DE112015005972B4

DE112015005972B4 - Aufzugsicherheits-steuervorrichtung und aufzugsicherheits-sicherheits-steuerverfahren

Info

Publication number: DE112015005972B4
Application number: DE112015005972.5T
Authority: DE
Inventors: Masunori Shibata; Kazunori Washio
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2015-01-16
Filing date: 2015-01-16
Publication date: 2021-12-02
Anticipated expiration: 2035-01-17
Also published as: DE112015005972T5; CN107108156A; JPWO2016113895A1; JP6230729B2; CN107108156B; WO2016113895A1

Abstract

Aufzugsicherheits-Steuervorrichtung (10), die aufweist:eine Eingabeeinheit, die ein Überwachungssignal von einem Schalter oder einem Sensor zum Überwachen eines Zustands eines Aufzugs liest;zumindest eine Berechnungsverarbeitungseinheit (1, 2), die eine Sicherheitsüberwachungsfunktion auf Basis des Überwachungssignals ausführt, das durch die Eingabeeinheit gelesen wird,eine Timer-Einrichtung (5, 6), die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen ist, undeine Ausgabeeinheit (3, 4), die ein Signal zum Abschneiden von Energieversorgungen ausgibt, das jeweils an eine Hubmaschine und eine Bremse des Aufzugs geliefert wird,wobei die Aufzugsicherheits-Steuervorrichtung (10) derart eingerichtet ist, dass, wenn eine Abnormalität im Aufzug erfasst wird folgend auf eine Ausführung der Sicherheitsüberwachungsfunktion durch die Berechnungsverarbeitungseinheit (1, 2) auf Basis des durch die Eingabeeinheit eingelesenen Überwachungssignals, die Timer-Einrichtung (5, 6) aktiviert wird, und wenn eine Zeitgrenze der Timer-Einrichtung (5, 6) erreicht ist, ein Signal zum Abschneiden der Energieversorgungen aus der Ausgabeeinheit (3, 4) ausgegeben wird, wodurch die Energieversorgungen, die an die Hubmaschine und die Bremse geliefert werden, derart abgeschnitten werden, dass eine Kabine angehalten wird,wobei die Aufzugsicherheits-Steuervorrichtung (10) ferner eine Timer-Vergleichseinheit (7) aufweist, die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen ist, um eine Timer-Zähldiagnoseverarbeitung auszuführen,wobei die Timer-Einrichtung (5, 6) durch zwei Timer-Einrichtungen (5, 6) gebildet wird, die unabhängig als ein duales System aktiviert werden; undwobei die Timer-Vergleichseinheit (7) die Timer-Zähldiagnoseverarbeitung ausführt, indem jeweilige Zählwerte der zwei aktivierten Timer-Einrichtungen (5, 6) verglichen werden und, wenn eine Differenz zwischen den Zählwerten der zwei Timer-Einrichtungen (5, 6) größer oder gleich einem voreingestellten festen Differenzwert ist, bestimmt wird, dass eine Zählabnormalität in zumindest einer der zwei Timer-Einrichtungen (5, 6) aufgetreten ist, und die Kabine gestoppt wird, wobeidie Berechnungsverarbeitungseinheit (1, 2)die zwei Timer-Einrichtungen (5, 6) aktiviert und die Timer-Vergleichseinheit (7) dazu veranlasst, die Timer (5, 6)-Zähldiagnoseverarbeitung auszuführen, nachdem ein Diagnoseerlaubnissignal von einer Bewegungssteuervorrichtung, die eine Gesamtbewegung des Aufzugs steuert, in Reaktion auf ein Diagnosestartsignal empfangen wird, das dadurch an die Bewegungssteuervorrichtung übertragen wird,bestimmt, dass die zwei Timer-Einrichtungen (5, 6) normal sind, und die Timer (5, 6)-Zähldiagnoseverarbeitung beendet, wenn die Timer-Vergleichseinheit (7) nicht bestimmt, dass die Zählabnormalität aufgetreten ist, bis die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen,bestimmt, dass eine Abnormalität in zumindest einer der zwei Timer-Einrichtungen (5, 6) aufgetreten ist, und die Kabine anhält, wenn die Timer-Vergleichseinheit (7) bestimmt, dass die Zählabnormalität aufgetreten ist, bevor die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen,die Timer-Zähldiagnoseverarbeitung unterbricht, die von der Timer-Vergleichseinheit (7) ausgeführt wird, und aktuelle Zählwerte als Zählerhaltewerte speichert, nachdem ein Dienstanforderungs-Erzeugungssignal von der Bewegungssteuervorrichtung empfangen wurde, während die Timer-Zähldiagnoseverarbeitung läuft, unddie Zählerhaltewerte als Anfangswerte einstellt, die zwei Timer-Einrichtungen (5, 6) reaktiviert und die Timer-Vergleichseinheit (7) dazu veranlasst, die Timer-Zähldiagnoseverarbeitung wieder aufzunehmen, nachdem das Diagnoseerlaubnissignal von der Bewegungssteuervorrichtung wieder empfangen wird, während die Timer-Zähldiagnoseverarbeitung unterbrochen ist.

Description

Technisches Gebiet
Diese Erfindung betrifft eine Aufzugsicherheits-Steuervorrichtung und ein Aufzugsicherheits-Steuerverfahren, bei denen eine Timer-Einrichtung zum Messen der Zeit verwendet wird, die eine Kabine benötigt, um anzuhalten, wenn eine Anomalität bzw. Abnormalität erfasst wird, und insbesondere eine Timer-Diagnosefunktion davon.
Technologischer Hintergrund
In einer herkömmlichen Aufzugsicherheits-Steuervorrichtung, und spezifischer in einer elektronischen Sicherheitssteuervorrichtung, kann die Sicherheitssteuervorrichtung eine Abnormalität in sich selbst erfassen. Wenn diese herkömmliche Vorrichtung eine Abnormalität erfasst, gibt die Vorrichtung zuerst einen Stopp- bzw. Haltebefehl für eine nächste Etage an die Aufzugsteuervorrichtung aus, so dass eine Kabine auf der nächsten Etage angehalten wird. Ferner gibt die herkömmliche Vorrichtung, wenn eine voreingestellte Zeit nach einer Ausgabe des Stoppbefehls für die nächste Etage abgelaufen ist, einen Notfall-Stoppbefehl an die Aufzugsteuervorrichtung aus, so dass bei der Kabine ein Notfallstopp implementiert wird (siehe zum Beispiel PTL 1).
Zitatsliste
Patentliteratur

