CN111212805A - 用于建筑物的人员运送设备的安全系统 - Google Patents

Abstract

一种用于建筑物的人员运送设备(10)的安全系统(36)包括：安全单元(40)，用于从人员运送设备(10)的组件(26)接收对于安全关键的信号并且用于触发安全措施；以及更新单元(38)，用于经由外部接口(42)接收更新的软件(50)并且用于经由内部接口(52)将更新的软件(50)发送至安全单元(40)。

Description

用于建筑物的人员运送设备的安全系统

技术领域

本发明涉及一种用于建筑物的人员运送设备的安全系统以及一种用于更新该安全系统的软件的方法。

背景技术

建筑物的人员运送设备(例如升降梯、自动扶梯和移动步道)用于在建筑物内运输人员。升降梯设备例如用于在建筑物内在不同楼层之间运送人员。为此目的，升降梯轿厢通常可以在大多竖直的升降梯竖井内移动。在自动扶梯或移动步道的情况下，人员可以站在脚踏单元上沿倾斜或水平的行驶行程被运送。

为了能够确保人员安全，许多的建筑物人员运送设备都具有安全单元，该安全单元从对于安全关键的传感器接收信号，并对信号进行评估，如果发现不安全的状态，则触发安全措施。该安全措施可以例如包括通过将相应的信号传输到建筑物的人员运送设备的控制器来停住建筑物的人员运送设备。例如，在升降梯设备的门上通常安装有开关，利用开关能够检查门是否关闭。如果并非所有门都关闭，则安全单元防止升降梯轿厢在竖井中移动，例如以便防止人员被夹住或掉入竖井中。

由于安全单元通常被大量安装，因此会希望能够在外部例如经由因特网更新安全单元的软件。另一方面，必须保护外部接口免遭未经授权的干预。但是，安全单元的复杂度应保持得尽可能低，以确保安全功能随时且正确地执行。另外，通常必须对人员运送设备的安全单元进行认证，这随着安全单元的复杂性的增加而变得更加复杂，因此成本更高。

WO2016/180484A1、EP2916219A1和US6,170,614B1描述了用于更新升降梯设备的安全监控系统中的软件的方法。

发明内容

总体而言，会需要一种安全系统，该安全系统具有具备受良好保护的更新功能的、简单构造的安全单元。

可以通过独立权利要求的主题满足这种需要。有利的实施方式在从属权利要求和下面的说明书中描述。

本发明的一个方面涉及一种用于建筑物的人员运送设备的安全系统。如已经提到的，建筑物的人员运送设备可以是升降梯设备、自动扶梯系统或移动步道。

根据本发明的一种实施方式，该安全系统包括安全单元，该安全单元用于从人员运送设备的组件接收对于安全关键的信号并且用于触发安全措施。对于安全关键的信号例如可以来自建筑物的人员运送设备的安全传感器和/或可以通过总线发送给安全单元。安全传感器通常可以是对关于建筑物的人员运送设备的组件安全的信息加以检测的所有类型的传感器。针对这种传感器的示例是检测升降梯门是否正常关闭的门关闭传感器。安全单元可以直接与建筑物的人员运送设备的控制器相连接，该控制器例如对驱动器和/或其他促动器(例如开门器)加以控制。该安全措施可以包括例如安全单元向人员运送设备的控制器发送警告信号。如果安全单元发出警告信号，则控制器例如可以阻止驱动器和/或促动器运行。替代向控制器发送警告信号，安全单元还可以中断对人员运送设备的能量供应，从而停止人员运送设备。另外，可以设想其他的安全措施。

该安全系统还包括更新单元，该更新单元用于经由外部接口接收更新的软件并且用于经由内部接口将更新的软件发送至安全单元。外部接口可以例如通过一个或多个数据通信设备(例如路由器)与因特网连接。可以通过外部接口接收更新的软件。在此，更新单元可以检查：软件的提供方或发送者是否被授权和/或可以解密更新的软件。

