CN111295350A - 用于监控人员运送设备中的对于安全关键的状态的安全监控装置以及用于运行这种安全监控装置的方法 - Google Patents

Abstract

介绍了一种安全监控装置(67)，用于监控人员运送设备(1)中的对于安全关键的状态，具有第一和第二双触点继电器(69、71)，其分别受控制电压控制地将第一工作触点(77、79)和第二工作触点(81、83)以及反馈触点(85、87)彼此同步地在断开的和闭合的继电器状态之间切换。具有第一和第二控制器(89、91)，分别用于确定人员运送设备(1)的与对于安全关键的状态相对应的特性以及用于根据所确定的特性生成对应第一和第二双触点继电器(69、71)的控制电压。借助两个双触点继电器(69、71)和两个控制器(89、91)形成第一安全监控开关结构(93)，用于监控第一对于安全关键的状态以及用于相应地切换人员运送设备(1)的安全监控链(41)内的第一开关状态，以及形成第二安全监控开关结构(95)，用于监控第二对于安全关键的状态以及用于相应地切换人员运送设备(1)的安全监控链(41)内的第二开关状态。第一安全监控开关结构(93)包括第一双触点继电器(69)的第一工作触点(77)并且与所述第一工作触点串联连接地包括第二触点继电器(71)的第一工作触点(79)。第二安全监控开关结构(95)包括第一双触点继电器(69)的第二工作触点(81)并且与所述第二工作触点并联连接地包括第二触点继电器(71)的第二工作触点(83)。

Description

用于监控人员运送设备中的对于安全关键的状态的安全监控 装置以及用于运行这种安全监控装置的方法

技术领域

本发明涉及一种用于监控人员运送设备中的对于安全关键的状态的安全监控装置。此外，本发明涉及一种具有这种安全监控装置的人员运送设备。本发明还涉及一种用于监控这种安全监控装置的功能的方法。

背景技术

呈升降梯、自动扶梯或移动步道形式的人员运送设备用于在建筑物内运送人员。在此，人员运送设备固定地安装在建筑物中。对于升降梯的情况，升降梯轿厢可以在不同楼层之间沿竖向移动。在自动扶梯或移动步道的情况下，可以使乘客站在台阶上沿着倾斜或水平的行驶行程得到运送。

为了能够确保乘客的安全，应该在人员运送设备内监控其多个部件的对于安全关键的当前状态，以便例如能够适当且安全地操作或控制人员运送设备的其他部件。为了能够监控人员运送设备的部件的这种对于安全关键的状态，通常在人员运送设备的相应部件上或各个部位上设置有传感器和/或开关。来自这种传感器或开关的信号可以提供给人员运送设备的控制器，使得在控制人员运送设备的功能时可以将这些信号考虑在内，从而可以确保人员运送设备的安全运行。

在DE19849238、CN102190216、WO2000/051929和WO2017/008849中主要给出了用于人员运送设备的安全装置及其运行方式的示例。

下面，在呈升降梯形式的人员运送设备的示例中，对这里呈现的本发明的实施例的细节加以阐释。然而，升降梯的特征能够以类似的方式转用到其他人员运送设备，例如自动扶梯或移动步道。

为了确保升降梯的安全运行，通常在升降梯中使用所谓的安全监控链。在此，安全监控链包括大量传感器和/或开关，借助这些传感器和/或开关，可以确定有关升降梯部件当前对于安全关键的状态的信息。

例如，通常在轿厢门和多个竖井门中的每一个上分别设置门开关，只要门相应地关闭，门开关就闭合。多个门开关在安全监控链内串联连接，因此，仅当每个门开关都闭合时，安全监控链才作为一个整体闭合。在这种情况下，与安全监控链相连的升降梯控制器被允许或能够：仅当安全监控链整体闭合并且因此出发点为所有的轿厢门和竖井门均已关闭时，才使升降梯轿厢在升降梯竖井内移动。

安全监控链可以另外包括其他开关和/或传感器。例如，可以在升降梯中设置所谓的轿厢紧急限位开关(KNE开关)，其通常是闭合的，并且一旦升降梯轿厢移出例如朝向升降梯竖井天花板的方向或朝向升降梯竖井底面的方向行驶超出允许的行驶行程时，轿厢紧急限位开关便被操作断开。可替代地，可以设置有传感器件，该传感器件通过如下方式来实现KNE开关的功能，即：可以使用传感器件来确定升降梯轿厢在升降梯竖井内的当前位置并且当升降梯轿厢移动超出允许的行驶行程时可以识别出来，然后传感器件使得安全监控链中断。这样可以确保：升降梯轿厢离开其允许的行驶行程后，立即中断安全监控链。

此外，作为如下规则的例外(根据该规则，只要轿厢门或竖井门之一打开，升降梯轿厢就决不能移动)，可以在升降梯中设置有如下措施，其使得：在预定的特殊情况下，尽管至少一个门是打开的，在升降梯轿厢未停止或者升降梯轿厢还是在行驶时，仍然打开该门。例如，可能期望：稍早于升降梯轿厢到达目标位置之时就已经开始打开门，并停在目标位置上，以便以此方式加速开门过程并减少停留在目标位置的时长。为此目的，例如可以与串联连接的门开关并联地设置有可开关的连接，该连接可以暂时闭合以临时桥接门(UET开关)，以便能够在不中断地安全监控链的情况下打开门。一旦例如借助使用传感器件发现升降梯轿厢足够接近期望的目标位置，即例如距目标位置小于20cm或小于10cm，则UET开关可以闭合，进而安全监控链的包括门开关在内的区域可以桥接。

