CN1192964C - 电梯的电子安全系统 - Google Patents

Abstract

按照本发明的优选实施例，用来阻止不安全电梯运行的一种电梯的电子安全系统用一个中央控制器通过一条电子安全总线监视各种传感器、触点和开关。遍及电梯系统分布着许多总线节点，并且通过安全总线与中央控制器保持通信联系。总线节点在各自的位置与电梯系统中的传感器、触点、检测器、部件以及其它安全设备实现接口，并且将状态信息送回控制器。控制器包括微处理器电路板，板上的输入/输出端口与安全总线和总线节点进行通信。当检测到一个不安全状态时，控制器向一个电梯控制系统及一个驱动和制动系统发送控制信号，以安全的方式制动电梯轿厢。

Description

电梯的电子安全系统

发明背景

发明领域

本发明一般涉及到在电梯系统中使用的安全设备，更具体地说，本发明涉及到采用新式电子部件的一种改进的安全系统。这一改进的安全系统能大大改善安装时间、质量、制造成本以及操作性能。

现有技术

电梯安全系统的现有技术状态是用一种安全链来实现的，它是由开关和触点构成的一个串联电路。由工作人员和电梯中的某些设备来操作这些触点和开关。有些设备是由轿箱来控制的，例如有过速调节器和限位开关。其他是由门来控制的，例如有楼层平台门的开关和锁。

安全链操作继电器(或是接触器)来控制电动机和制动器的功率。链内的任何触点的动作都会从主电源上断开电动机或是驱动器。安全链中的一些部分可能是跨接的，而在检查，维修和援救操作等特殊模式下为了改变安全监督还可以包括其他部分。

在维修和检查期间，为了测试和搜索故障，在安全链中有时候需要包括用手的跨接。这种跨接的位置可能遍及竖井和轿箱。人工安装和拆除跨接是一种既耗时又费力的工作。

触点和跨接以及包括用于援救操作和检查的触点的串联连接会导致链路延长，往往会达到竖井长度的数倍(通常有六到八倍)。这样长的安全链路需要在主电压范围内使用较高的电压，以减少链路沿线的电压损失的影响。

安全链路中的触点必须具有正断开特性。在许多场合不允许使用电子传感器。

直至最近为止，几乎所有国家都要求电梯安全系统必须采用机械方式，这是因为考虑到电子方式对电源故障无能为力。然而，经过电子工程师的验证和技术上的改进，这种规则已经被改变了。这些新的设计在电源故障时规定了一种失败的安全模式。

因而就确实需要有一种在设计上改进的电梯安全系统，它需要减少零件数量和制造成本，而同时还要改善可操作性。

发明概述

按照本发明的一个优选实施例公开了一种用于电梯的新型电子安全系统，它改进了检查和诊断工作，促进电梯安全操作，并且在检测到不安全状态时开启降低安全等级。构成这一电子安全系统的新式电子系统包括一条通信总线，便利在一个微处理器式控制器和各种其他部件之间交换控制和数据信号，这些部件中包括用来与传感器、触点，随同检测器的开关、各种部件，以及为了保证电梯系统安全操作所需的其他安全设备实现接口的总线节点。

软件控制的微处理器组件操作一条通信总线，它的总线节点遍及整个电梯系统。周期性地轮询这些总线节点，以便确定传感器、触点以及连接到总线节点上的开关的状态。微处理器可以按照多种不同模式之一工作，诸如维护，检查，正常操作，降级操作，以及紧急操作。微处理器组件能在适当的时候为电梯控制系统及电梯驱动和制动系统产生输出信号。

微处理器从线路板上的一个非易失性存储器接收配置信息，存储器所包含的数据规定了电梯的具体型号和其他安装规定参数。如果出现一种不安全状态，微处理器就产生适当的输出并且提供给电梯控制和驱动系统。这种电子安全系统能够启动设备阻止电梯的运动。微处理器、通信总线以及构成一个电子安全系统的有关部件都能够集中管理，大大改善了安装时间，质量，制造成本以及操作性能。