[PTL 1] WO 2006/ 090 470 A1
[PTL 2] EP 1 852 382 A1 (Familienmitglied der PTL 1)
[PTL 3] JP S56- 157 215 A

Zusammenfassung der Erfindung
Technisches Problem
Der Stand der Technik umfasst jedoch das folgende Problem.
Die herkömmliche Vorrichtung der PTL 1 umfasst einer Timer-Schaltung, die die Zeit zählt, die zum Anhalten auf der nächsten Etage und zum Überprüfen der Zuverlässigkeit der Timer-Einrichtung benötigt wird, wobei die Timer-Schaltung periodisch während Dienstunterbrechungen betätigt bzw. betrieben werden muss. Im Ergebnis tritt ein Problem dahingehend auf, dass während einer Timer-Diagnose entweder der Aufzug nicht betätigt werden kann oder eine Abnormalität in der Timer-Einrichtung nicht erfasst werden kann, bis eine Zeitgrenze der Timer-Einrichtung erreicht ist.
Diese Erfindung wurde entworfen, um das oben beschriebene Problem zu lösen, und es ist eine Aufgabe derselben, eine Aufzugsicherheits-Steuervorrichtung und ein Aufzugsicherheits-Steuerverfahren zu erhalten, bei denen eine Zuverlässigkeit und Verfügbarkeit während einer Sicherheitssteuerung unter Verwendung einer Timer-Einrichtung sichergestellt werden kann.
Lösung des Problems
Das technische Problem bzw. die Aufgabe wird mit den Merkmalen des Vorrichtungsanspruchs 1 gelöst.
Ferner wird die Aufgabe durch ein Aufzugsicherheits-Steuerverfahren gemäß Anspruch 4 gelöst.
Vorteilhafte Wirkungen der Erfindung
Gemäß dieser Erfindung werden Timer-Einrichtungen, die als Zähler zum Zählen der Zeit verwendet werden, die ein Aufzug benötigt, um anzuhalten, wenn eine Abnormalität im Aufzug folgend auf eine Ausführung einer Sicherheitsüberwachungsfunktion erfasst wird, als duales System verwendet und es wird eine Funktion zum Diagnostizieren einer Zuverlässigkeit in den Timer-Einrichtungen des dualen Systems vorgesehen, indem jeweilige Zählwerte der Timer-Einrichtungen verglichen werden. Wenn bestimmt wird, dass eine Abnormalität in der Timer-Einrichtung aufgetreten ist, kann eine Kabine angehalten werden. Im Ergebnis ist es möglich, eine Aufzugsicherheits-Steuervorrichtung zu erhalten, in welcher eine Zuverlässigkeit und Verfügbarkeit während einer Sicherheitssteuerung unter Verwendung einer Timer-Einrichtung sichergestellt werden kann.
Figurenliste

1 stellt eine Ansicht dar, die eine Gesamtkonfiguration einer Aufzugsicherheits-Steuervorrichtung gemäß einer ersten Ausführungsform dieser Erfindung zeigt.
2 stellt ein Flussidagramm dar, das eine Serie von Tätigkeiten bzw. Operationen zeigt, die während einer Timer-Verarbeitung durch die Sicherheitssteuervorrichtung gemäß der ersten Ausführungsform dieser Erfindung ausgeführt werden.
3 stellt ein Flussidagramm dar, das eine Serie von Tätigkeiten bzw. Operationen zeigt, die während Timer-Diagnoseverarbeitung durch die Sicherheitssteuervorrichtung gemäß der ersten Ausführungsform dieser Erfindung ausgeführt werden.
4 stellt eine Ansicht dar, die eine Gesamtkonfiguration einer Aufzugsicherheits-Steuervorrichtung gemäß einer zweiten Ausführungsform dieser Erfindung zeigt.

