WO2017055420A1 - Verfahren und vorrichtung zur steuerung einer aufzugsanlage - Google Patents

Verfahren und vorrichtung zur steuerung einer aufzugsanlage Download PDF

Info

Publication number
WO2017055420A1
WO2017055420A1 PCT/EP2016/073220 EP2016073220W WO2017055420A1 WO 2017055420 A1 WO2017055420 A1 WO 2017055420A1 EP 2016073220 W EP2016073220 W EP 2016073220W WO 2017055420 A1 WO2017055420 A1 WO 2017055420A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring
monitoring module
signal
elevator
pulses
Prior art date
Application number
PCT/EP2016/073220
Other languages
English (en)
French (fr)
Inventor
Adrian KNECHT
Astrid Sonnenmoser
Ivo LUSTENBERGER
Kurt Heinz
Martin Hess
Thomas Hartmann
Original Assignee
Inventio Ag
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to US15/764,404 priority Critical patent/US10926974B2/en
Application filed by Inventio Ag filed Critical Inventio Ag
Priority to BR112018003902-0A priority patent/BR112018003902B1/pt
Priority to CN201680058009.5A priority patent/CN108137268B/zh
Priority to EP16777650.9A priority patent/EP3356273B1/de
Publication of WO2017055420A1 publication Critical patent/WO2017055420A1/de

Links

Classifications

    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0006—Monitoring devices or performance analysers
    • B66B5/0018—Devices monitoring the operating condition of the elevator system
    • B66B5/0031—Devices monitoring the operating condition of the elevator system for safety reasons
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B13/00—Doors, gates, or other apparatus controlling access to, or exit from, cages or lift well landings
    • B66B13/22—Operation of door or gate contacts
    • B—PERFORMING OPERATIONS; TRANSPORTING
    • B66—HOISTING; LIFTING; HAULING
    • B66B—ELEVATORS; ESCALATORS OR MOVING WALKWAYS
    • B66B5/00—Applications of checking, fault-correcting, or safety devices in elevators
    • B66B5/0043—Devices enhancing safety during maintenance
    • B66B5/005—Safety of maintenance personnel