可以直接借助开关来检测对于安全关键的状态，并且可以将该开关集成到安全监控链中。

可替代地，例如可以使用传感器件来监控对于安全关键的状态。在这种情况下，传感器件可以借助于控制器结构来评估反映对于安全关键的状态的信号，以便然后能够适当地操作集成到安全监控链中的开关。对于这种实施方式，特别是可以将继电器用作集成到安全监控链中的开关，该继电器可以借助由控制器结构适当地产生的控制电压以期望的方式进行切换。

为了能够确保足够的安全性，控制器结构和继电器结构通常冗余地设计。例如，继电器结构包括两个串联连接的继电器，必须由控制器结构将这两个继电器置于闭合状态，以便闭合安全监控链中的所属的开关状态。

特别是由于要保持大量可用的部件及其相互连接，实施安全监控装置的耗费会是相当大的。

发明内容

因此，需要一种安全监控装置，通过这种安全监控装置减少了上述耗费。此外，需要配备有这种安全监控装置的人员运送设备。还需要一种方法，通过该方法可以监控这种安全监控装置的功能。

通过独立权利要求之一的主题可以满足这种需求。在从属权利要求和后面的说明书中限定出有利的实施方式。

根据本发明的第一方面，提出了一种用于监控人员运送设备中的对于安全关键的状态的安全监控装置。该安全监控装置具有第一和第二双触点继电器以及第一和第二控制器。两个双触点继电器均设计为，分别在控制电压的控制下，在断开和闭合的继电器状态之间彼此同步地切换第一工作触点、第二工作触点和反馈触点。这两个控制器被设计为，分别确定与对于安全关键的状态相对应的人员运送设备的特性，并根据确定的特性生成第一和第二双触点继电器的控制电压。在此，借助两个双触点继电器和两个控制器形成第一和第二安全监控开关结构。第一安全监控开关结构被设计用于监控第一对于安全关键的状态并且用于在人员运送设备的安全监控链内相应地切换第一开关状态。第二安全监控开关结构被设计用于监控第二对于安全关键的状态并且用于在人员运送设备的安全监控链内相应地切换第二开关状态。在此，第一安全监控开关结构包括第一双触点继电器的第一工作触点以及与该第一工作触点串联连接地包括第二双触点继电器的第一工作触点。第二安全监控开关结构包括第一双触点继电器的第二工作触点，以及与该第二工作触点并联连接地包括第二双触点继电器的第二工作触点。

根据本发明的第二方面，提出了一种人员运送设备，其具有根据本发明的第一方面的实施方式的安全监控装置。

根据本发明的第三方面，提出了一种根据本发明的第一方面的实施方式的用于监控安全监控装置的功能的方法。该方法至少包括以下步骤：

(a)改变由第一和第二控制器产生的控制电压，以使第一和第二双触点继电器中的一个交替短暂地切换到其断开的继电器状态，然后再次回到其闭合的继电器状态，并且第一和第二双触点继电器中的至少一个始终处于闭合状态，并且

(b)监控：两个双触点继电器的反馈触点是否始终指示的是如下的继电器状态：该继电器状态指示出当前正受控制的继电器状态。

本发明的各个方面的实施方式的可行的特征和优点尤其可以在不限制本发明的情况下被视为基于以下描述的构思和认知。

如在引言中已经提到的，在用于人员运送设备的常规安全监控装置中部分地使用安全监控开关结构，以便监控人员运送设备内的对于安全关键的状态，其中，安全监控装置具有用于确定人员运送设备内的与要监控的状态相对应的特性的控制器，以及用于断开或闭合安全监控链中的触点的继电器。

通常对于每个要监控的对于安全关键的状态，提供一种具有一个或多个单独的控制器和继电器的安全监控开关结构。在此，为了监控对于安全特别关键的状态，两个继电器以冗余方式串联连接。因此，对于每个要监控的对于安全关键的状态，必须至少提供一个控制器和一个继电器，但在许多情况下，必须提供两个控制器和两个继电器。

由此，需要保有在人员运送设备中的继电器的数目会变大，由此可能伴随着，明显的设置和维护成本以及相应的成本。

为了能够减少这种耗费和成本，建议：在安全监控装置中使用双触点继电器代替单一继电器，并以有利的方式将双触点继电器互连，并由两个控制器控制双触点继电器。

与单一继电器相似，在控制电路中施加到继电器上的控制电压可用于像开关一样断开或闭合继电器。控制电压可以例如引起电流通过线圈，于是，线圈产生吸引或排斥电枢的磁场。然后，以这种方式移动的电枢可以使工作触点的臂彼此靠近或彼此远离地移动。在使用单一的继电器的情况下，仅断开或闭合单个的工作触点。

相反，在双触点继电器的情况下，两个工作触点同时地、即彼此同步地由一个且为同一电枢驱动的情况下断开或闭合。因此，双触点继电器不仅可以断开或闭合一个工作电路中的一个开关，而且可以通过控制电压的控制使两个不同工作电路中的两个开关彼此同步地断开或闭合。

在此，双触点继电器的结构耗费和相关的成本仅比单一的继电器略高，并且通常大大低于对应两个单独的单一继电器的相应耗费和成本。

类似于单一继电器的情况，也可以在双触点继电器中设置所谓的反馈触点，该触点与两个工作触点同步移动。反馈触点可以用于例如检查：工作触点在施加控制电压后是否真正断开。与此相应地，可以通过监控反馈触点来发现：例如当双触点继电器有故障并且不再正确切换的情况。特别地，可以发现工作触点的相邻臂例如被无意间焊接或彼此粘连，从而尽管施加了相应的控制电压也不再正确地断开的情况。

