EP3356273B1 - Verfahren und vorrichtung zur steuerung einer aufzugsanlage - Google Patents

Verfahren und vorrichtung zur steuerung einer aufzugsanlage Download PDF

Info

Publication number
EP3356273B1
EP3356273B1 EP16777650.9A EP16777650A EP3356273B1 EP 3356273 B1 EP3356273 B1 EP 3356273B1 EP 16777650 A EP16777650 A EP 16777650A EP 3356273 B1 EP3356273 B1 EP 3356273B1
Authority
EP
European Patent Office
Prior art keywords
monitoring
monitoring module
pulses
monitoring signal
signal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
EP16777650.9A
Other languages
English (en)
French (fr)
Other versions
EP3356273A1 (de
Inventor
Adrian KNECHT
Astrid Sonnenmoser
Ivo LUSTENBERGER
Kurt Heinz
Martin Hess
Thomas Hartmann
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inventio AG
Original Assignee
Inventio AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inventio AG filed Critical Inventio AG
Publication of EP3356273A1 publication Critical patent/EP3356273A1/de
Application granted granted Critical
Publication of EP3356273B1 publication Critical patent/EP3356273B1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0006—Monitoring devices or performance analysers
    • B66B5/0018—Devices monitoring the operating condition of the elevator system
    • B66B5/0031—Devices monitoring the operating condition of the elevator system for safety reasons
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B13/00—Doors, gates, or other apparatus controlling access to, or exit from, cages or lift well landings
    • B66B13/22—Operation of door or gate contacts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0043—Devices enhancing safety during maintenance
    • B66B5/005—Safety of maintenance personnel