Definitions

  • the invention relates to a method and a device for the secure control of an elevator installation.
  • An elevator installation normally comprises an elevator cage, an elevator shaft in which the elevator cage moves, and a drive unit for moving the elevator cage.
  • elevator installations have a safety circuit in which a plurality of safety elements, such as e.g. Safety contacts and switches are arranged in a series circuit. For example, the contacts monitor whether a landing door or the car door is open. The elevator car can only be moved when the
  • Safety circuit and thus all safety contacts integrated in it are closed. Some of the security elements are operated by the doors. Other security elements, such as an override switch, are actuated or triggered by the elevator car.
  • the safety circuit is connected to the drive or the brake unit of an elevator installation
  • WO2003008316A1 describes that today's elevator systems are designed for safety reasons that a shelter in the form of a pit is provided at the shaft floor to ensure that maintenance personnel in the shaft is not endangered when the elevator car moves to the lowest position in the shaft.
  • shaft head - usually a
  • An elevator system with a shelter at the lower and upper shaft ends is several meters longer than the actual floor height of the building, which is served by the elevator. This applies to the most diverse types of elevator dispositions, such as e.g. Rope lifts, hydraulic lifts, linear motor lifts.
  • the in the WO2003008316A1 discloses in addition and independent of the usual sensors and control means, which are provided for the normal operation of the elevator installation, a detection device which detects whether a person is in a critical zone of the shaft, in particular within the shaft pit or the shaft head , The detection can be done by means of any sensors, such as photoelectric sensors.
  • Detection device is connected to the drive unit of the elevator system such that the elevator system can be converted into a special operating state, if a person is in the critical zone or is about to get into it.
  • the detection device and the special control device are safety-relevant designed to prevent in all circumstances, the retraction of the elevator car in the critical zone, if a person is located therein.
  • safety-relevant design requires important components to be redundant, important functions of
  • WO2013 / 045271A1 describes a device for the secure control of a
  • the device has two counting devices, by means of which
  • a counting device is only active when the power supply is intact.
  • the other counting device is designed to be energy self-sufficient and is thus active in intact, so even with failed power supply. On the basis of the counts of the two counting devices can be determined whether the shaft door was opened when the power supply failed.
  • the self-powered counting device has a permanent magnet and an induction unit, which allow the operation of the counting device without the use of a battery.
  • WO2014 / 124779A1 also describes a device for the secure control of an elevator installation.
  • the device has an interrogator and a safety switch for monitoring a door lock of a hoistway door of the elevator system.
  • Polling unit can be used in case of power failure of an independent
  • Power supply device for example, be supplied in the form of a battery.
  • the present invention is therefore based on the object to overcome the disadvantages of the prior art and to provide an improved method and an improved device for secure control of an elevator installation.
  • the method according to the invention and the device according to the invention should be able to be carried out by a service technician, in particular with as little maintenance as possible or be operable.
  • the inventive method and the device in case of power outages to ensure a long-lasting monitoring of the elevator system so that it can be automatically restarted after completion of a long-lasting power failure or multiple power outages again and an inspection of the
  • Elevator installation by the maintenance staff is not required.
  • a test and maintenance of the device should be necessary as rarely as possible.
  • the method and the device serve for the secure control of an elevator installation, which comprises a drive unit, by means of which one arranged in an elevator shaft
  • Elevator car is movable and which is controlled by a control device so controlled
  • Elevator shaft can be moved, where doors are provided, which are controlled by the control device and of which at least one associated with a door lock, by means of which the associated door can be unlocked and opened even in the event of a power failure; and
  • At least one of the doors is associated with a monitoring unit and a monitoring sensor, by means of which state changes, such as the unlocking or the opening of the door, are detected.
  • the monitoring unit is associated with a monitoring unit and a monitoring sensor, by means of which state changes, such as the unlocking or the opening of the door, are detected.
  • a) is equipped with a battery and in full or partial
  • Monitoring units read the registered state data and evaluated and prevents the transfer of the elevator system in the normal operation, if one
  • the monitoring sensor is a switching contact coupled to the associated door lock, via which a monitoring signal is transmitted from an output to an input of the monitoring unit, which monitors the transmitted monitoring signal for changes in state that occur when the door lock is actuated.
  • the output may also be referred to as a so-called output port and the input as a so-called input port of the monitoring unit. If the switching contact is opened, the transmission of the monitoring signal is interrupted and detects the opening of the switching contact in the monitoring unit. This signal change or state change is registered in the monitoring unit.
  • Status data can be stored in the monitoring unit and provided for evaluation by the security unit or evaluated in the monitoring unit, so that the monitoring unit after termination of power failure already transmits the result of the monitoring, the presence or absence of a person in the elevator shaft to the central security unit.
  • the monitoring signal is implemented as a sequence of pulses.
  • the transmission of a train of pulses requires much less energy than one
  • the battery is less loaded compared to the transmission of a continuous direct current or alternating current. It is particularly advantageous if the monitoring signal is transmitted as a sequence of pulses having a relatively large time interval from each other.
  • the battery Due to the low load on the battery due to the pulsed monitoring signal, the battery achieves a long service life, which allows a rare check of its state of charge and a rare battery change. Thus, the cost of testing and maintenance of the monitoring unit is very low.
  • the monitoring signal is implemented as a sequence of identical pulses or as a series of different pulses with a predetermined desired shape.
  • the desired shapes differ, for example, in the pulse position, the pulse shape, the pulse amplitude and / or the pulse width.
  • the invention used in various types of elevator dispositions e.g. Cable lifts, hydraulic lifts, linear motor lifts can be used to safely monitor the access of a person in the elevator shaft and to prevent the transition of the elevator system to normal operation, if an event was detected indicating that a person may be has reached the elevator shaft.
  • State change is detected or detected by the fuse unit, this is signaled to a control computer, for example.
  • the control unit can intervene directly in the elevator system and, for example, interrupt the power supply or the drive unit out of service put.
  • the security unit may for example be integrated as a software module in the control computer or be designed as a separate module that interacts with the control computer or other parts of the elevator system.
  • the elements for monitoring and secure control of the elevator installation can therefore be integrated into the further elements for controlling the elevator installation or be realized independently thereof.
  • Lift system can be put into operation.
  • sensors may alternatively be provided, which the
  • sensors must be provided in such a way that the person can be reliably detected at any point on the hoistway. The detection should also be secured if the sensors are dirty or have abnormal conditions, e.g. Smoke development, within the
  • the problem is comparatively simple and very safe
  • an opening of the door or an actuation of the door lock is detected.
  • different monitoring sensors or sensors can be used, such as motion sensors, pressure sensors, optical sensors, capacitance sensors that detect a mutual displacement of metal elements of the door, or motors that are operated as a generator during a manual movement of a door.
  • monitoring sensors which do not require power supply, such as switching elements, which are actuated by an element of the door or the lock.
  • the monitoring unit Since no power supply from the local network takes place after the elevator system has been shut down, the monitoring unit is equipped with a battery and designed such that it can automatically be switched to autonomous operation when the elevator installation is shut down.
  • a relay is provided which is activated by power from the mains - - is and connects the circuit of the monitoring unit with an operating voltage. Once the power fails, the relay is deactivated and goes into a sleep state, in which the battery is connected to the circuit of the monitoring units.
  • the elevator installation can therefore be permanently, i. during normal operation and also after shutdown to determine whether a door or the lock has been actuated. Of primary importance is the
  • monitoring of the elevator installation during a power failure since other means can be used during normal operation.
  • the monitoring data can be read out of the monitoring units.
  • each of the monitoring units is connected to at least one monitoring sensor and monitors its state during autonomous operation and registers corresponding status data.
  • all doors are monitored that could be expected to be opened during a power outage
  • Elevator shaft to arrive.
  • each door is monitored, the one
  • Power failure can be unlocked and opened.
  • a combination of monitoring unit and monitoring sensor can be arranged on each door. Alternatively, it is possible that at the individual doors only one
  • Monitoring sensor is arranged and several monitoring sensors of one
  • Monitoring unit to be monitored. In this case, only a single battery is necessary.
  • the monitoring sensors can be connected in particular for this purpose in series. In the event that a monitoring unit monitors several monitoring sensors, a particularly cost-effective implementation of the method is possible, since not every door has its own monitoring unit with a battery.
  • the state data collected in the monitoring units are read out by the fuse unit.
  • the fuse unit Preferably, the
  • the monitoring units For the time being, the monitoring units have switched from battery operation to mains operation. After evaluation of the data transmitted by the monitoring units, the decision is made
  • Elevator shaft has arrived and prevents the transition to normal operation. Instead, a fault message is transmitted automatically via a wired or wireless transmission channel, preferably locally to an output unit, a loudspeaker and / or a display of the elevator installation, or decentralized to a maintenance service, which subsequently checks the elevator installation and puts it back into operation. - -
  • the elevator system is automatically returned to normal operation. Maintenance personnel are not needed in this case.
  • the elevator system can automatically be put back into normal operation after completion of the power failure without a time delay.
  • the monitoring unit comprises a first
  • processor-controlled monitoring module which transmits the monitoring signal to a
  • the monitoring unit comprises a first processor-controlled monitoring module which transmits the monitoring signal to a
  • Receiving levels from each other ensures that errors that occur in one monitoring module, have no direct impact on the other monitoring module. This ensures a particularly safe operation of the elevator system.
  • the two monitoring modules can also be provided with operating software in such a way that they emit the monitoring signal alternately from their output port to the switching contact or receive it at their input port.
  • the monitoring modules can be fully utilized and tested, so that a change of state can determine at which point of the transmission path a change of state or a transmission error was caused. If, for example, the transmission in one direction is possible and interrupted in the other direction, so can an error - - be closed in one of the transmission modules.
  • Monitoring module emitted monitoring signal on the one hand via the switching contact a first input port of the second monitoring module and on the other hand fed directly to a second input port of the second monitoring module.
  • Monitoring module is thus supplied via the switch contact the actual value and directly the target value of the transmitted monitoring signal. By comparing actual value and setpoint value, a change in state can already be detected.
  • the monitoring signal applied to the second input port may also be used to activate the second monitoring module, as will be described below.
  • Monitoring module emitted monitoring signal on the one hand via the switching contact a first input port of the second monitoring module and an input port of the first monitoring module and on the other hand fed directly to a second input port of the second monitoring module.
  • This embodiment is particularly advantageous since it allows the first monitoring module to change the monitoring signal as a function of a change of state that has occurred and to carry out a quicker and / or more in-depth examination.
  • this solution is particularly advantageous, as will be explained below.
  • the spacing of the pulses or the pulse repetition frequency and possibly also the pulse width of the monitoring signal are preferably chosen such that the security for detecting a change in state is sufficient and at the same time the monitoring activity and thus the energy consumption of the monitoring modules is reduced to a minimum.
  • the pulse width of the transmitted pulses is preferably chosen such that the second monitoring module by a transmitted pulse from the idle state in the
  • Operating state can be offset and can detect the arrival of this pulse after reaching the operating state. In this way, the monitoring modules between two pulses can be put into a sleep state in which essential circuit parts are switched off and thus require little energy from the battery.
  • pulses or groups of pulses are transmitted at a time interval within which at least one of the monitoring modules is put into a power-saving mode or idle state when a first event occurs and into an operating mode or operating state when a second event occurs.
  • the first event is preferably determined by the completion of the process of registering state changes of the transmitted supervisory signal or by expiration of a timer.
  • the second event is determined by the arrival of a transmitted pulse of the monitoring signal or by the expiration of a timer.
  • the preferably constant distance between the pulses or between the groups of pulses of the monitoring signal is preferably in the range between 0.15 s and 1.5 s, in particular 0.35 s.
  • the safe monitoring of the elevator doors can be ensured and at the same time the energy requirement can be reduced to a minimum. Taking into account the circumstances, larger time intervals can be chosen to save even more energy.
  • the first and / or the second monitoring module each have at least one register for the storage of status data, in which the number t of the transmitted pulses and the number r of the received pulses are stored.
  • the difference between the stored number t of the transmitted pulses and the stored number r of the received pulses can be formed during the power failure in one of the monitoring modules or after completion of the power failure in the fuse unit to detect any change of state that may have occurred. Furthermore, the failure of expected pulses can also be detected and stored.
  • the monitoring of the elevator system can be influenced by various factors. Of primary importance is the normal occurrence of a change of state by operating an elevator door. Furthermore, the monitoring signal can be changed by interference signals, after which erroneous measurement results can occur. Furthermore, malfunctions can occur within the monitoring units. In addition, an insufficient
  • Power supply or operating voltage affect the measurement.
  • means and measures are provided which allow to counteract preferably all these effects.
  • noise may occur, e.g. caused by the commissioning of emergency generators or by the bouncing of switches.
  • the transmitted monitoring signal is therefore filtered, in particular to eliminate high-frequency interference. - -
  • a filter program is preferably implemented, which filters the monitoring signal and is preferably designed as a low-pass filter or median filter.
  • the median filter determines whether, over a period of time, a fixed number of received pulses is greater than half the number of transmitted pulses. The time duration therefore results from the fixed number of pulses multiplied by the period of the pulse repetition frequency. By changing the stated number of pulses and the resulting time duration, the cutoff frequency of the filter can be shifted.
  • a change of state e.g. the absence of a pulse
  • a time delay until the state change is signaled at the output of the filter.
  • delays may occur, which are undesirably large. If short distances between the pulses are selected, however, the energy requirement increases.
  • the monitoring signal transmitted via the switching contact to be tested is preferably fed back to the first monitoring module unfiltered.
  • the transmitted pulse sequence is monitored and the pulse repetition frequency is increased as soon as the change of a pulse is detected. If an irregularity occurs, the monitoring activity is thus intensified and the time duration within which the specified number of pulses in the filter is processed is shortened. The time delay until the time at which the filter reports the change of state can therefore be reduced by the factor by which the
  • Pulsrepetitionsfrequenz is increased at least for a short time.
  • Changes in the generation, transmission, reception and processing of the transmission signal can not only by interference signals, but also by
  • Circuit elements of the monitoring modules are caused that do not work correctly. To ensure perfect monitoring of the switching contact, it is therefore important to be able to detect malfunctions of the monitoring units.
  • Formation of the monitoring signal can be specified by the fuse unit or permanently stored in the first or second monitoring module or also chosen at random.
  • the fuse unit and / or at least one of the monitoring modules subsequently compares the monitoring signal transmitted via the switching contact with the monitoring signal not transmitted via the switching contact or a predetermined desired form of the transmitted monitoring signal and registers deviations indicating the presence of a corresponding functional error.
  • the first monitoring module sends pulses of different shapes each in a certain number.
  • the second monitoring module determines in the sequence whether the pulses arrive in the relevant shape and number.
  • the tests can be performed autonomously by the two monitoring modules during autonomous operation or during the
  • the proper power supply of the monitoring modules is e.g. After a prolonged power failure no longer provides the required voltage and energy, the function of the monitoring units is questioned. During the autonomous operation of the monitoring modules, therefore, it is preferably checked whether the voltage delivered by the battery falls below a threshold value and / or whether a brownout occurs in one of the monitoring modules, i. individual circuit parts fail due to insufficient operating voltage. In case of an event, i. in case of failure of
  • said tests can also be carried out during normal operation.
  • a power failure is periodically simulated for the monitoring units.
  • the monitoring units during the normal operation of the elevator system by the fuse unit periodically in the
  • Monitoring units in battery operation and monitored for operating voltages or the presence of a brownout can be carried out, in which the monitoring signal or the monitoring pulses are changed and the received monitoring signal is checked. Furthermore, the state of the switch contacts can be checked. For example, test programs - - Stored and periodically called by means of which the registers, timers, converters and amplifiers are also checked during normal operation of the elevator system.
  • the fuse unit reads the registered status data from all
  • an elevator installation 3 according to the invention with a drive unit 38, by means of which an elevator car 36 arranged in an elevator shaft 35 can be moved between two elevator doors 30A, 3OB and with a control device 100 which has a safety unit 1 for monitoring the elevator installation 3
  • the first monitoring unit 10A of Fig. 1 which is a processor-controlled
  • Monitor module 15 which transmits a monitor signal STX from an output port op via a switch contact 11A associated with the door latch 31A of the first elevator door 30a to an input port ip; - -
  • FIG. 2b shows a monitoring signal STXI output at the output port op as a pulse sequence with an exemplary selected duty cycle of 50%;
  • FIG. 2c shows a monitoring signal STX2 delivered at the output port op as a pulse sequence with a pulse duty factor of approximately 7% and a period duration T increased by a factor of 7;
  • FIG. 2d shows the monitoring signal SRX2 arriving at the input port ip into which an interference pulse n has been impressed during the transmission via the switching contact 11A;
  • Fig. 3a the first monitoring unit of Fig. 2a with the first monitoring module
  • Fig. 3b the monitoring signal STX of Figure 3a as a pulse train with a duty cycle of 50% before transmission via the switching contact 11 A.
  • Switching contact I IA which has been opened during the duration of two pulses which have not been registered in the register 161 of the second monitoring module 16;
  • FIG. 4a shows the first monitoring unit of Fig. 3a with the first monitoring module
  • FIG. 4b shows the output at the output port op of the first monitoring module 15
  • FIG. 5a shows the first monitoring unit of FIG. 4a, in which the monitoring signal STX of FIG. 4a is additionally supplied via the switching contact I IA to an input port ip of the first monitoring module 15;
  • the monitoring signal STX of Fig. 5a as a pulse train with a duty cycle of about 7% before transmission via the switching contact I IA with an additionally impressed auxiliary pulse PAUX, which is additionally issued by the first monitoring module 15 after failure of an expected pulse of the transmitted monitoring signal SRX has been; - -
  • Fig. 6a is a diagram showing the transmitted monitoring signal STX2 of Fig. 2c, with the transmitted and provided with a glitch n monitoring signal SRX2 of Fig. 2d, with schematically shown filter measures and with the filtered monitoring signal SRXF, compared to the received
  • Monitoring signal SRX2 is shifted by more than two sampling cycles
  • 6b shows a diagram with the transmitted monitoring signal STX from FIG. 3b, with the transmitted monitoring signal SRX missing three pulses, with schematically shown filter measures and with the filtered monitoring signal SRXF, which is shifted from the received monitoring signal SRX by two sampling cycles;