本领域的技术人员根据以下的详细描述和附图就能够认识和理解本发明的上述及其他特征和优点。

附图简述

以下参见附图，在各附图中对相同的元件采用了相同的标号：

图1是一种电子安全系统的高级系统框图，表示了系统中的部件和接口；

图2是一种微处理器组件的高级系统框图，图中表示了一种单一微处理器系统及其接口；

图3是一种微处理器组件的高级系统框图，图中表示了双微处理器系统及其接口；以及

图4是用来表示电子安全系统的状态的一个状态示意图。

发明详述

参见图1，图中表示一种电子安全系统8的高级系统框图，用来表示系统中的部件和接口。控制器20通过安全总线4与多个总线节点91-96实现通信。安全总线4是用一种被称为Controller Area Network(CAN)总线的通信协议来实现的。按照下文的具体说明，系统8中的各个节点91-96与各种传感器、开关或者是其他输入和输出设备实现接口。控制器20不断处理来自总线节点91-96的数据，并且在某种条件下向电梯控制40提供一个输出信号，并且向驱动和制动系统50提供一个输出信号。

位于机房80中的一个过速开关81检测电梯轿箱60的实际速度并且确定这一实际速度是否处在对轿箱上、下运行的任何方向上的预定的限制之内。如果检测到过速状态，过速开关81就在机房80中的总线节点94发送一个过速信号。控制器20在与机房80中的总线节点94进行数据通信期间接收到这一过速信号。一旦检测到过速状态，控制器20就通过控制器/驱动和制动接口52向驱动和制动系统50发送一个制动信号，以一种安全方式制动电梯轿箱60，控制器20还通过控制器/电梯控制接口42向电梯控制40提供一个状态信号，用来指示已经发生了过速状态。

参见竖井70，独立的总线节点91，92和93被设在各个楼层站台门1，2和3处，用来接收来自各种传感器的输入。竖井70中的各个总线节点91，92和93与各个站台门1，2和3上各自的一个门传感器31，32和33接口。在本实施例中，每个楼层(第一层，第二层，第三层)各有一个站台门1，2和3。然而，在某些电梯系统中，有些电梯轿厢可能有一个以上轿厢门(未示出)并且在每一个楼层站台上可能有也可能没有一个以上的站台门。无论如何，每个站台楼层上的所有站台门都在每个站台门或楼层门的位置上按照类似的方式装备有总线节点91-93。总线节点91-93通过安全总线4从每个站台门1-3向控制器20提供门传感器31-33的状态信息。控制器20处理来自每个状态门1-3的门传感器31-33的信息，从而确定电梯轿厢60的控制顺序。如果控制器确定了存在一种不安全状态，控制器20就通过控制器/驱动和制动接口52向驱动和制动系统50发送一个制动信号，以安全的方式制动电梯，控制器20还通过控制器/电梯控制接口42向电梯控制40提供一个指示不安全状态的状态信号。

在电梯竖井70的底部设有一个供维修人员使用的地坑开关71。地坑开关71连接到位于第一层站台处的最近的总线节点91。当控制器20轮询到这一总线节点91并且检测到地坑开关71已经动作时，它就将这一事件当作一个紧急状态。控制器20向驱动和制动系统50发出一个制动信号，使电梯轿厢进入一个立即被控暂停状态。控制器20还要用一个状态信号来更新电梯控制40。

参见电梯轿厢60，在轿厢60上装有若干总线节点95和96用来接收传感器输入。总线节点95接收来自检查开关61的数据输入和来自紧急停止开关62的数据输入。在一种操作模式下，控制器20用一种响应的方式与装在轿厢60中的每一个总线节点95和96进行通信。如果控制器20检测到一个紧急停止开关62有动作，就起动紧急状态程序。如果控制器20检测到一个检查开关61有动作，就起动检查模式程序。用控制器20监视电梯轿厢门开关63，以确定电梯轿厢门64是打开还是关闭。控制器20根据已知的逻辑确定是否存在关于电梯轿厢门开关63的一种不安全状态。例如，如果电梯轿厢门64在一个站台上打开，并没有什么不安全，而轿厢门64在电梯轿厢移动时打开则是不安全的。

本领域的技术人员显然能够看出，上述安全总线4的设计非常灵活，并且可以根据需要增加或减少额外的总线节点91-96，同时对软件做适当的修改以便处理新的数据。有些节点91-96还能具有备用的输入/输出能力以便与额外的传感器实现接口。这种积木式的安全总线4能够以一种超越现有技术的改进方式完成这些类型的修改。

单一微处理器(图2)

参见图2，图中表示了用来说明系统部件的一个微处理器组件10的高级系统框图。一个通用控制器或是微处理器11通过微处理器系统总线17和一个只读存储器(ROM)12、一个随机存储器(RAM)14、一个电源后备单元(BATT)13、一个逻辑单元15和一个输入/输出通信端口(I/O)16进行通信。值得注意的是，尽管本实施例中的非易失性存储器采用了ROM12，同样也可以使用其它类型的非易失性存储器例如是EEPROM。