Beschreibung der Ausführungsformen
Bevorzugte Ausführungsformen einer Aufzugsicherheits-Steuervorrichtung und eines Aufzugsicherheits-Steuerverfahrens gemäß dieser Erfindung werden unten unter Verwendung der Zeichnungen beschrieben werden.
Erste Ausführungsform
1 stellt eine Ansicht dar, die eine Gesamtkonfiguration einer Aufzugsicherheits-Steuervorrichtung gemäß einer ersten Ausführungsform dieser Erfindung zeigt. Eine Sicherheitssteuervorrichtung 10 gemäß der ersten Ausführungsform ist eingerichtet, eine doppelte erste und zweite CPU (Central Processing Unit) 1, 2 aufzuweisen. Obwohl es in der Zeichnung nicht gezeigt ist, umfasst jede der ersten und zweiten CPUs 1, 2 einen ROM (Read Only Memory), einen RAM (Random Access Memory), einen Taktgeber, eine Funktionswächter-Überwachungsschaltungs-Timer-Einrichtung, einen Bus usw.
Die erste CPU 1 und die zweite CPU 2 sind über eine Kommunikationsleitung miteinander verbunden und implementieren eine CPU-Fehlerdiagnose, indem Berechnungsergebnisse miteinander verglichen werden. Ferner führt die Sicherheitssteuervorrichtung 10 eine Sicherheitssteuerfunktion, eine Selbstdiagnosefunktion und eine Timer-Diagnosefunktion unter Verwendung von Software aus, die in der ersten CPU 1 bzw. der zweiten CPU 2 installiert ist.
Die erste CPU 1 und die zweite CPU 2 überwachen den Zustand eines Aufzugs, indem Signale von einem sicherheitsbezogenen Schalter/Sensor 11, der durch eine elektrische Verkabelung damit verbunden ist, bzw. einer externen Sicherheitssteuervorrichtung 12 empfangen werden, die durch eine Kommunikationsleitung damit verbunden ist. Eine Ausgabe der Sicherheitssteuervorrichtung 10, die über Ausgabe-Schnittstellen 3, 4 ausgegeben wird, ist mit Energieversorgungen (Energieversorgungsschaltungen) einer Hubmaschine 14 bzw. einer Bremse 15 entweder direkt oder über eine Sicherheitsschaltung 13 des Aufzugs oder dergleichen verbunden.
Wenn bestimmt wird, dass sich der Aufzug in einem Normalzustand befindet, gibt die Sicherheitssteuervorrichtung 10 ein Signal zum Einstellen der Energieversorgungen der Hubmaschine 14 und der Bremse 15 in einem verbundenen Zustand über die Ausgabe-Schnittstellen 3, 4 aus. Spezifischer bedeutet dies, dass die Sicherheitssteuervorrichtung 10 eine Ausgabe zum EIN-schalten von Relais oder Schaltelementen, zum Beispiel optischen Koppeleinrichtungen oder MOSFETs (Metalloxidhalbleiter-Feldeffekttransistoren), erzeugt.
Wenn bestimmt wird, dass sich der Aufzug in einem unsicheren bzw. gefährlichen Zustand befindet, gibt die Sicherheitssteuervorrichtung 10 andererseits ein Signal zum Abtrennen bzw. Abschneiden der Energieversorgungen der Hubmaschine 14 bzw. der Bremse 15 über die Ausgabe-Schnittstellen 3, 4 aus. Dies bedeutet spezifischer, dass die Sicherheitssteuervorrichtung 10 eine Ausgabe zum AUS-schalten der Relais oder der Schaltelemente erzeugt.
Eine Bewegungssteuervorrichtung 16 bewegt eine Kabine, indem die Hubmaschinen-Energieversorgung (ein Inverter), die mit der Hubmaschine 14 verbunden ist, derart gesteuert wird, dass sich die Hubmaschine dreht. Ferner lässt eine Bremsenergieversorgungs-Steuervorrichtung, die in der Zeichnung nicht gezeigt ist, einen Strom durch die Bremsspule fließen, indem die Bremsenergieversorgung (ein Gleichstromwandler) gesteuert wird, wodurch eine elektromagnetische Bremse derart angezogen („pulling up“) wird, dass die Bremse gelöst wird. Des Weiteren sind die Bewegungssteuervorrichtung 16 und die Sicherheitssteuervorrichtung 10 über eine Kommunikationsleitung miteinander verbunden.
Unter normalen Bedingungen werden Schaltelemente, die mit Energieversorgungen zum Ansteuern eines Isolierelements (zum Beispiel einer optischen Koppeleinrichtung), das zwischen der Bewegungssteuervorrichtung 16 und der Hubmaschinen-Energieversorgung angeordnet ist, bzw. eines Isolierelements, das zwischen der Bremsenergieversorgungs-Steuervorrichtung und der Bremsenergieversorgung vorgesehen ist, durch die Sicherheitssteuervorrichtung 10 über die Ausgabe-Schnittstellen 3, 4 EIN-geschaltet und im Ergebnis werden die Hubmaschine 14 und die Bremse 15 betriebsbereit.
Die Sicherheitssteuervorrichtung 10 empfängt Signale vom externen sicherheitsbezogenen Schalter/Sensor 11 oder der externen Sicherheitssteuervorrichtung 12. Dann, wenn auf Basis der empfangenen Signale bestimmt wurde, dass sich der Aufzug in einem unsicheren Zustand befindet, schaltet die Sicherheitssteuervorrichtung 10 die Schaltelementen AUS. Durch ein AUS-schalten der Schaltelemente auf diese Weise, trennt die Sicherheitssteuervorrichtung 10 die Energieversorgung zu den Isolierelementen, so dass Befehle von der Bewegungssteuervorrichtung 16 und der Bremsenergieversorgungs-Steuervorrichtung die Hubmaschinen-Energieversorgung und die Bremsenergieversorgung nicht erreichen. Im Ergebnis stoppt die Hubmaschine eine Rotation und ein Bremsstrom wird nicht länger erzeugt. Dementsprechend wird eine Bremsung derart eingesetzt, dass die Kabine anhält.
2 stellt ein Flussidagramm dar, das eine Serie von Operationen bzw. Tätigkeiten zeigt, die während einer Timer-Verarbeitung durch die Sicherheitssteuervorrichtung 10 gemäß der ersten Ausführungsform dieser Erfindung ausgeführt werden. Dies bedeutet spezifischer, dass die Serie von Vorgängen, die in 2 gezeigt sind, unabhängig von der ersten CPU 1 und der zweiten CPU 2, die in der Sicherheitssteuervorrichtung 10 vorgesehen sind, in Bezug auf jeweilige Timer-Einrichtungen davon implementiert sind.
Nach einem Erfassen einer Abnormalität gibt die Sicherheitssteuervorrichtung 10 einen Stoppbefehl für eine nächste Etage an die Bewegungssteuervorrichtung 16 aus, um die Kabine auf der nächsten Etage anzuhalten (Schritt S201). Ferner initialisiert die Sicherheitssteuervorrichtung 10 zur gleichen Zeit, wie der Stoppbefehl für die nächste Etage ausgegeben wird, Timer-Zähler auf 0 (Schritt S202) und aktualisiert die Timer-Zähler schrittweise mittels einer periodischen Verarbeitung oder CPU-Timer-Unterbrechungen, die beachtlich kürzer als eine Zeitgrenze der Timer-Einrichtungen sind (Schritt S203).