在这里提出的安全监控装置中，两个其中所设置的双触点继电器可以有利地以如下方式接线，使得双触点继电器形成两个安全监控开关结构，通过所述安全监控开关结构可以监控两个不同的对于安全关键的状态，并且相应地切换处人员运送设备的安全监控链内所属的开关状态。与常规的安全监控装置相反，在此可以在切换开关状态时实现期望的冗余，而不必为每个要切换的开关状态设置至少两个单独的继电器。取而代之地，可以将两个双触点继电器集成到人员运送设备的安全监控链中，也就是与安全监控链的其他部件连接，使得：利用仅两个双触点继电器就能在对被监控的两个对于安全关键的状态做出响应的情况下，在安全监控链内切换出所有希望的开关状态。

例如，为了监控两个不同的对于安全关键的状态并能够以冗余方式切换出安全监控链中的相应开关状态，不像以前那样，需要至少四个继电器，而仅需要两个双触点继电器。这样可以大大减少成本耗费。

为了实现继电器的这种节省，为了形成第一安全监控开关结构，第一双触点继电器的第一工作触点与第二双触点继电器的第一工作触点串联连接。为了形成第二安全监控开关结构，第一双触点继电器的第二工作触点和第二双触点继电器的第二工作触点彼此并联连接。

通过适当地控制两个双触点继电器中的每一个，通过两个安全监控开关结构中的这种连接，能够以期望的方式产生不同的开关状态。例如，仅当两个双触点继电器的两个串联的第一工作触点都闭合时，即如果两个控制器都控制两个双触点继电器闭合时，第一安全监控开关结构才完全闭合。与此相反，当两个彼此并联连接的第二工作触点中的仅一个闭合时，即当至少一个双触点继电器被控制器中的一个控制以闭合时，则第二安全监控开关结构已经闭合，并且仅当两个双触点继电器的两个第二工作触点都断开时，第二安全监控开关结构才断开。

根据一种实施方式，安全监控装置被设置为，考虑到对第一对于安全关键的状态的监控需要比对第二对于安全关键的状态的监控更高的安全完整性等级。

换句话说，这里提出的两个双触点继电器的特殊电路可以有利地特别是在一种情况下使用，其中借助于人员运送设备内的安全监控装置来监控两个不同的对于安全关键的状态，这两个状态在安全完整性等级方面存在很大差异。与两个双触点继电器的两个第二工作触点彼此并联接线的第二安全监控开关结构相比，具有第一和第二双触点继电器的两个串联连接的第一工作触点的第一安全监控开关结构可以确保更高的安全完整性等级。

对于安全完整性等级(有时也称为安全要求等级或SIL(安全完整性等级))应理解为表示功能安全领域的术语，如其例如在国际标准IEC62508/IEC61511介绍那样。安全完整性等级用于评估电气、电子或可编程电子系统的安全功能可靠性。例如基于期望的水平获得必须遵守的对于安全关键的结构原理，以最大程度地降低故障风险。通常，根据国际标准将安全完整性等级分为四个等级SIL1至SIL4，其中，SIL4是最安全的等级。

特别地，根据一种实施方式，可以将安全监控装置配置为：考虑到对第二对于安全关键的状态的监控需要安全完整性等级SIL1，并且对第一对于安全关键的状态的监控至少需要安全完整性等级SIL2。

换句话说，可以将用于监控第一对于安全关键的状态的第一安全监控开关结构设计为，使第一安全监控开关结构可以根据安全完整性等级SIL2或者甚至SIL3的更高要求来执行其监控功能，而设计用于监控第二对于安全关键的状态的第二监控开关结构可以设计如下，使其只能对应于安全完整性等级SIL1的较低要求来执行其监控功能。

根据一种实施方式，第一对于安全关键的状态可以指示出或者说表示：安全监控链的对人员运送设备的门的关闭状态加以监控的部分是否允许暂时短接。这里，通过第一开关状态切换为闭合，安全监控链中对人员运送设备门关闭状态加以监控的部分可以暂时短接。

换句话说，由第一安全监控开关结构监控的第一对于安全关键的状态可以包含关于例如是否存在可以暂时忽略轿厢门和竖井门的实际关闭状态以及例如尽管轿厢门或竖井门打开，升降梯轿厢仍可移动的当前条件的信息。例如，如果轿厢离目标位置非常近(例如＜20cm)，也就是例如在楼层上停靠时，并且相应的门被允许在实际到达目标位置之前已经打开，则会存在这种对于安全关键的状态。例如，这可以通过分析升降梯轿厢在升降梯竖井内的当前位置来识别。在这种情况下，有关轿厢当前位置的信息可以解释为表示对于安全关键的状态，在该状态下，可以暂时忽略人员运送设备门的关闭状态，因此安全监控链的对关闭状态加以监控的部分可以暂时被短接。

如果已经识别出提到的条件，则第一控制器和第二控制器可以适当地控制两个双触点继电器，使得两个双触点继电器都变为其闭合的继电器状态。然后，两个双触点继电器的两个第一工作触点闭合，从而对于在第一安全监控开关结构的范围内的双触点继电器的串联接线，整体上获得一种闭合的状态。在这种闭合的状态下，第一安全监控开关结构可以闭合与安全监控链的对人员运送设备的门的关闭状态加以监控的部分并联分布的电路，从而可以使对门的监控呈UET触点的形式像在旁路一样被暂时短接。