微处理器11执行存储在ROM12中的软件程序。ROM12还包含用于特定电梯安装的数据表。这种数据中可以包含的安装参数例如有电梯型号、电梯操作模式、楼层数、层间距离、过速门限值、滤波器系数和其它用于初始化和执行操作软件程序所需的数据。ROM12可以采用FlashROM，以便从一台维护计算机PC(未示出)上下载更新的软件。可以用这种方法来实现代码和/或数据的修改。

RAM14被用于暂存执行软件程序过程中的数据值。它还可以保存某些从I/O端口接收的数据或是准备发送给I/O端口16的数据。RAM14可以采用非易失性随机存储器(NVRAM)部件以便在主电源或是后备电源13发生任何电源故障时能够保留数据。

电源后备单元13被用来在主电源(未示出)故障的情况下为微处理器组件10₁提供电源，直至能够完成安全关电。当软件程序检测到主电源发生故障时，就调用一个安全动力下降程序使电梯轿厢安全地停车。

微处理器11经由I/O端口16通过安全总线4与节点91-96进行通信。安全总线4可以是双重冗余总线(总线A和总线B)或者是单一总线(总线A)。微处理器11能够通过一条总线A或总线B(未示出)与任何总线节点91-96进行通信，这是本领域技术人员所公知的。微处理器11和总线节点91-96之间的通信时间表由软件程序来编制，无论总线节点91-96是否提供数据都要周期性地与每一个总线节点91-96通信。周期性通信能使微处理器11上运行的软件程序准确地反复确认通过安全总线4到节点91-96的通信是正常的。这些周期性信息包括在每个总线节点91-96处执行的硬件检查的状态信息。在正常操作模式的一个实施例中，在同一数据组上对每个总线节点91-96轮询两次，并且用软件程序来比较这一数据组以确保数据是相同的。如果数据组彼此不符，软件程序就再次轮询总线节点91-96以确定其可靠性。软件程序可能确定失配数据是一次偶然，或者是确定存在一个需要维修的通信故障。如果软件程序确定与总线节点91-96的通信不可靠且继续操作是不安全的，它还能够使电梯停车。

总线节点和传感器

在每个总线节点91-96处，各种传感器、触点或是开关都能向总线节点91-96发送数据。这些数据采集设备可以用并联或串联或者是二者的组合方式连接到总线节点91-96，这取决于由具体的总线节点91-96监视的传感器、触点或是开关的数量。然而需要有许多传感器、触点或是开关彼此并联连接，以便当总线节点91-96从这些设备之一接收一个输入时，总线节点91-96就能知道是哪一个设备正在向它发送信息。这种构造使得在微处理器11上执行的软件程序能准确测定产生数据型号的来源和状态。在串联接线的电路中，软件程序只能识别电路一级的数据信号。

电源通过总线节点91-96提供给传感器、触点或是开关。由于总线节点91-96与传感器，触点或开关之间的距离很短，可以采用低电压例如在此处是24Vdc。

可以用软件程序自动测试传感器、触点或开关。这一特征省去了人工检查的必要并且能缩短检查时间。还能够及时扩展服务程序并且重点注意其它关键性维护领域。

软件程序

软件程序的各种运行模式有检查和维护，正常操作以及紧急操作。它要执行各种程序或是调用，例如是轮询总线节点91-96的通信状态和数据。程序还要向电梯扩展系统40及驱动和制动系统50输出控制信号和数据。

总线轮询

总线轮询是由主控器在此处也就是微处理器11与其下属也就是总线节点91-96的循环互动来完成的。可以用各种方案检测总线4的故障，例如是超时，如果总线节点91-96在一个预定时间内没有响应微处理器11的通信，微处理器11就认为总线节点91-96有故障。另一种方法是按照增量顺序用一个ID号码触发在总线4上发送的每一个信息。如果微处理器11接收到一个信息ID而确定已经丢失了一个信息或者是已发送的信息有错，微处理器11就能确定发生了故障。如果微处理器11要求确认它寻址的各个节点91-96将每一个通信信息都放在总线上，也可以采用回音技术。如果微处理器11没有接收到来自目标节点91-96的确认，微处理器11就认为节点91-96发生了故障。按照一种比特监视的方案，总线4上的每个发射器都监视总线4，检查能否在总线4上见到发送的比特。如果节点91-96发现发送的信息没有接通到总线4，节点91-96就能向主控器也就是微处理器11报告一个故障。还可以采用比特填充技术根据预定的算法来检验信息的完整性，发射机在发送完具有相同逻辑电平的一定数量的比特之后插入相反逻辑的填充比特。另一种技术是CRC Checksum，将一个检验和插入每一个信息以检验信息的完整性。还可以将信息格式化，令每个信息必须符合比特长度和/或字段的预定格式。还可以采用这样一种确认检验，其中至少一个接收机必须确认接收到的任何发送的信息。按照CAN总线标准的通信技术有许多种，然而，为了提高通信效率/和可靠性还可以采用其它技术。