  • 6c shows a diagram with the transmitted monitoring signal STX of FIG. 5b, in which, after one pulse has failed, the pulse repetition frequency has been doubled, with the transmitted monitoring signal SRX, which lacks three pulses, with schematically shown filter measures and with the filtered monitoring signal SRXF, opposite to FIG the received monitoring signal SRX has been shifted by two sampling cycles, but whose period has been halved;
  • Fig. 7 is a diagram with two waveforms to be transmitted
  • FIG. 8 shows a diagram with a signal curve of a monitoring signal STX generated in the first monitoring module 15, with three different variants A, B, C of pulses having different pulse widths, and the signal curve of the monitoring signal SRX received in the second monitoring module 16, in which three are hatched shown pulses of variants A and C are not included or not correctly.
  • FIG. 1 shows an elevator installation 3 according to the invention with a drive unit 38, by means of which an elevator car 36 arranged in an elevator shaft 35 can be moved between two elevator doors 30A, 30B.
  • the elevator installation 3, which is fed by a central power supply unit 2, is equipped with a control device 100 by means of which the elevator installation 3, in particular the drive unit 38, can be controlled.
  • the control device 100 includes for - -
  • a security unit 1 which is connected or connectable to monitoring units 10A, 10B, by means of which a respective latch 31A, 31B of an associated elevator door 30A, 30B can be monitored.
  • the fuse unit 1 is an independent in the present embodiment
  • the fuse unit 1 can also be integrated into the system computer 1000 as a software module or hardware module.
  • the securing unit 1 can, as shown in Fig. 1, engage directly in the elevator installation 3 and e.g. control the power supply 2 or the drive unit 38 or off.
  • the security unit 1 can only be connected to the system computer 1000, which in turn executes the secure control of the elevator installation 3 taking into account the state data determined according to the invention.
  • the security unit 1 and / or the system computer 1000 may also be wireless or wired to external computer units, e.g. be connected to a host computer.
  • the monitoring sensors I IA, 11 B are designed as switching contacts, each mechanically coupled to a door lock 31 A, 31 B, which can be operated by the maintenance personnel by means of a tool, as shown in Fig. 1 for the switching contact I IB , During a power failure or a shutdown of the power supply, the maintenance personnel can thus actuate a door lock 31 A, 31 B, manually open an elevator door 30 A, 3 OB and enter the elevator shaft 35.
  • Fig. 1 shows that after a power failure, the lower elevator door 31B was opened and a service technician entered the hoistway 35 to test an electrical installation 8 which might have caused the power failure.
  • the maintenance technician stands on the shaft floor in a shaft pit, which has only a small depth.
  • the elevator system 3 must not be operated. In the upper floor, a building occupant moves toward the first elevator door 30A, behind which the elevator car 36 stands. If the elevator system 3 at this moment again supplied with power and in the
  • Normal operation is set, the building occupant can enter the elevator car 36 and put into motion. This is prevented by the switching contacts I IA; I IB to be monitored and the transition to normal operation is prevented if one of the switching contacts I IA, I IB was actuated. So that this monitoring can also be performed after a power failure, the monitoring units 10A; 10B equipped with a battery 14 and in complete or partial decommissioning of the elevator system 3 or a
  • FIG. 1 shows that the two identically formed monitoring units 10A, 10B each have one - - Have local power supply unit 12 and a battery 14, which are connectable via a controllable switching unit 13, for example, a voltage-controlled relay, with a first and optionally a second monitoring module 15, 16.
  • the switching unit 13 is supplied by the power supply unit 12 with a switching voltage us through which the
  • Switching unit 13 is activated and the power supply unit 12 with the
  • Monitoring modules 15, 16 connects. In the event of a power failure, the switching voltage us disappears and the switching unit 13 falls back into the rest position, in which the battery 14 is connected to the monitoring modules 15, 16.
  • the first monitoring module 15 In each of the monitoring units 10A, 10B, the first monitoring module 15 generates a monitoring signal, which is transmitted via an output of the monitoring unit 10A; 1 OB and the associated switching contact I IA, I IB back to an input of the monitoring unit 10A; 10B and in the first or second monitoring module 15; 16 is evaluated.
  • the monitoring sensors or the switching contacts I IA, I IB are therefore monitored to a
  • Power supply unit 2 is powered again.
  • Power units 12 in the monitoring units is again a
  • the state data collected in the monitoring units 10A, 10B or status messages already derived therefrom can subsequently be retrieved by the security unit 1 and further processed.
  • the security unit 1 will determine on the basis of the status data from the second monitoring unit 1 OB that the associated door lock 31B has been actuated and possibly a person in the
  • the fuse unit 1 therefore prevents the commissioning of the elevator system 3 by a direct intervention in the elevator system 3, as illustrated in Fig. 1 with shutdown of the power supply 2 or shutdown of the drive unit 38, or by notification to a higher-level computer or the system computer 1000, which in turn prevents the commissioning of the elevator system 3.
  • monitoring unit 10A, 10B for each elevator door 30A, 3B as in FIG. 1, it is also possible to provide only a single monitoring unit, which has several, - - Each associated with an elevator door associated switch contacts. The switching contacts are connected in series in this case, so that the monitoring unit detects when one of the two switching contacts is opened. In this case, only a single battery for supplying the monitoring unit is necessary.
  • the design of the monitoring units 10A, 10B will be described below in various preferred embodiments, in which the safety of the monitoring, the functioning of the monitoring device and in particular the energy saving for the discharge of the battery 14 is given special weight.
  • FIG. 2 a shows the first monitoring unit 10 A of FIG. 1, which has only one processor-controlled first monitoring module 15, which has a monitoring signal STX of one
  • the monitoring module 15 is e.g. a microcontroller with the lowest power consumption in the operating state (preferably ⁇ 100 ⁇ ) and in the idle state (preferably ⁇ 500nA), short delay times in the transition from the idle state to the operating state (preferably ⁇ 1 ⁇ 8); and all the essential functions for signal processing. For example, becomes a
  • the monitoring module 15 shown in FIG. 2a is a microcontroller with a CPU 150, one or more registers 151, a random access memory 152, an optionally provided digital / analog converter 153, at least one output module 154, a
  • Interface module 155 a watchdog timer 156, at least one additional timer Tl, an analog / digital converter 158 and at least one input module 159.
  • the individual modules are connected via a system bus with each other and via the interface module 155 with the fuse unit 1 or connectable.
  • the second monitoring module 16 of FIG. 1 is preferably identical to the first monitoring module 15, but provided with correspondingly adapted software.
  • both monitoring modules 15, 16 are provided with test circuits or brownout circuits, by means of which it can be determined whether the operating voltage, in particular the voltage of the battery 14, has fallen below a predetermined value and / or whether individual circuit parts are supplied only insufficiently with energy after which it is registered accordingly.
  • the monitoring module 15 is reset after the presence of an insufficient operating voltage in the initial state in which the - -
  • an operating program BP and a filter program FP are stored in the memory 152.
  • a monitoring signal STX which is generated in the monitoring module 15, can be transmitted via the switching contact 11A to an input port ip of the monitoring module 15.
  • the state of the switching unit 13 shows that the power has failed and the
  • Monitoring module 15 is powered by the battery 14.
  • FIG. 2b shows by way of example a monitoring signal STXI output at the output port op as a pulse sequence with a duty cycle of 50%. A comparison of the output at the output port op monitoring signal STX with that received at the input port
  • Monitoring signal SRX indicates whether the switching contact I IA has been opened during the transmission. If some of the pulses are not transmitted, then a change of state of the switching contact I IA and thus a possible opening of the elevator door 30A is registered and reported. For example, For example, the number of transmitted pulses and the number of received pulses are stored in the register 151 and compared with each other before starting the elevator system 3 to detect a door opening.
  • FIG. 2 c shows a monitoring signal STX 2 of FIG. 2 a delivered at the output port op as a pulse sequence with a pulse duty factor of approximately 7% and a factor of 7 higher
  • the monitoring module 15 can be placed in a sleep state, in which the power consumption is minimal and only circuit parts are required, which are required for the transition from the idle state to the operating state. For example, External stimuli or wake-up signals are monitored.
  • a sleep state in which the power consumption is minimal and only circuit parts are required, which are required for the transition from the idle state to the operating state. For example, External stimuli or wake-up signals are monitored.
  • Wake-up signal also within the monitoring module 15 e.g. be generated by a timer 156, 157.
  • FIG. 2d shows the monitoring signal SRX2 arriving at the input port ip, into which an interference pulse n has been impressed during the transmission via the switching contact 11A. Disruptions of this kind can affect the monitoring and are preferably filtered out.
  • the filter program FP is implemented in the monitoring module 15, which will be described below in a preferred embodiment.
  • FIG. 3a shows the first monitoring unit of FIG. 2a with the first monitoring module 15, which transmits a monitoring signal STX from the output port op via the switching contact 11A to the input port ip of a second processor-controlled monitoring module 16.
  • Monitoring modules 15, 16 are powered by the battery 14. In the first
  • Monitoring module 15 the number of transmitted pulses is registered in the register 151.
  • the number of received pulses is registered in a register 161.
  • Fig. 3b shows the monitoring signal STX of Fig. 3a as a pulse train with a duty cycle of 50% before transmission via the switching contact 11 A.
  • Fig. 3c shows the monitoring signal SRX of Fig. 3b after transmission via the
  • Switching contact I IA are detected.
  • the comparison of the contents of the registers 151, 161 can be made in one of the monitoring modules 15, 16 in a local comparator 17 or centrally in the fuse unit 1, which extracts all register contents from the
  • Monitoring units 10A, 10B reads.
  • Fig. 4a shows the first monitoring unit 10A of Fig. 3a with the first
  • Monitoring module 15 whose output port op on the one hand via the switching contact 11A with a first input port ipl of the second monitoring module 16 and on the other hand is directly connected to a second input port ip2 of the second monitoring module 16.
  • the pulses transmitted directly to the second input port ip2 can be used as reference signals or as wake-up signals. When used as a reference signal can
  • the incoming at the input port ip2 monitoring signal STX can also as
  • Wake-up signal are used, after the arrival of the second monitoring module 16 is in each case set from the idle state to the operating state. So that the over the
  • the pulse width must be greater than the wake-up duration of the second monitoring module 16 of e.g. 1 ⁇ . For example, a pulse width of 25 ⁇ 8 is selected, which makes it possible to reliably detect the incoming pulses.
  • a wake-up signal can also be generated internally in the monitoring modules 15, 16 and synchronized with the monitoring signal STX.
  • a timer e.g. the watchdog 156, the period of the monitoring signal STX count and the respective monitoring module 15 or 16 when reaching the maximum
  • FIG. 4 b shows that output at the output port op of the first monitoring module 15
  • FIG. 4c shows the monitoring signal SRX of FIG. 4a arriving at the first input port ipl of the second monitoring module 16, which contains only the first pulse.
  • the directly to the second input port ip2 supplied monitoring signal STX can now the second
  • Monitor module 16 which determines after the transition to the operating state that the second and third pulses are missing.
  • the monitoring signal STX supplied to the second input port ip2 can also be used as a reference signal.
  • FIG. 5a shows the first monitoring unit of FIG. 4a, in which the monitoring signal STX of FIG. 4a additionally has an input port ip of the first one via the switching contact I IA
  • Monitoring module 15 is supplied.
  • the interruption of the switching contact I IA can thus be detected alternatively or simultaneously in the first and in the second monitoring module 15, 16.
  • the lack of a pulse is preferably used to change the test mode and to intensify the test.
  • the test mode is preferably changed by the user.
  • Pulsrepetitionsfrequenz at least briefly increased by a factor x, which is preferably in the range of 50 to 250. For example, a period in the range of 0.1 s - 0.5 s is changed to a period in the range of 1 ms - 5 ms.
  • a factor x which is preferably in the range of 50 to 250. For example, a period in the range of 0.1 s - 0.5 s is changed to a period in the range of 1 ms - 5 ms.
  • Fig. 5b shows the monitoring signal STX of Fig. 5a as a pulse train with a duty cycle of about 7% before transmission via the switching contact I IA with an additional
  • auxiliary pulse PAUX which was additionally delivered by the first monitoring module 15 after the absence of an expected pulse p of the transmitted monitoring signal SRX.
  • the auxiliary pulse PAUX symbolically shows that the monitoring signal is changed as needed STX, in order to carry out a quick check.
  • Fig. 5c shows the monitoring signal SRX of Fig. 5b after transmission over the
  • FIG. 6a shows a diagram with the transmitted monitoring signal STX2 from FIG. 2c and with the monitoring signal SRX2 of FIG. 2 transmitted and provided with an interference pulse n. - -
  • filter measures and the filtered monitoring signal SRXF are shown schematically, compared with the received monitoring signal SRX2 by more than two
  • Scanning cycles is shifted and from which the glitch has been removed.
  • the measurement result takes place at the output of the filter stage realized by hardware or software with a significant delay.
  • the filter program FP which is implemented in the second monitoring module 16, checks which value the plurality of sampled values have within a filter interval.
  • the filter intervals each include the last five samples.
  • the filter program FP includes e.g. a FIFO register into which the samples are read step by step. With each shift, the sum of the five values contained in the FIFO register is formed and checked as to whether their sum is above or below the mean between the values at which the FIFO register is completely filled or completely emptied; i.e. is greater or less than 2.5.
  • the determined values and the result are displayed for each filter interval.
  • the transmission to the output of the filter takes place with the delay d only after the arrival of the last sample.
  • Fig. 6a shows that the filtered monitoring signal SRXF appears with a delay d at the output of the filter stage, which corresponds approximately to twice the period of the sampling signal.
  • the sporadically occurred interference pulse n was eliminated.
  • FIG. 6b shows a diagram with the transmitted monitoring signal STX from FIG. 3b and the transmitted monitoring signal SRX, which lacks three pulses.
  • filter measures and the filtered monitoring signal SRXF are shown schematically, which is also shifted by about two sampling cycles with respect to the received monitoring signal SRX2 with a delay d1. The filtering process is carried out as described with reference to FIG. 6a.
  • FIG. 6c shows a diagram with the transmitted monitoring signal STX of FIG. 5b as well as with the transmitted monitoring signal SRX, which lacks three pulses.
  • Monitoring signal STX the pulse repetition frequency was doubled after the absence of a pulse was detected (see also the description of Fig. 5a).
  • filter measures and the filtered monitoring signal SRXF are shown schematically, which is shifted with respect to the received monitoring signal SRX with a delay d2 by two sampling cycles, whose period has been halved, however.
  • the first monitoring module 15 of FIG. 5a it was determined in the first monitoring module 15 of FIG. 5a that an expected pulse has not arrived with the transmitted monitoring signal SRX. After this event, the first monitoring module 15 changed the pulse repetition frequency - - doubled and thus halved the pulse spacing. The length of the filter intervals and the
  • Delays d can thus be arbitrarily reduced by increasing the pulse repetition frequency.
  • the first monitoring module 15 after the absence of a pulse, has been set for a short period of time in the range of e.g. ls - 10s emits a burst or a sequence of pulses whose distances are reduced by the abovementioned factor x, which is preferably in the range of 50 to 250.
  • FIG. 7 shows a diagram with two signal profiles of the monitoring signal STXI, STX2 to be transmitted and the signal profile of the transmitted monitoring signal SRX. Furthermore, the waveform wd at the output of a timer in the second monitoring module 16 and the received monitoring signal SRXF after filtering are shown. The timer corresponds e.g. to the watchdog 156 of the first monitoring module 15
  • Monitoring signal SRX can have two different causes.
  • a change in state of the switching contact I IA can take place at time t5, which is interrupted and does not forward the pulses of the first monitoring signal STXI to the input port ipl of the second monitoring module 16.
  • the monitoring signal STX2 in the first monitoring module 15 is no longer generated, so that after the time t4 no more pulses over the closed
  • Monitor module 16 arrive, this is no longer put from the idle state to the operating state.
  • the counts for the transmitted and received pulses therefore remain constant or are frozen. If the counts were frozen at identical values, this indicates the closed state of the monitored switch contact I IA, 11B, although it may have been opened by now.
  • Monitoring module 16 (which preferably has the same modules as the first
  • Monitoring module 15 generates a wake-up signal STI.
  • the wake-up signal STI is synchronized with the output from the first monitoring module 15 monitoring signal STX and has - - has the same frequency, but is advanced in phase by a fraction of the period. With the falling edge of the wake-up signal STI becomes the second
  • Monitor module 16 respectively from the idle state into the operating state to receive a pulse of the transmitted monitoring signal SRX ZU. Subsequently, the actual value of the actually arrived pulses and the target value of the expected pulses are registered, as illustrated in FIG. The difference between the 4 received and the 14 expected pulses shows that a state change has occurred in the first monitoring module 15 or at the switching contact I IA.
  • Monitoring module 15 are determined.
  • the counts of the register 161 show that pulses were sent from the first monitoring module 14, that 14 pulses were expected and that 4 pulses were transmitted via the switch contact I IA.
  • the match of 14 emitted and 14 expected pulses indicates that the first monitor module 15 is functioning properly.
  • the received and filtered monitoring signal SRXF shows the change of state of the switching contact I IA.
  • the counter readings of the registers 151, 161 are read out by the safety unit 1 after the end of the power failure from all monitoring units 10A, 10B and compared with each other.
  • the comparison shows whether the register states in one of the monitoring units 10A, 10B have frozen and an error has occurred. If the register statuses in each of the monitoring units 10A, 10B are identical but there are differences between the monitoring units 10A, 10B, a functional error can be concluded.
  • FIG. 2 a shows that the monitoring modules 15, 16 preferably have a so-called watchdog 156, which is designed as a timer or counter and which can advantageously be used for monitoring the switching contact I IA or I IB or also of the first monitoring module 15.
  • the monitoring signal STX with the pulse sequences (see, for example, FIG. 7 with the signal courses STXI and STX2) becomes the second one - -
  • Input port ip2 directly or not via the switching contact I IA or I IB of the second
  • Monitoring module 16 supplied.
  • the monitoring signal SRX transmitted via the switching contact I IA or I IB is supplied to the first input ipl of the second monitoring module 16.
  • the absence of a pulse of the first and / or the second input port ipl or ip2 supplied monitoring signals STXI or STX2 or SRX can now be monitored by a respective watchdog 156, for which a timeout or a count to is set, the regular Arrival of all pulses is never achieved.
  • Monitoring signal SRX illustrated, whose pulses on the rising edge the watchdog 156 each reset, so that it can not count up in the time-out to. At time t5, however, no pulse is transmitted via the switching contact I IA or I IB, so that the watchdog 156 is not reset and counts up in the timeout and triggers an alarm or signals a change in state. In the same way, the monitoring signal STX2 shown in FIG. 7 would cause a timeout in a second watchdog at time t5.
  • the filtered input signal SRXF is supplied to the watchdog 156. This prevents the watchdog 156 is reset by glitches and can not count in the timeout in the absence of a pulse of the monitoring signal SRX.
  • the state changes signaled by the watchdog 156 are e.g. stored in the register 151 and transmitted after completion of the power failure with the other status data to the security unit 1.
  • the history of the output of the watchdog 156 is stored and analyzed, e.g. to the duration of the interruptions of the
  • Switch contact I IA or I IB determine. Normally, it is provided that a commissioning of the elevator installation 3 is prevented even after the arrival of a timeout for a pulse. Alternatively, it can be determined that the timeout must continue for a certain number of pulses before the startup of the elevator installation 3 is prevented. For example, is distinguished by whether an irregularity in the circuit or a door opening has occurred.
  • FIG. 8 shows a diagram with a signal curve of a monitoring signal STX generated in the first monitoring module 15, with three different variants A, B, C of pulses having different pulse widths. Further, the waveform of the second
  • Monitoring module 16 received monitoring signal SRX shown in the three pulses of the variants A and C are not or not correctly contained. For each of the variants A, B and C is - - registered the number of pulses delivered in the register 151 of the first monitoring module 15. Likewise, in the register 161 of the second monitoring module 16, the number of received pulses for each of the variants A, B and C is registered.
  • the pulses may be lost or degraded throughout the transmission path.
  • the analysis of the changes allows conclusions about the type of disturbance.
  • the electronic elements of the monitoring modules 15, 16 can thus be tested in a simple manner.
  • the test can be performed sporadically or in a regular pattern by the safety unit 1 or autonomously by the
  • Monitoring modules 10A, 10B are performed.
  • the pulse amplitudes, the pulse intervals or the pulse repetition frequency can be optionally changed.
  • the backup unit 1 reads the registered state data from all connected monitoring units 1 OA, 1 OB and provided therein

