EP3704048A1 - Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben - Google Patents

Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben

Info

Publication number
EP3704048A1
EP3704048A1 EP18779406.0A EP18779406A EP3704048A1 EP 3704048 A1 EP3704048 A1 EP 3704048A1 EP 18779406 A EP18779406 A EP 18779406A EP 3704048 A1 EP3704048 A1 EP 3704048A1
Authority
EP
European Patent Office
Prior art keywords
safety
relay
monitoring
state
contact
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
EP18779406.0A
Other languages
English (en)
French (fr)
Other versions
EP3704048B1 (de
Inventor
Eric Birrer
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inventio AG
Original Assignee
Inventio AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inventio AG filed Critical Inventio AG
Publication of EP3704048A1 publication Critical patent/EP3704048A1/de
Application granted granted Critical
Publication of EP3704048B1 publication Critical patent/EP3704048B1/de
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0006—Monitoring devices or performance analysers
    • B66B5/0018—Devices monitoring the operating condition of the elevator system
    • B66B5/0031—Devices monitoring the operating condition of the elevator system for safety reasons
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B1/00—Control systems of elevators in general
    • B66B1/34—Details, e.g. call counting devices, data transmission from car to control system, devices giving information to the control system
    • B66B1/46—Adaptations of switches or switchgear
    • B66B1/50—Adaptations of switches or switchgear with operating or control mechanisms mounted in the car or cage or in the lift well or hoistway
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B13/00—Doors, gates, or other apparatus controlling access to, or exit from, cages or lift well landings
    • B66B13/22—Operation of door or gate contacts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B29/00—Safety devices of escalators or moving walkways
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B9/00—Kinds or types of lifts in, or associated with, buildings or other structures
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01H—ELECTRIC SWITCHES; RELAYS; SELECTORS; EMERGENCY PROTECTIVE DEVICES
    • H01H1/00—Contacts
    • H—ELECTRICITY
    • H01—ELECTRIC ELEMENTS
    • H01H—ELECTRIC SWITCHES; RELAYS; SELECTORS; EMERGENCY PROTECTIVE DEVICES
    • H01H2231/00—Applications
    • H01H2231/03—Elevator