操作模式

在检查模式下，软件程序可以在安全链中安装“软件跨接”将各种传感器、触点或是开关能够与测试隔离。这样就不再需要用硬件接线来跨接传感器，触点或是开关。此举对现有技术的一个重要改进在于“软件跨接”能够由程序自动拆除，可以采用定时功能，或者是在软件程序退出检查模式或是恢复正常操作模式时自动拆除。总而言之，在这一过程中不需要人的监督，而在现有技术中操作人员必须要拆除他为了维护工作而安装的所有硬件接线或者是机械跨接。

当软件程序检测到影响电梯安全操作的状态时，可以采取不同的停车模式。如果检测到明显的过速信号，程序就向驱动和制动单元50发送一个信号立即制动电梯轿厢60。然而，在其它轻微的预警模式下，例如是总线节点91-96有故障，程序就会指令电梯轿厢60去往最近的站台楼层，打开门，然后停车。这样能够尽量减少电梯轿厢60内的乘客陷入受困状况而需要有一种援救操作来解救乘客的次数。

PC通信

诸如一台个人计算机PC(未示出)的维护工具可以用来与微处理器11进行通信以便进行维护工作。PC可以从微处理器组件10₁上提取数据用于进行历史性的分析。PC还能监视微处理器组件10₁在正常操作模式下的执行过程，包括紧急和降级操作。PC还能够重新编程或者是更新ROM12中的软件代码(在使用Flash ROM的情况下)。可以按照更换间隔来监视板载电池13的电平。

可以按照检测识别码(pin)配置的方式来安装微处理器组件10₁，以便检测出电梯的型号。这种配置检测有助于确定安装在ROM12中的软件程序能适合安装有电子安全系统8的特定电梯。

双重微处理器(图3)

参见图3，图中表示的微处理器组件10₂的高级系统框图包括两个微处理器系统150和152及其接口。在本发明的另一个实施例中，在一个微处理器组件10₂中表示了两个独立的微处理器系统150和152。在这一实施例中，每个微处理器系统150和152独立工作，共享与安全总线4通信的I/O端口16，并且通过它们各自的接口42和52向电梯控制40及驱动和制动系统50输出独立的信号。微处理器系统150和152都是由板载后备电源系统13来支持，如上文所述，以使在主电源丧失时实现电梯系统的安全停车。一个处理器间的通信总线18连接两个微处理器系统150和152用以实现一种检验方案。在本实施例中，每个微处理器150和152单独轮询安全总线4上的各个节点91-96，接收状态信息和数据。微处理器系统150和152按照预定的间隔通过它们的处理器间总线18相互通信以确认系统的完整性。如果有任何一个微处理器系统150和152不能准确地从另一个微处理器系统150和152接收，第一个微处理器系统150和152就会实施电梯系统的安全停车。同样，如果有任一个微处理器系统150和152确定了状态有偏差，这一偏差就会使电梯系统过渡到降级模式，在这种模式下有可能包括停车或不包括停车，这取决于微处理器系统150和152之间的偏差的严重性。

按照下文中更加具体的说明，本实施例的还要和双重冗余安全总线4配合使用。在这样的实施例中，每个微处理器都有自己的I/O端口16和一条单独的安全总线4，用来与遍及电梯安全系统8的每一个节点91-96进行通信。

上文中关于PC通信，识别码配置检测，以及单一微处理器组件10₁所采用的其它特征都可以同样适用于双重微处理器组件10₂。

状态机器的描述(图4)

