被与额定验证编码相比较。在此，额定验证编码可以在产生步骤55a中在执行第一验证步骤54期间由安全系统10产生。可替换地，额定验证步骤已经在步骤52期间在接收复位请求时产生(步骤55b)。在此，额定验证编码的产生可以类似于验证编码的产生过程地进行。

当在第二验证步骤56中发现：所提取的验证编码与额定验证编码一致时，验证被评价为有效。安全系统10因而在只要额定状态被评价为安全的情况下被复位到额定状态中(步骤57)。当验证编码与额定验证编码不一致时，复位请求被验证为无效。安全系统10因而留在实际状态51中。必要时，当验证无效时，可以触发警报，该警报指示出未验证的复位请求并且进而指示出潜在的有误功能或者在复位请求时的有误操作。

图3示出用于在安全系统10以及监控系统20中执行根据本发明的方法的第二变型的另一流程60。安全系统10在起始点61时处在实际状态中。在第一步骤62中，安全系统10接收复位请求，该复位请求借助或由监控系统20的内部或外部的监控单元21、22、23、28在请求步骤63中传达给安全系统10。复位请求可以在这种情况下仅包括单个数据组，该数据组唯一地对复位请求本身加以识别。不言而喻地，也可以传送附加的数据，例如对传达复位请求的控制单元的识别。

基于从监控系统20接收复位请求的步骤62，安全系统10在产生步骤64中针对验证请求例如产生提问编码。与该产生步骤同时可以执行另一产生步骤65a，凭借该步骤产生作为额定验证答复的属于提问编码的额定答复编码，并且将其存储在安全系统中。提问编码和额定答复编码在此可以彼此一一对应。在提问编码产生64后，将该提问编码在传达步骤66中从安全系统10传达给监控系统20，并且在其中得到接收(步骤67)。在此，提问编码可以有针对性地传达给监控系统20的特定的监控单元21、22、23、28。这不需要与将复位请求传达给安全系统10的监控单元21、22、23、28相同。

在监控系统20中，基于对提问编码的接收67，产生了作为验证答复的答复编码(步骤68)。这可以自动地由相应的监控单元21、22、23、28的开关电路或相应编程的计算单元进行。可替换地，为此可以例如由用户将独立的释放装置(未示出)例如经由接口21.3连接到相应的监控单元。在另一变型中，提问编码例如可视地显示在监控单元21、22、23、28上，只要该监控单元是相应构造的。提问编码可以在这种情况下，由用户读取，以便产生答复编码(步骤68)。为此，用户可以应用其知晓的、用以产生答复编码的规则，或者例如利用独立的、被构造用于在输入提问编码时产生答复编码的装置。

在传达步骤69中，答复编码由监控系统20传达给安全系统。在此所用的监控单元21、22、23、28不需要与传达复位请求的监控单元21、22、23、28相同，并且也不需要与提问编码传达给其的监控单元21、22、23、28一致。

在接收步骤70中，答复编码在安全系统10中被接收。相对于产生步骤65a可替换地，额定答复编码在产生步骤65b中在对答复编码进行接收70时才产生。

所接收到的答复编码在比较步骤71中与额定答复编码相比较。当在比较步骤71中发现：答复编码与额定答复编码一致时，则验证被评价为有效。安全系统10因而在只要额定状态被评价为安全的情况下就复位到额定状态(步骤72)。在其他情况下，复位请求被验证为无效。安全系统10因而保留在实际状态61中。

本领域技术人员可以直接得到用于执行根据本发明的方法执行验证的其他有利的变型。

Claims (15)

1.一种用于使电梯设备(1)的安全系统(10)从实际状态(51、61)复位到额定状态(57、72)的方法，在所述实际状态中，所述电梯设备(1)的正常运行不被放行，而在所述额定状态中，所述电梯设备(1)的正常运行被放行，其中，所述安全系统(10)借助至少一个用于数据交换的通信接口(19)与所述电梯设备(1)所配设的、特别是不属于安全系统(10)的监控系统(20)相连接，所述方法包括如下步骤：

a.)在所述安全系统(10)中接收由所述监控系统传达的、从所述实际状态(51、61)复位到所述额定状态(57、72)的复位请求(52、62)，

b.)通过所述安全系统(10)对复位请求执行验证，

c.)通过所述安全系统(10)对验证做出评价，

d.)当验证被所述安全系统(10)评价为有效时，将所述安全系统(10)从所述实际状态(51、61)复位到所述额定状态(57、72)。

2.根据权利要求1所述的方法，其特征在于，验证的实施包括如下步骤：

a.)基于所接收的复位请求，将验证请求(66)、特别是请求编码从所述安全系统(10)传达给所述监控系统(20)，

b.)在所述安全系统(10)中接收由所述监控系统(20)传达的验证答复(70)、特别是答复编码。

3.根据权利要求2所述的方法，其特征在于，对验证的评价包括如下步骤：

a.)特别是如果验证答复包括答复编码连同额定答复编码时，将验证答复与额定验证答复(56、71)加以比较，

b.)当验证答复与额定验证答复一致时，将验证评价为有效。

4.根据权利要求2或3所述的方法，其特征在于，验证请求由所述安全系统针对每个复位请求重新地、特别是随机地产生，并且优选验证请求针对每个复位请求是唯一性的。

5.根据权利要求4所述的方法，其特征在于，所述复位请求恰好对应一个额定验证答复。

6.根据权利要求4至5之一所述的方法，其特征在于，额定验证答复由所述安全系统(10)根据一种规则，特别是一种加密编码基于验证请求而产生，其中，额定验证答复优选在接收到所述验证答复之后才基于所述验证请求而产生。