Wenn der Timer-Zähler einen voreingestellten Zeitgrenze-Bestimmungswert (zum Beispiel fünf Minuten) überschreitet (Schritt S204), implementiert die Sicherheitssteuervorrichtung 10 einen Notfallstopp bei der Kabine, indem die Ausgabe AUS-geschaltet wird über die Ausgabe-Schnittstellen 3, 4, so dass die Energieversorgung an die Hubmaschine 14 und die Bremse 15 abgeschnitten wird (Schritt S205). Ferner weist die Sicherheitssteuervorrichtung 10 die Bewegungssteuervorrichtung 16 an, einen Dienst anzuhalten (Schritt S206), und beendet dann die Serie der Vorgänge.
3 stellt ein Flussidagramm dar, das eine Serie von Operationen bzw. Tätigkeiten zeigt, die während einer Timer-Diagnoseverarbeitung durch die Sicherheitssteuervorrichtung 10 gemäß der ersten Ausführungsform dieser Erfindung ausgeführt wird. Dies bedeutet spezifischer, dass die Serie der Vorgänge, die in 3 gezeigt sind, unabhängig durch die erste CPU 1 und die zweite CPU 2, die in der Sicherheitssteuervorrichtung 10 vorgesehen sind, in Bezug auf die jeweiligen Timer-Einrichtungen davon implementiert ist, indem Verarbeitungsergebnisse, die dadurch erhalten werden, mit den Verarbeitungsergebnissen verglichen werden, die durch die andere CPU erhalten werden.
Wenn eine feste Zeit (zum Beispiel ein Tag) seit der vorherigen Timer-Diagnose vergangen ist oder ein Signal für eine mögliche Timer-Diagnoseimplementierung („timer diagnosis implementation possible signal“) (ein Etagenstoppsignal), das angibt, dass ein Etagenstopp oder dergleichen läuft, und deshalb eine Timer-Diagnose durchgeführt werden kann, von der Bewegungssteuervorrichtung 16 empfangen wird, überträgt die Sicherheitssteuervorrichtung 10 ein Timer-Diagnosestartsignal an die Bewegungssteuervorrichtung 16, um die Bewegungssteuervorrichtung 16 über ein Starten der Timer-Diagnose zu informieren (Schritt S300). Nachdem das Timer-Diagnosestartsignal empfangen wurde, überträgt die Bewegungssteuervorrichtung 16 ein Timer-Diagnoseerlaubnissignal an die Sicherheitssteuervorrichtung 10, wenn sich der Aufzug nicht bewegt (d.h. wenn der Aufzug nicht gerufen wurde).
Nachdem das Timer-Diagnoseerlaubnissignal von der Bewegungssteuervorrichtung 16 empfangen wurde (Schritt S301), schreitet die Sicherheitssteuervorrichtung 10 zum Schritt S302 fort. Wenn das Timer-Diagnoseerlaubnissignal für eine vorbestimmte Zeit nicht empfangen werden kann, gibt die Sicherheitssteuervorrichtung 10 einen Bewegungsstoppbefehl an die Bewegungssteuervorrichtung 16 aus und implementiert eine Diagnose, wie nachfolgend erläutert.
Wenn eine feste Zeit (zum Beispiel ein Tag) seit der vorherigen Timer-Diagnose vergangen ist, beginnt die Sicherheitssteuervorrichtung 10 eine Timer-Diagnoseverarbeitung (Schritt S302).
[Diagnose einer Ausgabeeinheit]
(Entsprechend einer Verarbeitung der Schritte S301 bis S309)
Als Erstes bestimmt die Sicherheitssteuervorrichtung 10, ob die Ausgabe-Schnittstellen 3, 4 (in der nachfolgenden Beschreibung auch als Ausgabeeinheit bezeichnet) normal arbeiten oder nicht, um so in einen AUS-Zustand zu schalten, wenn die Timer-Zähler den Zeitgrenze-Bestimmungswert erreichen. Dies bedeutet spezifischer, dass nach einer Bestimmung, dass die feste Zeit seit der vorherigen Diagnose vergangen ist, die Sicherheitssteuervorrichtung 10 die Timer-Zähler auf einen Wert einstellt, der durch Subtrahieren einer Diagnosezeit (zum Beispiel eine Sekunde) von dem voreingestellten Zeitgrenze-Bestimmungswert erhalten wird (Schritt S303), und dann beginnt ein Timer-Betrieb (Schritt S304).
Auf den Start des Timer-Betriebs folgend bestimmt die Sicherheitssteuervorrichtung 10, ob die Diagnosezeit abgelaufen ist oder nicht, indem bestimmt wird, ob die Timer-Zähler den Zeitgrenze-Bestimmungswert erreicht haben oder nicht (Schritt S305). Nach einem Bestimmen, dass die Diagnosezeit abgelaufen ist, überprüft die Sicherheitssteuervorrichtung 10, ob die Ausgabeeinheit in den AUS-Zustand geschaltet hat oder nicht, indem der Zustand der Ausgabe-Schnittstellen 3, 4 gelesen wird (Schritt S306).
Wenn als Ergebnis der Bestimmung im Schritt S306 festgestellt wird, dass sich die Ausgabeeinheit nicht in dem AUS-Zustand befindet, bestimmt die Sicherheitssteuervorrichtung 10, dass die Ausgabeeinheit nicht normal arbeitet, und deshalb, dass ein Fehler erfasst wurde (Schritt S307). Dementsprechend stellt die Sicherheitssteuervorrichtung 10 Signale zum EIN-Schalten der Energieversorgungen der Hubmaschine 14 bzw. der Bremse 15 in einen Ausgabe-AUS-Zustand ein (Schritt S308), gibt eine Aufzugdienst-Halteanweisung an die Bewegungssteuervorrichtung 16 (Schritt S309) aus und beendet dann die Serie der Vorgänge.
Mittels dieser Verarbeitung kann die Sicherheitssteuervorrichtung 10 bestimmen, ob die Ausgabeeinheit innerhalb einer kurzen Diagnosezeit (zum Beispiel in einer Sekunde oben) normal arbeitet oder nicht. Ferner kann, wenn eine Abnormalität im Betrieb der Ausgabeeinheit diagnostiziert wird, die Sicherheitssteuervorrichtung 10 die Ausgabe-Schnittstellen 3, 4 wieder AUS-Schalten, um die Energieversorgung an Hubmaschine 14 und die Bremse 15 abzuschneiden, und gibt eine Aufzugdienst-Stoppanweisung an die Bewegungssteuervorrichtung 16 aus.
Wenn die feste Zeit (zum Beispiel ein Tag) seit der vorherigen Timer-Diagnose im Schritt S302 nicht abgelaufen ist, kann die Diagnose, die auf der Ausgabeeinheit in den Schritten S303 bis S306 implementiert ist, weggelassen werden und die Routine könnte damit fortfahren, eine Timer-Zähleinheit zu diagnostizieren, die vom Schritt S310 fortschreitend implementiert wird, wie unten beschrieben.