Definitions

  • the invention relates to a method and a device for the secure control of an elevator system.
  • An elevator installation normally comprises an elevator car, an elevator shaft in which the elevator car moves, and a drive unit for moving the elevator car.
  • elevator systems have a safety circuit in which several safety elements, such as safety contacts and switches, are arranged in a series circuit.
  • the contacts monitor, for example, whether a landing door or the cabin door is open.
  • the elevator car can only be moved if the safety circuit and thus all safety contacts integrated in it are closed.
  • Some of the security elements are operated by the doors.
  • Other safety elements such as a drive-over switch, are actuated or triggered by the elevator car.
  • the safety circuit is connected to the drive or the brake unit of an elevator system in order to interrupt the driving operation if the safety circuit is opened.
  • Elevator systems are also known which, instead of the safety circuit mentioned, are equipped with a safety bus system which typically comprises a control unit, a safety bus and one or more bus nodes.
  • the WO2003008316A1 describes that today's elevator systems are designed for safety reasons so that a protective space in the form of a shaft pit is provided on the shaft floor to ensure that maintenance personnel in the shaft are not endangered when the elevator car moves to the lowest position in the shaft.
  • a protective space is usually provided at the top of the shaft - called the head of the shaft - so that maintenance personnel who carry out maintenance on the roof of the cabin are not endangered when the cabin moves to the uppermost position in the shaft.
  • An elevator system with a shelter at the bottom and at the top of the shaft is a few meters longer than the actual storey height of the building, which is served by the elevator. This applies to various types of elevator dispositions, such as Rope lifts, hydraulic lifts, linear motor lifts.
  • a detection device which detects whether a person is in a critical zone of the shaft, in particular within the shaft pit or the shaft head.
  • the detection can be carried out using any sensors, for example light barriers.
  • This detection device is connected to the drive unit of the elevator system in such a way that the elevator system can be converted into a special operating state if a person is in the critical zone or is about to enter it.
  • the detection device and the special control device are designed to be safety-relevant in order to prevent the elevator car from entering the critical zone under any circumstances if there is a person in it.
  • the safety-relevant design requires, for example, that important components are available redundantly, important functions of the control device run in parallel and their results are compared with one another and data is transmitted via parallel lines. The safety-relevant design of the elevator system is therefore associated with considerable effort.
  • the WO2013 / 045271A1 describes a device for the secure control of an elevator system.
  • the device has two counting devices by means of which movements of a shaft door can be recorded.
  • a counting device is only active when the power supply is intact.
  • the other counting device is designed to be self-sufficient in terms of energy and is therefore active both when the power supply is intact and also when it is down. Based on the count values of the two counting devices, it can be determined whether the shaft door was opened when the power supply failed.
  • the energy self-sufficient counting device has a permanent magnet and an induction unit, which enable the counting device to be operated without using a battery.
  • the WO2014 / 124779A1 also describes a device for the secure control of an elevator system.
  • the device has an interrogation device and a safety switch for monitoring a door lock of a landing door of the elevator installation. If the power supply fails, the interrogation unit can be supplied by an independent energy supply device, for example in the form of a battery.
  • the present invention is therefore based on the object of overcoming the disadvantages of the prior art and of specifying an improved method and an improved device for the secure control of an elevator system.
  • the method according to the invention and the device according to the invention should in particular be carried out by a service technician with as little maintenance as possible or be operable.
  • the method and the device according to the invention are intended to ensure long-term monitoring of the elevator installation in the event of power failures, so that it can be automatically restarted after a long-lasting power failure or several successive power failures and an inspection of the elevator installation by the maintenance personnel is not necessary.
  • testing and maintenance of the device should be necessary as rarely as possible.
  • the monitoring sensor is a switch contact coupled to the associated door lock, via which a monitoring signal is transmitted from an output to an input of the monitoring unit, which monitors the transmitted monitoring signal with regard to changes in state which occur when the door lock is actuated.
  • the output can also be referred to as a so-called output port and the input as a so-called input port of the monitoring unit. If the switch contact is opened, the transmission of the monitoring signal is interrupted and the opening of the switch contact is detected in the monitoring unit. This signal change or state change is registered in the monitoring unit.
  • Status data can be stored in the monitoring unit and made available for evaluation by the security unit or can already be evaluated in the monitoring unit, so that the monitoring unit transmits the result of the monitoring, the presence or absence of a person in the elevator shaft to the central security unit after the power failure has ended.
  • the monitoring signal is implemented as a sequence of pulses. Much less energy is required to transmit a sequence of pulses than to transmit a continuous direct current or alternating current. This means that the battery is less stressed compared to the transmission of a continuous direct current or alternating current. It is particularly advantageous if the monitoring signal is transmitted as a sequence of pulses which are relatively far apart from one another.
  • the battery Due to the low load on the battery due to the pulsed monitoring signal, the battery has a long service life, which enables a rare check of its charge status and a rare change of the battery. This means that the effort for testing and maintaining the monitoring unit is very low.
  • the monitoring signal is designed in particular as a sequence of identical pulses or as a sequence of different pulses with a fixed target shape.
  • the target shapes differ, for example, in the pulse position, the pulse shape, the pulse amplitude and / or the pulse width.
  • the invention which can be used in various types of elevator dispositions, such as, for example, rope elevators, hydraulic elevators, linear motor elevators, allows a person's access to the elevator shaft to be safely monitored and the transition of the elevator system to normal operation to be prevented if an event has been detected that indicates that a person may have entered the elevator shaft.
  • a critical status change is detected or recognized by the security unit, this is signaled to a control computer, for example.
  • the control unit can intervene directly in the elevator system and, for example, interrupt the power supply or the drive unit out of operation put.
  • the security unit can be integrated, for example, as a software module in the control computer or can be designed as a separate module that interacts with the control computer or other parts of the elevator system.
  • the elements for monitoring and safely controlling the elevator system can therefore be integrated into the other elements for controlling the elevator system or can be implemented independently thereof.
  • This access of a person into the elevator shaft is particularly critical when the elevator system, including the conventional security modules, if available, is switched off.
  • a person can lock a door e.g. operate with a tool or key, open the door and enter the elevator shaft and are at risk of injury when the system is started up. Automatic commissioning is therefore avoided for safety reasons. Instead, after a power failure, the maintenance staff checks whether the elevator shaft is free and the elevator system can be put into operation.
  • sensors can alternatively be provided which detect the presence of a person in the elevator shaft as soon as the system is started up. If this detection is to be carried out safely, it is associated with considerable effort. On the one hand, hardware and software must be carried out safely. On the other hand, sensors are to be provided in such a way that the person can be reliably detected at any point on the elevator shaft. The detection should also be ensured if the sensors are dirty or if abnormal conditions, e.g. Smoke development, prevail within the elevator shaft.
  • the problem is solved with comparatively simple and very safe measures.
  • an opening of the door or an actuation of the door lock is detected.
  • different monitoring sensors or measuring sensors can be used, such as motion sensors, pressure sensors, optical sensors, capacitance sensors that detect a mutual displacement of metal elements of the door, or motors that are operated as a generator when a door is moved manually.
  • Monitoring sensors that do not require any energy supply, such as switching elements that are actuated by an element of the door or the locking device, are particularly suitable.
  • the monitoring unit Since there is no power supply from the local network after the elevator system has been shut down, the monitoring unit is equipped with a battery and is designed such that it can be automatically switched over to autonomous operation when the elevator system is shut down.
  • a relay is provided which is activated by current from the network is and connects the circuit of the monitoring unit with an operating voltage. As soon as the power supply fails, the relay is deactivated and falls into an idle state in which the battery is connected to the circuit of the monitoring units.
  • the elevator system can therefore be permanently, i.e. be monitored during normal operation and also after decommissioning to determine whether a door or the lock has been actuated.
  • the monitoring of the elevator installation according to the invention during a power failure is of primary importance, since other means can also be used during normal operation. After the power failure has ended, the monitoring data can be read out from the monitoring units.
  • each of the monitoring units is connected to at least one monitoring sensor and monitors its state during autonomous operation and registers corresponding state data.
  • all doors are monitored that are likely to be opened in the event of a power failure in order to get into the elevator shaft.
  • each door to which a door lock is assigned is monitored, by means of which the assigned door can be unlocked and opened even in the event of a power failure.
  • a combination of monitoring unit and monitoring sensor can be arranged on each door.
  • the monitoring sensors can in particular be connected in series. In the event that one monitoring unit monitors several monitoring sensors, the method can be carried out particularly economically, since a separate monitoring unit with a battery is not necessary for each door.
  • the status data collected in the monitoring units is read out by the security unit.
  • the monitoring units are preferably initially switched from battery operation to mains operation.
  • the security unit decides whether a person may have actuated the lift doors and got into the elevator shaft and prevents the transition to normal operation. Instead, a fault message is preferably automatically transmitted locally to an output unit, a loudspeaker and / or a display of the elevator system, or decentrally to a maintenance service via a wired or wireless transmission channel, which subsequently checks the elevator system and puts it back into operation.
  • the elevator system is automatically switched back to normal operation. Maintenance personnel are not required in this case. After the power failure has ended, the elevator system can be automatically put back into normal operation. Equipping the elevator systems with the solution according to the invention thus significantly increases the availability of these elevator systems. Elevator systems that have already been installed can also be retrofitted with the solution according to the invention.
  • the monitoring unit comprises a first processor-controlled monitoring module, which transmits the monitoring signal to the switching contact at an output port and receives it again at an input port.
  • the monitoring unit comprises a first processor-controlled monitoring module which emits the monitoring signal at an output port and via the switching contact to an input port of a second monitoring module.
  • the physical separation of the transmission stage and the reception stage ensures that errors that occur in one monitoring module have no direct influence on the other monitoring module. This ensures particularly safe operation of the elevator system.
  • the two monitoring modules can also be provided with operating software in such a way that they alternately emit the monitoring signal from their output port to the switch contact or receive it at their input port. Due to the mutual operation, the monitoring modules can be fully used and tested, so that when a state changes, it can be determined at which point in the transmission path a state change or a transmission error was caused. If, for example, transmission is possible in one direction and interrupted in the other direction, an error can occur be closed in one of the transmission modules.
  • the advantage of the particularly safe operation of the elevator system through the use of two processor-controlled monitoring modules is also given if the monitoring signal, which is transmitted via the switch contact, is designed as a permanent DC or AC signal and thus not as a pulsed signal.
  • the monitoring signal emitted by the output port of the first monitoring module is fed on the one hand via the switch contact to a first input port of the second monitoring module and on the other hand directly to a second input port of the second monitoring module.
  • the second monitoring module is thus supplied with the actual value and directly with the target value of the transmitted monitoring signal via the switch contact. A change in state can already be determined by comparing the actual value and the target value.
  • the monitoring signal supplied to the second input port can also be used to activate the second monitoring module, as will be described below.
  • the monitoring signal emitted by the output port of the first monitoring module is fed on the one hand via the switch contact to a first input port of the second monitoring module and an input port of the first monitoring module and on the other hand directly to a second input port of the second monitoring module.
  • This embodiment is particularly advantageous since it allows the first monitoring module to change the monitoring signal depending on a change in state that has occurred and to carry out a faster and / or more in-depth check.
  • This solution is particularly advantageous with regard to the operation of the monitoring modules with the sleep mode switched on, as will be explained below.
  • the spacing of the pulses or the pulse repetition frequency and possibly also the pulse width of the monitoring signal are preferably chosen such that the security for detecting a change in state is sufficient and at the same time the monitoring activity and thus the energy requirement of the monitoring modules is reduced to a minimum.
  • the pulse width of the transmitted pulses is preferably selected such that the second monitoring module can be switched from the idle state to the operating state by a transmitted pulse and can detect the arrival of this pulse after the operating state has been reached. In this way, the monitoring modules can be put into an idle state between two pulses, in which essential circuit parts are switched off and thus require little energy from the battery.
  • pulses or groups of pulses are transmitted at a time interval within which at least one of the monitoring modules is switched to an energy-saving mode or idle state when a first event occurs and to an operating mode or operating state when a second event occurs.
  • the first event is preferably determined by the termination of the process of registering changes in the status of the transmitted monitoring signal or by the expiry of a timer.
  • the second event is determined by the arrival of a transmitted pulse of the monitoring signal or by the expiry of a timer.
  • the preferably constant distance between the pulses or between the groups of pulses of the monitoring signal is preferably in the range between 0.15 s and 1.5 s, in particular 0.35 s.
  • the safe monitoring of elevator doors can be guaranteed and at the same time energy requirements can be reduced to a minimum.
  • larger time intervals can also be selected in order to save even more energy.
  • the first and / or the second monitoring module each have at least one register for storing status data, in which the number t of the transmitted pulses and the number r of the received pulses are stored.
  • the difference between the stored number t of the transmitted pulses and the stored number r of the received pulses can be formed during the power failure in one of the monitoring modules or after the power failure has ended in the fuse unit in order to detect a change in state that may have occurred. Furthermore, the failure of expected pulses can also be detected and stored.
  • the monitoring of the elevator system can be influenced by various factors.
  • the normal occurrence of a change of state by operating an elevator door is of primary importance.
  • the monitoring signal can be changed by interference signals, after which incorrect measurement results can occur. Malfunctions can also occur within the monitoring units.
  • an insufficient power supply or operating voltage can influence the measurement. Means and measures are preferably provided which make it possible to counter all of these effects.
  • interference signals can occur which are caused, for example, by the commissioning of emergency power generators or by the bouncing of switches.
  • the transmitted monitoring signal is therefore preferably filtered, in particular in order to eliminate high-frequency interference.
  • a filter program is therefore preferably implemented which filters the monitoring signal and is preferably designed as a low-pass filter or median filter.
  • the median filter determines whether a defined number of received pulses is greater than half the number of transmitted pulses within a period of time. The duration therefore results from the specified number of pulses multiplied by the period of the pulse repetition frequency.
  • the limit frequency of the filter can be shifted by changing the number of pulses mentioned and the resulting time period.
  • a time delay until the change in state is signaled at the output of the filter.
  • delays can occur which are undesirably large. If short intervals between the pulses are selected, however, the energy requirement increases.
  • the monitoring signal transmitted via the switching contact to be tested is preferably returned unfiltered to the first monitoring module.
  • the transmitted pulse sequence is monitored in the first monitoring module and the pulse repetition frequency is increased as soon as the change in a pulse is detected. If an irregularity occurs, the monitoring activity is thus intensified and the time period within which the defined number of pulses in the filter is processed is shortened.
  • the time delay up to the point in time at which the filter reports the change in state that has taken place can therefore be reduced by the factor by which the pulse repetition frequency is increased at least briefly.
  • Changes in the generation, transmission, reception and processing of the transmission signal can be caused not only by interference signals, but also by circuit elements of the monitoring modules that do not function correctly. It is therefore important to be able to detect malfunctions in the monitoring units in order to ensure that the switching contact is properly monitored.
  • the monitoring signal is emitted by the first monitoring module in accordance with a specified target shape as a sequence of different pulses which differ in the pulse position and / or the pulse shape and / or the pulse amplitude and / or the pulse width.
  • the corresponding Formation of the monitoring signal can be predetermined by the security unit or permanently stored in the first or second monitoring module or can also be chosen randomly.
  • the fuse unit and / or at least one of the monitoring modules subsequently compares the monitoring signal transmitted via the switching contact with the monitoring signal not transmitted via the switching contact or a predetermined target form of the transmitted monitoring signal and registers deviations which indicate the presence of a corresponding functional error.
  • the first monitoring module preferably sends out pulses with different shapes, each in a specific number.
  • the second monitoring module determines whether the pulses arrive in the relevant form and number.
  • the tests can be carried out autonomously by the two monitoring modules during autonomous operation or by the fuse unit during normal operation.
  • the monitoring modules are properly supplied with power. If the battery e.g. the function of the monitoring units is questioned after a longer power failure. During the autonomous operation of the monitoring modules, it is therefore preferably checked whether the voltage emitted by the battery falls below a threshold value and / or whether a brownout occurs in one of the monitoring modules, i.e. individual circuit parts fail due to insufficient operating voltage. In the event of an incident, i.e. If the operating voltage fails, the monitoring modules are reset and the determined status data are deleted. The absence of the status data is then interpreted as an impermissible change in status and the commissioning of the elevator system is prevented.
  • the tests mentioned can also be carried out during normal operation.
  • a power failure is periodically simulated for the monitoring units.
  • the monitoring units are preferably periodically switched to battery operation or to the autonomous operating state by the safety unit during normal operation of the elevator installation, in which at least one of the above-mentioned tests and tests is carried out.
  • the monitoring units are switched to battery operation and monitored with regard to the operating voltages or the presence of a brownout.
  • a dynamic check of the monitoring modules can be carried out, in which the monitoring signal or the monitoring pulses are changed and the received monitoring signal is checked.
  • the status of the switch contacts can also be checked. For example, test programs stored and called up periodically, by means of which the registers, timers, converters and amplifiers are also checked during normal operation of the elevator system.
  • the security unit After the end of a power failure or the end of a simulation of a power failure, the security unit reads out the registered status data from all connected monitoring units and the monitoring modules provided therein and carries out an analysis.
  • the elevator system is prevented from returning to normal operation.
  • Fig. 1 shows an elevator system 3 according to the invention with a drive unit 38, by means of which an elevator car 36 arranged in an elevator shaft 35 can be moved between two elevator doors 30A, 30B.
  • the elevator system 3 which is fed by a central power supply unit 2, is equipped with a control device 100, by means of which the elevator system 3, in particular the drive unit 38, can be controlled.
  • the control device 100 comprises Monitoring the elevator system 3, a security unit 1, which is connected or can be connected to monitoring units 10A, 10B, by means of which a lock 31A, 31B of an assigned elevator door 30A, 30B can be monitored.