Definitions

  • Safety monitoring device for monitoring safety-relevant conditions in a passenger conveyor system and method for operating the same
  • the present invention relates to a security monitoring device for monitoring security-relevant conditions in a passenger transport system. Furthermore, the invention relates to a passenger conveyor system with such a safety monitoring device. Moreover, the invention relates to a method for
  • Passenger conveyors in the form of elevators, escalators or moving walkways serve to transport persons within buildings.
  • the passenger conveyor system is permanently installed in the building.
  • an elevator car can be moved vertically between different floors.
  • Escalators or moving walkways can carry passengers standing on tread units along sloped or horizontal driveways.
  • Components are monitored in order then, for example, then operate other components of the passenger conveyor system suitable and safe or to be able to control.
  • sensors and / or switches are usually provided at the corresponding components or at different points of the passenger conveyor system. Signals from such sensors or switches can be made available to a control of the passenger conveyor system so that it can take into account the signals when controlling functions of the passenger conveyor system and thus can bring about safe operation of the passenger conveyor system.
  • a so-called safety monitoring chain is conventionally used to ensure safe operation of the elevator.
  • Security monitoring chain includes a variety of sensors and / or switches, with the help of which information about current safety-related conditions of components of the elevator can be determined.
  • a door switch is typically provided on a car door and on each of a plurality of shaft doors, which is closed as long as the respective door is closed.
  • the several door switches are inside the
  • Safety monitoring chain connected in series so that the safety monitoring chain as a whole is closed only when each of the door switches is closed.
  • An elevator control connected to the security monitoring chain may or may in this case relocate an elevator car within an elevator shaft only if the safety monitoring chain as a whole is closed and it can therefore be assumed that all the cabin and shaft doors are currently closed.
  • the security monitoring chain can additionally comprise further switches and / or sensors.
  • a so-called Kabinenendotendschalter may be provided in the elevator, which is normally closed and which is operated opening, as soon as the elevator car beyond a permissible travel, for example, in the direction of a lift shaft ceiling or in the direction of
  • Elevator shaft floor is relocated.
  • a sensor system may be provided, which allows the functionality of the KNE switch by using the sensor, a current position of the elevator car can be determined within the elevator shaft and can be detected when the elevator car is moved beyond the allowable travel and which then causes in that the security monitoring chain is interrupted. This can ensure that the security Monitoring chain is interrupted as soon as the elevator car leaves its permissible travel.
  • the switch can be closed and thus the area of the safety monitoring chain comprising the door switches can be bypassed, as soon as it is e.g. is detected by means of a sensor that the elevator car is sufficiently close to a desired target position, i. for example less than 20cm or less than 10cm away from it.
  • a safety-relevant state can be detected directly with the aid of a switch and this switch can be integrated into the safety monitoring chain.
  • the safety-relevant state can be monitored, for example with a sensor.
  • the sensor system signals, which the
  • relays can be used as switches integrated into the security monitoring chain, which can be switched in the desired manner by means of control voltages generated suitably by the controller arrangement.
  • the controller arrangement and a relay arrangement is redundant.
  • the relay assembly includes two series-connected relays, both of which must be brought into closed states by the controller assembly so as to complete an associated switching state within the security monitoring chain.
  • An effort for implementing a security monitoring device can be considerable, in particular due to a large number of components and their interconnection.
  • a security monitoring device for monitoring security-relevant states in one
  • the safety monitoring device has a first and a second double contact relay and a first and a second control he on. Both double contact relays are configured, in each case controlled by a control voltage, to switch a first normally open contact and a second normally open contact as well as a feedback contact synchronously between an open and a closed relay state.
  • the two controls he are designed to determine each correlated with a safety-related state properties of the passenger conveyor system and to generate the control voltages for the first or the second double contact relay depending on the determined properties.
  • a first and a second safety monitoring switch arrangement is formed.
  • Safety monitoring switch arrangement is for monitoring a first safety-relevant state and for corresponding switching of a first
  • the second safety monitoring switch arrangement is configured to monitor a second safety-relevant state and to correspondingly switch a second switching state within the safety monitoring chain of the passenger conveyor system.
  • the first safety monitoring switch arrangement comprises the first normally open contact of the first double contact relay and, connected in series therewith, the first normally open contact of the second double contact relay.
  • the second safety monitoring switch arrangement comprises the second normally open contact of the first double contact relay and, connected in parallel therewith, the second normally open contact of the second double contact relay.
  • a passenger conveyor system which comprises a security monitoring device according to a
  • a method for monitoring a functionality of a security monitoring device according to a
  • the method comprises at least the following steps of the
  • Double contact relay is briefly switched to its open relay state and back to its closed relay state and that always at least one of the first and second double contact relay is in its closed relay state, and
  • a security monitoring device controller for determining correlated with the monitored condition properties within the passenger conveyor system and relays for opening or closing a contact within a security monitoring chain has.
  • a safety monitoring switch arrangement with one or more own controllers and relays is provided for each safety-relevant state to be monitored. Especially for monitoring
  • two relays are connected in series in a redundant manner. Accordingly, at least one controller and one relay, but in many cases two controllers and two relays, must be provided for each safety-related condition to be monitored.
  • double contact relays in a safety monitoring device instead of simple relays and to interconnect them in an advantageous manner and to be triggered by two controllers.
  • a control voltage applied to the relay in a control circuit can be used to open or close the relay as a switch.
  • the control voltage may cause a current through a coil, causing the coil
  • Magnetic field generates, which attracts or repels an anchor.
  • the armature moved in this way can then move arms of a working contact towards or away from each other. In a simple relay this is only a single
  • the double contact relay can thus not only a switch in a working circuit but two switches in two different working circuits controlled by the control voltage synchronized open or close each other.
  • Double contact relay may be provided a so-called feedback contact, which is moved synchronously with the two working contacts.
  • the feedback contact can be used, for example, to check whether the normally open contacts have been opened following the applied control voltage. Accordingly, it can be detected by monitoring the feedback contact, for example, if the double contact relay has a defect and no longer switches correctly. In particular, it can be recognized if adjacent arms of a work contact, for example, are unintentionally welded together or stick together and thus no longer open properly despite appropriately applied control voltage.
  • the two double contact relays provided therein can advantageously be connected in such a way that they form two safety monitoring switch arrangements, by means of which two different safety-relevant states can be monitored and associated switching states within the safety monitoring chain of the passenger conveyor system can be switched accordingly.
  • a desired redundancy can be achieved when switching the switching states without having to provide at least two separate relays for each switching state to be switched.
  • the two double contact relays can be so in the safety monitoring chain of
  • the first normally open contact of the first is to form the first safety monitoring switch assembly
  • Double contact relay connected in series with the first normally open contact of the second double contact relay.
  • the second normally open contact of the first double contact relay and the second normally open contact of the second double contact relay are connected in parallel with one another.
  • the first safety monitoring switch arrangement is only completely closed when both series-connected first working contacts of the two double contact relays are closed, i. when both control he the two double contact relays to close.
  • the second safety monitoring switch arrangement is already closed when only one of the second normally open contacts connected in parallel to one another is closed, i. when at least one of the double contact relays is driven by one of the controllers to close, and only opened when both second normally open contacts of the two
  • the security monitoring device is arranged to take into account that the monitoring of the first safety-relevant state requires a higher safety integrity level than the monitoring of the second safety-relevant state.
  • the special circuit proposed herein of the two double contact relays can be advantageously used in particular in a constellation in which two different safety-related conditions are to be monitored by means of the safety monitoring device within the passenger conveyor, which differ significantly in terms of their safety integrity level.
  • the first safety monitoring switch arrangement with the two series-connected first working contacts of the first and second double contact relay can guarantee a higher level of safety integrity than the second safety monitoring switch arrangement in which the two second working contacts of both double contact relays are connected in parallel.
  • Safety Integrity Level is a term used in the field of functional safety, such as that described in international standard IEC 62508 / IEC61511.
  • Safety Integrity Level is used to assess electrical, electronic or programmable electronic systems for their reliability
  • the desired level results in safety-related design principles that must be adhered to in order to minimize the risk of malfunctions.
  • four levels are distinguished from safety integrity levels SIL 1 to SIL4, with SIL4 representing the safest level.
  • the safety monitoring device can be set up to take into account that the monitoring of the second safety-relevant state requires a safety integrity level SIL1 and monitoring of the first safety-relevant state requires at least one safety-related state
  • the first safety monitoring switch arrangement used for monitoring the first safety-relevant state can be configured such that it fulfills its monitoring function to meet the higher requirements of a
  • Safety Integrity Level SIL2 or even SIL3 can perform accordingly, whereas the second safety monitoring switch assembly used to monitor the second safety-related condition can be configured so that their monitoring function only the minor requirements of
  • the first safety-relevant state can specify whether parts of the safety monitoring chain which monitor closing states of doors of the passenger conveyor system may be temporarily short-circuited. In this case, by closing switching the first switching state, the parts of
  • the first safety-relevant state monitored by the first safety monitoring switch arrangement may contain information as to whether, for example, there are currently conditions in which the actual closed states of the car door and the shaft doors may be temporarily ignored and
  • Elevator cabin may be moved, for example, despite the car door or shaft door open.
  • a safety-related condition may exist when the car is very close (e.g., ⁇ 20 cm) at a target position, i. for example, at a floor stop, and the respective door may already be opened before the target position is actually reached.
  • This can be detected, for example, by an analysis of the current position of the elevator car within the elevator shaft.
  • the information about the current position of the car can be interpreted as indicating a safety-relevant state in which the closing states of the doors of the passenger conveyor may be temporarily ignored and thus parts of the safety monitoring chain which monitor these closed states may be temporarily short-circuited.
  • the first and second controllers can appropriately control the two double contact relays so that both double contact relays are in place pass closed relay state.
  • the two first normally open contacts of the two double contact relays are then closed so that, overall, a closed state results for their series connection as part of the first safety monitoring switch arrangement.
  • the first safety monitoring switch assembly may close a circuit that is parallel to the part of the safety monitoring chain that monitors the closing states of the doors of the personal request system, and thus may temporarily short-circuit the monitoring of the doors in the form of a UET contact such as in a bypass.
  • the second safety-relevant state can indicate whether an elevator car has been moved beyond a permissible travel range.
  • the security monitoring chain can be interrupted by opening the second switching state.
  • the second safety-relevant state monitored by the second safety monitoring switch arrangement can include information about the current position of the elevator car, so that it is possible to determine whether the elevator car is currently within its permissible travel range, i. for example, between a highest permissible end position and a lowest permissible one
  • the first and second controls can suitably control the two double contact relays so that both double contact relays switch to their open relay state.
  • the two second working contacts of the two double contact relays are then both open, so that there is also an overall open state for the parallel connection in the context of the second safety monitoring switch arrangement.
  • the second safety monitoring switch arrangement for example, if it is connected in series with a remainder of the safety monitoring chain of the passenger conveyor, act as an open switch and thus the safety monitoring chain temporarily interrupt.
  • operation of the elevator or, in particular, a further method of the elevator car beyond a respective end position is prevented.
  • the security monitoring device furthermore has a plurality of series-connected third security monitoring switch arrangements for monitoring third safety-relevant states.
  • the safety monitoring apparatus may comprise further safety monitor switch arrangements by means of which other tasks or functionalities can be implemented.
  • third safety monitoring switch arrangements can be, for example, door switches with which closing states of elevator doors, in particular of the car door or one of the shaft doors, can be monitored.
  • the several third safety monitoring switch arrangements can be connected in series, so that they can form part of the safety monitoring chain of the passenger conveyor systems.
  • each as a door switch it is ensured by a series connection that all doors, and thus all door switches, must be closed so that the said part of the safety monitoring chain as a whole is closed.
  • the first safety monitoring switch arrangement can be connected in parallel to the series of third safety monitoring switch arrangements and the second
  • Safety monitoring switch assemblies be interconnected.
  • the first safety monitoring switch arrangement with its two series-connected first working contacts of the two double contact relays can be connected in parallel to the series circuit of third safety monitoring switch arrangements. As soon as both first working contacts are closed in this case, ie As soon as the first switching state is closed, the first safety monitoring switch arrangement thus forms one of the series circuit of third
  • Safety monitoring switch assemblies parallel bypass and can thus bridge this series circuit controlled as a UET switch.
  • the second safety monitoring switch arrangement with its two parallel-connected second working contacts of the two double contact relays can be connected in series with the series circuit of third safety monitoring switch arrangements. As long as at least one of the double contact relay is closed, in this case also the second switching state remains closed, so that in total of the third
  • Safety switch monitoring arrangement formed part of the safety chain remains closed. This part of the safety chain is only opened when both double contact relays are open at the same time and thus also the second switching state is opened.
  • the second safety monitoring switch arrangement can thus, like a KNE switch, temporarily interrupt a safety chain.
  • the first and the second control can each be designed as a safety-related programmable logic controller.
  • SPS programmable logic controller
  • Controller - PLC is a device that can usually be used to control or regulate a plant or a machine.
  • Programmable controllers are increasingly replacing conventional hardwired, interconnected programmable controllers. It can be used to advantage that a PLC can be programmed on a digital basis and thus adapted to different tasks.