Die Routine könnte fortfahren, die Timer-Zähleinheit zu diagnostizieren, die ebenso vom Schritt S310 fortfahrend implementiert ist, wie unten beschrieben, wenn als ein Ergebnis der Bestimmung im Schritt S306 festgestellt wird, dass sich die Ausgabeeinheit im AUS-Zustand befindet, und deshalb, dass die Ausgabe-Schnittstellen normal betrieben werden.
[Diagnose einer Timer-Zähleinheit] (entsprechend einer Verarbeitung des Schritts S310 fortschreitend)
Als Nächstes diagnostiziert die Sicherheitssteuervorrichtung 10 eine Timer-Zähleinheit. Dies bedeutet spezifischer, dass die Sicherheitssteuervorrichtung 10 die Timer-Zähleinheit diagnostiziert, indem Zählwerte, die durch die erste CPU 1 bzw. die zweite CPU 2 erhalten werden, verglichen werden.
Als Erstes stellen die erste CPU 1 und die zweite CPU 2 der Sicherheitssteuervorrichtung 10 die jeweiligen Timer-Zähler, die dort vorgesehen sind, auf einen Zählerhaltewert (anfänglich 0) ein (Schritt S310) und starten dann Timer-Tätigkeiten der jeweiligen Timer-Einrichtungen, die das duale System bilden (Schritt S311). Die erste CPU 1 und die zweite CPU 2 aktualisieren dann die Timer-Zähler periodisch und vergleichen den Zählwert der Timer-Einrichtung, die darin vorgesehen ist, mit dem Zählwert der Timer-Einrichtung, die in der anderen CPU vorgesehen ist (Schritt S312).
Wenn als Ergebnis des Vergleichs im Schritt S312 festgestellt wird, dass eine Differenz zwischen den Timer-Zählerwerten der ersten CPU 1 bzw. der zweiten CPU 2 größer oder gleich einem festen Wert ist, wird bestimmt, dass ein Timer-Fehler, der durch eine Zählabnormalität veranlasst ist, aufgetreten ist, und deshalb werden die Timer-Einrichtungen angehalten und die Verarbeitung der Schritte S307 bis S309, die oben beschrieben ist, wird ausgeführt, wobei die Serie der Vorgänge beendet wird.
Wenn als ein Ergebnis des Vergleichs im Schritt S312 festgestellt wird, dass die Differenz zwischen den jeweiligen Timer-Zählerwerten der ersten CPU 1 und der zweiten CPU 2 kleiner als der feste Wert ist, schreitet die Routine andererseits zum Schritt S313 fort, wo eine Bestimmung durchgeführt wird, ob die Timer-Zählerwerte kleiner als der Zeitgrenze-Bestimmungswert sind oder nicht. Danach wird die Verarbeitung der Schritte S312 und S313 wiederholt ausgeführt, bis die Timer-Zählerwerte den Zeitgrenze-Bestimmungswert erreichen. Wenn die Differenz zwischen den jeweiligen Timer-Zählerwerten kleiner als der feste Wert bleibt und die Timer-Zählerwerte den Zeitgrenze-Bestimmungswert erreichen, bestimmt die Sicherheitssteuervorrichtung 10, dass der Timer-Zählbetrieb normal ist, und hält die Timer-Einrichtungen deshalb an (Schritt S314), stellt die Zählerhaltewerte auf 0 ein (Schritt S315) und schreitet dann zum Schritt S319 fort, wie es später beschrieben wird.
Währenddessen überträgt, wenn der Aufzug gerufen wird (d.h., wen ein Dienst angefordert wird), bevor die Timer-Zählerwerte den Zeitgrenze-Bestimmungswert erreichen, die Bewegungssteuervorrichtung 16 ein Timer-Diagnoseunterbrechungs-Anforderungssignal an die Sicherheitssteuervorrichtung 10. Nachdem das Timer-Diagnoseunterbrechungs-Anforderungssignal empfangen wurde, bestimmt die Sicherheitssteuervorrichtung 10, dass ein Dienst angefordert wurde, bevor die Timer-Zählerwerte den Zeitgrenze-Bestimmungswert erreicht haben (Schritt S316) und fährt zur Verarbeitung des Schritts S317 fortschreitend fort.
Die Sicherheitssteuervorrichtung 10 stoppt dann die Timer-Einrichtungen (Schritt S317), stellt die Timer-Zählerwerte auf die Zeit wie die Zählerhaltewerte ein (Schritt S318) und schreitet zur Verarbeitung des Schritts S319 fort.
Schließlich beendet die Sicherheitssteuervorrichtung 10 die Timer-Diagnose, die der Verarbeitung des Schritts S315 folgt, und folgend der Verarbeitung des Schritts S318 unterbricht die Sicherheitssteuervorrichtung 10 die Timer-Diagnose, überträgt ein Timer-Diagnosebeendigungssignal an die Bewegungssteuervorrichtung 16 (Schritt S319) und beendet dann die Serie der Vorgänge. Nachdem das Timer-Diagnosebeendigungssignal empfangen wurde, nimmt die Bewegungssteuervorrichtung 16 einen Aufzugdienst wieder auf.
Wenn das Timer-Diagnoseerlaubnissignal nachfolgend von der Bewegungssteuervorrichtung 16 empfangen wird und die feste Zeit seit der vorherigen Timer-Diagnose vergangen ist, implementieren die erste CPU 1 bzw. die zweite CPU 2 eine [Diagnose der Ausgabeeinheit] und stellen dann die Zählerhaltewerte als die Timer-Zählerwerte ein und nehmen eine [Diagnose einer Timer-Zähleinheit] wieder auf.
Ferner stellen die erste CPU 1 und die zweite CPU 2, wenn das Timer-Diagnoseerlaubnissignal nachfolgend von der Bewegungssteuervorrichtung 16 empfangen wird und die feste Zeit seit der vorherigen Timer-Diagnose nicht vergangen ist, die Zählerhaltewerte als die Timer-Zählerwerte ohne Implementierung von [Diagnose einer Ausgabeeinheit] ein und nehmen dann eine [Diagnose einer Timer-Zähleinheit] wieder auf.
Durch Implementieren dieser Verarbeitung kann eine [Diagnose einer Ausgabeeinheit] schnell zu festen Zeitintervallen implementiert werden, während eine [Diagnose einer Timer-Zähleinheit] als eine kontinuierliche Diagnose implementiert werden kann, indem die vorherige Diagnose unter Verwendung der Zählerhaltewerte jedes Mal wieder aufgenommen wird, wenn das Timer-Diagnoseerlaubnissignal empfangen wird.
Es ist festzustellen, dass, wenn eine Abnormalität in entweder der ersten CPU 1 oder der zweiten CPU 2 als Ergebnis der Timer-Diagnose einschließlich einer [Diagnose einer Ausgabeeinheit] und einer [Diagnose einer Timer-Zähleinheit] erfasst wird, die erste CPU 1 und die zweite CPU 2 jeweils eine nachfolgende Verarbeitung durchführen.