  • the security unit 1 is an independent computer system that communicates with a system computer 1000.
  • the security unit 1 can also be integrated as a software module or hardware module in the system computer 1000.
  • the fuse unit 1 can, as in Fig. 1 shown, intervene directly in the elevator system 3 and, for example, control or switch off the power supply 2 or the drive unit 38.
  • the security unit 1 can only be connected to the system computer 1000, which in turn carries out the secure control of the elevator system 3, taking into account the status data determined according to the invention.
  • the security unit 1 and / or the system computer 1000 can also be wireless or wired to external computer units, e.g. be connected to a host computer.
  • the monitoring sensors 11A, 11B are designed as switching contacts, each of which is mechanically coupled to a door lock 31A, 31B, which can be actuated by the maintenance personnel using a tool, as shown in FIG Fig. 1 for switch contact 11B is shown.
  • the maintenance personnel can thus actuate a door lock 31A, 31B, manually open an elevator door 30A, 30B and get into the elevator shaft 35.
  • Fig. 1 shows that after a power failure, the lower elevator door 31B has been opened and a service technician has entered the elevator shaft 35 to check an electrical installation 8 which could have caused the power cut.
  • the maintenance technician stands on the shaft floor in a shaft pit that is only shallow. In this situation, the elevator installation 3 must not be operated. On the upper floor, a building occupant moves toward the first elevator door 30A, behind which the elevator car 36 is located. If the elevator installation 3 is supplied with power again at this moment and is put into normal operation, the building occupant can enter the elevator car 36 and set it in motion. This is prevented by the switch contacts 11A; 11B are monitored and the transition to normal operation is prevented if one of the switch contacts 11A, 11B has been actuated. So that this monitoring can also be carried out after a power failure, the monitoring units 10A; 10B equipped with a battery 14 and automatically switchable to autonomous operation when the elevator installation 3 is completely or partially shut down or in the event of a power failure.
  • Fig. 1 shows that the two identically designed monitoring units 10A, 10B each have one have local power supply unit 12 and a battery 14 which can be connected to a first and possibly a second monitoring module 15, 16 via a controllable switching unit 13, for example a voltage-controlled relay.
  • the switchover unit 13 is supplied by the power supply unit 12 with a switching voltage us, by means of which the switchover unit 13 is activated and connects the power supply unit 12 to the monitoring modules 15, 16. In the event of a power failure, the switching voltage us is omitted and the switchover unit 13 falls back into the rest position, in which the battery 14 is connected to the monitoring modules 15, 16.
  • the first monitoring module 15 In each of the monitoring units 10A, 10B, the first monitoring module 15 generates a monitoring signal which is sent via an output of the monitoring unit 10A; 10B and the associated switch contact 11A, 11B back to an input of the monitoring unit 10A; 10B and in the first or second monitoring module 15; 16 is evaluated.
  • the monitoring sensors or the switching contacts 11A, 11B are therefore monitored at least during the autonomous operation or during a power failure in order to change the state or actuate the associated door lock 31A; 31B to register. Monitoring is preferably also carried out during normal operation. If an actuation of one of the switch contacts 11A, 11B is detected during normal operation, the elevator installation is preferably switched off.
  • the elevator system 3 is again supplied with energy by the central power supply unit 2.
  • the local power supply units 12 in the monitoring units are again supplied with an operating voltage, after which they in turn generate the switching voltage us and activate the switchover unit 13.
  • the status data collected in the monitoring units 10A, 10B or status messages already derived therefrom can subsequently be called up by the security unit 1 and processed further.
  • the security unit 1 will determine on the basis of the status data from the second monitoring unit 10B that the associated door lock 31B has been actuated and that there is possibly a person in the elevator shaft 35.
  • the securing unit 1 therefore prevents the elevator installation 3 from being started up by a direct intervention in the elevator installation 3, as shown in FIG Fig. 1 is illustrated by switching off the power supply 2 or by switching off the drive unit 38, or by notifying a higher-level computer or the system computer 1000, which in turn prevents the elevator system 3 from being started up.
  • a separate monitoring unit 10A, 10B for each elevator door 30A, 30B it is also possible to provide only a single monitoring unit which has several Switch contacts assigned to each elevator door are monitored. In this case, the switch contacts are connected in series, so that the monitoring unit detects when one of the two switch contacts is opened. In this case, only a single battery is required to supply the monitoring unit.
  • the configuration of the monitoring units 10A, 10B is described below in various preferred configurations in which particular importance is attached to the security of the monitoring, the functionality of the monitoring device and, in particular, the energy saving for relieving the battery 14.
  • Fig. 2a shows the first monitoring unit 10A of FIG Fig. 1 , which has only one processor-controlled first monitoring module 15, which transmits a monitoring signal s TX from an output port op via the switch contact 11A, which is assigned to the door lock 31A of the first elevator door 30a and mechanically coupled to it, to an input port ip.
  • the monitoring module 15 is e.g. a microcontroller with the lowest power consumption in the operating state (preferably ⁇ 100 ⁇ A) and in the idle state (preferably ⁇ 500nA), short delay times in the transition from the idle state to the operating state (preferably ⁇ 1 ⁇ s); and all essential functions for signal processing.
  • a microcontroller is used, as described in the documentation "MSP Low-Power Microcontrollers" by Texas Instruments Incorporated from 2015.
  • the monitoring module 15 shown is a microcontroller with a CPU 150, one or more registers 151, a working memory 152, an optionally provided digital / analog converter 153, at least one output module 154, an interface module 155, a watchdog timer 156, at least one further timer T1, an analog / digital converter 158 and at least one input module 159.
  • the individual modules are connected or connectable to one another via a system bus and to the fuse unit 1 via the interface module 155.
  • the second monitoring module 16 from Fig. 1 is preferably constructed identically to the first monitoring module 15, but provided with correspondingly adapted software.
  • both monitoring modules 15, 16 are provided with test circuits or brownout circuits, by means of which it can be determined whether the operating voltage, in particular the voltage of the battery 14, has fallen below an intended value and / or whether individual circuit parts are only insufficiently supplied with energy , after which this is registered accordingly.
  • the monitoring module 15 is preferably reset to the initial state in which the Data storage are deleted.
  • An operating program BP and a filter program FP are stored in the working memory 152.
  • a monitoring signal s TX which is generated in the monitoring module 15, can be transmitted via the switch contact 11A to an input port ip of the monitoring module 15.
  • the state of the switchover unit 13 shows that the power has failed and the monitoring module 15 is supplied with power by the battery 14.
  • Fig. 2b shows an example of a monitoring signal s TX1 emitted at the output port op as a pulse train with a pulse duty factor of 50%.
  • a comparison of the monitoring signal s TX output at the output port op with the monitoring signal s RX received at the input port indicates whether the switch contact 11A was opened during the transmission. If some of the pulses are not transmitted, a change in the state of the switching contact 11A and thus a possible opening of the elevator door 30A is registered and reported. For example, the number of pulses sent and the number of pulses received are stored in register 151 and compared with one another before the elevator system 3 is started up in order to detect a door opening.
  • Fig. 2c shows a monitoring signal s TX2 of the output port op Fig. 2a as a pulse train with a pulse duty factor of around 7% and a period T which is seven times longer than the signal from Fig. 2b ,
  • the monitoring module 15 can also be put into an idle state in which the current consumption is minimal and only circuit parts are operated which are required for the transition from the idle state to the operating state. For example, external incentives or wake-up signals are monitored.
  • a wake-up signal can also advantageously be generated within the monitoring module 15, for example by a timer 156, 157.
  • Fig. 2d shows the monitoring signal s RX2 arriving at the input port ip , into which an interference pulse n was impressed during the transmission via the switch contact 11A. Disruptions of this type can impair the monitoring and are preferably filtered out.
  • the filter program FP is implemented in the monitoring module 15, which is described below in a preferred embodiment.
  • Fig. 3a shows the first monitoring unit of Fig. 2a with the first monitoring module 15, which transmits a monitoring signal s TX from the output port op via the switch contact 11A to the input port ip of a second processor-controlled monitoring module 16.
  • Both Monitoring modules 15, 16 are fed by the battery 14.
  • the first monitoring module 15 the number of pulses sent is registered in the register 151.
  • the second monitoring module 16 the number of pulses received is registered in a register 161.
  • Fig. 3b shows the monitoring signal s TX of Fig. 3a as a pulse train with a duty cycle of 50% before transmission via the switch contact 11A.
  • Fig. 3c shows the monitoring signal s RX of Fig. 3b after the transmission via the switch contact 11A, which was opened during the transmission of two pulses which were therefore not registered in the register 161 of the second monitoring module 16.
  • the change in state of the switching contact 11A can be determined by comparing the contents of the two registers 151, 161.
  • the contents of the registers 151, 161 can be compared in one of the monitoring modules 15, 16 in a local comparator 17 or centrally in the security unit 1, which reads out all of the register contents from the monitoring units 10A, 10B.
  • Fig. 4a shows the first monitoring unit 10A of FIG Fig. 3a with the first monitoring module 15, the output port op of which is connected on the one hand via the switch contact 11A to a first input port ip1 of the second monitoring module 16 and on the other hand directly to a second input port ip2 of the second monitoring module 16.
  • the pulses transmitted directly to the second input port ip2 can be used as reference signals or as wake-up signals.
  • changes in the monitoring signal s RX transmitted via the switching contact 11A can be recognized immediately, but in this case it has not yet been filtered.
  • the monitoring signal s TX arriving at the input port ip2 can also be used as a wake-up signal, after the arrival of which the second monitoring module 16 is switched from the idle state to the operating state.
  • the pulse width must be greater than the wake-up time of the second monitoring module 16, for example 1 ⁇ s. For example, a pulse width of 25 ⁇ s is selected, which allows the incoming pulses to be reliably recognized.
  • a wake-up signal can also be generated internally in the monitoring modules 15, 16 and synchronized with the monitoring signal s TX .
  • a timer for example the watchdog 156, can count the period of the monitoring signal s TX and can switch the relevant monitoring module 15 or 16 from the idle state to the operating state when the maximum count is reached, so that the first monitoring module 15 emits a pulse and the second Monitoring module 16 can receive this pulse.
  • Fig. 4b shows the monitoring signal s TX of the output port op of the first monitoring module 15 Fig. 4a ,
  • Fig. 4c shows the monitoring signal s RX from arriving at the first input port ip1 of the second monitoring module 16 Fig. 4a , which only contains the first pulse.
  • the monitoring signal s TX which is fed directly to the second input port ip2 can now wake up the second monitoring module 16 which, after the transition to the operating state, determines that the second and third pulses are missing.
  • the monitoring signal s TX supplied to the second input port ip2 can also be used as a reference signal.
  • Fig. 5a shows the first monitoring unit of Fig. 4a , in which the monitoring signal s TX of Fig. 4a is additionally fed via the switch contact 11A to an input port ip of the first monitoring module 15.
  • the interruption of the switching contact 11A can thus be recognized alternatively or simultaneously in the first and in the second monitoring module 15, 16.
  • the absence of a pulse is preferably used to change the test mode and to intensify the test.
  • the pulse repetition frequency is preferably increased at least briefly by a factor x, which is preferably in the range from 50 to 250. For example, a period in the range of 0.1 s - 0.5 s is changed to a period in the range of 1 ms - 5 ms.
  • Fig. 5b shows the monitoring signal s TX of Fig. 5a as a pulse train with a pulse duty factor of around 7% before transmission via the switching contact 11A with an additionally impressed auxiliary pulse p AUX , which was additionally emitted by the first monitoring module 15 after an expected pulse p of the transmitted monitoring signal s RX was absent.
  • the auxiliary pulse p AUX symbolically shows that the monitoring signal is changed if necessary s TX in order to be able to carry out a quick check.
  • Fig. 5c shows the monitoring signal s RX of Fig. 5b after transmission via the switch contact 11A, which was opened after the arrival of a first pulse p.
  • Fig. 6a shows a diagram with the transmitted monitoring signal s TX2 from Fig. 2c and with the transmitted and provided with an interference pulse n monitoring signal s RX2 from FIG. 2d , Filter measures and the filtered monitoring signal s RXF are also shown schematically , which are shifted by more than two sampling cycles compared to the received monitoring signal s RX2 and from which the interference pulse has been removed.
  • the measurement result takes place at the output of the filter stage implemented by hardware or software with a significant delay.
  • the filter program FP which is implemented in the second monitoring module 16, checks which value the plurality of sample values has within a filter interval.
  • the filter intervals each include the last five samples.
  • the filter program FP includes e.g. a FIFO register into which the samples are read step by step. With each shift, the sum of the five values contained in the FIFO register is formed and it is checked whether their sum lies above or below the mean value between the values at which the FIFO register is completely filled or completely emptied; i.e. is greater or less than 2.5.
  • the values determined and the result are displayed for each filter interval.
  • the transmission to the output of the filter takes place with the delay d only after the arrival of the last sample value.
  • Fig. 6a shows that the filtered monitoring signal s RXF appears with a delay d at the output of the filter stage, which corresponds approximately to twice the period of the scanning signal.
  • the sporadic noise n was eliminated.
  • Fig. 6b shows a diagram with the transmitted monitoring signal s TX of Fig. 3b and the transmitted monitoring signal s RX , which is missing three pulses.
  • Filter measures and the filtered monitoring signal s RXF are also shown schematically, which is also shifted by approximately two sampling cycles with a delay d1 compared to the received monitoring signal s RX2 .
  • the filtering process is as with reference to Fig. 6a described.
  • Fig. 6c shows a diagram with the transmitted monitoring signal s TX of Fig. 5b and with the transmitted monitoring signal s RX , which is missing three pulses.
  • the pulse repetition frequency was doubled after the absence of a pulse was detected (see also the description of Fig. 5a ).
  • filter measures and the filtered monitoring signal s RXF are shown schematically, which are shifted by two sampling cycles with a delay d2 compared to the received monitoring signal s RX , but the period duration of which has been halved.
  • the pulse repetition frequency was determined by the first monitoring module 15 doubled and thus the pulse interval halved. The length of the filter intervals and the delay d can thus be reduced as desired by increasing the pulse repetition frequency.
  • the first monitoring module 15 after a pulse has not been received, for a short period of time in the range of e.g. 1s - 10s sends out a burst or a sequence of pulses, the intervals of which are reduced by the factor x mentioned above, which is preferably in the range from 50 to 250.
  • Fig. 7 shows a diagram with two signal profiles of the monitoring signal s TX1 , s TX2 to be transmitted, and the signal profile of the transmitted monitoring signal s RX .
  • the signal curve wd at the output of a timer in the second monitoring module 16 and the received monitoring signal s RXF after the filtering are also shown.
  • the timer corresponds to the watchdog 156 of the first monitoring module 15, for example in Fig. 7 it can be seen that the change in the signal profile of the transmitted monitoring signal s RX can have two different causes.
  • a change of state of the switching contact 11A can take place at time t5, which is interrupted and the pulses of the first monitoring signal s TX1 no longer pass on to the input port ip1 of the second monitoring module 16.
  • the monitoring signal s TX2 is no longer generated in the first monitoring module 15, so that after the time t4 no more pulses can reach the input port ip1 of the second monitoring module 16 via the closed switching contact 11A. If the pulses of the monitoring signal s TX2 in the circuit arrangements of Fig. 4a and Fig. 5a no longer reach the second input port ip2 of the second monitoring module 16, this is no longer switched from the idle state to the operating state.
  • the counter readings for the sent and received pulses therefore remain constant or are frozen. If the counter readings were frozen at identical values, this indicates the closed state of the monitored switching contact 11A, 11B, although it may have been opened in the meantime.
  • a wake-up signal s T1 is generated by a timer 157 within the second monitoring module 16 (which preferably has the same modules as the first monitoring module 15).
  • the wake-up signal s T1 is synchronized and assigned with the monitoring signal s TX emitted by the first monitoring module 15 same frequency, but is advanced in phase by a fraction of the period.
  • the second monitoring module 16 With the falling edge of the wake-up signal s T1 , the second monitoring module 16 is switched from the idle state to the operating state in order to receive a pulse of the transmitted monitoring signal s RX .
  • the actual value of the actually arrived pulses and the target value of the expected pulses are registered, as shown in Fig. 7 is illustrated.
  • the difference between the 4 arriving and the 14 expected pulses shows that a state change has occurred in the first monitoring module 15 or in the switch contact 11A.
  • the state of the first monitoring module 15 can be determined.
  • the counts of register 161 show that 14 pulses were sent out by the first monitoring module, that 14 pulses were expected and that 4 pulses were transmitted via the switch contact 11A.
  • the agreement of 14 emitted and 14 expected pulses shows that the first monitoring module 15 is functioning properly.
  • the difference between the 14 transmitted and expected pulses on the one hand and the 4 received pulses on the other hand shows that the switch contact 11A has been opened.
  • the received and filtered monitoring signal s RXF shows the change in state of the switching contact 11A.
  • the counter readings of the registers 151, 161 are read out by the security unit 1 from all monitoring units 10A, 10B after the power failure has ended and compared with one another. The comparison shows whether the register statuses at one of the monitoring units 10A, 10B are frozen and an error has occurred. If the register values in each of the monitoring units 10A, 10B are identical, but there are differences between the monitoring units 10A, 10B, a functional error can be concluded.
  • tolerances are preferably provided with which deviations from meter readings are neglected, which are insufficient for indicating a malfunction or a change in state of the monitoring sensors or switch contacts 11A, 11B.
  • Fig. 2a shows that the monitoring modules 15, 16 preferably have a so-called watchdog 156, which is designed as a timer or counter and which can advantageously be used for monitoring the switching contact 11A or 11B or also the first monitoring module 15.
  • the monitoring signal s TX with the pulse trains see e.g. Fig. 7 with the waveforms s TX1 and s TX2
  • the second Input port ip2 is supplied directly or not via the switch contact 11A or 11B of the second monitoring module 16.
  • the monitoring signal s RX transmitted via the switching contact 11A or 11B is fed to the first input ip1 of the second monitoring module 16.
  • Fig. 7 illustrates the monitoring of the monitoring signal s RX transmitted via the switching contact 11A or 11B, the pulses of which reset the watchdog 156 in each case on the rising edge, so that the watchdog 156 cannot count up to the timeout to.
  • time t5 no pulse is transmitted via the switch contact 11A or 11B, so that the watchdog 156 is not reset and counts up in the timeout and triggers an alarm or signals a change in state.
  • monitoring signal s TX2 cause a timeout at a second watchdog at time t5.
  • the filtered input signal s RXF is fed to the watchdog 156. This prevents the watchdog 156 from being reset by interference pulses and cannot count up to the timeout if there is no pulse of the monitoring signal s RX .
  • the status changes signaled by the watchdog 156 are e.g. Stored in register 151 and transferred to fuse unit 1 with the other status data after the power failure.
  • the course of the output signal of the watchdog 156 is preferably stored and analyzed, e.g. to determine the duration of the interruptions in the switching contact 11A or 11B.
  • the timeout must last for a certain number of pulses before the commissioning of the elevator system 3 is prevented. For example, a distinction is made as to whether an irregularity in the circuit or a door opening has occurred.
  • Fig. 8 shows a diagram with a signal curve of a monitoring signal s TX generated in the first monitoring module 15, with three different variants A, B, C of pulses which have different pulse widths. Furthermore, the signal course of the monitoring signal s RX received in the second monitoring module 16 is shown, in which three pulses of variants A and C are not or not correctly contained. For each of the variants A, B and C. the number of pulses delivered is registered in register 151 of first monitoring module 15. Likewise, the number of pulses received for each of variants A, B and C is registered in register 161 of second monitoring module 16.
  • the pulses can be lost or impaired along the entire transmission path.
  • the analysis of the changes allows conclusions to be drawn about the type of disturbance.
  • the electronic elements of the monitoring modules 15, 16 can thus be checked in a simple manner by means of the variation of the pulses.
  • the test can be carried out sporadically or in a regular pattern by the security unit 1 or autonomously by the monitoring modules 10A, 10B.
  • the pulse amplitudes, the pulse intervals or the pulse repetition frequency can also be changed.
  • the security unit 1 After the end of a power failure or the end of a simulation of a power failure, the security unit 1 reads out the registered status data from all connected monitoring units 10A, 10B and the monitoring modules 15, 16 provided therein and carries out an analysis.