更新单元和安全单元可以通过内部接口交换数据。对于接口而言，术语“外部”可以表示：能够通过该接口与不属于建筑物的人员运送设备的组件交换数据。相反，对于接口而言，“内部”意味着只能与建筑物的人员运送设备的组件交换数据。例如，更新单元可以将更新的软件直接写入安全单元的存储器中。这样，可以将对于更新所需的安全单元的软件减少到最少。

安全单元和更新单元是分开的单元。安全单元和更新单元具有它们自已的硬件，即每个安全单元和更新单元都可以具有在其上运行其自己的软件组件的单独的硬件。因此，可以尽可能简单地设计安全单元的硬件和软件，这可以提高人身安全性并简化认证。对于安全单元不需要外部接口和复杂的更新的软件。相反，可以针对数据安全性优化更新单元。甚至更复杂的软件(例如用于解密/加密数据的软件)也可以出现在更新单元中，并可以快速处理。更新单元可以保护与安全单元的内部接口。更新单元的认证不是必需的，因此就此而言，更新单元的更大复杂性并不紧要。

安全单元包括第一处理器、第一易失性存储器和第一非易失性存储器。由被更新的软件代替的要被更新的软件可以位于第一非易失性存储器中，例如是闪存。也可以将需要更新的软件理解为安全设备的固件。安全单元可以是可编程逻辑控制器(SPS；英语：Programmable Logic Controller—PLC)。此外，安全单元可以包括端口(通信模块)，用于通过内部接口与其他组件(例如控制器和安全传感器)进行数据通信。

更新单元包括第二处理器、第二易失性存储器和第二非易失性存储器。在更新单元的第二非易失性存储器中，例如可以存储更新软件，该更新软件包括操作系统、用于解密和加密并且用于经由内部和外部接口进行通信等的软件组件。此外，更新单元可以包括用于通过内部接口和外部接口进行数据通信的端口(通信模块)。

根据本发明的一种实施方式，安全单元和更新单元被安装在共同的壳体中。安全单元和更新单元可以是共用的结构组件。两个单元可以安装在同一块电路板上，因此很难在安全单元和更新单元之间搭接线路。但是，也可以将两个单元安装在布置于同一壳体中的单独的电路板上。

根据本发明的一种实施方式，安全系统包括多个(例如冗余的)安全单元。该安全系统还可以由多个安全单元组成：这些安全单元分散地布置并且各自执行不同的任务。可以将更新单元设计为向所有这些安全单元提供更新的软件。安全单元也可以包括由更新单元更新的冗余存储模块。

根据本发明的一种实施方式，用于接收更新的软件并将更新的软件发送到安全单元的更新软件存储在更新单元中。能够以加密形式将更新软件存储在第二非易失性存储器中。更新软件也能够以加密形式存储在受保护的非易失性存储器中。更新软件可以在执行之前由更新单元解密。

根据本发明的一种实施方式，更新单元包括不能通过外部接口改变的、受保护的非易失性存储器。该非易失性存储器(例如受保护的FLASH存储器)可以用于存储受保护的以防被外部接口未经授权的干预所更改的数据。

根据本发明的一种实施方式，更新单元的引导加载程序(Bootloader)被设计用于：解密更新软件并将其加载到更新单元的第二易失性存储器中。引导加载程序可以存储在受保护的非易失性存储器中。更新单元能够以如下方式执行安全的引导过程，使得：不能从外部更改的引导加载程序例如从能够从外部更改的非易失性存储器加载、解密更新的软件，并且在易失性存储器中启动。

根据本发明的一种实施方式，用于安全系统的私钥被存储在受保护的非易失性存储器中。利用该密钥可用于解密通过外部接口接收的数据。以加密形式存储在更新单元中的更新软件也可以使用私钥解密。私钥可以唯一地(一一对应地)分配给更新单元。