根据另一实施方式，第二对于安全关键的状态可以指示：升降梯轿厢是否已经移动超过允许的行驶区域。在这种情况下，可以通过断开切换到第二开关状态来中断安全监控链。

换句话说，由第二安全监控开关结构监控的第二对于安全关键的状态可以包括关于升降梯轿厢的当前位置的信息，从而可以确定升降梯轿厢当前是否在其允许的行驶区域内、即例如处在升降梯竖井的最上方允许端位置与最下方允许端位置之间，或者升降梯轿厢是否例如由于故障而离开其允许的行驶区域，并且已经移动高出上方允许端位置或低于下方允许端位置。

如果已经识别出这种情况，则第一控制器和第二控制器能够以合适的方式控制两个双触点继电器，从而两个双触点继电器都变为其断开的继电器状态。然后，两个双触点继电器的两个第二工作触点都断开，从而对于在第二安全监控开关结构的范围内的并联接线，整体上获得一种断开的状态。在这种断开的状态下，当第二安全监控开关结构例如与人员运送设备的安全监控链的其余部分串联连接时，第二安全监控开关结构可以像开关断开那样起作用并因此暂时中断安全监控链。由此，阻止了升降梯的运行，特别是阻止了升降梯轿厢进一步行驶超出相应的终端位置。

根据另一实施方式，安全监控装置还具有多个串联连接的第三安全监控开关结构，用于监控第三对于安全关键的状态。

换句话说，除了已经讨论过的例如实现UET开关和KNE开关的任务的第一和第二安全监控开关结构之外，安全监控装置还可以具有其他的安全监控开关结构，通过这些其他的安全监控开关结构，能够实现其他的任务或功能。

这些第三安全监控开关结构可以是例如门开关，通过该门开关可以监控升降梯门、特别是轿厢门或竖井门中的一个的关闭状态。多个第三安全监控开关结构可以串联连接，使得它们可以形成人员运送设备的安全监控链的一部分。在此，在第三安全监控开关结构的提到的作为门开关的示例中，串联连接确保：所有的门进而还有所有的门开关都必须闭合，以使安全监控链的所提到的部分作为整体闭合。

在安全监控装置的这种构造中，第一安全监控开关结构可以与第三安全监控开关结构的串联结构并联连接，并且第二安全监控开关结构可以与第三安全监控开关结构的串联结构串联连接。

换句话说，第一安全监控开关结构能够以其两个双触点继电器的两个串联接线的第一工作触点与第三安全监控开关结构的串联电路并联接线。在这种情况下，一旦两个第一工作触点都闭合，即，一旦第一开关状态是闭合的，则第一安全监控开关结构形成与第三安全监控开关结构的串联电路并联的旁路，并由此能够像UET开关一样以受控方式桥接该旁路。

第二安全监控开关结构能够以其两个双触点继电器的两个并联连接的第二工作触点与由第三安全监控开关结构构成的串联电路串联连接。只要双触点继电器中的至少一个闭合，在这里也保持闭合形成第二开关状态，从而安全链的由第三安全监控开关结构和第二安全监控开关结构形成的部分保持闭合。仅当两个双触点继电器同时断开并且第二开关状态也断开时，安全链的此部分才断开。因此，第二安全监控开关结构可以像KNE开关一样临时中断安全链。

根据一种实施方式，第一和第二控制器可以分别设计为对于与安全相关的可编程逻辑控制器。

可编程逻辑控制器(SPS；英文：Programmable Logic Controller-PLC)是通常可用于控制或调节设备或机器的装置。可编程逻辑控制器正逐渐取代传统的固定连线的连接编程控制器。在此，可以有利地利用的是，SPS基于数字的方式编程，因此可以适应不同的任务。在最简单的情况下，SPS具有输入端、输出端、操作系统以及必要时还有接口，通过该接口可以加载用户程序。用户程序可以编程规定：输出端应当如何根据输入端接线，以使设备或机器以所希望的方式发挥作用。操作系统例如能够以固件的形式保持最新状态。除了其控制和调节的核心任务外，SPS还可以执行其他任务，例如数据的可视化、例如以人机界面的形式的界面的构造、报警和/或记录操作消息(数据日志)。

对于安全关键的SPS(SSPS；英文：safety PLC)代表SPS的特殊实现方案。在此，对于安全关键的SPS在其部件方面具有很大程度的冗余设计，并且通常以这样的方式进行设计：在出现部件故障或者在冗余部件之间发生冲突时，对于安全关键的SPS将转移到预定的安全状态。

在此，在架构、输入端和输出端方面，对于安全关键的SPS与常规SPS明显不同。例如，常规的SPS通常具有执行程序的微处理器、用于存储程序的非易失性存储器、用于例如执行计算的易失性存储器(RAM)、例如用于数据通信的端口以及用于检测和监控设备或机器的I/O端口。相反，对于安全关键的SPS通常具有至少两个相应的部件，所述部件彼此连续地监控或由所谓的看门狗电路(watch dog circuit)监控。

常规SPS的输入端通常不具有用于测试输入电路的功能的机构。与此相反，对于安全关键的SPS通常具有一个内部输出电路，该内部输出电路对应于每个输入端，并且可以使用该输出电路测试各个输入端。