  • a PLC has inputs, outputs, an operating system and optionally an interface via which a user program can be loaded. The user program can program how the outputs in
  • the operating system can be kept up-to-date, for example, in the form of firmware.
  • a PLC can also perform other tasks such as, for example, visualization of data, design as Take over interface, for example in the form of a man-machine interface, an alarm and / or recording of operational messages (data logging).
  • a safety-related PLC is a special implementation of a PLC.
  • a safety-related PLC has a largely redundant configuration of its components and is usually designed so that the safety-related PLC can be switched off in the event of a component failure Conflict between redundant components is converted into a predetermined safe state.
  • a conventional PLC typically has a microprocessor executing a program, a non-volatile memory for storing the program, a volatile memory (RAM) for performing calculations, ports for data communication, and I / O ports, for example. to detect and control a plant or machine.
  • a safety-oriented PLC generally has at least two of the respective components which continuously monitor one another or are monitored by a so-called watch dog circuit.
  • the inputs of a conventional PLC typically do not have means for testing a functionality of an input circuit.
  • safety-related PLCs usually have an internal output circuit, which is assigned to each input and by means of which the respective input can be tested.
  • Safety-related PLC generally have a test point behind each of two safety switches, which are arranged behind a Ausgabetreib he, and a third test point downstream of the output driver.
  • Each of two safety switches is generally controlled by a single microprocessor. If a mistake in one of the two
  • Safety switch for example due to a fault in the switch or the Microprocessor or detected at the test point downstream of the output driver, the operating system of the safety-related PLC will automatically detect a system error and the safety-related PLC is transferred to a predefined state in which a system can be properly shut down, for example.
  • the two controllers Due to the design of the two controllers as safety-related PLCs, these are on the one hand suitable for being able to be adapted to different elevator types, for example as retrofit devices.
  • the controllers or the security monitoring device equipped therewith can guarantee a high degree of security for the passenger conveyor systems equipped therewith.
  • the security monitoring device may be configured to execute or control a method according to an embodiment of the third aspect of the invention.
  • the first and second controllers of the safety monitoring device which are designed as PLCs or safety-related PLCs, can be programmed in such a way that the control voltages generated by them are varied such that at least one of the two double contact relays is always in its closed relay state, but alternately one of the two both
  • Double contact relay is briefly put into its open relay state and back to its closed relay state. It is always monitored whether the associated feedback contact of a double contact relay follows the generated control voltage, i. whether the feedback contact indicates that relay state that was actually actuated by the associated controller, or whether, for example due to a malfunction within the double contact relay, an actual relay state does not correspond to the desired triggered relay state.
  • the two controllers can be used in the event that the feedback contacts of the two double contact relays do not indicate a relay state indicating the currently actuated relay state
  • Double contact relay to switch to its open relay state. In this way, the passenger conveyor system can be transferred to a largely secure state even in the event of a defect in the double contact relay of their safety monitoring device.
  • each of the two controllers monitors the feedback contacts of each of the two double contact relays.
  • the first and second controllers should not just be the first and second controllers
  • each controller should monitor the feedback contact of its associated dual contact relay as well as the feedback contact of the other double contact relay. In this way, a redundancy can be created, which further increases the security of the security monitoring device and, in particular, drastically increases the likelihood that malfunctions will be recognized correctly at their double contact relays.
  • the proposed method is carried out before, during or after each individual journey of the passenger transport installation.
  • Safety monitoring device is tested, in principle, at any time or triggered by any events are executed. However, it is considered advantageous to carry out the method at least when a ride is performed by the passenger transport system. This can ensure that the functionality of the safety monitoring device is checked sufficiently frequently. It should be noted that some of the possible features and advantages of the invention herein with respect to different embodiments of the
  • Safety monitoring device on the one hand and a method for monitoring their operability on the other hand are described.
  • One skilled in the art will recognize that the features may be suitably combined, adapted or replaced to provide further embodiments of the invention.
  • Fig. 1 shows a passenger transport system according to the invention.
  • Fig. 2 shows a security monitoring chain of an inventive
  • FIG 3 shows details of a security monitoring device according to the invention.
  • FIG. 4 a shows activated relay states and resulting switching states in the safety monitoring device according to the invention.
  • FIG. 4 b illustrates a variation of triggered relay states in the context of a method according to the invention for monitoring the functioning of a safety monitoring device.
  • Fig. 1 shows a passenger conveyor system 1 in the form of an elevator.
  • the elevator comprises an elevator car 5 and a counterweight 7, which can be displaced vertically within a lift shaft 3 by means of belts 9 driven by a drive machine 11. It can also be a brake 12 for braking the prime mover 11 and the direct braking of the elevator car 5 may be provided. An operation of the engine 11 and / or the brake 12 is controlled by an elevator controller 13.
  • the elevator controller 13 The elevator controller 13
  • Elevator controller 13 may e.g. the drive machine 1 1 controlled thereby supply electrical power from an electrical power source 15.
  • the elevator car 5 can be moved between different floors 17. At each floor 17 while a shaft door 19 is provided and to the elevator car 15, a car door 21 is provided.
  • a plurality of safety monitoring switch arrangements 23 are provided by means of which safety-relevant conditions within the passenger conveyor system 1 can be monitored.
  • door switches 25 are provided on each of the shaft doors 19 and on the car door 21, by means of which it can be monitored whether the respective shaft or cabin door 19, 21 is currently correctly closed or at least partially open. Further, in a pit area of the hoistway 3, a
  • Head presence switch 27 is provided, by means of which the presence and correct arrangement of a conductor 29 can be monitored. Both in the case of the door switch 25 and the conductor presence switch 27 speciallyüberwachungs- switch assemblies 23 may be provided, for example, as a simple, mechanically operated switch.
  • the passenger conveyor 1 can also be constructed more complex
  • Safety monitoring switch assemblies 23 have. For example, by means of a magnetic tape 33 extending vertically along the elevator shaft 3 and a magnetic tape reader 31 attached to the elevator car 5, an absolute position sensor 35 can be formed by means of which information about a current position of the elevator car 5 within the elevator shaft 3 can be obtained. Based on this information, safety-relevant states can then be monitored.
  • the elevator car 5 can be detected whether the elevator car 5 is currently opposite or at least near one of the shaft doors 19 and thus the car door 21 and / or the opposite shaft door 19 may be opened. Furthermore, based on this information, it is possible to detect whether the elevator car 5 is within an allowable travel or travel within the elevator shaft 3 or whether it has been inadvertently moved out of this permissible movement range 37.
  • Data or signals can be transmitted from the various safety monitoring switch arrangements 23 to a safety monitoring device 39, for example by wire or wireless.
  • safety monitoring switch arrangements 23 can be connected to one another, in particular connected to one another in series, in order to form parts of a safety monitoring chain 41.
  • the door switch 25 and the conductor presence switch 27 can be connected in series, so that the part of the security monitoring chain 41 formed thereby is closed as a whole only when all the door switch 25 and the conductor presence switch 27 are closed.
  • the security monitoring device 39 may communicate with or be part of the elevator controller 13 and may affect functions of the elevator controller 13.
  • the safety monitoring device 39 can actuate one or more main relay arrangements 43, for example one
  • Fig. 2 illustrates details of a security monitoring chain 41.
  • Safety monitor switch assemblies 23 (also referred to as “third safety monitor switch assemblies” hereinafter) in the form of door switches 25 and other safety monitor switch assemblies 23, for example in the form of a conductor presence switch 27 or the like, are connected in series.
  • K E switch Kabinenennotendschalter 28
  • the part of the security monitoring chain 41 formed by the series-connected safety monitoring switch arrangements 23 is connected in series with the main relay arrangement 43.
  • the main relay arrangement 43 comprises a first main double contact relay 45 having a coil 49, a first make contact 53, a second make contact 57 and a feedback contact 61 and a second main double contact relay 47 with a coil 51, a first normally open contact 55, a second normally open contact 59 and a feedback contact 63.
  • the main relay assembly 43 is hereby normal, ie when the coils 49, 51 are not energized, opened. Accordingly, the main relay assembly 43 includes an electrical connection between the power supplying means serially through the first normally open contacts 53, 55 of the first and second main double contact relays 45, 47
  • Elevator control 13 and the prime mover 11 only when their two coils 49, 51 are energized due to a completely closed security monitoring chain 41.
  • the brake 12 is energized and thus released only when the main relay assembly 43 closes a connection between a power source and the brake 12 due to a fully closed safety monitoring chain 41.
  • UET switch 65 In order to allow the car door 21 and / or one of the hoistway doors 19 to be opened under predetermined conditions, although the engine 11 displaces the elevator car 5, a so-called UET switch 65 is provided in parallel to the series connection of door switches 25. This UET switch 65 also forms a safety monitor switch assembly 23 and may only be closed when the predetermined conditions are met, i.
  • both the KNE switch 28 and the UET switch 65 have so far been implemented in a redundant manner, each with two simple relays.
  • the two simple relays were connected in series so that a switching state of the UET switch 65 was closed only when both relays were closed at the same time, ie, both relays were in their closed relay state.
  • FIG. 3 illustrates a security monitoring device 67 according to the invention, which can be implemented as forming part of a security monitoring chain 41 of a passenger conveyor system 1 in order to detect security-relevant conditions in the
  • the safety monitoring device 67 can in particular implement the functions of a KNE switch 28 and a UET switch 65.
  • the safety monitoring device 67 comprises a first double contact relay 69 and a second double contact relay 71.
  • Both double contact relays 69, 71 are designed as normally opened relays ("normally opened") and each have coils 73, 75 which, when supplied with a control voltage,
  • Each of the double contact relays 69, 71 also has a feedback contact 85, 87.
  • the safety monitoring device 67 further comprises a first and a second control he 89, 91.
  • the two control he 89, 91 are designed to
  • the two controls he 89, 91 can communicate with each other or control each other.
  • the control he 89, 91 may be designed as safety-related programmable logic controllers (SSPS).
  • Absolute position sensor 35 information about the current position of the elevator car 5 within the elevator shaft 3. From this information, the controllers 89, 91 on the one hand derive whether the elevator car 5 currently within the permissible
  • Traversing 37 is or whether she has left this.
  • the controllers 89, 91 can generate different control voltages for the two double contact relays 69, 71 in order to emulate the function of a KNE switch 28 with the safety monitoring device 67.
  • the inspectors 89, 91 can infer from the information whether the elevator car 5 is currently sufficiently close to a target floor position so that it seems permissible to temporarily bridge the part of the security surveillance chain 41 formed by the door switches 25 with the security monitoring device 67 to emulate the function of a UET switch.
  • the safety monitoring device 67 forms, with its double contact relays 69, 71 and its controllers 89, 91, safety monitoring switch arrangements 23 in the form of a first and a second safety monitoring switch arrangement 93, 95.
  • the first safety monitoring switch arrangement 93 comprises the first working contact 77 of the first double contact relay 69 and the first normally open contact 79 of the second double contact relay 71, which are connected to one another in series. With this first safety monitoring switch assembly 93 emulates the first safety monitoring switch assembly 93
  • the second safety monitoring switch arrangement 95 comprises the second working contact 81 of the first double contact relay 69 and the second working contact 83 of the second double contact relay 71, which are connected in parallel. With this second safety monitoring switch assembly 95 emulates the
  • Safety monitoring devices 67 the function of the KNE switch at a second output 99.
  • An actually assumed relay state of each of the double contact relays 69, 71 can be determined by the controllers 89, 91 via the respective feedback contact 85, 87 of the associated double contact relay 69, 71. As a result, it can be monitored whether a relay state controlled by a controller 89, 91 is in the assigned state
  • Double contact relay 69, 71 has led to the adoption of the desired relay state or whether a defect has prevented this.
  • Each of the two feedback contacts 85, 87 can transmit a feedback signal to each of the two controllers 89, 91.
  • Safety monitoring switch assembly 95 emulated KNE switching state only open (“open") when both double contact relays 69, 71 were driven by the two control 89, 91 in their open relay state ("0").
  • the function of the KNE switch 28 can be implemented via the second safety monitoring switch arrangement 95 at least with the safety integrity level of SIL1 sufficient for this purpose.
  • the normal operation of the safety monitoring devices 67 in which the safety-relevant conditions in the passenger conveyor 1 are monitored, is briefly interrupted.
  • each of the two double contact relays 69, 71 is actuated at least once for opening and subsequent closing.
  • the first safety monitoring switch arrangement 93 effecting the UET function is briefly opened and closed again, the second safety monitoring switch arrangement 95 effecting the KNE function always remains closed.
  • the entire security monitoring chain 41 remains during this
  • both control he 89, 91 generate control voltages such that both the first and the second double contact relay 69, 71 are switched to their open relay state. This can ensure that at least the extremely safety-critical UET function of the first safety monitoring switch arrangement 93 is reliably switched to its open state, so that a dangerous procedure of the elevator car 5 with open doors 19, 21 is avoided in any case.
  • Safety monitoring device 67 may be simpler than conventional ones

Abstract

Es wird eine Sicherheitsüberwachungsvorrichtung (67) zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage (1) beschrieben. Diese weist ein erstes und ein zweites Doppelkontaktrelais (69, 71), welche beide jeweils gesteuert durch eine Steuerspannung einen ersten Arbeitskontakt (77, 79) und einen zweiten Arbeitskontakt (81, 83) sowie einen Feedbackkontakt (85, 87) synchron miteinander zwischen einem geöffneten und einem geschlossenen Relaiszustand schalten, sowie einen ersten und einen zweiten Kontroller (89, 91) jeweils zum Ermitteln von mit einem sicherheitsrelevanten Zustand korrelierenden Eigenschaften der Personenförderanlage (1) und zum Generieren der Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais (69, 71) abhängig von den ermittelten Eigenschaften auf. Mittels der zwei Doppelkontaktrelais (69, 71) und der zwei Kontroller (89, 91) werden eine erste Sicherheitsüberwachungsschalteranordnung (93) zum Überwachen eines ersten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines ersten Schaltzustands innerhalb einer Sicherheitsüberwachungskette (41) der Personenförderanlage (1) und eine zweite Sicherheitsüberwachungsschalteranordnung (95) zum Überwachen eines zweiten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines zweiten Schaltzustands innerhalb der Sicherheitsüberwachungskette (41) der Personenförderanlage (1) gebildet. Dabei umfasst die erste Sicherheitsüberwachungsschalteranordnung (93) den ersten Arbeitskontakt (77) des ersten Doppelkontaktrelais (69) und in Serie zu diesem geschaltet den ersten Arbeitskontakt (79) des zweiten Doppelkontaktrelais (71). Die zweite Sicherheitsüberwachungsschalteranordnung (95) umfasst den zweiten Arbeitskontakt (81) des ersten Doppelkontaktrelais (69) und parallel zu diesem geschaltet den zweiten Arbeitskontakt (83) des zweiten Doppelkontaktrelais (71).