Landscapes

  • Maintenance And Inspection Apparatuses For Elevators (AREA)
  • Elevator Control (AREA)

Description

  • Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage.
  • Eine Aufzuganlage umfasst normalerweise eine Aufzugskabine, einen Aufzugschacht, in dem sich die Aufzugskabine bewegt, und eine Antriebseinheit zum Bewegen der Aufzugskabine.
  • Aus der WO2005/000727A1 ist bekannt, dass Aufzugsanlagen einen Sicherheitskreis aufweisen, bei dem mehrere Sicherheitselemente, wie z.B. Sicherheitskontakte und -schalter, in einer Serienschaltung angeordnet sind. Die Kontakte überwachen z.B., ob eine Schachttür oder die Kabinentür geöffnet ist. Die Aufzugskabine kann nur bewegt werden, wenn der Sicherheitskreis und damit auch alle in ihm integrierten Sicherheitskontakte geschlossen sind. Einige der Sicherheitselemente werden von den Türen betätigt. Andere Sicherheitselemente, wie z.B. ein Überfahrschalter, werden durch die Aufzugskabine betätigt oder ausgelöst. Der Sicherheitskreis steht mit dem Antrieb oder der Bremseinheit einer Aufzugsanlage in Verbindung, um den Fahrbetrieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird.
  • Aus der WO2005/000727A1 sind ferner Aufzugsanlagen bekannt, die statt mit dem erwähnten Sicherheitskreis mit einem Sicherheitsbussystem ausgerüstet sind, das typischerweise eine Kontrolleinheit, einen Sicherheitsbus und einen oder mehrere Busknoten umfasst.
  • Von Bedeutung ist nicht nur die Sicherheit von Personen, die mit der Aufzugsanlage befördert werden, sondern auch die Sicherheit von Personen, die sich z.B. für Wartungszwecke im Aufzugsschacht aufhalten.
  • Die WO2003008316A1 beschreibt, dass heutige Aufzuganlagen aus Sicherheitsgründen so ausgelegt sind, dass am Schachtboden ein Schutzraum in Form einer Schachtgrube vorgesehen ist, um sicher zu stellen, dass Wartungspersonal im Schacht nicht gefährdet wird, wenn die Aufzugskabine in die unterste Position im Schacht fährt.
  • Zudem ist am oberen Ende des Schachtes - Schachtkopf genannt - normalerweise ein Schutzraum vorgesehen, damit Wartungspersonal, das eine Wartung auf dem Dach der Kabine durchführt, nicht gefährdet wird, wenn die Kabine in die oberste Position im Schacht fährt.
  • Eine Aufzuganlage mit Schutzraum am unteren und am oberen Schachtende ist um einige Meter länger als die eigentliche Geschosshöhe des Gebäudes, das von dem Aufzug bedient wird. Dies trifft auf die verschiedensten Arten von Aufzugsdispositionen zu, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor-Aufzüge.
  • Zur Vermeidung oder Verkleinerung der genannten Schutzräume weist die in der WO2003008316A1 offenbarte Aufzugsanlage zusätzlich und unabhängig von den üblichen Sensoren und Steuermitteln, die für den normalen Betrieb der Aufzuganlage vorgesehen sind, eine Erfassungsvorrichtung auf, die detektiert, ob sich eine Person in einer kritischen Zone des Schachtes, insbesondere innerhalb der Schachtgrube oder des Schachtkopfs, aufhält. Die Detektion kann mittels beliebiger Sensoren, z.B. Lichtschranken, erfolgen. Diese Erfassungsvorrichtung ist mit der Antriebseinheit der Aufzugsanlage derart verbunden, dass die Aufzuganlage in einen speziellen Betriebszustand überführbar ist, falls sich eine Person in der kritischen Zone aufhält oder im Begriff ist, in diese zu gelangen.
  • Die Erfassungsvorrichtung und die spezielle Steuereinrichtung sind sicherheitsrelevant ausgelegt, um unter allen Umständen das Einfahren der Aufzugskabine in die kritische Zone zu verhindern, falls sich eine Person darin befindet. Die sicherheitsrelevante Auslegung erfordert z.B., dass wichtige Komponenten redundant vorhanden sind, wichtige Funktionen der Steuereinrichtung parallel ablaufen und ihre Ergebnisse miteinander verglichen werden und die Datenübertragung über parallele Leitungen erfolgt. Die sicherheitsrelevante Auslegung der Aufzugsanlage ist daher mit erheblichem Aufwand verbunden.
  • Die WO2013/045271A1 beschreibt eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist zwei Zählvorrichtungen auf, mittels welchen Bewegungen einer Schachttür erfasst werden können. Eine Zählvorrichtung ist nur bei intakter Stromversorgung aktiv. Die andere Zählvorrichtung ist energieautark ausgeführt und ist damit sowohl bei intakter, also auch bei ausgefallener Stromversorgung aktiv. Auf Basis der Zählwerte der beiden Zählvorrichtungen kann festgestellt werden, ob die Schachttür bei ausgefallener Stromversorgung geöffnet wurde. Die energieautarke Zählvorrichtung weist einen Permanentmagneten und eine Induktionseinheit auf, welche den Betrieb der Zählvorrichtung ohne Einsatz einer Batterie ermöglichen.
  • Die WO2014/124779A1 beschreibt ebenfalls eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist eine Abfrageeinrichtung und einen Sicherheitsschalter zur Überwachung eines Türschlosses einer Schachttür der Aufzuganlage auf. Die Abfrageeinheit kann bei einem Ausfall der Stromversorgung von einer unabhängigen Energieversorgungseinrichtung beispielsweise in Form einer Batterie versorgt werden.
  • Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, die Nachteile des Standes der Technik zu überwinden und ein verbessertes Verfahren und eine verbesserte Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage anzugeben.
  • Das erfindungsgemässe Verfahren und die erfindungsgemässe Vorrichtung sollen insbesondere mit einem möglichst geringen Wartungsaufwand durch einen Servicetechniker durchführbar beziehungsweise betreibbar sein.
  • Insbesondere sollen das erfindungsgemässe Verfahren und die Vorrichtung bei Stromausfällen eine lang andauernde Überwachung der Aufzugsanlage sicherstellen, sodass diese nach Beendigung eines lang andauernden Stromausfalls oder mehrerer aufeinander folgenden Stromausfälle automatisch wieder hochgefahren werden kann und eine Inspektion der Aufzugsanlage durch das Wartungspersonal nicht erforderlich ist. Darüber hinaus soll eine Prüfung und Wartung der Vorrichtung möglichst selten notwendig sein.
  • Diese Aufgabe wird durch ein Verfahren und eine Vorrichtung gemäss Anspruch 1 bzw. 13 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren Ansprüchen angegeben.
  • Das Verfahren und die Vorrichtung dienen der gesicherten Steuerung einer Aufzuganlage, die eine Antriebseinheit umfasst, mittels der eine in einem Aufzugschacht angeordnete Aufzugskabine verfahrbar ist und die von einer Steuervorrichtung derart gesichert angesteuert wird,
    1. a) dass die Aufzugskabine im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts verfahren werden kann, an denen Türen vorgesehen sind, die von der Steuervorrichtung gesteuert werden und von denen wenigstens einer ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
    2. b) dass die Aufzugskabine nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht befindet.
  • Wenigstens einer der Türen sind eine Überwachungseinheit und ein Überwachungssensor zugeordnet, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür, detektiert werden. Die Überwachungseinheit
    1. a) ist mit einer Batterie ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage in einen autonomen Betrieb umschaltbar;
    2. b) ist mit dem Überwachungssensor verbunden und überwacht während des autonomen Betriebs den Zustand des Überwachungssensors und registriert entsprechende Zustandsdaten;
    3. c) ist mit einer Sicherungseinheit verbunden, die aus allen angeschlossenen Überwachungseinheiten die registrierten Zustandsdaten ausliest und ausgewertet und die Versetzung der Aufzugsanlage in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen detektiert wurde.
  • Der Überwachungssensor ist ein mit dem zugehörigen Türverschluss gekoppelter Schaltkontakt, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit übertragen wird, die das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht, die bei Betätigung des Türverschlusses auftreten. Der Ausgang kann auch als ein so genannter Ausgangsport und der Eingang als ein so genannter Eingangsport der Überwachungseinheit bezeichnet werden. Sofern der Schaltkontakt geöffnet wird, wird die Übertragung des Überwachungssignals unterbrochen und die Öffnung des Schaltkontakts in der Überwachungseinheit detektiert. Diese Signaländerung oder Zustandsänderung wird in der Überwachungseinheit registriert. Zustandsdaten können in der Überwachungseinheit abgespeichert und zur Auswertung durch die Sicherungseinheit bereitgestellt werden oder bereits in der Überwachungseinheit ausgewertet werden, sodass die Überwachungseinheit nach Beendigung des Stromausfalls bereits das Ergebnis der Überwachung, die Anwesenheit oder Abwesenheit einer Person im Aufzugschacht, an die zentrale Sicherungseinheit überträgt.
  • Erfindungsgemäss ist das Überwachungssignal als eine Folge von Pulsen ausgeführt. Für die Übertragung einer Folge von Pulsen wird viel weniger Energie benötigt als für eine Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms. Damit wird die Batterie im Vergleich zur Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms weniger belastet. Es ist besonders vorteilhaft, wenn das Überwachungssignal als eine Folge von Pulsen übertragen wird, die einen relativ grossen zeitlichen Abstand zueinander aufweisen.
  • Durch die geringe Belastung der Batterie durch das gepulste Überwachungssignal erreicht die Batterie eine lange Lebensdauer, was eine seltene Überprüfung ihres Ladezustands und einen seltenen Wechsel der Batterie ermöglicht. Damit ist der Aufwand für Prüfung und Wartung der Überwachungseinheit sehr gering.
  • Das Überwachungssignal ist insbesondere als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt. Die Soll-Formen unterscheiden sich beispielsweise in der Pulsposition, der Pulsform, der Pulsamplitude und/oder der Pulsbreite.
  • Die Erfindung, die bei verschiedensten Arten von Aufzugsdispositionen, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor-Aufzüge einsetzbar ist, erlaubt es, den Zugang einer Person in den Aufzugschacht sicher zu überwachen und den Übergang der Aufzugsanlage in den Normalbetrieb zu verhindern, falls ein Ereignis detektiert wurde, welches anzeigt, dass eine Person möglicherweise in den Aufzugschacht gelangt ist. Sobald eine kritische Zustandsänderung von der Sicherungseinheit detektiert oder erkannt wird, so wird dies z.B. einem Steuerrechner signalisiert. Alternativ kann die Steuereinheit direkt in die Aufzugsanlage eingreifen und z.B. die Stromversorgung unterbrechen oder die Antriebseinheit ausser Betrieb setzen. Die Sicherungseinheit kann z.B. als Softwaremodul in den Steuerrechner integriert sein oder als separates Modul ausgebildet sein, das mit dem Steuerrechner oder anderen Teilen der Aufzugsanlage interagiert. Die Elemente zur Überwachung und gesicherten Steuerung der Aufzugsanlage können daher in die weiteren Elemente zur Steuerung der Aufzugsanlage integriert werden oder unabhängig davon realisiert sein.
  • Dieser Zugang einer Person in den Aufzugschacht ist insbesondere dann besonders kritisch, wenn die Aufzugsanlage mitsamt den konventionellen Sicherungsmodulen, soweit vorhanden, ausgeschaltet ist. In diesem Zustand kann eine Person einen Türverschluss z.B. mittels eines Werkzeugs oder Schlüssels betätigen, die Tür öffnen und in den Aufzugschacht gelangen und ist bei Inbetriebsetzung der Anlage einer Verletzungsgefahr ausgesetzt. Eine automatische Inbetriebsetzung wird daher aus Sicherheitsgründen vermieden. Stattdessen prüft das Wartungspersonal nach einem Stromausfall, ob der Aufzugschacht frei ist und die Aufzugsanlage in Betrieb gesetzt werden kann.
  • Wie eingangs beschrieben, können alternativ Sensoren vorgesehen sein, welche die Anwesenheit einer Person im Aufzugschacht detektieren, sobald die Anlage in Betrieb gesetzt wird. Sofern diese Detektion sicher durchgeführt werden soll, so ist sie mit erheblichem Aufwand verbunden. Einerseits sind Hardware und Software sicher auszuführen. Andererseits sind Sensoren derart vorzusehen, dass die Person an jeder Stelle des Aufzugschachts sicher detektiert werden kann. Die Detektion soll auch dann gesichert sein, wenn die Sensoren verschmutzt sind oder abnormale Konditionen, z.B. Rauchentwicklung, innerhalb des Aufzugschachts vorherrschen.
  • Erfindungsgemäss wird das Problem mit vergleichsweise einfachen und sehr sicheren Massnahmen gelöst. Erfindungsgemäss wird ein Öffnen der Tür oder eine Betätigung der Türverriegelung detektiert. Dazu können unterschiedliche Überwachungssensoren oder Messfühler eingesetzt werden, wie Bewegungssensoren, Drucksensoren, optischen Sensoren, Kapazitätssensoren, die eine gegenseitige Verschiebung von metallenen Elementen der Tür erfassen, oder Motoren, die bei einer manuellen Bewegung einer Tür als Generator betrieben werden. Besonders geeignet sind Überwachungssensoren, die keine Energieversorgung erfordern, wie Schaltelemente, die von einem Element der Tür oder der Verriegelung betätigt werden.
  • Da nach Ausserbetriebsetzung der Aufzugsanlage keine Stromversorgung aus dem lokalen Netz erfolgt, ist die Überwachungseinheit mit einer Batterie ausgerüstet und derart ausgebildet, dass sie bei Ausserbetriebsetzung der Aufzugsanlage automatisch in einen autonomen Betrieb umschaltbar ist. Z.B. wird ein Relais vorgesehen, welches durch Strom aus dem Netz aktiviert wird und die Schaltung der Überwachungseinheit mit einer Betriebsspannung verbindet. Sobald das Stromnetz ausfällt, wird das Relais deaktiviert und fällt in einen Ruhezustand, in dem die Batterie mit der Schaltung der Überwachungseinheiten verbunden wird.
  • Die Aufzugsanlage kann mittels der Überwachungseinheiten daher permanent, d.h. während des Normalbetriebs und auch nach Ausserbetriebsetzung überwacht werden, um festzustellen, ob eine Tür oder die Verriegelung betätigt wurde. Von primärer Bedeutung ist die erfindungsgemässe Überwachung der Aufzugsanlage während eines Stromausfalls, da während dem Normalbetrieb auch andere Mittel genutzt werden können. Nach Beendigung des Stromausfalls können die Überwachungsdaten aus den Überwachungseinheiten ausgelesen werden.
  • Dazu ist jede der Überwachungseinheiten mit wenigstens einem Überwachungssensor verbunden und überwacht während des autonomen Betriebs dessen Zustand und registriert entsprechende Zustandsdaten. Insbesondere werden alle Türen überwacht, bei denen damit zu rechnen ist, dass sie während eines Stromausfalls geöffnet werden könnten, um in den Aufzugschacht zu gelangen. Es wird also insbesondere jede Tür überwacht, der ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann. Zur Überwachung von mehreren Türen kann an jeder Tür eine Kombination aus Überwachungseinheit und Überwachungssensor angeordnet sein. Alternativ ist es möglich, dass an den einzelnen Türen jeweils nur ein Überwachungssensor angeordnet ist und mehrere Überwachungssensoren von einer Überwachungseinheit überwacht werden. Es ist in diesem Fall auch nur eine einzige Batterie notwendig. Die Überwachungssensoren können dazu insbesondere in Reihe geschaltet sein. Im Fall, dass eine Überwachungseinheit mehrere Überwachungssensoren überwacht, ist eine besonders kostengünstige Durchführung des Verfahrens möglich, da nicht für jede Tür eine eigene Überwachungseinheit mit einer Batterie notwendig ist.
  • Nach Beendigung des Stromausfalls werden die in den Überwachungseinheiten gesammelten Zustandsdaten von der Sicherungseinheit ausgelesen. Vorzugsweise werden die Überwachungseinheiten vorerst vom Batteriebetrieb auf den Netzbetrieb umgeschaltet. Nach Auswertung der von den Überwachungseinheiten übertragenen Daten entscheidet die Sicherungseinheit, ob möglicherweise eine Person die Lifttüren betätigt hat und in den Aufzugschacht gelangt ist und verhindert den Übergang in den Normalbetrieb. Stattdessen wird über einen drahtgebundenen oder drahtlosen Übertragungskanal vorzugsweise automatisch eine Störungsmeldung lokal zu einer Ausgabeeinheit, einem Lautsprecher und/oder einem Display der Aufzugsanlage, oder dezentral zu einem Wartungsdienst übertragen, der in der Folge die Aufzugsanlage überprüft und wieder in Betrieb setzt.
  • Sofern hingegen festgestellt wurde, dass keine Person in den Aufzugschacht gelangt ist, so wird die Aufzugsanlage automatisch wieder in den Normalbetrieb versetzt. Wartungspersonal wird in diesem Fall nicht benötigt. Die Aufzugsanlage kann nach Beendigung des Stromausfalls ohne zeitliche Verzögerung automatisch wieder in den Normalbetrieb versetzt werden. Mit Ausrüstung der Aufzugsanlagen mit der erfindungsgemässen Lösung wird die Verfügbarkeit dieser Aufzugsanlagen somit signifikant erhöht. Auch bereits installierte Aufzugsanlagen können mit der erfindungsgemässen Lösung nachgerüstet werden.
  • Sogenannte "false-negative" Meldungen, d.h. Meldungen, welche die Anwesenheit einer Person im Aufzugschacht verneinen, obwohl eine Person sich im Aufzugschacht befindet, werden ausgeschlossen. Hingegen sind nach Betätigung eines Türverschlusses sogenannte "falsepositive" Meldungen zu erwarten, d.h. Meldungen, die die Anwesenheit einer Person im Aufzugschacht als möglich bestätigen, obwohl sich keine Person im Aufzugschacht befindet. Diese Situation tritt nach einem Stromausfall statistisch hingegen sehr selten, z.B. in einem von hundert Fällen auf, sodass die gewährleistete Sicherheit mit minimalem Aufwand erreicht wird. Umgekehrt betrachtet, werden 99 % aller Aufzugsanlagen nach Beendigung eines Stromausfalls wieder in den Normalbetrieb überführt, wodurch bei vollständiger Gewährleistung der Sicherheit eine nahezu maximale Verfügbarkeit ohne Verzögerung resultiert.
  • In einer vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem Ausgangsport an den Schaltkontakt abgibt und an einem Eingangsport wieder empfängt.
  • In einer weiteren vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem Ausgangsport abgibt und über den Schaltkontakt an einen Eingangsport eines zweiten Überwachungsmoduls abgibt. Die physikalische Trennung der Sendestufe und der Empfangsstufe voneinander gewährleistet, dass Fehler, die in einem Überwachungsmodul auftreten, keinen direkten Einfluss auf das andere Überwachungsmodul haben. Damit kann ein besonders sicherer Betrieb der Aufzuganlage gewährleistet werden.
  • Die beiden Überwachungsmodule können auch derart mit einer Betriebssoftware versehen werden, dass sie das Überwachungssignal alternierend von ihrem Ausgangsport an den Schaltkontakt abgeben bzw. an ihrem Eingangsport empfangen. Durch den wechselseitigen Betrieb können die Überwachungsmodule voll genutzt und getestet werden, sodass bei einer Zustandsänderung festgestellt werden kann, an welcher Stelle des Übertragungswegs eine Zustandsänderung oder ein Übertragungsfehler verursacht wurde. Sofern z.B. die Übertragung in eine Richtung möglich und in die andere Richtung unterbrochen ist, so kann auf einen Fehler in einem der Übertragungsmodule geschlossen werden.
  • Der Vorteil des besonders sicheren Betriebs der Aufzuganlage durch den Einsatz von zwei prozessorgesteuerten Überwachungsmodulen ist auch gegeben, wenn das Überwachungssignal, das über den Schaltkontakt übertragen wird, als ein dauerhaftes Gleich- oder Wechselstromsignal und damit nicht als ein gepulstes Signal ausgeführt ist.
  • In einer weiteren bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Dem zweiten Überwachungsmodul wird über den Schaltkontakt somit der Ist-Wert und direkt der Soll-Wert des übertragenen Überwachungssignals zugeführt. Durch Vergleich von Ist-Wert und Soll-Wert kann bereits eine Zustandsänderung festgestellt werden. Das den zweiten Eingangsport zugeführte Überwachungssignal kann auch zur Aktivierung des zweiten Überwachungsmoduls verwendet werden, wie dies nachstehend noch beschrieben wird.
  • In einer besonders bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls sowie einem Eingangsport des ersten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Diese Ausgestaltung ist besonders vorteilhaft, da sie dem ersten Überwachungsmodul erlaubt, das Überwachungssignal in Abhängigkeit einer eingetretenen Zustandsänderung zu ändern und eine schnellere und/oder vertiefte Prüfung vorzunehmen. Insbesondere hinsichtlich des Betriebs der Überwachungsmodule mit zugeschaltetem Ruhemodus ist diese Lösung besonders vorteilhaft, wie nachstehend erläutert wird.
  • Der Abstand der Pulse bzw. die Pulsrepetitionsfrequenz und gegebenenfalls auch die Pulsbreite des Überwachungssignals sind vorzugsweise derart gewählt, dass die Sicherheit zur Detektion einer Zustandsänderung hinreichend ist und gleichzeitig die Überwachungstätigkeit und somit der Energiebedarf der Überwachungsmodule auf ein Minimum reduziert wird.
  • Die Pulsbreite der übertragenen Pulse wird vorzugsweise derart gewählt, dass das zweite Überwachungsmodul durch einen übertragenen Puls aus dem Ruhezustand in den Betriebszustand versetzt werden kann und nach Erreichen des Betriebszustands das Eintreffen dieses Pulses detektieren kann. Auf diese Weise können die Überwachungsmodule zwischen zwei Pulsen in einen Ruhezustand versetzt werden, in dem wesentliche Schaltungsteile abgeschaltet sind und somit nur wenig Energie von der Batterie benötigen.