• Die andere CPU wird über die erfasste Abnormalität benachrichtigt.
• Die Ausgabe zumindest eines Systems (CPU) wird AUS-geschaltet, wodurch die Hubmaschinen-Energieversorgung und die Bremsenergieversorgung derart abgeschnitten werden, dass die Kabine anhält.
• Eine Dienststoppanforderung (ein Abnormalitätserfassungssignal) wird an die Bewegungssteuervorrichtung 16 übertragen.

Nachdem die Dienststoppanforderung (das Abnormalitätserfassungssignal) empfangen wurde, stoppt die Bewegungssteuervorrichtung 16 einen Dienst. Es ist festzustellen, dass, wenn ein Dienst schon angehalten ist, die Dienstunterbrechung fortgesetzt wird.
Nachfolgende Funktionen könnten in der Sicherheitssteuervorrichtung 10 als die Sicherheitsüberwachungsfunktion anstatt der Timer-Diagnosefunktion vorgesehen sein.
[Schutzfunktion für unbeabsichtigte Kabinenbewegung]
In dieser Funktion werden Signale von jeweiligen Türschaltern zum Bestimmen eingegeben, ob eine Kabinentür und eine Anlandungstür offen oder geschlossen sind, und von einem Anlandungssensor zum Bestimmen eingegeben, dass sich die Kabine innerhalb einer Anlandungszone befindet. Wenn bestimmt wird, dass sich die Kabine außerhalb der Anlandungszone befindet, während eine Tür offen ist, wird ein Notfallstopp implementiert.
[Wartungsarbeiter-Schutzfunktion]
In dieser Funktion werden Signale von den jeweiligen Türschaltern zum Bestimmen eingegeben, ob die Kabinentür und die Anlandungstür offen oder geschlossen sind. Wenn bestimmt wird, dass ein Wartungsarbeiter eine der Türen geöffnet hat, wird ein Befehl an die Bewegungssteuervorrichtung herausgegeben, um einen automatischen Betrieb zu deaktivieren bzw. abzuschalten.
[Elektrische Notfallbetriebsfunktion]
In dieser Funktion werden Signale von jeweiligen Schaltern zum Überwachen einer Bewegung der Kabine und Signale eingegeben, die von einem durch einen Wartungsarbeiter erzeugten Antriebsbetriebssignal erhalten werden. Während eines Betriebs zum Retten eines Passagiers oder dergleichen, wenn der Passagier eingeschlossen ist, werden Signale von einigen der Schalter deaktiviert bzw. abgeschaltet.
[Türschalter-Umgehungsbetriebsfunktion]
In dieser Funktion werden Signale von den jeweiligen Türschaltern zum Bestimmen, ob die Kabinentür und die Anlandungstür offen oder geschlossen sind, und Signale eingegeben, die aus dem Antriebsbetriebssignal erhalten werden, das durch den Wartungsarbeiter erzeugt wird. Während einer Türschaltinspektion, sind die Signale der Türschalter deaktiviert bzw. abgeschaltet.
[Notfallanschluss-Verzögerungsfunktion]
In dieser Funktion werden Signale von einem Schalter, der in einem Gang angeordnet ist, um eine Bewegung der Kabine zu erfassen, und einen Geber eingegeben, der an einem Geschwindigkeitsregler oder der Hubmaschine angebracht ist. Wenn die Übergeschwindigkeit der Kabine erfasst wird, wird ein Notfallstopp implementiert.
Andere Funktionen zum Überwachen des Zustand des Aufzugs und zum Implementieren eines Notfallstopps, wenn bestimmt wird, dass sich der Aufzug in einem unsicheren Zustand befindet, könnten ebenfalls umfasst sein. Wenn die Sicherheitssteuervorrichtung eine Abnormalität im Aufzug durch eine Sicherheitsüberwachungsfunktion erfasst, die sich von der Timer-Diagnosefunktion unterscheidet, implementiert die Sicherheitssteuervorrichtung die Serie der Vorgänge, die in 2 gezeigt ist.
Ferner führt Sicherheitssteuervorrichtung eine Diagnose bezüglich der Timer-Einrichtungen aus, die in der Serie der Vorgänge verwendet werden, die in 2 gezeigt ist, indem die Serie der Vorgänge implementiert wird, die in 3 gezeigt ist.
Es ist festzustellen, dass alle Funktionen, die oben beschrieben sind, entweder in der Sicherheitssteuervorrichtung oder der externen Sicherheitssteuervorrichtung installiert sein können.
Gemäß der ersten Ausführungsform, wie oben beschrieben, kann durch Vorsehen einer Timer-Diagnosefunktion, die eine Diagnose der Ausgabeeinheit und eine Diagnose der Timer-Zähleinheit umfasst, eine Zuverlässigkeit in der Timer-Funktion sichergestellt werden, die beim Erfassen einer Abnormalität in der Aufzugsicherheits-Steuervorrichtung verwendet wird.