类似地，常规的SPS通常只有一个输出开关，而对于安全关键的SPS通常在位于输出驱动器后面的两个安全开关中的每个后面都有一个测试点，并在输出驱动器的下游有一个第三测试点。两个安全开关中的每一个通常由唯一的微处理器控制。如果例如由于开关或微处理器或输出驱动器下游的测试点的错误而在两个安全开关之一中检测到错误，则对于安全关键SPS的操作系统将自动检测系统错误和对于安全关键的SPS将进入预定义状态，例如可以按规定关闭系统。

因为这两个控制器被设计为对于安全关键的SPS，所以这两个控制器一方面适合于例如适配为不同类型的升降梯的改装设备。另一方面，控制器或配备有该控制器的安全监控装置可以确保配备有该控制器的人员运送设备的高度安全性。

根据一种实施方式，安全监控装置可以被配置为执行或控制根据本发明的第三方面的实施方式的方法。

为此，例如可以将安全监控装置的设计为SPS或对于安全关键的SPS的第一和第二控制器以如下方式编程，以使其产生的控制电压发生变化，以使得两个双触点继电器中的至少一个始终处于闭合的继电器状态，但也可以将两个双触点继电器之一暂时切换到其断开的继电器状态，然后又切换回其闭合的继电器状态。在此，始终监控：双触点继电器的所属的反馈触点是否遵循生成的控制电压，即反馈触点是否指示实际由关联控制器触发的继电器状态，或者是否由于双触点继电器内部故障而使得实际继电器状态与所希望的受控的继电器状态不符。

根据该方法的一种实施方式，在两个双触点继电器的反馈触点未指示出表示当前激活的继电器状态的继电器状态的情况下，两个控制器以如下方式产生控制电压，使得第一和第二双触点继电器切换到其断开的继电器状态。

换句话说，在通过监控反馈触点可以推断出至少一个双触点继电器未正确跟随相应控制器实现的操控方案的情况下，因此可以假定双触点继电器内部存在缺陷，能够以如下方式设计响应，使得两个控制器都控制其关联的双触点继电器以切换到其断开的继电器状态。由此，如果人员运送设备的安全监控装置的双触点继电器出现故障，则也可以使人员运送设备转换到非常安全的状态。

根据一种实施方式，在所提出的方法中，两个控制器中的每个控制器监控两个双触点继电器中的每个的反馈触点。

换句话说，第一和第二控制器不仅应该是分别与其对应的、也就是由其控制的双触点继电器的反馈触点。取而代之，每个控制器应监控其相对应的双触点继电器的反馈触点和相应另一双触点继电器的反馈触点。以此方式，可以实现冗余，这种冗余进一步提高了安全监控装置的安全性，并且尤其是大大提高了正确识别其双触点继电器中的故障的概率。

根据一种实施方式，所提出的方法在人员运送设备的每个单独行程之前、之中或之后执行。

换句话说，用于检查安全监控装置功能的方法原则上可以在任何时间执行或由任何事件触发。然而，至少在由人员运送设备的行驶途中时执行该方法被认为是有利的。这样可以确保足够频繁地检查安全监控装置的功能。

应当指出，这里一方面参考安全监控装置的不同实施例，另一方面参考用于监控其功能的方法来介绍本发明的一些可能的特征和优点。本领域技术人员认识到，能够以适当的方式组合、修改或交换这些特征，以便获得本发明的其他实施例。

附图说明

下面参照附图描述本发明的实施例，其中，附图和说明书均不应解释为对本发明的限制。

图1示出根据本发明的人员运送设备。

图2示出根据本发明的人员运送设备的安全监控链。

图3示出根据本发明的安全监控装置的细节。

图4a示出在根据本发明的安全监控装置中被操控的继电器状态和由此产生的开关状态。

图4b示出在根据本发明的用于监控安全监控装置的功能的方法的范围内受操控的继电器状态的变化。

这些图仅是示意性的，并且没有按比例绘制。不同附图中的相同附图标记表示相同或等效的特征。

具体实施方式

图1示出呈升降梯形式的人员运送设备1。升降梯包括升降梯轿厢5和对重7，升降梯轿厢和对重可以借助由驱动机11驱动的皮带9在升降梯竖井3内沿竖向移动。也可以设置制动器12来制动驱动机11或直接制动升降梯轿厢5。驱动机11和/或制动器12的运行由升降梯控制器13控制。在此，升降梯控制器13可以例如受控地由电源15向驱动机11供电。

升降梯轿厢5可以在不同的楼层17之间行驶。在每个楼层17上设有竖井门19，在升降梯轿厢15上设有轿厢门21。

在人员运送设备1中设有多个安全监控开关结构23，通过这些安全监控开关结构，可以监控人员运送设备1内对于安全关键的状态。

例如，在每个竖井门19和轿厢门21上均设有门开关25，借助于这些开关可以监控：相应的竖井门或轿厢门19、21当前是否正确关闭或至少部分打开。此外，在升降梯竖井3的井坑区域中设有梯子存在开关27，通过该梯子存在开关27，可以监控梯子29的存在和正确布置。在门开关25和梯子存在开关27的情况下，例如可以将安全监控开关结构23设置为简单的机械操作的开关。

此外，人员运送设备1还可以具有更复杂的安全监控开关结构23。例如，可以借助于沿着升降梯竖井3竖向延伸的磁体带33和安装在升降梯轿厢5上的磁体带读取装置31来形成绝对位置传感器35，通过该绝对位置传感器可以获得关于升降梯轿厢5在升降梯竖井3内的当前位置的信息。基于此信息，然后可以监控对于安全关键的状态。