根据本发明的一种实施方式，更新的软件的提供方的公用密钥被存储在受保护的非易失性存储器中。使用此公用密钥，可以对提供方进行身份认证和/或为其加密数据。

根据本发明的一种实施方式，更新的软件以未加密的形式存储在安全单元的第一非易失性存储器中。由于安全单元受到更新单元的保护，免受来自外部的未经授权的干预，因此无需针对安全单元实施内部数据安全措施。

如上所述，本发明的另一方面涉及一种用于更新安全系统的软件的方法，如该方法在上下文中介绍的那样。例如所述方法可以由更新单元的处理器并且可选地由安全单元的处理器执行。应该认为，该方法的特征也可以是安全系统的特征，安全系统的特征也可以是该方法的特征。

根据本发明的一种实施方式，该方法包括：通过外部接口对更新的软件的提供方进行身份认证；由更新单元通过外部接口来接收具有更新的软件的数据包；通过内部接口将更新的软件传输到安全单元；以及将更新的软件存储在安全单元的非易失性存储器中。

可以使用提供方的公用密钥进行身份认证，该公用密钥存储在更新单元中。

具有更新的软件的数据包可以包含一个标头或者说头文件(Header)，该标头只能使用安全单元的专用私钥解密。该标头可以包含有关数据包另一部分内容的信息，例如，只有在接收到标头后，提供方才能发送该信息。

例如，数据包仅包括要更新的软件的已更改组件，并且标头可以提供有关用更新的软件替换要更新的软件的哪些部分的情况。

例如，更新的软件可以直接由更新单元存储。然而，安全单元也可以具有自己的更新软件作为软件组件，该软件组件承担更新的软件的存储。

根据本发明的一种实施方式，该方法还包括：由更新单元解密数据包。数据包也可以用私钥解密。但是，至少一部分数据包也可以用更新的软件进行不同方式的加密。

根据本发明的一种实施方式，使用例如在AES(高级加密标准(AdvancedEncryption Standard))中定义的对称加密方法，用更新的软件来加密数据包或数据包的至少一部分。可以将用于对称加密方法的临时密钥与非对称加密方法的密钥(例如上述公用密钥和私有密钥)交换。

根据本发明的一种实施方式，该方法还包括：更新单元在提供方处对更新的软件的常规请求。更新软件可以承担检查是否有可用的更新的软件的任务。为此，例如可以查询存储在更新单元中的地址。

根据本发明的一种实施方式，该方法还包括：请求将更新的软件从更新单元传输到安全单元；以及在安全单元处于正常模式时，防止由安全单元进行传输。在正常模式下或在安全单元监控建筑物的人员运送设备的安全性的监控模式下，安全单元可以阻止经由内部接口的任何通信。

根据本发明的一种实施方式，仅当安全单元处于更新模式时，才传输更新的软件。例如，软件的更新必须由更新单元实施请求。仅当安全单元处于更新模式时(例如，停用建筑物的人员运送设备的所有促动器时)，才能执行软件更新。在更新期间，安全单元可以发出警告信号，警告信号防止激活建筑物的人员运送设备的促动器。

要注意的是，本文参照不同的实施方式描述了本发明的一些可能的特征和优点。本领域技术人员认识到，能够以适当的方式组合、修改或交换这些特征，以便获得本发明的其他实施例。

附图说明

下面参照附图描述本发明的实施例，其中，附图和说明书均不应解释为对本发明的限制。

图1示意性地示出根据本发明的实施方式的具有安全系统的升降梯设备形式的、用于建筑物的人员运送设备。

图2示出根据本发明的实施方式的安全系统。

图3示出根据本发明的另一实施方式的安全系统。

图4示出根据本发明的实施方式的用于更新安全系统的软件的方法的流程图。

这些图仅是示意性的，并且没有按比例绘制。不同附图中的相同附图标记表示相同的或相同作用的特征。

具体实施方式

图1示出呈升降梯设备10形式的、用于建筑物的人员运送设备10。下面以示例的方式介绍升降梯设备。然而，应当认为，其他人员运送设备10(例如自动扶梯或移动步道)也可以具有安全系统，这如下所述那样。