Landscapes

  • Maintenance And Inspection Apparatuses For Elevators (AREA)
  • Elevator Control (AREA)

Abstract

Das Verfahren und die Vorrichtung dienen der gesicherten Steuerung einer Aufzuganlage (3), die eine Antriebseinheit (38) umfasst, mittels der eine in einem Aufzugschacht (35) angeordnete Aufzugskabine (36) verfahrbar ist und die von einer Steuervorrichtung (100) derart gesichert angesteuert wird, dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahren werden kann, an denen Türen (30A, 30B) vorgesehen sind. Die Aufzugskabine (36) wird nicht oder nur eingeschränkt verfahren, falls sich eine Person im Aufzugschacht (35) befindet. Wenigstens einer der Türen (30A, 30B) sind eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (11A; 11B) zugeordnet, mittels dessen Zustandsänderungen detektiert werden. Die Überwachungseinheit (10A; 10B) ist mit einer Batterie (14) ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umschaltbar. Sie ist mit dem Überwachungssensor (11A; 11B) verbunden und überwacht während des autonomen Betriebs den Zustand des Überwachungssensors (11A; 11B) und registriert Zustandsdaten; und ist mit einer Sicherungseinheit (1) verbunden, die aus allen angeschlossenen Überwachungseinheiten (10A; 10B) die registrierten Zustandsdaten ausliest und ausgewertet und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen (30A; 30B) detektiert wurde. Der Überwachungssensor (11A, 11B) ist ein mit dem zugehörigen Türverschluss (31A; 31B) gekoppelter Schaltkontakt, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 0B) übertragen. Erfindungsgemäss ist das Überwachungssignal als eine Folge von Pulsen ausgeführt.