例如，可以识别出：升降梯轿厢5当前是否与竖井门19中的至少一个相对或至少处于其附近并且因此轿厢门21和/或相对的竖井门19可以被打开。此外，基于该信息，可以识别出升降梯轿厢5是否位于升降梯竖井3内的允许的行驶区域37内，或者是否升降梯轿厢5已经无意中移出了该允许的行驶区域37。

数据或信号可以例如通过有线或无线方式从各种安全监控开关结构23传输到安全监控装置39。

特别地，多个安全监控开关结构23可以彼此连接，特别是彼此串联连接，以便形成安全监控链41的部分或者说部件。例如，门开关25和梯子存在开关27可以串联连接，从而仅当所有门开关25和梯子存在开关27都闭合时，安全监控链41的由此形成的那部分才整体上闭合。

安全监控装置39可以与升降梯控制装置13通信或者是升降梯控制装置13的一部分，并且影响升降梯控制装置13的功能。特别地，安全监控装置39可以操作一个或多个主继电器结构43，以便例如成为能够中断升降梯控制器13和驱动机11之间的电源，和/或激活或释放用于制动升降梯轿厢5的制动器12。

图2示出安全监控链41的细节。多个呈门开关25形式的安全监控开关结构23(其在下面也称为“第三安全监控开关结构”)以及其他例如呈梯子存在开关27等形式的安全监控开关结构23串联连接。

在此，这些其他的安全监控开关结构23中的一个用作轿厢紧急限位开关28(KNE开关)。当升降梯轿厢5移动超过其允许的行驶区域37时，该轿厢紧急限位开关28断开。

安全监控链41的由串联连接的安全监控开关结构23形成的部分与主继电器结构43串联连接。主继电器结构43包括：具有线圈49、第一工作触点53、第二工作触点57和反馈触点61的第一主双触点继电器45；以及具有线圈51、第一工作触点55、第二工作触点59和反馈触点63的第二主双触点继电器47。在此，继电器结构43通常情况下、即当线圈49、51未通电时是断开的。与之相应地，主继电器结构43仅在其两个线圈49、51都由于安全监控链41完全闭合而被通电时，才闭合在供电的升降梯控制器13与驱动机11之间的延伸通过第一和第二主双触点继电器45、47的第一工作触点53、55的电连接。类似地，仅当借助主继电器结构43由于安全监控链41完全闭合而闭合电源与制动器12之间的连接时，才使制动器12通电并因此释放。

为了使得：即便是驱动机11使升降梯轿厢5移位时，竖井门19中的一个和/或轿厢门21仍然在预定条件下打开，与门开关25的串联接线相并联地设置有所谓的UET开关65。UET开关65也构成一个安全监控开关结构23，并且仅在满足预定要求时(例如，在升降梯轿厢5最终停在目标楼层位置上之前，升降梯轿厢5已经就差几厘米地接近目标楼层位置并且已经开始打开门19、21)才能闭合。由此，通过闭合UET开关65，安全监控链41的由门开关25形成的部分被临时桥接。

为了满足适用于人员运送设备1的高安全性要求，迄今为止，KNE开关28和UET开关65均以冗余方式分别以两个单一继电器来实现。例如，在UET开关65的情况下，两个单一继电器串联连接，使得仅当两个继电器同时闭合时，即两个继电器均处于其闭合的继电器状态时，UET开关65的开关状态才闭合。

但是，对于通过KNE开关28和UET开关65来实现的两个功能，必须使用总共四个单一继电器。

图3示出根据本发明的安全监控装置67，该安全监控装置可以被实施为人员运送设备1的安全监控链41的一部分，以便监控人员运送设备1中对于安全关键的状态。安全监控装置67可以特别是实现KNE开关28和UET开关65的功能。

安全监控装置67包括第一双触点继电器69和第二双触点继电器71。两个双触点继电器69、71均被设计为常开继电器(“normally opened”)，并且每个均具有线圈73、75，当对线圈施加控制电压时，线圈分别闭合第一工作触点77、79和第二工作触点81、83。每个双触点继电器69、71还具有反馈触点85、87。每个双触点继电器69、71都移动、即断开和闭合时，相应的线圈73、75及其第一和第二工作触点77、79、81、83及其反馈触点85、87彼此同步，因此可以在控制电压的控制下切换到断开或闭合的继电器状态。

安全监控装置67还包括第一控制器89和第二控制器91。这两个控制器89、91被设计成，确定人员运送设备1的与对于安全关键的状态相对应的特性，然后根据所确定的特性生成对于第一或第二双触点继电器69、71合适的控制电压。在此，两个控制器89、91可以彼此通信或彼此控制。特别地，控制器89、91可以被设计为对于安全关键的可编程逻辑控制器(SSPS)。

在所示的示例中，两个控制器89、91由绝对位置传感器35接收关于升降梯轿厢5在升降梯竖井3内的当前位置的信息。一方面，控制器89、91可以基于上述信息来推出：升降梯轿厢5当前是在允许的行驶区域37内还是升降梯轿厢已经离开行驶区域。取决于是这两种情况中的哪一种，控制器89、91可以针对两个双触点继电器69、71产生不同的控制电压，以便利用安全监控装置67来模拟KNE开关28的功能。另一方面，控制器89、91可以从该信息中推断出升降梯轿厢5当前是否足够接近目标楼层位置，从而表现为可以的是，暂时桥接安全监控链41的由门开关25形成的部分，以便使用安全监控装置67来模拟UET开关的功能。

在此，安全监控装置67通过其双触点继电器69、71及其控制器89、91形成呈第一和第二安全监控开关结构93、95形式的安全监控开关结构23。

在此，第一安全监控开关结构93包括彼此串联连接的第一双触点继电器69的第一工作触点77和第二双触点继电器71的第一工作触点79。利用该第一安全监控开关结构93，安全监控装置67模拟在第一输出端97处的UET开关的功能。