  • Erfindungsgemäss werden Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen, innerhalb dem zumindest eines der Überwachungsmodule bei Auftreten eines ersten Ereignisses in einen Energiesparmodus oder Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebsmodus oder Betriebszustand versetzt wird. Das erste Ereignis wird vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers bestimmt. Das zweite Ereignis wird durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers bestimmt ist.
  • Der vorzugsweise konstante Abstand zwischen den Pulsen oder zwischen den Gruppen von Pulsen des Überwachungssignals liegt vorzugsweise im Bereich zwischen 0.15 s und 1.5 s, insbesondere 0.35 s. In diesem Bereich kann die sichere Überwachung der Aufzugstüren gewährleistet und gleichzeitig der Energiebedarf auf ein Minimum reduziert werden. Unter Berücksichtigung der gegebenen Umstände können auch grössere zeitliche Abstände gewählt werden, um noch mehr Energie zu sparen.
  • Das erste und/oder das zweite Überwachungsmodul weisen je wenigstens ein Register für die Speicherung von Zustandsdaten auf, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird. Die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse kann während des Stromausfalls in einem der Überwachungsmodule oder nach Beendigung des Stromausfalls in der Sicherungseinheit gebildet werden, um eine gegebenenfalls aufgetretene Zustandsänderung zu detektieren. Ferner kann auch der Ausfall von erwarteten Pulsen detektiert und gespeichert werden.
  • Die Überwachung der Aufzugsanlage kann durch verschiedene Faktoren beeinflusst werden. Von primärer Bedeutung ist das normale Auftreten einer Zustandsänderung durch Betätigung einer Aufzugstür. Weiter kann das Überwachungssignal durch Störsignale verändert werden, wonach fehlerhafte Messergebnisse auftreten können. Ferner können Funktionsstörungen innerhalb der Überwachungseinheiten auftreten. Zudem kann eine ungenügende Stromversorgung oder Betriebsspannung die Messung beeinflussen. Vorzugsweise sind Mittel und Massnahmen vorgesehen, die es erlauben, vorzugsweise allen diesen Einwirkungen zu begegnen.
  • Während eines Stromausfalls können Störsignale auftreten, die z.B. durch die Inbetriebsetzung von Notstromaggregaten oder durch das Prellen von Schaltern verursacht werden. Vorzugsweise wird das übertragene Überwachungssignal daher gefiltert, insbesondere um hochfrequente Störungen zu beseitigen.
  • Im Überwachungsmodul, welches das übertragene Überwachungssignal empfängt, wird daher vorzugsweise ein Filterprogramm implementiert, welches das Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist. Beim Medianfilter wird ermittelt, ob innerhalb einer Zeitdauer eine festgelegte Anzahl der empfangenen Pulse grösser ist als die Hälfte der Anzahl der gesendeten Pulse. Die Zeitdauer ergibt sich daher aus der festgelegten Anzahl von Pulsen multipliziert mit der Periodendauer der Pulsrepetitionsfrequenz. Durch die Änderung der genannten Anzahl von Pulsen und der resultierenden Zeitdauer kann die Grenzfrequenz des Filters verschoben werden.
  • In Abhängigkeit von der festgelegten Anzahl von Pulsen, die im Filter verarbeitet werden, und der resultierenden Zeitdauer ergibt sich nach Auftreten einer Zustandsänderung, z.B. dem Ausbleiben eines Pulses, eine zeitliche Verzögerung, bis die Zustandsänderung am Ausgang des Filters signalisiert wird. Bei der Wahl von relativ grossen Abständen zwischen den Pulsen können somit Verzögerungen auftreten, die unerwünscht gross sind. Sofern kurze Abstände zwischen den Pulsen gewählt werden, erhöht sich jedoch der Energiebedarf.
  • Um kurze Pulsabstände bzw. eine hohe Pulsrepetitionsfrequenz während der Zeit, in der keine Zustandsänderungen auftreten, und gleichzeitig eine unerwünschte Verzögerung bei der Detektion einer danach auftretenden Zustandsänderung zu vermeiden, wird das über den zu prüfenden Schaltkontakt übertragene Überwachungssignal vorzugsweise ungefiltert zum ersten Überwachungsmodul zurückgeführt. Im ersten Überwachungsmodul wird die übertragene Pulssequenz überwacht und die Pulsrepetitionsfrequenz erhöht, sobald das Ändern eines Pulses detektiert wird. Bei Auftreten einer Unregelmässigkeit wird die Überwachungstätigkeit somit intensiviert und die Zeitdauer verkürzt, innerhalb der die festgelegte Anzahl Pulse im Filter verarbeitet wird. Die zeitliche Verzögerung bis zum Zeitpunkt, zu dem das Filter die erfolgte Zustandsänderung meldet, kann daher um den Faktor reduziert werden, um den die Pulsrepetitionsfrequenz zumindest kurzzeitig erhöht wird.
  • Veränderungen bei der Erzeugung, der Übertragung, dem Empfang und der Verarbeitung des Übertragungssignals können nicht nur durch Störsignale, sondern auch durch Schaltungselemente der Überwachungsmodule verursacht werden, die nicht korrekt funktionieren. Zur Gewährleistung einer einwandfreien Überwachung des Schaltkontakts ist es daher wichtig Funktionsfehler der Überwachungseinheiten erkennen zu können.
  • Zur dynamischen Erkennung solcher Fehler wird das Überwachungssignal vom ersten Überwachungsmodul entsprechend einer festgelegten Soll-Form als eine Folge von unterschiedlichen Pulsen abgegeben, die sich in der Pulsposition und/oder der Pulsform und/oder der Pulsamplitude und/oder der Pulsbreite unterscheiden. Die entsprechende Ausbildung des Überwachungssignals kann von der Sicherungseinheit vorgegeben oder im ersten oder zweiten Überwachungsmodul fest gespeichert sein oder auch zufällig gewählt werden.
  • Die Sicherungseinheit und/oder wenigstens eines der Überwachungsmodule vergleicht in der Folge das über den Schaltkontakt übertragene Überwachungssignal mit dem nicht über den Schaltkontakt übertragenen Überwachungssignal oder einer vorgegebenen Soll-Form des übertragenen Überwachungssignals und registriert Abweichungen, die das Vorliegen eines entsprechenden Funktionsfehlers anzeigen.
  • Vorzugsweise sendet das erste Überwachungsmodul Pulse mit unterschiedlichen Formen je in einer bestimmten Anzahl aus. Das zweite Überwachungsmodul stellt in der Folge fest, ob die Pulse in der betreffenden Form und Anzahl eintreffen. Die Tests können autonom durch die beiden Überwachungsmodule während des autonomen Betriebs oder während des Normalbetriebs durch die Sicherungseinheit durchgeführt werden.
  • Besonders wichtig ist auch die einwandfreie Stromversorgung der Überwachungsmodule. Sofern die Batterie z.B. nach einem längeren Stromausfall nicht mehr die erforderliche Spannung und Energie liefert, wird die Funktion der Überwachungseinheiten infrage gestellt. Während des autonomen Betriebs der Überwachungsmodule wird daher vorzugsweise geprüft, ob die von der Batterie abgegebene Spannung einen Schwellwert unterschreitet und/oder ob in einem der Überwachungsmodule ein Brownout auftritt, d.h. einzelne Schaltungsteile aufgrund ungenügender Betriebsspannung ausfallen. Im Ereignisfall, d.h. bei Ausfall der Betriebsspannung, werden die Überwachungsmodule zurücksetzt und die ermittelten Zustandsdaten gelöscht. Die Abwesenheit der Zustandsdaten wird sodann als unzulässige Zustandsänderung interpretiert und die Inbetriebnahme der Aufzugsanlage verhindert.
  • Vorzugsweise wird vorgesehen, dass die genannten Tests auch während des Normalbetriebs durchgeführt werden können. Z.B. wird für die Überwachungseinheiten periodisch ein Stromausfall simuliert. Vorzugsweise werden die Überwachungseinheiten während des Normalbetriebs der Aufzugsanlage durch die Sicherungseinheit periodisch in den Batteriebetrieb bzw. in den autonomen Betriebszustand versetzt, in dem wenigstens eine der oben genannten Prüfungen und Tests durchgeführt werden. Z.B. werden die Überwachungseinheiten in den Batteriebetrieb versetzt und hinsichtlich der Betriebsspannungen oder des Vorliegens eines Brownouts überwacht. Weiterhin kann eine dynamische Prüfung der Überwachungsmodule durchgeführt werden, bei der das Überwachungssignal bzw. die Überwachungspulse geändert werden und das empfangene Überwachungssignal geprüft wird. Weiterhin kann der Zustand der Schaltkontakte geprüft werden. Z.B. werden Testprogramme abgespeichert und periodisch aufgerufen, mittels denen die Register, Timer, Wandler und Verstärker auch während des Normalbetriebs der Aufzugsanlage geprüft werden.
  • Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines Stromausfalls liest die Sicherungseinheit die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten und den darin vorgesehenen Überwachungsmodulen aus und nimmt eine Analyse vor.
  • Insbesondere wird
    1. a) geprüft, ob die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten gegeben ist; und/oder
    2. b) geprüft, ob eine Fehlfunktion bei einer der Überwachungseinheiten aufgetreten ist; und/oder
    3. c) geprüft, ob Zustandsänderungen des Überwachungssensors oder bzw. des Schaltkontakts aufgetreten sind; und/oder
    4. d) ermittelt, ob Abweichungen der Zahlen der in jeder der Überwachungseinheiten registrierten gesendeten und empfangenen Pulse vorliegen.
  • Bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten oder bei einer Abweichung der Zahlen der in jeder der Überwachungseinheiten übertragenen Pulse wird die Versetzung der Aufzugsanlage zurück in den Normalbetrieb verhindert.
  • Die erfindungsgemässe Vorrichtung wird nachstehend in vorzugsweisen Ausgestaltungen anhand von Zeichnungen exemplarisch beschrieben. Es zeigen:
    • Fig. 1
    eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist und mit einer Steuervorrichtung 100, die zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 aufweist, die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht wird;
    Fig. 2a
    die erste Überwachungseinheit 10A von Fig. 1, die ein prozessorgesteuertes Überwachungsmodul 15 aufweist, das ein Überwachungssignal sTX von einem Ausgangsport op über einen Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet ist, zu einem Eingangsport ip überträgt;
    Fig. 2b
    ein am Ausgangsport op abgegebenes Überwachungssignal sTX1 als Pulsfolge mit einem exemplarisch gewählten Tastverhältnis von 50 %;
    Fig. 2c
    ein am Ausgangsport op abgegebenes Überwachungssignal sTX2 als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 vergrösserten Periodendauer T;
    Fig. 2d
    das am Eingangsport ip eintreffende Überwachungssignal sRX2, in das während der Übertragung über den Schaltkontakt 11A ein Störimpuls n eingeprägt wurde;
    Fig. 3a
    die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal sTX über den Schaltkontakt 11A zu einem zweiten prozessorgesteuerten Überwachungsmodul 16 überträgt;
    Fig. 3b
    das Überwachungssignal sTX von Fig. 3a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11A;
    Fig. 3c
    das Überwachungssignal sRX von Fig. 3b nach der Übertragung über den Schaltkontakt 11A, der während der Dauer von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 nicht registriert wurden;
    Fig. 4a
    die erste Überwachungseinheit von Fig. 3a mit dem ersten Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist;
    Fig. 4b
    das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene Überwachungssignal sTX von Fig. 4a;
    Fig. 4c
    das am ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal sRX von Fig. 4a;
    Fig. 5a
    die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal sTX von Fig. 4a über den Schaltkontakt 11A zusätzlich einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird;
    Fig. 5b
    das Überwachungssignal sTX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt 11A mit einem zusätzlich eingeprägten Hilfspuls pAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses des übertragenen Überwachungssignals sRX zusätzlich abgegeben wurde;
    Fig. 5c
    das Überwachungssignal sRX von Fig. 5b nach der Übertragung über den Schaltkontakt 11A, der nach Eintreffen eines ersten Pulses p geöffnet wurde;
    Fig. 6a
    ein Diagramm mit dem gesendeten Überwachungssignal sTX2 von Fig. 2c, mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal sRX2 von Fig. 2d, mit schematisch gezeigten Filtermassnahmen und mit dem gefilterten Überwachungssignal sRXF, das gegenüber dem empfangenen Überwachungssignal sRX2 um mehr als zwei Abtastzyklen verschoben ist;
    Fig. 6b
    ein Diagramm mit dem gesendeten Überwachungssignal sTX von Fig. 3b, mit dem übertragenen Überwachungssignal sRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal sRXF, das gegenüber dem empfangenen Überwachungssignal sRX um zwei Abtastzyklen verschoben ist;
    Fig. 6c
    ein Diagramm mit dem gesendeten Überwachungssignal sTX von Fig. 5b, bei dem nach Ausfall eines Pulses die Pulsrepetitionsfrequenz verdoppelt wurde, mit dem übertragenen Überwachungssignal sRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal sRXF, das gegenüber dem empfangenen Überwachungssignal sRX um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde;
    Fig. 7
    ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals sTX1, sTX2, dem Signalverlauf des übertragenen Überwachungssignals sRX, dem Signalverlauf am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal sRXF nach der Filterung;
    Fig. 8
    ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals sTX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen, sowie den Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals sRX, in dem drei schraffiert gezeigte Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind.
  • Fig. 1 zeigt eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist. Die Aufzugsanlage 3, die von einer zentralen Stromversorgungseinheit 2 gespeist wird, ist mit einer Steuervorrichtung 100 ausgerüstet, mittels der die Aufzugsanlage 3, insbesondere die Antriebseinheit 38, steuerbar ist. Die Steuervorrichtung 100 umfasst zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1, die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht werden kann.
  • Die Sicherungseinheit 1 ist in der vorliegenden Ausgestaltung ein eigenständiges Rechnersystem, das mit einem Anlagenrechner 1000 kommuniziert. Die Sicherungseinheit 1 kann aber auch als Softwaremodul oder Hardwaremodul in den Anlagenrechner 1000 integriert werden. Die Sicherungseinheit 1 kann, wie in Fig. 1 gezeigt, direkt in die Aufzugsanlage 3 eingreifen und z.B. die Stromversorgung 2 oder die Antriebseinheit 38 steuern oder ausschalten. Alternativ kann die Sicherungseinheit 1 nur mit dem Anlagenrechner 1000 verbunden sein, der seinerseits die gesicherte Steuerung der Aufzugsanlage 3 unter Berücksichtigung der erfindungsgemäss ermittelten Zustandsdaten vollzieht.
  • Die Sicherungseinheit 1 und/oder der Anlagenrechner 1000 können zudem drahtlos oder drahtgebunden mit externen Rechnereinheiten, z.B. einem Leitrechner verbunden sein.
  • In der vorliegenden Ausgestaltung sind die Überwachungssensoren 11A, 11B als Schaltkontakte ausgebildet, die je mit einem Türverschluss 31A, 31B mechanisch gekoppelt sind, der vom Wartungspersonal mittels eines Werkzeugs betätigt werden kann, wie dies in Fig. 1 für den Schaltkontakt 11B gezeigt ist. Während eines Stromausfalls oder einer Abschaltung der Stromversorgung kann das Wartungspersonal somit einen Türverschluss 31A, 31B betätigen, eine Aufzugstür 30A, 30B manuell öffnen und in den Aufzugschacht 35 gelangen.
  • Fig. 1 zeigt, dass nach einem Stromausfall die untere Aufzugstür 31B geöffnet wurde und ein Wartungstechniker in den Aufzugschacht 35 eingetreten ist, um eine elektrische Installation 8 zu prüfen, die den Stromunterbruch verursacht haben könnte. Der Wartungstechniker steht auf dem Schachtboden in einer Schachtgrube, die nur eine geringe Tiefe aufweist. In dieser Situation darf die Aufzugsanlage 3 nicht betrieben werden. In der oberen Etage bewegt sich ein Gebäudebewohner auf die erste Aufzugstür 30A zu, hinter der die Aufzugskabine 36 steht. Sofern die Aufzugsanlage 3 in diesem Moment wieder mit Strom versorgt und in den Normalbetrieb versetzt wird, kann der Gebäudebewohner die Aufzugskabine 36 betreten und in Fahrt versetzen. Dies wird verhindert, indem die Schaltkontakte 11A; 11B überwacht werden und der Übergang in den Normalbetrieb verhindert wird, falls einer der Schaltkontakte 11A, 11B betätigt wurde. Damit diese Überwachung auch nach einem Stromausfall vollzogen werden kann, sind die Überwachungseinheiten 10A; 10B mit einer Batterie 14 ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage 3 oder einem Stromausfall automatisch in einen autonomen Betrieb umschaltbar.
  • Fig. 1 zeigt, dass die beiden identisch ausgebildeten Überwachungseinheiten 10A, 10B je eine lokale Stromversorgungseinheit 12 und eine Batterie 14 aufweisen, die über eine steuerbare Umschalteinheit 13, z.B. ein spannungsgesteuertes Relais, mit einem ersten und gegebenenfalls einem zweiten Überwachungsmodul 15, 16 verbindbar sind. Die Umschalteinheit 13 wird von der Stromversorgungseinheit 12 mit einer Schaltspannung us versorgt, durch die die Umschalteinheit 13 aktiviert wird und die Stromversorgungseinheit 12 mit den Überwachungsmodulen 15, 16 verbindet. Bei einem Stromausfall entfällt die Schaltspannung us und die Umschalteinheit 13 fällt in die Ruhestellung zurück, in der die Batterie 14 mit den Überwachungsmodulen 15, 16 verbunden wird.
  • In jeder der Überwachungseinheiten 10A, 10B erzeugt das erste Überwachungsmodul 15 ein Überwachungssignal, welches über einen Ausgang der Überwachungseinheit 10A; 10B und den zugehörigen Schaltkontakt 11A, 11B zurück zu einem Eingang der Überwachungseinheit 10A; 10B geführt und im ersten oder zweiten Überwachungsmodul 15; 16 ausgewertet wird.
  • Zumindest während des autonomen Betriebs bzw. während eines Stromausfalls werden die Überwachungssensoren bzw. die Schaltkontakte 11A, 11B daher überwacht, um eine Zustandsänderung bzw. eine Betätigung des zugehörigen Türverschlusses 31A; 31B zu registrieren. Eine Überwachung wird vorzugsweise auch während des Normalbetriebs vorgenommen. Sofern während des Normalbetriebs eine Betätigung einer der Schaltkontakte 11A, 11B detektiert wird, so wird die Aufzugsanlage vorzugsweise abgeschaltet.
  • Nach Beendigung des Stromausfalls wird die Aufzugsanlage 3 von der zentralen Stromversorgungseinheit 2 wieder mit Energie versorgt. Den lokalen Stromversorgungseinheiten 12 in den Überwachungseinheiten wird wieder eine Betriebsspannung zugeführt, wonach diese wiederum die Schaltspannung us erzeugen und die Umschalteinheit 13 aktivieren. Die in den Überwachungseinheiten 10A, 10B gesammelten Zustandsdaten oder bereits daraus abgeleitete Zustandsmeldungen können in der Folge von der Sicherungseinheit 1 abgerufen und weiterverarbeitet werden. Die Sicherungseinheit 1 wird anhand der Zustandsdaten von der zweiten Überwachungseinheit 10B feststellen, dass der zugehörige Türverschluss 31B betätigt wurde und sich möglicherweise eine Person im Aufzugschacht 35 befindet. Die Sicherungseinheit 1 verhindert daher die Inbetriebsetzung der Aufzugsanlage 3 durch einen direkten Eingriff in die Aufzugsanlage 3, wie dies in Fig. 1 illustriert ist mit Abschaltung der Stromversorgung 2 oder mit Abschaltung der Antriebseinheit 38, oder durch Mitteilung an einen übergeordneten Rechner bzw. den Anlagenrechner 1000, welcher seinerseits die Inbetriebnahme der Aufzugsanlage 3 verhindert.
  • Statt wie in Fig. 1 für jede Aufzugtür 30A, 30B eine separate Überwachungseinheit 10A, 10B vorzusehen, kann auch nur eine einzige Überwachungseinheit vorgesehen sein, die mehrere, jeweils einer Aufzugtür zugeordnete Schaltkontakte überwacht. Die Schaltkontakte sind in diesem Fall in Reihe geschaltet, so dass die Überwachungseinheit erkennt, wenn einer der beiden Schaltkontakte geöffnet wird. In diesem Fall ist auch nur eine einzige Batterie zur Versorgung der Überwachungseinheit notwendig.
  • Die Ausgestaltung der Überwachungseinheiten 10A, 10B wird nachstehend in verschiedenen vorzugsweisen Ausgestaltungen beschrieben, in denen der Sicherheit der Überwachung, der Funktionsfähigkeit der Überwachungsvorrichtung und insbesondere der Energieeinsparung zur Entlastung der Batterie 14 besonderes Gewicht zugemessen wird.
  • Fig. 2a zeigt die erste Überwachungseinheit 10A von Fig. 1, die nur ein prozessorgesteuertes erstes Überwachungsmodul 15 aufweist, das ein Überwachungssignal sTX von einem Ausgangsport op über den Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet und mit diesem mechanisch gekoppelt ist, zu einem Eingangsport ip überträgt.
  • Das Überwachungsmodul 15 ist z.B. ein Mikrocontroller mit niedrigstem Stromverbrauch im Betriebszustand (vorzugsweise < 100 µA) und im Ruhezustand (vorzugsweise < 500nA), kurzen Verzögerungszeiten beim Übergang vom Ruhezustand in den Betriebszustand (vorzugsweise <1 µs); und allen wesentlichen Funktionen zur Signalverarbeitung. Z.B. wird ein Mikrocontroller verwendet, wie er in der Dokumentation "MSP Low-Power Microcontrollers" von Texas Instruments Incorporated aus dem Jahre 2015 beschrieben ist.