Description

Verfahren und Vorrichtung zur Steuerung einer Aufzugsanlage
Die Erfindung betrifft ein Verfahren und eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage.
Eine Aufzuganlage umfasst normalerweise eine Aufzugskabine, einen Aufzugschacht, in dem sich die Aufzugskabine bewegt, und eine Antriebseinheit zum Bewegen der Aufzugskabine.
Aus der WO2005/000727A1 ist bekannt, dass Aufzugsanlagen einen Sicherheitskreis aufweisen, bei dem mehrere Sicherheitselemente, wie z.B. Sicherheitskontakte und -Schalter, in einer Serienschaltung angeordnet sind. Die Kontakte überwachen z.B., ob eine Schachttür oder die Kabinentür geöffnet ist. Die Aufzugskabine kann nur bewegt werden, wenn der
Sicherheitskreis und damit auch alle in ihm integrierten Sicherheitskontakte geschlossen sind. Einige der Sicherheitselemente werden von den Türen betätigt. Andere Sicherheitselemente, wie z.B. ein Überfahrschalter, werden durch die Aufzugskabine betätigt oder ausgelöst. Der Sicherheitskreis steht mit dem Antrieb oder der Bremseinheit einer Aufzugsanlage in
Verbindung, um den Fahrbetrieb zu unterbrechen, falls der Sicherheitskreis geöffnet wird.
Aus der WO2005/000727A1 sind ferner Aufzugsanlagen bekannt, die statt mit dem erwähnten Sicherheitskreis mit einem Sicherheitsbussystem ausgerüstet sind, das typischerweise eine Kontrolleinheit, einen Sicherheitsbus und einen oder mehrere Busknoten umfasst.
Von Bedeutung ist nicht nur die Sicherheit von Personen, die mit der Aufzugsanlage befördert werden, sondern auch die Sicherheit von Personen, die sich z.B. für Wartungszwecke im Aufzugsschacht aufhalten.
Die WO2003008316A1 beschreibt, dass heutige Aufzuganlagen aus Sicherheitsgründen so ausgelegt sind, dass am Schachtboden ein Schutzraum in Form einer Schachtgrube vorgesehen ist, um sicher zu stellen, dass Wartungspersonal im Schacht nicht gefährdet wird, wenn die Aufzugskabine in die unterste Position im Schacht fährt.
Zudem ist am oberen Ende des Schachtes - Schachtkopf genannt - normalerweise ein
Schutzraum vorgesehen, damit Wartungspersonal, das eine Wartung auf dem Dach der Kabine durchführt, nicht gefährdet wird, wenn die Kabine in die oberste Position im Schacht fährt.
Eine Aufzuganlage mit Schutzraum am unteren und am oberen Schachtende ist um einige Meter länger als die eigentliche Geschosshöhe des Gebäudes, das von dem Aufzug bedient wird. Dies trifft auf die verschiedensten Arten von Aufzugsdispositionen zu, wie z.B. Seil -Aufzüge, hydraulische Aufzüge, Linearmotor- Aufzüge.
Zur Vermeidung oder Verkleinerung der genannten Schutzräume weist die in der WO2003008316A1 offenbarte Aufzugsanlage zusätzlich und unabhängig von den üblichen Sensoren und Steuermitteln, die für den normalen Betrieb der Aufzuganlage vorgesehen sind, eine Erfassungsvorrichtung auf, die detektiert, ob sich eine Person in einer kritischen Zone des Schachtes, insbesondere innerhalb der Schachtgrube oder des Schachtkopfs, aufhält. Die Detektion kann mittels beliebiger Sensoren, z.B. Lichtschranken, erfolgen. Diese
Erfassungsvorrichtung ist mit der Antriebseinheit der Aufzugsanlage derart verbunden, dass die Aufzuganlage in einen speziellen Betriebszustand überführbar ist, falls sich eine Person in der kritischen Zone aufhält oder im Begriff ist, in diese zu gelangen.
Die Erfassungsvorrichtung und die spezielle Steuereinrichtung sind sicherheitsrelevant ausgelegt, um unter allen Umständen das Einfahren der Aufzugskabine in die kritische Zone zu verhindern, falls sich eine Person darin befindet. Die sicherheitsrelevante Auslegung erfordert z.B., dass wichtige Komponenten redundant vorhanden sind, wichtige Funktionen der
Steuereinrichtung parallel ablaufen und ihre Ergebnisse miteinander verglichen werden und die Datenübertragung über parallele Leitungen erfolgt. Die sicherheitsrelevante Auslegung der Aufzugsanlage ist daher mit erheblichem Aufwand verbunden.
Die WO2013/045271A1 beschreibt eine Vorrichtung zur gesicherten Steuerung einer
Aufzugsanlage. Die Vorrichtung weist zwei Zählvorrichtungen auf, mittels welchen
Bewegungen einer Schachttür erfasst werden können. Eine Zählvorrichtung ist nur bei intakter Stromversorgung aktiv. Die andere Zählvorrichtung ist energieautark ausgeführt und ist damit sowohl bei intakter, also auch bei ausgefallener Stromversorgung aktiv. Auf Basis der Zählwerte der beiden Zählvorrichtungen kann festgestellt werden, ob die Schachttür bei ausgefallener Stromversorgung geöffnet wurde. Die energieautarke Zählvorrichtung weist einen Permanentmagneten und eine Induktionseinheit auf, welche den Betrieb der Zählvorrichtung ohne Einsatz einer Batterie ermöglichen.
Die WO2014/124779A1 beschreibt ebenfalls eine Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage. Die Vorrichtung weist eine Abfrageeinrichtung und einen Sicherheitsschalter zur Überwachung eines Türschlosses einer Schachttür der Aufzuganlage auf. Die
Abfrageeinheit kann bei einem Ausfall der Stromversorgung von einer unabhängigen
Energieversorgungseinrichtung beispielsweise in Form einer Batterie versorgt werden.
Der vorliegenden Erfindung liegt daher die Aufgabe zu Grunde, die Nachteile des Standes der Technik zu überwinden und ein verbessertes Verfahren und eine verbesserte Vorrichtung zur gesicherten Steuerung einer Aufzugsanlage anzugeben.
Das erfindungsgemässe Verfahren und die erfindungsgemässe Vorrichtung sollen insbesondere mit einem möglichst geringen Wartungsaufwand durch einen Servicetechniker durchführbar beziehungsweise betreibbar sein.
Insbesondere sollen das erfindungsgemässe Verfahren und die Vorrichtung bei Stromausfällen eine lang andauernde Überwachung der Aufzugsanlage sicherstellen, sodass diese nach Beendigung eines lang andauernden Stromausfalls oder mehrerer aufeinander folgenden Stromausfälle automatisch wieder hochgefahren werden kann und eine Inspektion der
Aufzugsanlage durch das Wartungspersonal nicht erforderlich ist. Darüber hinaus soll eine Prüfung und Wartung der Vorrichtung möglichst selten notwendig sein.
Diese Aufgabe wird durch ein Verfahren und eine Vorrichtung gemäss Anspruch 1 bzw. 13 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind in weiteren Ansprüchen angegeben.
Das Verfahren und die Vorrichtung dienen der gesicherten Steuerung einer Aufzuganlage, die eine Antriebseinheit umfasst, mittels der eine in einem Aufzugschacht angeordnete
Aufzugskabine verfahrbar ist und die von einer Steuervorrichtung derart gesichert angesteuert wird,
a) dass die Aufzugskabine im Normalbetrieb zu wenigstens zwei Zugängen des
Aufzugsschachts verfahren werden kann, an denen Türen vorgesehen sind, die von der Steuervorrichtung gesteuert werden und von denen wenigstens einer ein Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
b) dass die Aufzugskabine nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht befindet.
Wenigstens einer der Türen sind eine Überwachungseinheit und ein Überwachungssensor zugeordnet, mittels dessen Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür, detektiert werden. Die Überwachungseinheit
a) ist mit einer Batterie ausgerüstet und bei vollständiger oder teilweiser
Ausserbetriebsetzung der Aufzugsanlage in einen autonomen Betrieb umschaltbar; b) ist mit dem Überwachungssensor verbunden und überwacht während des autonomen Betriebs den Zustand des Überwachungssensors und registriert entsprechende
Zustandsdaten;
c) ist mit einer Sicherungseinheit verbunden, die aus allen angeschlossenen
Überwachungseinheiten die registrierten Zustandsdaten ausliest und ausgewertet und die Versetzung der Aufzugsanlage in den Normalbetrieb verhindert, falls eine
Zustandsänderung für eine der überwachten Türen detektiert wurde.
Der Überwachungssensor ist ein mit dem zugehörigen Türverschluss gekoppelter Schaltkontakt, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit übertragen wird, die das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht, die bei Betätigung des Türverschlusses auftreten. Der Ausgang kann auch als ein so genannter Ausgangsport und der Eingang als ein so genannter Eingangsport der Überwachungseinheit bezeichnet werden. Sofern der Schaltkontakt geöffnet wird, wird die Übertragung des Überwachungssignals unterbrochen und die Öffnung des Schaltkontakts in der Überwachungseinheit detektiert. Diese Signaländerung oder Zustandsänderung wird in der Überwachungseinheit registriert. Zustandsdaten können in der Überwachungseinheit abgespeichert und zur Auswertung durch die Sicherungseinheit bereitgestellt werden oder bereits in der Überwachungseinheit ausgewertet werden, sodass die Überwachungseinheit nach Beendigung des Stromausfalls bereits das Ergebnis der Überwachung, die Anwesenheit oder Abwesenheit einer Person im Aufzugschacht, an die zentrale Sicherungseinheit überträgt.
Erfindungsgemäss ist das Überwachungssignal als eine Folge von Pulsen ausgeführt. Für die Übertragung einer Folge von Pulsen wird viel weniger Energie benötigt als für eine
Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms. Damit wird die Batterie im Vergleich zur Übertragung eines kontinuierlichen Gleichstroms oder Wechselstroms weniger belastet. Es ist besonders vorteilhaft, wenn das Überwachungssignal als eine Folge von Pulsen übertragen wird, die einen relativ grossen zeitlichen Abstand zueinander aufweisen.
Durch die geringe Belastung der Batterie durch das gepulste Überwachungssignal erreicht die Batterie eine lange Lebensdauer, was eine seltene Überprüfung ihres Ladezustands und einen seltenen Wechsel der Batterie ermöglicht. Damit ist der Aufwand für Prüfung und Wartung der Überwachungseinheit sehr gering.
Das Überwachungssignal ist insbesondere als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt. Die Soll- Formen unterscheiden sich beispielsweise in der Pulsposition, der Pulsform, der Pulsamplitude und/oder der Pulsbreite.
Die Erfindung, die bei verschiedensten Arten von Aufzugsdispositionen, wie z.B. Seil-Aufzüge, hydraulische Aufzüge, Linearmotor- Aufzüge einsetzbar ist, erlaubt es, den Zugang einer Person in den Aufzugschacht sicher zu überwachen und den Übergang der Aufzugsanlage in den Normalbetrieb zu verhindern, falls ein Ereignis detektiert wurde, welches anzeigt, dass eine Person möglicherweise in den Aufzugschacht gelangt ist. Sobald eine kritische
Zustandsänderung von der Sicherungseinheit detektiert oder erkannt wird, so wird dies z.B. einem Steuerrechner signalisiert. Alternativ kann die Steuereinheit direkt in die Aufzugsanlage eingreifen und z.B. die Stromversorgung unterbrechen oder die Antriebseinheit ausser Betrieb setzen. Die Sicherungseinheit kann z.B. als Softwaremodul in den Steuerrechner integriert sein oder als separates Modul ausgebildet sein, das mit dem Steuerrechner oder anderen Teilen der Aufzugsanlage interagiert. Die Elemente zur Überwachung und gesicherten Steuerung der Aufzugsanlage können daher in die weiteren Elemente zur Steuerung der Aufzugsanlage integriert werden oder unabhängig davon realisiert sein.
Dieser Zugang einer Person in den Aufzugschacht ist insbesondere dann besonders kritisch, wenn die Aufzugsanlage mitsamt den konventionellen Sicherungsmodulen, soweit vorhanden, ausgeschaltet ist. In diesem Zustand kann eine Person einen Türverschluss z.B. mittels eines Werkzeugs oder Schlüssels betätigen, die Tür öffnen und in den Aufzugschacht gelangen und ist bei Inbetriebsetzung der Anlage einer Verletzungsgefahr ausgesetzt. Eine automatische Inbetriebsetzung wird daher aus Sicherheitsgründen vermieden. Stattdessen prüft das
Wartungspersonal nach einem Stromausfall, ob der Aufzugschacht frei ist und die
Aufzugsanlage in Betrieb gesetzt werden kann.
Wie eingangs beschrieben, können alternativ Sensoren vorgesehen sein, welche die
Anwesenheit einer Person im Aufzugschacht detektieren, sobald die Anlage in Betrieb gesetzt wird. Sofern diese Detektion sicher durchgeführt werden soll, so ist sie mit erheblichem
Aufwand verbunden. Einerseits sind Hardware und Software sicher auszuführen. Andererseits sind Sensoren derart vorzusehen, dass die Person an jeder Stelle des Aufzugschachts sicher detektiert werden kann. Die Detektion soll auch dann gesichert sein, wenn die Sensoren verschmutzt sind oder abnormale Konditionen, z.B. Rauchentwicklung, innerhalb des
Aufzugschachts vorherrschen.
Erfindungsgemäss wird das Problem mit vergleichsweise einfachen und sehr sicheren
Massnahmen gelöst. Erfindungsgemäss wird ein Öffnen der Tür oder eine Betätigung der Türverriegelung detektiert. Dazu können unterschiedliche Überwachungssensoren oder Messfühler eingesetzt werden, wie Bewegungssensoren, Drucksensoren, optischen Sensoren, Kapazitätssensoren, die eine gegenseitige Verschiebung von metallenen Elementen der Tür erfassen, oder Motoren, die bei einer manuellen Bewegung einer Tür als Generator betrieben werden. Besonders geeignet sind Überwachungssensoren, die keine Energieversorgung erfordern, wie Schaltelemente, die von einem Element der Tür oder der Verriegelung betätigt werden.
Da nach Ausserbetriebsetzung der Aufzugsanlage keine Stromversorgung aus dem lokalen Netz erfolgt, ist die Überwachungseinheit mit einer Batterie ausgerüstet und derart ausgebildet, dass sie bei Ausserbetriebsetzung der Aufzugsanlage automatisch in einen autonomen Betrieb umschaltbar ist. Z.B. wird ein Relais vorgesehen, welches durch Strom aus dem Netz aktiviert - - wird und die Schaltung der Überwachungseinheit mit einer Betriebsspannung verbindet. Sobald das Stromnetz ausfällt, wird das Relais deaktiviert und fällt in einen Ruhezustand, in dem die Batterie mit der Schaltung der Überwachungseinheiten verbunden wird.
Die Aufzugsanlage kann mittels der Überwachungseinheiten daher permanent, d.h. während des Normalbetriebs und auch nach Ausserbetriebsetzung überwacht werden, um festzustellen, ob eine Tür oder die Verriegelung betätigt wurde. Von primärer Bedeutung ist die
erfindungsgemässe Überwachung der Aufzugsanlage während eines Stromausfalls, da während dem Normalbetrieb auch andere Mittel genutzt werden können. Nach Beendigung des
Stromausfalls können die Überwachungsdaten aus den Überwachungseinheiten ausgelesen werden.
Dazu ist jede der Überwachungseinheiten mit wenigstens einem Überwachungssensor verbunden und überwacht während des autonomen Betriebs dessen Zustand und registriert entsprechende Zustandsdaten. Insbesondere werden alle Türen überwacht, bei denen damit zu rechnen ist, dass sie während eines Stromausfalls geöffnet werden könnten, um in den
Aufzugschacht zu gelangen. Es wird also insbesondere jede Tür überwacht, der ein
Türverschluss zugeordnet ist, mittels dessen die zugeordnete Tür auch im Falle eines
Stromausfalls entriegelt und geöffnet werden kann. Zur Überwachung von mehreren Türen kann an jeder Tür eine Kombination aus Überwachungseinheit und Überwachungssensor angeordnet sein. Alternativ ist es möglich, dass an den einzelnen Türen jeweils nur ein
Überwachungssensor angeordnet ist und mehrere Überwachungssensoren von einer
Überwachungseinheit überwacht werden. Es ist in diesem Fall auch nur eine einzige Batterie notwendig. Die Überwachungssensoren können dazu insbesondere in Reihe geschaltet sein. Im Fall, dass eine Überwachungseinheit mehrere Überwachungssensoren überwacht, ist eine besonders kostengünstige Durchführung des Verfahrens möglich, da nicht für jede Tür eine eigene Überwachungseinheit mit einer Batterie notwendig ist.
Nach Beendigung des Stromausfalls werden die in den Überwachungseinheiten gesammelten Zustandsdaten von der Sicherungseinheit ausgelesen. Vorzugsweise werden die
Überwachungseinheiten vorerst vom Batteriebetrieb auf den Netzbetrieb umgeschaltet. Nach Auswertung der von den Überwachungseinheiten übertragenen Daten entscheidet die
Sicherungseinheit, ob möglicherweise eine Person die Lifttüren betätigt hat und in den
Aufzugschacht gelangt ist und verhindert den Übergang in den Normalbetrieb. Stattdessen wird über einen drahtgebundenen oder drahtlosen Übertragungskanal vorzugsweise automatisch eine Störungsmeldung lokal zu einer Ausgabeeinheit, einem Lautsprecher und/oder einem Display der Aufzugsanlage, oder dezentral zu einem Wartungsdienst übertragen, der in der Folge die Aufzugsanlage überprüft und wieder in Betrieb setzt. - -
Sofern hingegen festgestellt wurde, dass keine Person in den Aufzugschacht gelangt ist, so wird die Aufzugsanlage automatisch wieder in den Normalbetrieb versetzt. Wartungspersonal wird in diesem Fall nicht benötigt. Die Aufzugsanlage kann nach Beendigung des Stromausfalls ohne zeitliche Verzögerung automatisch wieder in den Normalbetrieb versetzt werden. Mit
Ausrüstung der Aufzugsanlagen mit der erfindungsgemässen Lösung wird die Verfügbarkeit dieser Aufzugsanlagen somit signifikant erhöht. Auch bereits installierte Aufzugsanlagen können mit der erfindungsgemässen Lösung nachgerüstet werden.
Sogenannte„false-negative" Meldungen, d.h. Meldungen, welche die Anwesenheit einer Person im Aufzugschacht verneinen, obwohl eine Person sich im Aufzugschacht befindet, werden ausgeschlossen. Hingegen sind nach Betätigung eines Türverschlusses sogenannte„false- positive" Meldungen zu erwarten, d.h. Meldungen, die die Anwesenheit einer Person im Aufzugschacht als möglich bestätigen, obwohl sich keine Person im Aufzugschacht befindet. Diese Situation tritt nach einem Stromausfall statistisch hingegen sehr selten, z.B. in einem von hundert Fällen auf, sodass die gewährleistete Sicherheit mit minimalem Aufwand erreicht wird. Umgekehrt betrachtet, werden 99 % aller Aufzugsanlagen nach Beendigung eines Stromausfalls wieder in den Normalbetrieb überführt, wodurch bei vollständiger Gewährleistung der
Sicherheit eine nahezu maximale Verfügbarkeit ohne Verzögerung resultiert.
In einer vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes
prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem
Ausgangsport an den Schaltkontakt abgibt und an einem Eingangsport wieder empfängt.
In einer weiteren vorzugsweisen Ausgestaltung umfasst die Überwachungseinheit ein erstes prozessorgesteuertes Überwachungsmodul, welches das Überwachungssignal an einem
Ausgangsport abgibt und über den Schaltkontakt an einen Eingangsport eines zweiten
Überwachungsmoduls abgibt. Die physikalische Trennung der Sendestufe und der
Empfangsstufe voneinander gewährleistet, dass Fehler, die in einem Überwachungsmodul auftreten, keinen direkten Einfluss auf das andere Überwachungsmodul haben. Damit kann ein besonders sicherer Betrieb der Aufzuganlage gewährleistet werden.
Die beiden Überwachungsmodule können auch derart mit einer Betriebssoftware versehen werden, dass sie das Überwachungssignal alternierend von ihrem Ausgangsport an den Schaltkontakt abgeben bzw. an ihrem Eingangsport empfangen. Durch den wechselseitigen Betrieb können die Überwachungsmodule voll genutzt und getestet werden, sodass bei einer Zustandsänderung festgestellt werden kann, an welcher Stelle des Übertragungswegs eine Zustandsänderung oder ein Übertragungsfehler verursacht wurde. Sofern z.B. die Übertragung in eine Richtung möglich und in die andere Richtung unterbrochen ist, so kann auf einen Fehler - - in einem der Übertragungsmodule geschlossen werden.
Der Vorteil des besonders sicheren Betriebs der Aufzuganlage durch den Einsatz von zwei prozessorgesteuerten Überwachungsmodulen ist auch gegeben, wenn das Überwachungssignal, das über den Schaltkontakt übertragen wird, als ein dauerhaftes Gleich- oder
Wechselstromsignal und damit nicht als ein gepulstes Signal ausgeführt ist.
In einer weiteren bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten
Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Dem zweiten
Überwachungsmodul wird über den Schaltkontakt somit der Ist-Wert und direkt der Soll-Wert des übertragenen Überwachungssignals zugeführt. Durch Vergleich von Ist-Wert und Soll-Wert kann bereits eine Zustandsänderung festgestellt werden. Das den zweiten Eingangsport zugeführte Überwachungssignal kann auch zur Aktivierung des zweiten Überwachungsmoduls verwendet werden, wie dies nachstehend noch beschrieben wird.
In einer besonders bevorzugten Ausgestaltung wird das vom Ausgangsport des ersten
Überwachungsmoduls abgegebene Überwachungssignal einerseits über den Schaltkontakt einem ersten Eingangsport des zweiten Überwachungsmoduls sowie einem Eingangsport des ersten Überwachungsmoduls und andererseits direkt einem zweiten Eingangsport des zweiten Überwachungsmoduls zugeführt. Diese Ausgestaltung ist besonders vorteilhaft, da sie dem ersten Überwachungsmodul erlaubt, das Überwachungssignal in Abhängigkeit einer eingetretenen Zustandsänderung zu ändern und eine schnellere und/oder vertiefte Prüfung vorzunehmen. Insbesondere hinsichtlich des Betriebs der Überwachungsmodule mit zugeschaltetem Ruhemodus ist diese Lösung besonders vorteilhaft, wie nachstehend erläutert wird.
Der Abstand der Pulse bzw. die Pulsrepetitionsfrequenz und gegebenenfalls auch die Pulsbreite des Überwachungssignals sind vorzugsweise derart gewählt, dass die Sicherheit zur Detektion einer Zustandsänderung hinreichend ist und gleichzeitig die Überwachungstätigkeit und somit der Energiebedarf der Überwachungsmodule auf ein Minimum reduziert wird.
Die Pulsbreite der übertragenen Pulse wird vorzugsweise derart gewählt, dass das zweite Überwachungsmodul durch einen übertragenen Puls aus dem Ruhezustand in den