7.根据权利要求2至6所述的方法，其中，所述监控系统包括下列监控单元中的至少一个：

位置固定的监控单元(21、22、28)，特别是电梯控制器的布置于电梯轿厢(9)中的操作单元或控制单元，

移动的监控单元(23)，所述移动的监控单元借助监控系统(20)与所述安全系统(10)连接或能够连接，其中，所述监控系统(20)优选包括与内部无线网络(24)或外部无线网络(27)的连接件(25)，所述移动的监控单元(23)借助所述内部无线网络或外部无线网络得到连接或能够得到连接，其中，

a.)将验证请求从所述安全系统(10)传达给至少一个所述监控单元，以及

b.)将验证答复从至少一个所述监控单元或从所述监控系统(20)的另一监控单元传达给所述安全系统(10)。

8.根据权利要求7所述的方法，其中，所述至少一个监控单元至少包括用于读取验证请求的机构(21.1、21.3)，以及将所述验证答复传达给所述安全系统的所述监控单元至少包括用于输入验证答复的机构(21.2、21.3)，其中，验证请求借助用于读取的机构(21.1、21.3)来读取，并且所述验证答复借助用于输入的机构(21.2、21.3)来输入。

9.根据权利要求7所述的方法，其中，所述至少一个监控单元具有基于验证请求产生验证答复的机构，其特征在于，验证答复在接收到验证请求时自动地由至少一个监控单元产生并且传达给所述安全系统(10)。

10.根据权利要求1至9之一所述的方法，其特征在于，验证的执行必须在预设的时间段内进行，以便被评价为有效。

11.一种电梯设备(1)，特别是用于执行根据权利要求1至10之一所述的方法，所述电梯设备包括安全系统(10)，所述安全系统能够从实际状态(51、61)、特别是所述电梯设备(1)的正常运行未被放行的状态复位到额定状态(57、72)、特别是所述电梯设备(1)的正常运行被所述安全系统(10)放行的正常状态，其中，所述安全系统(10)借助至少一个用于数据交换的通信接口(19)连接到所述电梯设备(1)所配设的、特别是不属于所述安全系统(10)的监控系统(20)，其特征在于，

所述安全系统(10)包括：

a.)用于接收由所述监控系统传达的、从所述实际状态复位到所述额定状态的复位请求的机构和

b.)用于借助所述监控系统执行对复位请求的验证的机构，以及

c.)用于评价验证的有效性的机构，并且

d.)以如下方式构造：所述安全系统(10)基于被评价为有效的验证而从所述实际状态(51、61)复位到所述额定状态(57、72)。

12.根据权利要求11所述的电梯设备(1)，其特征在于，所述用于执行验证的机构包括：用于将验证请求传达给所述监控系统(20)的传送机构以及用于从所述监控系统(20)接收验证答复的接收结构。

13.根据权利要求11所述的电梯设备(1)，其特征在于，所述安全系统(10)包括：

a.)用于产生、特别是随机产生验证请求、特别是提问编码的机构，以及

b.)用于产生与验证请求对应的额定验证答复、特别是与提问编码相对应的额定答复编码的机构，并且

c.)用于评价验证有效性的机构被构造用于，将从所述监控系统(20)接收的验证答复与额定验证答复相比较。

14.一种根据权利要求11至12之一所述的电梯设备(1)，其特征在于，所述电梯设备(1)所配设的所述监控系统(20)包括下列监控单元中的至少一个、优选多个：

a.)位置固定的监控单元(21、22、28)，特别是电梯控制器的布置于电梯轿厢(9)中的操作单元(21)或控制单元(22)，

b.)移动的监控单元(23)，所述移动的监控单元借助所述监控系统(20)与所述安全系统(10)连接或能够连接，其中，优选所述监控系统(20)包括内部无线网络(24)或用于连接到外部无线网络(27)的接口(25)，借助所述外部无线网络使所述移动的监控单元(23)得到连接或能够得到连接。

15.根据权利要求14所述的电梯设备，其特征在于，所述至少一个监控单元包括：

a.)用于读取验证请求的机构(21.1、21.3)，特别是用于对另一监控单元或用于读取验证答复的移动的释放装置进行连接的接口(21.3)，或者用于可视显示验证请求的显示器(21.1)，和/或

b.)用于输入验证答复的机构(21.2、21.3)，特别是用于对另一监控单元或用于输入验证答复的移动的释放装置进行连接的接口(21.3)，或者用于手动输入验证答复的键盘(21.2)，和/或

c.)用于产生验证答复的机构，特别是开关电路或能够编程的计算单元。