Description

Sicherheitsüberwachungsvorrichtung zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage sowie Verfahren zum Betreiben derselben
Beschreibung
Die vorliegende Erfindung betrifft eine Sicherheitsüberwachungsvorrichtung zum Überwachen von sicherheitsrelevanten Zuständen in einer Personenförderanlage. Ferner betrifft die Erfindung eine Personenförderanlage mit einer solchen Sicherheits- überwachungsvorrichtung. Außerdem betrifft die Erfindung ein Verfahren zum
Überwachen einer Funktionsfähigkeit einer solchen Sicherheitsüberwachungsvorrichtung.
Personenförderanlagen in Form von Aufzügen, Fahrtreppen oder Fahrsteigen dienen dazu, Personen innerhalb von Bauwerken zu befördern. Die Personenförderanlage ist dabei in dem Bauwerk fest installiert. Im Falle eines Aufzugs kann eine Aufzugkabine zwischen verschiedenen Stockwerken vertikal verlagert werden. Im Falle von
Fahrtreppen oder Fahrsteigen können Passagiere auf Tritteinheiten stehend entlang von geneigten oder horizontalen Fahrwegen befördert werden.
Um eine Sicherheit von Passagieren gewährleisten zu können, sollten innerhalb einer Personenförderanlage sicherheitsrelevante aktuelle Zustände von etlichen ihrer
Komponenten überwacht werden, um beispielsweise daraufhin andere Komponenten der Personenförderanlage geeignet und sicher betreiben oder ansteuern zu können. Um solche sicherheitsrelevanten Zustände von Komponenten der Personenförderanlage überwachen zu können, sind meist an den entsprechenden Komponenten bzw. an verschiedenen Stellen der Personenförderanlage Sensoren und/oder Schalter vorgesehen. Signale von solchen Sensoren bzw. Schaltern können einer Steuerung der Personenförderanlage zur Verfügung gestellt werden, sodass diese die Signale beim Steuern von Funktionen der Personenförderanlage berücksichtigen kann und somit einen sicheren Betrieb der Personenförderanlage bewirken kann.
Beispiele für Sicherheitseinrichtungen für Personenförderanlagen und deren Betrieb sind unter anderem in DE 19849238, CN 102190216, WO 2000/051929 und
WO 2017/008849 angegeben. Nachfolgend werden Einzelheiten zu Aus führungs formen der hierin vorgestellten Erfindung am Beispiel einer Personenförderanlage in Form eines Aufzuges erläutert. Merkmale des Aufzugs können jedoch in analoger Weise auf andere
Personenförderanlagen wie Fahrtreppen oder Fahrsteigen übertragen werden.
In einem Aufzug wird herkömmlich eine sogenannte Sicherheitsüberwachungskette eingesetzt, um einen sicheren Betrieb des Aufzugs zu gewährleisten. Die
Sicherheitsüberwachungskette umfasst dabei eine Vielzahl von Sensoren und/oder Schaltern, mithilfe derer Informationen über aktuelle sicherheitsrelevante Zustände von Komponenten des Aufzugs ermittelt werden können.
Beispielsweise sind typischerweise an einer Kabinentür sowie an jeder einer Mehrzahl von Schachttüren jeweils ein Türschalter vorgesehen, welcher geschlossen ist, solange die jeweilige Tür geschlossen ist. Die mehreren Türschalter sind innerhalb der
Sicherheitsüberwachungskette in Serie geschaltet, sodass die Sicherheitsüberwachungskette als Ganzes ausschließlich dann geschlossen ist, wenn jeder der Türschalter geschlossen ist. Eine mit der Sicherheitsüberwachungskette verbundene Aufzugsteuerung darf bzw. kann in diesem Fall eine Aufzugkabine ausschließlich dann innerhalb eines Aufzugschachts verlagern, wenn die Sicherheitsüberwachungskette als Ganzes geschlossen ist und somit davon ausgegangen werden darf, dass alle Kabinen- und Schachttüren aktuell geschlossen sind.
Die Sicherheitsüberwachungskette kann ergänzend weitere Schalter und/oder Sensoren umfassen. Beispielsweise kann ein so genannter Kabinennotendschalter (KNE-Schalter) in dem Aufzug vorgesehen sein, welcher normalerweise geschlossen ist und welcher öffnend betätigt wird, sobald die Aufzugkabine über einen zulässigen Verfahrweg hinaus beispielsweise in Richtung einer Aufzugschachtdecke oder in Richtung eines
Aufzugschachtbodens verlagert wird. Alternativ kann eine Sensorik vorgesehen sein, welche die Funktionalität des KNE-Schalters ermöglicht, indem mithilfe der Sensorik eine aktuelle Position der Aufzugkabine innerhalb des Aufzugschachts ermittelt werden kann und erkannt werden kann, wenn die Aufzugkabine über den zulässigen Verfahrweg hinaus verfahren wird und welche daraufhin bewirkt, dass die Sicherheitsüberwachungskette unterbrochen wird. Damit kann sichergestellt werden, dass die Sicherheits- Überwachungskette unterbrochen wird, sobald die Aufzugkabine ihren zulässigen Verfahrweg verlässt.
Ferner können als Ausnahme von einer Regel, gemäß der die Aufzugkabine nie bewegt werden darf, solange bzw. sobald die Kabinentür oder eine der Schachttüren geöffnet ist, in einem Aufzug Vorkehrungen vorgesehen sein, die es ermöglichen, in vordefmierten Ausnahmesituationen solche Türen doch zu öffnen, während die Aufzugkabine nicht stillsteht bzw. die Aufzugkabine zu verfahren, obwohl zumindest eine Türe geöffnet ist. Beispielsweise kann gewünscht sein, dass Türen bereits beginnen, zu öffnen, kurz bevor die Aufzugkabine eine Zielposition erreicht und dort anhält, um auf diese Weise
Türöffnungsvorgänge beschleunigen und Aufenthaltsdauern an der Zielposition verringern zu können. Hierzu kann beispielsweise parallel zu den in Reihe geschalteten Türschaltern eine schaltbare Verbindung vorgesehen sein, welche zur temporären Überbrückung der Türen (UET-Schalter) zeitweilig geschlossen werden kann, um Türen öffnen zu können, ohne die Sicherheitsüberwachungskette zu unterbrechen. Der UET-
Schalter kann beispielsweise geschlossen werden und damit der die Türschalter umfassende Bereich der Sicherheitsüberwachungskette überbrückt werden, sobald z.B. mithilfe einer Sensorik erkannt wird, dass sich die Aufzugkabine ausreichend nahe zu einer angestrebten Zielposition befindet, d.h. beispielsweise weniger als 20cm oder weniger als 10cm von dieser entfernt ist.
Ein sicherheitsrelevanter Zustand kann direkt mit Hilfe eines Schalters detektiert werden und dieser Schalter kann in die Sicherheitsüberwachungskette integriert sein. Alternativ kann der sicherheitsrelevante Zustand beispielsweise mit einer Sensorik überwacht werden. In diesem Fall kann die Sensorik Signale, welche den
sicherheitsrelevanten Zustand wiedergeben, mithilfe einer Kontrolleranordnung auswerten, um daraufhin einen in die Sicherheitsüberwachungskette integrierten Schalter geeignet betätigen zu können. Für eine solche Implementierung können als in die Sicherheitsüberwachungskette integrierte Schalter insbesondere Relais genutzt werden, welche mittels von der Kontrolleranordnung geeignet generierter Steuerspannungen in gewünschter Weise geschaltet werden können. Um hierbei eine ausreichende Sicherheit gewährleisten zu können, ist meist sowohl die Kontrolleranordnung als auch eine Relaisanordnung redundant ausgeführt. Beispielsweise umfasst die Relaisanordnung zwei in Serie geschaltete Relais, welche beide von der Kontrolleranordnung in geschlossene Zustände gebracht werden müssen, um insgesamt einen zugehörigen Schaltzustand innerhalb der Sicherheitsüberwachungskette zu schließen.
Ein Aufwand zur Implementierung einer Sicherheitsüberwachungsvorrichtung kann insbesondere aufgrund einer vorzuhaltenden Vielzahl von Komponenten und deren Verschaltung erheblich sein.
Es kann unter anderem ein Bedarf an einer Sicherheitsüberwachungsvorrichtung bestehen, bei der ein solcher Aufwand reduziert ist. Ferner kann ein Bedarf an einer mit einer solchen Sicherheitsüberwachungsvorrichtung ausgestatteten Personenförderanlage bestehen. Außerdem kann ein Bedarf an einem Verfahren bestehen, mithilfe dessen eine Funktionsfähigkeit einer solchen Sicherheitsüberwachungs Vorrichtung überwacht werden kann.
Einem solchen Bedarf kann durch den Gegenstand eines der unabhängigen Ansprüche entsprochen werden. Vorteilhafte Aus führungs formen sind in den abhängigen
Ansprüchen sowie der nachfolgenden Beschreibung definiert.
Gemäß einem ersten Aspekt der Erfindung wird eine Sicherheitsüberwachungs- vorrichtung zum Überwachen von sicherheitsrelevanten Zuständen in einer
Personenförderanlage vorgeschlagen. Die Sicherheitsüberwachungsvorrichtung weist ein erstes und ein zweites Doppelkontaktrelais sowie einen ersten und einen zweiten Kontroll er auf. Beide Doppelkontaktrelais sind dazu ausgestaltet, jeweils gesteuert durch eine Steuerspannung einen ersten Arbeitskontakt und einen zweiten Arbeitskontakt sowie einen Feedbackkontakt synchron miteinander zwischen einem geöffneten und einem geschlossenen Relaiszustand zu schalten. Die beiden Kontroll er sind dazu ausgestaltet, jeweils mit einem sicherheitsrelevanten Zustand korrelierende Eigenschaften der Personenförderanlage zu ermitteln und die Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais abhängig von den ermittelten Eigenschaften zu generieren. Hierbei sind mittels der zwei Doppelkontaktrelais und der zwei Kontroller eine erste und eine zweite Sicherheitsüberwachungsschalteranordnung ausgebildet. Die erste
Sicherheitsüberwachungsschalteranordnung ist zum Überwachen eines ersten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines ersten
Schaltzustands innerhalb einer Sicherheitsüberwachungskette der Personenförderanlage ausgestaltet. Die zweite Sicherheitsüberwachungsschalteranordnung ist zum Überwachen eines zweiten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines zweiten Schaltzustands innerhalb der Sicherheitsüberwachungskette der Personenförderanlage ausgestaltet. Hierbei umfasst die erste Sicherheitsüberwachungsschalteranordnung den ersten Arbeitskontakt des ersten Doppelkontaktrelais und in Serie zu diesem geschaltet den ersten Arbeitskontakt des zweiten Doppelkontaktrelais. Die zweite Sicherheitsüberwachungsschalteranordnung umfasst den zweiten Arbeitskontakt des ersten Doppelkontaktrelais und parallel zu diesem geschaltet den zweiten Arbeitskontakt des zweiten Doppelkontaktrelais.
Gemäß einem zweiten Aspekt der Erfindung wird eine Personenförderanlage vorgeschlagen, welche eine Sicherheitsüberwachungsvorrichtung gemäß einer
Ausführungsform des ersten Aspekts der Erfindung aufweist.
Gemäß einem dritten Aspekt der Erfindung wird ein Verfahren zum Überwachen einer Funktionsfähigkeit einer Sicherheitsüberwachungsvorrichtung gemäß einer
Ausführungsform des ersten Aspekts der Erfindung vorgeschlagen. Das Verfahren umfasst zumindest die folgenden Schritte des
(a) Variierens der von dem ersten und dem zweiten Kontroller generierten
Steuerspannungen derart, dass abwechselnd eines des ersten und des zweiten
Doppelkontaktrelais kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand geschaltet wird und dass stets zumindest eines des ersten und des zweiten Doppelkontaktrelais in seinem geschlossenen Relaiszustand ist, und
(b) Überwachens, ob die Feedbackkontakte der beiden Doppelkontaktrelais stets einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben.
Mögliche Merkmale und Vorteile von Aus führungs formen der verschiedenen Aspekte der Erfindung können unter anderem und ohne die Erfindung einzuschränken als auf nachfolgend beschriebenen Ideen und Erkenntnissen beruhend angesehen werden. Wie einleitend bereits angemerkt, werden bei herkömmlichen Sicherheitsüberwachungs- vorrichtungen für Personenförderanlagen teilweise Sicherheitsüberwachungsschalter- anordnungen eingesetzt, um einen sicherheitsrelevanten Zustand innerhalb der
Personenförderanlage zu überwachen, wobei eine Sicherheitsüberwachungsvorrichtung Kontroller zum Ermitteln von mit dem zu überwachenden Zustand korrelierenden Eigenschaften innerhalb der Personenförderanlage sowie Relais zum Öffnen oder Schließen eines Kontakts innerhalb einer Sicherheitsüberwachungskette aufweist.
Herkömmlich werden hierbei für jeden zu überwachenden sicherheitsrelevanten Zustand jeweils eine Sicherheitsüberwachungsschalteranordnung mit einem oder mehreren eigenen Kontrollern und Relais bereitgestellt. Zum Überwachen besonders
sicherheitskritischer Zustände werden dabei zwei Relais in redundanter Weise in Serie verschaltet. Dementsprechend müssen für jeden zu überwachenden sicherheitsrelevanten Zustand zumindest ein Kontroller und ein Relais, in vielen Fällen jedoch zwei Kontroller und zwei Relais vorgesehen werden.
Eine Anzahl von in der Personenförderanlage vorzuhaltenden Relais kann hierdurch groß werden, womit signifikanter Bereitstellungs- und Wartungsaufwand und entsprechende Kosten einhergehen können.
Um einen solchen Aufwand und Kosten reduzieren zu können, wird vorgeschlagen, in einer Sicherheitsüberwachungsvorrichtung statt einfacher Relais Doppelkontaktrelais einzusetzen und diese in vorteilhafter Weise miteinander zu verschalten und von zwei Kontrollern ansteuern zu lassen.
Ähnlich wie bei einfachen Relais kann hierbei eine in einem Steuerstromkreis an das Relais angelegte Steuerspannung dazu eingesetzt werden, um das Relais wie einen Schalter gesteuert zu öffnen bzw. zu schließen. Die Steuerspannung kann hierbei beispielsweise einen Strom durch eine Spule bewirken, wodurch die Spule ein
Magnetfeld erzeugt, welches einen Anker anzieht oder abstößt. Der in dieser Weise bewegte Anker kann dann Arme eines Arbeitskontakts aufeinander zu oder voneinander weg bewegen. Bei einem einfachen Relais wird hierbei lediglich ein einzelner
Arbeitskontakt geöffnet bzw. geschlossen. Bei einem Doppelkontaktrelais werden hingegen zwei Arbeitskontakte gleichzeitig, d.h. synchron miteinander, bewegt von ein und demselben Anker geöffnet bzw. geschlossen. Das Doppelkontaktrelais kann somit nicht nur einen Schalter in einem Arbeitsstromkreis sondern zwei Schalter in zwei verschiedenen Arbeitsstromkreisen gesteuert durch die Steuerspannung synchronisiert miteinander öffnen bzw. schließen.
Ein konstruktiver Aufwand und somit damit verbundene Kosten sind dabei bei einem Doppelkontaktrelais lediglich geringfügig höher als bei einem einfachen Relais und sind im Regelfall deutlich geringer als entsprechender Aufwand und Kosten für zwei separate einfache Relais.
Ähnlich wie bei einem einfachen Relais kann ergänzend auch bei einem
Doppelkontaktrelais ein sogenannter Feedbackkontakt vorgesehen sein, der synchron mit den beiden Arbeitskontakten bewegt wird. Der Feedbackkontakt kann beispielsweise dazu genutzt werden, um zu überprüfen, ob die Arbeitskontakte tatsächlich der angelegten Steuerspannung folgend geöffnet wurden. Dementsprechend kann beispielsweise durch Überwachen des Feedbackkontakts erkannt werden, wenn das Doppelkontaktrelais einen Defekt aufweist und nicht mehr korrekt schaltet. Insbesondere kann erkannt werden, wenn benachbarte Arme eines Arbeitskontakts beispielsweise unbeabsichtigt miteinander verschweißt sind oder aneinander kleben und somit trotz entsprechend angelegter Steuerspannung nicht mehr korrekt öffnen.