  • Das in Fig. 2a gezeigte Überwachungsmodul 15 ist ein Mikrocontroller mit einer CPU 150, einem oder mehreren Registern 151, einem Arbeitsspeicher 152 einem optional vorgesehenen Digital/Analog Wandler 153, wenigstens einem Ausgangsmodul 154, einem Schnittstellenbaustein 155, einem Watchdog-Timer 156, wenigstens einem weiteren Timer T1, einem Analog/Digital Wandler 158 und wenigstens einem Eingangsmodul 159. Die einzelnen Module sind über einen Systembus miteinander und über den Schnittstellenbaustein 155 mit der Sicherungseinheit 1 verbunden oder verbindbar.
  • Das zweite Überwachungsmodul 16 von Fig. 1 ist vorzugsweise identisch wie das erste Überwachungsmodul 15 aufgebaut, aber mit entsprechend angepasster Software versehen. Vorzugsweise sind beide Überwachungsmodule 15, 16 mit Prüfschaltungen oder Brownout-Schaltungen versehen, mittels denen festgestellt werden kann, ob die Betriebsspannung, insbesondere die Spannung der Batterie 14, unter einen vorgesehenen Wert gefallen ist und/oder ob einzelne Schaltungsteile nur ungenügend mit Energie versorgt werden, wonach dies entsprechend registriert wird. Vorzugsweise wird das Überwachungsmodul 15 nach Vorliegen einer ungenügenden Betriebsspannung in den Ausgangszustand zurückgesetzt, in dem die Datenspeicher gelöscht sind.
  • Im Arbeitsspeicher 152 sind ein Betriebsprogramm BP und ein Filterprogramm FP gespeichert. Über einen Ausgangsport op und einen Verstärker 18 ist ein Überwachungssignal sTX, das im Überwachungsmodul 15 generiert wird, über den Schaltkontakt 11A zu einem Eingangsport ip des Überwachungsmoduls 15 übertragbar.
  • Der Zustand der Umschalteinheit 13 zeigt, dass der Strom ausgefallen ist und das Überwachungsmodul 15 von der Batterie 14 mit Strom versorgt wird.
  • Fig. 2b zeigt exemplarisch ein am Ausgangsport op abgegebenes Überwachungssignal sTX1 als Pulsfolge mit einem Tastverhältnis von 50 %. Ein Vergleich des am Ausgangsport op abgegebenen Überwachungssignals sTX mit dem am Eingangsport empfangenen Überwachungssignal sRX zeigt an, ob der Schaltkontakt 11A während der Übertragung geöffnet wurde. Sofern einige der Pulse nicht übertragen werden, so wird eine Zustandsänderung des Schaltkontakts 11A und somit eine mögliche Öffnung der Aufzugstür 30A registriert und gemeldet. Z.B. werden die Anzahl der gesendeten Pulse und die Anzahl der empfangenen Pulse im Register 151 gespeichert und vor Inbetriebnahme der Aufzugsanlage 3 miteinander verglichen, um eine Türöffnung zu detektieren.
  • Fig. 2c zeigt ein am Ausgangsport op abgegebenes Überwachungssignal sTX2 von Fig. 2a als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 höheren Periodendauer T im Vergleich zum Signal von Fig. 2b. Durch die Reduktion des Tastverhältnisses und die Erhöhung der Periodendauer kann der Energiebedarf signifikant reduziert werden. Zwischen zwei Pulsen kann das Überwachungsmodul 15 zudem in einen Ruhezustand versetzt werden, in dem der Stromverbrauch minimal ist und nur Schaltungsteile betrieben werden, die für den Übergang vom Ruhezustand in den Betriebszustand erforderlich sind. Z.B. werden externe Anreize oder Wecksignale überwacht. Vorteilhaft kann ein Wecksignal auch innerhalb des Überwachungsmoduls 15 z.B. von einem Timer 156, 157 erzeugt werden.
  • Fig. 2d zeigt das am Eingangsport ip eintreffende Überwachungssignal sRX2, in das während der Übertragung über den Schaltkontakt 11A ein Störimpuls n eingeprägt wurde. Störungen dieser Art können die Überwachung beeinträchtigen und werden vorzugsweise ausgefiltert. Dazu wird im Überwachungsmodul 15 das Filterprogramm FP implementiert, was nachstehend in einer vorzugsweisen Ausgestaltung beschrieben wird.
  • Fig. 3a zeigt die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal sTX vom Ausgangsport op über den Schaltkontakt 11A zum Eingangsport ip eines zweiten prozessorgesteuerten Überwachungsmoduls 16 überträgt. Beide Überwachungsmodule 15, 16 werden von der Batterie 14 gespeist. Im ersten Überwachungsmodul 15 wird die Anzahl der gesendeten Pulse im Register 151 registriert. Im zweiten Überwachungsmodul 16 wird die Anzahl der empfangenen Pulse in einem Register 161 registriert.
  • Fig. 3b zeigt das Überwachungssignal sTX von Fig. 3a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11A.
  • Fig. 3c zeigt das Überwachungssignal sRX von Fig. 3b nach der Übertragung über den Schaltkontakt 11A, der während der Übertragung von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 somit nicht registriert wurden. Durch einen Vergleich der Inhalte der beiden Register 151, 161 kann die Zustandsänderung des Schaltkontakts 11A festgestellt werden. Der Vergleich der Inhalte der Register 151, 161 kann in einem der Überwachungsmodule 15, 16 in einem lokalen Komparator 17 oder zentral in der Sicherungseinheit 1 vorgenommen werden, die alle Registerinhalte aus den Überwachungseinheiten 10A, 10B ausliest.
  • Fig. 4a zeigt die erste Überwachungseinheit 10A von Fig. 3a mit dem ersten Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist.
  • Die direkt zum zweiten Eingangsport ip2 übertragenen Pulse können als Referenzsignale oder als Wecksignale verwendet werden. Bei der Verwendung als Referenzsignal können Änderungen des über den Schaltkontakt 11A übertragenen Überwachungssignals sRX sofort erkannt werden, das in diesem Fall jedoch noch nicht gefiltert ist.
  • Das am Eingangsport ip2 eintreffende Überwachungssignal sTX kann jedoch auch als Wecksignal verwendet werden, nach dessen Eintreffen das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt wird. Damit die über den Schaltkontakt 11A übertragenen Pulse detektiert werden können, muss die Pulsbreite grösser sein, als die Aufweckdauer des zweiten Überwachungsmoduls 16 von z.B. 1 µs. Z.B. wird eine Pulsbreite von 25 µs gewählt, die es erlaubt, die eintreffenden Pulse sicher zu erkennen.
  • Ein Wecksignal kann auch intern in den Überwachungsmodulen 15, 16 erzeugt und mit dem Überwachungssignal sTX synchronisiert werden. Wie der Signalverlauf wd in Fig. 7 zeigt, kann ein Timer, z.B. der Watchdog 156, die Periodendauer des Überwachungssignals sTX abzählen und das betreffende Überwachungsmodul 15 oder 16 bei Erreichen des maximalen Zählerstandes aus dem Ruhezustand in den Betriebszustand versetzen, sodass das erste Überwachungsmodul 15 z.B. einen Puls aussenden und das zweite Überwachungsmodul 16 diesen Puls empfangen kann.
  • Fig. 4b zeigt das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene Überwachungssignal sTX von Fig. 4a.
  • Fig. 4c zeigt das am ersten Eingangsport ip1 des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal sRX von Fig. 4a, welches nur den ersten Puls enthält. Das direkt dem zweiten Eingangsport ip2 zugeführte Überwachungssignal sTX kann nun das zweite Überwachungsmodul 16 wecken, welches nach dem Übergang in den Betriebszustand feststellt, dass der zweite und dritte Puls fehlen. Wie erwähnt kann das dem zweiten Eingangsport ip2 zugeführte Überwachungssignal sTX auch als Referenzsignal verwendet werden.
  • Fig. 5a zeigt die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal sTX von Fig. 4a zusätzlich über den Schaltkontakt 11A einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird. Die Unterbrechung des Schaltkontakts 11A kann somit alternativ oder gleichzeitig im ersten und im zweiten Überwachungsmodul 15, 16 erkannt werden.
  • Im ersten Überwachungsmodul 15 wird das Fehlen eines Pulses vorzugsweise dazu verwendet, den Prüfmodus zu ändern und die Prüfung zu intensivieren. Vorzugsweise wird die Pulsrepetitionsfrequenz zumindest kurzzeitig um einen Faktor x erhöht, der vorzugsweise im Bereich von 50 bis 250 liegt. Z.B. wird eine Periodendauer im Bereich von 0.1 s - 0.5 s auf eine Periodendauer im Bereich von 1 ms - 5 ms geändert. Mit Erhöhung der Pulsrepetitionsfrequenz gelingt es selbst bei Vorliegen von Störsignalen, die mittels des Filterprogramms FP unterdrückt werden sollen, den Zustand des Schaltkontakts 11A bzw. eine allfällige Zustandsänderung rasch und präzise zu ermitteln. Verzögerungen, die durch das Filterprogramm FP verursacht werden, werden dabei ebenfalls um den Faktor x reduziert.
  • Fig. 5b zeigt das Überwachungssignal sTX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt 11A mit einem zusätzlich eingeprägten Hilfspuls pAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses p des übertragenen Überwachungssignals sRX zusätzlich abgegeben wurde. Der Hilfspuls pAUX zeigt symbolisch, dass das Überwachungssignal bedarfsweise sTX geändert wird, um eine rasche Prüfung vollziehen zu können.
  • Fig. 5c zeigt das Überwachungssignal sRX von Fig. 5b nach der Übertragung über den Schaltkontakt 11A, der nach Eintreffen eines ersten Pulses p geöffnet wurde.
  • Fig. 6a zeigt ein Diagramm mit dem gesendeten Überwachungssignal sTX2 von Fig. 2c sowie mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal sRX2 von Fig. 2d. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal sRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal sRX2 um mehr als zwei Abtastzyklen verschoben ist und aus dem der Störimpuls entfernt wurde. Das Messergebnis erfolgt am Ausgang der durch Hardware oder Software realisierten Filterstufe mit einer signifikanten Verzögerung.
  • Durch das Filterprogramm FP, welches im zweiten Überwachungsmodul 16 implementiert ist, wird geprüft, welchen Wert die Mehrzahl von Abtastwerten innerhalb eines Filterintervalls aufweist. Die Filterintervalle umfassen jeweils die letzten fünf Abtastwerte. Das Filterprogramm FP umfasst z.B. ein FIFO-Register, in das die Abtastwerte schrittweise eingelesen werden. Mit jeder Verschiebung wird die Summe der fünf im FIFO-Register enthaltenen Werte gebildet und geprüft, ob deren Summe oberhalb oder unterhalb des Mittelwerts zwischen den Werten liegt, bei denen das FIFO-Register vollständig gefüllt oder vollständig geleert ist; d.h. grösser oder kleiner als 2.5 ist. Für jedes Filterintervall sind die ermittelten Werte sowie das Ergebnis angezeigt. Die Übertragung an den Ausgang des Filters erfolgt mit der Verzögerung d erst nach Eintreffen des letzten Abtastwerts.
  • Fig. 6a zeigt, dass das gefilterte Überwachungssignal sRXF mit einer Verzögerung d am Ausgang der Filterstufe erscheint, die etwa der doppelten Periodendauer des Abtastsignals entspricht. Der sporadisch aufgetretene Störimpuls n wurde hingegen beseitigt.
  • Fig. 6b zeigt ein Diagramm mit dem gesendeten Überwachungssignal sTX von Fig. 3b sowie dem übertragenen Überwachungssignal sRX, dem drei Pulse fehlen. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal sRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal sRX2 mit einer Verzögerung dl ebenfalls um etwa zwei Abtastzyklen verschoben ist. Der Filtervorgang erfolgt wie mit Bezug zu Fig. 6a beschrieben.
  • Fig. 6c zeigt ein Diagramm mit dem gesendeten Überwachungssignal sTX von Fig. 5b sowie mit dem übertragenen Überwachungssignal sRX, dem drei Pulse fehlen. Beim gesendeten Überwachungssignal sTX wurde die Pulsrepetitionsfrequenz verdoppelt, nachdem das Fehlen eines Pulses detektiert wurde (siehe auch die Beschreibung zu Fig. 5a). Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal sRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal sRX mit einer Verzögerung d2 um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde. Die Verzögerung d2 wurde gegenüber der Verzögerung dl von Fig. 6b ebenfalls halbiert (d2 = 1/2 dl).
  • Zum Zeitpunkt t3 wurde im ersten Überwachungsmodul 15 von Fig. 5a festgestellt, dass mit dem übertragenen Überwachungssignal sRX ein erwarteter Puls nicht eingetroffen ist. Nach diesem Ereignis wurde vom ersten Überwachungsmodul 15 die Pulsrepetitionsfrequenz verdoppelt und somit der Pulsabstand halbiert. Die Länge der Filterintervalle und die Verzögerung d können durch Erhöhung der Pulsrepetitionsfrequenz somit beliebig reduziert werden.
  • In einer vorzugsweisen Ausgestaltung wird vorgesehen, dass das erste Überwachungsmodul 15 nach Ausbleiben eines Pulses einen für eine kurze Zeitdauer im Bereich von z.B. 1s - 10s einen Burst oder eine Sequenz Pulsen aussendet, deren Abstände um den oben genannten Faktor x reduziert, der vorzugsweise im Bereich von 50 bis 250 liegt.
  • Fig. 7 zeigt ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals sTX1, sTX2, sowie dem Signalverlauf des übertragenen Überwachungssignals sRX. Ferner sind der Signalverlauf wd am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal sRXF nach der Filterung gezeigt. Der Timer korrespondiert z.B. zum Watchdog 156 des ersten Überwachungsmoduls 15
    in Fig. 7 ist ersichtlich, dass die Änderung des Signalverlaufs des übertragenen Überwachungssignals sRX zwei verschiedene Ursachen haben kann.
  • Im ersten Fall kann zum Zeitpunkt t5 eine Zustandsänderung des Schaltkontakts 11A erfolgen, der unterbrochen wird und die Pulse des ersten Überwachungssignals sTX1 nicht weiter zum Eingangsport ip1 des zweiten Überwachungsmoduls 16 leitet.
  • Im zweiten Fall wird das Überwachungssignal sTX2 im ersten Überwachungsmodul 15 nicht mehr erzeugt, so dass nach dem Zeitpunkt t4 keine Pulse mehr über den geschlossenen Schaltkontakt 11A zum Eingangsport ip1 des zweiten Überwachungsmoduls 16 gelangen können. Sofern die Pulse des Überwachungssignals sTX2 bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a nicht mehr zum zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 gelangen, wird dieses nicht mehr aus dem Ruhezustand in den Betriebszustand versetzt. Die Zählerstände für die gesendeten und empfangenen Pulse bleiben daher konstant bzw. sind eingefroren. Sofern die Zählerstände bei identischen Werten eingefroren wurden, zeigt dies den geschlossenen Zustand des überwachten Schaltkontakts 11A, 11B an, obwohl diese mittlerweile vielleicht geöffnet wurde.
  • Erfindungsgemäss sind für dieses Problem zwei Lösungen vorhanden, die alternativ oder vorzugsweise in Kombination angewendet werden.
  • Bei der ersten Lösungsvariante wird von einem Timer 157 innerhalb des zweiten Überwachungsmoduls 16 (das vorzugsweise dieselben Module aufweist wie das erste Überwachungsmodul 15) ein Wecksignal sT1 erzeugt. Das Wecksignal sT1 wird mit dem vom ersten Überwachungsmodul 15 abgegebenen Überwachungssignal sTX synchronisiert und weist dieselbe Frequenz auf, ist in der Phase jedoch um einen Bruchteil der Periodendauer vorverschoben. Mit der abfallenden Flanke des Wecksignals sT1 wird das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt, um einen Puls des übertragenen Überwachungssignals sRX zu empfangen. In der Folge werden der Ist-Wert der tatsächlich eingetroffenen Pulse und der Soll-Wert der erwarteten Pulse registriert, wie dies in Fig. 7 illustriert ist. Die Differenz zwischen den 4 eingetroffenen und den 14 erwarteten Pulsen zeigt, dass eine Zustandsänderung im ersten Überwachungsmodul 15 oder beim Schaltkontakt 11A aufgetreten ist.
  • Sofern die Pulse des Überwachungssignals sTX1, sTX2 am zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 ebenfalls gezählt werden, kann der Zustand des ersten Überwachungsmoduls 15 bestimmt werden. Die Zählerstände des Registers 161 zeigen, dass vom ersten Überwachungsmodul 14 Pulse ausgesendet wurden, dass 14 Pulse erwartet wurden und dass 4 Pulse über den Schaltkontakt 11A übertragen wurden. Die Übereinstimmung von 14 ausgesendeten und 14 erwarteten Pulsen zeigt, dass das erste Überwachungsmodul 15 einwandfrei funktioniert. Die Differenz zwischen den 14 gesendeten und erwarteten Pulsen einerseits und den 4 empfangenen Pulsen andererseits zeigt hingegen, dass der Schaltkontakt 11A geöffnet wurde. Das empfangene und gefilterte Überwachungssignal sRXF zeigt die Zustandsänderung des Schaltkontakts 11A.
  • Bei der zweiten Lösungsvariante werden die Zählerstände der Register 151, 161 von der Sicherungseinheit 1 nach Beendigung des Stromausfalls aus allen Überwachungseinheiten 10A, 10B ausgelesen und miteinander verglichen. Der Vergleich zeigt, ob die Registerstände bei einer der Überwachungseinheiten 10A, 10B eingefroren sind und ein Fehler aufgetreten ist. Falls die Registerstände in jeder der Überwachungseinheiten 10A, 10B identisch sind, aber Unterschiede zwischen den Überwachungseinheiten 10A, 10B vorliegen, so kann auf einen Funktionsfehler geschlossen werden.
  • Bei der Bearbeitung der Zählerstände werden vorzugsweise Toleranzen vorgesehen, mit denen Abweichungen von Zählerständen vernachlässigt werden, die für das Anzeigen einer Fehlfunktion oder einer Zustandsänderung der Überwachungssensoren bzw. Schaltkontakte 11A, 11B ungenügend sind.
  • Fig. 2a zeigt, dass die Überwachungsmodule 15, 16 vorzugsweise einen sogenannten Watchdog 156 aufweisen, der als Timer bzw. Zähler ausgebildet ist und der vorteilhaft zur Überwachung des Schaltkontakts 11A bzw. 11B oder auch des ersten Überwachungsmoduls 15 einsetzbar ist. Bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a wird das Überwachungssignal sTX mit den Pulsfolgen (siehe z.B. Fig. 7 mit den Signalverläufen sTX1 und sTX2) dem zweiten Eingangsport ip2 direkt bzw. nicht über den Schaltkontakt 11A bzw. 11B des zweiten Überwachungsmoduls 16 zugeführt. Das über den Schaltkontakt 11A bzw. 11B übertragene Überwachungssignal sRX wird dem ersten Eingang ip1 des zweiten Überwachungsmoduls 16 zugeführt. Das Ausbleiben eines Pulses der dem ersten und/oder dem zweiten Eingangsport ip1 bzw. ip2 zugeführten Überwachungssignale sTX1 bzw. sTX2 oder sRX kann nun anhand je eines Watchdogs 156 überwacht werden, für den ein Timeout bzw. ein Zählwert to festgelegt wird, der bei regelmässigem Eintreffen aller Pulse nie erreicht wird.
  • In Fig. 7 ist die Überwachung des über den Schaltkontakt 11A bzw. 11B übertragenen Überwachungssignals sRX illustriert, dessen Pulse bei aufsteigender Flanke den Watchdog 156 jeweils zurücksetzen, sodass dieser nicht in das Timeout to hochzählen kann. Zum Zeitpunkt t5 wird hingegen kein Puls mehr über den Schaltkontakt 11A bzw. 11B übertragen, sodass der Watchdog 156 nicht zurückgesetzt wird und ins Timeout hochzählt und einen Alarm auslöst oder eine Zustandsänderung signalisiert. In gleicher Weise würde das in Fig. 7 gezeigte Überwachungssignal sTX2 zum Zeitpunkt t5 bei einem zweiten Watchdog ein Timeout verursachen.
  • Vorzugsweise wird vorgesehen, dass dem Watchdog 156 das gefilterte Eingangssignal sRXF zugeführt wird. Dadurch wird verhindert, dass der Watchdog 156 durch Störimpulse zurückgesetzt wird und bei Ausbleiben eines Pulses des Überwachungssignals sRX nicht in das Timeout hochzählen kann.
  • Die durch den Watchdog 156 signalisierten Zustandsänderungen werden z.B. im Register 151 abgespeichert und nach Beendigung des Stromausfalls mit den weiteren Zustandsdaten zur Sicherungseinheit 1 übertragen. Vorzugsweise wird der Verlauf des Ausgangssignals des Watchdog 156 gespeichert und analysiert, z.B. um die Dauer der Unterbrüche des Schaltkontakts 11A bzw. 11B festzustellen. Normalerweise wird vorgesehen, dass bereits nach Eintreffen eines Timeout für einen Puls eine Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Alternativ kann festgelegt werden, dass der Timeout für eine bestimmte Anzahl Pulse andauern muss, bevor die Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Z.B. wird dadurch unterschieden, ob eine Unregelmässigkeit in der Schaltung oder eine Türöffnung aufgetreten ist.
  • Fig. 8 zeigt ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals sTX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen. Ferner ist der Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals sRX gezeigt, in dem drei Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind. Für jede der Varianten A, B und C ist die Anzahl der abgegebenen Pulse im Register 151 des ersten Überwachungsmoduls 15 registriert. Ebenso ist im Register 161 des zweiten Überwachungsmoduls 16 die Anzahl der empfangenen Pulse für jede der Varianten A, B und C registriert.
  • Die Pulse können auf dem gesamten Übertragungsweg verloren gehen oder beeinträchtigt werden. Die Analyse der Veränderungen lässt Rückschlüsse zu auf die Art der Störung. Mittels der Variation der Pulse können die elektronischen Elemente der Überwachungsmodule 15, 16 somit in einfacher Weise geprüft werden. Die Prüfung kann sporadisch oder auch in einem regelmässigen Muster von der Sicherungseinheit 1 oder autonom von den Überwachungsmodulen 10A, 10B durchgeführt werden.
  • Alternativ können auch die Pulsamplituden, die Pulsabstände oder die Pulsrepetitionsfrequenz wahlweise geändert werden.
  • Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines Stromausfalls liest die Sicherungseinheit 1 die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten 10A, 10B und den darin vorgesehenen Überwachungsmodulen 15, 16 aus und nimmt eine Analyse vor.