升降梯设备10包括升降梯竖井12，升降梯轿厢14和对重16能够在升降梯竖井12中移动。为此，升降梯轿厢14和对重16被保持在绳索或皮带状的承载机构18上，该绳索或皮带状的承载机构18可以通过驱动机器20来驱动。升降梯设备10以及特别是驱动机器20的操作可以借助于中央控制单元22来控制。

为了能够确保升降梯设备10的正确功能以及尤其是安全性，在容纳升降梯设备10的建筑物24中容纳多个安全传感器26。这些安全传感器26分散地布置在建筑结构24中。安全传感器26可以例如包括门开关28或者可以与门开关28连接，门开关28可以监控升降梯设备10的门30，特别是楼层门的关闭状态。还可以将梯子32放置在升降梯竖井12的例如地面或井坑附近，例如通过与安全传感器26连接的开关33来监控梯子32在升降梯竖井12的侧壁上的正确安排的定位。

安全传感器26可以例如经由串行总线34与安全系统36连接，如果信号指示出存在安全问题，则安全系统36基于来自安全传感器26的信号来生成警告信号。当控制器22接收到警告信号时，它可以例如停止操作升降梯设备10或阻止其开始运行。

图2示出了安全系统36，其包括更新单元38和一个或多个安全单元40、40’、40”。更新单元38可以经由外部接口42与数据通信单元44交换数据，该数据例如经由互联网46由诸如互联网服务器的提供方48提供。特别地，提供方可以为安全单元40、40’、40”提供更新(后)的软件50，然后，更新的软件由更新单元38经由外部接口42下载并且在必要时解密。然后，通过内部接口52将更新的软件50导入一个或多个安全单元40、40’、40”中。

数据通信单元44可以是例如经由LAN(局域网(local area network))与更新单元38连接的路由器或移动无线电单元。例如，可以使用以太网来操作外部接口。

更新单元38可以是“嵌入式设备(embedded device)”，即为外部接口42和内部接口52提供相应的输入/输出组件的计算机。

一个或多个安全单元40、40’、40”也可以是嵌入式设备，其为内部接口52、安全传感器26和中央控制器22提供相应的输入/输出组件。一种可能性是，其中一个或多个安全单元40、40’、40”包括可编程逻辑控制器(SPS)。

可行的是，存在冗余的安全单元40、40’，该冗余的安全单元产生用于中央控制器22的警告信号。例如，冗余的安全单元40、40’可以彼此监控故障。可以在嵌入式设备和/或可编程逻辑控制器(SPS)中实现冗余安全单元40、40’。另外可行的是，另一安全单元40”产生用于设备10的另一控制器22”的另一警告信号。例如，具有多个驱动器20的升降梯设备可以具有多个控制器22、22’，当安全传感器26报告问题时，所有这些控制器都停止。

一个或多个安全单元40、40’、40”例如经由作为内部接口52的串行总线与更新单元38连接。通过将安全系统分成单元38、40、40’、40”(这些单元都具有自己的计算机)，外部通讯和内部软件更新可以通过内部接口52相互分开。更新单元38能够以如下方式运行和优化，使得：数据安全性尽可能地高。一个或多个安全单元40、40’、40”能够以如下方式运行和优化，使得人身安全性尽可能地高并且结构尽可能简单。

图3示出了安全系统36，其中，更新单元38和安全单元40作为共用组件在共用的壳体54中提供。例如，更新单元38和安全单元40可以安装在共用的电路板上。

安全单元40(例如可编程逻辑控制器(SPS))包括：第一处理器56、第一易失性存储器58(例如RAM)和第一非易失性存储器60(例如闪存)。待更新的软件或固件62位于非易失性存储器中，待更新的软件或固件评估来自安全传感器26的信号并生成警告信号。软件62还可以包括负责对软件62更新的软件组件。