Ferner kann eine Diagnose der Ausgabeeinheit schnell zu festen Zeitintervallen implementiert werden, während eine Diagnose der Timer-Zähleinheit kontinuierlich über eine Vielzahl von Zeitperioden implementiert werden kann, während denen die Timer-Diagnose implementiert werden kann. Im Ergebnis kann eine Diagnose zuverlässig, ohne einen Dienst zu stören, implementiert werden und deshalb können eine Zuverlässigkeit und Verfügbarkeit in der Aufzugsicherheits-Steuervorrichtung sichergestellt werden. Des Weiteren kann eine Abnormalität in der Timer-Einrichtung, die für eine Sicherheitssteuerung erforderlich ist, früh erfasst werden.
Zweite Ausführungsform
4 stellt eine Ansicht dar, die eine Gesamtkonfiguration einer Aufzugsicherheits-Steuervorrichtung gemäß einer zweiten Ausführungsform dieser Erfindung zeigt. Die Sicherheitssteuervorrichtung 10 gemäß der zweiten Ausführungsform unterscheidet sich von der Konfiguration der ersten Ausführungsform, die in 1 gezeigt ist, indem eine Timer-Einrichtung 5, eine Timer-Einrichtung 6 und eine Timer-Vergleichseinheit 7 außerhalb der ersten CPU 1 und der zweiten CPU 2 vorgesehen sind. Die nachfolgende Beschreibung fokussiert sich auf diese Konfigurationsunterschiede.
Wie in 4 gezeigt, sind in der Sicherheitssteuervorrichtung 10 gemäß der zweiten Ausführungsform die zwei Timer-Einrichtungen 5, 6 und Taktgeber (nicht gezeigt) außerhalb der ersten CPU 1 und der zweiten CPU 2 vorgesehen. Die Timer-Einrichtungen 5, 6 sind jeweils aus logischen Schaltungen gebildet, die jede eine Zähleinrichtung und einen Komparator aufweisen, und führen Zähloperationen durch, indem Taktimpulse gezählt werden.
Die Timer-Einrichtung 5 beginnt und stoppt einen Zählbetrieb bzw. eine Zähloperation in Reaktion auf einen Befehl von der ersten CPU 1, wodurch ein Timer-Zählerwert darin eingestellt wird, und wenn die Timer-Einrichtung 5 die Zeitgrenze erreicht, wird die Ausgabeeinheit AUS-geschaltet, so dass die Energieversorgung an die Hubmaschine 14 und die Bremse 15 abgeschnitten werden kann.
Auf ähnliche Weise startet und stoppt die Timer-Einrichtung 6 einen Zählbetrieb in Reaktion auf einen Befehl von der zweiten CPU 2, wodurch ein Timer-Zählerwert darin eingestellt wird, und wenn die Timer-Einrichtung 6 die Zeitgrenze erreicht, wird die Ausgabeeinheit AUS-geschaltet, so dass die Energieversorgung an die Hubmaschine 14 und die Bremse 15 abgeschnitten werden kann.
Die Timer-Einrichtung 5 und die Timer-Einrichtung 6 können zum Beispiel durch CPLDs (Complex Programmable Logic Devices) oder FPGAs (field-programmable gate arrays) realisiert werden.
Die Timer-Vergleichseinheit 7 ist zwischen den beiden Timer-Einrichtungen 5, 6 vorgesehen, um die Timer-Zählerwerte der zwei Timer-Einrichtungen 5, 6 zu vergleichen. Wenn eine Differenz zwischen den Timer-Zählerwerten der zwei Timer-Einrichtungen 5, 6 größer oder gleich einem festen Wert ist, bestimmt die Timer-Vergleichseinheit 7, dass eine Abnormalität aufgetreten ist, und gibt ein Abnormalitätserfassungssignal an die erste CPU 1 und die zweite CPU 2 oder die Ausgabe-Schnittstellen 3, 4 aus, um die Ausgabeeinheit AUS-zuschalten und dadurch die Energieversorgung an die Hubmaschine 14 und die Bremse 15 so abzuschneiden, dass die Kabine anhält.
Alle anderen Konfigurationen und Vorgänge sind ähnlich zu der ersten Ausführungsform und deshalb wurde deren Beschreibung weggelassen.
Gemäß der zweiten Ausführungsform, wie oben beschrieben, können ähnlich wie bei der Konfiguration, die in 4 gezeigt ist, eine Zuverlässigkeit und Verfügbarkeit in der Aufzugsicherheits-Steuervorrichtung auf eine ähnliche Weise zu der ersten Ausführungsform sichergestellt werden und im Ergebnis kann eine Abnormalität in der Timer-Einrichtung, die für eine Sicherheitssteuerung erforderlich ist, noch früher erfasst werden.
Es ist festzustellen, dass in den ersten und zweiten Ausführungsformen Konfigurationen beschrieben wurden, bei denen zwei CPUs vorgesehen sind und Timer-Einrichtungen individuell für jede CPU vorgesehen sind. Jedoch ist der Hauptfokus dieser Erfindung ein Diagnostizieren einer Vielzahl von Timer-Operationen und deshalb könnte anstatt dessen eine einzelne CPU vorgesehen werden.
Ferner wurden in den ersten und zweiten Ausführungsformen Konfigurationen beschrieben, bei denen zwei doppelte Timer-Einrichtungen diagnostiziert werden, aber das Diagnoseverfahren gemäß dieser Erfindung könnte auch auf einen Fall angewendet werden, bei dem drei oder mehr Timer-Einrichtungen vorgesehen sind.