参见图4所示的状态图200，它表示了电子安全系统8的状态。在接收到一个起始检验指令251之后，安全系统8从禁止运行201的离线状态过渡到检验总线安全性202。如果在以前的一段预定的时间周期内还没有轮询总线节点91-96，系统8就在接收起始输入261之后过渡到选择总线节点206状态。如果所有节点都没有轮询，系统就接收下一节点选择的指令263并且过渡到呼叫节点状态207。在这种状态下，系统轮询选定的节点并且在一个预定时间帧中等待一个应答。如果接收到正确的应答265，系统8就过渡回选择总线节点206状态。如果在一个预定时间帧中没有接收到正确的应答264或者是没有接收到应答，系统8就过渡到一个不安全总线状态209。只要是每个节点91-96有正确的响应，就一直执行循环L1直到轮询完所有节点91-96。系统8在此时接收所有节点输入262并且过渡到安全总线状态208。输入252报告安全总线状态，而系统8过渡到检验电梯安全性状态203。在这一状态203下确认电梯检查和维护的其它各种参数，如果电梯被确定是安全的254，系统8就继续执行允许运行状态204。然而，如果电梯被确定为不安全255，系统就过渡到禁止运行状态201，一直维持到在起始检验251开始新的安全性检验。值得注意的是，例如253，255，209等所有总线不安全确定以及从状态209的过渡都会导致电梯安全系统8被置于禁止运行状态201。从这一状态201的唯一出口是通过检验总线安全性状态202重新检验系统8。还要注意到安全总线状态208和不安全总线状态209会通过输入重新测试266和重新测试267发出指令重新检验节点91-96。

值得注意的是，在电梯安全系统8的任何操作模式下都要每100ms重复执行上述程序。测试程序及方法都可以仅仅通过软件修改来更新，这是计算机编程另外一个优点。如上所述，由维护人员将新的软件版本下载到安全系统的计算机存储器就能够更新电梯安全系统8的代码。

双重冗余安全总线

安全总线4的另一个实施例是一个双重冗余组的总线A和总线B。冗余总线可以适合单一微处理器10₁的配置或是双重微处理器10₂的配置。在任一情况下，两条物理上独立的总线A和B都从微处理器组件20贯通电梯系统而到达每一个节点91-96。每个节点91-96为每一条总线A和B都设有一个独立的发射机/接收机对(t/rA和t/rB)。双重冗余总线的作用是在主总线，无论是总线A还是总线B，发生故障时为每一个节点91-96的通信提供一种后备的方法。

在一个实施例中，总线A被指定为主总线并且用于与所有节点的通信，而总线B在任何节点91-96发生故障时被用做后备总线。例如，如果控制器20在与总线节点91通信时出现一个重复故障，软件程序就会尝试用总线B与总线节点91通信。按照这种方式，控制器20就能识别通信故障是由于总线故障还是节点故障造成的。冗余总线能够提高通信网络的安全性和可靠性。其它总线通信协议是本领域技术人员公知的，例如是循环交替地通过总线A和总线B进行通信；以及同时通过总线A和总线B通信并且比较接收到的数据。

在图2所示的单一微处理器10₁的实施例中，同时通过总线A和总线B的通信是由单一微处理器11来控制的。在图3所示的实施例中有两个微处理器150和152，每个微处理器150和152在一条分配的总线A或B上独立地通信。按照这种方式，每个微处理器与电梯系统8中的每一个节点91-96独立地通信。例如，在微处理器150通过总线A轮询节点91-96的同时，微处理器152通过总线B轮询节点91-96。然后通过处理器间总线18在微处理器150和152之间比较从节点91-96上收集的数据。微处理器150和152都能通过驱动和电机单元接口52独立地指令电梯安全制动。

关于双重微处理器和双重通信总线所需的冗余等级是通过分析准备安装的电梯系统的环境和需求来确定的。在成本、可靠性以及故障间平均时间等因素上要采取一些折衷。

值得注意的是，上述的通信接口可以是串行或并行接口，专用接口，或者是标准接口。接口也可以用电，光或是遥测手段来实现。

从上文中可以看出，本文所述的系统和装置为电梯轿厢提供了一种可靠的电子安全系统。还可以看出，本发明的电子安全系统装置能够减少零件，调节点和故障模式，同时提供安全性和可靠性。

尽管上文中已经描述了最佳实施例，在本发明的原理和范围内还可以作出各种各样的修改和替换。因此，以上的描述不应该被理解为是对本发明的限制。

Claims (12)

1.一种电梯安全系统包括：

通过一条安全总线与多个总线节点进行通信的电子安全控制器；每个上述总线节点从至少一个传感器接收数据；

与上述电子安全控制器进一步通信的一个电梯控制单元；以及

与上述电子安全控制器进一步通信的一个驱动和制动单元；

其中，上述电子安全控制器处理从上述多个总线节点接收到的上述数据，并且确定是否存在不安全状态，如果是，上述安全控制器就向上述驱动和制动单元发送一个制动信号，还要向上述电梯控制单元发送一个状态信号。