Betriebszustand versetzt werden kann und nach Erreichen des Betriebszustands das Eintreffen dieses Pulses detektieren kann. Auf diese Weise können die Überwachungsmodule zwischen zwei Pulsen in einen Ruhezustand versetzt werden, in dem wesentliche Schaltungsteile abgeschaltet sind und somit nur wenig Energie von der Batterie benötigen. - -
Erfindungsgemäss werden Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen, innerhalb dem zumindest eines der Überwachungsmodule bei Auftreten eines ersten Ereignisses in einen Energiesparmodus oder Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebsmodus oder Betriebszustand versetzt wird. Das erste Ereignis wird vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers bestimmt. Das zweite Ereignis wird durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers bestimmt ist.
Der vorzugsweise konstante Abstand zwischen den Pulsen oder zwischen den Gruppen von Pulsen des Überwachungssignals liegt vorzugsweise im Bereich zwischen 0.15 s und 1.5 s, insbesondere 0.35 s. In diesem Bereich kann die sichere Überwachung der Aufzugstüren gewährleistet und gleichzeitig der Energiebedarf auf ein Minimum reduziert werden. Unter Berücksichtigung der gegebenen Umstände können auch grössere zeitliche Abstände gewählt werden, um noch mehr Energie zu sparen.
Das erste und/oder das zweite Überwachungsmodul weisen je wenigstens ein Register für die Speicherung von Zustandsdaten auf, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird. Die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse kann während des Stromausfalls in einem der Überwachungsmodule oder nach Beendigung des Stromausfalls in der Sicherungseinheit gebildet werden, um eine gegebenenfalls aufgetretene Zustandsänderung zu detektieren. Ferner kann auch der Ausfall von erwarteten Pulsen detektiert und gespeichert werden.
Die Überwachung der Aufzugsanlage kann durch verschiedene Faktoren beeinflusst werden. Von primärer Bedeutung ist das normale Auftreten einer Zustandsänderung durch Betätigung einer Aufzugstür. Weiter kann das Überwachungssignal durch Störsignale verändert werden, wonach fehlerhafte Messergebnisse auftreten können. Ferner können Funktionsstörungen innerhalb der Überwachungseinheiten auftreten. Zudem kann eine ungenügende
Stromversorgung oder Betriebsspannung die Messung beeinflussen. Vorzugsweise sind Mittel und Massnahmen vorgesehen, die es erlauben, vorzugsweise allen diesen Einwirkungen zu begegnen.
Während eines Stromausfalls können Störsignale auftreten, die z.B. durch die Inbetriebsetzung von Notstromaggregaten oder durch das Prellen von Schaltern verursacht werden.
Vorzugsweise wird das übertragene Überwachungssignal daher gefiltert, insbesondere um hochfrequente Störungen zu beseitigen. - -
Im Überwachungsmodul, welches das übertragene Überwachungssignal empfängt, wird daher vorzugsweise ein Filterprogramm implementiert, welches das Überwachungssignal filtert und vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist. Beim Medianfilter wird ermittelt, ob innerhalb einer Zeitdauer eine festgelegte Anzahl der empfangenen Pulse grösser ist als die Hälfte der Anzahl der gesendeten Pulse. Die Zeitdauer ergibt sich daher aus der festgelegten Anzahl von Pulsen multipliziert mit der Periodendauer der Pulsrepetitionsfrequenz. Durch die Änderung der genannten Anzahl von Pulsen und der resultierenden Zeitdauer kann die Grenzfrequenz des Filters verschoben werden.
In Abhängigkeit von der festgelegten Anzahl von Pulsen, die im Filter verarbeitet werden, und der resultierenden Zeitdauer ergibt sich nach Auftreten einer Zustandsänderung, z.B. dem Ausbleiben eines Pulses, eine zeitliche Verzögerung, bis die Zustandsänderung am Ausgang des Filters signalisiert wird. Bei der Wahl von relativ grossen Abständen zwischen den Pulsen können somit Verzögerungen auftreten, die unerwünscht gross sind. Sofern kurze Abstände zwischen den Pulsen gewählt werden, erhöht sich jedoch der Energiebedarf.
Um kurze Pulsabstände bzw. eine hohe Pulsrepetitionsfrequenz während der Zeit, in der keine Zustandsänderungen auftreten, und gleichzeitig eine unerwünschte Verzögerung bei der Detektion einer danach auftretenden Zustandsänderung zu vermeiden, wird das über den zu prüfenden Schaltkontakt übertragene Überwachungssignal vorzugsweise ungefiltert zum ersten Überwachungsmodul zurückgeführt. Im ersten Überwachungsmodul wird die übertragene Pulssequenz überwacht und die Pulsrepetitionsfrequenz erhöht, sobald das Ändern eines Pulses detektiert wird. Bei Auftreten einer Unregelmässigkeit wird die Überwachungstätigkeit somit intensiviert und die Zeitdauer verkürzt, innerhalb der die festgelegte Anzahl Pulse im Filter verarbeitet wird. Die zeitliche Verzögerung bis zum Zeitpunkt, zu dem das Filter die erfolgte Zustandsänderung meldet, kann daher um den Faktor reduziert werden, um den die
Pulsrepetitionsfrequenz zumindest kurzzeitig erhöht wird.
Veränderungen bei der Erzeugung, der Übertragung, dem Empfang und der Verarbeitung des Übertragungssignals können nicht nur durch Störsignale, sondern auch durch
Schaltungselemente der Überwachungsmodule verursacht werden, die nicht korrekt funktionieren. Zur Gewährleistung einer einwandfreien Überwachung des Schaltkontakts ist es daher wichtig Funktionsfehler der Überwachungseinheiten erkennen zu können.
Zur dynamischen Erkennung solcher Fehler wird das Überwachungssignal vom ersten
Überwachungsmodul entsprechend einer festgelegten Soll-Form als eine Folge von
unterschiedlichen Pulsen abgegeben, die sich in der Pulsposition und/oder der Pulsform und/oder der Pulsamplitude und/oder der Pulsbreite unterscheiden. Die entsprechende - -
Ausbildung des Überwachungssignals kann von der Sicherungseinheit vorgegeben oder im ersten oder zweiten Überwachungsmodul fest gespeichert sein oder auch zufällig gewählt werden.
Die Sicherungseinheit und/oder wenigstens eines der Überwachungsmodule vergleicht in der Folge das über den Schaltkontakt übertragene Überwachungssignal mit dem nicht über den Schaltkontakt übertragenen Überwachungssignal oder einer vorgegebenen Soll-Form des übertragenen Überwachungssignals und registriert Abweichungen, die das Vorliegen eines entsprechenden Funktionsfehlers anzeigen.
Vorzugsweise sendet das erste Überwachungsmodul Pulse mit unterschiedlichen Formen je in einer bestimmten Anzahl aus. Das zweite Überwachungsmodul stellt in der Folge fest, ob die Pulse in der betreffenden Form und Anzahl eintreffen. Die Tests können autonom durch die beiden Überwachungsmodule während des autonomen Betriebs oder während des
Normalbetriebs durch die Sicherungseinheit durchgeführt werden.
Besonders wichtig ist auch die einwandfreie Stromversorgung der Überwachungsmodule. Sofern die Batterie z.B. nach einem längeren Stromausfall nicht mehr die erforderliche Spannung und Energie liefert, wird die Funktion der Überwachungseinheiten infrage gestellt. Während des autonomen Betriebs der Überwachungsmodule wird daher vorzugsweise geprüft, ob die von der Batterie abgegebene Spannung einen Schwellwert unterschreitet und/oder ob in einem der Überwachungsmodule ein Brownout auftritt, d.h. einzelne Schaltungsteile aufgrund ungenügender Betriebsspannung ausfallen. Im Ereignisfall, d.h. bei Ausfall der
Betriebsspannung, werden die Überwachungsmodule zurücksetzt und die ermittelten
Zustandsdaten gelöscht. Die Abwesenheit der Zustandsdaten wird sodann als unzulässige Zustandsänderung interpretiert und die Inbetriebnahme der Aufzugsanlage verhindert.
Vorzugsweise wird vorgesehen, dass die genannten Tests auch während des Normalbetriebs durchgeführt werden können. Z.B. wird für die Überwachungseinheiten periodisch ein Stromausfall simuliert. Vorzugsweise werden die Überwachungseinheiten während des Normalbetriebs der Aufzugsanlage durch die Sicherungseinheit periodisch in den
Batteriebetrieb bzw. in den autonomen Betriebszustand versetzt, in dem wenigstens eine der oben genannten Prüfungen und Tests durchgeführt werden. Z.B. werden die
Überwachungseinheiten in den Batteriebetrieb versetzt und hinsichtlich der Betriebsspannungen oder des Vorliegens eines Brownouts überwacht. Weiterhin kann eine dynamische Prüfung der Überwachungsmodule durchgeführt werden, bei der das Überwachungssignal bzw. die Überwachungspulse geändert werden und das empfangene Überwachungssignal geprüft wird. Weiterhin kann der Zustand der Schaltkontakte geprüft werden. Z.B. werden Testprogramme - - abgespeichert und periodisch aufgerufen, mittels denen die Register, Timer, Wandler und Verstärker auch während des Normalbetriebs der Aufzugsanlage geprüft werden.
Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines
Stromausfalls liest die Sicherungseinheit die registrierten Zustandsdaten aus allen
angeschlossenen Überwachungseinheiten und den darin vorgesehenen Überwachungsmodulen aus und nimmt eine Analyse vor.
Insbesondere wird
a) geprüft, ob die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten
gegeben ist; und/oder
b) geprüft, ob eine Fehlfunktion bei einer der Überwachungseinheiten aufgetreten ist; und/oder
c) geprüft, ob Zustandsänderungen des Überwachungssensors oder bzw. des
Schaltkontakts aufgetreten sind; und/oder
d) ermittelt, ob Abweichungen der Zahlen der in jeder der Überwachungseinheiten
registrierten gesendeten und empfangenen Pulse vorliegen.
Bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten oder bei einer aufgetretenen Zustandsänderung in einer der Überwachungseinheiten oder bei einer Abweichung der Zahlen der in jeder der Überwachungseinheiten übertragenen Pulse wird die Versetzung der
Aufzugsanlage zurück in den Normalbetrieb verhindert.
Die erfindungsgemässe Vorrichtung wird nachstehend in vorzugsweisen Ausgestaltungen anhand von Zeichnungen exemplarisch beschrieben. Es zeigen:
Fig. 1 eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 3 OB verfahrbar ist und mit einer Steuervorrichtung 100, die zur Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 aufweist, die mit Überwachungseinheiten 10A, 1 OB verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 3 OB überwacht wird;
Fig. 2a die erste Überwachungseinheit 10A von Fig. 1 , die ein prozessorgesteuertes
Überwachungsmodul 15 aufweist, das ein Überwachungssignal STX von einem Ausgangsport op über einen Schaltkontakt 11A, der dem Türverschluss 31A der ersten Aufzugstür 30a zugeordnet ist, zu einem Eingangsport ip überträgt; - -
Fig. 2b ein am Ausgangsport op abgegebenes Überwachungssignal STXI als Pulsfolge mit einem exemplarisch gewählten Tastverhältnis von 50 %;
Fig. 2c ein am Ausgangsport op abgegebenes Überwachungssignal STX2 als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 vergrösserten Periodendauer T;
Fig. 2d das am Eingangsport ip eintreffende Überwachungssignal SRX2, in das während der Übertragung über den Schaltkontakt 11 A ein Störimpuls n eingeprägt wurde;
Fig. 3 a die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul
15, das ein Überwachungssignal STX über den Schaltkontakt 11A zu einem zweiten prozessorgesteuerten Überwachungsmodul 16 überträgt;
Fig. 3b das Überwachungssignal STX von Fig. 3 a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11 A;
Fig. 3c das Überwachungssignal SRX von Fig. 3b nach der Übertragung über den
Schaltkontakt I IA, der während der Dauer von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 nicht registriert wurden;
Fig. 4a die erste Überwachungseinheit von Fig. 3 a mit dem ersten Überwachungsmodul
15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist;
Fig. 4b das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene
Überwachungssignal STX von Fig. 4a;
Fig. 4c das am ersten Eingangsport ipl des zweiten Überwachungsmoduls 16
eintreffende Überwachungssignal SRX von Fig. 4a;
Fig. 5a die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal STX von Fig. 4a über den Schaltkontakt I IA zusätzlich einem Eingangsport ip des ersten Überwachungsmoduls 15 zugeführt wird;
Fig. 5b das Überwachungssignal STX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt I IA mit einem zusätzlich eingeprägten Hilfspuls PAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses des übertragenen Überwachungssignals SRX zusätzlich abgegeben wurde; - -
Fig. 5c das Überwachungssignal SRX von Fig. 5b nach der Übertragung über den
Schaltkontakt I IA, der nach Eintreffen eines ersten Pulses p geöffnet wurde;
Fig. 6a ein Diagramm mit dem gesendeten Überwachungssignal STX2 von Fig. 2c, mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal SRX2 von Fig. 2d, mit schematisch gezeigten Filtermassnahmen und mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen
Überwachungssignal SRX2 um mehr als zwei Abtastzyklen verschoben ist;
Fig. 6b ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 3b, mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen Überwachungssignal SRX um zwei Abtastzyklen verschoben ist;
Fig. 6c ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 5b, bei dem nach Ausfall eines Pulses die Pulsrepetitionsfrequenz verdoppelt wurde, mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen, mit schematisch gezeigten Filtermassnahmen sowie mit dem gefilterten Überwachungssignal SRXF, das gegenüber dem empfangenen Überwachungssignal SRX um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde;
Fig. 7 ein Diagramm mit zwei Signalverläufen des zu übertragenden
Überwachungssignals STXI , STX2, dem Signalverlauf des übertragenen Überwachungssignals SRX, dem Signalverlauf am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal SRXF nach der Filterung;
Fig. 8 ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals STX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen, sowie den Signalverlauf des im zweiten Überwachungsmodul 16 empfangenen Überwachungssignals SRX, in dem drei schraffiert gezeigte Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind.
Fig. 1 zeigt eine erfindungsgemässe Aufzugsanlage 3 mit einer Antriebseinheit 38, mittels der eine in einem Aufzugschacht 35 angeordnete Aufzugskabine 36 zwischen zwei Aufzugstüren 30A, 30B verfahrbar ist. Die Aufzugsanlage 3, die von einer zentralen Stromversorgungseinheit 2 gespeist wird, ist mit einer Steuervorrichtung 100 ausgerüstet, mittels der die Aufzugsanlage 3, insbesondere die Antriebseinheit 38, steuerbar ist. Die Steuervorrichtung 100 umfasst zur - -
Überwachung der Aufzugsanlage 3 eine Sicherungseinheit 1 , die mit Überwachungseinheiten 10A, 10B verbunden oder verbindbar ist, mittels denen je eine Verriegelung 31A, 31B einer zugeordneten Aufzugstür 30A, 30B überwacht werden kann.
Die Sicherungseinheit 1 ist in der vorliegenden Ausgestaltung ein eigenständiges
Rechnersystem, das mit einem Anlagenrechner 1000 kommuniziert. Die Sicherungseinheit 1 kann aber auch als Softwaremodul oder Hardwaremodul in den Anlagenrechner 1000 integriert werden. Die Sicherungseinheit 1 kann, wie in Fig. 1 gezeigt, direkt in die Aufzugsanlage 3 eingreifen und z.B. die Stromversorgung 2 oder die Antriebseinheit 38 steuern oder ausschalten. Alternativ kann die Sicherungseinheit 1 nur mit dem Anlagenrechner 1000 verbunden sein, der seinerseits die gesicherte Steuerung der Aufzugsanlage 3 unter Berücksichtigung der erfindungsgemäss ermittelten Zustandsdaten vollzieht.
Die Sicherungseinheit 1 und/oder der Anlagenrechner 1000 können zudem drahtlos oder drahtgebunden mit externen Rechnereinheiten, z.B. einem Leitrechner verbunden sein.
In der vorliegenden Ausgestaltung sind die Überwachungssensoren I IA, 11B als Schaltkontakte ausgebildet, die je mit einem Türverschluss 31A, 31B mechanisch gekoppelt sind, der vom Wartungspersonal mittels eines Werkzeugs betätigt werden kann, wie dies in Fig. 1 für den Schaltkontakt I IB gezeigt ist. Während eines Stromausfalls oder einer Abschaltung der Stromversorgung kann das Wartungspersonal somit einen Türverschluss 31A, 31B betätigen, eine Aufzugstür 30A, 3 OB manuell öffnen und in den Aufzugschacht 35 gelangen.
Fig. 1 zeigt, dass nach einem Stromausfall die untere Aufzugstür 31B geöffnet wurde und ein Wartungstechniker in den Aufzugschacht 35 eingetreten ist, um eine elektrische Installation 8 zu prüfen, die den Stromunterbruch verursacht haben könnte. Der Wartungstechniker steht auf dem Schachtboden in einer Schachtgrube, die nur eine geringe Tiefe aufweist. In dieser Situation darf die Aufzugsanlage 3 nicht betrieben werden. In der oberen Etage bewegt sich ein Gebäudebewohner auf die erste Aufzugstür 30A zu, hinter der die Aufzugskabine 36 steht. Sofern die Aufzugsanlage 3 in diesem Moment wieder mit Strom versorgt und in den
Normalbetrieb versetzt wird, kann der Gebäudebewohner die Aufzugskabine 36 betreten und in Fahrt versetzen. Dies wird verhindert, indem die Schaltkontakte I IA; I IB überwacht werden und der Übergang in den Normalbetrieb verhindert wird, falls einer der Schaltkontakte I IA, I IB betätigt wurde. Damit diese Überwachung auch nach einem Stromausfall vollzogen werden kann, sind die Überwachungseinheiten 10A; 10B mit einer Batterie 14 ausgerüstet und bei vollständiger oder teilweiser Ausserbetriebsetzung der Aufzugsanlage 3 oder einem
Stromausfall automatisch in einen autonomen Betrieb umschaltbar.
Fig. 1 zeigt, dass die beiden identisch ausgebildeten Überwachungseinheiten 10A, 10B je eine - - lokale Stromversorgungseinheit 12 und eine Batterie 14 aufweisen, die über eine steuerbare Umschalteinheit 13, z.B. ein spannungsgesteuertes Relais, mit einem ersten und gegebenenfalls einem zweiten Überwachungsmodul 15, 16 verbindbar sind. Die Umschalteinheit 13 wird von der Stromversorgungseinheit 12 mit einer Schaltspannung us versorgt, durch die die
Umschalteinheit 13 aktiviert wird und die Stromversorgungseinheit 12 mit den
Überwachungsmodulen 15, 16 verbindet. Bei einem Stromausfall entfällt die Schaltspannung us und die Umschalteinheit 13 fällt in die Ruhestellung zurück, in der die Batterie 14 mit den Überwachungsmodulen 15, 16 verbunden wird.
In jeder der Überwachungseinheiten 10A, 10B erzeugt das erste Überwachungsmodul 15 ein Überwachungssignal, welches über einen Ausgang der Überwachungseinheit 10A; 1 OB und den zugehörigen Schaltkontakt I IA, I IB zurück zu einem Eingang der Überwachungseinheit 10A; 10B geführt und im ersten oder zweiten Überwachungsmodul 15; 16 ausgewertet wird.
Zumindest während des autonomen Betriebs bzw. während eines Stromausfalls werden die Überwachungssensoren bzw. die Schaltkontakte I IA, I IB daher überwacht, um eine
Zustandsänderung bzw. eine Betätigung des zugehörigen Türverschlusses 31A; 31B zu registrieren. Eine Überwachung wird vorzugsweise auch während des Normalbetriebs vorgenommen. Sofern während des Normalbetriebs eine Betätigung einer der Schaltkontakte I IA, I IB detektiert wird, so wird die Aufzugsanlage vorzugsweise abgeschaltet.
Nach Beendigung des Stromausfalls wird die Aufzugsanlage 3 von der zentralen
Stromversorgungseinheit 2 wieder mit Energie versorgt. Den lokalen
Stromversorgungseinheiten 12 in den Überwachungseinheiten wird wieder eine
Betriebsspannung zugeführt, wonach diese wiederum die Schaltspannung us erzeugen und die Umschalteinheit 13 aktivieren. Die in den Überwachungseinheiten 10A, 10B gesammelten Zustandsdaten oder bereits daraus abgeleitete Zustandsmeldungen können in der Folge von der Sicherungseinheit 1 abgerufen und weiterverarbeitet werden. Die Sicherungseinheit 1 wird anhand der Zustandsdaten von der zweiten Überwachungseinheit 1 OB feststellen, dass der zugehörige Türverschluss 31B betätigt wurde und sich möglicherweise eine Person im
Aufzugschacht 35 befindet. Die Sicherungseinheit 1 verhindert daher die Inbetriebsetzung der Aufzugsanlage 3 durch einen direkten Eingriff in die Aufzugsanlage 3, wie dies in Fig. 1 illustriert ist mit Abschaltung der Stromversorgung 2 oder mit Abschaltung der Antriebseinheit 38, oder durch Mitteilung an einen übergeordneten Rechner bzw. den Anlagenrechner 1000, welcher seinerseits die Inbetriebnahme der Aufzugsanlage 3 verhindert.
Statt wie in Fig. 1 für jede Aufzugtür 30A, 3 OB eine separate Überwachungseinheit 10A, 10B vorzusehen, kann auch nur eine einzige Überwachungseinheit vorgesehen sein, die mehrere, - - jeweils einer Aufzugtür zugeordnete Schaltkontakte überwacht. Die Schaltkontakte sind in diesem Fall in Reihe geschaltet, so dass die Überwachungseinheit erkennt, wenn einer der beiden Schaltkontakte geöffnet wird. In diesem Fall ist auch nur eine einzige Batterie zur Versorgung der Überwachungseinheit notwendig.
Die Ausgestaltung der Überwachungseinheiten 10A, 1 OB wird nachstehend in verschiedenen vorzugsweisen Ausgestaltungen beschrieben, in denen der Sicherheit der Überwachung, der Funktionsfähigkeit der Überwachungsvorrichtung und insbesondere der Energieeinsparung zur Entlastung der Batterie 14 besonderes Gewicht zugemessen wird.
Fig. 2a zeigt die erste Überwachungseinheit 10A von Fig. 1 , die nur ein prozessorgesteuertes erstes Überwachungsmodul 15 aufweist, das ein Überwachungssignal STX von einem
Ausgangsport op über den Schaltkontakt 11A, der dem Türverschluss 31A der ersten
Aufzugstür 30a zugeordnet und mit diesem mechanisch gekoppelt ist, zu einem Eingangsport ip überträgt.
Das Überwachungsmodul 15 ist z.B. ein MikroController mit niedrigstem Stromverbrauch im Betriebszustand (vorzugsweise < 100 μΑ) und im Ruhezustand (vorzugsweise < 500nA), kurzen Verzögerungszeiten beim Übergang vom Ruhezustand in den Betriebszustand (vorzugsweise <1 μ8); und allen wesentlichen Funktionen zur Signalverarbeitung. Z.B. wird ein