安全单元40还包括用于与更新单元38通信的输入/输出组件64。安全单元40和更新单元38之间的总线或数据通信线路可以完全容纳在壳体54中。按照这种方式，也不能从外部进行任何操作。

安全单元40还包括用于与控制器22和/或安全传感器26通信的输入/输出组件66。输入/输出组件66能够以如下方式配置，使得不能经由该输入/输出组件来更新软件62。例如，输入/输出组件66可以是纯模拟的。

更新单元38(例如嵌入式设备)包括：第二处理器68、第二易失性存储器70(例如RAM)和第二非易失性存储器72(例如FLASH存储器)。如下的软件或固件74位于非易失性存储器中：这些软件或固件负责与提供方48进行通信以及负责接收、解密和发送要更新的软件50。

此外，更新单元38可以包括受保护的非易失性存储器76，该受保护的非易失性存储器76被保护免于经由外部接口42被更新。例如，受保护的非易失性存储器76可以是FLASH存储器或EPROM，其只能通过在安全系统36中的机械干预(例如打开外壳54)被改变。

引导加载程序78可以位于受保护的非易失性存储器76中，引导加载程序对软件74进行解密，该软件只能以加密形式存储在存储器72中，并将该软件加载到易失性存储器70中。软件74也可以是至少部分地位于受保护的非易失性存储器76中。

在受保护的非易失性存储器76中，还可以存在用于更新单元38的私钥80，例如，可以使用私钥80对软件74进行解密。

另外，在受保护的非易失性存储器76中可以包含更新的软件50的提供方48的公用密钥82，例如，当与提供方48建立数据通信时，可以使用该公用密钥对提供方48进行身份认证。

更新单元38还包括用于与安全单元40通信的输入/输出组件84和用于例如通过以太网与数据通信单元44通信的输入/输出组件86。

应该认为，图2中所示的安全单元40、40’、40”与图3所示的安全单元40相同地构造。相同的方案适用于更新单元38和安全系统36。

图4示出用于更新安全系统36的软件的方法的流程图，该方法如在先前的附图中所示那样。

在步骤S10中，更新单元38在提供方48处通过外部接口42定期询问：是否有更新的软件50。例如，这可以每天进行一次。在此，更新的软件50的提供方48也可以被验证身份，即，可以检查提供方48是否真的是应当向其请求更新的软件50的提供方。身份验证可以例如通过公用密钥82进行。

例如，提供方48可以是由制造商和/或维护人员为系统10提供的用于软件更新的服务器。

如果存在更新的软件50，则在步骤S12中更新单元38经由外部接口42接收具有更新的软件50的数据包88。例如，可以首先接收数据包88的标头90，在标头中存储关于更新的软件50的范围的信息。可能并没有存储所有需要更新的软件62，而是仅一部分软件应被更新。这可以存储在标头90中。

数据包88或其主体和/或更新的软件50也可以使用对称加密方法来加密。为此，可以使用两个秘钥80、82确定关联的临时秘钥。

如果数据包88或更新的软件50被加密，则更新单元38在步骤S14中执行解密。这时，更新的软件50以解密的形式存在于更新单元38的易失性存储器70中。

对于内部接口52，可以在更新单元38和安全单元40之间存在更新协议，该更新协议尤其确保：仅当安全单元40处于更新模式时才传输更新的软件50。

为此目的，更新单元38可以在步骤S16中经由内部接口52向安全单元40询问：安全单元40是否准备好传送更新的软件50。如果还没有，例如因为安全单元处于正常模式，可以阻止这种传输。

此外，在该请求之后，安全单元40可以主动地切换到更新模式或等待机会(例如当系统10被停用时)来切换到更新模式。如果安全单元40处于更新模式，则安全单元可以经由内部接口52相应地通知更新单元38。

在步骤S18中，如果安全单元40处于更新模式，则通过内部接口52将更新的软件50发送到安全单元40。可以将更新的软件50以未加密形式存储在安全单元40的非易失性存储器60中。