2.按照权利要求1的电梯安全系统，其中：

上述安全控制器还包括一个微处理器组件，用来执行具有多种操作模式的一个安全程序，其中包括检查和维护、正常操作、降级操作和紧急操作。

3.按照权利要求2的电梯安全系统，其中：

在上述检查和维护模式下，上述安全程序的执行将在软件中对上述至少一个传感器进行失效、隔离和跨接中的一种操作，用以确定上述安全系统的响应。

4.按照权利要求3的电梯安全系统，其中：

上述至少一个传感器包括多个传感器；并且

在上述检查和维护模式下上述安全程序的执行将在软件中对上述至少一个传感器进行失效、隔离和跨接中的一种操作，结合着另一个上述至少一个传感器，用以确定上述安全系统的响应。

5.按照权利要求2的电梯安全系统，且进一步包括：

位于电梯井道下端并且具有一个地坑开关传感器的第一总线节点；

位于机房中并且具有一个过速传感器的第二总线节点；

多个站台门总线节点，每个上述站台门总线节点的位置靠近一个站台门，并且具有一个站台门传感器；以及

装在电梯轿厢上的至少一个电梯轿厢总线节点，它具有一个检查开关传感器，一个紧急停车开关传感器，和一个电梯轿厢门传感器。

6.按照权利要求5的电梯安全系统，其中：

每个上述站台门传感器可以确定上述各个站台门的打开或关闭状态；并且

每个上述站台门传感器将各自的上述站台门的打开或关闭状态提供给上述各个总线节点。

7.按照权利要求2的电梯安全系统，其中上述微处理器组件进一步包括：

执行上述安全程序的微处理器；

用来存储上述安全程序和预定数据的只读存储器；

一个随机访问存储器；

一个电池后备单元；以及

用于与上述安全总线、上述电梯控制单元以及上述驱动和制动单元进行通信的至少一个输入/输出端口；

其中上述微处理器通过上述安全总线轮询上述总线节点，处理从上述多个总线节点接收到的上述数据，并且确定是否存在不安全状态，如果是，上述微处理器就向上述驱动和制动单元发送一个制动信号，还要向上述电梯控制单元发送一个状态信号。

8.按照权利要求7的电梯安全系统，其中上述安全总线进一步包括：

具有总线A和总线B的双重冗余安全总线；

上述总线A和上述总线B在物理上相互独立；

每个上述总线节点都能够与上述总线A和总线B进行通信；

其中上述安全程序任选地通过总线A和/或总线B与每一个上述总线节点进行通信。

9.按照权利要求2的电梯安全系统，其中上述微处理器组件进一步包括：

执行第一安全程序的第一微处理器；

执行第二安全程序的第二微处理器；并且

上述第一和第二微处理器通过处理器间的总线相互通信；并且

其中上述第一微处理器通过上述安全总线轮询上述总线节点，处理从上述多个总线节点接收的数据，并且通过上述处理器间的总线将第一状态信息发送给上述第二微处理器；

其中上述第二微处理器通过上述安全总线轮询上述总线节点，处理从上述多个总线节点接收的数据，并且通过上述处理器间的总线将第二状态信息发送给上述第一微处理器；并且

其中上述第一和第二微处理器之一确定上述不安全状态存在，并且向上述驱动和制动单元发送一个制动信号，还要向上述电梯控制单元发送上述状态信号。

10.按照权利要求9的电梯安全系统，其中：

每个上述第一和第二微处理器单独地确定上述不安全状态存在，每个上述第一和第二微处理器都向上述驱动和制动单元发送上述制动信号，还要向上述电梯控制单元发送上述状态信号。

11.按照权利要求9的电梯安全系统，其中上述安全总线进一步包括：

具有总线A和总线B的双重冗余安全总线；

上述总线A和总线B在物理上是相互独立的；

每个上述总线节点都与上述总线A和上述总线B二者进行通信；

其中上述第一微处理器通过上述总线A与上述节点通信，而上述第二微处理器通过上述总线B与上述节点通信。

12.按照权利要求10的电梯安全系统，其中上述安全总线进一步包括：

具有总线A和总线B的双重冗余安全总线；

上述总线A和总线B在物理上是相互独立的；

每个上述总线节点都与上述总线A和上述总线B二者进行通信；

其中上述第一微处理器通过上述总线A与上述节点通信，而上述第二微处理器通过上述总线B与上述节点通信。

Images