Claims

Aufzugsicherheits-Steuervorrichtung (10), die aufweist: eine Eingabeeinheit, die ein Überwachungssignal von einem Schalter oder einem Sensor zum Überwachen eines Zustands eines Aufzugs liest; zumindest eine Berechnungsverarbeitungseinheit (1, 2), die eine Sicherheitsüberwachungsfunktion auf Basis des Überwachungssignals ausführt, das durch die Eingabeeinheit gelesen wird, eine Timer-Einrichtung (5, 6), die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen ist, und eine Ausgabeeinheit (3, 4), die ein Signal zum Abschneiden von Energieversorgungen ausgibt, das jeweils an eine Hubmaschine und eine Bremse des Aufzugs geliefert wird, wobei die Aufzugsicherheits-Steuervorrichtung (10) derart eingerichtet ist, dass, wenn eine Abnormalität im Aufzug erfasst wird folgend auf eine Ausführung der Sicherheitsüberwachungsfunktion durch die Berechnungsverarbeitungseinheit (1, 2) auf Basis des durch die Eingabeeinheit eingelesenen Überwachungssignals, die Timer-Einrichtung (5, 6) aktiviert wird, und wenn eine Zeitgrenze der Timer-Einrichtung (5, 6) erreicht ist, ein Signal zum Abschneiden der Energieversorgungen aus der Ausgabeeinheit (3, 4) ausgegeben wird, wodurch die Energieversorgungen, die an die Hubmaschine und die Bremse geliefert werden, derart abgeschnitten werden, dass eine Kabine angehalten wird, wobei die Aufzugsicherheits-Steuervorrichtung (10) ferner eine Timer-Vergleichseinheit (7) aufweist, die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen ist, um eine Timer-Zähldiagnoseverarbeitung auszuführen, wobei die Timer-Einrichtung (5, 6) durch zwei Timer-Einrichtungen (5, 6) gebildet wird, die unabhängig als ein duales System aktiviert werden; und wobei die Timer-Vergleichseinheit (7) die Timer-Zähldiagnoseverarbeitung ausführt, indem jeweilige Zählwerte der zwei aktivierten Timer-Einrichtungen (5, 6) verglichen werden und, wenn eine Differenz zwischen den Zählwerten der zwei Timer-Einrichtungen (5, 6) größer oder gleich einem voreingestellten festen Differenzwert ist, bestimmt wird, dass eine Zählabnormalität in zumindest einer der zwei Timer-Einrichtungen (5, 6) aufgetreten ist, und die Kabine gestoppt wird, wobei die Berechnungsverarbeitungseinheit (1, 2) die zwei Timer-Einrichtungen (5, 6) aktiviert und die Timer-Vergleichseinheit (7) dazu veranlasst, die Timer (5, 6)-Zähldiagnoseverarbeitung auszuführen, nachdem ein Diagnoseerlaubnissignal von einer Bewegungssteuervorrichtung, die eine Gesamtbewegung des Aufzugs steuert, in Reaktion auf ein Diagnosestartsignal empfangen wird, das dadurch an die Bewegungssteuervorrichtung übertragen wird, bestimmt, dass die zwei Timer-Einrichtungen (5, 6) normal sind, und die Timer (5, 6)-Zähldiagnoseverarbeitung beendet, wenn die Timer-Vergleichseinheit (7) nicht bestimmt, dass die Zählabnormalität aufgetreten ist, bis die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen, bestimmt, dass eine Abnormalität in zumindest einer der zwei Timer-Einrichtungen (5, 6) aufgetreten ist, und die Kabine anhält, wenn die Timer-Vergleichseinheit (7) bestimmt, dass die Zählabnormalität aufgetreten ist, bevor die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen, die Timer-Zähldiagnoseverarbeitung unterbricht, die von der Timer-Vergleichseinheit (7) ausgeführt wird, und aktuelle Zählwerte als Zählerhaltewerte speichert, nachdem ein Dienstanforderungs-Erzeugungssignal von der Bewegungssteuervorrichtung empfangen wurde, während die Timer-Zähldiagnoseverarbeitung läuft, und die Zählerhaltewerte als Anfangswerte einstellt, die zwei Timer-Einrichtungen (5, 6) reaktiviert und die Timer-Vergleichseinheit (7) dazu veranlasst, die Timer-Zähldiagnoseverarbeitung wieder aufzunehmen, nachdem das Diagnoseerlaubnissignal von der Bewegungssteuervorrichtung wieder empfangen wird, während die Timer-Zähldiagnoseverarbeitung unterbrochen ist.
Aufzugsicherheits-Steuervorrichtung (10) nach Anspruch 1, wobei die Berechnungsverarbeitungseinheit (1, 2), nachdem das Diagnoseerlaubnissignal von der Bewegungssteuervorrichtung empfangen wurde, bestätigt, dass die Energieversorgungen, die an die Hubmaschine und die Bremse geliefert werden, abgeschnitten werden können, indem Werte, die der Zeitgrenze am Nächsten sind, als Anfangswerte eingestellt werden, die zwei Timer-Einrichtungen (5, 6) aktiviert werden und das Signal der Ausgabeeinheit (3, 4) gelesen wird, sobald die Zeitgrenze erreicht ist.
Aufzugsicherheits-Steuervorrichtung nach Anspruch 1 oder 2, wobei die Berechnungsverarbeitungseinheit (1, 2), die eine Abnormalität im Aufzug erfasst hat, indem eine Zeit, die die Kabine braucht, um auf einer Zieletage oder einer nächsten Etage anzuhalten, als die Zeitgrenze eingestellt wird und indem die Sicherheitsüberwachungsfunktion auf Basis des durch die Eingabeeinheit gelesenen Signals ausgeführt wird, einen Stoppbefehl an die Bewegungssteuervorrichtung ausgibt, um die Kabine auf der Zieletage oder der nächsten Etage anzuhalten.
Aufzugsicherheits-Steuerverfahren, das durch eine Aufzugsicherheits-Steuervorrichtung (10) ausgeführt wird, die aufweist: eine Eingabeeinheit, die ein Überwachungssignal von einem Schalter oder einem Sensor zum Überwachen eines Zustands eines Aufzugs liest; zumindest eine Berechnungsverarbeitungseinheit (1, 2), die eine Sicherheitsüberwachungsfunktion auf Basis des Überwachungssignals ausführt, das durch die Eingabeeinheit gelesen wird; zwei Timer-Einrichtungen (5, 6), die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen sind und die unabhängig als ein duales System aktiviert werden; eine Ausgabeeinheit (3, 4), die ein Signal zum Abschneiden von Energieversorgungen ausgibt, das jeweils an eine Hubmaschine und eine Bremse des Aufzugs geliefert wird; und eine Timer-Vergleichseinheit (7), die entweder unabhängig von der Berechnungsverarbeitungseinheit (1, 2) oder in der Berechnungsverarbeitungseinheit (1, 2) vorgesehen ist, um eine Timer-Zähldiagnoseverarbeitung auszuführen, wobei Aufzugsicherheits-Steuerverfahren aufweist: einen ersten Schritt, in welchem die Berechnungsverarbeitungseinheit (1, 2) die zwei Timer-Einrichtungen (5, 6) aktiviert, nachdem ein Diagnoseerlaubnissignal von einer Bewegungssteuervorrichtung empfangen wird, die eine Gesamtbewegung des Aufzugs in Reaktion auf ein Diagnosestartsignal steuert, das dadurch an die Bewegungssteuervorrichtung übertragen wird; einen zweiten Schritt, in welchem die Timer-Vergleichseinheit (7) die Timer-Zähldiagnoseverarbeitung ausführt, indem jeweilige Zählwerte der zwei Timer-Einrichtungen (5, 6) verglichen werden, nachdem die zwei Timer-Einrichtungen (5, 6) im ersten Schritt aktiviert sind, und indem bestimmt wird, dass eine Zählabnormalität in zumindest einer der zwei Timer-Einrichtungen aufgetreten ist, wenn eine Differenz zwischen den Zählwerten der zwei Timer-Einrichtungen (5, 6) größer oder gleich einem voreingestellten festen Differenzwert ist, einen dritten Schritt, in welchem die Berechnungsverarbeitungseinheit (1, 2) bestimmt, dass die zwei Timer-Einrichtungen (5, 6) normal sind, und die Timer-Zähldiagnoseverarbeitung des zweiten Schritts beendet, wenn die Timer-Vergleichseinheit (7) nicht bestimmt, dass die Zählabnormalität im zweiten Schritt aufgetreten ist, bevor die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen; einen vierten Schritt, in welchem die Berechnungsverarbeitungseinheit (1, 2) die Kabine anhält, wenn die Timer-Vergleichseinheit (7) bestimmt, dass die Zählabnormalität im zweiten Schritt aufgetreten ist, bevor die jeweiligen Zählwerte der zwei Timer-Einrichtungen (5, 6) die Zeitgrenze erreichen; einen fünften Schritt, in welchem die Berechnungsverarbeitungseinheit (1, 2) die Timer-Zähldiagnoseverarbeitung des zweiten Schritts unterbricht und aktuelle Zählwerte als Zählerhaltewerte speichert, nachdem ein Dienstanforderungs-Erzeugungssignal von der Bewegungssteuervorrichtung empfangen wurde, während die Timer-Zähldiagnoseverarbeitung des zweiten Schritts läuft; und einen sechsten Schritt, in welchem die Berechnungsverarbeitungseinheit (1, 2) die Zählerhaltewerte als Anfangswerte einstellt, die zwei Timer-Einrichtungen (5, 6) reaktiviert und die Timer-Vergleichseinheit (7) dazu veranlasst, die Timer-Zähldiagnoseverarbeitung wieder aufzunehmen, nachdem das Diagnoseerlaubnissignal von der Bewegungssteuervorrichtung wieder empfangen wurde, während die Timer-Zähldiagnoseverarbeitung des zweiten Schritts unterbrochen ist.