Bei der hier vorgeschlagenen Sicherheitsüberwachungsvorrichtung können die beiden darin vorgesehenen Doppelkontaktrelais in vorteilhafter Weise derart verschaltet werden, dass sie zwei Sicherheitsüberwachungsschalteranordnungen bilden, mithilfe derer zwei unterschiedliche sicherheitsrelevante Zustände überwacht werden können und zugehörige Schaltzustände innerhalb der Sicherheitsüberwachungskette der Personenförderanlage entsprechend geschaltet werden. Im Gegensatz zu herkömmlichen Sicherheits- überwachungsvorrichtungen kann dabei eine gewünschte Redundanz beim Schalten der Schaltzustände erreicht werden, ohne dass für jeden zu schaltenden Schaltzustand wenigstens zwei eigene Relais bereitgestellt werden müssen. Stattdessen können die beiden Doppelkontaktrelais derart in die Sicherheitsüberwachungskette der
Personenförderanlage integriert sein, d.h. mit anderen Komponenten der Sicherheitsüberwachungskette verschaltet sein, dass mit den lediglich zwei
Doppelkontaktrelais alle gewünschten Schaltzustände innerhalb der
Sicherheitsüberwachungskette in Reaktion auf die überwachten beiden
sicherheitsrelevanten Zustände geschaltet werden können.
Um zum Beispiel zwei verschiedene sicherheitsrelevante Zustände überwachen und entsprechende Schaltzustände innerhalb der Sicherheitsüberwachungskette in redundanter Weise schalten zu können, sind somit nicht wie bisher wenigstens vier Relais, sondern lediglich zwei Doppelkontaktrelais notwendig. Hiermit kann ein konstruktiver wie auch ein kostenmäßiger Aufwand signifikant verringert werden.
Um eine solche Einsparung von Relais zu ermöglichen, wird zur Bildung der ersten Sicherheitsüberwachungsschalteranordnung der erste Arbeitskontakt des ersten
Doppelkontaktrelais mit dem ersten Arbeitskontakt des zweiten Doppelkontaktrelais in Serie geschaltet. Zur Bildung der zweiten Sicherheitsüberwachungsschalteranordnung werden der zweite Arbeitskontakt des ersten Doppelkontaktrelais und der zweite Arbeitskontakt des zweiten Doppelkontaktrelais parallel zueinander verschaltet.
Durch geeignetes Ansteuern jedes der beiden Doppelkontaktrelais können durch eine solche Verschaltung in den beiden Sicherheitsüberwachungsschalteranordnungen verschiedene Schaltzustände in gewünschter Weise erzeugt werden. Beispielsweise ist die erste Sicherheitsüberwachungsschalteranordnung lediglich dann vollständig geschlossen, wenn beide in Serie geschalteten ersten Arbeitskontakte der beiden Doppelkontaktrelais geschlossen sind, d.h. wenn beide Kontroll er die beiden Doppelkontaktrelais zum Schließen ansteuern. Im Gegensatz hierzu ist die zweite Sicherheitsüberwachungs- schalteranordnung bereits dann geschlossen, wenn lediglich einer der parallel zueinander geschalteten zweiten Arbeitskontakte der geschlossen ist, d.h. wenn wenigstens eines der Doppelkontaktrelais von einen der Kontroller zum Schließen angesteuert ist, und ausschließlich dann geöffnet, wenn beide zweiten Arbeitskontakte der zwei
Doppelkontaktrelais geöffnet sind. Gemäß einer Aus führungs form ist die Sicherheitsüberwachungsvorrichtung dafür eingerichtet, zu berücksichtigen, dass das Überwachen des ersten sicherheitsrelevanten Zustands einen höheren Sicherheitsintegritätslevel erfordert als das Überwachen des zweiten sicherheitsrelevanten Zustands.
Mit anderen Worten kann die hierin vorgeschlagene spezielle Schaltung der beiden Doppelkontaktrelais insbesondere in einer Konstellation vorteilhaft eingesetzt werden, bei der mithilfe der Sicherheitsüberwachungsvorrichtung innerhalb der Personenförderanlage zwei verschiedene sicherheitsrelevante Zustände überwacht werden sollen, die sich hinsichtlich ihres Sicherheitsintegritätslevels signifikant unterscheiden. Die erste Sicherheitsüberwachungsschalteranordnung mit den beiden in Serie verschalteten ersten Arbeitskontakten des ersten und zweiten Doppelkontaktrelais kann dabei ein höheres Sicherheitsintegritätslevel gewährleisten als die zweite Sicherheitsüberwachungs- schalteranordnung, bei der die beiden zweiten Arbeitskontakte beider Doppelkontaktrelais parallel zueinander geschaltet sind.
Unter einem Sicherheitsintegritätslevel, welcher teilweise auch als
Sicherheitsanforderungsstufe oder SIL (Safety Integrity Level) bezeichnet wird, wird ein Begriff aus dem Gebiet der funktionalen Sicherheit verstanden, wie er beispielsweise in der internationalen Normung IEC 62508/IEC61511 beschrieben ist. Ein
Sicherheitsintegritätslevel dient hierbei zur Beurteilung elektrischer, elektronischer oder programmierbarer elektronischer Systeme hinsichtlich ihrer Zuverlässigkeit von
Sicherheitsfunktionen. Aus dem angestrebten Level ergeben sich beispielsweise sicherheitsgerichtete Konstruktionsprinzipien, die eingehalten werden müssen, um ein Risiko von Fehlfunktionen minimieren zu können. Generell werden gemäß der internationalen Norm vier Stufen von Sicherheitsintegritätslevels SIL 1 bis SIL4 unterschieden, wobei SIL4 die sicherste Stufe darstellt.
Insbesondere kann gemäß einer Aus führungs form die Sicherheitsüberwachungs- vorrichtung dafür eingerichtet sein, zu berücksichtigen, dass das Überwachen des zweiten sicherheitsrelevanten Zustands einen Sicherheitsintegritätslevel SIL1 erfordert und das Überwachen des ersten sicherheitsrelevanten Zustands wenigstens einen
Sicherheitsintegritätslevel SIL2 erfordert. Mit anderen Worten kann die zum Überwachen des ersten sicherheitsrelevanten Zustands eingesetzte erste Sicherheitsüberwachungsschalteranordnung derart ausgestaltet sein, dass sie ihre Überwachungsfunktion den höheren Anforderungen eines
Sicherheitsintegritätslevels SIL2 oder sogar SIL3 entsprechend durchfuhren kann, wohingegen die zum Überwachen des zweiten sicherheitsrelevanten Zustands eingesetzte zweite Sicherheitsüberwachungsschalteranordnung derart ausgestaltet sein kann, dass sie ihre Überwachungsfunktion lediglich den geringeren Anforderungen eines
Sicherheitsintegritätslevel SIL1 entsprechend durchfuhren kann.
Gemäß einer Aus führungs form kann der erste sicherheitsrelevante Zustand angeben, ob Teile der Sicherheitsüberwachungskette, welche Schließzustände von Türen der Personenförderanlage überwachen, temporär kurzgeschlossen werden dürfen. Dabei können durch schließendes Schalten des ersten Schaltzustandes die Teile der
Sicherheitsüberwachungskette, welche Schließzustände von Türen der
Personenförderanlage überwachen, dann temporär kurzgeschlossen werden.
Mit anderen Worten kann der von der ersten Sicherheitsüberwachungsschalteranordnung überwachte erste sicherheitsrelevante Zustand eine Information darüber beinhalten, ob beispielsweise aktuell Bedingungen vorliegen, in denen die tatsächlichen Schließzustände der Kabinentür und der Schachttüren temporär ignoriert werden dürfen und die
Aufzugkabine beispielsweise trotz geöffneter Kabinentür oder Schachttür verfahren werden darf. Beispielsweise kann ein solcher sicherheitsrelevanter Zustand vorliegen, wenn sich die Kabine sehr nahe (z.B. < 20cm) bei einer Zielposition, d.h. beispielsweise bei einem Stockwerkshalt, befindet und die jeweilige Tür bereits geöffnet werden darf, bevor die Zielposition tatsächlich erreicht ist. Dies kann beispielsweise durch eine Analyse der aktuellen Position der Aufzugkabine innerhalb des Aufzugschachts erkannt werden. In diesem Fall kann die Information über die augenblickliche Position der Kabine als einen sicherheitsrelevanten Zustand angebend interpretiert werden, bei dem die Schließzustände der Türen der Personenförderanlage temporär ignoriert werden dürfen und somit Teile der Sicherheitsüberwachungskette, welche diese Schließzustände überwachen, temporär kurzgeschlossen werden dürfen.
Falls die genannte Bedingung erkannt wurde, können der erste und zweite Kontroller die beiden Doppelkontaktrelais geeignet ansteuern, sodass beide Doppelkontaktrelais in ihren geschlossenen Relaiszustand übergehen. Die beiden ersten Arbeitskontakte der beiden Doppelkontaktrelais sind dann geschlossen, sodass sich auch für deren Serien- verschaltung im Rahmen der ersten Sicherheitsüberwachungsschalteranordnung insgesamt ein geschlossener Zustand ergibt. In diesem geschlossenen Zustand kann die erste Sicherheitsüberwachungsschalteranordnung einen Stromkreis schließen, der parallel zu dem Teil der Sicherheitsüberwachungskette verläuft, der die Schließzustände der Türen der Personenforderanlage überwacht, und kann somit die Überwachung der Türen in Form eines UET -Kontakts wie in einem Bypass temporär kurzschließen.
Gemäß einer weiteren Aus führungs form kann der zweite sicherheitsrelevante Zustand angeben, ob eine Aufzugkabine über einen zulässigen Verfahrbereich hinaus verfahren wurde. Für diesen Fall kann durch öffnendes Schalten des zweiten Schaltzustandes die Sicherheitsüberwachungskette unterbrochen werden.
Anders ausgedrückt kann der von der zweiten Sicherheitsüberwachungsschalter- anordnung überwachte zweite sicherheitsrelevante Zustand eine Information über die aktuelle Position der Aufzugkabine umfassen, sodass sich ermitteln lässt, ob sich die Aufzugkabine aktuell innerhalb ihres zulässigen Verfahrbereichs, d.h. zum Beispiel zwischen einer obersten zulässigen Endposition und einer untersten zulässigen
Endposition innerhalb des Aufzugschachts, befindet oder ob die Aufzugkabine beispielsweise aufgrund einer Fehlfunktion ihren zulässigen Fahrbereich verlassen hat und zum Beispiel über die obere zulässigen Endposition oder unter die untere zulässigen Endposition hinaus verfahren wurde.
Falls diese Bedingung erkannt wurde, können der erste und zweite Kontroll er die beiden Doppelkontaktrelais geeignet ansteuern, sodass beide Doppelkontaktrelais in ihren geöffneten Relaiszustand übergehen. Die beiden zweiten Arbeitskontakte der beiden Doppelkontaktrelais sind dann beide geöffnet, sodass sich auch für die Parallelverschaltung im Rahmen der zweiten Sicherheitsüberwachungsschalteranordnung insgesamt ein geöffneter Zustand ergibt. In diesen geöffneten Zustand kann die zweite Sicherheitsüberwachungsschalteranordnung, wenn sie beispielsweise seriell mit einem Rest der Sicherheitsüberwachungskette der Personenförderanlage verschaltet ist, wie einen geöffneter Schalter wirken und somit die Sicherheitsüberwachungskette temporär unterbrechen. Im Ergebnis wird ein Betrieb des Aufzugs bzw. insbesondere ein weiteres Verfahren der Aufzugkabine über eine jeweilige Endposition hinaus unterbunden.
Gemäß einer weiteren Aus führungs form weist die Sicherheitsüberwachungsvorrichtung ferner eine Mehrzahl von in Serie geschalteten dritten Sicherheitsüberwachungs- schalteranordnungen zum Überwachen von dritten sicherheitsrelevanten Zuständen auf.
Mit anderen Worten kann die Sicherheitsüberwachungsvorrichtung ergänzend zu den bereits erörterten ersten und zweiten Sicherheitsüberwachungsschalteranordnungen, welche beispielsweise Aufgaben eines UET-Schalters und eines KNE-Schalters implementieren, weitere Sicherheitsüberwachungsschalteranordnungen aufweisen, mithilfe derer andere Aufgaben oder Funktionalitäten implementiert werden können.
Diese dritten Sicherheitsüberwachungsschalteranordnungen können beispielsweise Türschalter sein, mithilfe derer Schließzustände von Aufzugtüren, insbesondere der Kabinentür bzw. einer der Schachttüren, überwacht werden können. Die mehreren dritten Sicherheitsüberwachungsschalteranordnungen können dabei in Serie geschaltet sein, sodass sie einen Teil der Sicherheitsüberwachungskette der Personenförderanlagen bilden können. Bei dem genannten Beispiel einer Implementierung der dritten Sicherheits- überwachungsschalteranordnungen jeweils als Türschalter wird dabei durch eine Serienverschaltung sichergestellt, dass alle Türen, und somit alle Türschalter, geschlossen sein müssen, damit der genannte Teil der Sicherheitsüberwachungskette als Ganzes geschlossen ist.
Bei einer derartigen Ausgestaltung der Sicherheitsüberwachungsvorrichtung kann die erste Sicherheitsüberwachungsschalteranordnung parallel zu der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein und die zweite
Sicherheitsüberwachungsschalteranordnung in Serie mit der Serie aus dritten
Sicherheitsüberwachungsschalteranordnungen verschaltet sein.
Anders ausgedrückt kann die erste Sicherheitsüberwachungsschalteranordnung mit ihren beiden in Serie verschalteten ersten Arbeitskontakten der beiden Doppelkontaktrelais parallel zu der Serienschaltung aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein. Sobald beide ersten Arbeitskontakte in diesem Fall geschlossen sind, d.h. sobald der erste Schaltzustand geschlossen ist, bildet die erste Sicherheits- überwachungsschalteranordnung somit einen zu der Serienschaltung aus dritten
Sicherheitsüberwachungsschalteranordnungen parallel verlaufenden Bypass und kann diese Serienschaltung somit wie ein UET-Schalter gesteuert überbrücken.
Die zweite Sicherheitsüberwachungsschalteranordnung mit ihren beiden parallel verschalteten zweiten Arbeitskontakten der beiden Doppelkontaktrelais kann in Serie mit der Serienschaltung aus dritten Sicherheitsüberwachungsschalteranordnungen verschaltet sein. Solange zumindest eines der Doppelkontaktrelais geschlossen ist, bleibt hierbei auch der zweite Schaltzustand geschlossen, sodass insgesamt der von den dritten
Sicherheitsüberwachungsschalteranordnungen und der zweiten
Sicherheitsschalterüberwachungsanordnung gebildete Teil der Sicherheitskette geschlossen bleibt. Dieser Teil der Sicherheitskette wird erst geöffnet, wenn beide Doppelkontaktrelais gleichzeitig geöffnet sind und dadurch auch der zweite Schaltzustand geöffnet ist. Die zweite Sicherheitsüberwachungsschalteranordnung kann somit wie ein KNE-Schalter gesteuert eine Sicherheitskette temporär unterbrechen.
Gemäß einer Aus führungs form können der erste und der zweite Kontroll er jeweils als sicherheitsgerichtete speicherprogrammierbare Steuerung ausgebildet sein.
Eine spei cherprogrammi erbare Steuerung (SPS; englisch: Programmable Logic