Mikrocontroller verwendet, wie er in der Dokumentation„MSP Low-Power Microcontrollers" von Texas Instruments Incorporated aus dem Jahre 2015 beschrieben ist.
Das in Fig. 2a gezeigte Überwachungsmodul 15 ist ein Mikrocontroller mit einer CPU 150, einem oder mehreren Registern 151, einem Arbeitsspeicher 152 einem optional vorgesehenen Digital/Analog Wandler 153, wenigstens einem Ausgangsmodul 154, einem
Schnittstellenbaustein 155, einem Watchdog-Timer 156, wenigstens einem weiteren Timer Tl, einem Analog/Digital Wandler 158 und wenigstens einem Eingangsmodul 159. Die einzelnen Module sind über einen Systembus miteinander und über den Schnittstellenbaustein 155 mit der Sicherungseinheit 1 verbunden oder verbindbar.
Das zweite Überwachungsmodul 16 von Fig. 1 ist vorzugsweise identisch wie das erste Überwachungsmodul 15 aufgebaut, aber mit entsprechend angepasster Software versehen. Vorzugsweise sind beide Überwachungsmodule 15, 16 mit Prüfschaltungen oder Brownout- Schaltungen versehen, mittels denen festgestellt werden kann, ob die Betriebsspannung, insbesondere die Spannung der Batterie 14, unter einen vorgesehenen Wert gefallen ist und/oder ob einzelne Schaltungsteile nur ungenügend mit Energie versorgt werden, wonach dies entsprechend registriert wird. Vorzugsweise wird das Überwachungsmodul 15 nach Vorliegen einer ungenügenden Betriebsspannung in den Ausgangszustand zurückgesetzt, in dem die - -
Datenspeicher gelöscht sind.
Im Arbeitsspeicher 152 sind ein Betriebsprogramm BP und ein Filterprogramm FP gespeichert. Über einen Ausgangsport op und einen Verstärker 18 ist ein Überwachungssignal STX, das im Überwachungsmodul 15 generiert wird, über den Schaltkontakt 11A zu einem Eingangsport ip des Überwachungsmoduls 15 übertragbar.
Der Zustand der Umschalteinheit 13 zeigt, dass der Strom ausgefallen ist und das
Überwachungsmodul 15 von der Batterie 14 mit Strom versorgt wird.
Fig. 2b zeigt exemplarisch ein am Ausgangsport op abgegebenes Überwachungssignal STXI als Pulsfolge mit einem Tastverhältnis von 50 %. Ein Vergleich des am Ausgangsport op abgegebenen Überwachungssignals STX mit dem am Eingangsport empfangenen
Überwachungssignal SRX zeigt an, ob der Schaltkontakt I IA während der Übertragung geöffnet wurde. Sofern einige der Pulse nicht übertragen werden, so wird eine Zustandsänderung des Schaltkontakts I IA und somit eine mögliche Öffnung der Aufzugstür 30A registriert und gemeldet. Z.B. werden die Anzahl der gesendeten Pulse und die Anzahl der empfangenen Pulse im Register 151 gespeichert und vor Inbetriebnahme der Aufzugsanlage 3 miteinander verglichen, um eine Türöffnung zu detektieren.
Fig. 2c zeigt ein am Ausgangsport op abgegebenes Überwachungssignal STX2 von Fig. 2a als Pulsfolge mit einem Tastverhältnis von rund 7 % und einer um den Faktor 7 höheren
Periodendauer T im Vergleich zum Signal von Fig. 2b. Durch die Reduktion des
Tastverhältnisses und die Erhöhung der Periodendauer kann der Energiebedarf signifikant reduziert werden. Zwischen zwei Pulsen kann das Überwachungsmodul 15 zudem in einen Ruhezustand versetzt werden, in dem der Stromverbrauch minimal ist und nur Schaltungsteile betrieben werden, die für den Übergang vom Ruhezustand in den Betriebszustand erforderlich sind. Z.B. werden externe Anreize oder Wecksignale überwacht. Vorteilhaft kann ein
Wecksignal auch innerhalb des Überwachungsmoduls 15 z.B. von einem Timer 156, 157 erzeugt werden.
Fig. 2d zeigt das am Eingangsport ip eintreffende Überwachungssignal SRX2, in das während der Übertragung über den Schaltkontakt 11 A ein Störimpuls n eingeprägt wurde. Störungen dieser Art können die Überwachung beeinträchtigen und werden vorzugsweise ausgefiltert. Dazu wird im Überwachungsmodul 15 das Filterprogramm FP implementiert, was nachstehend in einer vorzugsweisen Ausgestaltung beschrieben wird.
Fig. 3 a zeigt die erste Überwachungseinheit von Fig. 2a mit dem ersten Überwachungsmodul 15, das ein Überwachungssignal STX vom Ausgangsport op über den Schaltkontakt 11A zum Eingangsport ip eines zweiten prozessorgesteuerten Überwachungsmoduls 16 überträgt. Beide - -
Überwachungsmodule 15, 16 werden von der Batterie 14 gespeist. Im ersten
Überwachungsmodul 15 wird die Anzahl der gesendeten Pulse im Register 151 registriert. Im zweiten Überwachungsmodul 16 wird die Anzahl der empfangenen Pulse in einem Register 161 registriert.
Fig. 3b zeigt das Überwachungssignal STX von Fig. 3 a als Pulsfolge mit einem Tastverhältnis von 50% vor der Übertragung über den Schaltkontakt 11 A.
Fig. 3c zeigt das Überwachungssignal SRX von Fig. 3b nach der Übertragung über den
Schaltkontakt I IA, der während der Übertragung von zwei Pulsen geöffnet wurde, die im Register 161 des zweiten Überwachungsmoduls 16 somit nicht registriert wurden. Durch einen Vergleich der Inhalte der beiden Register 151, 161 kann die Zustandsänderung des
Schaltkontakts I IA festgestellt werden. Der Vergleich der Inhalte der Register 151, 161 kann in einem der Überwachungsmodule 15, 16 in einem lokalen Komparator 17 oder zentral in der Sicherungseinheit 1 vorgenommen werden, die alle Registerinhalte aus den
Überwachungseinheiten 10A, 10B ausliest.
Fig. 4a zeigt die erste Überwachungseinheit 10A von Fig. 3 a mit dem ersten
Überwachungsmodul 15, dessen Ausgangsport op einerseits über den Schaltkontakt 11A mit einem ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 und andererseits direkt mit einem zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 verbunden ist.
Die direkt zum zweiten Eingangsport ip2 übertragenen Pulse können als Referenzsignale oder als Wecksignale verwendet werden. Bei der Verwendung als Referenzsignal können
Änderungen des über den Schaltkontakt I IA übertragenen Überwachungssignals SRX sofort erkannt werden, das in diesem Fall jedoch noch nicht gefiltert ist.
Das am Eingangsport ip2 eintreffende Überwachungssignal STX kann jedoch auch als
Wecksignal verwendet werden, nach dessen Eintreffen das zweite Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt wird. Damit die über den
Schaltkontakt I IA übertragenen Pulse detektiert werden können, muss die Pulsbreite grösser sein, als die Aufweckdauer des zweiten Überwachungsmoduls 16 von z.B. 1 μβ. Z.B. wird eine Pulsbreite von 25 μ8 gewählt, die es erlaubt, die eintreffenden Pulse sicher zu erkennen.
Ein Wecksignal kann auch intern in den Überwachungsmodulen 15, 16 erzeugt und mit dem Überwachungssignal STX synchronisiert werden. Wie der Signalverlauf wd in Fig. 7 zeigt, kann ein Timer, z.B. der Watchdog 156, die Periodendauer des Überwachungssignals STX abzählen und das betreffende Überwachungsmodul 15 oder 16 bei Erreichen des maximalen
Zählerstandes aus dem Ruhezustand in den Betriebszustand versetzen, sodass das erste Überwachungsmodul 15 z.B. einen Puls aussenden und das zweite Überwachungsmodul 16 - - diesen Puls empfangen kann.
Fig. 4b zeigt das am Ausgangsport op des ersten Überwachungsmoduls 15 abgegebene
Überwachungssignal STX von Fig. 4a.
Fig. 4c zeigt das am ersten Eingangsport ipl des zweiten Überwachungsmoduls 16 eintreffende Überwachungssignal SRX von Fig. 4a, welches nur den ersten Puls enthält. Das direkt dem zweiten Eingangsport ip2 zugeführte Überwachungssignal STX kann nun das zweite
Überwachungsmodul 16 wecken, welches nach dem Übergang in den Betriebszustand feststellt, dass der zweite und dritte Puls fehlen. Wie erwähnt kann das dem zweiten Eingangsport ip2 zugeführte Überwachungssignal STX auch als Referenzsignal verwendet werden.
Fig. 5a zeigt die erste Überwachungseinheit von Fig. 4a, bei der das Überwachungssignal STX von Fig. 4a zusätzlich über den Schaltkontakt I IA einem Eingangsport ip des ersten
Überwachungsmoduls 15 zugeführt wird. Die Unterbrechung des Schaltkontakts I IA kann somit alternativ oder gleichzeitig im ersten und im zweiten Überwachungsmodul 15, 16 erkannt werden.
Im ersten Überwachungsmodul 15 wird das Fehlen eines Pulses vorzugsweise dazu verwendet, den Prüfmodus zu ändern und die Prüfung zu intensivieren. Vorzugsweise wird die
Pulsrepetitionsfrequenz zumindest kurzzeitig um einen Faktor x erhöht, der vorzugsweise im Bereich von 50 bis 250 liegt. Z.B. wird eine Periodendauer im Bereich von 0.1 s - 0.5 s auf eine Periodendauer im Bereich von 1 ms - 5 ms geändert. Mit Erhöhung der Pulsrepetitionsfrequenz gelingt es selbst bei Vorliegen von Störsignalen, die mittels des Filterprogramms FP unterdrückt werden sollen, den Zustand des Schaltkontakts I IA bzw. eine allfällige Zustandsänderung rasch und präzise zu ermitteln. Verzögerungen, die durch das Filterprogramm FP verursacht werden, werden dabei ebenfalls um den Faktor x reduziert.
Fig. 5b zeigt das Überwachungssignal STX von Fig. 5a als Pulsfolge mit einem Tastverhältnis von rund 7% vor der Übertragung über den Schaltkontakt I IA mit einem zusätzlich
eingeprägten Hilfspuls PAUX, der vom ersten Überwachungsmodul 15 nach Ausbleiben eines erwarteten Pulses p des übertragenen Überwachungssignals SRX zusätzlich abgegeben wurde. Der Hilfspuls PAUX zeigt symbolisch, dass das Überwachungssignal bedarfsweise STX geändert wird, um eine rasche Prüfung vollziehen zu können.
Fig. 5c zeigt das Überwachungssignal SRX von Fig. 5b nach der Übertragung über den
Schaltkontakt 11 A, der nach Eintreffen eines ersten Pulses p geöffnet wurde.
Fig. 6a zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX2 von Fig. 2c sowie mit dem übertragenen und mit einem Störimpuls n versehenen Überwachungssignal SRX2 von Fig. - -
2d. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX2 um mehr als zwei
Abtastzyklen verschoben ist und aus dem der Störimpuls entfernt wurde. Das Messergebnis erfolgt am Ausgang der durch Hardware oder Software realisierten Filterstufe mit einer signifikanten Verzögerung.
Durch das Filterprogramm FP, welches im zweiten Überwachungsmodul 16 implementiert ist, wird geprüft, welchen Wert die Mehrzahl von Abtastwerten innerhalb eines Filterintervalls aufweist. Die Filterintervalle umfassen jeweils die letzten fünf Abtastwerte. Das Filterprogramm FP umfasst z.B. ein FIFO -Register, in das die Abtastwerte schrittweise eingelesen werden. Mit jeder Verschiebung wird die Summe der fünf im FIFO-Register enthaltenen Werte gebildet und geprüft, ob deren Summe oberhalb oder unterhalb des Mittelwerts zwischen den Werten liegt, bei denen das FIFO-Register vollständig gefüllt oder vollständig geleert ist; d.h. grösser oder kleiner als 2.5 ist. Für jedes Filterintervall sind die ermittelten Werte sowie das Ergebnis angezeigt. Die Übertragung an den Ausgang des Filters erfolgt mit der Verzögerung d erst nach Eintreffen des letzten Abtastwerts.
Fig. 6a zeigt, dass das gefilterte Überwachungssignal SRXF mit einer Verzögerung d am Ausgang der Filterstufe erscheint, die etwa der doppelten Periodendauer des Abtastsignals entspricht. Der sporadisch aufgetretene Störimpuls n wurde hingegen beseitigt.
Fig. 6b zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 3b sowie dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen. Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX2 mit einer Verzögerung dl ebenfalls um etwa zwei Abtastzyklen verschoben ist. Der Filtervorgang erfolgt wie mit Bezug zu Fig. 6a beschrieben.
Fig. 6c zeigt ein Diagramm mit dem gesendeten Überwachungssignal STX von Fig. 5b sowie mit dem übertragenen Überwachungssignal SRX, dem drei Pulse fehlen. Beim gesendeten
Überwachungssignal STX wurde die Pulsrepetitionsfrequenz verdoppelt, nachdem das Fehlen eines Pulses detektiert wurde (siehe auch die Beschreibung zu Fig. 5a). Schematisch sind zudem Filtermassnahmen sowie das gefilterte Überwachungssignal SRXF gezeigt, das gegenüber dem empfangenen Überwachungssignal SRX mit einer Verzögerung d2 um zwei Abtastzyklen verschoben ist, deren Periodendauer jedoch halbiert wurde. Die Verzögerung d2 wurde gegenüber der Verzögerung dl von Fig. 6b ebenfalls halbiert (d2 = 1/2 dl).
Zum Zeitpunkt t3 wurde im ersten Überwachungsmodul 15 von Fig. 5a festgestellt, dass mit dem übertragenen Überwachungssignal SRX ein erwarteter Puls nicht eingetroffen ist. Nach diesem Ereignis wurde vom ersten Überwachungsmodul 15 die Pulsrepetitionsfrequenz - - verdoppelt und somit der Pulsabstand halbiert. Die Länge der Filterintervalle und die
Verzögerung d können durch Erhöhung der Pulsrepetitionsfrequenz somit beliebig reduziert werden.
In einer vorzugsweisen Ausgestaltung wird vorgesehen, dass das erste Überwachungsmodul 15 nach Ausbleiben eines Pulses einen für eine kurze Zeitdauer im Bereich von z.B. ls - 10s einen Burst oder eine Sequenz Pulsen aussendet, deren Abstände um den oben genannten Faktor x reduziert, der vorzugsweise im Bereich von 50 bis 250 liegt.
Fig. 7 zeigt ein Diagramm mit zwei Signalverläufen des zu übertragenden Überwachungssignals STXI, STX2, sowie dem Signalverlauf des übertragenen Überwachungssignals SRX. Ferner sind der Signalverlauf wd am Ausgang eines Timers im zweiten Überwachungsmodul 16 sowie das empfangene Überwachungssignal SRXF nach der Filterung gezeigt. Der Timer korrespondiert z.B. zum Watchdog 156 des ersten Überwachungsmoduls 15
in Fig. 7 ist ersichtlich, dass die Änderung des Signalverlaufs des übertragenen
Überwachungssignals SRX zwei verschiedene Ursachen haben kann.
Im ersten Fall kann zum Zeitpunkt t5 eine Zustandsänderung des Schaltkontakts I IA erfolgen, der unterbrochen wird und die Pulse des ersten Überwachungssignals STXI nicht weiter zum Eingangsport ipl des zweiten Überwachungsmoduls 16 leitet.
Im zweiten Fall wird das Überwachungssignal STX2 im ersten Überwachungsmodul 15 nicht mehr erzeugt, so dass nach dem Zeitpunkt t4 keine Pulse mehr über den geschlossenen
Schaltkontakt I IA zum Eingangsport ipl des zweiten Überwachungsmoduls 16 gelangen können. Sofern die Pulse des Überwachungssignals STX2 bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a nicht mehr zum zweiten Eingangsport ip2 des zweiten
Überwachungsmoduls 16 gelangen, wird dieses nicht mehr aus dem Ruhezustand in den Betriebszustand versetzt. Die Zählerstände für die gesendeten und empfangenen Pulse bleiben daher konstant bzw. sind eingefroren. Sofern die Zählerstände bei identischen Werten eingefroren wurden, zeigt dies den geschlossenen Zustand des überwachten Schaltkontakts I IA, 11B an, obwohl diese mittlerweile vielleicht geöffnet wurde.
Erfindungsgemäss sind für dieses Problem zwei Lösungen vorhanden, die alternativ oder vorzugsweise in Kombination angewendet werden.
Bei der ersten Lösungsvariante wird von einem Timer 157 innerhalb des zweiten
Überwachungsmoduls 16 (das vorzugsweise dieselben Module aufweist wie das erste
Überwachungsmodul 15) ein Wecksignal STI erzeugt. Das Wecksignal STI wird mit dem vom ersten Überwachungsmodul 15 abgegebenen Überwachungssignal STX synchronisiert und weist - - dieselbe Frequenz auf, ist in der Phase jedoch um einen Bruchteil der Periodendauer vorverschoben. Mit der abfallenden Flanke des Wecksignals STI wird das zweite
Überwachungsmodul 16 jeweils aus dem Ruhezustand in den Betriebszustand versetzt, um einen Puls des übertragenen Überwachungssignals SRX ZU empfangen. In der Folge werden der Ist-Wert der tatsächlich eingetroffenen Pulse und der Soll-Wert der erwarteten Pulse registriert, wie dies in Fig. 7 illustriert ist. Die Differenz zwischen den 4 eingetroffenen und den 14 erwarteten Pulsen zeigt, dass eine Zustandsänderung im ersten Überwachungsmodul 15 oder beim Schaltkontakt I IA aufgetreten ist.
Sofern die Pulse des Überwachungssignals STXI, STX2 am zweiten Eingangsport ip2 des zweiten Überwachungsmoduls 16 ebenfalls gezählt werden, kann der Zustand des ersten
Überwachungsmoduls 15 bestimmt werden. Die Zählerstände des Registers 161 zeigen, dass vom ersten Überwachungsmodul 14 Pulse ausgesendet wurden, dass 14 Pulse erwartet wurden und dass 4 Pulse über den Schaltkontakt I IA übertragen wurden. Die Übereinstimmung von 14 ausgesendeten und 14 erwarteten Pulsen zeigt, dass das erste Überwachungsmodul 15 einwandfrei funktioniert. Die Differenz zwischen den 14 gesendeten und erwarteten Pulsen einerseits und den 4 empfangenen Pulsen andererseits zeigt hingegen, dass der Schaltkontakt 11 A geöffnet wurde. Das empfangene und gefilterte Überwachungssignal SRXF zeigt die Zustandsänderung des Schaltkontakts I IA.
Bei der zweiten Lösungsvariante werden die Zählerstände der Register 151, 161 von der Sicherungseinheit 1 nach Beendigung des Stromausfalls aus allen Überwachungseinheiten 10A, 10B ausgelesen und miteinander verglichen. Der Vergleich zeigt, ob die Registerstände bei einer der Überwachungseinheiten 10A, 1 OB eingefroren sind und ein Fehler aufgetreten ist. Falls die Registerstände in jeder der Überwachungseinheiten 10A, 10B identisch sind, aber Unterschiede zwischen den Überwachungseinheiten 10A, 1 OB vorliegen, so kann auf einen Funktionsfehler geschlossen werden.
Bei der Bearbeitung der Zählerstände werden vorzugsweise Toleranzen vorgesehen, mit denen Abweichungen von Zählerständen vernachlässigt werden, die für das Anzeigen einer
Fehlfunktion oder einer Zustandsänderung der Überwachungssensoren bzw. Schaltkontakte I IA, I IB ungenügend sind.
Fig. 2a zeigt, dass die Überwachungsmodule 15, 16 vorzugsweise einen sogenannten Watchdog 156 aufweisen, der als Timer bzw. Zähler ausgebildet ist und der vorteilhaft zur Überwachung des Schaltkontakts I IA bzw. I IB oder auch des ersten Überwachungsmoduls 15 einsetzbar ist. Bei den Schaltungsanordnungen von Fig. 4a und Fig. 5a wird das Überwachungssignal STX mit den Pulsfolgen (siehe z.B. Fig. 7 mit den Signalverläufen STXI und STX2) dem zweiten - -
Eingangsport ip2 direkt bzw. nicht über den Schaltkontakt I IA bzw. I IB des zweiten
Überwachungsmoduls 16 zugeführt. Das über den Schaltkontakt I IA bzw. I IB übertragene Überwachungssignal SRX wird dem ersten Eingang ipl des zweiten Überwachungsmoduls 16 zugeführt. Das Ausbleiben eines Pulses der dem ersten und/oder dem zweiten Eingangsport ipl bzw. ip2 zugeführten Überwachungssignale STXI bzw. STX2 oder SRX kann nun anhand je eines Watchdogs 156 überwacht werden, für den ein Timeout bzw. ein Zählwert to festgelegt wird, der bei regelmässigem Eintreffen aller Pulse nie erreicht wird.
In Fig. 7 ist die Überwachung des über den Schaltkontakt I IA bzw. I IB übertragenen
Überwachungssignals SRX illustriert, dessen Pulse bei aufsteigender Flanke den Watchdog 156 jeweils zurücksetzen, sodass dieser nicht in das Timeout to hochzählen kann. Zum Zeitpunkt t5 wird hingegen kein Puls mehr über den Schaltkontakt I IA bzw. I IB übertragen, sodass der Watchdog 156 nicht zurückgesetzt wird und ins Timeout hochzählt und einen Alarm auslöst oder eine Zustandsänderung signalisiert. In gleicher Weise würde das in Fig. 7 gezeigte Überwachungssignal STX2 zum Zeitpunkt t5 bei einem zweiten Watchdog ein Timeout verursachen.
Vorzugsweise wird vorgesehen, dass dem Watchdog 156 das gefilterte Eingangssignal SRXF zugeführt wird. Dadurch wird verhindert, dass der Watchdog 156 durch Störimpulse zurückgesetzt wird und bei Ausbleiben eines Pulses des Überwachungssignals SRX nicht in das Timeout hochzählen kann.
Die durch den Watchdog 156 signalisierten Zustandsänderungen werden z.B. im Register 151 abgespeichert und nach Beendigung des Stromausfalls mit den weiteren Zustandsdaten zur Sicherungseinheit 1 übertragen. Vorzugsweise wird der Verlauf des Ausgangssignals des Watchdog 156 gespeichert und analysiert, z.B. um die Dauer der Unterbrüche des
Schaltkontakts I IA bzw. I IB festzustellen. Normalerweise wird vorgesehen, dass bereits nach Eintreffen eines Timeout für einen Puls eine Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Alternativ kann festgelegt werden, dass der Timeout für eine bestimmte Anzahl Pulse andauern muss, bevor die Inbetriebnahme der Aufzugsanlage 3 verhindert wird. Z.B. wird dadurch unterschieden, ob eine Unregelmässigkeit in der Schaltung oder eine Türöffnung aufgetreten ist.
Fig. 8 zeigt ein Diagramm mit einem Signalverlauf eines im ersten Überwachungsmodul 15 erzeugten Überwachungssignals STX, mit drei verschiedenen Varianten A, B, C von Pulsen, die unterschiedliche Pulsbreiten aufweisen. Ferner ist der Signalverlauf des im zweiten
Überwachungsmodul 16 empfangenen Überwachungssignals SRX gezeigt, in dem drei Pulse der Varianten A und C nicht oder nicht korrekt enthalten sind. Für jede der Varianten A, B und C ist - - die Anzahl der abgegebenen Pulse im Register 151 des ersten Überwachungsmoduls 15 registriert. Ebenso ist im Register 161 des zweiten Überwachungsmoduls 16 die Anzahl der empfangenen Pulse für jede der Varianten A, B und C registriert.
Die Pulse können auf dem gesamten Übertragungsweg verloren gehen oder beeinträchtigt werden. Die Analyse der Veränderungen lässt Rückschlüsse zu auf die Art der Störung. Mittels der Variation der Pulse können die elektronischen Elemente der Überwachungsmodule 15, 16 somit in einfacher Weise geprüft werden. Die Prüfung kann sporadisch oder auch in einem regelmässigen Muster von der Sicherungseinheit 1 oder autonom von den
Überwachungsmodulen 10A, 10B durchgeführt werden.
Alternativ können auch die Pulsamplituden, die Pulsabstände oder die Pulsrepetitionsfrequenz wahlweise geändert werden.
Nach Beendigung eines Stromausfalls oder der Beendigung einer Simulation eines
Stromausfalls liest die Sicherungseinheit 1 die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten 1 OA, 1 OB und den darin vorgesehenen
Überwachungsmodulen 15, 16 aus und nimmt eine Analyse vor.