第二安全监控开关结构95包括：第一双触点继电器69的第二工作触点81和第二双触点继电器71的第二工作触点83，两个工作触点彼此并联连接。凭借第二安全监控开关结构95，安全监控装置67模拟在第二输出端99处的KNE开关的功能。

可以由控制器89、91经由所属的双触点继电器69、71的各自的反馈触点85、87来确定每个双触点继电器69、71的实际占据的继电器状态。由此可以监控：由所对应的双触点继电器69、71中的由控制器89、91控制的继电器状态是否使得占据所期望的继电器状态，或者是否有缺陷阻止了占据所期望的继电器状态。两个反馈触点85、87的每一个可以将反馈信号传输到两个控制器89、91的每一个。

图4a以表格示出由两个控制器89、91产生的可能的控制电压K1，K2，用于控制第一和第二双触点继电器69、71进入断开的继电器状态(K1＝“0”或K2＝“0”，即没有控制电压加到线圈上)，或者进入闭合的继电器状态(K1＝“1”或K2＝“1”，即控制电压施加到线圈)以及在安全监控装置67的两个输出端97、99上由此产生的开关状态UET、KNE。在此，第一输出端97设计用于实现UET开关65的功能，第二输出端99设计用于实现KNE开关28的功能。

可以看出，只有当由两个控制器89、91将两个双触点继电器69、71都操控进入其闭合的继电器状态(“1”)时，才将由第一安全监控开关结构93模拟的UET开关状态设为闭合(“closed”)。另一方面，只有当由两个控制器89、91操控两个双触点继电器69、71进入其断开的继电器状态(“0”)时，才将由第二安全监控开关结构95模拟的KNE开关状态设为断开(“open”)。

利用所提出的安全监控装置67，可以通过具有非常高的SIL2或甚至是SIL3的安全完整性等级的第一安全监控开关结构93来实现UET开关65的功能。KNE开关28的功能至少可以通过第二安全监控开关结构95以其足够的SIL1的安全完整性等级来实现。

最后，参考图4b解释方法的实施方式。借助所述方法，可以监控安全监控装置67的功能。

安全监控装置67的正常运行以预定的时间间隔、也就是例如周期性地或者由某些事件(例如开始或结束行驶)触发地短时中断，在该正常运行中，人员运送设备1中的对于安全关键的状态受到监控。替代地，由第一和第二控制器89、91产生的控制电压以如下方式改变，使得：一方面，两个双触点继电器69、71中的一个交替地短暂地切换到其断开的继电器状态(Kx＝“0”)，并且再次回到其闭合的继电器状态(Kx＝“1”)，以及另一方面，两个双触点继电器69、71中的至少一个始终处于其闭合的继电器状态。

通过以这种方式改变控制电压，一方面，可以实现两个双触点继电器69、71中的每一个至少被操作一次以断开并且接下来闭合。另一方面，确保：实现UET功能的第一安全监控开关结构93虽然被短暂地断开和再次闭合，但引起KNE功能的第二安全监控开关结构95总是保持闭合。因此，在控制电压的这种变化期间，整个安全监控链41保持闭合。

在执行所介绍的方法时，不仅可以借助例如控制器89、91来改变控制电压，而且还可以监控：两个双触点继电器69、71的反馈触点85、87表示何种实际的继电器状态。只要双触点继电器69、71正常工作，由反馈触点85、87所报告的继电器状态应与由控制器89、91触发的继电器状态相一致。如果这在时间t₀时不再适用，则可以说明在双触点继电器69、71之一中有故障。例如，这可以是由于工作触点77、79、81、83之一的臂彼此胶合或焊接来实现。

在这种情况下可以设置为：两个控制器89、91都以这样的方式产生控制电压，即，第一和第二双触点继电器69、71都被切换到其断开的继电器状态。由此可以确保：至少是第一安全监控开关结构93的对于安全极其关键的UET功能可靠地切换到其断开状态，从而在门19、21打开时，在任何情况下都避免升降梯轿厢5的危险运动。

利用此处描述的安全监控装置67及其监控其功能的方法，可以为相应装备的人员运送设备1提供降低成本的可能性，因为仅需要两个双触点继电器，而不是传统上需要四个单一继电器。此外，由于仅需要两个而不是四个安全继电器，因此可以实现更高的总体可靠性。安全监控装置67的电子电路的复杂性也可以比传统装置更简单，因为需要控制的部件更少。

最后，应该指出，诸如“具有”、“包括”等术语不排除其他元件或步骤，而诸如“一个”或“一”之类的术语也不排除多个。此外，应当指出，已经参考上述示例性实施例之一描述的特征或步骤也可以与上述其他示例性实施例的其他特征或步骤结合使用。权利要求中的附图标记不应视为限制。

附图标记列表

1 人员运送设备

3 升降梯竖井

5 升降梯轿厢

7 对重

9 皮带

11 驱动机

12 制动器

13 升降梯控制器

15 电源

17 楼层

19 竖井门

21 轿厢门

23 安全监控开关结构

25 门开关

27 梯子存在开关

28 轿厢紧急限位开关(KNE开关)