Controller - PLC) ist ein Gerät, das üblicherweise zum Steuern oder Regeln einer Anlage oder einer Maschine eingesetzt werden kann. Speicherprogrammi erbare Steuerungen ersetzen hierbei zunehmend herkömmliche festverdrahtete verbindungsprogrammierte Steuerungen. Dabei kann vorteilhaft genutzt werden, dass eine SPS auf digitaler Basis programmiert werden und somit an verschiedene Aufgabenstellungen angepasst werden kann. Eine SPS weist im simpelsten Fall Eingänge, Ausgänge, ein Betriebssystem und gegebenenfalls eine Schnittstelle, über die ein Anwenderprogramm geladen werden kann, auf. Das Anwenderprogramm kann dabei programmieren, wie die Ausgänge in
Abhängigkeit von den Eingängen geschaltet werden sollen, so dass die Anlage oder Maschine in einer gewünschten Weise funktioniert. Das Betriebssystem kann beispielsweise in Form einer Firmware auf einem aktuellen Stand gehalten werden. Eine SPS kann ferner neben ihren Kernaufgaben der Steuerung bzw. Regelung weitere Aufgaben wie zum Beispiel eine Visualisierung von Daten, eine Gestaltung als Schnittstelle beispielsweise in Form einer Mensch-Maschine-Schnittstelle, eine Alarmierung und/oder eine Aufzeichnung von Betriebsmeldungen (Data-Logging) übernehmen.
Eine sicherheitsgerichtete SPS (SSPS; englisch: safety PLC) stellt eine spezielle Implementierung einer SPS dar. Eine sicherheitsgerichtete SPS verfügt hierbei über eine weitgehend redundante Ausgestaltung ihrer Komponenten und ist im Regelfall derart ausgelegt, dass die sicherheitsgerichtete SPS bei einem Ausfall einer Komponente bzw. einem Konflikt zwischen redundanten Komponenten in einen vorbestimmten sicheren Zustand überführt wird.
Bezüglich der Architektur, Eingängen und Ausgängen unterscheiden sich
sicherheitsgerichtete SPS dabei signifikant von herkömmlichen SPS. Beispielsweise verfügt eine herkömmliche SPS typisch erweise über einen Mikroprozessor, der ein Programm ausführt, einen nicht-flüchtigen Speicher zum Speichern des Programms, einen flüchtigen Speicher (RAM), um zum Beispiel Berechnungen durchzuführen, Ports für eine Datenkommunikation und I/O-Anschlüsse, um eine Anlage oder Maschine zu detektieren und kontrollieren. Eine sicherheitsgerichtete SPS verfügt hingegen im Allgemeinen über wenigstens zwei der jeweiligen Komponenten, welche sich kontinuierlich gegenseitig überwachen bzw. durch eine sogenannte Wachhund-Schaltung (watch dog circuit) überwacht werden.
Die Eingänge einer herkömmlichen SPS verfügen typischerweise nicht über Mittel zum Testen einer Funktionalität einer Eingangsschaltung. Im Gegensatz hierzu haben sicherheitsgerichtete SPS im Regelfall eine interne Ausgabeschaltung, die jedem Eingang zugeordnet ist und mithilfe derer der jeweilige Eingang getestet werden kann.
In ähnlicher Weise besitzen herkömmliche SPS typischerweise lediglich eine
Ausgangsschalteinrichtung, wohingegen sicherheitsgerichtete SPS im allgemeinen einen Testpunkt hinter jedem von zwei Sicherheitsschaltern, die hinter einem Aus gabetreib er angeordnet sind, und einen dritten Testpunkt stromabwärts des Ausgabetreibers aufweisen. Jeder von zwei Sicherheitsschaltern wird im Allgemeinen durch einen einzigen Mikroprozessor gesteuert. Wenn ein Fehler in einem der zwei
Sicherheitsschalter beispielsweise aufgrund eines Fehlers in dem Schalter oder dem Mikroprozessor oder an dem Testpunkt stromabwärts des Ausgabetreibers detektiert wird, wird das Betriebssystem der sicherheitsgerichteten SPS automatisch einen Systemfehler erkennen und die sicherheitsgerichtete SPS wird in einen vordefinierten Zustand überfuhrt, in dem eine Anlage beispielsweise ordnungsgemäß heruntergefahren werden kann.
Aufgrund der Ausführung der beiden Kontroller als sicherheitsgerichtete SPS sind diese einerseits dazu geeignet, beispielsweise als Nachrüstgeräte an verschiedene Aufzugtypen angepasst werden zu können. Andererseits können die Kontroller beziehungsweise die damit ausgestattete Sicherheitsüberwachungsvorrichtung ein hohes Maß an Sicherheit für die damit ausgerüsteten Personenförderanlagen garantieren.
Gemäß einer Aus führungs form kann die Sicherheitsüberwachungsvorrichtung dazu eingerichtet sein, ein Verfahren gemäß einer Aus führungs form des dritten Aspekts der Erfindung auszuführen oder zu steuern.
Hierzu können beispielsweise die als SPS oder sicherheitsgerichtete SPS ausgeführten ersten und zweiten Kontroller der Sicherheitsüberwachungsvorrichtung in einer Weise programmiert sein, dass die von ihnen generierten Steuerspannungen derart durchvariiert werden, dass zwar stets mindestens eines der beiden Doppelkontaktrelais in seinem geschlossenen Relaiszustand ist, jedoch abwechselnd eines der beiden
Doppelkontaktrelais kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand versetzt wird. Dabei wird stets überwacht, ob der zugehörige Feedbackkontakt eines Doppelkontaktrelais der generierten Steuerspannung folgt, d.h. ob der Feedbackkontakt denjenigen Relaiszustand angibt, der tatsächlich von dem zugehörigen Kontroller angesteuert wurde, oder ob beispielsweise aufgrund einer Fehlfunktion innerhalb des Doppelkontaktrelais ein tatsächlicher Relaiszustand nicht dem gewünschten angesteuerten Relaiszustand entspricht.
Gemäß einer Aus führungs form des Verfahrens können dabei für den Fall, dass die Feedbackkontakte der beiden Doppelkontaktrelais nicht einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben, die beiden Kontroller
Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite Doppelkontaktrelais in ihren geöffneten Relaiszustand geschaltet werden.
Mit anderen Worten kann für den Fall, dass durch Überwachen der Feedbackkontakte darauf rückgeschlossen werden kann, dass zumindest eines der Doppelkontaktrelais nicht korrekt der durch den j eweiligen Kontroller bewirkten Ansteuerung folgt und somit von einem Defekt innerhalb des Doppelkontaktrelais auszugehen ist, eine Reaktion dahingehend ausgelegt werden, dass beide Kontroll er ihr jeweils zugehöriges
Doppelkontaktrelais dazu ansteuern, in seinen geöffneten Relaiszustand zu schalten. Hierdurch kann die Personenförderanlage auch für den Fall eines Defekts bei den Doppelkontaktrelais ihrer Sicherheitsüberwachungsvorrichtung in einen weitgehend sicheren Zustand überführt werden.
Gemäß einer Aus führungs form überwacht bei dem vorgeschlagenen Verfahren jeder der beiden Kontroller die Feedbackkontakte jedes der beiden Doppelkontaktrelais.
Mit anderen Worten sollen der erste und der zweite Kontroller nicht nur die
Feedbackkontakte des ihnen jeweils zugeordneten, d.h. von Ihnen gesteuerten,
Doppelkontaktrelais überwachen. Stattdessen soll jeder Kontroller den Feedbackkontakt seines zugeordneten Doppelkontaktrelais sowie den Feedbackkontakt des jeweils anderen Doppelkontaktrelais überwachen. Auf diese Weise kann eine Redundanz geschaffen werden, welche die Sicherheit der Sicherheitsüberwachungsvorrichtung weiter erhöht und insbesondere eine Wahrscheinlichkeit, dass Fehlfunktionen bei deren Doppelkontaktrelais korrekt erkannt werden, drastisch erhöht.
Gemäß einer Aus führungs form wird das vorgeschlagene Verfahren vor, während oder nach jeder einzelnen Fahrt der Personentransportanlage durchgeführt.
Anders ausgedrückt kann das Verfahren, mit dem die Funktionsfähigkeit der
Sicherheitsüberwachungsvorrichtung geprüft wird, prinzipiell zwar zu beliebigen Zeitpunkten oder getriggert durch beliebige Ereignisse ausgeführt werden. Es wird jedoch als vorteilhaft erachtet, das Verfahren zumindest dann auszuführen, wenn von der Personentransportanlage eine Fahrt durchgeführt wird. Damit kann sichergestellt werden, dass die Funktionsfähigkeit der Sicherheitsüberwachungsvorrichtung ausreichend häufig überprüft wird. Es wird daraufhingewiesen, dass einige der möglichen Merkmale und Vorteile der Erfindung hierin mit Bezug auf unterschiedliche Aus führungs formen der
Sicherheitsüberwachungsvorrichtung einerseits und eines Verfahrens zum Überwachen von deren Funktionsfähigkeit andererseits beschrieben sind. Ein Fachmann erkennt, dass die Merkmale in geeigneter Weise kombiniert, angepasst oder ausgetauscht werden können, um zu weiteren Aus führungs formen der Erfindung zu gelangen.
Nachfolgend werden Aus führungs formen der Erfindung unter Bezugnahme auf die beigefügten Zeichnungen beschrieben, wobei weder die Zeichnungen noch die
Beschreibung als die Erfindung einschränkend auszulegen sind.
Fig. 1 zeigt eine erfindungsgemäße Personentransportanlage.
Fig. 2 zeigt eine Sicherheitsüberwachungskette einer erfindungsgemäßen
Personentransportanlage.
Fig. 3 zeigt Details einer erfindungsgemäßen Sicherheitsüberwachungsvorrichtung.
Fig. 4a zeigt angesteuerte Relaiszustände und daraus resultierende Schaltzustände in der erfindungsgemäßen Sicherheitsüberwachungsvorrichtung.
Fig. 4b veranschaulicht ein Variieren von angesteuerten Relaiszuständen im Rahmen eines erfindungsgemäßen Verfahrens zum Überwachen der Funktionsfähigkeit einer Sicherheitsüberwachungsvorrichtung.
Die Figuren sind lediglich schematisch und nicht maßstabsgetreu. Gleiche Bezugszeichen bezeichnen in den verschiedenen Figuren gleiche oder gl eich wirkende Merkmale.
Fig. 1 zeigt eine Personenförderanlage 1 in Form eines Aufzugs. Der Aufzug umfasst eine Aufzugkabine 5 und ein Gegengewicht 7, welche mittels von einer Antriebsmaschine 11 angetriebenen Riemen 9 innerhalb eines Aufzugsschacht 3 vertikal verlagert werden können. Es kann ferner eine Bremse 12 zum Bremsen der Antriebsmaschine 11 bzw. zum direkten Bremsen der Aufzugkabine 5 vorgesehen sein. Ein Betrieb der Antriebsmaschine 11 und/oder der Bremse 12 wird von einer Aufzugsteuerung 13 gesteuert. Die
Aufzugsteuerung 13 kann z.B. die Antriebsmaschine 1 1 dabei gesteuert mit elektrischer Leistung von einer elektrischen Leistungsquelle 15 versorgen.
Die Aufzugkabine 5 kann zwischen verschiedenen Stockwerken 17 verfahren werden. An jedem Stockwerk 17 ist dabei eine Schachttür 19 vorgesehen und an der Aufzugkabine 15 ist eine Kabinentür 21 vorgesehen.
In der Personenförderanlage 1 ist eine Vielzahl von Sicherheitsüberwachungs- schalteranordnungen 23 vorgesehen, mithilfe derer sicherheitsrelevante Zustände innerhalb der Personenförderanlage 1 überwacht werden können.
Beispielsweise sind an jeder der Schachttüren 19 sowie an der Kabinentür 21 jeweils Türschalter 25 vorgesehen, mithilfe derer überwacht werden kann, ob die jeweilige Schacht- bzw. Kabinentür 19, 21 aktuell korrekt geschlossen oder zumindest teilweise geöffnet ist. Ferner ist in einem Grubenbereich des Aufzugsschachts 3 ein
Leiteranwesenheitsschalter 27 vorgesehen, mithilfe dessen die Anwesenheit und korrekte Anordnung einer Leiter 29 überwacht werden kann. Sowohl im Falle der Türschalter 25 als auch des Leiteranwesenheitsschalters 27 können Sicherheitsüberwachungs- schalteranordnungen 23 beispielsweise als einfache, mechanisch zu betätigende Schalter vorgesehen sein.
Ergänzend kann die Personenförderanlage 1 auch komplexer aufgebaute
Sicherheitsüberwachungsschalteranordnungen 23 aufweisen. Beispielsweise kann mithilfe eines sich vertikal entlang des Aufzugsschachts 3 erstreckenden Magnetbandes 33 und eines an der Aufzugkabine 5 angebrachten Magnetbandauslesegeräts 31 ein Absolutpositionssensor 35 gebildet werden, mithilfe dessen Informationen über eine aktuelle Position der Aufzugkabine 5 innerhalb des Aufzugschacht 3 gewonnen werden können. Basierend auf diesen Informationen können dann sicherheitsrelevante Zustände überwacht werden.
Beispielsweise kann erkannt werden, ob sich die Aufzugkabine 5 aktuell gegenüber oder zumindest nahe einer der Schachttüren 19 befindet und somit die Kabinentür 21 und/oder die gegenüberliegende Schachttür 19 geöffnet werden darf. Ferner kann basierend auf diesen Informationen erkannt werden, ob sich die Aufzugkabine 5 innerhalb eines zulässigen Verfahrt) er ei chs 37 innerhalb des Aufzugsschachts 3 befindet oder ob sie unbeabsichtigt aus diesem zulässigen Verfahrbereich 37 heraus bewegt wurde.
Daten oder Signale können von den verschiedenen Sicherheitsüberwachungs- schalteranordnungen 23 an eine Sicherheitsüberwachungsvorrichtung 39 beispielsweise drahtgebunden oder drahtlos übermittelt werden.
Insbesondere können mehrere der Sicherheitsüberwachungsschalteranordnungen 23 miteinander verschaltet werden, insbesondere miteinander in Serie verschaltet werden, um Teile einer Sicherheitsüberwachungskette 41 zu bilden. Beispielsweise können die Türschalter 25 sowie der Leiteranwesenheitsschalter 27 in Serie geschaltet werden, sodass der dadurch gebildete Teil der Sicherheitsüberwachungskette 41 nur dann als Ganzes geschlossen ist, wenn alle Türschalter 25 sowie der Leiteranwesenheitsschalter 27 geschlossen sind.
Die Sicherheitsüberwachungsvorrichtung 39 kann mit der Aufzugsteuerung 13 kommunizieren bzw. Teil derselben sein und Funktionen der Aufzugsteuerung 13 beeinflussen. Insbesondere kann die Sicherheitsüberwachungsvorrichtung 39 ein oder mehrere Hauptrelaisanordnungen 43 betätigen, um beispielsweise eine
Leistungsversorgung zwischen der Aufzugsteuerung 13 und der Antriebsmaschine 11 unterbrechen zu können und/oder um die Bremse 12 zum Bremsen der Aufzugkabine 5 aktivieren bzw. diese lösen zu können.
Fig. 2 veranschaulicht Details einer Sicherheitsüberwachungskette 41. Mehrere
Sicherheitsüberwachungsschalteranordnungen 23 (welche nachfolgend auch als„dritte Sicherheitsüberwachungsschalteranordnungen" bezeichnet werden) in Form von Türschaltern 25 sowie weitere Sicherheitsüberwachungsschalteranordnungen 23 beispielsweise in Form eines Leiteranwesenheitsschalters 27 oder Ähnlichem sind in Serie geschaltet.
Eine dieser weiteren Sicherheitsüberwachungsschalteranordnungen 23 wirkt dabei als Kabinennotendschalter 28 (K E-Schalter). Dieser Kabinennotendschalter 28 wird geöffnet, wenn die Aufzugkabine 5 über ihren zulässigen Verfahrbereich 37 hinaus verfahren wird.
Der durch die in Serie geschalteten Sicherheitsüberwachungsschalteranordnungen 23 gebildete Teil der Sicherheitsüberwachungskette 41 ist in Serie geschaltet mit der Hauptrelaisanordnung 43. Die Hauptrelaisanordnung 43 umfasst ein erstes Haupt- Doppelkontaktrelais 45 mit einer Spule 49, einem ersten Arbeitskontakt 53, einem zweiten Arbeitskontakt 57 sowie einem Feedbackkontakt 61 sowie ein zweites Haupt- Doppelkontaktrelais 47 mit einer Spule 51, einem ersten Arbeitskontakt 55, einem zweiten Arbeitskontakt 59 sowie einem Feedbackkontakt 63. Die Hauptrelaisanordnung 43 ist hierbei normalerweise, d.h. wenn die Spulen 49, 51 nicht bestromt sind, geöffnet. Dementsprechend schließt die Hauptrelaisanordnung 43 eine seriell durch die ersten Arbeitskontakte 53, 55 des ersten und zweiten Haupt-Doppelkontaktrelais 45, 47 verlaufende elektrische Verbindung zwischen der leistungsversorgenden