Claims

Ansprüche
1. Verfahren zur gesicherten Steuerung einer Aufzuganlage (3), die eine Antriebseinheit (38) umfasst, mittels der eine in einem Aufzugschacht (35) angeordnete Aufzugskabine (36) verfahrbar ist und die von einer Steuervorrichtung (100) derart gesichert angesteuert wird,
a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahren werden kann, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) gesteuert werden und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 3 OB) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahren wird, falls sich eine Person im Aufzugschacht (35) befindet;
wobei wenigstens einer der Türen (30A, 3 OB) je eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (I IA; I IB) zugeordnet sind, mittels dessen
Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 3 OB), detektiert werden,
die Überwachungseinheit (10A; 10B)
a) mit einer Batterie (14) ausgerüstet ist und bei vollständiger oder teilweiser
Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umgeschaltet wird;
b) mit dem Überwachungssensor (I IA; I IB) verbunden ist und zumindest während des autonomen Betriebs den Zustand des Überwachungssensors (11A; 11B) überwacht und entsprechende Zustandsdaten registriert; und
c) mit einer Sicherungseinheit (1) verbunden ist, die aus allen angeschlossenen Überwachungseinheiten (10A; 10B) die registrierten Zustandsdaten ausliest und auswertet und die Versetzung der Aufzugsanlage (3) in den Normalbetrieb verhindert, falls eine Zustandsänderung für eine der überwachten Türen (30A; 30B) detektiert wurde,
und der Überwachungssensor (I IA; 11B) ein mit dem zugehörigen Türverschluss (31 A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.
2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von identischen Pulsen oder als eine Folge von unterschiedlichen Pulsen mit einer festgelegten Soll-Form ausgeführt ist.
3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet,
a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes
Überwachungsmodul (15) aufweist, welches das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (I IA; I IB) abgibt und an einem
Eingangsport (ip) wieder empfängt; oder
b) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites
prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, von denen das eine Überwachungsmodul (15) das Überwachungssignal an einem Ausgangsport (op) an den Schaltkontakt (I IA; I IB) abgibt und das andere Überwachungsmodul (16) das Überwachungssignal an einem Eingangsport (ip) empfängt; oder c) dass die Überwachungseinheit (10A; 10B) ein erstes und ein zweites
prozessorgesteuertes Überwachungsmodul (15, 16) aufweist, die das
Überwachungssignal alternierend von ihrem Ausgangsport (op) an den
Schaltkontakt (I IA; I IB) abgeben oder an ihrem Eingangsport (ip) empfangen.
4. Verfahren nach Anspruch 3, dadurch gekennzeichnet,
a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)
abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten
Überwachungsmoduls (16) zugeführt wird; oder
b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)
abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zugeführt wird.
5. Verfahren nach einem der Ansprüche 1 - 4, dadurch gekennzeichnet, dass Pulse oder Gruppen von Pulsen in einem zeitlichen Abstand übertragen werden, innerhalb dem zumindest eines der Überwachungsmodule (15; 16) bei Auftreten eines ersten
Ereignisses in einen Ruhezustand und bei Auftreten eines zweiten Ereignisses in einen Betriebszustand versetzt wird, wobei das erste Ereignis vorzugsweise durch die Beendigung des Prozesses der Registrierung von Zustandsänderungen des übertragenen Überwachungssignals oder durch den Ablauf eines Timers (157) und das zweite Ereignis durch das Eintreffen eines übertragenen Pulses des Überwachungssignals oder durch den Ablauf eines Timers (156) bestimmt ist.
6. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, dass die Sicherungseinheit (1) oder wenigstens eines der Überwachungsmodule (15; 16) das über den
Schaltkontakt (I IA; I IB) übertragene Überwachungssignal mit dem nicht über den Schaltkontakt (11A; 11B) übertragene Überwachungssignal oder einer Soll-Form des übertragenen Überwachungssignals vergleicht und Abweichungen sowie einen entsprechenden Funktionsfehler in einem der Überwachungsmodule (15; 16) registriert.
7. Verfahren nach einem der Ansprüche 4 - 6, dadurch gekennzeichnet, dass das erste und/oder das zweite Überwachungsmodul (15; 16) je wenigstens ein Register (151) für die Speicherung von Zustandsdaten aufweist, in dem die Anzahl t der gesendeten Pulse und die Anzahl r der empfangenen Pulse gespeichert wird und dass in einem der Überwachungsmodule (15; 16) oder der Sicherungseinheit (1) die Differenz zwischen der gespeicherten Anzahl t der gesendeten Pulse und der gespeicherten Anzahl r der empfangenen Pulse gebildet und eine gegebenenfalls aufgetretene Zustandsänderung detektiert wird.
8. Verfahren nach einem der Ansprüche 3 - 7, dadurch gekennzeichnet, dass im ersten und/oder im zweiten Überwachungsmodul (15; 16) ein Filterprogramm (FP) implementiert ist, welches das empfangene Überwachungssignal filtert und
vorzugsweise als Tiefpassfilter oder Medianfilter ausgebildet ist, das vorzugsweise feststellt, ob eine Anzahl r der eingetroffenen Pulse grösser oder kleiner ist als die Hälfte der Anzahl t erwarteten oder gesendeten Pulse.
9. Verfahren nach einem der Ansprüche 1 - 8, dadurch gekennzeichnet, dass zumindest das über den Schaltkontakt (I IA; I IB) übertragene und gegebenenfalls gefilterte
Überwachungssignal dem Eingang eines Watchdog-Timers (156) zugeführt wird, der mit jedem Eintreffen eines Pulses des Überwachungssignals zurückgesetzt wird und der bei Ausbleiben eines Pulses des Überwachungssignals bis zu einem Timeout hochzählt und eine Zustandsänderung signalisiert.
10. Verfahren nach einem der Ansprüche 3 -9, dadurch gekennzeichnet, dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15) abgegebene
Überwachungssignal über den Schaltkontakt (I IA; I IB) zum Eingangsport (ip) des ersten Überwachungsmoduls (15) geführt und überwacht wird, und dass das erste Überwachungsmodul (15) nach Ausbleiben eines erwarteten Pulses mehrere Pulse mit einer um den Faktor n erhöhten Pulsrepetitionsfrequenz abgibt, die dem ersten
Eingangsport (ipl) des zweiten Überwachungsmoduls (16) über den Schaltkontakt (I IA; I IB) sowie dem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) direkt zugeführt werden.
11. Verfahren nach einem der Ansprüche 1 - 10, dadurch gekennzeichnet, dass während des autonomen Betriebs der Überwachungsmodule (15; 16) geprüft wird
a) ob die von der Batterie (14) abgegebene Spannung einen Schwellwert
unterschreitet; und/oder
b) ob in einem der Überwachungsmodule (15, 16) ein Brownout auftritt;
und dass die Überwachungsmodule (15; 16) im Ereignisfall zurück gesetzt und die ermittelten Zustandsdaten gelöscht werden.
12. Verfahren nach einem der Ansprüche 1 -11, dadurch gekennzeichnet, dass die
Sicherungseinheit (1) die registrierten Zustandsdaten aus allen angeschlossenen Überwachungseinheiten (10A; 10B) und den darin vorgesehenen
Überwachungsmodulen (15, 16) ausliest und
a) die Funktionsfähigkeit aller angeschlossenen Überwachungseinheiten (10A; 10B) prüft; oder
b) aufgetretene Zustandsänderungen oder Fehlfunktionen der
Überwachungseinheiten (10A; 10B) feststellt; oder
c) Abweichungen der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A;
10B) registrierten gesendeten und empfangenen Pulse ermittelt; oder d) bei fehlender Funktionsfähigkeit einer der Überwachungseinheiten (10A; 1 OB) oder bei einer aufgetretenen Zustandsänderung in einer der
Überwachungseinheiten (10A; 10B) oder bei einer Abweichung der Zahlen (t, r) der in jeder der Überwachungseinheiten (10A; 10B) übertragenen Pulse die Versetzung der Aufzugsanlage (3) zurück in den Normalbetrieb verhindert.
13. Aufzuganlage (3) mit einer Antriebseinheit (38), die mit einer in einem Aufzugsschacht (35) angeordneten Aufzugskabine (36) verbunden und von einer Steuervorrichtung (100) derart gesichert ansteuerbar ist,
a) dass die Aufzugskabine (36) im Normalbetrieb zu wenigstens zwei Zugängen des Aufzugsschachts (35) verfahrbar ist, an denen Türen (30A, 30B) vorgesehen sind, die von der Steuervorrichtung (100) ansteuerbar sind und von denen wenigstens einer ein Türverschluss (31A, 31B) zugeordnet ist, mittels dessen die zugeordnete Tür (30A; 30B) auch im Falle eines Stromausfalls entriegelt und geöffnet werden kann; und
b) dass die Aufzugskabine (36) nicht oder nur eingeschränkt verfahrbar ist, falls sich eine Person im Aufzugschacht (35) befindet;
wobei wenigstens einer der Türen (30A, 3 OB) eine Überwachungseinheit (10A; 10B) und ein Überwachungssensor (I IA, I IB) zugeordnet sind, mittels dessen
Zustandsänderungen, wie die Entriegelung oder das Öffnen der Tür (30A; 3 OB), detektierbar sind,
die Überwachungseinheit (10A; 10B)
a) mit einer Batterie (14) ausgerüstet und bei vollständiger oder teilweiser
Ausserbetriebsetzung der Aufzugsanlage (3) in einen autonomen Betrieb umschaltbar ist;
b) mit dem Überwachungssensor (I IA, I IB) verbunden und zumindest während des autonomen Betriebs zu dessen Überwachung sowie zur Registrierung der Zustandsänderungen vorgesehen ist; und
c) mit einer Sicherungseinheit (1) verbunden ist, mittels der die Zustandsänderungen der überwachten Tür (30A; 3 OB) auswertbar und die Versetzung der
Aufzugsanlage (3) in den Normalbetrieb verhinderbar ist,
und der Überwachungssensor (I IA; 11B) ein mit dem zugehörigen Türverschluss (31 A; 31B) gekoppelter Schaltkontakt ist, über den ein Überwachungssignal von einem Ausgang zu einem Eingang der Überwachungseinheit (10A; 10B) übertragen und das übertragene Überwachungssignal hinsichtlich Zustandsänderungen überwacht wird, die bei Betätigung des Türverschlusses (31A; 31B) auftreten,
dadurch gekennzeichnet, dass das Überwachungssignal als eine Folge von Pulsen ausgeführt ist.
14. Aufzuganlage (3) nach Anspruch 13, dadurch gekennzeichnet,
a) dass die Überwachungseinheit (10A; 10B) ein erstes prozessorgesteuertes
Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (I IA; 11B) an einen Eingangsport (ip) des ersten Überwachungsmoduls (15) übertragbar ist; oder b) dass die Überwachungseinheit (10A; 10B) ein erstes Überwachungsmodul (15) mit einem Ausgangsport (op) aufweist, von dem das Überwachungssignal über den Schaltkontakt (I IA; 11B) zu einem Eingangsport (ip) eines zweiten Überwachungsmoduls (16) übertragbar ist.
15. Aufzuganlage (3) nach Anspruch 14, dadurch gekennzeichnet,
a) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)
abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten
Überwachungsmoduls (16) zuführbar ist; oder
b) dass das vom Ausgangsport (op) des ersten Überwachungsmoduls (15)
abgegebene Überwachungssignal einerseits über den Schaltkontakt (I IA; I IB) einem ersten Eingangsport (ipl) des zweiten Überwachungsmoduls (16) sowie einem Eingangsport (ip) des ersten Überwachungsmoduls (15) und andererseits direkt einem zweiten Eingangsport (ip2) des zweiten Überwachungsmoduls (16) zuführbar ist.
PCT/EP2016/073220 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage WO2017055420A1 (de)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US15/764,404 US10926974B2 (en) 2015-09-30 2016-09-26 Method and apparatus for controlling an elevator system
BR112018003902-0A BR112018003902B1 (pt) 2015-09-30 2016-09-29 Processo para o controle seguro de um sistema de elevador e sistema de elevador
CN201680058009.5A CN108137268B (zh) 2015-09-30 2016-09-29 用于控制电梯设备的方法和装置
EP16777650.9A EP3356273B1 (de) 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
EP15187785 2015-09-30
EP15187785.9 2015-09-30

Publications (1)

Publication Number Publication Date
WO2017055420A1 true WO2017055420A1 (de) 2017-04-06

Family

ID=54251426

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/EP2016/073220 WO2017055420A1 (de) 2015-09-30 2016-09-29 Verfahren und vorrichtung zur steuerung einer aufzugsanlage

Country Status (5)

Country Link
US (1) US10926974B2 (de)
EP (1) EP3356273B1 (de)
CN (1) CN108137268B (de)
BR (1) BR112018003902B1 (de)
WO (1) WO2017055420A1 (de)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112669541A (zh) * 2020-12-24 2021-04-16 深圳市怡化时代科技有限公司 一种走钞故障模拟系统
CN115009946A (zh) * 2022-06-17 2022-09-06 永大电梯设备（中国）有限公司 一种电梯底坑检修复归的防护方法

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2017013709A1 (ja) * 2015-07-17 2017-01-26 三菱電機株式会社 油圧式エレベータの安全装置および油圧式エレベータの戸開走行異常検出方法
EP3153445B1 (de) * 2015-10-07 2018-12-05 KONE Corporation Sensorverbindungseinheit, sicherheitssystem und aufzug
DK3290375T3 (da) * 2016-08-29 2019-09-30 Kone Corp Elevator
EP3315443B1 (de) * 2016-10-26 2021-03-24 Otis Elevator Company Virtuelle zielruftafelsysteme und verfahren zum betrieb
US11465878B2 (en) * 2017-03-31 2022-10-11 Otis Elevator Company Visual status indicator for door and lock state
EP3599203B1 (de) 2018-07-27 2022-06-15 Otis Elevator Company Aufzugsicherheitssystem
CN111634774B (zh) * 2019-03-01 2021-12-03 上海三菱电梯有限公司 一种电梯层门小门锁安全系统
CN111071890A (zh) * 2019-12-27 2020-04-28 北京恒远国创科技有限公司 一种轿厢电梯数据采集器
CN113313375B (zh) * 2021-05-26 2022-04-08 浙江华夏工程管理有限公司 基于大数据分析和云计算的建筑工程建造质量评价方法
EP4324780A1 (de) * 2022-08-15 2024-02-21 Otis Elevator Company Sicherheitsvorrichtungen für einen aufzug

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013020806A1 (de) * 2011-08-11 2013-02-14 Inventio Ag Testverfahren einer aufzugsanlage und eine überwachungseinrichtung zum durchführen des testverfahrens
WO2013045271A1 (de) * 2011-09-29 2013-04-04 Inventio Ag Vorrichtung und verfahren zum überwachen von schachttüren
WO2014124779A1 (de) * 2013-02-12 2014-08-21 Inventio Ag Batteriegestützte sicherheitskreis-überwachungsanlage

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2777087B1 (fr) * 1998-04-03 2000-05-05 Otis Elevator Co Dispositif pour localiser une panne de fermeture de porte paliere dans une installation d'ascenseur
ATE317824T1 (de) 2001-07-09 2006-03-15 Inventio Ag Aufzuganlage mit virtueller schutzzone am schachtfuss und/oder am schachtkopf und verfahren zum ansteuern derselben
NZ543896A (en) 2003-06-30 2008-07-31 Inventio Ag Safety system for an elevator structure
FI20070486A (fi) * 2007-01-03 2008-07-04 Kone Corp Hissin turvajärjestely
FI123507B (fi) * 2012-08-07 2013-06-14 Kone Corp Turvapiiri sekä hissijärjestelmä
TWI622548B (zh) * 2012-12-13 2018-05-01 伊文修股份有限公司 用於人員輸送設備的監視裝置、人員輸送設備、以及用於監視人員輸送設備之方法
CN105189292B (zh) 2013-02-12 2017-03-29 因温特奥股份公司 应用交流电压的安全电路监控器
CN108349692B (zh) * 2015-11-12 2019-11-12 因温特奥股份公司 用于电梯设备的监控单元和方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2013020806A1 (de) * 2011-08-11 2013-02-14 Inventio Ag Testverfahren einer aufzugsanlage und eine überwachungseinrichtung zum durchführen des testverfahrens
WO2013045271A1 (de) * 2011-09-29 2013-04-04 Inventio Ag Vorrichtung und verfahren zum überwachen von schachttüren
WO2014124779A1 (de) * 2013-02-12 2014-08-21 Inventio Ag Batteriegestützte sicherheitskreis-überwachungsanlage

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112669541A (zh) * 2020-12-24 2021-04-16 深圳市怡化时代科技有限公司 一种走钞故障模拟系统
CN112669541B (zh) * 2020-12-24 2022-11-25 深圳市怡化时代科技有限公司 一种走钞故障模拟系统
CN115009946A (zh) * 2022-06-17 2022-09-06 永大电梯设备（中国）有限公司 一种电梯底坑检修复归的防护方法
CN115009946B (zh) * 2022-06-17 2024-01-30 永大电梯设备（中国）有限公司 一种电梯底坑检修复归的防护方法

Also Published As

Publication number Publication date
CN108137268A (zh) 2018-06-08
US20180215579A1 (en) 2018-08-02
BR112018003902A2 (pt) 2018-09-25
BR112018003902B1 (pt) 2023-03-14
CN108137268B (zh) 2019-12-17
EP3356273B1 (de) 2019-12-25
EP3356273A1 (de) 2018-08-08
US10926974B2 (en) 2021-02-23

Similar Documents

Publication Publication Date Title
EP3356273B1 (de) Verfahren und vorrichtung zur steuerung einer aufzugsanlage
EP0903314B1 (de) Ueberwachungseinrichtung für eine Antriebssteuerung für Aufzüge
DE69632014T2 (de) Analyzing Procedure
EP3233694B1 (de) Sicherheitsschaltung für eine aufzugsanlage
EP2516305B1 (de) Verfahren und vorrichtung zur bestimmung der bewegung und/oder der position einer aufzugskabine
EP2956396B1 (de) Batteriegestützte sicherheitskreis-überwachungsanlage
EP2760774B1 (de) Vorrichtung und verfahren zum überwachen von schachttüren
EP2741993B1 (de) Testverfahren einer aufzugsanlage und eine überwachungseinrichtung zum durchführen des testverfahrens
EP2956366B1 (de) Sicherheitskreisüberwachung mit wechselspannung
EP2167413B1 (de) Überwachungsverfahren einer aufzugsanlage
EP3374308B1 (de) Überwachungseinheit für eine aufzugsanlage und verfahren
EP3393954A1 (de) Überwachungsvorrichtung für eine personentransportanlage, prüfverfahren und personentransportanlage
EP0007579A1 (de) Schaltungsanordnung zur Überwachung des Zustands von Signalanlagen, insbesondere von Strassenverkehrs-Lichtsignalanlagen
EP2887163B1 (de) Überwachungsvorrichtung, Sicherheitssystem und Verfahren zum Betreiben eines Sicherheitssystems
EP3532421B1 (de) Aufzuganlage mit schaltkreis mit mittels eines wechselspannungssignals überwachtem schalter
WO2019174958A1 (de) Teilnehmerstation für ein serielles bussystem und verfahren zur datenübertragung in einem seriellen bussystem
DE102004058540A1 (de) Verfahren und Vorrichtung zur Überwachung einer Spannung
EP3617114A1 (de) Verfahren und überwachungsvorrichtung zum überwachen einer sicherheitskettenschaltung in einer aufzuganlage
DE3739227C2 (de)
EP0222682B1 (de) Signalübertragungsanordnung für eine Vergleichsschutzeinrichtung
EP1282859B1 (de) Peripheriebaustein mit hoher fehlersicherheit für speicherprogrammierbare steuerungen
EP0602452A1 (de) Sicherheitseinrichtung mit Mikroprozessor
EP3026512B1 (de) Verfahren zur Reduzierung des Energieverbrauchs einer Sicherheitssteuerung

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16777650

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15764404

Country of ref document: US

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112018003902

Country of ref document: BR

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 112018003902

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20180227