总之，应当指出，诸如“具有”、“包括”等术语不排除其他元件或步骤，诸如“一个”或“一”等术语不排除多个。此外，应当指出，已经参考上述示例性实施例之一描述的特征或步骤也可以与上述其他示例性实施例的其他特征或步骤结合使用。权利要求中的附图标记不应视为限制。

Claims (14)

1.一种用于建筑物的人员运送设备(10)的安全系统(36)，所述安全系统(36)包括：

安全单元(40)，用于从人员运送设备(10)的组件(26)接收对于安全关键的信号并且用于触发安全措施；

更新单元(38)，用于经由外部接口(42)接收更新的软件(50)并且用于经由内部接口(52)将更新的软件(50)发送至安全单元(40)，

其特征在于，

安全单元(40)包括第一处理器(56)、第一易失性存储器(58)和第一非易失性存储器(60)，以及

更新单元(38)包括第二处理器(68)、第二易失性存储器(70)和第二非易失性存储器(72)。

2.根据权利要求1所述的安全系统(36)，其中，

安全单元(40)和更新单元(38)被安装在共同的壳体(54)中。

3.根据前述权利要求中任一项所述的安全系统(36)，其中，

安全系统(36)包括多个安全单元(40、40’、40”)；

更新单元(38)设计用于，为安全单元(40、40’、40”)提供更新的软件(50)。

4.根据前述权利要求中任一项所述的安全系统(36)，其中，

在更新单元(38)中存储更新软件(74)，用于接收更新的软件(50)以及用于将更新的软件(50)发送给安全单元(40)；

更新软件(74)以加密的形式存储在第二非易失性存储器(72)中。

5.根据前述权利要求中任一项所述的安全系统(36)，其中，

更新单元(38)包括受保护的非易失性存储器(76)，所述受保护的非易失性存储器不能通过外部接口(42)改变。

6.根据权利要求5所述的安全系统(36)，其中，

更新单元(38)的引导加载程序(78)被设计用于，将更新软件(74)解密并且加载到更新单元(38)的第二易失性存储器(70)中。

7.根据权利要求5或6所述的安全系统(36)，其中，

用于安全系统(36)的私钥(80)存储在受保护的非易失性存储器(76)中；和/或

更新的软件(50)的提供方(48)的公用秘钥(82)存储在受保护的非易失性存储器(76)中。

8.根据前述权利要求中任一项所述的安全系统(36)，其中，更新的软件(50)以未加密的形式存储在安全单元(40)的第一非易失性存储器(60)中。

9.一种用于对根据前述权利要求中任一项所述的安全系统(36)的软件进行更新的方法，所述方法包括：

通过外部接口(42)对更新的软件(50)的提供方(48)进行身份验证；

由更新单元(38)通过外部接口(42)接收具有更新的软件(50)的数据包(88)，所述更新单元具有第二处理器(68)、第二易失性存储器(70)和第二非易失性存储器(72)；

将更新的软件(50)通过内部接口(52)传输到安全单元(40)，所述安全单元具有第一处理器(56)、第一易失性存储器(58)和第一非易失性存储器(60)；

将更新的软件(50)存储在安全单元(40)的第一非易失性存储器(60)中。

10.根据权利要求9所述的方法，所述方法还包括：

通过更新单元(38)对数据包(88)加以解密。

11.根据权利要求10所述的方法，其中，

数据包(88)至少部分地利用对称的加密方法加密。

12.根据权利要求9至11中任一项所述的方法，所述方法还包括：

由更新单元(38)在提供方(48)处定期询问是否有更新的软件(50)。

13.根据权利要求9至12中任一项所述的方法，所述方法还包括：

请求将更新的软件(50)从更新单元(38)传输到安全单元(40)；以及

在安全单元(40)处于正常模式时，防止由安全单元进行传输。

14.根据权利要求9至13中任一项所述的方法，其中，

仅当安全单元(40)处于更新模式中时，才传输更新的软件(50)。

Images