Aufzugsteuerung 13 und der Antriebsmaschine 11 ausschließlich dann, wenn ihre beiden Spulen 49, 51 aufgrund einer vollständig geschlossenen Sicherheitsüberwachungskette 41 bestromt werden. In ähnlicher Weise wird die Bremse 12 ausschließlich dann bestromt und somit gelöst, wenn mithilfe der Hauptrelaisanordnung 43 eine Verbindung zwischen einer Leistungsquelle und der Bremse 12 infolge einer vollständig geschlossenen Sicherheitsüberwachungskette 41 geschlossen wird.
Um zu ermöglichen, dass die Kabinentür 21 und/oder eine der Schachttüren 19 unter vorbestimmten Voraussetzungen geöffnet werden dürfen, obwohl die Antriebsmaschine 11 die Aufzugkabine 5 verlagert, ist parallel zu der Serienschaltung von Türschaltern 25 ein so genannter UET-Schalter 65 vorgesehen. Dieser UET-Schalter 65 bildet ebenfalls eine Sicherheitsüberwachungsschalteranordnung 23 und darf ausschließlich dann geschlossen werden, wenn die vorbestimmten Voraussetzungen erfüllt sind, d.h.
beispielsweise dann, wenn sich die Aufzugkabine 5 einer Ziel-Stockwerk-Position bereits bis auf wenige Zentimeter genähert hat und bereits begonnen werden soll, die Türen 19, 21 zu öffnen, bevor die Aufzugkabine 5 an der Ziel-Stockwerk-Position letztendlich angehalten hat. Durch ein Schließen des UET-Schalters 65 wird somit der von den Türschaltern 25 gebildete Teil der Sicherheitsüberwachungskette 41 temporär überbrückt. Um den für Personenförderanlagen 1 geltenden hohen Sicherheitsanforderungen zu genügen, wurde bisher sowohl der KNE-Schalter 28 als auch der UET-Schalter 65 in redundanter Weise mit jeweils zwei einfachen Relais implementiert. Die beiden einfachen Relais waren beispielsweise im Fall des UET-Schalters 65 in Serie geschaltet, sodass ein Schaltzustand des UET-Schalters 65 nur dann geschlossen war, wenn beide Relais gleichzeitig geschlossen waren, d.h. beide Relais in ihrem geschlossenen Relaiszustand waren.
Allerdings mussten dementsprechend für die zwei Funktionen, die mit dem KNE-Schalter 28 und dem UET-Schalter 65 zu implementieren waren, insgesamt vier einfache Relais eingesetzt werden.
Fig. 3 veranschaulicht eine erfindungsgemäße Sicherheitsüberwachungsvorrichtung 67, welche als einen Teil einer Sicherheitsüberwachungskette 41 einer Personenförderanlage 1 bildend implementiert werden kann, um sicherheitsrelevante Zustände in der
Personenförderanlage 1 zu überwachen. Die Sicherheitsüberwachungsvorrichtung 67 kann dabei insbesondere die Funktionen eines KNE-Schalters 28 und eines UET- Schalters 65 umsetzen.
Die Sicherheitsüberwachungsvorrichtung 67 umfasst ein erstes Doppelkontaktrelais 69 und ein zweites Doppelkontaktrelais 71. Beide Doppelkontaktrelais 69, 71 sind als normalerweise geöffnete Relais („normally opened") ausgebildet und weisen jeweils Spulen 73, 75 auf, welche, wenn sie mit einer Steuerspannung beaufschlagt werden, jeweils erste Arbeitskontakte 77, 79 sowie zweite Arbeitskontakte 81, 83 schließen. Jedes der Doppelkontaktrelais 69, 71 weist zudem einen Feedbackkontakt 85, 87 auf. Bei jedem der Doppelkontaktrelais 69, 71 verlagert, d.h. öffnet und schließt, die jeweilige Spule 73, 75 deren erste und zweite Arbeitskontakte 77, 79, 81, 83 sowie deren Feedbackkontakt 85, 87 synchron miteinander und kann somit gesteuert durch die Steuerspannung in einen geöffneten bzw. geschlossenen Relaiszustand geschaltet werden.
Die Sicherheitsüberwachungsvorrichtung 67 umfasst ferner einen ersten und einen zweiten Kontroll er 89, 91. Die beiden Kontroll er 89, 91 sind dazu ausgelegt,
Eigenschaften der Personenförderanlage 1 zu ermitteln, die mit einem
sicherheitsrelevanten Zustand korrelieren, und daraufhin geeignete Steuerspannungen für das erste bzw. das zweite Doppelkontaktrelais 69, 71 in Abhängigkeit von den ermittelten Eigenschaften zu generieren. Die beiden Kontroll er 89, 91 können dabei miteinander kommunizieren bzw. sich gegenseitig kontrollieren. Insbesondere können die Kontroll er 89, 91 als sicherheitsgerichtete Speicherprogrammierbare Steuerungen (SSPS) ausgebildet sein.
Im dargestellten Beispiel erhalten die beiden Kontroll er 89, 91 von dem
Absolutpositionssensor 35 Informationen über die aktuelle Position der Aufzugkabine 5 innerhalb des Aufzugsschachts 3. Aus diesen Informationen können die Kontroller 89, 91 einerseits ableiten, ob sich die Aufzugkabine 5 aktuell innerhalb des zulässigen
Verfahrbereichs 37 befindet oder ob sie diesen verlassen hat. Je nachdem, welcher dieser beiden Fälle zutrifft, können die Kontroll er 89, 91 unterschiedliche Steuerspannungen für die beiden Doppelkontaktrelais 69, 71 erzeugen, um mit der Sicherheitsüberwachungs- vorrichtung 67 die Funktion eines KNE-Schalters 28 emulieren. Andererseits können die Kontroll er 89, 91 aus den Informationen rückschließen, ob sich die Aufzugkabine 5 aktuell ausreichend nahe zu einer Ziel-Stockwerk-Position befindet, sodass es zulässig erscheint, den von den Türschaltern 25 gebildeten Teil der Sicherheitsüberwachungskette 41 temporär zu überbrücken, um mit der Sicherheitsüberwachungsvorrichtung 67 die Funktion eines UET-Schalters zu emulieren.
Die Sicherheitsüberwachungsvorrichtung 67 bildet mit ihren Doppelkontaktrelais 69, 71 und ihren Kontrollern 89, 91 hierbei Sicherheitsüberwachungsschalteranordnungen 23 in Form einer ersten und einer zweiten Sicherheitsüberwachungsschalteranordnung 93, 95 aus.
Die erste Sicherheitsüberwachungsschalteranordnung 93 umfasst dabei den ersten Arbeitskontakt 77 des ersten Doppelkontaktrelais 69 sowie den ersten Arbeitskontakt 79 des zweiten Doppelkontaktrelais 71, welche miteinander in Serie verschaltet sind. Mit dieser ersten Sicherheitsüberwachungsschalteranordnung 93 emuliert die
Sicherheitsüberwachungsvorrichtungen 67 die Funktion des UET-Schalters an einem ersten Ausgang 97.
Die zweite Sicherheitsüberwachungsschalteranordnung 95 umfasst den zweiten Arbeitskontakt 81 des ersten Doppelkontaktrelais 69 sowie den zweiten Arbeitskontakt 83 des zweiten Doppelkontaktrelais 71, welche parallel zueinander verschaltet sind. Mit dieser zweiten Sicherheitsüberwachungsschalteranordnung 95 emuliert die
Sicherheitsüberwachungsvorrichtungen 67 die Funktion des KNE-Schalters an einem zweiten Ausgang 99.
Ein tatsächlich eingenommener Relaiszustand jedes der Doppelkontaktrelais 69, 71 kann von den Kontrollern 89, 91 über den jeweiligen Feedbackkontakt 85, 87 des zugehörigen Doppelkontaktrelais 69, 71 ermittelt werden. Dadurch kann überwacht werden, ob ein von einem Kontroll er 89, 91 angesteuerter Relaiszustand in dem zugeordneten
Doppelkontaktrelais 69, 71 zum Einnehmen des gewünschten Relaiszustandes geführt hat oder ob ein Defekt dies verhindert hat. Jeder der beiden Feedbackkontakte 85, 87 kann dabei ein Feedbacksignal an jeden der beiden Kontroller 89, 91 übermitteln.
Fig. 4a veranschaulicht tabellarisch mögliche von den beiden Kontrollern 89, 91 erzeugte Steuerspannungen Kl, K2 zum Steuern des ersten und zweiten Doppelkontaktrelais 69, 71 in einen offenen Relaiszustand (Kl =„0" bzw. K2 =„0", d.h. keine Steuerspannung an die Spule angelegt) oder einen geschlossenen Relaiszustand (Kl =„1" bzw. K2 =„1", d.h. Steuerspannung an die Spule angelegt) sowie daraus resultierende Schaltzustände UET, KNE an den zwei Ausgängen 97, 99 der Sicherheitsüberwachungsvorrichtung 67. Dabei ist der erste Ausgang 97 zur Umsetzung der Funktion des UET-Schalters 65 ausgebildet und der zweite Ausgang 99 ist zur Umsetzung der Funktion des KNE- Schalters 28 ausgebildet.
Es ist zu erkennen, dass der von der ersten Sicherheitsüberwachungsschalteranordnung 93 emulierte UET-Schaltzustand ausschließlich dann geschlossen ist („closed"), wenn beide Doppelkontaktrelais 69, 71 von den beiden Kontrollern 89, 91 in ihren geschlossenen Relaiszustand („1") angesteuert wurden. Andererseits ist der von der zweiten
Sicherheitsüberwachungsschalteranordnung 95 emulierte KNE -Schaltzustand ausschließlich dann geöffnet („open"), wenn beide Doppelkontaktrelais 69, 71 von den beiden Kontroll ern 89, 91 in ihren geöffneten Relaiszustand („0") angesteuert wurden.
Mit der vorgestellten Sicherheitsüberwachungsvorrichtung 67 lässt sich die Funktion des UET-Schalters 65 über die erste Sicherheitsüberwachungsschalteranordnung 93 mit einem hierfür erforderlichen sehr hohen Sicherheitsintegritätslevel von SIL2 oder sogar SIL3 implementieren. Die Funktion des KNE-Schalters 28 kann über die zweite Sicherheitsüberwachungsschalteranordnung 95 zumindest mit dem hierfür ausreichenden Sicherheitsintegritätslevel von SIL1 implementiert werden.
Abschließend wird unter Bezugnahme auf Fig. 4b eine Aus führungs form eines
Verfahrens erläutert, mithilfe dessen eine Funktionsfähigkeit der Sicherheits- überwachungsvorrichtung 67 überwacht werden kann.
In vorgegebenen zeitlichen Abständen, d.h., beispielsweise periodisch, oder getriggert durch bestimmte Ereignisse wie zum Beispiel den Beginn oder das Ende einer Fahrt wird der normale Betrieb der Sicherheitsüberwachungsvorrichtungen 67, bei dem die sicherheitsrelevanten Zustände in der Personenförderanlage 1 überwacht werden, kurzzeitig unterbrochen. Stattdessen werden die von dem ersten und zweiten Kontroller 89, 91 generierten Steuerspannungen derart variiert, dass einerseits abwechselnd eines der beiden Doppelkontaktrelais 69, 71 kurzzeitig in seinen geöffneten Relaiszustand (Kx = „0") und wieder zurück in seinen geschlossenen Relaiszustand (Kx =„1") geschaltet wird, und dass andererseits stets zumindest eines der beiden Doppelkontaktrelais 69, 71 in seinen geschlossenen Relaiszustand ist.
Durch ein derartiges Durchvariieren der Steuerspannungen kann einerseits erreicht werden, dass jedes der beiden Doppelkontaktrelais 69, 71 zumindest einmal zum Öffnen und anschließenden Schließen angesteuert wird. Andererseits wird sichergestellt, dass die die UET-Funktion bewirkende erste Sicherheitsüberwachungsschalteranordnung 93 zwar kurzzeitig geöffnet und wieder geschlossen wird, die die KNE-Funktion bewirkende zweite Sicherheitsüberwachungsschalteranordnung 95 jedoch stets geschlossen bleibt. Somit bleibt die gesamte Sicherheitsüberwachungskette 41 während dieses
Durchvariierens der Steuerspannungen stets geschlossen.
Während das beschriebene Verfahren durchgeführt wird, können mithilfe beispielsweise der Kontroll er 89, 91 nicht nur die Steuerspannungen durchvariiert werden, sondern ergänzend auch überwacht werden, welchen tatsächlichen Relaiszustand die
Feedbackkontakte 85, 87 beider Doppelkontaktrelais 69, 71 angeben. Solange die Doppelkontaktrelais 69, 71 ordnungsgemäß funktionieren, sollte der von den
Feedbackkontakten 85, 87 rückgemeldete Relaiszustand mit dem von den Kontroll ern 89, 91 angesteuerten Relaiszustand übereinstimmen. Sollte dies zu einem Zeitpunkt to nicht mehr zutreffen, kann von einem Defekt in einem der Doppelkontaktrelais 69, 71 ausgegangen werden. Dieser kann beispielsweise dadurch bewirkt sein, dass Arme eines der Arbeitskontakte 77, 79, 81, 83 miteinander verklebt oder verschweißt wurden.
Für diesen Fall kann vorgesehen sein, dass beide Kontroll er 89, 91 Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite Doppelkontaktrelais 69, 71 in ihren geöffneten Relaiszustand geschaltet werden. Damit kann sichergestellt werden, dass zumindest die überaus sicherheitskritische UET-Funktion der ersten Sicherheits- überwachungsschalteranordnung 93 zuverlässig in ihren geöffneten Zustand geschaltet wird, sodass ein gefährliches Verfahren der Aufzugkabine 5 bei geöffneten Türen 19, 21 auf jeden Fall vermieden wird.
Mit der hierin beschriebenen Sicherheitsüberwachungsvorrichtung 67 bzw. dem
Verfahren zum Überwachen von deren Funktionsfähigkeit kann für die entsprechend ausgerüstete Personenförderanlage 1 die Möglichkeit einer Kostenreduzierung eröffnet werden, da zu deren Implementierung lediglich zwei Doppelkontaktrelais anstatt herkömmlich vier einfache Relais benötigt werden. Ferner kann insgesamt eine höhere Zuverlässigkeit erreicht werden, da lediglich zwei statt bisher vier sichere Relais benötigt werden. Auch eine Komplexität einer elektronischen Schaltung für die
Sicherheitsüberwachungsvorrichtung 67 kann einfacher als bei herkömmlichen
Vorrichtungen ausfallen, da weniger Komponenten gesteuert werden brauchen.
Abschließend ist daraufhinzuweisen, dass Begriffe wie„aufweisend",„umfassend", etc. keine anderen Elemente oder Schritte ausschließen und Begriffe wie„eine" oder„ein" keine Vielzahl ausschließen. Ferner sei daraufhingewiesen, dass Merkmale oder Schritte, die mit Verweis auf eines der obigen Ausführungsbeispiele beschrieben worden sind, auch in Kombination mit anderen Merkmalen oder Schritten anderer oben beschriebener Ausführungsbeispiele verwendet werden können. Bezugszeichen in den Ansprüchen sind nicht als Einschränkung anzusehen. Bezugszeichenliste
1 Personenförderanlage
3 Aufzugschacht
5 Aufzugkabine
7 Gegengewicht
9 Riemen
11 Antriebsmaschine
12 Bremse
13 Aufzugsteuerung
15 Leistungsquelle
17 Stockwerk
19 Schachttür
21 Kabinentür
23 Sicherheitsüberwachungsschalteranordnungen
25 Türschalter
27 Leiteranwesenheitsschalter
28 Kabinennotendschalter (KNE-Schalter)
29 Leiter
31 Magnetbandauslesegerät
33 Magnetband
35 Absolutpositionssensor
37 zulässiger Verfahrbereich
39 Sicherheitsüberwachungsvorrichtung
41 Sicherheitsüberwachungskette
43 Hauptrelaisanordnung
45 erstes Haupt-Doppelkontaktrelais
47 zweites Haupt-Doppelkontaktrelais
49 Spule des ersten Haupt-Doppelkontaktrelais
51 Spule des zweiten Haupt-Doppelkontaktrelais
53 erster Arbeitskontakt des ersten Haupt-Doppelkontaktrelais
55 erster Arbeitskontakt des zweiten Haupt-Doppelkontaktrelais
57 zweiten Arbeitskontakt des ersten Haupt-Doppelkontaktrelais
59 zweiter Arbeitskontakt des zweiten Haupt-Doppelkontaktrelais 61 Feedbackkontakt des ersten Haupt-Doppelkontaktrelais
63 Feedbackkontakt des zweiten Haupt-Doppelkontaktrelais
65 Türüberbrückungsschalter (UET-S chalter)
67 Sicherheitsüberwachungsvorrichtung
69 erstes Doppelkontaktrelais
71 zweites Doppelkontaktrelais
73 Spule des ersten Doppelkontaktrelais
75 Spule des zweiten Doppelkontaktrelais
77 erster Arbeitskontakt des ersten Doppelkontaktrelais
79 erster Arbeitskontakt des zweiten Doppelkontaktrelais
81 zweiter Arbeitskontakt des ersten Doppelkontaktrelais
83 zweiter Arbeitskontakt des zweiten Doppelkontaktrelais
85 Feedbackkontakt des ersten Doppelkontaktrelais
87 Feedbackkontakt des zweiten Doppelkontaktrelais
89 erster Kontroller
91 zweiter Kontroller
93 erste Sicherheitsüberwachungsschalteranordnung
95 zweite Sicherheitsüberwachungsschalteranordnung
97 erster Ausgang für UET-Funktion
99 zweiter Ausgang für KNE-Funktion