29 梯子

31 磁体带读取装置

33 磁体带

35 绝对位置传感器

37 允许的行驶区域

39 安全监控装置

41 安全监控链

43 主继电器结构

45 第一主双触点继电器

47 第二主双触点继电器

49 第一主双触点继电器的线圈

51 第二主双触点继电器的线圈

53 第一主双触点继电器的第一工作触点

55 第二主双触点继电器的第一工作触点

57 第一主双触点继电器的第二工作触点

59 第二主双触点继电器的第二工作触点

61 第一主双触点继电器的反馈触点

63 第二主双触点继电器的反馈触点

65 门桥接开关(UET开关)

67 安全监控装置

69 第一双触点继电器

71 第二双触点继电器

73 第一双触点继电器的线圈

75 第二双触点继电器的线圈

77 第一双触点继电器的第一工作触点

79 第二双触点继电器的第一工作触点

81 第一双触点继电器的第二工作触点

83 第二双触点继电器的第二工作触点

85 第一双触点继电器的反馈触点

87 第二双触点继电器的反馈触点

89 第一控制器

91 第二控制器

93 第一安全监控开关结构

95 第二安全监控开关结构

97 UET功能的第一输出端

99 KNE功能的第二输出端

Claims (14)

1.一种安全监控装置(67)，用于监控人员运送设备(1)中的对于安全关键的状态，具有：

第一和第二双触点继电器(69、71)，两个双触点继电器分别受控制电压控制地将第一工作触点(77、79)和第二工作触点(81、83)以及反馈触点(85、87)彼此同步地在断开的和闭合的继电器状态之间切换；

第一和第二控制器(89、91)，分别用于确定人员运送设备(1)的与对于安全关键的状态相对应的特性以及用于根据所确定的特性生成对应第一和第二双触点继电器(69、71)的控制电压；

其中，借助两个双触点继电器(69、71)和两个控制器(89、91)形成第一安全监控开关结构(93)，用于监控第一对于安全关键的状态以及用于相应地切换人员运送设备(1)的安全监控链(41)内的第一开关状态，以及形成第二安全监控开关结构(95)，用于监控第二对于安全关键的状态以及用于相应地切换人员运送设备(1)的安全监控链(41)内的第二开关状态；

第一安全监控开关结构(93)包括第一双触点继电器(69)的第一工作触点(77)并且与所述第一工作触点串联连接地包括第二双触点继电器(71)的第一工作触点(79)；以及

第二安全监控开关结构(95)包括第一双触点继电器(69)的第二工作触点(81)并且与所述第二工作触点并联连接地包括第二双触点继电器(71)的第二工作触点(83)。

2.根据权利要求1所述的安全监控装置，其中，对第一对于安全关键的状态的监控比对第二对于安全关键的状态的监控需要更高的安全完整性等级。

3.根据前述权利要求中任一项所述的安全监控装置，其中，对第二对于安全关键的状态的监控需要安全完整性等级SIL1，对第一对于安全关键的状态的监控至少需要安全完整性等级SIL2。

4.根据前述权利要求中任一项所述的安全监控装置，其中，第一对于安全关键的状态指示出：安全监控链(41)的对人员运送设备(1)的门(19、21)的关闭状态加以监控的部分是否允许暂时短接，以及通过将第一开关状态切换为闭合，安全监控链(41)的对人员运送设备(1)的门(19、21)的关闭状态加以监控的部分暂时短接。

5.根据前述权利要求中任一项所述的安全监控装置，其中，第二对于安全关键的状态指示出：升降梯轿厢(5)是否已经移动超过允许的行驶区域，并且通过将第二开关状态切换为断开来中断安全监控链(41)。

6.根据前述权利要求中任一项所述的安全监控装置，其中，还具有多个串联连接的第三安全监控开关结构(23)，用于监控第三对于安全关键的状态。

7.根据权利要求6所述的安全监控装置，其中，第一安全监控开关结构(93)与由第三安全监控开关结构(23)构成的串联结构进行并联连接，以及第二安全监控开关结构(95)与由第三安全监控开关结构(23)构成的串联结构进行串联连接。

8.根据前述权利要求中任一项所述的安全监控装置，其中，第一和第二控制器(89、91)分别设计为与安全相关的可编程逻辑控制器。

9.根据前述权利要求中任一项所述的安全监控装置，其中，所述安全监控装置(67)被配置用于，执行或控制根据权利要求11至14中任一项所述的方法。

10.一种人员运送设备(1)，具有根据权利要求1至9中任一项所述的安全监控装置(67)。

11.一种用于对根据权利要求1至9中任一项所述的安全监控装置(67)的功能加以监控的方法，其中，所述方法具有如下步骤：

改变由第一和第二控制器(89、91)产生的控制电压，以使第一和第二双触点继电器(69、71)中的一个交替短暂地切换到其断开的继电器状态，然后再次回到其闭合的继电器状态，并且第一和第二双触点继电器(69、71)中的至少一个始终处于闭合状态，并且

监控：两个双触点继电器(69、71)的反馈触点(85、87)是否始终指示的是表示当前正受控制的继电器状态的继电器状态。

12.根据权利要求11所述的方法，其中，在两个双触点继电器(69、71)的反馈触点(85、87)未指示出表示当前受控的继电器状态的继电器状态的情况下，两个控制器(89、91)以如下方式产生控制电压：使得第一和第二双触点继电器(69、71)切换到其断开的继电器状态。

13.根据权利要求11至12中任一项所述的方法，其中，两个控制器(89、91)中的每一个对两个双触点继电器(69、71)中的每一个的反馈触点(85、87)加以监控。

14.根据权利要求11至13中任一项所述的方法，其中，所述方法在人员运送设备(1)的各个行驶过程之前、期间或之后执行。

Images