Claims (15)

  1. Verfahren zur gesicherten Steuerung einer Aufzuganlage (3), die eine Antriebseinheit (38) umfasst, mittels der eine in einem Aufzugschacht (35) angeordnete Aufzugskabine (36) verfahrbar ist und die von einer Steuervorrichtung (100) derart gesichert angesteuert wird,
    a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahren werden kann, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) gesteuert werden und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
    b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht (35) befindet;
    wobei wenigstens einer der Türen (30A, 30B) je eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (11A; 11B) zugeordnet sind, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 30B), detektiert werden,
    die Überwachungseinheit (10A; 10B)
    a) mit einer Batterie (14) ausgerüstet ist und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umgeschaltet wird;
    b) mit dem Überwachungssensor (11A; 11B) verbunden ist und zumindest während des autonomen Betriebs den Zustand des Überwachungssensors (11A; 11B) überwacht und entsprechende Zustandsdaten registriert; und
    c) mit einer Sicherungseinheit (1) verbunden ist, die aus allen angeschlossenen Überwachungseinheiten (10A; 10B) die registrierten Zustandsdaten ausliest und auswertet und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen (30A; 30B) detektiert wurde,
    und der Überwachungssensor (11A; 11B) ein mit dem zugehörigen Türverschluss (31A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
    dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.
  2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt ist.
  3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet,
    a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes Überwachungsmodul (15) aufweist, welches das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgibt und an einem Eingangsport (ip) wieder empfängt; oder
    b) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, von denen das eine Überwachungsmodul (15) das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgibt und das andere Überwachungsmodul (16) das Überwachungssignal an einem Eingangsport (ip) empfängt; oder
    c) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, die das Überwachungssignal alternierend von ihrem Ausgangsport (op) an den Schaltkontakt (11A; 11B) abgeben oder an ihrem Eingangsport (ip) empfangen.
  4. Verfahren nach Anspruch 3, dadurch gekennzeichnet,
    a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird; oder
    b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird.
  5. Verfahren nach einem der Ansprüche 1 - 4, dadurch gekennzeichnet, dass Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen werden, innerhalb dem zumindest eines der Überwachungsmodule (15; 16) bei Auftreten eines ersten Ereignisses in einen Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebszustand versetzt wird, wobei das erste Ereignis vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers (157) und das zweite Ereignis durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers (156) bestimmt ist.
  6. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass die Sicherungseinheit (1) oder wenigstens eines der Überwachungsmodule (15; 16) das über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal mit dem nicht über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal oder einer Soll-Form des übertragenen Überwachungssignals vergleicht und Abweichungen sowie einen entsprechenden Funktionsfehler in einem der Überwachungsmodule (15; 16) registriert.
  7. Verfahren nach einem der Ansprüche 4 - 6, dadurch gekennzeichnet, dass das erste und/oder das zweite Überwachungsmodul (15; 16) je wenigstens ein Register (151) für die Speicherung von Zustandsdaten aufweist, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird und dass in einem der Überwachungsmodule (15; 16) oder der Sicherungseinheit (1) die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse gebildet und eine gegebenenfalls aufgetretene Zustandsänderung detektiert wird.
  8. Verfahren nach einem der Ansprüche 3 - 7, dadurch gekennzeichnet, dass im ersten und/oder im zweiten Überwachungsmodul (15; 16) ein Filterprogramm (FP) implementiert ist, welches das empfangene Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist, das vorzugsweise feststellt, ob eine Anzahl r der eingetroffenen Pulse grösser oder kleiner ist als die Hälfte der Anzahl t erwarteten oder gesendeten Pulse.
  9. Verfahren nach einem der Ansprüche 1 - 8, dadurch gekennzeichnet, dass zumindest das über den Schaltkontakt (11A; 11B) übertragene und gegebenenfalls gefilterte Überwachungssignal dem Eingang eines Watchdog-Timers (156) zugeführt wird, der mit jedem Eintreffen eines Pulses des Überwachungssignals zurückgesetzt wird und der bei Ausbleiben eines Pulses des Überwachungssignals bis zu einem Timeout hochzählt und eine Zustandsänderung signalisiert.
  10. Verfahren nach einem der Ansprüche 3 -9, dadurch gekennzeichnet, dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal über den Schaltkontakt (11A; 11B) zum Eingangsport (ip) des ersten Überwachungsmoduls (15) geführt und überwacht wird, und dass das erste Überwachungsmodul (15) nach Ausbleiben eines erwarteten Pulses mehrere Pulse mit einer um den Faktor n erhöhten Pulsrepetitionsfrequenz abgibt, die dem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) über den Schaltkontakt (11A; 11B) sowie dem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) direkt zugeführt werden.
  11. Verfahren nach einem der Ansprüche 1 - 10, dadurch gekennzeichnet, dass während des autonomen Betriebs der Überwachungsmodule (15; 16) geprüft wird
    a) ob die von der Batterie (14) abgegebene Spannung einen Schwellwert unterschreitet; und/oder
    b) ob in einem der Überwachungsmodule (15, 16) ein Brownout auftritt;
    und dass die Überwachungsmodule (15; 16) im Ereignisfall zurück gesetzt und die ermittelten Zustandsdaten gelöscht werden.
  12. Verfahren nach einem der Ansprüche 1 -11, dadurch gekennzeichnet, dass die Sicherungseinheit (1) die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten (10A; 10B) und den darin vorgesehenen Überwachungsmodulen (15, 16) ausliest und
    a) die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten (10A; 10B) prüft; oder
    b) aufgetretene Zustandsänderungen oder Fehlfunktionen der Überwachungseinheiten (10A; 10B) feststellt; oder
    c) Abweichungen der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) registrierten gesendeten und empfangenen Pulse ermittelt; oder
    d) bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten (10A; 10B) oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten (10A; 10B) oder bei einer Abweichung der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) übertragenen Pulse die Versetzung der Aufzugsanlage (3) zurück in den Normalbetrieb verhindert.
  13. Aufzuganlage (3) mit einer Antriebseinheit (38), die mit einer in einem Aufzugsschacht (35) angeordneten Aufzugskabine (36) verbunden und von einer Steuervorrichtung (100) derart gesichert ansteuerbar ist,
    a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahrbar ist, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) ansteuerbar sind und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
    b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahrbar ist, falls sich eine Person im Aufzugschacht (35) befindet;
    wobei wenigstens einer der Türen (30A, 30B) eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (11A, 11B) zugeordnet sind, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 30B), detektierbar sind,
    die Überwachungseinheit (10A; 10B)
    a) mit einer Batterie (14) ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umschaltbar ist;
    b) mit dem Überwachungssensor (11A, 11B) verbunden und zumindest während des autonomen Betriebs zu dessen Überwachung sowie zur Registrierung der Zustandsänderungen vorgesehen ist; und
    c) mit einer Sicherungseinheit (1) verbunden ist, mittels der die Zustandsänderungen der überwachten Tür (30A; 30B) auswertbar und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhinderbar ist,
    und der Überwachungssensor (11A; 11B) ein mit dem zugehörigen Türverschluss (31A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
    dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.
  14. Aufzuganlage (3) nach Anspruch 13, dadurch gekennzeichnet,
    a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (11A; 11B) an einen Eingangsport (ip) des ersten Überwachungsmoduls (15) übertragbar ist; oder
    b) dass die Überwachungseinheit (10A; 10B) ein erstes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (11A; 11B) zu einem Eingangsport (ip) eines zweiten Überwachungsmoduls (16) übertragbar ist.
  15. Aufzuganlage (3) nach Anspruch 14, dadurch gekennzeichnet,
    a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist; oder
    b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene Überwachungssignal einerseits über den Schaltkontakt (11A; 11B) einem ersten Eingangsport (ip1) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist.
EP16777650.9A 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage Active EP3356273B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP15187785 2015-09-30
PCT/EP2016/073220 WO2017055420A1 (de) 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage

Publications (2)

Publication Number Publication Date
EP3356273A1 EP3356273A1 (de) 2018-08-08
EP3356273B1 true EP3356273B1 (de) 2019-12-25

Family

ID=54251426

Family Applications (1)

Application Number Title Priority Date Filing Date
EP16777650.9A Active EP3356273B1 (de) 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage

Country Status (5)

Country Link
US (1) US10926974B2 (de)
EP (1) EP3356273B1 (de)
CN (1) CN108137268B (de)
BR (1) BR112018003902B1 (de)
WO (1) WO2017055420A1 (de)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10766742B2 (en) * 2015-07-17 2020-09-08 Mitsubishi Electric Corporation Hydraulic elevator safety device, and method for detecting open-door travel abnormality in hydraulic elevator
ES2714352T3 (es) * 2015-10-07 2019-05-28 Kone Corp Unidad de conexión de sensor, sistema de seguridad y ascensor
DK3290375T3 (da) * 2016-08-29 2019-09-30 Kone Corp Elevator
EP3315443B1 (de) * 2016-10-26 2021-03-24 Otis Elevator Company Virtuelle zielruftafelsysteme und verfahren zum betrieb
US11465878B2 (en) * 2017-03-31 2022-10-11 Otis Elevator Company Visual status indicator for door and lock state
EP3599203B1 (de) 2018-07-27 2022-06-15 Otis Elevator Company Aufzugsicherheitssystem
CN111634774B (zh) * 2019-03-01 2021-12-03 上海三菱电梯有限公司 一种电梯层门小门锁安全系统
CN111071890A (zh) * 2019-12-27 2020-04-28 北京恒远国创科技有限公司 一种轿厢电梯数据采集器
CN112669541B (zh) * 2020-12-24 2022-11-25 深圳市怡化时代科技有限公司 一种走钞故障模拟系统
CN113313375B (zh) * 2021-05-26 2022-04-08 浙江华夏工程管理有限公司 基于大数据分析和云计算的建筑工程建造质量评价方法
CN115009946B (zh) * 2022-06-17 2024-01-30 永大电梯设备（中国）有限公司 一种电梯底坑检修复归的防护方法
EP4324780A1 (de) * 2022-08-15 2024-02-21 Otis Elevator Company Sicherheitsvorrichtungen für einen aufzug
CN118343572B (zh) * 2024-06-17 2024-10-11 申龙电梯股份有限公司 一种电梯门锁检验检测装置及其检测方法

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2777087B1 (fr) * 1998-04-03 2000-05-05 Otis Elevator Co Dispositif pour localiser une panne de fermeture de porte paliere dans une installation d'ascenseur
DE50205832D1 (de) 2001-07-09 2006-04-20 Inventio Ag Aufzuganlage mit virtueller schutzzone am schachtfuss und/oder am schachtkopf und verfahren zum ansteuern derselben
DK1638880T4 (da) * 2003-06-30 2013-10-14 Inventio Ag Sikkerhedssystem til et elevatoranlæg
FI20070486A (fi) * 2007-01-03 2008-07-04 Kone Corp Hissin turvajärjestely
SG2014008825A (en) 2011-08-11 2014-04-28 Inventio Ag Test method for an elevator system and a monitoring device for carrying out the test method
EP2760774B1 (de) 2011-09-29 2015-11-18 Inventio AG Vorrichtung und verfahren zum überwachen von schachttüren
FI123507B (fi) * 2012-08-07 2013-06-14 Kone Corp Turvapiiri sekä hissijärjestelmä
TWI622548B (zh) * 2012-12-13 2018-05-01 伊文修股份有限公司 用於人員輸送設備的監視裝置、人員輸送設備、以及用於監視人員輸送設備之方法
CN105189292B (zh) 2013-02-12 2017-03-29 因温特奥股份公司 应用交流电压的安全电路监控器
WO2014124779A1 (de) 2013-02-12 2014-08-21 Inventio Ag Batteriegestützte sicherheitskreis-überwachungsanlage
CN108349692B (zh) * 2015-11-12 2019-11-12 因温特奥股份公司 用于电梯设备的监控单元和方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
None *

Also Published As

Publication number Publication date
BR112018003902A2 (pt) 2018-09-25
US20180215579A1 (en) 2018-08-02
WO2017055420A1 (de) 2017-04-06
CN108137268B (zh) 2019-12-17
BR112018003902B1 (pt) 2023-03-14
US10926974B2 (en) 2021-02-23
CN108137268A (zh) 2018-06-08
EP3356273A1 (de) 2018-08-08

Similar Documents

Publication Publication Date Title
EP3356273B1 (de) Verfahren und vorrichtung zur steuerung einer aufzugsanlage
EP2516305B1 (de) Verfahren und vorrichtung zur bestimmung der bewegung und/oder der position einer aufzugskabine
EP3233694B1 (de) Sicherheitsschaltung für eine aufzugsanlage
EP2760774B1 (de) Vorrichtung und verfahren zum überwachen von schachttüren
EP1427662B1 (de) Siecherheitskreis für aufzugstüren
EP1423326B1 (de) Situationsabhängige reaktion im falle einer störung im bereich einer türe eines aufzugsystems
EP2956396B1 (de) Batteriegestützte sicherheitskreis-überwachungsanlage
EP2956366B1 (de) Sicherheitskreisüberwachung mit wechselspannung
EP3595997A1 (de) Verfahren und vorrichtung zum überwachen von betriebsparametern in einer personentransportanlage
EP2167413A1 (de) Überwachungsverfahren einer aufzugsanlage
EP2898490B1 (de) Brandmeldeanlage und brandmeldenetzwerk mit einer mehrzahl von brandmeldeanlagen
WO2017108525A1 (de) Überwachungsvorrichtung für eine personentransportanlage, prüfverfahren und personentransportanlage
EP0007579A1 (de) Schaltungsanordnung zur Überwachung des Zustands von Signalanlagen, insbesondere von Strassenverkehrs-Lichtsignalanlagen
DE102010062154A1 (de) Sicherheitseinrichtung für einen Aufzug
EP2887163B1 (de) Überwachungsvorrichtung, Sicherheitssystem und Verfahren zum Betreiben eines Sicherheitssystems
EP3060509B1 (de) Sicherheitssystem für einen aufzug, aufzugsanlage und verfahren zum betreiben eines solchen sicherheitssystems
EP3532421B1 (de) Aufzuganlage mit schaltkreis mit mittels eines wechselspannungssignals überwachtem schalter
EP3704048B1 (de) Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben
EP2988419A1 (de) Verfahren zur ermittlung des zustands eines kurzschlussbildenden meldeelements
EP3617114A1 (de) Verfahren und überwachungsvorrichtung zum überwachen einer sicherheitskettenschaltung in einer aufzuganlage
DE3739227C2 (de)
DE19804442C2 (de) Schaltungsanordnung
EP0602452A1 (de) Sicherheitseinrichtung mit Mikroprozessor
EP3026512B1 (de) Verfahren zur Reduzierung des Energieverbrauchs einer Sicherheitssteuerung
DE102016204965A1 (de) Sicherheitssteuerung und Verfahren zum Betreiben einer Sicherheitssteuerung

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20180222

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20190909

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502016008169

Country of ref document: DE

REG Reference to a national code

Ref country code: AT

Ref legal event code: REF

Ref document number: 1216903

Country of ref document: AT

Kind code of ref document: T

Effective date: 20200115

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: NL

Ref legal event code: MP

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20200326

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20200325

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20200325

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG4D

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20200520

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20200425

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

REG Reference to a national code

Ref country code: DE

Ref legal event code: R097

Ref document number: 502016008169

Country of ref document: DE

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

26N No opposition filed

Effective date: 20200928

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

REG Reference to a national code

Ref country code: BE

Ref legal event code: MM

Effective date: 20200930

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20200929

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: FR

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20200930

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20200929

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20200930

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: TR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: MT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: CY

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20191225

REG Reference to a national code

Ref country code: AT

Ref legal event code: MM01

Ref document number: 1216903

Country of ref document: AT

Kind code of ref document: T

Effective date: 20210929

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: AT

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20210929

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: CH

Payment date: 20231001

Year of fee payment: 8

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: DE

Payment date: 20240926

Year of fee payment: 9

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20240924

Year of fee payment: 9