Claims

Patentansp rüche
1. Sicherheitsüberwachungsvorrichtung (67) zum Überwachen von
sicherheitsrelevanten Zuständen in einer Personenförderanlage (1), aufweisend:
- ein erstes und ein zweites Doppelkontaktrelais (69, 71), welche beide jeweils gesteuert durch eine Steuerspannung einen ersten Arbeitskontakt (77, 79) und einen zweiten Arbeitskontakt (81, 83) sowie einen Feedbackkontakt (85, 87) synchron miteinander zwischen einem geöffneten und einem geschlossenen Relaiszustand schalten;
- einen ersten und einen zweiten Kontroller (89, 91) jeweils zum Ermitteln von mit einem sicherheitsrelevanten Zustand korrelierenden Eigenschaften der Personenförderanlage (1) und zum Generieren der Steuerspannungen für das erste bzw. das zweite
Doppelkontaktrelais (69, 71) abhängig von den ermittelten Eigenschaften;
wobei mittels der zwei Doppelkontaktrelais (69, 71) und der zwei Kontroller (89, 91) eine erste Sicherheitsüberwachungsschalteranordnung (93) zum Überwachen eines ersten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines ersten
Schaltzustands innerhalb einer Sicherheitsüberwachungskette (41) der
Personenförderanlage (1) und eine zweite Sicherheitsüberwachungsschalteranordnung (95) zum Überwachen eines zweiten sicherheitsrelevanten Zustandes und zum entsprechenden Schalten eines zweiten Schaltzustands innerhalb der
Sicherheitsüberwachungskette (41) der Personenförderanlage (1) gebildet werden;
wobei die erste Sicherheitsüberwachungsschalteranordnung (93) den ersten
Arbeitskontakt (77) des ersten Doppelkontaktrelais (69) und in Serie zu diesem geschaltet den ersten Arbeitskontakt (79) des zweiten Doppelkontaktrelais (71) umfasst; und wobei die zweite Sicherheitsüberwachungsschalteranordnung (95) den zweiten
Arbeitskontakt (81) des ersten Doppelkontaktrelais (69) und parallel zu diesem geschaltet den zweiten Arbeitskontakt (83) des zweiten Doppelkontaktrelais (71) umfasst.
2. Sicherheitsüberwachungsvorrichtung nach Anspruch 1, wobei das Überwachen des ersten sicherheitsrelevanten Zustands einen höheren Sicherheitsintegritätslevel erfordert als das Überwachen des zweiten sicherheitsrelevanten Zustands.
3. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei das Überwachen des zweiten sicherheitsrelevanten Zustands einen
Sicherheitsintegritätslevel SIL1 erfordert und das Überwachen des ersten sicherheitsrelevanten Zustande wenigstens einen Sicherheitsintegritätslevel SIL2 erfordert.
4. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der erste sicherheitsrelevante Zustand angibt, ob Teile der
Sicherheitsüberwachungskette (41), welche Schließzustände von Türen (19, 21) der Personenförderanlage (1) überwachen, temporär kurzgeschlossen werden dürfen und wobei durch schließendes Schalten des ersten Schaltzustandes die Teile der
Sicherheitsüberwachungskette (41), welche Schließzustände von Türen (19, 21) der Personenförderanlage (1) überwachen, temporär kurzgeschlossen werden.
5. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der zweite sicherheitsrelevante Zustand angibt, ob eine Aufzugkabine (5) über einen zulässigen Verfahrbereich (37) hinaus verfahren wurde, und wobei durch öffnendes Schalten des zweiten Schaltzustandes die Sicherheitsüberwachungskette (41) unterbrochen wird.
6. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, ferner aufweisend eine Mehrzahl von in Serie geschalteten dritten
Sicherheitsüberwachungsschalteranordnungen (23) zum Überwachen von dritten sicherheitsrelevanten Zuständen.
7. Sicherheitsüberwachungsvorrichtung nach Anspruch 6, wobei die erste
Sicherheitsüberwachungsschalteranordnung (93) parallel zu der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen (23) verschaltet ist und wobei die zweite Sicherheitsüberwachungsschalteranordnung (95) in Serie mit der Serie aus dritten Sicherheitsüberwachungsschalteranordnungen (23) verschaltet ist.
8. Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, wobei der erste und der zweite Kontroller (89, 91) jeweils als sicherheitsgerichtete speicherprogrammierbare Steuerung ausgebildet sind.
Sicherheitsüberwachungsvorrichtung nach einem der vorangehenden Ansprüche, i die Sicherheitsüberwachungsvorrichtung (67) dazu eingerichtet, ein Verfahren gemäß einem der Ansprüche 11 bis 14 auszuführen oder zu steuern.
10. Personenförderanlage (1) mit einer Sicherheitsüberwachungsvorrichtung (67) gemäß einem der Ansprüche 1 bis 9.
11. Verfahren zum Überwachen einer Funktionsfähigkeit einer
Sicherheitsüberwachungsvorrichtung (67) gemäß einem der Ansprüche 1 bis 9, wobei das Verfahren aufweist:
Variieren der von dem ersten und dem zweiten Kontroller (89, 91) generierten
Steuerspannungen derart, dass abwechselnd eines des ersten und des zweiten
Doppelkontaktrelais (69, 71) kurzzeitig in seinen geöffneten Relaiszustand und wieder zurück in seinen geschlossenen Relaiszustand geschaltet wird und dass stets zumindest eines des ersten und des zweiten Doppelkontaktrelais (69, 71) in seinem geschlossenen Relaiszustand ist, und
Überwachen, ob die Feedbackkontakte (85, 87) der beiden Doppelkontaktrelais (69, 71) stets einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben.
12. Verfahren nach Anspruch 11, wobei für einen Fall, dass die Feedbackkontakte (85, 87) der beiden Doppelkontaktrelais (69, 71) nicht einen dem aktuell angesteuerten Relaiszustand angebenden Relaiszustand angeben, die beiden Kontroller (89, 91) Steuerspannungen derart generieren, dass sowohl das erste als auch das zweite
Doppelkontaktrelais (69, 71) in ihren geöffneten Relaiszustand geschaltet werden.
13. Verfahren nach einem der vorangehenden Ansprüche 11 bis 12, wobei jeder der beiden Kontroller (89, 91) die Feedbackkontakte (85, 87) jedes der beiden
Doppelkontaktrelais (69, 71) überwacht.
14. Verfahren nach einem der vorangehenden Ansprüche 11 bis 13, wobei das Verfahren vor, während oder nach jeder einzelnen Fahrt der Personentransportanlage (1) durchgeführt wird.
EP18779406.0A 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben Active EP3704048B1 (de)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP17199318 2017-10-31
PCT/EP2018/077190 WO2019086205A1 (de) 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben

Publications (2)

Publication Number Publication Date
EP3704048A1 true EP3704048A1 (de) 2020-09-09
EP3704048B1 EP3704048B1 (de) 2021-12-01

Family

ID=60201420

Family Applications (1)

Application Number Title Priority Date Filing Date
EP18779406.0A Active EP3704048B1 (de) 2017-10-31 2018-10-05 Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben

Country Status (4)

Country Link
US (1) US11618648B2 (de)
EP (1) EP3704048B1 (de)
CN (1) CN111295350B (de)
WO (1) WO2019086205A1 (de)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021197811A1 (de) * 2020-03-31 2021-10-07 Inventio Ag Sicherheitsüberwachungsvorrichtung und verfahren zum sicherheitsüberwachen einer aufzuganlage
US20220242692A1 (en) * 2021-02-01 2022-08-04 Otis Elevator Company Elevator switch monitoring device

Family Cites Families (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ATE99264T1 (de) 1988-08-23 1994-01-15 Inventio Ag Verfahren und vorrichtung fuer die erzeugung einer schachtinformation bei aufzuegen.
ES2077759T3 (es) * 1990-10-31 1995-12-01 Inventio Ag Barrera de luz de horquilla de doble canal con una construccion "failsafe".
DE19849238C1 (de) 1998-10-26 2000-03-09 O & K Rolltreppen Gmbh Verfahren zur Abschaltung von Personenförderanlagen sowie Sicherheitskreis für Personenförderanlagen
US6173814B1 (en) 1999-03-04 2001-01-16 Otis Elevator Company Electronic safety system for elevators having a dual redundant safety bus
SG85215A1 (en) 1999-10-08 2001-12-19 Inventio Ag Safety circuit for an elevator installation
FI125141B (fi) * 2007-01-03 2015-06-15 Kone Corp Hissin turvalaite
ES2424029T3 (es) * 2008-12-23 2013-09-26 Inventio Ag Instalación de elevador
NZ599051A (en) * 2009-10-26 2014-02-28 Inventio Ag Safety circuit in an elevator system
JP2011195205A (ja) 2010-03-17 2011-10-06 Toshiba Elevator Co Ltd エレベータの安全回路
TWI622548B (zh) * 2012-12-13 2018-05-01 伊文修股份有限公司 用於人員輸送設備的監視裝置、人員輸送設備、以及用於監視人員輸送設備之方法
CN105189292B (zh) * 2013-02-12 2017-03-29 因温特奥股份公司 应用交流电压的安全电路监控器
CN105829232B (zh) * 2013-12-18 2017-12-08 因温特奥股份公司 用于电梯设备的安全系统
EP2886501A1 (de) * 2013-12-18 2015-06-24 Inventio AG Aufzug mit einem Absolutpositionierungssystem für eine Doppeldeckerkabine
CN107428498B (zh) * 2015-04-01 2022-01-14 通力股份公司 制动控制设备和控制电梯制动器的方法
WO2017008849A1 (en) 2015-07-15 2017-01-19 Otis Elevator Company Elevator control system
CN105384018A (zh) * 2015-11-25 2016-03-09 苏州汾湖电梯科技有限公司 一种家用电梯门双触点检测系统

Also Published As

Publication number Publication date
US20200346893A1 (en) 2020-11-05
CN111295350A (zh) 2020-06-16
EP3704048B1 (de) 2021-12-01
WO2019086205A1 (de) 2019-05-09
CN111295350B (zh) 2021-10-08
US11618648B2 (en) 2023-04-04

Similar Documents

Publication Publication Date Title
EP2493802B1 (de) Sicherheitskreis in einer aufzugsanlage
DE3614979C3 (de) Sicherheitssystem für eine Druckmaschine
EP3233694B1 (de) Sicherheitsschaltung für eine aufzugsanlage
EP1423326B1 (de) Situationsabhängige reaktion im falle einer störung im bereich einer türe eines aufzugsystems
DE102011002481A1 (de) Steuerungssystem
EP2845072B1 (de) Schaltgerät
EP3793925B1 (de) Inspektionssteuerungssystem einer aufzugsanlage sowie verfahren zum umschalten einer aufzugsanlage zwischen einem normal- und einem inspektionsbetrieb
EP2160349B1 (de) Anordnung, modul und verfahren zum sicheren betreiben einer anlage
DE102005014804A1 (de) Bordnetzsystem für ein Kraftfahrzeug sowie Steuergerät und intelligentes Energieversorgungsgerät für ein Bordnetzsystem eines Kraftfahrzeugs
WO2020002157A1 (de) Sicherheitsschaltsystem und verfahren zum umschalten einer aufzugsanlage zwischen einem normal- und einem inspektionsbetriebsmodus
EP3704048B1 (de) Sicherheitsüberwachungsvorrichtung zum überwachen von sicherheitsrelevanten zuständen in einer personenförderanlage sowie verfahren zum betreiben derselben
EP3191357B1 (de) Förderanlage mit sicherheitsfunktion
DE102016214419A1 (de) Sanftstarter, Betriebsverfahren und Schaltsystem
EP3730440A1 (de) Steuereinrichtung zum steuern eines betriebs einer personentransportanlage
DE102004050647A1 (de) Überwachungsverfahren für eine Antriebseinrichtung auf Stillstand, hiermit korrespondierende Überwachungseinrichtung und hiermit korrespondierendes Antriebssystem
EP3798176B1 (de) Verfahren und vorrichtung zur überwachung einer elektromagnetischen bremse
DE112016006794B4 (de) Aufzugtür-umgehungsvorrichtung
DE102012012047A1 (de) Antriebsregler und Verfahren zur Stillsetzung einer Achse
EP3617114A1 (de) Verfahren und überwachungsvorrichtung zum überwachen einer sicherheitskettenschaltung in einer aufzuganlage
EP1323661B1 (de) Verfahren zum Anhalten einer Personenfördereinrichtung
EP2463223A1 (de) Vorrichtung und Verfahren zur Kontrolle der Anhalteposition einer Aufzugkabine
EP3112966A1 (de) Sicherheitsschalter für eine elektrische anlage, insbesondere für eine sicherheitskette einer aufzuganlage
WO2021197811A1 (de) Sicherheitsüberwachungsvorrichtung und verfahren zum sicherheitsüberwachen einer aufzuganlage
CH700350B1 (de) Überwachungseinrichtung einer Aufzugsanlage.
WO2022058276A1 (de) Sicherheitsvorrichtung zum steuern sicherheitsrelevanter ucm- und udm-funktionen in einer aufzuganlage

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: UNKNOWN

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20200312

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
GRAP Despatch of communication of intention to grant a patent

Free format text: ORIGINAL CODE: EPIDOSNIGR1

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: GRANT OF PATENT IS INTENDED

INTG Intention to grant announced

Effective date: 20210719

GRAS Grant fee paid

Free format text: ORIGINAL CODE: EPIDOSNIGR3

GRAA (expected) grant

Free format text: ORIGINAL CODE: 0009210

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE PATENT HAS BEEN GRANTED

AK Designated contracting states

Kind code of ref document: B1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

REG Reference to a national code

Ref country code: GB

Ref legal event code: FG4D

Free format text: NOT ENGLISH

REG Reference to a national code

Ref country code: AT

Ref legal event code: REF

Ref document number: 1451596

Country of ref document: AT

Kind code of ref document: T

Effective date: 20211215

Ref country code: CH

Ref legal event code: EP

REG Reference to a national code

Ref country code: IE

Ref legal event code: FG4D

Free format text: LANGUAGE OF EP DOCUMENT: GERMAN

REG Reference to a national code

Ref country code: DE

Ref legal event code: R096

Ref document number: 502018008051

Country of ref document: DE

REG Reference to a national code

Ref country code: LT

Ref legal event code: MG9D

REG Reference to a national code

Ref country code: NL

Ref legal event code: MP

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: RS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: LT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: FI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: BG

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220301

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: PL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: NO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220301

Ref country code: LV

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: HR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: GR

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220302

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: NL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SM

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: SK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: RO

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: PT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220401

Ref country code: ES

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: EE

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: CZ

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

REG Reference to a national code

Ref country code: DE

Ref legal event code: R097

Ref document number: 502018008051

Country of ref document: DE

RAP4 Party data changed (patent owner data changed or rights of a patent transferred)

Owner name: INVENTIO AG

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IS

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20220401

PLBE No opposition filed within time limit

Free format text: ORIGINAL CODE: 0009261

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: NO OPPOSITION FILED WITHIN TIME LIMIT

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: DK

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: AL

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

26N No opposition filed

Effective date: 20220902

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: SI

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: MC

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

Ref country code: IT

Free format text: LAPSE BECAUSE OF FAILURE TO SUBMIT A TRANSLATION OF THE DESCRIPTION OR TO PAY THE FEE WITHIN THE PRESCRIBED TIME-LIMIT

Effective date: 20211201

REG Reference to a national code

Ref country code: CH

Ref legal event code: PL

REG Reference to a national code

Ref country code: BE

Ref legal event code: MM

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LU

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221005

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: LI

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

Ref country code: CH

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: BE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221031

PG25 Lapsed in a contracting state [announced via postgrant information from national office to epo]

Ref country code: IE

Free format text: LAPSE BECAUSE OF NON-PAYMENT OF DUE FEES

Effective date: 20221005

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: GB

Payment date: 20231024

Year of fee payment: 6

PGFP Annual fee paid to national office [announced via postgrant information from national office to epo]

Ref country code: FR

Payment date: 20231026

Year of fee payment: 6

Ref country code: DE

Payment date: 20231027

Year of fee payment: 6